DNS: cómo se resuelven los dominios en IP

El Domain Name System (DNS) es la guía telefónica de internet. Traduce nombres de dominio legibles para las personas, como google.com, a direcciones IP, como 142.250.80.46, que los equipos utilizan para enrutar el tráfico.

Cuando escribe una URL, el navegador consulta DNS:

1. Comprueba la caché local (rápido)
2. Consulta el resolvedor local (normalmente el router o el ISP)
3. El resolvedor consulta el servidor de nombres raíz para obtener la autoridad del TLD
4. Consulta el servidor de nombres del TLD (por ejemplo, .com) para obtener la autoridad del dominio
5. Consulta el servidor de nombres autoritativo para obtener el registro correspondiente
6. La IP se devuelve y se almacena en caché

Tipos habituales de registros DNS:

• A: del dominio a una dirección IPv4
• AAAA: del dominio a una dirección IPv6
• CNAME: alias que apunta a otro dominio
• MX: servidor de correo de un dominio
• TXT: texto arbitrario (SPF, DKIM y verificación)
• NS: servidor de nombres de un dominio

Cada registro DNS tiene un valor TTL (time-to-live) expresado en segundos. Una vez almacenado en caché, los resolvers utilizan el valor almacenado hasta que expira el TTL y, después, vuelven a realizar la consulta. Reducir el TTL antes de una migración disminuye el retraso de propagación.

Los profesionales de la seguridad enumeran los registros DNS para mapear la infraestructura de una organización:

Una transferencia de zona DNS (AXFR) copia todos los registros de un servidor de nombres; resulta útil para las copias de seguridad, pero es peligrosa si está expuesta a todo el mundo. Los servidores de nombres mal configurados pueden revelar todo el DNS interno de una organización.

El envenenamiento de la caché inyecta registros DNS falsos en la caché de un resolvedor y redirige a los usuarios a servidores controlados por el atacante. DNSSEC (DNS Security Extensions) utiliza firmas criptográficas para impedirlo.

El DNS tradicional envía las consultas en texto plano; cualquier persona de la red puede ver qué dominios visita. DoH y DoT cifran las consultas DNS e impiden la vigilancia y la interceptación de tráfico DNS mediante ataques de intermediario.

El tunneling de DNS codifica datos dentro de consultas y respuestas DNS para exfiltrar datos o mantener la comunicación C2 a través de firewalls que permiten el tráfico DNS. Los equipos de seguridad supervisan las consultas DNS inusualmente largas y los volúmenes elevados de consultas como indicadores.

Las organizaciones utilizan DNS de horizonte dividido: el DNS interno resuelve direcciones privadas para los servicios internos, mientras que el DNS externo solo sirve entradas de acceso público. Esto evita exponer la topología interna a las consultas externas.

Herramientas DNS esenciales:

DNS traduce los nombres de dominio a direcciones IP mediante un proceso de resolución jerárquico en el que intervienen servidores de nombres raíz, de TLD y autoritativos. Entre los tipos de registros principales se encuentran A, AAAA, MX, CNAME y TXT. Las cuestiones de seguridad incluyen el envenenamiento de la caché, la exposición de transferencias de zona y el tunneling de DNS. DoH/DoT cifran el DNS para proteger la privacidad.