https://xinux.net/index.php?action=history&feed=atom&title=DNS_%C3%BCber_TCP_oder_UDP 2026-10-02T21:59:55Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://xinux.net/index.php?title=DNS_%C3%BCber_TCP_oder_UDP&diff=73455&oldid=prev 2026-09-25T07:46:10Z

<p>Die Seite wurde neu angelegt: „=DNS über UDP und TCP= ==Grundsatz== DNS nutzt UDP &#039;&#039;&#039;und&#039;&#039;&#039; TCP auf Port 53. TCP/53 muss in der Firewall immer freigegeben sein - nicht nur bei DNSSEC. ==W…“</p> <p><b>Neue Seite</b></p><div>=DNS über UDP und TCP=<br /> <br /> ==Grundsatz==<br /> DNS nutzt UDP '''und''' TCP auf Port 53. TCP/53 muss in der Firewall immer freigegeben sein - nicht nur bei DNSSEC.<br /> <br /> ==Warum==<br /> *UDP-Antworten sind begrenzt, seit dem DNS Flag Day 2020 auf empfohlene 1232 Byte<br /> *Ist eine Antwort größer, setzt der Server das TC-Bit (truncated) und der Client wiederholt die Anfrage über TCP<br /> *Große Antworten gibt es auch ohne DNSSEC, z.B. lange TXT-Records (SPF, DKIM) oder viele A-Records<br /> *DNSSEC läuft grundsätzlich über UDP, macht die Antworten aber größer (Signaturen, Schlüssel) und damit TCP häufiger<br /> *RFC 7766 und RFC 9210 schreiben TCP-Unterstützung und die Erreichbarkeit von TCP/53 vor<br /> <br /> Wird nur UDP/53 freigegeben, scheint DNS zu funktionieren. Einzelne Namen liefern aber Timeouts oder SERVFAIL.<br /> <br /> ==Zonentransfers==<br /> Zonentransfers werden im DNS-Server eingeschränkt, nicht durch Sperren von TCP/53.<br /> <br /> ;BIND9<br /> &lt;pre&gt;<br /> allow-transfer { 192.168.2XX.3; };<br /> &lt;/pre&gt;<br /> <br /> ==Firewallregel==<br /> ;nftables<br /> &lt;pre&gt;<br /> ip daddr 192.168.2XX.2 meta l4proto { udp, tcp } th dport 53 accept<br /> &lt;/pre&gt;<br /> <br /> ==Test==<br /> ;TC-Bit sichtbar machen<br /> *dig +dnssec +bufsize=512 +ignore DNSKEY de.<br /> <br /> ;Automatischer Wechsel auf TCP<br /> *dig +dnssec +bufsize=512 DNSKEY de.</div>

Thomas.will