--- title: "Dig für Dummies" date: 2019-05-24 language: de topics: ["cloud", "cyber-security", "data", "linux", "networking", "programming", "server", "web", "work"] source_url: https://willem.com/de/2019-05-24_dig-fur-dummies/ --- # Dig für Dummies *Ein äußerst nützliches Netzwerk-Tool erklärt* > Wenn du Websites, Apps oder E-Mail-Dienste baust, stößt du irgendwann auf Domainnamen und ihre Konfiguration. Solange alles läuft, wie es soll, merkst du davon meistens nichts. Aber wenn du einen Fehler in der Konfiguration eines Domainnamens suchst, musst du manchmal etwas tiefer graben... lies weiter und erfahre, wie! ## Domain Name System (DNS) Das Internet arbeitet mit numerischen Internetprotokoll-Adressen (IP-Adressen), um Computer, (Cloud-)Dienste und Geräte im Netz zu finden und zu erkennen. Statt sich all diese IP-Adressen zu merken, nutzen wir das Domain Name System, das zum unverzichtbaren weltweiten Verzeichnisdienst geworden ist und Namen mit Nummern verknüpft. Du liest das hier auf **willem.com**. In Wirklichkeit ist dieser Domainname aber nur ein Zeiger auf eine echte Maschine, die mit dem Internet verbunden ist (tatsächlich mit Kabeln!). Eines dieser Kabel führt zur IP-Adresse **87.253.135.162**. Der DNS-Server sorgt dafür, dass die richtigen (IP-Adress-)Nummern zu den (Domain-)Namen passen. ![Das Domain Name System (DNS) verknüpft Domainnamen mit IP-Adressen, die wiederum über Kabel geleitet werden. Du liest das hier - wirklich! - über das Kabel, das an den Server auf diesem Foto angeschlossen ist!](https://willem.com/global/images/b02bcfa4dfab.webp) ## Verteilt und dezentral Als die Amerikaner Anfang der Siebzigerjahre ihr ARPANET entwarfen, war eine militärische Anforderung, dass das Netz Angriffe (von Feinden) überstehen sollte. Das gelang mit Paketvermittlung: Netzwerkkabel werden von vielen Teilnehmern auf verschiedene Weise gemeinsam genutzt und wiederverwendet. Wird ein Teil des Netzes beschädigt, laufen die Datenpakete über andere Teile. ![Eine Karte des ARPANET von 1973... stell dir vor, man würde das heutige Internet abbilden! (Public Domain)](https://willem.com/global/images/0ecb8ad41dca.webp) Damit das Netz möglichst robust ist, gibt es keinen einzelnen Root-DNS-Server. Stattdessen delegiert das Domain Name System die Verantwortung für die Vergabe von Domainnamen und deren Zuordnung: Für jeden Domainnamen gibt es einen zuständigen (autoritativen) Nameserver. Deshalb gibt es so viele verschiedene DNS-Server und Konfigurationen. Wo so vieles schiefgehen kann, brauchst du ein Werkzeug zum Nachgraben. ## dig (domain information groper) Der Befehl 'dig' fragt DNS-Nameserver nach Informationen zu IP-Adressen, Hostnamen, Mailservern und anderen Netzwerkeinstellungen. dig gibt es für Unix, macOS, GNU/Linux und Windows. ### Mit dig Nameserver abfragen Mit dig bekommst du Informationen zu einem Domainnamen, indem du einfach 'dig willem.com' eintippst. Siehe den folgenden Screenshot mit Erklärung: ![Mit dig Informationen zu einem Domainnamen abrufen, willem.com](https://willem.com/global/images/35dfaed28848.webp) - 1) **dig willem.com** liefert alle Informationen zur Frage, zur Antwort, zur Autorität (wer die Frage beantwortet hat) und Statistiken zur Abfrage (zum Beispiel, wie lange die Antwort gedauert hat). - 2) **dig +short willem.com** lässt alle zusätzlichen Informationen weg und gibt nur die Antwort zurück. Hier siehst du, dass **willem.com** auf die IP-Adresse **87.253.135.162** zeigt. - 3) **dig +short willem.com MX** zeigt dir die Mail-Exchange-Einträge (MX). MX-Einträge sind entscheidend dafür, dass E-Mail beim richtigen Server ankommt. Im Grunde bestimmen sie das Postamt, das für die E-Mail des Domainnamens zuständig ist. Bei **willem.com** ist das ein Maildienst namens **online.lemmid.com**. Andere beliebte Maildienste sind Office365 und Google Gmail. Mit dig kannst du herausfinden, welchen Maildienst jemand nutzt. - 4) **dig +short willem.com NS** zeigt dir die Nameserver, die für Anfragen zu diesem Domainnamen zuständig sind. Meist sind das die Server der Registrierungsstelle, also deines Domain-Anbieters. Mit dig findest du heraus, bei welchem Anbieter jemand seine Domain hat (bei **willem.com** ist das **Lemmid**). - 5) **dig +short willem.com TXT** liefert den Texteintrag des Domainnamens. Dort steht der sogenannte SPF-Eintrag. Der SPF-Eintrag ist ein weiterer wichtiger Teil von E-Mail, und es lohnt sich, bei SPF etwas tiefer zu graben. ## Sender Policy Framework (SPF) Um gefälschte Absenderadressen in E-Mails zu erkennen (sogenanntes E-Mail-Spoofing), wurde 2004 der SPF-Standard festgelegt. Ursprünglich hieß er "Sender Permitted From". SPF prüft, ob jemand im Namen eines bestimmten Domainnamens E-Mails versenden darf. Der Inhaber einer Domain legt damit fest, welche Computer E-Mails mit FROM-Adressen dieser Domain senden dürfen. Veröffentlicht der Inhaber einen SPF-Eintrag, missbrauchen Spammer und Phisher die Domain seltener für gefälschte E-Mails, die vorgeben, von dort zu kommen. Eine SPF-geschützte Domain landet deshalb seltener auf der schwarzen Liste von Spamfiltern, und legitime E-Mails kommen eher durch. Ein falsch konfigurierter SPF-Eintrag kann die Zustellung von E-Mails aber auch stören. ### Mit dig SPF-Einträge abfragen Mit dig kannst du einen SPF-Eintrag abfragen und sehen, wie die genaue Absenderrichtlinie lautet. Siehe den folgenden Screenshot mit Erklärung: ![Mit dig Informationen zu den SPF-Einträgen eines Domainnamens abrufen, google.com](https://willem.com/global/images/a865a4e8afcd.webp) - 1) **dig +short TXT google.com** zeigt uns den TXT-Eintrag von google.com, den Ort, an dem unter anderem der SPF-Eintrag steht. Der SPF-Eintrag für **google.com** lautet **"v=spf1 include:_spf.google.com ~all"**. Der **include:**-Teil bedeutet, dass für diesen Domainnamen auch externe SPF-Werte geladen werden sollen. - 2) **dig +short TXT _spf.google.com** zeigt, welche externen SPF-Werte das für **google.com** sind. Hier erscheinen drei weitere Includes: "_netblocks.google.com", "_netblocks2.google.com" und (wie originell..) "_netblocks3.google.com". - 3) **dig +short TXT _netblocks.google.com** (und die Varianten 2 und 3) nennen die tatsächlichen IP-Adressen, die im Namen von **google.com** E-Mails senden dürfen. Weil Google ein großes Internetunternehmen ist, stehen in diesen Listen viele IP-Adressen. Wenn du genau hinsiehst, bemerkst du bei einigen ein "/"-Suffix, zum Beispiel "/24". So notiert man einen ganzen Block (etwa eine Straße) von IP-Adressen. ## IP-Blöcke erklärt Am einfachsten verstehst du die Notation von IP-Adressblöcken anhand dieser Beispiele: - **/8 = 255.0.0.0** - **/16 = 255.255.0.0** - **/24 = 255.255.255.0** - **/32 = 255.255.255.255** Wo oben eine '0' steht, sind beliebige andere Werte eingeschlossen. 173.194.0.0/16 bedeutet also "alle Adressen, die mit '173.194' beginnen". Bei 255 möglichen Werten pro Oktett sind das 255x255=65025 verschiedene Adressen! ## Fazit Um Probleme zu lösen, musst du wissen, wo das Problem liegt. Mit dem Befehl dig erfährst du einiges über ein bestimmtes Netzwerk und seine Domainkonfiguration. Die Antworten, die ein Befehl nach dem anderen liefert, lassen dich tief in die Eingeweide des wunderbaren Internets eintauchen. Viel Glück!