Fällt DNS aus, wird aus einer gesunden Website eine unerreichbare. Der Server läuft, die Anwendung ist in Ordnung, aber der Browser des Besuchers findet nicht heraus, wohin er sich verbinden soll. Der Browser meldet etwa „Server nicht gefunden“, und mehr sagt er nicht.

Diese Anleitung hilft Ihnen herauszufinden, um welche Art von Fehler es sich handelt und wo er auftritt. Eine einfache Erklärung der Begriffe finden Sie unter DNS-Auflösung.

Lesen Sie zuerst das Symptom

Eine DNS-Antwort trägt einen Status. Vier Ergebnisse decken die meisten Fälle ab.

Was Sie sehen Bedeutung Übliche Ursachen
NXDOMAIN Der Name existiert nicht Ein Tippfehler, ein gelöschter Eintrag oder eine gelöschte Zone, eine fehlende Delegierung, eine abgelaufene Domain
Leere Antwort, Status NOERROR Der Name existiert, hat aber keinen Eintrag des abgefragten Typs Kein AAAA-Eintrag bei einer reinen IPv4-Website. Das ist oft normal
SERVFAIL Der Server konnte die Abfrage nicht abschließen Die Nameserver der Zone antworten nicht oder falsch, eine defekte Delegierung, eine fehlgeschlagene DNSSEC-Prüfung
Zeitüberschreitung, keine Antwort Nichts hat rechtzeitig geantwortet Ein blockiertes Netzwerk, ein überlasteter oder ausgefallener Resolver, eine Firewall

RFC 1035 definiert die Codes für „Serverfehler“ und „Namensfehler“ (der Name existiert nicht). RFC 8499 erklärt die gebräuchlichen Bezeichnungen SERVFAIL und NXDOMAIN. Die leere Antwort heißt manchmal NODATA. Sie ist kein eigener Status, sondern nur eine erfolgreiche Antwort ohne Inhalt.

Testen mit dig

dig ist das Standardwerkzeug unter Linux und macOS. Es gibt den Status in der Kopfzeile aus.

dig example.com A
dig example.com AAAA

Suchen Sie in der Ausgabe die Zeile status:. Um nur die Adressen zu behalten:

dig +short example.com A

Windows hat nslookup:

nslookup example.com

Einen anderen Resolver fragen

Standardmäßig fragen Sie den Resolver, den Ihr Netzwerk Ihnen zugewiesen hat. Um einen anderen zu fragen, nennen Sie ihn nach dem @:

dig @1.1.1.1 example.com A
dig @8.8.8.8 example.com A

Fällt Ihr üblicher Resolver aus und die anderen antworten, liegt das Problem beim Resolver oder auf dem Weg dorthin, nicht bei Ihrer Domain. Fallen alle Resolver aus, liegt das Problem in Ihrer Zone oder Ihrer Delegierung.

Die autoritativen Server fragen

Finden Sie heraus, welche Server für die Domain zuständig sind, und fragen Sie sie direkt:

dig example.com NS +short
dig @ns1.your-dns-provider.example example.com A

Ein autoritativer Server kennt die Zone aus seinen eigenen Daten. Liefert er die richtige Adresse, während öffentliche Resolver es nicht tun, ist die Antwort wahrscheinlich irgendwo zwischengespeichert, oder die Delegierung beim Registrar zeigt woandershin. Antwortet der autoritative Server gar nicht, hat Ihr DNS-Anbieter ein Problem.

Die Kette ablaufen

dig +trace beginnt bei der Root und folgt jeder Delegierung:

dig +trace example.com

Es zeigt, welcher Schritt nicht mehr antwortet. Endet die Ablaufverfolgung damit, dass die Registry für Ihre Domain keine Nameserver nennt, deutet das auf ein Delegierungsproblem hin, oft auf eine abgelaufene Registrierung.

Den Fehler eingrenzen

Arbeiten Sie von außen nach innen.

  1. Sehen andere Netzwerke es auch? Probieren Sie ein Smartphone mit mobilen Daten und einen öffentlichen Resolver. Fällt nur Ihr Netzwerk aus, sehen Sie sich lokale Resolver, ein VPN oder einen Filter an.
  2. Ist die Domain abgelaufen? Eine abgelaufene Registrierung ist ein häufiger Grund für plötzliches NXDOMAIN. Prüfen Sie das Datum wie in So prüfen Sie, wann eine Domain abläuft beschrieben.
  3. Hat sich die Delegierung geändert? Wurden beim Registrar Nameserver geändert, vergleichen Sie die NS-Einträge bei der Registry mit den Servern, auf denen die Zone tatsächlich liegt.
  4. Hat sich ein Eintrag geändert? Ein gelöschter oder falsch geschriebener A-, AAAA- oder CNAME-Eintrag führt zu einer leeren oder einer falschen Antwort.
  5. Liegt es am lokalen Rechner? Prüfen Sie die Hosts-Datei, leeren Sie den lokalen Cache und testen Sie von einem anderen Gerät aus.

Warum eine Korrektur nicht überall gleichzeitig ankommt

Resolver speichern Antworten zwischen. Positive Antworten werden für die Gültigkeitsdauer des Eintrags (TTL) behalten. Auch negative Antworten werden zwischengespeichert: RFC 2308 beschreibt das Zwischenspeichern von Antworten wie „Name existiert nicht“ und „keine Daten“, mit der Dauer aus dem SOA-Eintrag der Zone. Ein Resolver, der kurz bevor Sie den Eintrag angelegt haben NXDOMAIN gehört hat, kann dabei bleiben, bis diese Zeit abgelaufen ist.

Auch ein SERVFAIL kann zwischengespeichert werden, wobei RFC 2308 verlangt, dass dies fünf Minuten nicht überschreitet.

Testen Sie deshalb nach einer Korrektur zuerst gegen die autoritativen Server. Sie zeigen die Wahrheit. Öffentliche Resolver ziehen nach, sobald ihre Caches ablaufen.

A und AAAA: ein Teilausfall, der sich gut versteckt

Ein A-Eintrag enthält eine IPv4-Adresse (RFC 1035). Ein AAAA-Eintrag enthält eine IPv6-Adresse (RFC 3596). Eine Website kann beide haben oder nur A.

Ein fehlender AAAA-Eintrag ist normal. Ein falscher nicht: Ein Besucher, dessen Verbindung IPv6 bevorzugt, kann auf eine Adresse geschickt werden, hinter der nichts antwortet, während Besucher über IPv4 eine funktionierende Website sehen. Kommen Meldungen „die Website ist down“ nur von einem Teil der Nutzer, vergleichen Sie dig example.com A mit dig example.com AAAA.

Was UptimeWire prüft

Einmal pro Stunde löst UptimeWire für jede Website den Hostnamen mit dem Standard-Resolver des Systems auf und sieht sich die Antwort an:

  • Die Prüfung ist bestanden, wenn der Name auf mindestens eine öffentliche Adresse aufgelöst wird.
  • Sie schlägt fehl, wenn die Domain nicht existiert (NXDOMAIN) oder der Name nur auf private Adressen aufgelöst wird.
  • Sie zeigt unbekannt an, wenn der Nameserver nicht geantwortet hat. Ein unerreichbares DNS sagt nichts Sicheres über die Domain, deshalb wird keine Warnung gesendet.

Wechselt die Prüfung von bestanden zu fehlgeschlagen, sendet UptimeWire eine Warnung per E-Mail und per Telegram, mit dem Grund. Eine DNS-Warnung ist kein Vorfall und geht nicht an Webhook- oder Chat-Kanäle.

Auch die gewöhnliche Website-Prüfung schlägt fehl, wenn der Name nicht aufgelöst werden kann, mit dem Grund „Der Domainname konnte nicht aufgelöst werden“. Nach wiederholten Fehlschlägen kann diese Prüfung einen Vorfall eröffnen.

UptimeWire erkennt keine Änderungen an DNS-Einträgen, verfolgt keine Verbreitung, fragt keine anderen Eintragstypen wie MX oder TXT ab und validiert kein DNSSEC. Es sagt Ihnen, dass der Name nicht mehr aufgelöst wird, nicht warum.

Checkliste

  • Notieren Sie den genauen Status: NXDOMAIN, leere Antwort, SERVFAIL oder Zeitüberschreitung.
  • Fragen Sie zwei öffentliche Resolver und die autoritativen Server ab.
  • Prüfen Sie das Ablaufdatum der Registrierung und die Nameserver beim Registrar.
  • Vergleichen Sie die Antworten für A und AAAA.
  • Denken Sie an das Zwischenspeichern, bevor Sie entscheiden, dass eine Korrektur nicht gewirkt hat.
  • Halten Sie fest, was sich wann geändert hat.