NS-record uitgelegd: nameservers van je domein

Een NS-record (name server record) bepaalt welke nameservers verantwoordelijk zijn voor je domein. Het vertelt de rest van het internet waar de officiële DNS-gegevens van je domein te vinden zijn. Snap je hoe het NS-record werkt, dan weet je precies wat er gebeurt als je naar een andere hosting- of DNS-provider verhuist of een subdomein aan een andere partij overdraagt. In dit artikel lees je wat een NS-record is, waar het staat en hoe je het veilig aanpast.

Wat is een NS-record?

NS staat voor name server. Het NS-record is een van de oudste en belangrijkste typen DNS-records, in de techniek bekend als type 2 en vastgelegd in RFC 1035. Het wijst naar de hostnaam van een nameserver, bijvoorbeeld ns1.ljpc.network, en zegt in feite: vraag deze server om de DNS-gegevens van dit domein.

Een NS-record verwijst altijd naar een hostnaam, nooit rechtstreeks naar een IP-adres. Een resolver (de DNS-server die namens een bezoeker het opzoekwerk doet) zoekt daarna zelf het IP-adres van die nameserver op via de bijbehorende A- of AAAA-records.

Een nameserver is de server die de DNS-records van een domein beheert en uitserveert, zoals je A-record, MX-record en TXT-records. Het NS-record bepaalt welke nameservers dat voor jouw domein mogen doen.

Waar NS-records staan: bij de registry en in je eigen zone

NS-records komen op twee plekken voor, en dat verschil is de kern van hoe delegatie werkt. Delegatie betekent dat de verantwoordelijkheid voor een domein wordt doorgegeven aan een set nameservers.

De delegatie bij de registry

Bovenaan staat de registry: de organisatie die de extensie van je domein beheert. Voor .nl is dat SIDN. In de zone van die extensie staan NS-records die naar jouw nameservers verwijzen. Dit heet de delegatie: de registry draagt de verantwoordelijkheid voor jouw domein over aan jouw nameservers.

Deze NS-records bepalen in de praktijk waar de hele wereld jouw DNS opvraagt. Je stelt ze in via je registrar, in het veld dat meestal gewoon nameservers heet. Technisch gezien zijn deze records niet autoritatief: ze verwijzen alleen door naar de echte bron.

De NS-records in je eigen zone

In je eigen DNS-zone, op het hoofddomein (de apex), staan nog een keer NS-records. Dit zijn de autoritatieve NS-records: je nameservers bevestigen hiermee zelf dat zij verantwoordelijk zijn. Bij de meeste providers worden deze records automatisch geplaatst en kun je ze niet zomaar verwijderen.

Belangrijk is dat beide sets met elkaar overeenkomen. Verwijzen de NS-records bij de registry naar andere servers dan de NS-records in je zone, dan ontstaan er verwarrende fouten en kan je domein onbetrouwbaar worden.

Hoe een domein zijn nameservers vindt

Als iemand jouw website of e-mail bezoekt, doorloopt een resolver een korte zoektocht:

1. Eerst vraagt de resolver het bij de rootservers. Die verwijzen door naar de nameservers van de juiste extensie, bijvoorbeeld .nl.
2. De nameservers van die extensie geven via hun NS-records door welke nameservers verantwoordelijk zijn voor jouw domein.
3. De resolver stelt zijn vraag vervolgens aan een van jouw nameservers en krijgt daar het echte antwoord, bijvoorbeeld het IP-adres uit je A-record.

Deze keten van doorverwijzingen is de delegatie in actie. Het NS-record is bij elke stap de wegwijzer naar de volgende halte.

Van nameservers wisselen: naar een andere provider verhuizen

Wil je je DNS bij een andere partij onderbrengen, bijvoorbeeld omdat je naar een nieuw hostingpakket verhuist, dan wijzig je de nameservers bij je registrar. Werk daarbij rustig en in de juiste volgorde, zodat je domein bereikbaar blijft:

1. Zet eerst bij de nieuwe provider de complete DNS-zone klaar. Neem al je records (A, AAAA, MX, TXT en de rest) nauwkeurig over.
2. Controleer of de nieuwe nameservers je domein al correct beantwoorden, ook al staat de delegatie nog niet om.
3. Wijzig pas daarna bij je registrar de nameservers naar die van de nieuwe provider. Bij LJPc hosting zijn dat ns1.ljpc.network tot en met ns4.ljpc.network.
4. Houd er rekening mee dat de wijziging niet meteen overal zichtbaar is. Door de TTL (de tijd dat gegevens worden gecachet) bij de extensie kan het tot 24 of 48 uur duren voordat iedereen je nieuwe nameservers gebruikt.

Verwijder de oude zone pas als je zeker weet dat al het verkeer via de nieuwe nameservers loopt.

Een subdomein delegeren met NS-records

Je kunt NS-records ook gebruiken om een deel van je domein aan een andere partij of een andere DNS-omgeving over te dragen. Dat heet subdomein-delegatie.

Stel dat status.voorbeeld.nl door een externe statuspagina wordt beheerd. Dan plaats je in de zone van voorbeeld.nl een NS-record voor status dat naar de nameservers van die dienst wijst. Vanaf dat punt is die externe omgeving autoritatief voor alles onder status.voorbeeld.nl, terwijl jij de rest van het domein gewoon zelf beheert.

Gebruik subdomein-delegatie alleen als je het echt nodig hebt. Voor een gewone verwijzing naar een externe dienst is meestal een CNAME-record of A-record genoeg.

Glue-records en eigen nameservers

Soms vallen de nameservers van een domein onder datzelfde domein. Een voorbeeld: de nameservers van voorbeeld.nl heten ns1.voorbeeld.nl en ns2.voorbeeld.nl. Dan ontstaat er een kip-en-eivraag. Om voorbeeld.nl op te zoeken heb je de nameservers nodig, maar die staan zelf onder voorbeeld.nl.

Dit lost het systeem op met glue-records. Dat zijn A- of AAAA-records die de registry bij de delegatie meelevert, zodat een resolver het IP-adres van die nameservers toch kan vinden. Je stelt glue-records in bij je registrar, vaak onder een kopje als eigen nameservers of glue records.

Gebruik je de nameservers van je hostingprovider, zoals ns1.ljpc.network, dan hoef je je hier geen zorgen over te maken. De glue-records zijn dan al door die provider geregeld.

NS-records controleren

Je kunt zelf opzoeken welke nameservers voor een domein zijn ingesteld. Op macOS of Linux gebruik je dig:

dig NS voorbeeld.nl +short

Op Windows werkt nslookup:

nslookup -type=NS voorbeeld.nl

Wil je zien wat de extensie via de delegatie doorgeeft, in plaats van wat je eigen zone zegt, gebruik dan dig met de optie +trace. Die volgt de hele keten van de rootservers tot je domein:

dig +trace NS voorbeeld.nl

Komen de nameservers uit beide bronnen overeen, dan is je delegatie in orde.

Veelvoorkomende problemen

Het NS-record is de wegwijzer van je domein: het bepaalt welke nameservers de dienst doen en zorgt dat verhuizingen en delegaties soepel verlopen. Kom je er niet uit? Neem dan contact op met support, dan kijken we met je mee.