nslookup повідомляє про невідомий сервер: це лише мітка

Підключіть VPN, запустіть nslookup, і в заголовку з'явиться адреса резолвера з полем імені, заповненим як Unknown. Це слово стоїть над відповіддю, і більшість людей перестають читати раніше за важливу частину. Мітка описує, чи має резолвер власне зворотне ім'я; вона поки нічого не каже про те, чи розв'язалося запитане ім'я хоста. Закрити це вікно вчасно — ось і вся майстерність тут.

Два різні запити можуть дати таку картину, і лише один із них стосується вашої проблеми. Їх розділення коштує однієї додаткової команди й економить пів дня правок налаштувань DNS, які ніколи не були помилковими.

Що інструмент робить перед тим, як відповісти

nslookup може спробувати знайти ім'я для адреси сервера, який збирається використати, а це зворотний запит у домені in-addr.arpa або ip6.arpa. Якщо цей запис PTR відсутній, відфільтрований політикою або просто не опублікований, інструмент друкує Unknown і йде далі. Прямого розв'язання ця невдача не зачіпає, бо це інше питання, надіслане тому самому серверу.

Тому приватний резолвер може правильно відповідати на кожне корпоративне ім'я і все одно виглядати анонімним у заголовку інструмента. Адреса відома; ім'я за нею — ні, і інструмент чесний у цьому, хоч і залишається трохи театральним щодо обраного слова.

Запустіть обидва запити свідомо

Запитайте про хост, який вам важливий, а потім про адресу самого резолвера. Перший запит несе потрібне вам ім'я; другий питає сервер, чи може він назвати себе сам. У записаному вигляді вони виглядають так: nslookup app.corp.example 10.77.0.53 для хоста і nslookup 10.77.0.53 10.77.0.53 для зворотного імені резолвера.

Обидва приклади ілюстративні, тож підставте свої імена й адреси. Річ не в точному синтаксисі, а в розділенні: дві команди ставлять різні питання й можуть давати різні результати, не будучи жодна з них несправністю.

Три результати, які виглядають схоже й не є такими

Тайм-аут означає, що відповіді не надійшло взагалі, що вказує на доступність, фільтрування або неправильну адресу сервера. Негативна відповідь означає, що сервер відповів і сказав, що імені не існує, що вказує на зону або суфікс. Відсутнє зворотне ім'я означає, що сервер відповів на друге питання нічим корисним, і пряма відповідь могла бути бездоганною. Три результати, три власники, і лише один із них про ім'я хоста, яке вам було потрібне.

Лише перші два описують шлях DNS, який відмовляє для вашого застосунку. Третій описує запис, який ніколи не публікувався, і ставлення до нього як до несправності веде до змін, які не можуть його виправити, наприклад переписування суфікса пошуку, доки заголовок не стане привітнішим.

Читайте розділи, а не заголовок

Під заголовком інструмент друкує відповідь, авторитет і будь-які додаткові записи. Правильна адреса в розділі відповіді — це результат, якого ви хотіли, навіть коли ім'я в заголовку — Unknown. Порожня відповідь з авторитетною відмовою — інший результат, і вона заслуговує на власне розслідування.

Тримайте обидва об'єкти явними в усьому, що надсилаєте до підтримки: яке ім'я запитувалося і який сервер було опитано. Звіти, у яких сказано лише, що DNS зламаний через VPN, змушують наступну людину відтворити тест, який ви вже провели.

Коли зворотне ім'я справді важливе

Деякі служби справді дбають про записи PTR: журналювання, що розв'язує адреси клієнтів, перевірки репутації пошти або адміністративні інструменти, які показують імена. Якщо щось із цього не працює, опублікуйте запис або виправте зону, яка має його містити. Ця робота законна й відокремлена від питання, чи VPN правильно пересилає запити.

Вузький висновок залишається: одна відсутня мітка резолвера не доводить, що пряме розв'язання через тунель зламане, а один робочий прямий запит не доводить, що кожне ім'я в зоні розв'язується. Перевірте ім'я, яке вам справді потрібне, і тоді вирішіть, чого варте слово в заголовку.