¿Qué es una búsqueda DNS?

En este artículo, analizamos las búsquedas DNS: qué son, cómo funcionan y cómo afectan a la privacidad y la censura online.

Una búsqueda DNS se refiere al proceso de asociar la URL que ingresas en la barra de direcciones de tu navegador (el nombre de dominio legible) con su correspondiente dirección IP.

Todos los dispositivos que se conectan directamente a internet se identifican mediante una etiqueta numérica conocida como dirección IP. Para facilitarnos las cosas a los humanos, esta dirección también se puede identificar mediante nombres de dominio más legibles y fáciles de recordar. El Sistema de Nombres de Dominio (DNS) asocia estos nombres de dominio con sus correspondientes direcciones IP.

Más información sobre las direcciones IP

Por ejemplo, el sitio web de Proton VPN utiliza el nombre de dominio protonvpn.com, que corresponde a la dirección IP 185.159.159.140. Cuando escribes www.protonvpn.com en la barra de URL de tu navegador, el nombre de dominio debe convertirse en su dirección IP correspondiente para que los ordenadores puedan entenderlo.

Esta conversión se realiza mediante DNS. Así, cuando escribes protonvpn.com, el DNS convierte el nombre de dominio en la dirección IP: 185.159.159.140. Esto permite que tu navegador localice y se conecte al sitio web correcto.

Los nombres de dominio existen únicamente para la comodidad de los humanos y no son necesarios para que internet funcione. Si pudieras recordar las direcciones IP, podrías escribirlas directamente. Para ver esto en acción, simplemente ingresa 185.159.159.140 en la barra de URL de tu navegador y te llevará al sitio web de Proton VPN.

• Cómo funciona una búsqueda DNS
• DNS, censura y vigilancia gubernamental
• Servicios DNS de terceros
• DNS y VPN
• NetShield Ad-blocker
• Filtraciones de DNS
• Tipos de registros DNS comunes
• Comandos de búsqueda DNS
• Herramientas de búsqueda DNS

Cómo funciona una búsqueda DNS

El DNS a menudo se compara con una guía telefónica que cruza nombres de dominio con sus correspondientes direcciones IP. Esta es una analogía útil para comprender qué hace el DNS, pero la realidad de cómo funciona es más compleja.

Resolutor DNS

Cuando ingresas un nombre de dominio en la barra de URL de tu navegador, se envía una consulta DNS a un servidor especial llamado resolutor DNS (también conocido como recursor DNS o simplemente servidor DNS).

Como sugiere su nombre, el resolutor DNS «resuelve» la consulta DNS al recuperar la dirección IP correspondiente al dominio y enviarla de vuelta a tu navegador. Ahora que conoce la dirección IP del sitio web que quieres visitar, tu navegador puede conectarse a él.

Hasta aquí, todo sencillo. Pero ¿cómo recupera el resolutor DNS la dirección DNS correcta para un dominio (un proceso que se complica por el hecho de que se crean nuevos dominios todo el tiempo y las direcciones IP a menudo se asignan dinámicamente a los dominios y, por lo tanto, cambian habitualmente)?

Cómo se resuelve un dominio mediante DNS

Una búsqueda DNS para un dominio de nivel superior(ventana nueva) (TLD) generalmente implica los siguientes pasos:

1. Escribes protonvpn.com en la barra de URL de tu navegador. Tu navegador envía esta consulta a través de internet a un resolutor DNS.

2. El resolutor DNS envía una consulta a un servidor de nombres raíz DNS. Este es un servidor que almacena información sobre los TLD (como .com o .net, o TLD de códigos de país como .ch o .uk). Dado que nuestra consulta era (protonvpn.com), el servidor de nombres raíz DNS apuntaría al resolutor DNS de los TLD «.com».

3. Con esta información, el resolutor DNS consultará ahora al servidor de nombres TLD de .com, que mantiene una lista de todos los dominios .com. El servidor de nombres TLD responde con la dirección IP del servidor de nombres autoritativo del dominio.

4. El resolutor DNS ahora puede consultar al servidor de nombres autoritativo del dominio. Por lo general, esto lo gestiona un registrador de nombres de dominio(ventana nueva), una empresa que alquila y administra nombres de dominio (como GoDaddy o Namecheap). El servidor de nombres autoritativo es la fuente definitiva de información sobre el dominio y puede devolver su dirección IP al resolutor DNS (en nuestro caso, será 185.159.159.140).

5. El resolutor DNS envía la dirección IP correcta a tu navegador, que ahora puede conectarse a 185.159.159.140.

En realidad, la situación es un poco más complicada. Por ejemplo, muchos dominios están asociados con múltiples direcciones IP (incluidas las direcciones IPv4 e IPv6), y habrá pasos adicionales si visitas un subdominio (como blog.protonvpn.com).

La información también se almacena de forma rutinaria en la caché (localmente) en todas las etapas del proceso: por tu navegador, por el resolutor DNS y por los diversos servidores de nombres. Si la información requerida se encuentra en una caché, no se envía la solicitud, lo que resulta en la omisión de algunos pasos.

Sin embargo, en esencia, así es como funciona el DNS para una visita bastante estándar a un sitio web.

DNS, censura y vigilancia gubernamental

Por defecto, tu navegador envía tus consultas DNS a un resolutor DNS gestionado por tu proveedor de servicios de internet (ISP). Tu ISP puede utilizar varios métodos para ver lo que haces en internet, pero con diferencia la forma más fácil (y económica) es simplemente monitorear tus consultas DNS.

La mayoría de los programas gubernamentales de espionaje masivo se basan en exigir a los ISP que mantengan registros de los historiales de navegación de sus clientes. And, debido a que es fácil y económico, la mayoría de los ISP cumplen con estas obligaciones legales manteniendo únicamente registros DNS.

De manera similar, cuando los gobiernos desean censurar contenido de internet por motivos sociales, religiosos, políticos o «morales», piden a los ISP locales que apliquen estos bloqueos. Y la forma más fácil de hacerlo es bloquear las consultas DNS a sitios web y aplicaciones específicos.

Servicios DNS de terceros

Una forma de evitar al menos parte de esta censura y vigilancia es utilizar un resolutor DNS de terceros, como Cloudflare 1.1.1.1 u OpenNIC.

Algunos de estos servicios pueden tener buenas políticas de privacidad, pero a menos que las conexiones a los servidores del resolutor DNS estén cifradas mediante DNS sobre TLS (DoT) o DNS sobre HTTPS (DoH), tu ISP podrá ver las solicitudes en texto plano si decide mirar.

Cifrar las consultas DNS hace que sea más difícil (y, por lo tanto, más costoso) para un ISP monitorear tu historial de navegación, pero aún puede rastrear con bastante facilidad a qué sitios web y aplicaciones te conectas si así lo desea.

DNS y VPN

Al usar una VPN (como Proton VPN), tu conexión al servidor de la VPN está cifrada. Con algo de esfuerzo, tu ISP puede ver que te has conectado a una dirección IP perteneciente al servidor de la VPN, pero eso es todo.

Las consultas DNS se envían a través del túnel de la VPN y las resuelve el proveedor de la VPN, que puede tener su propio resolutor DNS o utilizar un resolutor de VPN de terceros. Esto no tiene implicaciones de privacidad, ya que las consultas DNS parecen provenir del servidor de la VPN, no del usuario de la VPN.

Aprende cómo funciona una VPN

Vale la pena señalar que no hay necesidad de un DNS cifrado cuando se usa una VPN, ya que todas las consultas DNS se envían de todos modos a través del túnel cifrado de la VPN.

Tampoco se recomienda utilizar un resolutor DNS de terceros junto con una VPN. Configurar tu sistema de esta manera puede hacer que tus consultas DNS se envíen fuera del túnel de la VPN al resolutor DNS de terceros.

Más información sobre las filtraciones de DNS

NetShield Ad-blocker

Proton VPN ofrece NetShield Ad-blocker en todas nuestras aplicaciones. Se trata de una función de filtrado DNS que bloquea las consultas DNS a dominios que se sabe que pertenecen a empresas publicitarias, rastreadores online y malware. Esta función (y otros servicios similares de filtrado de DNS) funciona a nivel del resolutor DNS simplemente al no resolver las consultas DNS destinadas a dominios de la lista de bloqueo.

Más información sobre NetShield Ad-blocker

Técnicamente, esto constituye una filtración DNS (ver más abajo). Puede que esto no sea un gran problema si la consulta DNS está cifrada y confías en el resolutor DNS, pero introduce a un tercero innecesario (y por tanto un posible punto de debilidad) en la ecuación.

Filtraciones DNS

Al usar una VPN, todas las consultas DNS deben enviarse a través del túnel VPN para que las resuelva el proveedor de VPN. Si, por cualquier motivo, la consulta DNS se envía fuera del túnel VPN a un resolutor DNS de terceros, se produce una filtración DNS. No enrutar correctamente las solicitudes DNS IPv6 a través del túnel VPN es una causa común de filtraciones DNS.

Dado que es probable que este tercero sea tu proveedor de servicios de internet, las filtraciones DNS son un problema grave de privacidad. Sobra decir que todas las aplicaciones de Proton VPN cuentan con una sólida protección integrada contra filtraciones DNS.

Tipos de registros DNS comunes

Estos son algunos de los tipos de registros DNS clave que se pueden consultar:

• Registro A (Address): asocia un nombre de dominio a una dirección IPv4. Ejemplo: example.com → 192.0.2.1
• Registro AAAA (Quad A): asocia un nombre de dominio a una dirección IPv6. Ejemplo: example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
• Registro CNAME (Canonical Name): asocia un nombre de dominio a otro nombre de dominio, creando un alias de un nombre a otro. Ejemplo: www.example.com → example.com
• Registro MX (Mail Exchange): especifica los servidores de correo electrónico responsables de recibir correos electrónicos en nombre de un dominio. Ejemplo: example.com → mail.example.com (prioridad 10; el número de prioridad indica la preferencia, dando prioridad a las solicitudes de menor prioridad).
• Registro PTR (Pointer): asocia una dirección IP a un nombre de dominio; se utiliza principalmente para búsquedas DNS inversas. Ejemplo: 192.0.2.1 → example.com
• Registro NS (Name Server): especifica los servidores de nombres autoritativos para un dominio. Ejemplo: example.com → ns1.example.com, ns2.example.com
• Registro SOA (Start of Authority): proporciona información importante sobre el dominio, incluido el servidor de nombres principal, el correo electrónico del administrador del dominio, el número de serie del dominio (que ayuda a administrar y sincronizar los datos DNS entre varios servidores DNS) y los temporizadores de actualización, reintento y expiración (Ejemplo: example.com → ns1.example.com, admin.example.com, 2024041501)
• Registro TXT (Text): contiene datos de texto arbitrarios, a menudo utilizados para la validación de correos electrónicos (como SPF o DKIM) y otros fines de verificación. Ejemplo: example.com → “v=spf1 include:example.com ~all”
• Registro SRV (Service): especifica la ubicación de los servidores para servicios específicos, como el protocolo de telefonía por internet SIP(ventana nueva), el protocolo de mensajería XMPP(ventana nueva), etc. Ejemplo: _sip._tcp.example.com → 0 5 5060 sipserver.example.com
• Registro CAA (Certification Authority Authorization): especifica qué autoridades de certificación (CA) están autorizadas a emitir certificados para un dominio. Ejemplo: example.com → 0 issue “letsencrypt.org”
• Registro NAPTR (Naming Authority Pointer): se utiliza para la resolución de URL y para definir reglas de reescritura para varios servicios como VoIP. Ejemplo: example.com → 100 50 “s” “SIP+D2U” “” _sip._udp.example.com
• DNSKEY: contiene la clave de firma pública utilizada en DNSSEC (conjunto de especificaciones diseñadas para añadir una capa adicional de seguridad a las DNS).
• . Ejemplo: example.com → 256 3 13 …
• Registro DS (Delegation Signer): contiene el hash de un registro DNSKEY para proteger las delegaciones en DNSSEC. Ejemplo: example.com → 12345 13 2 …
• Registro SPF (Sender Policy Framework): se utiliza para definir qué direcciones IP están autorizadas a enviar correos electrónicos en nombre de un dominio. Ejemplo: example.com → “v=spf1 ip4:192.0.2.0/24 -all”

Comandos de búsqueda DNS

Los comandos DNS se utilizan para consultar, probar y solucionar problemas de servidores y registros DNS. Estos comandos son esenciales para que los administradores de redes se aseguren de que los servicios DNS funcionan correctamente, ya que las DNS son cruciales para la resolución de nombres de dominio en direcciones IP.

A continuación se presentan algunos comandos DNS de uso común. Puedes ejecutar estos comandos en una ventana de terminal (Linux), Terminal (macOS), Símbolo del sistema (cmd) o PowerShell (Windows), o incluso en una aplicación de emulador de terminal en tu dispositivo móvil. Puede que no todos estos comandos estén disponibles de forma predeterminada en tu plataforma, pero en casi todos los casos son fáciles de instalar.

nslookup

El comando nslookup es una herramienta para consultar las DNS y obtener la asociación del nombre de dominio o de la dirección IP. También puedes especificar un servidor DNS concreto para utilizarlo y realizar una búsqueda DNS inversa.

dig

El comando dig (Domain Information Groper) es una herramienta de búsqueda de IP DNS más potente y flexible que nslookup. Los administradores de redes suelen preferirlo por su información detallada y sus opciones avanzadas.

Con dig, también puedes consultar un tipo de registro DNS específico, consultar un servidor DNS concreto y realizar una búsqueda DNS inversa.

host

El comando host es otra herramienta para realizar búsquedas DNS. Es más sencillo que dig, pero proporciona información suficiente para tareas básicas, como consultar un servidor DNS específico y realizar búsquedas DNS inversas.

ping

El comando ping se utiliza principalmente para comprobar la accesibilidad de un host en una red IP, pero también realiza la resolución DNS como parte de su funcionamiento.

traceroute / tracert

Los comandos traceroute (en Linux y macOS) y tracert (en Windows) se utilizan para rastrear la ruta de un paquete, desde su origen hasta su destino. Resuelven el nombre de dominio en una dirección IP y muestran cada salto en el camino hacia el destino.

ipconfig / ifconfig

Los comandos ifconfig (en Linux y macOS) e ipconfig (en Windows) se pueden utilizar para mostrar la configuración de la red, incluidos los servidores DNS que está utilizando el sistema. Cuando se utiliza por sí solo, muestra únicamente las interfaces activas. Para ver todas las interfaces en Windows, utiliza ipconfig /all.

Herramientas de búsqueda DNS

Además de las herramientas de línea de comandos como las mencionadas anteriormente, existen muchas herramientas de búsqueda DNS en línea que proporcionan una interfaz gráfica de usuario (GUI) para consultar las DNS. Un buen ejemplo es nuestro escáner de IP seguro y gratuito, que te permite realizar búsquedas DNS normales, búsquedas MX, búsquedas NS, búsquedas CNAME y búsquedas TXT.

También puede realizar búsquedas DNS inversas (búsqueda de IP).

Reflexiones finales

En el fondo, el DNS no es más que una agenda telefónica automatizada y complicada. Hace que internet sea utilizable para los humanos, pero los gobiernos pueden abusar (y de hecho lo hacen) de él para espiar a sus ciudadanos y censurar lo que ven. La mejor manera de evitar estos abusos del DNS es utilizar un servicio de VPN como Proton VPN.

Un servicio de VPN resuelve de forma segura tus consultas DNS en lugar de tu proveedor de servicios de internet, y la mayoría de los servicios de VPN de buena reputación se encargan de proteger tu privacidad.

Por supuesto, una VPN también ofrece muchas otras ventajas, como ocultar tu dirección IP real de los sitios web que visitas, proporcionar una mayor protección para evitar que los proveedores de servicios de internet monitoricen o censuren tu actividad en internet, poder ver en streaming tu contenido favorito cuando viajas y mucho más.

Más información sobre las ventajas de usar una VPN