Gehostete Zonen und DNS-Recordtypen

Amazon Route 53 ist der hochverfügbare und skalierbare Domain Name System (DNS)-Service von AWS. Er übersetzt für Menschen lesbare Domainnamen (z. B. api.example.com) in IP-Adressen, die Computer für die Verbindung verwenden. Route 53 bietet außerdem Domainregistrierung, Zustandsprüfungen und ausgefeilte Richtlinien für das Traffic-Routing.

Route 53 ist auf eine Verfügbarkeit von 100 % ausgelegt (abgesichert durch ein SLA mit 100 % Betriebszeit) und weltweit über AWS-Edge-Standorte verteilt. Dadurch werden global Antwortzeiten für Abfragen von unter 10 ms erreicht.

Eine öffentliche gehostete Zone ist ein Container für DNS-Einträge, die festlegen, wie Internetverkehr für eine Domain weitergeleitet wird. Wenn Sie eine Domain registrieren oder zu Route 53 übertragen, wird automatisch eine öffentliche gehostete Zone erstellt. Sie können auch eine gehostete Zone für eine Domain erstellen, die bei einem anderen Registrar registriert ist, und die Nameserver der Domain auf Route 53 verweisen lassen.

Für jede gehostete Zone fällt eine geringe monatliche Gebühr sowie eine Gebühr pro Abfrage an. Beim Erstellen einer gehosteten Zone weist Route 53 vier Nameserver-(NS-)Einträge zu. Diese müssen Sie bei Ihrem Domainregistrar konfigurieren, um die DNS-Auflösung an Route 53 zu delegieren.

Eine private gehostete Zone ist einer oder mehreren VPCs zugeordnet und kann nur innerhalb dieser VPCs aufgelöst werden. Sie ermöglicht die interne Serviceerkennung: Ihre EC2-Instances können database.internal.example.com in eine private IP-Adresse auflösen, ohne den Namen im öffentlichen Internet bereitzustellen.

Private gehostete Zonen eignen sich ideal für Microservices, die intern miteinander kommunizieren, für interne Load Balancer und für Datenbankendpunkte, die niemals öffentlich zugänglich sein sollten. Sie können eine einzelne private gehostete Zone mithilfe der associate-vpc-with-hosted-zone-API mehreren VPCs zuordnen, auch VPCs aus verschiedenen Konten.

Ein A-Eintrag ordnet einen Hostnamen einer IPv4-Adresse zu (z. B. www.example.com → 54.123.45.67). Er ist der grundlegendste DNS-Eintragstyp und wird für alle Ressourcen mit einer statischen IPv4-Adresse verwendet. Ein AAAA-Eintrag erfüllt dieselbe Funktion für IPv6-Adressen.

Für AWS-Ressourcen mit dynamischen IP-Adressen (z. B. einen ALB oder eine CloudFront-Distribution) stellt Route 53 ALIAS-Einträge bereit. Diese verhalten sich wie A-Einträge, verweisen jedoch statt auf eine statische IP-Adresse auf den DNS-Namen einer AWS-Ressource. Abfragen von ALIAS-Einträgen sind kostenlos. Bei Standard-Einträgen, die auf CloudFront oder einen ALB verweisen, würden dagegen Gebühren für die dazwischengeschaltete Auflösung anfallen.

Ein CNAME-Eintrag (Canonical Name) ordnet einen Hostnamen einem anderen Hostnamen zu, nicht direkt einer IP-Adresse. Beispiel: www.example.com → d123abc.cloudfront.net. CNAMEs können nicht am Zonenapex (der Root-Domain, z. B. example.com selbst) erstellt werden – dies ist eine Einschränkung des DNS-Standards.

ALIAS-Einträge sind eine Erweiterung von Route 53. Sie verhalten sich wie A-/AAAA-Einträge, verweisen jedoch anhand des Namens auf AWS-Ressourcen. ALIAS-Einträge können am Zonenapex erstellt werden. Daher sind sie die richtige Wahl, um example.com (ohne www) auf einen ALB, eine CloudFront- oder einen S3-Website-Endpunkt zu leiten.

Neben A- und CNAME-Einträgen unterstützt Route 53 das vollständige Spektrum der DNS-Eintragstypen:

• MX: Mail Exchange – gibt die Mailserver an, die für den Empfang von E-Mails für eine Domain zuständig sind, einschließlich Prioritätswerten
• TXT: Text – speichert beliebigen Text und wird häufig zur Überprüfung des Domainbesitzes (SES, Google Workspace, SSL-Zertifikatvalidierung) sowie für die SPF-E-Mail-Authentifizierung verwendet
• NS: Name Server – identifiziert die autoritativen Nameserver für die gehostete Zone; wird von Route 53 automatisch erstellt und sollte nicht geändert werden
• SOA: Start of Authority – Metadaten zur Zone; wird automatisch erstellt

SRV-Einträge geben Host und Port für Services an und ermöglichen die Serviceerkennung in Protokollen wie SIP und XMPP. Format: Priorität, Gewichtung, Port, Ziel. Kubernetes etcd und andere Service Meshes verwenden SRV-Einträge zur Erkennung von Peers.

CAA-Einträge (Certification Authority Authorization) legen fest, welche Zertifizierungsstellen (CAs) SSL-/TLS-Zertifikate für Ihre Domain ausstellen dürfen. Wenn Sie einen CAA-Eintrag hinzufügen, der die Ausstellung auf amazon.com beschränkt, hindern Sie andere CAs daran, Zertifikate für Ihre Domain auszustellen. Dadurch verringert sich das Risiko einer fehlerhaften Zertifikatsausstellung.

TTL (Time to Live) ist ein Wert in Sekunden, der DNS-Resolvern mitteilt, wie lange sie einen Eintrag zwischenspeichern sollen, bevor sie Route 53 erneut abfragen. Eine niedrige TTL (z. B. 60 Sekunden) sorgt dafür, dass sich DNS-Änderungen schnell verbreiten, führt aber zu mehr Abfragen bei Route 53. Eine hohe TTL (z. B. 86400 = 1 Tag) senkt die Kosten für Route-53-Abfragen, verlangsamt jedoch die Verbreitung von Aktualisierungen der Einträge.

Best Practice: Verwenden Sie für stabile Einträge (z. B. einen A-Eintrag für die primäre Domain) eine hohe TTL. Senken Sie die TTL vor einer geplanten Migration oder Traffic-Umschaltung vorübergehend auf 60 Sekunden, damit sich die Änderung schnell verbreitet. Stellen Sie die hohe TTL nach der Migration wieder her.

Der Route 53 Resolver ist in jede VPC integriert und übernimmt die DNS-Auflösung für Einträge in privaten gehosteten Zonen und für AWS-Serviceendpunkte. Verwenden Sie für hybride Architekturen, in denen On-Premises-Systeme Namen aus privaten AWS-Zonen auflösen müssen (oder umgekehrt), eingehende Resolver-Endpunkte (On-Premises zu AWS) und ausgehende Resolver-Endpunkte (AWS zu On-Premises-DNS).

Mit Resolver-Weiterleitungsregeln können Sie konfigurieren, welche Domain-Suffixe an Ihre Unternehmens-DNS-Server weitergeleitet werden. So ermöglichen Sie eine nahtlose hybride DNS-Auflösung ohne doppelte Zonenverwaltung.

Route 53 fungiert auch als Domainregistrar und ermöglicht Ihnen, neue Domains zu registrieren oder bestehende zu übertragen. Bei der Registrierung geben Sie Kontaktinformationen an und können optional den Datenschutz aktivieren (der persönliche WHOIS-Daten verbirgt). Route 53 unterstützt Hunderte von Top-Level-Domains (TLDs).

Wenn Sie eine Domain über Route 53 registrieren, wird automatisch eine öffentliche gehostete Zone mit vorkonfigurierten NS- und SOA-Einträgen erstellt. Die NS-Einträge beim Registrar verweisen bereits auf die Nameserver von Route 53, sodass kein manueller Delegierungsschritt erforderlich ist. Sie können sofort mit dem Hinzufügen von Einträgen beginnen.

Wichtige Best Practices für gehostete Zonen für die SAA-C03-Prüfung:

• Verwenden Sie am Zonenapex ALIAS-Einträge statt CNAME für AWS-Ressourcen
• Verwenden Sie private gehostete Zonen für das gesamte interne DNS und veröffentlichen Sie interne Hostnamen niemals in öffentlichen Zonen
• Setzen Sie vor Migrationen eine niedrige TTL (60–120 s); stellen Sie danach wieder eine hohe TTL ein
• Aktivieren Sie für öffentliche Zonen die DNSSEC-Signierung, um sich vor DNS-Spoofing-Angriffen zu schützen
• Versehen Sie gehostete Zonen mit Tags zur Kostenaufteilung, wenn Sie mehrere Kunden oder Umgebungen verwalten

Testen Sie Ihr Verständnis der AWS-Solutions-Architect-Konzepte (SAA-C03) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Öffentliche gehostete Zonen leiten Internetverkehr weiter, während private gehostete Zonen nur innerhalb von VPCs aufgelöst werden; ALIAS-Einträge lösen die CNAME-Einschränkung am Zonenapex für AWS-Ressourcen, und die TTL steuert die Dauer der DNS-Zwischenspeicherung sowie die Geschwindigkeit der Verbreitung. Als Nächstes sehen wir uns die Route-53-Routing-Richtlinien an, darunter einfaches, gewichtetes und latenzbasiertes Routing.