Qué es BIND y cómo funciona un servidor DNS
Autor: Redacción Domeny.ForSale Publicado
En pocas palabras: BIND (Berkeley Internet Name Domain) es un software de servidor DNS de código abierto, utilizado principalmente en sistemas Linux y Unix. Puede publicar información sobre dominios o buscar respuestas DNS en nombre de los usuarios. Resulta útil cuando necesitas controlar el servicio DNS, pero para mantener un sitio web corriente suele bastar con un servicio DNS gestionado por el proveedor.
¿Para qué sirve BIND?
DNS (Domain Name System) es el sistema de nombres de dominio: permite, entre otras cosas, averiguar qué dirección IP corresponde al nombre introducido en el navegador. También almacena otra información, como los servidores de correo del dominio o datos utilizados para verificar servicios. BIND es uno de los programas que implementan este sistema, no el nombre del propio DNS.
BIND está desarrollado por la organización Internet Systems Consortium (ISC). La línea actual del software es BIND 9, y su proceso principal de servidor se llama named. El paquete también incluye herramientas de administración que permiten, entre otras tareas, comprobar la configuración y diagnosticar las respuestas DNS.
BIND no almacena los archivos del sitio ni sustituye al servidor WWW. Tampoco registra dominios. Su función es proporcionar respuestas DNS que permitan al navegador u otra aplicación determinar dónde conectarse al servicio correspondiente.
Dos funciones: servidor autoritativo y resolvedor
Un servidor autoritativo proporciona los datos oficiales de los dominios de los que es responsable. El administrador define esos datos en una zona DNS, es decir, una parte delimitada del espacio de nombres. Esta zona puede contener registros A y AAAA que indican direcciones IP, registros MX que dirigen el correo y registros TXT que almacenan información textual.
Un resolvedor recursivo busca respuestas en nombre del cliente. Si no tiene la información necesaria en la caché, consulta los servidores DNS correspondientes hasta obtener un resultado. Después puede guardar la respuesta durante el tiempo definido por el TTL, el parámetro que establece cuánto tiempo se permite conservarla en caché.
BIND puede desempeñar ambas funciones, pero cada una tiene requisitos de acceso distintos. Un servidor autoritativo público debe responder a las consultas sobre las zonas que gestiona. En cambio, un resolvedor de empresa debe aceptar consultas recursivas únicamente de clientes autorizados, como los dispositivos de la red local o de una VPN.
En las implementaciones públicas suele ser conveniente separar estas funciones. Así resulta más fácil aplicar reglas de seguridad distintas y limitar las consecuencias de los errores de configuración.
¿Cómo se gestiona un dominio en la práctica?
Supongamos que una empresa traslada su sitio a un servidor nuevo, pero mantiene el correo con su proveedor habitual. Si BIND gestiona su zona, el administrador modifica el registro A y, si se utiliza IPv6, también el registro AAAA. Los registros MX no cambian, porque la forma de entregar el correo sigue siendo la misma.
La actualización no tiene por qué ser visible de inmediato para todos los usuarios. Los resolvedores pueden seguir utilizando la respuesta anterior hasta que caduque su TTL. Antes de una migración planificada, se puede reducir con suficiente antelación el TTL de los registros que vayan a modificarse. Hay que tener en cuenta que el valor anterior, más largo, sigue siendo válido para las respuestas que ya están guardadas en caché.
BIND también puede funcionar como servidor primario o secundario de una zona. El servidor primario es la fuente de los datos de la zona, y el secundario obtiene una copia mediante una transferencia de zona. No se trata de una división entre un servidor «activo» y otro «de reserva»: ambos pueden responder a las consultas con normalidad.
Poner BIND en marcha no basta para trasladar la gestión del dominio a tu propia infraestructura. También hace falta una delegación correcta, es decir, indicar los servidores de nombres en la zona superior, normalmente a través del panel del registrador del dominio.
¿Qué hay que proteger y comprobar?
Administrar BIND exige algo más que editar registros. Son especialmente importantes los siguientes aspectos:
- Limitar la recursión. Un resolvedor abierto y accesible públicamente puede utilizarse para amplificar ataques DDoS.
- Controlar las transferencias de zona. Solo los servidores secundarios autorizados deben poder obtener copias de las zonas.
- Actualizar el software. Hay que consultar la versión y la información sobre soporte y correcciones en los avisos de ISC y en la documentación de la distribución utilizada.
- Garantizar la disponibilidad de la infraestructura. Los servidores de nombres deben funcionar en entornos independientes para que una sola avería no interrumpa todo el servicio DNS.
BIND admite DNSSEC, un mecanismo para firmar los datos DNS y verificar su autenticidad. DNSSEC no cifra las consultas ni oculta los nombres consultados. Su implementación requiere gestionar correctamente las claves y vincular la zona firmada con la zona superior.
Antes de aplicar los cambios, se puede comprobar la sintaxis de la configuración con named-checkconf y el archivo de zona con named-checkzone. Tras la implementación, la herramienta dig permite comprobar las respuestas de cada servidor. Sin embargo, una sintaxis correcta no garantiza que la delegación sea correcta ni que el servicio esté disponible desde internet.
¿Cuándo elegir BIND y cuándo un servicio gestionado?
BIND tiene sentido cuando una organización necesita su propia infraestructura DNS, zonas locales, un control de acceso detallado o integración con la administración de sistemas existente. También es útil para aprender sobre DNS, ya que permite configurar una zona por cuenta propia y observar las respuestas del servidor.
Para quien tiene un sitio de empresa o una tienda, un servicio gestionado suele ser más sencillo. El proveedor mantiene los servidores DNS y su software, mientras que el usuario edita los registros en un panel. Esto no implica renunciar a un dominio propio ni tener que contratar el alojamiento del sitio y el servicio DNS con la misma empresa.
Por tanto, antes de instalarlo, aclara una cuestión: ¿solo necesitas modificar los registros del dominio o realmente necesitas mantener un servidor DNS? Si solo se trata de los registros, empieza por revisar las opciones de tu panel DNS actual: mantener tu propio BIND supone asumir una responsabilidad adicional por su disponibilidad, sus actualizaciones y su seguridad.
Consulta también: ¿Qué es Apache?
Lee también
