Hispanopedia Wiki
Articulo de referencia

Servidor Blackhole

Los servidores DNS de agujero negro son servidores del Sistema de Nombres de Dominio (DNS) que devuelven una respuesta de "dirección inexistente" a las búsquedas DNS inversas de...

Hispanopedia WikiContenido en espanolLectura gratuita

Los servidores DNS de agujero negro son servidores del Sistema de Nombres de Dominio (DNS) que devuelven una respuesta de "dirección inexistente" a las búsquedas DNS inversas de direcciones reservadas para uso privado.

Fondo

En IPv4 existen varios rangos de direcciones de red reservados para su uso en redes privadas : [ 1 ]

Las consultas DNS inversas se utilizan para asignar direcciones IP a nombres de dominio. Son consultas PTR para subdominios de in-addr.arpa (para direcciones IPv4) [ 3 ] e ip6.arpa (para direcciones IPv6). [ 4 ] Por ejemplo, para encontrar el nombre de dominio asociado con la dirección IP 203.0.113.22, se enviaría una consulta PTR para 22.133.0.203.in-addr.arpa .

Los hosts mal configurados [ 5 ] suelen enviar consultas DNS inversas de direcciones privadas al DNS público. El DNS público no puede responder de forma significativa a estas consultas, ya que estas direcciones están reservadas para redes privadas y no pueden corresponder a un único nombre de dominio público. Sin ninguna mitigación, estas consultas sobrecargarían innecesariamente los servidores de nombres in-addr.arpa e ip6.arpa . [ 6 ]

Role

Para hacer frente a este problema, la Autoridad de Números Asignados de Internet (IANA) ha establecido tres servidores DNS especiales llamados "servidores de agujero negro". Actualmente, los servidores de agujero negro son: [ 7 ]

  • blackhole-1.iana.org ( 192.175.48.6 )
  • blackhole-2.iana.org ( 192.175.48.42 )
  • prisoner.iana.org ( 192.175.48.1 )

Estos servidores están registrados en el directorio DNS como servidores autoritativos para la zona de búsqueda inversa de las direcciones 10.0.0.0/8 , 172.16.0.0/12 y 192.168.0.0/16 . Estos servidores están configurados para responder a cualquier consulta con una respuesta de "dirección inexistente". Esto ayuda a reducir los tiempos de espera porque la respuesta ( negativa) se da inmediatamente y, por lo tanto , no es necesario esperar a que se agote el tiempo de espera. Además, la respuesta devuelta también puede ser almacenada en caché por los servidores DNS recursivos. Esto es especialmente útil porque una segunda búsqueda para la misma dirección realizada por el mismo nodo probablemente se respondería desde la caché local en lugar de consultar nuevamente a los servidores autoritativos. Esto ayuda a reducir significativamente la carga de la red. Según la IANA, "los servidores blackhole generalmente responden miles de consultas por segundo". [ 8 ] Debido a que la carga en los servidores blackhole de la IANA se volvió muy alta, se ha creado un servicio alternativo, AS112, operado principalmente por voluntarios.

AS112

El proyecto AS112 es un grupo de operadores voluntarios de servidores de nombres que trabajan en un sistema autónomo . Estos operadores gestionan instancias anycast de los servidores de nombres que responden a consultas DNS inversas de direcciones de red privadas y de enlace local enviadas a Internet. Estas consultas son ambiguas por naturaleza y no pueden responderse correctamente. Proporcionar respuestas negativas reduce la carga en la infraestructura DNS pública.

Historia

Antes de 2001, las zonas in-addr.arpa para las redes privadas [ 1 ] se delegaban a una única instancia de servidores de nombres, blackhole-1.iana.org y blackhole-2.iana.org, llamados servidores blackhole. Los servidores administrados por IANA estaban bajo una carga creciente debido a redes NAT mal configuradas, filtrando consultas DNS inversas , lo que también causaba una carga innecesaria en los servidores raíz . La decisión fue tomada por un pequeño subconjunto de operadores de servidores raíz para ejecutar las delegaciones inversas; cada uno anunciando la red usando el número de sistema autónomo 112. [ 9 ] Posteriormente, el grupo de voluntarios ha crecido para incluir a muchas otras organizaciones.

Un enfoque más reciente, que utiliza la redirección DNAME, fue adoptado por la IETF en mayo de 2015. [ 6 ] [ 10 ] En lugar de requerir que los operadores del servidor de agujero negro AS112 configuren manualmente cada una de las zonas que se van a bloquear, se configura una única zona vacía empty.as112.arpa , que actúa como destino DNAME para cualquier zona que se vaya a bloquear. Esto facilita agregar y eliminar dichas zonas del DNS, especialmente considerando que AS112 es administrado por muchos operadores voluntarios independientes. Para esto, la IANA ha asignado nuevos prefijos IPv4 e IPv6 para el servidor de nombres blackhole.as112.arpa que responde de manera autorizada para la zona. Una vez que sea evidente que el nuevo diseño se ha implementado suficientemente, los antiguos servidores de nombres blackhole-1/2.iana.org pueden ser retirados y las delegaciones de zona ser reemplazadas con registros DNAME, aunque esto aún no ha sucedido para las zonas que se indican a continuación a junio de 2026.

Zonas respondidas

Los servidores de nombres que participan en el proyecto AS112 están configurados para responder de forma autorizada para las siguientes zonas:

  • Para las redes privadas 10.0.0.0 / 8 , 172.16.0.0 / 12 y 192.168.0.0 / 16 : [ 1 ]
    • 10.en-dirección.arpa
    • 16.172.in-addr.arpa
    • 17.172.in-addr.arpa
    • 18.172.in-addr.arpa
    • 19.172.in-addr.arpa
    • 20.172.in-addr.arpa
    • 21.172.in-addr.arpa
    • 22.172.in-addr.arpa
    • 23.172.in-addr.arpa
    • 24.172.in-addr.arpa
    • 25.172.in-addr.arpa
    • 26.172.in-addr.arpa
    • 27.172.in-addr.arpa
    • 28.172.in-addr.arpa
    • 29.172.in-addr.arpa
    • 30.172.in-addr.arpa
    • 31.172.in-addr.arpa
    • 168.192.in-addr.arpa
  • Para las direcciones de enlace local 169.254.0.0 / 16 : [ 11 ]
    • 254.169.in-addr.arpa
  • Para ciertos nombres de dominio de uso especial: [ 12 ]
    • inicio.arpa
  • Para fines de identificación única: [ 6 ]
    • hostname.as112.net
    • hostname.as112.arpa

Referencias

  1. 1 2 3 Y. Rekhter; B. Moskowitz; D. Karrenberg; GJ de Groot; E. Lear (febrero de 1996). Asignación de direcciones para Internets privadas . Grupo de trabajo de redes. doi : 10.17487/RFC1918 . BCP 5. RFC 1918 .Actualizado por RFC 6761.
  2. ↑ Y. Rekhter ; B. Moskowitz; D. Karrenberg; GJ de Groot; E. Lear (febrero de 1996). Asignación de direcciones para Internets privadas . Grupo de trabajo de redes. doi : 10.17487/RFC1918 . BCP 5. RFC 1918 .Mejor práctica actual 5. Deja obsoletas las RFC 1627 y 1597. Actualizada por la RFC 6761 .  
  3. ↑ Nombres de dominio: implementación y especificación (Informe). Grupo de trabajo de ingeniería de Internet. Noviembre de 1987.
  4. ↑ Huitema, Christian; Crawford, Matt (julio de 2000). Extensiones DNS para admitir la agregación y renumeración de direcciones IPv6 (Informe). Grupo de trabajo de ingeniería de Internet.
  5. ↑ Broido, Andre; Hyun, Young; Fomenkov, Marina; claffy, kc (2006-07-05). "Las ventanas de actualizaciones DNS privadas" . SIGCOMM Comput. Commun. Rev. 36 ( 3): 93– 98. doi : 10.1145/1140086.1140098 . ISSN 0146-4833 . 
  6. 1 2 3 J. Abley; W. Sotomayor (mayo de 2015). Operaciones del servidor de nombres AS112 . IETF . doi : 10.17487/RFC7534 . RFC 7534 .Deja obsoleto el RFC 6304.
  7. ↑ J. Abley; W. Maton (julio de 2011). ¡ Estoy siendo atacado por PRISONER.IANA.ORG! . IETF . doi : 10.17487/RFC6305 . ISSN 2070-1721 . RFC 6305 . 
  8. ↑ "Preguntas frecuentes sobre cuestiones de abuso" . IANA.
  9. ↑ T. Hardie (abril de 2002). Distribución de servidores de nombres autoritativos a través de direcciones unicast compartidas . Grupo de trabajo de redes IETF . doi : 10.17487/RFC3258 . RFC 3258 .
  10. ↑ J. Abley; B. Dickson; W. Kumari; G. Michaelson (mayo de 2015). Redirección AS112 usando DNAME . IETF . doi : 10.17487/RFC7535 . RFC 7535 .
  11. ↑ S. Cheshire; B. Aboba; E. Guttman (mayo de 2005). Configuración dinámica de direcciones de enlace local IPv4 . Grupo de trabajo de redes IETF . doi : 10.17487/RFC3927 . RFC 3927 .
  12. ↑ Pfister, Pierre; Lemon, Ted (mayo de 2018). Dominio de uso especial 'home.arpa' (Informe). Grupo de trabajo de ingeniería de Internet.
  • Las preguntas frecuentes sobre abusos de IANA, que contienen información sobre los servidores blackhole.
  • Página web AS112
  • Notas de la reunión de RSSAC en Atlanta, 2002, que describen el impacto de las consultas de red de RFC 1918 en los servidores raíz. 
  • Lista de correo para operadores de AS112.
Lecturas relacionadas
6 articulos
Sistema de nombres de dominioSistema de nombres de dominioInvestigación y desarrollo tempranos:Reverse DNS lookupReverse DNS lookupIn computer networks, a reverse DNS lookup or reverse DNS resolution (rDNS) is the querying technique of the Domain Name System (DNS) to determine ...Direcciones IP reservadasDirecciones IP reservadasEn la arquitectura de direccionamiento de Internet , el Grupo de Trabajo de Ingeniería de Internet (IETF) y la Autoridad de Números Asignados de In...IPv4IPv4El Protocolo de Internet versión 4 ( IPv4 ) es la primera versión del Protocolo de Internet (IP) como especificación independiente. Es uno de los p...Red privadaEn las redes de Internet, una red privada es una red informática que utiliza un espacio de direcciones IP privadas . Estas direcciones se utilizan ...Dirección IPDirección IPUna dirección de Protocolo de Internet ( dirección IP ) es una etiqueta numérica como 192.0.2.1 que se asigna a un dispositivo conectado a una red ...