Registros DNS

Una fila del registro de un resolvedor dice que un cliente preguntó por un nombre a una hora y qué recibió. No dice que el cliente haya entrado al sitio, ni qué descargó, ni quién estaba frente al equipo. Una consulta es un indicio de intención, no de visita: los navegadores precargan nombres y los programas consultan por su cuenta.

La respuesta NXDOMAIN significa que el nombre no existe. Abre dns_log y cuenta, por cliente, cuántas filas traen ese rcode. Un conteo alto no condena a nadie, pero ordena la lista de lo que hay que mirar primero.

Dos clientes acumulan respuestas NXDOMAIN. Uno pregunta por nombres numerados bajo el dominio de la propia organización, uno tras otro. El otro pregunta por nombres cortos de aspecto aleatorio bajo un dominio externo y, a continuación, por el dominio padre sin etiqueta delante, que sí existe. El primer patrón es típico de un guion o una tarea programada que busca servidores ya retirados; el segundo, de un programa que genera nombres. Ninguno es una prueba, pero no pesan igual.

Cada respuesta trae un ttl, los segundos que quien pregunta puede recordarla. Los servicios grandes usan valores de minutos u horas; un valor de segundos obliga a preguntar de nuevo con mucha frecuencia y se ve en servicios que cambian de dirección a menudo. No es malo por sí mismo: es un dato más para cruzar con la edad y la categoría del dominio.