Glosario de DNS
¿Qué es el DNS de horizonte dividido?
El DNS de horizonte dividido (sistema de nombres de dominio de horizonte dividido) es un método de implementación del DNS que devuelve respuestas diferentes para un mismo nombre en función del origen de la consulta. Normalmente proporciona direcciones privadas a los clientes internos y direcciones públicas a los clientes externos, utilizando vistas o servidores independientes.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.El DNS de horizonte dividido es un método de implementación que devuelve respuestas DNS diferentes para un mismo nombre de dominio en función del origen de la consulta; por lo general, proporciona direcciones privadas a los clientes internos y direcciones públicas a los clientes externos. Las organizaciones utilizan esta técnica para permitir que empleados y clientes accedan a servicios con el mismo nombre, al tiempo que mantienen la infraestructura interna oculta al reconocimiento público y evitan el enrutamiento ineficiente del tráfico interno hacia Internet y de vuelta. El principal riesgo operativo radica en que las vistas se desincronicen cuando las zonas internas y externas se mantienen por separado, lo que requiere automatización y control de cambios para evitar que los usuarios reciban direcciones incorrectas o sufran fallos en el servicio.
Cómo funciona el DNS de horizonte dividido
Una implementación de «split-horizon» mantiene dos conjuntos de respuestas para un mismo dominio y elige entre ellos cuando llega una consulta. Se puede implementar con servidores independientes o con un único servidor que admita vistas.
- Definir las vistas: El administrador crea una versión interna y una versión externa de la zona. La versión interna contiene direcciones privadas y hosts de uso exclusivamente interno, mientras que la versión externa solo contiene registros públicos.
- Comparación con el cliente: cuando llega una consulta, el servidor examina su origen —normalmente, la dirección IP del cliente— y lo compara con las reglas de acceso de cada vista. Algunos servidores también pueden realizar la comparación con la dirección de destino o con una clave de firma.
- Respuesta desde la vista correspondiente: el servidor responde utilizando únicamente los registros de la vista seleccionada. Un cliente interno que solicite un nombre de servicio podría recibir una dirección privada, mientras que un cliente externo que solicite el mismo nombre recibiría una dirección pública.
- Resolver consultas sin coincidencia: las consultas que no coinciden con ninguna regla interna se clasifican en la vista externa o en una vista predeterminada, de modo que las fuentes desconocidas nunca ven los datos internos.
Los servidores separados logran el mismo resultado colocando los resolutores internos en la red privada y los servidores de autoridad públicos en Internet. Los datos de las zonas internas y externas deben mantenerse sincronizados de forma manual o mediante automatización, ya que los pasos anteriores no lo hacen.
Problemas habituales del DNS de horizonte dividido
Se añadeun registro a la zona externa, pero no a la interna, o al revés. Los usuarios internos reciben entonces un error NXDOMAIN o direcciones obsoletas para nombres que funcionan desde casa o desde Internet.
Las reglas de acceso basadas en la dirección del cliente pueden hacer que los clientes de VPN, las redes Wi-Fi para invitados o las cargas de trabajo en la nube se muestren en la vista incorrecta. Los usuarios ven direcciones privadas a las que no pueden acceder, o direcciones públicas que salen y vuelven a entrar.
Los dispositivos configurados con un resolutor público, o los navegadores que utilizan DNS cifrado a través de un tercero, omiten los servidores internos. Los nombres internos no se resuelven o devuelven la dirección pública.
Los puntos finales internos y externos que se encuentran detrás de un mismo nombre pueden presentar certificados diferentes. Los clientes ven errores de confianza cuando la dirección interna presenta un certificado que no cubre el nombre compartido.
Un resolutor o reenviador con caché compartida situado delante de ambas vistas puede almacenar una respuesta de una vista y servirla a la otra audiencia. Los síntomas son direcciones erróneas intermitentes que desaparecen cuando caduca la caché.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…
Oferta de dispositivos LiveWire GEN3
BlueCat LiveWire es una plataforma de captura de paquetes y análisis forense de redes que ofrece una visibilidad profunda a nivel de paquetes en entornos…