¿Qué es el DNS?

El Sistema de Nombres de Dominio (DNS) es el servicio de nombres distribuido que traduce los nombres de dominio legibles para las personas, como example.com, a las direcciones IP que utilizan los ordenadores para comunicarse entre sí en una red. El DNS, que actúa como el directorio de Internet, resuelve miles de millones de consultas al día para que los usuarios puedan acceder a sitios web y servicios sin necesidad de memorizar direcciones numéricas.

Puntos clave

• El DNS traduce los nombres de dominio a las direcciones IP por las que se enrutan las redes.
• La resolución se lleva a cabo a través de los servidores de resolución, el servidor raíz, los servidores de dominio de nivel superior (TLD) y los servidores autoritativos.
• Los tipos de registros como A, AAAA, MX y CNAME cumplen cada uno una función distinta.
• Los protocolos DNS sobre TLS y DNS sobre HTTPS cifran las consultas que se envían sin cifrar.
• Los dispositivos VOS actúan como proxy, filtran y dirigen el tráfico DNS de acuerdo con la política de SD-WAN.

En esta página: Por qué es importante · Cómo funciona · Tipos · DNS y Versa · Preguntas frecuentes

¿Por qué es importante el DNS?

El DNS es uno de los protocolos fundamentales de Internet: prácticamente ninguna sesión de navegación, llamada a una API o conexión a la nube se inicia sin una consulta al DNS. Existe porque los usuarios navegan por nombres y las redes enrutan por direcciones, y la conversión entre ambos a escala global requiere un sistema de nomenclatura distribuido y que permita el almacenamiento en caché, no un único directorio central.

Esa distribución es también la razón por la que el DNS es escalable. Ningún servidor contiene por sí solo todas las correspondencias; la autoridad se delega jerárquicamente desde la raíz, pasando por los dominios de primer nivel, hasta las organizaciones que gestionan las zonas individuales, y el almacenamiento en caché en cada capa mantiene la mayoría de las consultas fuera de la red de Internet en general. Ese mismo modelo de confianza convierte al DNS en un objetivo preferido para los ataques —el envenenamiento de caché, la suplantación de identidad y el tunelamiento abusan de él—, razón por la cual los transportes cifrados y el filtrado específico para el DNS son ahora componentes estándar de una arquitectura de seguridad.

¿Qué es el DNS?

Una consulta DNS comienza en un resolutor stub del cliente, que reenvía la consulta a un resolutor recursivo —a menudo gestionado por un proveedor de servicios de Internet (ISP), una empresa o un proveedor público—. Si aún no se encuentra en la caché, el resolutor recursivo recorre la jerarquía: pregunta a un servidor raíz qué servidor de dominio de nivel superior (TLD) es el autoritativo para el sufijo, pregunta a ese servidor TLD qué servidor autoritativo alberga la zona y, a continuación, consulta al servidor autoritativo para obtener el registro.

Cada registro incluye un tiempo de vida (TTL) que determina durante cuánto tiempo los resolutores pueden almacenarlo en caché antes de volver a solicitarlo. Los registros se presentan en distintos formatos: un registro A asocia un nombre a una dirección IPv4; un registro AAAA, a una dirección IPv6; un registro CNAME establece un alias de un nombre a otro; un registro MX identifica servidores de correo; un registro NS delega una zona; y un registro TXT contiene texto utilizado para registros como SPF y DKIM.

Tipos de DNS

La resolución de DNS implica varias funciones de servidor. Los resolutores recursivos realizan el trabajo en nombre del cliente, recorriendo la jerarquía y almacenando los resultados en caché. Los servidores autoritativos contienen los registros reales de una zona. Los servidores raíz y de dominio de nivel superior (TLD) solo sirven para redirigir las consultas hacia el servidor autoritativo adecuado; no responden a consultas sobre dominios concretos.

El transporte también se ha diversificado. El DNS clásico funciona sin cifrar a través de UDP, recurriendo a TCP para respuestas más extensas, un diseño que deja las consultas visibles a lo largo de la ruta. El DNS sobre TLS (DoT) y el DNS sobre HTTPS (DoH) envuelven las consultas en TLS para subsanar esa deficiencia, a costa de una configuración adicional de la conexión; el UDP y el TCP sin cifrar siguen siendo la opción predeterminada cuando la compatibilidad prevalece sobre el cifrado añadido.

DNS y Versa

Los dispositivos VOS pueden actuar como proxy DNS, interceptando las solicitudes DNS de los clientes y redirigiéndolas al resolutor adecuado según reglas configurables, tal y como se describe en «Configurar un proxy DNS». Un patrón habitual es el DNS dividido: los patrones de dominio internos se resuelven mediante un servidor DNS corporativo, mientras que todo lo demás se dirige a un resolutor público, lo que alivia la carga de las búsquedas recursivas del servidor corporativo. Los perfiles de proxy DNS en Director admiten resolutores de conmutación por error o de rotación (round-robin), grupos SNAT y, a partir de la versión 23.1.1, conexiones DoH y DoT.

En el caso del acceso directo a Internet ( DIA ) mediante SD-WAN, la configuración del proxy DNS con el direccionamiento de tráfico de SD-WAN para DIA permite que una consulta DNS consulte la política de direccionamiento de tráfico de SD-WAN, lo que proporciona una afinidad de ruta flexible o estricta con el tráfico de la aplicación que le sigue. En cuanto a la seguridad, la configuración del filtrado DNS (NGFW) aplica listas de permitidos, listas de denegados, búsquedas basadas en la reputación para dominios recién detectados y detección de túneles DNS para bloquear resoluciones maliciosas antes de que se establezca una sesión.

Preguntas frecuentes

¿Cuál es la diferencia entre un nombre de dominio y un registro DNS?

Un nombre de dominio, como example.com, es la etiqueta legible para las personas. Un registro DNS son los datos que un servidor autoritativo devuelve para ese nombre —una dirección IP, un servidor de correo, un valor de texto— y, por lo general, un dominio contiene varios tipos de registros a la vez.

¿Qué es un resolutor DNS?

Un resolutor realiza búsquedas en nombre del cliente. Un resolutor «stub» instalado en el dispositivo reenvía la consulta a un resolutor recursivo, que recorre los servidores raíz, de dominio de nivel superior (TLD) y, a continuación, los servidores autoritativos, y almacena el resultado en caché para su reutilización.

¿Qué son el almacenamiento en caché del DNS y el TTL?

Cada registro DNS incluye un tiempo de vida (TTL), es decir, el número de segundos durante los cuales un resolutor puede reutilizar una respuesta almacenada en caché antes de volver a realizar una consulta. El almacenamiento en caché en cada capa es lo que permite al DNS absorber el volumen global de consultas sin que cada búsqueda tenga que llegar a un servidor autoritativo.

¿Qué es el DNS sobre HTTPS (DoH)?

DoH envuelve las consultas DNS dentro de una conexión HTTPS, cifrándolas para que los intermediarios no puedan leer ni manipular la solicitud. DoT logra el mismo objetivo a través de una conexión TLS dedicada; ambos sustituyen al tráfico DNS en texto plano por UDP o TCP.

¿Qué es el filtrado DNS?

El filtrado de DNS compara las solicitudes de DNS con listas de dominios permitidos, listas de dominios denegados y datos de reputación para bloquear la resolución de dominios conocidos como maliciosos o recién detectados antes de que se establezca la conexión. También permite detectar el túnel de DNS, un tipo de ataque que oculta datos dentro de las consultas de DNS.

Más información sobre el DNS

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás leyendo sobre el DNS, te recomiendo que eches un vistazo a lo siguiente.