Start of Authority (SOA) Checker
Der SOA-Record (Start of Authority) fungiert als das administrative Herzstück jeder DNS-Zone. Es ist ein obligatorischer Record; ohne einen gültigen SOA existiert die Domain in der globalen Routingtabelle nicht. Der SOA-Payload diktiert die grundlegenden Betriebsparameter für die Domain und legt fest, welcher Server die definitive Quelle der Wahrheit ist, wer ihn verwaltet und welche strikten Timing-Mechanismen vorschreiben, wie sekundäre, redundante Nameserver die Zonendaten replizieren.
Die Zonen-Seriennummer (Serial Number) und State Replication
Der kritischste Integer innerhalb des SOA-Payloads ist die Seriennummer. Nach Branchenkonvention wird diese oft als Datumsstempel formatiert (z. B. 2023102401 für die erste Änderung am 24. Okt. 2023). Jedes einzelne Mal, wenn ein Administrator einen A-, MX- oder TXT-Record ändert, muss diese Seriennummer inkrementiert werden. Sekundäre (Slave) Nameserver fragen routinemäßig den SOA-Record des primären Servers ab. Erkennen sie eine Seriennummer, die höher ist als die in ihrem lokalen Cache gespeicherte, lösen sie sofort einen AXFR- oder IXFR-Zonentransfer aus, um die aktualisierten Routingtabellen zu ziehen. Wird die Serial bei einer Bearbeitung nicht hochgezählt, synchronisieren sich die sekundären Server niemals, was zu fragmentierten, inkonsistenten DNS-Antworten führt.
Administrative Timer: Refresh, Retry und Expire
Der SOA-Record definiert drei spezifische Timer, die die Ausfallsicherheit der Zone steuern:
- Refresh: Das Intervall (in Sekunden), das sekundäre Server warten, bevor sie den primären Server auf Serial-Änderungen prüfen.
- Retry: Wenn der primäre Server während eines Polls offline ist, definiert dies, wie lange der sekundäre Server vor einem erneuten Versuch wartet.
- Expire: Die absolute Maximalzeit, die ein sekundärer Server weiterhin gecachte Records ausliefert, falls der primäre Server dauerhaft offline geht. Sobald dieser Timer erreicht ist, beantwortet der sekundäre Server keine Abfragen mehr und nimmt die Domain de facto offline, um zu verhindern, dass extrem veraltete Daten ausgeliefert werden.
Negative Caching und die Minimum-TTL
Ein häufig missverstandener Parameter des SOA-Records ist der Minimum-TTL-Wert. Historisch genutzt, um eine Baseline-Caching-Zeit festzulegen, hat RFC 2308 diesen Integer exklusiv für das Negative Caching umfunktioniert. Wenn ein Nutzer eine Subdomain abfragt, die nicht existiert (z. B. fake.example.com), antwortet der autoritative Server mit einem NXDOMAIN-Fehler. Der Resolver nutzt die SOA Minimum-TTL, um exakt zu bestimmen, wie lange dieser Fehler gecacht werden soll. Ein niedriger Wert verhindert längere Ausfälle, falls ein Admin schnell einen Tippfehler behebt, während ein hoher Wert den autoritativen Server vor DDoS-Floods schützt, die zufällige, nicht existierende Subdomains abfragen.