nslookup segnala server sconosciuto: è solo un’etichetta

Connetti la VPN, esegui nslookup, e l’intestazione mostra l’indirizzo del resolver con il campo del nome compilato come Unknown. Quella parola sta sopra la risposta, e la maggior parte delle persone smette di leggere prima della parte che conta. L’etichetta descrive se il resolver ha un proprio nome inverso; non dice ancora nulla se il nome host che hai chiesto è stato risolto. Chiudere quella finestra in anticipo è tutta l’abilità qui.

Due query diverse possono produrre quella schermata, e solo una riguarda il tuo problema. Separarle costa un comando in più e risparmia un pomeriggio di modifiche a impostazioni DNS che non erano mai sbagliate.

Cosa fa lo strumento prima di risponderti

nslookup può provare a trovare un nome per l’indirizzo del server che sta per usare, cioè una ricerca inversa nel dominio in-addr.arpa o ip6.arpa. Se quel record PTR manca, è filtrato da una politica o semplicemente non è pubblicato, lo strumento stampa Unknown e prosegue. La risoluzione diretta non è toccata da quel fallimento, perché è un’altra domanda inviata allo stesso server.

Per questo un resolver privato può rispondere correttamente a ogni nome aziendale e apparire comunque anonimo nell’intestazione dello strumento. L’indirizzo è noto; il nome dietro non lo è, e lo strumento è onesto al riguardo pur restando un po’ teatrale sulla parola che sceglie.

Esegui le due query di proposito

Chiedi di un host che ti interessa, poi chiedi dell’indirizzo del resolver stesso. La prima richiesta porta il nome che ti serve; la seconda chiede al server se può nominare se stesso. Scritte, appaiono così: nslookup app.corp.example 10.77.0.53 per l’host e nslookup 10.77.0.53 10.77.0.53 per il nome inverso del resolver.

Entrambi gli esempi sono illustrativi, quindi sostituiscili con i tuoi nomi e indirizzi. Il punto non è la sintassi esatta ma la separazione: i due comandi pongono domande diverse e possono dare risultati diversi senza che nessuno sia un malfunzionamento.

Tre esiti che sembrano uguali e non lo sono

Un timeout significa che non è arrivata alcuna risposta, il che indica raggiungibilità, filtraggio o un indirizzo del server sbagliato. Una risposta negativa significa che il server ha replicato dicendo che il nome non esiste, il che indica la zona o il suffisso. Un nome inverso assente significa che il server ha risposto alla seconda domanda senza nulla di utile, e la risposta diretta può essere stata comunque perfetta. Tre risultati, tre responsabili, e solo uno riguarda il nome host che ti serviva.

Solo i primi due descrivono un percorso DNS che fallisce per la tua applicazione. Il terzo descrive un record che non è mai stato pubblicato, e trattarlo come un guasto porta a modifiche che non possono ripararlo, come riscrivere il suffisso di ricerca finché l’intestazione non sembra più amichevole.

Leggi le sezioni, non l’intestazione

Sotto l’intestazione, lo strumento stampa la risposta, l’autorità e ogni record aggiuntivo. Un indirizzo corretto nella sezione della risposta è il risultato che volevi, anche quando il nome nell’intestazione è Unknown. Una risposta vuota con un rifiuto autorevole è un esito diverso e merita una propria indagine.

Mantieni entrambi gli oggetti espliciti in tutto ciò che invii al supporto: quale nome è stato interrogato e quale server è stato interrogato. I rapporti che citano solo che il DNS è rotto tramite la VPN costringono la persona successiva a ricostruire un test che hai già fatto.

Quando un nome inverso conta davvero

Alcuni servizi tengono davvero ai record PTR: la registrazione che risolve gli indirizzi dei client, i controlli di reputazione della posta o gli strumenti amministrativi che mostrano i nomi. Se uno di questi fallisce, pubblica il record o correggi la zona che dovrebbe contenerlo. Quel lavoro è legittimo e separato dalla questione se la VPN inoltri correttamente le query.

Il punto stretto resta: un’etichetta del resolver mancante non dimostra che la risoluzione diretta attraverso il tunnel sia rotta, e una ricerca diretta funzionante non dimostra che ogni nome della zona si risolva. Prova il nome che ti serve davvero, poi decidi quanto vale la parola nell’intestazione.