DNS-resolver

Wat is een DNS-resolver?

Een DNS resolver (ook wel een recursieve resolver of recursieve DNS server) is een server die DNS queries ontvangt van client apparaten en het werk uitvoert van het opsporen van het IP adres voor een domeinnaam. Resolvers fungeren als tussenpersonen tussen clients en de DNS-hiërarchie, waarbij ze de recursie verwerken via root, TLD en gezaghebbende nameservers.

Hoe DNS-resolvers werken

Het resolutieproces

Wanneer u "example.com" in uw browser typt:

1. Client → Resolver: "What's the IP for example.com?"

2. Resolver checks cache
   → Cache hit: Return cached result
   → Cache miss: Begin recursion

3. Resolver → Root Server: "Where's .com?"
   Root → Resolver: "Ask these .com nameservers"

4. Resolver → .com TLD: "Where's example.com?"
   .com → Resolver: "Ask these nameservers"

5. Resolver → Authoritative NS: "What's example.com's IP?"
   Auth NS → Resolver: "203.0.113.50"

6. Resolver → Client: "203.0.113.50"
   (Also caches result based on TTL)

Recursieve vs iteratieve zoekopdrachten

Client: "Give me the final answer for example.com"
Resolver: "Here's the IP: 203.0.113.50"
        (Resolver does all the work)

Resolver: "What's example.com?"
Root: "I don't know, ask .com servers"
Resolver: "What's example.com?"
.com: "I don't know, ask ns1.example.com"
Resolver: "What's example.com?"
ns1: "203.0.113.50"

Soorten resolvers

Stub-resolver

Ingebouwd in besturingssystemen en toepassingen:

• Doorschakelt vragen naar geconfigureerde DNS-servers
• Minimale logica
• Voert geen recursie uit

Recursieve resolver

Volledig uitgeruste servers die volledige DNS-resolutie uitvoeren:

• Resultaten van Caches
• Volgt verwijzingen
• Implementeert beveiligingsfuncties

Forwarding-resolver

Stuurt queries door naar een andere resolver in plaats van recursie:

• Gemeenschappelijk in bedrijfsnetwerken
• Centrale beleidshandhaving
• Minder externe vragen

Client → Corporate Resolver (forwarding) → ISP Resolver (recursive) → Internet

Populaire openbare resolvers

Uw resolver wijzigen

Control Panel → Network → Adapter Settings
→ Properties → IPv4 → Use these DNS servers:
   Preferred: 1.1.1.1
   Alternate: 8.8.8.8

System Preferences → Network → Advanced → DNS
→ Add: 1.1.1.1, 8.8.8.8

nameserver 1.1.1.1
nameserver 8.8.8.8

Resolverfuncties

Caching

Resolvers cache DNS antwoorden gebaseerd op TTL:

First query: example.com
→ Full recursion (50ms)
→ Cached for 300s (TTL)

Subsequent queries: example.com
→ Cache hit (1ms)
→ Served until TTL expires

Negatieve caching

Resolvers ook cache negatieve reacties (NXDOMAIN):

Query: nonexistent.example.com
Response: NXDOMAIN
Cached: Based on SOA minimum TTL

Dit voorkomt herhaalde vragen voor niet-bestaande domeinen.

Queryminimalisatie

Moderne oplossers minimaliseren de openbaarmaking van informatie:

Query to .com: "What's www.blog.example.com?"
→ Exposes full subdomain structure

Query to .com: "What's example.com?"
Query to example.com NS: "What's blog.example.com?"
Query to blog.example.com NS: "What's www.blog.example.com?"
→ Reveals only necessary information at each level

DNSSEC-validatie

Security-aware resolvers valideren DNSSEC handtekeningen:

Query: example.com (DNSSEC-signed)
→ Resolver validates signatures
→ Returns AD (Authentic Data) flag if valid
→ Returns SERVFAIL if signatures invalid

Beveiligingsfuncties van een resolver

DNS over HTTPS (DoH) gebruiken

Versleutelt DNS-queries over HTTPS:

Traditional DNS:
Client → Resolver (UDP port 53, plaintext)

DNS over HTTPS:
Client → Resolver (TCP port 443, encrypted)

DNS via TLS (DoT)

Versleutelt DNS-queries via TLS:

Client → Resolver (TCP port 853, encrypted)

Malware/Phishing-filters

Sommige resolvers blokkeren bekende kwaadaardige domeinen:

Snelheidsbeperking

Beschermt tegen DNS versterkingsaanvallen:

If source IP sends > threshold queries/second:
→ Temporarily rate limit or block

Uw huidige resolver controleren

ipconfig /all | findstr "DNS Servers"

cat /etc/resolv.conf

dig example.com
# Look at "SERVER:" in output

Resolverprestaties

Latentie is belangrijk

Resolver response time beïnvloedt webprestaties:

Anycast-routering

Belangrijke resolvers gebruiken anycast voor lage latentie:

1.1.1.1 anycast IP
→ Routed to nearest Cloudflare datacenter
→ New York query → New York datacenter
→ London query → London datacenter
→ Result: Global low-latency resolution

Resolverprestaties meten

# Tests multiple resolvers with your actual query patterns
namebench

# Test Cloudflare
time dig @1.1.1.1 example.com

# Test Google
time dig @8.8.8.8 example.com

# Test ISP (current)
time dig example.com

Veelvoorkomende resolverproblemen

DNS-vergiftiging

Aanvallers injecteren valse records in resolver cache:

• Gebruik resolvers met DNSSEC validatie
• Bronpoortrandomisatie inschakelen
• Gebruik DoH/DoT om mens-in-het-midden aanvallen te voorkomen

Resolverkaping

ISP's of malware redirect DNS queries:

• Overstappen naar publieke oplossing (1.1.1.1, 8.8.8.8)
• Gebruik DoH/DoT om ISP interferentie te voorkomen
• Controleer op malware

Verouderde cache

Resolver caches verouderde records:

• Wacht tot TTL verloopt
• Gebruik andere resolver tijdelijk
• Flush lokale cache

Resolverblokkering

Sommige netwerken blokkeren externe oplossers:

• Gebruik DNS over HTTPS (harder om te blokkeren)
• Gebruik het DoH eindpunt van resolver

Een lokale resolver configureren

Unbound gebruiken

# Install Unbound (Linux)
sudo apt install unbound

# Basic config (/etc/unbound/unbound.conf)
server:
  interface: 127.0.0.1
  do-ip4: yes
  do-udp: yes
  do-tcp: yes

  # Enable DNSSEC
  auto-trust-anchor-file: "/var/lib/unbound/root.key"

  # Privacy (query minimization)
  qname-minimisation: yes

# Start service
sudo systemctl start unbound
sudo systemctl enable unbound

Pi-hole gebruiken

Netwerkbrede ad-blocking DNS resolver:

# Install Pi-hole
curl -sSL https://install.pi-hole.net | bash

# Configure devices to use Pi-hole as resolver
# Set router DHCP to provide Pi-hole IP as DNS

Beste praktijken

1. Gebruik gerenommeerde publieke oplossers: Cloudflare, Google of Quad9 voor betrouwbaarheid

2. DoH/DoT inschakelen: Vragen versleutelen voor privacy en veiligheid

3. Voorzien van resolverfuncties: Kies op basis van privacy, snelheid of veiligheidsbehoeften

4. Monitor resolver prestaties: Testlatentie periodiek

5. Heb back-up resolvers: Tweede DNS configureren voor redundantie

6. Gebruik DNSSEC-validerende resolvers: Beschermen tegen cachevergiftiging

7. Begrijp het beleid van uw resolver: Sommige filterinhoud, sommige log queries

8. Test na wijzigingen: Controleren of DNS-resolutie correct werkt

9. Documentoplossingskeuze: Merk op waarom u een bepaalde oplossing koos

10. Update resolv.conf zorgvuldig: Onjuiste configuratie breekt DNS volledig

Resolver versus autoritatieve nameserver

DNS-oplossers zijn de werkpaarden van het DNS-systeem.Het kiezen van een snelle, veilige, privacy-respecterende resolver beïnvloedt aanzienlijk uw surfervaring en online beveiliging.