Resumen

  • RFC 9527 asigna tres opciones DHCPv6 para entregar al HNA el dominio residencial registrado y los gestores de distribución directa e inversa.
  • Un Reply correcto acredita la entrega de parámetros, no la delegación padre, la aceptación de la zona, la validez DNSSEC ni lo que observa un resolvedor externo.
  • La afirmación completa necesita recibos enlazados de configuración, autoridad, canal autenticado, publicación, validación, alcance y ciclo de vida.

La consola del proveedor mostraba una secuencia impecable: solicitud, Reply, dominio registrado, gestor directo, gestor inverso. El hogar había cambiado de prefijo esa mañana. Horas después, la zona inversa pública aún describía la dirección anterior.

La escena es una hipótesis de control, no un incidente documentado. Su utilidad está en separar lo que RFC 9527 realmente normaliza de lo que una operación debe observar por su cuenta.

El Reply contiene coordenadas

La opción 145, OPTION_REGISTERED_DOMAIN, lleva el FQDN asignado al hogar. La 146, OPTION_FORWARD_DIST_MANAGER, identifica al Distribution Manager directo y los transportes que soporta. La 147, OPTION_REVERSE_DIST_MANAGER, hace lo mismo para el gestor inverso.

El cliente solicita esos códigos mediante ORO. El servidor responde cuando dispone de valores configurados. La traza permite saber qué bytes llegaron, desde qué servidor, en qué interfaz y bajo qué vigencia. Esa es una prueba concreta y valiosa.

Pero el nombre del gestor todavía debe resolverse. El HNA debe autenticar al par y ser autenticado. El gestor debe aceptar la transferencia. Los servidores autoritativos deben servir la versión correcta. La delegación superior y la cadena DNSSEC deben concordar. Finalmente, un observador fuera de la red debe poder obtener la respuesta prevista.

El Reply no contiene el resultado de esos pasos. Convertirlo en una señal general de “DNS listo” da a una capa de configuración una autoridad que no posee.

RFC 9526 conserva la frontera

RFC 9526 define el proceso de externalización. RFC 9527 entrega los parámetros no opcionales para iniciarlo. La separación permite que DHCPv6 haga bien su trabajo sin convertirse en protocolo de publicación DNS.

El bit DomTLS de Supported Transport debe estar activo para los gestores. Es una declaración de capacidad para DNS sobre TLS mutuamente autenticado y transferencia de zona sobre TLS. No es el registro de una sesión terminada ni prueba qué certificado se validó, qué política se aplicó o qué serial fue aceptado.

Esta diferencia explica varias combinaciones posibles: opciones correctas con una asociación de abonado obsoleta; FQDN correcto que resuelve a un endpoint retirado; TLS correcto seguido de rechazo de zona; zona aceptada mientras la delegación padre sigue atrasada; publicación correcta con DS y DNSKEY fuera de sincronía.

Los códigos IANA no son telemetría

IANA registra los códigos 145, 146 y 147 y mantiene el registro de transportes. Ese acto evita ambigüedades entre implementaciones. No afirma que un router doméstico los solicite, que un ISP los complete bien o que una zona exista.

Un registro de estándares pertenece a la capa de significado. Una captura de DHCPv6 pertenece a la capa de configuración. Un log del gestor pertenece al control. Una consulta autoritativa y una validación DNSSEC pertenecen a la realidad pública. La evidencia mejora cuando se enlazan; se vuelve engañosa cuando una sustituye a todas.

Directo e inverso siguen custodias distintas

El proveedor de acceso conoce el prefijo y es candidato natural para la zona inversa. El dominio directo puede pertenecer al ISP, al usuario o a un tercero. De ahí la separación entre gestores.

En una rotación de prefijo, el dominio directo puede apuntar ya a la dirección nueva y la zona inversa conservar la antigua. En un cambio de equipo, el nuevo HNA puede publicar sin retirar el estado del anterior. En una transferencia de dominio, el control registral puede cambiar antes que las credenciales del gestor.

Cada dirección necesita su propio recibo: dominio o prefijo, gestor, par autenticado, zona aceptada, serial, servidores, firma y respuestas observadas. La simetría visual de un panel no debe ocultar la asimetría institucional.

La experiencia sin configuración tiene dueño

El escenario base concentra servidor DHCPv6, gestores y autoridad en el ISP. Reduce fricción y facilita reemplazar el HNA. También convierte la infraestructura del ISP en dependencia del nombre público.

No hace falta presumir abuso para auditar esa concentración. Basta con exigir una prueba externa que el mismo sistema interno no pueda fabricar por circularidad. Un sondeo desde redes independientes puede confirmar si la zona que el proveedor cree publicada es la que Internet consulta.

Los dominios de terceros añaden registrar, redirección y validación de titularidad. La infraestructura DNS de terceros añade credenciales y aceptación fuera del ISP. Varios proveedores de acceso pueden entregar varios dominios; RFC 9527 deja ese manejo a la implementación. El failover de enlace y la continuidad del nombre son, por tanto, decisiones distintas.

Siete recibos, una sola conclusión

El recibo de configuración conserva intercambio, opciones, interfaz, servidor y lease. El de autoridad conserva titularidad del dominio, prefijo y delegaciones. El de canal conserva resolución, certificado, política y transacción TLS.

El de publicación conserva versión de zona, serial, servidores y hora de aceptación. El de validación conserva DNSSEC y respuestas negativas. El de alcance consulta desde redes independientes sobre IPv4 e IPv6. El de ciclo de vida prueba renovación, rebind, cambio de prefijo, sustitución del HNA, conmutación entre ISP, rollback y retirada del estado viejo.

La separación de capas de Heng Lu impide que el estándar suplante al sistema en marcha o que el log interno suplante a la observación pública. RFC 9527 aporta un mínimo común excelente. La autoridad operativa aparece solo cuando las decisiones locales y la realidad externa coinciden.

Lo que no sabemos

Las fuentes no ofrecen censo de adopción, tasa de fallos, inventario de fabricantes ni caso de outage. El ejemplo inicial no acusa a un producto. Tampoco puede inferirse que el registro IANA certifique soporte.

La formulación rigurosa es limitada y útil: “el HNA recibió la configuración RFC 9527”. Para decir “este hogar tiene DNS autoritativo público, válido y recuperable” hace falta la cadena completa.

Fuentes