Zonas alojadas y tipos de registros DNS

Amazon Route 53 es el servicio de Sistema de nombres de dominio (DNS) de AWS, altamente disponible y escalable. Traduce nombres de dominio legibles para las personas (como api.example.com) a direcciones IP que utilizan los equipos para conectarse. Route 53 también proporciona registro de dominios, comprobaciones de estado y sofisticadas políticas de enrutamiento de tráfico.

Route 53 está diseñado para ofrecer una disponibilidad del 100 % (respaldada por un SLA de disponibilidad del 100 %) y se distribuye entre ubicaciones de borde de AWS en todo el mundo, lo que le proporciona tiempos de respuesta de consultas inferiores a 10 ms a escala global.

Una zona alojada pública es un contenedor de registros DNS que define cómo se enruta el tráfico de Internet para un dominio. Cuando registra un dominio o lo transfiere a Route 53, se crea automáticamente una zona alojada pública. También puede crear una zona alojada para un dominio registrado en otro lugar y dirigir los servidores de nombres del dominio a Route 53.

Cada zona alojada tiene un pequeño costo mensual, además de cargos por consulta. Al crear una zona alojada, Route 53 asigna cuatro registros de servidor de nombres (NS); debe configurarlos en el registrador de dominios para delegar la resolución DNS a Route 53.

Una zona alojada privada está asociada a una o más VPC y solo se puede resolver desde dentro de esas VPC. Permite la detección de servicios internos: sus instancias de EC2 pueden resolver database.internal.example.com a una IP privada sin exponer el nombre a Internet público.

Las zonas alojadas privadas son ideales para microservicios que se comunican internamente, balanceadores de carga internos y puntos de conexión de bases de datos que nunca deben ser accesibles públicamente. Puede asociar varias VPC (incluso entre cuentas) a una sola zona alojada privada mediante la API associate-vpc-with-hosted-zone.

Un registro A asigna un nombre de host a una dirección IPv4 (por ejemplo, www.example.com → 54.123.45.67). Es el tipo de registro DNS más fundamental y se utiliza para cualquier recurso que tenga una dirección IPv4 estática. Un registro AAAA hace lo mismo con las direcciones IPv6.

Para recursos de AWS con IP dinámicas (como un ALB o una distribución de CloudFront), Route 53 proporciona registros ALIAS que funcionan como registros A, pero apuntan al nombre DNS de un recurso de AWS en lugar de a una IP estática. Las consultas a registros ALIAS son gratuitas, a diferencia de los registros estándar que apuntan a CloudFront o ALB, que generarían cargos por la resolución intermedia.

Un registro CNAME (Canonical Name) asigna un nombre de host a otro nombre de host, no directamente a una IP. Por ejemplo, www.example.com → d123abc.cloudfront.net. Los CNAME no se pueden crear en el apex de la zona (el dominio raíz, por ejemplo, el propio example.com); esta es una restricción del estándar DNS.

Los registros ALIAS son una extensión de Route 53 que funciona como los registros A/AAAA, pero apunta a recursos de AWS por nombre. Los registros ALIAS sí se pueden crear en el apex de la zona, por lo que son la opción correcta para dirigir example.com (sin www) a un ALB, CloudFront o un punto de conexión de sitio web de S3.

Además de A y CNAME, Route 53 admite toda la variedad de tipos de registros DNS:

• MX: Mail Exchange: especifica los servidores de correo responsables de recibir el correo electrónico de un dominio, con valores de prioridad
• TXT: Text: almacena texto arbitrario y se utiliza habitualmente para verificar la propiedad del dominio (SES, Google Workspace y validación de certificados SSL) y para la autenticación de correo electrónico SPF
• NS: Name Server: identifica los servidores de nombres autoritativos de la zona alojada; Route 53 los crea automáticamente y no deben modificarse
• SOA: Start of Authority: metadatos sobre la zona; se crea automáticamente

Los registros SRV especifican el host y el puerto de los servicios, lo que permite la detección de servicios en protocolos como SIP y XMPP. Formato: prioridad, peso, puerto, destino. Kubernetes etcd y otras mallas de servicios utilizan registros SRV para detectar pares.

Los registros CAA (Certification Authority Authorization) especifican qué autoridades de certificación (CA) tienen permiso para emitir certificados SSL/TLS para su dominio. Añadir un registro CAA que restrinja la emisión a amazon.com impide que otras CA emitan certificados para su dominio, lo que reduce el riesgo de emisión incorrecta de certificados.

TTL (Time to Live) es un valor en segundos que indica a los resolvers DNS durante cuánto tiempo deben almacenar en caché un registro antes de volver a consultar Route 53. Un TTL bajo (por ejemplo, 60 segundos) hace que los cambios de DNS se propaguen rápidamente, pero Route 53 recibe más consultas. Un TTL alto (por ejemplo, 86400 = 1 día) reduce los costos de consulta de Route 53, pero ralentiza la propagación de las actualizaciones de registros.

Práctica recomendada: utilice un TTL alto para registros estables (como el registro A del dominio principal). Antes de una migración o un cambio de tráfico planificado, reduzca temporalmente el TTL a 60 segundos para que el cambio se propague rápidamente. Después de la migración, restaure el TTL alto.

Route 53 Resolver está integrado en cada VPC y gestiona la resolución DNS de los registros de las zonas alojadas privadas y de los puntos de conexión de servicios de AWS. Para arquitecturas híbridas en las que los sistemas locales necesitan resolver nombres de zonas privadas de AWS (o viceversa), utilice Resolver Inbound Endpoints (de los sistemas locales a AWS) y Resolver Outbound Endpoints (de AWS al DNS local).

Las reglas de reenvío de Resolver permiten configurar qué sufijos de dominio se reenvían a sus servidores DNS corporativos, lo que permite una resolución DNS híbrida fluida sin administrar zonas duplicadas.

Route 53 también funciona como registrador de dominios, lo que le permite registrar dominios nuevos o transferir dominios existentes. Durante el registro, proporciona información de contacto y puede habilitar opcionalmente la protección de privacidad (que oculta los datos personales de WHOIS). Route 53 admite cientos de dominios de nivel superior (TLD).

Cuando registra un dominio mediante Route 53, se crea automáticamente una zona alojada pública con los registros NS y SOA preconfigurados. Los registros NS del registrador ya apuntan a los servidores de nombres de Route 53, por lo que no es necesario realizar ninguna delegación manual; puede empezar a añadir registros de inmediato.

Prácticas recomendadas clave para zonas alojadas de cara al examen SAA-C03:

• Utilice registros ALIAS en el apex de la zona en lugar de CNAME para los recursos de AWS
• Utilice zonas alojadas privadas para todo el DNS interno; nunca exponga nombres de host internos en zonas públicas
• Establezca un TTL bajo (60–120 s) antes de las migraciones y restablezca un TTL alto después
• Habilite la firma DNSSEC para las zonas públicas a fin de protegerse contra ataques de suplantación de DNS
• Etiquete las zonas alojadas para asignar costos si administra varios clientes o entornos

Compruebe su comprensión de los conceptos de AWS Solutions Architect (SAA-C03) de esta lección.

En esta lección ha aprendido que las zonas alojadas públicas enrutan el tráfico de Internet, mientras que las zonas alojadas privadas solo resuelven nombres dentro de las VPC; los registros ALIAS resuelven la limitación de CNAME en el apex de la zona para los recursos de AWS; y el TTL controla la duración de la caché DNS y la velocidad de propagación. A continuación, exploraremos las políticas de enrutamiento de Route 53, incluido el enrutamiento simple, ponderado y basado en latencia.