Servidores e Zonas DNS

Os Servidores e Zonas DNS constituem a infraestrutura operacional e organizacional do sistema de nomes global. Enquanto o protocolo DNS define a linguagem de comunicação, os servidores são as entidades físicas ou lógicas que processam as consultas, e as zonas são as partições administrativas de dados que conferem autoridade técnica a diferentes organizações. Entender a separação entre servidores recursivos e autoritativos, bem como a delimitação das zonas, é fundamental para qualquer arquiteto de redes que pretenda gerir nomes de domínio com alta disponibilidade e segurança.

1. Tipologia de Servidores DNS

O sistema DNS opera com a distinção de papéis técnicos muito claros para garantir a eficiência e o controle. Um servidor físico pode cumular múltiplos papéis, mas conceitualmente as funções são separadas.

Servidores Autoritativos (Authoritative Servers)

São os detentores dos arquivos de zona originais. Possuem a "palavra final" sobre um domínio específico e seus registros.

• Função: Respondem a consultas externas sobre o seu domínio.
• Dinamismo: Nunca perguntam a outros servidores por nomes que não conhecem — apenas respondem com authority.
• Tipos: Primary (Mestre) e Secondary (Escravo) com replicação.

Servidores Recursivos (Recursive Resolvers)

Atuam como os "intermediários" da Internet. São os servidores DNS que os ISPs e provedores de cloud oferecem aos seus clientes (ex: 8.8.8.8 do Google, 1.1.1.1 da Cloudflare).

• Função: Recebem a pergunta do usuário e realizam todo o trabalho de percorrer a hierarquia (Raiz → TLD → Autoritativo) até encontrar a resposta final.
• Eficiência: O uso massivo de Caching nestes servidores reduz drasticamente o tráfego de rede global e acelera a navegação web.
• Default TTL: Cacheia respostas pelo tempo definido no campo TTL do registro.

Servidores Caching-Only

Variação do recursivo que apenas faz cache de respostas, sem autoridade sobre nenhuma zona. Comum em redes corporativas internas (ex: BIND configurado como caching-only).

Servidores Forwarder

Servidores recursivos configurados para repassar todas as consultas a outro servidor upstream (ex: um roteador doméstico que encaminha ao 8.8.8.8). Reduzem tráfego WAN e permitem filtragem centralizada.

2. O Conceito de Zona DNS

Uma Zona é um fragmento contíguo e administrativo da árvore hierárquica do DNS sobre o qual uma entidade possui total controle. Cada zona corresponde a um arquivo de texto (zone file) com registros de recursos (RRs).

• Segmentação: Uma zona pode conter apenas o domínio raiz (empresa.com) ou abarcar múltiplos subdomínios (vendas, ti, hr).
• Delegação: Caso o administrador do domínio empresa.com queira que o departamento de TI gerencie seus próprios registros, ele "delega" uma nova zona (ti.empresa.com) para outro conjunto de servidores DNS. A zona pai deixará de ter autoridade direta sobre aquele subdomínio.
• Forward Zone vs. Reverse Zone: Forward mapeia nomes em IPs (ex: empresa.com → 192.0.2.1); Reverse mapeia IPs em nomes via in-addr.arpa (RFC 1035) ou ip6.arpa (RFC 3596).

Estrutura de uma Zona

empresa.com.         IN  SOA  ns1.empresa.com. admin.empresa.com. (
                              2026040601 ; Serial
                              3600       ; Refresh
                              900        ; Retry
                              86400      ; Expire
                              3600       ; Minimum TTL
                              )
empresa.com.         IN  NS   ns1.empresa.com.
empresa.com.         IN  NS   ns2.empresa.com.
empresa.com.         IN  MX   10 mail.empresa.com.
empresa.com.         IN  A    192.0.2.10
www.empresa.com.     IN  A    192.0.2.20
mail.empresa.com.    IN  A    192.0.2.30

3. Arquitetura de Zonas Mestre e Escravo

Para garantir a alta disponibilidade, os dados de uma zona são replicados entre múltiplos servidores autoritativos. O RFC 1034 define a necessidade de pelo menos dois servidores autoritativos por zona.

• Zona Mestre (Primary / Master): Onde os registros são editados e alterados manualmente ou via API. O servidor lê o arquivo de zona local do disco.
• Zona Escrava (Secondary / Slave): Réplicas passivas que recebem atualizações do mestre via Transferência de Zona (AXFR completa ou IXFR incremental). Se o servidor mestre ficar offline, os escravos continuam respondendo consultas por dias ou semanas (conforme definido no registro SOA).

AXFR vs IXFR

# Forcar transferencia AXFR (auditoria de seguranca)
dig @ns1.empresa.com empresa.com AXFR

# Transferencia incremental
dig @ns1.empresa.com empresa.com IXFR

4. O Registro SOA (Start of Authority)

Cada zona DNS deve possuir exatamente um registro SOA que define as regras de governança e sincronismo daquela base de dados.

• Serial Number: Versão da zona (formato YYYYMMDDNN). Se o serial mudar, o escravo sabe que deve baixar a nova versão.
• Refresh: Intervalo em que o escravo consulta o mestre por atualizações (típico: 1h).
• Retry: Intervalo para tentar novamente se o mestre estiver indisponível (típico: 15min).
• Expire: Tempo máximo que o escravo responde sem conseguir falar com o mestre (típico: 1 semana).
• Minimum TTL: TTL padrão para respostas NXDOMAIN (típico: 1h, conforme RFC 2308).
• MNAME: Nome do servidor primário.
• RNAME: E-mail do administrador técnico da zona (com . no lugar de @).

5. Tipos de Zona Adicionais

Stub Zone

Contém apenas os registros NS, SOA e glue records necessários para localizar os servidores autoritativos da zona. Útil para otimizar resolução sem precisar manter a zona completa.

Forward Zone (Conditional Forwarder)

Servidor configurado para encaminhar consultas de um domínio específico para um servidor predeterminado. Ex: empresa A adquire empresa B e configura empresaB.com para ser encaminhado ao DNS da antiga empresa B.

Reverse Zone (in-addr.arpa)

Zona especial para resolução reversa (IP → nome). Para o bloco 192.0.2.0/24, a zona seria 2.0.192.in-addr.arpa. Essencial para SMTP, logs e auditoria.

6. Perspectiva de Cyber Security: Ataques à Infraestrutura de Zonas

Para um analista de Cyber Security, a infraestrutura de servidores e zonas é o centro de gravidade da confiança digital.

Zone Transfer Hijacking (AXFR desprotegido)

Se um servidor autoritativo permitir transferências de zona para qualquer IP, um atacante pode baixar o mapa completo da infraestrutura da empresa.

• Recon: Este ataque expõe nomes de máquinas internas, servidores de arquivos e gateways VPN que não deveriam ser descobertos por atacantes externos.
• Defesa: Restringir transferências de zona exclusivamente aos IPs dos servidores secundários legítimos (ACLs - Access Control Lists).

# Configuracao BIND para restringir AXFR
zone "empresa.com" {
    type master;
    file "db.empresa.com";
    allow-transfer { 192.0.2.20; 192.0.2.30; };
};

Denial of Service directed at Recursive Resolvers

Atacantes inundam servidores recursivos de ISPs com consultas pesadas e complexas, causando lentidão no acesso à Internet para milhares de usuários simultaneamente.

• Proteção: Implementação de Rate Limiting (Response Rate Limiting - RRL, RFC 7873) e limpeza de cache proativa para evitar o envenenamento.
• NXDOMAIN Flood: Atacante envia consultas por nomes inexistentes, saturando o cache.

DNS Cache Poisoning (Kaminsky Attack)

Ataque de 2008 em que o atacante "envenena" o cache do resolvedor recursivo com respostas falsas para um domínio alvo, redirecionando usuários para servidores maliciosos. Mitigado com randomização da porta de origem (RFC 5452) e DNSSEC.

7. Auditoria e Diagnóstico de Zonas e Servidores

Validar a integridade da infraestrutura é uma rotina obrigatória:

# Verificando os servidores autoritativos de uma zona
dig empresa.com.br NS

# Analisando o registro SOA para verificar o sincronismo entre os servidores
dig @ns1.empresa.com.br empresa.com.br SOA
dig @ns2.empresa.com.br empresa.com.br SOA

# Testando a vulnerabilidade de transferencia de zona (AXFR)
dig @ns1.alvo.com alvo.com AXFR

# Verificando o resolvedor recursivo
dig @8.8.8.8 empresa.com

# Rastreando a cadeia de resolucao
dig +trace empresa.com

Análise de Glue Records: Em servidores e zonas complexas, a auditoria deve garantir que os registros de "Cola" (Glue Records) estejam presentes na zona pai para permitir que o mundo encontre a infraestrutura autoritativa descendente. Os Glue Records são obrigatórios quando os NS estão em subdomínios da própria zona (ex: ns1.empresa.com listado como NS de empresa.com).

8. Conclusão: A Fundição da Confiança

Os servidores e zonas são as engrenagens silenciosas que mantêm a Internet operante. A separação clara de papéis entre a autoridade e a recursão, somada a um gerenciamento de zonas resiliente e redundante, é o que garante que os bilhões de e-mails, transações financeiras e acessos web cheguem ao destino correto. Dominar a arquitetura de zonas, o sincronismo mestre-escravo e a proteção dos servidores DNS é indispensável para qualquer profissional de infraestrutura de TI ou segurança da informação de alto nível.