DNSSEC Part 8 : 검증 여부 확인 및 설정
today keys : DNSSEC, 검증 확인, 트러스트 앵커, fail-open, Windows DNS, EDE, NTP, 재서명DNSSEC을 운영하면서 가장 흔한 착각은 "설정을 켜뒀으니 검증하고 있을 것"이라는 판단입니다. 실제로는 검증 기능이 활성화되어 있어도 트러스트 앵커가 없으면 아무것도 검증하지 않으며, 겉으로는 정상 동작하는 것처럼 보입니다.이번 편에서는 운영 중인 DNS 서버가 실제로 검증을 수행하고 있는지 판별하는 방법부터 시작해, Windows DNS에서 트러스트 앵커를 확인하고 설정하는 절차, 그리고 장애가 발생했을 때 원인을 구분하는 방법까지 알아보겠습니다.1. 검증 설정이 켜져 있어도 트러스트 앵커가 없으면 검증하지 않는다앞서 살펴본 검증 3단계를 다시 떠올려보겠습니다.Step..
DNSSEC Part 7 : 키 롤오버 / 키 교체
today keys : DNSSEC, 키 롤오버, ZSK, KSK, Pre-Publish, Double-DS, CDS, CDNSKEY, 알고리즘 교체DNSSEC 운영에서 발생하는 사고는 대부분 두 가지에서 나옵니다. 재서명을 놓쳐 서명이 만료되는 경우, 그리고 키를 교체하다 신뢰 사슬을 끊어먹는 경우입니다. 앞의 것은 자동화로 해결되지만 뒤의 것은 절차를 이해하고 있어야 합니다.이번 편에서는 키 롤오버를 다룹니다. 왜 단순히 키를 바꿔 끼우면 안 되는지, ZSK와 KSK의 절차가 왜 다른지, 그리고 순서를 어기면 어떤 일이 벌어지는지 정리하겠습니다.1. 왜 키를 교체하는가키 교체가 필요한 이유는 세 가지입니다.유출 대비 — 개인키가 오래 사용될수록 노출 위험이 누적됩니다. 정기 교체는 만약의 유출이 있더..
DNSSEC Part 6 : DNSSEC Flow 확인
today keys : DNSSEC, DO 비트, 위임 응답, DNSKEY 질의, RRSIG, DS, AD 플래그, 캐시지금까지 DNSSEC의 레코드와 검증 원리, 생성 절차를 나눠서 살펴봤습니다. 이번 편에서는 이 내용을 하나의 조회 과정에 전부 대입해봅니다. 클라이언트가 도메인 하나를 물었을 때 리졸버가 어떤 서버에 무엇을 질의하고, 어떤 값을 받아 무엇과 대조하는지를 순서대로 추적합니다.조회 한 번에 여덟 번의 패킷 교환이 일어납니다. 각 단계마다 출발지와 목적지, 주고받는 값을 모두 표기했으니 앞 편들에서 개별적으로 다룬 개념들이 어느 지점에서 쓰이는지 확인하면서 읽으시면 됩니다.1. 추적 대상과 표기 방법www.cloudflare.com의 A 레코드를 조회하는 상황을 가정합니다. 등장하는 구성요..
DNSSEC Part 5 : 키와 레코드의 계층별 생성 절차
today keys : DNSSEC, dnssec-keygen, dnssec-signzone, DS 등록, EPP, 레지스트라, 키 세리머니, 재서명지금까지는 리졸버 입장에서 검증이 어떻게 이루어지는지를 다뤘습니다. 이번 편에서는 관점을 바꿔, 그 검증에 사용되는 키와 레코드가 실제로 어떻게 만들어지는지 살펴봅니다.생성 절차는 계층마다 동일합니다. 키를 만들고, 존을 서명하고, DS를 부모에게 제출하는 세 단계입니다. 루트와 TLD 계층에서 이 절차가 어떻게 수행되는지 먼저 확인한 뒤, 내 도메인에 적용할 때 어떤 명령으로 무엇이 산출되는지 정리하겠습니다.1. 모든 계층이 같은 일을 한다앞선 편에서 검증이 계층마다 동일한 패턴으로 반복된다는 것을 확인했습니다. 생성 쪽도 마찬가지입니다.키 쌍 생성 (KS..
vPC Role Election과 Sticky Bit 동작 메커니즘
today keys : Cisco, Nexus, NX-OS, vPC, Sticky Bit, Peer-Link, Keepalive, Election, Delay Restore, Reload Restore Cisco Nexus 스위치 기반의 vPC(virtual Port Channel) 환경을 운영하다 보면 가장 까다로운 이슈 중 하나가 바로 스위치 간의 vPC Role(Primary / Secondary) 선출 및 변경입니다. 특히 장비 장애나 링크 절단 후 복구되는 과정에서 원치 않는 역할 재선출이 발생하면, LACP 멤버 포트가 플래핑(Flapping)되면서 예기치 못한 트래픽 절단이 유발되곤 합니다. 이러한 불필요한 역할 변경을 막아주는 핵심 보호 기작이 바로 vPC Primary Sticky Bit..
EKS Hybrid Nodes 네트워크 및 구축 아키텍처 가이드
Today Key : hybrid, node, eks, network, gateway, control, plane, architecture, 아키텍처, cluster1. EKS Hybrid Nodes 핵심 개념 및 컨트롤 플레인 통신 구조개념 요약AWS 관리를 받는 EKS Control Plane에 온프레미스 베어메탈/가상 서버를 워커 노드로 연결하여 제어면 관리 부담을 줄인 하이브리드 클러스터 솔루션입니다.Control Plane 통신 매커니즘온프레미스 노드 레벨: kublet이 OS 내 systemd 서비스로 실행되며, 온프레미스 사설 IP를 출발지(Source IP)로 사용합니다.Cross-Account ENI: EKS 클러스터 생성 시 Private Access를 활성화하면 사용자 VPC 내부 ..
DNSSEC Part 4-1: 부정 응답(부재 증명)을 위한 NSEC/NSEC3
today keys : DNSSEC, NSEC, NSEC3, 부재 증명, NXDOMAIN, insecure 위임, bogus, Opt-Out, 존 열거지난 편에서 신뢰가 루트부터 최종 도메인까지 이어지는 과정을 살펴봤습니다. 그런데 DNS 응답에는 "여기 있습니다"만 있는 것이 아닙니다. "그런 이름은 없습니다", "그 도메인은 DNSSEC을 쓰지 않습니다" 같은 부정 응답도 존재하며, 이런 응답 역시 위조되면 문제가 됩니다.DNSSEC은 이를 위해 NSEC과 NSEC3이라는 별도 레코드를 둡니다. 이번 편에서는 이 레코드가 언제 만들어지고 어떤 구조인지, 그리고 "존재하지 않음"과 "서명되지 않음"을 각각 어떻게 증명하는지 다룹니다. 마지막으로 리졸버가 내리는 세 가지 판정 결과를 정리하겠습니다.1. ..