DNS: Wie aus einem Namen eine Adresse wird

1. Vorbereitung

Diese Aktivität setzt TCP/IP-Verbindungen fort: Was eine IP-Adresse ist und was ping tut, solltest du kennen. Du brauchst nur ein Terminal.

Stelle zuerst sicher, dass du keinen Ordner geöffnet hast. Um sicherzugehen, drücke einfach den Shortcut für »Ordner schließen«: StrgK und dann F. Dein Workspace sollte jetzt ungefähr so aussehen:

Schließe die linke Seitenleiste mit StrgB, um mehr Platz zu haben, und öffne das Terminal mit StrgJ:

Mit dem Symbol rechts oben im Terminal kannst du es maximieren. Die linke Seitenleiste blendest du jederzeit mit StrgB ein und aus.

Im Handbuch nachschlagen

2. Einen Namen nachschlagen

In TCP/IP-Verbindungen hat ping hackschule.de einfach funktioniert. Dabei kennt das Netz nur Zahlen: Bevor das erste Paket losgeht, fragt dein Rechner einen DNS-Server (Domain Name System), welche Adresse zu dem Namen gehört. Diese Frage kannst du selbst stellen, mit dig:

dig hackschule.de

Die Ausgabe ist lang, aber nur drei Stellen sind wichtig:

• QUESTION SECTION: Die Frage. A heißt: Gesucht ist eine IPv4-Adresse.
• ANSWER SECTION: Die Antwort, hackschule.de., eine Zahl, IN A und die Adresse. Der Punkt am Ende des Namens gehört dazu, gleich mehr dazu. Die Zahl ist die TTL (time to live): So viele Sekunden darf man sich die Antwort noch merken. Bei hackschule.de sind es höchstens 300; hat kurz vorher schon jemand gefragt, weniger, warum, steht weiter unten.
• SERVER: Wen dig gefragt hat. In deinem Workspace ist das 127.0.0.11, ein kleiner DNS-Server, den Docker jedem Container mitgibt. Er kennt die Antwort selbst nicht, sondern fragt weiter.

Nur die Antwort, ohne alles drumherum, gibt dig +short aus. Schreib damit einen Befehl, der genau die Adresse von hackschule.de ausgibt:

3. Nicht nur Adressen

Ein Name kann mehrere Einträge haben, jeder mit einem Typ. Den Typ schreibst du vor den Namen:

dig +short AAAA google.com
dig +short MX gmail.com
dig +short NS hackschule.de

hackschule.de hat keinen AAAA-Eintrag; dig +short AAAA hackschule.de gibt nichts aus. Nicht jeder Name hat jeden Typ.

4. Wer kennt die Antwort?

Kein Server der Welt kennt alle Namen. Stattdessen ist jeder Name ein Pfad, von rechts nach links gelesen, und für jedes Stück ist jemand anderes zuständig:

• Ganz oben steht die Wurzel, geschrieben als der Punkt am Ende von hackschule.de.. Für sie sind die 13 Root-Server zuständig, a.root-servers.net bis m.root-servers.net.
• Darunter die Endungen (Top-Level-Domains) wie de, com oder pe. Für de ist die DENIC zuständig, eine Genossenschaft in Frankfurt.
• Darunter die Namen, die jemand bei der Endung angemeldet hat, wie hackschule.de. Wer einen Namen anmeldet, sagt, welche Nameserver für ihn zuständig sind; bei hackschule.de sind es zwei von Cloudflare.

Wer eine Adresse sucht, fängt oben an. Die Root-Server kennen hackschule.de nicht, aber sie wissen, wer für de zuständig ist. Frag selbst, mit @ vor dem Server, den dig fragen soll:

dig @a.root-servers.net hackschule.de

Der Root-Server antwortet nicht mit einer Adresse. Im AUTHORITY SECTION steht ein Verweis: Frag die Server für de. Im Bild steht nur dieser Teil der Antwort; +noall +authority blendet den Rest aus.

Geh den Weg selbst weiter: Frag einen der Server für de nach hackschule.de. Er verweist dich wieder weiter, und erst der Server, auf den er verweist, kennt die Adresse.

5. Den ganzen Weg auf einmal

dig +trace geht den Weg von oben selbst ab und zeigt jede Station:

dig +trace +nodnssec hackschule.de

Vier Blöcke, und unter jedem steht, von wem er kam (Received … from): die Liste der Root-Server, dann ein Root-Server mit den Servern für de, dann ein Server für de mit denen von Cloudflare, zuletzt einer von Cloudflare mit der Adresse. +nodnssec lässt die Signaturen weg, mit denen die Antworten unterschrieben sind; sie würden die Ausgabe verdoppeln.

6. Gemerkt ist schneller: die TTL

Den ganzen Weg muss niemand bei jeder Frage gehen. Der DNS-Server, den dein Workspace fragt, merkt sich jede Antwort, so lange, wie ihre TTL sagt. Bevor du es ausprobierst:

dig wikipedia.org
dig wikipedia.org

Achte auf Query time und auf die TTL im ANSWER SECTION. Beim zweiten Mal kam die Antwort aus dem Speicher, in null oder einer Millisekunde, und die TTL ist um die Sekunden kleiner, die seitdem vergangen sind. Läuft sie ab, fragt der Server wieder ganz von vorn.

Darum dauert es eine Weile, bis eine geänderte Adresse überall ankommt: Wer die alte noch gemerkt hat, benutzt sie, bis ihre TTL abgelaufen ist. Bei hackschule.de sind das höchstens fünf Minuten, die Server für de darf man sich zwei Tage merken (172800 Sekunden).

7. Rückwärts: von der Adresse zum Namen

Auch zu einer Adresse kann ein Name gehören, ein Eintrag vom Typ PTR. dig -x fragt danach:

dig +short -x 8.8.8.8

So kam in TCP/IP-Verbindungen traceroute zu den Namen der Router: Zu jeder Adresse hat es rückwärts nachgefragt.

8. Wem kann man glauben?

Eine DNS-Antwort ist ein unverschlüsseltes UDP-Paket, und dein Rechner glaubt der ersten, die passt. Wer im selben WLAN sitzt oder einen DNS-Server betreibt, könnte dir eine falsche unterschieben, und zwar gezielt: mit der Adresse eines eigenen Servers, auf dem eine Kopie der echten Seite läuft.

Dagegen gibt es zweierlei. DNSSEC unterschreibt die Antworten, und wer nachprüft, merkt eine Fälschung; das sind die Einträge, die +nodnssec eben weggelassen hat. Und bei https:// zeigt der Server ein Zertifikat für seinen Namen vor: Ein falscher Server, zu dem eine gefälschte Antwort führt, hat keins für hackschule.de, und der Browser warnt. Wie solche Zertifikate und Signaturen funktionieren, zeigt Kryptographie im Terminal.

9. Zusammenfassung

10. Wie geht es weiter?

• dig +short TXT hackschule.de und dig +short TXT gmail.com: Was steht dort? Such nach »SPF«: Damit sagt eine Domain, welche Server E-Mails in ihrem Namen verschicken dürfen.
• dig +short google.com mehrmals hintereinander: Kommt immer dieselbe Adresse? Große Dienste verteilen ihre Besucher über DNS auf viele Server.
• cat /etc/resolv.conf zeigt, welchen DNS-Server dein Workspace fragt.