Was sind primäre und sekundäre DNS-Server: Worin besteht der Unterschied?

Eine Zonendatei ist eine Textdatei, die alle DNS-Einträge für eine bestimmte Domain (oder „Zone“) enthält. Zonendaten umfassen DNS-Einträge wie IP-Adressen, Mailserver-Austauschdatensätze und Nameserver-Einträge. Im Wesentlichen enthält sie die Anweisungen, die das Internet zu Ihrer Website, Ihren E-Mail-Servern, Subdomains und anderen Ressourcen leitet.

Innerhalb einer DNS-Infrastruktur sind DNS-Einträge von entscheidender Bedeutung. Sie sind von zentraler Bedeutung für alle Vorgänge, insbesondere für den Suchvorgang, den Administratoren zur Bearbeitung von DNS-Anfragen verwenden – mit eingegebenen Hostnamen und den entsprechenden IP-Adressen.

Es ist mühsam, den Überblick über all die damit verbundenen Domains und Subdomains zu behalten. Unternehmen verwenden daher zwei Arten von Managementgeräten zur Aufrechterhaltung der DNS Services.

Primäre DNS-Server stellen die endgültige und verlässliche Quelle für die DNS-Einträge einer Domain dar. Diese autoritativen DNS-Server speichern die Masterkopie der Zonendatei.

Sollte ein Domain-Administrator die Zonendatei ändern müssen, werden diese Änderungen direkt an der primären Zone des autoritativen Nameservers vorgenommen. Auf dem primären Server werden Zugriffskontrollen implementiert, um sicherzustellen, dass nur autorisiertes Personal Änderungen an den Zonendateien vornehmen kann.

Sekundäre DNS-Server dienen jedoch in erster Linie als Backup-Kapazität und werden aktiv, falls der primäre Server plötzlich offline geht. Obwohl es technisch gesehen stimmt, dass ein primärer DNS-Server ohne einen sekundären DNS-Server betrieben werden kann, wird eine solche Praxis stark abgeraten.

Im Falle eines Failovers können sekundäre Zonenserver einspringen und den DNS-Abfrageverkehr verarbeiten, ohne dass nennenswerte Ausfallzeiten entstehen. Ohne einen sekundären DNS-Server ist das eine einzige Schwachstelle, die nur darauf wartet, entdeckt zu werden.

Über diese wichtige Funktion hinaus unterstützen sekundäre DNS-Server auch bei den doppelten Ursachen von Lastverteilung und Redundanz. Lastverteilung hilft dabei, den Abfrageverkehr bedarfsgerecht umzuleiten, um eine Art Gleichgewicht bei der Ressourcennutzung herzustellen. Gleichzeitig gewährleistet Redundanz, dass eine zuverlässige Version der Wahrheit weiterhin existiert, unabhängig davon, was mit einem bestimmten Server geschieht. 

Für den Systemadministrator kann die Einrichtung von primären und sekundären DNS-Servern eine anspruchsvolle Angelegenheit sein. Glücklicherweise gibt es viele nützliche Tutorials, die das Personal bei der Implementierung von DNS-Servern, der Konfiguration der Server für den Betrieb und der Verwaltung der Server für optimale Ergebnisse unterstützen.

Es ist zu beachten, dass Anwendungen ein wesentlicher Nutzer von DNS-Servern sind. Wenn Apps bestimmte Ressourcen benötigen, funktionieren diese Apps so, als wären sie Systeme, die DNS-Abfragen sequenzieren. Dieser Prozess besteht darin, den primären Server zu nutzen und gleichzeitig den sekundären Server für Notfälle bereitzuhalten, falls es zu einem Failover des primären Servers kommen sollte.

Mit der Verwendung von primärem DNS und sekundärem DNS sind mehrere verwandte Technologien verbunden.

Active Directory (AD) ist Microsofts Verzeichnisdienst für Windows-Domain-Netzwerke, den das Unternehmen entwickelt hat, um den Bedarf an zentraler Verwaltung von Windows-Benutzerkonten, Ressourcen und maßgeschneiderten Sicherheitsrichtlinien zu decken.

AD arbeitet eng mit DNS zusammen, insbesondere bei der Namensauflösung. Client-Geräte werden sowohl mit einem primären DNS-Server als auch mit einem sekundären DNS-Server konfiguriert, um die Kontinuität der Datensicherung zu gewährleisten. Diese Server befinden sich in DNS-Zonen, die innerhalb von Active Directory liegen. Da diese Zonendaten in Active Directory geladen wurden, sind sie für alle Personen mit Domain-Kontrollfunktionen zugänglich.

Das Dynamic Host Configuration Protocol (DHCP) regelt, wie Geräte in einem Computernetzwerk interagieren und automatisch primäre und sekundäre DNS-Serveradressen (zusammen mit IP-Adressen und erforderlichen DNS-Einstellungen) erhalten.

DHCP und DNS arbeiten auf verschiedene Weise zusammen, beginnend mit dem Moment, in dem ein Gerät (z. B. ein Telefon, Laptop oder Router) eine Verbindung zu einem Netzwerk herstellt. Das Gerät interagiert mit einem DHCP-Server und sendet eine DHCP-Anfrage. Als Reaktion darauf weist der DHCP-Server eine IP-Adresse sowie weitere wichtige Daten zu, wie beispielsweise die IP-Adressen des primären und sekundären DNS-Servers.

In den nachfolgenden Schritten erfolgt die Auflösung der Domainnamen durch den primären DNS, der sie einer entsprechenden IP-Adresse zuordnet. Wenn der primäre DNS-Server nicht mehr verfügbar ist, sucht das Gerät den sekundären DNS-Server auf.

Domain Name System Security Extensions (DNSSEC) sind eine Sicherheitsverbesserung, die es DNS-Anbietern ermöglicht, die Authentifizierungsbemühungen für DNS-Daten zu verstärken. Die Haupttechnik dafür ist der erzwungene Einsatz digitaler Signaturen, die helfen, Angriffe wie DNS-Cache-Vergiftung und DNS-Spoofing zu blockieren.

DNSSEC verlangt, dass der primäre autoritative DNS-Server digitale Signaturen verwendet, um die DNS-Zone zu „signieren“ und zu autorisieren. Darüber hinaus verlangt DNSSEC, dass sowohl der primäre als auch der sekundäre autoritative Server die signierten DNS-Einträge verwalten. Diese Aufzeichnungen können dann zur weiteren Verteilung und Datenvalidierung an rekursive Server und nach außen gesendet werden.

Beide Servergruppen – primäre und sekundäre – fungieren als autoritative Quellen für diese signierte DNS-Zone. Sie stellen signierte Ressourceneinträge für rekursive Resolver bereit, die dann die in diesen Einträgen enthaltenen Daten authentifizieren und validieren.

Eine Internetprotokolladresse (IPv4) ist eine eindeutige Zahlenfolge, die aus vier durch Punkte getrennten Zahlengruppen besteht. Die IPv4-Adresse wird ausschließlich numerisch formuliert, da auf diese Weise Geräte über ein Netzwerk, einschließlich des Internets, kommunizieren können.

IPv4-Adressen enthalten 32 Bit, was bedeutet, dass dieses Format ungefähr 4,3 Milliarden eindeutige Adressen ermöglicht (basierend auf so vielen verschiedenen mathematischen Permutationen). Zeitweise ging man davon aus, dass dies für eine Weile ausreichen würde, doch diese Zeit verging und der Bedarf an weiteren IP-Adressen wuchs stetig.

Obwohl IPv4-Adressen mit Sicherheit noch verwendet werden, musste das IPv4-Format erweitert werden, um eine noch größere Anzahl möglicher IP-Adressen anzubieten. Hier kommt IPv6 ins Spiel, das aktualisierte Format, das viermal so groß ist und IPv6-Adressen mit 128 Bit nutzt. Die Skalierung bedeutet, dass Milliarden von Billionen von IPv6-Adressen jetzt möglich sind.

Die Open-Source-Betriebssysteme, aus denen Linux besteht, funktionieren in Bezug auf ihre Beziehung zu primären und sekundären DNS-Servern unterschiedlich. Bei Linux gibt es keine strikte Einhaltung des primären/sekundären DNS-Servermodells.

Stattdessen wird eine Liste der Server-IP-Adressen bereitgestellt. Der Client wählt dann einen DNS-Server entweder anhand der Reihenfolge der Serverlisten oder eines Round-Robin-Verfahrens aus, das eine gleichmäßigere Verteilung der Suchanfragen unterstützt.

Die genaue Rolle, die ein Linux-Rechner spielt, kann variieren und hängt weitgehend vom jeweiligen Kontext ab. Zum Beispiel dient ein Linux-PC zu Hause als DNS-Client – er ist für die Nutzung mit einem bestimmten ISP-Nameserver oder öffentlichem DNS konfiguriert.

Wenn ein Linux-Server eine Website hostet, gilt er als DNS-Server und kann als primärer Server für diese Domain behandelt werden. (Werden mehr als ein Linux-Server verwendet, können zusätzliche Server als sekundäre Backup-Server eingerichtet werden, um die Redundanz zu erhöhen.)