--- title: "DNS problemen oplossen: stap-voor-stap gids met oplossingen" description: "Leer hoe je DNS problemen oplost met dig, nslookup en Wireshark. Complete gids voor cache legen, lame delegation, DNSSEC debugging en DNS migratie." canonical: https://www.keurigonline.nl/blog/dns-problemen-oplossen last_modified: 2025-10-27 --- Op deze pagina ## Op deze pagina 1. [Blog](https://www.keurigonline.nl/blog) 2. [DNS](https://www.keurigonline.nl/blog/categorie/dns) # DNS problemen oplossen: de complete gids voor debugging Leer hoe je DNS problemen oplost met dig, nslookup en Wireshark. Complete gids voor cache legen, lame delegation, DNSSEC debugging en DNS migratie. - Maarten Keizer - 10 december 2025 - 14 min lezen Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](https://x.com/intent/post?text=DNS+problemen+oplossen%3A+de+complete+gids+voor+debugging&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](mailto:?subject=DNS%20problemen%20oplossen%3A%20de%20complete%20gids%20voor%20debugging&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) Op deze pagina **Samenvatting: DNS problemen oplossen** - **Debugging tools:** Gebruik `dig` voor gedetailleerde output, `nslookup` voor snelle lookups, en Wireshark voor packet-level analyse - **Cache legen:** Windows: `ipconfig /flushdns` · Mac: `sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder` · Linux: `sudo systemd-resolve --flush-caches` - **DNS migratie:** Verlaag eerst de TTL naar 300 seconden, wacht tot de oude TTL is verlopen, voer dan pas wijzigingen door - **DNSSEC debugging:** Gebruik [DNSViz](https://dnsviz.net) om de chain of trust te visualiseren en te checken of DS-records overeenkomen met de DNSKEY **DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. problemen** zijn frustrerend: je website laadt niet, e-mail komt niet aan, of klanten kunnen je domein niet bereiken. Het ergste? De foutmelding zegt vaak alleen "DNS server reageert niet" — zonder verdere uitleg. Of je nu een `.nl`, `.com` of `.be` domein beheert, de debugging-aanpak is vrijwel identiek. In ons [artikel over hoe DNS werkt](../../../blog/hoe-dns-werkt) legden we uit wat DNS is en hoe het domeinnamen vertaalt naar IP-adressen. In dit artikel leer je **hoe je DNS problemen oplost**: van het gebruik van `dig` en `nslookup`, via cacheKeurigOnline zegt [Cache](https://www.keurigonline.nl/begrippenlijst/cache)Een cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. invalidatie, tot het debuggen van DNSSECKeurigOnline zegt [DNSSEC](https://www.keurigonline.nl/begrippenlijst/dnssec)DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. en het uitvoeren van DNS migraties zonder downtimeKeurigOnline zegt [Downtime](https://www.keurigonline.nl/begrippenlijst/downtime)Downtime is de tijd waarin een website, server of andere dienst niet bereikbaar is of niet werkt zoals hij moet. . --- ## DNS debugging tools: dig, nslookup en Wireshark **Definitie:** **DNS debugging** is het systematisch identificeren en oplossen van problemen met domeinnaamsresolutie. Je gebruikt tools om DNS-verkeer te analyseren, configuratiefouten op te sporen en te verifiëren of DNS records correct zijn geconfigureerd. Voordat je een DNS probleem kunt oplossen, moet je het eerst kunnen diagnosticeren. Er zijn drie essentiële tools die elke systeembeheerder moet kennen: ### nslookup: de basis voor DNS queries `nslookup` is standaard aanwezig op Windows, macOS en de meeste Linux-distributies. Het is de snelste manier om een DNS lookup uit te voeren: ``` # Basis DNS lookup nslookup keurigonline.nl # Query via een specifieke DNS server nslookup keurigonline.nl 8.8.8.8 # Specifiek record type opvragen nslookup -type=MX keurigonline.nl nslookup -type=TXT keurigonline.nl nslookup -type=NS keurigonline.nl ``` De output toont het IP-adresKeurigOnline zegt [IP-adres](https://www.keurigonline.nl/begrippenlijst/ip-adres)Een IP-adres (Internet Protocol-adres) is het nummer waarmee een apparaat op een netwerk of internet bereikbaar is. en de gebruikte DNS server. Als je een "non-authoritative answer" ziet, betekent dit dat het antwoord uit een cache komt — niet rechtstreeks van de autoritatieve nameserverKeurigOnline zegt [Autoritatieve nameserver](https://www.keurigonline.nl/begrippenlijst/autoritatieve-nameserver)Een autoritatieve nameserver bevat de officiële DNS-records voor een domein en geeft definitieve antwoorden. . ### dig: geavanceerde DNS debugging Het `dig` commando (Domain Information Groper) geeft veel meer detail dan `nslookup`. Op Linux en macOS is het standaard aanwezig. Voor Windows kun je het installeren via [BIND tools van ISC](https://www.isc.org/bind/). ``` # Basis query dig keurigonline.nl # Query via specifieke nameserver dig @8.8.8.8 keurigonline.nl # Alleen het antwoord tonen (korte output) dig +short keurigonline.nl # Alle record types opvragen dig keurigonline.nl ANY # Volledige resolutie traceren (van root tot authoritative) dig +trace keurigonline.nl # DNSSEC records opvragen dig +dnssec keurigonline.nl ``` De `+trace` optie is bijzonder waardevol: het toont elke stap van de DNS resolutie, van de root servers tot je autoritatieve nameserverKeurigOnline zegt [Autoritatieve nameserver](https://www.keurigonline.nl/begrippenlijst/autoritatieve-nameserver)Een autoritatieve nameserver bevat de officiële DNS-records voor een domein en geeft definitieve antwoorden. . Zo kun je precies zien waar een probleem optreedt. #### dig output interpreteren Een `dig` response bevat meerdere secties: - **QUESTION SECTION** — Je oorspronkelijke query - **ANSWER SECTION** — De DNS records die overeenkomen met je query - **AUTHORITY SECTION** — De nameserversKeurigOnline zegt [Nameservers](https://www.keurigonline.nl/begrippenlijst/nameservers)Nameservers zijn DNS-servers die domeinnamen omzetten naar IP-adressen en internetverkeer naar de juiste servers leiden. die authoritative zijn voor het domein - **ADDITIONAL SECTION** — Extra informatie, zoals glue records - **Query time** — Hoe lang de query duurde (in milliseconden) - **STATUS** — NOERROR (success), NXDOMAINKeurigOnline zegt [NXDOMAIN](https://www.keurigonline.nl/begrippenlijst/nxdomain)NXDOMAIN (Non-Existent Domain) is het DNS-antwoord dat aangeeft dat de opgevraagde domeinnaam niet bestaat. (niet gevonden), SERVFAIL (server fout) ### Wireshark voor DNS traffic analyse [Wireshark](https://www.wireshark.org/) is een network protocol analyzer waarmee je DNS-verkeer op pakket-niveau kunt inspecteren. Dit is nuttig wanneer `dig` en `nslookup` niet genoeg detail geven, bijvoorbeeld bij timeout-problemen of vermoedelijke firewallKeurigOnline zegt [Firewall](https://www.keurigonline.nl/begrippenlijst/firewall)Een firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. -issues. Filters voor DNS-analyse in Wireshark: ``` # Capture filter (tijdens het opnemen) port 53 # Display filter (na het opnemen) dns # Filter op specifiek domein dns.qry.name == "keurigonline.nl" # Alleen DNS responses dns.flags.response == 1 # Alleen fouten dns.flags.rcode != 0 ``` Let bij de analyse op: - **Response code (RCODE)** — 0 = succes, 2 = SERVFAIL, 3 = NXDOMAIN - **TC flag** — Als deze 1 is, was het antwoord te groot voor UDP en moet de query opnieuw via TCP - **Response time** — Normaal onder 100ms[\[1\]](https://developers.google.com/speed/public-dns/docs/performance); hoger kan wijzen op netwerk- of serverproblemen Vergelijking van DNS debugging tools: nslookup, dig en Wireshark --- ## DNS cache legen (flush DNS) DNS caching versnelt het internet door recent opgezochte DNS records lokaal op te slaan. Maar soms wil je de cache juist legen — bijvoorbeeld na een DNS wijziging of bij troubleshooting. De methode verschilt per besturingssysteem. ### Waarom DNS cache legen? - **Na DNS wijzigingen** — Je wilt direct testen of de nieuwe records werken - **Verouderde records** — Je client heeft nog een oud (fout) IP-adres in cache - **Beveiligingsredenen** — DNS cache poisoningKeurigOnline zegt [Cache poisoning](https://www.keurigonline.nl/begrippenlijst/cache-poisoning)Cache poisoning is een aanval waarbij iemand een vervalst DNS-antwoord in de cache van een resolver krijgt. kan gecorrigeerd worden door de cache te legen - **Debugging** — Je wilt zeker weten dat je een "verse" lookup doet ### DNS cache legen op Windows Open een Command Prompt als Administrator en voer uit: ``` ipconfig /flushdns ``` Je ziet de melding: "Successfully flushed the DNS ResolverKeurigOnline zegt [DNS resolver](https://www.keurigonline.nl/begrippenlijst/dns-resolver)Een DNS resolver is een server die voor jouw apparaat opzoekt welk IP-adres bij een domeinnaam hoort. Cache." Om de huidige cache te bekijken voordat je flusht: ``` ipconfig /displaydns ``` ### DNS cache legen op macOS Het commando verschilt per macOS versie. Voor **macOS Monterey (12.0) en nieuwer**: ``` sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder ``` Voor oudere versies kan het `mDNSResponder` proces een ander signaal nodig hebben. Controleer de [Apple Support documentatie](https://support.apple.com/nl-nl/HT202516) voor je specifieke versie. ### DNS cache legen op Linux Op Linux hangt het af van je DNS resolverKeurigOnline zegt [DNS resolver](https://www.keurigonline.nl/begrippenlijst/dns-resolver)Een DNS resolver is een server die voor jouw apparaat opzoekt welk IP-adres bij een domeinnaam hoort. . Voor systemen met **systemd-resolved** (Ubuntu 18.04+, Fedora, etc.): ``` sudo systemd-resolve --flush-caches # Of op nieuwere systemen: sudo resolvectl flush-caches ``` Controleer of de flush succesvol was: ``` sudo systemd-resolve --statistics ``` De cache grootte zou 0 moeten zijn na de flush. ### Browser DNS cache legen Browsers houden hun eigen DNS cacheKeurigOnline zegt [Cache](https://www.keurigonline.nl/begrippenlijst/cache)Een cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. bij, los van het besturingssysteem. Na een OS-level flush moet je ook de browser cache legen: - **Chrome:** Ga naar `chrome://net-internals/#dns` → klik "Clear host cache" - **Edge:** Ga naar `edge://net-internals/#dns` → klik "Clear host cache" - **Firefox:** Typ `about:networking#dns` → klik "Clear DNS Cache" ### Google Public DNS cache legen Als je Google Public DNS (8.8.8.8) gebruikt en je wilt dat zij je nieuwe DNS records ophalen, gebruik dan de [Google Public DNS Flush tool](https://developers.google.com/speed/public-dns/cache). Vul je domeinnaamKeurigOnline zegt [Domeinnaam](https://www.keurigonline.nl/begrippenlijst/domeinnaam)Een domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. en record type in, en Google haalt direct de nieuwste records op. --- ## Veelvoorkomende DNS problemen en oplossingen Nu je de tools kent, bespreken we de meest voorkomende DNS problemen en hoe je ze oplost. ### DNS server reageert niet Dit is de meest voorkomende foutmelding. Mogelijke oorzaken: 1. **Je ISPKeurigOnline zegt [ISP](https://www.keurigonline.nl/begrippenlijst/isp)Een ISP (Internet Service Provider) is de aanbieder van jouw internetverbinding. 's DNS server is down** — Test met een alternatieve DNS server: `nslookup keurigonline.nl 1.1.1.1` 2. **Firewall blokkeert DNS** — Controleer of poortKeurigOnline zegt [Poort](https://www.keurigonline.nl/begrippenlijst/poort)Een poort is een nummer van 0 tot 65535 waarmee een computer netwerkverkeer naar de juiste dienst stuurt, zoals 443 voor HTTPS. 53 (UDP/TCP) open is 3. **Verkeerde DNS instellingen** — Check je netwerkinstellingen voor correcte DNS servers 4. **VPN interfereert** — Sommige VPNs hebben eigen DNS; probeer zonder VPN **Snelle oplossing:** Probeer alternatieve publieke DNS servers: | Provider | Primair | Secundair | |---|---|---| | Cloudflare | `1.1.1.1` | `1.0.0.1` | | Google | `8.8.8.8` | `8.8.4.4` | | Quad9 | `9.9.9.9` | `149.112.112.112` | ### SERVFAIL responses **Definitie:** **SERVFAIL** (rcode 2) is een DNS-foutmelding die aangeeft dat de recursive resolver de query niet kon voltooien. Dit kan komen door een probleem bij de autoritatieve nameserver, DNSSEC-validatiefouten, of netwerktimeouts. Debug SERVFAIL met: ``` # Check of DNSSEC het probleem is dig +dnssec example.nl # Check zonder DNSSEC validatie dig +cd example.nl # Trace de volledige resolutie dig +trace example.nl ``` Als `+cd` (checking disabled) wél werkt maar normale queries niet, heb je een DNSSEC probleem. ### NXDOMAIN: domein niet gevonden NXDOMAINKeurigOnline zegt [NXDOMAIN](https://www.keurigonline.nl/begrippenlijst/nxdomain)NXDOMAIN (Non-Existent Domain) is het DNS-antwoord dat aangeeft dat de opgevraagde domeinnaam niet bestaat. betekent dat het domein niet bestaat in DNS. Oorzaken: - **Typfout** — Dubbel-check de spelling van het domein - **Domein verlopen** — Check de registratie op [SIDN WHOIS](https://www.sidn.nl/whois) (voor .nl) - **Propagatie nog bezig** — Nieuwe domeinen kunnen tot 48 uur duren - **NS records ontbreken** — De nameservers zijn niet (correct) ingesteld bij de registrarKeurigOnline zegt [Registrar](https://www.keurigonline.nl/begrippenlijst/registrar)Een registrar is een bedrijf dat namens jou domeinnamen registreert bij de registry, zoals SIDN voor .nl. Controleer met meerdere DNS servers om propagatie-issues uit te sluiten: ``` dig @8.8.8.8 example.nl dig @1.1.1.1 example.nl dig @9.9.9.9 example.nl ``` ### DNS timeout errors Timeouts duiden op netwerk- of serverproblemen. Debugging stappen: 1. Test of je überhaupt DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. verkeer kunt versturen: `dig @8.8.8.8 google.com` 2. Check of de specifieke nameserver bereikbaar is: `ping ns1.example.nl` 3. Gebruik `traceroute` om te zien waar het verkeer vastloopt 4. Controleer firewallKeurigOnline zegt [Firewall](https://www.keurigonline.nl/begrippenlijst/firewall)Een firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. logs op geblokkeerd verkeer op poortKeurigOnline zegt [Poort](https://www.keurigonline.nl/begrippenlijst/poort)Een poort is een nummer van 0 tot 65535 waarmee een computer netwerkverkeer naar de juiste dienst stuurt, zoals 443 voor HTTPS. 53 --- ## Lame delegation: wat het is en hoe je het oplost **Definitie:** **Lame delegation** treedt op wanneer een nameserver die als autoritatief staat vermeld in de parent zone (bijv. bij SIDN voor .nl), niet de juiste DNS records heeft of niet correct antwoordt voor het domein. De verwijzing klopt, maar de nameserver zelf is "lam" — hij kan zijn taak niet uitvoeren. ### Hoe ontstaat lame delegation? - **Nameserver domein verlopen** — De server waar je naar verwijst bestaat niet meer - **Verkeerde NS records** — Je hebt ns1.oud-bedrijf.nl ingesteld maar die host je zone niet - **Configuratiefout** — De zone file op de nameserver mist of is incorrect - **Na migratie** — Je bent gewisseld van DNS provider maar de oude NS records staan nog bij de registrar ### Lame delegation detecteren Stap 1: Vraag de NS records op: ``` dig NS example.nl +short ``` Stap 2: Query elke nameserver individueel: ``` dig @ns1.provider.nl example.nl dig @ns2.provider.nl example.nl ``` Als een nameserver niet antwoordt, een SERVFAIL geeft, of zegt dat hij niet autoritatief is voor het domein, heb je lame delegation. Stap 3: Gebruik online tools voor een complete check: - [Zonemaster](https://zonemaster.net) — Uitgebreide DNS health check - [SIDN](https://www.sidn.nl) — Voor .nl domeinen specifiek - [IntoDNS](https://www.intodns.com) — DNS configuratie analyse ### Lame delegation oplossen 1. **Identificeer de juiste nameservers** — Neem contact op met je DNS/hosting provider 2. **Update NS records bij registrar** — Log in bij je domeinregistrar (bijv. TransIP, Hostnet, Versio) en corrigeer de nameservers 3. **Wacht op propagatie** — NS record wijzigingen kunnen 24-48 uur duren 4. **Verifieer** — Gebruik `dig +trace example.nl` om te controleren of de juiste servers nu antwoorden --- ## DNSSEC problemen debuggen en oplossen DNSSEC voegt cryptografische beveiliging toe aan DNS. Maar als de configuratie niet klopt, kan je domein onbereikbaar worden voor gebruikers met DNSSEC-validerende resolvers (steeds meer mensen). ### Waarom DNSSEC problemen ontstaan - **DS/DNSKEY mismatch** — Het DS record bij de registrar komt niet overeen met de DNSKEY in je zone - **Verlopen RRSIG records** — De signatures zijn niet tijdig vernieuwd - **Key rollover fouten** — Bij het roteren van keys is iets misgegaan - **Clock skew** — De server heeft een verkeerde systeemtijd waardoor signatures als verlopen worden gezien ### DNSSEC debugging tools **Tip:** Start altijd met [DNSViz](https://dnsviz.net) voordat je handmatig gaat debuggen — het visualiseert de volledige chain of trust en markeert problemen met duidelijke kleuren, waardoor je direct ziet waar de fout zit. DNSViz is de beste tool voor DNSSEC debugging. Daarnaast zijn er andere handige tools: Andere handige tools: - [Verisign DNSSEC Debugger](https://dnssec-debugger.verisignlabs.com/) - `dig +dnssec example.nl` — Toont DNSSEC-gerelateerde records - `delv example.nl` — DNSSEC lookup tool (onderdeel van BIND) ``` # Check DNSSEC records dig +dnssec example.nl DNSKEY dig +dnssec example.nl DS # Validate de chain dig +sigchase +trusted-key=./root.key example.nl ``` ### Veelvoorkomende DNSSEC fouten #### DS record ontbreekt bij registrar Je hebt DNSSEC ingesteld op je nameservers maar bent vergeten de DS records door te geven aan de registrar. **Oplossing:** Log in bij je registrarKeurigOnline zegt [Registrar](https://www.keurigonline.nl/begrippenlijst/registrar)Een registrar is een bedrijf dat namens jou domeinnamen registreert bij de registry, zoals SIDN voor .nl. en voeg de DS records toe. #### RRSIG verlopen Je DNSSEC signatures zijn verlopen. Dit gebeurt vaak bij handmatige DNSSEC configuraties. **Oplossing:** Heronderteken je zone of schakel automatische re-signing in. #### Algorithm rollover mismatch Je bent overgestapt naar een nieuw cryptografisch algoritme maar de oude DS records staan nog bij de registrar. **Oplossing:** Volg het correcte [key rollover proces (RFC 6781)](https://tools.ietf.org/html/rfc6781). ### .nl specifiek: SIDN en DNSSEC SIDNKeurigOnline zegt [SIDN](https://www.keurigonline.nl/begrippenlijst/sidn)SIDN beheert als officiële registry alle .nl-domeinnamen in Nederland sinds 1996. , de beheerder van .nl, biedt uitgebreide [DNSSEC ondersteuning](https://www.sidn.nl/en/dnssec). Voor Nederlandse overheidsdomeinen is DNSSECKeurigOnline zegt [DNSSEC](https://www.keurigonline.nl/begrippenlijst/dnssec)DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. verplicht. Veel Nederlandse registrars bieden één-klik DNSSEC activatie. Check je .nl DNSSEC status via het [SIDN WHOIS](https://www.sidn.nl/whois) — het toont of DNSSEC actief is en de actuele DS records. --- ## Graceful DNS wijzigingen zonder downtime Of je nu van hosting provider wisselt, een nieuwe webserver inricht, of e-mail migreert — DNS wijzigingen kunnen downtimeKeurigOnline zegt [Downtime](https://www.keurigonline.nl/begrippenlijst/downtime)Downtime is de tijd waarin een website, server of andere dienst niet bereikbaar is of niet werkt zoals hij moet. veroorzaken als je ze niet goed plant. De sleutel is **TTLKeurigOnline zegt [TTL](https://www.keurigonline.nl/begrippenlijst/ttl)TTL (Time To Live) is een waarde die aangeeft hoe lang data geldig blijft, zoals een DNS-record in een cache. management**. ### TTL strategie voor DNS migratie De **TTL (Time To Live)** bepaalt hoe lang DNS records gecachet worden. Een hoge TTL (bijv. 86400 seconden = 24 uur) is goed voor performance, maar slecht voor snelle wijzigingen. Volg dit schema: | Tijdstip | TTL waarde | Doel | |---|---|---| | Normaal (standaard) | 86400 (24 uur) | Maximale caching, minimale load | | 3-7 dagen vóór migratie | 3600 (1 uur) | Begin TTL te verlagen | | 24-48 uur vóór migratie | 300 (5 min) | Snelle propagatie bij wijziging | | Tijdens migratie | 300 (5 min) | Mogelijkheid tot snel terugdraaien | | Na succesvolle migratie (24-72 uur) | 86400 (24 uur) | Terug naar normale waarden | **Tip:** Verlaag de TTL minstens 2× de huidige TTL-waarde van tevoren. Als je huidige TTL 86400 seconden (24 uur) is, wacht dan minimaal 48 uur nadat je de TTL hebt verlaagd — pas dan zijn alle oude cache entries verlopen en kun je veilig migreren. ### DNS migratie checklist 1. **Exporteer huidige DNS records** — Maak een backupKeurigOnline zegt [Backup](https://www.keurigonline.nl/begrippenlijst/backup)Een backup is een reservekopie van digitale gegevens die je kunt terugzetten bij dataverlies of storingen. van alle records (`dig AXFR` of via je DNS panel) 2. **Verlaag TTL** — Volg het schema hierboven, wacht tot oude TTL verlopen is 3. **Bereid nieuwe zone voor** — Configureer alle records bij de nieuwe provider 4. **Test nieuwe configuratie** — Query de nieuwe nameservers direct: `dig @ns1.nieuwe-provider.nl example.nl` 5. **Update NS records** — Wijzig de nameservers bij je registrar 6. **Houd oude zone actief** — Laat de oude DNS provider minstens 72 uur draaien als fallback 7. **Monitor** — Check of je website en e-mail correct werken vanuit verschillende locaties 8. **Verhoog TTL weer** — Na 24-72 uur zonder problemen ### E-mail continuïteit tijdens DNS migratie E-mail is extra gevoelig voor DNS problemen. Tips: - **MX records eerst** — Zorg dat MX records correct zijn vóór je andere wijzigingen doet - **SPF, DKIMKeurigOnline zegt [DKIM](https://www.keurigonline.nl/begrippenlijst/dkim)DKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan. , DMARCKeurigOnline zegt [DMARC](https://www.keurigonline.nl/begrippenlijst/dmarc)DMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM.** — Vergeet niet deze TXT records mee te nemen; anders kunnen e-mails als spam worden gemarkeerd - **Test** — Gebruik [Mail-Tester](https://www.mail-tester.com) om je e-mail configuratie te verifiëren ### Rollback plan Dingen gaan soms mis. Zorg voor een rollback plan: - Documenteer je oude configuratie volledig - Houd de oude nameserversKeurigOnline zegt [Nameservers](https://www.keurigonline.nl/begrippenlijst/nameservers)Nameservers zijn DNS-servers die domeinnamen omzetten naar IP-adressen en internetverkeer naar de juiste servers leiden. actief tijdens de migratie - Als er problemen zijn: revert de NS records bij de registrar - Met een lage TTLKeurigOnline zegt [TTL](https://www.keurigonline.nl/begrippenlijst/ttl)TTL (Time To Live) is een waarde die aangeeft hoe lang data geldig blijft, zoals een DNS-record in een cache. ben je binnen 5-10 minuten terug op de oude configuratie --- ## DNS problemen simuleren voor testing Soms wil je DNS-problemen nabootsen om te testen hoe je applicatie reageert. Dit is nuttig voor: - Testen van failover mechanismen - Valideren van timeout handling in applicaties - Trainen van teams op incident response **Let op:** Voer DNS-simulaties alleen uit in gecontroleerde testomgevingen - Nooit op productiesystemen — je blokkeert alle DNS-verkeer - Maak altijd eerst een backup van `/etc/resolv.conf` - Documenteer alle wijzigingen zodat je ze kunt terugdraaien ### Trage DNS simuleren Op Linux kun je met `tc` (traffic control) latency toevoegen aan DNS verkeer: ``` # 500ms vertraging op alle DNS queries sudo tc qdisc add dev eth0 root netem delay 500ms # Verwijderen: sudo tc qdisc del dev eth0 root ``` ### Falende DNS simuleren Gebruik iptables om DNS verkeer te blokkeren: ``` # Blokkeer alle uitgaande DNS sudo iptables -A OUTPUT -p udp --dport 53 -j DROP sudo iptables -A OUTPUT -p tcp --dport 53 -j DROP # Verwijderen: sudo iptables -D OUTPUT -p udp --dport 53 -j DROP sudo iptables -D OUTPUT -p tcp --dport 53 -j DROP ``` Of wijs naar een niet-bestaande DNS server in `/etc/resolv.conf`: ``` # Backup maken eerst! sudo cp /etc/resolv.conf /etc/resolv.conf.backup # Niet-bestaande DNS instellen echo "nameserver 192.0.2.1" | sudo tee /etc/resolv.conf ``` --- ## Veelgestelde vragen over DNS debugging ### Wat is een DNS-storing? Een **DNS-storing** is een situatie waarin de vertaling van domeinnaamKeurigOnline zegt [Domeinnaam](https://www.keurigonline.nl/begrippenlijst/domeinnaam)Een domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. naar IP-adresKeurigOnline zegt [IP-adres](https://www.keurigonline.nl/begrippenlijst/ip-adres)Een IP-adres (Internet Protocol-adres) is het nummer waarmee een apparaat op een netwerk of internet bereikbaar is. tijdelijk niet werkt. Dit kan komen door problemen met je DNS provider, DNSSEC configuratiefouten, lame delegation, of netwerkstoringen. Gebruikers zien dan foutmeldingen als "DNS server reageert niet" of "Kan server niet vinden". ### Hoe weet ik of mijn DNS correct werkt? Gebruik `nslookup jouwdomein.nl` of `dig jouwdomein.nl` om te testen of je domein correct resolvet. Online tools zoals [dnschecker.org](https://dnschecker.org) of [What's My DNS](https://www.whatsmydns.net) tonen de DNS status wereldwijd. ### Hoe lang duurt DNS propagatie? DNS propagatie duurt typisch 15 minuten tot 48 uur, afhankelijk van de TTL-waarden van je records en hoe agressief resolvers cachen. Met een lage TTL (300 seconden) kun je binnen minuten volledige propagatie bereiken. Voor NS record wijzigingen moet je rekening houden met de TTL van de parent zone (bijv. 3600-86400 seconden voor .nl). ### Is DNSSEC verplicht voor .nl domeinen? Voor **Nederlandse overheidswebsites** is DNSSEC verplicht volgens de Comply-or-Explain standaard van Forum Standaardisatie. Voor andere websites is het sterk aanbevolen maar niet verplicht. Veel Nederlandse registrars bieden gratis één-klik DNSSEC activatie. ### Wat is het verschil tussen dig en nslookup? `dig` geeft meer gedetailleerde output inclusief TTL, response time, en alle secties van het DNS antwoord. Het ondersteunt ook `+trace` om de volledige resolutieketen te volgen. `nslookup` is eenvoudiger en beschikbaar op alle platforms zonder installatie, maar minder geschikt voor diepgaande debugging. ### Waarom werkt mijn website niet na een DNS wijziging? Waarschijnlijk door **DNS caching**. Je oude records zitten nog in de cache van je browser, besturingssysteem, of upstream DNS resolvers. Wacht tot de oude TTLKeurigOnline zegt [TTL](https://www.keurigonline.nl/begrippenlijst/ttl)TTL (Time To Live) is een waarde die aangeeft hoe lang data geldig blijft, zoals een DNS-record in een cache. is verlopen, of flush je DNS cache lokaal. Check ook of je de wijziging bij de juiste plek hebt doorgevoerd (registrarKeurigOnline zegt [Registrar](https://www.keurigonline.nl/begrippenlijst/registrar)Een registrar is een bedrijf dat namens jou domeinnamen registreert bij de registry, zoals SIDN voor .nl. vs DNS provider). --- ## Bronnen en referenties ### Officiële bronnen - [SIDN](https://www.sidn.nl) — Registry voor .nl domeinen - [RIPE NCC](https://www.ripe.net) — Regional Internet Registry voor Europa - [ICANN](https://www.icann.org) — Internet Corporation for Assigned Names and Numbers - [ISC](https://www.isc.org) — Internet Systems Consortium (BIND developers) ### Performance en benchmarks - **\[1\]** [Google Public DNS Performance](https://developers.google.com/speed/public-dns/docs/performance) — Documentatie over DNS query response times en performance optimalisatie ### DNS debugging tools - [DNSViz](https://dnsviz.net) — DNSSEC visualisatie en debugging - [Zonemaster](https://zonemaster.net) — DNS health check tool - [Google Public DNS Flush](https://developers.google.com/speed/public-dns/cache) — CacheKeurigOnline zegt [Cache](https://www.keurigonline.nl/begrippenlijst/cache)Een cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. clearing voor Google DNS - [What's My DNS](https://www.whatsmydns.net) — DNS propagation checker - [Wireshark](https://www.wireshark.org) — Network protocol analyzer ### Relevante RFC's - [RFC 1034](https://tools.ietf.org/html/rfc1034), [RFC 1035](https://tools.ietf.org/html/rfc1035) — DNS fundamentals - [RFC 4033](https://tools.ietf.org/html/rfc4033), [RFC 4034](https://tools.ietf.org/html/rfc4034), [RFC 4035](https://tools.ietf.org/html/rfc4035) — DNSSEC specifications - [RFC 6781](https://tools.ietf.org/html/rfc6781) — DNSSECKeurigOnline zegt [DNSSEC](https://www.keurigonline.nl/begrippenlijst/dnssec)DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. key rollover best practices - [RFC 8484](https://tools.ietf.org/html/rfc8484) — DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. over HTTPSKeurigOnline zegt [HTTPS](https://www.keurigonline.nl/begrippenlijst/https)HTTPS (HyperText Transfer Protocol Secure) is HTTP over een versleutelde TLS-verbinding tussen browser en webserver. (DoHKeurigOnline zegt [DoH](https://www.keurigonline.nl/begrippenlijst/doh)DoH (DNS over HTTPS) is een protocol dat DNS-verzoeken versleuteld via HTTPS verstuurt, zodat anderen niet meekijken. ) ### Gerelateerde artikelen - [Hoe DNS werkt: de complete gids over het Domain Name System](../../../blog/hoe-dns-werkt) - [Geavanceerde DNS: van caching tot split-horizon en DDNS](../../../blog/geavanceerde-dns-configuratie) Deel dit artikel Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](https://x.com/intent/post?text=DNS+problemen+oplossen%3A+de+complete+gids+voor+debugging&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) [](mailto:?subject=DNS%20problemen%20oplossen%3A%20de%20complete%20gids%20voor%20debugging&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fdns-problemen-oplossen) - DNS 17 Dec ### 10 beste DNS test tools in 2026 Ontdek de 10 beste DNS test tools voor 2026. Van propagatie checkers tot DNSSEC validators - vergelijk gratis tools voor .nl, .com en .be domeinen. Maarten Keizer - DNS 10 Dec ### Hoe DNS werkt: de complete gids over het Domain Name System Leer hoe DNS werkt: van root servers tot autoritatieve nameservers. Inclusief dig/nslookup voorbeelden, zone transfers, DNSSEC en praktische tips. Maarten Keizer - DNS 10 Dec ### DNS records uitgelegd Ontdek alle DNS record types: van A en AAAA tot CNAME, MX, TXT en DNSSEC records. Complete uitleg met voorbeelden voor Nederlandse domeinen. Maarten Keizer