Zusammenfassung

  • LACNIC erläutert: nserver bezeichnet den Server, der die Reverse-DNS-Delegation beantworten soll, nsstat ihren Status und nslastaa das letzte Datum einer beobachteten korrekten Konfiguration.
  • nslastaa ist damit historische Monitoring-Evidenz. Aktuelles DNS-Verhalten braucht eine neue, zeitgestempelte Abfrage; BGP-Erreichbarkeit eine andere Beweiskette.

Analyse

Das Datum weist in die Vergangenheit

Das entscheidende Wort in der Definition von nslastaa ist „letzte“. LACNICs FAQ zur Reverse-DNS-Auflösung beschreibt das Feld nicht als Gesundheitszertifikat mit Gültigkeitsdauer. Es bezeichnet den letzten Tag, an dem das Monitoring eine korrekte Konfiguration auf dem Server beobachtete. Gespeichert bleibt also ein Ereignis: An diesem Tag gab es unter den damaligen Beobachtungsbedingungen mindestens eine erfolgreiche Feststellung.

Das ist etwas anderes als die Aussage, die Delegation sei seither ununterbrochen korrekt. Nach einem erfolgreichen Check kann ein Nameserver ausfallen, eine Zugriffsliste geändert, eine Zone umgebaut oder eine Route zurückgezogen werden. Beobachter in verschiedenen Netzen können unterschiedliche Antworten erhalten. Solche Änderungen machen das gespeicherte Datum nicht falsch; sie zeigen, warum eine datierte Beobachtung nicht zur dauerhaften Garantie werden darf.

Die Nachbarfelder begrenzen die Aussage. nserver nennt den vorgesehenen Antwortserver, nsstat zeigt den Delegationsstatus und nslastaa ergänzt den Zeitpunkt der letzten korrekten Beobachtung. Zusammen beschreiben sie LACNICs Sicht auf Reverse-DNS-Delegation und Monitoring, kein Gesamturteil über Betreiber oder Netz.

Historischer Registerstand und aktueller Test beantworten andere Fragen

Bei der Untersuchung eines früheren Vorfalls sollte die vollständige WHOIS-Antwort mit Abrufzeit, abgefragtem Block sowie den Werten von nserver, nsstat und nslastaa archiviert werden. So lässt sich belegen, was LACNICs Verzeichnis- und Monitoring-Oberfläche zu einem bestimmten Zeitpunkt zeigte. Auch ein ungewöhnlich langer Abstand zur letzten korrekten Beobachtung wird sichtbar.

Wer wissen will, ob der Dienst jetzt funktioniert, braucht eine neue Messung. LACNIC empfiehlt eine SOA-Abfrage für die betreffende Reverse-Zone direkt beim delegierten Server und unterscheidet NOERROR von NXDOMAIN und SERVFAIL. Entscheidender als ein bestimmter Befehl ist die Dokumentation von Abfragename, Server, Transport, Messpunkt, Zeitpunkt, Antwortcode und Autoritätsdaten.

Auch eine erfolgreiche aktuelle Abfrage hat Grenzen. Sie beweist eine Antwort für einen Beobachter zu einem Zeitpunkt, nicht weltweite Erreichbarkeit, Dauerbetrieb oder identische Antworten auf allen Pfaden. Wiederholungen über Zeit und Messpunkte können eine Betriebsdiagnose stärken; sie bleibt dennoch eine Aussage über DNS.

Ein Fehlschlag ist ein Diagnosehinweis, keine vollständige Ursache

LACNIC nennt für eine lame delegation zwei mögliche Mechanismen: unzutreffende, für den IP-Block registrierte Serverangaben oder eine Situation, in der das Monitoring den Server nicht erreicht. Ersteres verweist auf Registrierung oder Konfiguration, Letzteres kann am Pfad des Messsystems liegen. Ein Statusfeld entscheidet nicht zwischen beiden.

Wer eine Fehlanzeige sofort als Betreiberfehler wertet, übersieht möglicherweise temporären Paketverlust, Filter, Wartung, einen defekten Monitoring-Pfad oder veraltete Registerdaten. Wer ein jüngeres Erfolgsdatum als Entwarnung liest, begeht den umgekehrten Fehler. Verantwortliche Analyse trennt Hypothesen und prüft sie mit aktuellen Messungen.

Reverse DNS, Forward DNS und BGP sind nicht austauschbar

Die hier behandelten LACNIC-Felder betreffen die Rückwärtsauflösung eines Adressblocks. Sie zertifizieren weder die Forward-Zonen von Websites, E-Mail-Systemen oder APIs noch zeigen sie, ob der Block im BGP angekündigt wird, welches ASN ihn originiert, wo die Route akzeptiert wird oder ob Verkehr einen bestimmten Dienst erreicht.

Diese Fragen benötigen getrennte Beobachtungen. Eine frische DNS-Abfrage dokumentiert die Antwort eines bestimmten Servers zu angegebener Zeit und von einem angegebenen Messpunkt. Eine Routing-Aussage erfordert eine separate, zeitlich passende BGP-Beobachtung. Das Quellenpaket enthält keine solche Beobachtung; nslastaa kann sie nicht durch Schlussfolgerung ersetzen.

Die praktische Leseregel

nslastaa sollte als Untergrenze der Aktualität gelesen werden, nicht als Gewährleistung. Das Feld sagt, wann LACNIC den aufgeführten Server unter den repräsentierten Monitoring-Bedingungen zuletzt korrekt konfiguriert sah. Je älter das Datum, desto stärker der Anlass für einen neuen Test. Ein junges Datum reduziert Unsicherheit, schließt aber die Zeit bis zur Gegenwart nicht.

In einem Audit gehören Registry-Beobachtung und spätere Messungen nebeneinander. Widersprechen sie sich, sollte die ältere Evidenz nicht überschrieben werden. Zu untersuchen ist, ob Zeit, Messpunkt, Delegationsdaten, autoritatives Verhalten oder Netzerreichbarkeit die Abweichung erklären. So bleibt der Wert des kleinen Feldes erhalten, ohne ihm Aussagen zuzuschreiben, die es nie beobachtet hat.

Quellen