NXDOMAIN y códigos de respuesta

Cada respuesta del resolutor trae un código. NOERROR es que la consulta se resolvió (puede traer datos o venir vacía). NXDOMAIN es que el nombre no existe. SERVFAIL es que el resolutor no pudo obtener una respuesta válida —el servidor autoritativo no contestó, o falló una validación—, y REFUSED es que el servidor se negó a atender la consulta por política.

Distinguirlos importa porque cuentan historias distintas: NXDOMAIN habla de nombres que alguien inventó o escribió mal; SERVFAIL, de problemas de infraestructura; REFUSED, de reglas de acceso.

En el resumen por cliente, nxdomain cuenta las respuestas «el nombre no existe» de cada equipo en esa hora. Ordenar por esa columna es el primer instinto, y es útil, pero mide cantidad, no proporción: un equipo que consulta mucho tendrá muchos NXDOMAIN aunque sean un porcentaje pequeño de lo suyo.

Consulta resumen_clientes y busca la cifra absoluta más alta de nxdomain.

Lo que separa a un equipo normal de uno raro es el porcentaje: de cada cien consultas, cuántas fueron NXDOMAIN. Se calcula dividiendo nxdomain entre consultas y multiplicando por cien. Un puesto de oficina rara vez pasa de un pequeño porcentaje; un equipo en que la mayor parte de lo que pregunta no existe está buscando nombres que no conoce.

Calcula el porcentaje de cada fila de resumen_clientes y quédate con el cliente más alto.

Un servidor de correo consulta listas de reputación para decidir si acepta un mensaje: pregunta un nombre construido para cada remitente, y la lista contesta NXDOMAIN cuando el remitente no está listado. Es decir, para ese servidor el «no existe» es la respuesta normal y buena. Lo ves en muestra_nxdomain: nombres consecutivos de una misma lista, no inventados al azar.

Conocer qué hace cada servidor evita un error caro: levantar una alarma por algo que es su oficio.

Hay otro origen inocente de NXDOMAIN: el error humano. Alguien escribe mal el nombre de un servicio interno y el equipo lo reintenta varias veces. La huella es inconfundible: el mismo nombre, con la errata, repetido, y casi idéntico a un nombre legítimo. Un equipo que recorre nombres distintos, sin parecido entre sí ni con nada de la empresa, es otra cosa.

Consulta muestra_nxdomain y mira la columna veces para ver qué nombre se repitió.