nslookupしたら「Query refused」。DNSで何が起きているのか順番に調べてみた

nslookup を試していて、

Server:  UnKnown
*** UnKnown が www.microsoft.com を見つけられません: Query refused

のような表示が出ると、最初はかなり混乱しました。
正直、最初に思ったのは、

ということでした。

でも調べながら整理していくと、ここにはいくつか別の意味が混ざっていました。
今回の学びは、

ことでした。

最初に混ざっていた2つの表示

今回まず混ざっていたのが、この2つです。

• Server: UnKnown

• Query refused

見た目は1つの現象に見えますが、意味は同じではありません。

Server: UnKnown は「サーバー名が出ない」話

最初は、

と思いました。
でも、ここはそう単純ではありませんでした。

Server: の行は、問い合わせ先DNSサーバーの名前を表示しようとしています。
ただし、逆引き名がうまく取れないと、UnKnown と出ることがあります。
つまり、

ということでした。
ここを見て少し落ち着きました。
少なくとも、

と即断はできません。

Query refused は「拒否された」話

次に大事なのがこちらです。
Query refused は、

と考えると整理しやすかったです。
これは、

• timeout

• 応答なし

• 到達不可

とは違います。

届いてはいる。
ただし、そのサーバーが「それは受けません」と返している。
この違いは、かなり重要でした。

「名前解決できなかった」と「拒否された」は違う

今回、自分の中で一番整理できたのはここです。
同じ「うまくいかない」でも、

• 問い合わせ自体が届かない

• 問い合わせは届いたが拒否される

• 問い合わせは処理されたが名前が存在しない

では意味が違います。
これを分けないと、対処も混ざってしまいます。

A と AAAA を分けて見ると少し見えやすい

次にやったのが、問い合わせ種別を分けることでした。

nslookup -type=A www.microsoft.com <DNSサーバーIP>
nslookup -type=AAAA www.microsoft.com <DNSサーバーIP>

ここで見るのは、

• A = IPv4

• AAAA = IPv6

です。
重要なのは、

です。
もし A は通るのに AAAA だけ失敗するなら、見え方が変わります。

最初は「全部同じDNSエラー」と思っていましたが、少し分けるだけで切り分け材料になります。

Windowsが普段使っているDNSと、nslookupで試すDNSは別

ここも地味に混乱しやすいところでした。
nslookup は、明示的にDNSサーバーを指定できます。

でもWindowsが普段使っているDNSサーバーは、別かもしれません。
それを確認するには、例えば、

Get-DnsClientServerAddress

や

ipconfig /all

を見ます。
ここでようやく、

を分けて考えられるようになりました。

別DNSサーバーへ同じ問い合わせをして比較する

切り分けとして一番分かりやすかったのはこれでした。

という方法です。
もちろん、これで「じゃあそっちを恒久利用しよう」という話にすぐ飛ぶわけではありません。
大事なのは、

ことです。
例えば、

• 特定のDNSサーバーだけ refused

• 別DNSでは普通に返る

なら、対象が少し絞れます。

似て見えるエラーを混同しない

今回、自分の中ではこの整理が一番大きかったです。

Server: UnKnown

DNSサーバー名の表示ができないだけかもしれない

Query refused

問い合わせ先DNSサーバーが拒否している

Non-existent domain

問い合わせ自体は処理されたが、名前がない

Timeout

届いていない、応答がない、遮断されているなどの可能性

見た目は全部「うまくいかなかった」に見えます。
でも意味はかなり違います。

いきなり直そうとしない方がよかった

最初は、

と考えがちでした。
でも今回は、そこへ行く前に、

1. どこへ問い合わせたか

2. A と AAAA を分ける

3. 普段のDNS設定を確認する

4. 別DNSと比較する

5. REFUSED / NXDOMAIN / TIMEOUT を分ける

と順番に見た方が、かなり整理しやすかったです。

今回の自分向けメモ

今後また同じ表示を見たら、まずこう見ます。

1. nslookupでどのDNSサーバーを使っているか確認
2. A / AAAA を分けて確認
3. WindowsのDNS設定を確認
4. 別DNSサーバーと比較
5. refused / timeout / NXDOMAIN を混同しない

この順だけでも、かなり落ち着いて見られそうです。

まとめ

nslookup の

• Server: UnKnown

• Query refused

は、まとめて「DNSが壊れた」と見るものではありませんでした。

今回整理できたのは、

ということです。

DNSは仕組みの説明だけ聞くと難しいですが、
こうやって具体的なエラーから整理すると、少し理解しやすくなりました。