Slik finner du navnetjenerne for et domene

Den raskeste måten å finne navnetjenerne for et domene er:

dig eksempel.no NS +short

Du får normalt to eller flere vertsnavn tilbake, for eksempel ns1.leverandor.no. og ns2.leverandor.no.. Disse navnene forteller hvor DNS-oppslag sendes, men et vanlig oppslag kan være mellomlagret hos resolveren. Før en viktig endring bør du også kontrollere hva overordnet sone delegerer til og om serverne svarer autoritativt.

Denne guiden svarer på tre forskjellige spørsmål:

1. Hvilke navnetjenere ser en vanlig bruker nå?
2. Hvilke navnetjenere er domenet delegert til?
3. Svarer de oppførte serverne faktisk for domenet?

Raskeste oppslag på Mac og Linux

Kjør et vanlig NS-oppslag:

dig eksempel.no NS

Se etter ANSWER SECTION. En kortere variant viser bare selve navnene:

dig eksempel.no NS +short

Punktumet på slutten av et vertsnavn betyr at navnet er fullstendig kvalifisert. ns1.leverandor.no. og ns1.leverandor.no viser samme navn i denne sammenhengen.

Vil du sammenligne flere offentlige resolvere, kan du spørre dem eksplisitt:

dig @1.1.1.1 eksempel.no NS +short
dig @8.8.8.8 eksempel.no NS +short
dig @9.9.9.9 eksempel.no NS +short

Ulike svar rett etter et bytte kan være gammel cache. Like svar beviser heller ikke alene at alle autoritative servere er riktig satt opp; resolverne kan ha fått svar fra bare én fungerende server.

Finn navnetjenere på Windows

I kommandolinjen kan du bruke nslookup:

nslookup -type=NS eksempel.no

I PowerShell kan du bruke:

Resolve-DnsName -Name eksempel.no -Type NS

Se etter feltene NameHost eller nameserver. Også disse kommandoene spør normalt en rekursiv resolver, og resultatet kan derfor være cachet.

Bekreft delegeringen, ikke bare resolverens kopi

For et .no-domene er det .no-sonen som henviser resten av DNS til domenets navnetjenere. Følg kjeden fra roten:

dig +trace eksempel.no NS

Mot slutten av resultatet ser du hvilke servere .no henviser eksempel.no til. Dette er delegeringssettet i foreldresonen. Det er en bedre kontroll av hva som er publisert etter en registrarendring enn å se i et kontrollpanel eller spørre én cachet resolver.

Norid forklarer at .no-sonen inneholder NS-poster og nødvendige A- og AAAA-limposter . Norids regelverk krever minst to fungerende navnetjenere for registrerte .no-domener.

Bruk den separate kontrollrekken for navnetjenerbytte dersom gamle og nye servere blandes etter en endring.

Bruk Norids domeneoppslag for .no

For et .no-domene kan Norids domeneoppslag vise:

• registrerte navnetjenere og IP-adresser
• domeneforhandleren
• DNSSEC-informasjon
• tidspunkt for registrering og siste endring
• abonnementsopplysninger etter tjenestens personvernregler

Dette er spesielt nyttig når du ikke vet hvem som administrerer domenet. Norid beskriver hvilke opplysninger domeneoppslaget gir .

Domeneforhandleren og DNS-leverandøren kan være forskjellige selskaper. Norid-oppslaget kan derfor vise én aktør som forhandler og vertsnavn fra en annen aktør som navnetjenere.

Spør hver navnetjener direkte

Når du har navnene, spør hver server om domenets SOA-post uten rekursjon:

dig @ns1.leverandor.no eksempel.no SOA +norecurse
dig @ns2.leverandor.no eksempel.no SOA +norecurse

Kontroller:

• status NOERROR
• flagget aa, som betyr autoritativt svar
• at begge serverne viser samme SOA-serienummer

Spør deretter etter NS-settet i selve domenesonen:

dig @ns1.leverandor.no eksempel.no NS +norecurse
dig @ns2.leverandor.no eksempel.no NS +norecurse

Navnetjenerne i domenesonen bør samsvare med delegeringen fra .no. RFC 2181 beskriver NS-postene ved soneopprinnelsen som listen over sonens autoritative servere.

Hvis en server svarer uten aa, gir REFUSED, ikke svarer eller viser et annet NS-sett, har du funnet et konfigurasjonsproblem. Det er ikke bare vanlig propagering.

Hvem er DNS-leverandøren?

Vertsnavnet gir ofte et spor:

Dette er en indikasjon, ikke et sikkert eierskapsbevis. En leverandør kan bruke et annet selskaps infrastruktur, forhandlernavn eller white-label-navn. IP-oppslag kan også villede når serverne bruker Anycast eller delt plattform.

Den praktiske fasiten er hvor den aktive sonen kan endres. Sjekk i denne rekkefølgen:

1. dokumentasjon fra siste DNS- eller webhotellbestilling
2. kontrollpanelet hos aktøren som matcher NS-navnene
3. Norids domeneoppslag for domeneforhandler og teknisk kontakt
4. leverandørens support med domenenavn og organisasjonsnummer

Ikke legg samme A-, MX- eller TXT-post i flere tilfeldige kontrollpaneler. Bare sonen på de aktive autoritative navnetjenerne blir brukt.

Tolk vanlige resultater

Ved SERVFAIL, test både direkte autoritativt svar og en validerende resolver. Hvis direkte svar gir data mens offentlige validerende resolvere gir SERVFAIL, er en brutt DNSSEC-kjede en sterk kandidat. DNSSEC-guiden viser hvordan dette skilles fra vanlig cache.

Finn riktig sted før du endrer DNS

Et godt oppslag ender ikke bare med to servernavn. Du bør kunne skrive ned:

Domene:
Delegerte navnetjenere:
DNS-leverandør eller kontrollpanel:
Domeneforhandler:
Svarer alle serverne autoritativt:
Samme SOA-serienummer:
DNSSEC aktivt eller av:

Først da vet du hvor en A-, MX- eller TXT-post må endres, og hvem som kan rette en feil i delegeringen. Skal navnetjenerne faktisk byttes, følg planen for å endre navnetjenere uten å miste nettsted eller e-post i stedet for å bare erstatte navnene i panelet.