DNS-Änderung über CCP-API — zu lange bis aktiv

    • New

    Hallo zusammen,


    kurze Frage: Wenn ich einen DNS-Record (TXT/SPF) über die CCP-API ändere — wie lange dauert es erfahrungsgemäß, bis die Änderung auf den Netcup-Nameservern tatsächlich ausgeliefert wird?


    Die API bestätigt die Änderung sofort, aber ich habe den Eindruck dass es teilweise recht lange dauert bis die NS den neuen Record liefern. Gibt es da einen üblichen Zeitrahmen?


    Danke!

    • New

    Ich glaube die Nameserver werden alle ca. 15 Minuten oder so rekonfiguriert. Achtung das hat nichts mit der TTL im Sinne von DNS zu tun.

    Da es geht es nur darum, ab wann die Nameserver die neue Konfiguration, die im CCP eingekippt wurde, beziehen und damit für neue Anfragen ausliefern.

    Dh. je nachdem wie "lucky" du zeitlich bist (je nach dem wie du das Zeitfenster gerade erwischst), kann es bis zu grob 15 Minuten dauern, selbst wenn du eine TTL von 0 hättest.

    • New

    Interessant, das deckt sich mit meinen Erfahrungen. Bei anderen Anbietern habe ich die Änderungen manchmal unter einer Minute. Netcup hat da scheinbar einen anderen Ansatz mit dem Batch-Refresh. Schade, hatte auch die letzten Jahre schon öfters Kontakt mit dem Support aber alle Verbesserungsvorschläge in verschiedensten Bereichen wurden ignoriert und nicht einmal beantwortet, schade, ich bin seit über 15 Jahren Kunde bei Netcup und wollte mein Geschäft aufbauen, dazu musste ich mir nun leider andere Partner suchen wegen unzähliger Probleme.

    • New

    Ich habe beobachtet, dass die Nameserver alle 10 Minuten anfangen die neuen/geänderten Einträge zu übernehmen. Bis aber auch der dritte Nameserver fertig ist, dauert es gerne nochmal 3 – 5 Minuten. 15 Minuten kommen also gut hin.

    Dieses Gebäude hat mir die Vorfahrt genommen! *hup*

    • New

    Update: SPF ist nun korrekt propagiert (verifiziert über mxtoolbox, Google DNS, Cloudflare). Das Problem ist aktuell noch immer!, dass die Relay-IPs (z.B. 188.68.63.174 / mors-relay8204.netcup.net) nirgends dokumentiert sind — man muss selbst herausfinden, dass include:_spf.webhosting.systems nötig ist.

    Feature-Wunsch: Könntet ihr in der Dokumentation zum E-Mail-Hosting einen Hinweis ergänzen, welcher SPF-Include für die Relay-Server gesetzt werden muss? Das würde vielen Kunden SPF-Probleme ersparen.

    • New

    Und das ist so traurig, früher war Netcup so einfach, sauber, übersichtlich, inzwischen das reinste Chaos mit unübersichtlichen veralteten Verwaltungspanels und die Konfigurationen teils an 3 verschiedenen Stellen und dann aber teilweise dort deaktiviert ohne den Hinweis an welcher richtigen Stelle es bearbeitet werden kann, auch hier habe ich schon lange Lösungen und Verbesserungsvorschläge an Netcup gesendet, das Problem hatte ich sauber aufgezeigt und saubere Lösungsmöglichkeiten vorgeschlagen - keine Reaktion.

    Danke für den Tipp, werde das parallel evtl. mal ansehen, mit IN** (zensiert von Netcup) aus Berlin habe ich inzwischen auch schon einen zeitgemäßen Anbieter gefunden der alles per API unterstützt. Aber desec.io sieht auch sehr gut aus. Ich post hier auch, da ich denke so werden die Probleme zumindest öffentlich sichtbar, auch für Netcup! Ansonsten wir das ja wie geschrieben alles scheinbar ignoriert.


    Und zum Thema, nach nun zwei Stunden funktionieren die eMail noch immer nicht, ich bin es gewohnt bei Netcup bis zum nächsten Tag warten zu müssen.


    Update 2: die Standard-TTL der DNS-Zone stand bei Netcup auf 86400 Sekunden (24 Stunden). Das heißt: Nachdem der SPF-Record korrigiert wurde, sehen entfernte Mailserver den alten (falschen) Record noch bis zu 24h lang aus ihrem Cache.

    Der SPF ist nachweislich korrekt (include:_spf.webhosting.systems deckt alle Relay-IPs ab, verifiziert), aber Mails bouncen weiterhin weil der Empfänger-Server den alten Record cached.

    Habe die Zone-TTL jetzt über die CCP-API auf 300s gesenkt. Zwei Punkte dazu:

    1. Warum ist die Standard-TTL 86400? Für E-Mail-relevante Records (SPF, DKIM, DMARC) ist das viel zu hoch — eine Korrektur braucht dann einen ganzen Tag bis sie wirkt.
    2. TTL ist bei Netcup nur auf Zone-Ebene einstellbar, nicht pro Record. Man kann also nicht den SPF auf 300s und den A-Record auf 3600s setzen.
    • New
    Quote from johann22

    Update 2: die Standard-TTL der DNS-Zone stand bei Netcup auf 86400 Sekunden (24 Stunden). Das heißt: Nachdem der SPF-Record korrigiert wurde, sehen entfernte Mailserver den alten (falschen) Record noch bis zu 24h lang aus ihrem Cache.

    Du kannst den TTL für die Domain ja auf 300 setzen, dann sollten Änderungen deutlich schneller greifen.

    Quote from Ganzjahresgriller

    Men Tipp wäre, schau Dir mal desec.io an. So gern ich Netcup habe aber DNS ist nicht deren große Stärke

    Ich kann mich dem Tipp nur anschließen. Bin dort ebenfalls und schätze vor allem, dass sich der TTL pro Eintrag anpassen lässt und nicht nur global für die gesamte Domain.

    • New

    Danke, ja — ich habe die Zone-TTL zwischenzeitlich bereits auf 300s gesenkt (per CCP-API). Das hätte ich früher wissen sollen, aber der Hinweis fehlt im Panel völlig.

    Der Punkt mit dem TTL pro Eintrag ist für mich tatsächlich das ausschlaggebende Argument für einen Wechsel. A-Records können ruhig auf 3600s stehen, SPF/DKIM/DMARC brauchen Flexibilität. Das ist bei Netcup leider schlicht nicht möglich und das ist keine Kleinigkeit, sondern ein fundamentales DNS-Feature.

    • New

    Was ist denn deine Anwendung? Warum musst du SPF so kurzfristig ändern? Änderst du deinen SMTP so oft? Server oder Webhosting?

    TTL runtersetzen lange genug vor einer DNS Änderung ist freilich immer Pflicht, wenn es möglichst schnell gehen soll. Funktioniert aber auch nicht immer und überall auf der Welt. Manche Resolver ignorieren das auch mal gern, wenn die TTL zu kurz ist. Kostet eben Ressourcen. deSEC ist aber jedenfalls schon deutlich flotter mit dem DNS-Update. Ich nutze es für wichtige Domains, die bei netcup registriert sind - allein schon wegen DNSSEC.

    • New

    Wenn du zu deSEC wechseln möchtest, registrierst du dort zunächst eine Domain und legst die gewünschten DNS-Einträge an.
    Anschließend stellst du bei netcup die Nameserver auf deSEC um und richtest DNSSEC entsprechend ein.

    Sobald alles korrekt funktioniert, kannst du dich an den wirklich netten und schnell antworteten Support wenden – in der Regel werden dann auch weitere Domains für dich freigeschaltet.

    • New

    Alternativ kannst du natürlich - sofern genügend technisches Know-how und Muße vorhanden - mit z.b. PowerDNS und 2 VPS bei am Besten verschiedenen Providern dein eigenes authoritatives DNS hosten. Dann hast du alles 100% unter eigener Kontrolle und bist nicht mehr abhängig.