¿Qué es el DNS y cómo funciona?

Da la sensación de que las páginas web se abren instantáneamente, pero en realidad hay una búsqueda rápida previa. Antes de poder cargar cualquier página, tu dispositivo debe localizar el servidor que almacena ese sitio web, y ahí es donde entra el DNS. 

Esta guía explica qué es el DNS, cómo funciona el proceso de búsqueda, por qué es importante y cómo afecta a la velocidad y la seguridad.

¿Qué es el DNS y por qué es importante?

El sistema de nombres de dominio (DNS) es el sistema que traduce los nombres de sitios web legibles por humanos a direcciones IP numéricas que usan las computadoras para encontrarse unas a otras en la red.

Sin el DNS, no te quedaría más remedio que recordar largas cadenas de números (direcciones IP) cada vez que quisieras visitar una web, algo parecido a 192.0.2.1 en lugar de privateinternetaccess.com. El DNS hace que la navegación por Internet sea rápida y sencilla.

El DNS no es un único servidor. Es una red distribuida de solucionadores y servidores de nombres que funcionan juntos para responder las solicitudes de búsquedas y mantener las conexiones en funcionamiento.

¿Cómo funciona el DNS? Esquema paso a paso

Esto es lo que ocurre cuando visitas un sitio web.

1. Escribes el nombre del sitio web en el navegador: introduces un dominio como ejemplo.com. Para cargar el sitio web, tu dispositivo necesita la dirección IP del servidor que lo alberga.
2. Tu dispositivo comprueba su caché DNS local: lo primero que hace tu navegador o tu sistema operativo es comprobar si visitaste el sitio web anteriormente. Si ya lo has visitado alguna vez, probablemente tenga la dirección IP en su memoria y te llevará directamente al sitio web.
3. Pregunta a un solucionador DNS recursivo: si la respuesta no está en tu caché, tu dispositivo envía la solicitud a un solucionador recursivo, que normalmente está gestionado por tu ISP o un proveedor de DNS como Google o Cloudflare. A partir de ese punto, el solucionador se ocupa de la búsqueda.
4. El solucionador comprueba su propia caché: si se ha buscado el mismo sitio web recientemente, es posible que ya tenga lista la respuesta. Si no, el solucionador continúa con la búsqueda.
5. El solucionador pregunta al servidor DNS raíz dónde buscar a continuación: este servidor sirve de directorio para el sistema DNS de Internet e indica al solucionador el servidor de dominio de nivel superior (TLD) adecuado al que debe dirigirse a continuación (en este caso, .com).
6. El solucionador contacta con el servidor de nombres TLD: este servidor gestiona todos los dominios que terminan en .com u otra extensión como .net, dependiendo de la consulta, y responde con la dirección del servidor autoritativo para ejemplo.com.
7. El solucionador contacta con el servidor de nombres autoritativo: este servidor tiene la información que necesitas. Tiene la dirección IP del sitio web y la comparte con el solucionador. 
8. El solucionador devuelve la IP a tu navegador: ahora, tu dispositivo ya sabe a dónde ir. Puede conectar directamente con el servidor del sitio web y empezar a cargar la página.
9. El resultado se guarda en caché: para acelerar el proceso la próxima vez, tanto tu dispositivo como el solucionador guardan el resultado durante un tiempo.

Es un sistema complejo, pero, en realidad, solo son necesarios unos milisegundos para realizar todos estos pasos. Desde el punto de vista del usuario, simplemente parece que el sitio web se está cargando.

Tipos de servidores DNS

• Solucionador DNS recursivo: este es el primer servidor con el que tu dispositivo contacta directamente. Básicamente, se encarga de encontrar la dirección IP correcta —incluso consultando a otros servidores— y envía la respuesta a tu navegador.
• Servidor raíz: el servidor raíz no conoce la respuesta (la dirección IP que necesitas), pero sabe dónde debería empezar a buscar el solucionador. Apunta al servidor TLD correcto según la extensión del dominio (como .com, .net o .org).
• Servidor de nombres TLD: el servidor TLD gestiona un grupo específico de dominios, como pueden ser .com o .org. No puede facilitar la dirección IP al solucionador (porque no la tiene), pero sí sabe dónde encontrar el servidor autoritativo del dominio al que intentas acceder.
• Servidor de nombres autoritativo: este servidor contiene los registros DNS reales del dominio, incluyendo la dirección IP. Los servidores de nombres autoritativos son de dos tipos: primarios (que almacenan los registros originales) y secundarios (copia de seguridad que asegura la fiabilidad).

Tipos de consultas DNS

No todas las consultas DNS siguen el proceso anterior completo. Dependiendo de cuánto sepa ya o tenga en caché, tu sistema puede realizar diferentes tipos de consultas DNS. Conjuntamente, estos tipos de consulta ayudan a equilibrar la velocidad y precisión del DNS para asegurarse de obtener la respuesta correcta con la mayor velocidad posible.

Consulta recursiva

Una consulta recursiva ocurre cuando tu dispositivo solicita la respuesta final a un solucionador DNS, independientemente de con cuántos servidores más haya contactado. Es la experiencia de búsqueda completa de principio a fin, y el solucionador se encarga de todo.

Consulta iterativa

En una consulta iterativa, el solucionador solicita a cada servidor DNS de la cadena la mejor respuesta posible que pueda ofrecer. Si un servidor no tiene la respuesta final, dirige al solucionador al siguiente servidor para que lo intente. Esto continúa hasta que el solucionador llega al servidor autoritativo y obtiene la dirección IP.

Consulta no recursiva

La consulta no recursiva es la más rápida: sucede cuando el solucionador ya tiene la dirección IP en caché lista para usarse. No se necesita contactar con ningún otro servidor: la respuesta se recibe instantáneamente.

¿El DNS puede afectar a la velocidad de Internet?

Sí, y juega un papel más importante de lo que crees. 

Como dijimos, cada vez que visitas un sitio web, tu navegador necesita convertir el nombre de dominio en una dirección IP. Lo hace a través del proceso llamado búsqueda de DNS y, aunque no debería tardar más que unos pocos milisegundos, si tu servicio de DNS es lento o poco fiable, puede ralentizarlo todo. 

Si el servidor DNS se encuentra físicamente lejos, está sobrecargado de solicitudes o no resuelve los dominios eficazmente, notarás una ralentización o un retraso antes de que la página empiece a cargarse. Aquí no importa la velocidad de tu conexión a Internet, si tienes Internet de fibra óptica de alta velocidad o una conexión DSL lenta. Una búsqueda de DNS lenta hace que la página web se cargue con lentitud.

Por el contrario, si usas un proveedor de DNS rápido y bien optimizado, tus consultas se gestionarán de forma rápida y eficaz. Las páginas web se cargan más rápido y tu experiencia online es mucho más fluida. Esto se nota especialmente si pasas mucho tiempo navegando por Internet o si trabajas online todo el día. 

El usuario medio de Internet no cambia los servidores DNS predeterminados de su ISP, quizá porque no sabe que tiene la posibilidad de elegir. Cambiar a un solucionador más rápido o que preste especial atención a la privacidad, como el DNS de PIA VPN, Cloudflare (1.1.1.1), el DNS público de Google (8.8.8.8) o Quad9, puede suponer una diferencia notable.

También es importante señalar que tu navegador y el sistema operativo de tu dispositivo mantienen una caché DNS. Si has visitado una página web recientemente, tu sistema puede usar la dirección IP que tiene guardada en lugar de volver a realizar la búsqueda, ahorrando tiempo y reduciendo el tráfico. Es una de las razones por las que los sitios web que se visitan con frecuencia se cargan más rápido.

Cómo realizar una búsqueda DNS

Comprobar la información DNS asociada a cualquier dominio se denomina búsqueda DNS. Para ello, Windows, macOS y Linux tienen una herramienta integrada llamada nslookup, que comprueba y te proporciona toda la información de los registros DNS del sitio web. Es una forma sencilla de obtener cierta información, como direcciones IP, registros de servidor de correo y más. Así es como se hace:

1. En tu computadora, abre la app Terminal o el símbolo del sistema. (En Windows, pulsa en Iniciar y, a continuación, escribe Símbolo del sistema o cmd y ábrelo).
2. Escribe nslookup y pulsa Intro. Esto establece como predeterminado el servidor DNS configurado en tu sistema.
3. Si quieres comprobar un tipo de registro concreto, como A (dirección IP), MX (servidor de correo) o NS (registro de servidor de nombres), escribe set type=recordtype (por ejemplo, set type=A) y pulsa Intro.
4. Introduce el nombre de dominio que deseas consultar (por ejemplo, privateinternetaccess.com) y pulsa Intro.

Verás la información del registro directamente en tu terminal.

Es una herramienta útil para solucionar problemas de DNS o comprobar si un dominio se resuelve correctamente.

Ataques de DNS comunes: a qué se debe prestar atención

DNS no es una herramienta de seguridad online. Está diseñado para ser rápido y flexible, pero no es privado ni está a prueba de manipulaciones. Esto deja la puerta abierta a vulnerabilidades que los agentes maliciosos pueden explotar para llevar a cabo diferentes ataques. 

Estos son algunos de los tipos más comunes de ataques de DNS:

• Secuestro de DNS: este ataque, también conocido como redirección de DNS, redirige a los usuarios a sitios web maliciosos alterando cómo se resuelven las consultas de DNS. Los hackers pueden hacerse con el control de los ajustes de DNS a través de malware, routers no autorizados o tráfico interceptado.
• Suplantación de DNS: en este ataque, los hackers sustituyen en las respuestas de DNS la dirección IP correcta con otra falsa, engañando a los usuarios para que visiten sitios web falsos que pueden robar contraseñas, infectar dispositivos o imitar a sitios web legítimos sin que el usuario se dé cuenta.
• Envenenamiento de caché de DNS: los atacantes inyectan información falsa en una caché de DNS. Una vez envenenada, la caché envía a los usuarios a sitios web maliciosos aunque escriban el nombre de dominio correcto. Puede afectar tanto a dispositivos individuales como a servidores DNS.
• Ataques de reflexión (amplificación) de DNS: se trata de un tipo de ataque DDoS en el que los atacantes envían consultas de DNS falsas con una dirección IP suplantada. Los servidores DNS abiertos responden a la dirección suplantada con paquetes grandes de datos, inundando la red de la víctima y provocando interrupciones.
• Tunelizado de DNS: esta técnica oculta datos maliciosos dentro de consultas de DNS para sortear las herramientas de seguridad. Se suele usar para extraer datos de la red de una víctima o para establecer una comunicación encubierta con un servidor de comando y control.
• Revinculación de DNS: este ataque engaña a tu navegador para que se conecte a otros dispositivos de tu red privada, como el router o tu servidor doméstico, enviando información falsa de DNS. Puede abrir la puerta de tus sistemas internos a sitios web maliciosos que normalmente quedarían excluidos.

Cómo funciona la seguridad de DNS y cómo proteger tus consultas de DNS

Aquí tienes algunos consejos para proteger tu tráfico DNS y reducir el riesgo de quedar expuesto:

Usa DNSSEC para asegurarte la autenticidad

DNSSEC (extensiones de seguridad del sistema de nombres de dominio) ayuda a verificar que las respuestas de DNS no se han manipulado. Actúa como firma digital que confirma que la respuesta proviene de una fuente legítima.

Cifra tus consultas de DNS

Los protocolos como DNS sobre HTTPS (DoH) y DNS sobre TLS (DoT) cifran tu tráfico DNS para ayudar a prevenir que alguien espíe o ejecute ataques de intermediario en redes públicas o sin asegurar.

Establece filtros DNS

Con el filtrado de DNS, puedes bloquear el acceso a dominios maliciosos conocidos antes incluso de que se establezca la conexión. Los centros educativos, las empresas e incluso los padres responsables usan este método para aplicar reglas de navegación más seguras. Solo tienes que elegir un servicio e introducir las direcciones DNS en los ajustes de tu dispositivo o router.

Usa un sumidero de DNS o una lista blanca

Un sumidero de DNS redirige los dominios maliciosos conocidos a una dirección IP inofensiva, mientras que la lista blanca bloquea todo excepto los sitios web previamente aprobados. Este tipo de protección es especialmente útil en infraestructuras de empresas donde se necesita un control estricto.

Comprueba periódicamente si hay fugas de DNS

Aunque uses herramientas de seguridad, es buena idea ejecutar prueba de fugas de DNS para asegurarte de que tus solicitudes no se redirigen por accidente a través de servidores DNS no seguros o no deseados. Por ejemplo, si usas Cloudflare, el test debería mostrar 1.1.1.1 o one.one.one.one, no el nombre de tu ISP o direcciones IP diferentes.

Elige un proveedor de DNS de confianza

Tu ISP es tu proveedor de DNS predeterminado, pero desde luego que puedes cambiar a un proveedor privado de DNS para disfrutar de mejor velocidad, privacidad y seguridad. Sin embargo, no todos los servicios de DNS son iguales. Elige proveedores que ofrezcan compatibilidad con DNSSEC, que tengan medidas de protección para hacer frente a ataques DDoS o interrupciones del servicio y que no registren ni vendan tus datos.

Preguntas frecuentes