Internetzensur: Freie DNS-Server schützen vor falschem Verdacht

Bild 2: Ein Root-Server delegiert jede Anfrage an einen TLD-Server.

Wenn Zensurprovider für bestimmte Domains gefälschte Ergebnisse liefern, können dadurch auch andere DNS-Server betroffen sein. Grundsätzlich funktioniert DNS nach einem hierarchischen Prinzip. Die Root-Server kennen nur die Server der TLDs. Fragt man einen Root-Server nach www.example.com, so antwortet er wie in Bild 2 gezeigt.

Übersetzt heißt das: „Ich weiß die Antwort nicht; für alle Domains, die auf .com enden, sind die Server a.gtld-servers.net bis m.gtld-servers.net zuständig“.

Darüber hinaus gibt der Root-Server in der sogenannten „Additional Section“ die IP-Adressen der TLD-Server an, da der nächste logische Schritt die Kontaktaufnahme mit einem der TLD-Server ist, wozu die IP-Adresse benötigt wird.

Bild 3: Der TLD-Server zeigt auf die zuständigen DNS-Server für example.com.

Analog verfährt der TLD-Server. Auch er gibt nicht die Antwort auf die gewünschte Frage, sondern zeigt auf die zuständigen DNS-Server für die Domain example.com, siehe Bild 3. Erst die Server a.iana-servers.net und b.iana-servers.net sind in der Lage die gewünschte IP-Adresse 208.77.188.166 zu liefern, siehe Bild 4.

Die genannten DNS-Server sind für eine Nutzung durch einen Client, etwa einen Desktop-Computer, allerdings ungeeignet. Die meisten Namensauflösungsmechanismen benötigen einen sogenannten rekursiven DNS-Server.

Rekursive Server hangeln sich solange durch die DNS-Hierarchie, bis sie die Antwort auf die Frage des Client gefunden haben. Einen Verweis auf andere DNS-Server, wie es etwa die Root- und TLD-Server handhaben, liefern rekursive DNS-Server nie als Antwort. Aus diesem Grund funktionieren viele Anleitungen nicht, die man im Internet zur Umgehung der Internetzensur findet. Ein Beispiel ist der Artikel im Wiki der Jungen Piraten. Die dort aufgeführte Liste enthält keinen einzigen rekursiven Server.

Um den Netzwerktraffic zu senken, verwenden rekursive DNS-Server neben Caching das sogenannte Forwarding. Dabei wenden sich die Server an andere rekursive DNS-Server, die meist von der Netzanbindung her in der Nähe stehen, um so vom Cache dieser Server profitieren zu können. Auf diese Weise werden in der hierarchischen Abfragefolge zusätzlich Querverbindungen geschaffen.

DNS-Server, die in einem Rechenzentrum stehen, verwenden als Forwarder oft die offiziellen rekursiven Server des Hosters. Firmen mit schneller Anbindung nutzen dazu meist die Server ihres Providers.

Die als Forwarder eingesetzten Server können wiederum andere Server als Forwarder einsetzen. Sitzt irgendwo in der Forwarding-Kette ein Zensur-Server, dann pflanzen sich die gefälschten Ergebnisse über die geschaffenen Querverbindungen fort. Wenn man sich nicht mehr darauf verlassen kann, dass über diese Querverbindungen die richtigen Ergebnisse kommen, dann muss man darauf konsequent verzichten, was den Traffic im Netz insgesamt erhöht.