Come funzionano i DNS interni in una grande azienda? La soluzione a molti rallentamenti sottovalutati

I rallentamenti di rete dentro un’azienda raramente dipendono dalla larghezza di banda. Il vero collo di bottiglia, in almeno 7 casi su 10, vive nei DNS interni: quei server spesso invisibili che traducono i nomi dei servizi in indirizzi IP. Quando il DNS fatica, l’intera infrastruttura rallenta, dai software gestionali al caricamento dei file condivisi.

Perché i DNS interni sono decisivi

Ogni volta che un dipendente digita un URL o accede a una risorsa di rete, il computer deve trovare l’indirizzo IP reale del server. Questo processo passa dal DNS interno aziendale, non da Google o Cloudflare.

• Centralizzazione del controllo: l’azienda decide quali servizi sono raggiungibili e da dove
• Sicurezza e filtraggio: è qui che viene bloccato l’accesso a siti non autorizzati
• Performance locale: un DNS interno ben configurato risponde in millisecondi, non in secondi
• Failover e ridondanza: se muore un server, il secondo prende il controllo automaticamente

Le grandi aziende di logistica, con cui lavoro da anni, hanno decine di migliaia di richieste DNS al secondo. Un ritardo di 500 millisecondi per query significa paralisi produttiva.

Potrebbe interessarti anche

La gestione automatizzata degli indirizzi IP: il software che previene errori e downtime improvvisiLa configurazione di una rete di backbone aziendale: accorgimenti che moltiplicano performance e stabilitàSicurezza della rete VoIP: le contromisure che impediscono intercettazioni e disservizi poco visibiliCloud networking e connessioni ibride: la soluzione che riduce il rischio di data loss

L’architettura corretta: replica e geograficità

Non esiste un’azienda seria con un solo server DNS. La struttura standard prevede:

DNS primario e secondario

Il primario riceve tutte le modifiche ai record, mentre il secondario rimane sincronizzato tramite trasferimenti di zona. Se il primario cade, il secondario risponde già nelle cache locali e nei router.

Distribuzione geografica

Nelle aziende con sedi multiple, un server DNS per ogni polo non è opzionale: è necessario. La latenza di rete tra sedi può moltiplicare i tempi di risoluzione.

Caso concreto: Un magazzino automatizzato in una sede secondaria che interroga il DNS centrale a 500 km di distanza vede latenze di 30-50ms. Moltiplicato per migliaia di device IoT e terminali, il danno cumulativo è enormo.

Caching intelligente

I server DNS moderni (BIND, Microsoft Active Directory) mantengono in memoria le risposte frequenti. Il TTL (Time To Live) dei record deve essere tarato: troppo basso significa troppo traffico DNS, troppo alto significa downtime prolungato se un servizio cambia IP.

I rallentamenti sottovalutati che nessuno vede

Gli amministratori spesso guardano CPU e memoria dei server DNS, ma trascurano i veri killer:

Querystorm da malware

Un computer infetto genera migliaia di query malformate al secondo, mandando in tilt il server DNS che cerca di processarle. La rete sembra lenta, ma il problema non è la larghezza di banda.

Rate limiting insufficiente

Senza protezione contro Denial of Service, chiunque può saturare il DNS aziendale dall’interno o dall’esterno. I moderni firewall DNS lo prevengono, ma va configurato.

Ricorsione non controllata

Se il DNS interno risponde a query da reti non autorizzate, diventa una “open resolver” e viene sfruttato da attacchi DDoS globali. Nel frattempo, consuma risorse per milioni di richieste inutili.

Sincronizzazione di zona rallentata

Quando il primario invia 10 milioni di record al secondario e non usa compressione AXFR, il trasferimento può durare ore. Se fallisce, il secondario va in stale.

Metriche da monitorare (e checklist rapida)

Non serve un tool costosissimo. Basta controllare questi numeri ogni settimana:

• Tempo medio di risposta: deve restare sotto 50ms per query locali
• Tasso di timeout: se supera lo 1%, c’è un problema
• Hit rate della cache: dovrebbe essere almeno 70-80%
• Numero di query ricorsive bloccate: monitora gli attacchi
• Salute della sincronizzazione: il secondario deve essere entro 10 secondi dal primario

In sintesi:

Un DNS interno lento è come avere un centralinista che risponde con ritardo a ogni telefonata. I dipendenti non vedono il server DNS (nessuno lo vede), ma sentono l’effetto: software che carica lentamente, sessioni che scadono, timeout.

Azioni correttive che funzionano davvero

Primo step: esegui un audit DNS. Usa dig, nslookup, e strumenti di log per misurare le query medie. Se vedi picchi di latenza a orari fissi, c’è una causa ciclica da scovare.

Secondo step: separa il traffico DNS dall’interno da quello destinato a Internet. Due indirizzi di nameserver, due strategie diverse.

Terzo step: implementa Round-robin DNS per distribuire il carico tra più server di applicazione. Non è un’azienda di 50 persone quella che ha bisogno di questa soluzione, ma una con 500+ dipendenti non può fare diversamente.

Quarto step: documenzione e runbook. Quando muore il server DNS alle 3 di notte, il tecnico deve sapere esattamente cosa fare senza cercare su Google.

Ho visto aziende risolvere il 70% dei loro “problemi di performance” semplicemente riavviando il server DNS secondario e abilitando la compressione AXFR. Non è glamour, ma funziona.

La morale? I DNS interni non sono un’infrastruttura “set and forget”. Vanno pensati come la spina dorsale della rete aziendale. Perché, di fatto, lo sono.