인프라 운영 실무 8/8 · 네트워크·보안DNS에서 SERVFAIL이 반환됐다고 해서 도메인이 삭제되거나 DNSSEC만 실패한 것은 아니다. 재귀 서버의 처리 실패, 상위 DNS·권한 서버 통신, 검증 실패와 전송 문제를 나누어 확인해야 한다.BIND 9.18 계열 문서의 도구를 기준으로 작성했다. 보안 수정이 포함된 실제 설치 버전·배포판을 확인한다. 192.0.2.53은 재귀 서버, 192.0.2.54는 권한 서버, service.example.com은 예시 이름이다.응답 코드부터 구분결과대표 의미주의점NOERROR + 답변 있음요청한 조회 처리 성공필요 레코드와 TTL·주소가 맞는지 확인NOERROR + 요청 레코드 없음해당 타입 데이터가 없는 경우 등CNAME·authority 영역도 확인NXDO..
글 읽기요약공개 권한 DNS는 위조된 출발지 IP를 이용하는 반사·증폭 공격에 악용될 수 있습니다. BIND 9의 Response Rate Limiting(RRL)으로 반복되는 유사 UDP 응답을 제한하되 정상 질의 실패율을 함께 확인해야 합니다.문제와 배경공격자는 피해자의 주소를 출발지로 위조해 큰 DNS 응답이 피해자에게 전달되게 할 수 있습니다. RRL은 유사 응답에 대한 제한 기능이며, NAT 뒤의 정상 이용자가 같은 주소로 보이는 환경에서는 부작용이 생길 수 있습니다.변경 전 점검named -vsudo named-checkconf -p | lesssudo cp -a /etc/named.conf /etc/named.conf.backup-$(date +%Y%m%d-%H%M%S)구성 경로는 배포판에 맞게 변..
글 읽기요약: 외부에 공개된 권한 DNS 서버는 위조된 출발지 주소를 사용한 반사·증폭 공격에 악용될 수 있습니다. BIND 9의 Response Rate Limiting을 적용하면 반복적인 UDP 응답을 제한할 수 있지만 정상 질의까지 영향을 받을 수 있어 단계적 적용이 필요합니다.문제와 배경DNS 증폭 공격은 피해자의 IP로 출발지를 위조한 UDP 질의를 보내고 DNS 서버가 큰 응답을 피해자에게 전송하게 만드는 방식입니다. RRL은 비슷한 응답이 특정 대상에 과도하게 전송되는 것을 제한합니다.주요 설정responses-per-second: 동일한 정상 응답의 초당 제한nxdomains-per-second: NXDOMAIN 응답 제한errors-per-second: 오류 응답 제한slip: 일부 응답을 잘라..
글 읽기