Anycast DNS bei INWX – schnell, sicher und global

Das Domain Name System (DNS) ist das Fundament jeder Online-Präsenz. Es sorgt dafür, dass Deine Domain zuverlässig erreichbar ist – für Besucher, Mail-Server und alle anderen Dienste, die auf Deine Domain zeigen. Bei INWX bekommst Du nicht nur solide Grundfunktionen, sondern eine vollständige DNS-Infrastruktur: globales Anycast-Routing, DNSSEC mit automatisierter Schlüsselsynchronisation, eine vollwertige API mit Zugriffskontrolle, Infrastructure-as-Code-Integrationen und vieles mehr.

Die meisten Features sind ohne Aufpreis in jeder Domain-Verwaltung bei INWX enthalten. Unsere DNS-Infrastruktur lässt sich aber auch für Domains nutzen, die bei einem anderen Registrar registriert sind – über unsere Nameserver-Pakete.

Das Anycast-Netzwerk verteilt DNS-Anfragen automatisch auf viele Knoten weltweit. Bei einem volumetrischen Angriff – etwa einem DNS-Flood – verteilt sich der Angriffs-Traffic auf viele Ziele gleichzeitig, statt sich auf einen einzelnen Server zu konzentrieren. Je größer und breiter das Netzwerk, desto höher ist der Aufwand für einen Angreifer, die globale Erreichbarkeit ihrer Domains zu beeinträchtigen.

DNSSEC (DNS Security Extensions) ergänzt das DNS-Protokoll um kryptografische Signaturen. Resolver können damit prüfen, ob eine DNS-Antwort authentisch ist – und gefälschte oder manipulierte Daten erkennen und ablehnen. So können Angriffe wie DNS-Cache-Poisoning oder DNS-Spoofing durch Auswertung und Verifikation der DNSSEC-Signaturen wirksam erkannt und abgewehrt werden.

Sobald Du DNSSEC für eine Domain aktivierst, stellt INWX automatisch CDS- und CDNSKEY-Records bereit. Diese sorgen dafür, dass die DNSSEC-Delegation zwischen Parent- und Child-Zone automatisch aktuell bleibt – ohne dass Du manuell eingreifen oder Schlüssel beim Registrar aktualisieren musst.

INWX stellt CDS/CDNSKEY für alle verwalteten TLDs bereit. Ob die automatische Synchronisation greift, hängt jedoch vom jeweiligen Parent (Registry) ab – nicht alle Registries unterstützen diesen noch relativ neuen Standard bereits. Wo er unterstützt wird, entfällt der manuelle Schlüsselaustausch vollständig.

Standard-Records wie A, AAAA, CNAME, MX oder TXT sind selbstverständlich verfügbar – die hat jeder. Was INWX darüber hinaus unterstützt, ist der Teil, der den Unterschied macht:

Import

Du wechselst zu INWX oder möchtest eine bestehende DNS-Zone übernehmen? Mit dem Zonefile Import kannst Du eine fertige Zonendatei im BIND-Format direkt ins INWX Control Panel importieren – alle Records werden automatisch übernommen, ohne dass Du sie einzeln anlegen musst.

Deine DNS-Zonen lassen sich jederzeit exportieren – als Zonefile oder im CSV-Format. Praktisch als Backup, zur Dokumentation oder wenn Du Deine Konfiguration zu einem anderen Anbieter mitnehmen möchtest. Der Export ist direkt über das INWX Control Panel verfügbar.

Die INWX DNS API bietet Dir kompletten Zugriff auf alle Zonen- und Record-Funktionen – geeignet für Automatisierung, DevOps-Workflows und Infrastruktur-als-Code.

Vor dem Live-Einsatz steht eine Operational Test Environment (OTE) zur Verfügung. In dieser Sandbox-Umgebung kannst Du DNS-Konfigurationen, API-Workflows und Automatisierungsskripte vollständig testen – ohne Auswirkungen auf produktive Zonen.

Das ist besonders wertvoll, wenn Du:

• neue Deployments oder Skripte absicherst
• Terraform-, Ansible- oder Pulumi-Konfigurationen validierst
• API-Integrationen vor dem Go-Live prüfst

DNS-Zonen lassen sich bei INWX direkt als Code verwalten. Offizielle Integrationen stehen für die verbreitetsten IaC-Werkzeuge bereit.

TSIG (Transaction SIGnatures) ist ein Mechanismus zur kryptografischen Absicherung von DNS-Kommunikation – insbesondere von Zonentransfers (AXFR) zwischen Primary und Secondary Nameservern. Zonentransfers sind bei INWX standardmäßig gesperrt. TSIG ist der Mechanismus, mit dem Du bestimmten Secondary-Servern explizit und sicher Zugriff erteilst: Jede Übertragung wird mit einem gemeinsamen geheimen Schlüssel signiert und authentifiziert – nur autorisierte Server können den Transfer anfordern und verarbeiten.

Das bringt Dir TSIG:

• Gezielter Zugriff: nur explizit autorisierte Secondary-Server können Transfers anfordern
• Kryptografische Absicherung der Übertragung gegen Manipulation
• Standardkonformer Mechanismus, kompatibel mit BIND, PowerDNS, Knot und anderen gängigen Nameserver-Implementierungen

TSIG ist besonders relevant, wenn Du Secondary DNS mit externen oder eigenen Nameservern betreibst oder ein Hidden-Primary-Setup verwendest.

Wechselt Deine IP-Adresse regelmäßig – zum Beispiel bei einem Heimserver, IoT-Gerät oder einer dynamischen DSL-Verbindung – hält DynDNS Deine Domain trotzdem erreichbar. Automatische IP-Updates lassen sich direkt über das Control Panel oder die API einrichten.

Jeder INWX-Kunde erhält einen DynDNS-Account inklusive. Wer mehrere Accounts benötigt, kann zusätzliche Accounts dazubuchen.

Einsatzszenarien

Heimnetzwerke, kleine Server, Entwicklungsumgebungen, IP-Kameras und andere Geräte mit wechselnder IP-Adresse.

Mehr zu DynDNS bei INWX

Du möchtest DNS-Management über einen anderen Anbieter oder in einer Hybrid-Infrastruktur betreiben? Kein Problem: INWX ermöglicht es, Domains mit externen Nameservern zu betreiben. Die Domain-Registrierung und -Verwaltung bleibt bei INWX, während der DNS-Betrieb anderswo liegt.

Ein verbreitetes Setup in diesem Kontext ist der sogenannte Hidden Primary: Dabei agiert ein interner Nameserver als autoritativer Master, der nach außen hin nicht sichtbar ist. Die öffentlich sichtbaren Nameserver fungieren als Secondary und empfangen die Zonendaten per Zonentransfer – das schützt den primären Server vor direktem Zugriff und erhöht die Sicherheit der Infrastruktur.

Du möchtest das INWX Anycast DNS Netzwerk auch für Domains nutzen, die nicht bei INWX registriert sind? Das ist möglich. Über unsere Nameserver-Pakete kannst Du externe Domains in die INWX DNS-Infrastruktur einbinden und von globalem Anycast-Routing und allen weiteren Features profitieren – unabhängig vom Registrar.

Die folgenden DNS-Features sind ohne Aufpreis für jede bei INWX verwaltete Domain enthalten: