nslookup zgłasza nieznany serwer: to tylko etykieta

Połącz się z VPN, uruchom nslookup, a nagłówek pokaże adres resolvera z polem nazwy wypełnionym jako Unknown. To słowo znajduje się nad odpowiedzią, a większość ludzi przestaje czytać przed częścią, która ma znaczenie. Etykieta opisuje, czy resolver ma własną nazwę odwrotną; nie mówi jeszcze nic o tym, czy nazwa hosta, o którą pytano, została rozwiązana. Wczesne zamknięcie tego okna to cała umiejętność tutaj.

Dwa różne zapytania mogą dać ten widok, a tylko jedno z nich dotyczy twojego problemu. Rozdzielenie ich kosztuje jedno dodatkowe polecenie i oszczędza popołudnie na edytowaniu ustawień DNS, które nigdy nie były błędne.

Co narzędzie robi, zanim ci odpowie

nslookup może próbować znaleźć nazwę dla adresu serwera, którego zaraz użyje, co jest wyszukiwaniem odwrotnym w domenie in-addr.arpa lub ip6.arpa. Jeśli ten rekord PTR brakuje, jest filtrowany przez politykę lub po prostu nie został opublikowany, narzędzie wypisuje Unknown i idzie dalej. Rozwiązywania w przód ta awaria nie dotyczy, bo to inne pytanie wysłane do tego samego serwera.

Dlatego prywatny resolver może poprawnie odpowiadać na każdą nazwę firmową i mimo to wyglądać anonimowo w nagłówku narzędzia. Adres jest znany; nazwa za nim nie, a narzędzie jest co do tego uczciwe, choć pozostaje nieco teatralne w kwestii wybieranego słowa.

Uruchom oba zapytania celowo

Zapytaj o host, na którym ci zależy, a potem o adres samego resolvera. Pierwsze żądanie niesie nazwę, której potrzebujesz; drugie pyta serwer, czy potrafi nazwać sam siebie. Zapisane wyglądają tak: nslookup app.corp.example 10.77.0.53 dla hosta i nslookup 10.77.0.53 10.77.0.53 dla nazwy odwrotnej resolvera.

Oba przykłady są ilustracyjne, więc zastąp je własnymi nazwami i adresami. Rzecz nie w dokładnej składni, ale w rozdzieleniu: oba polecenia zadają różne pytania i mogą dawać różne wyniki, choć żadne nie jest usterką.

Trzy wyniki, które wyglądają podobnie i takie nie są

Przekroczenie czasu oznacza, że nie nadeszła żadna odpowiedź, co wskazuje na osiągalność, filtrowanie lub zły adres serwera. Odpowiedź negatywna oznacza, że serwer odpowiedział i powiedział, że nazwa nie istnieje, co wskazuje na strefę lub sufiks. Brak nazwy odwrotnej oznacza, że serwer odpowiedział na drugie pytanie niczym użytecznym, a odpowiedź w przód mogła wciąż być idealna. Trzy wyniki, trzech właścicieli, i tylko jeden z nich dotyczy nazwy hosta, której potrzebowałeś.

Tylko dwa pierwsze opisują ścieżkę DNS, która zawodzi dla twojej aplikacji. Trzeci opisuje rekord, który nigdy nie został opublikowany, a traktowanie go jako usterki prowadzi do zmian, które nie mogą go naprawić, jak przepisywanie sufiksu wyszukiwania, aż nagłówek będzie wyglądał przyjaźniej.

Czytaj sekcje, nie nagłówek

Pod nagłówkiem narzędzie wypisuje odpowiedź, autorytet i wszelkie dodatkowe rekordy. Poprawny adres w sekcji odpowiedzi to wynik, którego chciałeś, nawet gdy nazwa w nagłówku to Unknown. Pusta odpowiedź z autorytatywną odmową to inny wynik i zasługuje na własne śledztwo.

Utrzymuj oba obiekty jawnie w wszystkim, co wysyłasz do wsparcia: jaka nazwa została zapytana i który serwer został zapytany. Raporty, które wspominają tylko, że DNS jest zepsuty przez VPN, zmuszają następną osobę do odtworzenia testu, który już wykonałeś.

Kiedy nazwa odwrotna naprawdę ma znaczenie

Niektóre usługi naprawdę dbają o rekordy PTR: logowanie, które rozwiązuje adresy klientów, kontrole reputacji poczty lub narzędzia administracyjne wyświetlające nazwy. Jeśli któreś z nich zawodzi, opublikuj rekord lub napraw strefę, która powinna go trzymać. Ta praca jest uzasadniona i odrębna od pytania, czy VPN poprawnie przekazuje zapytania.

Wąski punkt pozostaje: jedna brakująca etykieta resolvera nie dowodzi, że rozwiązywanie w przód przez tunel jest zepsute, a jedno działające wyszukiwanie w przód nie dowodzi, że każda nazwa w strefie się rozwiązuje. Przetestuj nazwę, której naprawdę potrzebujesz, a potem zdecyduj, ile warte jest słowo w nagłówku.