nslookup 抛出错误，而 dig 不抛出

Question

不同之处在于，“dig”针对单一类型（默认情况下 IPv4 地址记录为“A”）进行一次 DNS 查询，而“host”和“nslookup”二查询，一次针对“A”记录，一次针对“AAAA”记录以显示 IPv4 和 IPv6 地址。如果仔细查看其输出，您会看到第一个查询成功，但第二查询（“AAAA”记录）是失败的查询。

（LetsEncrypt 发行服务器对“CAA” “发行政策”记录进行了不同的查询。）

比较：

dig sub1.example.org A                 ; query IPv4 address
dig sub1.example.org AAAA              ; query IPv6 address
dig sub1.example.org CAA               ; query PKI issuance policy

nslookup sub1.example.org              ; query both IPv4 and IPv6
nslookup -debug sub1.example.org       ; ...and show the raw requests

nslookup -q=A sub1.example.org         ; query IPv4 address
nslookup -q=AAAA sub1.example.org      ; query IPv6 address
nslookup -q=CAA sub1.example.org       ; query PKI issuance policy (Linux only<1>)

<1> Beware that Windows nslookup.exe will not recognize 'CAA' as a valid type,
    so trying to use -q=CAA will achieve nothing on Windows.

请注意，您应该首先针对权威性该域的名称服务器，因为它们是实际生成回复的服务器——尚未针对公共解析器，后者仅中继这些回复。如果您不确定哪些服务器对您的域具有权威性，请执行“NS”查询。

（第二个要测试的是公共解析器，除非该域的每个权威名称服务器都会返回正确的答案。

总的来说，听起来您域名的权威服务器正在错误处理没有数据的记录类型的查询。

通常情况下，当 DNS 中存在某个名称，但没有该特定类型的记录时，权威服务器仍必须返回成功回复 - 只不过回复中没有任何内容（零条记录）作为“答案”。即使服务器没有支持正在查询的特定记录类型。

但是，如果解析器报告 SERVFAIL，则意味着您的权威服务器根本没有回复，或者回复了错误代码——这两种做法都不正确。

几乎重复的线程，但情况略有不同（其中类似的问题仅在发布者内部可见，但在 LetsEncrypt 的服务器外部不可见）：

为什么“dig”会成功，但“host”、“nslookup”、“curl”、“ping”却都失败？

Answer 1