Gestión de registros Glue para la delegación de zonas DNS propias

La delegación de una zona DNS a servidores cuyos nombres se encuentran dentro de esa misma zona requiere registros Glue. Este artículo explica, paso a paso y con ejemplos prácticos, cómo crear y gestionar registros Glue en un registrador, evitar bucles y problemas de resolución, y cómo integrarlos de forma segura en infraestructuras modernas.

¿Qué son los registros Glue y por qué importan?

Un registro Glue (registro pegamento) es una entrada en la zona del registrador que vincula un nameserver autoritativo (por ejemplo, ns1.ejemplo.com) con su dirección IP. Se usan cuando el nameserver pertenece al propio dominio al que sirve, evitando una dependencia circular en la resolución DNS.

Ejemplo conceptual

• Dominio: ejemplo.com
• Nameserver autoritativo: ns1.ejemplo.com
• Problema: Para resolver ns1.ejemplo.com se necesita consultar los servidores de ejemplo.com, lo que crea un ciclo.
• Solución: El registrador almacena un Glue record (ns1.ejemplo.com → 198.51.100.10) para romper el ciclo.

Si quieres una definición técnica complementaria, consulta la entrada de Wikipedia sobre Glue records.

Cuándo necesitas crear registros Glue

• Cuando los nameservers son subdominios del propio dominio delegado (ns1.dominio.com).
• Al migrar a nameservers propios alojados en IPs dedicadas.
• Si vas a configurar alta disponibilidad geográfica para tus nameservers y necesitas controlar las IPs desde el registrador.

No es necesario crear Glue cuando apuntas nameservers a dominios externos (por ejemplo, ns1.cloudflare.com), porque la resolución no depende de la zona que se está delegando.

Cómo crear registros Glue: pasos prácticos en el registrador

Los pasos pueden variar según el interfaz del registrador, pero el flujo es similar en la mayoría de proveedores. Muchos registradores documentan este proceso; Cloudflare ofrece ejemplos y consideraciones en su documentación sobre configuración de DNS, útil como referencia Cloudflare Docs.

Paso a paso

• Crear el A/AAAA en la zona (opcional): algunos registradores requieren primero que exista un registro A o AAAA en la zona antes de permitir crear el Glue. Sin embargo, a menudo el Glue se registra directamente en la interfaz de registro de hosts personalizados.
• Registrar el nameserver (host) en el panel del registrador: suele llamarse «Create Host», «Register Nameserver» o «Child Nameserver». Introduce el nombre (por ejemplo, ns1) y la IP asociada.
• Repetir para cada nameserver que gestione la zona (ns1, ns2…).
• Actualizar los servidores de nombres del dominio para usar los nuevos nameservers registrados.
• Esperar la propagación: los Glue records aparecen en la zona del TLD y su propagación depende de los TTL del TLD, normalmente minutos u horas.

Ejemplo operativo

Supongamos que gestionas ejemplo.com y quieres que ns1.ejemplo.com apunte a 198.51.100.10 y ns2.ejemplo.com a 2001:db8::10:

• En tu registrador: registrar hosts «ns1» → 198.51.100.10 y «ns2» → 2001:db8::10.
• Actualizar servidores de nombres del dominio: establecer ns1.ejemplo.com y ns2.ejemplo.com como servidores autoritativos en el panel del dominio.
• Comprobar con dig o host (ejemplos prácticos a continuación).

Comprobaciones y comandos útiles

Una vez creados los Glue, verifica la configuración desde fuera de tu red con herramientas como dig o host.

dig +short NS ejemplo.com
; muestra los nameservers delegados

dig +trace ejemplo.com
; traza la resolución desde la raíz y muestra si hay bucles

dig @198.51.100.10 ejemplo.com A
; consulta directamente al nameserver configurado

Si dig +trace falla en la etapa del TLD para obtener la IP del nameserver, lo más probable es que falte el Glue o que esté mal apuntado.

Riesgos comunes y cómo evitarlos

• Glue incorrecto: una IP equivocada en el Glue deja inaccesible la resolución. Verifica las IPs antes de activar la delegación.
• Bucle de delegación: registrar servidores dentro de la misma zona sin Glue provoca fallos. Asegura que exista al menos un Glue por nameserver involucrado.
• TTL y propagación: los Glue se publican en la zona del TLD; su TTL no controla totalmente la caché en resolutores recursivos del mundo. Planifica cambios con margen.
• Coordinar cambios de IP: si cambias la IP de un nameserver, actualiza Glue en el registrador y en la propia zona DNS en paralelo para evitar inconsistencias.
• Fallo de redundancia: depender de un único prefijo de red para todos tus nameservers es un riesgo. Distribuye los nameservers en diferentes AS/colo si es posible.

Consideraciones de seguridad y DNSSEC

Glue records no están firmados por DNSSEC en la mayoría de las implementaciones del TLD, por lo que la integridad de un Glue depende del registro en el registrador y de la seguridad del canal administrativo. Si implementas DNSSEC para tu zona, recuerda actualizar las firmas (RRSIG/DS) tras cambios significativos y verificar la cohesión entre la delegación y las claves públicas. Para profundizar en buenas prácticas de seguridad en infraestructuras, consulta materiales como los de NIST.

Casos avanzados y alternativas

Si no quieres gestionar Glue, alternativas incluyen usar nameservers externos (CDNs o proveedores DNS) o subdominios de terceros que ya resuelven correctamente sin Glue. Otra opción es usar Anycast con proveedores DNS que te ofrezcan IPs globales, evitando la necesidad de administrar registros Glue.

Delegación híbrida

• Delegar algunos subdominios a tus propios servidores y otros a servicios externos permite controlar carga y disponibilidad.
• Usa delegaciones en la zona padre (NS) y Glue solo para los nameservers internos cuando sea estrictamente necesario.

Checklist antes de publicar Glue en producción

• Verificar que las IPs asignadas responden al puerto 53 (UDP/TCP) y aceptan consultas para la zona.
• Comprobar registros A/AAAA en la zona y Glue en el registrador coherentes entre sí.
• Confirmar redundancia geográfica o en proveedores de red para tolerancia a fallos.
• Actualizar documentación operativa y contactos de emergencia en el registrador.
• Probar resolución desde múltiples ubicaciones públicas (dig +trace, servicios de verificación) para detectar fallos de caché o propagación.

Conclusión

Los registros Glue son un componente esencial cuando delegas una zona a nameservers que son subdominios del propio dominio. Hacerlo bien requiere coordinación entre tu zona DNS y el panel de registro del dominio. Sigue el procedimiento: registrar hosts en el registrador, apuntar las IP correctas, comprobar con herramientas externas y planificar redundancia. Con prácticas de comprobación y seguridad —incluida la consideración de DNSSEC y la distribución de infraestructura— minimizarás riesgos y lograrás una delegación fiable y mantenible.

Para ver conceptos básicos, la entrada de Wikipedia es útil; para guías prácticas del proceso, revisa la documentación del registrador o recursos genéricos como la guía de Cloudflare Docs.