nslookup dice que el servidor es desconocido: es solo una etiqueta

Conecta la VPN, ejecuta nslookup y la cabecera muestra la dirección del resolutor con el campo del nombre relleno como Unknown. Esa palabra está sobre la respuesta, y la mayoría de la gente deja de leer antes de la parte que importa. La etiqueta describe si el resolutor tiene un nombre inverso propio; todavía no dice nada sobre si se resolvió el nombre de host que pediste. Cerrar esa ventana a tiempo es toda la habilidad aquí.

Dos consultas distintas pueden producir esa pantalla, y solo una de ellas tiene que ver con tu problema. Separarlas cuesta un comando extra y ahorra una tarde editando ajustes de DNS que nunca estuvieron mal.

Qué hace la herramienta antes de responderte

nslookup puede intentar encontrar un nombre para la dirección del servidor que está a punto de usar, lo que es una consulta inversa en el dominio in-addr.arpa o ip6.arpa. Si ese registro PTR falta, está filtrado por política o simplemente no se publicó, la herramienta imprime Unknown y sigue adelante. La resolución directa no se ve afectada por ese fallo, porque es otra pregunta enviada al mismo servidor.

Por eso un resolutor privado puede responder correctamente a todos los nombres corporativos y aun así aparecer anónimo en la cabecera de la herramienta. La dirección se conoce; el nombre que hay detrás no, y la herramienta es honesta al respecto aunque siga siendo algo teatral con la palabra que elige.

Ejecuta las dos consultas a propósito

Pregunta por un host que te importe y luego por la dirección propia del resolutor. La primera solicitud lleva el nombre que necesitas; la segunda pregunta al servidor si puede nombrarse a sí mismo. Escritas, se ven así: nslookup app.corp.example 10.77.0.53 para el host y nslookup 10.77.0.53 10.77.0.53 para el nombre inverso del resolutor.

Ambos ejemplos son ilustrativos, así que sustitúyelos por tus propios nombres y direcciones. El punto no es la sintaxis exacta sino la separación: los dos comandos hacen preguntas distintas y pueden dar resultados distintos sin que ninguno sea un fallo.

Tres resultados que parecen iguales y no lo son

Un tiempo de espera agotado significa que no llegó ninguna respuesta, lo que apunta a accesibilidad, filtrado o una dirección de servidor equivocada. Una respuesta negativa significa que el servidor contestó y dijo que el nombre no existe, lo que apunta a la zona o al sufijo. Un nombre inverso ausente significa que el servidor respondió a la segunda pregunta con nada útil, y la respuesta directa puede haber sido perfecta. Tres resultados, tres responsables, y solo uno tiene que ver con el nombre de host que necesitabas.

Solo los dos primeros describen una ruta DNS que falla para tu aplicación. El tercero describe un registro que nunca se publicó, y tratarlo como una avería lleva a cambios que no pueden arreglarlo, como reescribir el sufijo de búsqueda hasta que la cabecera parezca más amigable.

Lee las secciones, no la cabecera

Bajo la cabecera, la herramienta imprime la respuesta, la autoridad y cualquier registro adicional. Una dirección correcta en la sección de respuesta es el resultado que querías, incluso cuando el nombre de la cabecera es Unknown. Una respuesta vacía con una denegación autoritativa es un desenlace distinto y merece su propia investigación.

Mantén ambos objetos explícitos en cualquier cosa que envíes a soporte: qué nombre se consultó y a qué servidor se preguntó. Los informes que solo dicen que el DNS está roto por la VPN obligan a la siguiente persona a reconstruir una prueba que ya has hecho.

Cuándo importa de verdad un nombre inverso

Algunos servicios sí se preocupan por los registros PTR: registros que resuelven direcciones de clientes, comprobaciones de reputación del correo o herramientas administrativas que muestran nombres. Si uno de esos falla, publica el registro o arregla la zona que debería contenerlo. Ese trabajo es legítimo y separado de la cuestión de si la VPN reenvía las consultas correctamente.

El punto concreto se mantiene: una etiqueta de resolutor ausente no demuestra que la resolución directa por el túnel esté rota, y una consulta directa que funciona no demuestra que se resuelva cada nombre de la zona. Prueba el nombre que de verdad necesitas y luego decide cuánto vale la palabra de la cabecera.