NS, SOA y otros registros

Módulo 5: Otros registros · Tiempo de lectura: 7 minutos

Objetivo de la lección: Después de esta lección reconocerá los demás registros que puede encontrar en una zona, y sabrá que normalmente no debe tocarlos.

Conceptos clave: NS en la zona, SOA (número de serie, refresh, retry, expire, minimum), TLSA (DANE), HTTPS y SVCB, DS y DNSKEY

Registros que simplemente están ahí

Al abrir la pantalla de DNS de un dominio, además de A, CNAME, MX y TXT, a menudo verá algunos registros más que usted no ha creado. La mayoría están ahí por una buena razón, y debe dejarlos tal cual. En esta lección aprenderá a reconocerlos, para que no se asuste ni los elimine por accidente.

NS: los servidores de nombres en su propia zona

En la lección 2.1 vio que el registro de dominios (registry) registra qué servidores de nombres tiene su dominio. Esos mismos servidores de nombres también aparecen en su propia zona como registros NS:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Las dos listas deben coincidir. Si modifica los registros NS en su zona, no cambia nada en el registro de dominios: los servidores de nombres se cambian a través de su registrador (lección 2.3). Por tanto, deje tal cual los registros NS del dominio raíz (apex).

Un registro NS en un subdominio sí es algo que puede crear usted mismo. Con ello delega la gestión de ese subdominio a otra parte:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Todo lo que esté bajo lab.example.com se consultará entonces en ese otro servidor de nombres. Esto se llama una delegación, exactamente lo que hace un registro de dominios para todo su dominio.

SOA: la cabecera técnica

Cada zona tiene exactamente un registro SOA (Start of Authority), en el dominio raíz (apex). Muchos paneles ni siquiera lo muestran. Así es como se ve:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; número de serie
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

El número de serie resulta útil al buscar problemas. Si dos servidores de nombres del mismo dominio muestran un número de serie distinto, tienen una versión diferente de la zona. Puede que uno ya muestre su nuevo registro, mientras que el otro aún muestre el antiguo. Con una herramienta de consulta (lección 8.2) puede consultar el número de serie de cada servidor de nombres.

TLSA: DANE para el correo

Un registro TLSA (RFC 6698) contiene una huella digital del certificado de un servidor. Esto se llama DANE. Un servidor de correo que envía un mensaje puede entonces comprobar si realmente está hablando con su servidor de correo y no con un intruso. DANE solo funciona si su dominio tiene DNSSEC (lección 8.1). Verá registros TLSA bajo nombres como:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <código hexadecimal largo>

Esto significa: puerto 25, protocolo tcp, servidor mail.example.com. Un registro TLSA que ya no coincide con el certificado (por ejemplo, tras una renovación con una clave nueva) hace que el correo sea rechazado por remitentes estrictos. Créelo solo si su panel lo mantiene automáticamente.

HTTPS y SVCB: indicaciones para el navegador

El registro HTTPS y su hermano más general SVCB (RFC 9460) son recientes. Proporcionan al navegador información por adelantado, por ejemplo que el sitio admite HTTP/3 y en qué direcciones funciona. Esto hace que la primera conexión sea algo más rápida.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Atención: a pesar de su nombre, el registro HTTPS no tiene nada que ver con su certificado SSL. Sin un registro HTTPS, https funciona igualmente. Los grandes proveedores de DNS con su propia red suelen configurar este registro automáticamente. Rara vez es necesario crearlo usted mismo.

DS y DNSKEY: DNSSEC

Los registros DNSKEY contienen las claves públicas con las que está firmada su zona. El registro DS es una huella digital de esa clave y no está en su propia zona, sino en el registro de dominios. Juntos forman la cadena de confianza de DNSSEC. No los gestiona manualmente, sino mediante la función DNSSEC de su proveedor de DNS. La lección 8.1 explica cómo funciona y qué puede fallar al transferir un dominio.

Resumen

• Los registros NS en el dominio raíz (apex) se dejan tal cual; los servidores de nombres se cambian a través del registrador. Un registro NS en un subdominio delega su gestión a otra parte.
• El registro SOA es la cabecera de la zona, con un número de serie que sube con cada modificación. El campo minimum determina la caché negativa.
• TLSA (DANE) vincula un certificado a un servidor y solo funciona con DNSSEC.
• Los registros HTTPS y SVCB son indicaciones para el navegador y no tienen nada que ver con su certificado.
• DS y DNSKEY pertenecen a DNSSEC y se gestionan mediante la función DNSSEC.

Cuestionario

Ejercicio

Ejercicio Z5.3: SOA: administrador y caché negativa. Busque el registro SOA de wikipedia.org. Indique la dirección de correo electrónico del administrador (el segundo campo, con una @ en lugar del primer punto) y el valor del último campo (minimum, la caché negativa) en segundos.

En esta lección no hay ejercicio de configuración: estos registros rara vez los crea usted mismo.

Para saber más

Estos artículos describen los paneles de WebOké; en otros paneles funciona de forma similar.

• Manual de DirectAdmin 5.2: Abrir la Administración de DNS y leer los registros
• Manual de WebOké 5.8: DNSSEC y DANE
• Manual de WebOké 5.3: Modificar servidores de nombres