Сетевой траблшутинг для новичков: Часть 2 — DNS

Бывает так: компьютер получил адрес, роутер отвечает, ping 8.8.8.8 проходит, а сайты в браузере не открываются. Чаще всего причина в DNS — системе, которая переводит доменные имена в IP-адреса. Если имя не удаётся преобразовать в адрес, браузер не знает, куда подключаться, даже при исправном соединении.

Как устроены DNS-записи и какие они бывают, подробно разобрано в статье «Настройка DNS для почты и сайта: Часть 1». Здесь — только диагностика.

Какой DNS-сервер использует система

Linux с systemd-resolved (Ubuntu, Debian и другие):

resolvectl status

В выводе для каждого интерфейса указаны DNS Servers. В других системах серверы перечислены в /etc/resolv.conf:

cat /etc/resolv.conf

Windows:

ipconfig /all

Строка DNS Servers показывает, к какому серверу обращается компьютер. Обычно это роутер или сервер провайдера.

Проверка через системный механизм

Linux с systemd-resolved:

resolvectl query google.com

Эта команда идёт тем же путём, что и обычные программы, поэтому показывает, что видят браузер и приложения.

Windows и macOS:

nslookup google.com

Пример успешного ответа nslookup:

Server:  192.168.1.1
Address: 192.168.1.1#53

Non-authoritative answer:
Name:    google.com
Address: 142.250.184.110

• Server — DNS-сервер, который ответил;
• Name / Address — запрошенное имя и найденный адрес;
• Non-authoritative answer — ответ получен не от сервера, отвечающего за домен, а из кеша промежуточного сервера. Для диагностики это нормально.

Ошибка выглядит так:

** server can't find example.invalid: NXDOMAIN

NXDOMAIN означает, что такого имени нет. Если так отвечает на существующее имя, сервер неисправен или ответ подменён.

dig: подробный ответ

dig показывает запрос и ответ полностью. В Linux он входит в пакет dnsutils (Debian, Ubuntu) или bind-utils (RHEL и производные).

dig google.com

Ключевые части вывода:

;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12345

;; QUESTION SECTION:
;google.com.            IN  A

;; ANSWER SECTION:
google.com.     242     IN  A   142.250.184.110

;; SERVER: 192.168.1.1#53(192.168.1.1)

• status — NOERROR при успехе, NXDOMAIN — имени нет, SERVFAIL — сервер не смог получить ответ;
• ANSWER SECTION — найденные записи; число после имени — время жизни записи в кеше (TTL) в секундах;
• SERVER — сервер, который ответил.

Короткий вывод только с адресами:

dig +short google.com

Главный приём: спросить другой сервер

Если имя не разрешается, задайте тот же вопрос публичному DNS-серверу:

dig @8.8.8.8 google.com
nslookup google.com 8.8.8.8

• через 8.8.8.8 ответ есть, а через свой сервер нет — проблема в DNS роутера или провайдера. Решение — сменить DNS-серверы в настройках сети или роутера;
• нет ответа ни от одного сервера — запросы DNS, скорее всего, блокируются по пути (порт 53 UDP и TCP) или проблема со связью;
• разные серверы возвращают разные адреса — возможна подмена ответов или изменение записи, которое ещё не разошлось из-за TTL.

Итог

• resolvectl status или ipconfig /all — какой DNS-сервер используется;
• resolvectl query и nslookup — проверка тем же путём, что у приложений;
• dig — подробный ответ и запрос к конкретному серверу через @.

Если имя разрешается в правильный адрес, узел отвечает на ping, а сайт всё равно не открывается, следующий шаг — проверить, работает ли на сервере нужная служба. Этому посвящена следующая часть.

Ресурсы

• resolvectl (man7.org)
• dig (man7.org)
• nslookup (Microsoft Learn)
• Google Public DNS