DNS Lookup उपकरण — सम्पूर्ण गाइड

DNS एउटा globally distributed, hierarchical database हो। जब तपाईंको computer ले api.github.com resolve गर्न खोज्छ, त्यसबेला recursive resolution नामको multi-step प्रक्रिया हुन्छ:

DNS Resolution का चरणहरू

1. Local cache check — OS पहिले आफ्नो local DNS cache हेर्छ। Linux मा: resolvectl statistics, Windows मा: ipconfig /displaydns
2. Recursive resolver — Cache miss भएमा query configured resolver मा जान्छ (जस्तै Google को 8.8.8.8 वा Cloudflare को 1.1.1.1)
3. Root nameservers — Resolver 13 root nameserver clusters लाई सोध्छ कि .com TLD को nameserver कुन हो
4. TLD nameservers — .com TLD nameserver ले github.com का authoritative nameservers फर्काउँछ
5. Authoritative nameserver — वास्तविक record फर्काइन्छ (जस्तै api.github.com को A record)

# dig ले full resolution trace देखाउँछ
dig +trace api.github.com A

# Output मा देखिन्छ:
# Root → .com TLD → github.com NS → final A record
# api.github.com.  60  IN  A  140.82.112.6

Nepal को Web Hosting र DNS

नेपालमा धेरै websites Nepal Telecom, Vianet, WorldLink जस्ता ISPs को DNS resolvers प्रयोग गर्छन्। यी resolvers ले global DNS changes delayed cache गर्न सक्छन्। Nepal को users का लागि DNS propagation status check गर्न dig @202.79.32.10 (Nepal Telecom's DNS) प्रयोग गर्न सकिन्छ।

DNS records zone file मा store भएका individual entries हुन्। प्रत्येक type को specific purpose हुन्छ।

वास्तविक Zone File Examples

; A record — website को IP
example.com.np.  3600  IN  A      203.0.113.10

; MX records — email routing
example.com.np.  3600  IN  MX     1  aspmx.l.google.com.
example.com.np.  3600  IN  MX     5  alt1.aspmx.l.google.com.

; TXT — SPF record (email spoofing रोक्न)
example.com.np.  3600  IN  TXT    "v=spf1 include:_spf.google.com ~all"

; CNAME — subdomain alias
blog.example.com.np. 3600 IN CNAME myapp.vercel.app.

DNS record change गरेपछि नयाँ value तुरुन्त सबैतिर देखिँदैन। प्रत्येक resolver ले पुरानो value cache गरेको हुन्छ र cache expire नहुन्जेल पुरानो नै serve गर्छ — यही DNS propagation हो।

Propagation को गणित

पुरानो A record TTL: 3600 seconds (१ घन्टा)

T+0    — IP परिवर्तन गर्नुभयो। Authoritative NS मा तुरुन्त update।
T+0    — अहिले query गर्ने resolvers ले नयाँ IP पाउँछन्।
T+60m  — पछिल्लो १ घन्टामा query गरेका resolvers को cache expire।
T+60m  — Propagation पूर्ण (TTL=3600 को लागि)।

TTL=86400 (24h) भए worst case 24–48 घन्टा लाग्छ।

Migration अघि TTL घटाउनुहोस्

# Step 1: 48 घन्टा अघि TTL 300s मा घटाउनुहोस्
# (DNS provider को dashboard मा)

# Step 2: Low TTL propagate भयो कि भएन verify गर्नुहोस्
dig +nocmd +noall +answer example.com.np A
# example.com.np.  300  IN  A  203.0.113.10

# Step 3: DNS change गर्नुहोस्
# Step 4: ५ मिनेट wait गर्नुहोस्
# Step 5: Confirm भएपछि TTL 3600+ मा फर्काउनुहोस्

Global Resolvers बाट Propagation Check

for resolver in 8.8.8.8 1.1.1.1 9.9.9.9 208.67.222.222; do
  echo -n "$resolver: "
  dig @$resolver +short example.com.np A
done

समस्या १: NXDOMAIN — Domain फेला परेन

dig example.com.np A  # status: NXDOMAIN

# Domain registration check गर्नुहोस्
whois example.com.np | grep -E "Expir|Status|Name Server"
dig example.com.np NS

समस्या २: SERVFAIL

dig example.com.np A  # status: SERVFAIL

# DNSSEC issue check गर्नुहोस्:
dig +cd example.com.np A  # +cd = checking disabled
# यो succeed भए DNSSEC broken छ

समस्या ३: Local Cache मा पुरानो IP

# Linux (systemd-resolved)
sudo resolvectl flush-caches

# Windows
ipconfig /flushdns

# macOS
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

समस्या ४: Email Delivery Issues

dig example.com.np MX         # Email routing
dig example.com.np TXT        # SPF record
dig _dmarc.example.com.np TXT # DMARC policy

DNS को सुरक्षा नेपालको cybersecurity context मा महत्वपूर्ण विषय हो। नेपाल सरकारको Cyber Bureau र Nepal Telecom Authority ले पनि DNS security guidelines जारी गरेका छन्।

DNSSEC — Cryptographic Integrity

# DNSSEC enabled छ कि छैन check गर्नुहोस्
dig +dnssec example.com A
# RRSIG record देखिनुपर्छ

# DNSSEC chain verify गर्नुहोस्
dig example.com DS      # Parent zone मा DS record
dig example.com DNSKEY  # Zone signing keys

DNS Hijacking का प्रकारहरू

DNS lookup tool deployment verification, security auditing र infrastructure planning को अभिन्न अंग हो।

Deployment को बेला DNS Checklist

# १. A record सही server मा point गर्दैछ?
dig +short api.myapp.com.np A
# Expected: 203.0.113.42

# २. CAA record check — SSL cert को लागि
dig myapp.com.np CAA
# 0 issue "letsencrypt.org"

# ३. Email infrastructure verify गर्नुहोस्
dig myapp.com.np MX
dig myapp.com.np TXT

Automation — DNS Health Check Script

#!/bin/bash
DOMAIN="api.myapp.com.np"
EXPECTED_IP="203.0.113.42"
ACTUAL_IP=$(dig +short $DOMAIN A | head -1)

if [ "$ACTUAL_IP" = "$EXPECTED_IP" ]; then
  echo "DNS ठीक छ: $DOMAIN → $ACTUAL_IP"
  exit 0
else
  echo "DNS मेल खाँदैन: expected $EXPECTED_IP, got $ACTUAL_IP"
  exit 1
fi

Reverse DNS र Email Reputation

# Mail server को PTR record check गर्नुहोस्
dig -x 203.0.113.42 +short
# mail.myapp.com.np.  ← Hostname match हुनुपर्छ

# PTR mismatch भए emails spam मा जान्छन्!

नेपालको IT infrastructure तेजीसँग बढिरहेको छ। Startups, government agencies र enterprises सबैका लागि DNS best practices महत्वपूर्ण छन्।

Production Domain Security Checklist

• Registry Lock enable गर्नुहोस् — DNS changes को लागि out-of-band verification आवश्यक हुन्छ
• DNSSEC enable गर्नुहोस् — Registrar र DNS provider दुवैले support गर्छन् भने अवश्य लगाउनुहोस्
• Registrar account मा 2FA — TOTP app प्रयोग गर्नुहोस्, SMS होइन
• CAA records थप्नुहोस् — Authorized CAs मात्रले SSL cert issue गर्न सकुन्
• DMARC p=reject set गर्नुहोस् — Email spoofing पूर्णतः block हुन्छ
• DNS changes को monitoring — Cloudflare, Route53 notifications setup गर्नुहोस्

# CAA record set गर्नुहोस् (DNS provider dashboard मा)
example.com.np.  CAA  0 issue "letsencrypt.org"
example.com.np.  CAA  0 issuewild "letsencrypt.org"
example.com.np.  CAA  0 iodef "mailto:security@example.com.np"

# Verify गर्नुहोस्:
dig example.com.np CAA