DNSSEC - DNS 1x1

Patrick Koetter und Carsten Strotmann, sys4 AG

Created: 2022-03-08 Tue 09:56

Agenda

  1. Domain Name System Grundlagen
  2. Der DNS Namensraum
  3. DNS Namens-Auflösung
  4. Komponenten eines DNS-Systems
  5. DNS als Protokoll
  6. DNS-Delegation
  7. der SOA-Record
  8. der NS-Record

DNS - Das Domain Name System

DNS is like chess

the rules are simple

but the chances to loose the game

are endless

DNS - Das Domain Name System

  • Erste Grundlagen 1981-1983
  • Einführung im Internet von 1983 bis 1988
  • Ersatz für die statische "hosts.txt" Datei
  • Bis heute immer erneuert/erweitert
  • Skaliert mit dem Wachstum des Internet
  • Keine eigenen Sicherheits-Mechanismen

DNS Namensraum

DNS-namespace01.png

DNS Namensraum

DNS-namespace02.png

DNS Namensraum - "Label"

DNS-namespace03.png

DNS Namensraum - "Label"

DNS-namespace04.png

DNS Namensraum - "Label"

DNS-namespace05.png

DNS Namensraum

DNS-namespace06.png

DNS Namensraum

DNS-namespace07.png

DNS Namensraum

DNS-namespace08.png

DNS Namensraum

DNS-namespace09.png

DNS Namensraum

DNS-namespace10.png

DNS Namensraum

DNS-namespace11.png

DNS Namensraum

DNS-namespace12.png

Internet Namensraum

DNS-namespace13.png

Internet Namensraum

DNS-namespace14.png

DNS Komponenten

DNS-komponenten.png

DNS Komponenten - Hybrid-DNS

DNS-Components-hybrid.png

DNS Komponenten - Authoritative Only

DNS-Components-auth-only.png

DNS Komponenten - DNS Resolver

DNS-Components-full-resolver.png

DNS Paketformat

DNS-Components-DNS-packet.png

DNS Resource Records

SOA Record

DNS-Resource-Records-SOA.png

Negatives Caching

  • Der letzte Wert im SOA-Record bestimmt (zusammen mit dem TTL-Wert des SOA-Records, kleinster Wert wird benutzt), wie lange negative DNS-Antworten im Cache gehalten werden
  • Negative DNS-Antworten sind NXDOMAIN und NXRRSET/NODATA
  • Fehlerzustände (SERVFAIL, FORMERR, REFUSED …) werden nicht im DNS-Cache gespeichert

NS-Record

DNS-Resource-Records-NS.png

NS-Record

  • NS-Records erzeugen die DNS-Delegation
  • Die NS-Records in der Eltern-Zone müssen mit den NS-Records in der delegierten "Kind" Zone übereinstimmen
  • Liegt der Name eines delegierten DNS-Servers innerhalb der delegierten Zone, so müssen in der Eltern-Zone "Glue-Records" eingefügt werden

Glue (1)

DNS-Resource-Records-glue1.png

Glue (2)

DNS-Resource-Records-glue2.png

Ende DNS 1x1 - Fragen?