Wat is DNS? Hoe werkt het domeinnaamsysteem?

 

DNS (Domain Name System) is het systeem dat voor mensen leesbare domeinnamen, zoals example.com, omzet in de numerieke IP-adressen die computers gebruiken om elkaar te herkennen en te vinden. Elk websitebezoek, elke databasequery en elke e-mailverzending op het internet begint met een DNS-opzoeking om deze namen te vertalen.

Waar staat DNS voor?

DNS staat voor Domain Name System. Het wordt vaak een systeem genoemd omdat het geen enkele, gecentraliseerde directory van het internet is, maar eerder een sterk gedistribueerde, hiërarchische database die wordt beheerd door miljoenen servers over de hele wereld. Soms wordt het ook wel de „Domain Name Service“ genoemd, wat verwijst naar de omzettingsfunctie die het vervult voor eindgebruikersapplicaties.

Het Domain Name System uitgelegd

In wezen werkt het Domain Name System als het telefoonboek van het internet. Mensen gebruiken gemakkelijk te onthouden namen, zoals powerdmarc.com, om op het web te navigeren, terwijl computers en netwerkrouters machine-leesbare IP-adressen, zoals 192.0.2.1, nodig hebben om gegevens te routeren.

Om deze kloof te overbruggen, zet het DNS achter de schermen de voor mensen begrijpelijke naam om in het juiste, voor computers begrijpelijke adres. Deze complexe wereldwijde lijst wordt onderhouden en beheerd door verschillende samenwerkende instanties:

• Registrars: Organisaties die bevoegd zijn om domeinnamen te verkopen en toe te wijzen.
• DNS-hostingproviders: Bedrijven die de gezaghebbende naamservers beheren waarop de hoofddirectorybestanden van een domein zijn opgeslagen.
• Resolvers: Servers die worden beheerd door uw internetprovider (ISP) of openbare providers zoals Google (8.8.8.8) en Cloudflare (1.1.1.1) en die namens gebruikers DNS-verzoeken verwerken en ophalen.

DNS-structuur 

De DNS-naamruimte is georganiseerd in een strikte, omgekeerde boomstructuur. Deze begint helemaal bovenaan (de rootzone, weergegeven door een punt) en vertakt zich naar beneden via verschillende structurele lagen:

• Het hoofddomein (.): De onzichtbare wortel van de boom, die het hoogste niveau van de DNS-hiërarchie vertegenwoordigt.
• Topniveaudomeinen (TLD's): De extensie waarmee de domeinnaam eindigt, zoals .com, .org of .net, die het type domein of het land van herkomst aangeeft.
• Tweede-niveau-domeinen: De unieke naam die door een organisatie of persoon is gekozen, zoals 'example' in 'example.com'.
• Subdomeinen: Optionele voorvoegsels die worden gebruikt om afzonderlijke diensten onder het hoofddomein te categoriseren, zoals mail in mail.example.com.

Hoe werkt DNS?

Wanneer je een bron op het internet opent, moet je computer het IP-adres van de bestemming vinden. Dit opzoekproces verloopt in milliseconden via een reeks gestructureerde zoekopdrachten:

1. Gebruikersverzoek: U typt example.com in uw webbrowser.
2. Controle van de lokale cache: Uw browser en besturingssysteem controleren eerst hun lokale caches om te zien of het IP-adres van example.com onlangs is omgezet en opgeslagen.
3. Recursieve resolver-query: Als er geen lokaal cache-item bestaat, stuurt de computer een query naar een aangewezen DNS-server, ook wel een recursieve resolver genoemd, die doorgaans wordt beheerd door uw internetprovider, Google of Cloudflare.
4. Rootserver-opzoeking: De recursieve resolver stuurt een verzoek naar een van de wereldwijde DNS-rootservers (.). De rootserver kent het IP-adres niet, maar leest het TLD en verwijst de resolver door naar de .com-TLD-naamserver.
5. TLD-serveropzoeking: De resolver vraagt de .com TLD-naamserver op. Deze server zoekt de registervermelding voor example.com op en verwijst de resolver door naar de specifieke gezaghebbende naamserver van het domein.
6. Opzoekactie bij de gezaghebbende naamserver: De resolver vraagt de gezaghebbende naamserver op, die het hoofdzonebestand voor example.com bevat. Deze server retourneert het gevraagde resource-record met het IP-adres (bijvoorbeeld het A-record).
7. Caching en terugzending: De recursieve resolver slaat dit IP-adres voor een bepaalde tijd (ook wel Time to Live of TTL genoemd) op in zijn lokale cache en stuurt het IP-adres terug naar uw computer.
8. Verbinding tot stand gebracht: Uw browser maakt een directe verbinding met het geretourneerde IP-adres om de website te laden.

Opmerking: Hoewel webverkeer sterk afhankelijk is van A-records, werkt de bezorging van e-mail op vergelijkbare wijze, met dit verschil dat de resolver specifiek een opzoekactie uitvoert voor een MX-record om de aangewezen mailservers van het domein te vinden.

Als je je verder wilt verdiepen in de specifieke werking van deze zoekopdrachten, bekijk dan onze handleiding over recursieve, iteratieve en niet-recursieve zoekopdrachten.

Wat is een DNS-record?

Een DNS-record is een database-item dat is opgeslagen in het zonebestand van een gezaghebbende naamserver. Het bevat de instructies die het DNS-systeem aangeven hoe het verkeer moet worden gerouteerd, e-mails moeten worden bezorgd en het eigendom van uw domein moet worden geverifieerd.

Elk record is opgebouwd volgens een nauwkeurig, gestandaardiseerd formaat:

example.com. 3600 IN A 192.0.2.1

• Naam (bijvoorbeeld.com.): De host- of domeinnaam waartoe het record behoort.
• TTL (3600): De Time to Live in seconden, die bepaalt hoe lang resolvers het record in de cache mogen bewaren voordat ze een nieuwe kopie ophalen.
• Klasse (IN): De netwerkklasse, die bijna altijd IN (Internet) is.
• Type (A): Het protocoltype van het record, dat bepaalt hoe de waarde moet worden geïnterpreteerd.
• Waarde (192.0.2.1): Het daadwerkelijke IP-adres, de hostnaam of de tekenreeks die aan het record is toegewezen.

De vijf meest voorkomende DNS-recordtypen die domeineigenaren beheren, zijn onder meer:

• Een record: Koppelt een hostnaam rechtstreeks aan een IPv4-adres.
• CNAME-record: Maakt een alias aan, waarmee de ene domeinnaam naar de andere domeinnaam wordt verwezen.
• MX-record: Verwijst naar de mailservers die verantwoordelijk zijn voor het ontvangen van inkomende e-mails voor het domein.
• TXT-record: Bevat tekstgebaseerde administratieve gegevens, die veelvuldig worden gebruikt voor e-mailverificatieprotocollen zoals SPF, DKIM en DMARC.
• NS-record: Geeft de gezaghebbende naamservers aan die verantwoordelijk zijn voor het hosten van de records van het domein.

Bekijk alle wijzigingen in je DNS-records

Volg wijzigingen in track records en naamservers via een realtime gebeurtenissenfeed, spoor losstaande CNAME’s en DNSSEC-fouten op en ontvang een beveiligingsscore van A tot F.

DNS-beveiliging: waarom DNS een doelwit is

Omdat het Domain Name System oorspronkelijk is ontwikkeld zonder ingebouwde versleuteling of afzenderverificatie, blijft het zeer kwetsbaar voor misbruik. Aanvallers maken vaak misbruik van deze zwakke plekken in de architectuur om verkeer te kapen, gebruikers naar frauduleuze websites om te leiden of zich voor te doen als legitieme organisaties.

• DNS-spoofing / cachevergiftiging: Een aanvaller injecteert frauduleuze routeringsgegevens in de cache van een recursieve resolver, waardoor de server wordt gedwongen om nietsvermoedende gebruikers door te sturen naar kwaadaardige replica-sites.
• DNS-kaping: Aanvallers breken in op accounts bij domeinregistrars of wijzigen de configuratie van naamserverhosts om de gezaghebbende records volledig te veranderen, waardoor al het inkomende web- en e-mailverkeer wordt omgeleid.
• DNS-amplificatie: Een gedistribueerde denial-of-service-aanval (DDoS) waarbij open recursieve resolvers worden overspoeld met vervalste zoekopdrachten, waardoor het doelnetwerk wordt overbelast met enorme hoeveelheden verkeer.
• Dangling Records en het overnemen van subdomeinen: Wanneer een domein blijft verwijzen naar een externe dienstverlener (via een CNAME-, A- of MX-record) die buiten gebruik is gesteld, kan een aanvaller dat externe account registreren en de controle over uw subdomein opeisen.
• E-mail-spoofing: Wanneer domeineigenaren nalaten geldige e-mailverificatierecords (SPF, DKIM en DMARC) in hun DNS te publiceren, kunnen kwaadwillenden vervalste e-mails versturen die doen alsof ze afkomstig zijn van het domein.

Om deze bedreigingen te beperken, moeten organisaties DNSSEC (Domain Name System Security Extensions) implementeren, waarmee cryptografische handtekeningen aan DNS-records worden toegevoegd om de integriteit ervan te verifiëren. Bekijk onze uitgebreide soorten DNS-aanvallenen beoordeel uw systeem op bekende DNS-kwetsbaarhedenen pas best practices voor DNS-beveiliging om uw domeininfrastructuur te beveiligen.

De rol van DNS bij de prestaties van websites

Uw DNS-configuratie heeft een directe invloed op de laadsnelheid van uw digitale bestanden. Voordat een browser ook maar één element van een webserver kan downloaden, moet deze wachten tot de DNS-opzoeking is voltooid.

Om deze vertraging tot een minimum te beperken, maken systemen gebruik van intensieve caching. Resolver-servers slaan DNS-records lokaal op gedurende de tijd die is opgegeven door de TTL (Time to Live) van het record, waardoor het niet meer nodig is om bij elke volgende paginalading de root- en TLD-servers te raadplegen.

Bovendien maken moderne DNS-providers gebruik van anycast-routeringsnetwerken, die kopieën van uw zonebestanden verspreiden over een wereldwijd netwerk van servers. Anycast leidt zoekopdrachten van gebruikers om naar de geografisch dichtstbijzijnde beschikbare naamserver, waardoor de opzoektijden worden verkort. Als u uw DNS-records bijwerkt, worden die wijzigingen niet in één keer wereldwijd doorgevoerd; u kunt een DNS-propagatiechecker gebruiken om bij te houden hoe snel uw wijzigingen op de servers wereldwijd worden bijgewerkt.

Wat is een DNS-provider?

Een DNS-provider is de dienst die de gezaghebbende naamservers van je domein host en onderhoudt. Terwijl een domeinregistrar het bedrijf is waar je een domeinnaam koopt en registreert, is een DNS-hostingprovider de plek waar je het daadwerkelijke DNS-recordzonebestand beheert. 

Vaak bieden domeinregistrars bij je aankoop standaard DNS-hosting aan, maar grote ondernemingen verplaatsen hun records vaak naar hoogwaardige externe hostingproviders (zoals Cloudflare, AWS Route 53 of NS1) voor betere prestaties en DDoS-bescherming. Dit staat los van een openbare resolver (zoals 8.8.8.8 van Google), die simpelweg een server is die wordt gebruikt om externe records namens jou op te halen en in de cache op te slaan.

Andere DNS-termen die je tegenkomt

Privé-DNS

Een privé-DNS werkt binnen een geïsoleerd bedrijfsnetwerk of achter een virtueel privénetwerk (VPN). In tegenstelling tot openbare DNS-servers, die records voor het gehele internet omzetten, zetten privé-DNS-servers alleen records om voor interne bedrijfsbronnen (zoals een intern intranet of ontwikkelingsservers) en zijn ze volledig ontoegankelijk vanaf het openbare internet.

Dynamische DNS

Dynamic DNS (DDNS) werkt een DNS-record automatisch en in realtime bij wanneer het onderliggende IP-adres verandert. Dit is bijzonder handig voor thuiskantoren, camera’s op afstand of kleine bedrijven die gebruikmaken van een internetverbinding voor thuisgebruik, waarbij de internetprovider een wisselend, dynamisch IP-adres toewijst in plaats van een vast, statisch adres.

DNS-verkeer

Onder DNS-verkeer wordt verstaan de inkomende en uitgaande uitwisseling van pakketten via UDP- of TCP-poort 53. Het monitoren van DNS-verkeer is van cruciaal belang voor beveiligingsteams; onverwachte pieken of ongebruikelijke opzoekpatronen kunnen wijzen op actieve pogingen tot gegevensdiefstal, tunneling-aanvallen of malware die contact maakt met command-and-control-servers.

DNS-instellingen

DNS-instellingen zijn de configuratievelden op je router, besturingssysteem of mobiele apparaat waarmee je aangeeft naar welke recursieve resolvers je apparaat zijn verzoeken moet sturen. Standaard maakt je apparaat automatisch gebruik van de resolvers die door je internetprovider zijn toegewezen. Door deze instellingen echter aan te passen en vertrouwde openbare resolvers (zoals Cloudflare of Google) te gebruiken, kun je de surfsnelheid verbeteren, netwerkblokkades omzeilen en bescherming door middel van webfiltering toevoegen.

Veelgestelde Vragen

Is DNS hetzelfde als een IP-adres?

Nee. Een IP-adres is een uniek numeriek adres waarmee een fysieke computer in een netwerk wordt geïdentificeerd. DNS is het vertaalsysteem dat gemakkelijk te onthouden domeinnamen koppelt aan die numerieke IP-adressen, zodat mensen geen lange reeksen cijfers uit het hoofd hoeven te leren.

Wat is het verschil tussen DNS en een DNS-server?

DNS is het overkoepelende protocol, de infrastructuur en de set van databaseregels die worden gebruikt om domeinnamen te ordenen. Een DNS-server is de fysieke of virtuele machine waarop software draait die is ontworpen om DNS-verzoeken te verwerken, zonebestanden op te slaan of namen op te lossen.

Wat zijn 8.8.8.8 en 1.1.1.1?

Dit zijn uiterst veilige, openbare recursieve DNS-resolvers. Google beheert 8.8.8.8 en Cloudflare beheert 1.1.1.1. Miljoenen gebruikers configureren hun apparaten handmatig om deze gratis openbare resolvers te gebruiken, zodat ze profiteren van snellere opzoeksnelheden en betere privacy dan wat hun lokale internetproviders bieden.

Moet ik DNS in- of uitschakelen?

DNS is een essentiële basisdienst van het internet; je kunt deze niet uitschakelen. Als DNS zou worden uitgeschakeld, zouden je webbrowsers en e-mailprogramma’s geen servernamen meer kunnen omzetten, waardoor je gedwongen zou zijn om handmatig ruwe, numerieke IP-adressen in je adresbalk in te voeren om toegang te krijgen tot welke dienst dan ook.

Hoe kan ik de DNS-records van mijn domein controleren?

Je kunt de actuele records van je domein opvragen en controleren door je adres in te voeren in een online DNS-recordzoekprogramma opzoektool. Deze tool fungeert als een externe resolver en vraagt uw gezaghebbende naamservers om de waarden van uw openbare records weer te geven, precies zoals ontvangende servers deze zien.

Laatste woorden

Het Domain Name System is de onzichtbare achtergronddienst die het moderne internet toegankelijk houdt door elke seconde miljoenen complexe IP-adressen van servers om te zetten in herkenbare merknamen. Aangezien uw DNS-zonebestand precies bepaalt waar uw web-, e-mail- en API-verkeer naartoe gaat, is het beveiligen van deze directory net zo belangrijk als het hosten van de daadwerkelijke assets. Door snelle anycast-routing, goed TTL-beheer en robuuste beveiligingsprotocollen zoals DNSSEC en DMARC te combineren, kunnen organisaties hun digitale infrastructuur beschermen en tegelijkertijd optimale prestaties behouden.