nslookupの使い方：DNSレコードの確認とトラブルシューティング

nslookupは、ドメインやIPアドレスについてDNSサーバーに問い合わせるためのコマンドラインツールです。名前解決の問題なのか、Webサイトやメールサービスの問題なのかを切り分けるのに役立ちます。返ってくる応答は選んだリゾルバーとそのキャッシュに左右されるため、権威DNSサーバーから直接得た答えとは限りません。

レコードタイプを選ぶ

AレコードとAAAAレコードはIPv4とIPv6のアドレスを返します。MXレコードはメールサーバーを、NSレコードはネームサーバーを示し、TXTレコードはさまざまなプロトコルで使われるテキストを格納します。IPアドレスを逆引きすると、PTRレコードがあればそれが返されます。あるタイプのレコードがないからといって、ドメインそのものが存在しないわけではありません。

DNSの応答に複数のアドレスが含まれていることもあり、どのアドレスが選ばれるかはリゾルバーや場所によって異なります。CNAMEは別の名前の別名であり、それ自体はIPアドレスではありません。Webサイト、メール、セキュリティの設定を変更する前に、値だけでなくタイプも確認しましょう。

試してみたいコマンド

nslookup example.comを実行すると、設定済みのリゾルバーにアドレスのレコードを問い合わせます。特定のサーバーにMXレコードを問い合わせるには、nslookup -type=MX example.com 1.1.1.1を使います。実際のトラブル調査では、予約済みの例示用ドメインを自分のドメインに置き換え、ネットワークのポリシーで許可されているリゾルバーを選んでください。

逆引きをするには、IPアドレスをクエリとして指定します。PTRの結果が示すのはそのアドレスに設定された名前であり、ホストを誰が運用しているかを独自に確認したものではありません。2つの応答が食い違う場合は、別のリゾルバーか権威DNSサーバーに問い合わせてみましょう。

予想外の応答を読み解く

リゾルバーは、TTLが切れるまで以前のレコードをキャッシュしていることがあります。DNSを変更した直後は、リゾルバーによって一時的に異なる結果が返ることがあります。タイムアウトは、問い合わせたサーバーに到達できない、ブロックされている、応答が遅い、といった状況を意味し、ドメインにレコードがないことの証明にはなりません。NXDOMAINは、問い合わせた名前が存在しないとそのリゾルバーが応答したことを示します。

現在の権威DNSサーバー上の設定、問題が起きているクライアントが使っているリゾルバー、期待されるレコードを比べてみましょう。つづりやサブドメインも確認します。Webサイトにつながらない場合は、名前解決の後に直接の接続性をテストしてください。アドレスのレコードが正しくても、WebサーバーやTLSの設定が正常に動いているとは限りません。

メールのトラブルを調べるときは、MXの指す先の名前を個別に確認し、それがアドレスに解決されることを確かめます。MXの優先度の数値を性能の評価と混同しないでください。値が小さいほど優先度が高いことを示しますが、配信できるかどうかは受信側のメールサーバーが稼働しているかどうかにもよります。

フルリゾルバーと権威DNSサーバーの応答を比べる

nslookupの1回の結果は、選んだリゾルバーのキャッシュを反映しているだけかもしれません。ゾーンを変更した後は、権威DNSサーバーの応答と比べ、TTLも考慮に入れましょう。DNSキャッシュとDNSの浸透の記事もご覧ください。