Das Domain Name System (DNS)

Inhalt

• Begriffserklärungen zu DNS
• Ablauf einer DNS-Anfrage
• Unterstützung von DNS durch die Betriebssysteme
• Beliebte freie DNS-Upstream-Resolver
• Beliebte DNS-Proxy-Software
  • Klassische DNS-Proxies
  • DNS-Proxies als Adblocker
  • Mobile Adblocker
• DNS-Filterlisten
• DNS-Records
  • DNS-Record Typen
• Weiterführende Artikel

Begriffserklärungen zu DNS

• Das DNS (Domain Name System) ist das weltweite Adressbuch des Internets, das Domainnamen wie infosophia.eu in IP-Adressen übersetzt.
• Domains sind ein zentraler Bestandteil von URLs (Uniform Resource Locators), die den genauen Ort einer Ressource im Internet angeben. Die Umwandlung von Domains in IP-Adressen erfolgt durch DNS-Resolver ("Nameserver" genannt), die als eine Art „Telefonbuch“ des Internets fungieren. Die Domain ist im Internet die eindeutige und weltweit einmalige Adresse einer Website, die Nutzer in ihren Browser eingeben, um eine bestimmte Internetseite zu erreichen. Ohne Domains müssten Nutzer die schwer merkbaren IP-Adressen direkt eingeben. Die Domain ist durch Punkte getrennt und hierarchisch aufgebaut:
  • Root-Label: Ganz oben im DNS, meist als Punkt dargestellt (wird oft weggelassen).
  • Top-Level-Domain (TLD): Die Endung, z. B. ".com", ".de" oder ".org".
  • Second-Level-Domain: Der frei wählbare Name, z. B. "example" in "example.com", der oft den Namen eines Unternehmens oder den Zweck der Website repräsentiert.
  • Third-Level-Domain (Subdomain): optional, z. B. "www", "mail" oder andere Unterteilungen wie „shop.example.com“ für verschiedene Bereiche einer Website.
• Ein DNS-Record ist ein Eintrag in der sog. "Zonendatei" auf einem DNS-Resolver, welcher Informationen zu einer Domain enthält.
• Ein DNS-Resolver beantwortet als Server DNS-Anfragen mit den DNS-Records, die er in seinem Zwischenspeicher besitzt. Ist ein Eintrag nicht vorhanden (bzw. wegen abgelaufener TTL gelöscht), erfragt der DNS-Resolver in der Rolle als Client den fehlenden Eintrag bei einem Upstream-Resolver. Der DNS-Resolver ist also kein reiner Server (Antwortender) oder Client (Fragender), da er in beiden Rollen agiert.
• Ein Upstream-Resolver ist eine höhere Instanz eines DNS-Resolvers, an den ein DNS-Resolver (z.B. auf einem Rechner oder im Heimnetzwerk) DNS-Anfragen weiterleitet, wenn dieser sie nicht selbst beantworten konnte.
• Ein DNS-Proxy ist ein DNS-Resolver, der transparent agiert, aber den vorrangigen Zweck hat, die durchgehenden DNS-Anfragen zu filtern.
• Ein DNS-Adblocker ist zum Blockieren schädlicher Inhalte in aller Regel durch einen DNS-Proxy vertreten, dem zusätzlich eine graphische Oberfläche aufgesetzt ist, die das einfache Pflegen von Filterlisten und das Blockieren oder Erlauben von Domains ermöglicht. Auch stellt ein DNS-Adblocker meist eine API-Schnittstelle bereit, welche von mobilen Apps und Browser-Plugins zur Steuerung des Adblockers verwendet werden kann. - Eine DNS-Filterliste kann entweder als Whitelist (politisch korrekt "Allowlist") fungieren, welche Anfragen explizit erlaubt, oder als Blacklist (politisch korrekt "Denylist"), welche Anfragen blockiert oder verbietet. Da es praktisch unmöglich wäre, alle erwünschten Domains zu kennen und explizit zuzulassen, weil das Internet ständig wächst und sich Domains ändern, ist eine reine Whitelist nicht praktikabel; viele legitime Webseiten und Dienste wären dann nicht erreichbar, weil sie nicht auf der Allowlist stehen. Doch eine reine "Deny-Strategie" ist ebenso nicht praktikabel, um alle schädlichen Domains zu blockieren, da ständig neue Domains für Werbung, Tracking und Malware registriert werden. Eine Blacklist kann also nie vollständig sein, und neue Werbedomains werden oft schneller erstellt, als sie in Deny-Listen aufgenommen werden können. Daher ist die Filter-Strategie meist gemischt. Die im Netz angebotenen Listen sind jedoch zumeist Denylisten.
• DoH (DNS over HTTPS): ist ein Protokoll, das DNS-Anfragen verschlüsselt über das HTTPS-Protokoll überträgt, um die Privatsphäre und Sicherheit zu erhöhen.
• DoT (DNS over TLS): ist ein Protokoll, das DNS-Anfragen durch Verschlüsselung mit TLS schützt und so vor Abhören und Manipulation bewahrt.
• DNSSEC (Domain Name System Security Extensions): ist eine Sicherheitserweiterung für DNS, die die Authentizität und Integrität von DNS-Antworten durch digitale Signaturen gewährleistet.
• DNSCrypt: ist ein Protokoll, das DNS-Anfragen und -Antworten zwischen dem Benutzer und dem DNS-Resolver verschlüsselt und authentifiziert.
• QUIC ist ein von Google entwickeltes, verbindungsorientiertes und verschlüsseltes Transportprotokoll auf Basis von UDP, das schnellere und sicherere Datenübertragung ermöglicht, indem es die Vorteile von TCP, TLS und HTTP/2 kombiniert und standardmäßig TLS 1.3-Verschlüsselung verwendet.

Ablauf einer DNS-Anfrage

• Wenn eine Domain (z.B. www.infosophia.eu) im Browser eingegeben wird, sendet der Rechner die Anfrage zunächst an den lokal eingestellten DNS-Resolver (oft der Router oder ein lokaler DNS-Cache).
• Kann dieser Resolver die Adresse nicht aus seinem eigenen Cache beantworten, leitet er die Anfrage an den konfigurierten Upstream-DNS-Resolver weiter (meist den DNS-Resolver des Internetanbieters).
• Der Upstream-Resolver sucht die Antwort entweder im eigenen Cache oder fragt weitere Resolver in der DNS-Hierarchie (Root-, TLD- und autoritative Nameserver) ab, bis die IP-Adresse gefunden ist, und sendet diese Information dann zurück an den Rechner. So gelangt die Anfrage Schritt für Schritt vom Rechner über den lokalen Resolver zum Upstream-DNS-Resolver und von dort (ggf. über weitere Resolver) zur endgültigen Antwort.

Unterstützung von DNS durch die Betriebssysteme

• Viele Browser (z.B. Firefox, Chrome, Edge) unterstützen DoH unabhängig vom Betriebssystem.
• Für DNSCrypt und DoQ gibt es plattformübergreifende Tools wie dnscrypt-proxy, die auf allen Systemen eingesetzt werden können.
• Einige geschlossene Router unterstützen bereits DoH und DoT. Die Unterstützung für offene Router, wie OpenWRT entspricht der Linux-Unterstützung

Beliebte freie DNS-Upstream-Resolver

Ein alternativer DNS-Upstream-Resolver für das Heimnetz wird meist gewählt, um DNS-Sperren von Providern aus dem Weg zu gehen, um unerwünschte Inhalte zu blockieren und auch, um den DNS-Verkehr zu verschlüsseln, also vertraulich zu machen.

Dabei verschlüsseln nur die Protokolle QUIC, DoH (DNS over HTTPS), DoT (DNS over TLS) und DNSCrypt die Verbindung zwischen einem Gerät und dem DNS-Resolver vollständig Ende-zu-Ende, sodass Dritte die DNS-Anfragen und -Antworten auf dem Transportweg nicht mitlesen oder manipulieren können.

DNSSEC hingegen sichert die Verbindung nicht, sondern stellt durch digitale Signaturen sicher, dass die erhaltenen DNS-Daten authentisch und unverändert sind; die Übertragung bleibt dabei jedoch unverschlüsselt von Dritten lesbar.

Das klassische DNS ist generell vollkommen unverschlüsselt und gegen Manipulationen ungesichert und daher ein potentieller Angriffspunkt.

• Nicht alle Anbieter unterstützen DNS over QUIC (DoQ); die Tabelle enthält bekannte und dokumentierte Endpunkte, sofern verfügbar.
• Bindestrich (–) bedeutet, dass kein offizieller DoQ-Endpunkt bekannt ist.
• Die Syntax für DoQ kann je nach Client variieren (quic:// oder direkt Host:Port).
• Weitere beliebte Upstream-Resolver sind auf https://dnscrypt.info/public-servers/ zu finden.

Beliebte DNS-Proxy-Software

Während bei einem DNS-Upstream-Resolver ohne Benutzerkonto keine Kontrolle über die zu blockierenden Inhalte besteht, kann mit einem DNS-Proxy im eigenen Netz, der als "Zwischenhändler" arbeitet, sehr wohl der zu blockierende Inhalt kontrolliert werden.

Klassische DNS-Proxies

Die klassischen DNS-Proxies haben meist keine Benutzeroberfläche. Sie eignen sich sowohl für ein ganzes Netz, als auch für einen einzelnen Rechner.

DNS-Proxies als Adblocker

Die folgenden Software-Lösungen bringen ein DNS-Proxy mit und setzen zusätzliche Funktionen darauf, um ein ganzes Heimnetzwerk komfortabel zu schützen. Dabei hat sich für diese Art von Software der Begriff "Adblocker" etabliert. Die zugehörigen Apps in den Appstores dienen dabei lediglich ihrer Fernbedienung und sind keine eigenständigen DNS-Proxies. Dies ist bei Adguard und Adguard Home wegen des ähnlichen Namens etwas verwirrend.

Mobile Adblocker

Die Funktion mobiler Adblocker ist auf das Mobilgerät beschränkt. Sie sind jedoch wichtig, weil Mobilgeräte sonst ungeschützt sind, sobald sie über Mobilfunk arbeiten.

DNS-Filterlisten

DNS-Filterlisten, auch "Blocklisten" oder "Blacklists" genannt, sind Listen von Domains, die als unerwünscht oder schädlich gelten (z. B. Werbung, Tracker, Malware). Dazu prüft DNS-Proxy jede DNS-Anfrage gegen diese Listen und blockiert oder leitet Anfragen zu diesen Domains um, meist auf eine nicht erreichbare IP-Adresse. So werden beispielsweise Werbung und Tracking effektiv verhindert. Die bekanntesten einschlägigen verfügbaren DNS-Filterlisten sind:

• Einige Listen (z.B. yoyo.org, OISD, Malwaredomains) werden als Rohdateien angeboten und nicht immer über GitHub gepflegt.
• Viele Listen sind für Pi-hole, AdGuard Home, NextDNS und ähnliche DNS-Filterlösungen geeignet.
• Für eine noch größere Auswahl und aktuelle Listen empfiehlt sich ein Blick auf Seiten wie filterlists.com oder firebog.net, die viele der oben genannten Quellen bündeln und kategorisieren.

DNS-Records

DNS-Records (DNS-Einträge) sind grundlegende Bausteine des Domain Name Systems (DNS). Sie speichern spezifische Informationen zu einer Domain, beispielsweise welche IP-Adresse zu einem Domainnamen gehört oder welcher Mailserver für den E-Mail-Empfang zuständig ist. Jeder Record besteht aus Feldern wie Domain, TTL (Time to Live), Typ und Wert und wird in sogenannten DNS-Zonen verwaltet.

Ein DNS-Record ist folgendermaßen aufgebaut:

<name> <ttl> <class> <type> <rdlength> <radata>

• <name>: Dies ist der Name der Domain, z.B. infosophia.eu
• <ttl> (optional): Die "Time to live" bezeichnet die Zeit in Sekunden, für die ein Eintrag im Cache gespeichert werden darf.
• <class> (optional): Es gibt verschiedene Klassen für DNS-Records; in der Praxis beziehen die Einträge sich aber immer auf das Internet (als IN gekennzeichnet).
• <type>: Dies ist der Typ des DNS-Records (A, AAAA, o.ä.).
• <rdlength> (optional): Dieses Feld gibt den Umfang den anschließenden Datenfeldes an.
• <rdata>: Dies entspricht dem Wert des DNS-Records, der von einem Request als Antwort zurückgeliefert wird.

Ein anschauliches Beispiel zeigt der Befehl dig @9.9.9.9 example.org, welche vom DNS-Resolver quad9 (9.9.9.9) erfragt, welche IP-Adresse die Domain example.org hat. Die Rückgabe ist:

example.org.        124 IN  A   23.215.0.133

Quad9 antwortete also, dass die Domain example.org die IPv4-Adresse 23.215.0.133 hat und dieser Eintrag 124 Sekunden im Cache verbleibt.

DNS-Record Typen

Ein DNS-Record ist ein Eintrag, der Informationen zu einer Domain enthält. Diese Einträge werden auf den DNS-Resolvern gespeichert und sind für die Verbindung von Domains mit Webservern, Mailservern oder anderen Diensten zuständig. Die meisten Domain-Provider stellen heutzutage ihren Kunden die Möglichkeit zur Verfügung, die DNS-Records selbst zu schreiben. Die verschiedenen Typen sind von der Internet Assigned Numbers Authority (IANA) im Dokument Domain Name System (DNS) Parameters beschrieben. Die wichtigsten Typen sind:

Weiterführende Artikel

• Der DNS-Resolver
• DNS over TLS auf der Fritz!Box einrichten
• Absicherung des DNS-Verkehrs im Heimnetz mit DNS-Proxy auf einem Raspberry Pi
• Unter einem Dach: VPN-Dienst und DNS-Proxy