🌐
DNS 치트시트

도메인 네임 시스템(DNS) 핵심 원리, A/AAAA/CNAME/MX/TXT/NS/SOA 레코드 규격, dig·nslookup·host 질의 CLI, SPF·DKIM·DMARC 이메일 보안 인증, TTL 전파 및 Cloudflare 최적화 가이드
#dns#network#domain#dig#nslookup#cname#spf#dkim#dmarc#cloudflare#devops#infrastructure최종 업데이트: 2026-10-03
DNS 치트시트 핵심 명령어 및 실전 가이드

## 1. DNS 계층 구조 & 이름 풀이 흐름 (Resolution Architecture)
DNS는 전 세계에 분산된 계층적 분산 데이터베이스 시스템으로, 사람이 기억하기 쉬운 호스트 이름(FQDN)을 IP 주소로 상호 변환합니다.

### FQDN(전체 정규화 도메인 이름) 구조
```text
  [ Subdomain ] . [ Second-Level ] . [ Top-Level (TLD) ] . [ Root ]
     techworld   .    sulucky5    .         pe.kr        .    . (생략)
```

### DNS 쿼리 동작 순서 (Resolution Process)
1. **브라우저 캐시** 확인 (Chrome: `chrome://net-internals/#dns`)
2. **OS 로컬 캐시 & Hosts 파일** 확인 (Linux: `/etc/hosts`, Windows: `hosts`)
3. **로컬 DNS 리졸버(Local DNS / ISP Resolver)** 질의 (공유기, 통신사, 1.1.1.1 등)
4. **루트 네임서버 (Root Name Server, `.` )** 질의 ➔ TLD 네임서버 IP 반환
5. **TLD 네임서버 (`.com`, `.kr` 등)** 질의 ➔ Authoritative 네임서버 IP 반환
6. **권한 있는 네임서버 (Authoritative Name Server, 예: Cloudflare, Route53)** 질의 ➔ 최종 A/CNAME 레코드 수신
7. 클라이언트 응답 및 TTL 시간 동안 캐싱

### 주요 퍼블릭 Anycast DNS 리졸버 IP
| 제공자 | 기본 IPv4 (Primary) | 보조 IPv4 (Secondary) | 주요 특징 |
|---|---|---|---|
| **Cloudflare** | `1.1.1.1` | `1.0.0.1` | 초고속 Anycast, 개인정보 보호 (로그 미보관) |
| **Google Public DNS** | `8.8.8.8` | `8.8.4.4` | 글로벌 안정성 최상, 광범위한 리졸브 인프라 |
| **Quad9** | `9.9.9.9` | `149.112.112.112` | 악성코드 및 피싱 도메인 실시간 자동 차단 |
| **KT (국내)** | `168.126.63.1` | `168.126.63.2` | 국내 CDN 및 로컬 ISP 회선 기준 최저 레이턴시 |
| **SK브로드밴드** | `219.250.35.130` | `219.250.35.166` | SKB 가입자 최적화 |
| **LG유플러스** | `164.124.101.2` | `203.248.252.2` | LGU+ 가입자 최적화 |

---

## 2. 핵심 DNS 레코드 타입 총정리 (Core Record Types)
실무에서 웹사이트, 메일 서버, 인프라를 구축할 때 필수적으로 다루는 표준 리소스 레코드(RR)입니다.

```text
[도메인 호스트명]       [TTL]   [클래스]  [타입]       [값/대상 대상]
example.com.          300     IN       A          192.0.2.1
api.example.com.      300     IN       CNAME      example.com.
```

### 필수 레코드 명세
| 레코드 타입 | 의미 및 역할 | 문법 예시 | 실무 주의사항 |
|---|---|---|---|
| **A** | 도메인을 **IPv4** 주소로 매핑 | `api.example.com. 300 IN A 104.21.5.12` | 서버 실제 공인 IP 연결 |
| **AAAA** | 도메인을 **IPv6** 주소로 매핑 | `api.example.com. 300 IN AAAA 2606:4700::6815:50c` | 128비트 IPv6 주소 |
| **CNAME** | 도메인을 다른 **도메인 별칭(Canonical Name)**으로 지정 | `www 300 IN CNAME example.com.` | **APEX(루트 도메인)에는 원칙상 지정 불가!** (다른 레코드와 공존 불가) |
| **MX** | 해당 도메인의 **이메일 수신 메일 서버** 지정 | `example.com. 300 IN MX 10 aspmx.l.google.com.` | 우선순위(Priority) 숫자 부여 (낮을수록 높은 우선권) |
| **TXT** | 임의의 **텍스트 문자열** 보관 (소유권 인증/보안) | `example.com. 300 IN TXT "google-site-verification=..."` | SPF, DKIM, DMARC, SSL 인증, 애드센스 검증에 필수 |
| **NS** | 도메인 존의 **권한 있는 네임서버(Authoritative)** 지정 | `example.com. 86400 IN NS ns1.cloudflare.com.` | 상위 도메인 레지스트라에 위임 설정 |
| **SOA** | 존의 **기본 권한 및 동기화 주기 메타데이터** | `example.com. IN SOA ns1.example.com. admin.example.com. (...)` | 시리얼 번호, Refresh, Retry, Expire, 최소 캐시 TTL 관리 |
| **PTR** | IP 주소를 도메인으로 역방향 매핑 (Reverse DNS) | `1.2.0.192.in-addr.arpa. IN PTR mail.example.com.` | 스팸 메일 차단 방지(SPF 검증)에 통신사/ISP가 등록 |
| **CAA** | 도메인에 대한 **SSL/TLS 인증서 발급 허용 CA** 제한 | `example.com. IN CAA 0 issue "letsencrypt.org"` | 무단 인증서 탈취/오발급 원천 방지 보안 표준 |
| **SRV** | 특정 네트워크 서비스(SIP, XMPP 등)의 포트/가중치 | `_sip._tcp 300 IN SRV 10 60 5060 bigbox.example.com.` | 서비스명, 프로토콜, 우선순위, 가중치, 포트 정의 |

---

## 3. dig 질의 완벽 가이드 (Domain Information Groper)
`dig`는 전 세계 엔지니어들이 네트워크와 DNS 문제를 디버깅할 때 사용하는 가장 강력하고 표준적인 CLI 도구입니다.

```bash
# ⚡ [1] 기본 A 레코드 조회 (자세한 응답 헤더 + QUESTION + ANSWER 섹션)
dig example.com

# 🚀 [2] 핵심 결과만 간결하게 출력 (스크립트 및 빠른 확인용)
dig example.com +short
# 출력 예시: 93.184.216.34

# 🔍 [3] 특정 레코드 타입 지정 질의
dig example.com A
dig example.com AAAA
dig example.com CNAME
dig example.com MX +short
dig example.com TXT +short
dig example.com NS +short
dig example.com SOA
dig example.com ANY              # 지원하는 경우 모든 레코드 일괄 질의

# 🌐 [4] 특정 DNS 네임서버를 직접 지정하여 질의 (로컬 캐시 우회)
dig @1.1.1.1 example.com         # Cloudflare DNS에 직접 질의
dig @8.8.8.8 example.com         # Google Public DNS에 질의
dig @ns1.cloudflare.com example.com # 권한 네임서버에 즉각 반영 여부 확인

# 🌲 [5] 루트 네임서버부터 전체 계층 역추적 (Full Trace)
# 루트(.) -> TLD(.kr) -> Authoritative까지의 전파 과정을 한 단계씩 추적
dig example.com +trace

# 🔄 [6] IP 주소로 도메인 역방향 조회 (Reverse Lookup)
dig -x 8.8.8.8 +short
# 출력 예시: dns.google.

# ⏱️ [7] TTL 및 응답 세부 제어 옵션
dig example.com +noall +answer   # 쓸데없는 헤더를 감추고 ANSWER 섹션만 표시
dig +nocmd example.com +multiline # SOA/DKIM 긴 레코드를 줄바꿈 정렬하여 표시
```

---

## 4. nslookup & host CLI 명령어 (Cross-Platform)
Windows, macOS, Linux 기본 터미널에서 즉시 사용할 수 있는 진단 도구입니다.

### nslookup 명령어
```bash
# [1] 기본 도메인 IP 조회
nslookup example.com

# [2] 특정 DNS 서버를 통해 조회
nslookup example.com 8.8.8.8
nslookup example.com 1.1.1.1

# [3] 특정 레코드 타입 조회
nslookup -type=MX example.com
nslookup -type=TXT example.com
nslookup -type=CNAME sub.example.com
nslookup -type=NS example.com

# [4] 대화형 모드 (Interactive Mode)
nslookup
> set type=any
> server 1.1.1.1
> example.com
> exit
```

### host 명령어 (간결한 Linux 표준)
```bash
# 빠른 도메인 IP 확인
host example.com

# 특정 레코드 지정
host -t a example.com
host -t cname api.example.com
host -t mx example.com
host -t txt example.com

# 상세 디버깅 모드 (Verbose)
host -v -t a example.com
```

---

## 5. 로컬 DNS 캐시 플러시 & Hosts 파일 (Cache Clearing & Local Override)
도메인을 변경하거나 서버를 이전했을 때, 로컬 PC에 캐시된 이전 IP를 즉시 비우는 방법입니다.

### OS별 DNS 캐시 비우기 (DNS Flush)
```powershell
# Windows (PowerShell / CMD 관리자 권한)
ipconfig /flushdns       # DNS 리졸버 캐시 즉시 비우기
ipconfig /displaydns     # 현재 캐시된 DNS 레코드 목록 확인
```

```bash
# Linux (systemd-resolved) - Ubuntu 20.04/22.04/24.04
sudo resolvectl flush-caches       # 캐시 즉시 비우기
resolvectl statistics              # 캐시 통계 및 현재 크기 확인
# 구형 배포판:
sudo systemctl restart systemd-resolved
sudo systemctl restart nscd

# macOS (Terminal)
sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
```

### 로컬 Hosts 파일 수동 강제 매핑 (DNS 미전파 상태 개발/테스트)
DNS 변경이 전 세계에 전파되기 전, 내 컴퓨터에서만 특정 도메인을 새 서버 IP로 강제 접속할 때 사용합니다.
- **Windows**: `C:\Windows\System32\drivers\etc\hosts` (메모장 관리자 권한으로 실행)
- **Linux / macOS**: `/etc/hosts` (`sudo vim /etc/hosts`)

```text
# [IP 주소]            [도메인 호스트명]
123.45.67.89          techworld.sulucky5.pe.kr
123.45.67.89          sulucky5.pe.kr
```

---

## 6. 이메일 보안 인증 레코드 3총사 (SPF · DKIM · DMARC)
도메인 명의의 피싱/스팸 메일 사칭을 방지하고, 네이버·구글(Gmail) 수신 거부를 막기 위한 필수 3대 보안 레코드입니다.

```text
 ┌────────────────┐     ┌────────────────┐     ┌────────────────┐
 │   SPF 레코드    │ ➔  │   DKIM 서명     │ ➔  │  DMARC 종합정책 │
 │ (누가 보냈는가?) │     │ (변조되지 않았나) │     │ (실패 시 어떻게?) │
 └────────────────┘     └────────────────┘     └────────────────┘
```

### 1) SPF (Sender Policy Framework)
내 도메인 이름으로 이메일을 발송할 권한이 있는 메일 서버 IP를 명시하는 TXT 레코드입니다.
```text
# example.com 호스트의 TXT 레코드 값:
v=spf1 ip4:203.0.113.10 include:_spf.google.com include:mailgun.org ~all
```
- `ip4:x.x.x.x` : 지정된 단일 IP 또는 대역 허용
- `include:도메인` : 타사 발송 서비스(Google Workspace, AWS SES, Mailgun 등)의 SPF 규칙 상속
- `~all` : **SoftFail** (등록되지 않은 발신자 메일은 통과시키되 스팸 폴더로 분류 권장)
- `-all` : **HardFail** (등록되지 않은 발신자 메일은 수신 즉시 폐기/차단)
- `+all` : 모두 허용 (**절대 사용 금지**)

### 2) DKIM (DomainKeys Identified Mail)
이메일 헤더에 디지털 전자서명을 첨부하고, 수신 측에서 DNS TXT 레코드에 공개된 비대칭 공개키로 위변조를 검증합니다.
```text
# selector._domainkey.example.com 호스트의 TXT 레코드:
v=DKIM1; k=rsa; p=MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA0...
```
- 메일 발송 서버는 개인키로 본문을 서명하고, 수신 메일 서버는 DNS 조회를 통해 공개키(`p=...`)로 검증

### 3) DMARC (Domain-based Message Authentication)
SPF 또는 DKIM 검증이 실패했을 때 수신 서버가 해당 메일을 어떻게 처리해야 하는지 지침을 내리는 최종 통제 정책입니다.
```text
# _dmarc.example.com 호스트의 TXT 레코드:
v=DMARC1; p=reject; sp=reject; pct=100; rua=mailto:dmarc-reports@example.com
```
- `p=none` : 단순 모니터링 (실패해도 정상 수신)
- `p=quarantine` : 의심 메일로 격리 (스팸 메일함으로 이동)
- `p=reject` : 수신 거부 (완전 차단 및 반송, 가장 안전)
- `rua=mailto:...` : 일일 DMARC 검증 종합 분석 리포트를 수신할 관리자 이메일

---

## 7. TTL(Time-To-Live) & 안전한 마이그레이션 전략
TTL은 리졸버와 클라이언트가 DNS 쿼리 결과를 **캐시에 보관할 유효 시간(초 단위)**입니다.

### 표준 권장 TTL 값
| 시나리오 | 권장 TTL 값 | 이유 |
|---|---|---|
| **일반 안정 운영** | `14400` ~ `86400` (4시간~24시간) | DNS 서버 부하 경감, 빠른 캐시 응답 속도 |
| **자주 변경되는 서비스** | `300` ~ `600` (5분~10분) | 빠른 장애 복구(Failover) 및 유연한 롤백 |
| **서버 이전 24~48시간 전** | `300` (5분) | DNS 변경 시 전 세계 캐시를 즉시 갱신하기 위함 |
| **이전 완료 및 안정화 후** | `3600` ~ `14400` (1~4시간) | 정상 상태로 복원 |

### 무중단 서버 이전(Migration) DNS 전략
1. **D-2 (이틀 전)**: 기존 A/CNAME 레코드의 TTL을 **`300초(5분)`**으로 축소하여 저장합니다.
2. **D-Day (이전 당일)**:
   - 새 서버로 데이터를 동기화합니다.
   - DNS 레코드 값을 새 서버의 IP/도메인으로 변경합니다.
3. **D+1 (하루 뒤)**:
   - 전 세계 거의 모든 캐시가 5분 이내에 새 서버로 완벽히 전환됩니다.
4. **안정화 후**:
   - TTL을 다시 `3600`(1시간) 또는 `86400`(1일)으로 늘려 DNS 쿼리 트래픽 비용과 지연 시간을 줄입니다.

---

## 8. Cloudflare & 모던 DNS 아키텍처 (Modern DNS)

### 오렌지 구름 (Proxied) vs 회색 구름 (DNS Only)
```text
[클라이언트] ──> [Cloudflare Anycast CDN/WAF] ──> [오리진 서버] : ☁️ Proxied (오렌지)
[클라이언트] ───────────────────────────────────> [오리진 서버] : ☁️ DNS Only (회색)
```
- **Proxied (오렌지 구름 🧡)**:
  - 실제 오리진 서버의 공인 IP가 숨겨지고 Cloudflare Anycast IP가 노출됩니다.
  - DDoS 방어, 무료 SSL/TLS, WAF, CDN 캐싱, WebSockets 프록시가 자동 활성화됩니다.
  - HTTP/HTTPS(80, 443) 트래픽 전용입니다.
- **DNS Only (회색 구름 🩶)**:
  - 단순 순수 DNS 이름 풀이만 수행합니다. 실제 서버 IP가 그대로 노출됩니다.
  - SSH(22), FTP, 게임 서버(TCP/UDP), 메일 서버(MX) 등 비웹 포트 연결 시 필수입니다.

### CNAME Flattening (루트 도메인 CNAME 호환)
- **RFC 표준 한계**: 원래 표준 RFC 규정상 `example.com` 같은 루트(APEX) 도메인에는 SOA, NS 레코드가 존재하므로 CNAME을 달 수 없습니다.
- **해결책**: Cloudflare는 CNAME Flattening을 통해 루트 도메인에 CNAME을 설정해도, 외부 질의 시 자동으로 최종 IP를 찾아 **A 레코드 형태로 변환하여 응답**합니다.

### 차세대 암호화 DNS 프로토콜
- **DoH (DNS over HTTPS)**: 포트 `443` HTTPS 터널을 통해 DNS 쿼리를 전송하여 통신사/도청자의 패킷 스누핑 차단 (Cloudflare: `https://cloudflare-dns.com/dns-query`)
- **DoT (DNS over TLS)**: 전용 포트 `853`을 사용하여 전송 계층에서 TLS로 암호화 질의 수행
- **DNSSEC (DNS Security Extensions)**: 비대칭 암호키 서명 체인(DS 레코드)을 통해 DNS 스푸핑/캐시 포이즈닝 조작 방지

---

## 9. 실무 DNS 트러블슈팅 체크리스트 (Troubleshooting)

### 1) SERVFAIL / NXDOMAIN 에러
- **NXDOMAIN (Non-Existent Domain)**: 도메인 또는 호스트 레코드가 아예 등록되어 있지 않음 (오타 확인).
- **SERVFAIL**: 권한 네임서버 응답 불가, DNSSEC 서명 불일치, NS 레코드 위임 불일치 오류.

### 2) CNAME 체인 루프 (Loop)
- `a.example.com` ➔ `b.example.com` ➔ `a.example.com` 형태로 서로를 가리키면 브라우저가 이름 풀이에 실패합니다.

### 3) 서브도메인 테이크오버 (Subdomain Takeover) 취약점 방지
- AWS S3, GitHub Pages, Vercel 등에 연결했던 서브도메인 CNAME을 남겨둔 채 외부 클라우드 리소스만 삭제하면, 해커가 해당 리소스명을 선점하여 내 도메인으로 피싱 사이트를 띄울 수 있습니다.
- **대응**: 사용하지 않는 외부 호스팅 CNAME 레코드는 즉시 DNS에서 삭제하세요.

### 4) 글로벌 전파 상태 확인 도구
- [whatsmydns.net](https://www.whatsmydns.net/): 전 세계 20개국 주요 DNS 리졸버의 현재 레코드 반영 상태를 실시간 지도/목록으로 시각화 확인.
💬
DNS 치트시트

의견 및 질문

댓글 수정

댓글 삭제
