Anycast DNS: Wie verteilte Nameserver DDoS abfangen

Die Root-Server des Internets tragen nur 13 Namen, von a.root-servers.net bis m.root-servers.net. Dahinter stehen weit über tausend Server auf allen Kontinenten. Das geht nur, weil jede dieser Adressen nicht an einem Ort lebt, sondern an vielen gleichzeitig.

Was ist Anycast DNS?

Bei normalem Routing (Unicast) gehört eine IP-Adresse zu genau einem Server. Pakete aus Tokio und aus Hamburg laufen zum selben Rechner, egal wie weit weg er ist.

Bei Anycast kündigen mehrere Standorte dieselbe IP-Adresse per BGP an, dem Routing-Protokoll zwischen Netzen. Jeder Router wählt den Weg, der aus seiner Sicht am kürzesten ist. Eine DNS-Anfrage aus Hamburg landet so vielleicht in Frankfurt, eine aus Tokio in Tokio. Beide haben dieselbe Ziel-IP gefragt.

Die Betriebspraxis beschreibt RFC 4786 („Operation of Anycast Services“). DNS eignet sich besonders gut dafür, weil die meisten Anfragen aus einem einzelnen UDP-Paket bestehen und keine lange Verbindung brauchen.

Anycast vs. Unicast im Vergleich

Warum Anycast DDoS-Angriffe abschwächt

Ein Botnetz ist über die Welt verteilt. Bei Unicast laufen alle Pakete auf einen einzigen Server zu, die Last addiert sich an einer Stelle. Bei Anycast landet der Verkehr jedes Bots beim nächstgelegenen Standort. Ein Angriff mit 100 Gbit/s, der sich auf 30 Standorte verteilt, bringt an jedem davon nur einen Bruchteil.

Das ist Arithmetik, keine Magie. Die Gesamtkapazität muss größer sein als der Angriff, und die Verteilung ist selten gleichmäßig. Wenn ein großer Teil der angreifenden Geräte in einer Region sitzt, bekommt der Standort dort den Löwenanteil ab.

Zwei weitere Effekte helfen:

1. Schaden bleibt lokal. Läuft ein Standort über, sind vor allem die Nutzer in seinem Einzugsbereich betroffen. Der Rest der Welt merkt nichts.
2. Standorte können sich zurückziehen. Ein überlasteter Knoten kann seine BGP-Ankündigung zurücknehmen. Der Verkehr wandert dann zu den Nachbarn, die ihn besser verkraften. Das ist eine Entscheidung des Betreibers und keine automatische Garantie.

Welche Angriffsmuster gegen DNS üblich sind, steht im Artikel zu DNS-DDoS.

Wo Anycast an Grenzen stößt

Anycast wird gern als Allheilmittel verkauft. Ein paar Einschränkungen gehören dazu:

• Ein Anbieter bleibt ein Anbieter. Hat der DNS-Dienstleister einen Konfigurationsfehler, betrifft er alle Standorte gleichzeitig. Anycast schützt vor Überlast, nicht vor Fehlbedienung. Deshalb empfiehlt sich ein zweiter, unabhängiger Anbieter als Secondary DNS.
• Routing ist nicht immer logisch. „Nächster Standort“ meint netztopologisch, nicht geografisch. Je nach Peering deines Providers kann eine Anfrage aus Köln in Amsterdam oder sogar weiter weg landen.
• Fehlersuche wird schwerer. Zwei Leute an verschiedenen Orten fragen dieselbe IP und bekommen Antworten von verschiedenen Servern. Ist ein einzelner Knoten veraltet, sieht nur ein Teil der Nutzer falsche Daten.
• Es hilft dem Webserver nicht. Anycast für Nameserver schützt die Namensauflösung. Wenn der Angriff deine Origin-IP trifft, brauchst du dort eigenen Schutz, etwa über ein CDN. Wie das mit Cloudflare aussieht, beschreibt DDoS-Schutz mit Cloudflare.

So prüfst du, ob deine Nameserver Anycast nutzen

Eine hundertprozentige Prüfung von außen gibt es nicht. Ein paar Hinweise kannst du aber selbst sammeln.

1. Welcher Server antwortet? Viele Anycast-Betreiber geben über NSID oder eine CHAOS-Abfrage zurück, welche Instanz geantwortet hat. Das funktioniert nur, wenn der Betreiber es eingeschaltet hat.

dig @k.root-servers.net . SOA +nsid

dig @k.root-servers.net hostname.bind CH TXT +short

Bei Root-Servern siehst du im Abschnitt OPT PSEUDOSECTION eine Zeile ; NSID: mit einem Kennzeichen des antwortenden Standorts. Führst du denselben Befehl von einem Server in einem anderen Land aus, steht dort ein anderer Standort. Das ist Anycast in Aktion.

2. Antwortzeiten vergleichen. Fragst du deine Nameserver von Rechnern auf verschiedenen Kontinenten ab und liegen alle Antwortzeiten im niedrigen zweistelligen Millisekundenbereich, spricht das für Anycast. Ein einzelner Server in Deutschland antwortet aus Australien nicht in 15 ms.

dig @ns1.example.de example.de SOA | grep "Query time"

3. Traceroute. Endet der Pfad zum Nameserver von verschiedenen Orten aus in unterschiedlichen Rechenzentren, ist das ein starkes Indiz.

4. Dokumentation. Die meisten Anbieter schreiben offen, ob sie Anycast nutzen. Steht dort nichts, ist die Antwort vermutlich nein.

Anycast-DNS für die eigene Domain nutzen

Du musst kein eigenes Netz aufbauen. Der übliche Weg:

1. Wähle einen DNS-Anbieter, der Anycast dokumentiert. Viele CDN-Anbieter und spezialisierte DNS-Dienste tun das.
2. Lege die Zone dort an und übertrage alle Einträge. Vergleiche danach mit dig jeden Eintrag zwischen altem und neuem Anbieter.
3. Senke vorher die TTL der NS-Einträge, wo du sie kontrollierst, damit der Wechsel schneller greift.
4. Trage die neuen Nameserver beim Registrar ein. Bei einer .de-Domain prüft DENIC die neuen Nameserver bei der Änderung, Fehler in der Zone fallen also sofort auf.
5. Optional: Behalte einen zweiten Anbieter als Secondary, damit nicht alles an einem Netz hängt.

Für Schritt 4 brauchst du einen Registrar, bei dem die Nameserver-Einstellungen ohne Umwege änderbar sind. Sinnvoll ist außerdem ein Registrar mit DNSSEC, denn beim Anbieterwechsel müssen die DS-Einträge zur neuen Signatur passen, sonst schlägt die Validierung fehl.

Wie viel Anycast reicht?

Eine Faustregel aus der Praxis: Mehr Standorte sind besser als größere Standorte, solange jeder einzelne genug Anbindung hat. Für eine Firmenwebsite reicht ein Anbieter mit Anycast-Netz plus ein unabhängiger Secondary völlig. Einen eigenen Anycast-Betrieb mit AS-Nummer und Upstream-Verträgen rechtfertigen nur Hoster, Registries und sehr große Plattformen.

Was ein mehrstündiger Ausfall wegen fehlender Redundanz kostet, kannst du mit der Rechnung im Artikel DDoS-Schaden und Kosten abschätzen. Oft ist der zweite DNS-Anbieter günstiger als eine einzige Stunde Stillstand.

Bevor du Anbieter vergleichst, sieh dir an, was deine Domains selbst kosten und wo sie liegen. Die aktuelle Preisliste von betadomain zeigt feste Jahrespreise, etwa 2,99 € für eine .de-Domain, ohne Aufschlag bei der Verlängerung.