요약

  • LACNIC에 따르면nserver는 역방향 DNS 위임에 응답해야 하는 서버를 지정하고,nsstat는 위임 상태를 보고하며,nslastaa는 정상 구성이 마지막으로 관찰된 날짜를 기록합니다.
  • 따라서nslastaa는 과거의 모니터링 근거입니다. 현재의 DNS 동작을 확인하려면 시각 정보가 담긴 새 질의가 필요하고, BGP 도달 가능성은 전혀 다른 근거 체계를 요구합니다.

분석

과거를 가리키는 날짜

nslastaa정의에서 가장 중요한 단어는 “마지막(last)”입니다. LACNIC의 역방향 DNS FAQ는 이 필드를 유효 기간이 있는 건강 증명서로 설명하지 않습니다. 레지스트리의 모니터링이 서버에서 정상 구성을 마지막으로 관찰한 날짜를 설명합니다. 이 필드는 유용한 사건 하나를 보존합니다. 당시의 모니터링 조건 하에서 그 날짜에 최소 한 번 성공적인 관찰이 이루어졌다는 사실입니다.

이는 그 이후 위임이 계속 정상이었다는 말과는 본질적으로 다릅니다. 이 필드는 그것이 가리키는 성공적인 관찰을 보고할 뿐, 그 이후의 모든 시점에 무엇이 일어났는지는 보고하지 않습니다. 이후 결과가 달라져도 저장된 날짜가 거짓이 되는 것은 아닙니다. 바로 이 때문에 특정 시점의 관찰을 연속적인 주장으로 조용히 바꿔서는 안 됩니다.

함께 제공되는 필드들이 근거를 제자리에 유지하는 데 도움이 됩니다. LACNIC은nserver가 위임에 응답해야 하는 서버를 식별하고nsstat가 위임 상태를 보고한다고 설명합니다.nslastaa는 마지막 성공적 구성 관찰의 시점을 더합니다. 이 세 필드를 합쳐도 역방향 DNS 위임과 모니터링에 대한 레지스트리가 운영하는 시각일 뿐, 운영자나 네트워크에 대한 만능 판정이 아닙니다.

과거 레지스트리 근거와 새 DNS 검사는 서로 다른 질문에 답한다

오래된 사건을 조사하는 조사자는 WHOIS 응답, 그 응답의 조회 시각,nserver,nsstat,nslastaa값, 그리고 질의된 블록을 보존해야 합니다. 이 기록은 특정 시점에 LACNIC의 디렉터리와 모니터링 표면이 무엇을 보고했는지 보여줄 수 있습니다. 또한 어떤 서버가 비정상적으로 오랜 기간 정상 상태로 관찰되지 않았음을 드러낼 수도 있습니다.

서비스가 지금 작동하는지 묻는 조사자에게는 새로운 관찰이 필요합니다. LACNIC은 관련 역방향 영역의 SOA 레코드를 위임된 서버에 질의할 것을 권고하며, 성공적인NOERROR응답과NXDOMAIN또는SERVFAIL을 구분합니다. 정확한 명령어보다 중요한 것은 근거 규율입니다. 질의 이름, 서버, 전송 방식, 관측 지점, 시각, 응답 코드, 반환된 권한 데이터를 기록해야 합니다.

그 새 질의에도 한계가 있습니다. 성공적인 응답 하나는 한 관측자가 한 시점에 한 응답을 얻었다는 것만 증명합니다. 보편적 도달 가능성, 지속적 가동 시간, 모든 경로에서 동일한 응답을 입증하지 않습니다. 시간과 관측 지점을 달리한 반복이 운영상의 결론을 강화할 수 있지만, 그 결론은 여전히 DNS 동작에 관한 것이지 자원 보유자가 운영하는 모든 서비스에 관한 것이 아닙니다.

실패한 검사는 진단 신호이지 완전한 원인이 아니다

LACNIC에 따르면 라임(lame) 위임 상태는 IP 블록에 등록된 서버 정보가 부정확하거나, 레지스트리의 모니터링 시스템이 서버에 접근하지 못할 때 발생할 수 있습니다. 이 두 메커니즘은 서로 다릅니다. 첫째는 구성 또는 등록 데이터를 가리키고, 둘째는 모니터링 관측 지점에서의 도달 가능성과 관련될 수 있습니다. 저장된 상태만으로는 원인을 선별할 수 없습니다.

이 구분은 인시던트 대응에서 중요합니다. 실패 라벨은 하나의 원인을 선택하지 않으며, 오래된 성공 날짜는 현재 동작이 정상임을 보여주지 않습니다. 어느 방향이든 올바른 대응은 레지스트리 관찰을 그대로 보존하고, 그것이 입증하지 않는 바를 명시하며, 원인을 귀속하기 전에 현재 측정을 수집하는 것입니다.

역방향 DNS는 정방향 DNS가 아니며, 둘 다 BGP가 아니다

여기서 다루는 LACNIC 필드는 주소 블록의 역방향 해석에 관한 것입니다. 이들은 정방향 DNS를 보증하지 않습니다. 주소 블록이 BGP에서 광고되고 있는지, 어느 ASN이 출처인지, 광고가 어디서 관찰되는지, 트래픽이 특정 서비스에 도달하는지도 알려주지 않습니다.

그 질문들은 별도의 관찰을 사용합니다. 새 DNS 질의는 명시된 서버에서 명시된 시각과 관측 지점에서 얻은 응답을 문서화할 수 있습니다. 라우팅 주장에는 별도로 시각이 맞춰진 BGP 관찰이 필요합니다. 원본 패킷에는 그런 BGP 관찰이 없으므로,nslastaa는 함축적으로도 그것을 제공할 수 없습니다.

실용적인 읽기 규칙

nslastaa는 보증이 아니라 최신성의 하한으로 읽으십시오. 이 필드는 LACNIC이 표기된 서버를 필드가 나타내는 모니터링 기준으로 마지막에 정상 구성으로 관찰한 시점을 독자에게 알려줍니다. 날짜가 오래될수록 새 검사를 수행할 이유가 커집니다. 최근 날짜는 불확실성을 줄일 수 있지만, 관찰 시점과 지금 사이의 시간을 지울 수는 없습니다.

감사 작업에서는 레지스트리 관찰과 이후 측정을 모두 보존하십시오. 둘이 불일치하더라도 오래된 근거를 덮어쓰지 마십시오. 불일치를 기록하고, 그 차이가 시간, 관측 지점, 위임 데이터, 권한 서비스 동작 또는 네트워크 도달 가능성에서 비롯되는지 조사하십시오. 그 방법은 작지만 가치 있는 레지스트리 필드를 결코 관찰하지 않은 것을 증명하도록 요구하지 않고 온전히 유지합니다.

출처