Glosario de DNS
¿Qué es el filtrado de DNS?
El filtrado de DNS es un control de seguridad que permite, bloquea o redirige las consultas de nombres de dominio en función de la política del administrador y la información sobre amenazas. Funciona en el resolutor, evaluando el nombre solicitado antes de devolver una respuesta, de modo que se impide que un dispositivo se conecte a un sitio prohibido antes de que se envíe ningún tráfico.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.DNS filtering is a security control that allows, blocks, or redirects domain name queries at the resolver based on administrator policy and threat intelligence before any connection is established. It provides centralized policy enforcement across all network devices—including unmanaged and IoT equipment—by evaluating domain names at the point of resolution, stopping phishing, malware, and command-and-control attacks early without requiring security agents on individual endpoints. However, DNS filtering has inherent limitations including bypass paths through direct IP connections or encrypted DNS, inability to inspect page content, and operational challenges such as false positives from stale blocklists and incomplete visibility when queries pass through intermediate forwarders.
Cómo funciona el filtrado de DNS
El filtradode DNS sitúa la decisión sobre la política en el momento en que un cliente solicita a un resolutor que traduzca un nombre de dominio a una dirección IP. El resolutor comprueba el nombre según sus reglas antes de responder.
- El cliente envía una consulta: un dispositivo solicita a su resolutor recursivo configurado la dirección de un nombre de dominio, por ejemplo, cuando un usuario abre una página web o se inicia una aplicación.
- El resolutor comprueba la política: el resolutor de filtrado compara el nombre consultado con listas de permitidos, listas de bloqueados, reglas de categorías y fuentes de inteligencia sobre amenazas. La política puede variar según el usuario, el grupo de dispositivos o el segmento de red.
- El resolutor aplica una acción: si el nombre está permitido, el resolutor lo resuelve con normalidad. Si está bloqueado, el resolutor devuelve un error como NXDOMAIN, una respuesta vacía o la dirección de una página de bloqueo o un «sinkhole».
- El cliente recibe el resultado: el dispositivo se conecta al destino real o se le impide hacerlo. Normalmente, el resolutor registra la consulta y la acción tomada para su revisión.
El filtrado solo cubre el tráfico que utiliza el resolutor con filtrado. Los clientes que se conectan directamente a una dirección IP, o que envían consultas a un resolutor externo, incluso a través de DNS cifrado, pueden eludirlo a menos que la red restrinja esas rutas. Además, el filtrado solo evalúa el nombre, no el contenido de la página.
Problemas habituales con el filtrado de DNS
Los dispositivos configurados con un resolutor público codificado de forma fija, o los navegadores que utilizan DNS sobre HTTPS, omiten por completo el resolutor de filtrado. Los sitios bloqueados se cargan entonces con normalidad para esos clientes, y los registros de consultas no muestran nada para ellos.
Las reglas de categoría amplia o las listas de bloqueo obsoletas pueden bloquear sitios legítimos, dominios de distribución de contenidos o servidores de actualización de software. Los usuarios informan de que las aplicaciones fallan o las páginas se cargan parcialmente, y la causa solo se descubre buscando el nombre bloqueado en los registros de consultas.
Cuando las consultas pasan a través de un reenviador intermedio o un dispositivo NAT, el resolutor de filtrado solo ve la dirección de ese dispositivo. No se pueden aplicar políticas por usuario o grupo, y los registros no pueden identificar el host de origen.
Los clientes y los resolutores posteriores conservan las respuestas hasta que expira el tiempo de vida del registro. Un bloqueo recién añadido puede tardar en surtir efecto para los nombres ya almacenados en caché, lo que puede parecer una aplicación inconsistente durante las pruebas.
El malware que se conecta a una dirección IP codificada de forma fija nunca realiza una consulta, por lo que el filtrado de DNS nunca lo detecta. Los equipos que dependen únicamente del resolutor pasan por alto este tráfico, a menos que los cortafuegos u otros controles también lo cubran.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…
Oferta de dispositivos LiveWire GEN3
BlueCat LiveWire es una plataforma de captura de paquetes y análisis forense de redes que ofrece una visibilidad profunda a nivel de paquetes en entornos…