DNS 프록시 개요

DNS 프록시 캐시

DNS 쿼리가 DNS 프록시에 의해 확인되면 결과는 디바이스의 DNS 캐시에 저장됩니다. 이렇게 저장된 캐시는 디바이스가 동일한 도메인의 후속 쿼리를 해결하고 네트워크 지연 지연을 방지하는 데 도움이 됩니다.

프록시 캐시를 사용할 수 없는 경우 디바이스는 구성된 DNS 서버로 쿼리를 전송하므로 네트워크 지연이 발생합니다.

DNS 프록시는 해결된 각 DNS 쿼리에 대한 캐시 항목을 유지 관리합니다. 이러한 항목에는 TTL(Time-to-Live) 타이머가 있으므로 디바이스는 TTL에 도달하고 만료될 때 캐시에서 각 항목을 제거합니다. 명령을 사용하여 캐시를 지울 수 있습니다. clear system services dns-proxy cache 또는 캐시가 0이 되면 TTL과 함께 자동으로 만료됩니다.

분할 DNS를 사용한 DNS 프록시

분할 DNS 프록시 기능을 사용하면 인터페이스와 도메인 이름 모두를 기반으로 DNS 쿼리를 분할하도록 프록시 서버를 구성할 수 있습니다. 또한 이름 서버 집합을 구성한 다음 지정된 도메인 이름과 연결할 수도 있습니다. 해당 도메인 이름을 쿼리하면 디바이스는 DNS 쿼리의 현지화를 보장하기 위해 해당 도메인 이름에 대해 구성된 이름 서버에만 DNS 쿼리를 보냅니다.

지정된 도메인 이름을 확인하는 데 사용되는 전송 방법을 구성할 수 있습니다(예: 디바이스가 IPsec VPN 또는 기타 보안 터널을 통해 회사 네트워크에 연결되는 경우). 기업 네트워크에 속한 도메인 이름을 전송하도록 보안 VPN 터널을 구성할 때 DNS 확인 쿼리는 ISP DNS 서버로 유출되지 않고 기업 네트워크 내에 포함됩니다.

또한 기본 도메인 아래에 기본 도메인(*) 및 이름 서버 집합을 구성하여 이름 서버가 구성되지 않은 도메인에 대한 DNS 쿼리를 확인할 수 있습니다.

각 DNS 프록시는 인터페이스와 연결되어 있어야 합니다. 인터페이스에 DNS 프록시 구성이 없는 경우, 해당 인터페이스에서 수신된 모든 DNS 쿼리가 삭제됩니다.

그림 1 은 기업 네트워크에서 분할 DNS 프록시가 작동하는 방식을 보여줍니다.

그림 1에 표시된 기업 네트워크에서 DNS 서버로 SRX 시리즈 방화벽을 가리키는 PC 클라이언트는 www.your-isp.com 와 www.intranet.com 의 두 가지 쿼리를 수행합니다. DNS 프록시는 www.intranet.com 리디렉션하고 쿼리를 www.intranet.com DNS 서버(203.0.113.253)로 리디렉션하고 www.your-isp.com 쿼리는 ISP DNS 서버(209.100.3.130)로 리디렉션합니다. www.your-isp.com 에 대한 쿼리는 일반 텍스트 프로토콜(TCP/UDP)을 사용하는 일반 DNS 쿼리로 ISP DNS 서버로 전송되지만 www.intranet.com 도메인에 대한 쿼리는 보안 VPN 터널을 통해 인트라넷의 DNS 서버로 이동합니다.

분할 DNS 프록시에는 다음과 같은 이점이 있습니다.

• 일반적으로 도메인 조회가 더 효율적입니다. 예를 들어 회사 도메인(예: acme.com)에 대한 DNS 쿼리는 회사 DNS 서버로만 이동할 수 있지만 다른 모든 쿼리는 ISP DNS 서버로 이동합니다. DNS 조회를 분할하면 회사 서버의 부하가 줄어들고 회사 도메인 정보가 인터넷으로 유출되는 것을 방지할 수도 있습니다.

• DNS 프록시를 사용하면 터널 인터페이스를 통해 선택한 DNS 쿼리를 전송할 수 있으므로 악의적인 사용자가 네트워크의 내부 구성을 알 수 없습니다. 예를 들어, 회사 서버에 바인딩된 DNS 쿼리는 터널 인터페이스를 통과하여 인증 및 암호화와 같은 보안 기능을 사용할 수 있습니다.

동적 도메인 이름 시스템 클라이언트

동적 DNS(DDNS)를 사용하면 등록된 도메인 이름의 IP 주소를 동적으로 업데이트할 수 있습니다. 이 기능은 ISP가 PPP(포인트 투 포인트 프로토콜), DHCP(동적 호스트 구성 프로토콜) 또는 외부 인증(XAuth)을 사용하여 웹 서버를 보호하는 CPE(고객 구내 장비) 라우터(예: 보안 디바이스)의 IP 주소를 동적으로 변경할 때 유용합니다. 인터넷 클라이언트는 보안 디바이스의 IP 주소가 이전에 동적으로 변경된 경우에도 도메인 이름을 사용하여 웹 서버에 연결할 수 있습니다.

DDNS 서버는 동적으로 변경된 주소 및 관련 도메인 이름 목록을 유지 관리합니다. 디바이스는 이 정보를 사용하여 주기적으로 또는 IP 주소 변경에 응답하여 이러한 DDNS 서버를 업데이트합니다. Junos OS DDNS 클라이언트는 dyndns.org 및 ddo.jp 와 같은 인기 있는 DDNS 서버를 지원합니다

그림 2 는 DDNS 클라이언트의 작동 방식을 보여줍니다.

내부 웹 서버의 IP 주소는 NAT(네트워크 주소 변환)에 의해 디바이스에 있는 신뢰할 수 없는 영역 인터페이스의 IP 주소로 변환됩니다. 호스트 이름 abc-host.com 은 DDNS 서버에 등록되며 디바이스의 신뢰할 수 없는 영역 인터페이스의 IP 주소와 연결되며, 디바이스의 DDNS 클라이언트가 모니터링합니다. abc-host.com 의 IP 주소가 변경되면 DDNS 서버에 새 주소가 통보됩니다.

그림 2에 표시된 네트워크의 클라이언트가 abc-host.com 에 액세스해야 하는 경우 클라이언트는 인터넷의 DNS 서버를 쿼리합니다. 쿼리가 DDNS 서버에 도달하면 요청을 해결하고 클라이언트에 abc-host.com 의 최신 IP 주소를 제공합니다.