Modul 8 · 8.4
Häufig gemachte Fehler
Modul 8: Sicherheit und Problembehebung · Lesezeit: 10 Minuten
Lernziel: Nach dieser Lektion erkennen Sie die zehn häufigsten DNS-Fehler an ihrem Symptom und wissen, wie Sie sie beheben.
Kernbegriffe: Punkt am Ende, doppelter Domainname, Änderung an der falschen Stelle, zwei SPF-Einträge, CNAME auf der nackten Domain, vergessener AAAA, MX ohne Adresse, Proxy für E-Mail, alte DS nach Umzug, Cache
So nutzen Sie diese Lektion
Die unten stehenden Fehler stammen nicht aus einem Lehrbuch, sondern aus Fragen, die Hostinganbieter jede Woche erhalten. Zu jedem Fehler sehen Sie: was der Nutzer bemerkt, wie Sie es mit einer einzigen Abfrage nachweisen, und was die Lösung ist. Bei einem Problem beginnen Sie immer mit denselben zwei Fragen: welche Nameserver hat die Domain (dig +short NS example.com) und was liefert der autoritative Nameserver zurück (dig @<nameserver> <naam> <type>). Damit lösen Sie bereits die Hälfte der Fälle.
1. Der Punkt am Ende wird vergessen
Symptom: ein CNAME, MX oder NS funktioniert nicht; ein Dienst meldet "Eintrag nicht gefunden".
Nachweis: dig +short CNAME shop.example.com liefert shops.platform.example.example.com.
Ursache: In einer Zone ist ein Name ohne Punkt am Ende relativ: Das Panel hängt Ihre eigene Domain dahinter (Lektion 2.2).
Lösung: Schreiben Sie den Zielnamen als vollständigen Namen mit Punkt (shops.platform.example.). Manche Panels setzen den Punkt selbst; prüfen Sie nach dem Speichern, was wirklich eingetragen ist.
2. Der Domainname doppelt im Namen
Symptom: eine Verifizierung oder DKIM-Prüfung bei einem Dienst schlägt fehl, obwohl der Eintrag "vorhanden ist".
Nachweis: dig +short TXT k2._domainkey.example.com liefert nichts, aber dig +short TXT k2._domainkey.example.com.example.com schon.
Ursache: Der Dienst gibt den vollständigen Namen an (k2._domainkey.example.com) und Ihr Panel hängt die Domain noch einmal dahinter.
Lösung: Tragen Sie im Namensfeld nur den Teil vor Ihrer Domain ein: k2._domainkey. Das Panel zeigt meist unter dem Feld den vollständigen Namen an: kontrollieren Sie diesen.
3. Änderung an der falschen Stelle
Symptom: Sie passen einen Eintrag an, aber es ändert sich nichts, auch nicht nach einem Tag.
Nachweis: dig +short NS example.com liefert Nameserver eines anderen Anbieters als dort, wo Sie geändert haben (zum Beispiel von einem Websitebaukasten oder Cloudflare).
Ursache: Nur der Anbieter der Nameserver bestimmt das DNS (Lektion 2.1). Einträge an anderer Stelle bewirken nichts.
Lösung: Ändern Sie den Eintrag beim Anbieter der Nameserver, oder setzen Sie die Nameserver zurück. Ein echtes Beispiel: Jemand hatte die Nameserver für die Website auf eine Website-Baukasten-Plattform gesetzt, aber der A-Eintrag für mail stand dort nicht. Folge: Versenden funktionierte, Empfangen nicht, denn der MX zeigte auf mail.example.com, und dieser Name existierte dort nicht mehr.
4. Zwei SPF-Einträge
Symptom: E-Mails landen häufiger im Spam oder werden abgelehnt, seit Sie einen neuen Dienst angebunden haben.
Nachweis: dig +short TXT example.com liefert zwei Zeilen, die mit v=spf1 beginnen.
Ursache: Der neue Dienst sagte "fügen Sie diesen SPF-Eintrag hinzu", und das wurde wörtlich umgesetzt. Mit zwei SPF-Einträgen ist SPF ungültig (permerror, RFC 7208), was schlimmer ist als gar kein SPF.
Lösung: Fügen Sie sie zu einem einzigen Eintrag zusammen: v=spf1 a mx include:_spf.hosting.example include:spf.service.example ~all. Achten Sie auf die Grenze von zehn Abfragen (Lektion 4.3).
5. Ein CNAME auf der nackten Domain
Symptom: Das Panel verweigert den Eintrag, oder nach dem Speichern funktioniert Ihre E-Mail nicht mehr.
Nachweis: Der Dienst verlangt "erstellen Sie einen CNAME für @".
Ursache: Ein CNAME darf nicht neben anderen Einträgen stehen, und auf der nackten Domain stehen immer SOA- und NS-Einträge (und oft MX und TXT). Siehe Lektion 3.2.
Lösung: Verwenden Sie bei @ den A-Eintrag (und gegebenenfalls AAAA), den der Dienst angibt, und den CNAME nur für www oder eine Subdomain. Manche DNS-Anbieter haben für diesen Fall ein ALIAS oder "CNAME Flattening".
6. Der AAAA wird bei einem Umzug vergessen
Symptom: Nach einem Umzug sieht ein Teil der Besucher (häufig mobil) noch die alte Website, oder es erscheint ein Zertifikatsfehler.
Nachweis: dig +short A example.com liefert die neue Adresse, dig +short AAAA example.com noch eine Adresse des alten Servers.
Ursache: Geräte mit IPv6 verwenden bevorzugt den AAAA-Eintrag. Es wurde nur der A-Eintrag angepasst.
Lösung: Passen Sie den AAAA-Eintrag mit an, oder entfernen Sie ihn, wenn der neue Server kein IPv6 hat. Ein echtes Beispiel: Beim Anbinden einer Webshop-Plattform musste neben dem neuen A-Eintrag auch der alte AAAA-Eintrag entfernt werden, sonst blieb der Shop für einen Teil der Besucher unerreichbar.
7. Ein MX, der auf nichts zeigt
Symptom: Sie empfangen keine E-Mails; Absender erhalten eine Fehlermeldung zurück.
Nachweis: dig +short MX example.com liefert 10 mail.example.com., aber dig +short A mail.example.com liefert nichts (NXDOMAIN).
Ursache: Ein MX zeigt auf einen Namen, und dieser Name muss einen A- oder AAAA-Eintrag haben. Häufig ist der A-Eintrag für mail bei einem Nameserver-Umzug verloren gegangen. Ein MX darf außerdem nicht auf eine IP-Adresse oder auf einen CNAME zeigen (RFC 2181).
Lösung: Legen Sie einen A-Eintrag für den Mailservernamen an, oder lassen Sie den MX auf einen Namen zeigen, der eine Adresse hat.
8. E-Mail woanders, aber der alte Server denkt, er müsse die E-Mails zustellen
Symptom: E-Mails von außen kommen gut bei Ihrem neuen Provider an, aber E-Mails von Ihrer eigenen Website (Kontaktformular, Webshop) kommen nie an. Manchmal erhalten Sie 550 Unknown user.
Nachweis: Der MX zeigt auf den neuen Provider, aber auf dem Webserver ist die lokale Mailzustellung noch aktiviert.
Ursache: Das ist kein DNS-Fehler, sieht aber so aus. Ein Webserver, der denkt, er habe selbst die Postfächer, schaut nicht auf den MX.
Lösung: Deaktivieren Sie im Panel Ihres Hostings die lokale Zustellung (in DirectAdmin: das Häkchen "Diesen Server zur Verarbeitung meiner E-Mails verwenden"). Andere Panels haben eine vergleichbare Einstellung, oft "Remote mail exchanger" oder "E-Mail extern".
9. Proxy aktiviert für E-Mail
Symptom: Bei einem DNS-Anbieter mit Proxyfunktion (wie der orangefarbenen Wolke bei Cloudflare) funktioniert die Website, aber Ihr E-Mail-Programm kann keine Verbindung herstellen, oder das Zertifikat der Website wird nicht erneuert.
Nachweis: dig +short A mail.example.com liefert eine Adresse des Proxys statt Ihres Mailservers.
Ursache: Ein Webproxy leitet nur Webverkehr weiter, keine E-Mail.
Lösung: Deaktivieren Sie den Proxy (graue Wolke, "DNS only") für mail und alle Namen, die Ihr E-Mail-Programm verwendet. Für Zertifikate: Deaktivieren Sie den Proxy vorübergehend, bis das Zertifikat vorliegt, oder verwenden Sie den passenden SSL-Modus beim Proxy.
10. Alter DS nach einem Umzug
Symptom: Nach einem Umzug der Nameserver ist Ihre Domain für einen Teil der Welt nicht erreichbar; andere Personen bemerken nichts.
Nachweis: dig example.com @1.1.1.1 liefert SERVFAIL, dig +cd example.com @1.1.1.1 liefert eine Antwort. DNSViz (https://dnsviz.net/, Lektion 8.1) färbt den DS rot und zeichnet darunter einen grauen, gestrichelten Schlüssel, der nicht mehr in Ihrer Zone steht. Zonemaster und der Verisign DNSSEC Debugger melden dasselbe in Worten.
Ursache: Bei der Registry steht noch der DS des alten Anbieters (Lektion 8.1). Nur validierende Resolver schlagen fehl, daher bemerkt es nicht jeder.
Lösung: Lassen Sie den DS mit dem Schlüssel des neuen Anbieters aktualisieren, oder entfernen Sie ihn und aktivieren Sie DNSSEC danach erneut.
Und der "Fehler", der keiner ist: der Cache
Sehr häufig ist alles in Ordnung, aber Sie sehen noch die alte Antwort. Erkennbar daran: dig @<nameserver> liefert die neue Antwort, ein Online-Checker in anderen Ländern ebenfalls, nur Ihr Computer nicht. Lösung: privates Fenster, Smartphone über 4G/5G, oder Cache leeren (Lektion 8.2). Auch eine vergessene Zeile in der hosts-Datei Ihres Computers (von einem früheren Test vor einem Umzug) erzeugt dieses Bild: entfernen Sie diese Zeile.
Eine verwandte Falle: einen neuen Namen bereits abfragen, bevor Sie ihn angelegt haben. Der Resolver merkt sich dann "existiert nicht" (negativer Cache), und es dauert länger, bis der neue Name funktioniert (Lektion 6.2).
In der Praxis: so sieht es in einem Panel aus
Viele Panels verhindern einen Teil dieser Fehler. Mein WebOké warnt zum Beispiel, wenn der Punkt am Ende fehlt, und zeigt unter dem Namensfeld den vollständigen Namen an; DirectAdmin verweigert Einträge, die ungültig sind, mit "Error Writing Records". Cloudflare und andere Anbieter haben vergleichbare Warnungen. Erstellen Sie vor größeren Änderungen ein Backup oder einen Export Ihrer Zone, dann können Sie immer zurück.
Zusammenfassung
- Beginnen Sie immer mit: welche Nameserver, und was sagt der autoritative Nameserver.
- Die meisten Fehler liegen im Namen (Punkt, doppelter Domainname) oder am Ort (falscher Anbieter).
- Ein einziger SPF-Eintrag, kein CNAME auf @, AAAA mit umziehen, MX auf einen Namen mit Adresse.
- SERVFAIL nach einem Umzug ist meist ein alter DS.
- Wenn nur Sie die alte Antwort sehen, liegt es an Ihrem Cache oder der hosts-Datei.
Quiz
Aufgabe
Aufgabe Z8.4: Fehler erkennen. Sie erhalten fünf kurze Fallbeispiele mit der dig-Ausgabe dazu (in der Kursumgebung). Wählen Sie pro Fall aus, um welchen der zehn Fehler es sich handelt. Danach eine echte Recherche: Finden Sie mit dig oder einem Online-Tool heraus, welcher Eintrag bei dnssec-failed.org fehlerhaft ist (Status und was +cd ergibt), und ob wikipedia.org genau einen SPF-Eintrag hat.
Weiterführende Informationen
Diese Artikel beschreiben die Lösungen in den Panels von WebOké; bei anderen Anbietern heißen die Schaltflächen anders.
- Website oder E-Mail funktioniert nach einem Umzug oder einer DNS-Änderung nicht: Überprüfen Sie Ihre Domain
- Wie lange dauert eine Nameserver- oder DNS-Änderung, und was ist, wenn Sie sie nicht sehen?
- DirectAdmin Anleitung 18.7: Meine Domain funktioniert nach einem Transfer oder einer Änderung noch nicht
- DirectAdmin Anleitung 18.9: Ich empfange keine E-Mails mehr
- DirectAdmin Anleitung 5.4: CNAME-Einträge und der Punkt am Ende
- E-Mail-Versand über PHP klappt nicht, MX-Einträge zeigen woandershin
- Eigene oder externe Nameserver (wie Cloudflare) für Ihre Domain verwenden