DNS se­cu­n­da­rio

El sistema de nombres de dominio (DNS, Domain Name System) es un sistema di­s­tri­bui­do glo­ba­l­me­n­te para traducir los dominios de Internet en di­re­c­cio­nes IP. El DNS devuelve una dirección IP para un nombre de dominio, actuando como la “libreta de di­re­c­cio­nes” de Internet. El concepto de dirección IP equivale a una dirección postal a la que pueden enviarse paquetes. Estos son algunos ejemplos de consultas al DNS:

Debido a la im­po­r­ta­n­cia del DNS, es esencial mantener la in­fo­r­ma­ción del DNS di­s­tri­bui­da de forma re­du­n­da­n­te en di­fe­re­n­tes sistemas. De esta manera, la in­fo­r­ma­ción sigue estando di­s­po­ni­ble si los co­m­po­ne­n­tes in­di­vi­dua­les del DNS fallan. Asimismo, la pro­xi­mi­dad geo­grá­fi­ca de un servidor es decisiva para la velocidad de las re­s­pue­s­tas. En un sistema re­du­n­da­n­te, se distingue entre una fuente y varias copias. En la práctica, tal co­n­fi­gu­ra­ción necesita un mecanismo para ajustar las copias re­du­n­da­n­tes cuando la fuente cambia.

El Grupo de Trabajo de In­ge­nie­ría de Internet (IETF, Internet En­gi­nee­ri­ng Task Force) creó en 1996 una es­pe­ci­fi­ca­ción que significó un mecanismo básico para di­s­tri­buir la in­fo­r­ma­ción del DNS para una zona DNS en múltiples se­r­vi­do­res. De esta manera, se mostró cómo un servidor DNS primario (entonces llamado master) no­ti­fi­ca­ba al grupo de se­r­vi­do­res DNS se­cu­n­da­rios (entonces llamados slaves) de un cambio de la zona DNS. Los se­r­vi­do­res DNS se­cu­n­da­rios debían hacer una solicitud al servidor DNS primario para obtener los cambios.

Por de­fi­ni­ción, solo hay un servidor DNS primario para una zona DNS. Este pone a di­s­po­si­ción la in­fo­r­ma­ción fuente del DNS para la zona y sirve como punto de entrada para el ad­mi­ni­s­tra­dor de zona. Si hay que hacer cambios en una zona DNS, se hacen en el servidor primario DNS. Por el contrario, varios se­r­vi­do­res se­cu­n­da­rios de DNS di­s­tri­bui­dos por todo el mundo pueden uti­li­zar­se para copiar la in­fo­r­ma­ción DNS. A menudo, se utiliza un proveedor DNS aparte para alojar el DNS se­cu­n­da­rio.

Ten en cuenta que los términos “primario” y “se­cu­n­da­rio” se utilizan en dos casos en el contexto de DNS. Quizá sepas que, en la co­n­fi­gu­ra­ción del sistema de tu conexión red, puedes cambiar el servidor DNS a utilizar. A menudo se utiliza entonces las de­no­mi­na­cio­nes “primarios” y “se­cu­n­da­rios”. Sin embargo, esto es otro uso del término. En términos de zona DNS, los dos se­r­vi­do­res que es­pe­ci­fi­ques pueden ser se­r­vi­do­res DNS se­cu­n­da­rios. Además, si lo deseas, puedes co­n­fi­gu­rar más de dos se­r­vi­do­res DNS.

En primer lugar, hemos de saber que tanto los se­r­vi­do­res DNS primarios como los se­cu­n­da­rios son “se­r­vi­do­res de nombres au­to­ri­za­dos” para la zona re­s­pe­c­ti­va. Esto significa que se puede confiar en la in­fo­r­ma­ción al­ma­ce­na­da para la zona DNS. De esta manera, los se­r­vi­do­res de nombres au­to­ri­za­dos co­n­tra­s­tan con los se­r­vi­do­res de nombres de caché, que si­m­ple­me­n­te almacenan la in­fo­r­ma­ción DNS a partir de las consultas DNS ya rea­li­za­das.

La di­fe­re­n­cia entre los se­r­vi­do­res DNS primarios y se­cu­n­da­rios es pri­n­ci­pa­l­me­n­te ad­mi­ni­s­tra­ti­va. El servidor DNS primario contiene la in­fo­r­ma­ción de una zona DNS en el archivo de zona sobre el que el ad­mi­ni­s­tra­dor puede realizar di­re­c­ta­me­n­te los cambios. Por el contrario, el archivo de zona de un servidor DNS se­cu­n­da­rio no se puede re­es­cri­bir di­re­c­ta­me­n­te. En cambio, cualquier cambio en el archivo de zona se obtiene del DNS primario.

Cuando se realizan cambios en el archivo de zona, se envía esta in­fo­r­ma­ción a los se­r­vi­do­res DNS se­cu­n­da­rios y estos consultan los datos mo­di­fi­ca­dos. La tra­n­s­fe­re­n­cia de in­fo­r­ma­ción de DNS entre se­r­vi­do­res se conoce como tra­n­s­fe­re­n­cia de zona. En las tra­n­s­fe­re­n­cias de zona, un servidor DNS se­cu­n­da­rio es el destino, mientras que el servidor DNS primario es la fuente. Ten en cuenta que el mismo servidor físico puede ser el servidor DNS primario para una zona DNS y un servidor DNS se­cu­n­da­rio para otra zona.

La ca­ra­c­te­rí­s­ti­ca más im­po­r­ta­n­te del DNS se­cu­n­da­rio es que el archivo de zona se tra­n­s­fie­re de una fuente externa a los se­r­vi­do­res. Se utilizan varios me­ca­ni­s­mos para la tra­n­s­fe­re­n­cia de zona. El registro DNS,  “Start of Authority“ (SOA) es fu­n­da­me­n­tal. Incluye varios campos:

• El campo “MNAME”, que contiene la dirección IP del servidor DNS primario
• La entrada SOA, que contiene una serie de campos que definen los in­te­r­va­los en los que los se­r­vi­do­res DNS se­cu­n­da­rios solicitan au­to­má­ti­ca­me­n­te cambios en el primario.

A co­n­ti­nua­ción, veremos tres co­n­fi­gu­ra­cio­nes comunes de DNS.

En cierto modo, esta es la co­n­fi­gu­ra­ción “clásica” para di­s­tri­buir la in­fo­r­ma­ción DNS de una zona a varios se­r­vi­do­res DNS au­to­ri­za­dos. Se utiliza un servidor DNS primario que se es­pe­ci­fi­ca en el campo MNAME del registro SOA. Los se­r­vi­do­res DNS se­cu­n­da­rios co­m­prue­ban en in­te­r­va­los regulares si se ha realizado un cambio en la in­fo­r­ma­ción del DNS de su zona e inician una tra­n­s­fe­re­n­cia con los datos mo­di­fi­ca­dos en caso de que sea necesario. Además, el servidor primario puede notificar a los se­r­vi­do­res DNS se­cu­n­da­rios de los cambios a través de una de­cla­ra­ción notify.

Hidden Primary es una variante in­te­re­sa­n­te de la co­n­fi­gu­ra­ción clásica primaria/se­cu­n­da­ria. Sin embargo, en este caso el servidor primario trabaja de manera oculta. El servidor es­pe­ci­fi­ca­do en el campo MNAME del registro SOA no es el servidor primario real. Por ello, los se­r­vi­do­res DNS se­cu­n­da­rios no pueden consultar ningún cambio de la zona DNS, sino que el primario oculto debe so­li­ci­tar­lo ex­plí­ci­ta­me­n­te a través de una de­cla­ra­ción notify.

Una acción conocida es co­n­fi­gu­rar un ordenador en la red local como un servidor DNS y usarlo como hidden primary. Esto tiene dos ventajas:

• Los cambios en los archivos de zona pueden hacerse a nivel local
• El tráfico entrante del DNS es ad­mi­ni­s­tra­do por los se­r­vi­do­res DNS se­cu­n­da­rios

Se re­co­mie­n­da asegurar la co­mu­ni­ca­ción entre los se­r­vi­do­res DNS se­cu­n­da­rios y el hidden primary a través de en­cri­p­ta­ción DNSSEC.

Esta co­n­fi­gu­ra­ción se ha de­sa­rro­lla­do re­cie­n­te­me­n­te. Se utilizan varios se­r­vi­do­res DNS au­to­ri­za­dos para una zona DNS, los cuales contienen los datos fuente. No existe tra­n­s­fe­re­n­cia de zonas entre ellos, y por ello no hay DNS se­cu­n­da­rio. Cualquier cambio en la zona DNS requiere una coor­di­na­ción con los se­r­vi­do­res DNS primarios. Para ello deben uti­li­zar­se sistemas pa­te­n­ta­dos. Un ejemplo sería un sistema externo con GUI y API utilizado para cambiar la in­fo­r­ma­ción del DNS y di­s­tri­buir cambios.

Utilizar un DNS se­cu­n­da­rio tiene muchas ventajas. Para en­te­n­de­r­las, ima­gi­ne­mos que solo hubiese un servidor DNS para una zona DNS. Esta co­n­fi­gu­ra­ción tendría las si­guie­n­tes de­s­ve­n­ta­jas:

• Los usuarios más alejados del servidor DNS primario re­ci­bi­rían las re­s­pue­s­tas con retraso en co­m­pa­ra­ción con los usuarios más cercanos.

El DNS se­cu­n­da­rio aporta un alto re­n­di­mie­n­to para responder a las so­li­ci­tu­des del DNS.

• Un fallo en el servidor DNS primario tendría como co­n­se­cue­n­cia que la in­fo­r­ma­ción au­to­ri­za­da para la zona DNS no estuviese di­s­po­ni­ble.

El DNS se­cu­n­da­rio pro­po­r­cio­na re­du­n­da­n­cia y alta di­s­po­ni­bi­li­dad de la in­fo­r­ma­ción DNS.

• Una entrada elevada de so­li­ci­tu­des DNS so­bre­ca­r­ga­ría el servidor DNS primario.

El DNS se­cu­n­da­rio di­s­tri­bu­ye la carga y mejora la di­s­po­ni­bi­li­dad de la in­fo­r­ma­ción DNS.

Una co­n­fi­gu­ra­ción sin DNS se­cu­n­da­rio sería muy vu­l­ne­ra­ble a problemas técnicos y ci­ber­ata­ques.

Las ventajas del uso de un DNS se­cu­n­da­rio son en su mayoría técnicas. Pero también hay una razón ad­mi­ni­s­tra­ti­va, que se presenta cuando una or­ga­ni­za­ción quiere migrar a un nuevo proveedor DNS. En este caso, el concepto existente para la gestión de la zona DNS puede seguir uti­li­zá­n­do­se, por ejemplo, en una co­n­fi­gu­ra­ción hidden primary. El nuevo proveedor DNS se encargará de la respuesta a las so­li­ci­tu­des DNS entrantes como el DNS se­cu­n­da­rio.

Las di­fe­re­n­cias entre el DNS primario y se­cu­n­da­rio son pri­n­ci­pa­l­me­n­te ad­mi­ni­s­tra­ti­vas. A nivel externo, no se puede de­te­r­mi­nar si un servidor DNS au­to­ri­za­do es primario o se­cu­n­da­rio. Además, el mismo servidor puede ser DNS primario para una zona y DNS se­cu­n­da­rio para otra. Ni siquiera el campo MNAME del registro SOA puede ayudar, ya que el servidor DNS primario real puede ser ejecutado como hidden primary.