Un resolutor DNS es el mecanismo que determina qué servidor del Sistema de Nombres de Dominio (DNS) responde a la solicitud de un cliente para traducir un nombre de dominio a una dirección IP. En las implementaciones de Versa SASE , un resolutor DNS es un objeto de configuración que asocia un dominio con un servidor de nombres y se comparte con los clientes de SASE en el momento del registro.
Puntos clave
- Los resolutores de DNS convierten los nombres de dominio en las direcciones IP que necesita el tráfico.
- En Versa SASE , un objeto resolutor asocia un dominio a un servidor de nombres.
- El DNS dividido envía únicamente las consultas de los dominios configurados a través del túnel SASE .
- Los resolvers se asocian a puertas de enlace o a perfiles de puerta de enlace compartidos, no a cada usuario.
- El registro envía la configuración del resolutor al cliente en un único archivo de configuración XML.
En esta página: Por qué es importanteCómo funcionaTiposResolutor DNS y VersaPreguntas frecuentes
¿Por qué es importante un resolutor DNS?
Cada conexión, ya sea una pestaña del navegador o un cliente VPN, comienza con la resolución de un nombre en una dirección, por lo que el resolutor que utiliza un dispositivo determina a qué puede acceder y con qué rapidez responde. Un resolutor lento, inaccesible o comprometido provoca fallos en las aplicaciones que hay detrás antes incluso de que se produzca tráfico real; los problemas de DNS son una de las causas más comunes de las incidencias del tipo «la red no funciona», que acaban siendo un problema de resolución.
La elección del resolutor también tiene su importancia en materia de seguridad en las arquitecturas de acceso remoto. Enrutar todas las consultas DNS a través de un túnel cifrado protege las búsquedas de dominios privados, pero añade latencia si se aplica también a todo el tráfico público. Los objetos de resolutor explícitos, combinados con el DNS dividido, permiten a los administradores decidir, dominio por dominio, qué consultas necesitan la ruta protegida.
¿Qué es un resolutor DNS?
En el cliente, un resolutor «stub» ligero remite cada consulta a un servidor DNS configurado. Ese servidor responde desde la caché o, si se trata de un resolutor recursivo completo, recorre la jerarquía del DNS —la raíz, luego el dominio de nivel superior y, a continuación, el servidor autoritativo— hasta encontrar la respuesta. La configuración denominada «resolutor DNS» determina qué servidor utiliza el cliente y para qué dominios.
En el servicio de acceso seguro « Versa », un resolutor DNS es un objeto de configuración y no un servidor en funcionamiento: tiene un nombre, un servidor de nombres (la dirección que se debe utilizar) y un dominio (lo que resuelve el servidor). Los administradores crean estos objetos en el portal de acceso seguro y los indican desde una pasarela o un perfil de pasarela.
Tipos de resolutores DNS
Las implementaciones de DNS se basan en unas cuantas funciones de resolutor bien definidas. Los resolutores recursivos —gestionados por los proveedores de servicios de Internet (ISP) o los principales proveedores públicos— aceptan una consulta y recorren toda la jerarquía en nombre del cliente. Los resolutores de reenvío se saltan ese recorrido y transfieren la consulta a otro resolutor, un patrón habitual en las redes empresariales que desean contar con un único punto de control interno para el DNS. Los resolutores «stub» son el componente mínimo del lado del cliente en un sistema operativo o una aplicación; no resuelven nada por sí mismos, sino que simplemente reenvían la consulta al resolutor que esté configurado. Los resolutores divididos o condicionales dirigen diferentes dominios a diferentes resolutores según una política; este es el patrón que implementan los objetos de resolutor DNS de Versay el DNS dividido para los clientes de SASE .
Resolutor DNS y Versa
Dentro del servicio de acceso seguro «Versa », los administradores configuran los objetos de resolución DNS en «Servicios > Acceso seguro > Portal > Resoluciones DNS» y, a continuación, los asocian a una puerta de enlace o a un perfil de puerta de enlace compartido, de modo que las puertas de enlace con necesidades de DNS idénticas no necesiten tener cada una su propia copia.
El DNS dividido, habilitado por defecto a partir de la versión 22.1.3, funciona en paralelo con ellos: las solicitudes de dominios cubiertos por los resolutores configurados pasan por el túnel SASE , mientras que el resto del tráfico DNS del cliente se resuelve localmente. Cuando un usuario registra su clienteVersa SASE , el portal agrupa las rutas, las puertas de enlace y los objetos de resolutor asignados en un único archivo de configuración XML y lo envía al dispositivo; este es el mismo flujo que se utiliza en todas las Secure SD-WAN y las variantes NGFW del servicio.
Preguntas frecuentes
¿Cuál es la diferencia entre un resolutor DNS y un servidor DNS?
Un servidor DNS (o servidor de nombres) aloja y responde a los registros DNS de un dominio. Un resolutor DNS es el componente orientado al cliente que envía la consulta: puede tratarse de un resolutor stub, que la reenvía, o de un resolutor recursivo, que recorre la jerarquía DNS para generar una respuesta definitiva.
¿Qué es el DNS dividido?
El DNS dividido gestiona las consultas de rutas de forma diferente según el dominio consultado. En Versa SASE , envía las consultas relativas a los dominios cubiertos por los resolutores configurados a través del túnel SASE al resolutor que les corresponde, mientras que el resto de consultas se resuelven a través de la conexión a Internet local del usuario.
¿Por qué una organización utilizaría su propio servidor DNS en lugar de uno público?
Un resolutor privado puede responder a consultas sobre dominios de uso exclusivamente interno que los resolutores públicos nunca ven, aplicar políticas de filtrado específicas de la organización y mantener las búsquedas confidenciales en una ruta cifrada, capacidades que no ofrecen los resolutores recursivos públicos, ampliamente utilizados y destinados a la Internet abierta.
¿Cómo sabe un cliente de Versa SASE qué resolutor DNS debe utilizar?
Al registrarse, el portal de acceso seguro envía al cliente un archivo de configuración XML que contiene las rutas, los datos de la pasarela y cualquier objeto de resolución DNS vinculado a la pasarela o al perfil de pasarela asignados, de modo que la configuración se aplica automáticamente sin necesidad de realizar ningún ajuste manual en el dispositivo.
¿Puede una puerta de enlace utilizar más de un resolutor DNS?
Sí. Los administradores pueden configurar varios objetos de resolutor DNS, cada uno de los cuales empareja un dominio con un servidor de nombres, y asociarlos todos a una única puerta de enlace o a un perfil de puerta de enlace compartido, de modo que varias puertas de enlace reutilicen el mismo conjunto de resolutores.
Más información sobre el resolutor DNS
Si quieres saber más, estas son algunas fuentes en las que confiamos.
| IETF RFC 1035: Nombres de dominio: implementación y especificación | NIST SP 800-81-2: Guía para la implementación segura del DNS |
|---|---|
| El estándar de Internet que define los formatos de los mensajes DNS, los registros de recursos y la forma en que se comunican los resolutores y los servidores de nombres. | Directrices federales sobre la implementación segura del DNS, incluida la arquitectura de los resolutores y recomendaciones para reforzar la seguridad de la resolución de nombres. |
Términos relacionados
Si estás leyendo sobre los resolutores de DNS, te recomiendo que eches un vistazo a lo siguiente.
| Cliente SASE | Borde de servicio de acceso seguro | SD-WAN |
|---|---|---|
| El cliente que recibe la configuración del resolutor DNS del portal de acceso seguro en el momento del registro y aplica el DNS dividido. | La arquitectura convergente cuyo servicio de acceso seguro proporciona a los clientes objetos de resolución DNS, rutas y puertas de enlace. | La estructura de conectividad que transporta el tráfico de DNS dividido a través del túnel SASE para los dominios que cubre un resolutor. |