¿Qué es el DNS? Cómo funciona el Sistema de Nombres de Dominio

 

El DNS (Sistema de Nombres de Dominio) es el sistema que traduce los nombres de dominio legibles para las personas, como example.com, en las direcciones IP numéricas que utilizan los ordenadores para identificarse y localizarse entre sí. Cada visita a una página web, cada consulta a una base de datos y cada envío de correo electrónico en Internet comienza con una consulta al DNS para resolver estos nombres.

¿Qué significa DNS?

DNS son las siglas de Sistema de Nombres de Dominio. A menudo se le denomina «sistema» porque no se trata de un único directorio centralizado de Internet, sino más bien de una base de datos jerárquica y altamente distribuida gestionada por millones de servidores en todo el mundo. En ocasiones, también se le conoce como «Servicio de Nombres de Dominio», lo que describe la función de resolución que realiza para las aplicaciones de los usuarios finales.

Explicación del Sistema de Nombres de Dominio

En esencia, el Sistema de Nombres de Dominio funciona como la guía telefónica de Internet. Las personas utilizamos nombres fáciles de recordar, como powerdmarc.com, para navegar por la web, mientras que los ordenadores y los enrutadores de red necesitan direcciones IP legibles por máquinas, como 192.0.2.1, para enrutar los datos.

Para salvar esta brecha, el DNS traduce, de forma invisible, el nombre comprensible para las personas a la dirección correcta comprensible para las máquinas. Este complejo directorio global lo mantienen y gestionan varias entidades que colaboran entre sí:

• Registradores: Organizaciones autorizadas para vender y asignar nombres de dominio.
• Proveedores de alojamiento DNS: Empresas que gestionan los servidores de nombres autoritativos que albergan los archivos maestros de directorio de un dominio.
• Resolventes: Servidores gestionados por tu proveedor de servicios de Internet (ISP) o por proveedores públicos como Google (8.8.8.8) y Cloudflare (1.1.1.1) que procesan y resuelven consultas DNS en nombre de los usuarios.

Estructura del DNS 

El espacio de nombres del DNS está organizado en una estructura de árbol estricta y invertida. Comienza en la parte más alta (la zona raíz, representada por un punto) y se ramifica hacia abajo a través de distintas capas estructurales:

• El dominio raíz (.): La raíz invisible del árbol, que representa el nivel más alto de la jerarquía del DNS.
• Dominios de primer nivel (TLD): La extensión que aparece al final del nombre de dominio, como .com, .org o .net, y que clasifica el tipo de dominio o el país de origen.
• Dominios de segundo nivel: El nombre único elegido por una organización o una persona, como «example» en «example.com».
• Subdominios: Prefijos opcionales que se utilizan para clasificar distintos servicios bajo el dominio principal, como «mail» en «mail.example.com».

¿Cómo funciona el DNS?

Cuando accedes a un recurso en la web, tu ordenador debe localizar la dirección IP de destino. Este proceso de resolución se lleva a cabo en milisegundos mediante una serie de búsquedas estructuradas:

1. Solicitud del usuario: Escribes example.com en tu navegador web.
2. Comprobación de la caché local: Tu navegador y tu sistema operativo comprueban primero sus cachés locales para ver si la dirección IP de example.com se ha resuelto y almacenado recientemente.
3. Consulta al resolutor recursivo: Si no existe ninguna entrada almacenada en la caché local, el ordenador envía una consulta a un servidor DNS, conocido como resolutor recursivo, que suele estar gestionado por tu proveedor de servicios de Internet, Google o Cloudflare.
4. Búsqueda en el servidor raíz: El resolutor recursivo consulta uno de los servidores raíz globales del DNS (.). El servidor raíz no conoce la dirección IP, pero lee el dominio de nivel superior (TLD) y dirige al resolutor al servidor de nombres del TLD .com.
5. Búsqueda de servidores de TLD: El resolutor consulta el servidor de nombres del TLD .com. Este servidor localiza la entrada del registro correspondiente a example.com y dirige al resolutor al servidor de nombres autoritativo específico del dominio.
6. Búsqueda en el servidor de nombres autoritativo: El resolutor consulta el servidor de nombres autoritativo, que contiene, por ejemplo, el archivo de zona maestro de example.com. Este servidor devuelve el registro de recurso solicitado que contiene la dirección IP (por ejemplo, el registro A).
7. Almacenamiento en caché y respuesta: El resolutor recursivo guarda esta dirección IP en su caché local durante un tiempo determinado (conocido como «Time to Live» o TTL) y devuelve la dirección IP a tu ordenador.
8. Conexión establecida: Tu navegador establece una conexión directa con la dirección IP devuelta para cargar la página web.

Nota: Aunque el tráfico web depende en gran medida de los registros A, el envío de correo electrónico funciona de manera similar, salvo que el resolutor realiza una consulta específica para un registro MX para localizar los servidores de correo designados del dominio.

Para profundizar en los mecanismos específicos de estas consultas, consulta nuestra guía sobre consultas recursivas, iterativas y no recursivas.

¿Qué es un registro DNS?

Un registro DNS es una entrada de base de datos almacenada en el archivo de zona de un servidor de nombres autoritativo. Contiene las instrucciones que indican al DNS cómo enrutar el tráfico, entregar los correos electrónicos y verificar la titularidad de tu dominio.

Cada registro se estructura siguiendo un formato preciso y normalizado:

example.com. 3600 IN A 192.0.2.1

• Nombre (ejemplo.com.): El nombre de host o de dominio al que pertenece el registro.
• TTL (3600): El tiempo de vida (Time to Live) en segundos, que determina durante cuánto tiempo los resolutores pueden almacenar el registro en caché antes de obtener una copia nueva.
• Clase (IN): La clase de red, que casi siempre es IN (Internet).
• Tipo (A): El tipo de protocolo del registro, que define cómo debe interpretarse el valor.
• Valor (192.0.2.1): La dirección IP real, el nombre de host o la cadena de texto asignada al registro.

Los cinco tipos de registros DNS más comunes tipos de registros DNS que gestionan los propietarios de dominios son:

• Un récord: Asigna directamente un nombre de host a una dirección IPv4.
• Registro CNAME: Crea un alias que redirige un nombre de dominio a otro.
• Registro MX: Apunta a los servidores de correo encargados de recibir los correos electrónicos entrantes del dominio.
• Registro TXT: Contiene datos administrativos en formato de texto y se utiliza ampliamente en protocolos de autenticación de correo electrónico como SPF, DKIM y DMARC.
• Registro NS: Especifica los servidores de nombres autoritativos responsables de alojar los registros del dominio.

Consulta todos los cambios realizados en tus registros DNS

Realiza un seguimiento de los cambios en el historial y en los servidores de nombres a través de un flujo de eventos en tiempo real, detecta los CNAME sin asignar y los fallos de DNSSEC, y obtén una puntuación de seguridad de la A a la F.

Seguridad del DNS: por qué el DNS es un objetivo

Dado que el Sistema de Nombres de Dominio se desarrolló originalmente sin cifrado integrado ni autenticación del remitente, sigue siendo muy vulnerable al uso indebido. Los atacantes suelen aprovechar estos puntos débiles de su arquitectura para secuestrar el tráfico, redirigir a los usuarios a sitios web fraudulentos o suplantar la identidad de organizaciones legítimas.

• Suplantación de DNS / Envenenamiento de caché: Un atacante inyecta datos de enrutamiento fraudulentos en la caché de un resolutor recursivo, lo que obliga al servidor a redirigir a usuarios desprevenidos a sitios réplica maliciosos.
• Secuestro de DNS: Los atacantes comprometen cuentas de registradores de dominios o configuraciones de servidores de nombres para modificar por completo los registros autoritativos, redirigiendo así todo el tráfico web y de correo electrónico entrante.
• Amplificación de DNS: Un ataque de denegación de servicio distribuido (DDoS) en el que los resolutores recursivos abiertos se inundan con consultas falsificadas, lo que satura la red objetivo con un volumen masivo de tráfico.
• Registros pendientes y apropiaciones de subdominios: Cuando un dominio sigue apuntando a un proveedor de servicios externo (a través de un registro CNAME, A o MX) que ha dejado de estar operativo, un atacante puede registrar esa cuenta externa y hacerse con el control de tu subdominio.
• Suplantación de identidad en el correo electrónico: Cuando los propietarios de dominios no publican registros válidos de autenticación de correo electrónico (SPF, DKIM y DMARC) en su DNS, los atacantes pueden enviar correos electrónicos suplantados que parecen proceder de ese dominio.

Para mitigar estas amenazas, las organizaciones deberían implementar DNSSEC (Extensiones de seguridad del Sistema de Nombres de Dominio), que añade firmas criptográficas a los registros del DNS para verificar su integridad. Consulta nuestra guía completa sobre tipos de ataques al DNSy evalúa tu sistema frente a las vulnerabilidades del DNSe implemente las mejores prácticas de seguridad del DNS para proteger la infraestructura de su dominio.

El papel del DNS en el rendimiento de los sitios web

La configuración de tu DNS influye directamente en la velocidad de carga de tus activos digitales. Antes de que un navegador pueda descargar un solo elemento de un servidor web, debe esperar a que finalice la consulta de DNS, por lo que unos servidores de nombres lentos provocan un retraso en cada visita. Una prueba rápida de velocidad de DNS muestra la rapidez con la que responden tus servidores de nombres.

Para minimizar esta latencia, los sistemas utilizan un almacenamiento en caché intensivo. Los resolutores almacenan los registros DNS localmente durante el tiempo especificado por el TTL (Time to Live) del registro, lo que elimina la necesidad de consultar los servidores raíz y de dominio de nivel superior (TLD) cada vez que se carga una página.

Además, los proveedores de DNS modernos utilizan redes de enrutamiento «anycast», que distribuyen copias de tus archivos de zona a través de una red global de servidores. El enrutamiento «anycast» dirige las consultas de los usuarios al servidor de nombres disponible más cercano geográficamente, lo que reduce los tiempos de búsqueda. Si actualizas tus registros DNS, esos cambios no se aplican a nivel global de forma simultánea; puedes utilizar un herramienta de comprobación de la propagación del DNS para comprobar la rapidez con la que se actualizan tus cambios en los servidores de todo el mundo.

¿Qué es un proveedor de DNS?

Un proveedor de DNS es el servicio que aloja y mantiene los servidores de nombres autoritativos de tu dominio. Mientras que un registrador de dominios es la empresa en la que compras y registras un nombre de dominio, un proveedor de alojamiento DNS es donde gestionas el archivo de zona de registros DNS propiamente dicho. 

A menudo, los registradores incluyen el alojamiento DNS básico con la compra, pero las grandes empresas suelen trasladar sus registros a proveedores de alojamiento premium externos (como Cloudflare, AWS Route 53 o NS1) para obtener un rendimiento más rápido y protección contra ataques DDoS. Esto es distinto de un resolutor público (como el 8.8.8.8 de Google), que no es más que un servidor utilizado para recuperar y almacenar en caché registros externos en tu nombre.

Otros términos relacionados con el DNS que encontrarás

DNS privado

Un DNS privado funciona dentro de una red corporativa aislada o detrás de una red privada virtual (VPN). A diferencia del DNS público, que resuelve registros para todo Internet, los servidores DNS privados solo resuelven registros para recursos internos de la empresa (como una intranet interna o servidores de desarrollo) y son totalmente inaccesibles desde la web pública externa.

DNS dinámico

El DNS dinámico (DDNS) actualiza automáticamente un registro DNS en tiempo real cuando cambia la dirección IP subyacente. Esto resulta muy útil para oficinas en casa, cámaras remotas o pequeñas empresas que utilizan conexiones a Internet residenciales, en las que el proveedor de servicios de Internet asigna una dirección IP dinámica y cambiante en lugar de una permanente y estática.

Tráfico DNS

El tráfico DNS hace referencia al intercambio de paquetes entrantes y salientes que tiene lugar a través del puerto 53 de UDP o TCP. La supervisión del tráfico DNS es fundamental para los equipos de seguridad; los picos inesperados o los patrones de búsqueda inusuales pueden indicar intentos activos de exfiltración de datos, ataques de túnel o malware que se comunica con servidores de comando y control.

Configuración del DNS

Los ajustes de DNS son los campos de configuración del router, el sistema operativo o el dispositivo móvil que especifican a qué servidores de resolución recursivos debe enviar su dispositivo sus consultas. Por defecto, el dispositivo utiliza automáticamente los servidores de resolución asignados por tu proveedor de acceso a Internet. Sin embargo, cambiar estos ajustes para utilizar servidores de resolución públicos de confianza (como Cloudflare o Google) puede mejorar la velocidad de navegación, eludir los bloqueos de red y añadir protecciones de filtrado web.

Preguntas frecuentes

¿El DNS es lo mismo que una dirección IP?

No. Una dirección IP es una dirección numérica única que identifica un equipo físico en una red. El DNS es el sistema de traducción que asocia los nombres de dominio, fáciles de recordar, con esas direcciones IP numéricas, de modo que las personas no tengan que memorizar largas secuencias de números.

¿Cuál es la diferencia entre el DNS y un servidor DNS?

El DNS es el conjunto global de protocolos, infraestructura y normas de bases de datos que se utiliza para organizar los nombres de dominio. Un servidor DNS es la máquina física o virtual que ejecuta un software diseñado para procesar consultas DNS, almacenar archivos de zona o resolver nombres.

¿Qué son 8.8.8.8 y 1.1.1.1?

Se trata de resolutores DNS recursivos públicos de alta seguridad. Google gestiona 8.8.8.8 y Cloudflare gestiona 1.1.1.1. Millones de usuarios configuran manualmente sus dispositivos para utilizar estos resolutores públicos y gratuitos con el fin de conseguir velocidades de búsqueda más rápidas y una mayor privacidad que las que ofrecen sus proveedores de acceso a Internet locales.

¿Debería activar o desactivar el DNS?

El DNS es un servicio fundamental de Internet; no se puede desactivar. Si se desactivara el DNS, tus navegadores web y clientes de correo electrónico no podrían traducir los nombres de los servidores, lo que te obligaría a escribir manualmente direcciones IP numéricas sin formato en la barra de direcciones para acceder a cualquier servicio.

¿Cómo puedo consultar los registros DNS de mi dominio?

Puedes consultar y verificar los registros actuales de tu dominio introduciendo tu dirección en un herramienta de búsqueda de registros DNS . Esta herramienta actúa como un resolutor externo, consultando tus servidores de nombres autoritativos para mostrar los valores de tus registros públicos tal y como los ven los servidores receptores.

Palabras finales

El Sistema de Nombres de Dominio (DNS) es la herramienta invisible que garantiza el acceso a la web moderna, ya que traduce cada segundo millones de complejas direcciones IP de servidores en nombres de marca reconocibles. Dado que tu archivo de zona DNS determina exactamente por dónde circula el tráfico de tu web, correo electrónico y API, proteger este directorio es tan importante como alojar los propios recursos. Al combinar un enrutamiento anycast rápido, una gestión adecuada del TTL y protocolos de seguridad robustos como DNSSEC y DMARC, las organizaciones pueden proteger su infraestructura digital sin renunciar a un rendimiento óptimo.