Wie Reverse DNS funktioniert
Forward-DNS bildet Namen auf Adressen ab; Reverse-DNS bildet eine Adresse über PTR-Einträge in einem speziellen Baum auf einen Namen zurück. Bei IPv4 werden die Oktette umgekehrt und .in-addr.arpa angehängt: 192.168.1.10 wird als 10.1.168.192.in-addr.arpa nachgeschlagen. Bei IPv6 wird jede Hex-Ziffer der vollständig expandierten Adresse umgekehrt und mit Punkten getrennt unter .ip6.arpa gehängt, was 32 Labels ergibt.
Der Reverse-Baum wird entlang derselben Linien delegiert wie die Adresszuteilungen: Wer 192.168.0.0/16 hält, bekommt 168.192.in-addr.arpa und kann 1.168.192.in-addr.arpa für jedes /24 delegieren. In der Praxis ist das Ihr ISP oder Hoster; für einen einzelnen Server setzt man den PTR meist in dessen Verwaltungsoberfläche, statt die Zone selbst zu betreiben.
Warum es wichtig ist
- Mail: Die meisten Empfänger lehnen Mail von einer Adresse ab oder sortieren sie als Spam ein, wenn der PTR fehlt oder nicht zum HELO-Namen passt (forward-confirmed reverse DNS). Das ist der Hauptgrund, PTRs zu setzen.
- Logs und traceroute zeigen Hostnamen statt Adressen.
- SSH, Kerberos und manche Firewalls nutzen Reverse-Lookups für Zugriffsentscheidungen und laufen in Timeouts, wenn die Reverse-Zone defekt ist.
Kleiner als ein /24
Ein /24 ist die kleinste IPv4-Zone, die auf die Oktettgrenzen passt. Für ein /29 oder /28 delegiert der Provider mit dem RFC-2317-Trick: Die Elternzone enthält für jede Adresse CNAMEs, die in eine Unterzone wie 0-7.1.168.192.in-addr.arpa zeigen, die der Kunde kontrolliert. Das Tool benennt diese Zone, wenn das Präfix nicht auf einer Oktettgrenze liegt. IPv6 hat dieses Problem nicht: /64, /56 und /48 liegen alle auf Nibble-Grenzen.
Fragen
Was ist der PTR-Eintrag für 8.8.8.8?
Er liegt unter 8.8.8.8.in-addr.arpa und zeigt auf dns.google. Der PTR-Name jeder Adresse sind einfach ihre umgekehrten Oktette unter in-addr.arpa.
Wie setze ich Reverse DNS für meinen Server?
In der Verwaltungsoberfläche des Hosters (Hetzner: Server → Netzwerk → Reverse DNS; AWS: Support-Anfrage oder Elastic-IP-Einstellungen; die meisten VPS-Anbieter: ein Feld neben der IP). Der Provider besitzt die Reverse-Zone, also kann nur er den Eintrag anlegen.
Brauche ich einen PTR für IPv6?
Für einen Mailserver ja, aus denselben Gründen wie bei IPv4. Für alles andere ist er optional, aber sauber. Der ip6.arpa-Name ist lang, weshalb dieses Tool ihn für Sie erzeugt.
Worauf soll der PTR zeigen?
Auf einen Namen, der zurück auf dieselbe Adresse auflöst (der Forward-Eintrag muss existieren). Bei Mailservern sollte er zum HELO/EHLO-Namen des Servers passen, z. B. mail.example.com.