nslookup meldt een onbekende server: het is alleen een label

Maak verbinding met de VPN, voer nslookup uit, en de koptekst toont het adres van de resolver met het naamveld ingevuld als Unknown. Dat woord staat boven het antwoord, en de meeste mensen stoppen met lezen vóór het deel dat ertoe doet. Het label beschrijft of de resolver een eigen reverse-naam heeft; het zegt nog niets over of de hostnaam die je vroeg is opgelost. Dat venster vroeg sluiten is hier de hele vaardigheid.

Twee verschillende query's kunnen die weergave opleveren, en slechts één ervan gaat over jouw probleem. Ze scheiden kost één extra commando en bespaart een middag DNS-instellingen bewerken die nooit fout waren.

Wat het hulpmiddel doet voordat het antwoordt

nslookup kan proberen een naam te vinden voor het serveradres dat het gaat gebruiken, wat een reverse-lookup is in het domein in-addr.arpa of ip6.arpa. Als dat PTR-record ontbreekt, door beleid wordt gefilterd of simpelweg niet is gepubliceerd, drukt het hulpmiddel Unknown af en gaat verder. Forward-resolutie wordt door die fout niet geraakt, want het is een andere vraag aan dezelfde server.

Daarom kan een private resolver elk bedrijfsnaam correct beantwoorden en toch anoniem lijken in de koptekst van het hulpmiddel. Het adres is bekend; de naam erachter niet, en het hulpmiddel is daar eerlijk over terwijl het lichtelijk theatraal blijft over het woord dat het kiest.

Voer de twee query's bewust uit

Vraag naar een host die je belangrijk vindt, en vraag daarna naar het adres van de resolver zelf. De eerste aanvraag draagt de naam die je nodig hebt; de tweede vraagt de server of hij zichzelf kan benoemen. Uitgeschreven zien ze er zo uit: nslookup app.corp.example 10.77.0.53 voor de host en nslookup 10.77.0.53 10.77.0.53 voor de reverse-naam van de resolver.

Beide voorbeelden zijn illustratief, dus vervang ze door je eigen namen en adressen. Het punt is niet de exacte syntaxis maar de scheiding: de twee commando's stellen verschillende vragen en mogen verschillende resultaten geven zonder dat een van beide een storing is.

Drie uitkomsten die er hetzelfde uitzien en het niet zijn

Een time-out betekent dat er helemaal geen antwoord aankwam, wat wijst op bereikbaarheid, filtering of het verkeerde serveradres. Een negatief antwoord betekent dat de server antwoordde en zei dat de naam niet bestaat, wat wijst op de zone of het achtervoegsel. Een ontbrekende reverse-naam betekent dat de server de tweede vraag met niets nuttigs beantwoordde, en het forward-antwoord kan nog steeds perfect zijn geweest. Drie resultaten, drie eigenaren, en slechts één ervan gaat over de hostnaam die je nodig had.

Alleen de eerste twee beschrijven een DNS-pad dat voor jouw toepassing faalt. De derde beschrijft een record dat nooit is gepubliceerd, en het als een storing behandelen leidt tot wijzigingen die het niet kunnen repareren, zoals het herschrijven van het zoekachtervoegsel tot de koptekst vriendelijker lijkt.

Lees de secties, niet de koptekst

Onder de koptekst drukt het hulpmiddel het antwoord, het gezag en eventuele extra records af. Een correct adres in de antwoordsectie is het resultaat dat je wilde, zelfs wanneer de naam in de koptekst Unknown is. Een leeg antwoord met een gezaghebbende weigering is een andere uitkomst en verdient een eigen onderzoek.

Houd beide objecten expliciet in alles wat je naar support stuurt: welke naam is opgevraagd en welke server is gevraagd. Rapporten die alleen melden dat DNS via de VPN kapot is, dwingen de volgende persoon een test te reconstrueren die je al hebt gedaan.

Wanneer een reverse-naam echt belangrijk is

Sommige diensten geven echt om PTR-records: logging die clientadressen oplost, controles van de mailreputatie of beheertools die namen tonen. Als een daarvan faalt, publiceer het record of repareer de zone die het zou moeten bevatten. Dat werk is legitiem en los van de vraag of de VPN query's correct doorstuurt.

Het smalle punt blijft: één ontbrekend resolverlabel bewijst niet dat forward-resolutie via de tunnel kapot is, en één werkende forward-lookup bewijst niet dat elke naam in de zone wordt opgelost. Test de naam die je echt nodig hebt, en bepaal dan wat het woord in de koptekst waard is.