nslookup meldet Server unbekannt: Das ist nur eine Bezeichnung

Verbinden Sie das VPN, führen Sie nslookup aus, und die Kopfzeile zeigt die Adresse des Resolvers mit dem als Unknown ausgefüllten Namensfeld. Dieses Wort steht über der Antwort, und die meisten hören auf zu lesen, bevor der wichtige Teil kommt. Die Bezeichnung beschreibt, ob der Resolver einen eigenen Reverse-Namen hat; sie sagt noch nichts darüber, ob der angefragte Hostname aufgelöst wurde. Dieses Fenster früh zu schließen, ist hier die ganze Kunst.

Zwei verschiedene Abfragen können diese Anzeige erzeugen, und nur eine davon betrifft Ihr Problem. Sie zu trennen kostet einen zusätzlichen Befehl und spart einen Nachmittag, in dem Sie DNS-Einstellungen bearbeiten, die nie falsch waren.

Was das Werkzeug tut, bevor es antwortet

nslookup versucht möglicherweise, einen Namen für die Serveradresse zu finden, die es gleich verwenden wird, was eine Reverse-Abfrage in der Domäne in-addr.arpa oder ip6.arpa ist. Fehlt dieser PTR-Eintrag, wird er durch eine Richtlinie gefiltert oder ist er einfach nicht veröffentlicht, druckt das Werkzeug Unknown und fährt fort. Die Vorwärtsauflösung bleibt von diesem Fehlschlag unberührt, denn es ist eine andere Frage an denselben Server.

Deshalb kann ein privater Resolver jeden Firmennamen korrekt beantworten und in der Kopfzeile des Werkzeugs trotzdem anonym erscheinen. Die Adresse ist bekannt; der Name dahinter nicht, und das Werkzeug ist darin ehrlich, bleibt aber etwas theatralisch bei dem Wort, das es wählt.

Führen Sie die beiden Abfragen gezielt aus

Fragen Sie nach einem Host, der Ihnen wichtig ist, und dann nach der Adresse des Resolvers selbst. Die erste Anfrage trägt den Namen, den Sie brauchen; die zweite fragt den Server, ob er sich selbst benennen kann. Ausgeschrieben sehen sie so aus: nslookup app.corp.example 10.77.0.53 für den Host und nslookup 10.77.0.53 10.77.0.53 für den Reverse-Namen des Resolvers.

Beide Beispiele sind illustrativ, ersetzen Sie sie also durch Ihre eigenen Namen und Adressen. Der Punkt ist nicht die genaue Syntax, sondern die Trennung: Die beiden Befehle stellen verschiedene Fragen und dürfen verschiedene Ergebnisse liefern, ohne dass eines davon eine Fehlfunktion ist.

Drei Ergebnisse, die ähnlich aussehen und es nicht sind

Eine Zeitüberschreitung bedeutet, dass gar keine Antwort ankam, was auf Erreichbarkeit, Filterung oder die falsche Serveradresse hindeutet. Eine negative Antwort bedeutet, dass der Server geantwortet und gesagt hat, der Name existiere nicht, was auf die Zone oder das Suffix hindeutet. Ein fehlender Reverse-Name bedeutet, dass der Server die zweite Frage mit nichts Nützlichem beantwortet hat, und die Vorwärtsantwort kann trotzdem perfekt gewesen sein. Drei Ergebnisse, drei Zuständigkeiten, und nur eines davon betrifft den Hostnamen, den Sie brauchten.

Nur die ersten beiden beschreiben einen DNS-Pfad, der für Ihre Anwendung fehlschlägt. Das dritte beschreibt einen Eintrag, der nie veröffentlicht wurde, und ihn als Fehler zu behandeln führt zu Änderungen, die ihn nicht beheben können, etwa das Umschreiben des Suchsuffixes, bis die Kopfzeile freundlicher aussieht.

Lesen Sie die Abschnitte, nicht die Kopfzeile

Unter der Kopfzeile druckt das Werkzeug die Antwort, die Autorität und etwaige zusätzliche Einträge. Eine korrekte Adresse im Antwortabschnitt ist das Ergebnis, das Sie wollten, selbst wenn der Name in der Kopfzeile Unknown ist. Eine leere Antwort mit einer autoritativen Ablehnung ist ein anderes Ergebnis und verdient eine eigene Untersuchung.

Halten Sie beide Objekte in allem, was Sie an den Support senden, ausdrücklich fest: welcher Name abgefragt und welcher Server gefragt wurde. Berichte, die nur erwähnen, dass DNS über das VPN defekt ist, zwingen die nächste Person, einen Test nachzubauen, den Sie bereits durchgeführt haben.

Wann ein Reverse-Name wirklich zählt

Manche Dienste kümmern sich tatsächlich um PTR-Einträge: Protokollierung, die Clientadressen auflöst, Prüfungen des Mail-Rufs oder Verwaltungswerkzeuge, die Namen anzeigen. Wenn eines davon fehlschlägt, veröffentlichen Sie den Eintrag oder reparieren Sie die Zone, die ihn enthalten sollte. Diese Arbeit ist legitim und getrennt von der Frage, ob das VPN Abfragen korrekt weiterleitet.

Der enge Punkt bleibt: Eine fehlende Resolver-Bezeichnung beweist nicht, dass die Vorwärtsauflösung durch den Tunnel defekt ist, und eine funktionierende Vorwärtsabfrage beweist nicht, dass jeder Name in der Zone aufgelöst wird. Testen Sie den Namen, den Sie tatsächlich brauchen, und entscheiden Sie dann, was das Wort in der Kopfzeile wert ist.