DNS ルックアップ — 任意のドメインの DNS レコードをリアルタイムでクエリします
dig または nslookup をインストールせずに、電子メール配信エラーを診断し、ドメイン移行を確認し、セキュリティ ポリシーを監査します。
DNS検索とは？
DNS ルックアップは、Domain Name System にクエリを実行して、ドメインに関連付けられたレコードを取得します。インターネットの電話帳のように機能し、人が読めるドメイン名をネットワークがトラフィックをルーティングしてサービスを提供するために必要な技術データに変換します。すべてのドメインは複数のレコード タイプを保持します。A レコードは IP アドレスを指し、MX レコードは電子メールをルートし、TXT レコードはセキュリティ ポリシーを保持し、NS レコードはネームサーバーに権限を委任します。
DNS ルックアップをトリガーすると、クエリは再帰リゾルバー (ISP、または 8.8.8.8 や 1.1.1.1 などのパブリック リゾルバーによって操作される) に移動します。リゾルバーは、レコードの TTL ウィンドウ内にキャッシュされた回答がある場合、そのキャッシュされた値を返します。そうでない場合は、権威ネームサーバー (ドメインの公式記録を保持するサーバー) に問い合わせます。このツールはキャッシュをバイパスし、権威サーバーに直接クエリを実行するため、結果にはブラウザがキャッシュしたものではなく、ゾーンの現在公開されている状態が反映されます。
ブラウザはバックグラウンドで DNS ルックアップを自動的に実行しますが、何も表示されません。このツールは、IP アドレスだけでなく、リゾルバーが信頼できるソースを再チェックするまで各レコードがキャッシュに保持される期間を明らかにする TTL 値を含む、ドメインに関連付けられたすべてのレコード セットの完全なレコード セットを公開します。
使い方
ドメインを入力
google.com や github.com などのドメイン名を入力してください。ルートドメインやサブドメインも照会できます。
レコードタイプを選択
検索するDNSレコードタイプを選択 — A、MX、TXT、NS、CNAME、SOA、CAA — またはすべてのレコードを選択。
結果を表示
結果は、権威ある DNS サーバーからリアルタイムで返されます。各行には、レコード タイプ、値、TTL (レコードがリゾルバーによってキャッシュされる期間)、および (MX レコードの場合) 優先順位番号が表示されます。ワンクリックで任意のレコードをクリップボードにコピーします。
DNS ルックアップ結果の見方
ルックアップが完了すると、各結果行には複数のフィールドが含まれます。各フィールドの意味と注意すべき点は次のとおりです。
| フィールド | 説明 |
|---|---|
TTL(Time To Live) | リゾルバーが権威サーバーに再クエリを行う前に、このレコードがキャッシュされる秒数。 TTL 300 = 変更は 5 分以内に反映されます。 TTL 86400 = 古いレコードは、変更後最大 24 時間保持されます。 |
MX優先 | MX レコードにのみ存在します。数値が小さいほど優先順位が高くなります。 10 (プライマリ) と 20 (バックアップ) を設定すると、フェイルオーバー チェーンが作成されます。優先順位の値が等しいということは、両方のサーバーが負荷を均等に共有することを意味します。 |
レコード値 | レコードに含まれる実際のデータ - A/AAAA レコードの場合は IP アドレス、MX/NS/CNAME の場合はホスト名、TXT レコードの場合はテキスト文字列。これは、DNS リゾルバーがトラフィックをルーティングしたりポリシーを検証したりするときに使用する値です。 |
CNAME チェーン | CNAME が別の CNAME を指す場合、解決チェーンが形成されます。 8 ホップより長いチェーンは、ほとんどのクライアントで解決できません。深さが問題になる場合は、中間の CNAME を直接 A レコードに置き換えます。 |
TTL および DNS の伝播タイムライン
TTL を使用して、リゾルバーがどのくらい早く変更を認識する必要があるか、またいつ再確認する必要があるかを推定します。
| TTL(Time To Live) | 予想される伝播ウィンドウ | いつ再確認するか |
|---|---|---|
| 300 | 世界中で約 15 ～ 30 分 | 5～10分ごと |
| 3600 | ～1～2時間 | 30～60分ごと |
| 86400 | 24時間まで | 12時間後に確認し、24時間後に再度確認します |
DNS レコード タイプ: それぞれが制御するもの
ドメインを IPv4 アドレス (最も基本的な DNS レコード) にマッピングします。出力例: 93.184.216.34、TTL 3600 (1 時間キャッシュ)。 A レコードが欠落しているか間違っている場合、ブラウザからドメインにアクセスできなくなります。
最新のネットワーク ルーティングのためにドメインを IPv6 アドレスにマップします。例: 2606:2800:220:1:248:1893:25c8:1946。欠落している場合、IPv6 のみのクライアントはドメインにアクセスできません。ただし、通常は IPv4 (A レコード) フォールバックが適用されます。
ドメインの電子メールを受け入れるメール サーバーを指定します。各レコードには優先順位番号が含まれており、値が小さいほど優先されます。例: 優先度 10 はプライマリ サーバーです。優先度 20 はフォールバックです。 MX レコードが存在しない場合、このドメインへの電子メールは拒否されます。
任意のテキストデータを格納します。主な用途: SPF (v=spf1 include:_spf.google.com ~all) は、どのサーバーが電子メールを送信できるかを承認します。 DKIM は署名検証用の公開キーを提供します。 DMARC (v=DMARC1; p=reject) は、認証されていない電子メールのポリシーを設定します。複数の TXT レコードが 1 つのドメイン上に共存できます。
ドメインの権限のあるネームサーバー、つまり公式の DNS レコードを保持するサーバーを識別します。 NS レコードが変更された場合、ゾーン権限は伝播後に新しいネームサーバーに移行します。
あるドメインを別のドメインに指すエイリアスを作成し、IP に解決します。サブドメイン (www、cdn、メール) および CDN ルーティングに使用されます。重要な制約: CNAME レコードはルート (頂点) ドメインでは設定できません。代わりにルートで A レコードまたは ALIAS レコードを使用してください。
ゾーンのメタデータ: プライマリ ネームサーバー、管理者の連絡先 ([email protected] ではなく admin.example.com としてエンコード)、YYYYMMDDNN 形式のシリアル番号、およびタイミング パラメーターが含まれます。シリアル番号は DNS が変更されるたびに増加し、更新がコミットされたことを確認します。
ドメインの SSL/TLS 証明書を発行できる認証局を制限します。例: 「0 issue letsencrypt.org」は、発行を Let's Encrypt のみに制限します。 CAA レコードが存在しない場合は、任意の CA がドメインの証明書を発行する可能性があります。
DNSSEC とは何ですか?このツールはそれを検証しますか?
DNSSEC (DNS Security Extensions) は、暗号署名を DNS レコードに追加し、リゾルバーが転送中にレコードが改ざんされていないことを検証できるようにします。このツールは、権威サーバーから生の DNS レコードを返しますが、現在 DNSSEC 署名の検証は実行しません。 DNSSEC の検証には、専用の DNSSEC アナライザーを使用します。
DNS ルックアップ ツールを使用する場合
メールの設定とトラブルシューティング
MX レコードをクエリしてメール サーバー ルーティングを確認し、TXT レコードで SPF、DKIM、DMARC ポリシーを確認し、DMARC ポリシーが p=none ではなく p=reject または p=quarantine に設定されていることを確認します。
ドメイン移行と伝播
DNS 設定を更新した後、A レコードと NS レコードをチェックして伝播を確認します。切り替え時のダウンタイムを最小限に抑えるために、移行計画の少なくとも 24 時間前に TTL を 300 秒に短縮します。
DNS セキュリティ監査
電子メールのなりすましを防ぐために、SPF、DKIM、および DMARC TXT レコードが正しく公開されているかどうかを確認してください。 NS レコードを調べて、ドメインが制御対象外のネームサーバーを指していないことを確認します。これは、サブドメイン乗っ取りの危険にさらされている一般的な兆候です。
DevOps とステージングの検証
運用環境に展開する前に、ステージング サブドメイン A レコードが正しいサーバーを指していること、CNAME エイリアスが目的の CDN オリジンに解決されること、およびサービス検証用の TXT レコードが存在することを確認してください。
CDN とサブドメインの構成
CDN がルーティングするサブドメイン (cdn、assets、static) に正しい CNAME ターゲットがあることを確認します。 www がルート ドメインまたは CDN エンドポイントを指していることを確認し、負荷分散されたサブドメインに対象の IP アドレスがすべてリストされていることを確認します。
オンライン DNS ルックアップと dig および nslookup: それぞれをいつ使用するか
開発者はコマンド ラインから dig または nslookup を使用することがよくあります。このオンライン ツールを最も一般的な使用例でどのように比較するかは次のとおりです。
| 機能 | このツール | dig | nslookup |
|---|---|---|---|
| インストールは必要ありません | はい | いいえ | いいえ |
| すべてのレコード タイプを一度にクエリする | はい | 部分的 | いいえ |
| 権限のあるネームサーバーに直接クエリを実行します | はい | はい | 部分的 |
| TTLの値を表示します | はい | はい | 部分的 |
| MXの優先度を示します | はい | はい | はい |
| 共有可能な結果 | はい | いいえ | いいえ |