DNS 기초, 문제 해결, 보안, 실무 워크플로를 다룹니다. 이 도구를 만드는 팀이 직접 작성했습니다.
점진적 전환이 즉시 전환보다 낫습니다
블루
트래픽 100%
가중치 분할
95/5, 이후 50/50
그린
트래픽 100%
DNS 변경으로 두 환경 사이의 트래픽을 전환하는 방식은 이론상 간단하지만, TTL과 캐싱 때문에 실제로는 더 복잡합니다.
IP 하나에 서버 하나, 또는 서버 여러 대
유니캐스트
IP 하나가 서버 정확히 하나에 대응
애니캐스트
IP 하나를 여러 위치에서 광고
같은 IP 주소를 전 세계 수십 곳에서 동시에 광고하는 애니캐스트는 주요 DNS 제공업체가 어디서나 빠르고 안정적으로 동작하는 비결입니다.
조회 결과에 원본이 아닌 CDN이 보이는 이유
방문자
도메인 조회
CDN 엣지
104.21.x.x
DNS가 반환하는 대상
원본 서버
실제 IP, 노출되지 않음
콘텐츠 전송 네트워크의 진짜 마법은 콘텐츠가 단 한 바이트도 요청되기 전에, DNS 계층에서 이미 일어납니다. 그 원리를 알아봅니다.
모든 IPv4 대역에는 대응하는 IPv6 대역이 있습니다
보안 관점에서 IPv6는 단순히 주소가 더 많은 IPv4가 아닙니다. 몇 가지 차이가 위협 모델을 실제로 바꿉니다.
위조된 응답으로 경쟁에서 이기기
공격자
진짜 응답과 경쟁
위조된 응답
먼저 도착
리졸버 캐시
공유하는 모두에게 오염됨
트래픽을 우회시키기 위해 DNS 응답을 위조하는 것은 네트워킹에서 가장 오래된 수법 중 하나이며, DNSSEC와 최신 리졸버 방어가 존재하는 이유입니다.
공개 주소 공간과 사설 주소 공간
공개 IP
192.0.2.10
전역에서 고유, 어디서나 라우팅 가능
사설 대역
공개 인터넷에서는 라우팅 불가
10.0.0.0/8, 192.168.0.0/16과 그 이웃 대역은 전 세계에서 고유하지 않도록 만들어졌습니다. 이것이 DNS에서 왜 중요한지 설명합니다.
SSRF는 서버를 의도치 않은 프록시로 만듭니다
공격자
요청 URL 조작
취약한 서버
SSRF에 속아 가져옴
169.254.169.254
메타데이터 엔드포인트
자격 증명
공격자에게 반환
라우팅되지 않을 것처럼 보이는 IP 주소 하나가 클라우드 인스턴스의 자격 증명과 설정으로 이어지며, SSRF의 단골 표적이 됩니다.
같은 주소를 쓰는 네 가지 방법
서버 측 요청 위조(SSRF)는 서버가 속아서 확인하고 요청해 버린, 평범해 보이는 도메인 이름 하나에서 시작되는 경우가 많습니다.
같은 도메인, 서로 다른 두 가지 응답
첫 번째 요청
공개 IP로 확인됨
검증
통과, 안전해 보임
TTL 만료
몇 초 후
두 번째 요청
127.0.0.1로 확인됨
처음에는 안전한 주소로, 나중에는 내부 주소로 확인되는 도메인. DNS 리바인딩은 DNS 자체를 공격 표면으로 바꿉니다.
순서대로 점검하는 네 계층
DNS
이름 확인
전송
TCP 연결
TLS
인증서 검증
애플리케이션
HTTP 응답
이 모호한 브라우저 오류는 서로 무관한 여러 원인을 포함합니다. 그중 DNS는 가장 먼저 원인 여부를 판단하기 좋은 항목입니다.
“전파”란 사실 캐시 만료일 뿐
0분
변경 사항 저장
0-5분
DNS 호스트가 업데이트
TTL까지
이전 응답이 아직 캐시됨
TTL 이후
모두 새 응답을 확인
어디로도 푸시되지 않으며, 각 캐시가 사본 재사용을 멈출 뿐입니다
레코드를 수정하고 기다렸는데도 여전히 이전 값으로 보입니다. 무언가 고장 났다고 단정하기 전에 다음 순서대로 확인해 보세요.
조회에 걸리는 일반적인 시간
사이트가 느리게 로드되는 것이 사실은 느린 DNS 조회 때문일 수 있습니다. 구분하는 방법과 일반적인 원인을 살펴봅니다.