DNS Upstream-Server

Inhalt

• DNS Upstream-Server
  • Inhalt
  • Ablauf einer DNS-Anfrage
  • Begriffserklärungen
  • Unterstützung durch Betriebssysteme
  • Beliebte DNS-Upstream-Server

Ablauf einer DNS-Anfrage

• Wenn du eine Domain (z.B. www.infosophia.eu) im Browser eingibst, sendet dein Rechner die Anfrage zunächst an den lokal eingestellten DNS-Resolver (oft der Router oder ein lokaler DNS-Cache).
• Kann dieser Resolver die Adresse nicht aus seinem eigenen Cache beantworten, leitet er die Anfrage an den konfigurierten Upstream-DNS-Server weiter (z.B. Quad9, Cloudflare oder den DNS-Server deines Internetanbieters).
• Der Upstream-Server sucht die Antwort entweder im eigenen Cache oder fragt weitere Server in der DNS-Hierarchie (Root-, TLD- und autoritative Nameserver) ab, bis die IP-Adresse gefunden ist, und sendet diese Information dann zurück an deinen Rechner. So gelangt deine Anfrage Schritt für Schritt von deinem Rechner über den lokalen Resolver zum Upstream-DNS-Server und von dort (ggf. über weitere Server) zur endgültigen Antwort.

Begriffserklärungen

• Ein DNS-Upstream-Server ist ein externer DNS-Server, an den dein lokaler DNS-Resolver (z.B. auf deinem Rechner oder in deinem Heimnetzwerk) DNS-Anfragen weiterleitet, wenn er sie nicht selbst beantworten kann.
• Das DNS (Domain Name System) ist das weltweite Adressbuch des Internets, das Domainnamen wie infosophia.eu in IP-Adressen übersetzt.
• DoH (DNS over HTTPS): ist ein Protokoll, das DNS-Anfragen verschlüsselt über das HTTPS-Protokoll überträgt, um die Privatsphäre und Sicherheit zu erhöhen.
• DoT (DNS over TLS): ist ein Protokoll, das DNS-Anfragen durch Verschlüsselung mit TLS schützt und so vor Abhören und Manipulation bewahrt.
• DNSSEC (Domain Name System Security Extensions): ist eine Sicherheitserweiterung für DNS, die die Authentizität und Integrität von DNS-Antworten durch digitale Signaturen gewährleistet.
• DNSCrypt: ist ein Protokoll, das DNS-Anfragen und -Antworten zwischen dem Benutzer und dem DNS-Resolver verschlüsselt und authentifiziert.
• QUIC ist ein von Google entwickeltes, verbindungsorientiertes und verschlüsseltes Transportprotokoll auf Basis von UDP, das schnellere und sicherere Datenübertragung ermöglicht, indem es die Vorteile von TCP, TLS und HTTP/2 kombiniert und standardmäßig TLS 1.3-Verschlüsselung verwendet.

Nur die Protokolle QUIC, DoH (DNS over HTTPS), DoT (DNS over TLS) und DNSCrypt verschlüsseln die Verbindung zwischen deinem Gerät und dem DNS-Resolver vollständig Ende-zu-Ende, sodass Dritte die DNS-Anfragen und -Antworten auf dem Transportweg nicht mitlesen oder manipulieren können.
DNSSEC hingegen sichert nicht die Verbindung selbst, sondern stellt durch digitale Signaturen sicher, dass die erhaltenen DNS-Daten authentisch und unverändert sind; die Übertragung bleibt dabei unverschlüsselt[5].
Das klassische DNS ist grundsätzlich unverschlüsselt und daher anfällig für Abhören und Manipulation.

Unterstützung durch Betriebssysteme

• Viele Browser (z.B. Firefox, Chrome, Edge) unterstützen DoH unabhängig vom Betriebssystem.
• Für DNSCrypt und DoQ gibt es plattformübergreifende Tools wie dnscrypt-proxy, die auf allen Systemen eingesetzt werden können.
• Einige geschlossene Router unterstützen bereits DoH und DoT. Die Unterstützung für offene Router, wie OpenWRT entspricht der Linux-Unterstützung

Beliebte DNS-Upstream-Server

• Nicht alle Anbieter unterstützen DNS over QUIC (DoQ); die Tabelle enthält bekannte und dokumentierte Endpunkte, sofern verfügbar.
• Bindestrich (–) bedeutet, dass kein offizieller DoQ-Endpunkt bekannt ist.
• Die Syntax für DoQ kann je nach Client variieren (quic:// oder direkt Host:Port).