{"id":113,"date":"2017-04-05T21:00:03","date_gmt":"2019-04-06T00:00:03","guid":{"rendered":"https:\/\/www.linuxpro.com.br\/2019\/04\/conhecendo-o-dns\/"},"modified":"2026-09-08T10:43:18","modified_gmt":"2026-09-08T13:43:18","slug":"conhecendo-o-dns","status":"publish","type":"post","link":"https:\/\/www.linuxpro.com.br\/es\/2017\/04\/conhecendo-o-dns\/","title":{"rendered":"Conhecendo o DNS"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" alt=\"Mascote do LinuxPro apontando a placa de sinaliza\u00e7\u00e3o que leva ao servidor de nomes\" src=\"\/wp-content\/uploads\/2026\/09\/dns-v3.webp\" width=\"1486\" height=\"856\" \/><\/p>\n<div style=\"background:#fff8e1;border-left:4px solid #8b1a1a;padding:.8em 1em;margin:1em 0\"><strong>Nota (2026):<\/strong> Texto original de abril de 2017, revisado e ampliado. Corrigimos o mito dos &#8220;13 servidores DNS no mundo&#8221; \u2014 s\u00e3o 13 <em>identidades<\/em>, com mais de 1.900 m\u00e1quinas f\u00edsicas \u2014 e acrescentamos a parte que faltava: os comandos que resolvem o problema na pr\u00e1tica, a tabela de tipos de registro e o que mudou com DNSSEC e DNS criptografado.<\/div>\n<h2>O que \u00e9 DNS<\/h2>\n<p>DNS \u00e9 a sigla em ingl\u00eas para Domain Name System (Sistema de Nomes e Dom\u00ednios, em portugu\u00eas), respons\u00e1vel por transformar os nomes dos dom\u00ednios dos sites que as pessoas digitam nos navegadores web em n\u00fameros IP.<br \/>\nO DNS opera principalmente atrav\u00e9s de duas fun\u00e7\u00f5es: examinar e atualizar bancos de dados e resolver nomes de dom\u00ednios em endere\u00e7os de rede.<\/p>\n<p>O sistema de distribui\u00e7\u00e3o de nomes de dom\u00ednio come\u00e7ou no ano de 1984, e atrav\u00e9s dele tornou-se poss\u00edvel que os nomes de hosts residentes em um banco de dados pudessem ser distribu\u00eddos entre v\u00e1rios servidores, diminuindo assim a carga em qualquer servidor.<br \/>\nO DNS baseia-se em nomes hier\u00e1rquicos e permite a inscri\u00e7\u00e3o de v\u00e1rios dados digitados, al\u00e9m do nome do Host e do IP (Internet Protocol).<\/p>\n<p><!-- more --><\/p>\n<p><iframe style=\"width:100%;aspect-ratio:16\/9;border:0\" src=\"https:\/\/www.youtube-nocookie.com\/embed\/ACGuo26MswI\" allowfullscreen loading=\"lazy\"><\/iframe><\/p>\n<p>Pelo fato de o banco de dados ser distribu\u00eddo, o tamanho \u00e9 praticamente ilimitado e o desempenho n\u00e3o cai quando novos servidores entram.<\/p>\n<div style=\"background:#eef6ff;border-left:4px solid #1a4f8b;padding:.8em 1em;margin:1em 0\"><strong>Corre\u00e7\u00e3o do mito mais repetido sobre DNS:<\/strong> n\u00e3o existem &#8220;13 servidores DNS no mundo&#8221;. Existem <strong>13 identidades de servidor raiz<\/strong> \u2014 de <code>a.root-servers.net<\/code> a <code>m.root-servers.net<\/code> \u2014, um limite herdado do tamanho m\u00e1ximo que um pacote UDP de DNS tinha nos anos 80. Cada uma dessas letras \u00e9, na verdade, <strong>centenas de m\u00e1quinas espalhadas pelo planeta<\/strong>, respondendo pelo mesmo endere\u00e7o IP por <em>anycast<\/em>: voc\u00ea fala com a mais pr\u00f3xima. Somadas, passam de <strong>1.900 inst\u00e2ncias<\/strong> em mais de 150 pa\u00edses \u2014 inclusive v\u00e1rias no Brasil, hospedadas em pontos de troca de tr\u00e1fego do NIC.br. Derrubar &#8220;os 13 servidores&#8221; n\u00e3o \u00e9 uma opera\u00e7\u00e3o poss\u00edvel.<\/div>\n<p>O servidor DNS traduz nomes em endere\u00e7os IP e vice-versa. E a divis\u00e3o cl\u00e1ssica entre <strong>prim\u00e1rio<\/strong> (onde a zona \u00e9 editada) e <strong>secund\u00e1rio<\/strong> (que recebe uma c\u00f3pia por transfer\u00eancia de zona) continua valendo \u2014 o registro.br, por exemplo, exige no m\u00ednimo dois servidores respondendo pelo seu dom\u00ednio.<\/p>\n<h2>O que \u00e9 DNS Reverso ?<\/h2>\n<p>O DNS Reverso resolve o endere\u00e7o IP, buscando o nome de dom\u00ednio associado ao host. Ou seja, quando temos dispon\u00edvel o endere\u00e7o IP de um host e n\u00e3o sabemos o endere\u00e7o do dom\u00ednio(nome dado \u00e0 m\u00e1quina ou outro equipamento que acesse uma rede), tentamos resolver o endere\u00e7o IP atrav\u00e9s do DNS reverso que procura qual nome de dom\u00ednio est\u00e1 associado \u00e0quele endere\u00e7o. Os servidores que utilizam o DNS Reverso conseguem verificar a autenticidade de endere\u00e7os, verificando se o endere\u00e7o IP atual corresponde ao endere\u00e7o IP informado pelo servidor DNS. <strong>Isto evita que algu\u00e9m utilize um dom\u00ednio que n\u00e3o lhe pertence para enviar spam, por exemplo<\/strong>.<\/p>\n<h2>Conceito B\u00e1sico<\/h2>\n<p>O DNS Reverso transforma 66.249.71.47 em dominio.com.br ou seja, um endere\u00e7o IP em nome. O caminho cl\u00e1ssico para resolu\u00e7\u00e3o \u00e9: DNS resolver \u279c root servers \u279c ARIN (North American IP registry) \u279c Local ISP \u279c Acme Inc. DNS servers.<\/p>\n<p><strong>Quem quer que seja seu fornecedor de IPs deve ou adicionar suas entradas em seus servidores de DNS ou delegar autoridade de suas entradas de reverso para seus servidores de DNS<\/strong>. As entradas de DNS Reverso utilizam hostname com um endere\u00e7o de IP reverso com &#8220;.in-addr.arpa&#8221; adicionado a ele. Por exemplo, \u201c124.168.184.200.in-addr.arpa&#8221;.<\/p>\n<p>O DNS padr\u00e3o utiliza entradas do tipo &#8220;A Records&#8221; enquanto o DNS Reverso utiliza &#8220;PTR records&#8221; que se parecem com &#8220;124.168.184.200.in-addr.arpa. PTR host.example.com&#8221; (enquanto um DNS padr\u00e3o seria algo como &#8220;host.example.com. A 66.249.71.47&#8221;).<\/p>\n<p><iframe style=\"width:100%;aspect-ratio:16\/9;border:0\" src=\"https:\/\/www.youtube-nocookie.com\/embed\/VIa1dHtmQ4U\" allowfullscreen loading=\"lazy\"><\/iframe><\/p>\n<h2>Funcionamento DNS Padr\u00e3o<\/h2>\n<p>\u00c9 comum que muitas pessoas s\u00f3 conhe\u00e7am o &#8220;padr\u00e3o&#8221; DNS para resolu\u00e7\u00e3o de hostname em endere\u00e7o IP que transformaria dominio.com.br em 66.249.71.47. Esse processo come\u00e7a com o registro de um dom\u00ednio, no Brasil, o registro.br \u00e9 uma das entidades (registrar) em que podemos criar novos dom\u00ednios existem centenas de registrars em todo o mundo.<\/p>\n<p>Ao criar um dom\u00ednio voc\u00ea deve informar seus servidores de DNS que ser\u00e3o respons\u00e1veis em apontar o novo dom\u00ednio para um endere\u00e7o IP e, por outro lado, o registro.br envia essa informa\u00e7\u00e3o aos servidores root (tecnicamente falando, o parent server para seu TLD). Dessa forma, qualquer pessoa no mundo pode acessar seus dom\u00ednios e voc\u00ea pode enviar a elas qualquer endere\u00e7o de IP que desejar. Voc\u00ea tem total controle sobre seus dom\u00ednios e pode at\u00e9 enviar endere\u00e7os de IPs que n\u00e3o te perten\u00e7am \u2013 nesse caso voc\u00ea precisaria de permiss\u00e3o do verdadeiro dono do IP que seus servidores DNS retornam como resultado de uma resolu\u00e7\u00e3o.<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"Diagrama da resolu\u00e7\u00e3o DNS: o cliente pergunta ao resolvedor, que consulta a raiz, o TLD e o servidor autoritativo\" src=\"\/wp-content\/uploads\/2026\/09\/dns_02.webp\" width=\"1020\" height=\"620\" \/><\/p>\n<h2>Os tipos de registro que voc\u00ea vai usar<\/h2>\n<p>Uma zona de DNS \u00e9 uma lista de registros, cada um com um tipo. Estes s\u00e3o os que aparecem no dia a dia:<\/p>\n<table>\n<thead>\n<tr>\n<th>Tipo<\/th>\n<th>Para que serve<\/th>\n<th>Exemplo do que guarda<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><code>A<\/code><\/td>\n<td>Nome \u2192 endere\u00e7o IPv4<\/td>\n<td><code>203.0.113.10<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>AAAA<\/code><\/td>\n<td>Nome \u2192 endere\u00e7o IPv6<\/td>\n<td><code>2001:db8::10<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>CNAME<\/code><\/td>\n<td>Apelido de outro nome<\/td>\n<td><code>www<\/code> aponta para <code>site.exemplo.com.br<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>MX<\/code><\/td>\n<td>Para onde vai o e-mail do dom\u00ednio<\/td>\n<td><code>10 mail.exemplo.com.br<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>TXT<\/code><\/td>\n<td>Texto livre \u2014 hoje \u00e9 onde vivem SPF, DKIM e DMARC<\/td>\n<td><code>v=spf1 mx -all<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>NS<\/code><\/td>\n<td>Quem responde por esta zona<\/td>\n<td><code>ns1.provedor.com.br<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>PTR<\/code><\/td>\n<td>IP \u2192 nome (o DNS reverso)<\/td>\n<td><code>10.113.0.203.in-addr.arpa<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>SOA<\/code><\/td>\n<td>Dados administrativos da zona: serial, TTLs<\/td>\n<td>serial <code>2026090701<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>CAA<\/code><\/td>\n<td>Quais autoridades podem emitir certificado para o dom\u00ednio<\/td>\n<td><code>0 issue \"letsencrypt.org\"<\/code><\/td>\n<\/tr>\n<tr>\n<td><code>SRV<\/code><\/td>\n<td>Servi\u00e7o em um host e porta<\/td>\n<td>usado por SIP, XMPP, Active Directory<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Se voc\u00ea administra e-mail, tr\u00eas desses definem se a sua mensagem chega ou vai para o spam: <strong>MX<\/strong>, o <strong>PTR<\/strong> do IP de sa\u00edda e os <strong>TXT<\/strong> de SPF, DKIM e DMARC. O assunto est\u00e1 detalhado em <a href=\"\/2026\/09\/a-historia-do-postfix\/\">A hist\u00f3ria do Postfix<\/a>.<\/p>\n<h2>Consultando na pr\u00e1tica: o <code>dig<\/code><\/h2>\n<p>Toda a teoria acima se verifica com um comando. O <code>dig<\/code> vem no pacote <code>dnsutils<\/code> (Debian\/Ubuntu) ou <code>bind-utils<\/code> (Fedora\/RHEL):<\/p>\n<pre><code class=\"language-bash\"># o b\u00e1sico: qual o IP deste nome?\ndig +short exemplo.com.br\n\n# um tipo espec\u00edfico\ndig exemplo.com.br MX +short\ndig exemplo.com.br TXT +short\ndig exemplo.com.br NS +short\n\n# DNS reverso\ndig -x 203.0.113.10 +short\n\n# perguntando a um resolvedor espec\u00edfico, ignorando o seu\ndig @1.1.1.1 exemplo.com.br\ndig @8.8.8.8 exemplo.com.br\n\n# perguntando direto ao servidor autoritativo, sem cache no meio\ndig @ns1.provedor.com.br exemplo.com.br\n\n# a resolu\u00e7\u00e3o inteira, passo a passo: raiz \u2192 TLD \u2192 autoritativo\ndig +trace exemplo.com.br<\/code><\/pre>\n<p>O <code>+trace<\/code> \u00e9 o comando que ensina DNS de verdade \u2014 ele mostra na tela a mesma cadeia de perguntas descrita neste post, uma linha por etapa.<\/p>\n<p>Para o dia a dia, dois atalhos:<\/p>\n<pre><code class=\"language-bash\">host exemplo.com.br          # resposta curta e leg\u00edvel\nresolvectl query exemplo.com.br   # o que o systemd-resolved est\u00e1 usando\nresolvectl status            # quais servidores a sua m\u00e1quina consulta\nresolvectl flush-caches      # limpar o cache local<\/code><\/pre>\n<h2>TTL: por que a mudan\u00e7a demora a &#8220;pegar&#8221;<\/h2>\n<p>Todo registro carrega um <strong>TTL<\/strong> \u2014 o tempo, em segundos, que os resolvedores do mundo inteiro podem guardar aquela resposta em cache. \u00c9 a explica\u00e7\u00e3o para a pergunta mais comum de quem troca de servidor: <em>&#8220;mudei o IP e o site ainda abre no antigo&#8221;<\/em>.<\/p>\n<pre><code class=\"language-bash\"># ver o TTL restante (sem o +short)\ndig exemplo.com.br | grep -A1 \"ANSWER SECTION\"<\/code><\/pre>\n<p>A regra de ouro de migra\u00e7\u00e3o: <strong>baixe o TTL para 300 segundos com pelo menos 24 horas de anteced\u00eancia<\/strong>, fa\u00e7a a troca, confirme que est\u00e1 tudo certo e s\u00f3 ent\u00e3o volte o TTL para 3600 ou mais. Quem esquece esse passo convive com um dia inteiro de tr\u00e1fego dividido entre servidor velho e novo.<\/p>\n<h2>O que mudou desde 2017: DNSSEC e DNS criptografado<\/h2>\n<p>O DNS foi desenhado em 1983 sem nenhuma preocupa\u00e7\u00e3o com seguran\u00e7a \u2014 a resposta chega em texto puro e sem assinatura. Duas camadas foram criadas para tapar buracos diferentes, e \u00e9 comum confundi-las:<\/p>\n<ul>\n<li><strong>DNSSEC<\/strong> resolve a <em>autenticidade<\/em>: assina criptograficamente os registros, de modo que o resolvedor detecta se algu\u00e9m adulterou a resposta no caminho. N\u00e3o esconde nada \u2014 s\u00f3 prova que veio de quem devia. No <code>.br<\/code> \u00e9 suportado desde 2009 e habilitado no painel do registro.br.<\/li>\n<li><strong>DoT<\/strong> (DNS over TLS, porta 853) e <strong>DoH<\/strong> (DNS over HTTPS, porta 443) resolvem a <em>privacidade<\/em>: criptografam a consulta para que o provedor de internet e quem estiver no meio do caminho n\u00e3o vejam quais sites voc\u00ea procura. N\u00e3o dizem nada sobre a resposta estar correta.<\/li>\n<\/ul>\n<p>Um complementa o outro. No systemd-resolved, o DoT liga assim:<\/p>\n<pre><code class=\"language-bash\">sudo tee \/etc\/systemd\/resolved.conf.d\/dot.conf &gt;\/dev\/null &lt;&lt;'EOF'\n[Resolve]\nDNS=1.1.1.1#cloudflare-dns.com 9.9.9.9#dns.quad9.net\nDNSOverTLS=yes\nDNSSEC=allow-downgrade\nEOF\n\nsudo systemctl restart systemd-resolved\nresolvectl status | grep -E \"DNSOverTLS|DNSSEC|Current DNS\"<\/code><\/pre>\n<pre><code class=\"language-bash\"># conferir se um dom\u00ednio est\u00e1 assinado com DNSSEC\ndig exemplo.com.br +dnssec | grep -E \"RRSIG|flags:\"\n# a flag \"ad\" (authenticated data) na resposta indica valida\u00e7\u00e3o bem-sucedida<\/code><\/pre>\n<h2>Quando alguma coisa n\u00e3o resolve<\/h2>\n<p>Roteiro de diagn\u00f3stico, do mais prov\u00e1vel ao menos:<\/p>\n<ol>\n<li><strong>\u00c9 cache?<\/strong> <code>resolvectl flush-caches<\/code> e teste de novo. Compare com <code>dig @1.1.1.1<\/code>, que ignora o seu resolvedor.<\/li>\n<li><strong>O autoritativo responde?<\/strong> <code>dig @ns1.provedor.com.br o-dominio<\/code>. Se o autoritativo n\u00e3o responde, o problema n\u00e3o \u00e9 seu.<\/li>\n<li><strong>A delega\u00e7\u00e3o est\u00e1 certa?<\/strong> <code>dig o-dominio NS +trace<\/code> \u2014 confira se os NS que o registrador publicou s\u00e3o os mesmos da zona.<\/li>\n<li><strong>O TTL antigo ainda vale?<\/strong> Se voc\u00ea acabou de mudar, espere o TTL anterior expirar.<\/li>\n<li><strong>DNSSEC quebrado?<\/strong> Assinatura expirada derruba o dom\u00ednio inteiro para quem valida. <code>dig +cd<\/code> desabilita a valida\u00e7\u00e3o: se funcionar com <code>+cd<\/code> e falhar sem, achou o culpado.<\/li>\n<li><strong>\u00c9 a sua m\u00e1quina?<\/strong> <code>resolvectl status<\/code> mostra qual servidor est\u00e1 sendo usado de fato \u2014 muitas vezes n\u00e3o \u00e9 o que voc\u00ea configurou.<\/li>\n<\/ol>\n<h2>Como funciona a Internet<\/h2>\n<p>Serie feita pelo <a href=\"https:\/\/www.youtube.com\/channel\/UCscVLgae-2f9baEXhVbM1ng\">Nic.br<\/a> de como funciona a Internet, caso voc\u00ea esteja criando ou administrando um Servidor de E-mail, Sites, DNS, pare um pouco e veja esses 4 v\u00eddeos do Nic.br.<\/p>\n<ul>\n<li><a href=\"https:\/\/www.youtube.com\/watch?v=HNQD0qJ0TC4\">Parte 1: O protocolo IP<\/a><\/li>\n<li><a href=\"https:\/\/www.youtube.com\/watch?v=C5qNAT_j63M\">Parte 2: Sistemas Aut\u00f4nomos, BGP, PTTs<\/a><\/li>\n<li><a href=\"https:\/\/www.youtube.com\/watch?v=ACGuo26MswI\">Parte 3: DNS<\/a><\/li>\n<li><a href=\"https:\/\/www.youtube.com\/watch?v=ZYsjMEISR6E\">Parte 4: Governan\u00e7a da Internet<\/a><\/li>\n<li><a href=\"https:\/\/www.youtube.com\/watch?v=epWv0-eqRMw\">A import\u00e2ncia do DNS nas redes<\/a><\/li>\n<\/ul>\n<h2>Links<\/h2>\n<ul>\n<li><a href=\"https:\/\/registro.br\/\" target=\"_blank\" rel=\"noopener\">registro.br<\/a> \u2014 onde se registra dom\u00ednio <code>.br<\/code> e se configura DNSSEC<\/li>\n<li><a href=\"https:\/\/root-servers.org\/\" target=\"_blank\" rel=\"noopener\">root-servers.org<\/a> \u2014 o mapa ao vivo das inst\u00e2ncias dos servidores raiz<\/li>\n<li><a href=\"https:\/\/dnsviz.net\/\" target=\"_blank\" rel=\"noopener\">DNSViz<\/a> \u2014 visualiza a cadeia DNSSEC de um dom\u00ednio e aponta onde quebrou<\/li>\n<\/ul>\n<p>Aqui no blog: <a href=\"\/2026\/09\/a-historia-do-postfix\/\">A hist\u00f3ria do Postfix<\/a> explica por que MX, PTR e SPF decidem a entrega do seu e-mail; <a href=\"\/2017\/04\/sobre-o-arquivo-hosts\/\">Sobre o arquivo hosts<\/a> mostra o atalho que existia antes do DNS \u2014 e que ainda \u00e9 consultado primeiro; e <a href=\"\/2017\/04\/serie-servidores-linux\/\">a S\u00e9rie Servidores Linux<\/a> p\u00f5e tudo isso em pr\u00e1tica.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>O que \u00e9 DNS DNS \u00e9 a sigla em ingl\u00eas para Domain Name System (Sistema de Nomes e Dom\u00ednios, em portugu\u00eas), respons\u00e1vel por transformar os nomes dos dom\u00ednios dos sites que as pessoas digitam nos navegadores web em n\u00fameros IP. &#8230; <a title=\"Conhecendo o DNS\" class=\"read-more\" href=\"https:\/\/www.linuxpro.com.br\/es\/2017\/04\/conhecendo-o-dns\/\" aria-label=\"Read more about Conhecendo o DNS\">Read more<\/a><\/p>","protected":false},"author":0,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[10,39,4,40],"class_list":["post-113","post","type-post","status-publish","format-standard","hentry","category-linux","tag-dicas","tag-dns","tag-linux","tag-net"],"_links":{"self":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/113","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/comments?post=113"}],"version-history":[{"count":7,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/113\/revisions"}],"predecessor-version":[{"id":1378,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/113\/revisions\/1378"}],"wp:attachment":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/media?parent=113"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/categories?post=113"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/tags?post=113"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}