Por qué un dominio se resuelve distinto en cada red

Es una fuente habitual de confusión: consultas un dominio desde la red de tu oficina y obtienes una dirección IP, y luego compruebas el mismo dominio con la conexión móvil de tu teléfono y obtienes una completamente distinta. Ambas pueden ser totalmente correctas a la vez.

Enrutamiento geográfico y basado en carga

Los sitios grandes y las CDN suelen responder a las consultas DNS de forma distinta según el lugar del que parece proceder la consulta, para dirigir a cada visitante al servidor más cercano o menos cargado. Un resolvedor de una región es dirigido a un servidor de borde cercano; un resolvedor de otra región, o incluso de otro ISP con interconexiones de red distintas, es dirigido a otro. Ninguna es «errónea»: ambas son respuestas válidas optimizadas para un punto de observación diferente.

La caché añade una segunda capa de variación

Además del enrutamiento geográfico, cada resolvedor guarda las respuestas en caché de forma independiente durante el TTL del registro. Es posible que el resolvedor de tu ISP doméstico haya guardado una respuesta hace tres minutos, mientras que el resolvedor del operador de tu teléfono esté preguntando de nuevo ahora mismo. Hasta que ambas cachés caduquen y se actualicen de forma natural, el mismo dominio puede mostrar legítimamente dos respuestas distintas (y ambas válidas en este momento).

• Esto es normal y esperable en cualquier dominio detrás de una CDN o de un servicio con balanceo de carga global.
• Solo se convierte en un problema real cuando una de las respuestas es realmente inalcanzable o está rota, no simplemente cuando es distinta.
• Si necesitas una única respuesta comparable con fines de auditoría, consulta siempre desde un punto de observación coherente (la misma herramienta, la misma red) en lugar de comparar consultas hechas desde ubicaciones distintas.

Cuando intentas confirmar específicamente a qué se resuelve un dominio en general (para una comprobación de seguridad, la verificación de una migración o una monitorización general), resolver directamente contra un resolvedor público fijo y bien conocido (en lugar de lo que esté configurado en el dispositivo que tengas a mano) te da una referencia coherente y comparable en vez de perseguir la variación de cada red.

Una tercera causa, deliberada: el DNS de horizonte dividido

El enrutamiento geográfico y la caché son ambos accidentales: nadie se propuso que la respuesta fuera distinta, es solo un efecto secundario de la escala. El DNS de horizonte dividido (o «de vista dividida») es diferente: una organización configura sus servidores de nombres para devolver una respuesta a las consultas que llegan desde dentro de su propia red corporativa y otra distinta a todos los demás, a propósito. Un nombre de host de intranet solo interno puede resolverse a una dirección privada en el wifi de la oficina y a nada en absoluto (o a una página de destino pública) desde fuera. Si un dominio se resuelve bien en una laptop de trabajo conectada a la VPN de la oficina pero no desde casa, el DNS de horizonte dividido (y no un error) es una explicación realmente común, sobre todo en las organizaciones grandes.

Distinguir las tres rápidamente

En la práctica, la forma más rápida de distinguirlas es comprobar si la diferencia se correlaciona con la identidad de la red o con el tiempo. Si dos consultas desde dos redes distintas discrepan ahora mismo, y volver a comprobar cada una desde la misma red un minuto después da de nuevo el mismo resultado, se trata de enrutamiento geográfico o de horizonte dividido: algo ligado al lugar de origen de la consulta. Si la respuesta de una sola red cambia por sí sola entre dos consultas separadas por unos minutos sin que nada más sea distinto, se trata de la caché poniéndose al día con un cambio real y reciente. La distinción importa porque solo una de las tres situaciones, una respuesta inesperada e inalcanzable, merece alguna vez tratarse como un incidente.