Nslookup : interroger un DNS sous Windows et comprendre sa réponse

Préparer le nom à vérifier

Ouvrez le Terminal ou l’Invite de commandes de Windows. Les recherches présentées ici ne demandent pas de changer la configuration réseau. Saisissez un nom, comme www.example.org, sans https://, chemin de page ni paramètres personnels. Les domaines et résultats d’exemple sont documentaires : ils ne promettent pas les mêmes réponses au moment de votre essai.

Pour un nom interne d’entreprise, utilisez uniquement les serveurs prévus par l’organisation. L’envoyer à un résolveur public peut révéler ce nom et fournir une réponse sans rapport avec votre réseau privé.

Poser une question au résolveur par défaut

nslookup example.org.

Le point final précise que le nom est complet. Sans lui, des suffixes de recherche peuvent intervenir selon les options. Le début de la sortie indique le serveur interrogé et son adresse ; la suite concerne la réponse au nom demandé. Ne prenez pas l’IP du serveur DNS pour celle du site.

Un serveur nommé « Unknown » ou « Inconnu » peut simplement ne pas avoir de nom inverse disponible. Regardez si la recherche reçoit une réponse. Une mention « réponse ne faisant pas autorité » n’est pas un échec : le résolveur peut vous transmettre une réponse obtenue ailleurs ou conservée en cache.

Choisir le type : une adresse, un MX ou du texte

nslookup -type=A example.org.
nslookup -type=AAAA example.org.
nslookup -type=CNAME www.example.org.
nslookup -type=MX example.org.
nslookup -type=TXT example.org.
nslookup -type=TXT _dmarc.example.org.
nslookup -type=NS example.org.

A demande une IPv4, AAAA une IPv6, CNAME un alias, MX les destinations de réception mail et NS les serveurs de noms. Un TXT doit être demandé au nom exact : le TXT de la racine n’est pas celui de _dmarc ou d’un sélecteur DKIM. Les types DNS répondent à des questions différentes.

Un nom peut exister sans posséder le type demandé. Une absence de CNAME n’est pas une panne si ce nom publie directement un A. Ces recherches ne dressent pas non plus l’inventaire de tous les sous-domaines de la zone.

Comparer deux serveurs sans toucher aux réglages

nslookup -type=A example.org. 1.1.1.1
nslookup -type=A example.org. 8.8.8.8

Le dernier argument choisit le serveur pour cette commande. Il ne remplace pas les DNS enregistrés dans Windows. Gardez le même nom et le même type, puis notez les réponses et l’heure. Deux IP différentes peuvent venir des caches ou de la répartition des serveurs d’un site.

Si l’un répond et pas l’autre, l’écart donne une piste. Il ne prouve pas que le serveur muet est en panne pour tout Internet : votre réseau peut filtrer les requêtes vers lui. Le TTL explique aussi pourquoi une ancienne IP reste visible après une modification.

Interroger une autorité avant une migration

nslookup -type=MX example.org. ns1.fournisseur.example
nslookup -type=TXT _dmarc.example.org. ns1.fournisseur.example

Remplacez le domaine et le serveur fictif par vos valeurs. Vous examinez ici la zone servie par cette autorité, même avant la bascule si elle accepte déjà les requêtes. Contrôlez chaque serveur prévu et les noms de votre inventaire.

Une nouvelle zone correcte ne prouve pas que la délégation chez le parent a changé, ni que DNSSEC valide toute la chaîne. Préparez les vérifications de messagerie avant une migration DNS et faites un vrai essai d’envoi et de réception après la bascule.

Lire l’erreur avant de chercher un remède

• Nonexistent domain / NXDOMAIN : le serveur interrogé indique que le nom n’existe pas. Vérifiez l’orthographe, le nom complet et le contexte public ou privé.
• No records : le nom peut exister sans donnée du type demandé.
• Server failure / SERVFAIL : la résolution n’a pas abouti. DNSSEC, une délégation ou une autorité indisponible font partie des pistes.
• Timed out : aucune réponse exploitable dans le délai. Ce n’est pas une preuve d’absence du domaine.
• Refused : le serveur refuse la requête ; il n’est peut-être pas destiné à vous fournir ce service.

Si vous avez lancé nslookup seul et voyez une invite >, vous êtes dans son mode interactif. Saisissez exit pour revenir au terminal habituel avant de recopier une commande complète.

Ce test ne remplace pas celui de l’application

Le navigateur peut employer son propre DNS chiffré, et un VPN peut appliquer des règles de résolution particulières. Nslookup ne reproduit pas forcément ces chemins ni le cache et le fichier hosts utilisés par une application. Une réponse correcte n’atteste pas non plus que le serveur Web ou mail fonctionne.

Pour demander de l’aide, gardez la commande, la réponse exacte, l’heure, le réseau et l’état du VPN. Masquez les informations privées avant publication. Vous disposerez d’un constat vérifiable, plutôt que du seul « le DNS ne marche pas ».