Verständnisfragen zu DNS-Einträgen

[5ky]

Guten Morgen,

wie der Titel schon sagt, stehe ich gerade vor Fragen bezüglich meiner DNS-Einträge. Es funktioniert soweit alles wie gewünscht.
Die Wiki und Google Funde konnten leider mir den Zusammenhang nicht so erklären, dass ich es auch verstehe.

Ich habe mehrere Server, welche z.b. auf server1.MEINEDOMAIN.de, server2.MEINEDOMAIN.de etc hören.

Mein Registrar legt in der standard Konfiguration folgende Einträge pro Domain an (hier MEINEDOMAIN.de):

Zeile   Name   Typ   Wert                  Prio        TTL
01      *      A     IPSERVER1                         3600
02             A     IPSERVER1                         3600
03      mail   A     IPSERVER1                         3600
04      www    A     IPSERVER1                         3600
05             MX    mail.MEINEDOMAIN.de   10          3600
06             NS    SUB2.NAMESERVER.de                3600
07             NS    SUB3.NAMESERVER.de                3600
08             NS    SUB.NAMESERVER.de                 3600
09             SOA   SUB.NAMESERVER.de...              3600

Zeile 1 und 2 sind mir klar.
Zeile 3 und 4 könnte ich mir doch eigentlich sparen, da sie mit Zeile 1 abgedeckt sind.
Zeile 6,7,8 geben meine Nameserver an und Zeile 9 ist mein Zoneneintrag.

Wenn wir rein die Hostnames betrachten kommt ein weiterer Eintrag hinzu:

Zeile   Name      Typ   Wert                  Prio        TTL
05      server2   A     IPSERVER2                         3600

Server1 ist bereits mit Zeile 1 abgedeckt.

Das Verständnis fehlt mir bei der oberen Zeile 5, dem MX Eintrag.

Beide Hosts hören mit "hostname" sowie "hostname -f" auf ihre FQDN "server1.MEINEDOMAIN.de" und "server2.MEINEDOMAIN.de"
Dies ist auch im Postfix eingestellt.
Diese FQDN ist auch in den Email Clienten eingestellt, damit ich das gültige Zertifikat verwenden kann.
Beide Server empfangen und senden Emails korrekt.

Was aber hat es mit diesem MX Eintrag auf sich? Sollte ich hier 2 anlegen mit dem Wert jeweils auf den Hostnamen? Kann ich überhaupt 2 gleiche mit beide Prio 10 anlegen? Oder ist der Eintrag lediglich dafür gedacht, wenn einer Ausfällt, dass gleich auf einen Prio 20 gewechselt werden kann?

Was genau hat es mit der TTL auf sich? Ist das nicht die Zeit, in welcher die Information im lokalen Cache bleibt? Ändere ich die IPs von Domains und pinge sie an, sind diese sehr oft realtiv schnell (wenige Sekunden) aktualisiert und leiten auf die neue IP. Manchmal dauert es aber auch die eingestellte Stunde? Wie verhält es sich, wenn ich zeitnah mehrere Domains auf eine andere IP aktualisiere?

LG

 

[Thunderbyte]

Du solltest Dir durchaus mal einige Grundlagen zu DNS ansehen, dann verstehst Du vieles einfacher.

Zu Deinen Fragen:

Der MX Eintrag gibt den Mailserver für die Domain an. Ein MX Eintrag darf immer nur auf einen FQDN lauten, nicht auf eine IP Adresse. Daraus folgt, dass man für den Namen des Mailservers einen A Record anlegen muss, der auf die IP verweist. Daher sind Zeile 5 und Zeile 3 im Zusammenhang zu betrachten, Zeile 3 existiert, weil Zeile 5 so konfiguriert ist.

Wenn es nur einen Mailserver gibt, reicht auch ein MX Record. Wenn man Mailserver ausfallsicherer gestalten will, kann man mit einer "höheren" Priorität (z.B. 20 im vorliegenden Fall) einen weiteren Mailserver mit einem zweiten MX Record definieren. Wird der erste MX Record (z.B. wegen Ausfall) nicht erreicht, wird auf den zweiten MX Record zurückgefallen. Die Zahl für die Priorität selbst ist egal, Du kannst 1,2,3 oder 10,20,30 oder 100,200, 300 oder 5, 9, 17 verwenden. Wichtig ist nur die Relation untereinander.
Wenn kein zweiter Mailserver vorhanden ist, reicht ein Mailserver mit z.B. Prio 10.

Die TTL (Time to Live) ist eine Empfehlung, wie lange die Namensauflösung voraussichtlich gültig bleibt: http://de.wikipedia.org/wiki/Time_to_Live#Domain_Name_System . Diese Zahl muss aber nicht befolgt werden. Manche Caches machen die Zeit eigenmächtig kürzer oder länger. Zu kurz sollte sie nicht gewählt werden, wenn DNS Einträge nur sehr selten geändert werden.

 

[5ky]

Danke für die Info.
Soweit ist es klar. Mit meinen 2 genannten Server sollte aber keine Redundanz aufgebaut werden, sondern eigenständige Server mit eigenen Domains bzw. Hostings. Lediglich der Hostname (hier MEINEDOMAIN) ist gleich, getrennt über genannte Subdomains.

Das mit dem Mail MX und A Record habe ich verstanden, dass der MX auf eine Domain zeigen muss, welche auf die ServerIP zeigt.

Wie kann die Sache jedoch funktionieren, dass auch server2 alleine mit einem A-Record korrekt Emailen kann, ohne dass für diesen ein MX-Record existiert?
Das ist nämlich gerade mit dieser Einstellung der Fall:

Zeile   Name         Typ   Wert                  Prio        TTL
01      server1      A     IPSERVER1                         3600
02      *            A     IPSERVER1                         3600
03      mail         A     IPSERVER1                         3600
04      server2      A     IPSERVER2                         3600
05                   MX    mail.MEINEDOMAIN.de   10          3600

Auf Domains beider Server klappt mit Eintrag von server1.MEINEDOMAIN.de bzw. server2.MEINEDOMAIN.de das Mailing.

 

[Thunderbyte]

Lediglich der Hostname (hier MEINEDOMAIN) ist gleich, getrennt über genannte Subdomains.

Das ist nicht korrekt, sub1.domain.de und sub2.domain.de sind zwei völlig getrennte Hostnamen, die auf verschiedene IPs zeigen können (und das in diesem Fall auch tun).

Der MX Eintrag gibt an, an welche IP externe Mailserver ihre Mail für Deine Domain schicken sollen. D.h. der MX Eintrag ist für auf Deine Domain EINGEHENDE Mails zuständig.

AUSGEHEND kannst Du natürlich über beide Server Mails verschicken (sofern auf beiden Servern ein Mailer installiert ist), EMPFANGEN kannst Du nur auf Server1.

 

[5ky]

Ach jetzt klingelts. Hmmm. So gesehen eigentlich logisch.

Ausgehend kann ich ja über beide Server senden. Das hat ja somit nichts mit den MX Einträgen zu tun.

Eingehend ist nachvollziehbar, dass Mails, welche an die MEINSERVER-Rootdomain gehen, nur auf einen ankommen können. Geht ja auch nicht anders.

Habe ich jetzt aber wie in meinem Fall weitere Domains z.b. WEITEREDOMAIN.de habe ich dieser ja bereits alle standard 4 A-Records sowie den MX-Eintrag auf die IP von server2 zeigend. Insofern gelangen die Nachrichten natürlich auch zu Server2.
Der Client holt diese ja auch nur ab, insofern kann ich über server2.MEINSERVER.de den Abruf machen und sicherstellen, dass das für MEINSERVER.de Zertifikat gültig ist.

Ich denke soweit hab ichs verstanden. Vielen Dank.

 

[Thunderbyte]

Wenn Du eine WEITEREDOMAIN.de hast und für diese in den DNS Einstellungen einen MX Record auf SERVER2 angelegt hast (über den Umweg "mail.WEITEREDOMAIN.de", s.o.), kannst Du SERVER2 für WEITEREDOMAIN.de für eingehende Mails nutzen.

Hinweis: es ist durchaus möglich (ja sogar gebräuchlich), auch bei mehreren Domains EINEN FQDN als Mailserver anzugeben:

ERSTEDOMAIN.de < MX Record: mail.ERSTEDOMAIN.de
ZWEITEDOMAIN.de < MX Record: mail.ERSTEDOMAIN.de
DRITTEDOMAIN.de < MX Record: mail.ERSTEDOMAIN.de

Über diesen Mechanismus kann ein Mailserver die Mails für mehrere Domains entgegennehmen.

Bitte stelle bei Deinem Mailserver weiterhin sicher, dass auch der PTR Record passt ( http://de.wikipedia.org/wiki/PTR_Resource_Record ). D.h. der Domainname soll auf die IP des Servers auflösen, umgekehrt soll aber auch die IP auf den Domainnamen auflösen (zu testen via "tracert 123.123.123.123" (IP des Mailservers) > es muss mail.ERSTEDOMAIN.de erscheinen).

Gleichfalls ist darauf zu achten, dass der Mailserver nicht als "Open Relay" Mails ohne Anmeldung entgegennimmt.

EDIT: Nur zum Verständnis: Du bist hier seit 2008 angemeldet, hast womöglich seit 6 Jahren einen Server und kennst noch nicht mal DNS Grundbegriffe? Oder hast Du anders angefangen?

 

[danton]

Hinweis: es ist durchaus möglich (ja sogar gebräuchlich), auch bei mehreren Domains EINEN FQDN als Mailserver anzugeben:

ERSTEDOMAIN.de < MX Record: mail.ERSTEDOMAIN.de
ZWEITEDOMAIN.de < MX Record: mail.ERSTEDOMAIN.de
DRITTEDOMAIN.de < MX Record: mail.ERSTEDOMAIN.de

Über diesen Mechanismus kann ein Mailserver die Mails für mehrere Domains entgegennehmen.

Ein solches Setup macht auch im Bezug auf SSL-Verschlüsselung beim Mail-Server Sinn, da ja auch viele andere Mailserver nach der NSA-Affäre letztes Jahr verhlüsselt miteinander kommunizieren. Da brauchst du dann für den Mailserver nämlich nur ein Zertifikat, welches auf mail.ERSTEDOMAIN.de ausgestellt ist. Als Betreiber weißt du halt nicht, wie sich die anderen Mail-Server verhalten, falls sie beim Zustellen auf ein Zertifikat treffen, welches nicht zum MX paßt.