Zona DNS

El sistema de nombres de dominio (DNS) es un sistema je­rá­r­qui­co extendido por todo el mundo que se encarga de gestionar los datos asociados a los dominios de Internet. Un dominio es un nombre que las personas pueden leer, recordar y utilizar con facilidad. Una de las pri­n­ci­pa­les tareas del DNS es la re­so­lu­ción de nombres, esto es, asignar nombres de dominio a di­re­c­cio­nes IP. El DNS es, por lo tanto, un pilar fu­n­da­me­n­tal en la es­tru­c­tu­ra técnica de Internet. A co­n­ti­nua­ción, puedes ver un ejemplo de la re­so­lu­ción de nombres:

A nivel técnico, el DNS está formado por una red de se­r­vi­do­res de nombres. Pero ¿qué conexión hay entre los nombres de dominio y los se­r­vi­do­res de nombres?, ¿dónde se encuentra realmente la in­fo­r­ma­ción y cómo se limita para los di­fe­re­n­tes dominios? Para ayudarte a en­te­n­de­r­lo, te ex­pli­ca­mos a co­n­ti­nua­ción el concepto de zona DNS.

El término zona DNS, en inglés DNS zone, procede de una es­pe­ci­fi­ca­ción publicada por el Grupo de Trabajo de In­ge­nie­ría de Internet (IETF, de Internet Engineering Task Force) en 1987. En el documento RFC 1035 “Domain Names - Im­ple­me­n­ta­tion And Spe­ci­fi­ca­tion” se explica la relación entre los se­r­vi­do­res de nombres y las zonas DNS:

Una zona DNS es una parte del espacio de nombres de DNS que gestiona una or­ga­ni­za­ción concreta o una persona es­pe­cí­fi­ca. Por lo tanto, se trata de una unidad ad­mi­ni­s­tra­ti­va y no debe equi­pa­rar­se con el concepto de dominio ni con un servidor de nombres es­pe­cí­fi­co. Una zona DNS incluye al menos un dominio y, si existen, otros su­b­do­mi­nios. Sin embargo, los su­b­do­mi­nios también pueden co­n­ce­bi­r­se como zonas separadas.

El archivo de zona DNS es la base técnica para almacenar la in­fo­r­ma­ción DNS de una zona. Se trata de un archivo de texto que se almacena en el sistema de archivos de un servidor. En el documento RFC 1035 se define también la es­tru­c­tu­ra de un archivo de zona DNS. Por de­fi­ni­ción, un archivo de zona está basado en líneas formadas cada una por di­re­c­ti­vas o registros de recurso.

Las di­re­c­ti­vas, que suelen enu­me­rar­se al principio del archivo de zona, empiezan con el signo de dólar ‘$’. Sirven para ordenar al servidor realizar una acción o aplicar una co­n­fi­gu­ra­ción a la zona. Por ejemplo, con la directiva “$INCLUDE” se pueden integrar distintos archivos de zona su­bo­r­di­na­dos, lo que resulta muy útil para mo­du­la­ri­zar los registros del archivo de zona.

A las di­re­c­ti­vas les siguen los registros DNS (registros de recursos) para la zona descrita. Para ello se debe disponer de un registro SOA por cada zona DNS, que debe conformar el primer registro en un archivo de zona. Además sirve para definir la es­tru­c­tu­ra de la zona, así como el in­te­r­ca­m­bio de los datos de zona entre se­r­vi­do­res de nombres. Al registro SOA le siguen otros registros de recursos, entre los que destacan: los registros “A” para es­ta­ble­cer las di­re­c­cio­nes IP del servidor, los registros “MX” para definir los se­r­vi­do­res de correo y los registros “NS”, que incluyen los se­r­vi­do­res de nombres con autoridad para la zona.

Poniendo el foco en un servidor de nombres es­pe­cí­fi­co, puede existir un archivo de zona como un original con po­si­bi­li­dad de ser reescrito. En este caso, el servidor de alo­ja­mie­n­to es un servidor DNS primario. Si el archivo de zona es una copia de una fuente externa que no se puede re­es­cri­bir, el servidor de alo­ja­mie­n­to se denomina servidor DNS se­cu­n­da­rio. Un archivo de zona puede describir con autoridad una zona DNS o almacenar el contenido de la caché de DNS. De nuevo, vamos a ver la de­fi­ni­ción que aparece en RFC 1035:

Si no se puede encontrar una zona, por ejemplo, debido a un error técnico en el archivo de zona, el servidor de nombres responde a la solicitud con el error NXDOMAIN.

El término zona DNS se utiliza para varios conceptos, en ocasiones muy di­fe­re­n­tes. Aquí pre­se­n­ta­mos una selección de los términos más comunes.

La zona raíz del DNS es el nivel superior del espacio je­rá­r­qui­co del DNS. En el nombre de dominio está re­pre­se­n­ta­da por un punto final. Si un nombre de dominio muestra un punto final, también recibe el nombre de Fully Qualified Domain Name (FQDN). Por ejemplo, “example.com.” es el FQDN para el dominio “example.com”. Como se puede apreciar en el FQDN, .com va precedido de un punto.

La zona raíz del DNS se reproduce en los trece se­r­vi­do­res raíz de nombres de dominio del DNS y contiene in­fo­r­ma­ción sobre los se­r­vi­do­res de nombres au­to­ri­ta­ti­vos para los dominios de nivel superior (TLD, Top-Level-Domains). Por ejemplo, con una solicitud a uno de los se­r­vi­do­res raíz de nombres de dominio puedes encontrar un servidor de nombres au­to­ri­ta­ti­vo para uno de los dominios de nivel superior de código de país (ccTLDs, country code Top Level Domains). En la ac­tua­li­dad, la zona raíz del DNS utiliza el mecanismo DNSSEC y, por lo tanto, está protegida de la fa­l­si­fi­ca­ción de las re­s­pue­s­tas del DNS.

La re­s­tri­c­ción de los se­r­vi­do­res raíz de nombres de dominio a un total de trece es de na­tu­ra­le­za técnica. A los se­r­vi­do­res raíz se les asignan los nombres de dominio de “a.root-servers.net” a “m.root-servers.net”. Gracias a la te­c­no­lo­gía anycast, se dispone de un número mucho mayor de se­r­vi­do­res físicos para responder a las consultas de la zona raíz del DNS. La página web oficial de Root Server Technical Ope­ra­tio­ns As­so­cia­tion presenta un listado de los se­r­vi­do­res raíz e indica su ubicación geo­grá­fi­ca.

El concepto de la zona DNS y del co­rre­s­po­n­die­n­te archivo de zona tratado hasta ahora se utiliza para “Forward DNS Lookup” o, lo que es lo mismo, para la re­so­lu­ción de DNS hacia adelante, es decir, cuando los nombres de dominio se resuelven en di­re­c­cio­nes IP. Los registros “A” en el archivo de zona se usan con este propósito. No obstante, el término “forward zone” se utiliza también en ocasiones para describir un concepto co­m­ple­ta­me­n­te diferente: reenviar las consultas DNS desde un resolver DNS en caché a un servidor de nombres au­to­ri­ta­ti­vo.

“Reverse DNS lookup” se opone a “forward lookup”. El adjetivo “reverse” indica que el mecanismo funciona exac­ta­me­n­te al revés: las di­re­c­cio­nes IP de los se­r­vi­do­res se traducen en sus co­rre­s­po­n­die­n­tes nombres de dominio.

A “reverse lookup zone” es un archivo de zona de búsqueda inversa que permite la re­so­lu­ción de las di­re­c­cio­nes IP en los nombres de dominio. Un archivo de zona DNS de búsqueda inversa contiene también los registros SOA y NS (como el archivo de zona forward-lookup). Sin embargo, en lugar de los registros “A”, se recurre a los registros “PTR”, que se encargan de vincular una dirección IP de formato ‘z.y.x.w.in-addr.arpa.’ con el nombre de dominio co­rre­s­po­n­die­n­te.

Como ya se ha indicado, los términos “zona DNS” y “archivo de zona” a menudo se emplean como sinónimos. Del mismo modo, en el contexto de los se­r­vi­do­res DNS primario y se­cu­n­da­rio también se usan los conceptos de zonas DNS primarias y se­cu­n­da­rias. Esto hace re­fe­re­n­cia al archivo de zona que está al­ma­ce­na­do en el servidor DNS primario o se­cu­n­da­rio.

Una zona DNS es un concepto ad­mi­ni­s­tra­ti­vo. A modo de resumen, una zona DNS define una parte del espacio de nombres DNS que una or­ga­ni­za­ción o una persona es­pe­cí­fi­ca gestiona. En cambio, un servidor DNS es un co­m­po­ne­n­te físico de la in­frae­s­tru­c­tu­ra técnica de Internet. Un servidor puede ser au­to­ri­ta­ti­vo para una o más zonas. Sin embargo, también puede ser un resolver de DNS, que no es au­to­ri­ta­ti­vo en ninguna zona y que se limita a almacenar en caché las consultas de DNS ya re­s­po­n­di­das. Por lo tanto, una zona DNS no puede existir sin un servidor de nombres, mientras que un servidor de nombres no ne­ce­sa­ria­me­n­te define una zona DNS.