Verbreitung von DNS- und IP-Änderungen bei Domains prüfen

Wenn Sie einen Eintrag ändern, muss der neue Wert zuerst auf allen autoritativen DNS-Servern der Zone erscheinen. Resolver, die den alten Wert bereits abgefragt hatten, können ihn im Cache behalten, bis die TTL abläuft, die er vor der Änderung hatte.

Bei einem Wechsel der DNS-Server spielen außerdem die von der übergeordneten Zone veröffentlichte Delegation und die Caches der NS-Einträge eine Rolle. Verwendet die Domain DNSSEC, muss auch geprüft werden, ob der von der übergeordneten Zone veröffentlichte DS-Eintrag zur neuen Konfiguration passt.

Deshalb gibt es keine feste Frist für alle Änderungen. Das Ergebnis hängt von der Art der Änderung, den vorherigen TTL-Werten, dem Zeitpunkt der Abfrage durch jeden Resolver und dem möglichen negativen Caching von Antworten wie NXDOMAIN ab.

Prüfen Sie die Änderung in dieser Reihenfolge:

1. Wenn Sie die DNS-Server geändert haben, prüfen Sie die NS-Delegation und gegebenenfalls DS.
2. Fragen Sie den genauen Eintrag auf jedem autoritativen Server ab und bestätigen Sie, dass alle den erwarteten Wert liefern.
3. Prüfen Sie die Einträge A und AAAA getrennt; ein alter IPv6-Eintrag kann einen Teil der Verbindungen zum früheren Ziel leiten.
4. Erst danach vergleichen Sie öffentliche Resolver und den Resolver der betroffenen Verbindung.

Für den ersten Schritt können Sie die DNS-Diagnose von IPeek verwenden, ein kostenloses externes Tool. Es vergleicht die von der übergeordneten Zone veröffentlichten NS-Server mit denen, die die Server der Domain angeben, zeigt, ob ein DS-Eintrag existiert, und prüft, ob jeder autoritative Server dieselbe SOA-Seriennummer liefert. Den Wert anderer Einträge auf jedem Server zeigt es nicht, und das Ergebnis bleibt 10 Minuten gespeichert.

Wenn der neue Wert nicht auf den autoritativen Servern erscheint, behebt das Warten auf den Ablauf eines Caches die Konfiguration nicht. Lesen Sie die erweiterte Diagnose von Einträgen, bevor Sie fortfahren.

Unser Tool zur DNS-Propagation liest den Wert auf den autoritativen Servern und vergleicht ihn mit den Antworten von zwanzig öffentlichen Resolvern verschiedener Betreiber, einschließlich der verbleibenden Gültigkeit jeder Kopie. Es prüft nicht alle Internetverbindungen und gibt nicht unbedingt das Ergebnis wieder, das jeder Benutzer erhält.

Geben Sie die genaue Domain oder Subdomain ein und wählen Sie den Eintragstyp. Prüfen Sie den von jedem Server zurückgegebenen Wert, nicht nur das Symbol:

• Ein Ergebnis mit dem erwarteten Wert bestätigt nur die Antwort dieses Resolvers zu diesem Zeitpunkt.
• Ein alter Wert kann aus seinem Cache stammen.
• Eine leere oder abweichende Antwort kann NXDOMAIN, das Fehlen dieses Eintragstyps, eine Zeitüberschreitung, SERVFAIL oder einen DNSSEC-Fehler bedeuten.
• Ein grünes Häkchen bei allen getesteten Servern garantiert keine 100-prozentige Verbreitung für alle Benutzer.

Notieren Sie den abgefragten Namen, den Eintragstyp, den erwarteten Wert, die erhaltene Antwort sowie Datum und Uhrzeit. Ist die Änderung Teil einer Migration, behalten Sie den bisherigen Anbieter, bis Sie DNS, Web, HTTPS, E-Mail und die ausstehenden Daten vom Ziel aus geprüft haben.

Wenn nur ein Browser oder eine Verbindung betroffen ist

Der Browser kann sicheres DNS mit einem anderen Resolver als dem im System konfigurierten verwenden. Notieren Sie beide, bevor Sie Ergebnisse vergleichen. Das Löschen von Cookies aktualisiert weder die autoritativen DNS-Server noch den Cache eines öffentlichen Resolvers.

Die TTL nach dem Ändern der IP zu senken, verkürzt nicht die verbleibende Gültigkeit einer bereits gespeicherten alten Antwort. Senken Sie bei einer geplanten Migration die TTL im Voraus und lassen Sie den alten Wert vor der Änderung ablaufen. Halten Sie während des Übergangs beide Ziele verfügbar, damit keine Vorgänge verloren gehen.