DNS 확인 과정 이해하기: 질의에서 응답까지

DNS 확인(resolution)은 도메인 이름을 애플리케이션이 필요로 하는 데이터, 보통 IP 주소로 바꾸는 과정입니다. 브라우저가 www.example.com에 연결해야 할 때는 로컬 네트워킹 스택에 결과를 요청합니다. 스텁 리졸버는 보통 이 질문을 재귀 리졸버에 전달합니다. 재귀 리졸버에 이미 캐시된 응답이 있을 수 있고, 없다면 해당 존에 대한 권한 서버에 도달할 때까지 DNS 리퍼럴을 따라갑니다. 최종 응답은 같은 경로를 거쳐 반환되며 제한된 시간 동안 캐시될 수 있습니다. 이 과정은 분산되어 있어서, 어떤 단일 글로벌 서버도 모든 도메인의 전체 레코드 집합을 저장하지 않습니다.

질의는 특정 이름과 유형으로 시작됩니다

DNS 질문은 단순히 “이 웹사이트를 찾아라”가 아닙니다. 이름과 레코드 유형이 포함됩니다. A 질의는 IPv4를, AAAA는 IPv6를, MX는 메일 교환기를, NS는 네임서버를 묻습니다. 재귀 리졸버는 유형을 보고 어떤 데이터를 가져와 반환할지 결정합니다. 브라우저가 웹 주소를 원하면 A와 AAAA 레코드를 모두 요청할 수 있고, 이메일 시스템은 MX를 요청합니다. 잘못된 유형을 요청하면 그 이름에 다른 레코드가 존재하더라도 빈 응답이 나올 수 있습니다. DNS 결과는 질문 자체가 명확할 때만 의미가 있습니다.

1. 클라이언트가 로컬 캐시와 설정된 리졸버를 확인합니다.
2. 재귀 리졸버가 자신의 캐시를 확인하고, 필요하면 루트 서버에 질의합니다.
3. 루트 리퍼럴이 해당 최상위 도메인(TLD) 서버를 가리킵니다.
4. TLD 리퍼럴이 도메인의 권한 네임서버를 알려 줍니다.
5. 권한 응답이 반환되고 허용된 수명 동안 캐시됩니다.

이 작업의 대부분은 재귀 리졸버가 클라이언트를 대신해 수행합니다. 리퍼럴은 다음 권한 서버를 가리키는 포인터일 뿐 반드시 최종 레코드인 것은 아닙니다. 루트 서버가 모든 웹사이트 주소를 알 필요는 없고, TLD 서버가 각 도메인의 전체 존을 호스팅하는 것도 아닙니다. 각 단계는 다음 단계로 가는 방향을 알려 줍니다. 권한 서버에는 도메인 운영자나 DNS 제공업체가 설정한 실제 레코드가 있습니다. 리졸버가 그곳에 도달하면 응답에는 주소, 별칭, 부정 응답 또는 유형별 값이 담길 수 있습니다.

별칭, 캐싱, 부정 응답

이름에 CNAME이 있으면 주소를 찾기 전에 다른 호스트 이름을 거칠 수 있습니다. 각 관련 응답에는 캐싱 동작이 있으므로 체인에 TTL이 서로 다른 항목이 포함될 수 있습니다. 리졸버는 조회한 이름이 존재하지 않는다는 사실 같은 부정 결과도 제한된 기간 동안 캐시할 수 있습니다. 새 이름을 만들었는데 바로 나타나지 않는 이유가 이것일 수 있습니다. 로컬 캐시를 비워도 그 장치나 계층에만 영향을 줄 뿐, 인터넷 전반의 독립적인 재귀 리졸버가 가진 캐시된 응답은 지워지지 않습니다.

실용적인 진단 방법은 같은 이름과 유형을 여러 계층에서 비교하는 것입니다. 재귀 조회는 그 리졸버를 사용하는 클라이언트가 무엇을 받는지 보여 줍니다. 권한 질의는 존 자체가 현재 무엇을 게시하는지 판단하는 데 도움이 됩니다. 두 값이 다르다면 TTL, 마지막 수정 시각, 실제 위임 상태를 점검하세요. DNS 결과는 올바른데 애플리케이션이 여전히 실패한다면 네트워크 라우팅, TLS 또는 서버 로그로 넘어가세요. 이렇게 하면 확인이 이미 정상 동작하고 실패 지점은 연결 경로의 더 뒤쪽인데도 DNS를 반복해서 바꾸는 흔한 문제 해결의 함정을 피할 수 있습니다.

DNS 확인이 신뢰할 수 있는 것은 계층적이고, 캐시되고, 위임되기 때문이지만, 바로 이 특성 때문에 마이그레이션 중에는 변경이 일관되지 않게 보입니다. 관찰 결과를 비교할 때는 응답, 조회한 레코드 유형, 리졸버, 타임스탬프를 저장하세요. 재귀 리졸버와 권한 리졸버 안내는 각 역할을 더 자세히 설명하고, DNS TTL은 캐시 수명을 다룹니다. 이런 개념은 모든 기기가 즉시 갱신되는 하나의 글로벌 주소록을 읽는다고 생각하는 것보다 더 정확한 모델을 제공합니다.

확인은 단일 데이터베이스 조회가 아니라 하나의 과정입니다

확인 과정에는 독립적으로 운영되는 여러 서버가 관여하므로, DNS 응답은 최종 A나 AAAA 레코드 외의 요인에도 영향을 받을 수 있습니다. 오래된 위임은 리졸버를 엉뚱한 권한 서버로 보낼 수 있고, 사용할 수 없는 권한 서버는 시간 초과를 일으킬 수 있으며, 끊어진 DNSSEC 체인은 검증하는 리졸버가 데이터를 거부하게 만들 수 있고, 캐시된 부정 응답은 새로 만든 이름이 인식되는 시점을 늦출 수 있습니다. 각 계층은 서로 다른 증거를 남깁니다. 응답 코드, 권한 섹션, TTL, 질의한 서버를 보면 원인을 좁힐 수 있습니다. 진단 정보를 수집할 때는 시간 초과를 “도메인이 존재하지 않는다”고 바꿔 말하지 마세요. 의미가 달라지기 때문입니다. 정확한 오류 응답을 보존하고 권한 질의와 비교하세요. 이처럼 계층별로 접근해야 주소 레코드를 무작정 바꾸는 대신 구체적인 해결책에 이를 수 있습니다.