drill で DNS レコードを調べるときは、「どのサーバーに聞くか」を先に決め、drill 名前 種別 @問い合わせ先 の形で1種別ずつ問い合わせるのが基本です。同じ名前でも、キャッシュサーバーに聞けば「利用者に今見えている答え」、権威サーバーに聞けば「登録されている本来の答え」が返り、意味が違います。この記事では、drill の導入から、問い合わせ先の選び方、WordPress サイトの運用でよく確認するレコード種別ごとの書き方、つまずきやすい点までを順に説明します。
出力の各行の詳しい読み方や、不具合の切り分けの手順は別の記事で扱っているため、ここでは「目的のレコードを正しく問い合わせる」ことに絞ります。
drill の導入と確認
drill は、NLnet Labs が開発する DNS ライブラリ ldns に付属する問い合わせツールです。dig と似た書式と出力を持ち、BIND を入れていない環境でも導入しやすいのが特徴です。FreeBSD では標準で入っています。
パッケージ名は環境によって異なります（2026年10月現在）。
# Debian / Ubuntu
sudo apt install ldnsutils
# Fedora など（RHEL 系では追加のリポジトリが要る場合があります）
sudo dnf install ldns-utils
# macOS（Homebrew）
brew install ldns入ったら drill -v で版を表示して確かめます。オプションの細部は ldns の版で違うことがあるため、以降の例で動かないものがあれば man drill を確認してください。
基本の形
drill の問い合わせは、名前・種別・問い合わせ先の3つで決まります。
# 種別を省くと A を問い合わせる
drill www.example.com
# 種別を指定する
drill www.example.com AAAA
# 問い合わせ先を指定する（@ を付ける）
drill www.example.com A @1.1.1.1dig と違い、-t は「種別の指定」ではなく「TCP で問い合わせる」という意味です。dig の癖で drill -t MX example.com と書くと意図と違う動きになるので注意します。種別は名前の後ろにそのまま書きます。
問い合わせ先を省いた場合、drill は /etc/resolv.conf に書かれたキャッシュサーバーを使います。systemd-resolved を使う Ubuntu などでは、そこに 127.0.0.53 という手元の中継役だけが書かれていることがあり、その場合は中継役を経由した答えになります。
問い合わせ先の選び方
目的によって、聞く相手を変えます。
- 利用者からどう見えているか知りたい：公開 DNS（
@1.1.1.1や@8.8.8.8など）や、手元のネットワークのキャッシュサーバーに聞きます。返る値はキャッシュされたもので、TTL は残り時間です。 - 登録した値が正しいか知りたい：そのドメインの権威サーバーに直接聞きます。キャッシュの影響を受けないので、変更直後の確認に向いています。
権威サーバーの名前は、NS を問い合わせて調べます。
# 1. 権威サーバーの一覧を得る
drill example.com NS @1.1.1.1
# 2. 一覧に出た権威サーバーに直接聞く（名前は例）
drill www.example.com A @ns1.example.net権威サーバーからの答えには、ヘッダーのフラグに aa が付きます。aa があれば、その値は登録されている値そのもので、TTL も設定値です。権威サーバーが複数あるときは、1台ずつ聞いて値がそろっているかを確かめると、ゾーンの同期の遅れに気付けます。
レコード種別ごとの書き方
WordPress サイトの運用でよく確認する種別を、確認の目的と合わせて挙げます。
# サイトの IP アドレス（IPv4 / IPv6）
drill example.com A @1.1.1.1
drill example.com AAAA @1.1.1.1
# www などの別名がどこを指しているか
drill www.example.com CNAME @1.1.1.1
# メールの受け取り先と優先度
drill example.com MX @1.1.1.1
# SPF・所有確認などの TXT
drill example.com TXT @1.1.1.1
# DMARC と DKIM（selector1 はセレクター名の例）
drill _dmarc.example.com TXT @1.1.1.1
drill selector1._domainkey.example.com TXT @1.1.1.1
# 証明書を発行できる認証局の制限
drill example.com CAA @1.1.1.1
# ゾーンの管理情報（シリアル番号やネガティブキャッシュの時間）
drill example.com SOA @ns1.example.net
# 逆引き（IP アドレスからホスト名）
drill -x 192.0.2.10それぞれの確認で気を付ける点は次のとおりです。
- A と CNAME：CNAME を設定した名前を A で問い合わせると、ANSWER に CNAME と置き換え先の A が続けて表示されます。自分の設定は CNAME の行、最終的な IP アドレスは置き換え先の事業者が決めている、と分けて読みます。
- MX：値はメールサーバーの名前です。その名前の A（必要なら AAAA）も問い合わせ、引けることを確かめます。
- TXT：1つの名前に複数の TXT があるのは普通です。
v=spf1で始まるものが2つ以上あれば SPF の設定の誤りです。DKIM と DMARC は、それぞれ決まった名前の下にあるので、ドメイン名そのものを問い合わせても出てきません。 - CAA：Let's Encrypt などで証明書の発行に失敗するとき、CAA で許可した認証局が足りていないことがあります。CAA が無ければ制限は無く、どの認証局でも発行できます。
- 逆引き：
-xを付けると、IP アドレスをin-addr.arpa（IPv6 ならip6.arpa）の名前に変換して PTR を問い合わせます。逆引きの値は、ドメインの DNS ではなく IP アドレスを割り当てた事業者の側で設定します。
SVCB や HTTPS のような新しい種別は、古い ldns では名前で指定できないことがあります。その場合は TYPE65（HTTPS の種別番号）のように番号で指定できる版もありますが、表示の解釈まで対応しているかは版によるので、新しめの版を使うのが無難です。
よく使うオプション
問い合わせの方法を変えるオプションを、目的と合わせて押さえておきます。
# TCP で問い合わせる（大きな応答や UDP が止められた経路の確認）
drill -t example.com TXT @ns1.example.net
# IPv4 / IPv6 のどちらで問い合わせるかを固定する
drill -4 example.com A @ns1.example.net
drill -6 example.com A @ns1.example.net
# 再帰要求のフラグを外して問い合わせる（権威サーバーの素の答えを見る）
drill -o rd www.example.com A @ns1.example.net
# DNSSEC の署名（RRSIG）も一緒に受け取る
drill -D example.com A @1.1.1.1
# 53 番以外のポートで動く検証用サーバーに問い合わせる
drill -p 5353 example.com A @127.0.0.1-o はヘッダーのフラグを操作する指定で、大文字で立て、小文字で下ろします。-o rd は再帰要求（RD）を下ろす、-o CD は検証の無効化（CD）を立てる、という意味になります。
つまずきやすい点
- **
@にホスト名を書くと、まずその名前を手元で引く**：名前解決そのものが怪しいときは、@192.0.2.53のように IP アドレスで指定します。 - **
-Tを付けると@の指定は使われない**：-Tはルートサーバーから委任をたどる指定で、手元のキャッシュサーバーも@の問い合わせ先も使いません。外向きの DNS 通信が制限されたネットワークでは途中で止まります。 - 結果は問い合わせた瞬間の答え：キャッシュサーバーの答えは TTL の残り時間とともに変わります。記録に残すときは、問い合わせ先と日時も一緒に残します。
- 他人のドメインに大量に問い合わせない：権威サーバーへの直接の問い合わせは、確認に必要な分にとどめます。
まとめ
- drill は
drill 名前 種別 @問い合わせ先の形で使い、種別を省くと A を問い合わせます。-tは種別ではなく TCP の指定です。 - 利用者の見え方はキャッシュサーバー、登録した値は権威サーバーに聞きます。権威サーバーの答えには
aaが付きます。 - A・CNAME・MX・TXT・CAA・SOA・逆引きは、それぞれ確認する名前と読み方に癖があります。DKIM と DMARC は決まった名前の下を問い合わせます。
-t・-4・-6・-o・-Dで問い合わせ方を変えられます。オプションの細部は手元の版のman drillで確かめます。