dig Befehle für DNS-Diagnose

Die dig Abfragen, die ich bei DNS-Migrationen und Mail-Problemen wirklich nutze – durchsuchbar und mit einem Klick kopierbar.

30 Befehle

Grundlegende Abfragen

Über einen bestimmten Resolver abfragen (Cloudflare)
dig @1.1.1.1 example.com A +short
Autoritativen Nameserver direkt fragen (ohne Cache)
dig @ns1.example.com example.com A +norecurse
Delegation von der Root-Zone an nachverfolgen
dig +trace example.com
Antwort mehrerer öffentlicher Resolver vergleichen
for r in 1.1.1.1 8.8.8.8 9.9.9.9; do echo "$r: $(dig +short @$r example.com A)"; done
Rest-TTL im Cache des Resolvers prüfen
dig @1.1.1.1 +noall +answer example.com A
Abfrage über TCP statt UDP erzwingen
dig +tcp example.com A
Abfrage über IPv6-Transport senden
dig -6 @2606:4700:4700::1111 example.com A

SPF-Record herausfiltern
dig example.com TXT +short | grep spf1
DMARC-Policy abfragen
dig _dmarc.example.com TXT +short
DKIM-Public-Key für einen Selector abfragen
dig SELECTOR._domainkey.example.com TXT +short
Reverse Lookup (PTR) einer IPv4-Adresse
dig -x 203.0.113.10 +short
Reverse Lookup (PTR) einer IPv6-Adresse
dig -x 2001:db8::1 +short
SRV-Record abfragen (z. B. Mail-Autoconfig)
dig _submission._tcp.example.com SRV +short

Antwort mit RRSIG-Signaturen anzeigen
dig example.com A +dnssec +multi
DNSKEY-Records der Zone abfragen
dig example.com DNSKEY +short
DS-Record in der Elternzone prüfen
dig example.com DS +short
Validierung prüfen: Flag ad = DNSSEC gültig
dig @1.1.1.1 example.com A +dnssec | grep flags
Ohne Validierung abfragen (SERVFAIL eingrenzen)
dig @1.1.1.1 example.com A +cd

Zonentransfer versuchen (sollte für Fremde REFUSED sein)
dig @ns1.example.com example.com AXFR
⚠ Vorsicht: verändert oder löscht Daten
Nameserver-ID anzeigen (Anycast-Knoten erkennen)
dig @ns1.example.com example.com SOA +nsid
Abfragen stapelweise aus einer Datei ausführen
dig -f hosts.txt +noall +answer