Wenn die DENIC ausfällt: So bleibt die Website erreichbar

Bei der Fehlfunktion letzten Mittwoch berichteten zunächst einige Provider, dass nur Domains betroffen seien, die Glue-Records bei den Servern der DENIC eingetragen haben. Das stellte sich später als falsch heraus. Dennoch kann theoretisch der Fall eintreten, dass eine TLD noch die DNS-Namen der Nameserver liefert, nicht jedoch die Glue-Records.

Glue-Records sind immer dann erforderlich, wenn die Nameserver innerhalb einer Domain liegen für die sie autoritativ sind. Wenn die Antwort auf die Frage „Welche DNS-Server sind für example.com zuständig“ nur lautet „Das sind ns1.example.com und ns2.example.com„, nützt sie nichts. Zusätzlich ist es erforderlich, die IP-Adressen der beiden Server zu erhalten. Daher müssen sie dem Server der TLD bekannt sein. Diese Einträge nennt man Glue-Records.

Glue-Records sind nicht erforderlich, wenn die DNS-Server in einer anderen Domain liegen. Wenn die Domain example.com die Nameserver ns1.example.org und ns2.example.org besitzt, haben die Server der TLD .com in der Regel keine Glue-Records.

Das könnte zu der Idee führen, die DNS-Server grundsätzlich in einer anderen TLD anzusiedeln. Allerdings muss bedacht werden, dass man in diesem Fall von zwei TLDs abhängig ist. Fällt nur eine davon aus, ist die Domain für einen Teil der Benutzer nicht erreichbar. Hinzu kommt, dass Glue-Records für die eigene Domain weniger Traffic verursachen und die DNS-Auflösung beschleunigen.

Wer für alle Fälle gerüstet sein will, sollte sowohl Server in der eigenen Domain ansiedeln als auch in einer fremden TLD. Im Beispiel von Bild 4 stehen drei Nameserver in der eigenen Domain und einer in der TLD .org. Letzterer kann als Notnagel dienen, wenn die .de-TLD noch NS-Records, aber keine A-Records mehr liefert. Er kann während eines Ausfalls der TLD unter Umständen die Erreichbarkeit der gesamten Domain sicherstellen.

Zu beachten ist allerdings, dass einige TLDs dieselben Betreiber haben, die teilweise auch dieselben Server verwenden. Das gilt vor allem für .com und .net. Kommt es zu einer Fehlfunktion der DNS-Server, sind wahrscheinlich beide Zonen nicht mehr erreichbar, siehe Bild 5. Eine .com-Domain kann also nicht mit einem DNS-Server in der .net-Zone abgesichert werden und umgekehrt.