Glue-records en DNS-delegatie uitgelegd

Expert⏱ 4 min leestijdBijgewerkt op 13 oktober 2026

Je domein begint niet in je eigen DNS-zone. Het begint een niveau hoger, in de zone van .com of .nl, waar de registry een paar records bijhoudt die zeggen welke nameservers voor jou antwoorden. Die overdracht heet delegatie. Hebben die nameservers een naam binnen het domein dat ze bedienen — ns1.example.com voor example.com —, dan moet de registry ook hun adressen bijhouden. Die adressen zijn glue, en als ze fout zijn, valt het hele domein weg.

Hoe delegatie werkt

Als je bij de registrar nameservers instelt, publiceert de registry NS-records voor je domein in de bovenliggende zone. Liggen de namen van de nameservers in je eigen domein, dan voegt ze ook hun adressen toe:

; in the .com zone (run by the registry), not in yours
example.com.        172800 IN NS  ns1.example.com.
example.com.        172800 IN NS  ns2.example.com.
; glue: addresses of nameservers named inside the delegated zone
ns1.example.com.    172800 IN A   192.0.2.53
ns2.example.com.    172800 IN A   198.51.100.53

Zonder die A-records zou een resolver vastlopen: om example.com te vinden moet hij ns1.example.com vragen, en om ns1.example.com te vinden de nameservers van example.com. Glue komt mee in dezelfde verwijzing en doorbreekt de cirkel.

Om example.com te bereiken heb je ns1.example.com nodig, dat in example.com zelf staat. De .com-server geeft het adres (glue) mee met de verwijzing, zodat de resolver hem direct kan vragen.

Wanneer glue nodig is

Domein	Nameserver	Glue	Waarom
`example.com`	`ns1.example.com`	Verplicht	De nameserver ligt in de zone die hij bedient — de cirkel van hierboven.
`example.com`	`ns1.dnshost.example`	Niet gebruikt	De resolver zoekt `dnshost.example` apart op, via de eigen delegatie daarvan.
`example.com`	`ns1.example.org`	Optioneel	„Zuster”-glue: sommige registries publiceren hem, maar resolvers moeten zonder kunnen (RFC 9471).

Je eigen nameservers draaien (child nameservers)

Gehoste DNS (Cloudflare, je registrar, je hostingbedrijf) geeft je nameservers onder hun eigen domein, dus je hoeft geen glue te beheren. Je hebt het alleen nodig voor nameservers met een naam in je eigen domein — nameservers met je eigen merknaam of zelf gehoste DNS. Registrars noemen dit „child nameservers”, „hostrecords”, „nameservers registreren” of gewoon „glue-records”.

Maak in het registrarpaneel de hostnamen (ns1.example.com, ns2.example.com) aan met hun IPv4- en, als ze dat hebben, IPv6-adressen.
Zet dezelfde A/AAAA-records en NS-records in je zone, zodat de bovenliggende zone en je servers hetzelfde zeggen.
Zet pas daarna de nameservers van het domein op die namen.
Controleer het resultaat vanuit de registry met dig +norec (hieronder) en van buitenaf met een DNS-trace.

Pas op: Het IP-adres van een nameserver wijzigen betekent het op twee plekken wijzigen: in je zone en in de glue bij de registrar. Resolvers gebruiken eerst de glue, dus een correcte zone met verouderde glue gaat alsnog stuk — en met een TTL van de bovenliggende zone tot twee dagen duurt de storing voort.

Veelvoorkomende delegatieproblemen

Lame delegation: een nameserver die in de bovenliggende zone staat, antwoordt niet voor de zone (verkeerde server, zone verwijderd, firewall). Resolvers proberen een andere, dus je merkt het als traagheid en af en toe SERVFAIL.
Ouder en kind zijn het oneens: de registry noemt ns1/ns2, je zone ns3/ns4. Welke set een resolver gebruikt, hangt af van zijn cache, dus het gedrag verschilt per netwerk.
Verouderde glue: de server is verhuisd, de glue niet. Typisch na een VPS-migratie.
Ontbrekende glue: nameservers binnen de zone zonder adressen bij de registry — het domein resolvet nergens.
Alle eieren in één mand: twee nameservers op één IP of in één netwerk. RFC 2182 vraagt om servers die niet tegelijk uitvallen.

Zo controleer je delegatie en glue

Vraag een server van de bovenliggende zone rechtstreeks, zonder recursie, om precies te zien wat de registry publiceert — glue staat in de sectie ADDITIONAL. Vergelijk dat daarna met wat je eigen servers zeggen:

# ask a .com server directly, without recursion: glue is in the ADDITIONAL section
dig @a.gtld-servers.net example.com NS +norec
# follow the whole chain from the root
dig example.com A +trace
# compare with what your own nameservers say
dig @ns1.example.com example.com NS +short

Tip: De DNS-trace van PixDNS volgt de keten vanaf de root en toont elke verwijzing, zodat ontbrekende of verouderde glue zichtbaar is bij de stap waar het misgaat. De NS-lookup vergelijkt de nameservers die antwoorden.

De delegatie van een domein volgen →Verder: wat nameservers zijn →

Veelgestelde vragen

Heb ik glue-records nodig met Cloudflare of de DNS van mijn registrar?

Nee. Hun nameservers staan onder hun eigen domeinen en zij beheren de adressen. Glue telt alleen voor nameservers met een naam in je eigen domein.

Waar bewerk ik glue-records?

Bij de registrar, in een onderdeel als child nameservers of hostrecords. Je DNS-zone kan ze niet wijzigen, want ze staan in de bovenliggende zone.

Hoe lang duurt een glue-wijziging?

De registry publiceert die meestal binnen minuten, maar resolvers kunnen het oude adres bewaren tot de TTL van de bovenliggende zone verloopt — tot 48 uur bij .com.

Wat is een lame delegation?

Een nameserver die voor een domein is opgegeven maar er niet echt voor antwoordt. Dat vertraagt opvragingen en kan wisselende fouten geven.

Probeer het op je domein

Zie de theorie in de praktijk — voer DNS-trace uit voor je eigen domein.

Bijgewerkt op 13 oktober 2026

Bronnen