Hace unos días Cloudflare anunció que su Internal DNS ya está disponible de forma general. En la presentación suena como el sueño de cualquier responsable de infraestructura: un solo panel para el DNS público y el privado, políticas de Zero Trust aplicadas a las resoluciones, split-horizon sin tener que mantener dos mundos paralelos. Si gestionas varios dominios, una red corporativa y además usas Cloudflare para el CDN, la tentación es inmediata.
Pero yo llevo suficientes migraciones encima como para desconfiar cuando un proveedor te promete «unificar» algo que antes tenías repartido. No porque la tecnología sea mala — de hecho, lo que describe Cloudflare tiene sentido técnico — sino porque cada vez que alguien te vende consolidación, alguien más está vendiendo dependencia.
Según el anuncio oficial, Internal DNS funciona sobre la misma red global y el mismo plano de control que ya usas para DNS público, Zero Trust y el resto de servicios Cloudflare. Para clientes Enterprise con Gateway, viene incluido sin coste adicional. Esa última frase es la que debería encenderte una luz amarilla, no verde.
Lo que sí resuelve (y resuelve bien)
No voy a negar el problema que atacan. El split-horizon DNS es un infierno cuando lo mantienes a mano: zonas internas en un BIND viejo, zonas públicas en el registrador, políticas de resolución repartidas entre firewalls y VPNs. Cloudflare propone views separadas sobre zonas compartidas, gestionadas desde un único control plane. El changelog lo explica con claridad: políticas del Gateway deciden qué usuarios resuelven contra qué vista, usando el mismo resolver que ya gobierna el resto del tráfico.
Para equipos que ya viven dentro del ecosistema Cloudflare One — WARP, DoH, DoT, conectividad WAN — la integración es coherente. No es un parche encima de otra cosa; es extensión natural de una arquitectura que ya elegiste. Ahí tiene sentido.
En paralelo, AWS ha movido ficha con Route 53 Global Resolver, un resolver anycast accesible desde internet para clientes autorizados que necesitan resolver dominios públicos y zonas privadas de Route 53 sin montar VPNs en cada sede. La guía práctica de AWS re:Post lo plantea como sustituto de forwarders regionales y túneles repetidos en cada ubicación. Dos gigantes, mismo mensaje: deja de pelearte con la resolución distribuida, centralízala con nosotros.
Donde empiezan las grietas
El primer problema es el más obvio: Enterprise only. Si eres una pyme con cinco empleados, un VPS y un dominio .es, esto no es para ti. Cloudflare te deja el DNS gratuito de siempre, pero la capa interna — la que de verdad simplifica operaciones — queda detrás de un contrato Enterprise. El mercado habla de democratizar la infraestructura; la realidad es que las funciones que te ahorran horas de trabajo siguen siendo moneda de cambio para cerrar deals grandes.
El segundo es la dependencia vertical. Cuanto más metes en un solo proveedor — DNS público, DNS privado, Zero Trust, CDN, WAF, analítica — más caro se vuelve salir. No hablo solo de dinero. Hablo de tiempo: replicar políticas de resolución, reconfigurar clientes, rehacer split-horizon en otra plataforma. Cloudflare lo sabe, y no es el único que juega esta carta. Amazon hace lo propio con Global Resolver atado a Route 53 private hosted zones.
Y luego está Foundation DNS, la apuesta premium de Cloudflare con nameservers avanzados en foundationdns.com y foundationdns.net, prometiendo resiliencia superior a los nameservers estándar. Suena bien hasta que te das cuenta de que estamos normalizando capas de DNS de pago dentro de un producto que empezó siendo gratuito y simple. ¿Tu web de catálogo necesita nameservers «de fundación»? Probablemente no. ¿Tu banco o tu operador de telecomunicaciones? Quizá sí. Pero el marketing no siempre distingue entre uno y otro, y acabas pagando por margen de seguridad que tu caso de uso no justifica.
Lo que nadie destaca en los comunicados es el coste de operación cuando algo falla dentro de la caja negra. Si tu resolución interna depende del Gateway resolver de Cloudflare y hay un incidente en su red — cosa que ocurre, aunque prometan 100% uptime — tu Active Directory, tu ERP y tu impresora de la oficina de Valencia dejan de resolverse a la vez. Antes, un fallo en el DNS interno no tiraba tu web pública. Ahora, compartes riesgo.
La pregunta que deberías hacerte antes de migrar
No digo que debas ignorar Internal DNS. Digo que no confundas «gratis para Enterprise» con «gratis para ti», ni «unificado» con «sin lock-in». Si ya pagas Gateway y tu equipo vive en el dashboard de Cloudflare, pruébalo con una zona piloto y mide cuánto tiempo os ahorra frente a lo que costaría volver atrás.
Si todavía tienes el DNS interno en un servidor Linux que configura el compañero de sistemas una vez al año, probablemente no necesitas esto ahora. Necesitas documentación, backups de zona y quizá un DNS secundario. Menos espectacular, pero más honesto con tu escala.
AWS Global Resolver tampoco es magia: los foros ya empiezan a llenarse de sorpresas en la factura cuando el tráfico de resolución crece más de lo previsto. Un servicio managed te quita la pila de forwarders regionales, pero no te quita la responsabilidad de entender cuánto cuesta cada query.
Al final, la carrera entre Cloudflare y AWS no va de quién tiene el DNS más rápido — eso ya lo resolvieron hace años — sino de quién consigue que metas más superficie de red dentro de su ecosistema. Internal DNS es una pieza más de ese tablero, no un regalo.
Si mañana tu proveedor de DNS te ofreciera unificar público y privado gratis pero exigiendo mover también tu correo, tu CDN y tu autenticación al mismo panel, ¿cuántos servicios críticos aceptarías consolidar antes de plantearte un plan de salida?