Öffentliches DNS und privates DNS im Vergleich: Was ist der Unterschied?

Beide befassen sich mit der gleichen Aufgabe: der Entschlüsselung von Namen und Adressen. Ein Nameserver existiert im Internet und funktioniert ähnlich wie eine Art Telefonverzeichnis, das von Menschen lesbare Domainnamen (z. B. ibm.com) in numerische IP-Adressen umwandelt, die Maschinen dann interpretieren können. Es ist ein wesentlicher Matchmaking-Prozess, der es Webbrowsern ermöglicht, genau die richtigen Webziele zu finden, die Benutzer suchen.

Hier sind die Schritte, die nötig sind, um das öffentliche DNS zum Laufen zu bringen: 

1. Die Aktivitäten zur Namensauflösung beginnen, wenn ein Benutzer einen Domainnamen anfordert. Benutzer geben DNS-Anfragen ein, indem sie die Adresse einer Website in ihren bevorzugten Browser eingeben.
2. Das Gerät des Benutzers (auch bekannt als Endgerät) führt eine lokale DNS-Prüfung durch, um zu sehen, ob der Cache oder die lokalen DNS-Server des Geräts bereits eine IP-Adresse enthalten, die zu dieser Domain passt.
3. Wenn die lokale DNS-Prüfung keine Übereinstimmung findet, wird die Anfrage an einen rekursiven DNS-Resolver weitergeleitet. Der Resolver wird häufig von einem Internetdiensteanbieter (ISP) oder einem öffentlichen DNS-Dienst bereitgestellt, z. B. über DNS-Anbieter wie Google oder Cloudflare.
4. Der Resolver kontaktiert einen Root-Nameserver, der DNS-Anfragen weiterleitet, indem er sie an einen Top-Level-Domain (TLD)-Server weiterleitet, der die Anfrage bearbeiten kann.
5. Im nächsten Schritt sendet der Resolver eine Abfrage an den TLD-Server, der sich wiederum auf den autoritativen Nameserver für die jeweilige Domain bezieht.
6. Der betreffende autoritative Nameserver reserviert diese IP-Adresse für die Website und gibt sie an den rekursiven Resolver zurück.
7. Der Resolver lädt die DNS-Daten zur späteren Verwendung in den DNS-Cache und sendet gleichzeitig die genehmigte IP-Adresse an das Gerät zurück, das die ursprüngliche Anfrage ausgegeben hat.
8. Der DNS-Auflösungsprozess ist nun abgeschlossen. Der Browser im Gerät kann nun über diese IP-Adresse eine Verbindung zum Webserver herstellen und den Inhalt der Website herunterladen.

Das ist eine ganze Menge Hin- und Her-Routing, nur um eine brauchbare URL-Adresse zu erhalten. Das Erstaunliche daran ist, wie schnell all diese DNS-Antworten ausgeführt werden.

Wie schnell? Das hängt etwas von leistungsbezogenen Problemen wie Konnektivität und Übertragungslatenz ab, aber im langsamsten Fall kann der öffentliche DNS-Prozess einige Sekunden benötigen. Bei höchster Geschwindigkeit kann derselbe Vorgang jedoch Millisekunden dauern.

Sobald die IP-Adresse ordnungsgemäß ausgehandelt und festgelegt wurde, greift der Benutzer auf die IP-Adresse zu. Bevor Inhalte als DNS-Eintrag heruntergeladen werden, wird ihnen eine Time to Live (TTL)-Bezeichnung zugewiesen – eine Einstellung, die festlegt, wie oft dieselben DNS-Einträge heruntergeladen werden können.

TTLs werden installiert, um zu verhindern, dass Inhalte über einen übermäßig langen Zeitraum online bleiben. TTLs funktionieren wie ein Zähler, der bei jedem Zugriff auf Online-Inhalte herunterläuft. Wenn der Zähler Null erreicht, sind diese Inhalte für den Benutzer nicht mehr verfügbar.

Wenn sich ein Unternehmen oder eine Person für maximalen Datenschutz entscheidet, indem sie ein eigenes DNS betreibt, erfordert der Prozess, der die Funktionsweise regelt, weniger inkrementelle Schritte. Der Prozess verläuft in der Regel auch deutlich schneller als die operative Geschwindigkeit öffentlicher DNS-Anbieter. Dies wird hauptsächlich durch die auferlegte Isolation erreicht.

Der Begriff „privates DNS“ hat zwei spezifische Bedeutungen, je nachdem, wo und wie das private DNS implementiert wird. Er kann sich auf private DNS-Zonen beziehen, die innerhalb einer Cloud-Computing-Umgebung betrieben werden, damit diese auf interne Ressourcen zugreifen können. Alternativ kann es sich auch um einen privaten, internen DNS-Dienst auf dem Gerät eines Benutzers betrieben wird, handeln, um sich vor bestimmten Inhalten zu schützen und bei der Verschlüsselung von Anfragen zu helfen.

Der Namenssuch- und Auflösungsprozess für private DNS-Zonen besteht aus den folgenden Schritten:

1. Der Benutzer gibt eine Adresse (z. B. www.example.com) in seinen Webbrowser ein.
2. Das betriebene Gerät gibt eine DNS-Abfrage aus und sucht nach der IP-Adresse, die dieser Website entspricht.
3. An diesem Punkt trennen sich die Wege des öffentlichen DNS und des privaten DNS vollständig. Das Gerät verwendet einen verschlüsselten Tunnel, um eine Verbindung zu einem privaten DNS-Server herzustellen (im Gegensatz zu öffentlichem DNS, bei dem stattdessen eine verschlüsselte Abfrage verwendet wird). Sichere interne Protokolle wie DNS over TLS (DoT) oder DNS over HTTPS (DoH) stellen die erforderlichen sicheren Kanäle bereit. Virtuelle private Netzwerke (VPNs) erfüllen mit Hilfe eines VPN-Anbieters die gleiche Verschlüsselungsfunktionalität.
4. Der private DNS-Server ruft die verschlüsselte Anfrage ab und verarbeitet sie, indem er die richtige IP-Adresse sucht und sie über dieselbe sicher verschlüsselte Verbindung an das ursprüngliche Gerät zurücksendet.
5. Wenn die richtige IP-Adresse an das Gerät zurückgesendet wird, verbindet sich das Gerät sicher mit dem Server dieser Website.

Sechs Bereiche des direkten Vergleichs vermitteln die wichtigsten Unterschiede (und subtilen Ähnlichkeiten) zwischen öffentlichem DNS und privatem DNS genau.

Der allgemeine Zweck von öffentlichem DNS und privatem DNS ist auffallend ähnlich. Beide übersetzen Domainnamen.

Ein öffentliches DNS dekodiert öffentliche Domainnamen in richtige öffentliche IP-Adressen, damit Benutzer über das Internet auf diese Websites zugreifen können.

Gleichzeitig übersetzt ein privates DNS intern verwendete DNS-Namen in interne IP-Adressen, sodass verschiedene Entitäten innerhalb dieser Gruppe oder Unternehmen effektiv interagieren können.

Sicherheit ist ein wichtiger Faktor bei diesem Vergleich. Schließlich ist die Sicherheit der Hauptgrund, warum wir über private DNS-Technologie verfügen. Unternehmen, die ein Höchstmaß an Sicherheit benötigen, entscheiden sich in der Regel für die Verwendung eines privaten DNS, das Netzwerkdetails vor dem öffentlichen Internet verbirgt.

Öffentliche DNS-Sicherheit bietet deutlich weniger Schutzmaßnahmen, gleicht aber dieses Ungleichgewicht zu anderen Funktionen zum Schutz vor Phishing- und Malware-Versuchen aus.

Entwickler verwenden routinemäßig Domain Name System Security Extensions (DNSSEC), um DNS-Sicherheitsprotokolle durch Hinzufügen digitaler Signaturen zu stärken. Herkömmliche Internetsicherheitsmaßnahmen wie Firewalls können sowohl mit öffentlichem DNS als auch mit privatem DNS implementiert werden. 

Wenn es darum geht, wer auf ein bestimmtes DNS zugreifen kann, hängt alles davon ab, um welche Art von DNS es sich handelt. Wenn es sich um ein öffentliches DNS handelt, kann jeder mit einem Gerät mit Internetzugang darauf zugreifen.

Im Gegensatz dazu wird der Zugriff innerhalb eines privaten DNS in der Regel streng kontrolliert und ist auf den lokalen Zugriff beschränkt. Außerdem ist der Zugriff auf bestimmte Benutzer eines internen Netzwerks beschränkt, wie z. B. die Mitarbeiter, die an einem Firmenstandort oder über eine virtuelle private Cloud tätig sind.

Für den Zugriff hinter den Kulissen verwenden Netzwerkadministratoren ein Abfragetool wie nslookup (Nameserver-Lookup), um IP-Adressen zu suchen und allgemeine Fehlerbehebungsmaßnahmen über Prompts auszuführen.

Wer kontrolliert und betreibt den verwendeten Server? Für private DSNs ist dies eine einfache Antwort: Es ist das Unternehmen oder die Gruppe, die dieses interne Netzwerk betreibt. Sie pflegen alle privaten DNS-Server und kontrollieren sie.

Beim öffentlichen DNS betreibt ein Internet Service Provider (ISP) oder ein Drittanbieter wie Cloudflare oder Google den Server. In beiden Fällen behält eine externe Entität die direkte Kontrolle über den Server.

Leistung ist nicht mehr das eindeutige Thema, das sie einmal war. Früher war es eine Selbstverständlichkeit, dass das private DNS eine schnellere Leistung bietet als das öffentliche DNS. Schließlich hatten die Informationen, die über interne Abfragen gesucht wurden, eine geringere Entfernung zurückzulegen, wenn sie in einem privaten Netzwerk enthalten waren. Dadurch war die Latenz weniger ein Problem.

Heutzutage ist die Leistung, die für blitzschnelle Geschwindigkeiten im öffentlichen DNS erforderlich ist, jedoch je nach Dienstanbieter oft besser realisierbar. Dieser Anstieg ist den globalen Netzwerken zu verdanken, die eine höhere Netzwerkgeschwindigkeit und eine stabilere Übertragung bieten. Die Entscheidung, ob öffentliches DNS oder privates DNS eine bessere Leistung bietet, hängt in der Regel stark vom jeweiligen Netzwerk ab.

In diesem Bereich bietet das private DNS erheblich mehr Möglichkeiten als das öffentliche DNS. Ein privates DNS ermöglicht es einer Gruppe oder einem Unternehmen, benutzerdefinierte Konfigurationen zu erstellen, die auf den Bedürfnissen dieser Einrichtung basieren. Benutzerdefiniertes DNS kann die Möglichkeit bieten, benutzerdefinierte Domainnamen-Namensschemata auszuführen oder sogar Inhaltsfilterung durchzuführen.

Public DNS ist hingegen in seinen Anpassungsmöglichkeiten eingeschränkt. Entwickler erstellen Konfigurationen dafür in einer Standardform für alle öffentlichen DNS-Benutzer.

Im Bereich DNS haben sich bedeutende Veränderungen ergeben, die auch weiterhin auftreten werden, da sich die entsprechende Technologie fortlaufend weiterentwickelt und versucht, mit der fortlaufenden globalen Expansion der Nutzer Schritt zu halten.

Nehmen wir zum Beispiel das IPv4-Internet-Routing-Protokoll. IPv4 (Internet Protocol Version 4) wurde in den 1970er Jahren entwickelt und in den frühen 1980er Jahren, noch vor der Internetrevolution, offiziell eingeführt. IPv4-Adressen sind numerische 32-Bit-Bezeichnungen, die jedem Gerät zugewiesen werden können, das sich mit einem Computernetzwerk verbindet. Sie sind unverzichtbar für Kommunikations- und Routingzwecke. IPv4-Adressen werden als lange Zahlenfolgen ausgedrückt, die in verschiedenen Intervallen durch Punkte getrennt sind.

Auf der Grundlage des Wahrscheinlichkeitsgesetzes können wir berechnen, dass mit der Anzahl der in jeder IPv4-Adresse enthaltenen ganzen Zahlen etwa 4,3 Milliarden Adressen möglich sind. Und selbst diese enorme Anzahl hat sich als unzureichend erwiesen, um mit dem ständig wachsenden Pool an technischen Geräten Schritt zu halten, die mit Netzwerken verbunden werden müssen.

Hier kommt IPv6 (Internet Protocol Version 6) ins Spiel, das 1995 eingeführt wurde, um diese Situation der „Überbelegung“ zu entschärfen. Das erste, was beim Vergleich der beiden Protokolle auffällt, ist, wie viel größer IPv6 ist und 128-Bit-Adressen bietet, die genau 4-mal größer sind als die von IPv4.

Diese Zunahme führt zu einem Pool möglicher Adressen, der so groß ist, dass man es sich kaum vorstellen kann. Diese Zahl beträgt 340 Undezillionen, die als 3,4 x 10 hoch 38 berechnet und numerisch als 3,4 gefolgt von 38 Nullen ausgedrückt wird. Es ist schwer vorstellbar, dass ein Pool mit so viel Wasser jemals vollständig entleert wird. Aber die Computernutzung auf der ganzen Welt ist so weit fortgeschritten, dass ihr beispielloses Wachstum eine solch enorme Reaktion hervorrufen würde.

IPv6 bietet nicht nur den vierfachen Adressbereich von IPv4, sondern beinhaltet auch die Stateless Address Autoconfiguration (SLAAC). Mit dieser Funktion können Geräte ihre eigenen IP-Adressen konfigurieren, ohne auf einen externen DHCP-Server angewiesen zu sein, was ebenfalls den Netzwerkverkehr reduziert.

IPv6 verwendet auch einen erweiterten Typ von DNS-Eintrag, der einen Domainnamen mit einer geeigneten IPv6-Adresse abgleicht. Dieser DNS-Eintrag heißt „AAAA“ und stellt einen deutlichen Fortschritt gegenüber dem „A-Eintrag“ dar, bei dem es sich um den DNS-Eintrag handelt, der eine entsprechende IPv4-Adresse enthält. Der Unterschied zwischen einem AAAA-Eintrag (manchmal auch als Quad-A-Record bezeichnet) und einem A-Eintrag besteht hauptsächlich in der erhöhten Kapazität, sodass AAAAs den verwendeten umfangreichen 128-Bit-Identifier aufnehmen können.

Eine Möglichkeit, A-Einträge und AAAA-Einträge effektiv zu umgehen, ist die Erstellung eines CNAME (was für kanonischen Namen steht). Ein CNAME ist eine Art von DNS-Eintrag, der als Alias für bestimmte Domains oder Subdomains fungiert. Eine kleine Einschränkung, die Sie beachten sollten, ist, dass ein Hostname mit einem CNAME keine A-Einträge oder AAAA-Einträge aktivieren kann, die diesen Namen bereits tragen.

IPv6 ist nicht das einzige Schlüsselprotokoll, das im Laufe der Zeit aktualisiert wurde. Transport Layer Security (TLS) ist ein hochgradig verschlüsseltes Protokoll, das webbasierte und andere Netzwerkkommunikation schützt. TLS ist ein Upgrade eines früheren Protokolls namens Secure Sockets Layer (SSL) aus dem Jahr 1999. Wie SSL bietet auch TLS ein Mittel zur Authentifizierung von Benutzern, zum Stoppen unbefugter Zugriffe und zur Wahrung und Überprüfung der Datenunversehrtheit.