*Stand: November 2026

Eine Domain wird erst nutzbar, wenn DNS-Einträge festlegen, auf welche Adresse sie zeigt. Ohne diese Einträge findet kein Browser notizen.deine-domain.de, und es gibt dafür auch kein Zertifikat.

Dein Server ist bisher nur über eine Zahlenfolge erreichbar. Ab Artikel 07 sollen deine Anwendungen unter solchen Namen laufen, mit gültigem Zertifikat. Die Einträge dafür richtest du jetzt ein, bevor der erste Name gebraucht wird.

Dafür genügen zwei Einträge: einer für die Domain selbst und einer für alle Namen darunter. Danach musst du für keine neue Anwendung mehr in die DNS-Verwaltung.

Neu in der Reihe? Hier geht's los
Hardware & Setup dieser Serie

Am Ende hast du

  • Die öffentlichen Adressen deines Servers ermittelt
  • Deine Domain auf den Server zeigen lassen
  • Jeden Namen unterhalb der Domain mit einem einzigen Eintrag auf den Server zeigen lassen
  • Geprüft, dass die Einträge im Internet ankommen

Voraussetzungen

  • Artikel 02 abgeschlossen, der Server ist mit ssh vps erreichbar
  • Eine eigene Domain und Zugang zu ihrer DNS-Verwaltung – mit der Empfehlung aus Artikel 01 die Domain aus deinem Webhosting-Paket bei Netcup

Getestet mit: DNS-Verwaltung im Netcup CCP · Domain aus einem Webhosting-Paket · nslookup unter macOS

Zuletzt durchgespielt: November 2026

1. Warum die Einträge jetzt kommen

In Artikel 07 holt Caddy für jede Adresse ein Zertifikat. Die ausstellende Stelle prüft dabei, ob sie deinen Server unter genau diesem Namen erreicht. Zeigt der Name noch nicht auf den Server, gibt es kein Zertifikat.

Neue oder geänderte Einträge brauchen einige Minuten, bis sie überall ankommen. Setzt du sie jetzt, sind sie bis Artikel 07 längst angekommen und geprüft. Ein Tippfehler fällt dann hier auf und nicht später als rätselhafte Fehlermeldung beim Zertifikat.

Welcher Anbieter? Jeder, bei dem du die DNS-Einträge deiner Domain selbst bearbeiten kannst. Eine automatische Schnittstelle brauchst du auf dem VPS nicht: Der Nachweis für das Zertifikat läuft über Port 80, und den öffnet Artikel 07.

2. Die Adressen deines Servers

Dein Server hat eine IPv4-Adresse und meist zusätzlich eine IPv6-Adresse. Beide liest du direkt am Server ab:

ssh vps
ip -brief -4 addr show scope global
ip -brief -6 addr show scope global

Check

Ausgabe: Der erste Befehl listet mehrere Zeilen, etwa so:

eth0             UP             203.0.113.10/22
br-42007b13e668  DOWN           172.19.0.1/16
docker0          DOWN           172.17.0.1/16
br-9e1f718e65cd  UP             172.18.0.1/16
tailscale0       UNKNOWN        100.84.17.3/32
br-4815d8bd4c89  UP             172.20.0.1/16

Der zweite Befehl zeigt weniger Zeilen:

eth0             UP             2001:db8:1234:5678::1/64
tailscale0       UNKNOWN        fd7a:115c:a1e0::3/128

Du brauchst nur die Zeile der Netzwerkkarte, im Beispiel eth0. Deine beiden Adressen stehen dort vor dem Schrägstrich: 203.0.113.10 und 2001:db8:1234:5678::1. Notier sie dir, du trägst sie gleich ein.

Alles andere gehört nicht ins DNS. docker0 und die br-…-Zeilen kommen von Docker aus Artikel 03 – eine je Netzwerk, UP sobald ein Container darin läuft, sonst DOWN. Reihenfolge und Anzahl sind bei dir anders, und das ist normal. tailscale0 erscheint nur, falls du Artikel 05 schon durchlaufen hast.

Die Probe, wenn du unsicher bist, welche Zeile die richtige ist

Adressen, die mit 10., 172. oder 100. beginnen, sind privat: Sie gelten nur auf dem Server selbst oder im späteren VPN. Deine öffentliche IPv4-Adresse ist die eine, auf die das nicht zutrifft. Bei IPv6 ist es die Zeile, die nicht mit fd beginnt.

Bleibt der zweite Befehl ohne Ausgabe oder zeigt nur tailscale0, hat dein Server keine öffentliche IPv6-Adresse. Dann legst du in Abschnitt 3 nur die beiden IPv4-Einträge an.

3. Die Einträge

Zuerst die TTL. Sie sagt anderen DNS-Servern, wie lange sie eine Antwort behalten dürfen, und steht oft auf 86400 Sekunden, also einem Tag. Vertippst du dich bei einer Adresse, halten Server, die inzwischen gefragt haben, die falsche Antwort entsprechend lange fest. Stell sie deshalb auf 300 (fünf Minuten), bevor du die Einträge anlegst – eine Senkung wirkt nur für Antworten, die danach herausgehen. Der Wert kann dauerhaft so bleiben, mehr als ein paar zusätzliche Anfragen an die DNS-Server deines Anbieters kostet er nicht.

Danach legst du in der DNS-Verwaltung deiner Domain an:

Host Typ Ziel
@ A deine IPv4-Adresse
* A deine IPv4-Adresse
@ AAAA deine IPv6-Adresse
* AAAA deine IPv6-Adresse

Die beiden AAAA-Zeilen entfallen, wenn Abschnitt 2 keine IPv6-Adresse gezeigt hat.

@ steht für die Domain selbst, also deine-domain.de. * steht für jeden Namen darunter: notizen.deine-domain.de, blog.deine-domain.de und alles, was später dazukommt.

Ins Ziel-Feld kommt die Adresse aus Abschnitt 2, bei A die IPv4-Adresse (203.0.113.10), bei AAAA die IPv6-Adresse. Welcher Typ welches Ziel verlangt, legt der Typ fest:

Typ Was ins Ziel-Feld gehört
A eine IPv4-Adresse
AAAA eine IPv6-Adresse
CNAME ein anderer Name, nie eine Adresse

Die weiteren Typen in der Auswahlliste deines Anbieters brauchst du hier nicht. Ein CNAME lässt einen Namen auf einen anderen Namen zeigen, etwa auf einen fremden Dienst – für deinen eigenen Server ist er der falsche Typ. Felder wie Priorität, die nur für Mail-Einträge gedacht sind, bleiben bei A und AAAA leer.

Erreichbar wird durch die Einträge nichts, was du nicht selbst einrichtest. Caddy antwortet nur auf Namen, die im Caddyfile stehen.

⚠️ Vorhandene Einträge nicht verdoppeln

Eine neue Domain bringt oft schon Einträge mit, etwa einen Platzhalter des Anbieters. Steht für @ oder * bereits ein Eintrag vom Typ A, AAAA oder CNAME, änderst du ihn, statt einen zweiten anzulegen. Zwei Ziele für denselben Namen führen dazu, dass Anfragen abwechselnd bei deinem Server und woanders landen. Einen vorhandenen CNAME stellst du dabei auf A um, denn eine Adresse kann dort nicht stehen.

Dasselbe gilt für ausdrücklich eingetragene Namen wie www: Sie haben Vorrang vor dem Stern und zeigen weiter dorthin, wo sie stehen. Brauchst du sie nicht, löschst du sie. Ausgenommen sind Namen, die zur Mail gehören – etwa mail, webmail, imap, smtp, autoconfig oder autodiscover. Die hat dein Anbieter für das Postfach angelegt, und sie bleiben stehen.

Nicht anfassen: NS, SOA, MX und TXT. Sie regeln, wer die Domain verwaltet und wohin Mail an deine Domain geht. Kommt deine Domain aus einem Webhosting-Paket, stehen dort bereits die Einträge für dein Postfach – deshalb funktioniert die Mail in Artikel 08 ohne weiteres Zutun.

Bei Netcup

Domains verwaltest du bei Netcup im Customer Control Panel (CCP), nicht im Server Control Panel aus Artikel 02.

  1. Domains öffnen und deine Domain auswählen
  2. Den Reiter DNS öffnen
  3. Die TTL der Zone auf 300 setzen und speichern
  4. Vorhandene Einträge für @ und * anpassen, fehlende über eine neue Zeile ergänzen
  5. Speichern

Beim Speichern fragt Netcup nach, ob du die DNS-Zone wirklich ändern willst, mit dem Hinweis, dass eine fehlerhafte Einstellung die Domain unbrauchbar machen kann. Das ist die normale Rückfrage vor jeder Änderung an der Zone – mit OK bestätigen.

4. Prüfen, ob die Einträge ankommen

Auf deinem lokalen Rechner, unter macOS, Linux und Windows gleich:

nslookup deine-domain.de 1.1.1.1
nslookup irgendwas.deine-domain.de 1.1.1.1

Die 1.1.1.1 am Ende fragt direkt einen öffentlichen DNS-Server, statt deinen Router, der sich eine ältere Antwort gemerkt haben kann.

Check

Ausgabe: Bei beiden Befehlen steht unter „Non-authoritative answer“ (unter Windows „Nicht autorisierende Antwort“) deine IPv4-Adresse, bei eingerichtetem IPv6 zusätzlich die IPv6-Adresse.

Den zweiten Namen hast du nie angelegt. Dass er trotzdem antwortet, ist der Eintrag mit dem Stern.

Kommt stattdessen „can't find“ oder „NXDOMAIN“, sind die Einträge noch nicht angekommen. Ein paar Minuten warten und wiederholen.

Im Browser passiert unter diesen Adressen noch nichts. Auf dem Server antwortet bis Artikel 07 niemand, und das ist richtig so.

Wenn du zusätzlich eine NAS betreibst oder später eine dazukommt

Gib ihr eine eigene Domain. Die NAS-Reihe legt ihre Einträge ebenfalls mit Stern an, und zwei Sterne auf derselben Domain schließen sich aus. Mit zwei Domains bleibt jedes Gerät für sich, und am VPS ändert sich nichts, wenn die NAS dazukommt.

Für die Domain der NAS gilt eine Bedingung, die hier nicht gilt: Ihr Anbieter muss eine Schnittstelle für automatische Einträge haben. Das erklärt die NAS-Reihe.

Wenn es nicht klappt

Was du siehst Ursache Weiter
ip addr zeigt viele Zeilen, darunter docker0, br-… und tailscale0 Normal – nur die Zeile der Netzwerkkarte gehört ins DNS → Abschnitt 2, Kasten „Die Probe"
nslookup meldet can't find oder NXDOMAIN Die Einträge sind noch nicht angekommen ein paar Minuten warten → Abschnitt 4
Netcup fragt beim Speichern „DNS Zone ändern?" Normale Rückfrage vor jeder Änderung an der Zone mit OK bestätigen → Abschnitt 3

Und jetzt?

Deine Domain und jeder Name darunter zeigen jetzt auf deinen Server. Bevor dort etwas antwortet, kommt der Verwaltungszugang: Im nächsten Artikel verbindest du Server und Rechner über ein privates Netz und schließt danach Port 22.

👉 Nächster Artikel: 05. Tailscale auf dem VPS: Admin-Zugang ohne offene Ports