DNS – Zonentransfer

Ein Zonentransfer ist der Prozess, bei dem ein DNS-Server eine komplette DNS-Zone an einen anderen DNS-Server überträgt.
Er wird verwendet, damit Primary und Secondary Nameserver synchron bleiben.

• Redundanz: mehrere DNS-Server halten dieselben Daten
• Lastverteilung
• Ausfallsicherheit
• automatische Aktualisierung von Secondary-Servern

• Überträgt die gesamte Zone
• langsam, aber vollständig
• wird genutzt, wenn:
  • Secondary neu gestartet wurde
  • Zone komplett geändert wurde
  • Keys geändert wurden

• Überträgt nur Änderungen
• schneller und effizienter
• basiert auf Seriennummern im SOA-Record

Der SOA-Record enthält:

• Primary-Server
• Kontaktadresse
• Seriennummer (wichtig für IXFR)
• Refresh
• Retry
• Expire
• Minimum TTL

Beispiel:

 example.com. IN SOA ns1.example.com. admin.example.com. (
                 2025010101 ; Seriennummer
                 3600       ; Refresh
                 600        ; Retry
                 604800     ; Expire
                 86400 )    ; Minimum TTL

ASCII-Ablauf:

 Primary DNS  ----AXFR/IXFR---->  Secondary DNS

1. Secondary fragt beim Primary die SOA-Seriennummer ab
2. Wenn Seriennummer unterschiedlich:
   → Anfrage eines Transfers
3. Primary sendet AXFR oder IXFR
4. Secondary aktualisiert seine Zone

Ein offener Zonentransfer erlaubt Angreifern:

• vollständigen Einblick in interne DNS-Strukturen
• Auflistung aller Hosts, Server, internen Systeme

Gefährlich:

  dig AXFR example.com @ns1.example.com

Wenn das funktioniert → riesiges Security-Problem.

Empfehlungen:

• nur autorisierte Secondary-Server erlauben
• IP-Whitelist im Primary
• TSIG-Schlüssel verwenden

Beispiel (BIND):

 allow-transfer { 192.0.2.10; };

TSIG sorgt für:

• Authentifizierung
• Integrität
• Schutz vor Spoofing

Beispiel-Key:

 hmac-sha256  "RANDOMBASE64KEY==";

• Delegation = Parent-Zone verweist auf Child-Zone (NS-Records)
• Transfer = Child-Zone wird auf Secondary kopiert

 dig example.com SOA

 dig AXFR example.com @ns1.example.com

 dig example.com SOA @ns1
 dig example.com SOA @ns2

Wenn unterschiedlich → Secondary ist veraltet.

• Zonentransfer = Übertragung einer DNS-Zone von Primary zu Secondary
• AXFR = vollständiger Transfer
• IXFR = inkrementeller Transfer (nur Änderungen)
• Seriennummer (SOA) steuert den Prozess
• Zonentransfers müssen abgesichert werden (IP-ACL, TSIG)
• offene AXFR sind ein massives Sicherheitsrisiko