Servicios de hora y nombres

Además de transportar paquetes, las redes dependen de servicios en segundo plano que mantienen todo coherente y utilizable. Dos de los más fundamentales son la sincronización horaria y la resolución de nombres.

Sin una hora exacta, los registros y la seguridad dejan de funcionar; sin resolución de nombres, los usuarios tendrían que memorizar direcciones IP. Estos servicios discretos sustentan prácticamente todo lo demás en la red.

Los equipos necesitan relojes sincronizados por muchos motivos: las entradas de registro de distintos dispositivos deben coincidir para investigar incidentes, los certificados de seguridad tienen períodos de validez y los sistemas de autenticación como Kerberos rechazan solicitudes si los relojes se desvían demasiado.

Incluso una diferencia de unos minutos puede impedir los inicios de sesión, dificultar la resolución de problemas y provocar fallos difíciles de diagnosticar en toda una red.

NTP (protocolo de tiempo de red) mantiene sincronizados los relojes de los dispositivos de una red. Los dispositivos consultan servidores NTP y ajustan sus relojes para que coincidan, con una precisión de milisegundos. NTP utiliza el puerto UDP 123.

Es uno de los protocolos de Internet más antiguos que aún se utilizan ampliamente y garantiza discretamente que todos los dispositivos, desde routers hasta servidores, coincidan en la hora.

NTP organiza las fuentes horarias en estratos. El estrato 0 es un reloj de referencia de gran precisión, como un reloj atómico o GPS. Los servidores de estrato 1 se conectan directamente a él; el estrato 2 se sincroniza con el estrato 1, y así sucesivamente.

Cada nivel inferior es ligeramente menos preciso. Normalmente, las redes se sincronizan con servidores NTP públicos o internos situados unos cuantos estratos por debajo, lo que ofrece una precisión más que suficiente para el uso normal.

El servicio de nombres más importante es DNS (sistema de nombres de dominio), que traduce nombres fáciles de recordar, como example.com, en direcciones IP. Es la guía telefónica de Internet que permite utilizar nombres en lugar de números.

Visitar una web, enviar un correo electrónico y conectarse a una aplicación suelen comenzar con una consulta DNS, lo que convierte la resolución de nombres en uno de los servicios más utilizados de cualquier red.

DNS es tan fundamental que, cuando falla, gran parte de la red parece estar averiada aunque la conectividad sea correcta. Los usuarios no pueden acceder a los sitios por nombre, el correo electrónico se detiene y las aplicaciones agotan el tiempo de espera; todo se debe a un problema de nombres, no de enrutamiento.

Por eso Siempre es DNS es una broma recurrente entre los ingenieros de redes: muchas interrupciones misteriosas se deben, en última instancia, a problemas de DNS.

Las organizaciones suelen ejecutar su propio DNS interno para asignar nombres y localizar dispositivos como servidores e impresoras en la red privada. Esto permite que el personal utilice nombres internos fáciles de recordar en lugar de memorizar direcciones IP.

El DNS interno también se integra con los servicios de directorio, de modo que los equipos y los usuarios puedan localizarse y autenticarse por nombre, lo que constituye un pilar de las redes corporativas administradas.

Cuando introduce un nombre, su dispositivo solicita a un resolutor (a menudo el ISP o un servicio público como 8.8.8.8) que encuentre la IP correspondiente. El resolutor comprueba su caché, consulta después la jerarquía DNS si es necesario y devuelve la dirección.

A continuación, su dispositivo se conecta a esa IP. Todo el intercambio suele tardar unos milisegundos y ocurre de forma invisible antes de casi todas las conexiones que realiza en Internet.

Las redes también dependen de otros servicios en segundo plano:

• DHCP (protocolo de configuración dinámica de host) distribuye automáticamente la configuración IP.
• NTP sincroniza la hora.
• DNS resuelve nombres.

En conjunto, estos tres servicios constituyen la base discreta que hace utilizable una red; cuando uno falla, los usuarios lo perciben de inmediato aunque la causa sea invisible.

Los servicios fundamentales son objetivos muy valiosos para los atacantes. La suplantación de DNS puede redirigir a los usuarios a sitios falsos, y una hora manipulada puede hacer que fallen las comprobaciones de seguridad. Entre las defensas se incluyen DNSSEC (DNS Security Extensions), que autentica los registros DNS, y fuentes NTP confiables y autenticadas.

Dado que dependen tantas cosas de ellos, mantener la hora y los servicios de resolución de nombres precisos y seguros es esencial para que la red sea fiable y funcione correctamente.

NTP sincroniza los relojes (algo esencial para los registros, los certificados y la autenticación) mediante una jerarquía de stratum, mientras que DNS resuelve nombres en direcciones y sustenta prácticamente todas las conexiones. Junto con DHCP, estos servicios en segundo plano hacen que la red sea utilizable, y protegerlos con herramientas como DNSSEC protege los cimientos de toda la red.

Ponga a prueba sus conocimientos sobre la resolución de nombres y la hora.

Los servicios en segundo plano mantienen las redes operativas. NTP sincroniza los relojes (algo esencial para los registros, los certificados y la autenticación) mediante una jerarquía de stratum en UDP 123. DNS resuelve nombres en direcciones y sustenta prácticamente todas las conexiones, mientras que DHCP distribuye la configuración. Protéjalos con DNSSEC y fuentes de hora confiables.