Uitleg over DNS-recordtypes

Een DNS-record is een instructie die is opgeslagen in een gezaghebbend DNS-zonebestand en die internetverkeer stuurt, hostnamen koppelt aan IP-adressen en e-mail doorstuurt naar de betreffende e-mailservers. Als je nog niet bekend bent met DNS-beheer, begin dan met onze handleiding over wat een DNS-record is. 

Elk type DNS-record vervult een specifieke netwerkfunctie, van het omzetten van hostnamen tot het verifiëren van de afzenders van berichten. In de onderstaande beknopte gids worden de 12 meest voorkomende soorten DNS-records beschreven die je in productieomgevingen tegenkomt.

Vereenvoudig DNS-records met PowerDMARC! [GEEN VERANDERING]

Soorten DNS-records

In de onderstaande tabel worden de twaalf belangrijkste soorten DNS-records weergegeven die worden gebruikt bij webroutering, e-mailverkeer en infrastructuurbeveiliging:

Een verslag

Een A-record (Adresrecord) koppelt een domeinnaam of subdomein aan een IPv4-adres. Wanneer een gebruiker een webadres in een browser invoert, raadpleegt de recursieve resolver het A-record om de webserver te vinden waarop de site wordt gehost.

Een voorbeeld:

example.com. 3600 IN A 192.0.2.1

AAAA record

Een AAAA-record (Quad-A-record) werkt net als een A-record, maar koppelt een hostnaam aan een 128-bits IPv6-adres in plaats van aan een 32-bits IPv4-adres. Omdat de wereldwijde voorraad beschikbare IPv4-adressen is uitgeput, maken moderne netwerken naast standaard A-records ook gebruik van AAAA-records om dual-stack-routing te ondersteunen voor bezoekers die gebruikmaken van internetproviders die IPv6 ondersteunen.

Een voorbeeld:

example.com. 3600 IN AAAA 2001:0db8:85a3:0000:0000:8a2e:0370:7334

CNAME-bestand

Een CNAME-record (Canonical Name-record) creëert een alias die de ene domeinnaam naar een andere canonieke domeinnaam verwijst in plaats van naar een IP-adres. Wanneer een resolver een CNAME-record tegenkomt, start deze het opzoekproces opnieuw met de doeldomeinnaam. CNAME-records kunnen niet naast andere records bestaan op de root-apex van de zone.

Een voorbeeld:

blog.example.com. 3600 IN CNAME webhost.example.net.

MX record

Een MX-record (Mail Exchanger-record) geeft verzendende mail transfer agents aan waar inkomende e-mail voor een bepaald domein moet worden afgeleverd. MX-records bevatten naast de naam van de e-mailhost altijd een prioriteitsnummer, waarbij lagere getallen voorrang hebben. Dit is het DNS-recordtype dat een e-mailserver identificeert die verantwoordelijk is voor het verwerken van inkomende berichten.

Een voorbeeld:

example.com. 3600 IN MX 10 aspmx.l.google.com.

TXT-bestand

Een TXT-record (tekstrecord) koppelt machinaal leesbare tekstattributen aan een domein. Hoewel TXT-records oorspronkelijk waren bedoeld om voor mensen leesbare notities op te slaan, dienen ze tegenwoordig voornamelijk als transportmechanisme voor domeinverificatietokens en e-mailauthenticatiesystemen. Zie ons speciale gedeelte hieronder voor meer informatie over hoe SPF, DKIM en DMARC gebruikmaken van TXT-records.

Een voorbeeld:

example.com. 3600 IN TXT “google-site-verification=rXOxyZounnZ…”

NS record

Een NS-record (Name Server-record) geeft aan welke gezaghebbende DNS-servers de definitieve DNS-records voor een domein of gedelegeerde subzone beheren. Elk domein heeft ten minste twee functionele NS-records nodig die verwijzen naar geografisch verspreide naamservers om een hoge beschikbaarheid te waarborgen en storingen in de domeinresolutie te voorkomen.

Een voorbeeld:

example.com. 86400 IN NS ns1.powerdns-cloud.com.

SOA-bestand

Een SOA-record (Start of Authority-record) is een verplicht record dat zich aan de top van elke DNS-zone bevindt. Het bevat essentiële administratieve metagegevens over de zone, waaronder de primaire master-naamserver, het e-mailadres van de technische beheerder, het serienummer van de zone en operationele timers die het cachen en de overdracht naar secundaire zones regelen.

De timers die in het SOA-record zijn gedefinieerd, omvatten het verversingsinterval (hoe vaak secundaire servers de master om updates vragen), het herhalingsinterval (de wachttijd na een mislukte overdrachtspoging), de vervaltermijn (wanneer secundaire servers verouderde zonegegevens verwijderen als de master onbereikbaar blijft) en de minimale TTL (die bepaalt hoe lang resolvers negatieve opzoekresultaten zoals NXDOMAIN in de cache bewaren).

Een voorbeeld:

example.com. 86400 IN SOA ns1.example.com. hostmaster.example.com. (
2026101001 ; serial
7200 ; refresh (2 uur)
3600 ; herhaling (1 uur)
1209600 ; vervaldatum (2 weken)
3600 ) ; minimale TTL (1 uur)

Je kunt de SOA-parameters van je domein bekijken via onze SOA-recordzoekfunctie .

PTR record

Een PTR-record (Pointer-record) vervult de tegenovergestelde functie van een A-record door een IP-adres terug te koppelen aan de bijbehorende hostnaam via omgekeerde DNS-resolutie resolutie. PTR-records worden geconfigureerd binnen speciale reverse lookup-zones (in-addr.arpa voor IPv4 en ip6.arpa voor IPv6) die worden beheerd door de eigenaar van de IP-ruimte in plaats van door de domeinregistrar.

Ontvangende e-mailservers voeren regelmatig reverse DNS-controles uit op het IP-adres waarmee uitgaande mailtransferagenten verbinding maken. Als het verzendende IP-adres geen bijbehorend PTR-record heeft dat overeenkomt met de forward-hostnaam van de afzender, worden inkomende berichten vaak geweigerd door spamfilters van bedrijven en grote webmailproviders. U kunt uw reverse zone-vermeldingen controleren met onze PTR-record-opzoektool tool.

Een voorbeeld:

1.2.0.192.in-addr.arpa. 3600 IN PTR mail.example.com.

SRV gegevens

Een SRV-record (Service Record) definieert de locatie, het protocol, het poortnummer, de prioriteit en het gewicht van servers die specifieke applicatiediensten leveren. In plaats van uit te gaan van standaardpoorten, raadplegen netwerkclients SRV-records om aangepaste verbindingsparameters te achterhalen voor protocollen zoals SIP (VoIP), LDAP-directorydiensten en XMPP-berichtenverkeer.

De structuur van het SRV-record begint met de servicenaam en het protocol, voorafgegaan door onderstrepingstekens (zoals _sip._tcp.example.com), gevolgd door prioriteits- en wegingswaarden voor load balancing, het poortnummer van de bestemming en de hostnaam van de server die de dienst aanbiedt.

Een voorbeeld:

_sip._tcp.example.com. 3600 IN SRV 10 60 5060 bigbox.example.com.

CAA-record

Een CAA-record (Certification Authority Authorization-record) stelt een domeineigenaar in staat om aan te geven welke certificeringsinstanties (CA's) toestemming hebben om openbare SSL/TLS-certificaten voor zijn domein en subdomeinen uit te geven. Wanneer een technicus een SSL-certificaat aanvraagt, moeten conforme CA's het CAA-record van het domein controleren voordat ze de uitgifte voltooien.

Door CAA-records te publiceren, beschermt u uw organisatie tegen het ongeoorloofd of frauduleus genereren van certificaten, waardoor het risico wordt beperkt als een malafide CA wordt gehackt. Het record bevat een ‘issuer’-vlag en een eigenschapstag (uitgifte, issuewildof iodef voor het melden van beveiligingsincidenten), en de goedgekeurde CA-identificatie. U kunt uw certificaatautorisatiebeleid evalueren met onze CAA-checker.

Een voorbeeld:

example.com. 3600 IN CAA 0 issue “letsencrypt.org”

DNSSEC-records (DNSKEY, DS)

Beveiligingsuitbreidingen voor het Domain Name System (DNSSEC) beschermen resolvers tegen DNS-spoofing, cache poisoning en man-in-the-middle-manipulatie door cryptografische handtekeningen aan DNS-records toe te voegen. DNSSEC is gebaseerd op twee essentiële records: DNSKEY en DS.

Een DNSKEY-record slaat openbare ondertekeningssleutels op binnen de onderliggende zone. Autoritatieve servers publiceren Zone Signing Keys (ZSK) om afzonderlijke recordsets te ondertekenen en Key Signing Keys (KSK) om de zonesleutels zelf te ondertekenen. Een DS-record (Delegation Signer) bevat een cryptografische hash van de Key Signing Key van de onderliggende zone en wordt rechtstreeks in de bovenliggende zone gepubliceerd (zoals .com of .org). Resolver-servers volgen deze cryptografische vertrouwensketen omhoog naar de root-DNS-zone om te controleren of de antwoorden op query’s tijdens de overdracht niet zijn gewijzigd. Controleer uw ondertekeningsconfiguratie met onze DNSSEC-checker.

DNSKEY-voorbeeld:

example.com. 3600 IN DNSKEY 257 3 13 oJM7nE…9yZ==

DS-voorbeeld:

example.com. 3600 IN DS 2371 13 2 4f2e9a18…cb02

E-mailverificatiegegevens: SPF, DKIM, DMARC

Een veelvoorkomende bron van verwarring is dat SPF, DKIM, DMARC, BIMI en MTA-STS worden beschouwd als op zichzelf staande soorten DNS-records. In de specificatie van het DNS-protocol zijn dit geen unieke soorten resource-records. Het zijn gestandaardiseerde configuratierichtlijnen die worden gepubliceerd als TXT-records (of soms CNAME-records voor gehoste DKIM- selectors) die worden gehost op aangewezen hostnamen en subdomeinen.

Wanneer een externe e-mailserver een bericht ontvangt dat afkomstig zou zijn van uw domein, controleert deze aan de hand van deze tekstreeksen of de afzender geautoriseerd is, of de inhoud van het bericht tijdens de verzending is gewijzigd en welke maatregel moet worden genomen als de validatie mislukt:

Aangezien deze authenticatiebeleidsregels in standaard TXT-vermeldingen zijn vastgelegd, kunnen typefouten of een onjuiste syntaxis de afleverbaarheid van uw e-mail onmiddellijk verstoren. Controleer uw domein met onze gratis Domain Analyzer om te controleren of uw SPF-, DKIM- en DMARC-records syntactisch correct zijn en beschermd zijn tegen domeinspoofing.

Hoe je elk type DNS-record kunt opzoeken

U kunt de DNS-records die voor elk domein zijn gepubliceerd, controleren met behulp van webgebaseerde tools of opdrachtregelprogramma’s.

Gebruik onze gratis DNS-recordzoekfunctie . Deze tool haalt A-, AAAA-, MX-, CNAME-, TXT-, NS-, SOA- en PTR-records op zonder dat u software hoeft te installeren.

Als je liever problemen oplost via een terminal:

• Op macOS en Linux: Gebruik dig om specifieke recordtypes op te vragen:
  

dig example.com MX

• In Windows: Gebruik nslookup en geef daarbij het type query op:
  

nslookup -type=MX example.com

Let bij het beoordelen van de reacties op de Time to Live (TTL)-waarde. Als je onlangs een DNS-record hebt bijgewerkt, blijven recursieve resolvers de vorige cache-vermelding retourneren totdat die TTL is verlopen. Je kunt de voortgang van updates in verschillende regio’s volgen met onze DNS-propagatiechecker.

Waarom elk type DNS-record belangrijk is

DNS-records vormen de basis voor elke internettransactie. Als de records correct zijn geconfigureerd, kunnen browsers websites direct vinden, leiden e-mailgateways berichten soepel door en controleren cryptografische headers of afzenders legitiem zijn.

Wanneer een DNS-record verkeerd is geconfigureerd, ontbreekt of naar verouderde infrastructuur verwijst, vallen cruciale diensten onmiddellijk uit:

• Een onjuiste of ontbrekende A/AAAA record zorgt ervoor dat uw website offline gaat.
• Een verkeerd geconfigureerde MX-record record zorgt ervoor dat inkomende e-mails worden teruggestuurd naar de afzenders.
• Een ontbrekend of ongeldig TXT authenticatierecord zorgt ervoor dat marketing- en transactionele e-mails als spam worden gemarkeerd.
• Een loshangende CNAME dat verwijst naar een verlaten host van een derde partij, stelt uw domein bloot aan een kwaadwillige overname van het subdomein.

Het bijhouden van nauwkeurige zonegegevens en het naleven van vastgestelde best practices op het gebied van DNS-beveiliging zorgt ervoor dat uw digitale kerninfrastructuur beschikbaar en performant blijft en beschermd is tegen onderscheppingsaanvallen.

Laatste woorden

Inzicht in de verschillende soorten DNS-records is essentieel voor iedereen die verantwoordelijk is voor domeinbeheer, webprestaties en e-mailbeveiliging. Elk recordtype vervult een specifieke rol, van het vertalen van hostnamen met A- en AAAA-records tot het tot stand brengen van cryptografisch vertrouwen in e-mail via TXT-vermeldingen. Door uw DNS-zonebestanden regelmatig te controleren, zorgt u ervoor dat uw netwerkdiensten soepel blijven werken en beschermt u uw merk tegen spoofing en kwetsbaarheden door ‘dangling records’.

Veelgestelde Vragen

Hoeveel soorten DNS-records zijn er?

De Internet Assigned Numbers Authority (IANA) houdt een register bij van tientallen officiële DNS-resourcerecordtypes. Hoewel veel van deze types historisch, experimenteel of buiten gebruik zijn geraakt, zijn productiedomeinen voor routinematige webroutering, e-mailbezorging en domeinbeveiliging sterk afhankelijk van een kernset van ongeveer 12 tot 15 standaardrecordtypes.

Wat is het meest voorkomende type DNS-record?

Het A-record is het meest voorkomende en fundamentele type DNS-record op het internet. Vrijwel elke domeinnaam die op het web wordt gehost, heeft ten minste één A-record nodig om de voor mensen leesbare domeinnaam of het subdomein te koppelen aan een toegankelijk IPv4-adres.

Welke soorten DNS-records heb ik nodig voor e-mail?

Om e-mail betrouwbaar te kunnen verzenden en ontvangen, hebt u een MX-record nodig dat naar uw e-mailserver verwijst, geldige A- of AAAA-records voor de host van die e-mailserver en een bijbehorend PTR-record voor reverse DNS-validatie. Daarnaast moeten er TXT-records zijn geconfigureerd voor SPF en DMARC, evenals TXT- of CNAME-records voor DKIM.

Wat is het verschil tussen een A-record en een CNAME-record?

Een A-record koppelt een hostnaam rechtstreeks aan een fysiek IPv4-adres (bijvoorbeeld example.com aan 192.0.2.1). Een CNAME-record koppelt een alias-hostnaam aan een andere canonieke domeinnaam (bijvoorbeeld blog.example.com aan webhost.example.net). Raadpleeg onze handleiding over A-record versus CNAME.

Hoe lang duurt het voordat wijzigingen in DNS-records van kracht worden?

Het duurt enkele minuten tot maximaal 48 uur voordat DNS-wijzigingen wereldwijd van kracht worden. De snelheid waarmee de wijzigingen worden doorgevoerd, hangt af van de Time to Live (TTL) die voor het bestaande record is ingesteld; deze geeft aan hoe lang tussenliggende resolvers het antwoord mogen bewaren voordat ze bij de gezaghebbende naamservers een nieuwe kopie opvragen.