So beheben Sie 'DNS-Server antwortet nicht'

Was der Fehler bedeutet

Jede Verbindung beginnt mit einer Abfrage. Ihr Gerät sendet den Hostnamen an einen Resolver, meist Ihren Router, Ihren Internetanbieter oder einen öffentlichen Dienst wie 1.1.1.1, und wartet auf eine IP-Adresse. Trifft innerhalb des Timeouts keine Antwort ein, versucht es das Betriebssystem erneut, probiert den sekundären Server und gibt schließlich auf. Windows führt dann seinen Problembehandlungsassistenten aus, der meldet, dass der DNS-Server nicht antwortet.

Der Wortlaut zeigt auf den Server, ist aber eigentlich eine Aussage über einen Pfad. Jedes der folgenden Dinge erzeugt dieselbe Meldung: Der Resolver ist ausgefallen, der Resolver läuft, ist aber von Ihrem Netzwerk aus nicht erreichbar, eine Firewall blockiert Port 53, die auf Ihrem Adapter konfigurierte Adresse ist falsch, oder der Router in der Mitte hat aufgehört weiterzuleiten. Schweigen sieht in allen fünf Fällen gleich aus.

Grenzen Sie ihn von seinen Nachbarn ab, bevor Sie anfangen. Ein Resolver, der mit "kein solcher Name" antwortet, liefert NXDOMAIN, behandelt in DNS_PROBE_FINISHED_NXDOMAIN. Ein Resolver, der langsam, aber korrekt antwortet, ist wieder ein anderes Problem und hat unten seinen eigenen Abschnitt. Dieser Fehler ist der Fall, in dem gar nichts zurückkommt.

Warum es passiert

• Der Router hat aufgehört weiterzuleiten. Consumer-Router betreiben einen kleinen DNS-Forwarder, der häufiger hängen bleibt als der Rest des Geräts, sodass das Netzwerk online aussieht und nur Namensabfragen fehlschlagen.
• Der konfigurierte DNS-Server ist falsch. Eine statische Adresse, die von einem alten Netzwerk übrig geblieben ist, oder ein Server, der stillgelegt wurde.
• Der Resolver des Internetanbieters hat eine Störung oder ist überlastet und verwirft Abfragen, statt sie zu beantworten.
• Eine Firewall oder Sicherheitssuite blockiert Port 53. Manche Produkte fangen DNS selbst ab und schlagen fehlgeschlossen fehl, wenn ihr eigener Dienst nicht läuft.
• Ein VPN ist halb verbunden. Der Tunnel hat seine internen Resolver auf Ihren Adapter geschrieben und ist dann abgebrochen, sodass Adressen übrig bleiben, die nur innerhalb des Tunnels erreichbar sind.
• IPv6 ist konfiguriert, aber nicht nutzbar. Das System bevorzugt einen IPv6-Resolver, findet keine Route dorthin und wartet das Timeout ab, bevor es zurückfällt.
• Der Windows-DNS-Client-Dienst ist gestoppt oder sein Cache ist beschädigt.
• Malware oder eine unerwünschte App hat den Resolver auf eine Adresse geändert, die sie kontrolliert und die dann wegfällt.
• Das Netzwerk verlangt eine Anmeldung über ein Captive Portal, die noch nicht erfolgt ist, sodass jede ausgehende DNS-Abfrage verschluckt wird.

So beheben Sie es

Klären Sie zuerst, ob das Netzwerk selbst funktioniert, bevor Sie DNS-Einstellungen anfassen. ping 1.1.1.1 verwendet überhaupt keine Namensauflösung. Schlägt das ebenfalls fehl, haben Sie ein Verbindungsproblem, kein DNS-Problem. Gelingt es, während ping example.com fehlschlägt, ist DNS als der defekte Teil bestätigt, und die folgenden Schritte gelten.

Windows

1. Leeren Sie den Cache und starten Sie den Client-Dienst neu:

   ipconfig /flushdns
   net stop dnscache
   net start dnscache

2. Sehen Sie, was Ihr Adapter verwendet: ipconfig /all | findstr /C:"DNS Servers"
3. Stellen Sie stattdessen einen öffentlichen Resolver ein: netsh interface ipv4 set dnsservers name="Wi-Fi" static 1.1.1.1 primary
4. Testen Sie diesen bestimmten Server direkt: nslookup example.com 1.1.1.1
5. Setzen Sie den Stack zurück, wenn nichts hilft, und starten Sie dann neu:

   netsh int ip reset
   netsh winsock reset

6. Deaktivieren Sie IPv6 auf dem Adapter, wenn der Rechner kein funktionierendes IPv6 hat, und testen Sie erneut.

macOS

1. Leeren Sie den Cache: sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
2. Lesen Sie die verwendeten Resolver aus: scutil --dns | grep nameserver
3. Ersetzen Sie sie: sudo networksetup -setdnsservers Wi-Fi 1.1.1.1 1.0.0.1
4. Kehren Sie zu dem zurück, was DHCP zuweist: sudo networksetup -setdnsservers Wi-Fi empty

Linux

1. Status prüfen und leeren: resolvectl status, dann sudo resolvectl flush-caches
2. Fragen Sie einen Server explizit ab, um zu sehen, ob er überhaupt antwortet: dig @1.1.1.1 example.com +short
3. Ändern Sie den Resolver an der Verbindung, statt /etc/resolv.conf zu bearbeiten, die meist generiert wird:

   nmcli con mod "Wired connection 1" ipv4.dns "1.1.1.1 1.0.0.1"
   nmcli con mod "Wired connection 1" ipv4.ignore-auto-dns yes
   nmcli con up "Wired connection 1"

4. Starten Sie den Stub-Resolver neu, wenn er verklemmt ist: sudo systemctl restart systemd-resolved

Router

1. Trennen Sie ihn kurz vom Strom und warten Sie, bis die WAN-Verbindung zurückkehrt, bevor Sie testen.
2. Stellen Sie in der Verwaltungsoberfläche die WAN-DNS-Server statt auf "automatisch beziehen" auf ein öffentliches Paar um, wenn der Resolver des Internetanbieters verdächtig ist.
3. Aktualisieren Sie die Firmware. Fehler im DNS-Forwarder sind ein häufiger Grund, warum ein Router alle paar Wochen neu gestartet werden muss.
4. Umgehen Sie ihn testweise: Verbinden Sie ein Telefon mit mobilen Daten und lösen Sie denselben Namen auf. Gelingt das dort, grenzt das den Fehler auf Ihr Netzwerk ein.

Browser

1. Chrome, Edge und Firefox können DNS über HTTPS an einen eigenen Anbieter senden, unabhängig von Ihren Systemeinstellungen. Schlägt der Browser fehl, während dig erfolgreich ist, schalten Sie sicheres DNS in den Datenschutzeinstellungen des Browsers aus und testen Sie erneut.
2. Leeren Sie den internen Cache von Chrome unter chrome://net-internals/#dns.

Wenn die Abfrage langsam statt kaputt ist

Nicht jede DNS-Beschwerde ist ein Ausfall. Laden Seiten letztlich doch, stocken aber ein oder zwei Sekunden, bevor etwas passiert, antwortet der Resolver, nur spät, und die obigen Lösungen ändern wenig. Messen Sie es, bevor Sie raten:

dig example.com | grep "Query time"
dig @1.1.1.1 example.com | grep "Query time"

Alles im einstelligen oder niedrigen zweistelligen Millisekundenbereich aus einem warmen Cache ist normal. Mehrere hundert Millisekunden, oder eine Zahl, die zwischen Läufen stark schwankt, bedeutet, dass der Resolver weit entfernt, überlastet ist oder an seinem ersten Server in ein Timeout läuft und auf einen zweiten zurückfällt. Das ist eine andere Diagnose mit anderen Lösungen, dargelegt in so beheben Sie eine langsame DNS-Abfrage.

Prüfen Sie es von außen

Bisher ist alles davon ausgegangen, dass der Fehler in Ihrer Nähe liegt, was meist stimmt. Bestätigen Sie das, bevor Sie einen Nachmittag daran verwenden. Fragen Sie einen Resolver, der nichts mit Ihrem Netzwerk zu tun hat, ob der Name aufgelöst wird:

dig @8.8.8.8 example.com +short
dig @9.9.9.9 example.com +short
nslookup example.com 1.1.1.1

Eine Antwort von diesen, während Ihr eigener Resolver stumm bleibt, beweist, dass die Domain in Ordnung ist und das Problem bei Ihnen liegt. Schweigen von allen dreien verlagert die Aufmerksamkeit auf die eigenen Nameserver der Domain, die ausgefallen oder von einem Teil des Internets aus nicht erreichbar sein könnten.

Die Erreichbarkeit eines Nameservers ist nicht global. Führen Sie die DNS-Abfrageprüfung aus, um dieselbe Abfrage von Prüfpunkten in verschiedenen Ländern zu senden und die Antworten nebeneinander zu vergleichen. Bekommen manche Standorte ein Ergebnis und andere laufen in ein Timeout, sehen Sie ein Routing- oder Provider-Problem, das eine Region betrifft, keinen defekten Eintrag, und kein noch so häufiges Leeren auf Ihrem Laptop zeigt Ihnen das.

Wenn Ihr eigener Nameserver verstummt

Ein Nameserver, der verstummt, legt eine Website ebenso vollständig lahm wie ein toter Webserver, und er tut es, ohne auch nur eine Zeile in Ihrem Zugriffsprotokoll zu erzeugen. Niemand erreicht Sie, um es zu sagen, weil man Sie überhaupt nicht erreichen kann. HostTracker führt geplante Prüfungen von über 300 Prüfpunkten in 158 Städten über 13 Monitor-Typen aus, sodass ein Name, der in einer Region aufhört sich aufzulösen, von den dortigen Prüfpunkten erfasst wird statt von einer Kunden-E-Mail. Der Rest dieses Bereichs ist im Beheben-Bereich, und wenn die Frage ist, ob eine kürzliche DNS-Änderung schon überall angekommen ist, ist das so prüfen Sie die DNS-Verbreitung.