Cómo diagnosticar una resolución DNS lenta

Se supone que la resolución DNS es lo bastante rápida como para pasar desapercibida: normalmente de uno a unas pocas decenas de milisegundos para una respuesta en caché, y rara vez más de unos cientos de milisegundos incluso en una consulta completa sin caché. Cuando es claramente más lenta que eso, suele deberse a una de un pequeño número de causas concretas y no a una lentitud general y misteriosa.

Los sospechosos habituales

• Un resolvedor mal configurado o sobrecargado: que el resolvedor predeterminado de tu ISP tenga un mal día es más común de lo que la gente supone, y cambiar a una alternativa pública como 1.1.1.1 u 8.8.8.8 es un paso de diagnóstico legítimo, no solo una solución provisional.
• Una cadena de CNAME larga: cada salto que el resolvedor tiene que seguir antes de llegar a un registro A/AAAA real añade latencia, y una cadena de cuatro o cinco saltos se acumula.
• Un TTL muy corto que fuerza consultas completas frecuentes en lugar de respuestas rápidas desde la caché: útil para una propagación rápida, pero costoso para la velocidad media si se fija mucho más corto de lo realmente necesario.
• Problemas en la ruta de red entre tu resolvedor y los servidores autoritativos que no tienen nada que ver con el software DNS: pérdida de paquetes, problemas de enrutamiento o distancia geográfica a un servidor de nombres sin presencia anycast cercana.

Aislar el DNS de todo lo demás

La forma más fiable de saber si el DNS es realmente tu cuello de botella es medir la consulta por sí sola, por separado de la carga completa de la página. Una consulta dedicada, medida de forma independiente del establecimiento de la conexión, la negociación de TLS y la descarga de una respuesta, te dice exactamente cuánto de tu latencia total, si es que algo, es responsabilidad del DNS. Si una consulta vuelve de forma constante en unos pocos milisegundos pero el sitio sigue cargando con lentitud, el cuello de botella está por completo después del DNS, y seguir ajustando el DNS no cambiará nada.

Conviene comprobarlo antes de dar nada por sentado: muchas quejas de «sitio lento» no tienen nada que ver con el servidor ni con el código del sitio, y muchas otras que parecen una ralentización general son, en realidad, específicas del DNS y se pueden solucionar con un cambio de TTL o de resolvedor.

Por qué los resolvedores anycast suelen ser la opción rápida

Los resolvedores públicos como 1.1.1.1 y 8.8.8.8 suelen superar al resolvedor predeterminado de un ISP no por tener un software más ingenioso, sino por el anycast: la misma dirección IP se anuncia desde decenas de ubicaciones físicas de todo el mundo, y el enrutamiento de red envía automáticamente tu consulta a la más cercana topológicamente. El resolvedor propio de un ISP, en cambio, suele ser un único centro de datos (o un puñado reducido), lo que puede suponer un viaje de ida y vuelta realmente más largo según dónde te encuentres respecto a él. Por eso cambiar de resolvedor es un primer paso de diagnóstico legítimo y no una superstición: aborda una diferencia real, física, de distancia y de enrutamiento, no un simple efecto placebo.

Cuando es lento para todos, no solo para ti

Si un dominio se resuelve despacio desde varias redes y resolvedores distintos, y no solo desde uno, es probable que el problema haya pasado de «tu ruta hasta un resolvedor» a «la propia infraestructura autoritativa del dominio». Un único servidor de nombres autoritativo sin anycast situado a gran distancia de red de buena parte de sus visitantes reales, un servidor autoritativo sometido a mucha carga o una zona DNS grande y lenta de transferir pueden manifestarse así. Este es un caso en el que una comparación masiva con varios resolvedores es más reveladora que una sola consulta: una lentitud constante en todos los puntos de observación apunta aguas arriba, al propio proveedor de DNS del dominio, y no a una red intermedia concreta.