Registro NS (Servidores de Nome)

1. Definição e Papel na Delegação Hierárquica

O Registro NS (Name Server Record) é o mecanismo de delegação de autoridade fundamental do DNS. Padronizado na RFC 1035, sua função técnica é indicar quais servidores DNS detêm a "palavra final" (autoridade) sobre uma zona de domínio específica e todos os seus subdomínios. O registro NS é o que permite ao DNS ser um sistema distribuído e descentralizado, delegando a responsabilidade administrativa de um nível da hierarquia para o próximo de forma totalmente automatizada.

2. Estrutura Técnica e o Mecanismo de Delegação

Diferente de um registro A, que fornece um IP, o registro NS fornece o nome de um servidor que será consultado para futuras resoluções.

• TYPE (Tipo): Identificado pelo valor decimal 2 (0x0002).
• RDATA (Resource Data): Contém o FQDN (Fully Qualified Domain Name) do servidor de nomes autorizado.
• Existência Mandatória: De acordo com os padrões da IANA/ICANN, cada domínio deve possuir, no mínimo, dois registros NS apontando para servidores em infraestruturas e redes independentes para garantir a resiliência global.

Exemplo de Arquivo de Zona

; Nome            TTL    Classe  Tipo  Valor
@                 86400  IN      NS    ns1.empresa.com.
@                 86400  IN      NS    ns2.empresa.com.
@                 86400  IN      NS    ns-cloud-b1.googledomains.com.
subdominio        3600   IN      NS    ns-outro.provider.net.

3. NS na Zona Pai vs NS na Zona Filha

Para que a resolução funcione, o registro NS deve existir em dois lugares distintos, cumprindo funções diferentes em cada um.

Na Zona Pai (Parent Zone)

Exemplo: Dentro da zona .br, existem registros NS para empresa.com.br.

• A Função: Estes registros servem como o "ponteiro de indicação" (Referral), informando a qualquer servidor recursivo externo para onde ele deve ir para encontrar a autoridade legítima sobre o domínio.
• TTL Tipicamente Longo: 48h a 7 dias, pois mudanças são raras.

Na Zona Filha (Child/Authoritative Zone)

Exemplo: Dentro da zona empresa.com.br, os registros NS dizem: "Aqui estão meus próprios servidores".

• A Função: Servem para validação de autoridade interna e como resposta final para consultas de registros NS do próprio domínio.
• Regra de Ouro: Estes registros devem ser idênticos aos registrados no gestor do domínio (Registry). Divergências geram diagnóstico de "Lame Delegation".

Comparativo de Características

4. O Problema da Delegação e Glue Records

O registro NS cria um desafio técnico de "dependência cíclica" quando um servidor de nomes está dentro do domínio que ele mesmo resolve.

• Exemplo: empresa.com.br usa ns1.empresa.com.br. Como o DNS resolve o IP do ns1 se ele primeiro precisa perguntar ao ns1 pelo IP?
• Glue Records (Registros de Cola): São registros de IP (tipo A ou AAAA) que o gestor do TLD insere junto aos registros NS da zona pai. Estas informações injetadas "colam" o nome do servidor ao seu IP físico, permitindo que a resolução rompa o ciclo de dependência.

Quando Glue é Obrigatório vs Opcional

5. Perspectiva de Cyber Security e Resiliência

Para um analista de Cyber Security, os registros NS são o alvo estratégico final para a desativação ou sequestro de toda uma infraestrutura digital.

Lame Delegation (Delegação Manca)

Ocorre quando os registros NS na zona pai apontam para servidores que não contêm o arquivo de zona legítimo ou que não estão respondendo.

• Impacto: Consultas a partir da raiz da Internet falham, resultando em quedas intermitentes ou totais do site e de todos os serviços de e-mail da organização.
• Diagnóstico: dig @a.gtld-servers.net empresa.com NS +norecurse

NS Hijacking (Sequestro de Delegação)

Se um atacante conseguir acesso às credenciais do painel de controle do registrador de domínios (Registrar), ele pode alterar os registros NS para seus próprios servidores maliciosos.

• O Perigo: O atacante toma o controle soberano sobre todos os subdomínios, registros MX (e-mail) e certificados digitais da empresa (através de emissão CA via validação DNS).
• Mitigação: MFA no Registrar, Registry Lock (Cliente Hold/Server Delete Prohibited), monitoramento de WHOIS via DNS alerting.

DDoS via NS Spoofing em Amplificação

Atacantes forjam consultas com source IP da vítima para os servidores NS, gerando respostas grandes (especialmente com EDNS0). Mitigação: Response Rate Limiting (RRL).

6. Diagnóstico e Auditoria de Registros NS

É vital auditar a conformidade dos servidores autoritativos:

# Consultando todos os registros NS de um domínio
dig empresa.com.br NS

# Consultando na raiz para verificar a delegação
dig @a.root-servers.net empresa.com NS

# Verificando se os servidores são autoritativos (presença da flag AA)
dig @ns1.alvo.com alvo.com NS +norecurse

# Checando consistência entre servidores autoritativos
for ns in $(dig +short empresa.com NS); do
  echo "=== $ns ==="
  dig @$ns empresa.com SOA +short
done

# Verificando diversidade geográfica dos NS
for ns in $(dig +short empresa.com NS); do
  echo -n "$ns -> "; dig +short $ns A
done

Análise de TTL: Registros NS costumam ter TTLs longos (ex: 48 horas). Alterações nestes registros exigem planejamento prévio, pois a propagação mundial pode demorar dias.

7. Sincronismo via AXFR/IXFR

Os servidores listados nos registros NS devem manter seus dados em sincronia perfeita através do modelo Mestre-Escravo (Primary-Secondary).

• AXFR (Full Zone Transfer): Transfere todo o arquivo de zona. Pesado, usado apenas na sincronização inicial ou em recuperações.
• IXFR (Incremental Zone Transfer): Transfere apenas os registros alterados desde a última sincronização, identificados pelo número de série (Serial) do registro SOA.

Exemplo de Transferência de Zona (que deve ser restrita)

# Só funciona se o administrador permitir (allow-transfer)
dig @ns1.empresa.com empresa.com AXFR

# Resposta típica de um servidor protegido
; Transfer failed: REFUSED

Se um registro NS aponta para um servidor secundário que está desatualizado, os usuários receberão respostas inconsistentes (Split-Brain DNS).

8. Conclusão: O Cetro de Autoridade do Domínio

O registro NS é a representação física da confiança na Internet. Por meio dele, a hierarquia DNS flui da raiz para as extremidades, conferindo controle e escalabilidade à rede. Entender os mecanismos de delegação, a necessidade de Glue Records e a importância da redundância de Name Servers em infraestruturas críticas é o conhecimento base que separa um amador de um arquiteto de redes sênior.