DNS 레코드 종류와 사용법

레코드별로 확인하는 정보

레코드 변경을 확인하는 순서

1. 도메인 등록기관의 네임서버 위임이 실제 관리 DNS를 가리키는지 확인합니다.
2. 권한 DNS에 이름·종류·값을 등록했는지 확인합니다.
3. DNS 조회 도구와 이용자 측 리졸버 결과를 비교합니다.
4. 응답 캐시·이전 TTL·실패 응답 캐시 등으로 서로 다를 수 있음을 고려합니다.

메일 인증 예시

example.com의 MX와 SPF, selector._domainkey.example.com의 DKIM, _dmarc.example.com의 DMARC는 서로 다른 이름·역할을 가집니다. DKIM의 selector는 메일 서비스가 지정한 실제 값을 사용합니다.

SPF·DKIM·DMARC 조회 결과가 있어도 내용의 올바름이나 실제 메일 전달을 자동으로 검증한 것은 아닙니다.

빈 응답은 종류별로 판단합니다

IPv6를 쓰지 않는 사이트에 AAAA가 없어도 IPv4 접속은 가능할 수 있습니다. 도메인 자체가 없다는 응답과 특정 종류의 레코드가 없는 응답은 다릅니다. 오류 메시지와 선택한 종류를 함께 확인하세요.

변경 전후를 비교하는 명령

아래 example.com을 본인이 관리하는 도메인으로 바꿉니다. A와 AAAA를 각각 조회하고 질의 이름·종류·응답 주소·조회 시각을 같이 기록하세요. 같은 이름이라도 IPv4와 IPv6는 다른 서버를 가리킬 수 있습니다. 명령은 읽기 전용 DNS 질의이며 공개 DNS 서버에 도메인 이름이 전달됩니다.

기본 리졸버 결과와 1.1.1.1의 결과를 비교하면 관찰 지점 차이를 확인할 수 있습니다. 다른 결과가 곧 설정 오류라는 뜻은 아닙니다. CDN의 위치별 응답이나 분할 DNS도 고려하세요. dig의 +noall +answer는 출력에서 응답 부분만 남깁니다. 비어 있으면 +noall +answer를 빼고 상태를 다시 확인하세요.

Resolve-DnsName example.com -Type A
Resolve-DnsName example.com -Type AAAA
Resolve-DnsName example.com -Type A -Server 1.1.1.1

dig example.com A +noall +answer
dig example.com AAAA +noall +answer
dig @1.1.1.1 example.com A +noall +answer

예시: TTL을 줄였는데 이전 주소가 나올 때

설명용 상황: 10:00에 리졸버가 이전 A 레코드를 TTL 3,600초로 받았고, 10:10에 운영자가 주소를 바꾸면서 TTL을 300초로 낮췄다고 가정합니다. 10:10의 변경이 이미 저장된 이전 응답의 TTL을 소급해 300초로 줄이지는 않습니다. 캐시 만료·재조회와 리졸버 정책에 따라 이전 값이 한동안 보일 수 있습니다.

계획된 이전이라면 충분히 앞서 TTL을 낮추고 이전 TTL의 영향을 고려해 전환합니다. 변경 후에는 권한 서버 설정과 이용자 측 조회를 구분해 확인합니다. PPORT DNS 조회는 서버 측 리졸버와 앱 캐시를 사용하므로 전 세계 전파 완료 검사나 권한 DNS 직접 검사로 해석하면 안 됩니다.

같아 보이는 DNS 오류 구분하기

NXDOMAIN은 해당 질의 이름 또는 별칭 끝의 이름이 없다는 응답입니다. NODATA는 이름은 있지만 요청한 종류가 없을 때를 가리킵니다. AAAA가 없다는 이유만으로 사이트 전체가 없다고 판단하지 마세요. 이전에 없었던 레코드를 추가한 뒤에도 부정 응답 캐시가 남아 있을 수 있습니다.

SERVFAIL이나 시간 초과는 단순한 레코드 없음과 다릅니다. 위임, DNSSEC 검증, 서버 응답과 네트워크 상태를 조사해야 할 수 있습니다. PPORT는 일부 종류의 오류를 생략할 수 있으므로 빈 결과만으로 NXDOMAIN·NODATA·검증 실패를 구분하지 말고 로컬 명령의 응답 상태와 권한 DNS 관리 화면을 함께 확인하세요.

이 글과 함께 쓰는 도구