La red Active Directory

1. Introducción

Tras haber explorado los fundamentos del DNS y su funcionamiento general en capítulos anteriores, ahora nos centraremos específicamente en su papel crucial dentro de Active Directory (AD).

Este capítulo destacará el por qué y el cómo el DNS es esencial para el buen funcionamiento de AD.

El papel del servicio DNS en un dominio AD no se limita a la simple resolución de nombres, como se ilustra en el siguiente diagrama; se extiende a funciones esenciales que son la columna vertebral de la conectividad y la gestión de red en un entorno AD.

Echemos un vistazo más de cerca a estas funciones clave y su importante impacto en la gestión y eficiencia de Active Directory.

2. Ubicación de los servicios AD

El servicio DNS desempeña un papel fundamental en la ubicación de los controladores de dominio (Domain Controller) en un entorno Active Directory (AD), facilitando procesos clave como la integración de dominios y la autenticación.

Ubicación de los controladores de dominio

Los registros SRV de la zona DNS del dominio AD están específicamente diseñados para localizar servicios AD, incluidos los controladores de dominio. Cuando un cliente se inicia, consulta al servidor DNS para localizar el DC más cercano o disponible utilizando los registros SRV.

Estos registros indican no sólo la dirección de los controladores de dominio, sino también servicios específicos como el servicio Kerberos o LDAP. Esta información se puede encontrar en el subdominio _msdcs (Microsoft Domain Controller Services) creado cuando se promocionó el controlador de dominio.

Integración en el dominio

Cuando un equipo se intenta unir a un dominio AD, utiliza el servidor DNS para localizar un controlador de dominio capaz de gestionar su solicitud.

Por lo tanto, una resolución DNS eficiente es esencial para una integración satisfactoria en el dominio.

Una respuesta precisa del servidor DNS garantiza que la máquina se conecte al controlador de dominio adecuado para el dominio especificado.

Proceso de autenticación

Para la autenticación de usuarios y máquinas, el servidor DNS se utiliza para localizar los servicios de autenticación de AD, como los servidores...

1. Orden DNS en las máquinas

Es esencial mantener un orden DNS coherente en las máquinas y servidores que dependen de la resolución continua de nombres DNS, para garantizar una comunicación eficaz dentro de la red. Esta configuración debe ser metódica y lógica. Por ello, se recomienda configurar los hosts para que consulten prioritariamente los servidores DNS más cercanos a su ubicación geográfica. Se puede implementar esta configuración bien a nivel del servicio DHCP especificando el orden de los servidores DNS en los parámetros o bien configurando manualmente los servidores DNS en las máquinas.

Esto garantiza una resolución DNS eficiente al favorecer a los servidores DNS locales, reduciendo la latencia y mejorando el rendimiento de la red. También ayuda a mantener una estructura de red organizada y a evitar problemas de resolución DNS causados por una configuración incoherente o inadecuada.

A continuación, se muestra un diagrama con un ejemplo del orden de prioridad de los servidores DNS que se deben configurar en los sistemas cliente:

Para ilustrar mejor este punto, tomemos el ejemplo de sitios que se encuentran no sólo en diferentes ciudades, sino en diferentes países. ¿Es práctico que las máquinas situadas en el sitio A (España) realicen continuamente peticiones DNS al controlador de dominio (DC) situado en el sitio B (Inglaterra)? La respuesta es claramente negativa.

El método recomendado consiste en configurar los equipos para que consulten primero los servidores DNS locales, es decir, los presentes en su propio sitio (o país...

1. Copia de seguridad de una zona DNS

En los servidores Windows, las copias de seguridad de las zonas DNS se realizan exclusivamente en la línea de comandos y son específicas para cada zona.

Con los comandos por defecto, no es posible hacer una copia de seguridad de todas las zonas DNS simultáneamente. Para conseguirlo, es necesario especificar cada zona individualmente o utilizar un script.

Los archivos de copia de seguridad se crean por defecto en C:\windows\system32\dns. Hay que tener especial cuidado para evitar sobrescribir copias de seguridad anteriores o puede ser necesario mover estos archivos para evitar errores. 

Además, es importante señalar que las zonas DNS integradas en Active Directory se pueden recuperar a través de la papelera de reciclaje de AD, lo que ofrece una seguridad adicional en caso de problema con la copia de seguridad.

Microsoft ofrece los comandos dnscmd y Export-DNSServerZone para realizar copias de seguridad, siendo este último una versión avanzada en PowerShell, a menudo preferida por su facilidad de uso y flexibilidad.

La sintaxis por defecto para los archivos:

Export-DNSServerZone "<nombre zona>" -FileName "<nombre archivo zona>" 

Veamos un ejemplo concreto de cómo se puede utilizar este comando:

1. Ataques al protocolo DNS

El protocolo DNS desempeña un papel esencial en las comunicaciones en redes locales e Internet. Sin embargo, por su diseño, el protocolo DNS es vulnerable a determinados ataques.

El servicio DNS es objetivo directo de varios tipos de ataques, incluidos estos dos métodos:

Además, el servicio DNS se puede ver afectado por ataques que no van dirigidos directamente...

1. Ataques DoS y contramedidas

Ya hemos visto anteriormente las distintas opciones y configuraciones para proteger las zonas DNS. Sin embargo, estas medidas siguen siendo insuficientes para contrarrestar y mitigar ciertos ataques como los DDoS (Distributed Denial of Service).

Para reducir el riesgo de ataques de tipo denegación de servicio, Microsoft ha introducido la funcionalidad RRL (Response Rate Limiting), disponible a partir de Windows Server 2016. El objetivo de esta funcionalidad es limitar la tasa de respuesta del servidor DNS. En otras palabras, si un usuario malintencionado envía la misma solicitud al servidor DNS una y otra vez, el servidor no responderá a todas las solicitudes porque RRL actuará como un freno.

2. Recordatorio del principio del ataque

Un ataque por denegación de servicio (Denial of Service - DoS) tiene como objetivo hacer que un servicio o sistema no esté disponible para sus usuarios interrumpiendo su funcionamiento normal. Esto se puede hacer sobredimensionando el objetivo con peticiones, saturando su ancho de banda o agotando los recursos de su sistema, como la memoria y la CPU. Los ataques DDoS pueden adoptar muchas formas, como ataques volumétricos, de agotamiento de recursos y de aplicación.

A diferencia de los ataques DoS, que se originan a partir de una única fuente, los ataques DDoS se originan a partir de muchas fuentes distribuidas, como una botnet.

Las consecuencias de los ataques DDoS pueden ser graves, provocando costosas interrupciones de servicios importantes como DNS o servicios web.

Fuente de la imagen: https://learn.microsoft.com/en-us/archive/blogs/teamdhcp/response-rate-limiting-in-windows-dns-server