Fragen zum Thema DNS-Server

[KeinNameFrei]

Mir hat grade auf der Arbeit ein Kollege ans Herz gelegt, ich solle den DNS-Server meines Routers ändern. Erstens sagt er, damit würde alles schneller sein als bei der Telekom, und zweitens sagt er, dass mit einem Deutschen DNS-Server schon jetzt viele Seiten bei Google gar nicht erst auftauchen, wärend sie man z.B. mit einem Französischen DNS-Server angezeigt bekommt. Zensur, Staat, bla blubb und so weiter.

Nun bin ich immer erstmal skeptisch, wenn mir jemand seine Verschwörungstheorien darlegt Vor allem wundere ich mich, ob da nur einseitig die Vorteile freier DNS-Server aufgelistet werden, one auf Nachteile einzugehen.

1. Angenommen, ich mach das und trag mir einen freien Französischen DNS-Server ein - bekomm ich dann von Webseiten mit Landessprachenerkennung plötzlich immer die Französische Startseite präsentiert? Oder hängt das eher von Provider oder Betriebssystem ab?

2. Könnte der Betreiber des DNS-Servers meine Surfgewohnheiten mitloggen, so wie das mal bei diesem Anonymisierungsnetzwerk TOR gemacht wurde?

3. Hat die Wahl des DNS-Servers tatsächlich einen real merkbaren Einfluss auf die Geschwindigkeit der Internetverbindung?

4. Kann es zu Problemen mit der Erreichbarkeit von Webseiten kommen? Ich bin mir ziemlich sicher dass die Telekom als Großunternehmen da ein ziemlich dickes Service Level Agreement stehen hat, wärend man bei einem freien DNS-Server von niemandem eine Garantie einfordern kann, dass alles immer funktioniert...

5. Inwieweit hat die Wahl des DNS-Servers Einfluss auf so Sachen wie Traffic Shaping, das Blocken bestimmter Verbindungen (z.B. BitTorrent) und ähnliche Tricks, die manche Provider anwenden?

6. Bekommt man mit bestimmten DNS-Servern tatsächlich "mehr Internet"?

 

[little_skunk]

Erstens sagt er, damit würde alles schneller sein als bei der Telekom, und zweitens sagt er, dass mit einem Deutschen DNS-Server schon jetzt viele Seiten bei Google gar nicht erst auftauchen, wärend sie man z.B. mit einem Französischen DNS-Server angezeigt bekommt. Zensur, Staat, bla blubb und so weiter.

1. Ist der DNS Server deines Providers näher dran als jeder andere DNS Server. Da stelle ich mir dir Frage ob es da tatsächlich einen merklichen Geschwindigkeits Unterschied gibt.
2. Hat die Googlesuche nichts mit deinem DNS Server zu tun. Du würdest genau die gleichen Suchergebnisse bekommen. Was du machen kannst, ist einfach google in einer anderen Sprache (anderes Land) zu bemühen. Da würdest du vermutlich wirklich ein anderes Resulatat bekommen.

Nun bin ich immer erstmal skeptisch, wenn mir jemand seine Verschwörungstheorien darlegt Vor allem wundere ich mich, ob da nur einseitig die Vorteile freier DNS-Server aufgelistet werden, one auf Nachteile einzugehen.

Ich behaupte, dass die meisten freien DNS Server langsamer sein werden. Vor allem wenn jetzt jeder auf die Idee kommt. Theoretisch könnte ein "böser" DNS Server dir auch Virenversuchte Seiten als Google ausgeben oder sowas in der Art.

1. Angenommen, ich mach das und trag mir einen freien Französischen DNS-Server ein - bekomm ich dann von Webseiten mit Landessprachenerkennung plötzlich immer die Französische Startseite präsentiert? Oder hängt das eher von Provider oder Betriebssystem ab?

Hängt von deinem PC ab. Der liefert einen Länderkennung mit. Genauergesagt dein Browser macht das. Der DNS Server hat darauf eigentlich keinen Einfluss. Er könnte aber theoretisch bei google.de einfach die französische Seite ausliefern. Eigentlich liefert er dir aber nur die IP Adresse von google und google selber erkennt dann deine Sprache.

2. Könnte der Betreiber des DNS-Servers meine Surfgewohnheiten mitloggen, so wie das mal bei diesem Anonymisierungsnetzwerk TOR gemacht wurde?

Andersrum wird ein Schuh draus. Dein Provider ist demnächst laut gesetz verpflichtet unter anderem Kinderpornoseiten zu sperren. Loggen tut dein Provider so oder so. Da brauchst du dir um die Logdatei des DNS Servers keine Sorgen machen.

3. Hat die Wahl des DNS-Servers tatsächlich einen real merkbaren Einfluss auf die Geschwindigkeit der Internetverbindung?

Einen Einfluss ja aber ich behaupte, dass der DNS Server deines Providers der schnellste sein wird. Darüber hinaus wirst du den Unterschied aber kaum spüren.

4. Kann es zu Problemen mit der Erreichbarkeit von Webseiten kommen? Ich bin mir ziemlich sicher dass die Telekom als Großunternehmen da ein ziemlich dickes Service Level Agreement stehen hat, wärend man bei einem freien DNS-Server von niemandem eine Garantie einfordern kann, dass alles immer funktioniert...

Wie schon gesagt: Dein Provider muss demnächst Zensieren. Das macht der freie DNS Server vieleicht nicht.

5. Inwieweit hat die Wahl des DNS-Servers Einfluss auf so Sachen wie Traffic Shaping, das Blocken bestimmter Verbindungen (z.B. BitTorrent) und ähnliche Tricks, die manche Provider anwenden?

Nein. Der Provider ist nicht so blöd wie die Politiker und blockt mit hilfe des DNS Servers. Dafür gibt es viel effektivere Möglichkeiten

6. Bekommt man mit bestimmten DNS-Servern tatsächlich "mehr Internet"?

Im moment nicht. In Zukunft schon. Siehe Zugangserschwärungsgesetz.

Edit: Man möge mir wiedersprechen, wenn ich unrecht habe

 

[A_H]

Man kann DNS-Server anpingen und man kann je Netzwerkkarte beliebig viele DNS eintragen. Es gibt Webadressen, die nicht von der ICANN stammen, auf die man normal nicht kommt.

 

[ulukay]

1. Angenommen, ich mach das und trag mir einen freien Französischen DNS-Server ein - bekomm ich dann von Webseiten mit Landessprachenerkennung plötzlich immer die Französische Startseite präsentiert? Oder hängt das eher von Provider oder Betriebssystem ab?

noe, der loest nur namen in ip adressen auf

2. Könnte der Betreiber des DNS-Servers meine Surfgewohnheiten mitloggen, so wie das mal bei diesem Anonymisierungsnetzwerk TOR gemacht wurde?

natuerlich, gleich wie die telekom

3. Hat die Wahl des DNS-Servers tatsächlich einen real merkbaren Einfluss auf die Geschwindigkeit der Internetverbindung?

idr. nicht

4. Kann es zu Problemen mit der Erreichbarkeit von Webseiten kommen? Ich bin mir ziemlich sicher dass die Telekom als Großunternehmen da ein ziemlich dickes Service Level Agreement stehen hat, wärend man bei einem freien DNS-Server von niemandem eine Garantie einfordern kann, dass alles immer funktioniert...

im gegenteil. wenn du mehrere dns server drin hast kann auch mal einer ausfallen (bzw bloedsinn drinstehen) und du kannst trotzdem noch surfen

5. Inwieweit hat die Wahl des DNS-Servers Einfluss auf so Sachen wie Traffic Shaping, das Blocken bestimmter Verbindungen (z.B. BitTorrent) und ähnliche Tricks, die manche Provider anwenden?

garnicht, dafuer brauchst ein vpn

6. Bekommt man mit bestimmten DNS-Servern tatsächlich "mehr Internet"?

ja. siehe zensursula. deren hirnrissige "sperren" sind rein auf dns servern implementiert.

ich empfehle dir diese: http://en.wikipedia.org/wiki/OpenDNS#Servers

 

[infinity_dev]

Ich empfehle einen eigenen DNS-Server aufzusetzen. Das hat den Vorteil, dass es keine Sperren gibt, weil er den DNS-Baum direkt über die 13 Root-Server nach unten abwandert, und lückenloses Logging ist nur durch Überwachung der Internetverbindung möglich.

Ich empfehle BIND9, den es für Windows und alle *nix-Betriebssysteme gibt. Das ist ein vollständiger DNS-Server, der in der Standardkonfiguration nur DNS-Namen auflösen kann, was ja genau das ist, was du willst.

https://www.isc.org/downloadables/11
Für Windows: Dort die aktuelle Windows-Version aus der rechten Box runterladen, installieren und den DNS-Server bei der Netzwerkverbindung auf 127.0.0.1 umstellen.
Linux: Paket bind9 installieren und DNS auf 127.0.0.1 setzen

Wenn man einen Server-Rechner hat, kann man BIND9 natürlich auch darauf installieren und muss dann die IP des Server als DNS bei den Clients eintragen.

Das hat zudem 2 nette Nebeneffekte:
1. Der DNS-Server kann nur ausfallen, wenn deine Internetverbindung ausfällt.
2. Man kann für sich selbst neue Domains eintragen. Bei mir im LAN gibt es z.B. die Top-Level-Domain .lan, über die alle Rechner im Netzwerk aufgelöst werden können.

 

[Colttt]

Hängt von deinem PC ab. Der liefert einen Länderkennung mit. Genauergesagt dein Browser macht das. Der DNS Server hat darauf eigentlich keinen Einfluss. Er könnte aber theoretisch bei google.de einfach die französische Seite ausliefern. Eigentlich liefert er dir aber nur die IP Adresse von google und google selber erkennt dann deine Sprache.

ähm das ist so nicht ganz korrekt, man erkennt dich an der IP-Adresse, jedes land hat einen bestimmten IP-bereich den es nutzen darf und diese sind eingetragen und damit kann man herausfinden aus welchem land und welchen provider du benutzt

 

[KeinNameFrei]

Schonmal vielen Dank allen, das klingt schon gleich viel logischer

@ infinity_dev: funktioniert das mit BIND9 auch, wenn mein Rechner gar nicht selbst im Netz hängt, sondern hinter einem NAT-Router, der mir per DHCP meine Adresse zuweist? Wenn ja, muss ich die Konfig ändern wenn ich mich bei jemand anderem ins LAN hänge (ich geh öfters mal zu Freunden zum gemeinsam zocken)?

 

[infinity_dev]

Die IP-Adressen der Root-DNS-Server sind hartkodiert in den Konfigdateien. Das heißt BIND9 funktioniert immer wenn eine Internetverbindung vorhanden ist. Es werden ja nur ein oder mehrere UDP-Pakete verschickt und Antworten darauf empfangen (wie bei den meisten Online-Games auch), dazu muss in keinem Standard-NAT-Router irgendwas konfiguriert werden.

Oder ums kurz zu machen die Antworten lauten ja und nein.

 

[KeinNameFrei]

Ich probier's morgen mal aus wenn ich ein Stündchen Zeit hab.

 

[jni]

Ich hab auch seit ein paar Wochen Bind9 laufen - funktioniert eigentlich einwandfrei - und sorgt bei falschen Hostnamen tatsächlich für eine Fehlermeldung statt irgendeiner Startseite bei der Telekom z. B.

Einen kleinen Nachteil sollte man nicht verschweigen: wenn man den DNS-Server neu startet bzw. das gesamte System geht danach die Namensauflösung erstmal recht langsam, da der DNS sich immer erstmal vom Root-DNS aus durchfragen muß bei jeder Anfrage. Sobald aber die benutzten Namen im Cache sind geht's schnell.

 

[infinity_dev]

Ich hab jetzt testweise BIND9 mal in einer Windows VM installiert und muss entgegen meiner vorherigen Behauptung feststellen, dass es bei der Windows-Version keine Standard-Konfiguration gibt. Man muss erst eine anlegen, sonst startet der Server erst gar nicht.

Beim Installieren muss man auch etwas beachten: Man muss darauf achten, dass man das ganze ZIP-File erst extrahiert und dann die BindInstall.exe startet. Wenn nicht alle benötigten Dateien im gleichen Verzeichnis wie der Installer liegen, dann gibts beim Klick auf den Install-Button zwar eine Erfolgsmeldung, tatsächlich wurde aber nichts kopiert. Scheinbar führt der Installer nur eine generierte .bat Datei aus.

Damit es nicht zu Problemen mit den Zugriffsrechten kommt, sollte man den Dienst "ISC BIND" wieder dem lokalen Systemkonto zuweisen. In der Systemsteuerung, in den Eigenschaften des Diensts im Tab "Anmelden" also "Lokales Systemkonto" auswählen.

Dann braucht man noch 2 Konfigurationsdateien:
Einmal die Liste der Root-Nameserver:
ftp://ftp.internic.net/domain/named.root
Die Datei im Verzeichnis C:\WINDOWS\system32\dns\etc\ speichern.

Und die eigentliche Konfigurationsdatei legt man einfach mit einem Texteditor an:
C:\WINDOWS\system32\dns\etc\named.conf

options {
directory "C:\WINDOWS\system32\dns\etc";
};

zone "." {
type hint;
file "named.root";
};

key "rndc-key" {
algorithm hmac-md5;
secret "dmDqfvVTvKY/BXloE5N1+Q==";
};

controls {
inet 127.0.0.1 port 953
allow { 127.0.0.1; } keys { "rndc-key"; };
};

Jetzt sollte sich der Dienst "ISC BIND" starten lassen. Wenn nicht, dann kann man in der Windows-Ereignisanzeige nachlesen was schief gelaufen ist.
127.0.0.1 als DNS-Server beim Netzwerkadapter einstellen und dann sollte es funktionieren.

 

[KeinNameFrei]

Ich glaube, ich were mich an OpenDNS halten... dieses BIND ist mir bei weitem zu undurchsichtig. Ich hab schließlich ein Windows-System, damit ich mich nicht mit diesem UNIX-Config-Chaos befassen muss. Schon allein die Dokumentation ist ohne das vorherige Besuchen eines Uni-Kurses zum Thema Netzwerkadministration kaum zu verstehen. Ich bin da vorbelastet, und mir hat trotzdem die Rübe geraucht... nee Danke, das muss nun wirklich nicht sein

 

[A_H]

Ich finde das Thema etwas speziell aber interessant, habe mich aber bewusst zurück gehalten.

@KeinNameFrei
Warum hast Du nicht bei #3 etwas nach gebohrt?

 

[ulukay]

bind ist sowieso einer der grindigsten server ueberhaupt vor lauter sicherheitsluecken - und fuer den einsatzzweck overkill³³³³
da reicht dnsmasq genauso - das zeug in einer virtuellen maschine braucht (mit linux system) ~6mb ram.
brauchst so gut wie nix konfigurieren, einfach die forwarder in eine config file und fertig.

 

[A_H]

Welchen nennenswerten Nutzen bringt mir ein eigener DNS-Server für ein ganz privates Windows? Außer der Möglichkeit, dass das Ding zum Bot gemacht wird?

 

[infinity_dev]

Welchen nennenswerten Nutzen bringt mir ein eigener DNS-Server für ein ganz privates Windows?

Du nimmst die Auflösung beginnend ab der Root-Ebene selbst vor, statt einem fremden Server, der möglicherweise Seiten sperrt und umleitet.

Außer der Möglichkeit, dass das Ding zum Bot gemacht wird?

Nach dieser Argumentation müssten die meisten DNS-Server im Internet Bots sein...

@ulukay
Wenn du nur einen DNS-Forwarder benutzt, dann wird ja die Auflösung nicht vom eigenen DNS-Server durchgeführt. Das hat nur einen Sinn, wenn man sowas auf einem Router installiert, der die DNS-Anfragen von mehreren Clients bündeln soll.

 

[A_H]

Du nimmst die Auflösung beginnend ab der Root-Ebene selbst vor, statt einem fremden Server, der möglicherweise Seiten sperrt und umleitet.

Das wäre nach meinen Informationen eine kleine Sauerei. Rootserver sind für Privatanwender tabu.

"Derzeit beantworten die Root-Server insgesamt 100 000 Anfragen pro Sekunde." Hunderttausend ist eben nicht unendlich.
http://www.heise.de/newsticker/Erster-Vertrag-ueber-DNS-Root-Server--/meldung/101331
Auch deshalb sind Rootserver nicht besonders schnell.

Zur Frage nach alternativen DNS-Root-Servern:
http://www.heise.de/newsticker/Alternative-DNS-Root-Server-vor-der-Abschaltung--/meldung/117863

http://de.wikipedia.org/wiki/Top-Level-Domain#Gesponserte_Domains_.28sTLD.29

Nach dieser Argumentation müssten die meisten DNS-Server im Internet Bots sein...

Jede zusätzliche Software ist eine zusätzliche Schwachstelle und Fehlerquelle. Hinzu kommt bei einem Server immer die Gefahr der Fehlkonfiguration. Das Eis zwischen einem privaten Server und der großen Welt ist hauchdünn.
Server werden im Normalfall von Profis aufgesetzt und, was noch wichtiger ist, überwacht und gewartet.

Ein weiterer Gesichtspunkt ist der, dass Microsoft von System zu System versucht, die Netzwerkarbeit zu perfektionieren. Das wird durch derartige Fremdsoftware in Frage gestellt. Die Fehlersuche würde verkompliziert und kaum jemand wäre in der Lage zu helfen bzw. der erste Rat wäre, schalt das Ding ab.

So, das war mir schon wieder viel zu viel Text - liest kaum jemand und versteht... vielleicht auch nicht jeder.

Was ich fast vergessen hätte: so etwas ist auch völlig überflüssig im Heimgebrauch.

 

[infinity_dev]

Jede zusätzliche Software ist eine zusätzliche Schwachstelle und Fehlerquelle.

BIND gibts fast so lange wie das DNS.

Hinzu kommt bei einem Server immer die Gefahr der Fehlkonfiguration.

Deswegen steht die Konfiguration oben. Wer es falsch macht, wird es nicht schaffen den Server zu starten.

Das Eis zwischen einem privaten Server und der großen Welt ist hauchdünn.

Da fast jeder einen NAT-Router hat, kann der Server nicht extern erreichbar sein.

Server werden im Normalfall von Profis aufgesetzt und, was noch wichtiger ist, überwacht und gewartet.

Bei einem einfachen DNS-Resolver gibt es nichts zu warten.

Ein weiterer Gesichtspunkt ist der, dass Microsoft von System zu System versucht, die Netzwerkarbeit zu perfektionieren. Das wird durch derartige Fremdsoftware in Frage gestellt. Die Fehlersuche würde verkompliziert und kaum jemand wäre in der Lage zu helfen bzw. der erste Rat wäre, schalt das Ding ab.

Jetzt überdramatisierst du. 1. Keine Ahnung was das mit MS zu tun haben soll. 2. Hier geht es um einen einfachen DNS-Resolver und nicht um einen 1000de Zonen hostenden Cluster.

Was ich fast vergessen hätte: so etwas ist auch völlig überflüssig im Heimgebrauch.

Magst du so sehen. Ich weiß wie man einen DNS-Server betreibt und da ich mir die DNS-Infrastruktur nicht vom Bundestag oder irgendeinem Telco kastrieren lasse, baue ich sie mir selbst auf. Wer welchen Weg für richtig hält, muss aber jeder selber wissen.

 

[A_H]

@infinity_dev
Einen Punkt hast Du versehentlich ausgelassen:"Rootserver sind für Privatanwender tabu."
Wenn 100000 Deppen auf so eine alberne Idee kämen, hätten wir alle darunter zu leiden. Und es bringt eben absolut keinen persönlichen Nutzen, die Rootserver zu belästigen.

Wenn man zu bestimmten Servern kein Vertrauen hat, dann kann jeder Anfänger zusätzliche Server seines Vertrauens eintragen - dauert 2 Minuten.

Eine Bitte noch: nenne mir bitte ein paar wichtige oder interessante Adressen, auf die ich nicht komme.

 

[ulukay]

Magst du so sehen. Ich weiß wie man einen DNS-Server betreibt und da ich mir die DNS-Infrastruktur nicht vom Bundestag oder irgendeinem Telco kastrieren lasse, baue ich sie mir selbst auf. Wer welchen Weg für richtig hält, muss aber jeder selber wissen.

ja oder man traegt die dns server von opendns ein und hats selbe

 

[A_H]

@infinity_dev

Full ACK, danke für deine Erläuterungen.

@ A_H

Wenn's dir nicht passt, lass es halt. Deine Argumente waren nicht gerade stichhaltig, gerade das mit MS und so. Und da die Sache nicht gerade einfach ist, besteht wohl nicht die Gefahr, dass das Internet morgen nicht mehr erreichbar ist.

"So, das war mir schon wieder viel zu viel Text - liest kaum jemand und versteht... vielleicht auch nicht jeder."

Ping auf Rootserver dauert etwa 200ms, mein schnellster DNS-Server braucht 45ms.

Mit den DNS-Parametern in meine Registry kenne ich mich aus und finde schnell Hilfe:
http://www.google.de/search?q=max+n...&rls=org.mozilla:de:official&client=firefox-a

Wie ich das bei einem zu DNS-Server zu handhaben hätte müsste ich erst erforschen. Bevor ich ohne zwingenden Grund etwas installiere, befasse ich mich sorgfältig mit dem Thema.

Im Serverforum stehen ständig Themen wie "Stromsparender dingsbums gesucht". Ein DNS-Server sollte ständig online sein.

Warum ist man bei BIND bei Version 9? Was ist mit den Vorversionen?

Derartige pubertäre Kinderspielchen bremsen mein Internet und sind schädlich.

 

[A_H]

Man braucht gar keine böse Absicht:
"DDoS-Angriff auf DNS-Provider"
http://www.golem.de/0811/63704.html
Es reicht, wenn genügend Schlauberger nicht merken, dass sie auch sich selbst schaden, wenn sie sich gierig-dumm überall vorne rein drängeln.

 

[infinity_dev]

Keine Ahnung was du anpingst, aber 4 der Root-Server antworten in ~10ms und bis auf 2 antwortet der Rest in <100ms. Auch wenn das vollkommen irrelevant ist, da die Root-Server pro TLD nur einmal alle 48h abgefragt werden. Daher können sie ruhig 5 Sekunden brauchen...

Mein schnellster DNS-Server braucht im Idealfall <1ms, im Worst Case die Dauer von 3 DNS-Abfragen für eine (Second Level)Domain, wie jeder andere DNS-Server auch.

Ein DNS-Server sollte ständig online sein.

Und nochmal für dich: Wir reden hier NICHT über öffentliche DNS-Server, sondern über einen privaten DNS-Resolver.

Warum ist man bei BIND bei Version 9? Was ist mit den Vorversionen?

Wenn du damit ausdrücken willst, dass eine hohe Versionsnummer für schlechte Softwarequalität steht, erübrigt sich jede weitere Diskussion.
Die Vorversionen kann man immer noch benutzen, werden nur nicht mehr weiterentwickelt, haben ein paar Bugs und unterstützen DNSSEC nicht.

 

[ulukay]

das nicht aktuell gehaltene BIND server bugs ohne ende haben ist fakt
http://www.it-seccity.de/?url=/content/fachbeitraege/grundlagen/030113_fac_gru_symantec.html

wenn derselbe nicht von extern erreichbar ist isses ja ok, nur trotzdem hirnrissiger overkill

 

[A_H]

Jetzt kommt das Thema wieder hoch. Nur BIND ist eben auch keine Garantie, wenn die Provider dreist den Aufruf von "unerwünschten" DNS-Servern weg filtern.

Der Mod hat wohl das Themengebiet nicht so verstanden:
http://www.hardwareluxx.de/community/showthread.php?t=647063

DNS-Filter umgehen:
http://www.zdnet.de/sicherheit_in_d...an_die_blockade_story-39001543-41502966-1.htm

Dort wird die Verwendung von BIND unter Windows erklärt. (Aber wie angedeutet, wie es im Internet weiter geht, wird auch am Sonntag entschieden.)

 

[gainmarv]

wie es im Internet weiter geht, wird auch am Sonntag entschieden.)

brüder schwenkt die orange fahne

 

[jni]

Was zdnet da schreibt ist allerdings Humbug. Wenn der Provider alle Port 53-Zugriffe umleitet nützt eine Caching-DNS der auf einem anderen Port anfragt gar nichts, weil es keinen DNS-Server gibt der auf dem anderen Port Anfragen entgegen nimmt.

Da gibts dann nur eine etwas aufwendigere Möglichkeit das zu umgehen:
selber auf einem Root-Server ohne gesperrten/umgeleiteten Port 53 einen DNS-Server hosten und diesen auf einem anderen Port laufen lassen oder VPN verwenden.

Die andere Möglichkeit ist halt die richtigen zu wählen am Sonntag...