요약

  • George Michaelson은 자신의 가정용 DNS 백업이 이론상으로만 존재했다고 밝혔습니다. 그가 주 DNS 서비스라 여긴 장비를 재시작했을 때 그 서비스가 유일한 인스턴스였다는 사실을 발견했습니다.
  • DHCP와 라우터 광고(Router Advertisement) 표준은 여러 리졸버 주소를 전달할 수 있지만, 광고된 목록이 클라이언트가 대안을 보존했는지, 장애 시 사용했는지, 동일한 로컬 DNS 정책을 받았는지를 증명하지는 못합니다.
  • 적정한 페일오버 증빙은 서로 다른 여섯 가지 상태를 연결해야 합니다: 구동 중인 엔드포인트, 독립된 장애 도메인, 발급된 구성, 클라이언트 관측, 범위가 한정된 페일오버, 그리고 검증된 롤백.

George Michaelson은 9월 9일 APNIC 블로그에 Pi-hole과 AdGuard를 자체 호스팅 DNS 서비스로 운영하면서 겪은 일을 짧게 기록했습니다. 이 글은 APNIC의 운영 사고 통보가 아니며, 페이지는 명시적으로 저자 개인의 견해임을 밝히고 있습니다. 이 글의 가치는 익숙한 단어에서 잘못된 안심을 떼어내는 한 문장에 있습니다. Michaelson은 자신에게 백업 계획이 있다고 믿었습니다. 실제로는 구현하지 않은 상태였습니다. 그가 주 DNS 서비스로 여긴 장비를 재시작하자 집안 곳곳의 기기들이 오작동하기 시작했고, '주 서비스'가 유일한 인스턴스였던 것으로 드러났습니다.

이는 깨끗한 증거 경계를 지닌 작은 사건입니다. 해당 글은 패킷 추적, 장애 지속 시간, 기기 목록, 토폴로지, 보안 발견 사항을 제공하지 않습니다. 다만 의도와 운영 상태의 차이를 보여줍니다. 어떤 프로세스가 구동되기 전에도 다이어그램에는 보조 리졸버가 들어 있을 수 있습니다. 클라이언트가 주소를 수신하기 전에도 라우터에는 두 개의 DNS 주소가 들어 있을 수 있습니다. 클라이언트가 두 번째 주소를 한 번도 선택하지 않은 채 두 주소를 보존할 수도 있습니다. 두 번째 엔드포인트는 일반 도메인에는 응답하면서 첫 번째 엔드포인트의 차단 또는 리디렉션 규칙을 조용히 결여할 수 있습니다. 각 전환은 자체적인 관측이 필요합니다.

장애는 재시작 전에 이미 시작되어 있었다

가시적인 중단은 DNS 서비스를 재시작하면서 시작됩니다. 그러나 회복력의 실패는 그보다 앞서, 백업이 계획 상태로 남아 있을 때 시작됩니다. 이 구분이 중요한 이유는 변경 통제가 보통 현재 시스템에 대한 믿음을 기준으로 조직되기 때문입니다. 관리자가 검증된 대안이 존재한다고 믿으면, 한 엔드포인트의 재시작은 범위가 한정된 작업처럼 보입니다. 대안이 구동 중이지 않다면 같은 행위는 라이브 사용자를 대상으로 수행되는 네트워크 전반의 의존성 시험이 됩니다.

Michaelson의 서술은 의존성 표면을 명확히 드러냅니다. DNS 재시작이 가정의 다른 기능들을 멈추게 했습니다. 라우터 변경은 무선 서비스를 중단시킬 수 있었습니다. 라우터의 DNS 구성을 바꾸는 것은 DHCP에 영향을 주어 그가 '동결-해동 주기'라고 부른 현상을 낳았습니다. 따라서 그의 세 가지 질문은 서버 대수를 넘어섭니다: 어떤 기기가 이 서비스에 의존하는가, 네트워크가 실제로 대안을 수용하는가, 그리고 이전 상태를 복원할 수 있는가.

이는 "박스가 두 개 있는가"보다 나은 질문입니다. 한 호스트에 두 개의 리졸버 프로세스가 있으면 호스트 장애를 공유합니다. 하나의 전원에 두 대의 호스트가 있으면 전원 장애를 공유합니다. 하나의 라우터가 배포하는 두 개의 주소는 그 라우터의 구성과 가용성을 공유합니다. 같은 잘못된 구성에서 복사된 두 설치는 관리상의 장애를 공유합니다. 독립성은 장식용 형용사가 아니라, 어떤 장애가 두 경로를 동시에 제거할 수 있는지에 대한 주장입니다.

서버 목록은 지시 사항이지 결과가 아니다

표준들은 구성 증거가 끝나는 지점을 정확히 보여주기 때문에 유용합니다. RFC 2132의 DHCPv4 옵션 6은 DNS 서버 목록을 제시할 수 있으며 선호 순서대로 나열해야 한다고 규정합니다. RFC 3646은 DHCPv6에 대해 상응하는 역할을 하며, 순서가 있는 목록으로 하나 이상의 IPv6 재귀 서버 주소를 허용합니다. RFC 8106은 IPv6 라우터 광고가 하나 이상의 재귀 DNS 서버(RDNSS) 주소를 전달하고 이에 수명(lifetime)을 부여하는 것을 허용하며, 수명이 0이면 해당 주소를 사용 대상에서 철회합니다.

이것들은 프로비저닝 메커니즘입니다. 특정 시점에 라우터나 DHCP 서비스가 발급하려 의도한 내용을 증명할 수는 있습니다. 그 자체만으로 TV, 휴대전화, 노트북, 센서, 애플리케이션이 무엇을 저장했고 선호했고 질의했는지를 증명하지는 못합니다. RFC 6419는 데스크톱 시스템이 여러 DNS 목록과 인터페이스를 다루는 방식에 공통성이 거의 없음을 문서화했습니다: 일부는 인터페이스별 목록을, 일부는 시스템 전역 목록을 유지했으며, 선택과 백오프 동작도 달랐습니다. 이 문서는 Michaelson의 가정을 조사한 최신 자료는 아니지만, 라우터 측 스크린샷 하나가 모든 클라이언트를 설명한다는 가정을 무너뜨리기에 충분합니다.

RFC 9520은 또 하나의 유용한 경계를 제공합니다. 스텁 리졸버는 여러 재귀 리졸버 주소로 구성될 수 있고, 다른 서버나 다른 전송 계층으로 재시도하는 것이 금지되지는 않습니다. 그러나 해당 RFC는 특정 클라이언트가 특정 시간표에 따라 그렇게 하겠다고 약속하지는 않습니다. 이 RFC는 사용 가능한 어느 서버도 질의에 유용한 데이터를 제공하지 않을 때에만 해석 실패를 정의합니다. "두 주소가 광고되었다"와 "사용자가 여전히 유용한 답을 받았다" 사이에는 페일오버 시험이 관측해야 하는 동작이 있습니다.

도달 가능성이 살아남는 동안 정책은 실패할 수 있다

Michaelson은 단순히 임의의 DNS 질의를 전달한 것은 아닙니다. 그는 Pi-hole과 AdGuard를 사용했고 일부 알려진 이름을 루트가 없는(unrooted) IP 주소로 리디렉션했다고 말합니다. 그렇다면 정책의 일관성(정책 패리티)이 회복력 주장의 일부가 됩니다. 선호 리졸버가 광고 도메인을 차단하거나 로컬 답을 제공하는 반면, 대안이 공개 답을 반환한다고 가정해 봅시다. 가정은 페일오버 중에도 온라인 상태를 유지하면서 자체 호스팅을 정당화했던 그 동작 자체를 잃을 수 있습니다.

이것은 답변의 차이가 보안 침해를 의미한다는 뜻이 아닙니다. 출처에는 그런 발견이 없습니다. 이는 유용한 페일오버 증빙이 하나가 아니라 두 개의 질문을 던져야 함을 의미합니다: 해석이 계속되었는가, 그리고 대안이 의도한 로컬 정책을 제공했는가. 정책 일관성 없는 가용성은 부분적 성공이며, 그렇게 기록되어야 합니다.

올바른 증거는 작게 유지될 수 있다

가장 강력한 반론은 비례성입니다. 대부분의 가정은 가끔 있는 중단을 견딜 수 있으며, Michaelson 본인도 그렇게 말합니다. 두 개의 리졸버를 운영하고, 규칙을 정렬 상태로 유지하고, 전원이나 호스트 의존성을 분리하고, 여러 기기 유형을 시험하는 것은 짧은 중단보다 더 많은 노력을 요구할 수 있습니다. 가정에서 얻은 교훈을 기업식 의례로 만드는 것은 요점을 놓치는 일입니다.

답은 서비스 수준 계약이 아닙니다. 다음 유지보수 창구 전에 만들어 두는 짧은 증빙입니다. 리졸버 A와 B, 그들이 어디에서 구동되는지, 어떤 전원·스위치·라우터·상위 회선을 공유하는지를 기록합니다. DHCPv4, DHCPv6 또는 RDNSS를 통해 발급되는 DNS 주소와 수명을 확보합니다. 실질적으로 서로 다른 몇몇 클라이언트가 무엇을 보존했는지 확인합니다. 선호 리졸버를 잠시 철회합니다. 일반적인 이름과, 로컬 처리가 중요한 이름을 각각 질의합니다. 관측 가능한 경우 어느 리졸버가 응답했는지, 유용한 서비스가 돌아오는 데 얼마나 걸렸는지를 기록합니다. 그런 다음 선호 경로를 복원하고 롤백을 확인합니다.

그 기록은 모든 기기, 모든 질의 유형, 모든 전송 계층, 모든 장애 양상을 증명하지는 못합니다. 그것은 더 정직한 일을 합니다: 범위가 한정된 사례를 닫고, 아직 시험되지 않은 것을 명명합니다. 대안이 실행 가능할 때 계획은 백업이 됩니다. 장애 상황에서 클라이언트가 사용할 수 있을 때 회복력이 됩니다. 이전 상태를 복원할 수 있을 때 유지보수 가능해집니다.

출처