Dirección IP y redes

DNS (Domain Name System)

Se lee en aproximadamente 5 minutos

Qué es DNS

DNS (Domain Name System) es un mecanismo que convierte nombres de dominio legibles por humanos (por ejemplo: example.com) en direcciones IP (por ejemplo: 93.184.216.34) que los ordenadores utilizan para comunicarse. A menudo se compara con la "guía telefónica" de internet, y cada vez que introduces una URL en el navegador web, se realiza una consulta a DNS en segundo plano.

Sin DNS, sería necesario introducir directamente la dirección IP cada vez que se quisiera acceder a un sitio web. DNS es una tecnología fundamental que sustenta la comodidad de internet, y sus fallos afectan a todo internet.

Flujo de resolución de nombres

Cuando accedes a www.example.com en el navegador, la resolución de nombres DNS procede en el siguiente orden.

  1. Caché del navegador: Si existe un registro de acceso previo en el navegador, se utiliza ese.
  2. Caché del SO: Si no está en el navegador, se consulta la caché del resolver del sistema operativo.
  3. Resolver completo (servidor DNS caché): Se consulta al DNS del ISP o DNS público (por ejemplo: 8.8.8.8). Si hay caché, responde aquí.
  4. Servidor DNS raíz: Si no hay caché, se consulta al servidor raíz sobre quién gestiona .com.
  5. Servidor TLD: Se consulta al servidor TLD que gestiona .com sobre el servidor autoritativo de example.com.
  6. Servidor DNS autoritativo: El servidor autoritativo de example.com devuelve la dirección IP final.

Todo este proceso se completa normalmente en unas pocas decenas de milisegundos. Si la caché está activa, la respuesta puede llegar en menos de 1 milisegundo.

Opciones de DNS público

En lugar del servidor DNS predeterminado proporcionado por el ISP, utilizar un DNS público puede mejorar la velocidad de respuesta y la privacidad.

Google Public DNS (8.8.8.8)
El servicio DNS de mayor escala del mundo. Rápido y estable, aunque hay que tener en cuenta que Google registra los logs de consultas.
Cloudflare DNS (1.1.1.1)
Enfocado en la privacidad, elimina los logs de consultas en 24 horas. La velocidad de respuesta también es de las mejores del mundo.
Quad9 (9.9.9.9)
Enfocado en la seguridad. Cuenta con la función de bloquear automáticamente el acceso a dominios de malware conocidos.

El cambio a un DNS público se realiza modificando la dirección del servidor DNS en la configuración DHCP del router, o especificándolo individualmente en la configuración de red de cada dispositivo.

Riesgos de seguridad de DNS y contramedidas

La comunicación DNS tradicional no está encriptada, lo que presenta varios riesgos graves.

  • Spoofing DNS (envenenamiento de caché): Un ataque que inyecta respuestas DNS falsas para redirigir a los usuarios a sitios de phishing. DNSSEC (DNS Security Extensions) puede verificar la autenticidad de las respuestas, pero su tasa de adopción aún es baja.
  • Fuga de DNS: Un problema donde las consultas DNS se filtran fuera del túnel VPN durante su uso, revelando los destinos de navegación al ISP.
  • Interceptación: Las consultas DNS en texto plano pueden ser interceptadas por cualquiera en la red. Los sitios que visitas quedan completamente expuestos.

Como contramedida, se recomienda la encriptación mediante DNS over HTTPS (DoH) o DNS over TLS (DoT). En los principales navegadores, DoH está disponible como opción predeterminada o configurable.

Conceptos erróneos comunes

Cambiar el DNS hace que internet sea más rápido
Lo que mejora al cambiar el DNS es solo el tiempo de respuesta de la resolución de nombres. No afecta la velocidad de descarga ni el buffering de vídeos. Sin embargo, si el DNS del ISP es lento, el inicio de la visualización de páginas web puede sentirse más rápido.
DNS solo se usa para la navegación web
DNS se utiliza en toda comunicación que use nombres de dominio: envío de correo (registros MX), conexiones VPN, juegos en línea, comunicación de dispositivos IoT, etc. Si DNS se detiene, prácticamente toda la comunicación excepto la que usa direcciones IP directas se ve afectada.

Comparación entre DNS tradicional y DNS encriptado

DNS tradicional

Puerto 53. Texto plano sin encriptar. ISP y administradores de red pueden ver las consultas. Vulnerable a spoofing y interceptación.

DNS encriptado (DoH/DoT)

Puerto 443 (DoH) o 853 (DoT). Consultas encriptadas. Protege la privacidad de navegación. Recomendado como contramedida de seguridad.

Términos relacionados

Artículos relacionados