Geavanceerde DNS: van caching tot split-horizon en DDNS

Recursieve DNS queries: hoe een lookup werkt

Wanneer je browser een domein opvraagt, start een keten van DNS queries die binnen milliseconden resultaat moet opleveren. Er zijn twee soorten DNS queries: recursieve en iteratieve. Als eindgebruiker gebruik je bijna altijd recursieve queries.

De 8 stappen van een DNS lookup

Stel je typt www.voorbeeld.nl in je browser. Dit gebeurt er:

1. Browser cacheKeurigOnline zegtCacheEen cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. check — Je browser controleert eerst zijn eigen DNS cache
2. OS cache check — Daarna controleert je besturingssysteem (Windows, macOS, Linux) de lokale DNS cache
3. Query naar recursive resolver — Geen cache hit? De query gaat naar je DNS resolverKeurigOnline zegtDNS resolverEen DNS resolver is een server die domeinnamen vertaalt naar IP-adressen voor je internetverbinding. (bijv. je ISPKeurigOnline zegtISPEen ISP (Internet Service Provider) is de aanbieder van jouw internetverbinding. of Cloudflare 1.1.1.1)
4. Root serverKeurigOnline zegtRoot serverRoot servers zijn de 13 server-clusters aan de top van de DNS-hiërarchie die verwijzen naar TLD-nameservers. query — De resolver vraagt een van de 13 root server clusters (a.root-servers.net t/m m.root-servers.net) waar .nl te vinden is
5. TLD nameserverKeurigOnline zegtTLD nameserverEen TLD nameserver beheert DNS-informatie voor een topleveldomein zoals .nl, .com of .be. query — De root server verwijst naar de TLD nameserversKeurigOnline zegtNameserversNameservers zijn DNS-servers die domeinnamen omzetten naar IP-adressen en internetverkeer naar de juiste servers leiden. voor .nl (beheerd door SIDNKeurigOnline zegtSIDNSIDN beheert als officiële registry alle .nl-domeinnamen in Nederland sinds 1996.)
6. Autoritatieve nameserverKeurigOnline zegtAutoritatieve nameserverEen autoritatieve nameserver bevat de officiële DNS-records voor een domein en geeft definitieve antwoorden. query — De TLD server verwijst naar de autoritatieve nameserverKeurigOnline zegtAutoritatieve nameserverEen autoritatieve nameserver bevat de officiële DNS-records voor een domein en geeft definitieve antwoorden. van voorbeeld.nl
7. Antwoord — De autoritatieve server stuurt het IP-adres (bijv. 93.184.216.34) terug
8. Response naar client — De resolver cachet het antwoord en stuurt het naar je browser

Dit hele proces duurt typisch 20-120ms, afhankelijk van je locatie en of er al gecachte data beschikbaar is.

Root servers: de top van de DNS-hiërarchie

De 13 root server clusters vormen de absolute top van de DNS-boom. Ondanks de naam "13" zijn er via anycastKeurigOnline zegtAnycastAnycast is een netwerktechniek waarbij meerdere servers hetzelfde IP-adres delen en verkeer naar de dichtstbijzijnde server wordt gerouteerd. honderden fysieke servers wereldwijd verspreid. Voor Nederlandse gebruikers is de dichtstbijzijnde root serverKeurigOnline zegtRoot serverRoot servers zijn de 13 server-clusters aan de top van de DNS-hiërarchie die verwijzen naar TLD-nameservers. vaak in Amsterdam (AMS-IX).

TLD nameservers voor .nl, .com en .be

Na de root servers wijzen de TLD nameservers de weg naar specifieke domeinen:

• .nl domeinen — Beheerd door SIDN (Stichting Internet Domeinregistratie Nederland)
• .com domeinen — Beheerd door VeriSign
• .be domeinen — Beheerd door DNS Belgium

SIDN verwerkt dagelijks meer dan 2 miljard DNS queries voor de 6+ miljoen geregistreerde .nl domeinen. Meer over hoe domeinnamen en TLDs werken lees je in ons artikel Hoe domeinnamen werken.

Glue records: het kip-ei probleem oplossen

Stel je hebt het domein voorbeeld.nl en je wilt ns1.voorbeeld.nl als nameserver gebruiken. Maar om het IP van ns1.voorbeeld.nl te vinden, moet je eerst voorbeeld.nl opvragen — een circulaire afhankelijkheid.

Wanneer zijn glue records nodig?

Glue records zijn verplicht wanneer:

• Je nameserver een subdomeinKeurigOnline zegtSubdomeinEen subdomein is een extra voorvoegsel voor je domeinnaam, zoals blog.voorbeeld.nl of shop.voorbeeld.nl. is van het domein zelf (bijv. ns1.voorbeeld.nl voor voorbeeld.nl)
• Je zelf-hosted nameservers gebruikt in plaats van die van je provider

Glue records zijn niet nodig wanneer:

• Je externe nameservers gebruikt (bijv. ns1.transip.nl voor jouw domein)
• Je Cloudflare of vergelijkbare DNS-services gebruikt

Glue records beheren bij SIDN

Voor .nl domeinen worden glue records beheerd via je registrar (zoals TransIP, Hostnet, of KeurigOnline). In je domeinbeheer zie je typisch een optie voor "Host records" of "Nameserver IP". Dit is waar je glue records configureert.

; Voorbeeld glue records voor voorbeeld.nl
voorbeeld.nl.    IN    NS    ns1.voorbeeld.nl.
voorbeeld.nl.    IN    NS    ns2.voorbeeld.nl.

; Glue records (bij de TLD opgeslagen)
ns1.voorbeeld.nl.    IN    A    203.0.113.1
ns2.voorbeeld.nl.    IN    A    203.0.113.2

DNS caching: snelheid door slim opslaan

Zonder DNS caching zou elke website die je bezoekt de volledige 8-stappen lookup vereisen. Caching slaat DNS-antwoorden tijdelijk op, waardoor herhaalde requests direct beantwoord kunnen worden.

De 4 cache-lagen

DNS-antwoorden worden op meerdere niveaus gecachet:

1. Browser cache — Chrome, Firefox en Edge houden hun eigen DNS cacheKeurigOnline zegtCacheEen cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. bij (typisch 1 minuut)
2. OS cache — Windows, macOS en Linux cachen DNS op systeemniveau
3. Recursive resolver cache — Je ISP of publieke DNS (zoals 1.1.1.1) cachet antwoorden
4. ISP cache — Sommige ISPs hebben extra caching op netwerkniveau

TTL: Time To Live uitgelegd

De TTL (Time To Live) bepaalt hoe lang een DNS-record gecachet mag worden, in seconden. Na het verstrijken van de TTLKeurigOnline zegtTTLTTL bepaalt hoe lang DNS-informatie of cache-data geldig blijft voordat deze ververst wordt. moet de resolver opnieuw een query doen.

DNS cache legen per platform

Soms moet je de DNS cache handmatig legen, bijvoorbeeld na het wijzigen van records:

Windows 10/11

ipconfig /flushdns

macOS

sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

Linux (systemd-resolved)

sudo systemd-resolve --flush-caches

Chrome browser

Ga naar chrome://net-internals/#dns en klik op "Clear host cacheKeurigOnline zegtCacheEen cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties.".

Negative caching: NXDOMAIN onthouden

Negative cachingKeurigOnline zegtNegative cachingNegative caching slaat "niet gevonden" DNS-antwoorden (NXDOMAIN) tijdelijk op om herhaalde queries te voorkomen. is het cachen van "niet gevonden" antwoorden (NXDOMAIN). Zonder negative caching zou elke typfout of niet-bestaand subdomeinKeurigOnline zegtSubdomeinEen subdomein is een extra voorvoegsel voor je domeinnaam, zoals blog.voorbeeld.nl of shop.voorbeeld.nl. de DNS-infrastructuur overbelasten.

De TTL voor negative cachingKeurigOnline zegtNegative cachingNegative caching slaat "niet gevonden" DNS-antwoorden (NXDOMAIN) tijdelijk op om herhaalde queries te voorkomen. wordt bepaald door het SOA (Start of Authority) record, specifiek het minimum TTL veld. Typische waarden zijn 300-3600 seconden.

; SOA record met negative cache TTL
voorbeeld.nl.    IN    SOA    ns1.voorbeeld.nl. hostmaster.voorbeeld.nl. (
                        2024010101  ; Serial
                        7200        ; Refresh
                        3600        ; Retry
                        1209600     ; Expire
                        3600        ; Negative cache TTL
                        )

Het DNS protocol: verrassend eenvoudig

Het DNS protocol (gedefinieerd in RFC 1035 uit 1987) is verrassend eenvoudig gebleven ondanks decennia van uitbreidingen. Een DNS message bestaat uit vijf secties:

1. Header — 12 bytes met flags, query ID, en counters
2. Question — De daadwerkelijke vraag (welk domein, welk type record)
3. Answer — De antwoord-records
4. Authority — Verwijzingen naar autoritatieve nameserversKeurigOnline zegtNameserversNameservers zijn DNS-servers die domeinnamen omzetten naar IP-adressen en internetverkeer naar de juiste servers leiden.
5. Additional — Extra informatie (zoals glue records)

UDP versus TCP: wanneer wat?

DNS gebruikt traditioneel UDP port 53 voor queries, maar schakelt over naar TCP in specifieke situaties:

• Response > 512 bytes — TCP voor grote antwoorden (of met EDNSKeurigOnline zegtEDNSEDNS (Extension Mechanisms for DNS) is een protocoluitbreiding die de 512-byte limiet van DNS opheft voor moderne functionaliteit. tot 4096 bytes via UDP)
• Zone transfers (AXFR/IXFR) — Altijd TCP voor het synchroniseren van DNS zones
• Truncated response — Als een UDP-antwoord te groot is, wordt de TC-flag gezet en moet de client TCP proberen

EDNS: DNS uitbreiden voor de moderne tijd

EDNS (Extension Mechanisms for DNS, RFC 6891) breidt het originele DNS protocol uit om moderne features te ondersteunen:

EDNSKeurigOnline zegtEDNSEDNS (Extension Mechanisms for DNS) is een protocoluitbreiding die de 512-byte limiet van DNS opheft voor moderne functionaliteit. voegt een OPT pseudo-record toe aan de Additional sectie met:

• UDP payload size — Geeft aan hoeveel bytes de client kan ontvangen via UDP (bijv. 4096)
• Extended RCODE — Meer foutcodes dan de originele 4-bit RCODE
• DNSSECKeurigOnline zegtDNSSECDNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. OK (DO) flag — Geeft aan dat de client DNSSEC-antwoorden wil
• Client Subnet (ECS) — Stuurt een deel van het client IP mee voor geo-based DNS

Transport protocollen: van UDP tot DoQ

Traditionele DNS via UDP is snel maar onversleuteld — je ISP (en anderen) kunnen zien welke websites je bezoekt. Moderne encrypted DNS protocollen lossen dit privacyprobleem op.

DNS over HTTPS (DoH) instellen

DoH verpakt DNS queries in HTTPS-verkeer, waardoor ze niet te onderscheiden zijn van normaal webverkeer. Dit maakt het moeilijker voor ISPs om DNS te blokkeren of monitoren.

DoH inschakelen in Firefox

1. Ga naar Instellingen → Privacy & Beveiliging
2. Scroll naar DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. via HTTPS
3. Selecteer Maximale bescherming
4. Kies een provider (Cloudflare, NextDNS, of custom)

DoH inschakelen in Chrome

1. Ga naar Instellingen → Privacy en beveiliging → Beveiliging
2. Schakel Beveiligde DNS gebruiken in
3. Kies Met en selecteer Cloudflare, Google, of custom

DoH inschakelen in Windows 11

1. Open Instellingen → Netwerk en internet → Wi-Fi (of Ethernet)
2. Klik op je verbinding en dan Hardwaraeigenschappen
3. Bij DNS-servertoewijzing klik Bewerken
4. Stel handmatig in: 1.1.1.1 (Cloudflare) of 8.8.8.8 (Google)
5. Schakel DNS via HTTPS in (optie verschijnt automatisch voor ondersteunde servers)

DNS over TLS (DoT) instellen op Android

Android 9+ ondersteunt Private DNS (DoTKeurigOnline zegtDoTDNS over TLS (DoT) versleutelt DNS-verkeer via TLS op poort 853, waardoor afluisteren wordt voorkomen.) native:

1. Ga naar Instellingen → Netwerk en internet → Privé-DNS
2. Selecteer Hostnaam van privé-DNS-provider
3. Voer in: one.one.one.one (Cloudflare) of dns.google (Google)

Oblivious DoH: extra privacy

Oblivious DoHKeurigOnline zegtOblivious DoHOblivious DoH (ODoH) routeert DNS-queries via een proxy, zodat de provider je query ziet maar niet je IP-adres. (ODoH) voegt een extra laag privacy toe door queries via een proxy te routeren. De DNS-provider ziet je query maar niet je IP; de proxy ziet je IP maar niet je query. Apple en Cloudflare ondersteunen ODoH in hun iCloud Private Relay service.

Publieke DNS resolvers vergeleken

De keuze voor een publieke DNS resolver in plaats van je ISP's DNS kan snelheid, privacy en beveiliging verbeteren. Hier zijn de populairste opties voor Nederlandse gebruikers:

*Snelheid gemeten vanuit Nederland. Bron: dnsperf.com

Speciale varianten

• Cloudflare 1.1.1.2 — Blokkeert malware
• Cloudflare 1.1.1.3 — Blokkeert malware + adult content
• Quad9 9.9.9.11 — Geen DNSSEC validatie (voor debugging)
• Google 8.8.8.8 + DoH — Via https://dns.google/dns-query

Waarom niet je ISP DNS?

Nederlandse ISPs (Ziggo, KPN, Odido) bieden hun eigen DNS servers. Nadelen kunnen zijn:

• Tragere updates — ISP caches kunnen langer vasthouden aan oude records
• Geen DoH/DoT — De meeste ISP DNS servers ondersteunen geen encrypted DNS
• Logging — Je surfgedrag kan worden gelogd voor marketing of compliance
• DNS hijacking — Sommige ISPs redirecten NXDOMAIN naar eigen zoekpagina's

DDNS: dynamisch IP, vaste domeinnaam

De meeste Nederlandse huishoudens krijgen een dynamisch IP-adres van hun ISP — het adres verandert periodiek. Dit is problematisch als je een thuisserver, NAS, of beveiligingscamera extern bereikbaar wilt maken.

Twee methoden voor DDNS

1. Client-update methode — Software op je apparaat (router, NAS, PC) detecteert IP-wijzigingen en stuurt een HTTPKeurigOnline zegtHTTPHTTP (HyperText Transfer Protocol) is het protocol dat de communicatie tussen webclients en servers mogelijk maakt.-request naar de DDNS-provider
2. DNS UPDATE protocol (RFC 2136) — Direct updates naar een DNS server via het standaard DNS protocol, vaak met TSIG authenticatie

Populaire DDNS-providers

DDNS instellen op je router

De meeste moderne routers (ASUS, Synology, FRITZ!Box) hebben ingebouwde DDNS-ondersteuning:

ASUS router

1. Ga naar WAN → DDNS
2. Schakel Enable DDNS Client in
3. Kies je provider (ASUS biedt gratis asuscomm.com subdomeinen)
4. Voer je gegevens in en sla op

Synology NAS

1. Open Control Panel → External Access → DDNS
2. Klik Add
3. Kies Synology (gratis .synology.me) of externe provider
4. Configureer en test de verbinding

Dynamische DNS responses: load balancing via DNS

DNS kan meer dan alleen statische IP-adressen teruggeven. Met dynamische DNS responses kun je verkeer verdelen, failover implementeren, of verschillende antwoorden geven op basis van locatie.

Round-robin DNS

Round-robin DNSKeurigOnline zegtRound-robin DNSRound-robin DNS verdeelt verkeer over meerdere servers door de volgorde van A-records te roteren bij elke query. is de eenvoudigste vorm van DNS-gebaseerde load balancingKeurigOnline zegtLoad balancingLoad balancing verdeelt verkeer over meerdere servers voor betere prestaties en betrouwbaarheid.: je configureert meerdere A-records voor hetzelfde domein, en DNS servers roteren de volgorde bij elke query.

; Round-robin configuratie
www.voorbeeld.nl.    IN    A    203.0.113.1
www.voorbeeld.nl.    IN    A    203.0.113.2
www.voorbeeld.nl.    IN    A    203.0.113.3

Voordelen: Eenvoudig, geen extra software nodig

Nadelen: Geen health checks — dode servers krijgen nog steeds verkeer

Weighted round-robin

Met weighted round-robin kun je servers een gewicht geven. Een server met gewicht 2 krijgt twee keer zoveel verkeer als een server met gewicht 1. Dit is handig wanneer servers verschillende capaciteiten hebben.

Fewest connections

Fewest connections load balancingKeurigOnline zegtLoad balancingLoad balancing verdeelt verkeer over meerdere servers voor betere prestaties en betrouwbaarheid. stuurt nieuwe requests naar de server met de minste actieve verbindingen. Dit vereist een intelligente load balancer (niet puur DNS-gebaseerd).

Geografische load balancing (GeoDNS)

GeoDNSKeurigOnline zegtGeoDNSGeoDNS geeft verschillende IP-adressen terug op basis van de geografische locatie van de gebruiker. geeft verschillende IP-adressen terug op basis van de geografische locatie van de gebruiker. Een Nederlandse gebruiker krijgt een Amsterdamse server, een Duitse gebruiker een Frankfurtse.

Providers die GeoDNSKeurigOnline zegtGeoDNSGeoDNS geeft verschillende IP-adressen terug op basis van de geografische locatie van de gebruiker. ondersteunen:

• Cloudflare Load Balancing
• AWS Route 53
• Google Cloud DNS

Split-horizon DNS (split-brain)

Split-horizon DNSKeurigOnline zegtSplit-horizon DNSSplit-horizon DNS geeft verschillende antwoorden afhankelijk van of een query intern of extern komt. geeft verschillende antwoorden afhankelijk van waar de query vandaan komt. Typisch gebruik: interne gebruikers krijgen private IP-adressen, externe gebruikers krijgen publieke IPs.

Voorbeeld:

• Intern netwerk vraagt mail.bedrijf.nl → krijgt 192.168.1.10
• Extern netwerk vraagt mail.bedrijf.nl → krijgt 203.0.113.10

Veelgestelde vragen over DNS in de praktijk

Conclusie: DNS optimaliseren voor je website

DNS is veel meer dan alleen het vertalen van domeinnamen naar IP-adressen. Door te begrijpen hoe recursieve queries werken, kun je betere TTL-waardes kiezen. Door DNS caching te begrijpen, weet je waarom wijzigingen tijd kosten. En door DoH of DoT te gebruiken, bescherm je je privacy tegen afluisteren.

De belangrijkste takeaways:

• Kies een snelle, privacy-vriendelijke DNS resolverKeurigOnline zegtDNS resolverEen DNS resolver is een server die domeinnamen vertaalt naar IP-adressen voor je internetverbinding. — Cloudflare 1.1.1.1 of dns0.eu zijn uitstekende opties voor Nederlandse gebruikers
• Stel realistische TTLKeurigOnline zegtTTLTTL bepaalt hoe lang DNS-informatie of cache-data geldig blijft voordat deze ververst wordt.-waardes in — 3600 seconden voor normale records, 300 voor dynamische
• Gebruik encrypted DNS — DoH in je browser, DoT op je telefoon
• DDNS voor thuisservers — Cloudflare APIKeurigOnline zegtAPIEen API (Application Programming Interface) is een set regels en protocollen waarmee softwareapplicaties met elkaar kunnen communiceren en gegevens uitwisselen. of DuckDNS voor .nl domeinen

Heb je vragen over DNS-configuratie voor je .nl, .com of .be domein? Neem contact op met ons — we helpen je graag met het optimaliseren van je DNS-infrastructuur. Bekijk ook onze LiteSpeed Cache instellingen voor nog meer snelheidswinst.

Bronnen en referenties

Dit artikel is gebaseerd op officiële documentatie en gerenommeerde bronnen:

• IETF RFC 1035 (1987) — Domain Names - Implementation and Specification: De originele DNS-specificatie
• IETF RFC 8484 (2018) — DNS Queries over HTTPS (DoH): De DoHKeurigOnline zegtDoHDNS over HTTPS (DoH) versleutelt DNS-verzoeken via het HTTPS-protocol, waardoor je surfgedrag privé blijft.-standaard
• IETF RFC 7858 (2016) — DNS over Transport Layer Security (DoT): De DoTKeurigOnline zegtDoTDNS over TLS (DoT) versleutelt DNS-verkeer via TLS op poort 853, waardoor afluisteren wordt voorkomen.-standaard
• IETF RFC 6891 (2013) — Extension Mechanisms for DNS (EDNS): EDNS0-specificatie
• Cloudflare (2025) — What is DNS?: Educatieve DNS-documentatie
• SIDNKeurigOnline zegtSIDNSIDN beheert als officiële registry alle .nl-domeinnamen in Nederland sinds 1996. — Stichting Internet Domeinregistratie Nederland: Beheerder van .nl domeinen
• DNSPerf (2025) — DNS Speed Test: Prestatiemetingen van publieke DNSKeurigOnline zegtDNSHet Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. resolvers