Zeit- und Namensdienste

Neben der Übertragung von Paketen sind Netzwerke auf Hintergrund-Dienste angewiesen, die alles konsistent und nutzbar halten. Zwei der grundlegendsten sind die Zeitsynchronisierung und die Namensauflösung.

Ohne genaue Zeit funktionieren Protokolle und Sicherheitsmechanismen nicht zuverlässig; ohne Namensauflösung müssten sich Benutzer IP-Adressen merken. Diese unauffälligen Dienste bilden die Grundlage für fast alles andere im Netzwerk.

Computer benötigen aus vielen Gründen synchronisierte Uhren: Protokolleinträge auf verschiedenen Geräten müssen zeitlich übereinstimmen, um Vorfälle zu untersuchen; Sicherheitszertifikate besitzen nur in bestimmten Zeitfenstern Gültigkeit; und Authentifizierungssysteme wie Kerberos lehnen Anfragen ab, wenn die Uhren zu weit auseinanderlaufen.

Schon eine Abweichung von wenigen Minuten kann Anmeldungen verhindern, die Fehlerbehebung erschweren und in einem ganzen Netzwerk schwer zu diagnostizierende Ausfälle verursachen.

NTP (Network Time Protocol) synchronisiert die Uhren von Geräten in einem Netzwerk. Geräte fragen NTP-Server ab und stellen ihre Uhren entsprechend ein. Dabei wird eine Genauigkeit im Millisekundenbereich erreicht. NTP verwendet den UDP-Port 123.

Es ist eines der ältesten Internetprotokolle, die noch intensiv genutzt werden, und sorgt unauffällig dafür, dass jedes Gerät – vom Router bis zum Server – dieselbe Uhrzeit verwendet.

NTP organisiert Zeitquellen in Strata. Stratum 0 ist eine hochgenaue Referenzuhr, etwa eine Atom- oder GPS-Uhr. Stratum-1-Server sind direkt damit verbunden, Stratum 2 synchronisiert sich mit Stratum 1 und so weiter.

Jede darunterliegende Ebene ist etwas weniger präzise. Netzwerke synchronisieren sich normalerweise mit öffentlichen oder internen NTP-Servern, die einige Strata von der Referenz entfernt sind. Für den normalen Betrieb ist das mehr als genau genug.

Der wichtigste Namensdienst ist DNS (Domain Name System). Er übersetzt leicht merkbare Namen wie example.com in IP-Adressen. DNS ist das Telefonbuch des Internets und ermöglicht es Menschen, Namen statt Zahlen zu verwenden.

Fast jeder Webaufruf, jede E-Mail und jede App-Verbindung beginnt normalerweise mit einer DNS-Abfrage. Damit ist die Namensauflösung einer der am häufigsten verwendeten Dienste in jedem Netzwerk.

DNS ist so zentral, dass bei einem Ausfall große Teile des Netzwerks gestört erscheinen, obwohl die Verbindung selbst funktioniert. Benutzer können Websites nicht anhand ihres Namens erreichen, E-Mails bleiben hängen und Apps laufen in Zeitüberschreitungen – alles aufgrund eines Namensproblems und nicht eines Routingproblems.

Deshalb ist It is always DNS ein beliebter Running Gag unter Netzwerkingenieuren: Viele rätselhafte Ausfälle lassen sich auf DNS-Probleme zurückführen.

Organisationen betreiben häufig ein eigenes internes DNS, um Geräte wie Server und Drucker im privaten Netzwerk zu benennen und zu finden. So können Mitarbeitende leicht verständliche interne Namen verwenden, statt sich IP-Adressen merken zu müssen.

Internes DNS lässt sich außerdem in Verzeichnisdienste integrieren, sodass Computer und Benutzer anhand ihres Namens gefunden und authentifiziert werden können. Es bildet damit eine wichtige Grundlage verwalteter Unternehmensnetzwerke.

Wenn Sie einen Namen eingeben, fragt Ihr Gerät einen Resolver – häufig den Ihres Internetdienstanbieters oder einen öffentlichen Dienst wie 8.8.8.8 – nach der passenden IP-Adresse. Der Resolver prüft seinen Cache, fragt bei Bedarf anschließend die DNS-Hierarchie ab und gibt die Adresse zurück.

Ihr Gerät verbindet sich danach mit dieser IP-Adresse. Der gesamte Austausch dauert normalerweise nur Millisekunden und läuft vor fast jeder Internetverbindung unbemerkt ab.

Netzwerke stützen sich außerdem auf weitere Hintergrunddienste:

• DHCP (Dynamic Host Configuration Protocol) verteilt IP-Einstellungen automatisch.
• NTP synchronisiert die Zeit.
• DNS löst Namen auf.

Zusammen bilden diese drei Dienste die unauffällige Grundlage für ein nutzbares Netzwerk. Wenn einer davon ausfällt, spüren Benutzer die Auswirkungen sofort, selbst wenn die Ursache unsichtbar bleibt.

Zentrale Dienste sind wertvolle Angriffsziele. DNS-Spoofing kann Benutzer auf gefälschte Websites umleiten, und manipulierte Zeitangaben können Sicherheitsprüfungen beeinträchtigen. Zu den Schutzmaßnahmen gehören DNSSEC (DNS Security Extensions) zur Authentifizierung von DNS-Einträgen sowie vertrauenswürdige, authentifizierte NTP-Quellen.

Da von diesen Diensten so viel abhängt, ist es für ein stabiles und vertrauenswürdiges Netzwerk unerlässlich, Zeit- und Namensdienste korrekt und sicher zu halten.

NTP synchronisiert mithilfe einer Stratum-Hierarchie Uhren (unerlässlich für Protokolle, Zertifikate und Authentifizierung), während DNS Namen in Adressen auflöst und die Grundlage für fast jede Verbindung bildet. Zusammen mit DHCP machen diese Hintergrunddienste ein Netzwerk nutzbar. Ihre Absicherung mit Tools wie DNSSEC schützt die gesamte Netzwerkgrundlage.

Testen Sie Ihr Wissen über Namensauflösung und Zeit.

Hintergrunddienste halten Netzwerke nutzbar. NTP synchronisiert Uhren (unerlässlich für Protokolle, Zertifikate und Authentifizierung) mithilfe einer Stratum-Hierarchie über UDP 123. DNS löst Namen in Adressen auf und bildet die Grundlage für nahezu jede Verbindung, während DHCP Einstellungen verteilt. Sichern Sie diese Dienste mit DNSSEC und vertrauenswürdigen Zeitquellen.