Когда сайт не открывается, почта не доходит или новая DNS-запись «ещё не работает», первый вопрос всегда один: что домен показывает на самом деле прямо сейчас? Чтобы ответить на него не наугад, а точно, есть два классических инструмента: dig и nslookup. Они отправляют запрос напрямую DNS-серверу и показывают ответ без всяких украшений. В этой статье разберём, как пользоваться обоими инструментами на практике, как читать ответ и как выявлять самые частые проблемы.
Где взять инструменты
nslookup предустановлен в Windows, macOS и большинстве дистрибутивов Linux, поэтому он удобен для быстрой проверки. dig есть в macOS из коробки, а в Linux часто ставится отдельным пакетом. В Windows dig можно использовать из Windows-версии пакета BIND или через WSL (среду Linux внутри Windows):
# Debian / Ubuntu
sudo apt install dnsutils
# RHEL / AlmaLinux / Rocky
sudo dnf install bind-utilsОба инструмента делают одно и то же, но dig выводит ответ полнее и структурированнее, поэтому администраторы предпочитают его. nslookup же прост, есть на любом компьютере с Windows и очень выручает, когда нужно быстро что-то проверить на машине клиента.
Первый запрос в dig и чтение ответа
Простейший запрос состоит из имени домена и типа записи. Если тип не указан, dig запрашивает A-запись. В выводе ниже видны основные части ответа:
; <<>> DiG 9.18.28 <<>> sizningdomen.uz A
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41872
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; QUESTION SECTION:
;sizningdomen.uz. IN A
;; ANSWER SECTION:
sizningdomen.uz. 3600 IN A 203.0.113.10
;; Query time: 24 msec
;; SERVER: 192.168.1.1#53(192.168.1.1) (UDP)Самых важных строк здесь три. status показывает результат запроса: NOERROR означает, что всё в порядке, NXDOMAIN — что такого имени не существует, а SERVFAIL — что сервер не смог ответить. В секции ANSWER SECTION находится сама запись, а число во втором столбце (здесь 3600) — это TTL, то есть сколько секунд ответ будет храниться в кеше. Строка SERVER показывает, какой DNS-сервер ответил, здесь это домашний роутер.
Обратите внимание и на строку flags. qr означает, что это ответ, rd и ra — что рекурсия была запрошена и разрешена. Если отправить запрос напрямую нейм-серверу домена, в ответе появится флаг aa (authoritative answer). Он подтверждает, что ответ пришёл не из кеша, а с сервера владельца зоны.
Команды dig на каждый день
На практике полный вывод нужен нечасто, и параметр +short возвращает только сам результат. Этот набор команд закрывает почти все вопросы по домену:
dig sizningdomen.uz A +short
dig sizningdomen.uz AAAA +short
dig www.sizningdomen.uz CNAME +short
dig sizningdomen.uz MX +short
dig sizningdomen.uz TXT +short
dig sizningdomen.uz NS +short
dig sizningdomen.uz SOA +short
dig -x 203.0.113.10 +shortПоследняя команда — обратный запрос (PTR), она показывает, какое имя привязано к IP-адресу. Это особенно важно при проверке почтовых серверов, поскольку многие принимающие серверы смотрят на PTR-запись IP отправителя. Если нужен краткий вывод, но с TTL, используйте пару +noall +answer.
Запрос к конкретному серверу и трассировка
По умолчанию dig использует системный резолвер, но через символ @ можно указать любой сервер. Это нужно, чтобы сравнить ответы разных резолверов или проверить, есть ли изменение уже на нейм-сервере домена. Параметр +trace проходит путь запроса от корневых серверов через зону .uz до нейм-сервера домена и показывает, где обрывается делегирование:
dig @8.8.8.8 sizningdomen.uz A +short
dig @1.1.1.1 sizningdomen.uz A +short
dig NS sizningdomen.uz +short
dig @<имя-нейм-сервера> sizningdomen.uz A +norec
dig +trace sizningdomen.uznslookup: быстрый помощник в Windows
Синтаксис nslookup немного другой: тип записи задаётся параметром -type=, а сервер пишется после имени домена. Если в ответе видна надпись «Non-authoritative answer», это не ошибка, а лишь признак того, что ответ пришёл из кеша резолвера:
nslookup sizningdomen.uz
nslookup -type=mx sizningdomen.uz
nslookup -type=txt sizningdomen.uz
nslookup -type=ns sizningdomen.uz
nslookup sizningdomen.uz 8.8.8.8nslookup работает и в интерактивном режиме: запускаете команду без аргументов и затем вводите несколько запросов подряд. Это удобно, когда нужно последовательно проверить разные записи одного домена:
nslookup
> set type=mx
> sizningdomen.uz
> set type=txt
> sizningdomen.uz
> exitПрактический пример: на сайт школы не приходит почта
Частная школа в Ташкенте подключила к своему домену корпоративную почту, но письма от родителей не доходят. Администратор сначала выполняет dig sizningdomen.uz MX +short и видит, что MX-запись указывает на старый почтовый сервис: сервис сменили, а DNS не обновили. После исправления MX он проверяет SPF через dig sizningdomen.uz TXT +short и обнаруживает, что нового почтового сервера в записи нет. Исправив обе записи, администратор запрашивает их сначала у нейм-сервера домена, затем у публичных резолверов и следит, когда новые значения появятся везде.
Как интерпретировать результаты
Если нейм-сервер домена возвращает новое значение, а публичный резолвер — старое, причина в кеше: достаточно дождаться истечения TTL, ничего переделывать не нужно. Если же и сам нейм-сервер отдаёт старое значение, изменение не сохранилось или внесено не в ту зону. Ответ NXDOMAIN может говорить об опечатке в имени или о том, что домен не делегирован, например из-за истёкшего срока регистрации.
SERVFAIL часто означает, что нейм-сервер не отвечает или есть проблема с подписями DNSSEC. Чтобы проверить связь с DNSSEC, добавьте к запросу параметр +cd: если с ним ответ приходит, проблема в проверке подписи. В таком случае стоит сверить DS-запись в настройках домена и ключи в зоне. Клиенты sayt.uz редактируют DNS-записи через личный кабинет, а приведённые команды позволяют самостоятельно проверить результат после каждого изменения.