○웹살림
← 모든 기록
내 도메인에 DNSSEC가 제대로 작동하는지 확인하는 4가지 방법 대표 이미지
웹 운영

내 도메인에 DNSSEC가 제대로 작동하는지 확인하는 4가지 방법

DNSSEC 활성화 후 정상 동작을 확인하는 4가지 방법을 대기 시간, 온라인 도구, DS 레코드 점검 순으로 소개합니다.

글

DNSSEC 서명을 활성화한 후에는 해석기가 캐시를 비울 때까지 이전 최대 TTL 기간만큼 기다려야 합니다. 충분히 기다렸다면 dnscheck.tools나 DNSViz 같은 도구로 DNSSEC 서명이 정상적으로 검증되는지 확인합니다. 만약 서명 검증에 실패한다면 DS 레코드가 올바른지 점검하고, 필요한 경우 신속히 롤백합니다.

DNSSEC 활성화 직후에는 반드시 이전 최대 TTL만큼 대기하세요

DNSSEC 서명을 활성화하면 전 세계 해석기가 서명되지 않은 기존 레코드를 캐시에서 지울 때까지 기다려야 하기 때문에, 적어도 이전 영역의 최대 TTL 시간만큼 대기할 필요가 있습니다. 이때 대기 시간을 최소화하려면 서명 활성화 전에 최대 TTL을 1시간으로 낮추는 것이 좋습니다. 또한 서명 활성화 후 2주간은 모니터링을 권장하며, DS 레코드의 TTL은 롤백에 대비해 5분(300초)으로 짧게 설정하는 것이 바람직합니다. Route 53의 경우 서명된 영역의 TTL은 최대 1주로 제한됩니다.

DNSSEC 확인 단계 요약

아래 단계에 따라 DNSSEC가 정상적으로 작동하는지 점검하세요.

  1. DNSSEC 활성화 후 이전 최대 TTL만큼 대기합니다.
  2. DNSViz로 서명 체인을 시각화하여 확인합니다.
  3. dnscheck.tools에서 인증 상태를 확인합니다.
  4. DNSSEC Validator 부가기능으로 브라우저에서 확인합니다.
  5. 등록기관에서 DS 레코드가 올바른지 재확인합니다.
  6. 문제가 발생하면 DS TTL 5분을 활용해 신속히 롤백합니다.

방법 1. DNSViz로 서명 체인 시각화 분석

DNSViz는 미국 산디아 국립연구소가 제공하는 도구로, 루트 존부터 최상위도메인, 그리고 대상 도메인까지의 서명 연결 구조를 그림으로 보여줍니다. 웹사이트에 도메인을 입력하면 서명 검증 오류를 한눈에 파악할 수 있습니다. 초록색 화살표가 이어지면 정상입니다.

방법 2. dnscheck.tools로 엔드투엔드 검증

dnscheck.tools에 접속하면 현재 연결된 IP, DNS 리졸버, 그리고 DNSSEC로 응답이 인증되었는지 확인할 수 있습니다. 별도의 설정 없이 웹사이트에서 바로 검사가 가능하므로 간편합니다.

방법 3. DNSSEC Validator 부가기능으로 브라우저에서 확인

DNSSEC Validator는 크롬이나 파이어폭스에 설치하는 브라우저 확장 기능으로, 웹사이트 접속 시 DNSSEC 적용 여부와 서명 검증 결과를 아이콘으로 표시합니다. 내 도메인에 접속했을 때 자물쇠에 체크 표시가 뜨면 DNSSEC가 올바르게 동작하는 것입니다.

방법 4. 등록기관에서 DS 레코드 일치 여부 확인

DS 레코드가 도메인의 실제 서명 키와 일치하지 않으면 DNSSEC 검증이 실패하여 도메인이 응답하지 않는 SERVFAIL 오류가 발생합니다. 따라서 등록기관 포털에 접속하여 위임 서명자(DS) 레코드가 현재 존의 키와 동일한 알고리즘(예: ECDSAP256SHA256, 유형 13)과 다이제스트 유형(예: SHA-256, 유형 2)을 사용하는지 반드시 확인해야 합니다.

문제 발생 시 대처: DS 불일치로 인한 SERVFAIL 오류 해결

만약 DNSSEC 설정 후 도메인이 SERVFAIL을 반환한다면 DS 레코드가 잘못되었을 가능성이 높습니다. 이때는 등록기관에서 DS 레코드를 삭제하거나 올바른 값으로 다시 등록해야 합니다. 빠른 복구를 위해 DS TTL을 5분으로 설정해 두었다면 변경 사항이 빨리 전파됩니다. Cloudflare를 사용한다면 이 글을 참고해 DNSSEC 설정을 재점검하세요. 필요한 경우 가비아 고객센터 1544-4370에서 도움을 받을 수 있습니다.

참고 자료