Module 8 · 8.3
Online DNS-tools
Bekijk het in een korte film
Module 8: Veiligheid en problemen oplossen · Leestijd: 7 minuten
Leerdoel: Na deze les kies je voor elke vraag over je DNS de juiste online tool en weet je hoe je de uitslag leest.
Kernbegrippen: online dig, DNS-checker per land, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, e-mailcheck, domeingezondheid
Waarom online tools?
Een online tool stelt je vraag vanaf een andere plek dan jouw computer. Dat heeft twee voordelen. Je hebt geen last van de cache van je eigen computer of router, en je ziet wat de rest van internet ziet. Bovendien combineren veel tools tientallen controles in één klik, waar je met dig elke vraag apart moet stellen.
Er is niet één tool die alles het best doet. Kies op basis van je vraag.
Welke tool voor welke vraag?
| Je vraag | Geschikte tool | Wat je ziet |
|---|---|---|
| "Wat geeft de DNS nu precies terug?" | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), of een andere online dig | Hetzelfde als dig, zonder dat je iets installeert |
| "Ziet de hele wereld mijn wijziging al?" | dnschecker.org (of vergelijkbare "DNS propagation checkers") | Het antwoord van tientallen resolvers in verschillende landen naast elkaar |
| "Is mijn domein modern en veilig ingericht?" | internet.nl (van het Nederlandse Internetstandaarden Platform) | Score voor website (IPv6, DNSSEC, https) en e-mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| "Klopt mijn DNSSEC-keten?" | DNSViz (dnsviz.net) | Een plaatje van de keten van root naar jouw domein, met fouten in rood |
| "Staat mijn zone technisch correct?" | Zonemaster (zonemaster.net) | Uitgebreide controle van nameservers, delegatie, SOA en DNSSEC |
| "Hoe staan mijn mailrecords?" | MXToolbox, een e-mailcheck (bijvoorbeeld de E-mailcheck van WebOké), of de controles van je mailprovider | MX, SPF (met aantal opzoekingen), DMARC, zwarte lijsten |
| "Komt mijn verzonden mail goed aan?" | mail-tester.com, of een testmail naar Gmail met "Origineel weergeven" | Of SPF, DKIM en DMARC slagen voor een echte mail |
| "Werken website en mail samen, alles in één overzicht?" | Een domeingezondheidscheck (bijvoorbeeld Domein gezondheid van WebOké) | Nameservers, A-record, www, certificaat, MX, SPF, DMARC, DNSSEC en CAA in één lijst |
De tools van WebOké staan hier als voorbeeld van een "alles in één"-check; andere hostingpartijen en registrars hebben vergelijkbare tools. Gebruik bij twijfel er twee naast elkaar: als twee onafhankelijke tools hetzelfde zeggen, klopt het vrijwel zeker.
Een online dig gebruiken
Een online dig doet precies wat je in les 8.2 leerde. Je vult de naam in (bijvoorbeeld _dmarc.example.com), kiest het type (TXT) en krijgt de ruwe uitvoer. Google's toolbox laat ook de status (NOERROR, NXDOMAIN, SERVFAIL) en de TTL zien. Gebruik deze tool als je wilt weten wat er letterlijk staat, bijvoorbeeld om te controleren of je SPF-record precies één keer voorkomt.
Een DNS-checker per land lezen
Na een wijziging zie je in een checker zoals dnschecker.org vaak een mengeling: in sommige landen het nieuwe adres met een groen vinkje, in andere landen nog het oude. Dat is geen fout. Elke resolver heeft het record op een ander moment opgehaald en telt zijn eigen TTL af (les 6.2).
Twee dingen om op te letten:
- Zie je overal het oude antwoord, ook lang na de TTL? Dan staat de wijziging waarschijnlijk niet op de nameserver die de wereld gebruikt. Controleer welke nameservers je domein heeft (les 2.1).
- Zie je bij sommige resolvers niets (een kruis)? Dan kan het om een SERVFAIL gaan, vaak door DNSSEC. Controleer dan met DNSViz.
internet.nl
internet.nl is een onafhankelijke test van het Nederlandse Internetstandaarden Platform (onder andere SIDN, NLnet Labs en de overheid). Er zijn drie tests: website, e-mail en je eigen verbinding. De uitslag is een percentage met per onderdeel uitleg en een "Hoe te verbeteren".
Lees de uitslag met verstand: niet elk rood onderdeel is een storing. Ontbreekt bijvoorbeeld DANE of IPv6, dan werkt je mail of site gewoon, maar voldoe je niet aan de nieuwste standaard. Rood bij "DNSSEC geldig" of "SPF" is wel belangrijk.
DNSViz
DNSViz tekent de vertrouwensketen van les 8.1: blokken voor de root, de TLD en jouw domein, met pijlen voor DS en DNSKEY. Blauw is veilig, zwart betekent niet ondertekend (geen fout) en rood is kapot; hoe je het plaatje leest, staat in les 8.1. Rode lijnen of rode blokken wijzen precies aan waar de keten breekt, bijvoorbeeld "DS heeft geen bijpassende DNSKEY". Dat is de tool om erbij te pakken als je SERVFAIL krijgt en dig +cd wel een antwoord geeft.
Zonemaster
Zonemaster (gemaakt door onder meer de registry's van .se en .fr) controleert je zone zoals een registry dat doet: zijn er minstens twee nameservers, geven ze allemaal hetzelfde antwoord, klopt het SOA-serienummer overal, zijn de nameservers bereikbaar via IPv4 en IPv6. Fijn voordat je nameservers wijzigt bij een registry die streng controleert. Je kunt ook nameservers testen die nog niet aan het domein gekoppeld zijn ("undelegated test").
Mailtools
Een mailcheck kijkt naar de DNS-kant: is er een MX, is er precies één SPF-record, valt het binnen de tien opzoekingen, is er een DMARC-record. Hij kan niet zien of DKIM werkt, want daarvoor moet je de selector weten. Dat test je met een echte mail: stuur er een naar mail-tester.com of naar een Gmail-adres, en kijk bij "Origineel weergeven" of SPF, DKIM en DMARC op PASS staan.
In de praktijk: zo ziet het eruit in een paneel
Veel panelen hebben een eigen controle. In Mijn WebOké staat op de domeinpagina de kaart Domein / Email gezondheid, met groene, oranje en rode puntjes en soms een herstelknop. Bij Cloudflare zie je meldingen bovenaan je DNS-overzicht, bij Google Workspace en Microsoft 365 een controlepagina in het beheercentrum. Zulke controles kennen jouw situatie het best; een onafhankelijke tool laat zien wat de buitenwereld ziet. Gebruik ze samen.
Samenvatting
- Online tools vragen vanaf een andere plek en hebben geen last van jouw cache.
- Online dig: wat staat er letterlijk. DNS-checker per land: ziet de wereld het al. DNSViz: klopt de DNSSEC-keten. Zonemaster: klopt de zone technisch. internet.nl: modern en veilig ingericht.
- Een mailcheck test de records; een echte testmail test of SPF, DKIM en DMARC slagen.
- Gebruik twee tools naast elkaar als je twijfelt.
Quiz
Opdracht
Test internet.nl met de website- en e-mailtest van internet.nl zelf. Noteer bij de e-mailtest of DNSSEC voor de mailservers (MX) geldig is, en zoek in DNSViz op welk algoritmenummer de DS-records van internet.nl gebruiken. Controleer daarna met een online dig welk beleid (p=) het DMARC-record van internet.nl heeft. Vul de antwoorden in. Opdrachtcode Z8.3.
Verder lezen
Deze artikelen beschrijven de controles van WebOké; de onafhankelijke tools werken voor elk domein.