Zona de DNS

A Zona DNS é a delimitação administrativa de um domínio dentro da árvore hierárquica do DNS. Toda zona é definida por um Arquivo de Zona que contém todos os registros de recursos daquele domínio.

Uma zona não precisa coincidir com um domínio: pode abranger apenas um subdomínio (delegação) ou ser ainda mais granular.

1. O Arquivo de Zona

Um arquivo de zona é um arquivo de texto plano (geralmente gerenciado pelo software BIND, Knot, PowerDNS ou NSD) que contém os registros DNS.

• O primeiro registro do arquivo deve ser o SOA (Start of Authority).
• O SOA contém o Número de Serial da zona. Sempre que o administrador faz uma alteração, o serial é incrementado — caso contrário, secundários não detectam a mudança.

1.1 Estrutura do SOA

@   IN  SOA ns1.empresa.com. admin.empresa.com. (
                2024040501  ; Serial (YYYYMMDDNN)
                3600        ; Refresh (1 hora)
                600         ; Retry (10 min)
                1209600     ; Expire (2 semanas)
                300         ; Minimum TTL
)

1.2 Campos do SOA

1.3 Convenção de Serial

A convenção mais comum é YYYYMMDDNN — ano, mês, dia, número de revisão do dia. Exemplo: 2024040501 indica 5 de abril de 2024, primeira alteração do dia.

2. Tipos de Zona

3. Transferência de Zona (AXFR / IXFR)

Este é o mecanismo que os servidores Secundários usam para se manter sincronizados com o Primário.

• AXFR (Full Zone Transfer): O servidor secundário solicita e recebe o arquivo de zona inteiro. Usado na primeira sincronização ou quando IXFR não está disponível. Sempre sobre TCP/53.
• IXFR (Incremental Zone Transfer): O servidor secundário solicita apenas as alterações feitas desde o último número de serial que ele conhece. Muito mais eficiente para zonas grandes. Requer que o master mantenha histórico de diffs.
• NOTIFY: Mensagem (opcode 4) enviada pelo master aos slaves após cada alteração, antecipando o refresh e reduzindo latência de propagação.

3.1 Exemplo Prático

# Forçar transferência completa de zona (auditoria)
dig @ns1.empresa.com empresa.com AXFR

# Solicitar transferência incremental
dig @ns1.empresa.com empresa.com IXFR=2024040501

4. Segurança na Transferência de Zona

Como um arquivo de zona contém todos os nomes de hosts internos (ex: dev-servidor.empresa.com), ele é uma fonte valiosa de informações para atacantes (Reconnaissance).

• Boa Prática: Configurar o servidor primário para permitir transferências de zona apenas para endereços IP específicos dos servidores secundários conhecidos.
• TSIG (Transaction Signature): Uma extensão (RFC 2845) que usa chaves criptográficas compartilhadas HMAC-SHA256 para autenticar a transferência de zona entre servidores.
• DNSSEC: Assina registros com chaves criptográficas; não substitui TSIG (que protege o transporte), mas garante autenticidade ao cliente final.

4.1 Exemplo BIND — Restrição AXFR

options {
    allow-transfer { 192.0.2.10; 192.0.2.11; };
};

zone "empresa.com" {
    type master;
    file "/etc/bind/db.empresa.com";
    allow-transfer { key tsig-key-slave1; };
};

5. Zona Reversa (in-addr.arpa)

Zonas reversas permitem resolução IP → nome. Para o bloco 203.0.113.0/24, a zona é 113.0.203.in-addr.arpa..

$ORIGIN 113.0.203.in-addr.arpa.
@   IN  SOA ns1.empresa.com. admin.empresa.com. ( 2024040501 3600 600 1209600 300 )
@   IN  NS  ns1.empresa.com.
10  IN  PTR host.empresa.com.
11  IN  PTR mail.empresa.com.

Zonas reversas são fundamentais para:
- Antispam (verificação de PTR em servidores SMTP).
- Diagnóstico de rede (traceroute, logs de firewall).
- Alguns serviços de autenticação baseados em hostname.

6. Delegação de Subdomínios

Um domínio pode delegar parte do espaço de nomes para outros servidores. Para delegar sub.empresa.com a outros NS:

sub.empresa.com.    IN  NS  ns1-sub.empresa.com.
sub.empresa.com.    IN  NS  ns2-sub.empresa.com.
ns1-sub.empresa.com. IN A  192.0.2.20
ns2-sub.empresa.com. IN A  192.0.2.21

A partir dessa delegação, o servidor pai deixa de ser autoritativo por sub.empresa.com e apenas indica onde procurar.

7. Boas Práticas

• Sempre incrementar o serial após alterações — slaves não detectam mudanças caso contrário.
• Manter redundância: pelo menos 2 servidores autoritativos em redes/geografias distintas (RFC 2182).
• Limitar AXFR a IPs conhecidos.
• Habilitar DNSSEC em zonas públicas.
• Monitorar NOTIFY e logs de transferência.
• Automatizar publicação via CI/CD (GitOps + rndc reload ou APIs do PowerDNS).

8. Resumo Técnico

9. Conclusão

A zona DNS é a unidade administrativa central do sistema de nomes: define quem é autoritativo por quê, como as réplicas se sincronizam e como delegações são estabelecidas. Compreender arquivos de zona, o SOA, transferências AXFR/IXFR e mecanismos de proteção como TSIG e DNSSEC é essencial para operar uma infraestrutura DNS confiável e segura. A configuração descuidada de uma zona pode expor toda a topologia interna de uma organização — por isso, hardening e auditoria contínua são imprescindíveis.