기업 DNS 서비스의 3가지 배포 방식 및 비교

DNS를 잘못 고르면 왜 사무실 전체가 오후 티타임에 집단으로 인터넷이 끊기는가

작년에 순이구에서 자동차 부품을 취급하는 무역 회사의 장애를 처리한 적이 있습니다. 엔지니어가 현장에 도착했을 때 사무실 전체의 PC 20여 대가 모두 고객 견적 문의 시스템을 열 수 없는 상태였습니다. 한 바퀴 점검해 보니 네트워크가 끊긴 것이 아니라 DNS 해석 타임아웃이 원인이었습니다. 이들은 건물주가 끌어온 광대역을 쓰고 있었는데, DNS가 현지 모 통신사업자의 202.106.0.20으로 설정되어 있었고 응답 지연은 이미 3초까지 치솟아 있었습니다. 이는 개별 사례가 아닙니다. DNS라는 영역은 IT 아키텍처에서 오랫동안 투명인간 취급을 받아 왔고, 문제가 터지고 나서야 발견됩니다. 중소기업이 어떤 DNS 배포 모드를 선택하느냐에 따라 직원의 웹페이지 로딩 속도, 업스트림 업무 시스템의 가용성, 그리고 IT 부서가 한밤중에 깨어나는 빈도가 곧바로 결정됩니다.

통신사 DNS: 편리하지만 지뢰를 심는다

중국 내 대부분의 중소기업은 네트워크 장비에 광대역을 연결하면 기본적으로 통신사업자가 할당한 DNS 서버를 사용합니다. 차이나텔레콤, 차이나유니콤, 차이나모바일은 각자 재귀 해석 노드를 보유하고 있으며, 흔히 볼 수 있는 IP로는 202.96.128.86, 202.106.195.68 같은 것이 있습니다. 이 방식은 비용도 구성도 들지 않고 라우터 WAN 포트에서 자동으로 받아오므로 사용하기는 확실히 편리합니다. 하지만 문제 역시 가장 현실적입니다. 통신사를 넘나드는 해석에서는 지연이 뚜렷하게 증폭됩니다. 베이징 차이나텔레콤 사용자가 알리바바 클라우드 화둥 노드에 호스팅된 SaaS 시스템에 접속하면, DNS 계층이 먼저 통신사 노드로 달려가야 하는데 상대가 Anycast를 적용하지 않았거나 캐시 전략이 미비하면 최초 해석에 500밀리초, 심지어 그 이상이 걸릴 수 있습니다.

더 까다로운 것은 통신사 DNS의 해석 결과 하이재킹 문제입니다. 일부 지역의 광대역 사용자가 존재하지 않는 도메인을 입력하면 통신사 DNS에 의해 광고 페이지나 자사 내비게이션 사이트로 강제 전환됩니다. 일반 직원이 자료를 검색할 때는 그럭저럭 괜찮지만 업무 시스템에는 재앙입니다. 코드에 특정 내부 도메인의 IP가 하드코딩되어 있는데 그 도메인이 마침 존재하지 않으면, 브라우저가 엉뚱한 주소로 리다이렉트되어 세션이 곧바로 무효화됩니다. 저는 한두 곳이 아닌 여러 회사의 OA 시스템이 이 때문에 간헐적으로 로그인에 실패했고, 최종적으로 DNS 계층까지 파고들어서야 문제를 찾아낸 사례를 보았습니다.

자체 구축 재귀 DNS: Unbound의 실전 진입 장벽

왕징에서 대일 아웃소싱을 하는 한 기술 회사의 전산실에 제가 Unbound 기반의 자체 구축 재귀 DNS를 구축해 준 적이 있습니다. Unbound를 선택한 주된 이유는 가볍고 자원 점유가 낮아 4코어 8G 가상 머신 한 대로 500개 단말의 해석량을 감당할 수 있고, DNSSEC 검증도 지원하기 때문입니다. 설치 과정은 그리 복잡하지 않습니다. Ubuntu 20.04에서 apt install unbound 후 몇 줄의 설정만으로 구동됩니다. 핵심은 캐시 전략을 제대로 조정하는 것입니다. Unbound의 기본 캐시 시간은 TTL 값의 두 배인데, 많은 중소 사이트의 TTL 설정이 엉망이라 일부 레코드가 지나치게 오래 캐시되어 무효화되곤 합니다.

자체 구축 재귀의 최대 가치는 통제 가능성입니다. DNSSEC를 켤지, 특정 도메인을 차단할지, 내부망을 대상으로 split-horizon 해석을 할지를 스스로 결정할 수 있습니다. 왕징의 그 아웃소싱 회사에는 당시 이런 요구가 있었습니다. 일본 고객이 테스트 환경에 접속할 때는 일본 노드를 거치고, 현지 직원이 접속할 때는 중국 내 노드를 거쳐야 한다는 것이었습니다. 이 분기 로직은 Unbound에서 view 모듈로 구현하는데, 두 지역에서 같은 도메인이 서로 다른 IP로 해석되며 자체 구축 방식에서는 설정 몇 줄만 고치면 해결됩니다.

하지만 진입 장벽도 현실적입니다. 자체 구축 재귀 DNS는 기본적인 Linux 운용 능력과 DNS 프로토콜 지식을 갖춘 인력이 필요하고, 문제가 생기면 로그를 읽고 디버깅할 수 있어야 합니다. 중소기업 IT 인력은 원래도 빠듯한데, 파일 공유만 돌리는 Windows Server 한 대뿐인 상황에서 DNS만을 위해 Linux 환경을 별도로 구축하는 것은 사실 과잉 투자입니다. 더 중요한 것은 자체 구축 재귀의 출구 대역폭이 전체 해석 능력을 좌우한다는 점입니다. 회사에 100M 광대역 한 회선뿐이라면 출구 대역폭이 포화될 때 재귀 해석도 막힙니다.

프라이빗 DNS 서비스와 DoH/DoT: 보안과 프라이버시의 새로운 선택

최근 2년간 DNS 분야에서 가장 큰 변화는 DoH(DNS over HTTPS)와 DoT(DNS over TLS)의 점진적 도입입니다. 전통적인 DNS 질의는 평문 UDP 포트 53을 사용하기 때문에 기업 내부망에서 중간자에게 가로채이거나 출구 게이트웨이에 기록되기 쉽습니다. DoH/DoT는 DNS 요청을 HTTPS/TLS 터널에 캡슐화하여, 통신사나 중간 장비는 HTTPS 연결 하나만 보일 뿐 어떤 도메인을 질의했는지는 볼 수 없습니다.

Cloudflare의 1.1.1.1과 Google Public DNS 8.8.8.8은 모두 DoH/DoT를 지원하며, 기업 내부망 장비가 지원한다면 바로 구성할 수 있습니다. 하지만 현실적인 문제가 있습니다. 많은 회사의 출구 방화벽이 기본적으로 비표준 포트 트래픽을 차단하는데, DoT는 853 포트, DoH는 443 포트를 사용합니다. 이 두 포트를 열어두지 않으면 장비에 설정해도 쓸 수 없습니다. 보안 측면에서 DoH/DoT는 확실히 DNS 포이즈닝과 하이재킹을 막아 주지만, 실제 도입에는 네트워크 정책 조정이 함께 필요합니다.

보안 요구가 더 높은 기업을 위해 지금은 자체 구축할 수 있는 프라이빗 DNS 서비스도 있습니다. 예를 들어 내부에 adGuard Home 또는 CoreDNS 기반의 솔루션을 배포하고 DoH로 외부에 서비스를 제공하는 방식입니다. 직원 PC에 해당 클라이언트를 설치하면 해석 요청이 곧바로 암호화 터널을 통해 내부망 DNS 서버로 전달되고, 내부망 서버가 다시 업스트림으로 재귀 질의를 수행합니다. 이 모델은 연구개발형 기업이나 데이터 유출에 민감한 시나리오에 적합합니다. Siwenlide가 한 제조업 고객에게 구축한 네트워크 장비 패키지 솔루션에는 adGuard Home 기반의 내부망 DNS가 포함되어 있어, 해석 가속을 제공하는 동시에 직원이 피싱 도메인에 접속할 위험도 차단했습니다.

중소기업을 위한 권장 솔루션: 계층화 + 이중화

베이징에서 300여 개 기업을 서비스한 경험을 종합해 보면, 중소기업(50인 이하)에 가장 실용적인 솔루션은 2계층 구조입니다. 출구 게이트웨이나 라우터에 두 개의 공용 DNS를 폴백으로 구성하는데, 예를 들어 223.5.5.5(알리)와 119.29.29.29(텐센트)입니다. 이 두 곳은 중국 내 노드가 많고 응답이 빨라 통신사 DNS보다 훨씬 믿을 만합니다. 업무 시스템이 해석 안정성을 높게 요구한다면, 예컨대 ERP나 클라우드 OA를 사용한다면, LAN 내부에 DNS 캐시 서버 한 대를 추가로 배포합니다. Windows Server의 DNS 역할이나 Linux의 dnsmasq 어느 쪽이든 되며, 주로 내부망 도메인의 해석 결과를 캐시하고 출구 부하를 분담하는 데 사용합니다.

예산이 허락하고 보안 수준을 한층 더 끌어올리고 싶다면, 내부망 DNS를 DoH/DoT 지원 솔루션으로 업그레이드하거나 상용 DNS 보안 서비스를 바로 사용하는 것을 고려할 수 있습니다. Siwenlide의 sTrust 제로 트러스트 솔루션 에는 DNS 계층의 방어 기능이 포함되어 있어 악성 도메인 접속을 식별하고 차단할 수 있으며, 정보 보안 컴플라이언스 요구가 있는 기업 고객에 적합합니다.

1. 기본 등급: 이중 공인 DNS(알리 223.5.5.5 + 텐센트 119.29.29.29), 비용 제로, 직원 30인 미만이며 업무 시스템이 자체 도메인에 의존하지 않는 시나리오에 적합합니다.
2. 고급 등급: LAN DNS 캐시 서버(Windows Server DNS 또는 dnsmasq) + 이중 공인 DNS 업스트림, 30-100인 규모로 내부 도메인이 있는 회사에 적합합니다.
3. 엔터프라이즈 등급: 자체 구축 재귀 DNS(Unbound/adGuard) + DNSSEC + DoH/DoT 출구, sTrust 등 보안 솔루션과 연계, 100인 이상 또는 연구개발형 기업에 적합합니다.

장비를 고를 때 주의해야 할 디테일이 하나 더 있습니다. 바로 DNS의 장애 전환(failover)을 자동화해야 한다는 점입니다. 일부 기업용 라우터는 DNS 페일오버를 지원해, 기본 DNS가 타임아웃되면 자동으로 보조 DNS로 전환합니다. 단순해 보이는 기능이지만, 한밤중에 인터넷이 끊겨도 아무도 눈치채지 못하는 난처한 상황을 막아줍니다.

DNS는 인프라에서 가장 눈에 띄지 않는 요소처럼 보이지만, 문제가 생기면 영향 범위가 가장 넓고 원인을 추적해야 할 경로도 가장 깁니다. 아직 DNS 정책을 정리하지 않았다면 지금이 시작하기 좋은 시점입니다. DNS 장애를 수습하는 데 드는 시간은 안정적인 DNS를 구축하는 시간보다 훨씬 길기 마련이니까요.