dig
Das Abfragewerkzeug für DNS, ausgeliefert mit BIND. Zeigt die komplette Antwort genau so, wie sie vom Server kam — Flags, Sektionen, TTL und alles — statt einer interpretierten Zusammenfassung.
Die Befehle, die die meisten Fälle abdecken: dig example.com für einen A-Eintrag, dig +short, wenn nur die Antwort zählt, dig @8.8.8.8 example.com MX, um einen bestimmten Server nach einem bestimmten Eintragstyp zu fragen, dig +trace, das von den Root-Servern aus jede Delegation nachvollzieht, und dig +dnssec für die Signaturen. Der TTL-Wert in der Antwort ist bei der Fehlersuche nach einer Änderung, die "nicht ankommt", oft das Wichtigste — er verrät, wie lange alte Antworten noch in Caches herumliegen. nslookup gilt als veraltet, überlebt aber, weil es unter Windows vorinstalliert ist; drill und kdig sind moderne Alternativen.