Zusammenfassung

  • RFC 10001 verlangt für jede Zone mindestens zwei IPv4-erreichbare und zwei IPv6-erreichbare autoritative DNS-Server. Ein Dual-Stack-Server zählt in jeder Familie einmal; vier Nachweise bedeuten daher nicht zwingend vier Geräte.
  • NS-, A-, AAAA- und Glue-Einträge belegen die vorgesehene Delegation. Der Betriebsnachweis umfasst zusätzlich einen familienunabhängigen Gesamtpfad, tatsächliche UDP- und TCP-Antworten sowie gleichwertige autoritative Daten.
  • Tobias Fiebig verfasste die Best Current Practice vom August 2026 gemeinsam mit Momoka Yamamoto. Die dokumentierte Leistung ist gemeinschaftliche Standardisierung, kein Beleg für alleinige Erfindung, Einsatz oder Kontrolle einer Produktionszone.

Ein Audit kann vollständig wirken und trotzdem am falschen Objekt enden. Es prüft, ob zwei NS-Namen vorhanden sind, ob beide A und AAAA besitzen und ob der Parent Glue veröffentlicht. Alle Felder sind gefüllt. Der Auditor bestätigt Dual Stack.

RFC 10001 verlangt mehr: Erreichbarkeit ist kein Attribut eines Datenbankeintrags. Ein Server gilt für eine Adressfamilie als erreichbar, wenn er DNS-Anfragen über diese Familie empfängt und beantwortet.

Das Dokument erschien im August 2026 als BCP 91 und löste RFC 3901 ab. Momoka Yamamoto und Tobias Fiebig sind die Autoren. Die Aktualisierung reagiert auf ein Internet, in dem IPv4-only-, IPv6-only- und Dual-Stack-Netze gleichzeitig bestehen und dieselbe Namenshierarchie erreichen müssen.

Die Kernforderung erzeugt vier Prüffälle: Server A über IPv4, Server B über IPv4, Server A über IPv6 und Server B über IPv6. Zwei Dual-Stack-Server können diese vier Fälle erfüllen. Der Standard verlangt also keine vier physischen Maschinen.

Ebenso wenig garantiert er mit der Zahl vier vier Ausfallbereiche. Beide Server können denselben Load Balancer, Upstream, Softwarestand und Änderungsprozess teilen. Die Norm zählt Dienste pro Familie; Topologie und gemeinsame Kontrolle müssen Betreiber zusätzlich bewerten.

MUST trennt Adressfamilien, SHOULD strukturiert die Prüfung

Für die IPv4-Kontinuität darf die Delegationskonfiguration nicht von IPv6 abhängen. Für IPv6 gilt die spiegelbildliche Regel. Parent-Auflösung, Geschwisternamen und Glue gehören zu dieser Bedingung.

Die Empfehlung, alle in NS verwendeten Namen mit A und AAAA zu versehen, reduziert unnötige NODATA-Schritte. Sie ersetzt aber keine Antwortprüfung. Ein korrekter AAAA-Eintrag kann auf eine ungeroutete Adresse, einen geschlossenen Listener oder einen Pfad mit defekter Abhängigkeit zeigen.

RFC 9471 beschreibt Glue in Referral Responses. RFC 10001 empfiehlt für die Zonenvalidierung, mindestens zwei IPv4- und zwei IPv6-Adressdatensätze für delegierte Nameserver sicherzustellen, Fragmentierung zu vermeiden, DNS über TCP zu unterstützen und die Erreichbarkeit aus IPv4-only- und IPv6-only-Netzen tatsächlich zu testen.

Genau hier scheitert ein Dual-Stack-Test. Wenn IPv6 nicht funktioniert und der rekursive Resolver über IPv4 abschließt, sieht die Anwendung einen Erfolg. Das Fallback schützt die Sitzung, beweist aber nicht den ausgefallenen Pfad.

Die 2023 veröffentlichte Studie How Ready is DNS for an IPv6-Only World? untersuchte deshalb die vollständige Delegationskette. Fiebig war einer von sieben Mitautoren. Die Forschung unterschied fehlende AAAA, fehlenden Glue, externe NS-Zonen und nicht erreichbare Parents.

Ihre Zahlen sind zeitgebunden. Im August 2022 waren im untersuchten Datensatz 44,9 Prozent der beobachteten Zonen nicht über IPv6 auflösbar. Zehn DNS-Betreiber standen für 24,8 Prozent der noch nicht auflösbaren Zonen. Eine Glue-Änderung eines Anbieters beeinflusste im Januar 2017 mehr als 45,6 Millionen Zonen.

Diese Werte dürfen nicht als aktueller Weltanteil gelesen werden. Sie gehören zu Stichprobe, Quellen und Vantage Points der Studie. Sie zeigen jedoch, wie ein gemeinsamer Delegationsfehler durch Anbieter-Konzentration skaliert.

Transportfähigkeit hat mehr als einen grünen Punkt

Nach der Delegation folgt der Transport. Eine kleine UDP-Antwort kann erfolgreich sein, während eine große DNSSEC-Antwort am effektiven Path MTU, an Fragmentierung oder an einem Filter scheitert. RFC 8900 erläutert die Fragilität von IP-Fragmentierung; RFC 9715 gibt Hinweise zur Vermeidung im DNS über UDP.

RFC 10001 verlangt DNS über TCP als Fallback, statt sich auf fragmentiertes UDP zu verlassen. RFC 9210 formuliert die operative Grundlage. Ein Nachweis muss deshalb eine vollständige DNS-Transaktion über TCP enthalten, nicht nur einen offenen Port oder einen Handshake.

Sinnvoll sind getrennte Ergebnisse für UDP, TCP und den Wechsel nach einer gekürzten Antwort. Anfrage, Response Code, Authoritative State, Größe, Latenz, Familie und Messpunkt gehören in denselben Datensatz.

Ein weiterer MUST betrifft den Inhalt: IPv4 und IPv6 müssen gleichwertige DNS-Daten liefern. Während eines gestaffelten Rollouts kann ein Listener eine alte SOA, DNSKEY oder Delegation tragen. Zwei erreichbare Server können dann widersprüchliche Autorität veröffentlichen.

Gleichwertigkeit ist nicht zwingend Bytegleichheit. Reihenfolge, Signaturen, Anycast und zulässige Antwortpolitik erzeugen Unterschiede. Das Audit muss vorab festlegen, welche Fakten übereinstimmen müssen und welche Abweichung den Rollout stoppt.

Der Nachweis braucht Provenienz

„IPv6 funktioniert“ ist ohne Kontext nicht wiederholbar. Ein belastbarer Eintrag nennt NS, Adresse, Familie, Anfrage, Protokoll, Zeitpunkt, Vantage Point, Parent- und Glue-Pfad sowie die empfangenen autoritativen Daten.

Ein Test im Netz des Anbieters beweist diesen internen Weg. Ein externer Test ergänzt einen anderen Weg, repräsentiert aber nicht das gesamte Internet. Betreiber wählen Messpunkte entsprechend wichtigen Nutzergruppen, Regionen, AS-Pfaden und Ausfallbereichen und beschränken die Aussage auf diese Beobachtung.

Auch die Zuständigkeit ist verteilt. Der Zoneninhaber verwaltet Child-Daten. Parent oder Registry veröffentlichen Delegation und Glue. Der autoritative Anbieter betreibt Listener und Zonenstände. Netzteams besitzen Routen, Filter und MTU-Verhalten. Monitoring definiert den Versuch. Eine verantwortliche Stelle entscheidet, ob ein fehlender Nachweis die Freigabe verhindert.

Ohne diese Stelle zeigt jedes Team sein eigenes Grün. Ein AAAA, eine Route und eine interne Antwort können gleichzeitig existieren, während ein IPv6-only-Resolver an einer vorgelagerten Abhängigkeit scheitert.

Die minimale Matrix hält vier Zeilen getrennt und markiert gemeinsame Abhängigkeiten. Ein weiterer Name oder eine weitere Adresse erhöht keine Resilienz, wenn derselbe Fehler alle Zeilen trifft.

Fiebigs öffentliche Rolle präzise lesen

Das offizielle Profil der TU Wien nennt Tobias Fiebig seit 1. März 2026 Universitätsprofessor für Computer Networks und Leiter des Forschungsbereichs Internet Infrastructures. Seine Themen umfassen Internetmessung, Sicherheit, Protokollentwicklung, DNS, SMTP, BGP und zuverlässige betriebliche Zusammenarbeit.

Dieser Kontext erklärt die Verbindung von Messung und Standard. Er belegt keine private Entscheidung und keine Kontrolle über einen Produktionsdienst. RFC 10001 ist Gemeinschaftsarbeit mit Momoka Yamamoto und IETF-Konsens; die Studie von 2023 hat sieben Autoren.

Die Methode passt zu Heng Lus Running-Code-Primat. Ein publizierter Record koordiniert Erwartungen, doch erst die ausgeführte Anfrage prüft den Dienst. Der administrative und der laufende Zustand dürfen sich nicht gegenseitig vertreten.

Minimum Initial Specification zieht die andere Grenze. Der gemeinsame Standard definiert Erreichbarkeit, Familienunabhängigkeit, Datenäquivalenz und TCP. Anbieter, Topologie, Anycast und Monitoringprodukt bleiben lokale Entscheidungen. Damit bleibt Flexibilität erhalten, ohne den Nachweis zu verwässern.

Ein Prüfschema für Änderung und Störung

Vor einer Provider-Migration werden die vier neuen Zeilen ausgefüllt. Parent und Child müssen zusammenpassen, geplante Cache-Zeiten verstreichen, beide Familien die vollständige Kette durchlaufen und UDP, TCP, große Antworten sowie kritische Daten geprüft werden.

Der alte Dienst bleibt bis zum Ende eines definierten Beobachtungsfensters bestehen. Eine zu frühe Abschaltung erschwert den Rollback, während Resolver noch Zwischenstände cachen. Die Überlappung liefert einen Vergleich und eine Rückkehrmöglichkeit.

Im Incident zeigt die Matrix den ersten gebrochenen Übergang: NS, A/AAAA, Glue, externe NS-Zone, Parent, Route, Filter, UDP, TCP, Zonenstand oder Timeout. Jeder Übergang hat einen anderen Eigentümer.

Für rekursive Resolver empfiehlt RFC 10001 Dual Stack. Single-Stack-Betrieb kann durch Übersetzung oder Weiterleitung an einen Dual-Stack-Resolver ergänzt werden. Zwei Resolver mit entgegengesetzten Einzelfamilien dürfen ungelöste Anfragen nicht aneinander zurückgeben, weil sonst eine für beide unerreichbare Zone endlos zirkuliert.

Fallback ist deshalb ein eigener Betriebsweg mit Richtung, Kapazität und Überwachung. Rettet er eine Anfrage, muss der ursprüngliche Fehler sichtbar bleiben.

Vier Nachweise sind weder dauerhaft noch universell. Sie gelten für Zeit, Server, Familie und Messpunkt. Gerade diese Begrenzung macht sie für Entscheidungen brauchbar: Andere Teams können die Beobachtung wiederholen und sehen, welche Behauptung noch offen ist.

Quellen