DNS-resolver

Wat is een DNS-oplosser?

Een DNS resolver (ook wel een recursieve resolver of recursieve DNS server) is een server die DNS queries ontvangt van client apparaten en het werk uitvoert van het opsporen van het IP adres voor een domeinnaam. Resolvers fungeren als tussenpersonen tussen clients en de DNS-hiërarchie, waarbij ze de recursie verwerken via root, TLD en gezaghebbende nameservers.

Hoe DNS-oplossers werken

Het afwikkelingsproces

Wanneer u "example.com" in uw browser typt:

1. Client → Resolver: "What's the IP for example.com?"

2. Resolver checks cache
   → Cache hit: Return cached result
   → Cache miss: Begin recursion

3. Resolver → Root Server: "Where's .com?"
   Root → Resolver: "Ask these .com nameservers"

4. Resolver → .com TLD: "Where's example.com?"
   .com → Resolver: "Ask these nameservers"

5. Resolver → Authoritative NS: "What's example.com's IP?"
   Auth NS → Resolver: "203.0.113.50"

6. Resolver → Client: "203.0.113.50"
   (Also caches result based on TTL)

Recursieve vs iteratieve zoekopdrachten

Client: "Give me the final answer for example.com"
Resolver: "Here's the IP: 203.0.113.50"
        (Resolver does all the work)

Resolver: "What's example.com?"
Root: "I don't know, ask .com servers"
Resolver: "What's example.com?"
.com: "I don't know, ask ns1.example.com"
Resolver: "What's example.com?"
ns1: "203.0.113.50"

Soorten oplossers

Stub-oplosser

Ingebouwd in besturingssystemen en toepassingen:

• Doorschakelt vragen naar geconfigureerde DNS-servers
• Minimale logica
• Voert geen recursie uit

Recursieve oplossing

Volledig uitgeruste servers die volledige DNS-resolutie uitvoeren:

• Resultaten van Caches
• Volgt verwijzingen
• Implementeert beveiligingsfuncties

Doorsturen van oplossing

Stuurt queries door naar een andere resolver in plaats van recursie:

• Gemeenschappelijk in bedrijfsnetwerken
• Centrale beleidshandhaving
• Minder externe vragen

Client → Corporate Resolver (forwarding) → ISP Resolver (recursive) → Internet

Popular Public Resolvers

Uw oplossing wijzigen

Control Panel → Network → Adapter Settings
→ Properties → IPv4 → Use these DNS servers:
   Preferred: 1.1.1.1
   Alternate: 8.8.8.8

System Preferences → Network → Advanced → DNS
→ Add: 1.1.1.1, 8.8.8.8

nameserver 1.1.1.1
nameserver 8.8.8.8

Functies voor oplossen

Caching

Resolvers cache DNS antwoorden gebaseerd op TTL:

First query: example.com
→ Full recursion (50ms)
→ Cached for 300s (TTL)

Subsequent queries: example.com
→ Cache hit (1ms)
→ Served until TTL expires

Negatieve Caching

Resolvers ook cache negatieve reacties (NXDOMAIN):

Query: nonexistent.example.com
Response: NXDOMAIN
Cached: Based on SOA minimum TTL

Dit voorkomt herhaalde vragen voor niet-bestaande domeinen.

Minimalisatie opvragen

Moderne oplossers minimaliseren de openbaarmaking van informatie:

Query to .com: "What's www.blog.example.com?"
→ Exposes full subdomain structure

Query to .com: "What's example.com?"
Query to example.com NS: "What's blog.example.com?"
Query to blog.example.com NS: "What's www.blog.example.com?"
→ Reveals only necessary information at each level

DNSSEC Validatie

Security-aware resolvers valideren DNSSEC handtekeningen:

Query: example.com (DNSSEC-signed)
→ Resolver validates signatures
→ Returns AD (Authentic Data) flag if valid
→ Returns SERVFAIL if signatures invalid

Functies voor het oplossen van beveiliging

DNS over HTTPS (DoH)

Versleutelt DNS-queries over HTTPS:

Traditional DNS:
Client → Resolver (UDP port 53, plaintext)

DNS over HTTPS:
Client → Resolver (TCP port 443, encrypted)

DNS via TLS (DoT)

Versleutelt DNS-queries via TLS:

Client → Resolver (TCP port 853, encrypted)

Malware/Phishing-filters

Sommige resolvers blokkeren bekende kwaadaardige domeinen:

Percentage beperking

Beschermt tegen DNS versterkingsaanvallen:

If source IP sends > threshold queries/second:
→ Temporarily rate limit or block

Uw huidige oplossing controleren

ipconfig /all | findstr "DNS Servers"

cat /etc/resolv.conf

dig example.com
# Look at "SERVER:" in output

Prestaties van oplossers

Matigheid

Resolver response time beïnvloedt webprestaties:

Anycast Routing

Belangrijke resolvers gebruiken anycast voor lage latentie:

1.1.1.1 anycast IP
→ Routed to nearest Cloudflare datacenter
→ New York query → New York datacenter
→ London query → London datacenter
→ Result: Global low-latency resolution

Meetprestatie van de oplosser

# Tests multiple resolvers with your actual query patterns
namebench

# Test Cloudflare
time dig @1.1.1.1 example.com

# Test Google
time dig @8.8.8.8 example.com

# Test ISP (current)
time dig example.com

Gemeenschappelijke oplossingen

DNS Vergiftiging

Aanvallers injecteren valse records in resolver cache:

• Gebruik resolvers met DNSSEC validatie
• Bronpoortrandomisatie inschakelen
• Gebruik DoH/DoT om mens-in-het-midden aanvallen te voorkomen

Oplosserkaping

ISP's of malware redirect DNS queries:

• Overstappen naar publieke oplossing (1.1.1.1, 8.8.8.8)
• Gebruik DoH/DoT om ISP interferentie te voorkomen
• Controleer op malware

Stamcache

Resolver caches verouderde records:

• Wacht tot TTL verloopt
• Gebruik andere resolver tijdelijk
• Flush lokale cache

Blokkering van oplossingen

Sommige netwerken blokkeren externe oplossers:

• Gebruik DNS over HTTPS (harder om te blokkeren)
• Gebruik het DoH eindpunt van resolver

Een lokale oplossing instellen

Niet geconsolideerd

# Install Unbound (Linux)
sudo apt install unbound

# Basic config (/etc/unbound/unbound.conf)
server:
  interface: 127.0.0.1
  do-ip4: yes
  do-udp: yes
  do-tcp: yes

  # Enable DNSSEC
  auto-trust-anchor-file: "/var/lib/unbound/root.key"

  # Privacy (query minimization)
  qname-minimisation: yes

# Start service
sudo systemctl start unbound
sudo systemctl enable unbound

Pi-hole gebruiken

Netwerkbrede ad-blocking DNS resolver:

# Install Pi-hole
curl -sSL https://install.pi-hole.net | bash

# Configure devices to use Pi-hole as resolver
# Set router DHCP to provide Pi-hole IP as DNS

Beste praktijken

1. Gebruik gerenommeerde publieke oplossers: Cloudflare, Google of Quad9 voor betrouwbaarheid

2. DoH/DoT inschakelen: Vragen versleutelen voor privacy en veiligheid

3. Voorzien van resolverfuncties: Kies op basis van privacy, snelheid of veiligheidsbehoeften

4. Monitor resolver prestaties: Testlatentie periodiek

5. Heb back-up resolvers: Tweede DNS configureren voor redundantie

6. Gebruik DNSSEC-validerende resolvers: Beschermen tegen cachevergiftiging

7. Begrijp het beleid van uw resolver: Sommige filterinhoud, sommige log queries

8. Test na wijzigingen: Controleren of DNS-resolutie correct werkt

9. Documentoplossingskeuze: Merk op waarom u een bepaalde oplossing koos

10. Update resolv.conf zorgvuldig: Onjuiste configuratie breekt DNS volledig

Resolver vs Auturitative Nameserver

DNS-oplossers zijn de werkpaarden van het DNS-systeem.Het kiezen van een snelle, veilige, privacy-respecterende resolver beïnvloedt aanzienlijk uw surfervaring en online beveiliging.