DNS-Resolver: Die unsichtbaren Vermittler im Domain Name System

DNS-Resolver sind unverzichtbare Bausteine des Domain Name Systems (DNS). Sie agieren als Vermittler zwischen Endnutzern und den DNS-Nameservern, die die erforderlichen Informationen zum Aufruf von Webdiensten bereithalten. Für den Anwender bilden sie die zentrale Schnittstelle, über die Domainnamen in IP-Adressen übersetzt werden – ein essenzieller Schritt, um das Internet nutzbar zu machen.

Was macht ein DNS-Resolver?

Ein DNS-Resolver ist ein Dienst, der auf Anfrage die IP-Adresse einer Domain ermittelt. Dieser Prozess wird als "Auflösen" bezeichnet, wovon sich auch der Begriff „Resolver“ ableitet. Die grundlegende Funktionsweise und Definition dieses Konzepts ist in der Richtlinie RFC 1034 spezifiziert:

Resolvers are programs that extract information from name servers in response to client requests. Resolvers must be able to access at least one name server and use that name server’s information to answer a query directly, or pursue the query using referrals to other name servers. 

Quelle: "https://www.rfc-editor.org/rfc/"

DNS-Resolver arbeiten Hand in Hand mit Nameservern, die die eigentlichen Informationen zu den Domains speichern. Nameserver werden oft als DNS-Server bezeichnet, weshalb der Begriff „DNS-Client“ gelegentlich synonym für DNS-Resolver verwendet wird. Allerdings kann ein Resolver selbst ein Server sein, was zu Verwirrung führen kann.

Bei DNS-Resolvern handelt es sich nicht um eine einheitliche Technologie oder ein einzelnes System. Vielmehr gibt es zahlreiche Varianten, die alle dasselbe Ziel verfolgen: die Zuordnung eines Domainnamens zu einer IP-Adresse. Dabei spielt es aus Sicht des Nutzers keine Rolle, auf welchem Weg diese Zuordnung erfolgt – entscheidend ist nur, dass sie reibungslos funktioniert.

Die einfachste Form eines DNS-Resolvers ist der sogenannte „Stub-Resolver“. Dabei handelt es sich oft um eine kleine Software-Komponente oder einen Dienst, der auf dem lokalen Gerät läuft. Stub-Resolver leiten Anfragen an umfassendere DNS-Resolver weiter, die die eigentliche Arbeit der Namensauflösung übernehmen. Diese weiterführenden Resolver können sich auf entfernten Servern befinden und greifen auf eine Vielzahl von Datenquellen zurück, um die Anfrage zu beantworten.

Warum sind DNS-Resolver unverzichtbar?

Das Domain Name System (DNS) ist die zentrale Instanz, die menschlich lesbare Domainnamen wie "beispiel.de" mit maschinenlesbaren IP-Adressen wie "23.21.157.89" verknüpft. Diese sogenannte Namensauflösung ist eine der Kernaufgaben des DNS und ermöglicht es uns, das Internet auf intuitive Weise zu nutzen. DNS-Resolver spielen dabei eine entscheidende Rolle, indem sie als Brücke zwischen den benutzerfreundlichen Domänennamen und den technischen Adressen fungieren.

Damit eine Website aufgerufen, eine E-Mail abgerufen oder eine App genutzt werden kann, ist es notwendig, die IP-Adresse des entsprechenden Servers zu kennen. Diese Zuordnung übernimmt der DNS-Resolver im Hintergrund. Hier ein typisches Beispiel:

Die meisten Nutzer bemerken diesen Vorgang nicht, da er in Bruchteilen von Sekunden erfolgt. Dennoch ist er unerlässlich, denn ohne eine erfolgreiche Namensauflösung könnte keine Verbindung zu den Servern hergestellt werden, die die gewünschten Dienste bereitstellen. Hier einige Beispiele, die den Zusammenhang verdeutlichen:

Allen Szenarien ist gemeinsam, dass die Kommunikation zwischen dem Endgerät und einem entfernten Server stattfindet. Um eine solche Verbindung herzustellen, ist die IP-Adresse des Servers erforderlich – auch wenn der Nutzer nur den Domainnamen kennt. Hier kommt der DNS-Resolver ins Spiel, der diese "Übersetzung" übernimmt und so den Datentransfer ermöglicht. Ob beim Surfen, Mailen oder App-Login – DNS-Resolver sind die stillen Vermittler, die den Weg für eine nahtlose Kommunikation ebnen.

Was passiert, wenn kein DNS-Resolver verfügbar ist?

In der Theorie könnte man das Internet auch ohne DNS-Resolver nutzen, indem man IP-Adressen direkt eingibt. In der Praxis ist das jedoch kaum umsetzbar und bringt erhebliche Einschränkungen mit sich. Die Abwesenheit eines DNS-Resolvers führt dazu, dass viele grundlegende Funktionen des Internets nicht mehr wie gewohnt funktionieren.

• Kein HTTPS-Zugriff über IP-Adressen

  ---

  Das sichere HTTPS-Protokoll basiert auf Domainnamen, da Zertifikate für die Verschlüsselung an diese Namen gebunden sind. Versucht man, eine Website direkt über ihre IP-Adresse aufzurufen, kann keine verschlüsselte Verbindung hergestellt werden. Dies macht die Nutzung unsicher und widerspricht modernen Standards für Datenschutz und Sicherheit.
• Fehlende Unterstützung für Shared Hosting

  ---

  DNS-Resolver ermöglichen es, mehrere Websites auf einem einzigen Server zu hosten. Dies wird durch die Zuordnung von Domainnamen zu spezifischen Ressourcen auf dem Server möglich. Ohne Namensauflösung könnten Server nicht unterscheiden, welche der gehosteten Websites ein Nutzer aufrufen möchte.
• Geografische Verteilung von Serverressourcen

  ---

  Viele große Dienste – wie Google – setzen auf die geografische Verteilung von Servern, um eine schnelle und stabile Verbindung für Nutzer weltweit zu gewährleisten. Dabei wird ein einziger Domainname mit mehreren IP-Adressen verknüpft, je nachdem, woher die Anfrage stammt. Ohne DNS-Resolver würde der gesamte Traffic an einer einzigen IP-Adresse zusammenlaufen, was schnell zu Überlastungen führen würde.

Wie funktioniert ein DNS-Resolver?

Das Domain Name System (DNS) ist ein global verteiltes Netzwerk aus miteinander zusammenarbeitenden Komponenten, deren Aufgabe es ist, die Domainnamen mit den dazugehörigen IP-Adressen zu verknüpfen. Insgesamt gibt es 4 Komponenten, wovon drei Nameserver sind und die DNS-Records enthalten. Die vierte Komponente sind die DNS-Resolver, die eine eine zentrale Rolle in diesem System übernehmen. Sie sind dafür zuständig, Anfragen von Nutzern entgegenzunehmen und führen den gesamten Prozess der Namensauflösung durch.

Die 4 Hauptkomponenten des DNS-Systems

Der Ablauf einer DNS-Anfrage

Ein DNS-Resolver folgt einem systematischen Ansatz, um die benötigte IP-Adresse zu ermitteln. Der Prozess der Namensauflösung basiert auf einem in RFC 1034 definierten Algorithmus und umfasst die folgenden Schritte:

• 1. Prüfung des lokalen Caches

  ---

  Wenn die Antwort bereits in einem vorherigen Vorgang ermittelt wurde, wird sie aus dem Cache geladen und direkt an den anfragenden Client zurückgegeben.
• 2. Ermittlung geeigneter Nameserver

  ---

  Ist die Antwort nicht im Cache verfügbar, sucht der Resolver nach den besten Nameservern, um die Anfrage zu bearbeiten.
• 3. Anfragen bei Nameservern stellen

  ---

  Der Resolver kontaktiert die ermittelten Nameserver, beginnend mit dem Root-Nameserver, um schrittweise zur gewünschten Information zu gelangen.
• 4. Auswertung und Weiterverarbeitung der Antwort

  ---

  1. a) Erfolgreiche Antwort: Wenn ein Nameserver die benötigte IP-Adresse liefert, speichert der Resolver diese im Cache und gibt sie an den anfragenden Client zurück.
  2. b) Weiterleitung bei Verweisen: Falls der Nameserver nur eine Referenz zu einem anderen Server enthält, wird diese ebenfalls zwischengespeichert, und der Resolver setzt den Vorgang fort.
  3. c) CNAME-Verweise: Bei einem CNAME-Record (Alias) speichert der Resolver den Eintrag und sucht nach dem kanonischen Namen.
  4. d) Fehlermeldungen: Liefert ein Server Fehler oder unvollständige Daten, wird er von der Liste der potenziellen Server entfernt und der Resolver versucht es bei einem anderen Server.

Was kann man tun, wenn es Probleme mit dem DNS-Resolver gibt?

DNS-Resolver sind unverzichtbar für die Nutzung des Internets, aber sie können auch eine häufige Fehlerquelle sein. Die Komplexität des Domain Name Systems (DNS), das als global verteiltes und hierarchisches Netzwerk arbeitet, bringt einige typische Schwachstellen mit sich. Probleme entstehen oft durch Verzögerungen, Caching oder Sicherheitsrisiken.

Warum kann es zu Problemen kommen?

Die Architektur des DNS-Systems macht es anfällig für Fehler. Es ist ein hierarchisches Netzwerk und Änderungen an DNS-Einträgen müssen über verschiedene Server hinweg propagiert werden. Dieser Prozess nennt sich DNS-Propagation und kann bis zu 48 Stunden dauern, was zu Inkonsistenzen führen kann, wenn veraltete Einträge weiterhin in Caches vorhanden sind.

Obwohl Caching die Effizienz von DNS-Anfragen erheblich verbessert, birgt es auch Risiken. Fehlerhafte oder veraltete Einträge im Cache können dazu führen, dass Nutzer falsche Antworten erhalten oder überhaupt keine Verbindung herstellen können.

Die Kommunikation im DNS erfolgt über das User Datagram Protocol (UDP), das zwar ressourcensparend ist, aber weniger Sicherheit bietet als andere Protokolle wie TCP/IP. Diese Einfachheit und die zentrale Rolle im Internetverkehr machen insbesondere öffentliche DNS-Resolver zu beliebten Zielen für Cyberkriminelle. Angreifer nutzen dabei die Eigenschaften des UDP-Protokolls aus, um DNS-Resolver in groß angelegte Denial-of-Service-Angriffe (DDoS) einzubinden. Dabei dienen DNS-Resolver als Verstärker, indem sie große Datenmengen an ein Ziel weiterleiten. Ein anderer beliebter Angriffsvektor ist das Cache-Poisoning. Hierbei werden gefälschte DNS-Daten in den Cache des Resolvers eingeschleust und Nutzer so auf manipulierte oder betrügerische Seiten umgeleitet.

Mögliche Lösungen bei Problemen

• Lokalen DNS-Cache leeren

  ---

  Veraltete Einträge im lokalen Cache sind eine häufige Ursache für Probleme. Das Löschen des Caches kann oft schnelle Abhilfe schaffen:
  • Windows:
    ipconfig /flushdns
  • macOS: 
    sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
  • Linux: Je nach System, z. B. sudo systemd-resolve --flush-caches
• Alternative DNS-Resolver nutzen

  ---

  Wenn der Standard-Resolver nicht funktioniert, können öffentliche Dienste wie Google Public DNS (8.8.8.8), Cloudflare (1.1.1.1) oder OpenDNS (208.67.222.222) als Ersatz dienen.

Auf technischer Ebene gibt es z.B. folgende Strategien, um sich vor Angriffen zu schützen:

• Source Port Randomization
  

  ---

  Durch die zufällige Wahl von Ports bei DNS-Anfragen wird es für Angreifer schwieriger, gefälschte Antworten zu platzieren.
• DNSSEC (Domain Name System Security Extensions)

  ---

  DNSSEC erweitert das DNS-Protokoll um kryptografische Signaturen, die sicherstellen, dass die Antworten von autorisierten Quellen stammen und nicht manipuliert wurden.

Wie kann man überprüfen, ob die Namensauflösung korrekt funktioniert?

Wenn auf einem lokalen System ungewöhnliche Verbindungsprobleme auftreten, könnte die Ursache in der DNS-Namensauflösung liegen. Eine schnelle Überprüfung hilft, das Problem einzugrenzen und zu klären, ob die DNS-Resolver ordnungsgemäß arbeiten. Hierzu ist auf nahezu allen Systemen ein nslookup-Tool auf Kommandozeilen-Basis installiert, welches für die Überprüfung verwendet werden kann. Dabei wird der angefragte Hostname in die dazugehörige IP-Adresse übersetzt. Der Befehl zeigt zudem den aktuell genutzten DNS-Resolver an. 

Um die Namensauflösung zu kontrollieren, rufen Sie das Kommandozeilenprogramm Ihres Betriebssystems auf (unter Windows die Eingabeaufforderung) und geben Sie die folgende Zeile ein:

nslookup beispiel.de

Gibt das Tool eine gültige IP-Adresse zurück, funktioniert die Namensauflösung. nslookup kann auch für einen sogenannten Reverse-DNS-Lookup verwendet werden: Dabei wird eine IP-Adresse eingegeben, und der Resolver versucht, den dazugehörigen Hostnamen zu ermitteln:

nslookup 9.9.9.9

Eine weitere Möglichkeit, die Namensauflösung zu prüfen, ist der ping-Befehl. Beim Start eines Pings gegen einen Hostnamen wird automatisch eine DNS-Abfrage durchgeführt. Wird der Hostname in eine IP-Adresse übersetzt und die Anfrage erreicht den Zielserver, ist die Namensauflösung funktionsfähig.

ping beispiel.de

Sollten nslookup oder ping keine gültige IP-Adresse liefern, könnte die Namensauflösung gestört sein. In diesem Fall empfiehlt es sich entweder den DNS-Resolver zu wechseln oder übergangsweise in der Hosts-Datei einen Eintrag vorzunehmen.

Auch wenn eine IP-Adresse zurückgegeben wird, kann es sich um fehlerhafte oder veraltete Daten handeln. Um die Richtigkeit der Auflösung zu prüfen, bietet sich ein Abgleich mit globalen DNS-Einträgen an. Tools wie der DNS Propagation Checker oder digwebinterface.com zeigen, welche IP-Adressen weltweit für einen Hostnamen hinterlegt sind. Diese zusätzliche Kontrolle hilft, Inkonsistenzen oder veraltete Caches zu erkennen, die zu Problemen führen könnten.

Wie kann man einen DNS-Resolver ändern?

Der Begriff DNS-Resolver bezeichnet oft die Serveradresse, die ein System zur Namensauflösung nutzt. Wenn wir den DNS-Resolver ändern, passen wir also die Adresse des Servers an, der diese Aufgabe für uns übernimmt. Standardmäßig verwenden die meisten Geräte – ob Computer, Smartphone oder Router – den DNS-Resolver des Internetanbieters. Doch diese voreingestellte Lösung kann auch einige Nachteile mit sich bringen. 

Welche Gründe gibt es den DNS-Resolver zu ändern?

Viele Internetanbieter protokollieren DNS-Anfragen, was ein Risiko für die Privatsphäre darstellt (DNS-Leak). Zudem können manipulierte DNS-Einträge verwendet werden, um den Zugriff auf bestimmte Inhalte zu blockieren oder unerwünschte Werbung zu schalten (DNS-Spoofing). Des Weiteren kann durch die Änderung die Leistung und die Zuverlässigkeit erhöht werden. Öffentliche DNS-Resolver wie Cloudflare (1.1.1.1) oder Quad9 (9.9.9.9) bieten oft schnellere Antwortzeiten und höhere Stabilität. Zu guter Letzt bieten einige DNS-Resolver, wie z.B. der DNS-Filter von Eunetic, Features wie Malware-Schutz oder Filter gegen jugendgefährdende Inhalte. 

So ändern Sie den DNS-Resolver auf Ihrem Gerät:

• Windows

  ---

  • Öffnen Sie die Systemsteuerung und navigiere zu den Netzwerk- und Freigabeeinstellungen.
  • Klicken Sie auf die aktive Netzwerkverbindung und wählen Sie Eigenschaften.
  • Markieren Sie „Internetprotokoll Version 4 (TCP/IPv4)“ und klicken Sie auf Eigenschaften.
  • Tragen Sie die gewünschten DNS-Serveradressen ein, z. B. Cloudflare (1.1.1.1 und 1.0.0.1).
• macOS

  ---

  • Gehen Sie zu Systemeinstellungen > Netzwerk.
  • Wählen Sie die aktive Verbindung aus und klicke auf Weitere Optionen.
  • Navigieren Sie zum Tab DNS und fügen Sie die neuen Serveradressen hinzu.
• Linux

  ---

  • Öffnen Sie die Netzwerkeinstellungen, wählen Sie die aktive Verbindung und bearbeiten Sie die DNS-Server unter den IP-Einstellungen. Alternativ kann die Datei /etc/resolv.conf manuell bearbeitet werden.
• Router

  ---

  • Melden Sie sich bei der Benutzeroberfläche Ihres Routers an (oft über 192.168.1.1 oder 192.168.0.1 erreichbar).
  • Suchen Sie nach den DNS-Einstellungen und tragen Sie die gewünschten Adressen ein.
  • Der Router verteilt die neuen DNS-Einstellungen automatisch an alle verbundenen Geräte.
• Smartphone

  ---

  • Android: Unter Einstellungen > Netzwerk & Internet > Erweitert > Privater DNS können Sie DNS-Resolver wie dns.google eintragen.
  • iOS: Die DNS-Server für eine WLAN-Verbindung können Sie in den Netzwerkeinstellungen unter DNS konfigurieren ändern.

Welche DNS-Resolver kann man kostenlos verwenden?

Es gibt viele freie und vertrauenswürdige DNS-Resolver, die individuell angepasst werden können und eine Reihe von Vorteilen bieten:

Wie kann der DNS-Resolver umgangen werden?

DNS-Resolver sind für die Namensauflösung im Internet unverzichtbar, doch in manchen Fällen kann es sinnvoll sein, den Resolver zu umgehen. Dies geschieht mithilfe der sogenannten Hosts-Datei, die es ermöglicht, Hostnamen direkt mit IP-Adressen zu verknüpfen. Die Hosts-Datei ist ein Überbleibsel aus der frühen Phase des Internets, als DNS noch nicht existierte. Sie fungierte damals als zentrale Liste zur Zuordnung von Hostnamen zu IP-Adressen. Heute hat sie ihre ursprüngliche Rolle weitgehend verloren, ist aber nach wie vor auf jedem System vorhanden und nützlich für spezielle Anwendungen.

Die Datei enthält Zeilen, in denen eine IP-Adresse links und der zugehörige Hostname rechts eingetragen wird. Ein Standardbeispiel ist der Eintrag für die lokale Loopback-Adresse:

# IPv4
127.0.0.1       localhost
# IPv6
::1             localhost

Der Stub-Resolver des lokalen Systems überprüft zuerst die Hosts-Datei, bevor Anfragen an externe DNS-Resolver weitergeleitet werden. Findet er dort einen passenden Eintrag, wird die zugehörige IP-Adresse direkt genutzt. Erst wenn kein passender Eintrag gefunden wurde, erfolgt die normale Namensauflösung über den konfigurierten externen DNS-Resolver. 

Wann ist eine Umgehung des DNS-Resolvers sinnvoll?

Das Vorgehen des Stubresolvers ermöglicht ein Arbeiten ohne DNS-Resolver. Allerdings ist es dann notwendig, dass jeder Hostname, der aufgelöst werden soll, zunächst in die Hosts-Datei eingetragen werden muss. Für den täglichen Gebrauch ist das eher unpraktisch, aber bei bestimmten Problemstellungen macht die Umgehung des DNS-Resollvers durchaus Sinn.

1. Feste Zuordnung von Hostnamen zu einer IP-Adresse
   

   ---

   Wenn ein Hostname immer mit einer bestimmten IP-Adresse verknüpft werden soll, kann dies direkt in der Hosts-Datei definiert werden. Das ist praktisch, um Anwendungen zu blockieren oder alternative Server zu testen.

   127.0.0.1   spy.beispiel.de

   Dadurch laufen alle Anfragen an spy.beispiel.de ins Leere und erreichen nicht den Zielserver.
2. Umgehung von DNS-Websperren

   ---

   In manchen Ländern setzen Internetanbieter DNS-Sperren ein, um den Zugriff auf bestimmte Websites zu blockieren. Diese Sperren lassen sich umgehen, indem die tatsächliche IP-Adresse der gewünschten Website in die Hosts-Datei eingetragen wird:

   93.184.216.34   blocked.beispiel.de

   So erfolgt die Namensauflösung lokal und der Zugriff ist wieder möglich.
3. Lokale Webentwicklung und Server-Migration

   ---

   Die Hosts-Datei ist ein unverzichtbares Werkzeug für Entwickler, die Websites testen oder migrieren möchten. Vor dem Wechsel einer Website auf einen neuen Server kann die IP-Adresse des neuen Servers mit der bestehenden Domain verknüpft werden. Dadurch lassen sich Tests durchführen, ohne den bestehenden Betrieb zu stören:

   198.51.100.0   www.beispiel.de

   Für Entwickler bietet die Hosts-Datei eine Möglichkeit die lokale Version einer Webseite zu testen, indem sie die Domain in der Hosts-Datei auf die Loopback-Adresse verweisen:

   127.0.0.1   dev.beispiel.de

Wie kann man die Hosts-Datei bearbeiten?

• Schritt 1a: Windows

  ---

  • Öffnen Sie den Editor mit Administratorrechten.
  • Bearbeiten Sie nun die Datei unter C:\Windows\System32\drivers\etc\hosts.
• Schritt 1b: macOS und Linux

  ---

  • Öffnen Sie ein Terminal und bearbeiten Sie die Datei /etc/hosts mit einem Texteditor (z. B. sudo nano /etc/hosts).
• Schritt 2: Sichern und Neustart

  ---

  • Nach Änderungen an der Hosts-Datei sollte der DNS-Cache geleert werden, um sicherzustellen, dass die neuen Einträge sofort genutzt werden:
    • Windows: ipconfig /flushdns
    • macOS/Linux: sudo dscacheutil -flushcache oder sudo systemctl restart nscd

Fazit

DNS-Resolver sind unverzichtbare Komponenten des Domain Name Systems (DNS), die die Zuordnung von Domainnamen zu IP-Adressen ermöglichen. Sie fungieren als Brücke zwischen benutzerfreundlichen Hostnamen und den technischen Anforderungen des Internets. Ohne DNS-Resolver wäre die Nutzung des Internets erheblich eingeschränkt, da Nutzer IP-Adressen direkt eingeben müssten, was unpraktisch und ineffizient ist.

Ihre Funktionsweise, von der Prüfung lokaler Caches bis hin zur Kommunikation mit Nameservern, gewährleistet eine schnelle und zuverlässige Namensauflösung. Trotz ihrer zentralen Rolle sind DNS-Resolver nicht frei von Herausforderungen: Verzögerungen, Cache-Inkonsistenzen und Sicherheitsrisiken wie DNS-Spoofing oder DDoS-Angriffe sind mögliche Schwachstellen. Lösungen wie DNSSEC, alternative Resolver und das Leeren von Caches können jedoch Abhilfe schaffen.

Die Flexibilität, DNS-Resolver zu wechseln oder zu umgehen, bietet zusätzliche Möglichkeiten, die Privatsphäre zu wahren, die Leistung zu verbessern oder spezifische Anforderungen – etwa bei der lokalen Webentwicklung – zu erfüllen. Insgesamt sind DNS-Resolver entscheidend für eine nahtlose und sichere Internetnutzung, indem sie den komplexen Vorgang der Namensauflösung für den Endnutzer nahezu unsichtbar machen.