Definición:
DNS son las siglas de Domain Name System o sistema de nombres de dominio. Es un sistema jerárquico y distribuido que permite consultar información asociada a un nombre de dominio. Su uso más conocido consiste en obtener la dirección IP de un servidor, pero DNS también publica datos sobre correo, servidores autoritativos, verificaciones y otros servicios.
DNS evita que las personas y las aplicaciones tengan que conocer las direcciones numéricas de cada recurso. No es un único servidor ni una copia central de Internet: distribuye la responsabilidad entre zonas y servidores, y utiliza cachés para responder con mayor rapidez.
Índice de contenidos
Cómo funciona una consulta DNS
Cuando una aplicación necesita resolver un nombre, normalmente entrega la consulta a un resolutor recursivo configurado en el dispositivo o la red. Si la respuesta no está en caché, el proceso puede resumirse así:
- Solicitud de la aplicación: el usuario introduce una URL o una aplicación solicita un nombre.
- Consulta al resolutor: el sistema operativo pregunta al servidor DNS recursivo configurado, que puede pertenecer al proveedor de acceso, a una organización o a un servicio público.
- Recorrido jerárquico: si no dispone de una respuesta válida en caché, el resolutor consulta servidores raíz, del dominio de nivel superior y autoritativos mediante referencias sucesivas.
- Respuesta autoritativa: el servidor responsable de la zona devuelve el registro solicitado o informa de que no existe.
- Uso y almacenamiento: el resolutor entrega la respuesta a la aplicación y puede conservarla durante el tiempo permitido por su TTL. El navegador puede entonces iniciar la conexión correspondiente.
La respuesta no siempre contiene directamente una IP. Un alias CNAME, por ejemplo, puede requerir consultas adicionales hasta llegar al dato necesario.
Componentes de la jerarquía DNS
La resolución habitual combina componentes con funciones diferentes:
- Resolutor recursivo: recibe la petición del dispositivo, busca la respuesta y mantiene una caché. No es necesariamente autoritativo para el dominio consultado.
- Servidores raíz: orientan al resolutor hacia los servidores del dominio de nivel superior correspondiente, como
.como.es. - Servidores de TLD: indican qué servidores son responsables del dominio registrado dentro de ese dominio de nivel superior.
- Servidores autoritativos: publican los registros de una zona DNS y ofrecen la respuesta de referencia para los nombres que administran.
Un servidor puede desempeñar más de una función en determinados entornos, pero conviene distinguir entre resolver consultas para clientes y publicar datos autoritativos de una zona.
Tipos de registros DNS
Los registros de recursos permiten asociar distintos tipos de información a un nombre:
- A: relaciona un nombre con una dirección IPv4.
- AAAA: relaciona un nombre con una dirección IPv6.
- CNAME: declara que un nombre es alias de otro nombre canónico.
- MX: identifica los servidores que reciben el correo de un dominio y su prioridad.
- NS: indica los servidores autoritativos de una zona o delegación.
- TXT: contiene texto utilizado, entre otros fines, para verificaciones y políticas relacionadas con el correo.
- SOA: aporta información administrativa de la zona, como su servidor principal y parámetros de actualización.
- PTR: se utiliza principalmente en la resolución inversa para asociar una dirección con un nombre.
Cambiar un registro DNS no traslada por sí mismo una web, un buzón o sus archivos. Modifica la información publicada para localizar o verificar esos servicios.
Caché, TTL y propagación
Las respuestas DNS incluyen un time to live o TTL que indica cuánto tiempo pueden conservarse en caché. Mientras una copia siga siendo válida, el resolutor puede responder sin repetir todo el recorrido jerárquico.
La expresión «propagación DNS» se utiliza para describir el periodo durante el que distintos resolutores dejan caducar datos anteriores y obtienen los nuevos. No existe una copia que se actualice simultáneamente en todos los servidores. El tiempo observado depende del TTL previo, de las cachés intermedias y de la configuración de la zona.
Este modelo distribuido y basado en caché forma parte del diseño descrito en el RFC 1034 y ayuda a que el sistema pueda operar a escala de Internet.
Seguridad y privacidad en DNS
El DNS original no se diseñó para verificar criptográficamente todas las respuestas ni para cifrar las consultas. Varias tecnologías cubren necesidades diferentes:
- DNSSEC: permite comprobar el origen y la integridad de datos firmados mediante una cadena de confianza; no cifra el contenido de la consulta.
- DNS sobre HTTPS (DoH): transporta consultas y respuestas entre el cliente y un resolutor mediante HTTPS.
- DNS sobre TLS (DoT): cifra ese tramo mediante una conexión TLS específica para DNS.
- Protecciones operativas: la validación, la aleatoriedad de las consultas, la redundancia y una configuración correcta reducen riesgos como la manipulación de caché, pero no eliminan todas las amenazas.
El cifrado del transporte y la autenticación de los datos son propiedades distintas. Utilizar DoH o DoT no implica que una respuesta esté validada con DNSSEC, y DNSSEC no oculta por sí solo qué nombre se consulta.
Diferencias entre DNS, dominio, URL y hosting
Estos conceptos participan en el acceso a una web, pero no son intercambiables:
- DNS: es el sistema de consulta distribuido que publica información asociada a nombres.
- Dominio: es un nombre registrado dentro de la jerarquía, como
example.com. - URL: identifica la ubicación o forma de acceso a un recurso e incluye elementos adicionales al dominio, como el esquema y la ruta.
- Hosting: es la infraestructura que aloja la web, el correo u otros servicios. Cambiar el alojamiento web suele requerir actualizar registros DNS, pero son servicios distintos.