Automatizando la resolución de DNS desde redes internas

Hace unos meses recibimos una incidencia de varios compañeros que no podían acceder al dominio corporativo y, consecuentemente, al tunel de ventas desde la red Wi-Fi corporativa ni desde cable. Mientras desde la red invitados funcionaba todo correctamente, desde la red interna los registros DNS fallaban, especialmente aquellos que dependían de Route 53 en AWS.

La causa estaba clara: teníamos una zona DNS autoritativa en nuestros servidores de Active Directory para todo el dominio, corporativo,  lo que impedía que se resolvieran los subdominios externos gestionados en Route 53.

Una solución provisional (pero efectiva)

Mientras se decide si eliminar o no la zona DNS completa desde nuestros controladores de dominio, propusimos una solución intermedia: automatizar la actualización de registros DNS tipo A de los subdominios críticos. Así nos aseguramos de que si la IP cambia en AWS, se refleje en nuestra zona local.

El script PowerShell

Para ello desarrollé un script en PowerShell que ejecutamos periódicamente en uno de nuestros servidores windows. El objetivo es sencillo:

• Consultar las IPs actuales de subdominios.
• Compararlas con las que tenemos en nuestra zona DNS local.
• Actualizar el registro A si hay diferencias.
• Registrar todo en logs para trazabilidad.

Esto lo hemos ido aplicando también a otros subdominios que posteriormente han ido teniendo esa misma problemática

Detalles técnicos

Los registros se actualizan usando el módulo DNS de Windows Server y se registra cada cambio o consulta con un timestamp.
La ejecución se realiza como tarea programada y escribe logs diarios con las acciones realizadas. El script también maneja errores como timeout o respuesta vacía.

Resultado

Desde que pusimos en marcha esta solución, los accesos a las webs mencionadas desde red interna han sido estables. Además, al estar documentado en GitLab y vinculado a los sprints de soporte, se puede mantener y escalar si fuera necesario.

¿Qué sigue?

La solución definitiva sería retirar la zona de nuestros servidores DNS internos y dejar únicamente aquellos registros que realmente gestionamos localmente. Mientras tanto, esta monitorización activa nos da margen de maniobra.