Nameserver-Check

Warum TCP hier eine eigene Spalte bekommt

Fast jedes DNS-Werkzeug fragt über UDP und weicht bei einer gekürzten Antwort still auf TCP aus. Für eine Auskunft ist das genau richtig. Für eine Prüfung verdeckt es den Fehler, den man sucht: Ein Nameserver ohne TCP sieht darin aus wie ein gesunder — solange die Testantwort klein genug war.

Dass TCP Pflicht ist, steht seit 2016 in RFC 7766. Die ältere Lesart — TCP sei ein Notnagel für Zonentransfers — stammt aus RFC 1035 und ist überholt. Der Grund ist der Alltag: DNSSEC-Signaturen, Domains mit vielen Mailservern, lange SPF- und DKIM-Einträge. Antworten oberhalb der Puffergrenze sind der Normalfall geworden.

Der Ablauf im Fehlerfall ist tückisch, weil er nichts kaputtgehen lässt, was man sofort bemerkt: Der Resolver fragt über UDP, bekommt eine gekürzte Antwort mit gesetztem TC-Bit, baut daraufhin eine neue Verbindung über TCP auf — und läuft in den Zeitablauf. Für den Nutzer sieht das aus wie „das Internet hängt manchmal".

Deshalb steht hier jede Frage zweimal. Und deshalb wird zusätzlich ohne EDNS gefragt: Ein Server, der nur mit OPT-Record antwortet, bricht bei alten Clients weg.