DNS-Prüfung

Fragen Sie A-, AAAA-, CNAME-, MX-, TXT-, NS-, SOA- und CAA-Records einer Domain ab, jeweils mit ihrer TTL.

Die Abfrage läuft auf dem Server von IPGet über feste öffentliche Resolver, ist also von Ihrem eigenen Zwischenspeicher unabhängig.

Leer und Fehler sind nicht dasselbe

Das ist die Unterscheidung, die am meisten Verwirrung stiftet, und sie wird hier absichtlich aufrechterhalten. Eine Abfrage kann auf drei Arten enden, und nur zwei davon sind Probleme.

Kommen Records zurück, existiert der Name und hat Einträge des gewünschten Typs, jeder mit seiner TTL. Ist die Antwort leer, existiert der Name, die Zone hat geantwortet, und es gibt keinen Record dieses Typs: Fragt man eine Domain, die keine Mail empfängt, nach MX-Records, kommt genau das heraus — eine richtige, normale Antwort und kein Fehlschlag. Nur der dritte Fall, der Fehler, bedeutet, dass etwas eine Antwort verhindert hat.

„Kein MX-Record“ mit „der Nameserver hat nicht geantwortet“ zu verwechseln führt dazu, ein Mailproblem zu suchen, das es nicht gibt, oder einen echten Ausfall der autoritativen Server zu übersehen.

Was jeder Fehler bedeutet

„Keine DNS-Zone vorhanden“ (NXDOMAIN) heißt, der Name ist nicht registriert, abgelaufen oder falsch geschrieben: Das Internet kennt ihn nicht. „Der Nameserver meldet einen Fehler“ (SERVFAIL) ist etwas ganz anderes: Die Zone existiert, ihre Server konnten aber keine Antwort erzeugen; übliche Ursachen sind defektes DNSSEC oder nicht erreichbare autoritative Server. Das ist eine laufende Störung, die gerade echte Nutzerinnen und Nutzer trifft.

„Zeitüberschreitung“ heißt, der Resolver hat nicht rechtzeitig geantwortet; ein erneuter Versuch lohnt, und bei Wiederholung sind meist die autoritativen Server nicht erreichbar. „Der Nameserver hat die Abfrage abgelehnt“ deutet fast immer auf einen falsch eingerichteten autoritativen Server oder eine einschränkende Zonenrichtlinie hin.

Autoritative und rekursive Antworten

Jeder Record hat einen Eigentümer: die autoritativen Nameserver aus den NS-Records der Domain, die die eigentliche Zone halten. Fast niemand fragt sie direkt. Ihr Rechner fragt einen rekursiven Resolver, der aus seinem Zwischenspeicher antwortet oder die Kette ab der Wurzel für Sie abläuft.

Diese Abfrage geht über rekursive Resolver; was Sie hier sehen, ist also das, was der Resolver einer gewöhnlichen Besucherin sehen würde, Zwischenspeicher eingeschlossen. Wenn Sie wissen müssen, was die autoritativen Server in diesem Moment veröffentlichen — etwa während einer Umstellung — fragen Sie sie direkt mit dig ab oder vergleichen Sie mehrere Resolver mit der Verbreitungsprüfung.