Quién resuelve qué

Un servidor DNS puede hacer dos trabajos que conviene no mezclar. El autoritativo guarda las zonas de la empresa y responde con la última palabra sobre ellas: «el portal está en esta dirección». El recursivo (o resolutor) trabaja para los equipos: recibe la pregunta de un puesto, busca la respuesta por su cuenta, la guarda un tiempo y se la devuelve.

La separación importa para la defensa. El autoritativo debe ser alcanzable desde Internet porque el mundo pregunta por tus nombres; el recursivo solo debe atender a tus redes. Un mismo servidor que hace ambas cosas y está abierto a todos es el origen de varios de los problemas del módulo.

Lo normal es que cada zona de la red reciba, por DHCP, los resolutores internos. Cuando un equipo o una zona tiene configurado a mano otro resolutor, todo lo que pregunte queda fuera de tu filtrado y de tus registros, aunque la empresa tenga una política perfecta.

Consulta clientes_dns y compárala con servidores_dns.

Hay empresas con dos «vistas» del mismo dominio: una para quien pregunta desde Internet y otra para quien pregunta desde dentro. La vista externa solo debe contener lo que se quiere publicar. Una dirección interna en la respuesta externa regala un dato del plano de la red a cualquiera que pregunte.

En este ejemplo, 198.51.100.0/24 es el direccionamiento interno; la tabla vistas muestra las dos respuestas.

Para decidir dónde poner el filtrado y el registro hay que saber cuántos resolutores hay que configurar. Cada uno que se olvide es un camino sin control.

Filtra servidores_dns por el rol correspondiente y cuenta.

El equipo del control industrial usa un resolutor ajeno desde 2025 y nadie sabe si hay un motivo técnico. Cambiarlo a ciegas puede dejar sin actualizaciones a las máquinas; dejarlo es mantener una zona sin ningún control sobre sus consultas.