drill-Befehle: DNS-Abfragen mit DNSSEC-Fokus von NLnet Labs

drill ist das DNS-Lookup-Werkzeug aus der ldns-Bibliothek von NLnet Labs — eine Alternative zu dig, die speziell für DNSSEC entwickelt wurde (der Name ist ein Wortspiel auf dig). Es fragt beliebige Record-Typen ab und kann Signaturen direkt validieren.

Einfache Abfragen

drill example.com           # A-Record (Standard: Typ A)
drill example.com MX        # MX-Records
drill example.com @1.1.1.1  # @Server: gezielt einen Nameserver fragen
drill -x 8.8.8.8            # Reverse-Lookup (PTR)

Syntax: drill Name [@Server] [Typ] [Klasse]. Ohne Typ wird A angefragt, als Server dienen die in /etc/resolv.conf konfigurierten Resolver.

DNSSEC prüfen

drill -D example.com        # -D: DNSSEC-Ok-Flag setzen (zeigt RRSIG an)
drill -S example.com        # -S: Signaturkette von der Root-Zone validieren

Mit -S verfolgt drill die DNSSEC-Kette von der Root bis zur Domain und bestätigt, ob die Antworten authentisch sind. Damit eignet sich drill hervorragend, um DNSSEC-Konfigurationsfehler zu finden, die zu SERVFAIL führen.

Weitere Optionen

  • -T: Abfrage über TCP statt UDP erzwingen (bei großen Antworten)
  • -t: Timeout setzen
  • -y: TSIG-Signatur für Zonentransfers
  • -V: Versionsnummer anzeigen

Installation: Paket ldnsutils (Debian/Ubuntu), ldns (FreeBSD); Unbound-Lieferungen enthalten drill oft bereits.

Wer die Route zum Zielnetz analysieren will, nutzt mtr-Befehle; die Inhaber-Auskunft zur Domain liefert whois.

Verwandte Grundlagen: DNS-Query, DNS-Resolver, mtr-Befehle, whois-Befehle.