Was ist DNS-Propagation und warum dauert sie?

DNS-Propagation bezeichnet die Phase, in der zwischengespeicherte DNS-Antworten nach einer Änderung ablaufen und erneuert werden. Es gibt keinen zentralen Schalter, der jedes Netz sofort aktualisiert. Jeder Resolver behält eine Antwort entsprechend ihrem TTL und fragt sie anschließend neu ab.

Autoritative und gecachte Antwort

Der autoritative Nameserver enthält den aktuellen offiziellen Wert. Ein öffentlicher oder ISP-Resolver kann vorübergehend einen älteren Cache-Wert liefern. Deshalb können zwei Nutzer gleichzeitig unterschiedliche IPs erhalten, obwohl in der Zone nur ein aktueller Wert steht.

Die Rolle des TTL

Time To Live legt die zulässige Cache-Dauer fest. Wird bei hohem TTL geändert, dürfen Resolver ihre alte Antwort bis zum Ablauf weiterverwenden. Eine Senkung hilft nur, wenn sie rechtzeitig vor dem geplanten Wechsel erfolgt und die vorherige Cache-Periode bereits auslaufen konnte.

Warum gibt es keine garantierte Dauer?

Resolver fragen zu unterschiedlichen Zeiten ab. Browser, Geräte, Unternehmensnetze und Provider besitzen eigene Caches; manche Systeme setzen Mindestwerte durch. Zeitangaben sind daher Schätzungen. Grundlage sind der DNS-Abfrageweg und die Zuständigkeit der autoritativen Nameserver.

Risiko vor einem geplanten Cutover senken

1. Zone und abhängige Dienste dokumentieren.
2. Zielsystem, SSL, E-Mail und Verifizierungen vorbereiten.
3. TTL rechtzeitig reduzieren, sofern sinnvoll und unterstützt.
4. Ziel vor der produktiven Änderung testen.
5. Altes System vorübergehend aktiv halten und Rückkehr zur vorherigen Konfiguration planen.

Fortschritt prüfen

Vergleichen Sie die autoritative Antwort mit mehreren öffentlichen Resolvern. Prüfen Sie Root-Domain, www und bei E-Mail-Änderungen MX separat. Das Leeren des lokalen Cache hilft bei einem Gerät, aktualisiert aber keine anderen Resolver.

Was Propagation nicht behebt

Warten korrigiert keine falsche IP, fehlende DNS-Einträge, fehlerhafte Delegation, unkonfiguriertes Hosting, ungültiges SSL oder fehlende Postfächer. Ist die autoritative Antwort falsch, wird genau dieser Fehler weiter gecacht. Korrigieren Sie zuerst die Quelle.

Ein sicherer Wechsel verbindet Vorbereitung, Tests, Beobachtung und Rückkehr zur vorherigen Konfiguration. Eine pauschale Aussage wie „immer 24 bis 48 Stunden“ ist keine Garantie, weil der tatsächliche Verlauf vom vorherigen TTL und dem Zustand jedes Resolver-Caches abhängt.

Beispiel eines geplanten Wechsels

Ein Team senkt den TTL rechtzeitig, bereitet den neuen Server vor und testet ihn. Beim Cutover ändert es den autoritativen Wert, beobachtet mehrere Resolver und lässt das alte System vorübergehend erreichbar. Nach der Stabilisierung wird ein sinnvoller TTL wiederhergestellt.

Lebenszyklus einer Cache-Antwort

Ein rekursiver Resolver erhält vom autoritativen Server Wert und TTL, speichert die Antwort und reduziert die Restlaufzeit. Weitere Anfragen können aus dem Cache beantwortet werden. Nach Ablauf ruft die nächste Suche eine aktuelle Antwort ab und startet einen neuen Cache-Zyklus.

Zwei Nutzer sehen möglicherweise verschiedene Ergebnisse, weil ihre Resolver den alten Wert zu unterschiedlichen Zeiten gespeichert haben. Ein Cache kann bereits erneuert sein, während ein anderer noch eine gültige Restlaufzeit besitzt. Das bedeutet nicht automatisch, dass die autoritativen Server uneinheitlich sind.

Mehrere Cache-Ebenen

Informationen können zusätzlich im Browser, Betriebssystem, Router oder Firmennetz liegen. Browserdaten zu löschen ist nicht dasselbe wie den DNS-Cache des Betriebssystems zu leeren; beides aktualisiert keinen Resolver des Internetanbieters. Der Vergleich mit unabhängigen öffentlichen DNS-Diensten hilft, die betroffene Ebene zu erkennen.

TTL vor einem geplanten Wechsel senken

Die Senkung muss früh genug erfolgen, damit unter dem vorherigen TTL gespeicherte Antworten auslaufen. Zielwebsite, Zertifikat, E-Mail und Monitoring werden vor der produktiven Änderung vorbereitet. Während des Übergangs begrenzt der niedrigere TTL die Lebensdauer neuer Cache-Antworten. Nach stabiler Funktion kann ein sinnvoller höherer Wert zurückkehren.

Propagation oder Konfigurationsfehler?

Prüfen Sie zuerst die autoritative Antwort. Eine falsche IP, fehlendes www, ein alter AAAA-Eintrag oder fehlerhafte MX-Werte werden durch Warten nicht richtig. Korrektes DNS beweist außerdem nicht, dass Server, SSL oder Anwendung funktionieren. Die Diagnose muss auf der betroffenen Ebene fortgesetzt werden.

Positive und negative Cache-Antworten

Nicht nur vorhandene Einträge können zwischengespeichert werden. Auch die Antwort, dass ein Name oder Record nicht existiert, kann für eine definierte Zeit im Cache bleiben. Wird ein neuer Hostname direkt nach einer früheren Fehlanfrage angelegt, kann ein Resolver deshalb vorübergehend weiter „nicht vorhanden“ melden. Auch hier hilft nur die korrekte autoritative Konfiguration plus Ablauf der betreffenden Cache-Dauer, nicht wiederholtes Ändern des DNS-Einträge.

Widersprüchliche Abfrageergebnisse richtig einordnen

Liefert der autoritative Server bereits den neuen Wert, ein rekursiver Resolver jedoch noch den alten, ist Caching eine plausible Erklärung. Gibt schon der autoritative Server einen falschen Wert zurück, behebt Warten die Konfiguration nicht. Vergleichen Sie immer den exakten Namen und Eintragstyp: Hauptdomain, www, Mailhost und Verifizierungsnamen können unterschiedliche TTL-Werte besitzen. So wird aus dem ungenauen Begriff „Propagation“ ein konkreter Vergleich zwischen Quellantwort und Cache.

Häufige Fragen

Warum sieht Mobilfunk etwas anderes als WLAN?

Beide Netze können unterschiedliche Resolver und Cache-Stände verwenden.

Wann ist die Änderung abgeschlossen?

Wenn autoritative Daten stimmen, wichtige Resolver übereinstimmen und Web, SSL sowie E-Mail aus unabhängigen Netzen funktionieren.