Modul 7 · 7.1

Deutsch

Nederlands English Deutsch Français

DNS für Ihren VPS und Reverse DNS

Modul 7: Domain, Webserver und https · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie eine Domain oder Subdomain mit A- und AAAA-Records auf Ihren VPS zeigen lassen, den Reverse DNS Ihres Servers richtig einrichten und prüfen, dass Name und Adresse hin und zurück übereinstimmen.

Kernbegriffe: A-Record, AAAA-Record, TTL, Subdomain pro Dienst, www, Hostname des Servers, PTR, Reverse DNS, Forward-confirmed Reverse DNS (FCrDNS), CAA, IPv6 vergessen

Von der IP-Adresse zum Namen

Bisher haben Sie Ihren Server über seine IP-Adresse angesprochen, zum Beispiel ssh anna@192.0.2.10. Für eine Website, ein Zertifikat (Lektion 7.3) und die Dienste aus Modul 9 brauchen Sie einen Namen. Diese Verknüpfung legen Sie im DNS Ihrer Domain an, bei dem Anbieter, der Ihr DNS verwaltet: Ihrem Registrar, Ihrem Hostinganbieter oder einem DNS-Dienst. Der VPS selbst hat damit nichts zu tun; Ihr Server "weiß" nicht, welche Namen auf ihn zeigen.

Die Grundlagen von DNS haben Sie im DNS-Kurs gelernt. Für einen VPS brauchen Sie vor allem zwei Record-Typen:

Record	Was	Beispiel
A	Name zu IPv4-Adresse	`web1.example.com. 3600 IN A 192.0.2.10`
AAAA	Name zu IPv6-Adresse	`web1.example.com. 3600 IN AAAA 2001:db8::10`

Ihr VPS hat in der Regel eine feste IPv4- und eine feste IPv6-Adresse. Setzen Sie dann beide Records. Besucher mit IPv6 (in den Niederlanden ein großer Teil der Festnetzanschlüsse und Mobilfunknetze) nutzen dann IPv6, alle anderen IPv4.

Welche Namen legen Sie an?

Eine übliche Aufteilung für einen VPS mit einer Website und einigen Diensten:

web1.example.com.       A     192.0.2.10        ; der Server selbst (Hostname, PTR)
web1.example.com.       AAAA  2001:db8::10
example.com.            A     192.0.2.10        ; die Website
example.com.            AAAA  2001:db8::10
www.example.com.        CNAME example.com.
status.example.com.     CNAME web1.example.com. ; Uptime Kuma (Lektion 9.4)
kluis.example.com.      CNAME web1.example.com. ; Vaultwarden (Lektion 9.4)

Darin stecken einige Entscheidungen:

Der Server hat einen eigenen Namen (web1), unabhängig von der Website. Diesen Namen verwenden Sie für SSH, für den Reverse DNS und als Hostname des Systems. Zieht die Website später auf einen anderen Server um, bleibt web1 trotzdem korrekt.
Eine Subdomain pro Dienst. Uptime Kuma und Vaultwarden bekommen jeweils einen eigenen Namen. Das ist viel einfacher (und sicherer), als Dienste unter einem Pfad wie example.com/kluis einzuhängen: Jeder Dienst bekommt sein eigenes Zertifikat, Cookies geraten nicht durcheinander, und Sie können einen Dienst später auf einen anderen Server verschieben, indem Sie einen einzigen Record ändern.
CNAME für die Subdomains. Ein CNAME auf web1 bedeutet: Ändert sich die IP-Adresse des Servers, passen Sie nur die Records von web1 an. Auf dem nackten Domainnamen (example.com) darf kein CNAME stehen; dort setzen Sie A und AAAA.

Den Hostnamen des Systems selbst legen Sie auf dem Server fest:

anna@web1:~$ sudo hostnamectl set-hostname web1.example.com
anna@web1:~$ hostname -f
web1.example.com

Prüfen Sie auch, dass /etc/hosts keinen alten Namen enthält. Ein korrekter Hostname ist vor allem wichtig, falls der Server jemals E-Mails verschickt.

TTL: wie schnell eine Änderung überall ankommt

Die TTL (Time to Live) ist die Anzahl Sekunden, die Resolver eine Antwort zwischenspeichern dürfen. Bei 3600 kann es bis zu einer Stunde dauern, bis alle eine neue Adresse sehen. Wollen Sie eine Website auf Ihren VPS umziehen, setzen Sie die TTL einen Tag vorher auf 300 (fünf Minuten), warten mindestens die alte TTL ab, ändern die Adresse und setzen die TTL danach wieder höher. Das ist genau der Ablauf aus dem DNS-Kurs, Lektion 6.3.

Prüfen Sie mit dig (DNS-Kurs, Lektion 8.2), was der Rest des Internets sieht, und fragen Sie dabei einen öffentlichen Resolver statt Ihres eigenen Computers:

anna@laptop:~$ dig +short A example.com @1.1.1.1
192.0.2.10
anna@laptop:~$ dig +short AAAA example.com @1.1.1.1
2001:db8::10

Unter Windows: Resolve-DnsName example.com -Type AAAA -Server 1.1.1.1.

Die Falle: ein AAAA-Record ohne funktionierendes IPv6

Setzen Sie einen AAAA-Record, muss der Dienst auch wirklich über IPv6 erreichbar sein. Ein häufiger Fehler: Der Record ist gesetzt, aber der Webserver lauscht nur auf IPv4, oder die Firewall lässt IPv6 nicht durch (Lektion 5.2), oder IPv6 ist im VPS nicht konfiguriert. Besucher mit IPv6 sehen dann eine langsame oder gar nicht ladende Website, während es bei Ihnen "einfach funktioniert", weil Sie zu Hause vielleicht nur IPv4 haben. Auch Let's Encrypt versucht zuerst IPv6, wenn ein AAAA-Record existiert (Lektion 7.3). Antwortet Ihr Server über IPv6 anders als über IPv4, schlägt die Zertifikatsanfrage fehl.

Testen Sie IPv6 deshalb separat, von einem anderen Rechner mit IPv6: curl -6 -I https://example.com. Haben Sie selbst kein IPv6, nutzen Sie einen Online-Test wie internet.nl.

Reverse DNS: von der Adresse zurück zum Namen

Der Reverse DNS verknüpft eine IP-Adresse zurück mit einem Namen, über einen PTR-Record (DNS-Kurs, Lektion 4.6). Dieser Record steht nicht in der Zone Ihrer Domain, sondern in der Zone der IP-Adresse, und die gehört demjenigen, der die Adresse verwaltet: Ihrem VPS-Anbieter. Den PTR setzen Sie also im Kundenbereich des Anbieters, nicht in Ihrem eigenen DNS.

Warum sollten Sie das tun?

E-Mail. Empfangende Mailserver lehnen E-Mails von Adressen ohne korrekten Reverse DNS ab oder stufen sie als verdächtig ein. Verschickt Ihr VPS E-Mails (und sei es nur eine Benachrichtigung aus einem Formular), ist das Pflicht (siehe den E-Mail-Kurs, Lektion 5.1).
Wiedererkennbarkeit. In Logs und Traceroutes sehen andere web1.example.com statt eines generischen Namens des Anbieters.
Ordnung. Manche Dienste und Spamfilter vergeben Minuspunkte für Adressen mit generischem oder fehlendem PTR.

Die Regel lautet Forward-confirmed Reverse DNS (FCrDNS): Die Adresse zeigt per PTR auf einen Namen, und dieser Name zeigt per A oder AAAA wieder auf dieselbe Adresse. Legen Sie also zuerst den A- und den AAAA-Record an und beantragen Sie dann den PTR, für IPv4 und IPv6 gleichermaßen.

anna@laptop:~$ dig +short -x 192.0.2.10
web1.example.com.
anna@laptop:~$ dig +short A web1.example.com
192.0.2.10
anna@laptop:~$ dig +short -x 2001:db8::10
web1.example.com.
anna@laptop:~$ dig +short AAAA web1.example.com
2001:db8::10

Kommt bei allen vier Abfragen die erwartete Antwort zurück, stimmt es hin und zurück.

CAA: Wer darf Zertifikate ausstellen?

Mit einem CAA-Record (DNS-Kurs, Lektion 5.2) legen Sie fest, welche Zertifizierungsstellen für Ihre Domain Zertifikate ausstellen dürfen. Wenn Sie nur Let's Encrypt verwenden:

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"

Das ist nicht verpflichtend, aber eine saubere zusätzliche Schutzschicht. Achtung: Haben Sie bereits einen CAA-Record mit einer anderen Zertifizierungsstelle, lehnt Let's Encrypt Ihre Anfrage ab. Prüfen Sie also zuerst mit dig CAA example.com.

In der Praxis: Reverse DNS in der VPS-Ansicht

Bei WebOké richten Sie den Reverse DNS in der VPS-Ansicht ein, auf dem Reiter "ISO und rDNS". Liegt das DNS Ihrer Domain ebenfalls bei WebOké, kann das Panel den A- und AAAA-Record direkt für Sie anlegen; liegt das DNS woanders, legen Sie diese Records zuerst selbst an und tragen danach den vollständigen Namen ein. Bei anderen Anbietern heißt das im Kundenbereich "Reverse DNS", "rDNS" oder "PTR"; bei manchen müssen Sie es per Ticket beantragen. Es funktioniert überall gleich: zuerst der Name zur Adresse, dann die Adresse zum Namen.

Zusammenfassung

Einen Namen verknüpfen Sie mit Ihrem VPS über einen A-Record (IPv4) und einen AAAA-Record (IPv6) im DNS Ihrer Domain.
Geben Sie dem Server einen eigenen Namen (web1.example.com) und jedem Dienst eine eigene Subdomain; CNAMEs auf den Servernamen machen Umzüge einfach.
Senken Sie die TTL vor einem Umzug und prüfen Sie mit dig bei einem öffentlichen Resolver.
Setzen Sie keinen AAAA-Record, wenn der Dienst nicht wirklich über IPv6 funktioniert; testen Sie IPv6 separat.
Den PTR setzen Sie bei Ihrem VPS-Anbieter; hin und zurück muss es stimmen (FCrDNS), für IPv4 und IPv6.

Quiz

Aufgabe

Aufgabe Z7.1: A, AAAA und PTR Ihres Servers. Geben Sie Ihrem Server einen eigenen Namen (zum Beispiel web1.<jouwdomein>), legen Sie den A- und den AAAA-Record an und richten Sie den Reverse DNS bei Ihrem Anbieter ein. Tragen Sie in der Aufgabe den Namen Ihres Servers, die IPv4- und die IPv6-Adresse sowie den Namen ein, den Sie bei dig -x für beide Adressen erhalten haben. Das Programm fragt die A- und AAAA-Records und den PTR beider Adressen live ab und prüft, dass alles hin und zurück übereinstimmt. Hat Ihr Server kein IPv6, prüft es nur IPv4 und weist darauf in Orange hin.

Cookies bei WebOké

Cookie-Einstellungen

Notwendig

Marketing