Diagnóstico DNS9 min de lectura
Cómo diagnosticar DNS con dig paso a paso
dig permite separar problemas de caché, delegación, registros ausentes y fallos de DNSSEC. La clave es consultar primero resolvers recursivos y después servidores autoritativos para comparar la fuente real del dato.
Consulta varios resolvers públicos
Empieza comparando resolvers independientes. Si uno devuelve un valor antiguo y otros el nuevo, probablemente estás viendo caché o propagación parcial.
Comparar resolversdig
dig @1.1.1.1 example.com A
dig @8.8.8.8 example.com A
dig @9.9.9.9 example.com ASigue la delegación
Si el error es global o aparece SERVFAIL, revisa la cadena de delegación hasta los nameservers autoritativos.
Delegacióndig
dig +trace example.com NS
dig example.com NS +shortPregunta al autoritativo directamente
Cuando conoces los nameservers, consulta cada uno con +norecurse para comprobar si sirven la misma zona y el mismo serial SOA.
Autoritativosdig
dig @ns1.example.net example.com A +norecurse
dig @ns2.example.net example.com A +norecurse
dig @ns1.example.net example.com SOA +short
dig @ns2.example.net example.com SOA +shortQué mirar en la salida
- ANSWER SECTION muestra los registros devueltos.
- El TTL indica cuánto tiempo puede quedar en caché.
- NXDOMAIN significa que el nombre no existe para ese resolver.
- SERVFAIL suele requerir revisar delegación, autoritativos o DNSSEC.
- Una respuesta vacía puede significar que el nombre existe pero no tiene ese tipo de registro.