Ein NS-Record gibt an, welche Server für eine DNS-Zone autoritativ sind. Er listet die Namen der Server auf, die die Zone verwalten. Resolver fragen diese Server ab, um andere Einträge zu erhalten.
Ein NS-Record enthält einen Namen, einen Typ, ein NS-Ziel und eine TTL. Die TTL gibt an, wie lange die Antwort im lokalen Resolver zwischengespeichert bleibt.
| Name | Typ | NS-Server | TTL in Sekunden |
|---|
| @ | NS | ns1.beispiel.net. | 3600 |
In diesem Beispiel zielt der Name @ auf den Apex der Zone ab. Das Ziel ist ein Hostname. Dieser Name muss A- oder AAAA-Einträge veröffentlichen und erreichbar sein.
Eine Zone muss mehrere NS-Records veröffentlichen. Dies bietet Redundanz und bessere Verfügbarkeit.
| Name | Typ | NS-Server | TTL in Sekunden |
|---|
| @ | NS | ns1.beispiel.net. | 3600 |
| @ | NS | ns2.beispiel.net. | 3600 |
Zwei oder mehr Server vorsehen. Sie müssen kohärent antworten.
Um sub.beispiel.com zu delegieren, NS-Einträge für diesen Namen in der übergeordneten Zone hinzufügen. Jedes Ziel muss sich zu A oder AAAA auflösen. Wenn der Servername innerhalb der Subdomain liegt, kann die übergeordnete Zone unterstützende Adressen veröffentlichen, die man Glue Records nennt. Das Ziel bleibt einfach. Resolvern ermöglichen, die Server der Subdomain schnell zu erreichen.
Eine kurze TTL macht einen Serverwechsel sichtbarer. Nützlich in der Umstellungsphase.
Eine mittlere oder lange TTL reduziert die Anfragen an die autoritativen Server. Geeignet für eine stabile Zone.
TTL einige Stunden vor einer Änderung reduzieren, dann nach Validierung wieder erhöhen.
Gut zu wissen
NS und SOA werden am Apex einer Zone veröffentlicht. Ein CNAME darf nicht auf einem Namen erscheinen, der NS trägt. Ein NS-Ziel ist immer ein Name, keine Adresse.
Am Apex der Zone zur Bezeichnung der autoritativen Server dieser Zone.
Auf einer Subdomain, wenn man diese Subdomain an dedizierte Server delegiert.
Tochterzonen besitzen ihren eigenen SOA und ihre eigenen NS.
Zu vermeiden
Einen NS-Eintrag auf eine direkte Adresse zeigen zu lassen.
Nur einen NS auf einer Zone zu veröffentlichen.
Ein NS-Ziel ohne A oder AAAA zu lassen.
Unterschiedliche NS-Sätze zwischen übergeordneter Zone und Tochterzone ohne Grund zu haben.
Ein Online-DNS-Lookup ermöglicht die Eingabe eines Domainnamens. Das Ergebnis zeigt die Liste der NS-Server und die vom Internet aus sichtbare TTL. Das ist eine nützliche erste Kontrolle. Anschließend einen lokalen Test von der eigenen Maschine durchführen.
Windows stellt nslookup zur Verfügung. Man kann es im interaktiven Modus verwenden.
nslookup
set q=ns
beispiel.com
nslookup
set q=ns
server 1.1.1.1
beispiel.com
Der erste Teil fragt entsprechend der Netzwerkkonfiguration der Maschine ab. Der zweite erzwingt die Verwendung eines Drittanbieters-Resolvers, hier den von Cloudflare.
Auf diesen Systemen ist der Befehl dig praktisch und einfach zu verwenden.
dig NS beispiel.com
dig NS beispiel.com @1.1.1.1
Mehrere NS-Zeilen zeigen mehrere Server an. Nach verschiedenen Namen und unterschiedlichen Netzwerken für bessere Resilienz suchen.
Eine hohe verbleibende TTL kann eine Verzögerung nach einer Änderung erklären.
Eine Abweichung zwischen den NS, die von der übergeordneten Zone aus gesehen werden, und denen, die in der Zone selbst gesehen werden, zeigt mangelnde Synchronisation.
- Die neuen Server und ihre A- oder AAAA-Einträge vorbereiten.
- Die TTL der NS einige Stunden vor der Umstellung auf 300 oder sogar 60 Sekunden reduzieren.
- Die Zone mit der neuen NS-Liste aktualisieren.
- Die Delegierung bei der Registrierungsstelle bei Bedarf aktualisieren.
- Von mehreren Netzwerken aus überprüfen, dann die TTL erhöhen, wenn alles stabil ist.
Praktischer Tipp
Eine Liste der NS führen, die sowohl zone- als auch registrarseitig veröffentlicht sind. Datum, TTL und Grund der Änderung notieren. Diese Spur vermeidet Abweichungen bei Aktualisierungen.
Die neuen NS in der Zone veröffentlichen. Die Delegierung beim Registrar aktualisieren. Konsistenz überprüfen.
NS auf der Subdomain in der übergeordneten Zone hinzufügen. Das Team verwaltet anschließend seine Tochterzone mit eigenem SOA.
Einen weiteren NS hinzufügen. Überprüfen, dass er sich zu A oder AAAA auflöst und die aktuelle Zone bereitstellt.
- Wenn die Zone manchmal mit alten Einträgen antwortet, die Konsistenz der veröffentlichten NS überprüfen.
- Wenn ein NS-Server nicht antwortet, seinen Eintrag vorübergehend entfernen, bis die Reparatur erfolgt ist.
- Wenn die Delegierung nicht funktioniert, das Vorhandensein von Glue-Adressen überprüfen, wenn sie erforderlich sind.
- Wenn die Antwort trotz Aktualisierung veraltet bleibt, das Ablaufen der TTL abwarten und wenn möglich den Cache des lokalen Resolvers leeren.
Zusammengefasst bezeichnet ein NS-Eintrag die autoritativen Server einer Zone. Er muss auf erreichbare und konsistente Namen zeigen. Eine Zone veröffentlicht mehrere NS für die Verfügbarkeit. Eine gut eingestellte TTL erleichtert Übergänge. Die Überprüfung erfolgt über ein Online-Tool, dann über nslookup und dig.
Mit diesen Anhaltspunkten bleibt die Verwaltung klar. Änderungen laufen stressfrei ab. Resolver finden die Zone ohne Zwischenfälle.