Richtig verbunden

von Thomas Joos

Eine fehlerhafte oder unzureichende Konfiguration der DNS-Namensauflösung zieht in einem Netzwerk meist eine Vielzahl von Problemen nach sich. Eine Instabilität von Server- diensten im Netzwerk ist eine unmittelbare Konsequenz einer defekten DNS-Funktion. Bei Einsatz des Active Directory erlangt die Funktionstüchtigkeit des Domain Name Systems eine noch höhere Relevanz, da eine korrekte Namensauflösung eine grundlegende Voraussetzung für die reibungslose Kommunikation zwischen Servern sowie zwischen Servern und Nutzern ist. Wir stellen praktische Tools für die Fehlersuche vor.

Es existieren zahlreiche Beispiele, die verdeutlichen, weshalb es ratsam ist, sich die DNS-Konfiguration im Netzwerk näher anzusehen und eine Optimierung der Konfiguration vorzunehmen. Und auch Hackerangriffe auf die Namensauflösung sind möglich – zu den Folgen zählen die Übernahme eines Serversystems, das Locken von Anwendern in eine Falle oder das Stehlen von Daten. Im Folgenden zeigen wir wichtige Schritte auf, um das DNS zu schützen.

DNS mit Best Practices Analyzer prüfen

Mit der Veröffentlichung von Windows Server 2025 erweitert Microsoft die Funktionalität des Best Practices Analyzers zur automatischen Überprüfung von Serverrollen. Dieser gehört zu den integrierten Funktionen von Server 2025 und lässt sich im Servermanager zur Überprüfung von Serverrollen über das Netzwerk einsetzen. In den Vorgängerversionen ist der BPA aber ebenfalls enthalten. Dieser erlaubt es, nahezu alle Serverrollen zu überprüfen und das Ergebnis zentral anzuzeigen. Ferner besteht die Möglichkeit, dem Domain Name System auf den Zahn zu fühlen.

Durch die Auswahl der Option "Verwalten / Server hinzufügen" fügen Sie hierfür alle Windows-Server im Netzwerk zum Servermanager hinzu. In der Folge ordnet dieser die Server nach ihren Rollen und erstellt automatisch Servergruppen. Die schnellste Möglichkeit, den BPA für Serverrollen zu starten und zu aktivieren, besteht dann in der Eingabe des PowerShell-Befehls Get-BPAModel | Invoke-BpaModel. Sofern Sie lediglich einen Scanvorgang für eine spezifische Rolle, beispielsweise für den DNS-Server, initiieren möchten, ist zunächst die entsprechende Model-ID abzurufen. Danach starten Sie die Tests mit

Im Anschluss besteht die Möglichkeit, die Ergebnisse auszulesen. Darüber hinaus können Sie eine gezielte Suche nach dem Text "Fehler" durchzuführen:

Der Befehl liefert eine Liste aller Meldungen, die den Begriff "Fehler" enthalten.

Ein weiteres nützliches Cmdlet ist "Get-DnsClientCache". Dieses liest den aktuellen DNS-Cache des Servers aus. Damit lassen sich ebenfalls potenzielle DNS-Probleme diagnostizieren und feststellen, ob der Cache veraltete oder falsche Einträge enthält. Diese Informationen erhalten Sie übrigens auch mit dem Befehl ipconfig /displaydns. Der schnellste Weg, den Cache zu bereinigen, führt über ipconfig /flushdns. Das Pendant in der PowerShell dazu ist das Cmdlet "Clear-DnsClientCache". Das kann insofern hilfreich sein, als dass der Versuch der Namensauflösung zunächst über den Cache erfolgt. In diesem Kontext besteht auch die Möglichkeit, Angriffe auf DNS-Server zu identifizieren, indem Sie die Liste auf gefälschte DNS-Einträge überprüfen. Eine Form des Spoofings basiert nämlich auf der Einschleusung von DNS-Einträgen in den Cache.

Namensauflösung mit nslookup testen

Beim Troubleshooting in einem Microsoft-Netzwerk oder dem Testen des Internetzugangs bietet sich das Befehlszeilentool "nslookup" an. Sollte eine Auflösung des Servernamens damit nicht funktionieren, besteht die Möglichkeit einer schrittweisen Fehleranalyse. So können Sie den Namen des Servers und dessen IP-Adresse bei Problemen in der entsprechenden DNS-Zone mit dem Befehl ipconfig /registerdns registrieren. Sollte die Fehlermeldung weiterhin auftauchen, überprüfen Sie, ob das primäre DNS-Suffix auf dem Server mit dem Zonennamen der DNS-Zone übereinstimmt.

Danach eruieren Sie, ob die IP-Adresse des Servers korrekt ist und der Eintrag des bevorzugten DNS-Servers in den IP-Einstellungen den Anforderungen entspricht. Eine Überprüfung der Eigenschaften der Zone sollte Aufschluss darüber geben, ob eine dynamische Aktualisierung zugelassen wird. Sofern dies nicht der Fall ist, ändern Sie die entsprechende Einstellung, um eine Aktualisierung zu ermöglichen. Die Eigenschaften der Zonen können Sie durch einen Rechtsklick auf die jeweilige Zone und die Auswahl der Eigenschaften öffnen. Ist so weit alles richtig eingestellt, helfen womöglich die folgenden Schritte bei der Fehlersuche:

1. Überprüfen Sie, ob in den IP-Einstellungen des Computers der korrekte DNS-Server als bevorzugt eingetragen ist.

2. Testen Sie danach, ob der bevorzugte DNS-Server die Zone verwaltet, in der eine Namensauflösung stattfinden soll.

3. Verwaltet der Server die betreffende Zone selbst? Sofern dies nicht der Fall ist, prüfen Sie, ob in den Eigenschaften des Servers ein Server eingetragen ist, der die Zone auflösen kann.

4. Bei Weiterleitungen testen Sie, ob der Weiterleitungsserver die Zone auflösen kann oder ob auch dieser die Anfrage weiterleitet.

Innerhalb der Weiterleitungskette muss an einer Stelle ein Server vorhanden sein, der die Anfrage schließlich auflösen kann. Andernfalls ist ein Verbindungsaufbau seitens des Clients nicht möglich, sodass die Abfrage des Namens fehlschlägt.

Sobald Sie nslookup aufgerufen haben, besteht die Möglichkeit, beliebige Servernamen aufzulösen. Sofern kein vollwertiger DNS-Name (Fully Qualified Domain Name, FQDN) eingegeben wird, sondern lediglich der Computername, erfolgt durch den lokalen Rechner eine Ergänzung des Namens um das primäre DNS-Suffix des Computers beziehungsweise um die in den IP-Einstellungen konfigurierten DNS-Suffixe. Bei Aufruf von nslookup erfolgt zudem eine Anfrage an den in den IP-Einstellungen des lokalen Rechners hinterlegten DNS-Server. Es besteht die Möglichkeit, vom lokalen Rechner aus andere DNS-Server nach der Auflösung zu befragen:

In diesem Beispiel versucht nslookup, den Host www.microsoft.de mithilfe des DNS-Servers 192.168.178.223 aufzulösen. Um derweil eine korrekte Anzeige des Namens des DNS-Servers im Active Directory durch nslookup zu gewährleisten, ist eine Registrierung des DNS-Servers in der Forward-Lookupzone der Domäne erforderlich. Des Weiteren ist das Erstellen einer Reverse-Lookup-Zone empfehlenswert, in der die IP-Adressen der Active-Directory-Domäne registriert werden sollten.

Sofern eine Abfrage mehrerer Hosts hintereinander gewünscht ist, ersetzen Sie "nslookup <Host> <DNS-Server>" durch "nslookup -<DNS-Server>". Hierbei stellt der Eintrag "<DNS-Server>" den Namen oder die IP-Adresse des DNS-Servers dar, den nslookup nutzen soll. Bei Eingabe des Befehls "nslookup" ohne weitere Parameter besteht die Möglichkeit, in der Oberfläche den DNS-Server "server 192.168.178.223" als Standardserver für das aktuelle Fenster zu definieren. Dadurch können Sie verschiedene Server für die Namensauflösung nutzen und Fehler identifizieren. Im nächsten Schritt steht dann die Behebung dieser Fehler an.

DNS-Einstellungen in Windows verstehen

Die Konfiguration der DNS-Einstellungen erfolgt auf der Registerkarte "DNS" innerhalb der Eigenschaften eines Netzwerkadapters. Über die erweiterten Eigenschaften des "Internetprotokolls, Version 4 (TCP/IPv4)" stehen Ihnen verschiedene Einstellungen zur Verfügung, zum Beispiel die Einbindung von Windows in eine Windows-Domäne. Die Settings sind anfällig für fehlerhafte Konfigurationen, sodass Sie diese nach der Einrichtung oder bei Problemen mit der Namensauflösung überprüfen sollten. Diese Optionen sind besonders wichtig für die Namensauflösung in einer DNS-Infrastruktur:

- Primäre und verbindungsspezifische DNS-Suffixe anhängen: Der Rechner versucht, bei der Auflösung von Rechnernamen immer automatisch das konfigurierte primäre DNS-Suffix des eigenen Computernamens anzuhängen. Möchten Sie zum Beispiel einen Rechnernamen mit der Bezeichnung "dc01" auflösen, versucht Windows eine Namensauflösung nach "dc01.contoso.int", wenn das primäre DNS-Suffix des Computers "contoso.int" lautet.

- Übergeordnete Suffixe des primären DNS-Suffixes anhängen: Auch die Namen von übergeordneten Domänen kommen bei der Namensauflösung zum Einsatz. Wenn Sie zum Beispiel in einer untergeordneten Domäne mit der Bezeichnung "muenchen.de.contoso.int" den Servernamen "dc05" auflösen möchten, probiert der Rechner zunächst die Auflösung über "dc05.muenchen.de.contoso.int", falls dies das primäre DNS-Suffix des Computers ist. Im Anschluss wird versucht, den Namen über "dc05.de.contoso.int" und dann über "dc05.contoso.int" aufzulösen, da diese Domänen der Domäne "muenchen.de.contoso.int" übergeordnet sind.

- DNS-Suffix für diese Verbindung: Ergänzend haben Sie die Möglichkeit, ein weiteres beliebiges DNS-Suffix einzutragen. Kann der Rechner den eingegebenen Namen bei seinem konfigurierten DNS-Server nicht über sein eigenes primäres DNS-Suffix finden, versucht er es mit dem DNS-Suffix in diesem Feld. Möchten Sie zum Beispiel den Servernamen "dc06" auflösen, versucht Windows zunächst die Auflösung in "dc06.contoso.int", sofern das sein primäres DNS-Suffix ist. Tragen Sie im Feld "DNS-Suffix für diese Verbindung" noch ein Suffix in der Form "muenchen.de.microsoft.int" ein, versucht der Server, auch den Namen nach "dc06.muenchen.de.microsoft.int" aufzulösen.

- Adressen dieser Verbindung in DNS registrieren: Auch diese Option ist bereits standardmäßig aktiviert. Ein DNS-Server hat die Möglichkeit, Einträge dynamisch zu registrieren. Dadurch entfällt das manuelle Anlegen von Hosteinträgen. Sobald sich ein Rechner im Netzwerk anmeldet, versucht er, seinen FQDN beim konfigurierten DNS-Server automatisch einzutragen, sofern diese Option nicht deaktiviert ist. Dieser Punkt ist für die interne Namensauflösung in einem AD-Netzwerk von sehr großer Bedeutung.

Außer den standardmäßig aktivierten Optionen gibt es in diesem Fenster noch weitere Konfigurationsmöglichkeiten, die Sie bei Bedarf einschalten können:

- Diese DNS-Suffixe anhängen: Diese Option dient häufig dazu, die Namensauflösung in Gesamtstrukturen mit mehreren Strukturen zu lösen. Dazu tragen Sie in der Reihenfolge alle Strukturen der Gesamtstruktur ein, um eine Namensauflösung innerhalb des Active Directory zu gewährleisten. Entsprechend lassen sich in dieser Option DNS-Suffixe konfigurieren, nach denen unvollständige Rechnernamen aufgelöst werden. Dabei kommen weder das primäre DNS-Suffix des Servers noch die DNS-Suffixe dieser Verbindung zum Einsatz. Das Anhängen der DNS-Suffixe erfolgt in der Reihenfolge, die Sie im Feld "Diese DNS-Suffixe anhängen (in Reihenfolge)" konfiguriert haben. Achten Sie darauf, dass möglichst das DNS-Suffix der Windows-Domäne, in der dieser Server Mitglied ist, als Erstes in der Liste steht.

- DNS-Suffix dieser Verbindung in DNS-Registrierung verwenden: Durch diese Option wird der Servername im DNS mit seinem Computernamen und seinem primären DNS-Suffix registriert, also seinem FQDN (Fully Qualified Domain Name). Zusätzlich wird auch beim DNS-Server der Name mit dem DNS-Suffix registriert, das im Bereich DNS-Suffix für diese Verbindung konfiguriert ist. Diese Option ist ebenfalls nicht standardmäßig aktiviert.

Möchten Sie schnell und effizient Servernamen in verschiedenen DNS-Zonen auflösen, aktivieren Sie auf dem Server in den IP-Einstellungen über die Schaltfläche "Erweitert" auf der Registerkarte "DNS" die Option "Diese DNS-Suffixe anhängen (in Reihenfolge)". Tragen Sie als Nächstes zuerst den Namensraum der eigenen Struktur ein und hängen Sie danach die Namensräume der anderen Strukturen an. Der Sinn dieser Konfiguration liegt in der schnellen Auflösung von Servern in den anderen Strukturen.

Um etwa den Domänencontroller "dc1" in der Struktur "contoso.int" aufzulösen, müssen Sie immer "dc1.contoso.int" eingeben, wenn Ihr Server nicht Mitglied dieser Struktur ist. Diese Einstellung erhöht damit die Stabilität der Namensauflösung in AD-Umgebungen. Viele Admins tragen auf ihrem DNS-Server einen neuen statischen Hosteintrag ein, der auf die IP-Adresse des Servers des anderen Namensraums zeigt.

Diese Vorgehensweise ist aber nicht korrekt, auch wenn sie grundsätzlich funktioniert. Es wird in diesem Fall nämlich nicht der richtige DNS-Name des entsprechenden Servers zurückgegeben, sondern der Servername mit der Zone des DNS-Servers, in die der Server als Host eingetragen wurde.

SRV-Records überprüfen

Jedem Domänencontroller im Active Directory ist neben seinem Host-A-Namen, zum Beispiel "dc01.contoso.int", ein zugehöriger CNAME zugewiesen, der das sogenannte DSA-Objekt (Directory System Agent) seiner NTDS-Settings darstellt. Das DSA-Objekt ist als SRV-Record im DNS unterhalb der Zone der Domäne unter dem Knoten "_msdcs" aufgeführt. Der CNAME entspricht der GUID des DSA-Objekts. Domänencontroller versuchen ihren Replikationspartner nicht mit dem herkömmlichen Host-A-Eintrag aufzulösen, sondern mit dem hinterlegten CNAME. Sollte die Replikation nicht funktionieren, weil unterhalb der AD-DNS-Domäne Einträge fehlen, besteht die Möglichkeit, diese durch Eingabe des Befehls dcdiag /fix in der Eingabeaufforderung wiederherzustellen. Im Anschluss ist eine Überprüfung des registrierten CNAME des Servers sinnvoll.

Das Linux-Tool "dig" ermöglicht hierbei die Durchführung gezielter DNS-Abfragen. Verfügbar ist es zum Beispiel in Kali-Linux. Ein Beispiel für die Abfrage eines SRV-Records lautet dig _ldap._tcp.jooslab.de SRV. Die Ausgabe könnte wie folgt aussehen:

Das Ergebnis zeigt, dass die beiden Domänencontroller "dc1" und "dc2" korrekt für LDAP-Anfragen registriert sind. Neben dem Active Directory lässt sich dig auch in anderen Netzwerkumgebungen einsetzen, um DNS-Einträge wie MX-Records für E-Mail oder A- und AAAA-Einträge für Hostnamen zu prüfen. Einfache Abfragen wie dig jooslab.de MX helfen dabei, Mailserver zu analysieren und mögliche Fehlkonfigurationen zu identifizieren.

DNS-Analyse mit dnsrecon

Das Python-basierte Tool DNSrecon [1] verfügt über Funktionen zur DNS-Analyse und erweist sich auch für die Verwaltung und Absicherung von Netzwerken, die auf einem AD basieren, als nützlich. Mit dnsrecon lassen sich potenzielle Schwachstellen im DNS-System aufdecken und detaillierte Informationen über DNS-Einträge ermitteln. Das Tool unterstützt eine Vielzahl von Scans, darunter Standardabfragen, Brute-Force-Angriffe auf Subdomains sowie die Suche nach SRV-Records, die in Active-Directory-Umgebungen von Bedeutung sind. Ein Beispiel für den Aufruf:

Der hier gezeigte Befehl führt zunächst eine Standardabfrage durch, die die Einträge SOA, NS, A, AAAA, MX und SRV auflistet. Gleichzeitig erfolgt eine Brute-Force-Suche nach Subdomains mithilfe einer zuvor definierten Wortliste. Die Resultate landen dann in einer XML-Datei. In einer Active-Directory-Umgebung erlaubt dieser Ansatz die Identifizierung essenzieller SRV-Records, wie etwa "_ldap._tcp" oder "_kerberos._tcp". Darüber hinaus besteht die Möglichkeit, Zonentransfers zu überprüfen, um zu gewährleisten, dass keine unberechtigten DNS-Server Zugriff auf sensible Informationen erlangen. Die Integration von dnsrecon in Sicherheitsüberprüfungen ermöglicht das Identifizieren und Beheben von Risiken, die durch falsch konfigurierte DNSSEC-Einstellungen oder das Fehlen von Rekursionseinschränkungen entstehen.

DNS absichern mit fierce

Das Tool fierce eignet sich für die passive und aktive Analyse von Netzwerken, insbesondere in Active-Directory-Umgebungen. Auch dieses Tool ist in Kali Linux verfügbar. Es sammelt Informationen über DNS- und Netzwerkstrukturen mit dem Ziel der Aufdeckung potenzieller Angriffsvektoren. Die Identifikation von Subdomains, Hostnamen und IP-Bereichen ermöglicht es Ihnen, ungesicherte oder fehlkonfigurierte DNS-Einträge zu erkennen, etwa mit fierce -dns jooslab.de.

Im Rahmen der Untersuchung analysiert fierce die Domain "jooslab.de" auf Subdomains sowie andere mit der Domäne verbundene Hosts. Das Tool nutzt dazu Brute-Force-Methoden sowie auch Reverse-Lookups, um IP-Adressen und ihre Zuordnungen zu ermitteln. In AD-Netzwerken kann diese Methode hilfreich sein, um bislang unentdeckte Dienste wie nicht erlaubte Domänen und deren Domänencontroller oder nicht dokumentierte Systeme aufzuspüren. Des Weiteren erfolgt durch fierce eine Überprüfung der DNS-Server auf potenzielle Fehlkonfigurationen, zum Beispiel hinsichtlich fehlender Einschränkungen für Zonentransfers.

Das Tool ermöglicht dabei auch die Nutzung eines spezifischen DNS-Servers für die Abfrage:

Um die Identität von Hosts oder Systemen in einem Netzwerk zu ermitteln, die nicht bekannt sind, kann Fierce mit einem IP-Bereich arbeiten: fierce --range 192.168.1.1-192.168.1.254. Das Tool kombiniert Hostnamen- und DNS-Scans, um auf diese Weise eine umfassende Übersicht zu generieren. Der folgende Befehl ermöglicht die Aufdeckung versteckter Subdomains sowie der zugehörigen IP-Adressen:

DNS-Server-Hierarchien analysieren mit dnstracer

Mit dnstracer lassen sich die DNS-Hierarchien eines Netzwerks aufdecken, indem der Pfad einer DNS-Abfrage durch alle zuständigen Server verfolgt wird. Dies ist in Active-Directory-Umgebungen nützlich, um sicherzustellen, dass autoritative und weiterleitende DNS-Server korrekt arbeiten. Ein Beispiel für eine Analyse lautet:

Die Ausgabe zeigt, wie die Anfrage von der Root-Zone über die TLD-Server bis hin zum autoritativen DNS-Server aufgelöst wird. Die Analyse deckt Probleme wie falsch konfigurierte Weiterleitungen oder nicht erreichbare Server auf. Auch in Nicht-AD-Umgebungen lässt sich dnstracer einsetzen, um komplexe DNS-Strukturen zu visualisieren, etwa bei der Konfiguration von Loadbalancern oder Failover-fähigen DNS-Servern.

DNS-Antworten manipulieren mit dnschef

Das Tool dnschef [3] wird eingesetzt, um einen gefälschten DNS-Server zu implementieren. So findet dnschef in AD-Netzwerken Verwendung, um die Auswirkungen von DNS-Manipulationen auf Anwendungen und Dienste zu testen. Ein Beispiel für den Start eines DNS-Servers, der alle Anfragen an die Domain "jooslab.de" auf eine bestimmte IP-Adresse umleitet, lautet wie folgt:

Dabei besteht die Möglichkeit, Szenarien wie DNS-Spoofing zu simulieren, um die Effektivität von Sicherheitsmaßnahmen zu evaluieren. In anderen Netzwerken findet dnschef häufig Verwendung in Testumgebungen, um die Auswirkungen von DNS-Fehlern auf Benutzer oder Dienste zu analysieren.

Fazit

DNS stellt einen wesentlichen Bestandteil in zahlreichen Netzwerken dar, insbesondere in Active-Directory-Umgebungen. Mit den bereitgestellten Bordmitteln sowie optionalen Zusatztools lässt sich eine Identifikation und Behebung von Schwachstellen gezielt durchführen. Auch wenn das Netzwerk zunächst stabil zu sein scheint, ist eine Überprüfung der Konfigurationen sinnvoll. Die in diesem Beitrag vorgestellten Tools und Vorgehensweisen können hierbei hilfreich sein.

DNS-Konfiguration auf Fehler überprüfen

Richtig verbunden

DNS mit Best Practices Analyzer prüfen

DNS mit Best Practices Analyzer prüfen

Namensauflösung mit nslookup testen

DNS-Einstellungen in Windows verstehen

SRV-Records überprüfen

DNS-Analyse mit dnsrecon

DNS absichern mit fierce

DNS-Server-Hierarchien analysieren mit dnstracer

DNS-Antworten manipulieren mit dnschef

Fazit