Wie lange dauert eine DNS-Änderung?

Meist Minuten. Ein geänderter Eintrag ist überall sichtbar, sobald die alte TTL abgelaufen ist — bei einer TTL von 300 sind das fünf Minuten. Ganz neue Domains können länger brauchen, bis die Registry die Nameserver veröffentlicht.

Brauche ich einen AAAA-Eintrag?

Nur wenn Ihr Webserver auf IPv6 lauscht. Fügen Sie AAAA hinzu, während nginx nur IPv4 bedient, bekommen Besucher mit IPv6 Verbindungsfehler. Konfigurieren Sie entweder 'listen [::]:80' und '[::]:443' oder lassen Sie AAAA weg.

Soll www ein CNAME oder ein A-Eintrag sein?

Beides funktioniert. Ein CNAME auf die Hauptdomain bedeutet, dass Sie bei einer IP-Änderung nur einen Eintrag anpassen. Achten Sie darauf, dass Ihr Zertifikat beide Namen abdeckt.

Kann ich auf einem NAT-Tarif eine Website hosten?

Nicht direkt. Ein NAT-Tarif leitet nur Ihren persönlichen SSH-Port weiter, Besucher erreichen die Ports 80 und 443 also nicht. Für eine Website auf Ihrer Domain brauchen Sie einen Tarif mit eigener IP.

Ist Reverse-DNS dasselbe?

Nein. A und AAAA ordnen einem Namen Ihre IP zu; Reverse-DNS (PTR) ordnet die IP wieder einem Namen zu. PTR ist vor allem für Mailserver wichtig und wird im Kundenbereich gesetzt, nicht beim Registrar.

Domain auf den VPS zeigen lassen (A, AAAA und www)

Domain per A- und AAAA-Eintrag auf den VPS zeigen lassen, www einrichten, DNS mit dig prüfen und HTTPS aktivieren — und warum ein NAT-Tarif keine Website ausliefert.

Sie haben eine Domain gekauft, einen VPS gemietet, und der Browser sagt trotzdem „Website nicht erreichbar“. Fast immer fehlen zwei DNS-Einträge und ein Webserver, der auf der richtigen Adresse antwortet. Hier der ganze Weg, vom Registrar bis zum HTTPS-Schloss.

Vorab: Nimmt Ihr Tarif Webverkehr an?

Besucher verbinden sich mit den Ports 80 und 443 Ihres Servers. Dafür braucht es einen Tarif mit eigener öffentlicher IP. NAT-Tarife leiten nur Ihren persönlichen SSH-Port weiter und können daher keine Website auf einer Domain ausliefern — unser Artikel eigene IP oder NAT erklärt den Unterschied. Eine kleine Website läuft gut auf Nano-IP.

1. Die Adressen des Servers finden

IPv4 und IPv6 stehen auf der Serverseite im Kundenbereich. In den Beispielen nutzen wir Dokumentationsadressen:

IPv4: 203.0.113.10
IPv6: 2001:db8::10

2. DNS-Einträge anlegen

Melden Sie sich dort an, wo das DNS Ihrer Domain liegt (meist beim Registrar), und legen Sie an:

Typ	Name	Wert	TTL
A	@	203.0.113.10	300
AAAA	@	2001:db8::10	300
CNAME	www	example.com.	300

@ steht für die Domain ohne Subdomain. Eine kurze TTL wie 300 Sekunden macht Fehler billig; wenn alles läuft, können Sie sie auf 3600 erhöhen.

Brauchen Sie IPv6 noch nicht, lassen Sie den AAAA-Eintrag vorerst weg — siehe die Warnung in Schritt 5.

3. Prüfen, ob DNS antwortet

Verlassen Sie sich nicht auf die „gespeichert“-Meldung des Registrars. Fragen Sie das DNS direkt:

dig +short example.com A
dig +short example.com AAAA
dig +short www.example.com
dig +short example.com A @1.1.1.1

Die letzte Zeile fragt einen öffentlichen Resolver, was näher an dem ist, was Ihre Besucher sehen. Kommt Ihre IP zurück, ist das DNS erledigt.

4. Den Server antworten lassen

nginx installieren und die Ports öffnen:

apt update && apt install -y nginx
ufw allow 80/tcp
ufw allow 443/tcp

Öffnen Sie http://example.com — Sie sollten die Willkommensseite von nginx sehen. Jetzt HTTPS mit einem kostenlosen Zertifikat:

apt install -y certbot python3-certbot-nginx
certbot --nginx -d example.com -d www.example.com

Certbot passt die nginx-Konfiguration an, richtet die Weiterleitung auf HTTPS ein und verlängert das Zertifikat automatisch. Für eine echte Anwendung hinter nginx hilft unsere Anleitung zum Reverse-Proxy mit HTTPS.

5. Die IPv6-Falle

Darüber stolpern viele. Sie legen einen AAAA-Eintrag an, aber nginx lauscht nur auf IPv4. Besucher mit IPv6 (viele Mobilfunknetze) probieren zuerst die IPv6-Adresse und scheitern. Sorgen Sie dafür, dass Ihr Server-Block beides enthält:

listen 80;
listen [::]:80;

Die Standardkonfiguration von nginx unter Ubuntu enthält [::] bereits, selbst geschriebene verlieren es oft. Testen Sie von einem Rechner mit IPv6:

curl -6 -I https://example.com

Häufige Probleme

Die alte IP taucht noch auf: Ihr lokaler Resolver hat sie zwischengespeichert. Warten Sie die TTL ab oder fragen Sie wie oben @1.1.1.1.
Certbot scheitert mit Timeout: Port 80 ist blockiert oder das DNS zeigt noch nicht hierher. Prüfen Sie ufw status und noch einmal dig.
Ohne www geht es, mit www nicht: Zertifikat oder Server-Block enthalten www nicht. Starten Sie certbot mit beiden Namen erneut.

Zu Reverse-DNS

A- und AAAA-Einträge führen vom Namen zur IP. Reverse-DNS (PTR) geht den umgekehrten Weg und wird im Kundenbereich statt beim Registrar gesetzt. Sie brauchen es nur für Mail oder wenn ein Dienst es prüft — mehr dazu in unserer PTR-Anleitung.

Bringen Sie zum ersten Mal eine Website online, hilft die Website-Seite bei der Tarifwahl, und die Netzwerk-Dokumentation listet, welche Adressen jeder Tarif bekommt.