Wat is DNS-cache? Zo werkt DNS-caching en zo leeg je de cache

DNS-cache is het tijdelijke geheugen waarin je browser, je computer of telefoon, je router en de DNS-server van je internetprovider bewaren bij welk IP-adres een domeinnaam hoort. Bezoek je een website opnieuw, dan komt het adres uit dat geheugen en hoeft het niet opnieuw via internet te worden opgezocht: zo laden websites sneller. Hoe lang een antwoord bewaard blijft, bepaalt de TTL van het DNS-record, en daardoor kan na een wijziging aan een domein nog een tijd een oud antwoord in de cache staan.

In dit artikel lees je hoe DNS-caching werkt, waar de cache zit, wat de voordelen en de uitdagingen zijn en hoe je de DNS-cache bekijkt en leegt op Windows, macOS, Linux, in je browser en op je telefoon.

Wat is DNS-cache?

DNS (Domain Name System) vertaalt namen als ljpc-hosting.nl naar de IP-adressen waarmee computers verbinding maken. Dat opzoeken heet een DNS-lookup. Het antwoord bewaren voor de volgende keer heet DNS-caching, en de plek waar dat antwoord ligt, is de DNS-cache.

Elk antwoord in de cache krijgt een houdbaarheid mee: de TTL (time to live). Dat is een aantal seconden dat de beheerder van het domein per record instelt. Staat de TTL op 3600, dan mag een cache het antwoord een uur gebruiken. Daarna gooit hij het weg en haalt hij het bij de volgende vraag opnieuw op. Hoe de TTL doorwerkt als je iets aan je DNS verandert, lees je in DNS-propagatie.

Hoe werkt DNS-caching?

Typ je een websiteadres in, dan loopt de vraag langs een reeks caches. De eerste die het antwoord heeft, geeft het terug:

1. Je browser kijkt of hij de naam onlangs zelf heeft opgezocht.
2. Je besturingssysteem (Windows, macOS, Linux, iOS of Android) kijkt in zijn eigen DNS-cache. Op Windows staan daar ook de vaste regels uit het hosts-bestand.
3. Je router geeft de vraag door en bewaart bij veel modellen ook zelf antwoorden.
4. De resolver, de DNS-server van je internetprovider of een publieke DNS-server zoals die van Google of Cloudflare, kijkt in zijn cache. Daar staan de antwoorden die hij eerder voor al zijn gebruikers ophaalde, dus populaire namen staan er bijna altijd al in.
5. Heeft niemand het antwoord, dan vraagt de resolver het op bij de rootservers van internet, daarna bij de servers van de extensie (zoals .nl) en tot slot bij de nameservers van het domein. Die geven het officiële antwoord.
6. Op de terugweg bewaart elke schakel het antwoord zo lang als de TTL toestaat. De TTL telt daarbij af: krijg je een antwoord uit de cache van een resolver, dan zie je hoeveel seconden het daar nog geldig is.

Ook het antwoord dat een naam niet bestaat (NXDOMAIN) wordt bewaard. Dat heet negatieve caching. Hoe lang dat mag, staat in het SOA-record van het domein.

Waar zit de DNS-cache?

Wat is een caching DNS-server?

Een caching DNS-server, ook resolver of recursieve DNS-server genoemd, is de DNS-server die jouw apparaat gebruikt om namen op te zoeken. Hij zoekt het antwoord voor je op en bewaart het, zodat de volgende vraag van jou of van een andere gebruiker meteen beantwoord wordt. Standaard is dat de DNS-server van je internetprovider. Wil je een andere, bijvoorbeeld voor extra privacy of een filter tegen malware, lees dan publieke DNS-servers vs die van je provider.

Daartegenover staat de autoritatieve nameserver. Die bewaart geen antwoorden van anderen, maar is zelf de bron voor de domeinen die hij beheert. Voor domeinen bij LJPc zijn dat ns1, ns2 en ns3.ljpc.network.

Voordelen van DNS-caching

• Websites laden sneller. Een antwoord uit de cache is er direct, zonder de route langs rootservers en nameservers. Dat telt op, want een pagina met onderdelen van meerdere domeinen (lettertypen, video's, statistieken) heeft voor elk domein een lookup nodig.
• Minder belasting en minder verkeer. Resolvers en nameservers krijgen veel minder vragen, omdat een antwoord voor veel gebruikers tegelijk wordt hergebruikt.
• Een korte storing merk je minder. Is een nameserver kort onbereikbaar, dan blijven antwoorden die al in caches staan werken tot hun TTL verloopt.

Nadelen en uitdagingen van DNS-caching

Verouderde antwoorden na een wijziging

Zet je je website op een andere server of verander je het MX-record voor je e-mail, dan blijven caches het oude antwoord geven tot de TTL is verlopen. Daardoor ziet de een de nieuwe website al en de ander nog de oude. Op je eigen apparaat los je dat op door de cache te legen (zie verderop). Voor de rest van internet helpt het om de TTL ruim vooraf te verlagen; hoe dat gaat, lees je in DNS-propagatie.

Niet elke resolver volgt de TTL precies

Een resolver mag een antwoord korter bewaren dan de TTL aangeeft. Google Public DNS bewaart antwoorden in de regel hooguit zes uur, ook als de TTL langer is. Daarnaast houden sommige resolvers een antwoord langer vast dan de TTL toestaat. Reken bij een wijziging daarom op wat speling.

Een nieuwe naam die nog niet werkt

Heeft iemand een subdomein opgezocht voordat het bestond, dan staat het antwoord "bestaat niet" in de cache. Maak je het subdomein daarna aan, dan blijft het voor die persoon onvindbaar tot die negatieve cache verloopt. Leeg je eigen cache als je een nieuw subdomein of record meteen wilt testen.

DNS-cache poisoning

Bij cache poisoning, ook DNS-spoofing genoemd, probeert een aanvaller een vals antwoord in de cache van een resolver te krijgen. Bezoekers komen dan op een nagemaakte website uit, terwijl in hun adresbalk de juiste naam staat. In 2008 liet beveiligingsonderzoeker Dan Kaminsky zien hoe dat veel sneller kon dan gedacht (CERT/CC VU#800113). Sindsdien versturen resolvers hun vragen vanaf willekeurige poorten, waardoor een vals antwoord veel moeilijker te raden is. Helemaal uitsluiten doet dat het volgens CERT/CC niet. Daarvoor is DNSSEC: met een digitale handtekening controleert een resolver of een antwoord echt van de nameservers van het domein komt. Hoe dat werkt, lees je in wat is DNSSEC.

DNS-cache bekijken

• Windows: typ in de Opdrachtprompt ipconfig /displaydns. Je ziet de bewaarde antwoorden en de regels uit het hosts-bestand. In PowerShell geeft Get-DnsClientCache dezelfde lijst als tabel.
• Linux met systemd-resolved (versie 254 of nieuwer): sudo resolvectl show-cache.
• Firefox: typ in de adresbalk about:networking#dns. Je ziet per naam de adressen en na hoeveel seconden het antwoord verloopt.
• Chrome en Edge: de pagina chrome://net-internals/#dns (in Edge edge://net-internals/#dns) toont geen lijst meer, maar je kunt er een naam opzoeken en de cache legen.

DNS-cache legen: zo doe je het per apparaat

De DNS-cache legen (in het Engels: flush DNS) is veilig. Je wist alleen bewaarde adressen, geen wachtwoorden, bladwijzers of bestanden. Je apparaat zoekt namen daarna opnieuw op. Leeg de cache als je na een DNS-wijziging nog de oude website ziet, als een nieuw subdomein bij jou niet werkt terwijl het elders wel werkt, of als een website bij jou een foutmelding geeft en bij anderen niet.

Windows 10 en 11

1. Klik op Start en typ cmd.
2. Klik met de rechtermuisknop op Opdrachtprompt en kies Als administrator uitvoeren.
3. Typ ipconfig /flushdns en druk op Enter. Windows meldt dat de DNS-cache is leeggemaakt.

In PowerShell doet Clear-DnsClientCache hetzelfde.

macOS

1. Druk op Command en de spatiebalk, typ Terminal en druk op Enter.
2. Typ sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder en druk op Enter.
3. Vul het wachtwoord van je Mac in en druk op Enter. Je ziet geen tekens terwijl je typt. Er volgt geen bevestiging: krijg je geen foutmelding, dan is de cache leeg.

Linux

Op distributies met systemd-resolved, zoals Ubuntu en Fedora, leeg je de cache met sudo resolvectl flush-caches. Gebruikt je systeem een andere DNS-cache, zoals dnsmasq of nscd, herstart dan die dienst.

Chrome en Edge

Chrome en Microsoft Edge, dat op dezelfde basis (Chromium) is gebouwd, houden naast je besturingssysteem een eigen DNS-cache bij. De pagina's hieronder zijn alleen in het Engels.

1. Typ in de adresbalk chrome://net-internals/#dns (in Edge: edge://net-internals/#dns) en druk op Enter.
2. Klik op Clear host cache.
3. Ga naar chrome://net-internals/#sockets (in Edge: edge://net-internals/#sockets) en klik op Flush socket pools. Dat sluit verbindingen die nog openstaan naar het oude adres. Pagina's die op dat moment laden, kunnen haperen; laad ze daarna opnieuw.

Firefox

1. Typ in de adresbalk about:networking#dns en druk op Enter.
2. Klik op DNS-buffer wissen (in een Engelstalige Firefox: Clear DNS Cache).

Safari

Safari heeft geen eigen knop om de DNS-cache te legen. Leeg op je Mac de cache van macOS zoals hierboven en sluit Safari daarna helemaal af met Command+Q.

iPhone, iPad en Android

Telefoons en tablets hebben geen knop of commando om de DNS-cache te legen. Herstart je toestel: het begint dan met een lege cache.

Router

Geeft je router de DNS door aan je apparaten, dan bewaart hij vaak ook zelf antwoorden. Herstart je router om die cache te legen. Je internetverbinding valt daarbij weg tot de router weer is opgestart.

De cache van Google en Cloudflare verversen

De cache van de DNS-server van je internetprovider kun je niet zelf legen: daar wacht je tot de TTL verloopt. Bij de publieke DNS-servers van Google en Cloudflare kan het wel, per domeinnaam. Je hoeft daarvoor niet aan te tonen dat het domein van jou is.

• Google Public DNS (8.8.8.8): vul op dns.google/cache bij Domain Name de naam in, kies bij RR Type het recordtype, los de reCAPTCHA op en klik op Flush Cache. Is je domein net verhuisd naar andere nameservers, ververs dan eerst het hoofddomein en daarna pas subdomeinen zoals www.
• Cloudflare (1.1.1.1): vul op one.one.one.one/purge-cache de domeinnaam in, kies het recordtype en klik op Purge Cache.

Dit helpt iedereen die die DNS-servers gebruikt. Voor alle anderen blijft de TTL bepalen wanneer ze het nieuwe antwoord krijgen.

DNS-cache en je domein bij LJPc hosting

Gebruikt je domein de nameservers van LJPc (ns1, ns2 en ns3.ljpc.network), dan beheren wij de bron waar alle caches hun antwoord vandaan halen. Dit kun je van ons verwachten:

• Een wijziging staat binnen een minuut op onze nameservers. Je beheert je records in Plesk als er een hostingpakket bij je domein hoort, en in het klantenportaal als je alleen DNS-beheer bij ons hebt. In Plesk klik je na het opslaan boven de lijst op Update (Bijwerken). Hoe je een record aanpast, lees je in DNS-records beheren.
• De TTL staat meestal op een uur (3600 seconden), bij een deel van de domeinen op een dag. Je past de TTL per record zelf aan. Verlaag hem ruim voor een verhuizing, dan is de overstap daarna snel overal zichtbaar. Met dig @ns1.ljpc.network jouwdomein.nl zie je welke TTL je record nu heeft.
• Het antwoord "bestaat niet" blijft hooguit een uur in de cache. Een nieuw subdomein of record is zo uiterlijk een uur later voor iedereen zichtbaar, ook voor wie de naam eerder tevergeefs opzocht.
• DNSSEC regelen we automatisch als je domein bij ons is geregistreerd en onze nameservers gebruikt. Bezoekers met een controlerende resolver zijn zo beschermd tegen vervalste antwoorden.

De DNS-cache staat los van de cache van je website. Die bewaart pagina's en afbeeldingen om ze sneller te tonen; hoe je die inzet, lees je in website versnellen met caching en compressie.

Zie je na het legen van je cache en het verlopen van de TTL nog steeds een oud of fout antwoord, dan speelt er waarschijnlijk iets anders. Loop de stappen in DNS-problemen oplossen na, of maak een supportticket aan: dan zoeken we het met je uit.