Was zeigt der DNS-Lookup?
Das DNS übersetzt Namen in Adressen und hält viele weitere Angaben bereit: wohin Mails gehen, welche Nameserver zuständig sind, welche CAs Zertifikate ausstellen dürfen. Der Lookup fragt die wichtigsten Typen auf einmal ab, so wie ein öffentlicher Resolver sie gerade sieht.
Die wichtigsten Eintragstypen
- A / AAAA: IPv4- und IPv6-Adresse eines Namens.
- CNAME: Alias auf einen anderen Namen. Ein Name mit CNAME darf keine weiteren Einträge haben, deshalb geht CNAME nicht auf der Domain selbst.
- MX: Mailserver der Domain, die kleinste Priorität wird zuerst versucht. Ein MX mit dem Ziel „.“ (Null-MX) bedeutet: Diese Domain empfängt keine Mails.
- NS und SOA: zuständige Nameserver und Verwaltungsdaten der Zone. Die Negativ-TTL im SOA bestimmt, wie lange „gibt es nicht“ zwischengespeichert wird.
- TXT: freier Text, heute vor allem SPF, DMARC, DKIM und Domain-Bestätigungen für Cloud-Dienste.
- CAA: welche Zertifizierungsstellen Zertifikate ausstellen dürfen.
- SRV, HTTPS: Dienste mit Port (z. B. SIP, XMPP, Autodiscover) und Verbindungshinweise für Browser.
Reverse-DNS und Gegenprobe
Zu einer IP-Adresse gehört ein PTR-Eintrag unter in-addr.arpa bzw. ip6.arpa. Ihn pflegt, wem der Adressbereich gehört, meist der Provider oder Hoster. Für Mailserver ist er Pflicht: Viele Empfänger lehnen Mails ab, wenn die IP keinen PTR hat oder der PTR-Name nicht wieder auf dieselbe IP zeigt. Das Werkzeug macht diese Gegenprobe (FCrDNS) automatisch.
Warum sehe ich andere Werte als mein Kollege?
Resolver speichern Antworten bis zum Ablauf der TTL. Nach einer Änderung sehen manche Resolver noch den alten Wert. Die Abfrage hier geht an Google Public DNS. Wie lange ein alter Wert höchstens noch auftaucht, steht in der Spalte TTL.
FAQ
Welche Resolver werden verwendet?
Google Public DNS (dns.google), bei einem Ausfall Cloudflare (1.1.1.1). Beide validieren DNSSEC. Die Abfrage läuft über den Server von hollop.net, die Resolver sehen also nicht deine IP-Adresse.
Kann ich auch interne Namen abfragen?
Nein. Öffentliche Resolver kennen nur öffentliche Zonen. Für interne Namen nutze nslookup oder Resolve-DnsName im eigenen Netz. Die Befehle stehen unter jedem Ergebnis.
Warum fehlt ein Eintrag, den ich gerade angelegt habe?
Entweder ist die Änderung noch nicht auf allen Nameservern angekommen oder der Resolver hat noch die alte Antwort im Cache. Ein „gibt es nicht“ wird so lange gespeichert, wie die Negativ-TTL im SOA angibt.
Was bedeutet „DNSSEC validiert“?
Die Zone ist signiert und der Resolver hat die Signaturkette bis zur Root geprüft. Die Antwort wurde also unterwegs nicht verfälscht. Ohne DNSSEC funktioniert DNS trotzdem, nur ohne diesen Schutz.
Warum zeigt „Alle wichtigen“ keine SRV-Einträge?
SRV-Einträge hängen unter eigenen Namen wie _sip._tcp.beispiel.de. Gib diesen Namen ein und wähl den Typ SRV.