1. WSL-Grenzen

WSL-Grenzen wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu WSL-Grenzen:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

2. Systemd in WSL

Systemd in WSL wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Systemd in WSL:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

3. resolv.conf

resolv.conf wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu resolv.conf:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

4. Stub Resolver

Stub Resolver wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Stub Resolver:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

5. Lokale Ports

Lokale Ports wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Lokale Ports:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

6. BIND Modell

BIND Modell wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu BIND Modell:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

7. CoreDNS Modell

CoreDNS Modell wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu CoreDNS Modell:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

8. dig Tests

dig Tests wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu dig Tests:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

9. Dateisystem

Dateisystem wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Dateisystem:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

10. DNS von Windows

DNS von Windows wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu DNS von Windows:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

11. Firewall Grenzen

Firewall Grenzen wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Firewall Grenzen:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

12. IPv6

IPv6 wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu IPv6:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

13. Logs

Logs wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Logs:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

14. Rechte

Rechte wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Rechte:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

15. Performance

Performance wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Performance:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

16. Cleanup

Cleanup wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Cleanup:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

17. Troubleshooting

Troubleshooting wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Troubleshooting:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

18. Alternativen

Alternativen wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Alternativen:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

19. Abnahme

Abnahme wird in diesem Workshop als überprüfbarer DNS-Baustein behandelt. Entscheidend ist nicht nur eine Abfrage, sondern die Einordnung in Namensraum, Zone, Delegation, Resolverpfad, Cache, Transport und Sicherheitsmodell.

dig example.test SOA +norecurse 2>/dev/null || true
dig @127.0.0.1 example.test A +dnssec 2>/dev/null || true
dig example.test NS +trace 2>/dev/null || true
python3 tools/zone_lint.py zones/db.example.test 2>/dev/null || true

Praxisnotizen zu Abnahme:

• DNS ist ein verteiltes, gecachtes System; lokale Änderungen sind nicht automatisch global sichtbar.
• TTL und negative TTL bestimmen, wie schnell Korrekturen wirksam werden.
• CNAME darf nicht mit anderen Daten am selben Owner Name kollidieren.
• Delegationen brauchen konsistente NS-Records und bei Bedarf Glue.
• DNSSEC schützt Integrität und Herkunft, aber nicht Vertraulichkeit.
• EDNS erweitert DNS-Nachrichten und ist für DNSSEC-Größen relevant.
• Öffentliche, private und Kubernetes-interne DNS-Sichten müssen getrennt bewertet werden.

Typische Fehlerbilder:

Reviewfragen:

• Welche DNS-Rolle ist betroffen: Stub, rekursiver Resolver oder authoritative Server?
• Welche Zone, welcher Name oder welches RRset ist betroffen?
• Welche Antwort ist erwartet: NOERROR, NXDOMAIN, NODATA, SERVFAIL oder REFUSED?
• Welche TTL, SOA- oder Delegationsentscheidung beeinflusst das Verhalten?
• Welche Evidence belegt den Befund?
• Welche Änderung wäre produktiv riskant?

Abgabeformat für WSL-Umgebung:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  risk-note.md
  cleanup.md

Offizielle Quellen und Abgrenzung

• RFC 1034, Domain Names - Concepts and Facilities: https://datatracker.ietf.org/doc/html/rfc1034
• RFC 1035, Domain Names - Implementation and Specification: https://datatracker.ietf.org/doc/html/rfc1035
• RFC 8499, DNS Terminology: https://www.rfc-editor.org/info/rfc8499/
• RFC 6891, Extension Mechanisms for DNS (EDNS(0)): https://datatracker.ietf.org/doc/html/rfc6891
• RFC 4033, DNS Security Introduction and Requirements: https://datatracker.ietf.org/doc/html/rfc4033
• RFC 9364, DNSSEC Best Current Practice: https://www.rfc-editor.org/info/rfc9364/
• IANA Root Zone Database: https://www.iana.org/domains/root/db
• ISC BIND 9 Documentation: https://bind9.readthedocs.io/
• CoreDNS Documentation: https://coredns.io/manual/toc/

Dieser Workshop führt keine eigenen DNS-Protokollregeln ein. Er ordnet offizielle DNS-Konzepte in Labs, Reviewfragen, Zonendateien, Resolvermodelle und Betriebsabläufe ein.

Praxisanhang: DNS-Nachweisführung für environment-wsl-dns-DE.md

Dieser Anhang verbindet die Datei mit wiederholbarer DNS-Evidence. Eine DNS-Aussage ist erst belastbar, wenn Rolle, Zone, Name, RRtype, RCODE, TTL, Resolverpfad und Betriebswirkung zusammen betrachtet werden.

A.1 Namensraum und FQDN

DNS beginnt mit einem hierarchischen Namensraum. Jede Analyse muss klären, ob ein Name relativ, voll qualifiziert, Teil einer Zone oder Ergebnis einer Suche im lokalen Stub Resolver ist.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.2 Stub Resolver

Der Stub Resolver auf dem Client kennt meist nur lokale Resolver und Suchlisten. Fehler in resolv.conf, systemd-resolved oder Suchdomänen können wie Serverfehler wirken.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.3 Rekursiver Resolver

Ein rekursiver Resolver führt Iteration, Caching, DNSSEC-Validierung und Forwarding aus. Er ist nicht gleichbedeutend mit dem authoritative Server einer Zone.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.4 Authoritative Server

Authoritative Server beantworten Daten aus Zonen. Sie sollten keine offene Rekursion anbieten und brauchen klare Zonenverantwortung, Transferregeln und Monitoring.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.5 Zone und Apex

Eine Zone beginnt am Apex und enthält SOA, NS und die autoritativen RRsets. Jede Änderung braucht Serial-Policy, Review und Rollback.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.6 SOA und Serial

SOA steuert Zonenmetadaten, Refresh, Retry, Expire und negative Cache-Zeit. Serial-Werte sind wichtig für Secondary-Server und Audit.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.7 TTL und Cache

TTL bestimmt, wie lange Antworten gecacht werden. Vor Migrationen müssen TTLs rechtzeitig gesenkt und nach der Änderung wieder stabilisiert werden.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.8 Negative Caching

NXDOMAIN und NODATA werden über SOA-Informationen gecacht. Das erklärt, warum gelöschte oder neu angelegte Namen nicht sofort überall sichtbar sind.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.9 Delegation

Delegation verbindet Parent und Child Zone. NS-Records, Glue und Child-SOA müssen konsistent sein, sonst entstehen schwer sichtbare Ausfälle.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.10 Glue Records

Glue wird benötigt, wenn Nameservernamen innerhalb der delegierten Zone liegen. Falscher oder fehlender Glue kann die Erreichbarkeit der Child-Zone verhindern.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.11 Record-Typen

A, AAAA, CNAME, MX, TXT, SRV, PTR, NS und SOA haben unterschiedliche Regeln. Ein CNAME darf nicht mit anderen Daten am selben Owner Name kombiniert werden.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.12 Mail-DNS

SPF, DKIM und DMARC sind DNS-basierte Policy-Daten für Mail. Syntax, TTL und organisatorische Zuständigkeit müssen getrennt geprüft werden.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.13 Reverse DNS

PTR-Zonen gehören zum Adressraum und nicht zur Forward-Zone. Ownership und Delegation unterscheiden sich häufig von der Domain-Zone.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.14 Transport

DNS nutzt UDP und TCP. EDNS erweitert UDP-Antwortgrößen; Fragmentierung, TC-Bit und TCP-Fallback sind typische Fehlerquellen.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.15 EDNS

EDNS(0) ermöglicht größere Antworten und DNSSEC-Transport, kann aber durch Firewalls oder Middleboxes gestört werden.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.16 DNSSEC

DNSSEC schützt Datenherkunft und Integrität, nicht Vertraulichkeit. DS, DNSKEY, RRSIG, NSEC/NSEC3 und Validierungsstatus müssen zusammen betrachtet werden.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.17 TSIG

TSIG schützt Zonentransfers und Dynamic Updates mit geteilten Schlüsseln. Diese Schlüssel gehören nicht ins Repository und brauchen Rotation.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.18 Zonentransfer

AXFR und IXFR sind Betriebsfunktionen. Allow-Transfer, Notify, Secondary-Server und Audit müssen klar dokumentiert sein.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.19 Dynamic Update

DNS UPDATE sollte nur mit enger Policy und TSIG erlaubt werden. Unkontrollierte Updates können Zonenintegrität und Audit zerstören.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.20 Split Horizon

Split Horizon erzeugt unterschiedliche Antworten je Sicht. Das ist legitim, aber Troubleshooting und Security-Review müssen die betroffene Sicht benennen.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.21 Resolver Privacy

DoT, DoH und QNAME Minimization betreffen Transport und Datenschutz. Sie ersetzen weder DNSSEC noch korrekte Zonendaten.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.22 RPZ und DNS-Firewall

Response Policy Zones und DNS-Firewalls sind Sicherheitskontrollen. Sie brauchen klare Policy, Logging, Ausnahmeprozess und Missbrauchsschutz.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.23 Kubernetes DNS

CoreDNS in Kubernetes verbindet Service Discovery, Cluster-Domains und Forwarding. Fehler können aus CoreDNS, kube-dns-Konfiguration, NetworkPolicy oder Upstream-DNS stammen.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.24 Monitoring

DNS-Monitoring muss RCODE-Verteilung, Latenz, SERVFAIL-Rate, NXDOMAIN-Spitzen, Transferstatus, DNSSEC-Validierung und Zonenserials abdecken.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.25 Incident Response

DNS-Incidents brauchen schnelle Einordnung: betroffene Sicht, Resolverpfad, RCODE, TTL, Cache, Delegation, DNSSEC und letzte Änderungen.

Konkrete Reviewfragen:

• Welche DNS-Rolle ist betroffen?
• Welche Zone und welcher Owner Name sind betroffen?
• Welcher RRtype und welcher RCODE wurden beobachtet?
• Welche TTL oder negative Cache-Zeit wirkt?
• Welche Delegation oder welcher Resolverpfad ist beteiligt?
• Welche Sicherheitskontrolle ist relevant?
• Welche Evidence enthält keine Secrets?
• Wie sieht der Rollback aus?

Typische Evidence:

evidence/
  query-output.txt
  zone-review.txt
  resolver-path.md
  ttl-and-cache.md
  rollback.md

A.26 Minimaler Abschlussnachweis

• RCODE, RRtype, Zone und Resolverpfad sind dokumentiert.
• Zonendateien enthalten SOA und NS und verletzen keine CNAME-Regeln.
• TTL, negative Cache-Zeit und Rollback-Fenster sind benannt.
• DNSSEC, TSIG oder ACLs werden nicht behauptet, ohne Evidence.
• Evidence enthält keine produktiven Secrets, API-Tokens oder Zonenschlüssel.
• Offizielle RFCs und Tool-Dokumentation ersetzen Vermutungen.