Los 13 Root Servers de Internet
Los servidores raíz que sostienen la infraestructura DNS global
¿Qué son los Root Servers?
Los Root Servers (servidores raíz) son la base fundamental del Sistema de Nombres de Dominio (DNS). Son los primeros servidores consultados en el proceso de resolución DNS: cuando un servidor DNS recursivo no puede resolver un nombre de dominio, consulta a uno de estos 13 clusters de servidores raíz para obtener la dirección del servidor TLD (Top-Level Domain) correspondiente.
Aunque se les llama "los 13 Root Servers", en realidad cada letra representa un cluster con cientos de servidores distribuidos globalmente mediante anycast. En total, existen más de 1.700 instancias de servidores raíz repartidos por todo el mundo, lo que garantiza la resiliencia y velocidad del sistema DNS.
Los Root Servers son gestionados por 12 organizaciones diferentes, incluyendo universidades, empresas y organismos gubernamentales, bajo la coordinación de ICANN y la IANA.
| Letra | IPv4 | Operador |
|---|---|---|
| A | 198.41.0.4 | Verisign |
| B | 170.247.170.2 | USC-ISI |
| C | 192.33.4.12 | Cogent Communications |
| D | 199.7.91.13 | University of Maryland |
| E | 192.203.230.10 | NASA Ames Research Center |
| F | 192.5.5.241 | Internet Systems Consortium |
| G | 192.112.36.4 | US DoD (NIC) |
| H | 198.97.190.53 | US Army Research Lab |
| I | 192.36.148.17 | Netnod |
| J | 192.58.128.30 | Verisign |
| K | 193.0.14.129 | RIPE NCC |
| L | 199.7.83.42 | ICANN |
| M | 202.12.27.33 | WIDE Project |
Preguntas frecuentes sobre los root servers
- ¿Cuántos root servers hay?
- Hay 13 identidades de root server, nombradas de la A a la M, pero cada una es un clúster de muchas máquinas repartidas por el mundo mediante anycast. En total hay más de 1.700 instancias en más de 130 países, así que una consulta desde Madrid, El Cairo o Tokio la responde un nodo cercano, no un ordenador en Estados Unidos.
- ¿Por qué exactamente 13?
- Por un límite del protocolo DNS original: una respuesta UDP tenía que caber en 512 bytes, y 13 registros de nombre y dirección es lo que cabe junto a la pregunta. En vez de añadir identidades, los operadores multiplicaron cada una con anycast; por eso 13 nombres esconden más de 1.700 servidores.
- ¿Quién opera los root servers?
- Doce organizaciones: Verisign (A y J), USC-ISI (B), Cogent (C), la Universidad de Maryland (D), la NASA (E), el Internet Systems Consortium (F), el Departamento de Defensa de EE. UU. (G), el US Army Research Lab (H), Netnod (I), RIPE NCC (K), ICANN (L) y el proyecto WIDE (M). ICANN e IANA coordinan la zona raíz, y Verisign la publica como Root Zone Maintainer.
- ¿Dónde están físicamente?
- En todas partes. La ciudad de la tabla es la sede del operador, pero cada letra tiene instancias en todos los continentes, alojadas en puntos neutros. Tres operadores están fuera de Estados Unidos (Netnod en Estocolmo, RIPE NCC en Ámsterdam, WIDE en Tokio), y hay instancias de varias letras en España y en la mayoría de países europeos.
- ¿Puedo usar un root server como mi DNS, por ejemplo 198.41.0.4?
- No. Los root servers sólo son autoritativos para la zona raíz: no resuelven nombres por ti, sólo responden con una referencia a los servidores del dominio de primer nivel que preguntaste (.com, .es, .org). Un ordenador configurado con un root server como DNS no puede navegar. Lo que necesitas es un resolver recursivo como 1.1.1.1, 9.9.9.9 u 8.8.8.8.
- ¿Qué responde realmente un root server?
- Una sola cosa: qué servidores son autoritativos para un dominio de primer nivel. Cuando tu resolver busca ejemplo.com por primera vez, la raíz le dice dónde están los servidores de .com, .com le dice dónde están los de ejemplo.com, y esos dan la respuesta final. Los resolvers guardan la referencia de .com dos días, así que en la práctica preguntan a la raíz muy pocas veces.
- ¿Qué pasa si un root server cae o lo atacan?
- Muy poco. El tráfico de la letra afectada se desplaza a otras instancias anycast y las otras doce letras siguen respondiendo. Además los resolvers guardan las referencias de los dominios de primer nivel 48 horas, así que incluso una caída total tardaría en notarse. Los grandes ataques DDoS de 2002, 2007 y 2015 no causaron ninguna interrupción perceptible para los usuarios.
- ¿La zona raíz está firmada con DNSSEC?
- Sí, desde julio de 2010, y la clave de la raíz (KSK) se renovó por primera vez en octubre de 2018. Los resolvers validadores como Quad9, Cloudflare y Google comprueban la cadena de firmas empezando por la raíz, que es lo que permite detectar respuestas DNS falsificadas.
¿Listo para mejorar tu DNS?
Elige el mejor servidor DNS gratuito para tus necesidades y configúralo en minutos.