Summary

  • Anand Buddhdev, con Paul de Weerd, propuso retirar ns.ripe.net: el DNS secundario de RIPE NCC para grandes asignaciones existía desde 1992, pero acumulaba trato desigual y problemas de operación.
  • Tras la consulta en el grupo de DNS, RIPE NCC dejó de admitir nuevas delegaciones en junio de 2024, contactó a los usuarios y quitó las referencias restantes el 15 de enero de 2025.

El respaldo también puede fallar

En 1992 era fácil defender un servidor de reserva para DNS inverso. Si los servidores de un miembro dejaban de responder, ns.ripe.net podía seguir atendiendo la zona. RIPE NCC ofrecía ese servicio a quienes tenían, como mínimo, un bloque /16 de IPv4 o /32 de IPv6. La idea era proteger espacios grandes. Tres décadas después, esa llave de repuesto venía con un manojo de problemas.

Anand Buddhdev, ingeniero de DNS del RIPE NCC, expuso en mayo de 2024, con la colaboración de Paul de Weerd, el caso para retirarla. La regla premiaba a los titulares de bloques grandes, precisamente quienes solían tener más medios para contratar o montar redundancia. Un antiguo fallo de la base de datos había permitido entrar a algunos titulares pequeños. Conservaban el beneficio tras corregirse el fallo, mientras otros miembros de igual tamaño ya no podían acceder. Y el registro regalaba un servicio que también ofrecían algunos de sus miembros.

La parte técnica era menos elegante todavía. Si el titular olvidaba permitir la transferencia de su zona a RIPE NCC, el supuesto respaldo devolvía SERVFAIL. No existía una clave TSIG compartida para asegurar esas transferencias. El tamaño de cada zona se descubría tarde: algunas tan grandes agotaron la memoria de servidores pequeños. Un error de DNSSEC podía dejar a un operador atrapado entre una zona defectuosa y los controles previos que bloqueaban la actualización necesaria para arreglarla. El servicio prometía una salida de emergencia y a veces tenía la puerta atascada.

La institución ya había planteado el cierre en 2016; entonces se prefirió mantenerlo. En 2024, el debate del grupo de trabajo de DNS produjo otro resultado. El plan revisado cerró nuevas solicitudes en junio y abrió meses de avisos. La presentación de Buddhdev de octubre retrata la mudanza: correos a contactos de zona, técnicos y administrativos; después a contactos de los bloques de direcciones, porque los primeros mensajes no siempre llegaron; llamadas a los usuarios más grandes. Aún quedaban más de mil objetos de dominio por cambiar.

El informe de enero de 2025 confirma que el 15 de ese mes RIPE NCC borró de los objetos restantes el atributo que apuntaba a ns.ripe.net. Buddhdev confirmó el cierre y el respaldo comunitario en su presentación de mayo. El registro siguió operando DNS autoritativo y delegaciones inversas. Lo que terminó fue ese respaldo opcional. Apagarlo bien fue una tarea de ingeniería y de paciencia, no una ceremonia para cortar una cinta. La secuencia importa: primero se cerró la entrada, luego se buscó a quienes seguían dentro y solo al final se limpiaron los registros. Un cierre sin ese orden habría convertido una mejora operativa en una sorpresa para los operadores.

Fuentes originales de RIPE