Популярные инструменты

Тема

Проверка NS — DNS-серверы домена

Проверка NS любого домена: NS-записи, которые выдаёт его реестр, с glue и TTL, а рядом — то, что говорит о себе каждый DNS-сервер. Lame-серверы, расхождения и устаревший glue названы прямо, с советом, что исправить.

Источники: серверы реестра, найденные начиная с корневого сервера · IPv4-адреса каждого DNS-сервера, опрошенные напрямую · Google Public DNS · Cloudflare 1.1.1.1 · Team Cymru · RDAP

Сначала спрашиваем реестр, затем каждый DNS-сервер, который он называет. Подойдут URL, адрес e-mail или поддомен.

Примеры

Что такое NS-запись?

NS-запись называет сервер, на котором хранится зона: место, где живут записи домена. В зоне по одной NS-записи на сервер, поэтому у google.com их четыре, от ns1 до ns4.google.com (RFC 1035 §3.3.11).

Одни и те же NS-записи существуют в двух экземплярах. Родительская зона, здесь .com, хранит копию на границе зон, чтобы отправлять резолверы дальше; эта копия не авторитетна. Сама зона хранит свою копию в начале, и вот она авторитетна (RFC 1034 §4.2.1, RFC 2181 §6.1). Два списка должны совпадать полностью.

Значение — всегда имя хоста, никогда не адрес и никогда не псевдоним: у имени должны быть собственные записи A или AAAA (RFC 2181 §10.3).

NS-запись по частямgoogle.com · записано 2026-10-23
google.com.Владелец345600TTLINКлассNSТипns1.google.com.Значение
ВладелецЗона, которой принадлежит запись.
TTL · 4 дняКак долго резолвер может хранить запись. Копия в .com говорит: 2 дня.
NSТип записи 2: DNS-сервер этой зоны.
ЗначениеИмя хоста с собственными записями A или AAAA.
Копия родителя · .comgoogle.com. 172800 NS ns1.google.com.ns1.google.com. 172800 A 216.239.32.10Не авторитетна: перенаправление с glue
Собственная копия зоныgoogle.com. 345600 NS ns1.google.com.;; flags: qr aaАвторитетна: её хранят резолверы
ns1.google.com.Имя хоста с собственными адресами
216.239.32.10Адрес — недопустимое значение
ns.example.com. → CNAMEНикогда не псевдоним (RFC 2181 §10.3)
Обе копии записаны вживую: перенаправление реестра .com от l.gtld-servers.net и собственный ответ ns1.google.com.

Как выполнить проверку NS: DNS-серверы домена

Введите домен выше и нажмите Проверить DNS-серверы: мы спрашиваем реестр, а затем каждый названный им сервер, до которого может добраться наш сервер. Из терминала: dig NS example.com в macOS и Linux, nslookup -type=ns example.com в Windows, Resolve-DnsName -Name example.com -Type NS в PowerShell.

Эти три команды спрашивают ваш собственный резолвер, поэтому показывают копию в кэше. Чтобы увидеть список реестра, спросите его сервер с выключенной рекурсией: dig @a.gtld-servers.net example.com NS +norec. Чтобы проверить один DNS-сервер, запросите у него SOA с +norec и поищите aa во флагах. whois тоже показывает список реестра, а не зоны.

dig NS example.com +short

Копия вашего резолвера, по одному DNS-серверу на строку. Добавьте @a.gtld-servers.net и +norec, чтобы получить собственный список реестра .com.

Как читать два ответа diggoogle.com · записано 2026-10-23
dig · macOS и Linux
$ dig @l.gtld-servers.net google.com NS +norec
;; ->>HEADER<<- opcode: QUERY, status: NOERROR
;; flags: qr; QUERY: 1, ANSWER: 0, AUTHORITY: 4, ADDITIONAL: 91
;; AUTHORITY SECTION:
google.com.       172800  IN  NS  ns2.google.com.2
google.com.       172800  IN  NS  ns1.google.com.
…
;; ADDITIONAL SECTION:
ns1.google.com.   172800  IN  A   216.239.32.103
…

$ dig @216.239.32.10 google.com NS +norec
;; flags: qr aa; QUERY: 1, ANSWER: 4, AUTHORITY: 04
google.com.       345600  IN  NS  ns1.google.com.5
…
  1. Нет aa: перенаправление. Реестр не обслуживает google.com, а лишь говорит, куда идти.
  2. Список родителя и его TTL: 2 дня, его задаёт реестр .com.
  3. Glue: ns1.google.com находится внутри google.com, поэтому .com выдаёт его адрес.
  4. aa: сама зона. Авторитетный ответ сервера.
  5. Собственный TTL зоны: 4 дня, его задаёт Google, а не реестр.
nslookup · запрос к 8.8.8.8
$ nslookup -type=ns google.com 8.8.8.8
Server:   8.8.8.8
Address:  8.8.8.8#53

Non-authoritative answer:
google.com  nameserver = ns3.google.com.
google.com  nameserver = ns1.google.com.
…
PowerShell
# копия вашего резолвера
PS> Resolve-DnsName -Name google.com -Type NS

# один сервер, рекурсия выключена
PS> Resolve-DnsName -Name google.com -Type SOA -Server ns1.google.com -NoRecursion
whois
$ whois google.com
Registrar: MarkMonitor Inc.
Name Server: NS1.GOOGLE.COM
…
DNSSEC: unsigned
Записано 2026-10-23. «Non-authoritative answer» означает копию резолвера в кэше, здесь Google Public DNS, который хранит NS-записи не дольше 6 часов. whois печатает список реестра. Ни то ни другое не показывает, что говорит каждый сервер.

Как читать результат

Вывод называет DNS-хостинг и регистратора; вид «Делегирование» ставит список реестра рядом со списком зоны, сервер за сервером, с ответом каждого и временем по TCP (с учётом установки соединения, то есть примерно два обмена).

Тёмно-синий столбец — путь, который проходит резолвер: корень, реестр с его TTL и DS, затем каждый DNS-сервер. Сервер, который не обслуживает зону, обозначен обрывом.

Проверка NS домена github.com: восемь DNS-серверов NS1 и Route 53, ответ каждого сервера и делегирование из .comПроверка NS домена github.com: восемь DNS-серверов NS1 и Route 53, ответ каждого сервера и делегирование из .comВыводКто обслуживает зону, кто её зарегистрировал и совпадают ли реестр и зона.Реестр рядом с зонойКаждое имя из списка реестра и из списка зоны, с glue и ответом.Ответ каждого сервераAA и время по TCP, код, которым ответил отказавший сервер, или «через 1.1.1.1», когда наш сервер не может подключиться.ДелегированиеКорень, реестр, затем собственный ответ каждого сервера, так, как проходит его резолвер.
Проверка NS домена github.com: вывод, восемь DNS-серверов из реестра рядом с собственным списком зоны, ответ каждого сервера и делегирование из реестра .com. Выберите номер, чтобы узнать, что показывает каждая часть.

Родительские и дочерние DNS-серверы: почему они различаются

Два списка хранят две разные стороны. Реестр публикует список родителя, когда его об этом просит ваш регистратор; ваш DNS-хостинг обслуживает собственный список зоны. Измените один без другого, и они разойдутся.

Резолверы доверяют собственному ответу зоны больше, чем перенаправлению (RFC 2181 §5.4.1), поэтому, спросив зону, они хранят её список и её TTL. 2026-10-23 резолвер Cloudflare держал набор NS google.com с остатком 340 859 с: больше, чем 172 800 у .com, значит, копия пришла с 4-дневным TTL зоны.

Имя, которое есть только в списке реестра, всё равно получает трафик от резолверов, которые начинают с чистого листа. Имя, которое есть только в зоне, для них невидимо. Исправить стоит и то и другое; само по себе ни то ни другое не вызывает сбоя.

Список реестра рядом со списком зонызаписано 2026-10-23
xserver.ne.jp5 против 3

Реестр .jp1 дн.

  • ns1.xserver.jp
  • ns2.xserver.jp
  • ns3.xserver.jp
  • ns4.xserver.jpтолько в реестре
  • ns5.xserver.jpтолько в реестре

Зона1 ч

  • ns1.xserver.jp
  • ns2.xserver.jp
  • ns3.xserver.jp

ns4.xserver.jp и ns5.xserver.jp есть только в реестре. Оба отвечают авторитетно, поэтому ничего не ломается; списки всё же различаются.

github.comте же 8

Реестр .com2 дн.

  • dns1.p08.nsone.net
  • dns2.p08.nsone.net
  • dns3.p08.nsone.net
  • dns4.p08.nsone.net
  • ns-1283.awsdns-32.org
  • ns-1707.awsdns-21.co.uk
  • ns-421.awsdns-52.com
  • ns-520.awsdns-01.net

Зона15 мин · 1 ч

  • dns1.p08.nsone.net
  • dns2.p08.nsone.net
  • dns3.p08.nsone.net
  • dns4.p08.nsone.net
  • ns-1283.awsdns-32.org
  • ns-1707.awsdns-21.co.uk
  • ns-421.awsdns-52.com
  • ns-520.awsdns-01.net

Те же имена, но разные часы: копия реестра живёт 2 дня, у Route 53 — 15 минут, у NS1 — 1 час.

Домен в .net(имя скрыто)нет общих имён

Реестр .net2 дн.

  • ns1.domaindirect.comтолько в реестре
  • ns2.domaindirect.comREFUSED
  • ns3.domaindirect.comтолько в реестре

Зона15 мин

  • ns1.hover.comтолько в зоне
  • ns2.hover.comтолько в зоне

Реестр всё ещё перечисляет старые имена. Два из них делят адреса с серверами Hover и отвечают; третий отвечает отказом.

Линии соединяют имена, общие для обоих списков; пунктир соединяет два имени с одним адресом. Третий случай — реальная регистрация, найденная при случайном просмотре; её имя скрыто.

Что такое glue-записи?

Glue — это адрес, который родитель выдаёт вместе с перенаправлением, чтобы резолвер мог добраться до DNS-сервера, чьё имя находится внутри обслуживаемой им зоны. Без него поиск ns1.google.com потребовал бы спросить серверы google.com, а это и есть вопрос, с которого вы начали (RFC 1034 §4.2.1).

RFC 9471 делает это правилом: перенаправление ДОЛЖНО (MUST) содержать glue для каждого сервера внутри домена (ns1.google.com для google.com) и СЛЕДУЕТ (SHOULD) содержать его для соседних серверов под тем же родителем (ns-421.awsdns-52.com для github.com). Посторонние имена, такие как ns-520.awsdns-01.net, ищутся отдельно.

Glue задаётся у регистратора как хост-записи, дочерние DNS-серверы или личные DNS-серверы. Когда сервер переезжает, glue нужно перенести вместе с ним: устаревший glue отправляет резолверы по адресу, который больше не отвечает.

Glue и когда он нужензаписано в .com, 2026-10-23

Внутри домена · google.com

  1. .com: спросите ns1.google.com
  2. Его адрес находится в самом google.com
  3. без glue поиск ходит по кругу
  4. Поэтому .com добавляет ns1.google.com A 216.239.32.10 · MUST: обязательно

Соседние и посторонние · github.com

  1. .com: спросите ns-421.awsdns-52.com, ns-520.awsdns-01.net, …
  2. awsdns-52.com тоже в .com: glue 205.251.193.165 · SHOULD: включается
  3. awsdns-01.net в другом месте: резолвер ищет его в .net · нет glue
Устаревший glue · вживую64.69.208.141glue .com для ns1.register.com · нет ответа, спросили дважды162.214.41.25его A-запись сегодня · отвечает авторитетно
Хост-объект ns1.register.com в .com, прочитанный через rdap.verisign.com 2026-10-23: реестр всё ещё хранит адрес, который сервер покинул, и выдаёт его как glue.

Что такое lame-делегирование и как его исправить

Делегирование называют lame, когда родитель отправляет резолверы к серверу, который не обслуживает зону: он отказывает, молчит или отвечает без авторитетности. Если lame все указанные серверы, домен перестаёт разрешаться; если один из нескольких, запросы замедляются, пока резолверы повторяют попытки.

RFC 9499 отмечает, что «lame delegation» стало обозначать несколько разных неисправностей, поэтому инструмент называет каждую: отказывает для зоны (REFUSED), нет ответа (спросили дважды), отвечает без авторитетности (нет aa), ошибка сервера (SERVFAIL). Молчание только по TCP не считается lame, пока Google и Cloudflare всё ещё разрешают домен: оно называется нет ответа по TCP, ведь сервер может отвечать по UDP.

Исправить можно всегда с одной из двух сторон: добавить зону у DNS-хостинга, на который указывает реестр, или направить реестр на хостинг, где зона есть. После исправления резолверы могут помнить сбой до 5 минут (RFC 9520).

Три lame-сервера, записанные вживую2026-10-23 · домены скрыты

Отказывает для зоны

ns63 · ns64.domaincontrol.com

Оба сервера GoDaddy, названные в .com, отвечают REFUSED: зона там не настроена.

bash
$ dig @ns63.domaincontrol.com \
    example.com SOA +norec
;; … status: REFUSED
;; flags: qr; … ANSWER: 0

Тайм-аут, затем REFUSED

ns1 · ns2.eftydns.com

Один сервер один раз не ответил вовремя, а при повторном запросе ответил REFUSED. Один тайм-аут — не вердикт: прежде чем назвать состояние, инструмент спрашивает ещё раз.

bash
$ dig @ns1.eftydns.com \
    example.com SOA +norec
;; connection timed out
# спросили ещё раз
;; … status: REFUSED

Один из трёх

ns1 · ns2 · ns3.domaindirect.com

Два сервера отвечают авторитетно, третий отказывает. Домен работает, но медленнее.

bash
$ dig @ns2.domaindirect.com \
    example.net SOA +norec
;; … status: REFUSED
# ns1, ns3: NOERROR, flags qr aa
  1. Узнайте, куда указывает реестрВид «Делегирование» перечисляет серверы реестра и ответ каждого.
  2. Исправьте одну сторонуДобавьте зону у этого хостинга или смените DNS-серверы у регистратора.
  3. Проверьте сноваОтветы возвращаются сразу; кэшированный сбой живёт до 5 минут.

Что видят посетители, когда lame все серверы:Google SERVFAILCloudflare SERVFAIL

Записано с регистраций, найденных при случайном просмотре; их имена скрыты и показаны как example.com и example.net.

Сколько DNS-серверов нужно домену?

Не меньше двух: «The DNS specification and domain name registration rules require at least two servers for every zone» (RFC 2182 §5, BCP 16). Тот же раздел рекомендует три для большинства организаций, один из которых — вдали от остальных, и четыре-пять там, где надёжность важнее.

Считайте сети, а не имена. Серверы должны стоять там, куда один сбой не дотянется до всех (RFC 2182 §3.1): шесть серверов в одной /22 делят одну судьбу в маршрутизации. Anycast распределяет один адрес по многим точкам и обычно решает задачу, но оператор всё равно один; второй провайдер переживёт сбой первого (RFC 8901).

Больше — тоже можно. Старый предел RFC 1912 в семь серверов происходил от UDP-ответов в 512 байт; сегодня крупные зоны держат восемь (github.com, bbc.co.uk).

Серверы, сгруппированные по сетямзаписано 2026-10-23
ДоменСерверы по сетямNSСетиВывод
google.comGoogle · AS15169 · anycast-сеть41Anycast, один оператор
github.comNS1 · AS62597Route 53 · AS16509 · anycast-сеть82Два провайдера
bbc.co.ukNetActuate · AS63911NS1 · AS6259782Две сети
xserver.ne.jpXserver · AS131965Amazon · AS1650952Две сети
craigslist.orgcraigslist · AS2241461Один /22

«Рекомендуется предоставлять три сервера для большинства зон уровня организации, причём по меньшей мере один из них должен быть хорошо удалён от остальных» (перевод цитаты)

RFC 2182 §5 · BCP 16, июль 1997 · два обязательны, три рекомендуются
Рамка — одна сеть (AS); закрашенная рамка — провайдер anycast: много точек, один оператор. Вторая сеть xserver.ne.jp — это ns2.xserver.jp в сети Amazon; шесть серверов craigslist.org делят одну /22.

Как сменить DNS-серверы и сколько это занимает

Меняйте их там, где зарегистрирован домен, а не у DNS-хостинга: регистратор отправляет новый список в реестр, а реестр его публикует. Сначала добавьте зону у нового хостинга со всеми записями, чтобы новые серверы отвечали в ту же минуту, как их назовут.

Дальше идут два отсчёта. Резолверы, сохранившие перенаправление реестра, держат старый список до истечения TTL родителя: 2 дня в .com, 1 день в .de и .jp, 1 час в .org. Резолверы, которые уже спрашивали зону, держат старый собственный набор NS зоны в течение её TTL, а он может быть дольше: у google.com это 4 дня. Google Public DNS хранит NS не дольше 6 часов.

Поэтому «24–48 часов» — не универсальный срок. Пусть старый DNS-хостинг отвечает теми же записями, пока не истечёт более долгий отсчёт, а у подписанного домена удалите DS до переезда (RFC 6781).

Где их менять и какие идут отсчётыTTL измерены 2026-10-23

У регистратора: собственное руководство каждого

Как долго живёт копия реестра (TTL NS родителя)

  • .ru4 дня345 600 s
  • .com2 дня172 800 s
  • .uk2 дня172 800 s
  • .de1 день86 400 s
  • .jp1 день86 400 s
  • .tr12 часов43 200 s
  • .dev3 часа10 800 s
  • .org1 час3 600 s
  • .io1 час3 600 s
  • .in15 минут900 s

Отсчёты после смены

  • Старое перенаправление в кэшахTTL родителя.com: до 2 дня
  • Старый набор NS зоны в кэшахTTL старой зоныgoogle.com: до 4 дня
  • Google Public DNSего предел для NSне дольше 6 часов
TTL родителей получены с собственных серверов каждого реестра (dig +norec); .io ответил 3600 с, а не 300 с, как часто пишут. Регистраторы по-прежнему называют единые сроки: GoDaddy «up to 48 hours», Namecheap «up to 24 hours».

NS, SOA и glue-записи: в чём разница

На делегировании встречаются три записи. NS называет серверы: копия родителя указывает путь, копия зоны — источник авторитета. Glue — запись A или AAAA, которую родитель хранит только для серверов, названных внутри зоны. SOA есть один раз на зону, в её начале: первичный сервер, контактный адрес, серийный номер и таймеры.

Сервер, который отвечает на запрос SOA с флагом aa, хранит зону, поэтому инструмент спрашивает SOA у каждого сервера. Серийный номер показывает, одинаковая ли версия на серверах; Route 53 начинает с 1 и сам его не меняет, а у зоны у двух провайдеров два серийных номера, и оба нормальны.

Две зоны, одна границаgoogle.com · записано 2026-10-23

Зона .comеё ведёт Verisign

  • NSgoogle.com. 172800 NS ns1.google.com.Делегирование: куда идти дальше · не авторитетно
  • Ans1.google.com. 172800 A 216.239.32.10Glue: адрес сервера, чтобы до него можно было добраться
  • DSнет DS: google.com не подписанDS: указывает на ключ подписи дочерней зоны; только у подписанных зон (cloudflare.com DS 2371 13 2)

граница зон · google.com

Зона google.comеё ведёт Google

  • NSgoogle.com. 345600 NS ns1.google.com.Собственный список зоны · авторитетно
  • SOAns1.google.com. dns-admin.google.com. 1003797344 900 900 1800 60Одна на зону: первичный сервер, контакт, серийный номер, таймеры
  • Ans1.google.com. 345600 A 216.239.32.10Собственный адрес сервера: glue должен с ним совпадать
Glue и собственная запись A сервера — две копии одного факта; если они расходятся, glue устарел.

Проверка NS и команда nslookup: в чём разница

По запросу «проверка ns» ищут две разные вещи: DNS-серверы домена и команду nslookup, которая входит в Windows, macOS и Linux. nslookup спрашивает ваш резолвер и печатает то, что у него в кэше; с -type=ns она выводит набор NS зоны в том виде, в каком его хранит ваш резолвер.

Эта копия может быть старой на несколько часов, и она никогда не показывает список реестра, glue и то, хранит ли каждый сервер зону. Эта страница спрашивает напрямую каждого, до кого может добраться.

Три способа проверить DNS-серверы
Эта проверка NSdnsrobot.netnslookup-type=nsdigNS · +norec
Спрашиваетреестр, затем каждый серверваш резолверлюбой один названный вами сервер
Реестр и зонаоба, имя за именемкопию в кэшеодин список на команду
aa каждого серверакаждый IPv4-адрес (A и glue)Нетодин сервер на команду
Glue и TTLоба TTLс -debugв выводе
Диагнозназвана причина и способ исправитьНетНет
Работаетв любом браузереWindowsmacOSLinuxmacOSLinux

Проверка NS: частые вопросы

Что такое проверка NS?

Проверка NS спрашивает у DNS, какие DNS-серверы хранят зону домена. Этот инструмент сначала спрашивает реестр: список родителя с glue и TTL, затем напрямую по TCP IPv4-адреса каждого DNS-сервера: SOA зоны и её собственный набор NS, и сравнивает оба списка. Вы видите, кто обслуживает DNS, какие серверы отвечают авторитетно и что заставит резолверы давать сбой или тормозить.

Как узнать, кто мой DNS-провайдер?

Посмотрите на имена DNS-серверов: ns1.google.com — Google, *.ns.cloudflare.com — Cloudflare, ns-*.awsdns-* — Amazon Route 53, 01.dnsv.jp — Onamae.com. Проверка определяет DNS-хостинг по документированному шаблону имён каждого провайдера и отдельно показывает сеть за каждым адресом, потому что некоторые хостинги работают в чужой сети: Porkbun и Hostinger — в сети Cloudflare, Vercel — в сети NS1.

Почему реестр и зона перечисляют разные DNS-серверы?

Список реестра, заданный у вашего регистратора, и собственные NS-записи зоны, заданные у DNS-хостинга, — две отдельные копии, и по RFC 1034 они должны совпадать полностью. Они расходятся, когда кто-то меняет одну и не трогает другую, часто после переезда между DNS-хостингами. Резолверы, которые начинают с реестра, используют его список, а те, что спрашивали зону, хранят список зоны.

Что такое lame-делегирование?

Lame-делегирование — это DNS-сервер, указанный в реестре, который не обслуживает зону: он отвечает REFUSED или SERVFAIL, отвечает без авторитетности или не отвечает совсем. Если lame все указанные серверы, домен перестаёт разрешаться, а Google и Cloudflare отвечают SERVFAIL. Исправьте это, добавив зону у этого DNS-хостинга или сменив DNS-серверы у регистратора на хостинг, где зона есть.

Сколько занимает смена DNS-серверов?

До более долгого из двух отсчётов: TTL NS в реестре (2 дня для .com и .net, 4 дня для .ru, 1 день для .de и .jp, 1 час для .org и .io, 15 минут для .in) и собственного TTL NS старой зоны, который хранят резолверы, уже спрашивавшие старый хостинг. Google Public DNS ограничивает срок примерно 6 часами. Универсальные «24–48 часов» неверны в обе стороны.

Сколько DNS-серверов должно быть у домена?

Не меньше двух: RFC 2182 требует два, рекомендует три для большинства организаций, из которых хотя бы один вдали от остальных, и четыре-пять для повышенной надёжности. Важнее числа то, чтобы один сбой не затронул их все: разные сети или провайдеры. Серверы anycast одного оператора, такие как Cloudflare или Route 53, — это много точек, но один оператор.

Что такое glue-записи и когда они нужны?

Glue — это адрес, который реестр выдаёт вместе с перенаправлением для DNS-сервера, названного внутри зоны, например ns1.example.com для example.com: без него резолверу нужен был бы адрес сервера, чтобы найти сервер. RFC 9471 делает glue обязательным для таких имён внутри домена. Задавайте его у регистратора: он называется хост-записями, дочерними DNS-серверами или личными DNS-серверами.

Почему разные инструменты показывают разные DNS-серверы?

Большинство проверок DNS-серверов спрашивают резолвер, а он показывает копию в кэше, которая после смены может быть старой на несколько дней, тогда как реестр и зона отвечают за себя. Некоторые инструменты показывают только собственный список зоны. Эта проверка показывает список реестра, собственный ответ каждого сервера и копии Google и Cloudflare рядом, с остатком времени каждой копии.

Что значит «напрямую не опрашивался»?

Наш сервер работает в сети Cloudflare, а Cloudflare Worker не может открыть соединение с адресом в этой сети. DNS-серверы там, как у самой Cloudflare, так и у хостингов, которые работают на ней, например Porkbun, Hostinger и DigitalOcean, читаются через резолвер Cloudflare 1.1.1.1: набор NS и его TTL, но не бит AA, серийный номер и время ответа каждого сервера.

Проверка NS — это то же самое, что nslookup?

Нет. nslookup — консольная программа в Windows, macOS и Linux, которая спрашивает у резолвера записи любого типа, в том числе NS (nslookup -type=ns example.com). Проверка NS — это сам вопрос: какие DNS-серверы обслуживают домен. Как и dig NS, nslookup показывает копию вашего резолвера в кэше; если спросить реестр и каждый сервер напрямую, как это делает инструмент, видно, совпадают ли они.

Почему моя смена DNS-серверов пока не видна?

Проверьте три места: указывает ли реестр новые серверы (если нет, смена ещё не ушла от вашего регистратора), отвечает ли новая зона авторитетно и как долго живут старые копии в резолверах. Режим «Я сменил DNS-серверы» берёт ваши новые серверы, сравнивает с ними каждую копию и ведёт обратный отсчёт до момента, когда они будут у всех резолверов.

Нужно ли удалять DNSSEC перед сменой DNS-серверов?

Да, если старый и новый DNS-хостинги не работают согласованно. Если в реестре остаётся DS, не совпадающий с ключами нового хостинга, проверяющие резолверы вроде Google и Cloudflare отвечают SERVFAIL, и домен пропадает для их пользователей. Удалите DS у регистратора, дождитесь конца его TTL, смените DNS-серверы, затем опубликуйте DS нового хостинга.

Другие инструменты DNS