Diferencia entre revisiones de «BrbOS/Manual/DNS Reverso»

De BrByte Latam
Ir a la navegación Ir a la búsqueda
VisualWikitexto
Sin resumen de edición
mSin resumen de edición
 
(No se muestran 23 ediciones intermedias del mismo usuario)
Línea 1: Línea 1:
En esta guía se mostrará cómo implementar y configurar un '''servidor DNS Reverso.'''


= DNS Reverso: Guía de Configuración =
Antes de comenzar, asegúrese de que '''BrbOS''' ya esté instalado en su red.


== Introducción ==
Si tiene dificultades con la instalación del servidor BrbOS, consulte el siguiente manual:


El '''DNS Reverso''' es el mecanismo que permite resolver una dirección IP hacia un nombre de host (también llamado ''hostname''). 
👉 [[BrbOS/Manual/Instalacion del sistema|Manual de instalación de BrbOS]]


Por ejemplo:
'''Requisitos previos a la configuracion:'''


<pre>
Para configurar un DNS Reverso es necesario contar con '''dos instalaciones del servicio DNS''', ambas con '''licencia nivel 3''', tal como se requiere en la configuración del DNS Reverso.
200.10.20.3 →  mail.ejemplo.net
</pre>


Mientras que el '''DNS directo (forward DNS)''' responde a la pregunta ''¿qué IP corresponde a este nombre?'', el '''DNS reverso''' responde a ''¿qué nombre corresponde a esta IP?''.
Adicionalmente, los servidores deben contar con '''direcciones IP públicas''' y tener el '''puerto 53 (TCP y UDP) abierto''', de modo que puedan '''responder y propagar correctamente los registros DNS'''.


Esto se logra creando '''zonas inversas''', que son espacios especiales en el DNS: 
'''Importante:''' Los pasos que se presentan a continuación deben ser realizados '''en el orden indicado''' para asegurar una correcta configuración del servidor DNS reverso.


* '''.in-addr.arpa''' → para direcciones IPv4 
== Consideraciones sobre la Delegación ==
* '''.ip6.arpa''' → para direcciones IPv6 


----
Para que el '''DNS Reverso''' funcione correctamente y pueda propagar sus registros hacia Internet, es importante que el dominio utilizado ya se encuentre '''delegado''' hacia los servidores DNS configurados en '''BrbOS'''.


== Importancia ==
Esto otorga la '''autoridad''' necesaria al servidor para responder consultas externas sobre la zona inversa correspondiente.


Configurar correctamente el DNS Reverso es fundamental por varias razones: 
Si aún no ha realizado dicho proceso, puede consultar la siguiente guía 👉 [[BrbOS/Manual/DNS Autoritativo|DNS Autoritativo]].


* '''Correo electrónico (SMTP):''' la mayoría de los servidores de correo (ej: Gmail, Outlook, Yahoo) verifican que las direcciones IP de los remitentes tengan un registro PTR válido. 
Sin embargo, en caso de no desear o no poder realizar una delegación completa, es posible configurar una '''extensión sin delegar''' mediante la creación manual de los registros '''NS''' y '''A''' dentro de la zona principal.
** Sin PTR correcto, los correos suelen ser marcados como ''spam'' o directamente rechazados.


* '''Diagnóstico de red:''' herramientas como <code>ping</code>, <code>traceroute</code> o <code>mtr</code> utilizan el DNS reverso para mostrar nombres de host en lugar de solo IPs, facilitando la identificación de equipos y rutas.
Este método permite otorgar autoridad parcial a los servidores (por ejemplo, <code>ns3</code> y <code>ns4</code>) sin transferir toda la delegación del dominio.


* '''Buenas prácticas de Internet:''' según el [https://datatracker.ietf.org/doc/html/rfc1912 RFC 1912, sección 2.1], ''todos los hosts deberían tener un registro PTR que apunte a un nombre válido''.
'''Importante:''' No todos los proveedores de dominios permiten la creación de registros '''NS''' personalizados. En estos casos, la única alternativa es realizar la delegación completa de la zona.


* '''Requisito de los registros regionales de Internet (RIRs):''' organismos como '''LACNIC''' (en América Latina y el Caribe), '''ARIN''', '''RIPE NCC''' y otros, exigen que los bloques de direcciones IPv4 e IPv6 delegados tengan configurado un reverso válido.
= DNS ACL =
** En el caso de LACNIC, al recibir un bloque IP, el titular debe configurar o delegar la zona reversa correspondiente.
El [[BrbOS/Aplicativos/DNS/ACL|DNS ACL]] (Access Control List), como indica su propio nombre, es la lista de control de acceso. Por defecto, BrbOS acepta (allow) los rangos de IP para redes locales según <nowiki>RFC 1918</nowiki> y niega los demás rangos de direcciones mediante la entrada "0.0.0.0/0 denegar". Para que el reverso responda solo a los segmentos locales de sus clientes, debemos cambiar la entrada "0.0.0.0/0" a "0.0.0.0/0 denegar no local". Adicionalmente, en caso de utilizar IPv6, es necesario añadir una entrada "::/0 denegar no local" para responder localmente a solicitudes DNS por IPv6.


* '''Imagen profesional:''' disponer de nombres reversos consistentes transmite organización y seriedad técnica ante clientes, proveedores y socios.
Agrega también el rango de IP público para que los clientes y dispositivos con esas direcciones también sean aceptados como clientes de BrbOS.
[[Archivo:DNS-ACL.png|centro|1300x1300px]]


= Añadir Zona =
Tomando como ejemplo el segmento "203.0.113.0/24", abre la aplicación [[BrbOS/Aplicativos/DNS Zone|DNS Zone]].


== Conceptos básicos ==
Haz clic en el botón [[Archivo:Boton-Añadirentrada.png]]


=== Registro directo (A) ===
Nombre: Ingresa el dominio inverso formado por los primeros tres octetos del segmento en orden inverso, seguido de <code>.in-addr.arpa.</code>Atención al punto '.' al final del nombre de la zona.
Un registro A asocia un nombre de host a una dirección IPv4.
<pre>
mail.ejemplo.net.   IN  A  200.10.20.3
</pre>


=== Registro inverso (PTR) ===
''(Ejemplo: para 203.0.113.0 → <code>113.0.203.in-addr.arpa.</code>)''
Un registro PTR asocia una dirección IP a un nombre de host.
<pre>
3.20.10.200.in-addr.arpa.   IN  PTR  mail.ejemplo.net.
</pre>


=== SOA (Start of Authority) ===
[[Archivo:Authzone-reverso.png|1300x1300px]]
Es el registro principal de la zona. Define parámetros de control:
* **Serial**: versión de la zona (debe incrementarse en cada cambio).
* **Refresh**: intervalo de actualización entre master y slave.
* **Retry**: tiempo de reintento si falla la actualización.
* **Expire**: tiempo máximo que un slave mantiene datos sin actualizar.
* **Minimum TTL**: tiempo de cacheo por defecto.


=== NS (Name Server) ===
== Añadir SOA ==
Indica qué servidores son responsables de la zona DNS.
Una vez creada una zona, es necesaria la presencia de un registro del tipo SOA (Start of Authority), que es el principal registro, ya que define muchas de las características de una zona.
Ejemplo:
<pre>
ejemplo.net.   IN  NS  ns1.ejemplo.net.
ejemplo.net.  IN  NS  ns2.ejemplo.net.
</pre>


== Método simplificado ==
Para añadir un registro SOA, haz clic en el botón [[Archivo:Boton-Añadirentrada.png]]


El método recomendado actualmente es usar un dominio ya existente del cliente para simplificar el proceso.
Completa los datos requeridos. En primer lugar, especifica el nombre del servidor primario que tendrá autoridad sobre el bloque (por ejemplo: '''ns1.dominio.com''') y un correo electrónico válido (sustituyendo el carácter '''@''' por un punto '''.'''). Los demás campos se generan automáticamente, por lo que no es necesario modificarlos.
De esta forma, solamente se crea la **zona inversa** correspondiente al bloque IP delegado, evitando la necesidad de manejar una zona de dominio adicional.


=== Requisitos previos ===
    ns1.dominio.com. correo.gmail.com. 2025100811 3600 800 86400 30
* El cliente debe contar con un **dominio propio** (ej: ejemplo.net). 
[[Archivo:Soa-reverso2.png|centro]]
* Deben existir al menos **dos servidores DNS autoritativos**, cada uno con **IP pública distinta**.
* Se deben agregar registros en el dominio del cliente: 
<pre>
ns1.ejemplo.net.   IN A  200.10.20.2
ns2.ejemplo.net.   IN A  200.10.20.3
</pre>


=== Pasos de configuración en BrbOS ===
# Ingresar al panel de administración de BrbOS. 
# Ir al menú **DNS Zone** y crear una nueva zona del tipo **Reversa** para el bloque /24 asignado. 
  * Ejemplo para el bloque 200.10.20.0/24: 
    <pre>20.10.200.in-addr.arpa.</pre>
# Una vez creada la zona, añadir el registro **SOA** (Start of Authority). 
  Ejemplo:
  <pre>
@ IN SOA ns1.ejemplo.net. admin.ejemplo.net. (
    2025090301 ; Serial
    3600      ; Refresh
    1800      ; Retry
    604800    ; Expire
    86400 )    ; Minimum TTL
  </pre>
# Agregar los registros **NS** de la zona: 
  <pre>
@ IN NS ns1.ejemplo.net.
@ IN NS ns2.ejemplo.net.
  </pre>
# Crear los registros **PTR** para los hosts principales: 
  <pre>
1  IN PTR router.ejemplo.net.
2  IN PTR ns1.ejemplo.net.
3  IN PTR mail.ejemplo.net.
  </pre>
# (Opcional) Usar la función **Generar PTR en lote** para crear automáticamente todos los registros de 0 a 255 en el bloque /24. 


=== Configuración IPv6 ===
Por último, haz clic en Confirmar para guardar el registro ([[Archivo:Boton-Confirmar.png]])
En el caso de IPv6, las zonas inversas se crean bajo `.ip6.arpa`, normalmente por bloques /48.


Ejemplo:
== Añadir PTR (individual) ==
<pre>
Un registro '''PTR''' es el registro inverso de una IP, utilizado para responder consultas DNS inversas.
$ORIGIN 0.0.0.0.0.8.b.0.4.0.8.2.ip6.arpa.
@ IN SOA ns1.ejemplo.net. admin.ejemplo.net. (
    2025090301 ; Serial
    3600      ; Refresh
    600        ; Retry
    86400      ; Expire
    3600 )     ; Minimum TTL
@ IN NS ns1.ejemplo.net.
@ IN NS ns2.ejemplo.net.


2.0.0.0.d.d.0.0....ip6.arpa.  IN PTR host.ejemplo.net.
Dado que la zona ya contiene los primeros octetos en orden inverso, solo se necesita como '''nombre del registro''' el '''último octeto''' de la dirección IP.
</pre>


* Solo se crean registros PTR para los hosts necesarios (ej: ns1, ns2).
Por ejemplo, para la IP '''203.0.113.50''', el nombre del registro (FQDN) será '''50''', y el '''valor''' o respuesta será '''ip-203.0.113.50.miempresa.com.'''
* No es necesario declarar todos los IPs del bloque, ya que sería inviable.


[[Archivo:Ptr-individual2.png]]


== Delegación en LACNIC / Registro.br ==
== Añadir PTR (en lote) ==
Para añadir registros '''PTR''' en lote, utiliza la herramienta '''“Generar”''':


Una vez configurados los servidores de nombres y la zona inversa, es necesario delegar el bloque en el portal de LACNIC o el NIC correspondiente.
* En '''IP Begin''', ingresa la '''primera IP del segmento''', y en '''IP End''', la '''última IP del bloque'''.
* En '''FQDN''', deja la variable '''<code>$4</code>''', para que los nombres de los registros se generen automáticamente con el '''último octeto''' de cada IP.
* En '''Valor''', modifica solo el '''nombre de dominio''', manteniendo el resto igual.  Ejemplo: <code>ip-$1-$2-$3-$4.example.com.</code> → reemplaza ''example.com'' por tu dominio, por ejemplo: <code>ip-$1-$2-$3-$4.miempresa.com.</code>
* [[Archivo:Ptr-lote.png]]
* Por último, haz clic en Confirmar para generar los registros en lote ([[Archivo:Boton-Confirmar.png]])


=== Pasos en LACNIC ===
= Servidores Secundarios (Slave) =
# Ingresar a [[https://milacnic.lacnic.net MiLACNIC]]. 
# Seleccionar el bloque de direcciones IP. 
# Ir a la opción **Delegación de DNS Reverso**. 
# Indicar los servidores configurados: 
<pre>
ns1.ejemplo.net.  200.10.20.2
ns2.ejemplo.net.  200.10.20.3
</pre>
# Confirmar la operación.


=== Validación ===
Contar con al menos un servidor '''secundario (slave)''' es altamente recomendable para cualquier implementación DNS, ya que garantiza la '''redundancia''' y la '''disponibilidad''' del servicio ante fallos o tareas de mantenimiento en el servidor principal (master).
* LACNIC valida automáticamente que ambos servidores respondan correctamente. 
* Si uno de ellos no funciona o no resuelve la zona, la delegación será rechazada. 
* Es obligatorio contar con **dos servidores distintos** (ns1 y ns2), cada uno con **IPs públicas diferentes**.


=== Nota ===
Los servidores secundarios mantienen una '''copia exacta''' de las zonas del servidor primario y no permiten la modificación directa de registros.
El proceso en **Registro.br** es equivalente: seleccionar el bloque, indicar los servidores, confirmar y esperar propagación.


Pueden configurarse de forma manual o mediante la herramienta '''DNS HUB''', que permite mantener sincronizados los registros y configuraciones de forma automática entre ambos servidores.


== Pruebas y validación ==
Si desea conocer cómo configurar la herramienta '''DNS HUB''' para realizar la sincronización automática, consulte la siguiente guía 👉 [[BrbOS/Manual/DNS HUB|DNS HUB]].


Después de delegar, es importante probar que los registros funcionan.
'''Importante:''' En la mayoría de los paneles de delegación (tanto de dominios autoritativos como de zonas reversas), se exige declarar '''al menos dos servidores DNS distintos''' para completar la delegación correctamente.
Estos servidores deben contar con '''IPs públicas diferentes''' y responder de forma coherente a las consultas sobre la misma zona.


=== Linux/Unix ===
== Delegación de bloques ==
<pre>
En el panel de '''MiLACNIC''' o del '''proveedor del bloque IP''', debe especificar los '''servidores de nombres''' a los que se delegará la zona inversa.
host 200.10.20.3 ns1.ejemplo.net
</pre>


=== Windows ===
En este caso, indique sus propios servidores, por ejemplo: '''ns1.midominio.com''' y '''ns2.midominio.com'''.
<pre>
nslookup 200.10.20.3 ns1.ejemplo.net
</pre>
 
Resultado esperado:
<pre>
3.20.10.200.in-addr.arpa.  IN PTR  mail.ejemplo.net.
</pre>
 
Si la consulta devuelve el nombre configurado, la zona inversa está funcionando. 
 
 
== Buenas prácticas ==
 
* Contar siempre con al menos **dos servidores DNS autoritativos**. 
** Esto no es solo una recomendación: LACNIC exige informar al menos 2 servidores para aprobar la delegación.
** Los servidores deben estar en **IPs públicas distintas**.
* Mantener los **seriales SOA sincronizados** entre el servidor maestro y los esclavos.
* Verificar la consistencia entre los registros PTR y sus registros A correspondientes.
* Documentar todos los bloques y zonas delegadas. 
* Realizar pruebas periódicas con herramientas como `dig`, `host` o `nslookup`.

Revisión actual - 19:10 29 oct 2025

En esta guía se mostrará cómo implementar y configurar un servidor DNS Reverso.

Antes de comenzar, asegúrese de que BrbOS ya esté instalado en su red.

Si tiene dificultades con la instalación del servidor BrbOS, consulte el siguiente manual:

👉 Manual de instalación de BrbOS

Requisitos previos a la configuracion:

Para configurar un DNS Reverso es necesario contar con dos instalaciones del servicio DNS, ambas con licencia nivel 3, tal como se requiere en la configuración del DNS Reverso.

Adicionalmente, los servidores deben contar con direcciones IP públicas y tener el puerto 53 (TCP y UDP) abierto, de modo que puedan responder y propagar correctamente los registros DNS.

Importante: Los pasos que se presentan a continuación deben ser realizados en el orden indicado para asegurar una correcta configuración del servidor DNS reverso.

Consideraciones sobre la Delegación

Para que el DNS Reverso funcione correctamente y pueda propagar sus registros hacia Internet, es importante que el dominio utilizado ya se encuentre delegado hacia los servidores DNS configurados en BrbOS.

Esto otorga la autoridad necesaria al servidor para responder consultas externas sobre la zona inversa correspondiente.

Si aún no ha realizado dicho proceso, puede consultar la siguiente guía 👉 DNS Autoritativo.

Sin embargo, en caso de no desear o no poder realizar una delegación completa, es posible configurar una extensión sin delegar mediante la creación manual de los registros NS y A dentro de la zona principal.

Este método permite otorgar autoridad parcial a los servidores (por ejemplo, ns3 y ns4) sin transferir toda la delegación del dominio.

Importante: No todos los proveedores de dominios permiten la creación de registros NS personalizados. En estos casos, la única alternativa es realizar la delegación completa de la zona.

DNS ACL

El DNS ACL (Access Control List), como indica su propio nombre, es la lista de control de acceso. Por defecto, BrbOS acepta (allow) los rangos de IP para redes locales según RFC 1918 y niega los demás rangos de direcciones mediante la entrada "0.0.0.0/0 denegar". Para que el reverso responda solo a los segmentos locales de sus clientes, debemos cambiar la entrada "0.0.0.0/0" a "0.0.0.0/0 denegar no local". Adicionalmente, en caso de utilizar IPv6, es necesario añadir una entrada "::/0 denegar no local" para responder localmente a solicitudes DNS por IPv6.

Agrega también el rango de IP público para que los clientes y dispositivos con esas direcciones también sean aceptados como clientes de BrbOS.

Añadir Zona

Tomando como ejemplo el segmento "203.0.113.0/24", abre la aplicación DNS Zone.

Haz clic en el botón

Nombre: Ingresa el dominio inverso formado por los primeros tres octetos del segmento en orden inverso, seguido de .in-addr.arpa.Atención al punto '.' al final del nombre de la zona.

(Ejemplo: para 203.0.113.0 → 113.0.203.in-addr.arpa.)

Añadir SOA

Una vez creada una zona, es necesaria la presencia de un registro del tipo SOA (Start of Authority), que es el principal registro, ya que define muchas de las características de una zona.

Para añadir un registro SOA, haz clic en el botón

Completa los datos requeridos. En primer lugar, especifica el nombre del servidor primario que tendrá autoridad sobre el bloque (por ejemplo: ns1.dominio.com) y un correo electrónico válido (sustituyendo el carácter @ por un punto .). Los demás campos se generan automáticamente, por lo que no es necesario modificarlos. 

   ns1.dominio.com. correo.gmail.com. 2025100811 3600 800 86400 30


Por último, haz clic en Confirmar para guardar el registro ()

Añadir PTR (individual)

Un registro PTR es el registro inverso de una IP, utilizado para responder consultas DNS inversas.

Dado que la zona ya contiene los primeros octetos en orden inverso, solo se necesita como nombre del registro el último octeto de la dirección IP.

Por ejemplo, para la IP 203.0.113.50, el nombre del registro (FQDN) será 50, y el valor o respuesta será ip-203.0.113.50.miempresa.com.

Añadir PTR (en lote)

Para añadir registros PTR en lote, utiliza la herramienta “Generar”:

  • En IP Begin, ingresa la primera IP del segmento, y en IP End, la última IP del bloque.
  • En FQDN, deja la variable $4, para que los nombres de los registros se generen automáticamente con el último octeto de cada IP.
  • En Valor, modifica solo el nombre de dominio, manteniendo el resto igual. Ejemplo: ip-$1-$2-$3-$4.example.com. → reemplaza example.com por tu dominio, por ejemplo: ip-$1-$2-$3-$4.miempresa.com.
  • Por último, haz clic en Confirmar para generar los registros en lote ()

Servidores Secundarios (Slave)

Contar con al menos un servidor secundario (slave) es altamente recomendable para cualquier implementación DNS, ya que garantiza la redundancia y la disponibilidad del servicio ante fallos o tareas de mantenimiento en el servidor principal (master).

Los servidores secundarios mantienen una copia exacta de las zonas del servidor primario y no permiten la modificación directa de registros.

Pueden configurarse de forma manual o mediante la herramienta DNS HUB, que permite mantener sincronizados los registros y configuraciones de forma automática entre ambos servidores.

Si desea conocer cómo configurar la herramienta DNS HUB para realizar la sincronización automática, consulte la siguiente guía 👉 DNS HUB.

Importante: En la mayoría de los paneles de delegación (tanto de dominios autoritativos como de zonas reversas), se exige declarar al menos dos servidores DNS distintos para completar la delegación correctamente. Estos servidores deben contar con IPs públicas diferentes y responder de forma coherente a las consultas sobre la misma zona.

Delegación de bloques

En el panel de MiLACNIC o del proveedor del bloque IP, debe especificar los servidores de nombres a los que se delegará la zona inversa.

En este caso, indique sus propios servidores, por ejemplo: ns1.midominio.com y ns2.midominio.com.

Obtenido de «https://wiki.brbytelatam.com/index.php?title=BrbOS/Manual/DNS_Reverso&oldid=654»