Kann ein Heimrouter Split-DNS sowohl für IPv4 als auch für IPv6 auflösen?

Eva Wong

IceWhale author

Eva Wong ist die Technische Redakteurin und und leidenschaftliche Tüftlerin bei ZimaSpace. Eine lebenslange Geek mit einer Leidenschaft für Homelabs und Open-Source-Software, sie spezialisiert sich darauf, komplexe technische Konzepte in zugängliche, praktische Anleitungenzu übersetzen. Eva ist der Meinung, dass Self-Hosting Spaß machen und nicht einschüchternd sein sollte. Durch ihre Tutorials befähigt sie die Community, Hardware-Setups zu entmystifizieren, vom Bau ihres ersten NAS bis hin zur Beherrschung von Docker-Containern.

Can a Home Router Resolve Split DNS for Both IPv4 and IPv6? - Zima Store Online

Ja, wenn der Router oder der delegierte Resolver die vorgesehenen A- und AAAA-Antworten an die richtigen Client-Netzwerke liefert und die Clients diesen Resolver tatsächlich für beide Adressfamilien verwenden.

Dies wird zu einer echten Kompatibilitätsfrage, wenn interne Hostnamen zu privaten IPv4- und IPv6-Adressen aufgelöst werden müssen, während öffentliche Clients öffentliche Antworten erhalten. Beginnen Sie mit einem Weg oder Konto, das problemlos verworfen werden kann, halten Sie den zuvor funktionierenden Zustand verfügbar und beurteilen Sie das Design anhand der ursprünglichen Arbeitslast statt anhand eines einmaligen Verbindungstests.

Unterstützte Architektur vom riskanten Ansatz trennen

Der unterstützte Zweig besteht aus clientspezifischen A- und AAAA-Antworten einer zentralen autoritativen Richtlinie. Der alternative Zweig besteht darin, dass IPv6-Clients den lokalen Resolver umgehen oder eine nicht erreichbare globale oder ULA-Adresse erhalten. Erfassen Sie Versionen, Identitäten, Adressen, Einhängepfade, Berechtigungen und den aktuell beobachtbaren Zustand, bevor Sie einen der beiden Zweige ändern.

Die relevanten Split-DNS-Ansichten definieren die erste Kompatibilitätsgrenze. Verwenden Sie sie, um die Aussage einzugrenzen, und überprüfen Sie anschließend dasselbe Verhalten auf genau diesem Heimserver, statt eine dokumentierte Funktion als Beleg dafür zu betrachten, dass das gesamte Design funktioniert.

Formulieren Sie die Entscheidungsregel vor dem Test: Erfolg bedeutet, dass jedes Netzwerk die vorgesehene Adressfamilie erhält und denselben Dienst mit Zertifikat erreicht, ohne öffentliches Hairpinning. Als Fehler gelten eine AAAA-Antwort mit einer öffentlichen oder veralteten Adresse, die Verwendung verschlüsselter externer DNS-Dienste durch Clients oder eine IPv6-Routing- und Firewall-Richtlinie, die nicht zur Antwort passt. Dadurch wird verhindert, dass eine teilweise Verbindung oder ein sauberer Befehlsabschluss fälschlich als Ende-zu-Ende-Kompatibilität interpretiert wird.

Den exakten Speicher- und Netzwerkpfad reproduzieren

Verwenden Sie einen kontrollierten Unterscheidungsfaktor: Fragen Sie A und AAAA aus jedem VLAN ab, prüfen Sie den tatsächlich verwendeten Resolver und verbinden Sie sich anschließend über beide Adressfamilien, wobei während des Tests ein öffentliches Fallback deaktiviert ist. Halten Sie Client, Arbeitslast, Dateisatz, Konto und Zeitpunkt konstant, damit die geänderte Komponente die einzig plausible Erklärung bleibt.

Verwenden Sie dnsmasq-Adressregeln, um die für diesen Pfad relevante zweite Beobachtung auszuwählen. Erfassen Sie beide Seiten der Transaktion: Resolver oder Route, ausgehandeltes Protokoll, Prozessidentität, Exit-Status, Latenz, übertragene Bytes und jedes Wiederherstellungsereignis.

Wiederholen Sie den Test nach dem im Titel genannten Lebenszyklusereignis - Neuerstellung, erneuter Verbindung, erneutem Einhängen, Neustart, Failover oder Clientwechsel. Ein Design, das nur funktioniert, solange alte Sockets, Caches oder Anmeldedaten noch aktiv sind, hat den Test nicht bestanden.

dig A app.home @router
dig AAAA app.home @router
curl -4 https://app.home
curl -6 https://app.home

Ergebnisse zu Beständigkeit, Zeitüberschreitung und Wiederherstellung interpretieren

BESTANDEN: Jedes Netzwerk erhält die vorgesehene Adressfamilie und erreicht denselben Dienst mit Zertifikat, ohne öffentliches Hairpinning. Speichern Sie die genauen Versionen und die Topologie, die diesen Zustand hervorgebracht haben, da die Schlussfolgerung für diese Bedingungen gilt und nicht für jede Implementierung des Protokolls.

FEHLGESCHLAGEN: AAAA liefert eine öffentliche oder veraltete Adresse, Clients verwenden verschlüsseltes externes DNS oder IPv6-Routing und Firewall-Richtlinie stimmen nicht mit der Antwort überein. Prüfen Sie gemeinsame Abhängigkeiten wie DNS, MTU, Identität, Firewall-Zustand, Speicherlatenz und zwischengespeicherte Sitzungen, bevor Sie einen der beiden Hauptzweige als Ursache festlegen.

AUSNAHME: Entfernen Sie die falsche AAAA-Überschreibung, stellen Sie einen erreichbaren Antwortsatz wieder her und korrigieren Sie die Resolver-Ankündigung sowie das IPv6-Routing, bevor Sie die Funktion erneut aktivieren. Erweitern Sie keine Berechtigungen, löschen Sie keine Quelldaten, schwächen Sie nicht die Transportsicherheit und ersetzen Sie keinen funktionierenden Speicher, bevor eine reproduzierbare Beobachtung ermittelt hat, welche Grenze fehlgeschlagen ist.

-15% OFF

ZimaBoard 2 – Mini-Heimserver für Ihre große Idee

Single board computer zimaboard2

Das Design erst nach einer Wiederherstellungsprüfung beibehalten

Wenden Sie nur die Maßnahme an, die zum beobachteten Zweig passt, und führen Sie anschließend die ursprüngliche Arbeitslast erneut aus. Behalten Sie das Design nur bei, wenn jedes Netzwerk über zwei relevante Lebenszykluszyklen und unter der erwarteten gleichzeitigen Last die vorgesehene Adressfamilie erhält und denselben Dienst mit Zertifikat ohne öffentliches Hairpinning erreicht.

Verwenden Sie das Split-Horizon-DNS, um den am stärksten abhängigen Arbeitsablauf zu überprüfen. Zugriff, Zeitverhalten und Wiederherstellungsverhalten müssen unverändert bleiben, während das neue Design aktiv ist.

Halten Sie an und kehren Sie zum gespeicherten Zustand zurück, wenn AAAA eine öffentliche oder veraltete Adresse liefert, Clients verschlüsseltes externes DNS verwenden oder IPv6-Routing und Firewall-Richtlinie nicht mit der Antwort übereinstimmen. Eskalieren Sie mit Zeitstempeln, genauen Versionen, Nachweisen zu Route oder Einhängepunkt und der kleinstmöglichen Reproduktion, statt eine weitere Umgehungslösung hinzuzufügen.

Vergleichen Sie das Ergebnis mit den IPv6-Firewallregeln, damit das Risiko nicht lediglich in eine andere Netzwerk-, Identitäts-, Backup- oder Speicherebene verschoben wird.

Für Dual-Stack-Split-DNS lautet die qualifizierte Antwort daher wie eingangs beurteilt - nicht uneingeschränkt ja. Der beobachtbare Erfolgszustand ist die Abnahmelinie; der Fehlerzustand ist die Rücksetzlinie.

FAQ

Kann ein A-Eintrag funktionieren, während AAAA die Anwendung beeinträchtigt?

Ja. Viele Clients bevorzugen IPv6, sodass ein fehlerhafter AAAA-Pfad ausfallen kann, bevor IPv4 versucht wird.

Ignoriert das sichere DNS des Browsers den Router?

Das ist möglich. Bestätigen Sie den effektiv verwendeten Resolver des Clients und legen Sie eine Richtlinie für verschlüsseltes DNS auf verwalteten Geräten fest.