🔏 DNSSEC 검증
DNSSEC(DNS Security Extensions)가 활성화되어 있는지 확인합니다. Cloudflare DNS-over-HTTPS에 질의하여 응답의 AD(Authenticated Data) 플래그, 상위 영역의 DS 레코드, DNSKEY를 검사합니다.
완전 무료
가입 불필요
서버 처리
로그 · DB 없음
레이트 리밋
5 개 언어
다크 모드
📖 이 진단으로 알 수 있는 것
이 진단은 검증 기능이 있는 리졸버에 질의해 응답의 AD 플래그(서명 검증에 성공했다는 표시), 상위 존에 등록된 DS 레코드, 존 자신의 DNSKEY 세 가지를 확인합니다. DNSSEC 이 보장하는 것은 돌아온 답이 변조되지 않았다는 것뿐이며 통신을 전혀 암호화하지 않습니다. 누가 어떤 도메인을 조회했는지는 평문으로 흐릅니다. 그쪽은 DoH / DoT 의 몫입니다.
| 판정 항목 | 무엇을 보는가 | 걸렸을 때의 대처 |
|---|---|---|
| DNSKEY 는 있지만 DS 가 없음 | 존에 서명은 붙어 있는데 상위(레지스트리)가 이 키를 믿어도 된다고 선언하지 않은 상태입니다. 신뢰의 연쇄가 중간에 끊겨 검증 리졸버 입장에서는 DNSSEC 이 없는 것과 같고 서명 수고만 든 셈입니다. 도메인 이전 직후에 가장 많이 발생합니다. | 레지스트라 관리 화면에서 DS 레코드(또는 그것을 생성하는 DNSKEY)를 등록합니다. 항목은 키 태그 · 알고리즘 · 다이제스트 타입 · 다이제스트 4가지로 DNS 사업자 화면에서 복사할 수 있습니다. 이전이나 NS 변경 시에는 먼저 DS 를 빼서 서명을 멈추고 이전 후에 다시 붙이는 것이 안전한 절차입니다. |
| DS 는 있는데 AD 플래그가 false | 검증에 실패하고 있습니다. 원인은 대개 RRSIG 만료 또는 키 롤오버 실패입니다. DNSSEC 장애는 도메인이 없다가 아니라 SERVFAIL 로 나타나며, 검증 리졸버를 쓰는 이용자에게는 사이트도 메일도 완전히 사라집니다. 설정 실수 중에서도 영향이 가장 큰 부류입니다. | 키 관리는 수동으로 하지 마세요. BIND 라면 inline-signing yes; auto-dnssec maintain;, Knot 이라면 자동 KSK/ZSK 롤오버, 권위 DNS 가 SaaS 라면 원클릭 활성화에 맡깁니다. 서명 유효기간은 기본적으로 대략 2〜4주이므로 재서명이 멈추면 알아차릴 때까지 몇 주밖에 여유가 없습니다. 모니터링을 넣으세요. |
| 활성화 직후부터 일부에서 이름이 안 풀림 | DNSSEC 은 서명을 싣는 만큼 응답이 커집니다. UDP 패킷이 단편화되어 중간 장비에서 버려지거나 TCP 폴백이 방화벽에 막히면 응답만 도착하지 않는 알기 어려운 장애가 됩니다. 사이트는 보이는데 메일이 안 온다는 한쪽만의 증상도 이것이 원인일 수 있습니다. | EDNS0 버퍼 크기를 1232바이트로 설정하고(DNS Flag Day 2020 권장값) 방화벽에서 TCP/53 을 반드시 통과시킵니다. 키 알고리즘은 RSA 가 아니라 ECDSA P-256(algorithm 13)을 고르면 키도 서명도 작아져 이 문제 자체가 잘 생기지 않습니다. |
DNSSEC 이 지키는 것은 DNS 응답뿐이며 웹사이트의 안전성과는 다른 층의 이야기입니다. 활성화해도 HTTPS 는 여전히 필요하고, 반대로 HTTPS 가 있으면 DNS 가 위조되어도 인증서 검증에서 멈춥니다. 그래도 DNSSEC 이 의미 있는 것은 인증서 발급 자체가 DNS 인증으로 이루어지기 때문(ACME 의 DNS-01 챌린지, CAA 레코드 참조)이며, DNS 를 위조할 수 있는 공격자는 정규 인증서를 취득할 수 있습니다.