Error de DNS: qué significa y cómo hallar la causa real

Qué abarca "error de DNS"

Bajo esa única frase hay varios fallos distintos que no tienen nada en común salvo dónde ocurren. Un navegador puede decir que el nombre no existe en absoluto. Puede decir que el resolutor nunca respondió. Puede cargar la página al final, solo que despacio, tras una pausa visible. Toda una oficina puede perder la capacidad de resolver cualquier nombre mientras la propia conexión a internet sigue activa. O los registros de tu propio sitio pueden dejar de funcionar para los visitantes de una región mientras te parecen completamente normales a ti. Cada uno de esos casos tiene una causa y una solución distintas, y ninguno se arregla con el consejo genérico de "reinicia el router y vuelve a intentarlo", que solo soluciona uno de los cinco.

El resto de esta página es un conjunto breve de preguntas. Respóndelas en orden y llegarás a la guía específica que encaja con lo que está pasando, en lugar de recorrer cinco listas de soluciones sin relación con la esperanza de que alguna ayude.

¿Es solo este dispositivo, o son todos?

Prueba la misma consulta desde un móvil con datos móviles, no con tu Wi-Fi. Si el nombre se resuelve ahí y falla en tu portátil, el problema es local: un ajuste de DNS incorrecto solo en esa máquina, una caché atascada, una VPN aferrada a resolutores que ya no son accesibles, o un software de seguridad interceptando el DNS por su cuenta. Si también falla en el móvil, en una red completamente distinta, pasa a la siguiente pregunta, porque el fallo no está en tu dispositivo ni siquiera en tu red local.

¿Es solo un sitio, o está todo roto?

Intenta resolver un nombre conocido del que estés seguro de que funciona, como un buscador importante. Si eso también falla, tu propio resolutor es inalcanzable o no responde, lo cual es un problema de router o de red, no algo mal en el único sitio que intentabas visitar. Si el nombre conocido se resuelve bien y solo falla el sitio que querías, el problema está en ese dominio concreto: sus registros, sus servidores de nombres, o un cambio que todavía se está propagando a algunos resolutores y a otros no.

¿Funciona una consulta contra un resolutor público?

Esta única prueba hace más trabajo de triaje que cualquier otra cosa de aquí, porque separa "mi red" de "el propio dominio" en un solo comando:

nslookup example.com 8.8.8.8
dig example.com @1.1.1.1

Sustituye example.com por el nombre real que está fallando. Hay tres resultados posibles, y cada uno apunta a un sitio distinto:

• Obtienes una respuesta normal. El dominio se resuelve bien desde fuera. Tu resolutor predeterminado, sea el que sea el que tenga configurado tu dispositivo o router, es la pieza rota. Eso es servidor DNS que no responde si falla en silencio, o un problema de caché si una consulta que antes funcionaba dejó de hacerlo.
• Obtienes una respuesta explícita de "nombre inexistente" (NXDOMAIN). Un resolutor público, sin motivo para tener nada en caché, te está diciendo que el registro de verdad no existe ahora mismo, o que hay una respuesta negativa desactualizada guardada en algún punto de la cadena. Ese mensaje exacto y qué comprobar a continuación está en DNS_PROBE_FINISHED_NXDOMAIN.
• Obtienes una respuesta, pero tarda notablemente o el tiempo varía entre ejecuciones. El resolutor funciona, solo que despacio. Añade +stats a una consulta dig u observa el retraso a simple vista. Eso es cómo arreglar una consulta DNS lenta, una causa y una solución distintas de las dos anteriores.

Qué te dice resolvectl status en Linux

En un equipo Linux que usa systemd-resolved, un solo comando muestra a quién está configurado tu sistema para preguntar de verdad, y ahí es donde un número sorprendente de reportes de "el DNS está roto" resulta estar equivocado desde el principio:

resolvectl status

Lee la línea "Current DNS Server" de la interfaz que estás usando. Si muestra una dirección que no es el resolutor que esperas, por ejemplo el servidor interno de una VPN que ya no es accesible, o una dirección de router antigua de una red que abandonaste, esa discrepancia es todo el problema, y ninguna cantidad de cachés vaciadas arregla una dirección equivocada. Si el servidor que aparece coincide con lo que esperas y las consultas siguen fallando, la configuración del resolutor no es el problema y el fallo está más adelante en la cadena, de vuelta a las preguntas de arriba.

¿Cambiaste un registro DNS hace poco?

Si tú o alguien de tu equipo editó un registro, cambió de hospedaje o cambió de proveedor de DNS en el último día o dos, y el error es inconsistente, funcionando para unas personas y no para otras, eso no es un registro roto. Es el comportamiento esperado mientras las respuestas antiguas en caché caducan a su propio ritmo en resolutores distintos. Esa situación concreta, incluido cómo saber si el cambio realmente se guardó bien, está cubierta en cómo comprobar la propagación DNS. No persigas un "error de DNS" como si fuera un fallo si el momento coincide con un cambio reciente; dale antes la ventana del TTL.

Preguntas frecuentes

¿Qué guía necesito si el navegador muestra un código de error concreto?

Busca ese código exacto. DNS_PROBE_FINISHED_NXDOMAIN significa que el nombre no existe y está cubierto en su propia página, enlazada arriba. Un mensaje genérico de "el servidor DNS no responde" o "no se puede encontrar el servidor" sin ningún código concreto encaja con la segunda pregunta de esta página: prueba un resolutor público directamente y mira cuál de los tres resultados obtienes.

Ejecuté las comprobaciones y ahora todo se resuelve bien. ¿Qué pasó?

La mayoría de los fallos de DNS son pasajeros: un resolutor estuvo momentáneamente sobrecargado, una entrada de caché caducó en mitad de la investigación, o un fallo puntual de red se resolvió solo. Si ahora se resuelve limpio y se mantiene así, no hay nada más que arreglar. Si vuelve de forma intermitente, ese patrón en sí es una pista, y merece la pena comprobar si coincide con una hora del día, una red o una aplicación concretas.

¿Un error de DNS es lo mismo que el sitio estar caído?

No, y la distinción importa. Un error de DNS significa que el nombre nunca se resolvió a una dirección, así que nunca se llegó a intentar ninguna conexión. Que un sitio esté caído normalmente significa que el nombre se resolvió bien pero el servidor no respondió, rechazó la conexión o devolvió una página de error. La prueba con el resolutor público de arriba te dice en cuál de las dos situaciones estás: vuelve una dirección, o no vuelve.

¿Por qué el mismo dominio funciona para mí pero no para un compañero?

Esto casi siempre es cosa de la caché, no un registro roto. Redes distintas usan resolutores distintos, cada uno con su propia copia en caché de una respuesta y su propio plazo de caducidad. Puede que uno de los dos esté viendo un resultado desactualizado en caché mientras el resolutor del otro ya se ha actualizado. Confirma el registro actual y correcto directamente en los servidores de nombres del dominio antes de asumir que algo va realmente mal.

¿Debería simplemente cambiar a un resolutor DNS público y dejar de investigar?

Cambiar a 1.1.1.1 o a 8.8.8.8 es una elección permanente razonable, y descarta rápidamente un resolutor de proveedor o de router roto. Es una solución real cuando resulta que tu resolutor predeterminado era el problema, no solo un parche, pero no ayudará si el fallo termina estando en los propios servidores de nombres del dominio y no en el resolutor que te responde.

¿Dónde compruebo si un nombre se resuelve de forma distinta en distintos países?

Un resolutor de tu propia red solo te muestra un único punto de vista, y las respuestas DNS realmente varían por región durante una migración o una caída parcial. Ejecuta la misma consulta desde varias ubicaciones a la vez con la herramienta de consulta DNS, que comprueba desde varios países en una sola pasada y muestra dónde difiere una respuesta o agota el tiempo.