--- title: "Geavanceerde DNS: van caching tot split-horizon en DDNS" description: "Leer alles over geavanceerde DNS: caching & TTL optimalisatie, DDNS instellen, DoH/DoT privacy, public resolvers en split-horizon DNS voor .nl domeinen." canonical: https://www.keurigonline.nl/blog/geavanceerde-dns-configuratie last_modified: 2025-10-27 --- Op deze pagina ## Op deze pagina 1. [Blog](https://www.keurigonline.nl/blog) 2. [DNS](https://www.keurigonline.nl/blog/categorie/dns) # Geavanceerde DNS: van caching tot split-horizon en DDNS Leer alles over geavanceerde DNS: caching & TTL optimalisatie, DDNS instellen, DoH/DoT privacy, public resolvers en split-horizon DNS voor .nl domeinen. - Maarten Keizer - 10 december 2025 - 15 min lezen Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](https://x.com/intent/post?text=Geavanceerde+DNS%3A+van+caching+tot+split-horizon+en+DDNS&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](mailto:?subject=Geavanceerde%20DNS%3A%20van%20caching%20tot%20split-horizon%20en%20DDNS&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) Op deze pagina **Samenvatting: DNS in de praktijk** DNS caching versnelt je internet met 50-100ms per request door resultaten tijdelijk op te slaan. De `TTL`-waarde bepaalt hoe lang: standaard 300-3600 seconden voor dynamische records, tot 86400 seconden voor stabiele records. **Cloudflare DNS** (1.1.1.1) is momenteel de snelste publieke DNS resolver met ~11ms gemiddelde responstijd. Voor privacy kun je **DNS over HTTPS** (DoH) of **DNS over TLS** (DoT) gebruiken om je DNS-verkeer te versleutelen. Met **DDNS** koppel je een dynamisch IP-adres aan een vaste domeinnaam — ideaal voor thuisservers. Je kent DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. misschien als het "telefoonboek van het internet" — maar hoe werkt een **DNS server** eigenlijk achter de schermen? In ons [artikel over DNS-basisprincipes](../../../blog/hoe-dns-werkt) legden we uit wat DNS is en hoe het je domeinnaamKeurigOnline zegt [Domeinnaam](https://www.keurigonline.nl/begrippenlijst/domeinnaam)Een domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. vertaalt naar een IP-adresKeurigOnline zegt [IP-adres](https://www.keurigonline.nl/begrippenlijst/ip-adres)Een IP-adres (Internet Protocol-adres) is het nummer waarmee een apparaat op een netwerk of internet bereikbaar is. . Nu gaan we dieper: wanneer je `keurigonline.nl` intypt, doorloopt je browser een complex proces van **recursieve queries**, **DNS caching** en protocol-keuzes voordat de pagina laadt. In dit artikel duiken we diep in de operationele kant van DNS. Je leert hoe DNS queries worden verwerkt, waarom `TTL`-waardes cruciaal zijn voor prestaties, welke publieke DNS resolvers het snelst zijn, en hoe je met **DDNS** en **DoHKeurigOnline zegt [DoH](https://www.keurigonline.nl/begrippenlijst/doh)DoH (DNS over HTTPS) is een protocol dat DNS-verzoeken versleuteld via HTTPS verstuurt, zodat anderen niet meekijken.** je DNS-infrastructuur naar een hoger niveau tilt. Of je nu een .nl, .com of .be domein beheert — deze kennis helpt je betere keuzes maken. **Definitie:** **Operationele DNS** omvat alle runtime-aspecten van het Domain Name System: hoe queries worden verwerkt, gecachet en beveiligd terwijl gebruikers websites bezoeken. Dit in tegenstelling tot DNS-configuratie, dat zich richt op het instellen van records zoals A, CNAME en MX. Bekijk ons [overzicht van DNS-records](../../../blog/dns-records) voor meer over configuratie. ## Recursieve DNS queries: hoe een lookup werkt Wanneer je browser een domein opvraagt, start een keten van **DNS queries** die binnen milliseconden resultaat moet opleveren. Er zijn twee soorten DNS queries: **recursieve** en **iteratieve**. Als eindgebruiker gebruik je bijna altijd recursieve queries. **Definitie:** Een **recursieve DNS query** is een verzoek waarbij de DNS resolver het volledige werk doet: hij doorzoekt de DNS-hiërarchie totdat hij het definitieve antwoord vindt, en stuurt alleen dat eindresultaat terug naar de client. ### De 8 stappen van een DNS lookup Stel je typt `www.voorbeeld.nl` in je browser. Dit gebeurt er: 1. **Browser cacheKeurigOnline zegt [Cache](https://www.keurigonline.nl/begrippenlijst/cache)Een cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. check** — Je browser controleert eerst zijn eigen DNS cache 2. **OS cache check** — Daarna controleert je besturingssysteem (Windows, macOS, Linux) de lokale DNS cache 3. **Query naar recursive resolver** — Geen cache hit? De query gaat naar je **DNS resolverKeurigOnline zegt [DNS resolver](https://www.keurigonline.nl/begrippenlijst/dns-resolver)Een DNS resolver is een server die voor jouw apparaat opzoekt welk IP-adres bij een domeinnaam hoort.** (bijv. je ISPKeurigOnline zegt [ISP](https://www.keurigonline.nl/begrippenlijst/isp)Een ISP (Internet Service Provider) is de aanbieder van jouw internetverbinding. of CloudflareKeurigOnline zegt [Cloudflare](https://www.keurigonline.nl/begrippenlijst/cloudflare)Cloudflare is een Amerikaans bedrijf dat als reverse proxy vóór websites staat en DNS, een CDN en beveiliging levert. 1.1.1.1) 4. **Root serverKeurigOnline zegt [Root server](https://www.keurigonline.nl/begrippenlijst/root-server)Een root server is een nameserver aan de top van DNS die verwijst naar de nameservers van topleveldomeinen zoals .nl. query** — De resolver vraagt een van de 13 **root server clusters** (a.root-servers.net t/m m.root-servers.net) waar .nl te vinden is 5. **TLD nameserverKeurigOnline zegt [TLD nameserver](https://www.keurigonline.nl/begrippenlijst/tld-nameserver)Een TLD nameserver is de nameserver van een topleveldomein (TLD) zoals .nl en verwijst naar de nameservers per domein. query** — De root server verwijst naar de **TLD nameserversKeurigOnline zegt [Nameservers](https://www.keurigonline.nl/begrippenlijst/nameservers)Nameservers zijn DNS-servers die domeinnamen omzetten naar IP-adressen en internetverkeer naar de juiste servers leiden.** voor .nl (beheerd door SIDNKeurigOnline zegt [SIDN](https://www.keurigonline.nl/begrippenlijst/sidn)SIDN beheert als officiële registry alle .nl-domeinnamen in Nederland sinds 1996. ) 6. **Autoritatieve nameserverKeurigOnline zegt [Autoritatieve nameserver](https://www.keurigonline.nl/begrippenlijst/autoritatieve-nameserver)Een autoritatieve nameserver bevat de officiële DNS-records voor een domein en geeft definitieve antwoorden. query** — De TLD server verwijst naar de **autoritatieve nameserverKeurigOnline zegt [Autoritatieve nameserver](https://www.keurigonline.nl/begrippenlijst/autoritatieve-nameserver)Een autoritatieve nameserver bevat de officiële DNS-records voor een domein en geeft definitieve antwoorden.** van voorbeeld.nl 7. **Antwoord** — De autoritatieve server stuurt het IP-adres (bijv. `93.184.216.34`) terug 8. **Response naar client** — De resolver cachet het antwoord en stuurt het naar je browser Dit hele proces duurt typisch 20-120ms, afhankelijk van je locatie en of er al gecachte data beschikbaar is. Het recursieve DNS lookup proces in 8 stappen ### Root servers: de top van de DNS-hiërarchie De 13 **root server clusters** vormen de absolute top van de DNS-boom. Ondanks de naam "13" zijn er via **anycastKeurigOnline zegt [Anycast](https://www.keurigonline.nl/begrippenlijst/anycast)Anycast is een netwerktechniek waarbij meerdere servers één IP-adres delen en je bij de dichtstbijzijnde uitkomt.** honderden fysieke servers wereldwijd verspreid. Voor Nederlandse gebruikers is de dichtstbijzijnde root serverKeurigOnline zegt [Root server](https://www.keurigonline.nl/begrippenlijst/root-server)Een root server is een nameserver aan de top van DNS die verwijst naar de nameservers van topleveldomeinen zoals .nl. vaak in Amsterdam (AMS-IX). | Server | Beheerder | Locaties | |---|---|---| | `a.root-servers.net` | VeriSign | Wereldwijd | | `k.root-servers.net` | RIPE NCC | Europa (incl. Amsterdam) | ### TLD nameservers voor .nl, .com en .be Na de root servers wijzen de **TLD nameservers** de weg naar specifieke domeinen: - **.nl domeinen** — Beheerd door [SIDN](https://www.sidn.nl/) (Stichting Internet Domeinregistratie Nederland) - **.com domeinen** — Beheerd door VeriSign - **.be domeinen** — Beheerd door [DNS Belgium](https://www.dnsbelgium.be/) SIDN verwerkt dagelijks meer dan 2 miljard DNS queries voor de 6+ miljoen geregistreerde .nl domeinen. Meer over hoe domeinnamen en TLDs werken lees je in ons artikel [Hoe domeinnamen werken](../../../blog/hoe-domeinnamen-werken). ## Glue records: het kip-ei probleem oplossen Stel je hebt het domein `voorbeeld.nl` en je wilt `ns1.voorbeeld.nl` als nameserver gebruiken. Maar om het IP van `ns1.voorbeeld.nl` te vinden, moet je eerst `voorbeeld.nl` opvragen — een **circulaire afhankelijkheid**. **Definitie:** Een **glue record** is een A-record dat direct bij de TLD nameserver wordt opgeslagen om circulaire afhankelijkheden te doorbreken. Het bevat het IP-adres van een nameserver die zich binnen hetzelfde domein bevindt als het domein dat hij bedient. ### Wanneer zijn glue records nodig? Glue records zijn **verplicht** wanneer: - Je nameserver een subdomeinKeurigOnline zegt [Subdomein](https://www.keurigonline.nl/begrippenlijst/subdomein)Een subdomein is een extra naam vóór je domeinnaam, zoals blog.jouwdomein.nl of shop.jouwdomein.nl. is van het domein zelf (bijv. `ns1.voorbeeld.nl` voor `voorbeeld.nl`) - Je zelf-hosted nameservers gebruikt in plaats van die van je provider Glue records zijn **niet nodig** wanneer: - Je externe nameservers gebruikt (bijv. `ns1.transip.nl` voor jouw domein) - Je Cloudflare of vergelijkbare DNS-services gebruikt ### Glue records beheren bij SIDN Voor .nl domeinen worden glue records beheerd via je **registrarKeurigOnline zegt [Registrar](https://www.keurigonline.nl/begrippenlijst/registrar)Een registrar is een bedrijf dat namens jou domeinnamen registreert bij de registry, zoals SIDN voor .nl.** (zoals TransIP, Hostnet, of KeurigOnline). In je domeinbeheer zie je typisch een optie voor "Host records" of "Nameserver IP". Dit is waar je glue records configureert. ``` ; Voorbeeld glue records voor voorbeeld.nl voorbeeld.nl. IN NS ns1.voorbeeld.nl. voorbeeld.nl. IN NS ns2.voorbeeld.nl. ; Glue records (bij de TLD opgeslagen) ns1.voorbeeld.nl. IN A 203.0.113.1 ns2.voorbeeld.nl. IN A 203.0.113.2 ``` ## DNS caching: snelheid door slim opslaan Zonder **DNS caching** zou elke website die je bezoekt de volledige 8-stappen lookup vereisen. Caching slaat DNS-antwoorden tijdelijk op, waardoor herhaalde requests direct beantwoord kunnen worden. ### De 4 cache-lagen DNS-antwoorden worden op meerdere niveaus gecachet: 1. **Browser cache** — Chrome, Firefox en Edge houden hun eigen DNS cacheKeurigOnline zegt [Cache](https://www.keurigonline.nl/begrippenlijst/cache)Een cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. bij (typisch 1 minuut) 2. **OS cache** — Windows, macOS en Linux cachen DNS op systeemniveau 3. **Recursive resolver cache** — Je ISP of publieke DNS (zoals 1.1.1.1) cachet antwoorden 4. **ISP cache** — Sommige ISPs hebben extra caching op netwerkniveau DNS caching vindt plaats op meerdere niveaus ### TTL: Time To Live uitgelegd De `TTL` (Time To Live) bepaalt hoe lang een DNS-record gecachet mag worden, in seconden. Na het verstrijken van de TTLKeurigOnline zegt [TTL](https://www.keurigonline.nl/begrippenlijst/ttl)TTL (Time To Live) is een waarde die aangeeft hoe lang data geldig blijft, zoals een DNS-record in een cache. moet de resolver opnieuw een query doen. **Definitie:** **TTL** (Time To Live) is een waarde in seconden die aangeeft hoe lang een DNS-record geldig blijft in caches. Een hogere TTL vermindert DNS-verkeer maar vertraagt wijzigingen; een lagere TTL maakt snellere updates mogelijk maar verhoogt de belasting. | TTL (seconden) | Duur | Geschikt voor | |---|---|---| | `300` | 5 minuten | Dynamische records, DDNS, failover | | `3600` | 1 uur | Standaard websites, goede balans | | `86400` | 1 dag | Stabiele records, MX, nameservers | | `604800` | 1 week | Nameserver records (NS) | ### DNS cache legen per platform Soms moet je de DNS cache handmatig legen, bijvoorbeeld na het wijzigen van records: #### Windows 10/11 ``` ipconfig /flushdns ``` #### macOS ``` sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder ``` #### Linux (systemd-resolved) ``` sudo systemd-resolve --flush-caches ``` #### Chrome browser Ga naar `chrome://net-internals/#dns` en klik op "Clear host cacheKeurigOnline zegt [Cache](https://www.keurigonline.nl/begrippenlijst/cache)Een cache is een tijdelijke opslaglaag die veelgebruikte gegevens bewaart voor snellere toegang en betere prestaties. ". ### Negative caching: NXDOMAIN onthouden **Negative cachingKeurigOnline zegt [Negative caching](https://www.keurigonline.nl/begrippenlijst/negative-caching)Negative caching slaat "niet gevonden" DNS-antwoorden (NXDOMAIN) tijdelijk op om herhaalde queries te voorkomen.** is het cachen van "niet gevonden" antwoorden (`NXDOMAIN`). Zonder negative caching zou elke typfout of niet-bestaand subdomeinKeurigOnline zegt [Subdomein](https://www.keurigonline.nl/begrippenlijst/subdomein)Een subdomein is een extra naam vóór je domeinnaam, zoals blog.jouwdomein.nl of shop.jouwdomein.nl. de DNS-infrastructuur overbelasten. De TTL voor negative cachingKeurigOnline zegt [Negative caching](https://www.keurigonline.nl/begrippenlijst/negative-caching)Negative caching slaat "niet gevonden" DNS-antwoorden (NXDOMAIN) tijdelijk op om herhaalde queries te voorkomen. wordt bepaald door het `SOA` (Start of Authority) record, specifiek het **minimum TTL** veld. Typische waarden zijn 300-3600 seconden. ``` ; SOA record met negative cache TTL voorbeeld.nl. IN SOA ns1.voorbeeld.nl. hostmaster.voorbeeld.nl. ( 2024010101 ; Serial 7200 ; Refresh 3600 ; Retry 1209600 ; Expire 3600 ; Negative cache TTL ) ``` ## Het DNS protocol: verrassend eenvoudig Het **DNS protocol** (gedefinieerd in RFC 1035 uit 1987) is verrassend eenvoudig gebleven ondanks decennia van uitbreidingen. Een DNS message bestaat uit vijf secties: 1. **Header** — 12 bytes met flags, query ID, en counters 2. **Question** — De daadwerkelijke vraag (welk domein, welk type record) 3. **Answer** — De antwoord-records 4. **Authority** — Verwijzingen naar autoritatieve nameserversKeurigOnline zegt [Nameservers](https://www.keurigonline.nl/begrippenlijst/nameservers)Nameservers zijn DNS-servers die domeinnamen omzetten naar IP-adressen en internetverkeer naar de juiste servers leiden. 5. **Additional** — Extra informatie (zoals glue records) ### UDP versus TCP: wanneer wat? DNS gebruikt traditioneel **UDP port 53** voor queries, maar schakelt over naar **TCP** in specifieke situaties: - **Response > 512 bytes** — TCP voor grote antwoorden (of met EDNSKeurigOnline zegt [EDNS](https://www.keurigonline.nl/begrippenlijst/edns)EDNS (Extension Mechanisms for DNS) is een protocoluitbreiding die de 512-byte limiet van DNS opheft voor moderne functionaliteit. tot 4096 bytes via UDP) - **Zone transfers (AXFR/IXFR)** — Altijd TCP voor het synchroniseren van DNS zones - **Truncated response** — Als een UDP-antwoord te groot is, wordt de TC-flag gezet en moet de client TCP proberen ### EDNS: DNS uitbreiden voor de moderne tijd **EDNS** (Extension Mechanisms for DNS, RFC 6891) breidt het originele DNS protocol uit om moderne features te ondersteunen: **Definitie:** **EDNS** (Extension Mechanisms for DNS) is een uitbreiding van het DNS protocol die grotere UDP paketten (tot 4096+ bytes), extra flags, en nieuwe opties mogelijk maakt. Het is essentieel voor **DNSSEC**, client subnet (ECS), en andere moderne DNS features. EDNSKeurigOnline zegt [EDNS](https://www.keurigonline.nl/begrippenlijst/edns)EDNS (Extension Mechanisms for DNS) is een protocoluitbreiding die de 512-byte limiet van DNS opheft voor moderne functionaliteit. voegt een **OPT pseudo-record** toe aan de Additional sectie met: - **UDP payload size** — Geeft aan hoeveel bytes de client kan ontvangen via UDP (bijv. 4096) - **Extended RCODE** — Meer foutcodes dan de originele 4-bit RCODE - **DNSSECKeurigOnline zegt [DNSSEC](https://www.keurigonline.nl/begrippenlijst/dnssec)DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. OK (DO) flag** — Geeft aan dat de client DNSSEC-antwoorden wil - **Client Subnet (ECS)** — Stuurt een deel van het client IP mee voor geo-based DNS ## Transport protocollen: van UDP tot DoQ Traditionele DNS via UDP is snel maar onversleuteld — je ISP (en anderen) kunnen zien welke websites je bezoekt. Moderne **encrypted DNS** protocollen lossen dit privacyprobleem op. | Protocol | Poort | Encryptie | Standaard | |---|---|---|---| | **UDP** | 53 | Geen | RFC 1035 | | **TCP** | 53 | Geen | RFC 1035 | | **DoT** (DNS over TLS) | 853 | TLS 1.3 | RFC 7858 | | **DoH** (DNS over HTTPS) | 443 | TLS 1.3 + HTTP/2 | RFC 8484 | | **DoQ** (DNS over QUIC) | 853 | QUIC | RFC 9250 | | **DNSCrypt** | 443/5443 | X25519-XSalsa20 | Geen RFC (community) | ### DNS over HTTPS (DoH) instellen **DoH** verpakt DNS queries in HTTPSKeurigOnline zegt [HTTPS](https://www.keurigonline.nl/begrippenlijst/https)HTTPS (HyperText Transfer Protocol Secure) is HTTP over een versleutelde TLS-verbinding tussen browser en webserver. -verkeer, waardoor ze niet te onderscheiden zijn van normaal webverkeer. Dit maakt het moeilijker voor ISPs om DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. te blokkeren of monitoren. #### DoH inschakelen in Firefox 1. Ga naar **Instellingen** → **Privacy & Beveiliging** 2. Scroll naar **DNS via HTTPS** 3. Selecteer **Maximale bescherming** 4. Kies een provider (Cloudflare, NextDNS, of custom) #### DoH inschakelen in Chrome 1. Ga naar **Instellingen** → **Privacy en beveiliging** → **Beveiliging** 2. Schakel **Beveiligde DNS gebruiken** in 3. Kies **Met** en selecteer Cloudflare, Google, of custom #### DoH inschakelen in Windows 11 1. Open **Instellingen** → **Netwerk en internet** → **Wi-Fi** (of Ethernet) 2. Klik op je verbinding en dan **Hardwaraeigenschappen** 3. Bij **DNS-servertoewijzing** klik **Bewerken** 4. Stel handmatig in: `1.1.1.1` (Cloudflare) of `8.8.8.8` (Google) 5. Schakel **DNS via HTTPS** in (optie verschijnt automatisch voor ondersteunde servers) ### DNS over TLS (DoT) instellen op Android Android 9+ ondersteunt **Private DNS** (DoTKeurigOnline zegt [DoT](https://www.keurigonline.nl/begrippenlijst/dot)DoT (DNS over TLS) is een protocol dat DNS-verzoeken via een versleutelde TLS-verbinding op poort 853 verstuurt. ) native: 1. Ga naar **Instellingen** → **Netwerk en internet** → **Privé-DNS** 2. Selecteer **Hostnaam van privé-DNS-provider** 3. Voer in: `one.one.one.one` (Cloudflare) of `dns.google` (Google) ### Oblivious DoH: extra privacy **Oblivious DoHKeurigOnline zegt [Oblivious DoH](https://www.keurigonline.nl/begrippenlijst/oblivious-doh)Oblivious DoH (ODoH) stuurt versleutelde DNS-vragen via een proxy, zodat geen server zowel je IP-adres als je vraag ziet.** ## Publieke DNS resolvers vergeleken De keuze voor een **publieke DNS resolver** in plaats van je ISP's DNS kan snelheid, privacy en beveiliging verbeteren. Hier zijn de populairste opties voor Nederlandse gebruikers: | Provider | Primary | Secondary | Snelheid\* | Privacy | |---|---|---|---|---| | **Cloudflare** | `1.1.1.1` | `1.0.0.1` | ~11ms | ⭐⭐⭐ Geen logging, audit | | **Google** | `8.8.8.8` | `8.8.4.4` | ~15ms | ⭐⭐ IP gelogd 24-48u | | **Quad9** | `9.9.9.9` | `149.112.112.112` | ~18ms | ⭐⭐⭐ Swiss non-profit | | **OpenDNS** | `208.67.222.222` | `208.67.220.220` | ~22ms | ⭐⭐ Cisco-owned | | **dns0.eu** | `193.110.81.0` | `185.253.5.0` | ~12ms | ⭐⭐⭐ EU non-profit | \*Snelheid gemeten vanuit Nederland. Bron: dnsperf.com ### Speciale varianten - **Cloudflare 1.1.1.2** — Blokkeert malwareKeurigOnline zegt [Malware](https://www.keurigonline.nl/begrippenlijst/malware)Malware is kwaadaardige software die een computer, server of website besmet om gegevens te stelen, te schaden of te misbruiken. - **CloudflareKeurigOnline zegt [Cloudflare](https://www.keurigonline.nl/begrippenlijst/cloudflare)Cloudflare is een Amerikaans bedrijf dat als reverse proxy vóór websites staat en DNS, een CDN en beveiliging levert. 1.1.1.3** — Blokkeert malwareKeurigOnline zegt [Malware](https://www.keurigonline.nl/begrippenlijst/malware)Malware is kwaadaardige software die een computer, server of website besmet om gegevens te stelen, te schaden of te misbruiken. + adult content - **Quad9 9.9.9.11** — Geen DNSSEC validatie (voor debugging) - **Google 8.8.8.8** + DoH — Via `https://dns.google/dns-query` ### Waarom niet je ISP DNS? Nederlandse ISPs (Ziggo, KPN, Odido) bieden hun eigen DNS servers. Nadelen kunnen zijn: - **Tragere updates** — ISP caches kunnen langer vasthouden aan oude records - **Geen DoH/DoT** — De meeste ISP DNS servers ondersteunen geen encrypted DNS - **Logging** — Je surfgedrag kan worden gelogd voor marketing of compliance - **DNS hijacking** — Sommige ISPs redirecten `NXDOMAIN` naar eigen zoekpagina's ## DDNS: dynamisch IP, vaste domeinnaam De meeste Nederlandse huishoudens krijgen een **dynamisch IP-adresKeurigOnline zegt [IP-adres](https://www.keurigonline.nl/begrippenlijst/ip-adres)Een IP-adres (Internet Protocol-adres) is het nummer waarmee een apparaat op een netwerk of internet bereikbaar is.** van hun ISP — het adres verandert periodiek. Dit is problematisch als je een thuisserver, NAS, of beveiligingscamera extern bereikbaar wilt maken. **Definitie:** **DDNS** (Dynamic DNS) is een dienst die automatisch je DNS-record bijwerkt wanneer je IP-adres verandert. Hierdoor blijft je domein of subdomein altijd bereikbaar, ook met een dynamisch IP. ### Twee methoden voor DDNS 1. **Client-update methode** — Software op je apparaat (router, NAS, PC) detecteert IP-wijzigingen en stuurt een HTTPKeurigOnline zegt [HTTP](https://www.keurigonline.nl/begrippenlijst/http)HTTP (HyperText Transfer Protocol) is het protocol dat de communicatie tussen webclients en servers mogelijk maakt. -request naar de DDNS-provider 2. **DNS UPDATE protocol** (RFC 2136) — Direct updates naar een DNS server via het standaard DNS protocol, vaak met TSIG authenticatie ### Populaire DDNS-providers | Provider | Gratis? | Eigen domein? | Update interval | |---|---|---|---| | **[No-IP](https://www.noip.com/)** | 1 gratis subdomain | Ja (betaald) | 5 min | | **[DuckDNS](https://www.duckdns.org/)** | Onbeperkt gratis | Nee | 5 min | | **[Cloudflare](https://www.cloudflare.com/)** | Gratis (via API) | Ja (eigen domein vereist) | 1 min | | **[Dynu](https://www.dynu.com/)** | Gratis | Ja (gratis) | 2 min | ### DDNS instellen op je router De meeste moderne routers (ASUS, Synology, FRITZ!Box) hebben ingebouwde DDNS-ondersteuning: #### ASUS router 1. Ga naar **WAN** → **DDNS** 2. Schakel **Enable DDNS Client** in 3. Kies je provider (ASUS biedt gratis `asuscomm.com` subdomeinen) 4. Voer je gegevens in en slaKeurigOnline zegt [SLA](https://www.keurigonline.nl/begrippenlijst/sla)Een SLA (service level agreement) is een contractuele afspraak over de kwaliteit en beschikbaarheid van een dienst. op #### Synology NAS 1. Open **Control Panel** → **External Access** → **DDNS** 2. Klik **Add** 3. Kies Synology (gratis `.synology.me`) of externe provider 4. Configureer en test de verbinding ## Dynamische DNS responses: load balancing via DNS DNS kan meer dan alleen statische IP-adressen teruggeven. Met **dynamische DNS responses** kun je verkeer verdelen, failover implementeren, of verschillende antwoorden geven op basis van locatie. ### Round-robin DNS **Round-robin DNSKeurigOnline zegt [Round-robin DNS](https://www.keurigonline.nl/begrippenlijst/round-robin-dns)Round-robin DNS verdeelt verkeer over meerdere servers door de volgorde van A-records te roteren bij elke query.** is de eenvoudigste vorm van DNS-gebaseerde load balancingKeurigOnline zegt [Load balancing](https://www.keurigonline.nl/begrippenlijst/load-balancing)Load balancing verdeelt verkeer over meerdere servers voor betere prestaties en betrouwbaarheid. : je configureert meerdere A-records voor hetzelfde domein, en DNS servers roteren de volgorde bij elke query. ``` ; Round-robin configuratie www.voorbeeld.nl. IN A 203.0.113.1 www.voorbeeld.nl. IN A 203.0.113.2 www.voorbeeld.nl. IN A 203.0.113.3 ``` **Voordelen:** Eenvoudig, geen extra software nodig **Nadelen:** Geen health checks — dode servers krijgen nog steeds verkeer ### Weighted round-robin Met **weighted round-robin** kun je servers een gewicht geven. Een server met gewicht 2 krijgt twee keer zoveel verkeer als een server met gewicht 1. Dit is handig wanneer servers verschillende capaciteiten hebben. ### Fewest connections **Fewest connections** load balancingKeurigOnline zegt [Load balancing](https://www.keurigonline.nl/begrippenlijst/load-balancing)Load balancing verdeelt verkeer over meerdere servers voor betere prestaties en betrouwbaarheid. stuurt nieuwe requests naar de server met de minste actieve verbindingen. Dit vereist een intelligente load balancer (niet puur DNS-gebaseerd). ### Geografische load balancing (GeoDNS) **GeoDNSKeurigOnline zegt [GeoDNS](https://www.keurigonline.nl/begrippenlijst/geodns)GeoDNS geeft verschillende IP-adressen terug op basis van de geografische locatie van de gebruiker.** geeft verschillende IP-adressen terug op basis van de geografische locatie van de gebruiker. Een Nederlandse gebruiker krijgt een Amsterdamse server, een Duitse gebruiker een Frankfurtse. Providers die GeoDNSKeurigOnline zegt [GeoDNS](https://www.keurigonline.nl/begrippenlijst/geodns)GeoDNS geeft verschillende IP-adressen terug op basis van de geografische locatie van de gebruiker. ondersteunen: - [Cloudflare Load Balancing](https://www.cloudflare.com/load-balancing/) - [AWS Route 53](https://aws.amazon.com/route53/) - [Google Cloud DNS](https://cloud.google.com/dns/docs/zones) ### Split-horizon DNS (split-brain) **Split-horizon DNSKeurigOnline zegt [Split-horizon DNS](https://www.keurigonline.nl/begrippenlijst/split-horizon-dns)Split-horizon DNS is een DNS-opzet die een ander antwoord geeft op een vraag van binnen een netwerk dan van buiten.** geeft verschillende antwoorden afhankelijk van waar de query vandaan komt. Typisch gebruik: interne gebruikers krijgen private IP-adressen, externe gebruikers krijgen publieke IPs. **Definitie:** **Split-horizon DNS** (ook wel split-brain DNS) is een configuratie waarbij een DNS server verschillende antwoorden geeft op basis van de bron van de query. Dit wordt gebruikt om interne en externe toegang te scheiden zonder aparte domeinnamen. **Voorbeeld:** - Intern netwerk vraagt `mail.bedrijf.nl` → krijgt `192.168.1.10` - Extern netwerk vraagt `mail.bedrijf.nl` → krijgt `203.0.113.10` ## Veelgestelde vragen over DNS in de praktijk ### Hoe lang duurt DNS propagatie? DNS propagatie hangt af van je TTL-instellingen. Met een TTL van 3600 seconden (1 uur) zie je wijzigingen binnen 1-2 uur bij de meeste gebruikers. De vaak genoemde "24-48 uur" is een worst-case scenario voor zeer hoge TTLs en trage ISPKeurigOnline zegt [ISP](https://www.keurigonline.nl/begrippenlijst/isp)Een ISP (Internet Service Provider) is de aanbieder van jouw internetverbinding. caches. Tip: verlaag je TTL naar 300 seconden vóór een geplande wijziging. ### Wat is de beste TTL voor mijn domein? Voor de meeste websites is een TTL van **3600 seconden (1 uur)** een goede balans tussen snelheid en flexibiliteit. Gebruik **300 seconden** voor records die vaak veranderen (DDNS, failover). Gebruik **86400 seconden (1 dag)** voor stabiele records zoals nameserver delegaties. ### Is Cloudflare DNS veiliger dan Google DNS? Beide zijn technisch veilig en ondersteunen DNSSECKeurigOnline zegt [DNSSEC](https://www.keurigonline.nl/begrippenlijst/dnssec)DNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. . Het verschil zit in privacy: **Cloudflare** belooft geen IP-adressen te loggen en laat dit auditen door KPMG. **Google** logt IP-adressen voor 24-48 uur. Voor maximale privacy is Cloudflare (1.1.1.1) of Quad9 (9.9.9.9, Zwitsers non-profit) de betere keuze. ### Wat gebeurt er als een DNS server niet reageert? Je systeem probeert automatisch de **secondary DNS server**. Daarom stel je altijd twee DNS servers in. Als beide falen, krijg je een "DNS lookup failed" of "Server not found" foutmelding. Grote resolvers zoals Cloudflare hebben via anycastKeurigOnline zegt [Anycast](https://www.keurigonline.nl/begrippenlijst/anycast)Anycast is een netwerktechniek waarbij meerdere servers één IP-adres delen en je bij de dichtstbijzijnde uitkomt. honderden servers, waardoor uitval vrijwel onmogelijk is. ### Kan ik DDNS gebruiken met een .nl domein? Ja, maar niet via traditionele DDNS-providers zoals No-IP (die bieden alleen subdomeinen). Voor je eigen .nl domein gebruik je een DNS-provider met APIKeurigOnline zegt [API](https://www.keurigonline.nl/begrippenlijst/api)Een API (Application Programming Interface) is een set regels en protocollen waarmee softwareapplicaties met elkaar kunnen communiceren en gegevens uitwisselen. -toegang, zoals **Cloudflare** (gratis) of **TransIP**. Je combineert dit met een DDNS-client die de API aanroept bij IP-wijzigingen. ### Hoe schakel ik DoH in op Windows 11? Ga naar **Instellingen → Netwerk en internet → Wi-Fi/Ethernet → \[Je verbinding\] → Hardware-eigenschappen**. Klik bij DNS-servertoewijzing op **Bewerken**. Stel handmatig `1.1.1.1` (Cloudflare) of `8.8.8.8` (Google) in. Windows 11 toont automatisch de optie "DNS via HTTPSKeurigOnline zegt [HTTPS](https://www.keurigonline.nl/begrippenlijst/https)HTTPS (HyperText Transfer Protocol Secure) is HTTP over een versleutelde TLS-verbinding tussen browser en webserver. " voor ondersteunde servers. Schakel deze in. ## Conclusie: DNS optimaliseren voor je website DNS is veel meer dan alleen het vertalen van domeinnamen naar IP-adressen. Door te begrijpen hoe **recursieve queries** werken, kun je betere **TTL-waardes** kiezen. Door **DNS caching** te begrijpen, weet je waarom wijzigingen tijd kosten. En door **DoH** of **DoT** te gebruiken, bescherm je je privacy tegen afluisteren. De belangrijkste takeaways: - **Kies een snelle, privacy-vriendelijke DNS resolverKeurigOnline zegt [DNS resolver](https://www.keurigonline.nl/begrippenlijst/dns-resolver)Een DNS resolver is een server die voor jouw apparaat opzoekt welk IP-adres bij een domeinnaam hoort.** — Cloudflare 1.1.1.1 of dns0.eu zijn uitstekende opties voor Nederlandse gebruikers - **Stel realistische TTLKeurigOnline zegt [TTL](https://www.keurigonline.nl/begrippenlijst/ttl)TTL (Time To Live) is een waarde die aangeeft hoe lang data geldig blijft, zoals een DNS-record in een cache. -waardes in** — 3600 seconden voor normale records, 300 voor dynamische - **Gebruik encrypted DNS** — DoH in je browser, DoT op je telefoon - **DDNS voor thuisservers** — Cloudflare APIKeurigOnline zegt [API](https://www.keurigonline.nl/begrippenlijst/api)Een API (Application Programming Interface) is een set regels en protocollen waarmee softwareapplicaties met elkaar kunnen communiceren en gegevens uitwisselen. of DuckDNS voor .nl domeinen Heb je vragen over DNS-configuratie voor je .nl, .com of .be domein? [Neem contact op met ons](../../../contact) — we helpen je graag met het optimaliseren van je DNS-infrastructuur. Bekijk ook onze [LiteSpeed Cache instellingen](../../../blog/beste-litespeed-cache-instellingen) voor nog meer snelheidswinst. ## Bronnen en referenties Dit artikel is gebaseerd op officiële documentatie en gerenommeerde bronnen: - **IETF RFC 1035 (1987)** — [Domain Names - Implementation and Specification](https://datatracker.ietf.org/doc/html/rfc1035): De originele DNS-specificatie - **IETF RFC 8484 (2018)** — [DNS Queries over HTTPS (DoH)](https://datatracker.ietf.org/doc/html/rfc8484): De DoHKeurigOnline zegt [DoH](https://www.keurigonline.nl/begrippenlijst/doh)DoH (DNS over HTTPS) is een protocol dat DNS-verzoeken versleuteld via HTTPS verstuurt, zodat anderen niet meekijken. -standaard - **IETF RFC 7858 (2016)** — [DNS over Transport Layer Security (DoT)](https://datatracker.ietf.org/doc/html/rfc7858): De DoTKeurigOnline zegt [DoT](https://www.keurigonline.nl/begrippenlijst/dot)DoT (DNS over TLS) is een protocol dat DNS-verzoeken via een versleutelde TLS-verbinding op poort 853 verstuurt. -standaard - **IETF RFC 6891 (2013)** — [Extension Mechanisms for DNS (EDNS)](https://datatracker.ietf.org/doc/html/rfc6891): EDNS0-specificatie - **CloudflareKeurigOnline zegt [Cloudflare](https://www.keurigonline.nl/begrippenlijst/cloudflare)Cloudflare is een Amerikaans bedrijf dat als reverse proxy vóór websites staat en DNS, een CDN en beveiliging levert. (2025)** — [What is DNS?](https://www.cloudflare.com/learning/dns/what-is-dns/): Educatieve DNS-documentatie - **SIDNKeurigOnline zegt [SIDN](https://www.keurigonline.nl/begrippenlijst/sidn)SIDN beheert als officiële registry alle .nl-domeinnamen in Nederland sinds 1996.** — [Stichting Internet Domeinregistratie Nederland](https://www.sidn.nl/): Beheerder van .nl domeinen - **DNSPerf (2025)** — [DNS Speed Test](https://www.dnsperf.com/): Prestatiemetingen van publieke DNSKeurigOnline zegt [DNS](https://www.keurigonline.nl/begrippenlijst/dns)Het Domain Name System (DNS) vertaalt domeinnamen naar IP-adressen, zodat websites makkelijk bereikbaar zijn. resolvers Deel dit artikel Link kopiëren [](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](https://x.com/intent/post?text=Geavanceerde+DNS%3A+van+caching+tot+split-horizon+en+DDNS&url=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](https://wa.me/?text=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) [](mailto:?subject=Geavanceerde%20DNS%3A%20van%20caching%20tot%20split-horizon%20en%20DDNS&body=https%3A%2F%2Fwww.keurigonline.nl%2Fblog%2Fgeavanceerde-dns-configuratie) - DNS 17 Dec ### 10 beste DNS test tools in 2026 Ontdek de 10 beste DNS test tools voor 2026. Van propagatie checkers tot DNSSEC validators - vergelijk gratis tools voor .nl, .com en .be domeinen. Maarten Keizer - DNS 10 Dec ### Hoe DNS werkt: de complete gids over het Domain Name System Leer hoe DNS werkt: van root servers tot autoritatieve nameservers. Inclusief dig/nslookup voorbeelden, zone transfers, DNSSEC en praktische tips. Maarten Keizer - DNS 10 Dec ### DNS records uitgelegd Ontdek alle DNS record types: van A en AAAA tot CNAME, MX, TXT en DNSSEC records. Complete uitleg met voorbeelden voor Nederlandse domeinen. Maarten Keizer