IETF가 2022년 5월 RFC 9250 "DNS over Dedicated QUIC Connections"를 발행했습니다. 이 문서는 QUIC 전송 계층 위에서 DNS 메시지를 주고받는 방식인 DNS over QUIC(DoQ)을 정의합니다. 원문은 DoQ가 DNS over TLS(DoT)와 비슷한 프라이버시 보호를 제공하면서 지연 특성은 기존 UDP 기반 DNS와 비슷하다고 설명합니다. 범위는 스텁 리졸버에서 재귀 리졸버, 재귀 리졸버에서 권한 네임서버, 네임서버 사이의 영역 전송(XFR)까지입니다.
무엇이 발표되었나
RFC 9250은 C. Huitema, S. Dickinson, A. Mankin이 쓴 표준화 과정 문서(Proposed Standard)입니다. QUIC(RFC 9000, RFC 9001)을 DNS용 범용 전송 계층으로 쓰는 방법을 규정합니다.
원문이 밝힌 DoQ 매핑의 목표는 다음과 같습니다.
- DoT(RFC 7858)와 같은 수준의 DNS 프라이버시 보호를 제공합니다. 클라이언트가 인증 도메인 이름(authentication domain name)으로 서버를 인증하는 선택지도 포함합니다(RFC 8310).
- 기존 UDP 기반 DNS보다 나은 출발지 주소 검증(source address validation)을 제공합니다.
- 경로 MTU(path MTU) 때문에 DNS 응답 크기가 제한되지 않는 전송 방식을 제공합니다.
원문은 QUIC의 장점도 설명합니다. QUIC의 암호화는 TLS와 비슷한 성질을 갖습니다. 또 QUIC은 TCP에 내재한 HOL 블로킹(head-of-line blocking) 문제가 없고, UDP보다 패킷 손실을 효율적으로 복구합니다.
이 문서가 다루지 않는 것도 명시되어 있습니다.
- 미들박스가 DoQ 트래픽을 차단하는 것을 우회하려 하지 않습니다.
- DNS 상태 유지 운영(DSO, RFC 8490)에서만 쓰이는 서버 시작 트랜잭션(server-initiated transactions)은 지원하지 않습니다.
HTTP/3를 쓰는 DNS over HTTPS(DoH, RFC 8484)로도 QUIC의 이점을 일부 얻을 수 있습니다. 하지만 원문은 재귀-권한 구간과 영역 전송에는 중간자가 거의 없다고 봅니다. 이런 구간에서는 HTTP 프록시나 캐싱의 이점이 HTTP의 추가 부담을 상쇄하지 못합니다. 그래서 가벼운 직접 매핑인 DoQ가 더 자연스럽다는 것이 원문의 설명입니다.
영향 범위
이 문서는 새 전송 방식을 정의하는 표준이며, 기존 UDP·TCP 기반 DNS를 바꾸지 않습니다. DoQ를 도입할지는 운영 환경에 따라 정할 일입니다. 적용 대상은 다음과 같습니다.
- 스텁 리졸버와 재귀 리졸버 사이의 질의 암호화
- 재귀 리졸버와 권한 네임서버 사이의 질의 암호화
- 네임서버 간 영역 전송(AXFR/IXFR, RFC 1995·RFC 5936)
운영자가 할 일
당장 필수로 조치할 사항은 없습니다. 다만 DNS 암호화 도입을 검토하고 있다면 다음을 참고하세요.
- DoT, DoH, DoQ 가운데 어느 방식이 운영 구간에 맞는지 비교합니다. 원문은 재귀-권한 구간과 영역 전송에는 DoQ가 더 적합하다고 봅니다.
- 사용 중인 DNS 소프트웨어와 클라이언트가 DoQ를 지원하는지, 어떤 설정을 요구하는지 각 제품 문서에서 확인합니다.
- 원문은 미들박스의 차단을 우회하려 하지 않는다고 밝힙니다. 도입하기 전에 방화벽 등 네트워크 장비가 DoQ 트래픽을 통과시키는지 점검합니다.
- 구현·사용·배포 지침은 RFC 9250 5절에, 실제 매핑 규정은 4절에 있으니 함께 검토합니다.
원문을 한국어로 번역·요약한 글입니다. 정확한 내용은 원문을 확인해 주세요. AI의 도움을 받아 작성하고 담당자가 검토했습니다.