Qué es un servidor DNS: resolvedor y servidor de nombres

Un servidor DNS es un software que responde preguntas sobre nombres en el Sistema de Nombres de Dominio, pero la expresión abarca varios papeles. Un resolvedor recursivo acepta una consulta de un dispositivo y busca una respuesta, a menudo usando datos en caché o preguntando a otros servidores. Un servidor de nombres autoritativo publica los registros de una zona DNS concreta y proporciona los datos de origen de los nombres de esa zona. Estos sistemas cooperan, pero no son intercambiables. Saber a cuál estás consultando ayuda a explicar por qué un servidor DNS puede devolver datos en caché mientras otro muestra lo último que ha configurado el propietario del dominio.

El resolvedor recursivo es el ayudante del cliente

La mayoría de las laptops y los teléfonos están configurados para preguntar a un resolvedor recursivo operado por un proveedor de internet, un lugar de trabajo, un router o un servicio de DNS público. Cuando recibe una pregunta por un nombre que aún no tiene en caché, el resolvedor sigue la cadena de delegación DNS y consulta, según haga falta, los servidores raíz, los de dominio de nivel superior y los autoritativos. Devuelve la respuesta final al cliente y la almacena temporalmente según las reglas del TTL. Esta caché reduce el trabajo repetido y hace más rápida la navegación habitual. También significa que la visión del resolvedor puede ir por detrás de un cambio autoritativo reciente hasta que caduca la información en caché correspondiente.

Un servidor de nombres autoritativo responde a partir de los datos de zona que sirve. Los propietarios de dominios suelen configurar los servidores autoritativos a través de un proveedor de DNS, mientras que los ajustes del registrador determinan qué servidores de nombres están delegados para el dominio. Un resolvedor recursivo solo puede llegar a la autoridad prevista si la cadena de delegación es correcta. Si actualizas registros en el panel de un proveedor que en realidad no es autoritativo para el dominio, es posible que los usuarios públicos nunca vean esos cambios. Por eso comprobar los registros NS es un buen primer paso cuando una actualización de DNS parece no tener efecto: confirma qué proveedor es el responsable de responder públicamente.

Por qué dos servidores DNS pueden dar respuestas distintas

Las respuestas distintas pueden deberse al momento de la caché, al DNS de horizonte dividido, al enrutamiento geográfico, al balanceo de carga, a una replicación de zona obsoleta o a una delegación incorrecta. Las redes corporativas a veces devuelven a propósito direcciones internas a los empleados mientras que la vista pública devuelve endpoints públicos. Los resolvedores recursivos públicos también pueden estar en ubicaciones distintas y recibir respuestas sensibles a la región. Una discrepancia es un motivo para comparar la ruta de la consulta, no una prueba inmediata de que un servidor sea malicioso o esté roto. Comprueba el código de respuesta, el nombre consultado, el tipo de registro, el TTL y la dirección del resolvedor antes de sacar una conclusión.

• Usa un resolvedor recursivo cuando quieras saber qué es probable que reciba un cliente normal.
• Consulta los servidores autoritativos cuando verifiques los datos de zona que se están publicando ahora.
• Comprueba la delegación y los registros NS si los cambios hechos en un panel de control no se ven.
• Compara los TTL y las marcas de tiempo antes de dar por hecho que una respuesta antigua en caché es permanente.
• Mantén privados los nombres DNS internos; no envíes nombres de host confidenciales a verificadores públicos.

Una forma práctica de acotar un problema

Al diagnosticar, empieza con una consulta recursiva normal desde la red afectada y anota la respuesta. Después compárala con un resolvedor público de confianza y, si hace falta, con los servidores de nombres autoritativos del dominio. Si la autoridad es correcta pero una respuesta recursiva es antigua, la caché es una explicación plausible. Si la propia autoridad está equivocada, revisa la zona y la cuenta del proveedor. Si distintos servidores autoritativos no coinciden, puede que el proveedor no haya sincronizado la zona o que la delegación apunte a servidores inesperados. Esta comparación por capas suele aislar el fallo sin cambiar registros una y otra vez ni vaciar todas las cachés.

Para una explicación básica de cómo un dominio se convierte en una dirección, consulta cómo funciona el DNS. Si quieres inspeccionar direcciones públicas, la herramienta de consulta de dominios consulta el DNS público. Eso es distinto de una auditoría autoritativa completa, y ninguna de las dos operaciones comprueba si un servidor acepta tráfico de aplicación. Entender la distinción entre resolvedor y autoridad hace que las respuestas DNS sean más fáciles de interpretar y te ayuda a elegir el siguiente paso de diagnóstico basándote en evidencias y no en suposiciones.

Elegir un resolvedor para una tarea concreta

Para la navegación habitual, el resolvedor configurado por una red suele ofrecer el filtrado, los nombres internos y el comportamiento de soporte previstos. Para una comprobación pública independiente, un resolvedor recursivo público bien documentado puede ofrecer una comparación útil, pero su respuesta puede diferir por la caché, la política o la ubicación. Al confirmar tu propia zona, consulta sus servidores autoritativos en lugar de cambiar los ajustes del dispositivo de un usuario. Los equipos empresariales deberían documentar la ruta de resolvedor aprobada y las reglas de reenvío condicional, ya que un servicio público no conocerá los datos de zonas privadas. Mantén estos objetivos separados: el resolvedor que mejor representa la experiencia de un usuario final puede no ser la mejor herramienta para verificar una publicación autoritativa reciente. Anotar el resolvedor con cada resultado ayuda a explicar más tarde por qué otro miembro del equipo vio respuestas distintas desde una red diferente.