Puntos clave
- El DNS directo y el inverso son sistemas independientes: añadir un nombre DNS no crea la entrada inversa correspondiente, así que hay que gestionar ambos lados por separado.
- La falta de DNS inverso causa problemas poco visibles, pero graves: la mayoría de los sistemas seguirán conectándose, pero la entrega de correo, las herramientas de seguridad y los logs pierden fiabilidad o resultan menos creíbles.
- El DNS necesita limpieza continua para seguir siendo preciso: los cambios de DHCP, el envejecimiento y la depuración son necesarios para evitar que los registros antiguos o incorrectos se acumulen con el tiempo y saturen el sistema.
- El DNS inverso importa allí donde hacen falta identidad y confianza: los servidores de correo, la monitorización de seguridad y las herramientas de administración dependen de él mucho más que las subredes de usuarios.
- Responsabilidades claras y revisiones periódicas evitan fallos silenciosos: limitar los accesos, registrar los cambios y validar las consultas desde los clientes mantienen el DNS fiable y auditable.
Los errores en la configuración del DNS directo e inverso pueden afectar gravemente a la conectividad y a la seguridad de la red corporativa. En esta guía te explicamos las mejores prácticas que conviene seguir para configurar búsquedas DNS directas e inversas, incluidos los registros PTR, el envejecimiento (aging) y la depuración (scavenging) de registros DNS.
¿Qué es el DNS?
El DNS (sistema de nombres de dominio) es el sistema distribuido cliente-servidor que asocia nombres de dominio (como www.example.com) con las direcciones IP de los servidores. Existe para que puedas usar nombres al navegar por sitios web, enviar correos electrónicos y acceder a otros servicios, en lugar de tener que recordar direcciones IP difíciles de memorizar. Los servidores DNS almacenan registros DNS que asignan nombres a direcciones IP, y tus dispositivos los consultan a través de un solucionador de DNS. Para facilitar su gestión, los registros DNS se dividen en zonas por dominio o subdominio, y cada zona tiene su propio archivo de zona donde se guardan los registros.
Diferencias entre la búsqueda DNS directa y la inversa
Una búsqueda DNS directa se produce cuando se introduce un nombre de dominio y se devuelve una dirección IP (IPv4 o IPv6). La búsqueda DNS inversa hace lo contrario: se introduce una dirección IP y se devuelve el nombre de dominio asociado.
Para ello se necesita un registro PTR (registro de puntero), que utiliza un nombre de dominio especial in-addr.arpa (.ip6.arpa en el caso de IPv6) para almacenar las direcciones IP con sus segmentos invertidos. Por ejemplo, 192.168.0.1 se convierte en 1.0.168.192.in-addr.arpa. Estos registros se guardan en su propia zona y, sin un registro PTR, el DNS inverso no funciona, ya que no hay forma de saber qué nombre de dominio está asociado a una dirección IP.
Por qué necesitas tanto el DNS directo como el inverso
Las zonas de búsqueda DNS directa e inversa no se sincronizan automáticamente, y crear un registro DNS directo no genera el inverso, así que tienes que mantener ambas. El DNS inverso y los registros PTR no son obligatorios al configurar el DNS (a diferencia de las búsquedas directas, sin las cuales todo el sistema DNS no tendría sentido), y a menudo se quedan sin configurar. Sin embargo, resultan imprescindibles en algunos casos de uso, especialmente en el correo electrónico.
Las herramientas de detección de spam utilizan el DNS inverso para comprobar si el mensaje procede realmente del servidor del que dice proceder, lo que ayuda a prevenir el spam y los ataques de suplantación de correo electrónico. La mayoría de los sistemas de correo rechazan los mensajes que llegan desde un dominio sin DNS inverso configurado.
El DNS inverso también resulta útil para administradores de TI y desarrolladores que quieren ver nombres de dominio legibles en las consultas y en los archivos de registro.
Qué necesitas para configurar las zonas de búsqueda DNS directa e inversa
Existen mejores prácticas consolidadas que deberías seguir al crear zonas de búsqueda DNS directa e inversa para evitar problemas de red y reforzar la seguridad.
| Mejor práctica de DNS | Resultado | Valor real que aporta |
| Paridad entre los registros DNS directos e inversos | Asignación precisa de registros | Los registros y los analytics de seguridad son más precisos y comprensibles |
| Actualizaciones seguras mediante DHCP | Datos DNS actualizados con regularidad | Menos registros obsoletos o ausentes |
| Envejecimiento y depuración de registros DNS | Mejor higiene del DNS | Zonas más limpias con el paso del tiempo |
| Validación desde los clientes DNS | Certeza de que el DNS funciona correctamente | Confianza en el funcionamiento y en la postura de seguridad |
| Control de acceso y registro de actividad | Gobernanza y supervisión | Operaciones DNS fiables y auditables |
Para lograrlo, necesitarás lo siguiente:
- Una lista de las zonas DNS autoritativas y de las subredes IP que requieren zonas de búsqueda inversa
- Acceso a las herramientas de administración de DNS y DHCP
- Ventanas de cambio definidas para la configuración, las pruebas y el despliegue
- Hosts de prueba en cada sede o subred para validar desde el cliente
- Acceso a la línea de comandos o a PowerShell para hacer consultas DNS y revisar la caché
Mejor práctica 1: planifica las zonas y los registros DNS, y asigna responsables
La planificación es clave para que cualquier sistema de TI funcione bien a largo plazo. Cuando diseñes tu implementación de DNS, traza con cuidado las zonas directas y los subdominios, y después las zonas inversas, garantizando la paridad entre unas y otras. Aunque el DNS inverso no es obligatorio, asegúrate de configurarlo en las zonas que gestionan correo saliente. Asignar responsables también contribuye a mantener la fiabilidad y la seguridad del sistema DNS, y ayuda a optimizar tu equipo de TI.
Mejor práctica 2: crea los tipos de registro adecuados para las búsquedas directas
Asegúrate de crear el tipo de registro DNS adecuado al configurar tu sistema DNS. Utiliza registros A y AAAA para los hosts estáticos y los servicios clave, y registros CNAME (nombre canónico) para los nombres orientados al cliente que puedan cambiar. Así no tendrás que actualizar las configuraciones de los clientes que apuntan a registros CNAME si cambia el nombre de dominio al que hacen referencia.
Mejor práctica 3: crea zonas de búsqueda inversa y registros PTR que coincidan con los registros DNS directos
Al crear los registros PTR de tus zonas de búsqueda inversa, comprueba que coinciden con los registros A y AAAA existentes. En las subredes que no gestionas tú, verifica que la autoridad upstream sea la correcta en las redes públicas, o coordina la delegación con la parte que las controla.
Mejor práctica 4: activa las actualizaciones dinámicas seguras con DHCP
Puedes usar el registro automático en DNS a través de DHCP siempre que tu servidor DHCP lo admita (en Windows Server se conoce como «actualizaciones dinámicas de DNS»). Esto permite que los dispositivos cliente actualicen sus registros en el servidor DNS cuando cambia su dirección IP, lo que reduce el trabajo manual de administración. Utiliza actualizaciones seguras y configura el envejecimiento y la depuración con intervalos adecuados (según el comportamiento de los dispositivos en tu red) para mejorar aún más la higiene y la seguridad general de la red.
Mejor práctica 5: valida la resolución y la caché de extremo a extremo
En los dispositivos cliente (por ejemplo, estaciones de trabajo con Windows), usa las herramientas locales de diagnóstico de DNS para probar las búsquedas directas e inversas y confirmar que están bien configuradas y se aplican correctamente. Usa los comandos nslookup o ipconfig desde el símbolo del sistema de Windows, o Resolve-DnsName desde PowerShell. En Linux o macOS, utiliza la utilidad de consulta DNS dig.
Puedes automatizar la ejecución de estos comandos en los dispositivos cliente y recopilar sus resultados con una plataforma de monitorización y gestión remota (RMM). También conviene revisar los registros del servidor DNS después de cada cambio para confirmar que los registros se han dado de alta correctamente.
Mejor práctica 6: resuelve los fallos más habituales
Hay varios problemas frecuentes a los que debes prestar atención tras modificar tus zonas DNS directas e inversas:
- Las búsquedas directas funcionan, pero las inversas fallan porque no se han creado los registros PTR correspondientes.
- Si una búsqueda DNS inversa devuelve un nombre incorrecto, normalmente se debe a registros PTR obsoletos o a registros A/AAAA duplicados.
- Los errores NXDOMAIN (dominio inexistente) aparecen cuando no se encuentra ningún registro para el dominio.
- Las entradas del archivo hosts local en los clientes pueden interferir tanto en las búsquedas directas como en las inversas.
También hay otros motivos por los que un servidor DNS puede no responder, como tiempos de espera agotados, firewalls y servidores inaccesibles, que se pueden diagnosticar tanto en el cliente como en la red.
Mejor práctica 7: gobernanza y seguridad
El DNS es un componente esencial de tu red, y una configuración deficiente puede servir de apoyo a los ciberataques. Limita quién puede gestionar los registros, y registra y revisa todos los cambios. Revisa periódicamente la configuración de envejecimiento y depuración para que tus registros DHCP y DNS se mantengan limpios y no se acumulen entradas obsoletas. Vigila también los volúmenes inusuales de nuevos registros A o PTR, ya que pueden indicar un ataque de suplantación de DNS.
NinjaOne automatiza la configuración y la validación del DNS directo e inverso
Incluso los sistemas DNS mejor planificados se degradan con el tiempo por la deriva de configuración, los registros obsoletos y los cambios en los requisitos, si no se monitorizan y mantienen de forma continua.
NinjaOne ofrece una plataforma automatizada de monitorización y gestión de TI capaz de programar tareas para exportar registros y logs de DNS y DHCP, compararlos con las concesiones activas y el inventario, y señalar los PTR ausentes y los registros obsoletos. Las consultas de validación se pueden ejecutar mediante scripts desde los clientes para comprobar el funcionamiento de extremo a extremo, y los informes se pueden generar y almacenar en la plataforma de documentación de TI integrada en NinjaOne.
Cuando hace falta actuar, NinjaOne puede generar tickets de soporte automáticamente y escalarlos si es necesario, de modo que tu sistema DNS esté siempre configurado según las mejores prácticas y deje de ser un vector de riesgo para la ciberseguridad.
