Deduplicador de Registros DNS

El Deduplicador de Conjuntos de Registros DNS analiza archivos de zona o listas de registros DNS para identificar entradas duplicadas, configuraciones en conflicto y registros redundantes que causan comportamiento de resolución impredecible. Pega el contenido de tu archivo de zona y obtén una salida limpia con duplicados exactos eliminados, conflictos de TTL resueltos y violaciones de CNAME señaladas.

Entendiendo la duplicación de registros DNS

Las zonas DNS acumulan desorden con el tiempo. Todo administrador que ha heredado un archivo de zona de un predecesor conoce la sensación: cientos de registros, algunos claramente desactualizados, algunos sospechosamente similares, y sin documentación que explique cuáles son realmente necesarios. Los registros duplicados y en conflicto no siempre causan fallas obvias -- causan problemas intermitentes y difíciles de diagnosticar que desperdician horas de tiempo de resolución de problemas.

El tipo más peligroso de duplicación es el conflicto CNAME. La especificación DNS (RFC 1034) es explícita: si existe un registro CNAME en un nombre, ningún otro tipo de registro puede existir en ese mismo nombre. Cuando esta regla se viola, diferentes resolvers DNS manejan el conflicto de manera diferente. Algunos devuelven el CNAME e ignoran el registro A, otros devuelven el registro A e ignoran el CNAME, y algunos devuelven un error SERVFAIL. El resultado es que tu servicio funciona desde algunas ubicaciones pero no desde otras, o funciona intermitentemente, dependiendo de qué resolver utilice el cliente. Estas fallas son notoriamente difíciles de rastrear porque los síntomas no apuntan a DNS como la causa raíz.

Menos dramáticos pero aún problemáticos son los duplicados exactos y los duplicados con diferencia de TTL. Los duplicados exactos (mismo nombre, tipo y valor apareciendo dos veces) son inofensivos pero agregan ruido a tu zona y dificultan el mantenimiento. Los duplicados con diferencia de TTL (mismo nombre, tipo y valor pero diferente TTL) pueden causar inconsistencias de caché: un resolver podría cachear el registro por 300 segundos mientras otro lo cachea por 3600 segundos, llevando a comportamiento diferente entre clientes. Este deduplicador escanea todas estas categorías y proporciona recomendaciones claras para cada problema encontrado.

Cómo deduplicar registros DNS

1. Pega el contenido de tu archivo de zona o una lista de registros DNS (nombre, tipo, TTL, valor)
2. El deduplicador escanea buscando duplicados exactos, duplicados con diferencia de TTL y conflictos CNAME
3. Revisa cada problema señalado con su explicación y resolución sugerida
4. Acepta o rechaza los cambios sugeridos para cada categoría
5. Copia la salida limpia con duplicados eliminados y conflictos resueltos

Tipos de duplicados DNS detectados

Duplicados exactos

Registros donde nombre, tipo y valor son idénticos -- solo uno es necesario.

; Antes de la deduplicación
www    A    203.0.113.10
www    A    203.0.113.10    <- duplicado

; Después de la deduplicación
www    A    203.0.113.10

Duplicados con diferencia de TTL

Mismo nombre, tipo y valor pero diferentes valores de TTL. Los servidores DNS pueden devolver TTLs impredecibles.

; Antes -- TTLs en conflicto
api    A    300    198.51.100.5
api    A    3600   198.51.100.5

; Después -- mantener el TTL más bajo
api    A    300    198.51.100.5

Conflictos CNAME

Un nombre tiene tanto un registro CNAME como otros tipos de registro, lo cual viola RFC 1034. Los registros CNAME deben ser el único registro en un nombre (excepto por tipos relacionados con DNSSEC).

; Inválido -- CNAME coexiste con registro A
shop    CNAME    store.example.com.
shop    A        203.0.113.20       <- conflicto

; Resolución: elegir CNAME o A, no ambos

CNAMEs múltiples

Múltiples registros CNAME para el mismo nombre es inválido -- un nombre puede tener como máximo un CNAME.

; Inválido -- dos CNAMEs para el mismo nombre
cdn    CNAME    d1234.cloudfront.net.
cdn    CNAME    cdn.otherprovider.com.  <- conflicto

Cuándo usar el Deduplicador de Conjuntos de Registros DNS

• Consolidando zonas de múltiples proveedores DNS o administradores en una sola zona
• Limpiando zonas legacy que han acumulado entradas redundantes durante años de ediciones manuales
• Validación pre-migración antes de mover zonas entre proveedores DNS para evitar arrastrar problemas
• Solucionando resolución DNS intermitente que podría provenir de registros en conflicto
• Limpieza post-fusión después de combinar archivos de zona de empresas adquiridas o departamentos fusionados
• Higiene periódica de zona como parte de la práctica regular de administración DNS

Cómo los conflictos de registros DNS causan problemas

Resolución impredecible

Cuando existen registros duplicados con diferentes TTLs, los cachés DNS pueden almacenar diferentes valores de TTL dependiendo de qué respuesta recibieron primero. Esto lleva a un comportamiento de caché inconsistente entre diferentes resolvers, haciendo difícil la depuración.

Violaciones CNAME

La especificación DNS (RFC 1034, Sección 3.6.2) establece que si un registro CNAME está presente en un nodo, ningún otro dato debería existir en ese nodo. Cuando esta regla se viola:

• Algunos resolvers devuelven el CNAME, ignorando otros registros
• Otros resolvers devuelven los registros A/AAAA, ignorando el CNAME
• Algunos resolvers devuelven un error (SERVFAIL)
• El comportamiento puede variar según el software y versión del resolver

Problemas de CNAME en el apex de zona

Un error común es colocar un CNAME en el apex de zona (example.com), lo cual entra en conflicto con los registros SOA y NS requeridos. Esto siempre es inválido. Usa registros ALIAS o ANAME (específicos del proveedor) o registros A/AAAA en su lugar.

Estadísticas de deduplicación

El deduplicador proporciona un resumen de acciones realizadas:

Mantenimiento de zonas en la práctica

El mejor momento para deduplicar una zona es antes de una migración. Cuando mueves tu DNS de un proveedor a otro, típicamente estás exportando la zona del proveedor antiguo e importándola en el nuevo. Este es el momento ideal para limpiar la zona porque ya estás tocando cada registro. Pasa la zona por el deduplicador, resuelve los problemas señalados e importa la versión limpia. Evitas arrastrar años de problemas acumulados a tu nueva infraestructura.

Para mantenimiento continuo, haz de la deduplicación de zona parte de tu proceso regular de gestión de cambios. Cada vez que hagas cambios DNS, ejecuta el deduplicador contra la zona antes y después del cambio. Antes del cambio, detecta problemas preexistentes que podrían interferir con tus nuevos registros. Después del cambio, detecta duplicados accidentales que podrías haber introducido. Esto es especialmente importante en entornos donde múltiples administradores hacen cambios, porque los errores de coordinación son la fuente más común de registros duplicados.

Un consejo práctico para zonas grandes: enfócate primero en los conflictos CNAME, porque son los registros con más probabilidad de causar problemas en producción. Los duplicados exactos y las discrepancias de TTL son de menor prioridad porque típicamente causan problemas sutiles en lugar de fallas graves. Si tu deduplicador señala un conflicto CNAME, resuélvelo inmediatamente -- no esperes a una ventana de mantenimiento programada, porque los conflictos CNAME pueden causar interrupciones intermitentes que están afectando activamente a tus usuarios en este momento.

Preguntas frecuentes

¿Es seguro tener múltiples registros A para el mismo nombre?

Sí. Múltiples registros A para el mismo nombre es una configuración DNS válida y común llamada round-robin DNS. Por ejemplo, www.example.com puede tener múltiples registros A apuntando a 203.0.113.10 y 203.0.113.11 para distribución básica de carga. El deduplicador no los señala como duplicados porque los valores difieren.

¿Qué debo hacer cuando se detecta un conflicto CNAME?

Decide si el nombre debería ser un alias (CNAME) o tener sus propios registros directos (A/AAAA/MX/etc.). Un CNAME redirige todas las consultas para ese nombre al destino, así que no puedes tener tanto un CNAME como un registro MX en el mismo nombre. Si necesitas tanto hosting web como correo en un nombre, usa registros A/AAAA en lugar de CNAME.

¿El deduplicador maneja registros DNSSEC?

El deduplicador reconoce correctamente que los registros DNSSEC (RRSIG, NSEC, NSEC3) pueden coexistir con registros CNAME, lo cual es una excepción a la regla estándar de exclusividad CNAME definida en RFC 4035.

¿Por qué tengo registros duplicados si solo tengo un administrador?

Los registros duplicados frecuentemente se acumulan a través de pequeños hábitos operacionales: re-agregar un registro que fue temporalmente eliminado para pruebas, pegar registros de documentación sin verificar si ya existen, o aplicar configuraciones de Terraform o Ansible que no verifican registros preexistentes. Las herramientas de aprovisionamiento automatizado son especialmente propensas a crear duplicados si usan operaciones de solo-creación sin verificar registros existentes primero.

¿Debería mantener el TTL más alto o más bajo al resolver conflictos de TTL?

En la mayoría de los casos, mantén el TTL más bajo. Un TTL más bajo significa que los cambios se propagan más rápido, lo cual es generalmente deseable para agilidad operacional. La excepción es si el TTL más bajo fue claramente un error (por ejemplo, un TTL de 1 segundo en un registro de producción) o si específicamente quieres un caché más largo para reducir el volumen de consultas DNS. En caso de duda, 300 segundos (5 minutos) es un valor predeterminado razonable para la mayoría de los registros.

Herramientas relacionadas

• Constructor de Registros SPF - Construye registros SPF con sintaxis correcta
• Formateador de Registros TXT DKIM - Formatea registros DKIM con entrecomillado correcto
• Constructor de Registros DMARC - Construye registros DMARC con todos los tags de política
• Linter de Archivos de Zona - Verifica archivos de zona en busca de errores de sintaxis y duplicados
• Generador de Registros A/AAAA de Zona BIND - Genera registros A y AAAA de zona BIND desde CSV