Parte das Informações do Domínio

No ecossistema do DNS, uma Zona de DNS não deve ser confundida com o domínio em si. Enquanto um domínio (como empresa.com.br) é uma entidade lógica e administrativa, a zona é uma unidade de delegação técnica. Ela representa uma porção específica da árvore hierárquica do DNS sobre a qual um servidor ou administrador específico detém autoridade absoluta e responsabilidade de gerenciamento.

1. A Diferença entre Domínio e Zona

Um domínio abrange o nome principal e todos os subdomínios abaixo dele. No entanto, por razões de escalabilidade e segurança, um administrador pode decidir "quebrar" esse domínio em partes menores.

• O Domínio: É o nome registrado (ex: exemplo.org).
• A Zona: É o arquivo (ou banco de dados) que contém os registros de uma parte desse domínio. Se sub.exemplo.org for delegado para outro servidor, ele deixa de fazer parte da zona original e passa a constituir uma nova zona independente.

Comparativo Domínio vs Zona

2. O Conteúdo Técnico de uma Zona

Uma zona é composta por um conjunto de registros de recurso (Resource Records - RR) que definem as propriedades e os serviços associados àquela porção do domínio. Os principais elementos que formam a "informação da zona" são:

• SOA (Start of Authority): O registro fundamental que delimita o início da zona. Ele contém o nome do servidor primário, o e-mail do responsável e os tempos de expiração e sincronização (RFC 1035 §3.3.13).
• Registros de Host (A/AAAA): Mapeiam nomes de máquinas para endereços IP (IPv4 e IPv6 respectivamente, RFC 3596).
• Registros de Apelido (CNAME): Criam aliases para nomes já existentes (RFC 1035 §3.3.1; RFC 2181 §10.1 proíbe CNAME coexistindo com outros RR no mesmo nome).
• Registros de Delegação (NS): Indicam quais servidores são autoritativos para aquela zona específica.
• Registros de E-mail (MX): Definem servidores de troca de correio com prioridade (RFC 1035 §3.3.9).
• Registros de Serviço (SRV): Anunciam serviços por porta/protocolo (RFC 2782 — usado por AD, SIP, XMPP).
• Registros de Segurança (DNSSEC): DNSKEY, RRSIG, DS, NSEC/NSEC3 (RFC 4033-4035).
• Registros de Texto (TXT): Metadados arbitrários (SPF, DKIM, DMARC, verification tokens).

3. Delimitação de Autoridade (Zone Cuts)

O ponto onde um domínio é dividido em uma zona separada é tecnicamente chamado de Zone Cut (Corte de Zona).

• Zona Única: Se a empresa XYZ gerencia xyz.com e todos os seus subdomínios (vendas.xyz.com, rh.xyz.com) no mesmo servidor, ela possui uma única zona.
• Zonas Múltiplas: Se a empresa decide que o departamento de TI deve gerenciar seus próprios servidores em ti.xyz.com, ela cria uma delegação. A zona xyz.com passa a conter apenas uma referência (registro NS) apontando para a nova zona ti.xyz.com.
• Delegação Glue: Quando o NS delegado está sob o mesmo domínio (ex: ns1.ti.xyz.com para a zona ti.xyz.com), é obrigatório incluir um registro A "glue" na zona pai para evitar loop de resolução.

4. Estrutura do Arquivo de Zona

As informações da zona são organizadas de forma que o servidor possa responder consultas de forma ultrarrápida. No Linux (usando BIND), a zona é um arquivo de texto onde cada linha define uma "parte da informação":

$TTL 86400
@   IN  SOA  ns1.exemplo.com. admin.exemplo.com. (
             2026040501 ; Serial
             3600       ; Refresh
             1800       ; Retry
             604800     ; Expire
             86400 )    ; Minimum TTL
;
@       IN  NS      ns1.exemplo.com.
@       IN  NS      ns2.exemplo.com.
@       IN  MX  10  mail.exemplo.com.
@       IN  MX  20  mx2.exemplo.com.
@       IN  TXT     "v=spf1 mx -all"
www     IN  A       192.168.1.10
mail    IN  A       192.168.1.20
api     IN  AAAA    2001:db8::10
_nsauth IN  NS      ns1.ti.exemplo.com.
        IN  NS      ns2.ti.exemplo.com.
ns1.ti  IN  A       192.168.2.53   ; glue record
ns2.ti  IN  A       192.168.2.54   ; glue record

Anatomia dos Campos SOA

5. Zonas Diretas e Zonas Reversas

A "informação do domínio" pode ser dividida em dois tipos de zonas complementares:

• Zona Direta (Forward Zone): Mapeia nomes para IPs (ex: google.com -> 8.8.8.8). É a forma mais comum de informação de zona.
• Zona Reversa (Reverse Zone): Mapeia IPs de volta para nomes (ex: 8.8.8.8 -> dns.google). Essencial para diagnósticos de rede e filtros de spam em servidores de e-mail. Utiliza as zonas especiais in-addr.arpa (IPv4) e ip6.arpa (IPv6), e registros PTR.

Exemplo de Zona Reversa IPv4

Para o bloco 192.0.2.0/24, a zona é 2.0.192.in-addr.arpa:

$ORIGIN 2.0.192.in-addr.arpa.
$TTL 86400
@   IN  SOA  ns1.exemplo.com. admin.exemplo.com. (
            2026040501 3600 1800 604800 86400 )
@   IN  NS  ns1.exemplo.com.
@   IN  NS  ns2.exemplo.com.
10  IN  PTR www.exemplo.com.
20  IN  PTR mail.exemplo.com.

Delegação CIDR (RFC 2317)

Para blocos menores que /24 (ex: /26), a RFC 2317 define delegação via CNAMEs:

; Zona pai 2.0.192.in-addr.arpa
0/26  IN  NS  ns1.cliente.com.
0/26  IN  NS  ns2.cliente.com.
1     IN  CNAME  1.0/26.2.0.192.in-addr.arpa.
2     IN  CNAME  2.0/26.2.0.192.in-addr.arpa.

6. Importância da Integridade da Zona

Como a zona é a "fonte da verdade" para aquela parte da rede, qualquer erro na informação (como um IP errado ou um ponto final esquecido) pode tornar serviços inteiros inacessíveis. Por isso, a zona é tratada como uma unidade atômica: ou o servidor carrega a zona inteira corretamente, ou ele rejeita a zona para evitar propagar informações corrompidas.

Auditoria e Validação

# Validar sintaxe de arquivo de zona no BIND
named-checkzone exemplo.com /etc/bind/db.exemplo.com

# Verificar transferência de zona do primário para o secundário
dig AXFR exemplo.com @ns1.exemplo.com

# Testar DNSSEC (validação de cadeia DS/DNSKEY)
dig +dnssec +multi exemplo.com @8.8.8.8

# Detectar registros órfãos (NS sem A/AAAA glue)
dig +short NS exemplo.com | while read ns; do
  echo -n "$ns: "; dig +short A $ns
done

7. Resumo Técnico

8. Conclusão

A zona de DNS é a unidade atômica de autoridade técnica do DNS. Compreender a diferença entre domínio (entidade administrativa) e zona (unidade técnica de delegação) é o que permite ao administrador estruturar corretamente a árvore, delegar subdomínios sem perder o controle pai, configurar zonas reversas para conformidade anti-spam e implementar DNSSEC para assinatura criptográfica de respostas. Erros em arquivos de zona propagam-se globalmente em segundos, tornando o teste rigoroso (named-checkzone) e o controle de versão (Git do /etc/bind/) práticas obrigatórias em qualquer infraestrutura profissional.