Conceptos / 19
DNS público, privado y sufijos locales
Distinguir servidores DNS, delegación, sufijos de búsqueda y preparación de clientes.
Decidir quién necesita resolver el nombre
Antes de crear una zona, decide quién consultará sus nombres: equipos de una LAN, usuarios conectados por VPN o clientes de Internet. Esa decisión determina cómo llegan las consultas al DNS que publica Sentinelia.
| Concepto | Para qué sirve |
|---|---|
| Servidor autoritativo | Responde con los registros de las zonas que administra |
| Resolutor | Consulta DNS en nombre del cliente y conserva respuestas en caché |
| DNS privado o interno | Da servicio a un entorno concreto, como una LAN o una VPN |
| DNS público | Participa en la resolución de nombres accesible desde Internet |
Un servicio de resolución pública y el NS autoritativo de tu dominio cumplen papeles distintos. Sentinelia administra zonas que BIND publica; los clientes necesitan un camino de resolución hasta esas zonas. Terminología DNS: RFC 9499.
Qué es un NS público
Un NS es un servidor de nombres. Para un dominio público, la delegación de la zona superior indica qué servidores son autoritativos. Crear registros NS únicamente dentro de tu propia zona no establece esa delegación.
Prepara la delegación en el administrador del dominio o de la zona superior y la accesibilidad de los servidores elegidos. Si corresponde, se necesitan también sus direcciones de apoyo —glue—. Delegación de zonas: RFC 1034.
La publicación de una zona en Sentinelia aplica la configuración a BIND. La delegación pública y la conectividad de red forman parte de la preparación de la instalación.
Qué hace privado a un DNS
Un DNS interno se ofrece a los clientes de la red o de la VPN prevista. El acceso de esos clientes y sus resolutores determina quién puede consultar las zonas.
El alcance de una zona en Sentinelia —portal, tenant, empresa o sitio— regula su administración. No convierte por sí solo sus respuestas DNS en privadas. Publicar en BIND tampoco elige entre exposición pública o privada: esa frontera se prepara en el servicio DNS y su red.
Para mantener zonas con distinta visibilidad, utiliza una arquitectura que las separe: por ejemplo, un servicio DNS interno y otro autoritativo público. El permiso de una cuenta del portal y el acceso de un cliente DNS son decisiones diferentes.
Qué es un sufijo de búsqueda
Un sufijo permite completar un nombre corto. Con oficina.empresa.example como sufijo, un cliente puede intentar resolver portal como portal.oficina.empresa.example, según su configuración de búsqueda.
El sufijo ayuda a construir la consulta; necesita que el resolutor del cliente conozca el camino hacia la zona interna. No crea un registro ni da de alta una autorización DDNS.
En DHCPv4, las opciones habituales son:
| Opción | Información entregada al cliente |
|---|---|
| 6 | Direcciones de sus servidores DNS |
| 15 | Dominio utilizado en la resolución de nombres |
| 119 | Lista de búsqueda de dominios, cuando el cliente la admite |
Configura esas opciones en tu servidor DHCP o en la gestión de red. Sentinelia administra los registros; la distribución del DNS y del sufijo a los clientes corresponde a DHCP, la VPN o la configuración del equipo. Opciones 6 y 15: RFC 2132, lista de búsqueda: RFC 3397.
DNS y servicio deben ser alcanzables
Los clientes DNS utilizan normalmente el puerto 53, tanto UDP como TCP. DHCP entrega direcciones de servidores, no un puerto alternativo para cada DNS. Si publicas el contenedor en un puerto de laboratorio como 1053, prepara un punto de entrada DNS adecuado para los clientes. Transporte DNS: RFC 1035.
Resolver un nombre no abre un puerto del servicio, no configura una VPN ni modifica el encaminamiento. El cliente necesita poder llegar a la dirección que recibe. Por eso una dirección obtenida por DDNS se elige pensando en los clientes que van a utilizarla.
Nombre del equipo y nombre del servicio
Puedes usar dos registros para expresar dos decisiones:
equipo-01.oficina.empresa.example: dirección del equipo, mantenida mediante DDNS.portal.oficina.empresa.example: nombre del servicio, que una acción publica según su estado.
Un CNAME permite que el nombre del servicio apunte al nombre del equipo. Así el cambio de dirección del equipo y la decisión de anunciar el servicio quedan representados por registros diferentes.
En Sentinelia prepara el primero como DDNS, concedido a Attacus, y el segundo como Acción, gobernado por el monitor correspondiente. El mismo registro no recibe simultáneamente esas dos categorías de control.
Publicación y caché
El TTL de una respuesta limita cuánto tiempo puede conservarse en caché. Un cliente puede seguir utilizando una dirección anterior hasta que renueve su información; cambiar BIND no modifica las respuestas que ya conservan los clientes. TTL: RFC 2181.
También existen respuestas negativas en caché: después de retirar un nombre o un conjunto de registros, su posterior activación puede no verse inmediatamente en todos los resolutores. Caché negativa: RFC 2308.
Una política DNS regula las respuestas futuras del servicio de nombres. Una conexión ya establecida con la aplicación conserva su propio ciclo de vida.
Nombres de los ejemplos
En las recetas se utiliza empresa.example como dominio ilustrativo. Sustitúyelo por un dominio que administres. Las direcciones 198.51.100.x son ejemplos de documentación, no direcciones que debas publicar para tu servicio. Dominios de ejemplo: RFC 2606, direcciones de ejemplo: RFC 5737.
Continúa con Ejemplos de uso: DNS y servicios compuestos para elegir una composición, o con Zonas, registros y DDNS para seguir los controles del portal.