Glosario de DNS
¿Qué es RPZ (Response Policy Zone)?
La zona de políticas de respuesta (RPZ) es un mecanismo de seguridad del DNS que permite a un resolutor recursivo aplicar políticas a las respuestas que devuelve. Almacena las reglas como registros en una zona DNS ordinaria, de modo que los administradores pueden bloquear, redirigir o permitir consultas para nombres y direcciones seleccionados, y distribuir las reglas mediante transferencia de zona.
Puntos claveLos puntos clave se generan con la ayuda de la inteligencia artificial. Dado que los resúmenes automáticos pueden contener en ocasiones errores u omitir contexto importante, consulta siempre la entrada completa del blog para obtener toda la información.Response Policy Zone (RPZ) is a DNS security mechanism that enables recursive resolvers to apply policy rules to DNS answers by storing rules as records in a standard DNS zone, allowing administrators to block, redirect, or allow queries for chosen domains and distribute updates through zone transfers. Organizations use RPZ to enforce domain-based policy across thousands of devices by leveraging threat intelligence feeds combined with custom allow and block lists, achieving early interruption of connections to known malicious domains while logging matches to identify infected hosts. However, RPZ requires careful management to avoid overbroad rules that block legitimate services, stale zone transfers that leave protection outdated, and resolver bypasses through alternative DNS sources, making it most effective as one layer alongside network and endpoint controls rather than as a standalone security solution.
Cómo funciona el RPZ
Una RPZ es una zona DNS normal cuyos registros describen una política en lugar de datos habituales. Un resolutor configurado para utilizar la zona comprueba sus reglas mientras genera cada respuesta.
- Publicar la zona de políticas: un administrador o un proveedor de feeds crea una zona cuyos nombres de propietarios y datos de registros codifican reglas, como un nombre de dominio desencadenante y la acción que se debe llevar a cabo.
- Distribuir a los resolutores: los resolutores cargan la zona como secundaria mediante una transferencia de zona estándar, por lo que las actualizaciones de las reglas les llegan sin necesidad de reiniciar ni de realizar modificaciones manuales.
- Coincidencia de la consulta: cuando un cliente solicita un nombre, el resolutor compara el nombre de la consulta y, opcionalmente, las direcciones o los servidores de nombres devueltos, con las reglas de la política.
- Aplicar la acción: si una regla coincide, el resolutor reescribe la respuesta. Las acciones habituales son devolver NXDOMAIN, devolver una respuesta vacía, devolver un destino de redirección o pasar la respuesta sin cambios.
- Devolver la respuesta: el cliente recibe la respuesta modificada o original y, por lo general, no puede detectar que se ha aplicado una política, salvo a través del comportamiento resultante.
La coincidencia solo se produce en los resolutores que admiten y tienen habilitado el RPZ, y las reglas se pueden ordenar en varias zonas de políticas para establecer una prioridad. Muchos resolutores también pueden registrar las coincidencias, lo que proporciona a los equipos de seguridad un registro de qué clientes consultaron nombres bloqueados.
Problemas habituales con RPZ
Una entrada de feed demasiado amplia, como un dominio de alojamiento compartido o de distribución de contenidos, puede bloquear sitios web no relacionados y generar incidencias en el servicio de asistencia técnica. Añade una regla de paso libre para el nombre afectado en una zona de política local situada antes del feed.
Cuando se configuran varias zonas de políticas, el resolutor las evalúa en el orden en que aparecen, por lo que una fuente situada antes de la lista de permitidos local puede anularla. Los ingenieros observan que un nombre sigue bloqueado a pesar de existir una entrada de permiso hasta que se corrige el orden de las zonas.
Si las transferencias de zona desde un proveedor de datos fallan debido a una discrepancia en la clave TSIG, una regla de cortafuegos o una lista de acceso caducada, el resolutor sigue sirviendo la zona antigua y las nuevas amenazas quedan sin bloquear. Compara el número de serie de la zona con el de la zona principal para detectarlo.
Las zonas de políticas muy grandes aumentan el uso de memoria y el tiempo de carga, y una recarga completa tras una transferencia puede ralentizar brevemente la gestión de consultas. Los síntomas son una mayor latencia o un aumento del consumo de memoria tras las actualizaciones de las fuentes.
Los clientes que utilizan un resolutor público, DNS sobre HTTPS en un navegador o un servidor codificado de forma fija nunca consultan la zona de políticas. Los bloqueos parecen funcionar en algunos dispositivos y en otros no, hasta que el DNS saliente se restringe a los resolutores aprobados.
Términos relacionados
Establecimiento de modelos de flujo de trabajo y aprobación de IPAM regulados y preparados para auditorías para las redes de la organización
Descubre soluciones de gestión de direcciones IP para flujos de trabajo de IPAM regulados y preparados para auditorías. Habilita aprobaciones por ámbitos…
Content Hub Comprender el modelo OSI: dónde encajan el DNS y el direccionamiento IP dentro de las 7 capas
Comprende las siete capas del modelo OSI y cómo encajan en ellas el DNS y el direccionamiento IP. Aprende los fundamentos de la arquitectura de redes con…
Escalabilidad del DNS y la gestión de direcciones IP (IPAM) para redes empresariales IPv6 y de doble pila
Amplíe el DNS y el IPAM para redes empresariales de doble pila. Descubra cómo Micetro ayuda a los equipos a gestionar las migraciones a IPv6 con sistemas…
Integración de DNS, DHCP e IPAM en flujos de trabajo de infraestructura como código basados en Ansible y Git
La integración de DNS, DHCP e IPAM en los flujos de trabajo de IaC basados en Ansible y Git con Micetro convierte los cambios de direcciones y registros en…
Podcast Podcast: Cómo la IA está cambiando el desarrollo de software empresarial
La IA transforma la automatización de redes, pero una implementación segura requiere sólidas prácticas de software, pruebas y experiencia en el ámbito…
Podcast Podcast: Por qué las plataformas abiertas son importantes en las operaciones de red
Las plataformas abiertas y la arquitectura «API-first» permiten operaciones de red inteligentes, automatización y flujos de trabajo impulsados por IA en…
Obtenga respuestas a partir de los datos de LiveNX que ya tiene con LiveAssist
Descubre cómo LiveAssist, el complemento basado en IA para LiveNX, convierte tus datos de red en respuestas rápidas y guiadas, con un valor que podrás…
Oferta de dispositivos LiveWire GEN3
BlueCat LiveWire es una plataforma de captura de paquetes y análisis forense de redes que ofrece una visibilidad profunda a nivel de paquetes en entornos…