nslookup diz servidor desconhecido: é apenas um rótulo

Conecte a VPN, execute nslookup, e o cabeçalho mostra o endereço do resolvedor com o campo do nome preenchido como Unknown. Essa palavra fica sobre a resposta, e a maioria das pessoas para de ler antes da parte que importa. O rótulo descreve se o resolvedor tem um nome reverso próprio; ele ainda não diz nada sobre se o nome de host consultado foi resolvido. Fechar essa janela cedo é toda a habilidade aqui.

Duas consultas diferentes podem produzir essa exibição, e apenas uma delas diz respeito ao seu problema. Separá-las custa um comando extra e economiza uma tarde editando configurações de DNS que nunca estiveram erradas.

O que a ferramenta faz antes de responder

O nslookup pode tentar encontrar um nome para o endereço do servidor que está prestes a usar, o que é uma consulta reversa no domínio in-addr.arpa ou ip6.arpa. Se esse registro PTR faltar, for filtrado por política ou simplesmente não estiver publicado, a ferramenta imprime Unknown e segue em frente. A resolução direta não é afetada por essa falha, porque é outra pergunta enviada ao mesmo servidor.

Por isso um resolvedor privado pode responder corretamente a todos os nomes corporativos e ainda assim parecer anônimo no cabeçalho da ferramenta. O endereço é conhecido; o nome por trás dele não, e a ferramenta é honesta quanto a isso, embora continue um pouco teatral com a palavra que escolhe.

Execute as duas consultas de propósito

Pergunte sobre um host que lhe importa e depois sobre o endereço do próprio resolvedor. A primeira solicitação leva o nome de que você precisa; a segunda pergunta ao servidor se ele pode nomear a si mesmo. Escritas, elas ficam assim: nslookup app.corp.example 10.77.0.53 para o host e nslookup 10.77.0.53 10.77.0.53 para o nome reverso do resolvedor.

Ambos os exemplos são ilustrativos, então substitua-os pelos seus próprios nomes e endereços. O ponto não é a sintaxe exata, mas a separação: os dois comandos fazem perguntas diferentes e podem dar resultados diferentes sem que nenhum seja um defeito.

Três resultados que parecem iguais e não são

Um tempo esgotado significa que nenhuma resposta chegou, o que aponta para acessibilidade, filtragem ou endereço de servidor errado. Uma resposta negativa significa que o servidor respondeu e disse que o nome não existe, o que aponta para a zona ou o sufixo. Um nome reverso ausente significa que o servidor respondeu à segunda pergunta sem nada de útil, e a resposta direta pode ter sido perfeita. Três resultados, três responsáveis, e apenas um deles diz respeito ao nome de host de que você precisava.

Apenas os dois primeiros descrevem um caminho DNS que falha para a sua aplicação. O terceiro descreve um registro que nunca foi publicado, e tratá-lo como falha leva a mudanças que não podem corrigi-lo, como reescrever o sufixo de pesquisa até o cabeçalho parecer mais amigável.

Leia as seções, não o cabeçalho

Abaixo do cabeçalho, a ferramenta imprime a resposta, a autoridade e quaisquer registros adicionais. Um endereço correto na seção de resposta é o resultado que você queria, mesmo quando o nome no cabeçalho é Unknown. Uma resposta vazia com negação autoritativa é um desfecho diferente e merece a própria investigação.

Mantenha os dois objetos explícitos em tudo o que enviar ao suporte: qual nome foi consultado e qual servidor foi questionado. Relatórios que mencionam apenas que o DNS está quebrado pela VPN obrigam a próxima pessoa a reconstruir um teste que você já fez.

Quando um nome reverso importa de verdade

Alguns serviços realmente se importam com registros PTR: registro que resolve endereços de clientes, verificações de reputação de e-mail ou ferramentas administrativas que exibem nomes. Se um deles falhar, publique o registro ou corrija a zona que deveria contê-lo. Esse trabalho é legítimo e separado da questão de saber se a VPN encaminha consultas corretamente.

O ponto estreito permanece: um rótulo de resolvedor ausente não prova que a resolução direta pelo túnel esteja quebrada, e uma consulta direta bem-sucedida não prova que cada nome da zona se resolva. Teste o nome de que você realmente precisa e depois decida quanto vale a palavra do cabeçalho.