Root-Nameserver, kurz Root-Server, sind Server zur Namensauflösung an der Wurzel (Root) des Domain Name Systems im Internet. Die Zone der Root-Server umfasst Namen und IP-Adressen aller Nameserver aller Top-Level-Domains (TLD).

Praktisch jeder ans Internet angeschlossene Rechner bekommt einen Nameserver zugewiesen, der Namen wie „de.wikipedia.org“ auf technische Nummern (IP-Adressen) übersetzen kann. Hat der Nameserver keine Information zur angefragten TLD (in diesem Fall „org“), wendet er sich an die Root-Server. Dort werden die für „org“ zuständigen Nameserver abgefragt.

Bei den org-Nameservern wiederum werden die für „wikipedia.org“ verantwortlichen Nameserver erfragt und dort schließlich die IP-Adresse von „de.wikipedia.org“. Damit der Nameserver diese Kette nicht jedes Mal neu durchlaufen muss, speichert er die Antworten für eine gewisse Zeit. Root-Server werden von verschiedenen Institutionen betrieben. Die Internet Corporation for Assigned Names and Numbers (ICANN) koordiniert den Betrieb.

Root-Server

Es gibt 13 Root-Nameserver, die nach dem Schema x.root-servers.net benannt sind. Jeder Root-Nameserver ist unter einer IPv4-Adresse erreichbar, die meisten zusätzlich unter einer IPv6-Adresse. Die meisten Root-Nameserver setzen Anycast zur Lastverteilung ein, sodass die 13 Adressen von tatsächlich mehreren hundert Servern an verschiedenen Orten der Welt bedient werden.

Alter Name	IPv4-Adresse	IPv6-Adresse	Betreiber	Ort
ns.internic.net	198.41.0.4	2001:503:ba3e::2:30	VeriSign	verteilt (Anycast)
ns1.isi.edu	192.228.79.201	2001:478:65::53	USC-ISI	Marina del Rey
c.psi.net	192.33.4.12	2001:500:2::c	Cogent Communications	verteilt (Anycast)
terp.umd.edu	199.7.91.13	2001:500:2d::d	University of Maryland	College Park (Maryland)
ns.nasa.gov	192.203.230.10		NASA	verteilt (Anycast)
ns.isc.org	192.5.5.241	2001:500:2f::f	ISC	verteilt (Anycast)
ns.nic.ddn.mil	192.112.36.4		U.S. DoD NIC	verteilt (Anycast)
aos.arl.army.mil	128.63.2.53	2001:500:1::803f:235	US Army Research Lab	verteilt (Anycast)
nic.nordu.net	192.36.148.17	2001:7FE::53	Autonomica	verteilt (Anycast)
	192.58.128.30	2001:503:c27::2:30	VeriSign	verteilt (Anycast)
	193.0.14.129	2001:7fd::1	RIPE NCC	verteilt (Anycast)
	199.7.83.42	2001:500:3::42	ICANN	verteilt (Anycast)
	202.12.27.33	2001:dc3::35	WIDE Project	verteilt (Anycast)

Aktualisierung des Inhalts

Änderungsanträge an der Root-Zone werden zunächst von der ICANN im Rahmen der IANA-Aufgaben auf technische Korrektheit geprüft, anschließend an das US-Handelsministerium weitergeleitet. Dieses beauftragt VeriSign, die Änderung der Zone zu publizieren. Alle Root-Server synchronisieren ihren Datenbestand von redundanten Verteilungs-Servern von VeriSign. In der Vergangenheit synchronisierten die Root-Server noch zweimal täglich direkt vom A-Root, dies wurde jedoch aufgegeben, um diesen Single Point of Failure zu beseitigen.

Ausfallsicherheit und Angriffe

Die Root-Server bearbeiten eine sehr große Anzahl von Anfragen, ein erheblicher Teil davon verursacht durch fehlerhafte Software oder Netzwerkkonfiguration. Eine Filterung auf DNS-Ebene findet nicht statt, da dies aufgrund der Einfachheit einer DNS-Anfrage mehr Ressourcen aufwenden würde, als alle Anfragen zu beantworten.

Gemäß RFC 2870 muss jeder Root-Server mit dem dreifachen Peak des am stärksten belasteten Root-Servers umgehen können. Das bedeutet, dass ein Root-Server im Normalbetrieb nur maximal ein Drittel seiner Kapazität ausnutzen darf. Fallen zwei Drittel der Root-Server aus, soll das noch betriebsfähige Drittel die Anfragen beantworten können.

Der Angriff mit der größten Wirkung auf die Root-Server fand am 21. Oktober 2002 statt. Ein DDoS erfolgte 75 Minuten lang mit zusammen 900 MBit/s (1,8 Mpkts/s) auf alle 13 Root-Server. Alle Root-Server blieben zwar lauffähig, da die vorgeschalteten Firewalls den Angriffsverkehr verwarfen, allerdings waren etwa neun Root-Server durch die überfluteten Leitungen schlecht bis gar nicht erreichbar. Root-Server-Lookups wurden dadurch deutlich verzögert, durch das Caching gab es jedoch kaum Störungen bei den Anwendern. Ausgelöst durch den DDoS-Angriff wurde die Umsetzung von Anycast beschleunigt.

Ein weiterer Angriff fand am 15. Februar 2006 statt, einige Tage, nachdem die Nameserver einer von der ICANN nicht genannten Top-Level-Domain angegriffen worden waren. Dieser DDoS-Angriff wurde als DNS Amplification Attack durchgeführt, wodurch sich das aufgekommene Datenvolumen vervielfachte. Zwei der lediglich drei angegriffenen Root-Server waren 15 Minuten lang nicht erreichbar.

Am 6. Februar 2007 fand ein weiterer DDoS-Angriff auf die Root-Server und gleichzeitig auf einige TLD-Nameserver statt. Zwei Root-Server waren nicht erreichbar.

Kritik

Kritiker erachten das Mitspracherecht der US-Regierung als problematisch. Dies betrifft zum einen den rechtlichen Status der ICANN, die als kalifornische Institution den US-Gesetzen untersteht. Zum anderen ist die ICANN seit ihrer Gründung mittels eines Memorandum of Understanding (MoU) an das US-Handelsministerium gebunden. Das MoU wurde zuletzt 2006 für drei Jahre verlängert.

Auch VeriSign, die verteilende Instanz der Root-Zonenänderungen, unterliegt als kalifornisches Unternehmen der US-Gesetzgebung. Um die Einflussnahme der USA auf das Domain Name System zu verringern, entstand unter Mitwirkung von Internetpionieren wie Paul Vixie 2002 das Open Root Server Network (ORSN) als alternativer Root. Der Betrieb des ORSN wurde zum 31. Dezember 2008 eingestellt, 2013 als Reaktion auf PRISM und Tempora jedoch wieder aufgenommen.

Alternative DNS-Roots

Neben den ICANN-Root-Servern gibt es eine Reihe von alternativen Root-Server-Netzwerken, die aus politischen oder kommerziellen Gründen entstanden sind. Das bereits erwähnte Open Root Server Network versteht sich als politische Non-Profit-Alternative, um den Einfluss der ICANN auf das Domain Name System zu senken. Kommerzielle DNS-Roots verfolgen das Ziel, Domains unterhalb eigener Top-Level-Domains zu verkaufen. Diese TLDs sind ausschließlich Nutzern des jeweiligen Anbieters zugänglich, da sie in der ICANN-Root-Zone nicht vorhanden sind.

Public-Root versteht sich als unabhängige Non-Profit-Alternative. Neben den Top-Level-Domains der ICANN-Zone löst Public-Root auch Top-Level-Domains der kommerziellen Anbieter UN1D und TLD.NAME auf. Ein weiterer alternativer DNS-Root-Betreiber ist OpenNIC, nach eigener Aussage von Freiwilligen ohne kommerzielle Interessen betrieben. Neben den Top-Level-Domains der ICANN löst OpenNIC auch einige eigene TLDs auf.

Aus der Geschichte

Ursprünglich wurde die Anzahl auf 13 beschränkt:

• Da nicht mehr Server inklusive der Zusatzinformationen in ein 512 Byte großes Paket passen, vorgegeben durch konservative Annahme der MTU Konfiguration.
• Weil aus Leistungsgründen UDP das bevorzugte Protokoll ist: ein Paket Anfrage, eines als Antwort in den meisten Fällen.
• Größere Pakete können aufgeteilt werden, jedoch haben frühere Betriebssystem- und Routerversionen das Zusammenfügen dieser fragmentierten Pakete nicht gut unterstützt, also hat der DNS-Standard vorgeschrieben, die Anfrage erneut mittels TCP zu stellen.

Bevor Anycast eingesetzt wurde, befanden sich 10 der 13 Root-Server in den USA. Dies wurde hinsichtlich der Ausfallsicherheit kritisiert, da eine geographische Zentrierung dem Dezentralisierungsgedanken des Internets entgegenläuft.

Quelle: Wikipedia (http://de.wikipedia.org/wiki/Root-Nameserver)