Cambios en la zona raíz del DNS

La zona raz del DNS es el conjunto de servidores que conforman la raz del rbol de DNS. Se usan como punto de partida para realizar la resolucin de nombres DNS, tal y como se describi en un boletn reciente, en el que se detallaban los ataques de denegacin de servicio que haban padecido esas mquinas.

La zona raz del DNS no suele cambiar, ya que no se requiere su correccin absoluta para mantener el sistema en funcionamiento. Los servidores de DNS la utilizan como punto de arranque al ser lanzados y tener la cach de resolucin vaca, y uno de los primeros pasos que suele hacer un servidor de DNS es intentar conectarse a alguno de los servidores raz para descargarse una versin actualizada.

Dicha versin es usada como versin de trabajo, pero no se suplanta la versin inicial configurada en el servidor, por lo que la actualizacin se pierde al rearrancar el servicio. No obstante, mientras alguno de los servidores en la versin original siga funcionando, el servidor DNS puede obtener la versin de trabajo actualizada.

Resulta conveniente, no obstante, actualizar la zona raz por defecto, para hacer frente a cualquier eventualidad que pudiera surgir, como la particin coyuntural de Internet. Esta actualizacin no es crtica, y se puede realizar a lo largo de meses.

Para realizar la actualizacin, se puede utilizar un comando UNIX como

dig @e.root-servers.net . ns root.hints

Ese comando se descarga el listado de la zona . (la zona raz) y lo almacena en el fichero root.hints. El administrador de cada mquina debe indicar el fichero correcto en cada caso, no llamndose necesariamente root.hints.

Una de las motivaciones de este cambio es poder publicar una misma IP a travs de varias rutas distintas, reflejando mquinas diferentes. Es decir, cuando un usuario intenta conectarse a una IP determinada, que est publicada en varios lugares diferentes, llegar a la localizacin topolgicamente ms cercana. En otras palabras, la misma IP puede enviar a servidores distintos segn el continente o el pas desde el que se haga la peticin.

De hecho en Hispasec nos consta que, desde hace apenas horas, existe un servidor de DNS raz en el nodo neutro de interconexin espaol, Espanix. Dicho servidor comparte IPs con otros servidores DNS que se estn instalando por todo el planeta. Gracias a la publicacin de rutas alternativas, los usuarios acceden, de forma transparente, al que les resulta topolgicamente ms cercano, y sin conflictos entre las diferentes mquinas que tienen la misma IP.