DNS 소프트웨어는 보편적인 “최고의 서버”가 아니라 역할과 운영 요구 사항에 따라 선택해야 합니다. 권위 서비스는 영역을 게시하고, 재귀 서비스는 이름을 확인하고 캐싱해 클라이언트에 응답하며, 전달 확인자는 쿼리를 다른 확인자에 보냅니다. 역할을 결합하면 공격 표면이 달라집니다.
DNS · 레슨 5
DNS 설정
권위 또는 재귀 DNS 서비스를 선택하고 보호하며 검증하고 운영하는 방법을 알아봅니다.
역할과 구현 선택하기
- BIND는 폭넓은 표준 지원과 함께 권위 및 재귀 서비스를 제공할 수 있습니다.
- Unbound는 검증하는 재귀 확인자로 흔히 배포됩니다.
- dnsmasq는 규모가 작은 통제된 네트워크를 위한 경량 전달, 캐싱 및 DHCP 기능을 제공합니다.
- PowerDNS는 여러 데이터 백엔드와 함께 별도의 권위 및 재귀 제품을 제공합니다.
기능과 패키징은 바뀌므로 설치된 버전의 공식 문서를 확인하십시오. 필요한 역할만 배포하고 의도하지 않은 재귀 또는 영역 서비스를 비활성화합니다.
제공하는 영역의 확정 레코드를 게시하는 역할은 무엇입니까?
설치 전 설계하기
영역, 클라이언트, 쿼리 양, 갱신 메커니즘, DNSSEC 요구 사항, 로깅, 모니터링, 백업 및 복구를 정의합니다. 권위 영역에는 이중화된 서버와 올바르게 등록된 위임이 필요합니다. 재귀 서비스에는 명시적인 클라이언트 접근 제어, 캐시 정책, 상위 또는 반복 조회 연결 및 악용 방지가 필요합니다.
제한 없는 재귀 기능을 인터넷에 공개하지 마십시오. 개방형 확인자는 반사 공격에 악용되고 로컬 리소스를 소모할 수 있습니다.
재귀 쿼리를 승인된 클라이언트로 제한해야 하는 이유는 무엇입니까?
설정과 영역 데이터 검증하기
다시 불러오기 전에 구현체의 구문 및 영역 검사 도구를 사용합니다. BIND의 일반적인 예시는 다음과 같습니다.
$ named-checkconf
$ named-checkzone example.com /etc/bind/zones/db.example.com
호스트에 맞는 권한과 경로로 실행합니다. 파서 성공은 위임, 시리얼 전파, DNSSEC 체인, 방화벽 연결 또는 올바른 응답을 입증하지 않으므로 통제된 쿼리로 이어서 확인하십시오.
성공한 영역 구문 검사가 입증하지 못하는 것은 무엇입니까?
안전하게 적용 및 테스트하기
현재 설정과 복구 접근을 보존하고 검증한 뒤 지원된다면 재시작 대신 다시 불러옵니다. 재귀를 비활성화한 상태로 각 권위 서버를 직접 조회하고 SOA 시리얼, NS 집합, 긍정 레코드, 존재하지 않는 이름 및 UDP와 TCP 동작을 비교합니다.
$ dig @192.0.2.53 example.com SOA +norecurse
$ dig @192.0.2.53 missing.example.com A +norecurse
$ dig @192.0.2.53 example.com SOA +norecurse +tcp
재귀 서비스에서는 허용 및 거부된 클라이언트 네트워크, DNSSEC 검증, 캐시 동작 및 상위 의존성 장애를 테스트합니다.
권위 서버를 +norecurse로 조회하는 이유는 무엇입니까?
서비스 운영하기
쿼리 실패, 지연 시간, 캐시 동작, 리소스 사용량, 영역 전송, 시리얼 일관성, DNSSEC 만료 및 위임 상태를 모니터링합니다. 소스 설정과 서명 자료를 안전하게 백업하되 새 인스턴스가 영역을 불러와 올바른 응답을 제공할 수 있는지도 검증합니다. 지원되는 버전을 패치하고 제어 인터페이스, 동적 갱신 및 전송 접근을 제한합니다.
권위 DNS 이중화 테스트에는 무엇이 포함되어야 합니까?
레슨 완료
DNS 설정 완료
이제 명시적인 권위 또는 재귀 역할을 중심으로 DNS 배포를 설계할 수 있습니다.
필요한 역할을 정의한 뒤 소프트웨어를 선택합니다.
재귀와 관리 인터페이스를 제한합니다.
다시 불러오기 전에 설정과 영역을 검증합니다.
권위, 부재, 전송 및 클라이언트 정책을 직접 테스트합니다.
이중화, DNSSEC, 데이터 일관성 및 복구를 모니터링합니다.