Glosario de DNS
¿Qué es la delegación DNS?
La delegación DNS es un mecanismo del DNS que transfiere la responsabilidad de un subdominio desde una zona principal a un conjunto diferente de servidores de nombres autoritativos. Funciona mediante registros NS en la zona principal que apuntan a los servidores de la zona secundaria, de modo que los resolutores siguen las referencias a lo largo de la jerarquía del espacio de nombres.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.DNS delegation is a hierarchical mechanism that transfers authority for a subdomain from a parent zone to a separate set of authoritative name servers through NS records and optional glue records, enabling the DNS namespace to scale across organizations and reduce central management bottlenecks. Poorly managed delegation causes common DNS failures such as lame delegations, mismatched NS record sets, missing glue records, and broken DNSSEC chains, which can result in SERVFAIL errors, timeouts, and intermittent resolution failures that are difficult to diagnose. Regular audits of NS records, clear zone ownership, and consistent monitoring of delegation integrity are essential to prevent security risks, ensure reliable subdomain resolution, and maintain operational stability across distributed environments.
Cómo funciona la delegación del DNS
La delegación funciona colocando punteros en la zona principal que indican a los resolutores dónde se encuentran los servidores autoritativos de la zona secundaria. A continuación, la zona secundaria responde a todas las consultas sobre nombres que se encuentran por debajo del punto de delegación.
- Crear la zona secundaria: La parte delegada configura una zona para el subdominio, como sales.example.com, en sus propios servidores de nombres autoritativos y carga los registros de dicha zona.
- Añadir registros NS a la zona principal: El administrador de la zona principal añade registros NS en el punto de delegación que designan los servidores autoritativos de la zona secundaria.
- Añade registros «glue» si es necesario: si el nombre de host de un servidor de nombres se encuentra dentro del subdominio delegado, el dominio principal también publica registros de dirección para él, denominados «glue», de modo que los resolutores puedan acceder a él sin necesidad de una búsqueda circular.
- El resolutor sigue la remisión: cuando un resolutor consulta a los servidores de la zona principal en busca de un nombre del subdominio, estos devuelven una remisión que contiene los registros NS en lugar de una respuesta.
- Respuesta de los servidores secundarios: el resolutor consulta a uno de los servidores nombrados, que responde con autoridad para el subdominio.
La zona principal no contiene los datos de la zona secundaria más allá de los registros NS y «glue», por lo que la zona secundaria puede modificar sus registros libremente. Los registros NS de la zona secundaria deben coincidir con los de la zona principal; de lo contrario, la resolución puede volverse inconsistente. Si se utiliza DNSSEC, la zona principal también publica un registro DS para vincular la cadena de confianza con la zona secundaria.
Problemas habituales con la delegación de DNS
La zona principal enumera los registros NS de servidores que no responden de forma autoritativa para la zona secundaria, a menudo tras una migración de proveedor o la retirada de un servidor. Los resolutores observan SERVFAIL o tiempos de espera agotados en algunas consultas, y los fallos parecen intermitentes porque dependen del servidor de la lista que se elija.
Los registros NS de la zona principal difieren de los de la zona secundaria, normalmente porque se ha actualizado una de ellas y la otra no. Los distintos resolutores almacenan en caché conjuntos diferentes, por lo que el comportamiento varía y los cambios tardan en surtir efecto.
Un servidor de nombres dentro de la zona delegada no tiene ningún registro «glue» en la zona principal, o bien dicho registro contiene una dirección IP obsoleta. Los resolutores no pueden acceder a los servidores secundarios y todo el subdominio deja de resolverse tras una renumeración de servidores.
Los cortafuegos o las listas de control de acceso (ACL) bloquean el puerto 53 de UDP o TCP hacia los servidores delegados desde algunas redes. Es posible que los clientes internos puedan resolver el subdominio, mientras que los usuarios externos no, lo que a menudo se confunde con un retraso en la propagación.
La zona principal sigue conteniendo un registro DS para una clave que la zona secundaria ya no utiliza, por ejemplo, tras una renovación de clave o un cambio a otro proveedor. Los resolutores que realizan validación devuelven SERVFAIL para el subdominio, mientras que los que no realizan validación responden con normalidad.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…
Oferta de dispositivos LiveWire GEN3
BlueCat LiveWire es una plataforma de captura de paquetes y análisis forense de redes que ofrece una visibilidad profunda a nivel de paquetes en entornos…