dig, альтернатива nslookup

Альтернативой nslookup в области запросов к службе имен является dig. Запросы dig обычно представляют собой однострочные команды, тогда как nslookup обычно используется в диалоговом режиме.

При этом команды dig выполняют ту же работу, что и nslookup. Выбор того или иного инструмента в большой степени просто дело вкуса. Оба работают достойно. Для примера мы используем dig, чтобы запросить у корневого сервера b.rootservers.net NS-записи домена mit.edu. Выполните следующую команду:

% dig ®Ь.root-servers.net mit.edu ns

В данном примере @b.root-servers.net - это сервер, к которому обращен запрос. Сервер может обозначаться именем или IP-адресом. При отладке проблемы, связанной с удаленным доменом, указывайте компетентный сервер имен этого домена. В данном примере мы запрашиваем имена серверов домена второго уровня (mit.edu), поэтому обращаемся к корневому серверу.

Если сервер не указан явным образом, dig использует локальный сервер имен или сервер имен, упомянутый в файле /etc/resolv.conf. (Файл resolv.conf описан в главе 8.) Кроме того, имя альтернативного файла resolv.conf может быть указано в качестве значения переменной среды LOCALRES. Этот альтерна- тивный файл будет использоваться вместо /etc/resolv.conf в запросах dig. Установка значения LOCALRES влияет только на dig, прочие программы, работающие со службами имен, продолжают использовать /etc/resolv.conf.

Последний элемент в примере команды - ns. Это тип запроса. Тип запроса - это значение, определяющее тип информации DNS, о которой идет речь в запросе. Это аналог значения, устанавливаемого при помощи команды nslookup set type. В табл. 13.1 перечислены возможные типы запросов dig и даны их расшифровки.

Таблица 13.1. Типы запросов dig

В dig существует также ключ, полезный для определения имени узла по его IP-адресу. Имея только IP-адрес узла, вы можете захотеть определить его имя, поскольку численные адреса более подвержены опечаткам. Работа с именем вместо адреса может облегчить жизнь пользователя. Домен inaddr.arpa обеспечивает преобразование адресов в имена, a dig предоставляет простой способ создания запросов по именам домена in-addr.arpa. Ключ -х позволяет создавать запросы преобразования адрес-имя и избавляет от необходимости вручную выполнять обращение номеров и добавлять «in-addr.arра». К примеру, чтобы выполнить поиск имени узла по IP-адресу 18.72.0.3, просто введите:

% dig -x 18.72.0.3
; «» DiG 2.2 «» -x
;;    res options: init recurs defnam dnsrch
;;    got answer:
;;    -»HEA0ER«- opcode: QUERY, status: NOERROR, id: 4
;;    flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 3
;;    QUERY SECTION:
;; 3.0.72.18.in-addr.arpa, type = ANY, class = IN
;; ANSWER SECTION:
3.0.72.18.in-addr.arpa. 6H IN PTR    BITSY.MIT.EDU.
;; AUTHORITY SECTION:
18.in-addr.arpa.    6H    IN NS    W20NS.MIT.EDU.    
18.in-addr.arpa.    6H    IN NS    BITSY.MIT.EOU.    
18.in-addr.arpa.    6H    IN NS    STRAWB.MIT.EDU.    
;; ADDITIONAL SECTION:
W20NS.MIT.EDU.    6H IN A    
BITSY.MIT.EDU.    6H IN A    
STRAWB.MIT.EDU.   6H IN A    18.71.0.151
;;    Total query time: 367 msec
;;    FROM: wren.foobirds.org to SERVER: default -- 0.0.0.0
;;    WHEN. Thu Jul 19 16:00:39 2001
;;    MSG SIZE sent: 40 rcvd: 170

Ответ на наш запрос - BITSY.MIT.EDU, однако dig отображает много другой информации. Для целей данного конкретного запроса достаточно только строки ответа, но дополнительная информация, отображаемая dig, полезна для обретения понимания формата пакетов ответов DNS и того, откуда появляются различные элементы информации DNS.

Формат сообщения DNS определен в документе RFC 1035, Domain Names - Implementation and Specification (Доменные имена, реализация и спецификация). Данный документ гласит, что сообщение стандартного формата может включать до пяти разделов:

Заголовок (Header) - Содержит административную информацию о сообщении, включая сведения о том, что содержится в последующих разделах сообщения.

Вопрос (Question) - Определяет суть вопроса, поставленного в запросе. Если раздел вопроса содержится в ответном сообщении, он позволяет определить, на какой вопрос отвечает ответное сообщение.

Ответ (Answer) - Часть ответного сообщения, содержащая ответ на конкретный вопрос, полученный в запросе.

Компетенция (Authority) - Содержит указатели на компетентные серверы домена, фигурирующего в запросе.

Дополнительный раздел (Additional) - Содержит прочие записи ресурсов с дополнительной важной информацией, сопутствующей ответу. Это не ответ на запрос, но эта информация способствует интерпретации или использованию ответа.

Основа вывода команды dig представлена в различных разделах ответного пакета DNS. Сведения заголовка в вышеприведенном примере представлены следующим образом:

;; -»HEADER«- opcode: QUERY , status: NOERROR , id: 4 
; ; flags: qr aa rd ra; QUERY : 1, ANSWER : 1, AUTHORITY : 3, ADDITIONAL: 3

dig отображает данные заголовка не в том порядке, в каком они хранятся в заголовке, но вывод команды достаточно легко связать с полями заголовка, описанными в RFC 1035. Ниже описаны различные значения из примера:

opcode: QUERY - Указывает, что данный запрос является стандартным.

status: NOERROR - Указывает, что в поле RCODE отсутствует код ошибки, то есть поле RCODE содержит значение 0.

id: 6 - Указывает, что для данного сообщения в качестве идентификатора использовалось число 6.

flags: qr aa rd rа - flags объединяет все однобитовые поля заголовка. В данном случае это значение покрывает четыре различных поля раздела заголовка и предоставляет сведения о трех других полях. Данная группа флагов указывает, что QR имеет значение 1, то есть мы имеем дело с ответным сообщением. АА имеет значение 1, поскольку ответ поступил от компетентного сервера. RD имеет значение 1, поскольку в запросе присутствовал флаг рекурсии. RA имеет значение 1 - рекурсия была доступна на сервере. ТС отсутствует, а значит, имеет значение 0, и это означает, что ответ не был усечен. AD и CD также имеют значение 0, поскольку механизмы DNSSEC не задействованы.

QUERY: 1, ANSWER: 1, AUTHORITY: 3, ADDITIONAL: 3

Эти значения представляют поля заголовка QDCOUNT, ANCOUNT, NSCOUNT и ARCOUNT, определяющие число записей ресурсов в оставшихся разделах сообщения. Можно видеть, что в разделе вопроса одна запись, в разделе ответа одна запись, в разделе компетенции три записи и в дополнительном разделе три записи. Команда dig из примера отображает следующие сведения о запросе:

;; QUERY SECTION:
;; 3.0.72.18.in-addr.arpa, type = ANY, class = IN

Четко прослеживаются три поля данного запроса. Поле класса имеет значение IN, поскольку запрос касается записей Internet. Смысл запроса: поиск любой записи (type = any), связанной с именем 3.0.72.18.in-addr.arpa. Отметим, что программа dig выполнила обращение адреса и создала для данного запроса соответствующее обратное доменное имя. Далее dig выводит раздел ответа, компетенции и дополнительный:

;; ANSWER SECTION:
3.0.72.18.in-addr.arpa. 6H IN PTR
BITSY.MIT.EDU.

;; AUTHORITY SECTION:
18.in-addr.arpa.    6H IN NS    
18.in-addr.arpa.    6H IN NS    
18.in-addr.arpa.    6H IN NS    

;; ADDITIONAL SECTION:
W20NS.MIT.EDU.    6H IN A    
BITSY.MIT.EDU.    6H IN A    18.72.0.3
STRAWB.MIT.EDU.   6H IN A    18.71.0.151

Ответ такой, как можно было ожидать: запись PTR для имени 3.0.72.18.inaddr.arpa. Эта запись сообщает нам, что имя узла для адреса 18.72.0.3-bitsy.mit.edu.

В разделе компетенции перечислены серверы, выступающие в роли компетентных для домена 18.in-addr.arpa. В этом разделе три записи NS, и каждая содержит имя компетентного сервера. Таким образом, мы знаем, что серверы w20ns.mit.edu, bitsy.mit.edu и strawb.mit.edu являютс я компетентными для обратного домена 18.in-addr.arpa.

Дополнительный раздел завершает сообщение и содержит адреса всех компетентных серверов имен. Адреса важны, поскольку если локальному серверу понадобится отправить один из последующих запросов напрямую компетентному серверу имен, он должен знать адреса таких серверов. Адреса в данном случае: 18.70.0.160, 18.72.0.3, 18.71.0.151.

Помимо ответа DNS, dig предоставляет сведения о состоянии в трех первых и четырех последних строках вывода. Первая строка повторяет параметры командной строки dig (-х в данном примере). Вторая строка содержит параметры библиотеки DNS-клиента, а третья указывает, был ли найден ответ на запрос. Последние четыре строки отображают время поиска, имя и адрес сервера, ответившего на запрос, дату получения запроса, а также размер пакетов запроса и ответа. Все эти сведения могут быть полезны при отладке проблем с DNS.

Программа dig удобна, поскольку формат сообщения DNS четко прослеживается в ее выводе, dig включается в состав Linux, однако присутствует не во всех системах Unix. Не беспокойтесь, если в вашей системе отсутствует dig. Для атаки на те же проблемы можно смело использовать nslookup. nslookup и dig одинаково эффективны для тестирования DNS.