dig-commando: DNS-opvragingen in Linux en de uitvoer van +short en +trace lezen

Q: 📌 Welk pakket installeer ik als dig: command not found verschijnt?

Op de twee gecontroleerde servers zat dig in het pakket bind-utils op AlmaLinux 9 en in het pakket bind9-dnsutils op Debian 12. Installeer het dus op de RHEL-familie met [sudo dnf install bind-utils] en op de Debian-familie met [sudo apt install bind9-dnsutils]. Beide pakketten installeren ook nslookup.

Q: 📌 Hoe voorkom ik dat ik bij elke dig-opdracht dezelfde opties moet toevoegen?

Volgens de officiële handleiding leest dig de opties in het bestand .digrc in je thuismap en past ze toe vóór de argumenten op de opdrachtregel. Met één regel +short in .digrc toonde [dig example.com] alleen de IP-adressen; met -r werd .digrc niet gelezen en verschenen de recordregels volledig.

Q: 📌 Hoe vraag ik op via TCP in plaats van UDP?

Met +tcp wordt de query via TCP verzonden. Bij dig 9.18 op de Debian 12-server veranderde met +tcp het eind van de SERVER-regel van (UDP) in (TCP), en de ontvangen records waren gelijk.

TestomgevingRHEL-familieAlmaLinux 9.8dig 9.16root-accountDebian 12 · dig 9.18 gewoon accountGecontroleerd op 2026-11-04

Netwerkcommando'sdigLocatie/usr/bin/dig

Wil je de DNS-records van een domein controleren tot en met de antwoordheader van de DNS-server, dan gebruik je het commando dig. Toen we op servers met AlmaLinux 9 en Debian 12 de records van example.com per type opvroegen en de bevraagde DNS-server wisselden, bleek dat je alleen aan status en flags in de antwoordheader al kunt zien of een naam niet bestaat, of de DNS-server geen antwoord kon geven, of dat de server die de records beheert zelf antwoordde.

De uitvoer hieronder komt van een AlmaLinux 9.8-server (root-account) en een Debian 12-server (gewoon account). Het adres van de DNS-server die op de server is ingesteld, is vervangen door de voorbeeldwaarde 192.0.2.53, en ook de versienummers van dig zijn vervangen door voorbeeldwaarden.

Inhoud

8 min. leestijd

1️⃣ Zo gebruik je het dig-commando

↪️ De standaarduitvoer lezen

De basisvorm is [dig @server naam type], waarbij server en type weggelaten kunnen worden. Volgens de officiële handleiding vraagt dig zonder server de DNS-server uit /etc/resolv.conf, en zonder type vraagt het het A-record op.

dig example.com

; <<>> DiG 9.16.20-RH <<>> example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 62441
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;example.com.			IN	A

;; ANSWER SECTION:
example.com.		62	IN	A	104.20.23.154
example.com.		62	IN	A	172.66.147.243

;; Query time: 1 msec
;; SERVER: 192.0.2.53#53(192.0.2.53)
;; WHEN: Thu Oct 29 00:09:18 UTC 2026
;; MSG SIZE  rcvd: 72

Regels die met een puntkomma beginnen zijn commentaarregels; regels zonder puntkomma zijn de records die echt zijn ontvangen. Wat elke sectie laat zien, staat hieronder.

Uitvoer	Wat het toont
; <<>> DiG 9.16.20-RH <<>> example.com	Uitgevoerde dig-versie en ingevoerde argumenten
->>HEADER<<- … status: NOERROR, id: 62441	Antwoordcode (status) en querynummer (id)
flags: qr rd ra	Vlaggen in de antwoordheader — of de antwoordende server recursief heeft gezocht en of hij de records beheert
QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1	Aantal records per sectie
OPT PSEUDOSECTION · EDNS … udp: 4096	EDNS-extensie-informatie en de antwoordgrootte (bytes) die via UDP kan worden ontvangen
QUESTION SECTION	Verzonden vraag — naam, klasse (IN), recordtype
ANSWER SECTION	Ontvangen records — naam, TTL (seconden), klasse, type en waarde, in die volgorde
Query time: 1 msec	Tijd tot het antwoord binnenkwam
SERVER: 192.0.2.53#53(192.0.2.53)	Adres en poortnummer van de DNS-server die antwoordde
WHEN · MSG SIZE rcvd: 72	Tijdstip van de opvraging en grootte van het ontvangen antwoord (bytes)

In de flags-regel betekent qr antwoord, rd recursie gevraagd en ra recursie beschikbaar (RFC 1035). Omdat er ra maar geen aa staat, komt dit antwoord niet van de server die de records beheert, maar van een DNS-server die recursief zoekt.

De 62 in de ANSWER-sectie is de TTL: de resterende tijd (seconden) dat het record in een cache mag blijven. Toen we direct daarna dezelfde naam aan 8.8.8.8 vroegen, kwam er 300 uit — het getal verschilde per DNS-server, afhankelijk van wanneer die het in de cache had gezet.

Doe je dezelfde opvraging met het nslookup-commando , dan staan de antwoordcode en de TTL niet in de standaarduitvoer. De verschillen tussen de uitvoer van beide commando's staan hieronder.

Vergelijking	dig	nslookup
Antwoordcode	Altijd in status op de HEADER-regel	Alleen bij fouten, als regel server can't find
TTL	Op elke recordregel onder ANSWER	Alleen met -debug
DNS-server die antwoordde	SERVER-regel helemaal onderaan	Regels Server · Address helemaal bovenaan
Exitcode bij NXDOMAIN	0	1

De geïnstalleerde dig-versie controleer je met -v. Op de AlmaLinux 9-server was het 9.16, op de Debian 12-server 9.18.

dig -v

DiG 9.16.20-RH

2️⃣ Records opvragen met dig

↪️ A, AAAA, MX, NS, TXT, CNAME, SOA

Zet je na de naam een recordtype, dan wordt alleen dat record opgevraagd. Wat elk type bevat en welke resultaten in dit artikel zijn opgevraagd, staat hieronder.

Type	Inhoud	Resultaat
A	IPv4-adres	example.com → 104.20.23.154 en nog 1
AAAA	IPv6-adres	example.com → 2606:4700:10::6814:179a en nog 1
MX	Mailserver en prioriteit	example.com → 0 . (ontvangt geen mail)
NS	Nameservers die de records beheren	example.com → hera · elliott.ns.cloudflare.com.
TXT	Tekstwaarde zonder vaste vorm (SPF enz.)	example.com → v=spf1 -all en nog 1
CNAME	Alias voor een andere naam	www.github.com → github.com.
SOA	Primaire nameserver van de zone en tijdwaarden	example.com → elliott.ns.cloudflare.com. …
PTR	Naam die aan een IP-adres hangt (omgekeerd)	-x 8.8.8.8 → dns.google.

Mailservers controleer je met het MX-record. De MX-opvraging van example.com gaf in de ANSWER-sectie één regel [0 .].

dig example.com MX

; <<>> DiG 9.16.20-RH <<>> example.com MX
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 34433
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;example.com.			IN	MX

;; ANSWER SECTION:
example.com.		300	IN	MX	0 .

;; Query time: 5 msec
;; SERVER: 192.0.2.53#53(192.0.2.53)
;; WHEN: Thu Oct 29 00:09:23 UTC 2026
;; MSG SIZE  rcvd: 55

0 is de prioriteit, en een MX met alleen een punt op de plek van de mailservernaam is een Null MX: het domein ontvangt geen mail (RFC 7505). Ook met het type in kleine letters, mx, kwam hetzelfde resultaat.

Wil je alleen de recordregels zien, voeg dan [+noall +answer] toe. Volgens de officiële handleiding zet +noall alle uitvoersecties uit en zet +answer alleen de ANSWER-sectie weer aan.

dig example.com NS +noall +answer

example.com.		12192	IN	NS	hera.ns.cloudflare.com.
example.com.		12192	IN	NS	elliott.ns.cloudflare.com.

example.com had twee nameservers. Dat zijn de gezaghebbende nameservers die de records van example.com rechtstreeks beheren.

dig example.com TXT +noall +answer

example.com.		300	IN	TXT	"v=spf1 -all"
example.com.		300	IN	TXT	"_k2n1y4vw3qtb4skdx9e7dxt97qrmmq9"

Een TXT-record kan een tekstwaarde zonder vaste vorm bevatten. v=spf1 -all is een SPF-waarde die zegt dat geen enkele server mail mag versturen onder deze domeinnaam.

dig www.github.com CNAME +noall +answer

www.github.com.		291	IN	CNAME	github.com.

www.github.com was een alias (CNAME) van github.com. Bij dezelfde opvraging zonder type volgde na de CNAME-regel meteen het A-record van github.com.

Met +multiline krijgt een SOA-record naast elk getal een commentaar met naam en tijd, waardoor het makkelijker te lezen is.

dig example.com SOA +multiline +noall +answer

example.com.		1765 IN	SOA elliott.ns.cloudflare.com. dns.cloudflare.com. (
				2418004112 ; serial
				10000      ; refresh (2 hours 46 minutes 40 seconds)
				2400       ; retry (40 minutes)
				604800     ; expire (1 week)
				1800       ; minimum (30 minutes)
				)

serial is een volgnummer dat bij elke wijziging van de records omhooggaat; refresh, retry en expire zijn tijdwaarden waarmee een secundaire nameserver zijn records gelijktrekt met de primaire. minimum is hoelang een antwoord over een naam of record dat niet bestaat in een cache mag blijven.

Heb je alleen de waarden nodig, voeg dan +short toe. Bij het A-record bleven alleen de IP-adressen over, bij MX alleen de prioriteit en de naam van de mailserver.

dig +short example.com

172.66.147.243
104.20.23.154

dig google.com MX +short

10 smtp.google.com.

Voeg je na [+noall +answer] ook +stats toe, dan verschijnen ook de opvraagtijd en de regel van de server die antwoordde. Bij dig 9.18 op de Debian 12-server stond aan het eind van de SERVER-regel de verzendmethode van de query, (UDP); dig 9.16 op de AlmaLinux 9-server toonde dat niet.

dig example.com +noall +answer +stats

example.com.		235	IN	A	172.66.147.243
example.com.		235	IN	A	104.20.23.154
;; Query time: 0 msec
;; SERVER: 192.0.2.53#53(192.0.2.53) (UDP)
;; WHEN: Thu Oct 29 00:10:26 UTC 2026
;; MSG SIZE  rcvd: 72

3️⃣ DNS-server kiezen met dig en omgekeerde opvraging

↪️ @server, aa, -x

Zet je @ en een DNS-server vóór de naam, dan wordt die server gevraagd in plaats van de DNS-server die op de server is ingesteld. Bij 8.8.8.8 veranderde de SERVER-regel in 8.8.8.8 en kwam ad bij flags.

dig @8.8.8.8 example.com

; <<>> DiG 9.16.20-RH <<>> @8.8.8.8 example.com
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 61431
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;example.com.			IN	A

;; ANSWER SECTION:
example.com.		300	IN	A	104.20.23.154
example.com.		300	IN	A	172.66.147.243

;; Query time: 30 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Thu Oct 29 00:09:29 UTC 2026
;; MSG SIZE  rcvd: 72

ad is de vlag die aangeeft dat de antwoordende server de DNSSEC-handtekeningen heeft gecontroleerd en de records in het antwoord betrouwbaar vond (RFC 4035). In de antwoorden van de DNS-server die op de server is ingesteld, stond geen ad.

Zet je een nameserver uit de NS-opvraging achter @, dan vraag je rechtstreeks de server die de records van example.com beheert.

dig @elliott.ns.cloudflare.com example.com

; <<>> DiG 9.16.20-RH <<>> @elliott.ns.cloudflare.com example.com
; (6 servers found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 61828
;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1232
;; QUESTION SECTION:
;example.com.			IN	A

;; ANSWER SECTION:
example.com.		300	IN	A	172.66.147.243
example.com.		300	IN	A	104.20.23.154

;; Query time: 4 msec
;; SERVER: 2606:4700:58::a29f:2ce4#53(2606:4700:58::a29f:2ce4)
;; WHEN: Thu Oct 29 00:09:29 UTC 2026
;; MSG SIZE  rcvd: 72

Deze keer verscheen aa in flags: de gezaghebbende nameserver had zelf geantwoord. Omdat deze server geen recursief zoeken ondersteunt, waarbij namen via andere servers worden gezocht, viel ra weg en kwam de regel [WARNING: recursion requested but not available] erbij.

(6 servers found) betekent dat de naam van de nameserver is opgelost naar drie IPv4- en drie IPv6-adressen. Op de SERVER-regel stond het IPv6-adres daarvan dat het antwoord stuurde.

Zet je na -x een IP-adres, dan vraagt dig het PTR-record op en vindt de naam die bij dat adres hoort.

dig -x 8.8.8.8 +noall +answer

8.8.8.8.in-addr.arpa.	300	IN	PTR	dns.google.

dig vroeg een naam op die bestaat uit 8.8.8.8 achterstevoren plus in-addr.arpa, en de PTR-waarde daarvan, dns.google., was de naam van 8.8.8.8.

4️⃣ Het delegatiepad met dig +trace

↪️ Van de rootnameservers tot de nameservers van example.com

Met +trace vraagt dig op volgorde, te beginnen bij de rootnameservers, en toont per stap aan welke server de naam is doorgegeven. Volgens de officiële handleiding vraagt +trace ook DNSSEC-handtekeningregels op; daarom is +nodnssec toegevoegd om alleen het delegatiepad te zien.

dig +trace +nodnssec example.com

; <<>> DiG 9.16.20-RH <<>> +trace +nodnssec example.com
;; global options: +cmd
.			86333	IN	NS	j.root-servers.net.
.			86333	IN	NS	g.root-servers.net.
.			86333	IN	NS	b.root-servers.net.
.			86333	IN	NS	e.root-servers.net.
.			86333	IN	NS	k.root-servers.net.
.			86333	IN	NS	f.root-servers.net.
.			86333	IN	NS	l.root-servers.net.
.			86333	IN	NS	m.root-servers.net.
.			86333	IN	NS	h.root-servers.net.
.			86333	IN	NS	c.root-servers.net.
.			86333	IN	NS	d.root-servers.net.
.			86333	IN	NS	a.root-servers.net.
.			86333	IN	NS	i.root-servers.net.
;; Received 239 bytes from 192.0.2.53#53(192.0.2.53) in 1 ms

com.			172800	IN	NS	a.gtld-servers.net.
com.			172800	IN	NS	b.gtld-servers.net.
com.			172800	IN	NS	c.gtld-servers.net.
com.			172800	IN	NS	d.gtld-servers.net.
com.			172800	IN	NS	e.gtld-servers.net.
com.			172800	IN	NS	f.gtld-servers.net.
com.			172800	IN	NS	g.gtld-servers.net.
com.			172800	IN	NS	h.gtld-servers.net.
com.			172800	IN	NS	i.gtld-servers.net.
com.			172800	IN	NS	j.gtld-servers.net.
com.			172800	IN	NS	k.gtld-servers.net.
com.			172800	IN	NS	l.gtld-servers.net.
com.			172800	IN	NS	m.gtld-servers.net.
;; Received 836 bytes from 2001:7fd::1#53(k.root-servers.net) in 30 ms

example.com.		172800	IN	NS	hera.ns.cloudflare.com.
example.com.		172800	IN	NS	elliott.ns.cloudflare.com.
;; Received 359 bytes from 2001:503:d414::30#53(f.gtld-servers.net) in 66 ms

example.com.		300	IN	A	104.20.23.154
example.com.		300	IN	A	172.66.147.243
;; Received 72 bytes from 108.162.195.228#53(elliott.ns.cloudflare.com) in 3 ms

Bij elke stap toont de laatste regel [Received … from] de server die dat antwoord stuurde. De servers die in de vier stappen zijn gevraagd en wat er terugkwam, staan hieronder.

Niveau	Gevraagde server	Ontvangen
1	DNS-server die op de server is ingesteld (192.0.2.53)	13 rootnameservers (.)
2	k.root-servers.net	13 .com-nameservers (gtld-servers.net)
3	f.gtld-servers.net	2 nameservers van example.com
4	elliott.ns.cloudflare.com	2 A-records van example.com

De uitvoer van +trace is als de track-and-trace van een aangetekende brief.

Het A-record in de laatste stap kwam rechtstreeks van de nameserver van example.com en is dus de actuele waarde, niet uit een cache. Direct na een wissel van nameservers controleer je eerst in stap 3 of de .com-servers met de nieuwe nameservers antwoorden.

5️⃣ Antwoordfouten en opties van dig

↪️ NXDOMAIN, SERVFAIL, connection timed out

🔲 Antwoordfouten

Vraag je een naam op die niet bestaat, dan staat in status NXDOMAIN. .invalid is een topleveldomein dat gereserveerd is zodat het nooit echt wordt gebruikt; daarom diende het om dit antwoord te controleren.

dig example.invalid

; <<>> DiG 9.16.20-RH <<>> example.invalid
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 23779
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;example.invalid.		IN	A

;; AUTHORITY SECTION:
invalid.		10800	IN	SOA	localhost. nobody.invalid. 1 3600 1200 604800 10800

;; Query time: 1 msec
;; SERVER: 192.0.2.53#53(192.0.2.53)
;; WHEN: Thu Oct 29 00:09:33 UTC 2026
;; MSG SIZE  rcvd: 96

ANSWER was 0, en in de AUTHORITY-sectie stond het SOA-record van die zone. Het laatste getal in de SOA, 10800, is hoelang (seconden) dit antwoord in een cache mag blijven.

no-such-host.example.com eindigde niet met NXDOMAIN, maar met status NOERROR en ANSWER 0. Het is een antwoord zonder foutcode waarin alleen de records ontbreken, dus controleer status en het aantal onder ANSWER samen.

dig no-such-host.example.com

; <<>> DiG 9.16.20-RH <<>> no-such-host.example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31671
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;no-such-host.example.com.	IN	A

;; AUTHORITY SECTION:
example.com.		1800	IN	SOA	elliott.ns.cloudflare.com. dns.cloudflare.com. 2418004112 10000 2400 604800 1800

;; Query time: 7 msec
;; SERVER: 192.0.2.53#53(192.0.2.53)
;; WHEN: Thu Oct 29 00:09:33 UTC 2026
;; MSG SIZE  rcvd: 115

SERVFAIL is de antwoordcode die aangeeft dat de DNS-server geen antwoord kon maken (RFC 1035). Toen we 8.8.8.8 vroegen naar dnssec-failed.org, een openbaar domein om mislukte DNSSEC-validatie te testen, kwam SERVFAIL samen met een EDE-regel.

dig @8.8.8.8 dnssec-failed.org

; <<>> DiG 9.16.20-RH <<>> @8.8.8.8 dnssec-failed.org
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 57521
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
; EDE: 9 (DNSKEY Missing): (No DNSKEY matches DS RRs of dnssec-failed.org)
;; QUESTION SECTION:
;dnssec-failed.org.		IN	A

;; Query time: 333 msec
;; SERVER: 8.8.8.8#53(8.8.8.8)
;; WHEN: Thu Oct 29 00:09:41 UTC 2026
;; MSG SIZE  rcvd: 97

EDE is een uitgebreide foutcode die de reden van de fout toevoegt (RFC 8914). 9 (DNSKEY Missing) betekent dat er geen DNSKEY is gevonden die past bij het DS-record van de bovenliggende zone; voor een naam waarvan het de handtekening niet kon controleren, gaf 8.8.8.8 SERVFAIL terug in plaats van een adres.

Antwoordt de DNS-server niet, dan eindigt de uitvoer zonder status-regel met [connection timed out; no servers could be reached]. Toen we 192.0.2.1, een adres voor documentatievoorbeelden, vroegen met [+timeout=2 +tries=1], verscheen deze regel na 2 seconden.

dig @192.0.2.1 example.com +timeout=2 +tries=1

; <<>> DiG 9.16.20-RH <<>> @192.0.2.1 example.com +timeout=2 +tries=1
; (1 server found)
;; global options: +cmd
;; connection timed out; no servers could be reached

Zonder opties gaf hetzelfde adres dezelfde regel na 15 seconden. Dat komt doordat de standaardwaarden in de officiële handleiding 5 seconden per antwoord en 3 pogingen zijn. Bij dig 9.18 op de Debian 12-server kwam eerst de regel [communications error to 192.0.2.1#53: timed out], en de laatste regel was [no servers could be reached].

Splitst een script resultaten op exitcode, houd er dan rekening mee dat ook NXDOMAIN 0 geeft. Na een opvraging van example.invalid met +short gaf het tonen van de exitcode 0 met een leeg resultaat, terwijl de opvraging aan 192.0.2.1, die geen antwoord kreeg, 9 gaf.

dig +short example.invalid; echo $?

Per antwoordfout staan hieronder de regel die je in de uitvoer bekijkt en wat je daarna controleert.

Uitvoer	Betekenis	Daarna controleren
status: NXDOMAIN	Die naam bestaat niet	Spelling en registratiestatus van het domein, delegatiepad met +trace
status: NOERROR · ANSWER: 0	Geen record van dat type in het antwoord	Recordtype en recordinstellingen van de nameserver
status: SERVFAIL	De DNS-server kon geen antwoord maken	EDE-regel, antwoorden van andere DNS-servers (@8.8.8.8 · @1.1.1.1)
connection timed out	De DNS-server antwoordt niet	Adres van de DNS-server en firewalls die poort 53 blokkeren

🔲 Opties van het dig-commando

📌 Belangrijkste opties: resultaten uit dit artikel

Optie	Taak	Resultaat in dit artikel
@server	Vraagt de opgegeven server in plaats van de DNS-server die op de server is ingesteld	Met @8.8.8.8 werd de SERVER-regel 8.8.8.8 en kwam ad bij flags; bij de gezaghebbende nameserver aa
Type	Vraagt alleen het recordtype op dat na de naam staat	example.com MX gaf één regel [0 .]; mx in kleine letters hetzelfde resultaat
-x adres	Vraagt het PTR-record van een IP-adres op	-x 8.8.8.8 gaf dns.google.
-v	Toont de versie	9.16 op de AlmaLinux 9-server, 9.18 op de Debian 12-server
-r	Leest .digrc in de thuismap niet	Ook met +short in .digrc verschenen met -r de recordregels volledig
+short	Toont alleen de waarden van de records	A gaf twee IP-adressen; google.com MX gaf 10 smtp.google.com.
+noall +answer	Zet alle uitvoersecties uit en alleen ANSWER weer aan	Bij example.com NS bleven alleen de twee nameserverregels over
+multiline	Verdeelt lange records zoals SOA over meerdere regels met commentaar	Namen en tijden zoals serial en refresh staan als commentaar naast elk getal
+stats	Toont ook de opvraagtijd en de regel van de server die antwoordde	Bij dig 9.18 op de Debian 12-server (UDP) aan het eind van de SERVER-regel
+trace	Vraagt op volgorde vanaf de rootnameservers en toont het delegatiepad	In elk van de vier stappen toont de laatste regel [Received … from] de server die antwoordde
+nodnssec	Vraagt geen DNSSEC-handtekeningrecords op	Samen met +trace, zodat alleen het delegatiepad overblijft
+timeout=seconden	Wachttijd per antwoord, standaard 5 seconden	Bij 192.0.2.1 met +timeout=2 +tries=1 kwam [connection timed out] na 2 seconden, zonder opties na 15 seconden
+tries=aantal	Aantal keren dat de query wordt verzonden, standaard 3	Op 1 gezet samen met +timeout=2 vroeg dig maar één keer en stopte na 2 seconden
+tcp	Verzendt de query via TCP in plaats van UDP	Bij dig 9.18 op de Debian 12-server veranderde het eind van de SERVER-regel van (UDP) in (TCP), de records bleven gelijk

📎 Andere opties: volgens de officiële handleiding

Optie	Taak
-4	Query alleen via IPv4
-6	Query alleen via IPv6
-t type	Bepaalt het recordtype dat wordt opgevraagd
-q naam	Bepaalt de naam die wordt opgevraagd, zodat die niet met andere argumenten wordt verward
-p poort	Vraagt via de opgegeven poort in plaats van poort 53
-b adres	Bepaalt het bron-IP-adres waarvandaan de query wordt verzonden
-f bestand	Voert de opvragingen die regel voor regel in een bestand staan op volgorde uit
+norecurse	Vraagt op met de recursieaanvraag (RD) uitgeschakeld
+dnssec	Vraagt ook DNSSEC-records op
+nssearch	Zoekt de gezaghebbende nameservers en toont het SOA-record van elke server
+nocmd	Toont zonder de versie- en optieregels bovenaan
+nocomments	Toont zonder commentaarregels zoals de antwoordheader en sectienamen
+ttlunits	Toont de TTL in de eenheden s, m, h, d en w
+retry=aantal	Aantal herhalingen zonder de eerste query, standaard 2

🔲 dig-commando-simulator

In de simulator hieronder kun je dig zelf invoeren en daarbij recordtype, DNS-server en uitvoeropties wisselen.

dig-commando-simulatordig 9.16

[root@server work]#

Werkt alleen in je browser; de antwoorden komen uit een virtuele DNS met waarden uit echte opvragingen, en met ↑↓ haal je eerder getypte commando's terug.

🔢 FAQ & aanbevolen content

Op de twee gecontroleerde servers zat dig in het pakket bind-utils op AlmaLinux 9 en in het pakket bind9-dnsutils op Debian 12. Installeer het dus op de RHEL-familie met [sudo dnf install bind-utils] en op de Debian-familie met [sudo apt install bind9-dnsutils]. Beide pakketten installeren ook nslookup.

Volgens de officiële handleiding leest dig de opties in het bestand .digrc in je thuismap en past ze toe vóór de argumenten op de opdrachtregel. Met één regel +short in .digrc toonde [dig example.com] alleen de IP-adressen; met -r werd .digrc niet gelezen en verschenen de recordregels volledig.

Met +tcp wordt de query via TCP verzonden. Bij dig 9.18 op de Debian 12-server veranderde met +tcp het eind van de SERVER-regel van (UDP) in (TCP), en de ontvangen records waren gelijk.

🔝 Linux-commando's

🔗 Aanbevolen content

DNS-propagatie DNS-propagatietijd na het wisselen van nameservers: metingen per resolver en DNSSEC-controle Een artikel dat na het wisselen van nameservers elke 5 minuten de antwoorden van 7 resolvers vastlegde en nagaat waarom DNSSEC vóór de verhuizing uit moet. Bericht lezen →

DNSSEC uitzetten om nameservers te wisselen (ingeschakelde status)

Voorbeeld van een WHOIS-domeinopzoeking (naver)

Tool · Domein WHOIS-domeinopzoeking · nameservers controleren Een opzoektool die na het invoeren van een domein de registratiegegevens, nameservers en DNS-records direct in je browser toont.

Een A-record bekijken met het host-commando – net als met het nslookup-commando

Netwerk · DNS Linux host-commando | commando voor DNS-opvraging Het host-commando om het IP-adres bij een hostnaam te vinden of een IP-adres naar een hostnaam om te zetten.

DNS · Begrippen Nameserver en DNS: het verschil & de 4 belangrijkste DNS-recordtypen Een artikel over hoe nameservers en DNS verschillen en wat de vier veelgebruikte DNS-recordtypen elk bevatten.

🪐BronnenOfficiële documentatie / RFC

📡dig — officiële handleiding van BIND 9 (ISC) 📡dig(1) — handleiding van bind9-dnsutils op Debian 12 📡RFC 1035 — opbouw van DNS-berichten en headervlaggen (IETF) 📡RFC 4035 — DNSSEC en de AD-vlag (IETF) 📡RFC 7505 — Null MX voor domeinen die geen mail ontvangen (IETF) 📡RFC 8914 — Extended DNS Errors(EDE) (IETF) 📡RFC 2606 — gereserveerde namen example.com en .invalid (IETF)

ℹ️ Affiliatemelding
De content van deze site bevat affiliatelinks. Koopt een bezoeker via een van deze links een product of dienst, dan ontvangt deze site een commissie van de verkoper. Het bedrag dat de koper betaalt^{(bij acties gaat het omlaag ↓)} wordt daardoor niet hoger. De vermelde prijzen, kortingen en voorraad gelden op het moment van schrijven en kunnen afwijken; controleer ze daarom vóór je aankoop bij de verkoper. Producten worden gekozen en beoordeeld volgens onze eigen criteria, en commissies hebben geen invloed op de volgorde of de inhoud van de beoordelingen.