# Planen Sie Adressen und DNS als Teile Ihrer Bereitstellung | SwissOctet Insights https://swissoctet.com/de/insights/plan-addresses-and-dns-for-deployment/ SwissOctet / Einblicke / Netzwerk-Engineering Netzwerk-Engineering Grundlagen · 4 Min. Lesezeit Planen Sie Adressen und DNS als Teile Ihrer Bereitstellung Trennen Sie öffentliche, private, statische und dedizierte Adressen und ordnen Sie dann Forward-DNS, Reverse-DNS und TLS den Parteien zu, die sie konfigurieren können. Von SwissOctet Editorial Leitfaden speichern Link kopieren AUF DIESER SEITE 01 Adresseigenschaften beantworten unterschiedliche Fragen 02 Private Adressierung benötigt weiterhin Routing und Zugriffskontrolle 03 Stabile Namen und stabile Adressen hängen zusammen 04 Forward-DNS und Reverse-DNS haben unterschiedliche Eigentümer 05 Eine dedizierte Adresse ist nicht für jede HTTPS-Site erforderlich 06 Verwenden Sie eine Bereitstellungskarte, bevor Sie Datensätze ändern Ihre praktische Checkliste Quellen & weiterführende Literatur Zurück zur Bibliothek DIE DIREKTE ANTWORT Öffentlich, privat, statisch und dediziert sind unabhängige Adresseigenschaften. Erstellen Sie eine Bereitstellungskarte, die auch Routing, Firewalls, Forward-DNS, Reverse-DNS und TLS abdeckt, und verifizieren Sie jede Einstellung mit der Partei, die sie kontrolliert. 01 Adresseigenschaften beantworten unterschiedliche Fragen Öffentlich und privat beschreiben, wohin eine Adresse geroutet werden soll. Statisch und dynamisch beschreiben, wie sich eine Zuweisung im Laufe der Zeit verhält. Dediziert und gemeinsam genutzt beschreiben, wie eine Adresse innerhalb eines Dienstes verwendet oder zugewiesen wird. Dies sind separate Eigenschaften: Eine stabile öffentliche Adresse kann vielen Sites dienen, und eine private Adresse kann innerhalb eines kontrollierten Netzwerks dynamisch zugewiesen werden. Schreiben Sie die Rolle jeder Adresse in der Bereitstellung auf: öffentlicher Einstiegspunkt, interne Datenbank, Verwaltungsroute oder ausgehende Verbindung. Identifizieren Sie dann, wer sie zuweist und was sich ändern kann. Dies verhindert, dass Konfigurationsarbeit von einer Annahme abhängt, wie dass dediziert dauerhaft fest bedeutet oder öffentlich bedeutet, dass der Dienst erreichbar ist. Erreichbarkeit hängt auch von Routing, Firewalls und dem Listener der Anwendung ab. 02 Private Adressierung benötigt weiterhin Routing und Zugriffskontrolle RFC 1918 reserviert die IPv4-Bereiche 10.0.0.0/8, 172.16.0.0/12 und 192.168.0.0/16 für private Netzwerke. Ihre Adressen sind keine global eindeutigen öffentlichen Ziele. Ein Netzwerk kann private Adressen für ausgehende Verbindungen übersetzen oder private Netzwerke über explizite Routen verbinden. Ein eingehender Dienst hinter einer Übersetzung benötigt eine bewusste Veröffentlichungsmethode; das alleinige Ändern eines DNS-Datensatzes erstellt diese Route nicht. IPv6 hat eigene Adresstypen und -bereiche, einschließlich Link-Local-Adressierung und global routbarer Unicast-Adressen. Überprüfen Sie es separat, anstatt anzunehmen, dass eine IPv4-Firewall- oder Übersetzungsregel IPv6 abdeckt. Eine private Adresse ist kein Authentifizierungsmechanismus, und eine öffentliche IPv6-Adresse ist kein Grund, jeden Dienst bereitzustellen. Testen Sie den Zugriff aus jedem relevanten Netzwerk und beschränken Sie die Administration an der geeigneten Grenze. 03 Stabile Namen und stabile Adressen hängen zusammen DHCP weist Adresskonfiguration über ein Protokoll zu und kann Leases verwenden. Eine dynamisch zugewiesene Adresse kann einige Zeit unverändert bleiben; das macht ihre Dauerhaftigkeit nicht zu einer vertraglichen Garantie. Wenn eine Anwendung von einer stabilen Adresse abhängt, verifizieren Sie die Zuweisungs- und Änderungsrichtlinie des Anbieters, anstatt sie aus der gestrigen Verbindung abzuleiten. Dynamisches DNS kann einen Namen aktualisieren, nachdem sich eine Adresse geändert hat, aber Clients können die vorherige Antwort weiterhin cachen. Es kann auch keinen unerreichbaren Listener, eine fehlende eingehende Route oder Carrier-Grade-Adressübersetzung überwinden. Verwenden Sie es, wenn das Netzwerk die Verbindung zulässt und die Anwendung Aktualisierungsverzögerungen toleriert. Dokumentieren Sie für eine gehostete Bereitstellung den vorgesehenen Adresslebenszyklus, bevor Sie Allowlists oder externe Integrationen darum herum aufbauen. Eigenschaft Was zu bestätigen ist Häufige falsche Annahme Öffentlich oder privat Routing-Bereich und Zugriffspfad Eine Adresse allein macht einen Dienst erreichbar Statisch oder dynamisch Zuweisungs- und Änderungsrichtlinie Eine unveränderte Lease ist dauerhaft Dediziert oder gemeinsam genutzt Zuweisung und erlaubte Nutzung Eine dedizierte Adresse bietet anonyme Identität IPv4 oder IPv6 Sowohl Routing- als auch Firewall-Konfigurationen Die Einstellungen eines Protokolls decken das andere ab 04 Forward-DNS und Reverse-DNS haben unterschiedliche Eigentümer Forward-DNS ordnet Namen Daten wie A- und AAAA-Adressdatensätzen zu. Reverse-DNS verwendet einen adressbezogenen Namespace und PTR-Datensätze, um eine Adresse einem Namen zuzuordnen. Die Organisation, die die Forward-DNS-Zone kontrolliert, ist nicht unbedingt die Organisation, die Reverse-DNS für den Adressbereich kontrolliert. Ermitteln Sie den richtigen Konfigurationspfad, bevor Sie einen Reverse-Namen versprechen. Prüfen Sie den Datensatz über den geeigneten Resolver und dokumentieren Sie das Ergebnis. Prüfen Sie für einen PTR, der einen Host identifizieren soll, auch, ob der entsprechende Forward-Datensatz auf die erwartete Adresse zeigt. Reverse-DNS kann die betriebliche Identifikation und einige Mail-Systemprüfungen unterstützen, aber es authentifiziert keine Anwendung und garantiert keine Nachrichtenzustellung. Der Mailversand benötigt außerdem eine eigene Überprüfung von Domain, Reputation und Authentifizierung. 05 Eine dedizierte Adresse ist nicht für jede HTTPS-Site erforderlich HTTP-Host-Routing und die TLS Server Name Indication-Erweiterung ermöglichen unterstützten Clients und Servern, eine Site oder ein Zertifikat nach Namen auszuwählen. Mehrere HTTPS-Sites können daher eine Adresse verwenden, ohne dass eine öffentliche Adresse pro Domain erforderlich ist. Die tatsächliche Hosting-Konfiguration und die erforderlichen Clients bestimmen, ob diese Anordnung geeignet ist. Wählen Sie eine zusätzliche Adresse nur, wenn eine dokumentierte Anforderung sie verlangt, wie eine unterstützte Netzwerktrennung oder ein externes System, das einen eigenen Endpunkt erwartet. Eine Adresse bietet keine Immunität gegen Reputationsprobleme und identifiziert nicht die Person, die einen Dienst betreibt. Behandeln Sie Zertifikate, Hostname-Routing und Adresszuweisung als separate Prüfungen. Verifizieren Sie das bereitgestellte Zertifikat über den Hostnamen, den Benutzer tatsächlich besuchen werden. 06 Verwenden Sie eine Bereitstellungskarte, bevor Sie Datensätze ändern Erstellen Sie eine kleine Karte mit jedem Hostnamen, Adressdatensatz, Listener, Firewall-Pfad und Verantwortlichen. Beziehen Sie Administration, Backups und alle ausgehenden Allowlists ein. Prüfen Sie, ob die SwissOctet-Konfiguration die benötigte Adressoption auflistet, und fragen Sie nach der Kontrolle über Reverse-DNS, bevor Sie sich darauf verlassen. Stellen Sie Katalogoptionen nicht als eine bereits bereitgestellte Live-Zuweisung dar. Bereiten Sie während eines Umzugs die Zielanwendung und die TLS-Einstellungen vor, bevor Sie Benutzer dorthin leiten. Berücksichtigen Sie DNS-Caches und behalten Sie einen funktionierenden Wiederherstellungspfad bei. Verifizieren Sie Forward-Auflösung, tatsächliche Anwendungserreichbarkeit und den erwarteten Reverse-Namen separat. Die Karte macht Fehler leichter auffindbar, weil ein falscher Datensatz, ein geschlossener Port und ein nicht übereinstimmendes Zertifikat unterschiedliche Probleme mit unterschiedlichen Eigentümern sind. MACHEN SIE ES ZU HANDLUNG Ihre praktische Checkliste. ✓ Kartieren Sie Adressrolle, Zuweisung und Eigentümerschaft. ✓ Prüfen Sie IPv4 und IPv6 separat. ✓ Verifizieren Sie eingehendes Routing, bevor Sie sich auf DNS verlassen. ✓ Identifizieren Sie, wer PTR-Datensätze kontrolliert. ✓ Testen Sie Hostname, Zertifikat und Anwendung zusammen. Checkliste herunterladen HÄUFIGE FRAGEN Die Details, die zählen. Macht eine dedizierte IP einen Dienst anonym? + Nein. Sie beschreibt eine Zuweisungs- oder Nutzungsvereinbarung, keine Identitäts- oder Datenschutzgarantie. Konten, Traffic und Anwendungsdaten haben separate Implikationen. Kann ich PTR-Datensätze über das DNS-Panel meiner Domain festlegen? + Nur wenn es auch die relevante Reverse-Zone kontrolliert. Der Adressanbieter kontrolliert üblicherweise diese Zone oder stellt einen separaten Antragsprozess bereit. Benötigt jede HTTPS-Domain eine eigene Adresse? + Nicht unbedingt. Unterstützte Clients und Server können namensbasiertes Routing und TLS SNI verwenden. Verifizieren Sie die tatsächlichen Hosting- und Client-Anforderungen. PRIMÄRE REFERENZEN Gehen Sie zur Quelle. Diese Referenzen unterstützen die technischen Konzepte in diesem Leitfaden. Folgen Sie der aktuellen Dokumentation, bevor Sie ein Produktionssystem ändern. RFC 1918: Address Allocation for Private Internets www.rfc-editor.org RFC 2131: Dynamic Host Configuration Protocol www.rfc-editor.org RFC 1035: DNS implementation and specification www.rfc-editor.org RFC 4291: IPv6 Addressing Architecture www.rfc-editor.org RFC 6066: TLS extensions, including Server Name Indication www.rfc-editor.org Redaktionelle Beratung durch SwissOctet. Beispiele sind illustrativ. Servicespezifikationen, verfügbare Optionen und vertragliche Bedingungen müssen separat überprüft werden. VERBINDEN SIE DAS WISSEN Verwandte Infrastruktur. Vector VPS Schweiz Canvas Web Schweiz Metal Origin Schweiz Shield VPN Schweiz HALTEN SIE DEN FADEN Ihre nächsten Feldnotizen. Alle Leitfäden entdecken FELDNOTIZ / 01 + Netzwerk-Engineering Grundlagen Bandbreite, Portgeschwindigkeit und Transfer: Lesen Sie das vollständige Bild Schätzen Sie die Datenmenge, die Ihr Projekt bewegt, und verstehen Sie, warum ein grösserer Port nur ein Teil der Netzwerkleistung ist. 4 Min. Lesezeit Den Leitfaden lesen FELDNOTIZ / 02 + Betrieb ab Tag zwei Angewandt Sichere Windows RDP-Administration ohne Zugriffsverlust Trennen Sie Netzwerkerreichbarkeit, Authentifizierung und Berechtigungen und prüfen Sie einen Wiederherstellungsweg, bevor Sie den Fernzugriff einschränken. 6 Min. Lesezeit Den Leitfaden lesen FELDNOTIZ / 03 + Netzwerk-Engineering Fortgeschritten Dimensionieren Sie einen Transfer mit Latenz-, Parallelitäts- und Durchsatzmessungen Erstellen Sie ein wiederholbares Transfermodell mit Nutzlastvolumen, Lieferfenstern und Round-Trip-Zeit und testen Sie es, ohne ein Port-Label mit nützlichem Durchsatz zu verwechseln. 4 Min. Lesezeit Den Leitfaden lesen