nslookupが「サーバー不明」と表示するのは、単なるラベルです

VPNに接続して nslookup を実行すると、ヘッダーにはリゾルバーのアドレスが表示され、名前の欄は Unknown と埋まります。その語は回答の上にあり、多くの人は重要な部分の前で読むのをやめます。ラベルが示すのは、リゾルバー自身に逆引き名があるかどうかだけで、問い合わせたホスト名が解決したかどうかはまだ何も語っていません。そのウィンドウを早めに閉じることが、ここでの技能のすべてです。

二つの異なる問い合わせが同じ表示を生むことがあり、あなたの問題に関係するのは片方だけです。切り分けるにはコマンドが一つ増えるだけで、間違ってもいなかったDNS設定を編集して半日を無駄にするのを防げます。

答える前にツールがしていること

nslookupは、これから使うサーバーのアドレスに対して名前を探そうとすることがあり、これは in-addr.arpa または ip6.arpa ドメインでの逆引きです。そのPTRレコードが存在しないか、ポリシーで除外されているか、単に公開されていなければ、ツールは Unknown と表示して先に進みます。前方参照は、同じサーバーに送る別の質問なので、その失敗の影響を受けません。

だからこそ、プライベートリゾルバーはすべての社内名に正しく答えながら、ツールのヘッダーでは匿名に見えるのです。アドレスは分かっていますが、その背後の名前は分かっておらず、ツールはその点について正直でありながら、選ぶ語に関しては少し芝居がかっています。

二つの問い合わせを意図的に実行する

気になるホストについて問い合わせ、次にリゾルバー自身のアドレスについて問い合わせます。最初の要求は必要な名前を運び、二つ目はサーバーに自分自身を名乗れるかを尋ねます。書き出すとこうなります：ホストには nslookup app.corp.example 10.77.0.53、リゾルバーの逆引き名には nslookup 10.77.0.53 10.77.0.53 です。

どちらの例も説明用なので、自分の名前とアドレスに置き換えてください。要点は正確な構文ではなく切り分けです：二つのコマンドは別の質問をし、どちらも故障ではないのに異なる結果を出してよいのです。

似て見えて似ていない三つの結果

タイムアウトは応答がまったく届かなかったことを意味し、到達性、フィルタリング、または誤ったサーバーアドレスを示します。否定応答はサーバーが応答して名前が存在しないと言ったことを意味し、ゾーンまたはサフィックスを示します。逆引き名がない場合は、サーバーが二つ目の質問に役立つものを返さなかったという意味で、前方参照の応答は完璧だった可能性があります。三つの結果、三つの担当があり、必要なホスト名に関係するのは一つだけです。

アプリケーションにとって失敗しているDNS経路を説明するのは、最初の二つだけです。三つ目は一度も公開されなかったレコードを説明しており、それを障害として扱うと直せない変更につながります、たとえばヘッダーが親しげに見えるまで検索サフィックスを書き換える、といったことです。

ヘッダーではなくセクションを読む

ヘッダーの下に、ツールは回答、権威、および追加レコードを表示します。回答セクションの正しいアドレスが、ヘッダーの名前が Unknown であっても、あなたが欲しかった結果です。権威ある否定を伴う空の回答は別の結末であり、独自の調査に値します。

サポートに送るものには、どちらの名前を問い合わせ、どのサーバーに尋ねたのかを明示してください。VPN経由でDNSが壊れているとだけ書いた報告は、次の人に、あなたがすでに行ったテストを再構築させることになります。

逆引き名が本当に重要なとき

PTRレコードを本当に気にするサービスもあります。クライアントアドレスを解決するログ、メールの評判チェック、名前を表示する管理ツールなどです：そうしたものが失敗しているなら、レコードを公開するか、それを保持すべきゾーンを直してください。その作業は正当であり、VPNが問い合わせを正しく転送するかという問題とは別です。

狭い結論は変わりません：リゾルバーのラベルが一つ欠けていても、トンネル経由の前方参照が壊れている証明にはなりませんし、前方参照が一つ成功しても、ゾーンのすべての名前が解決する証明にはなりません。本当に必要な名前を試し、それからヘッダーの語にどれだけの価値があるかを判断してください。