Domain Name System (DNS) ist ein wichtiger Dienst, der menschenlesbare Domänennamen in IP-Adressen übersetzt und so die Internetkommunikation ermöglicht. Das primäre Protokoll für DNS-Abfragen war traditionell UDP (User Datagram Protocol), aber auch TCP (Transmission Control Protocol) wird unterstützt. RFC 5966 bietet Spezifikationen und Erläuterungen zur Verwendung von TCP in DNS als Ergänzung zu UDP. Dieser Artikel befasst sich eingehend mit RFC 5966 und erläutert die Kommunikationsprozesse zwischen DNS-Clients und -Servern sowie die Implementierung von Lastausgleich für UDP- und TCP-Verkehr.

UDP vs. TCP in der DNS-Kommunikation #

UDP für DNS: Der Standardansatz #

DNS-Anfragen werden typischerweise über UDP an Port 53 gesendet. UDP ist ein verbindungsloses, schlankes Protokoll, das sich hervorragend für den Versand kleiner Datenpakete mit minimalem Overhead eignet. Eine typische DNS-Anfrage besteht darin, dass ein Client eine Anfrage an einen DNS-Server sendet und der Server mit der entsprechenden IP-Adresse antwortet.

Der Grund, warum UDP der Standard für DNS ist, ist seine Effizienz:

• Geringe Wartezeit: UDP erfordert vor der Datenübertragung keinen Verbindungsaufbau, wodurch die Verzögerung minimiert wird.
• Staatenlose Kommunikation: Jede Anfrage ist unabhängig, was sie schnell und einfach macht.
• Kleine Nutzlasten: DNS-Anfragen sind oft sehr klein und UDP kann diese effektiv und ohne Überlastung verarbeiten.

UDP weist jedoch Einschränkungen auf, insbesondere hinsichtlich der Zuverlässigkeit. Pakete können verloren gehen oder in der falschen Reihenfolge eintreffen. Darüber hinaus können DNS-Antworten die typische UDP-Größenbeschränkung (512 Byte für herkömmliches DNS, erweitert auf 4096 Byte mit EDNS0) überschreiten, was zu einer Kürzung führt.

TCP für DNS: Eine zuverlässige Alternative #

TCP ist im Gegensatz zu UDP ein verbindungsorientiertes Protokoll, das eine zuverlässige Datenübertragung durch einen Handshake ermöglicht und die sequenzielle Paketzustellung garantiert. Traditionell war DNS über TCP für Zonenübertragungen zwischen DNS-Servern (AXFR/IXFR-Operationen) und Fallback-Szenarien reserviert, wenn eine DNS-Antwort für UDP zu groß war.

RFC 5966 stellt klar, dass DNS-Server DNS über TCP für alle Abfragen unterstützen müssen, nicht nur in Ausnahmefällen. Wichtige Gründe für die Verwendung von TCP in DNS sind:

• Große Antworten: DNSSEC (DNS Security Extensions) und weitere Verbesserungen haben zu größeren DNS-Nachrichten geführt. Überschreitet eine Antwort das UDP-Größenlimit, wechselt der Client zu TCP, um die vollständige Antwort abzurufen.
• Zuverlässigkeit: TCP stellt sicher, dass alle Pakete in der richtigen Reihenfolge empfangen werden, und behebt die Zuverlässigkeitsprobleme, die bei UDP auftreten.

So funktioniert die DNS-Kommunikation über UDP und TCP #

UDP-Kommunikation #

• Der Client sendet per UDP eine DNS-Anfrage an den Server.
• Der Server verarbeitet die Abfrage und sendet eine Antwort zurück, normalerweise innerhalb der 512-Byte-Grenze.
• Wenn die Antwort des Servers dieses Limit überschreitet und eine Kürzung erfolgt, sendet der Client die Abfrage erneut über TCP.

TCP-Kommunikation #

• Der Client initiiert eine TCP-Verbindung mit einem Drei-Wege-Handshake.
• Die Abfrage wird gesendet und der Server antwortet mit der vollständigen DNS-Antwort.
• Die Verbindung wird nach der Kommunikation geschlossen, jedoch können dauerhafte Verbindungen für mehrere Abfragen aufrechterhalten werden, um den Overhead zu reduzieren.

Lastenausgleich für UDP und TCP im DNS #

Lastausgleich spielt eine entscheidende Rolle für die Zuverlässigkeit, Verfügbarkeit und Skalierbarkeit von DNS-Diensten, insbesondere in Umgebungen mit hohem Datenverkehr. Er kann DNS-Anfragen auf mehrere Server verteilen, die Ressourcennutzung optimieren und die Antwortzeiten verbessern. Für den DNS-Verkehr sind sowohl UDP- als auch TCP-Lastausgleich wichtig, die Methoden unterscheiden sich jedoch geringfügig.

Lastenausgleich für UDP-DNS-Verkehr #

Da UDP zustandslos ist, besteht der Lastausgleich bei UDP darin, einzelne Anfragen auszugleichen, ohne den Verbindungsstatus zu verfolgen. Es gibt verschiedene Techniken für den UDP-Lastausgleich:

• Round-Robin-DNS: Der DNS-Resolver verteilt Abfragen zufällig auf mehrere DNS-Server und bietet so eine einfache Möglichkeit, den Datenverkehr zu verteilen.
• Anycast-Routing: Bei Anycast wird dieselbe IP-Adresse von mehreren DNS-Servern an verschiedenen Standorten bekannt gegeben. Das Netzwerk leitet die Client-Anfrage an den nächstgelegenen Server weiter und reduziert so die Latenz.
• IP-Hashing: Einige Load Balancer verwenden die Quell-IP-Adresse, um den Datenverkehr konsistent an denselben DNS-Server weiterzuleiten. Dadurch wird sichergestellt, dass derselbe Client für einen bestimmten Zeitraum an denselben Server weitergeleitet wird.

Lastenausgleich für TCP-DNS-Verkehr #

Da TCP verbindungsorientiert ist, muss der Load Balancer den Status jeder Verbindung überwachen, um sicherzustellen, dass alle Pakete einer Sitzung an denselben DNS-Server weitergeleitet werden. Zu den Techniken für den TCP-Load-Balancing gehören:

• Sitzungspersistenz: Diese Methode, auch als „Sticky Sessions“ bezeichnet, stellt sicher, dass alle Pakete derselben TCP-Sitzung an denselben Server weitergeleitet werden. Dies ist entscheidend für die Integrität der TCP-Verbindung.
• Lastenausgleich auf Schicht 4: Lastenausgleichsmodule auf Ebene 4 (Transportebene) verteilen den Datenverkehr basierend auf IP-Adressen und TCP/UDP-Portnummern und stellen sicher, dass jede Verbindung oder Sitzung vom selben Server verarbeitet wird.
• Lastenausgleich auf Schicht 7: Auf Ebene 7 (Anwendungsebene) kann der Load Balancer die DNS-Abfrage selbst prüfen und intelligente Routing-Entscheidungen basierend auf dem Inhalt der Abfrage treffen, beispielsweise dem angeforderten Domänennamen.

Vorteile der Implementierung von Lastenausgleich für DNS #

• Redundanz und Failover: Durch Lastenausgleich wird sichergestellt, dass bei einem Serverausfall andere nahtlos übernehmen können und so eine kontinuierliche DNS-Auflösung gewährleistet wird.
• Skalierbarkeit: Bei steigender Nachfrage können hinter dem Load Balancer zusätzliche Server hinzugefügt werden, ohne die clientseitigen Konfigurationen zu ändern.
• Geografische Verteilung: Mit Anycast-Routing können DNS-Server über verschiedene geografische Standorte verteilt werden, sodass Clients den nächstgelegenen Server für eine schnellere Auflösung erreichen können.

DNS-over-UDP- und DNS-over-TCP-Lastausgleichskonfiguration #

Um den DNS-Verkehr mit Relianoid Load Balancer effektiv zu verteilen, können Sie zwei separate Farmen speziell für DNS-over-UDP und DNS-over-TCP konfigurieren, beide auf Port 53. Die DNS-over-UDP-Farm verarbeitet Standard-DNS-Abfragen, die typischerweise kleiner und verbindungslos sind und so Geschwindigkeit und Ressourcenverbrauch optimieren. Die DNS-over-TCP-Farm hingegen ist für DNS-Abfragen eingerichtet, die die typische UDP-Paketgröße (512 Byte) überschreiten oder eine zuverlässigere Übermittlung erfordern, wie beispielsweise Zonentransfers. Durch die protokollbasierte Segmentierung dieser Farmen gewährleisten Sie eine effiziente Verarbeitung aller Verkehrsarten auf Port 53, nutzen die protokollspezifische Lastverteilung, erhöhen die Ausfallsicherheit und reduzieren Engpässe.

Erstellen Sie dazu die Farmen im Abschnitt LSLB > Bauernhöfe und L4xNAT Profil und NAT Modus wie unten gezeigt.

Fazit #

RFC 5966 betont die Bedeutung der Unterstützung von TCP für DNS-Abfragen zusätzlich zu den traditionellen UDP-basierten Anfragen. Während UDP aufgrund seiner Effizienz das primäre Protokoll bleibt, bietet TCP Zuverlässigkeit für umfangreiche Antworten und DNSSEC-Abfragen. Damit DNS-Dienste skalierbar und belastbar sind, insbesondere bei hohem Datenverkehr, ist die Implementierung von Lastausgleichsstrategien für UDP- und TCP-Verkehr unerlässlich. Diese Lastausgleichstechniken stellen sicher, dass DNS-Dienste reaktionsschnell, sicher und in der Lage sind, die steigende Nachfrage zu bewältigen.

Durch das Verständnis und die Nutzung beider Protokolle sowie eine ordnungsgemäße Lastverteilung können Netzwerkadministratoren robuste DNS-Infrastrukturen aufbauen, die den Anforderungen des modernen Internets gerecht werden.