Registro A (Nome para IP)

1. Definição e Papel Fundamental

O Registro A (Address Record) é o pilar mais antigo e fundamental de todo o sistema de nomes de domínio. Padronizado na RFC 1035 em 1987, sua função técnica é mapear um nome de host (como servidor.empresa.com) para um endereço IPv4 de 32 bits. É através dele que a abstração de nomes do usuário final se encontra com o roteamento físico e a numeração binária da pilha de rede TCP/IP. Sem registros A, a navegação na Internet seria restrita ao conhecimento manual de endereços numéricos, inviabilizando a escalabilidade global da rede.

2. Estrutura Técnica e Armazenamento Binário

O registro A possui uma das estruturas de dados mais simples e eficientes de todo o DNS, ocupando apenas 4 bytes no campo de dados:

• TYPE (Tipo): Identificado pelo valor decimal 1 (0x0001 em hexadecimal).
• CLASS (Classe): IN (Internet), valor 1 — praticamente universal hoje.
• TTL (Time To Live): Define quanto tempo o resolvedor caching pode reter a resposta.
• RDLENGTH: Tamanho do RDATA, sempre fixo em 4 para o registro A.
• RDATA (Resource Data): Contém exatamente 4 octetos (32 bits), representando os quatro números do endereço IPv4 (ex: 192.0.2.1).
• NAME (Nome): Refere-se a um host individual ou ao domínio no nível da raiz da zona (o chamado Apex Domain ou @).

Representação em Arquivo de Zona

; Nome    TTL   Classe  Tipo  Valor
@         3600  IN      A     203.0.113.10
www       300   IN      A     203.0.113.11
www       300   IN      A     203.0.113.12
api       60    IN      A     198.51.100.5

3. Implementação de Balanceamento via Round-Robin

Uma das aplicações técnicas mais poderosas do registro A é a distribuição de tráfego simplificada (DNS Round-Robin).

• Múltiplos Recordes: Um administrador pode inserir vários registros A para o mesmo nome (ex: www.google.com apontando para três IPs diferentes).
• Mecanismo de Resposta: O servidor DNS, em cada consulta, altera a ordem dos endereços na resposta (rotação cíclica). O cliente (navegador) tenta conectar no primeiro IP da lista e, se falhar, tenta o segundo, distribuindo a carga de rede organicamente entre múltiplos servidores.

Limitações do Round-Robin DNS

Por essas limitações, em ambientes modernos o Round-Robin DNS é combinado com balanceadores L4/L7 (NGINX, HAProxy) e soluções como GeoDNS para distribuição geográfica.

4. O Papel Estratégico nas Glue Records (Registros de Cola)

Em um contexto de delegação hierárquica, o registro A desempenha um papel de "quebra de ciclo".

• Problema: Se o domínio empresa.com delega sua autoridade para ns1.empresa.com, como encontrar o IP do servidor se ele mesmo está dentro do domínio que ele resolve?
• Glue Records: O servidor DNS do TLD (ex: .com) injeta um registro A adicional com o IP físico do servidor de nomes junto com o registro NS. Sem esse registro A na zona pai, o DNS entraria em um loop infinito de resolução impossível.

Exemplo Prático de Glue Record

O Registry da Verisign (operador do .com) armazena, além do NS:

empresa.com.        NS   ns1.empresa.com.
empresa.com.        NS   ns2.empresa.com.
ns1.empresa.com.    A    203.0.113.50      ; Glue no TLD
ns2.empresa.com.    A    203.0.113.51      ; Glue no TLD

5. Perspectiva de Cyber Security e Exploração do Registro A

Como o registro A é o destino final de quase toda a navegação, ele é um dos alvos preferenciais para ataques de redirecionamento e manipulação de tráfego.

DNS Spoofing (Envenenamento de Cache)

Ocorre quando um atacante consegue injetar um registro A com um IP malicioso no cache de um servidor recursivo (ex: via ataques de transação ID predição ou Kaminsky-style flooding).

• Impacto: Milhares de usuários que usam aquele servidor recursivo serão direcionados para um servidor falso (Phishing), mesmo digitando a URL correta e visualizando o cadeado de SSL.

DNS Rebinding Attack (Ataque de Re-vinculação)

Esta é uma vulnerabilidade sofisticada que explora a Same-Origin Policy (SOP) dos navegadores.

• O Ataque: Um invasor induz o navegador da vítima a carregar um script de um domínio maligno com um TTL muito baixo (ex: 0 segundos). Assim que o script é carregado, o invasor altera o registro A daquele domínio para apontar para um IP da rede interna da vítima (ex: 127.0.0.1 ou o IP de um roteador vulnerável).
• Consequência: O navegador "acha" que o IP interno faz parte do domínio original e permite que o script do atacante faça requisições HTTP para a infraestrutura privada da vítima através do firewall.

Subdomain Takeover

Quando um registro A aponta para um recurso desativado (ex: instância S3 deletada, Heroku app removido), um atacante reivindica o recurso e assume controle do subdomínio.

6. Diagnóstico e Auditoria do Registro A

Um analista de Cyber Security ou gestor de infraestrutura deve saber validar a fidedignidade dos mapeamentos:

# Consulta simples do registro A (IPv4)
dig empresa.com A

# Consulta curta para scripts de monitoramento
dig +short www.google.com

# Consultando especificamente o servidor autoritativo para evitar caches
dig @ns1.alvo.com www.alvo.com A

# Verificando a cadeia DNSSEC para garantir autenticidade
dig +dnssec www.alvo.com A

# Resolução reversa (IP -> Nome) via PTR
dig -x 203.0.113.10

Análise de TTL: O tempo de vida (TTL) é crítico em registros A. Em serviços de Alta Disponibilidade (HA), o TTL deve ser baixo (ex: 60 ou 300 segundos). Em sites estáticos, pode ser alto (ex: 86400 segundos) para reduzir a carga de consultas DNS mundial.

7. Convivência com Registros AAAA (IPv6)

Com a transição para o IPv6, domínios operam em Dual Stack, mantendo registros A (IPv4) e AAAA (IPv6) simultaneamente.

• Preferência do Sistema: Sistemas modernos (felicitados pela regra Happy Eyeballs - RFC 8305) tentarão resolver e conectar-se via IPv6 primeiro. Se a resolução do registro AAAA falhar ou a conexão for lenta (timeout de ~300ms), o sistema recairá automaticamente para o registro A.
• Tamanho: O registro AAAA ocupa 16 bytes (128 bits) no RDATA, contra 4 bytes do A.

8. Tabela Comparativa de Registros de Endereço

9. Conclusão: A Unidade Básica do Destino Digital

O registro A é a certidão de nascimento de um serviço na rede. Embora simples em sua estrutura, sua importância na manutenção do balanceamento, na quebra de dependências hierárquicas (Glue) e na definição de destinos seguros é suprema. Dominar a manipulação, gestão de TTL e os riscos de sequestro do registro A é a competência número um para qualquer profissional que atue em redes corporativas, nuvem ou segurança da informação.