Básicos de consulta DNS: Cómo funciona la resolución

Cada vez que escribes un dominio en un navegador o conectas a un servicio remoto, tu dispositivo envía una consulta DNS. Esa consulta consiste en un encabezado con banderas (QR, Opcode, AA, TC, RD, RA, etc.) y una sección de preguntas que especifica el dominio objetivo y el tipo de registro que deseas. El resolver luego sigue una cadena de consultas – comenzando desde la raíz, luego el TLD, entonces el nombre final.

Recursive vs. Iterative Queries

Las consultas reversivas] son enviadas por los clientes a un resolución (por ejemplo, el DNS de su ISP o un resolución público como 1.1.1.1). El resolución hace todo el trabajo: consulta la raíz, el TLD y el servidor autorizado, luego devuelve la respuesta o un error de resolución.

Tipos comunes de consulta DNS – Ampliado

Cada tipo de registro DNS sirve un propósito específico en el diagnóstico de red. A continuación se presentan los tipos más utilizados, sus roles y los problemas que pueden revelar.

Un registro (Asesor – IPv4)

El registro A mapea un dominio a una dirección IPv4 de 32 bits. Es el tipo de consulta más fundamental. Cuando una consulta A devuelve (dominio no existente), el dominio no está configurado para IPv4. Una respuesta sugiere que el servidor de nombres autorizado es inalcanzable o mal definido.

AA Record (Dirección IPv6)

Identical en función del registro A, pero para direcciones IPv6 de 128 bits. A medida que crece la adopción IPv6, comprobar los registros AAAA es crítico cuando diagnostica problemas de conectividad en redes de doble estante. Si un cliente prefiere IPv6 pero no existe un registro AAAA, la conexión puede fallar o caer de nuevo a IPv4. Use para confirmar la posibilidad de alcanzar IPv6.

MX Record (Intercambio de Material)

Los registros MX especifican los servidores de correo responsables de un dominio y sus números de prioridad (los valores inferiores se prueban primero). Un registro MX faltante significa que el dominio no puede recibir correo electrónico. Una configuración con un solo servidor de baja prioridad crea un solo punto de fracaso. Use para listar servidores de intercambio de correos. Problemas comunes: nombres de host incorrectos (por ejemplo, [AALT:6]] en lugar de [[FLT/7]]

Registro de los NNS (Name Server)

Los registros del NS declaran que los servidores de nombres son autorizados para una zona. Cuando estos registros apuntan a los servidores de nombres que no existen o no están configurados para la zona, la delegación se rompe. Use para ver la lista. También consulta la zona de padres (por ejemplo, .com) con para verificar la delegación coincide con la zona de niños.

TXT Record (Texto)

Los registros TXT almacenan texto arbitrario, pero hoy están dominados por la autenticación del correo electrónico: SPF, DKIM y DMARC. Querying revela políticas SPF como . Desapareciendo o malconfigurado los registros TXT conducen a la emisión de correo electrónico de vulnerabilidades o mensajes legítimos aterrizando en spam.

CNAME Record (Nombre Canónico)

Un registro de CNAME asigna un dominio a otro. Por ejemplo, puede apuntar a . Use para encontrar el nombre de host canónico. Importante: un CNAME no puede coexistir con otros registros del mismo nombre (RFC 1912). El uso excesivo de cadenas CNAME aumenta la latencia de resolución.

SOA Record (Iniciación de Autoridad)

El registro SOA contiene metadatos administrativos: el servidor de nombres primarios, la dirección de correo electrónico responsable, el número de serie (crítica para transferencias de zona), y los valores de tiempo (refresca, retry, expire, mínimo TTL). Consulta para verificar el número de serie coincide con los servidores primarios y secundarios. Un serie desfavorable es la causa más común de datos de DNS establo.

PTR Record (Pointer – DNS inverso)

Los registros de PTR mapa direcciones IP de nuevo a los nombres de dominio, utilizados en las o zonas. Los servidores de correo electrónico a menudo rechazan el correo de los anfitriones cuyo PTR no coincide con el dominio de envío. Use para comprobar el DNS inverso. Los registros incorrectos o faltantes de PTR son una fuente frecuente de problemas de entrega de correo electrónico.

Registro de la RV (Ubicación de servicio)

Los registros SRV definen el nombre de host y el puerto para servicios específicos como SIP, LDAP o XMPP. Siguen el formato . Query para ver la prioridad, el peso y el puerto. Troubleshooting SRV failures often reveals misconfigured port numbers or unresolvable target hostnames.

Práctico DNS Querying con cava

La herramienta dig] (Domain Information Groper) es la norma de facto para el diagnóstico manual de DNS. Aquí están los patrones de comando más útiles:

  • ] ] – devuelve la dirección IPv4 y la TTL.
  • Especifique el tipo de registro: ] o .
  • Pregunte un resolución específico: – prepase su resolución local.
  • Trace el camino de resolución completa: – muestra pasos iterativos desde la raíz hasta la autoridad.
  • Salida corta: ] – sólo la dirección IP, útil para scripts.
  • [Reversa búsqueda: ] – consulta el registro de PTR.

La interpretación de la respuesta es clave. El campo puede ser (según se ha encontrado), (no existe el dominio), (insuficiencia del servidor, a menudo un tiempo o una malconfiguración), (rechazar el nombre de la policía) [[LT:34]]

Implicaciones de seguridad de los tipos de consulta DNS

Las consultas DNS son sencillas por defecto, haciéndolos visibles a los adversarios de la red a menos que se usen DNS-over-HTTPS (DoH) o DNS-over-TLS (DoT).

  • TXT records for SPF, DKIM, and DMARC:] Estos son los pilares de la seguridad del correo electrónico. Un registro SPF único perdido o demasiado permisivo (por ejemplo, ) permite a cualquiera enviar correo como su dominio. Query su propio dominio regularmente con y
  • Nimme y ataques de redirección: Si un dominio de destino CNAME expira o es tomado por un atacante, cada alias que apunta a que se convierte en un vector de phishing. Siempre comprueba que los nombres de host blanco están controlados y tienen registros A/AA válidos.
  • ]Spopía récord: Una zona padre mal configurada podría apuntar a los servidores maliciosos de nombres. Use para comprobar cada paso de la delegación.

DNSSEC (DNS Security Extensions) está diseñado para proteger contra las respuestas falsificadas. Consulta con para ver los registros RRSIG y DNSKEY. Si su resolución es compatible con la validación, las respuestas incluirán la bandera (datos auténticos).

Solución de problemas con las consultas DNS – Un escenario paso a paso

Supongamos que los usuarios no pueden acceder y el correo electrónico está fallando.

  1. ]Ver A/AAAA: y . Si NXDOMAIN, el dominio puede ser vencido o eliminado. Si SERVFAIL, trate de pedir directamente de un resolución público: .
  2. Verificar delegación: ] y comparar con la zona matriz: . Si difieren, el dominio es deslegado.
  3. Inspeccione SOA: ]. Revise el número de serie en los servidores de nombres primarios y secundarios. Si los números de serie son desajustes, las transferencias de zona están fallando.
  4. Test MX:] . Observe los nombres de host (por ejemplo, ). Luego, pruebe cada objetivo: . Si el IP del servidor de correo no resuelve, el correo electrónico no puede ser entregado.
  5. Confirm reverse DNS: ]. El registro PTR debe coincidir con el FQDN del servidor de correo. Muchos servidores receptores rechazan el correo si esto falta.
  6. Verificar los registros TXT para correo electrónico auth:] para SPF, y . Busque errores de sintaxis o etiquetas "v=" desaparecidas.

Al realizar sistemáticamente estas consultas, aísla si el problema está en la delegación, el contenido de la zona o la configuración del correo electrónico.

Conclusión

La mayor seguridad de los datos de la red DLT2 permite que los diagnósticos de red sean precisos y accionables. La red A, AAAA, MX, NS, TXT, CNAME, SOA, PTR y SRV revelan una capa diferente de la salud de su infraestructura.