Cómo funciona el DNS: de un nombre de dominio a una dirección IP

Escribe example.com en un navegador y casi al instante aparece una página. Entre esos dos momentos, una base de datos distribuida que abarca todo el planeta respondió a una pregunta: ¿qué dirección IP corresponde a este nombre? Ese sistema es el DNS, el Sistema de Nombres de Dominio.

Conviene entenderlo bien, porque casi cualquier problema web desconcertante (un cambio que no ha surtido efecto, correos que desaparecen, un sitio que funciona en un dispositivo pero no en otro) se remonta a cómo se comportan realmente la resolución y la caché del DNS.

Los cuatro participantes

• El resolvedor stub: el pequeño cliente DNS integrado en tu sistema operativo. Casi no sabe nada y delega de inmediato.
• El resolvedor recursivo: normalmente lo gestiona tu proveedor de internet, o uno público como 1.1.1.1 o 8.8.8.8. Es el caballo de batalla que persigue la respuesta y la almacena en caché.
• Los servidores raíz y de TLD: no conocen la respuesta, pero saben quién la conoce. La raíz apunta a .com; los servidores del TLD .com apuntan a los servidores de nombres del propio dominio.
• Los servidores de nombres autoritativos: los servidores que guardan los registros reales del dominio. Lo que digan es, por definición, la verdad.

Una consulta, paso a paso

1. 1

   Comprobar primero las cachés locales

   Tu navegador tiene su propia caché DNS, y tu sistema operativo también. Si cualquiera de las dos guarda una respuesta vigente para example.com, la consulta termina en microsegundos y no hay ningún tráfico de red.

2. 2

   Preguntar al resolvedor recursivo

   Si no hay coincidencia, el resolvedor stub envía la consulta al resolvedor recursivo configurado: un paquete UDP, normalmente por el puerto 53.

3. 3

   El resolvedor pregunta a un servidor raíz

   Si el resolvedor no tiene nada en caché, empieza desde arriba. El servidor raíz no conoce example.com, pero responde: estos son los servidores de nombres de .com.

4. 4

   El resolvedor pregunta a los servidores del TLD

   Los servidores de .com responden con una referencia: los servidores de nombres autoritativos de example.com son estos. Todavía no es la respuesta, sino otro puntero.

5. 5

   El resolvedor pregunta al servidor de nombres autoritativo

   Este sí tiene el archivo de zona real. Devuelve el registro A: 93.184.216.34, junto con un TTL que indica durante cuánto tiempo puede reutilizarse la respuesta.

6. 6

   La respuesta se almacena en caché y se devuelve

   El resolvedor guarda el resultado durante el TTL y se lo entrega a tu sistema operativo, que se lo entrega al navegador. Solo ahora puede comenzar una conexión TCP con el servidor.

Recursivo frente a autoritativo: la distinción que importa

La gente los confunde constantemente, y eso provoca errores reales al depurar.

La consecuencia práctica: cuando cambias un registro DNS, el servidor autoritativo se actualiza al instante. Todos los resolvedores recursivos del mundo siguen sirviendo su copia en caché hasta que caduca el TTL. Ese intervalo es lo que la gente llama propagación del DNS.

Qué devuelve realmente un resolvedor

Una respuesta es más que una dirección. Lleva un tipo de registro, un valor y un TTL, además de indicadores que señalan si la respuesta era autoritativa o se sirvió desde la caché. Un mismo dominio publica a la vez muchos tipos de registro: A y AAAA para direcciones, MX para el enrutamiento del correo, NS para sus servidores de nombres y TXT para verificación y políticas.

example.com.    3600    IN    A        93.184.216.34
example.com.    3600    IN    AAAA     2606:2800:220:1::248
example.com.    3600    IN    MX       10 mail.example.com.
example.com.   86400    IN    NS       ns1.example.com.

El número que sigue al nombre es el TTL en segundos. IN significa la clase internet. Lo demás es el tipo de registro y su valor.

Dónde falla el DNS en la práctica

• El cambio no se ha propagado. El servidor autoritativo es correcto; una caché entre tú y él no lo es. No hay nada que arreglar, solo que esperar.
• Los servidores de nombres apuntan al proveedor equivocado. Editaste los registros en tu registrador, pero el dominio delega en los servidores de nombres de tu alojamiento, así que las ediciones se ignoran.
• Falta el punto final. En un archivo de zona, mail.example.com sin el punto final puede interpretarse de forma relativa a la zona, produciendo mail.example.com.example.com.
• No hay registro AAAA, pero hay clientes solo IPv6. El sitio es inaccesible para ellos mientras funciona perfectamente para todos los demás.

Puedes ver cada uno de estos registros de cualquier dominio con la herramienta de consulta de la página de inicio: los consulta de forma independiente, así que un dominio al que le falte un tipo sigue mostrando el resto.