T
dns security dig dnssec dnsbl sysadmin

Guía de Seguridad y Herramientas DNS Avanzadas: Domina dig, DNSSEC y DNSBL

Una guía completa sobre seguridad y diagnóstico DNS. Aprende a usar el comando dig, validar DNSSEC y comprobar la reputación de IPs con DNSBL/RBL.

2026-04-12

Guía de Seguridad y Herramientas DNS Avanzadas: Domina dig, DNSSEC y DNSBL

El Sistema de Nombres de Dominio (DNS) a menudo se llama la "guía telefónica de internet". Aunque su trabajo principal es traducir nombres legibles por humanos como example.com en direcciones IP, el DNS moderno involucra capas de seguridad complejas y herramientas de diagnóstico. Esta guía cubre herramientas esenciales para administradores de red y desarrolladores: el comando dig, DNSSEC para seguridad y DNSBL para la gestión de la reputación.

Dominando el comando dig

El comando dig (Domain Information Groper) es una herramienta flexible para interrogar servidores de nombres DNS. Es el sucesor de nslookup y es preferido por los administradores de sistemas por su salida detallada.

Sintaxis Básica

dig @servidor_nombres dominio tipo

Ejemplos Comunes

  • Buscar registro A: dig google.com A
  • Buscar registros MX (Correo): dig google.com MX
  • Usar un servidor DNS específico (ej. Google DNS): dig @8.8.8.8 google.com
  • Salida corta (solo IP): dig google.com +short
  • Rastrear la delegación: dig google.com +trace (Ideal para encontrar dónde falla una búsqueda)

DNSSEC: Asegurando la Guía Telefónica

El DNS estándar es vulnerable al "envenenamiento de caché" o "spoofing", donde un hacker envía datos DNS falsos a un resolvedor. DNSSEC (Domain Name System Security Extensions) añade firmas criptográficas a los registros DNS, asegurando que los datos sean auténticos y no hayan sido manipulados.

Cómo funciona DNSSEC

  1. RRSIG: Cada conjunto de registros se firma con una clave privada.
  2. DNSKEY: La clave pública utilizada para verificar la firma se almacena en el DNS.
  3. DS (Delegation Signer): Un hash de la clave pública se almacena en la zona padre (ej. .com almacena el registro DS para example.com).

Validando DNSSEC

Puedes comprobar si un dominio tiene DNSSEC válido usando:

dig example.com +dnssec

Busca el registro RRSIG en la sección de respuestas (answer section).

DNSBL/RBL: Protegiendo contra el Spam

DNSBL (DNS-based Blackhole List), también conocido como RBL (Real-time Blackhole List), es un mecanismo utilizado para rastrear direcciones IP que son fuentes conocidas de spam o malware.

Los servidores de correo utilizan DNSBL para decidir si aceptan el correo entrante. Si la IP del remitente está en una lista negra, el correo es rechazado o marcado como spam.

Cómo comprobar una Lista Negra

La mayoría de las DNSBL utilizan un formato de consulta DNS específico: ip-invertida.dominio-lista-negra

Ejemplo (Comprobando si 1.2.3.4 está en Spamhaus): dig 4.3.2.1.zen.spamhaus.org

  • Si devuelve una IP (normalmente 127.0.0.x), está listada.
  • Si devuelve NXDOMAIN, no está listada.

Tabla Comparativa: Tipos de Registros DNS

Tipo Nombre Completo Propósito Valor de Ejemplo
A Address Mapea dominio a IPv4 93.184.216.34
AAAA IPv6 Address Mapea dominio a IPv6 2606:2800:220:1:248:1893:25c8:1946
CNAME Canonical Name Alias para otro dominio web.example.com
MX Mail Exchange Ruta para el correo 10 mail.example.com
TXT Text Notas legibles por humanos/máquinas v=spf1 include:_spf.google.com ~all
CAA Certificate Auth Limita qué CAs pueden emitir certificados 0 issue "letsencrypt.org"

FAQ: Problemas Comunes de DNS

P: Mis cambios DNS no aparecen. ¿Por qué?

R: Esto se debe normalmente al TTL (Time To Live). Los resolvedores almacenan en caché los registros DNS. Si tu TTL se estableció en 86400 (24 horas), podría tardar ese tiempo en propagarse globalmente.

P: ¿Cuál es la diferencia entre DNS Recursivo y Autoritativo?

R: Los servidores recursivos (como 8.8.8.8) encuentran la información por ti. Los servidores autoritativos son la fuente oficial de la verdad para un dominio específico.

P: ¿Por qué la IP de mi servidor está en lista negra?

R: Tu servidor podría estar enviando spam (tal vez debido a un script comprometido) o estás usando un rango de IP "sucio" usado previamente por spammers. Usa una herramienta de comprobación DNSBL para encontrar en qué listas estás.

Herramientas Relacionadas

  • Comando dig en línea: Ejecuta consultas DNS complejas desde tu navegador (Próximamente).
  • Validador DNSSEC: Comprueba la salud criptográfica de tu dominio.
  • Comprobador de Listas Negras: Verifica si tu IP está en alguna de las principales DNSBL/RBL.
  • Generador de Archivos de Zona DNS: Crea archivos BIND/Zone válidos para tu servidor.
Volver al blog