Was ist BIND und wann ist der Einsatz sinnvoll?
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz gesagt: BIND (Berkeley Internet Name Domain) ist quelloffene Serversoftware für DNS, die vor allem unter Linux und Unix eingesetzt wird. Sie kann Informationen zu Domains veröffentlichen oder im Auftrag von Nutzern Antworten über DNS ermitteln. BIND ist hilfreich, wenn du die Verwaltung von DNS selbst kontrollieren möchtest. Für den Betrieb einer gewöhnlichen Website reicht jedoch meist ein vom Anbieter verwalteter Dienst für DNS aus.
Wozu dient BIND?
DNS (Domain Name System) ist das System der Domainnamen: Es ermittelt unter anderem, welche IP-Adresse zu dem Namen gehört, den du im Browser eingibst. Außerdem speichert es weitere Informationen, etwa die zuständigen Mailserver einer Domain oder Daten zur Verifizierung von Diensten. BIND ist eines der Programme, die dieses System bereitstellen, und nicht die Bezeichnung für DNS selbst.
BIND wird von der Organisation Internet Systems Consortium (ISC) entwickelt. Die aktuelle Softwarelinie heißt BIND 9, ihr zentraler Serverprozess trägt den Namen named. Das Paket enthält außerdem Verwaltungswerkzeuge, unter anderem zur Prüfung der Konfiguration und zur Diagnose von Antworten über DNS.
BIND speichert keine Dateien einer Website und ersetzt keinen Webserver. Es registriert auch keine Domains. Seine Aufgabe besteht darin, Antworten über DNS zu liefern. Damit können Browser und andere Anwendungen ermitteln, wohin sie eine Verbindung zum gewünschten Dienst aufbauen müssen.
Zwei Rollen: autoritativer Server und Resolver
Ein autoritativer Server stellt verbindliche Daten zu den Domains bereit, für die er zuständig ist. Der Administrator definiert diese Daten in einer Zone innerhalb von DNS, also einem abgegrenzten Teil des Namensraums. Eine solche Zone kann A- und AAAA-Records enthalten, die auf IP-Adressen verweisen, MX-Records zur Steuerung der E-Mail-Zustellung sowie TXT-Records mit Textinformationen.
Ein rekursiver Resolver sucht im Auftrag eines Clients nach Antworten. Hat er die benötigte Information nicht im Cache, fragt er die entsprechenden Server für DNS ab, bis er ein Ergebnis erhält. Anschließend kann er die Antwort für die durch den TTL-Wert festgelegte Dauer speichern. Dieser Parameter bestimmt, wie lange die Antwort im Cache aufbewahrt werden darf.
BIND kann beide Rollen übernehmen, doch für sie gelten unterschiedliche Zugriffsanforderungen. Ein öffentlicher autoritativer Server sollte Anfragen zu den von ihm betreuten Zonen beantworten. Ein unternehmensinterner Resolver sollte rekursive Anfragen dagegen nur von berechtigten Clients annehmen, beispielsweise von Geräten im lokalen Netzwerk oder im VPN.
Bei öffentlich erreichbaren Installationen ist es in der Regel sinnvoll, diese Rollen zu trennen. Das erleichtert die Anwendung unterschiedlicher Sicherheitsregeln und begrenzt die Folgen von Konfigurationsfehlern.
Wie funktioniert die Verwaltung einer Domain in der Praxis?
Angenommen, ein Unternehmen zieht seine Website auf einen neuen Server um, lässt seine E-Mails aber beim bisherigen Anbieter. Wird die Zone von BIND verwaltet, ändert der Administrator den A-Record und bei Nutzung von IPv6 auch den AAAA-Record. Die MX-Records bleiben unverändert, da sich an der E-Mail-Zustellung nichts ändert.
Die Änderung ist nicht unbedingt sofort für alle Nutzer sichtbar. Resolver können die bisherige Antwort weiterverwenden, bis deren TTL abgelaufen ist. Vor einer geplanten Migration lässt sich die TTL der zu ändernden Records mit entsprechendem Vorlauf senken. Dabei gilt für bereits gespeicherte Antworten weiterhin der bisherige, längere Wert.
BIND kann für eine Zone auch als primärer oder sekundärer Server arbeiten. Der primäre Server ist die Quelle der Zonendaten, der sekundäre bezieht über einen Zonentransfer eine Kopie davon. Das ist keine Aufteilung in einen „aktiven“ Server und einen „Ersatzserver“: Beide können regulär Anfragen beantworten.
Allein durch das Starten von BIND wird die eigene Infrastruktur noch nicht für die Domain zuständig. Dafür ist auch eine korrekte Delegierung erforderlich: Die Nameserver müssen in der übergeordneten Zone eingetragen werden, üblicherweise über die Verwaltungsoberfläche des Domainregistrars.
Was muss abgesichert und geprüft werden?
Die Administration von BIND umfasst mehr als das Bearbeiten von Records. Besonders wichtig sind:
- Rekursion einschränken. Ein öffentlich zugänglicher, offener Resolver kann zur Verstärkung von DDoS-Angriffen missbraucht werden.
- Zonentransfers kontrollieren. Nur berechtigte sekundäre Server sollten Kopien der Zonen abrufen dürfen.
- Software aktualisieren. Prüfe die eingesetzte Version sowie Informationen zu Support und Fehlerbehebungen anhand der Mitteilungen von ISC und der Dokumentation deiner Distribution.
- Verfügbarkeit der Infrastruktur sichern. Nameserver sollten in voneinander unabhängigen Umgebungen betrieben werden, damit ein einzelner Ausfall nicht den gesamten Betrieb von DNS lahmlegt.
BIND unterstützt DNSSEC, einen Mechanismus zum Signieren von Daten in DNS und zur Prüfung ihrer Authentizität. DNSSEC verschlüsselt weder Anfragen noch verbirgt es die aufgerufenen Namen. Die Einrichtung erfordert eine korrekte Schlüsselverwaltung und die Verknüpfung der signierten Zone mit der übergeordneten Zone.
Bevor du Änderungen übernimmst, kannst du die Syntax der Konfiguration mit named-checkconf und die Zonendatei mit named-checkzone prüfen. Nach der Umsetzung lassen sich mit dig die Antworten einzelner Server kontrollieren. Eine korrekte Syntax garantiert jedoch weder eine korrekte Delegierung noch die Erreichbarkeit des Dienstes aus dem Internet.
Wann ist BIND sinnvoll, wann ein verwalteter Dienst?
BIND ist sinnvoll, wenn eine Organisation eine eigene Infrastruktur für DNS, lokale Zonen, eine detaillierte Zugriffskontrolle oder die Einbindung in ihre bestehende Systemadministration benötigt. Es eignet sich auch zum Erlernen von DNS, da du selbst eine Zone konfigurieren und die Antworten des Servers beobachten kannst.
Für Betreiber einer Unternehmenswebsite oder eines Onlineshops ist ein verwalteter Dienst häufig die einfachere Lösung. Der Anbieter betreibt die Server für DNS und pflegt deren Software; der Nutzer bearbeitet die Records in einer Verwaltungsoberfläche. Das bedeutet weder, auf die eigene Domain zu verzichten, noch, Website und DNS beim selben Unternehmen betreiben zu müssen.
Kläre deshalb vor der Installation eine Frage: Möchtest du lediglich die Records einer Domain ändern oder tatsächlich einen Server für DNS betreiben? Geht es nur um die Records, prüfe zunächst die Möglichkeiten deiner vorhandenen Verwaltungsoberfläche für DNS. Eine eigene BIND-Installation bedeutet zusätzliche Verantwortung für Verfügbarkeit, Updates und Sicherheit.
Siehe auch: Was ist Apache?
Lesen Sie auch
