Fundamentos de DNS, solución de problemas, seguridad y flujos de trabajo prácticos, escritos por el equipo que crea esta herramienta.
Un corte gradual es mejor que uno instantáneo
Azul
100 % del tráfico
División ponderada
95/5, luego 50/50
Verde
100 % del tráfico
Cambiar el tráfico entre dos entornos con un cambio de DNS parece sencillo sobre el papel; el TTL y la caché lo complican bastante en la práctica.
Una IP, un servidor, o una IP, muchos
Unicast
Una IP corresponde a un único servidor
Anycast
Una IP, anunciada desde muchas ubicaciones
La misma dirección IP, anunciada a la vez desde decenas de ubicaciones: así es como anycast mantiene rápidos y resilientes a los grandes proveedores de DNS.
Por qué una consulta muestra la CDN y no el origen
Visitante
consulta el dominio
Borde de la CDN
104.21.x.x
esto devuelve el DNS
Servidor de origen
IP real, nunca expuesta
La verdadera magia de una red de entrega de contenido ocurre en la capa DNS, antes de que se solicite un solo byte de contenido.
Cada rango IPv4 tiene un equivalente IPv6
Desde el punto de vista de la seguridad, IPv6 no es solo «IPv4 con más direcciones»: algunas de sus diferencias cambian de verdad el modelo de amenazas.
Ganar la carrera con una respuesta falsificada
Atacante
compite con la respuesta real
Respuesta falsificada
llega primero
Caché del resolvedor
envenenada para todos los que la comparten
Falsificar respuestas DNS para desviar el tráfico es uno de los trucos más antiguos de las redes, y la razón de que existan DNSSEC y las defensas modernas.
Espacio de direcciones público frente a privado
IP pública
192.0.2.10
única en el mundo, enrutable desde cualquier sitio
Rangos privados
no enrutables en internet público
10.0.0.0/8, 192.168.0.0/16 y sus vecinos existen precisamente para no ser únicos a nivel global: por qué eso importa para el DNS.
El SSRF convierte un servidor en un proxy involuntario
Atacante
fabrica una URL de solicitud
Servidor vulnerable
la obtiene, engañado por SSRF
169.254.169.254
el endpoint de metadatos
Credenciales
devueltas al atacante
Una única dirección IP de aspecto no enrutable da a las instancias en la nube acceso a credenciales y configuración, y es un objetivo habitual de SSRF.
La misma dirección, cuatro formas distintas de escribirla
El SSRF suele empezar con algo tan simple como un nombre de dominio que se engaña a tu servidor para que resuelva y solicite.
El mismo dominio, dos respuestas distintas
Primera solicitud
resuelve a una IP pública
Validación
se supera: parece segura
Vence el TTL
segundos después
Segunda solicitud
resuelve a 127.0.0.1
Un dominio que resuelve primero a una dirección segura y después a una interna: el DNS rebinding convierte el propio DNS en una superficie de ataque.
Cuatro capas, revisadas en orden
DNS
resuelve el nombre
Transporte
TCP conecta
TLS
el certificado es válido
Aplicación
HTTP responde
Ese error genérico del navegador abarca varios fallos sin relación entre sí; el DNS suele ser lo más rápido que conviene confirmar o descartar primero.
La «propagación» no es más que cachés que caducan
0 min
guardas el cambio
0-5 min
tu proveedor de DNS lo actualiza
hasta el TTL
la respuesta antigua sigue en caché
tras el TTL
todos ven la nueva
No se envía nada a ningún sitio: cada caché deja de reutilizar su copia
Actualizaste un registro, esperaste y sigue viéndose mal. Antes de dar algo por roto, repasa estos puntos en orden.
Cuánto suele tardar una consulta
Un sitio que carga despacio a veces es una consulta DNS lenta disfrazada. Así puedes distinguirlo y estas son las causas más habituales.