DNS split horizon: o que é e como configurar
O DNS split horizon (também chamado split-brain DNS ou split DNS) é uma configuração onde o mesmo domínio resolve para endereços IP diferentes dependendo de onde vem a consulta: tipicamente, endereço interno para utilizadores na rede local e endereço público para utilizadores externos.
Quando usar
Cenário típico: a empresa tem um servidor interno com aplicações acessíveis em app.empresa.pt. Utilizadores externos acedem via o IP público. Utilizadores internos (no escritório, na mesma rede) deveriam aceder diretamente via IP interno: mais rápido e sem passar pelo firewall/NAT. O split horizon permite que app.empresa.pt resolva para 192.168.1.10 internamente e para 85.240.X.X externamente.
Outro cenário: serviços que só devem estar acessíveis internamente (intranet, painéis de gestão) podem ter registos DNS internos sem equivalente público. intranet.empresa.pt resolve internamente mas não existe para o mundo exterior.
Como configurar
Router/firewall: muitos routers empresariais (pfSense, MikroTik, Unifi) suportam DNS local (DNS override/host override). Adicione registos para os domínios que devem resolver diferentemente na rede local. É a forma mais simples: não requer servidor DNS dedicado.
Servidor DNS interno: para configurações mais complexas, use um servidor DNS interno (Pi-hole, Unbound, Windows Server DNS) que serve como DNS primário para a rede local. Configure-o para resolver os domínios internos e reencaminhar tudo o resto para o DNS público.
Considerações
Certificados SSL: se usa HTTPS (deve usar), o certificado deve ser válido para o domínio independentemente do IP resolvido. Como o domínio é o mesmo, o mesmo certificado funciona: o SSL valida o domínio, não o IP.
Manutenção: ao alterar IPs internos, deve atualizar os registos no DNS interno. Documente a configuração para evitar confusão futura.
Manter respostas internas e externas coerentes
Documente quais os nomes que têm respostas diferentes dentro e fora da rede. Certificados, aplicações e VPN precisam de funcionar nos dois cenários. Um nome a resolver para o IP esperado não confirma que o serviço está acessível.
Teste a partir da rede interna, de uma ligação externa e da VPN. Navegadores com DoH próprio podem não usar o resolver interno. Reveja TTL, encaminhamentos e acessos para evitar que um dispositivo receba uma resposta inadequada quando muda de rede.
Evite interromper serviços ligados ao domínio
O nome de domínio costuma estar associado a mais serviços do que o site. Antes de alterar nameservers ou registos, guarde a zona DNS e identifique entradas A, AAAA, CNAME, MX e TXT que estejam em utilização. Verifique também subdomínios, plataformas de envio de correio e serviços de validação. Uma alteração pensada apenas para a página pública pode interromper o e-mail empresarial.
Depois da mudança, teste separadamente o endereço principal, a versão com www, o envio e a receção de mensagens e eventuais aplicações externas. A propagação de alterações depende de caches e valores TTL, pelo que os resultados podem variar temporariamente entre redes. Documentar a configuração anterior facilita a resolução de uma falha e reduz o risco de voltar a mexer em parâmetros sem diagnóstico.
O domínio deve permanecer sob controlo da empresa
O domínio identifica o site e as contas de correio, podendo também ser usado para autenticar serviços externos. Conserve informação sobre o titular, os contactos de recuperação, a renovação e a gestão do DNS. Quando uma agência administra o serviço, documente como a empresa pode recuperar o controlo se a relação terminar.
Não concentre os acessos numa única pessoa. Utilize credenciais individuais ou um gestor adequado e defina quem pode autorizar alterações aos nameservers. Uma mudança de DNS pode afetar mais serviços do que a página pública.
Evitar surpresas na renovação
Registe a data de expiração do domínio e confirme que os contactos e meios de pagamento estão atualizados. Os períodos de recuperação e eventuais custos após a expiração variam com a extensão. Não espere pelos últimos dias para renovar ou iniciar uma transferência importante.
Se o domínio suporta e-mail empresarial, uma expiração pode interromper comunicação e serviços de autenticação. Inclua o domínio no plano de continuidade digital, juntamente com alojamento e cópias de segurança.
Planear os acessos internos e externos
Documente as respostas esperadas em cada rede e teste aplicações que dependem delas.
Compare os nossos planos de VPS gerida e fale connosco sobre os projetos que pretende alojar. Fale connosco se precisa de ajuda a escolher.