Direccionamiento y DNS híbrido

En un entorno híbrido hay normalmente dos resolutores: el de la planta y el de la nube. Cada uno es autoritativo para su propia zona y no sabe nada de la del otro. Para que una carga en la nube encuentre un nombre de la planta, y al revés, cada resolutor necesita una regla de reenvío condicional: «las consultas de esta zona se mandan a aquel servidor». Sin esa regla, el resolutor pregunta a internet por un nombre que solo existe adentro y recibe NXDOMAIN, que quiere decir «ese nombre no existe».

Para enrutar entre dos redes, cada una necesita un rango propio. Si dos rangos se solapan, un paquete hacia una dirección de la zona común no sabe a qué red ir, y alguien tiene que traducir direcciones en medio o renumerar una de las redes. Es un problema típico: la nube se montó rápido con un rango cualquiera y años después hay que unirla con la planta.

Dos rangos se solapan cuando uno contiene al otro o comparten algún tramo. Por ejemplo, un /25 ocupa 128 direcciones y un /26, 64. Consulta redes y compara los rangos de la planta con los de la nube.

Cuando el reenvío falta, el síntoma es el mismo siempre: una carga nueva en la nube «no encuentra» un servicio de la planta, el equipo de la aplicación culpa a la red y la red muestra que el enlace está sano. El registro de consultas lo resuelve en un minuto: el código de respuesta NXDOMAIN en una consulta que el resolutor de la nube no pudo reenviar. Revisa zonas y consultas_dns.

Muchas empresas publican un nombre con dos respuestas: la pública, para clientes de internet, y la privada, para quienes están adentro (DNS de horizonte dividido). Funciona mientras cada consulta llegue al resolutor correcto. Si el resolutor de la nube no reenvía hacia la planta, el nombre interno se resuelve con la respuesta pública, y el tráfico entre dos cargas propias sale a internet y vuelve: más lento, más caro y fuera de los controles internos.

Consulta lo que preguntaron las cargas de la nube y compara el nombre del API interno con lo que contestó el resolutor de la nube y con lo que contestó el de la planta.

Hay dos salidas al solapamiento. Traducir direcciones en medio (NAT de tránsito) permite unir las redes sin tocar ninguna, pero cada traducción oculta el origen real, complica los registros y rompe protocolos que llevan direcciones dentro de los datos. Renumerar una de las redes es trabajo, pero deja una conectividad limpia y sin excepciones. El momento importa: renumerar una red con pocas cargas es barato; hacerlo con cientos de servicios, no.