Einleitung

DNS ist eine der kritischsten Komponenten moderner IT-Infrastrukturen. Trotzdem wird es häufig erst dann betrachtet, wenn Probleme auftreten. Besonders bei der Automatisierung von TLS-Zertifikaten über ACME entstehen schnell Lösungen, die zwar funktionieren, aber langfristig schwer wartbar und unsicher sind. Ein häufiges Muster ist die Verteilung von DNS-Zugriffsdaten auf viele Systeme. Dadurch wird die Angriffsfläche größer und Änderungen sind kaum noch nachvollziehbar.

Ziel dieses Setups ist es, Automatisierung beizubehalten, aber gleichzeitig die Kontrolle über DNS-Änderungen zu zentralisieren. Der Fokus liegt auf klaren Verantwortlichkeiten, minimalen Berechtigungen und nachvollziehbaren Prozessen.

Architekturüberblick

Die Architektur trennt bewusst mehrere Komponenten: Clients, Resolver, autoritative DNS-Server, dedizierte ACME-DNS-Server und ein zentrales Gateway. Diese Trennung sorgt dafür, dass nicht jedes System direkten Zugriff auf kritische Komponenten erhält.

Alle DNS-Anfragen laufen zunächst über Resolver. Diese entscheiden, wie Anfragen weitergeleitet werden. Die ACME-Zone wird separat behandelt und gezielt an eigene DNS-Server delegiert.


Resolver-Schicht

Resolver übernehmen die zentrale Rolle bei der DNS-Auflösung. Clients sprechen ausschließlich mit Resolvern und haben keinen direkten Kontakt zu autoritativen DNS-Servern.

Dadurch entsteht eine klare Trennung zwischen Nutzung und Verwaltung.

Für die ACME-Zone wird das Caching deaktiviert. Dadurch wird sichergestellt, dass Änderungen sofort sichtbar sind und keine veralteten Einträge zu Problemen führen.

Dedizierte ACME-Zone

Die ACME-Zone wird bewusst getrennt vom restlichen DNS betrieben. Dadurch bleiben Zertifikatsprozesse isoliert und beeinflussen nicht den produktiven Betrieb.

Diese Trennung ermöglicht es, Zugriffe gezielt zu kontrollieren und Fehler einfacher zu analysieren.

ACME-Gateway

Das ACME-Gateway dient als zentraler Einstiegspunkt für DNS-Updates. Anwendungen senden ihre Anfragen an das Gateway, welches diese validiert und anschließend kontrolliert DNS-Änderungen durchführt.

Das Gateway stellt sicher, dass nur erlaubte Zonen verwendet werden, dass FQDNs korrekt sind und dass TTL-Werte innerhalb definierter Grenzen liegen. Zusätzlich können alle Änderungen zentral protokolliert werden.


Kubernetes vs. klassische Systeme

Kubernetes-Cluster können direkt mit den ACME-DNS-Servern kommunizieren, da sie bereits stark kontrolliert sind. Klassische Systeme hingegen nutzen ausschließlich das Gateway, um DNS-Änderungen durchzuführen. Warum Knot Knot DNS bietet eine kompakte und klar strukturierte Konfiguration. Dadurch lassen sich Setups einfacher reproduzieren und automatisieren. Auch wenn BIND ähnliche Möglichkeiten bietet, passt Knot besser zu einer Architektur mit klar getrennten Komponenten.

Betrieb und Vorteile

Durch die Trennung der Komponenten entstehen klare Zuständigkeiten. Fehler lassen sich schneller eingrenzen und Änderungen kontrolliert durchführen. Gleichzeitig wird das Risiko reduziert, dass einzelne Systeme direkten Einfluss auf das DNS nehmen können.

Fazit

Die Kombination aus Resolver-Schicht, isoliertem DNS, dedizierter ACME-Zone und zentralem Gateway führt zu einer sicheren und wartbaren Architektur. Der wichtigste Grundsatz dabei ist: Zugriff wird nicht verteilt, sondern bewusst zentralisiert.