APNIC findet heraus: Zwei Nameserver reduzieren wiederholte DNS-Anfragen

Eine groß angelegte Messung, die APNIC am 15. September 2026 veröffentlichte, ergab, dass die Bereitstellung einer DNS-Zone über zwei autoritative Nameserver statt über einen die durchschnittliche Anzahl wiederholter Anfragen von 3,43 auf 2,57 pro Test senkt. Derselbe Datensatz zeigt, dass der Anteil der Tests, die mit einer einzigen Anfrage pro Abfragetyp abgeschlossen werden, von 58 % auf 71 % steigt. In einfachen Worten: Das Hinzufügen eines zweiten autoritativen Nameservers scheint rekursive Resolver, die Server, die Domänennamen im Auftrag der Endnutzer nachschlagen, viel seltener dazu zu bringen, dieselbe Frage immer wieder zu stellen. Das Domain Name System, kurz DNS, ist das Adressbuch des Internets, das Website-Namen in IP-Adressen umwandelt.

Das Ergebnis ist eine Fortsetzung einer früheren APNIC-Studie über die überraschend große Anzahl wiederholter Anfragen im DNS mit dem Titel „What part of ‘No!’ is so hard for the DNS to understand?“. In dieser früheren Arbeit beauftragten die Forscher viele Millionen Nutzer damit, einen eindeutigen DNS-Namen aufzulösen, wobei sie herkömmliches Caching bewusst vermieden. Die Folgemessung lief vom 5. bis 11. August 2026. Der Messaufbau von APNIC teilt das Internet in sechs Zonen auf: Nordamerika, Südamerika, Europa und Afrika, Indien, Asien und China. Jede Zone verwendet ihren eigenen Namensraum, und zunächst wurde jede von einem einzigen autoritativen Nameserver bedient, der als Dual-Stack-Server konfiguriert war, also sowohl über IPv4 als auch über IPv6 antworten kann, die beiden Versionen der Internetadressierung.

Tabelle 1 im Bericht fasst zusammen, was mit einem autoritativen Nameserver geschah. Für Antworttypen, die eine definitive Antwort liefern, einschließlich positiver Antworten, NXDOMAIN (der Name existiert nicht) und NOERROR/NODATA (der Name existiert, aber es gibt keinen Eintrag des angefragten Typs), ist das Wiederholungsprofil ähnlich. Im Durchschnitt gibt es vier Anfragen pro Test; zwischen 55 % und 60 % der Tests enden mit einer einzigen Anfrage, und wenn Wiederholungen auftreten, liegt die durchschnittliche Anzahl der Wiederholungen zwischen vier und sechs. Die genauen Zahlen: Kontrolle 254.894.985 Tests und 875.316.423 Anfragen, durchschnittlich 3,43 pro Test; NXDOMAIN 115.750.503 Tests und 509.410.787 Anfragen, durchschnittlich 4,40; NODATA 115.571.398 Tests und 454.213.932 Anfragen, durchschnittlich 3,93. Doch wenn keine definitive Antwort eintrifft, verfallen DNS-Resolver in einen Wiederholungsmodus. SERVFAIL (Serverfehler) erzeugte 138.643.924 Tests und extreme 7.171.673.166 Anfragen, also 51,73 pro Test. REFUSED erzeugte 115.415.259 Tests und 1.324.355.211 Anfragen, also 11,47 pro Test. NO RESPONSE erzeugte 116.050.253 Tests und 9.685.775.212 Anfragen, also 83,46 pro Test. Die durchschnittlichen Wiederholungszahlen waren ebenso auffällig: 51,29 für SERVFAIL, 16,32 für REFUSED und 83,38 für keine Antwort.

Um zu testen, ob die Anzahl der autoritativen Nameserver dieses Verhalten ändert, wiederholte APNIC nur die Kontrollmessung mit zwei autoritativen Dual-Stack-Nameservern. Mit einem Nameserver ergab die vollständige Kontrolle 254.894.985 Tests, 147.233.117 Tests mit einer einzigen Anfrage, 875.316.423 Anfragen insgesamt, durchschnittlich 3,43 Anfragen pro Test, 408.891.797 Wiederholungen und durchschnittlich 3,80 Wiederholungen. Mit zwei Nameservern ergab der Test 150.221.951 Tests, 106.376.529 Tests mit einer einzigen Anfrage, 385.725.364 Anfragen insgesamt, durchschnittlich 2,57 Anfragen pro Test, 112.191.597 Wiederholungen und durchschnittlich 2,56 Wiederholungen. Die Abschlussrate mit einer einzigen Anfrage stieg von 58 % auf 71 %. Das Hinzufügen eines zweiten Nameserver-Namens und zweier zusätzlicher IP-Adressen, einer IPv4- und einer IPv6-Adresse, reduzierte die wiederholten Anfragen erheblich, ein Ergebnis, das der Autor Geoff Huston als völlig unerwartet bezeichnet. Eine Wiederholung ist definiert als eine Anfrage mit demselben Abfragenamen und Abfragetyp. Normalerweise würde man erwarten, dass ein übereifriger rekursiver Resolver alle autoritativen Nameserver mit derselben Frage abfragt, um die Konsistenz zu prüfen, was die Wiederholungen erhöhen würde, doch das Gegenteil trat ein.

Der Bericht untersucht auch, wann Wiederholungen auftreten. In der ersten Sekunde der Auflösung treffen etwas mehr als 85 % der doppelten Anfragen ein, wenn es einen Nameserver gibt, aber nur 75 %, wenn es zwei gibt. Mit zwei Nameservern zeigt das Wiederholungsmuster ein leichtes exponentielles Backoff: kleine Spitzen bei 0,75 Sekunden, 1,5 Sekunden und 3 Sekunden. Innerhalb von fünf Sekunden wurden in beiden Experimenten 90 % aller wiederholten Anfragen beobachtet. Eine genauere Betrachtung zeigt, dass mit einem Nameserver 17 % aller wiederholten Anfragen innerhalb von 10 Millisekunden nach der ursprünglichen Anfrage beobachtet werden, eine schnelle Vervielfachung. Mit zwei Nameservern sinkt dieser Wert auf 12 %. Die Zeitmessung bei einem Server zeigt lokale Spitzen bei 100 ms, 310 ms und 800 ms, während die Zeitmessung bei zwei Servern Spitzen bei 50 ms, 100 ms, 310 ms, 370 ms, 750 ms und 800 ms zeigt. Eine Millisekunde ist ein Tausendstel einer Sekunde.

Um zu sehen, ob dies durch Resolver-Farmen oder einzelne Resolver verursacht wird, normalisiert Abbildung 3 die beiden Datensätze und vergleicht die Anfragewiederholung pro Resolver-Adresse. Der Hauptunterschied liegt im Zeitraum von 10 ms bis 70 ms nach der ursprünglichen Anfrage, wo der Ein-Server-Fall ein deutlich höheres Wiederholungsvolumen zeigt, insbesondere von 10 ms bis 40 ms. Dieses Intervall liegt unter den User Datagram Protocol (UDP)-Timeout-Werten der meisten einzelnen Resolver, sodass der Autor fragt, warum ein einzelner Resolver eine Anfrage so schnell wiederholen würde. Eine wahrscheinliche Erklärung sind Resolver-Farmen. Große Consumer-Internetdienstanbieter können das Anfragevolumen oft nicht auf einer einzigen Plattform bewältigen und setzen daher einen Front-End-Dispatcher vor viele rekursive Resolver, wie bei PowerDNS' DNSdist. Eine übliche Konfiguration verwendet das Front-End mit einer öffentlichen IP-Adresse, um mit dem Internet zu kommunizieren, aber privaten IP-Adressen, um mit den einzelnen Resolvern zu kommunizieren, sodass die gesamte Farm als eine öffentliche IP erscheint. In diesem Fall könnte die beobachtete Wiederholung das Verhalten der Front-End-Systeme sein, nicht der Implementierungen der rekursiven Resolver. Wenn es nur einen autoritativen Nameserver gibt, könnte ein DNS-Front-End eingehende Anfragen über mehrere Resolver-Instanzen duplizieren, um Geschwindigkeit und Ausfallsicherheit zu verbessern. Huston merkt an, dass dies spekulativ ist, da DNS einzelne Anfragen undurchsichtig behandelt und es noch keine definitive Erklärung gibt.

Das unerwartete Ergebnis weist auf den praktischen Wert des seit Langem geltenden Betriebsrats hin, für jede Zone im heutigen DNS mindestens zwei Nameserver zu verwenden. Es scheint rekursive Resolver zufrieden zu stellen. Für Website-Betreiber ist dies eine Erinnerung, zu prüfen, ob Ihre Domäne tatsächlich von mindestens zwei autoritativen Nameservern bedient wird, idealerweise auf getrennter Infrastruktur. Für Alltagsnutzer zeigt die Studie, dass DNS nicht eine einzelne Abfrage ist, sondern oft ein Schwall versteckter Wiederholungen, insbesondere wenn Server ausfallen oder schweigen. Während dieses Experiment autoritative Server und nicht Endnutzer-Resolver betrifft, können Leser, die Domänen betreiben, Wiederholungsstürme reduzieren, indem sie denselben Rat befolgen, und Endnutzer können ihre eigenen Abfragen mit einem datenschutzfreundlichen verschlüsselten DNS-Resolver wie AEU DNS privat halten, der Anfragen über DoH (DNS over HTTPS), DoT (DNS over TLS) oder DoQ (DNS over QUIC) sendet und keine Protokolle führt.