Resolvedores DNS recursivos frente a autoritativos

«Servidor DNS» se usa con poco rigor para describir dos funciones realmente distintas. Mantenerlas separadas hace que todo el sistema sea mucho más fácil de razonar.

El resolvedor recursivo: hace el trabajo pesado

Un resolvedor recursivo es el servidor con el que habla realmente tu dispositivo: suele venir fijado por tu ISP, por tu router o configurado a mano con una opción pública como 1.1.1.1 u 8.8.8.8. Su trabajo es tomar tu consulta y hacer lo que haga falta para responderla: consultar primero su propia caché y, si no encuentra nada, recorrer la cadena desde los servidores raíz hasta los servidores de TLD y los servidores autoritativos del propio dominio, para devolverte después la respuesta final.

El servidor autoritativo: tiene la respuesta real

Un servidor de nombres autoritativo es la fuente de verdad de los registros de un dominio concreto: el único lugar donde viven los registros A, AAAA, MX y demás de ese dominio. No busca nada por ti; simplemente responde de forma directa por los dominios de los que es responsable y se niega (o reenvía a otro sitio) en cualquier otro caso.

• Tu resolvedor recursivo es una infraestructura compartida que suele responder por millones de dominios distintos con los que no tiene ninguna relación especial.
• Los servidores autoritativos de un dominio suelen ser pocos y específicos de ese dominio (o de un pequeño grupo de dominios relacionados).
• Una herramienta que hace una consulta directa, como resolver un dominio mediante el propio resolvedor DNS de Node.js contra un resolvedor recursivo público, usa la misma cadena de recursivo a autoritativo que tu navegador, solo que sin un navegador alrededor.

En realidad hay un tercer papel: el resolvedor stub

Tu propio dispositivo rara vez recorre la cadena completa por sí mismo. En su lugar ejecuta un resolvedor stub ligero: un pequeño software a nivel del sistema operativo, sin lógica propia, cuyo único trabajo es reenviar las preguntas DNS de tus aplicaciones al resolvedor recursivo configurado (el de tu ISP, el de tu router o una opción fijada a mano como 1.1.1.1) y devolver la respuesta. Por eso cambiar los «ajustes de DNS» de una laptop o un teléfono no cambia en absoluto cómo funciona el DNS: solo cambia a qué resolvedor recursivo reenvía tu resolvedor stub. Cada vez más, ese paso de reenvío se realiza por un canal cifrado (DNS sobre HTTPS o DNS sobre TLS), de modo que un observador de la red local ya no puede leer en texto plano qué dominios se consultan.

Esta distinción también explica por qué «mi proveedor de DNS» y «los servidores de nombres autoritativos de mi dominio» suelen ser lo mismo, mientras que «el servidor DNS que estoy usando» (como 1.1.1.1) es un resolvedor recursivo genérico completamente distinto, sin ningún conocimiento especial de tu dominio: es solo el mensajero.

Por qué esta distinción despeja tanta confusión

Una cantidad notable de diagnósticos de DNS se reduce a averiguar cuál de estas tres capas es realmente responsable de un comportamiento confuso, y la gente suele equivocarse porque a las tres se les llama coloquialmente «el servidor DNS». Un dominio que se resuelve bien cuando se consulta directamente a sus propios servidores de nombres autoritativos pero mal a través del resolvedor recursivo de un ISP concreto apunta directamente a la caché o la configuración de ese resolvedor, y no a algo que controle el propietario del dominio. Por el contrario, un dominio que se resuelve mal sin importar a qué resolvedor recursivo se pregunte apunta al lado autoritativo. Poder hacer esa separación con claridad, en cuestión de segundos, es casi todo lo que distingue una depuración de DNS eficiente de adivinar.