DNS-Record-Check

Was er prüft

Ein DNS-Monitor löst in jedem Intervall aus jeder seiner Regionen einen Record-Typ für einen Namen auf. In der Voreinstellung antwortet der eigene Resolver des Prüfpunkts, deshalb sieht der Check die Zone als Ganzes. Einen in der Konfiguration benannten Nameserver fragt der Prüfpunkt direkt, ohne Cache dazwischen. Das zeigt, wenn ein Server einer Gruppe ausfällt oder anders antwortet. Perstat bewertet die Antwort gegen Ihre Bedingungen und validiert sie, wenn sie besteht, gegen DNSSEC. Sie lässt sich außerdem mit der letzten Antwortmenge eines anderen Monitors der Organisation vergleichen. So lassen 2 Namen, die übereinstimmen müssen, den Check fehlschlagen, sobald sie voneinander abweichen.

Wann Sie ihn einsetzen

• Ein Name muss weiter auf eine bekannte Adresse, einen Mail-Exchanger oder einen Alias auflösen, etwa den Webhost, den MX-Record oder einen CNAME zu einem Anbieter.
• Jeder Server einer Nameserver-Gruppe muss antworten, und zwar gleich. Legen Sie einen Monitor je Server an, jeden mit server auf diesen Server gesetzt.
• Zwei Namen müssen übereinstimmen, zum Beispiel der Apex und www oder derselbe Record in 2 Zonen. Ein Querverweis auf den Schwester-Monitor macht aus einer Abweichung einen fehlgeschlagenen Check.

Er vergleicht einen Record-Typ eines Namens. Für NS- und SOA-Konsistenz über die autoritativen Server, den Ablauf der Registrierung und den DNSSEC-Zustand einer ganzen Domain nutzen Sie den Domain-Check. Für SPF, DMARC und CAA als Konfigurationsstand nutzen Sie den DNS-Hygiene-Check, und ob der Dienst hinter der Adresse antwortet, prüft der HTTP(S)- oder TCP-Port-Check.

Seitlich wischen, um die Produktansicht anzusehen.

app.perstat.io

Konfiguration

Ziel. Das Konfigurationsfeld name enthält den abzufragenden Namen, das Formular nennt es Domain. Beim Speichern prüft Perstat nur das Format und löst den Namen nicht auf. Erlaubt sind ein Hostname ohne Schema, Pfad oder Leerzeichen, ein IP-Literal oder ein einzelnes Label, mit Labels bis 63 Zeichen und insgesamt 253.

So läuft ein Check ab

1. Ist ein Check fällig, kompiliert jede Region zuerst den regulären Ausdruck und bestimmt den Record-Typ. Ein ungültiges Muster oder ein nicht unterstützter Typ beendet den Check als Fehler, bevor eine Abfrage hinausgeht.
2. Der Prüfpunkt wählt den Resolver: den eigenen Mess-Resolver des Knotens oder den in server benannten Nameserver. Dessen Hostname löst der Knoten über seinen Resolver auf und prüft ihn gegen die gesperrten Bereiche, darunter Loopback-, private, Link-local- und Cloud-Metadaten-Adressen.
3. Die Abfrage läuft mit Zeitmessung, und die Abfragezeit ist die Latenz des Checks. Das feste Limit des Monitors von 10 s wendet die DNS-Engine nicht auf die Abfrage selbst an, und der Knoten bricht jeden Lauf nach 120 s ab.
4. Eine leere Antwort lässt den Check fehlschlagen. Andernfalls sind expected, expected_regex und expected_all mit UND verknüpft.
5. Auf eine bestandene Antwort folgt die DNSSEC-Prüfung auf DS, DNSKEY und RRSIG-Ablauf. Eine BOGUS-Kette oder eine abgelaufene Signatur lässt den Check fehlschlagen, jedes andere Ergebnis lässt das Resultat, wie es ist.
6. Die Control Plane wendet den Querverweis an, wenn sie ein bestandenes Ergebnis mit nicht leerer Antwortmenge aufzeichnet. Ein unbekannter Modus wirkt wie identical, und eine Abweichung lässt den Check mit Schwere critical fehlschlagen. Ein fehlgeschlagenes Urteil geht dann in die Incident-Bewertung ein, und die Alarmregel (Regionen und aufeinanderfolgende Checks) entscheidet, wann sich ein Incident öffnet.

Seitlich wischen, um die Produktansicht anzusehen.

app.perstat.io

Was ein Ergebnis enthält

Antwort

Die Detailzeile listet die Records der Antwort, durch Kommas getrennt. Bei einem benannten Nameserver folgt die antwortende Adresse als (via IP).

Abfragezeit

Die Zeit der Abfrage je Region ist die Latenz des Ergebnisses.

Antwortmenge

Die Control Plane behält die normalisierte Antwortmenge jedes bestandenen Checks: in Kleinschreibung, sortiert und ohne Duplikate. Ein Querverweis vergleicht diese Menge. Über die API ist sie nicht Teil des Check-Ergebnisses.

Ursachenschicht

Perstat ordnet einen Fehler beim Ziel der Schicht target_dns zu. Die Incident-Nachweise zeigen sie, deshalb gilt ein fehlender Record nicht als Netzfehler.

Region

Jedes Ergebnis trägt die Region, die es gemessen hat. Es gibt keine Teilergebnisse je IP-Familie oder Adresse.

Zustände und Schwere

• okDie Antwort enthält mindestens einen Record, und jede Bedingung passt. DNSSEC ist nicht BOGUS, keine Signatur ist abgelaufen, und der Querverweis stimmt überein, wo er gesetzt ist.
• ausgefallenDie Antwort enthält keine Records, eine Bedingung passt nicht, oder der Querverweis weicht ab. Der Check schlägt auch bei einer BOGUS-Kette in DNSSEC oder einem abgelaufenen RRSIG fehl. Ein Abfragefehler außer NXDOMAIN oder ein benannter Nameserver, der sich nicht auflösen lässt, zählt ebenfalls.
• FehlerDer Name existiert nicht (NXDOMAIN), die Regex ist ungültig, der Record-Typ wird nicht unterstützt, oder der benannte Nameserver liegt auf einer privaten oder internen Adresse. Das zählt als Ausfall mit Schwere critical.

Per Quorum bestätigt: Standardmäßig müssen 2 Regionen den Fehler melden, bevor Perstat einen Incident öffnet. Die Engine liefert für diesen Typ keinen eingeschränkten Zustand, nur bestanden, fehlgeschlagen oder Fehler. Die Voreinstellung der Organisation verlangt 2 Regionen und 2 aufeinanderfolgende Checks. Ein Monitor kann eine eigene Regel tragen (Anzahl oder Prozent, aufeinanderfolgende Checks und Mindestdauer).

Tarife und Grenzen

Kürzestes Intervall

Free erlaubt 300 s, Pulse 60 s und Sentinel 30 s. Command erlaubt 15 s und Enterprise 10 s, beide nur über MCP. Das Webformular bietet 30 s, 1 min, 5 min, 15 min und 1 h.

Regionen

Free nutzt 2 von 6 Regionen und Pulse 3 von 6. Alle 6 stehen ab Sentinel bereit.

Monitore

Free enthält 10 regionale Monitore, Pulse 50, Sentinel 150 und Command 500. Die Kontingente in Enterprise sind individuell. Die 11 regionalen Checktypen teilen sich dieses Kontingent.

Alle Tarifgrenzen vergleichen

Aus der Pipeline oder von einem Agenten

Dieselbe config gilt im Deploy-Schritt, in einem MCP-Client wie Claude Code und im Formular oben. create_monitor braucht einen API-Schlüssel für die ganze Organisation. Wenn Sie regions weglassen, wählt der Tarif seine Voreinstellung.

{
  "name": "Apex A record",
  "type": "dns",
  "interval_seconds": 60,
  "config": {
    "name": "example.com",
    "record_type": "A",
    "expected": "203.0.113.10"
  }
}

Jede Schnittstelle mit ihrer Grenze

Grenzen

• Ein Record-Typ je Monitor. Ein Name mit A- und AAAA-Record braucht 2 Monitore.
• Es gibt keinen Vergleich von SOA, Serial oder Delegation über die autoritativen Server. Das übernimmt der Domain-Check.
• TXT-Records vergleicht der Check als Text, er parst sie nicht.
• Zeigt server auf eine Anycast-Adresse, erreicht jede Region ihre nächstgelegene Instanz. Die Detailzeile zeigt die tatsächlich gefragte Adresse.
• Dieser Typ kennt keine address_families und liefert keine Teilergebnisse je Adresse. Er sendet eine Abfrage je Region, über den Resolver des Knotens oder den benannten Nameserver.
• Ein Name, der nicht existiert (NXDOMAIN), ist ein Fehler, keine fehlgeschlagene Bedingung. Beides öffnet einen Incident, sobald das Quorum einig ist.
• Der Querverweis braucht einen Monitor derselben Organisation mit mindestens einer aufgezeichneten Antwortmenge: einen DNS-Monitor oder einen Domain-Monitor mit seiner NS-Menge. Ein Ziel ohne Antwortmenge lässt den Querverweis inaktiv, das Ergebnis bleibt also wie gemessen. API und MCP nehmen nur die öffentliche ID des Monitors, das Formular bietet eine Auswahl mit jedem Monitor des Projekts.

Verwandte Checktypen

• Domain-CheckDelegation über jeden autoritativen Nameserver, Ablauf der Registrierung und DNSSEC einer registrierbaren Domain.
• DNS-Hygiene-CheckSPF, DMARC mit Policy und CAA einer Domain, bewertet als Konfigurationsstand und nie als Ausfall.
• HTTP(S)-CheckVerfügbarkeit und Antwort einer URL, mit Bedingungen an Status, Body und TLS.
• TCP-Port-CheckOb ein Port eine Verbindung annimmt, wahlweise mit dem Zertifikat, das er ausliefert.

Alle Checktypen