Cómo los Problemas de DNS Pueden Dejar tu Web Caída

Algunas de las caídas más desconcertantes ocurren cuando el servidor web funciona bien, la aplicación no tiene errores y, aun así, nadie puede acceder a la web. Muy a menudo la causa es el sistema de nombres de dominio (DNS). Este artículo explica cómo funciona el DNS, qué problemas dejan una web sin servicio, cómo diagnosticarlos y cómo hacer cambios de DNS sin provocar caídas.

Cómo funciona el DNS, en pocas palabras

Los ordenadores se conectan entre sí mediante direcciones IP, como 203.0.113.10 (IPv4) o 2001:db8::10 (IPv6). El DNS traduce nombres fáciles de recordar, como example.com, a esas direcciones. El sistema se describe en las especificaciones originales RFC 1034 y RFC 1035, ampliadas por muchos estándares posteriores.

Cuando un visitante escribe tu dominio, ocurre más o menos esto:

1. El dispositivo del visitante pregunta a un resolvedor recursivo, normalmente gestionado por su proveedor de internet, la red de su empresa o un servicio de DNS público.
2. Si el resolvedor no tiene una respuesta en caché, pregunta a los servidores raíz y después a los servidores del dominio de primer nivel (como .com o .es), que le remiten a los servidores de nombres autoritativos de tu dominio.
3. Tus servidores de nombres autoritativos responden con los registros que configuraste, como el registro A con la dirección IP de tu servidor.
4. El resolvedor guarda la respuesta en caché durante el TTL (time to live, o tiempo de vida) del registro y se la devuelve al dispositivo del visitante, que entonces se conecta a tu servidor.

Si algo falla en esta cadena o devuelve una respuesta incorrecta, los visitantes nunca llegan a tu servidor.

Registros que importan para una web

Problemas de DNS habituales que provocan caídas

1. Registro de dominio caducado

Si el registro del dominio caduca, el registro de la extensión deja de publicar su delegación a los servidores de nombres y el dominio deja de resolverse por completo. Suele ocurrir porque falló el pago de la renovación o porque los recordatorios fueron a una dirección de correo antigua.

2. Registros incorrectos o que faltan tras una migración

Cambiar de hosting o de proveedor de DNS es uno de los momentos de más riesgo. Los errores típicos son apuntar el registro A a una IP antigua, olvidar el registro www o cambiar los servidores de nombres a un nuevo proveedor antes de haber recreado allí todos los registros.

3. Borrados accidentales o erratas

Una sola cifra equivocada en una dirección IP, o un registro borrado durante una limpieza, basta para dejar una web inaccesible.

4. Caída del proveedor de DNS

Si tu proveedor de DNS autoritativo sufre una caída, los resolvedores no pueden obtener respuestas nuevas cuando caducan sus copias en caché. Usar un proveedor fiable y, para los dominios críticos, varios proveedores reduce este riesgo.

5. Cachés desactualizadas tras un cambio

Los resolvedores guardan las respuestas en caché durante el TTL. Si cambias un registro que tenía un TTL de 24 horas, algunos visitantes pueden seguir recibiendo la respuesta antigua hasta un día. Si el servidor antiguo ya está apagado, esos visitantes sufren una caída.

6. Registros IPv6 que no apuntan a nada

Si un dominio tiene un registro AAAA pero el servidor no acepta realmente conexiones por IPv6, los visitantes en redes IPv6 pueden sufrir fallos o un cambio lento a IPv4, mientras que todos los que usan IPv4 ven la web funcionando. Es un problema desconcertante del tipo "a mí me funciona".

7. DNSSEC mal configurado

DNSSEC añade firmas criptográficas a las respuestas DNS. Mejora la seguridad, pero una discrepancia entre las claves del registro y las firmas que sirve tu proveedor, por ejemplo tras cambiar de proveedor, hace que los resolvedores que validan rechacen tu dominio por completo.

8. CNAME en la raíz de la zona

El DNS estándar no permite un CNAME en la raíz de un dominio (example.com) junto con otros registros obligatorios. Algunos proveedores ofrecen alternativas (a menudo llamadas ALIAS, ANAME o CNAME flattening). Equivocarse aquí puede romper el dominio sin www mientras www sigue funcionando.

Cómo diagnosticar problemas de DNS

Reconoce los síntomas

Errores del navegador como "Servidor no encontrado", "No se puede acceder a este sitio" o DNS_PROBE_FINISHED_NXDOMAIN significan que no se pudo resolver el nombre. Un monitor de uptime lo indica como un fallo de DNS y no como un tiempo de espera agotado o un error HTTP.

Consulta los registros

Usa nuestra herramienta gratuita de consulta DNS para ver los registros A, AAAA, CNAME, MX, NS y TXT de un dominio desde nuestro resolvedor. Desde un terminal, dig te da más control:

# El registro A según tu resolvedor predeterminado
dig example.com A +short

# ¿Qué servidores de nombres son autoritativos para el dominio?
dig example.com NS +short

# Pregunta directamente a un servidor autoritativo, sin pasar por las cachés
dig @ns1.example-dns.net example.com A

# Sigue toda la ruta de delegación desde la raíz
dig example.com +trace

En Windows, nslookup example.com ofrece un equivalente básico.

Compara las respuestas

• Si el servidor autoritativo devuelve la respuesta correcta pero tu resolvedor no, probablemente estás viendo un valor antiguo en caché. Espera a que caduque el TTL.
• Si el servidor autoritativo devuelve la respuesta incorrecta, corrige el registro en tu proveedor de DNS.
• Si +trace se detiene en el dominio de primer nivel, revisa el registro del dominio y la delegación de los servidores de nombres en tu registrador.

Cómo cambiar registros DNS con seguridad

1. Documenta los registros actuales antes de cambiar nada. Exporta la zona si tu proveedor lo permite.
2. Baja el TTL con antelación. Uno o dos días antes de un cambio previsto, reduce el TTL de los registros que vas a modificar (por ejemplo, a 300 segundos). Cuando haya pasado el TTL antiguo, más largo, los cambios se propagarán rápido.
3. Mantén el servidor antiguo en marcha hasta que todo el tráfico haya pasado al nuevo.
4. Al cambiar de proveedor, recrea primero todos los registros, compruébalos consultando directamente los servidores de nombres del nuevo proveedor y solo entonces cambia los servidores de nombres en el registrador.
5. Trata DNSSEC con cuidado durante el cambio de proveedor, siguiendo las instrucciones de ambos proveedores.
6. Compruébalo desde fuera con una consulta DNS y con la herramienta para comprobar si una web está caída, y después vuelve a un TTL normal.

Lista de prevención

• Activa la renovación automática de tus dominios y mantén al día los datos de contacto del registrador.
• Usa un proveedor de DNS fiable y limita quién puede editar los registros.
• Activa la autenticación en dos pasos en las cuentas del registrador y del DNS para reducir el riesgo de secuestro.
• Elimina los registros AAAA salvo que el servidor sea realmente accesible por IPv6.
• Monitorea tu web desde fuera para detectar rápido los fallos de DNS.

UptimeStats clasifica los fallos de DNS por separado de los tiempos de espera agotados, los errores de SSL y los errores HTTP, para que un problema de DNS quede identificado como tal en tu alerta y en tu historial de incidentes. Para conocer otras causas de caídas, consulta ¿Qué provoca que una web se caiga?