DNS-Probleme unter Windows und Linux diagnostizieren

Mit nslookup, Resolve-DnsName, dig und resolvectl DNS-, Netz- und HTTPS-Fehler getrennt prüfen.

Erst Netz, dann Name

Prüfen Sie IP, Gateway und Standardroute. Testen Sie echtes Gateway und externe IP; ICMP kann gesperrt sein. Funktionierende IP bei fehlerhaftem Namen deutet auf DNS, beweist es aber nicht. Notieren Sie Hostname, A/AAAA, Zeitpunkt, Netz und Fehlermeldung. A steht für IPv4, AAAA für IPv6, MX für Mail, NS für Delegation, CNAME für Alias, TXT für Text und PTR für Reverse-DNS.

Windows-Resolver

ipconfig /all zeigt aktive Netzkarte, DNS und Suffixe; VPN und Active Directory verwenden oft interne Server und Split DNS. nslookup fragt einen DNS-Server direkt, umgeht aber lokale Cache-, hosts- und manche Clientregeln. Resolve-DnsName bietet gezielte Optionen; -DnsOnly -NoHostsFile schließt hosts bewusst aus. Unternehmens-DNS nicht unüberlegt durch öffentliche Server ersetzen.

ipconfig /all
nslookup www.example.com
nslookup -type=AAAA www.example.com
nslookup www.example.com 1.1.1.1
Resolve-DnsName www.example.com -Type A
Resolve-DnsName www.example.com -Server 1.1.1.1 -DnsOnly -NoHostsFile

Cache und hosts

Mit ipconfig /displaydns oder Get-DnsClientCache prüfen. ipconfig /flushdns und Clear-DnsClientCache leeren nur diesen Rechner, nicht autoritative Daten oder vorgelagerte Caches. Prüfen Sie C:\Windows\System32\drivers\etc\hosts und VPN-Regeln ohne notwendige Einträge zu löschen. Anfrage wiederholen und Server notieren.

ipconfig /displaydns
ipconfig /flushdns
Get-DnsClientCache
Clear-DnsClientCache

Linux-Resolver

Bei systemd-resolved zeigt resolvectl status DNS pro Verbindung und geroutete Domains; resolvectl query prüft die Clientauflösung. /etc/resolv.conf kann von systemd-resolved, NetworkManager oder DHCP verwaltet werden. Ändern Sie die Quelle statt eine automatisch erzeugte Datei.

ip address
ip route
resolvectl status
resolvectl query www.example.com
ls -l /etc/resolv.conf

Mit dig vergleichen

dig zeigt Status, ANSWER, TTL und befragten Server. Wie nslookup bildet eine direkte DNS-Abfrage nicht immer den Weg der Anwendung ab. Vergleichen Sie Standard- und expliziten Resolver; öffentliche Server kennen private Zonen nicht. NOERROR ohne Antwort kann fehlenden Record-Typ bedeuten. +trace folgt Delegation, kann bei gesperrten Direktanfragen scheitern.

sudo apt update
sudo apt install dnsutils
dig www.example.com A
dig www.example.com AAAA
dig @1.1.1.1 www.example.com A
dig example.com NS
dig example.com SOA
dig +trace www.example.com

Fehler und autoritative Server

NXDOMAIN bedeutet fehlender Name in der befragten Sicht, SERVFAIL Auflösungsfehler etwa bei DNSSEC, REFUSED eine Ablehnung und Timeout fehlende Antwort. Fragen Sie alle wirklichen NS-Server ab und vergleichen Sie A/AAAA und SOA-Seriennummer. ns1.provider.example und ns2.provider.example sind nur Platzhalter.

dig example.com NS
dig @ns1.provider.example example.com SOA
dig @ns1.provider.example www.example.com A
dig @ns2.provider.example www.example.com A

TTL und negative Cache

Nach Änderungen dürfen Resolver alte Werte bis zum früheren TTL behalten. Auch NXDOMAIN kann zwischengespeichert werden. Prüfen Sie zuerst autoritative Server, vergleichen Sie Resolver und notieren Sie TTL und Zeit. Lokales Leeren betrifft keine fremden Caches.

Port 53 und Anwendung

DNS verwendet üblicherweise UDP 53, manchmal TCP 53. Test-NetConnection -Port 53 prüft TCP, nicht UDP. Vergleichen Sie dig mit +tcp; erfolgreicher TCP-Aufbau beweist noch keine funktionierende DNS-Anwendung. Sind A/AAAA korrekt, prüfen Sie Port 443 und HTTPS getrennt auf Routing, Firewall, Dienst und TLS.

# PowerShell: tests TCP, not UDP
Test-NetConnection 1.1.1.1 -Port 53
Test-NetConnection www.example.com -Port 443
# Linux: compare default DNS transport and TCP
dig @1.1.1.1 example.com A
dig +tcp @1.1.1.1 example.com A
curl -I https://www.example.com

DNSSEC und Fazit

Wenn nur validierende Resolver SERVFAIL liefern, prüfen Sie die DNSSEC-Kette mit delv und die Systemuhr. Sammeln Sie reproduzierbare Ergebnisse vor Änderungen; trennen Sie Clientresolver, Direktanfrage, autoritative Server und Enddienst.

delv example.com A
timedatectl status

Quellen

Microsoft Resolve-DnsName: https://learn.microsoft.com/en-us/powershell/module/dnsclient/resolve-dnsname ; DNS-Diagnose: https://learn.microsoft.com/en-us/troubleshoot/azure/dns/troubleshoot-dns ; BIND DNSSEC: https://bind9.readthedocs.io/en/stable/dnssec-guide.html .