Die 13 Root-Server des Internets

Häufige Fragen zu den Root-Servern

Wie viele Root-Server gibt es?

Es gibt 13 Root-Server-Identitäten, A bis M, aber jede davon ist ein Cluster aus vielen Maschinen, die per Anycast über die Welt verteilt sind. Insgesamt existieren mehr als 1.700 Root-Server-Instanzen in über 130 Ländern; eine Anfrage aus Frankfurt, Wien oder Zürich beantwortet also ein naher Knoten und kein einzelner Rechner in den USA.

Warum genau 13?

Wegen einer Grenze im ursprünglichen DNS-Protokoll: Eine UDP-Antwort musste in 512 Byte passen, und 13 Einträge aus Name und Adresse sind das, was neben der Frage Platz hat. Statt weitere Identitäten anzulegen, haben die Betreiber jede einzelne per Anycast vervielfacht; deshalb stecken hinter 13 Namen über 1.700 Server.

Wer betreibt die Root-Server?

Zwölf Organisationen: Verisign (A und J), USC-ISI (B), Cogent (C), die University of Maryland (D), die NASA (E), das Internet Systems Consortium (F), das US-Verteidigungsministerium (G), das US Army Research Lab (H), Netnod (I), RIPE NCC (K), ICANN (L) und das WIDE-Projekt (M). ICANN und IANA koordinieren die Root-Zone, Verisign veröffentlicht sie als Root Zone Maintainer.

Wo stehen sie physisch?

Überall. Die Stadt in der Tabelle ist der Sitz des Betreibers, aber jeder Buchstabe hat Instanzen auf allen Kontinenten, untergebracht an Internetknoten. Drei Betreiber sitzen außerhalb der USA (Netnod in Stockholm, RIPE NCC in Amsterdam, WIDE in Tokio), und in Deutschland, Österreich und der Schweiz gibt es Instanzen mehrerer Buchstaben, etwa am DE-CIX in Frankfurt.

Kann ich einen Root-Server als DNS eintragen, etwa 198.41.0.4?

Nein. Root-Server sind nur für die Root-Zone autoritativ: Sie lösen keine Namen für dich auf, sondern verweisen nur auf die Server der Top-Level-Domain, nach der du gefragt hast (.com, .de, .org). Ein Rechner mit einem Root-Server als DNS kann nicht surfen. Du brauchst einen rekursiven Resolver wie 1.1.1.1, 9.9.9.9 oder 8.8.8.8.

Was beantwortet ein Root-Server eigentlich?

Nur eines: welche Nameserver für eine Top-Level-Domain autoritativ sind. Wenn dein Resolver beispiel.de zum ersten Mal nachschlägt, sagt ihm die Root, wo die .de-Server sind, .de sagt ihm, wo die Server von beispiel.de sind, und die liefern die endgültige Antwort. Resolver cachen den .de-Verweis zwei Tage, in der Praxis fragen sie die Root also sehr selten.

Was passiert, wenn ein Root-Server ausfällt oder angegriffen wird?

Sehr wenig. Der Verkehr des betroffenen Buchstabens wandert zu anderen Anycast-Instanzen, und die übrigen zwölf antworten weiter. Außerdem cachen Resolver die Verweise der Top-Level-Domains 48 Stunden, sodass selbst ein Totalausfall erst mit Verzögerung sichtbar würde. Die großen DDoS-Angriffe von 2002, 2007 und 2015 haben für Nutzer keine spürbare Störung verursacht.

Ist die Root-Zone mit DNSSEC signiert?

Ja, seit Juli 2010, und der Root-Schlüssel (KSK) wurde im Oktober 2018 erstmals gewechselt. Validierende Resolver wie Quad9, Cloudflare und Google prüfen die Signaturkette von der Root aus, und genau das macht gefälschte DNS-Antworten erkennbar.