nslookup

Wat het doet

Zo schrijf je het

nslookup [-option ...] [name | -] [server]
nslookup -type=TYPE name [server]
nslookup                      (interactive mode)

Meest gebruikt

Niets past bij dit filter.

$ als gewone gebruiker# als root (of met sudo)

1. 1Het adres van een naam vinden

   $nslookup www.redhat.com
   Server:         192.168.122.1
   Address:        192.168.122.1#53
    
   Non-authoritative answer:
   www.redhat.com  canonical name = ds-www.redhat.com.edgekey.net.
   ...

   "Server" is de DNS-server die antwoordde. "Non-authoritative" betekent dat het uit een cache kwam, niet van de eigenaar van het domein.

2. 2De naam van een IP-adres vinden (omgekeerd opzoeken)

   $nslookup 8.8.8.8
   8.8.8.8.in-addr.arpa    name = dns.google.

   Handig bij incident response: welke host zit achter een IP-adres in je logs? Niet elk adres heeft een omgekeerde naam.

3. 3Eén DNS-server direct vragen

   $nslookup app.example.com 10.0.0.53
   $nslookup app.example.com 1.1.1.1

   Vergelijk de interne en een publieke server. Verschillende antwoorden wijzen op split DNS of een oud record in één cache.

4. 4De mailservers van een domein vinden

   $nslookup -type=mx example.com
   example.com     mail exchanger = 10 mx1.example.com.

   Het laagste getal heeft de hoogste prioriteit. Controleer dit als mail niet aankomt.

5. 5Het SPF-record van een domein controleren (mailbeveiliging)

   $nslookup -type=txt example.com
   example.com     text = "v=spf1 include:_spf.example.com -all"

   SPF noemt de servers die mail voor het domein mogen versturen. "-all" betekent: weiger alle andere.

6. 6Het DMARC-record controleren

   $nslookup -type=txt _dmarc.example.com

   Geen antwoord betekent geen DMARC-beleid: anderen kunnen dan makkelijker nepmail namens het domein sturen.

7. 7De nameservers van een domein vinden

   $nslookup -type=ns example.com

   Toont welke servers de eigenaar (authoritative) van het domein zijn. Vraag hen direct om de echte records te zien.

8. 8Het SOA-record en het serienummer bekijken

   $nslookup -type=soa example.com

   Na een wijziging in een zone moet het serienummer omhoog, anders nemen andere servers de wijziging niet over.

9. 9Controleren welke certificaatautoriteiten certificaten mogen uitgeven

   $nslookup -type=caa example.com

   Een CAA-record staat alleen sommige CA's (bijvoorbeeld Let's Encrypt) toe om certificaten voor het domein te maken.

10. 10Een dienst vinden met een SRV-record (zoals LDAP of Kerberos)

    $nslookup -type=srv _ldap._tcp.corp.example.com

    Linux-clients die lid worden van Active Directory of IdM vinden de domeincontrollers op deze manier.

11. 11Het volledige antwoord met TTL-waarden zien

    $nslookup -debug app.example.com

    De TTL toont hoe lang servers het antwoord in de cache houden. Verlaag hem voordat je een dienst naar een nieuw IP verhuist.

12. 12In een script wachten tot een nieuwe naam werkt

    $until nslookup -timeout=2 -retry=1 app.example.com >/dev/null 2>&1; do sleep 10; done; echo "DNS is ready"

    Handig in een deploymentpipeline: ga pas door als het nieuwe DNS-record bestaat.

13. 13Naamresolutie testen in een Kubernetes-pod

    $kubectl exec -it debug-pod -- nslookup my-service.default.svc.cluster.local

    Als dit mislukt, controleer dan eerst de cluster-DNS (CoreDNS) voordat je naar je app kijkt.

14. 14Veel vragen stellen in de interactieve modus

    $nslookup
    > server 1.1.1.1
    > set type=aaaa
    > www.example.com
    > exit

    De interactieve modus onthoudt je instellingen tussen de vragen. Typ de woorden na de >-prompt van nslookup.

Niets past bij dit filter.

Bestanden

/etc/resolv.conf

De DNS-servers en zoekdomeinen die nslookup standaard gebruikt.