DNS für Internet-Zugang einrichten

Erstellt am 1. April  2000 von Rainer Gerhards. 

Wird ein Windows 2000 Server mit Active Directory im Standard-Setup eingerichtet, ist anschließend oftmals keine DNS-Namensauflösung für Internet-Namen mehr möglich. Der Grund dafür liegt in einer Voreinstellung der Wizards. 

Hintergrund und Problemstellung

Voraussetzung für Active Directory ist ein korrekt eingerichteter DNS Server (Hintergründe hierzu im Artikel "Active Directory und DNS"). Aus diesem Grunde richtet der Active Directory Installations Wizard (dcpromo.exe) bei der Installation des Active Directory auch gleich einen DNS-Server mit ein. Dabei wird eine harmlos aussehende Frage gestellt. Naämlich die, ob der Benutzer den DNS-Server zum "Root-Server" machen möchte. Der Vorschlagswert ist "Ja".

Wird dieser Vorschlagswert akzeptiert, ist der DNS-Server der Meinung, für das gesamte "Internet" zuständig zu sein. DNS-Root-Server sind nämlich die Haupt-Server, die innerhalb des realen Internet die Verweise zu den Top-Level-Domänen (z. B. .COM, .DE, .CH, .NET) beinhalten. Wird nun der eigene Windows 2000 Server zum Root-Server erklärt, so fragt er nicht mehr bei den "echten" Root-Server nach. Da der eigene Server natürlich keine Informationen über die realen Top-Level-Domänen beinhaltet, ist er nicht in der Lage, Internet-Namen aufzulösen. Versucht man nun z. B. im Browser auf eine Web-Site zuzugreifen, erscheint die Fehlermeldung "Host nicht gefunden".

Wie erkennt man diese Fehlkonfiguration?

Uns bekannte Domänen-Namen lauten z. B. Microsoft.com oder Win2K-Reporter.de. Aber auch die Root-Domäne hat einen Namen, und zwar das Zeichen Punkt "." (ja, wirklich nur den Punkt). Um festzustellen, ob der DNS-Server sich für die Root-Domäne zuständig fühlt, muss einfach nur der DNS-Manager gestartet werden. Die folgende Hardcopy zeigt ein typisches Bild, wenn die Root-Domäne eingetragen ist (rot  gekennzeichnet).

DNS-Server mit Root-Domäne

Ist der Eintrag so wie oben im Bild vorhanden, ist die Problemquelle erkannt.

So wird's korrigiert

Die Korrektur ist nun denkbar einfach: einfach die Root-Domäne löschen! Dazu wird der Punkt markiert und die Domäne anschließend gelöscht. Das geht über das Menü oder einfach durch Betätigen der Entfernen-Taste. Der DNS-Manager fragt dann sicherheitshalber noch einmal nach:

Dies mit OK bestätigen. Nun ist die Root-Domäne gelöscht. Der DNS-Server weiß jetzt, dass er nur noch die direkt bei ihm selbst eingetragenen Domänen besitzt. So wird er im obigen Beispiel nur noch Anfragen nach pkl.adiscon.com selbst beantworten.

Auflösung von Internet-Namen

Bleibt die Frage, wie er denn nun Internet-Namen auflösen kann. Dazu gibt es prinzipiell zwei Möglichkeiten: entweder er kontaktiert selbst die echten Root-Server oder aber er nutzt einen sogenannten "Forwarder". Welche Methode verwendet wird, entscheidet eine Einstellung des DNS-Servers. Dazu im DNS-Manger den Server markieren (im Beispiel PKLSRV) und rechts klicken. Im Kontextmenü "Eigenschaften" auswählen. Es erscheint eine Dialog-Box, dort die Registerkarte "Forwarder" anklicken.

Ist "Enable Forwarders" eingeschaltet, so befragt der eigene DNS-Server andere Server, um den Namen aufzulösen. Deren Adressen sind in der großen Listbox angegeben (im Beispiel 172.16.0.1). Typischerweise sollten hier die Adressen der DNS-Server des Providers eingetragen werden.

Die Verwendung von  Forwardern ist empfehlenswert. Die Provider-DNS-Server haben im Regelfall schon eine große Anzahl von DNS-Namen im Cache, die Namensauflösung erfolgt somit erheblich schneller, als wenn der eigene Server selbst die gesamte Arbeit übernehmen muss. Außerdem wird der DNS-Server des Providers (hoffentlich...) schneller an das Internet angebunden sein, als der eigene. Selbst wenn er bei den Root-Servern nachfragen muss, sollte das über den Provider Server also eigentlich schneller gehen.

Wer dennoch keinen Forwarder einsetzen möchte, muss "Enable Forwarders" abschalten. In diesem Fall macht sich der eigene DNS-Server selbst auf die Suche. Dazu muss er die Root-Server ansprechen, benötigt also deren IP-Adressen. Diese erfährt er auf wenig geheimnisvolle Weise: sie werden von Microsoft mitgeliefert. In den Eigenschaften finden sie sich auf der Registerkarte "Root Hints":

Wer möchte, kann hier auch Adressen hinzufügen bzw. ändern. Wer das macht, sollte allerdings ganz genau wissen, was er tut. Sonst kann es ganz schnell wieder mit der Namensauflösung vorbei sein....

Mein Ratschlag daher: Finger weg - normalerweise sind hier keine Änderungen erforderlich!