クイズ: DNS

dig 로는 주소가 나오는데 같은 호스트의 애플리케이션만 이름을 못 찾는다. 가장 먼저 확인할 것은?

• 권한 DNS 서버의 존 파일에 레코드가 있는지
• 방화벽이 UDP 53 을 막고 있는지 규칙 확인
• 애플리케이션 HTTP 클라이언트의 프록시 설정
• /etc/nsswitch.conf 의 hosts 행과 /etc/hosts 내용

애플리케이션과 동일한 이름 해석 경로를 재현하는 명령은?

• dig +short
• nslookup
• host -t A
• getent hosts

쿠버네티스 파드에서 ndots:5 때문에 외부 도메인 조회가 느려지는 메커니즘은?

• DNS 서버가 ndots 값만큼인 5초씩 지연 응답하기 때문
• ndots 값이 캐시 TTL 을 5초로 고정해 버리기 때문
• IPv6 주소 조회가 5번 반복된 뒤에야 IPv4 로 넘어가기 때문
• 점이 5개 미만인 이름에 search 도메인을 먼저 붙여 질의하므로 실패할 질의가 여러 번 나가기 때문

ndots 값을 1로 낮추라는 조언이 위험한 이유는?

• ndots 는 2 이상만 허용되어 1은 잘못된 값이기 때문
• 점이 하나인 payments.prod 같은 이름이 search 를 거치지 않아 해석에 실패하기 때문
• search 를 건너뛰는 만큼 외부 도메인 조회가 더 느려지기 때문
• 값을 바꾸면 CoreDNS 가 재시작되어 조회가 끊기기 때문

dig 결과가 status: NOERROR 인데 ANSWER 섹션이 비어 있다. 이것이 뜻하는 것은?

• 이름은 존재하지만 질의한 타입의 레코드가 없다
• 그 이름 자체가 존재하지 않는다
• 리졸버가 응답을 만들지 못했다
• 서버가 질의를 거부했다

SERVFAIL 이 반환될 때 DNSSEC 검증 실패인지 빠르게 가르는 방법은?

• dig +short 로 다시 조회한다
• TTL 을 늘린다
• TCP 로 재시도한다
• dig +cd 로 검증을 끄고 조회해 성공하는지 본다

DNS 캐시를 지웠는데도 옛 IP 로 접속이 계속된다. 놓치기 쉬운 캐시 계층은?

• 권한 서버가 응답을 보관하는 존 캐시
• 애플리케이션 런타임 내부의 이름 캐시 (예: JVM 의 주소 캐시)
• 라우터가 MAC 주소를 보관하는 ARP 캐시
• 브라우저가 화면 자원을 보관하는 이미지 캐시