DNS-Kaltstart: Wie Resolver aus einem leeren Cache booten

Ein DNS-Kaltstart passiert, wenn ein Resolver mit einem leeren Cache beginnt. Eine aktuelle Folge des APNIC-PING-Podcasts, veröffentlicht am 20. August 2026, untersucht die zirkuläre Abhängigkeit, die dadurch entsteht. In dieser Folge diskutieren Geoff Huston, Chefwissenschaftler bei APNIC, und George Michaelson, wie sich das Domain Name System, das Adressbuch des Internets, verhält, wenn keine seiner früheren Antworten gespeichert sind. Das Gespräch wurde durch einen Vortrag von Ondřej Surý in der DNS-Arbeitsgruppe beim RIPE-92-Treffen in Edinburgh angeregt.

Ein Cache ist ein Ort, an dem ein Computer Informationen aus früheren Arbeiten aufbewahrt, damit er sie nicht erneut abrufen muss. Diese Technik ist wichtig, weil die verschiedenen Teile eines Computers mit sehr unterschiedlichen Geschwindigkeiten arbeiten. Häufig verwendete Daten können in schnellem Speicher nahe der CPU, der zentralen Verarbeitungseinheit, gehalten werden, anstatt aus langsameren Speichern, einer Festplatte oder sogar Bandlaufwerken gelesen zu werden. Größe und Leistung eines Caches können einen großen Einfluss auf die Gesamtgeschwindigkeit haben, und der Vergleich der CPU-Leistung mit und ohne Cache-Daten ist eine Standardmethode, um seinen Wert zu zeigen.

Im DNS vermeidet das Caching die Notwendigkeit, auf die Antwort eines entfernten Systems über das Netzwerk zu warten, einschließlich aller damit verbundenen Round-Trip-Verzögerungen. Ein Resolver, die Software oder der Dienst, der einen Domainnamen wie www.apnic.net in die numerischen IP-Adressen umwandelt, die Computer verwenden, kann oft eine Antwort aus Informationen aufbauen, die er aus früheren Abfragen und Antworten gespeichert hat. Kaltstart ist ein bekanntes Problem in großen verteilten Systemen. Geoff Huston vergleicht es mit der „Black-Start“-Herausforderung, vor der Stromerzeuger stehen. Industrielle Systeme wie Kohlekraftwerke und Gasturbinen benötigen Zeit zum Hochfahren, aber während eines Blackouts haben sie ein zusätzliches Problem: die Erregung der Magnetfeldspulen des Generators. Diese Spulen benötigen eine separate Gleichstromquelle (DC), um den Generator zu erregen, damit die Rotationskraft der Turbine in elektrische Energie umgewandelt werden kann. Ohne diese anfängliche Stromquelle kann der Generator zwar drehen, aber keinen Strom erzeugen. Der erforderliche Gleichstrom stammt typischerweise aus einer unabhängigen Quelle, wie einem kleinen Dieselgenerator, oder aus einem Teil des Stromnetzes, das in Betrieb bleibt. Versorgungsunternehmen, die für diese Notstromversorgung vertraglich gebunden sind, spielen eine entscheidende Rolle, und wenn sie im Bedarfsfall nicht verfügbar sind, können die Folgen schwerwiegend sein.

Das DNS ist kein elektrisches Erzeugungsnetz, aber es weist ähnliche komplexe Abhängigkeiten auf. Seine Aufgabe ist es, einen vollqualifizierten Domainnamen den IP-Adressen zuzuordnen, die mit diesem Namen verbunden sind. Das D in DNS steht für Domain, und die Bezeichnungen in einem Domainnamen bilden eine Hierarchie administrativer Domänen, die durch Punkte getrennt sind. Jede Domänengrenze kann im Prinzip von einem anderen autoritativen Nameserver bedient werden, dem Server, der die offiziellen Aufzeichnungen für diesen Teil der Hierarchie enthält und definiert, wie Namen darunter verwaltet werden. Infolgedessen kann eine einfache Abfrage wie „Was ist www.apnic.net?“ eine Abfolge von Nachforschungen auslösen. Die Auflösung dieses Namens kann Abfragen zu mehreren Domänen in der Hierarchie erfordern, möglicherweise drei oder mehr separate Schritte, bevor die endgültige Antwort erhalten wird.

Wenn ein Cache verfügbar ist, enthält er die Name-zu-Adresse-Zuordnungen, die Sie bereits gelernt haben, einschließlich der Adressen von Nameservern für Domänen, die Sie zuvor besucht haben. Diese Nameserver können dann die gesuchten Antworten liefern, entweder direkt oder indem sie Sie an einen anderen Server verweisen. Aber was passiert, wenn es keinen Cache gibt? Stellen Sie sich vor, Sie fragen nach den Nameservern von .net und erhalten die Antwort, dass es a.net und b.net sind. Wie finden Sie a.net und b.net, wenn das Herausfinden von .net genau das Problem ist, das Sie zu lösen versuchen? Diese zirkuläre Abhängigkeit liegt im Herzen des DNS-Kaltstartproblems: Wie beginnen Sie mit der Auflösung von Namen, wenn Sie noch nicht wissen, wo sich die relevanten Server befinden?

Geoff Huston untersucht dieses Kaltstartverhalten und was es über die Entscheidungen verrät, die Betreiber bei der Benennung von Hosts und Diensten und bei der Gestaltung der DNS-Infrastruktur dahinter treffen. Es zeigt auch, wie Vermittler, die sich in den DNS-Auflösungsprozess einschalten, sowie Mechanismen zur Minderung von Kaltstartrisiken die Gesamtabfragelast für Clients weltweit erhöhen können. Weitere Informationen auf dem APNIC-Blog umfassen einen Beitrag von Geoff Huston mit dem Titel „Cold start DNS“ und die Präsentation von Ondřej Surý in der DNS-Arbeitsgruppe bei RIPE 92.

Für alltägliche Benutzer und Website-Besitzer ist der Kaltstart wichtig, weil es der Moment ist, in dem Ihr Gerät am stärksten von dem konfigurierten Resolver abhängig ist. Ein datenschutzorientierter, verschlüsselter DNS-Dienst wie AEU DNS, der DNS über HTTPS/TLS/QUIC spricht und keine Protokolle führt, kann dieser ersten Abfrage sowohl einen zuverlässigen Upstream-Cache als auch Datenschutz bieten, ohne zusätzliche Abfragelast über das Notwendige hinaus zu erzeugen.