Die meisten Unternehmen betreiben DNS in einer von zwei suboptimalen Formen. Entweder ist der Master-DNS-Server gleichzeitig der öffentlich exponierte autoritative Server — was Versionsbanner, Konfigurationsdateien und eine Angriffsfläche im öffentlichen Internet freilegt — oder der Master steht hinter einer von Hand gepflegten Secondary-Liste, die schwer aktuell zu halten, schwer zu skalieren und noch schwerer zu auditieren ist.
Beide Formen lassen die CPU des Master-Servers rohe öffentliche Anfragen beantworten. Unter volumetrischen Angriffen sättigt der Master; bei starkem Wachstum kann er nicht horizontal skalieren; unter Änderungsdruck muss der Operator manuelle Slave-Updates koordinieren. Jeder dieser Fehlermodi tritt während Vorfällen auf, wenn das Team es sich am wenigsten leisten kann.
Die richtige Architektur ist das Hidden-Master/Serving-Slave-Muster: Der Master läuft innerhalb der gesicherten Zone, akzeptiert AXFR/IXFR-Anfragen von autorisierten Slaves und sendet bei Änderungen NOTIFY-Nachrichten; öffentlich erreichbare Serving-Knoten ziehen die Zone nach Zeitplan, halten sie im Speicher und beantworten Anfragen, ohne den Master zu konsultieren.
TR7 GTM Express Zone Acceleration setzt dieses Muster nativ um: Express-Profile pro Domain, Multi-Master-Unterstützung, Profilauswahl pro DC, NOTIFY-gesteuertes Refresh und In-Memory-Serving.
Der Express-Modus arbeitet auf Domain-Ebene — ausgewählte Zonen werden per AXFR von vom Operator definierten Master-Servern gezogen und im TR7-Prozessspeicher gehalten, mit NOTIFY-gesteuerten inkrementellen Updates, die den Cache aktuell halten.
Der autoritative Master-DNS-Server wird niemals direkt öffentlichem Datenverkehr ausgesetzt. TR7 steht vor dem Master, absorbiert das Anfragevolumen und isoliert den Master von Angriffsfläche, Versions-Disclosure und Betriebsdruck.
Der erste Sync zieht per AXFR die gesamte Zone; nachfolgende Updates nutzen inkrementelles IXFR. Master-seitige NOTIFY-Nachrichten lösen sofortige Aktualisierungen aus — Operatoren warten nicht auf das nächste Polling-Intervall, bis eine Record-Änderung wirkt.
Das Express-Profil listet mehrere Master-Adressen (IP+Port). TR7 rotiert oder fällt automatisch über Master zurück. Operatoren betreiben Hot-Standby-Master oder eigene regionale Master und überlassen TR7 das Failover.
Das Identifier-Pattern eines Express-Profils (Regex oder Wildcard) verknüpft Domains automatisch mit dem richtigen Master-Satz. Operatoren binden nicht Domain für Domain manuell; neue Domains, die dem Pattern entsprechen, fallen unter das Profil.
Express Zone Acceleration bringt die Hidden-Master/Serving-Slave-Architektur mit nativer AXFR/IXFR/NOTIFY-Unterstützung und flexibler Profilzuweisung pro DC in die TR7-GTM-Datenebene.
Jede DNS-Domain in TR7 GTM kann unabhängig entscheiden, ob sie im Express-Modus oder im direkt editierbaren Modus läuft. Mixed-Mode-Betrieb wird auf derselben Flotte voll unterstützt — einige Zonen werden master-gefüttert über AXFR, andere direkt über die Record-Management-UI von TR7 editiert.
Das Express-Profil trägt ein Array von Master-Adressen — IP und Port pro Eintrag. TR7 versucht jeden Master der Reihe nach für AXFR/IXFR und ermöglicht automatisches Failover bei nicht erreichbarem Master. Operatoren betreiben Hot-Standby-Master-Paare oder geografisch verteilte Master-Flotten hinter einem Profil.
Verschiedene TR7-Rechenzentren können für dieselbe Domain unterschiedliche Express-Profile abonnieren. Regionale Master-Architekturen, Signing-Master-Trennung und Read-Only-Edge-Master sind ausdrückbar, ohne die Domain-Konfiguration zu forken.
Jedes Express-Profil definiert ein Identifier-Pattern. Zum Pattern passende Domains erben das Profil automatisch und eliminieren manuelle Per-Domain-Bindungen. Neue Domains, die am Master hinzukommen und zum Pattern passen, werden ohne Operator-Eingriff übernommen.
Nach Synchronisation werden Zone-Records im Prozessspeicher gehalten und ohne Disk-Zugriff, Datenbank-Lookup oder Upstream-Master-Abfrage beantwortet. Der Query-Pfad ist auf Tail-Latency-Konsistenz unter Last optimiert.
Wenn der Upstream-Master eine NOTIFY-Nachricht über eine Zonen-Änderung sendet, initiiert TR7 sofort ein IXFR, um das Delta zu ziehen. Operatoren warten nicht auf das Ablaufen von SOA-Refresh-Timern — die Propagation ist ereignisgesteuert im Sekundenbereich.
Der Zonentransfer erfolgt über Standard-DNS-Protokolle. Refresh-/Retry-/Expire-/Minimum-TTL-Verhalten folgt den SOA-Record-Werten, mit Operator-Override pro Express-Profil. Bandbreitenbewusstes Scheduling vermeidet Transfer-Stürme über große Flotten.
Ein fortgeschrittener Lua-Filter läuft auf dem eingehenden AXFR-Stream und transformiert Records, bevor sie in die lokale Zonen-Kopie committed werden. Anwendungsfälle: Säubern interner Records vor dem öffentlichen Serving, Anwenden regionaler Substitutionsregeln oder Entfernen experimenteller Record-Typen.
Im Disaster-Recovery-Modus verhalten sich Express-Zonen beim Failover korrekt: Wird der Master eines DC nicht erreichbar, fällt TR7 auf Backup-Master zurück und serviert weiterhin die zuletzt synchronisierten Records — niemals leere Antworten, nur weil der Master offline ist.
Operatoren sehen den Synchronisationszustand pro Zone: Zeitpunkt des letzten erfolgreichen AXFR/IXFR, aktuelle SOA-Serial, Eingangszeitstempel von NOTIFY und etwaige Sync-Fehler. Drift zwischen der lokalen TR7-Kopie und dem Master wird sichtbar, bevor sie einen Produktionsvorfall verursacht.
Der Express-Modus arbeitet zusammen mit der Master-Auswahl, SOA-gesteuerten Refresh-Timern, NOTIFY-Listener-Konfiguration, AXFR-Stream-Filtern und dem DR-Fallback-Verhalten.
TR7 versucht Master-Adressen in der konfigurierten Reihenfolge. Bei AXFR-Fehler wird automatisch der nächste Master ausprobiert. Die Health der Master-Endpunkte kann mit der TR7-GTM-Health-Check-Infrastruktur gepaart werden, sodass ein unhealthy Master ohne Retry-Strafe übersprungen wird.
Der SOA-Record der Zone liefert die Standard-Semantik für Refresh, Retry, Expire und Minimum-TTL. Operatoren überschreiben diese pro Express-Profil, wenn die master-seitigen SOA-Werte für die Serving-Infrastruktur unpassend sind (z. B. Master-SOA-Refresh von 4 Stunden, während die Serving-Infrastruktur 5-Minuten-Refresh benötigt).
TR7 lauscht auf NOTIFY-Nachrichten vom Master. Source-IP-Filter stellen sicher, dass nur die registrierten Master-Adressen ein ungeplantes Refresh auslösen können. Unautorisierte NOTIFY-Versuche werden für die Sicherheitsprüfung protokolliert.
Der Lua-basierte Stream-Filter läuft in-process gegen eingehende AXFR-Records. Filter-Skripte können Records umschreiben, verwerfen oder annotieren, bevor sie committed werden. Status bleibt über Syncs hinweg erhalten (z. B. vorheriger Record-Inhalt zur Änderungserkennung).
Wenn verschiedene DCs für dieselbe Domain unterschiedliche Express-Profile haben, zieht jedes DC unabhängig von seinem zugewiesenen Master. Cross-DC-Drift ist erwartet und wird nachverfolgt; Operatoren entscheiden, ob sie auf Drift alarmieren oder ihn als Design-Absicht behandeln.
Im DR-Modus tragen Express-Zonen zu Failover-Entscheidungen bei. Das DR-Szenario kann die Master-Erreichbarkeit als Bedingung nutzen. Ist der Master des lokalen DC nicht erreichbar, kann das DR-Szenario den Datenverkehr zu einem Backup-DC lenken, dessen Master noch serviert.
Der Master-DNS-Server läuft in einer privaten Sicherheitszone und ist nie direkt exponiert. TR7-GTM-Knoten agieren als öffentlich erreichbare Slaves, absorbieren den gesamten Anfrageverkehr und isolieren den Master von der Internet-Angriffsfläche.
Jede Region (EU, US, APAC) betreibt einen eigenen Master-DNS-Server. TR7-GTM-Knoten in jeder Region verwenden ein regionales Express-Profil, das auf den lokalen Master zeigt, was Transfer-Latenz und Cross-Region-Bandbreite minimiert.
Das In-Memory-Zone-Serving von TR7 absorbiert Query-Floods, die andernfalls einen klassischen datenbankgestützten Master sättigen würden. Der Master sieht den Angriffsverkehr nie; der TR7-Query-Pfad skaliert unabhängig.
Der Master-Operator ändert einen Record. Der Master sendet NOTIFY an die TR7-Flotte. TR7 initiiert sofort IXFR. Der neue Record wird innerhalb von Sekunden aus dem Speicher serviert — ohne Operator-Eingriff auf TR7-Seite.
Sehen Sie Express Zone Acceleration live: ein autoritativer Master in der gesicherten Zone, TR7-Knoten am öffentlichen Edge, Zonen-Änderungen, die in Sekunden propagieren.