dig Linux là một công cụ dòng lệnh mạnh mẽ được sử dụng để truy vấn các máy chủ DNS và thu thập thông tin chi tiết về các bản ghi DNS như A, MX, NS, SOA, TXT. Khác với các công cụ đơn giản hơn như nslookup, dig cung cấp dữ liệu chuyên sâu hơn, được các quản trị viên hệ thống và kỹ sư mạng tin dùng để chẩn đoán các sự cố liên quan đến phân giải tên miền. Trong bài viết này, mình sẽ hướng dẫn bạn chi tiết cách sử dụng lệnh dig để kiểm tra hoạt động DNS và tìm kiếm thông tin tên miền một cách chuyên nghiệp.
Những điểm chính
- Khái niệm: Hiểu rõ bản chất công cụ truy vấn DNS chuyên sâu giúp bạn làm chủ quy trình phân tích và chẩn đoán tên miền hiệu quả.
- Các tùy chọn lệnh dig: Nắm vững hệ thống tham số phong phú để lọc và tùy chỉnh dữ liệu hiển thị theo đúng mục đích quản trị hệ thống.
- Lợi ích vượt trội: Biết cách tận dụng tính minh bạch và khả năng truy vết của dig để tối ưu hóa hiệu suất và nâng cao bảo mật cho website.
- Cách cài đặt: Hiểu rõ các bước thiết lập gói tiện ích trên các bản phân phối Linux phổ biến như Ubuntu, Debian hay CentOS nhanh chóng.
- Hướng dẫn sử dụng chi tiết: Thành thạo kỹ năng tra cứu các bản ghi A, MX, NS, SOA và thực hiện phân giải ngược địa chỉ IP chuyên nghiệp.
- Xử lý lỗi thường gặp: Trang bị kỹ năng khắc phục các mã lỗi NXDOMAIN, SERVFAIL giúp duy trì hoạt động tên miền luôn ổn định.
- Lưu ý quan trọng: Nắm vững các quy tắc về bộ nhớ đệm và lộ trình phân cấp để đảm bảo kết quả truy vấn luôn là dữ liệu chính xác nhất.
- Câu hỏi thường gặp: Giải đáp các thắc mắc liên quan đến lệnh dig trong Linux.
Lệnh dig Linux là gì?
dig (Domain Information Groper) là lệnh được dùng để truy vấn và kiểm tra thông tin từ hệ thống phân giải tên miền. Khác với các công cụ giám sát mạng thụ động như tcpdump, lệnh dig hoạt động theo cơ chế chủ động gửi yêu cầu trực tiếp đến máy chủ DNS để truy vấn và phân tích phản hồi.
Điểm mạnh của dig nằm ở khả năng cung cấp dữ liệu thô minh bạch và chi tiết. Kết quả trả về được cấu trúc khoa học thành các khối riêng biệt, hiển thị rõ ràng các thông số kỹ thuật quan trọng như thời gian sống của bản ghi, độ trễ phản hồi và lộ trình phân giải. Chính nhờ đặc tính này, dig trở thành công cụ tiêu chuẩn cho các quản trị viên mạng khi cần xử lý các sự cố phức tạp như lỗi cấu hình bản ghi, chậm cập nhật DNS hay sự cố giao tiếp với máy chủ tên miền.
Các tùy chọn của lệnh dig
Để hỗ trợ người dùng tùy chỉnh kết quả trả về và tối ưu hóa quá trình phân tích dữ liệu, lệnh dig cung cấp hệ thống các tùy chọn và tham số đi kèm rất đa dạng như sau:
| Tùy chọn | Mô tả chi tiết |
|---|---|
| +short | Chỉ trả về câu trả lời ngắn gọn nhất, loại bỏ các thông tin bổ trợ. |
| +noall +answer | Ẩn toàn bộ các thành phần khác và chỉ giữ lại duy nhất phần trả lời |
| +stats | Hiển thị các số liệu thống kê chi tiết liên quan đến quá trình truy vấn. |
| +trace | Hệ thống thực hiện dò tìm lộ trình phân giải từ các máy chủ gốc đến máy chủ có thẩm quyền cao nhất của tên miền. |
| +nocmd | Loại bỏ dòng thông báo xác nhận câu lệnh ban đầu khỏi kết quả hiển thị trên màn hình. |
| +nssearch | Tìm kiếm toàn bộ các máy chủ tên miền và đối chiếu mức độ đồng bộ dữ liệu giữa chúng. |
| @server | Chỉ định địa chỉ của máy chủ DNS cụ thể muốn gửi yêu cầu truy vấn tới. |
| -t type | Xác định loại bản ghi DNS cần kiểm tra. |
| -p port | Thiết lập số cổng kết nối riêng cho truy vấn thay vì sử dụng cổng 53 mặc định. |
| -q name | Xác định chính xác tên miền mà bạn muốn thực hiện tra cứu. |
| -k filename | Chỉ định tệp chứa khóa TSIG để thực hiện các truy vấn DNS có tính bảo mật cao. |
| +[no]question | Bật/tắt hiển thị nội dung câu hỏi của truy vấn trong kết quả. |
| +[no]answer | Điều khiển việc cho phép hiển thị hoặc ẩn đi phần kết quả trả lời. |
| +[no]authority | Quản lý việc xuất hiện của phần thông tin về các máy chủ có thẩm quyền. |
| +[no]additional | Hiển thị hoặc ẩn các thông tin bổ sung đính kèm trong phản hồi DNS. |
| +[no]comments | Chọn hiển thị hoặc loại bỏ các dòng bình luận trong đầu ra. |
| +[no]stats | Kiểm soát việc hiển thị các dòng thông tin thống kê ở cuối kết quả. |
| +[no]ttl | Điều chỉnh việc hiển thị hoặc ẩn các giá trị thời gian tồn tại của bản ghi. |
| +[no]recurse | Thiết lập bật hoặc tắt chế độ truy vấn đệ quy khi gửi yêu cầu DNS. |
Những lợi ích vượt trội khi sử dụng lệnh dig
Dưới đây là những lợi ích quan trọng của lệnh dig trong việc kiểm tra và quản trị DNS:
- Đảm bảo tính minh bạch cho dữ liệu DNS: Lệnh
dighiển thị toàn bộ cấu trúc của một gói tin DNS phản hồi, bóc tách rõ ràng các phần như Header, Answer Section, Authority Section và Additional Section, giúp quản trị viên đánh giá tổng quan nhất về trạng thái tên miền. - Khả năng truy vết nguồn gốc: Với tùy chọn
+trace,digcho phép bạn theo dõi toàn bộ hành trình phân giải tên miền từ máy chủ gốc đến máy chủ tên miền cấp cao và đến máy chủ có thẩm quyền. Tính năng này giúp phát hiện điểm nghẽn hoặc lỗi cấu hình sai lệch ở bất kỳ điểm nào trong chuỗi phân giải. - Bỏ qua bộ nhớ đệm cục bộ): Lệnh
digcho phép bạn chỉ định trực tiếp máy chủ DNS mục tiêu giúp bạn kiểm tra bản ghi mới cập nhật đã được đồng bộ lên máy chủ đó hay chưa mà không bị ảnh hưởng bởi dữ liệu cũ đang lưu trong Cache của máy tính hoặc ISP. - Hỗ trợ tự động hóa và Scripting: Nhờ chế độ hiển thị ngắn gọn và khả năng xử lý hàng loạt,
digcó thể dễ dàng tích hợp vào các Shell Script hoặc hệ thống giám sát để tự động kiểm tra trạng thái hoạt động của hàng nghìn tên miền cùng lúc. - Kiểm tra hiệu suất và bảo mật: Thông qua các chỉ số như Query time và TTL, bạn có thể đánh giá tốc độ của DNS Server. Ngoài ra,
digcòn hỗ trợ tốt việc kiểm tra các bản ghi bảo mật như DNSSEC, giúp xác minh tính toàn vẹn của dữ liệu tên miền.
Cách cài đặt lệnh dig
Lệnh dig là một phần của gói bind-utils trên RHEL/CentOS/Fedora hoặc dnsutils trên Debian/Ubuntu. Nếu lệnh không có sẵn và hệ thống báo lỗi command not found, bạn có thể cài đặt bằng các lệnh sau:
- Trên Debian/Ubuntu:
sudo apt install dnsutils- Trên CentOS/RHEL:
sudo yum install bind-utilsCách sử dụng lệnh dig chi tiết
1. Truy vấn DNS cơ bản
Bạn có thể gửi một truy vấn DNS mặc định, thường là tìm bản ghi A cho một tên miền bằng cú pháp lệnh sau:
dig <ten_mien_can_tra_cuu_DNS>Lệnh sau sẽ truy vấn máy chủ DNS mặc định được cấu hình trong file /etc/resolv.conf và hiển thị địa chỉ IP (bản ghi A) của tên miền:
dig tech.vietnix.xyz
2. Chỉ hiển thị bản ghi trả lời
Để chỉ hiển thị địa chỉ IP hoặc thông tin bản ghi một cách ngắn gọn, loại bỏ các Header và thông tin thống kê dài dòng, bạn thêm tùy chọn +short vào câu lệnh sau:
dig +short <ten_mien_can_tra_cuu_DNS>Lệnh sau dùng để truy vấn DNS cho tên miền tech.vietnix.xyz và chỉ in ra kết quả ngắn gọn, thường là địa chỉ IP (bản ghi A) hoặc bản ghi tương ứng, mà không kèm header hay thông tin chi tiết khác:
dig +short tech.vietnix.xyzTùy chọn +short là cách nhanh nhất để lấy địa chỉ IP của một tên miền mà không cần quan tâm đến các thông tin phụ.
3. Truy vấn một loại bản ghi DNS cụ thể
Để tìm kiếm các loại bản ghi khác ngoài bản ghi A mặc định, ví dụ như MX (Mail Exchanger), NS (Name Server) hoặc TXT (Text), bạn dùng lệnh dưới đây để chỉ định loại bản ghi đó ngay sau tên miền:
dig <ten_mien_can_tra_cuu_DNS> <loai_ban_ghi>Ví dụ, để tìm bản ghi MX, bạn thực hiện lệnh sau:
dig tech.vietnix.xyz MX
Ngoài ra, bạn cũng có thể tìm bản ghi NS với cú pháp lệnh đơn giản dưới đây:
dig tech.vietnix.xyz NS
Để tìm bản ghi TXT, bạn thực hiện cú pháp như sau:
dig tech.vietnix.xyz TXTLệnh dig ... MX sẽ hiển thị danh sách các máy chủ chịu trách nhiệm nhận thư cho tên miền đó.
4. Chỉ định máy chủ DNS để truy vấn
Bạn có thể bỏ qua máy chủ DNS mặc định của hệ thống và gửi truy vấn trực tiếp đến một máy chủ DNS cụ thể bằng cách thêm ký tự @ trước địa chỉ IP của máy chủ đó. Cú pháp này rất hữu ích khi bạn cần kiểm tra xem máy chủ tên miền của mình đã cập nhật các bản ghi mới hay chưa mà không bị ảnh hưởng bởi cache của DNS trung gian. Cú pháp thực hiện lệnh như sau:
dig @<dia_chi_IP_cua_DNS_Server> <ten_mien_can_tra_cuu>Lệnh dưới đây sẽ giúp bạn truy vấn bản ghi DNS của tên miền tech.vietnix.xyz nhưng gửi yêu cầu trực tiếp đến máy chủ DNS 8.8.8.8 của Google, thay vì dùng DNS mặc định trên hệ thống của bạn:
dig @8.8.8.8 tech.vietnix.xyz
5. Truy vấn bản ghi SOA
Bản ghi SOA đóng vai trò quan trọng trong việc chẩn đoán lỗi đồng bộ hóa dữ liệu giữa các máy chủ tên miền thứ cấp. Bạn có thể xem bản ghi SOA để kiểm tra các thông số quản trị tên miền như Serial Number, thời gian làm mới, thời gian thử lại và thời gian hết hạn bằng lệnh dưới đây:
dig <ten_mien_can_tra_cuu_DNS> SOALệnh dưới đây sẽ giúp bạn truy vấn bản ghi SOA của tên miền tech.vietnix.xyz:
dig tech.vietnix.xyz SOA
6. Truy vấn ngược
Tùy chọn -x là cờ chuyên dụng để thực hiện việc phân giải ngược địa chỉ IP. Bạn có thể sử dụng tùy chọn -x để phân giải từ một địa chỉ IP thành tên miền tương ứng với cú pháp lệnh sau:
dig -x <dia_chi_IP_can_tra_cuu_nguoc>Lệnh dưới đây sẽ giúp bạn thực hiện reverse DNS lookup (truy vấn ngược), tức là hỏi DNS xem địa chỉ IP 8.8.8.8 tương ứng với tên miền nào:
dig -x 8.8.8.8
Cách xử lý lỗi phổ biến khi dùng lệnh dig
Theo kinh nghiệm của mình trong quá trình làm việc với hệ thống DNS, các lỗi khi sử dụng lệnh dig thường xuất phát từ cấu hình, cache hoặc nhầm lẫn trong quá trình truy vấn. Dưới đây là những lỗi phổ biến và cách xử lý cụ thể:
1. Lỗi: status: NXDOMAIN
Thông báo lỗi status: NXDOMAIN cho biết máy chủ DNS xác nhận rằng tên miền này hoàn toàn không tồn tại trong hệ thống phân giải tên miền. Nguyên nhân và cách khắc phục này cụ thể như sau:
- Do lỗi cú pháp: Bạn kiểm tra lại chính xác từng ký tự của tên miền.
- Do tên miền chưa đăng ký hoặc đã hết hạn: Bạn kiểm tra trạng thái đăng ký tên miền (WHOIS).
2. Lỗi: status: SERVFAIL
Lỗi status: SERVFAIL cho biết máy chủ DNS nhận được yêu cầu nhưng gặp lỗi nội bộ hoặc không thể liên lạc với các máy chủ cấp cao hơn để lấy câu trả lời. Nguyên nhân gây lỗi trên thường do lỗi cấu hình DNS Server cục bộ hoặc lỗi xác thực DNSSEC.
Để khắc phục, bạn hãy thử thay đổi máy chủ phân giải để khoanh vùng lỗi. Đồng thời, bạn dùng lệnh dig @8.8.8.8 [domain] để so sánh, nếu Google DNS trả về kết quả đúng, vấn đề nằm ở DNS Server nội bộ hoặc ISP của bạn.
3. Lỗi: dig: command not found
Nguyên nhân gây lỗi dig: command not found thường do hệ điều hành chưa được cài đặt gói phần mềm chứa tiện ích dig. Để khắc phục, bạn cài đặt gói phụ thuộc thông qua trình quản lý gói với cú pháp sau:
- Trên Ubuntu/Debian: sudo apt-get install dnsutils
- Trên CentOS/RHEL: sudo yum install bind-utils.
4. Nhận được IP cũ mặc dù đã cập nhật bản ghi
Nếu bạn đã cập nhật bản ghi DNS nhưng dig vẫn trả về IP cũ thì nguyên nhân có thể xuất phát từ cơ chế DNS Caching và thời gian TTL. Khi đó, các máy chủ DNS trung gian vẫn đang lưu trữ bản sao của kết quả cũ cho đến khi hết thời hạn TTL. Để khắc phục, bạn hãy kiểm tra giá trị TTL trong phần ANSWER SECTION để biết còn bao lâu cache mới hết hạn. Đồng thời, bạn truy vấn trực tiếp để lấy dữ liệu chuẩn xác nhất mà không qua Cache bằng cách truy vấn thẳng đến máy chủ tên miền chính thức của tên miền đó.
Những lưu ý khi sử dụng lệnh dig
Dưới đây là 5 lưu ý kỹ thuật quan trọng khi sử dụng lệnh dig để đảm bảo kết quả truy vấn chính xác và hỗ trợ chẩn đoán lỗi hiệu quả:
- Phân biệt nguồn dữ liệu: Mặc định, lệnh dig sẽ hỏi máy chủ DNS trung gian nên kết quả trả về thường là dữ liệu cũ từ bộ nhớ đệm. Để lấy dữ liệu chuẩn xác nhất theo thời gian thực, bạn cần truy vấn trực tiếp đến máy chủ có thẩm quyền của tên miền đó .
- Tối ưu hóa cho kịch bản tự động: Đầu ra mặc định của dig thường rất dài nên khi viết bash script để lấy IP hoặc bản ghi cụ thể, bạn hãy sử dụng tham số +short để loại bỏ các thông tin này và chỉ giữ lại kết quả cốt lõi giúp xử lý chuỗi dễ dàng hơn.
- Sử dụng chế độ truy vế để dò lỗi phân cấp: Khi tên miền không thể truy cập nhưng không rõ lỗi nằm ở đâu, bạn hãy dùng cờ +trace. Lệnh dig sẽ mô phỏng lại toàn bộ hành trình phân giải từ máy chủ gốc đến máy chủ TLD và cuối cùng là máy chủ đích, giúp bạn phát hiện chính xác vị trí nào đang cấu hình sai.
- Sử dụng đúng cú pháp cho tra cứu ngược: Khi bạn có địa chỉ IP và muốn tìm tên miền tương ứng, lệnh dig IP_Address sẽ không hoạt động. Do đó bạn bắt buộc phải sử dụng tham số -x để công cụ tự động đảo ngược IP thành định dạng in-addr.arpa chuẩn.
Theo kinh nghiệm cá nhân của mình, thói quen kết hợp dig +short với các lệnh xử lý văn bản như grep hoặc awk trong bash script đã giúp mình tiết kiệm rất nhiều thời gian khi cần giám sát hàng trăm tên miền cùng lúc. Thay vì ngồi kiểm tra thủ công từng domain, mình chỉ cần chạy một script đơn giản là có thể nhanh chóng phát hiện tên miền nào đang trả về IP sai hoặc không phản hồi — đây là điều mà nếu chỉ dùng nslookup thì sẽ khó tự động hóa được gọn gàng như vậy.
Câu hỏi thường gặp
Làm thế nào để xem toàn bộ quá trình phân giải DNS từ Root Server đến IP cuối cùng?
Bạn hãy sử dụng tùy chọn +trace để xem toàn bộ quá trình phân giải DNS từ Root Server đến IP cuối cùng với lệnh như sau:dig +trace tech.vietnix.xyz
Kết quả là lệnh dig sẽ thực hiện truy vấn tuần tự từ máy chủ gốc đên máy chủ TLD và cuối cùng là máy chủ quản lý tên miền, sau đó hiển thị toàn bộ lộ trình này.
Tôi muốn truy vấn đến một cổng (port) DNS khác mặc định (53) thì làm thế nào?
Một số hệ thống DNS nội bộ hoặc Consul/Docker DNS có thể chạy trên cổng khác, bạn dùng tùy chọn -p để chỉ định cổng, ví dụ như lệnh dưới đây:
dig @127.0.0.1 -p 8600 tech.vietnix.xyz
Tại sao kết quả dig bị báo là “Truncated” (bị cắt bớt)?
Mặc định DNS sử dụng giao thức UDP với giới hạn kích thước gói tin. Nếu phản hồi quá lớn, gói tin sẽ bị cắt. Để khắc phục, bạn có thể buộc dig sử dụng giao thức TCP bằng tùy chọn +tcp với lệnh như sau:
dig +tcp tech.vietnix.xyz
Tôi có một danh sách nhiều tên miền trong file text, làm sao để dùng dig kiểm tra hàng loạt?
Thay vì gõ lệnh cho từng tên miền, bạn có thể lưu danh sách vào file và dùng tùy chọn -f. Ví dụ về cú pháp lệnh như sau:
dig -f list_domain.txt +short
Sự khác biệt giữa dig và nslookup là gì?
Dưới đây là những điểm khác biệt cơ bản giữa dig và nslookup:
– nslookup: Là công cụ cũ, đôi khi sử dụng các thư viện phân giải riêng nên kết quả có thể không đồng nhất với cách hệ điều hành phân giải.
– dig: Sử dụng thư viện phân giải chuẩn của hệ điều hành, cung cấp thông tin thô chính xác hơn và hỗ trợ nhiều tùy chọn chuyên sâu hơn. Do đó, dig là tiêu chuẩn hiện đại để debug DNS.
dig Linux là công cụ chẩn đoán DNS tiêu chuẩn, cung cấp thông tin rất chi tiết và chính xác cho quá trình phân giải tên miền. Khi vận dụng linh hoạt các tùy chọn truy vấn theo từng loại bản ghi kết hợp với việc chỉ định máy chủ DNS đích, bạn có thể chủ động kiểm tra toàn bộ luồng phân giải, phát hiện chính xác các lỗi cấu hình bản ghi và theo dõi tiến trình cập nhật DNS một cách hiệu quả, chuyên nghiệp.
