# DNS 사용자 지정 영역 및 레코드 관리

Canonical: https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/dns/dns-custom-zones/

Language: ko-KR

Updated: 2026-11-15T04:12:27.180502Z

사용자 지정 영역은 제로 트러스트 DNS에서 특정 도메인의 이름 확인 레코드를 관리합니다. [네임서버 그룹](https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/dns/dns-nameservers/)은 업스트림 DNS를 지정하지만 사용자 지정 영역은 영역 내 구체적인 레코드를 관리합니다.

영역 도메인, 레코드 내용과 배포 범위를 각각 확인합니다. 영역 저장 성공이 모든 엔드포인트의 구성 수신이나 레코드가 가리키는 서비스 접근을 보장하지는 않습니다.

## 사전 준비

-   제로 트러스트 DNS 관리 권한이 있는 계정을 사용하고 관리할 도메인과 담당자를 확인합니다.
-   대상 엔드포인트가 제로 트러스트에 연결되어 DNS 관리 구성 적용이 허용되는지 확인하고 레코드를 받을 접근 그룹을 정합니다.
-   추가할 레코드가 기존 DNS 이름 및 업무 구성과 의도치 않게 충돌하지 않는지 확인하고 검증할 대상 주소 또는 별칭을 준비합니다.
-   변경 영향을 평가하고 통제된 엔드포인트 범위와 테스트 이름으로 먼저 검증합니다.

## 영역 생성

1.  콘솔에서 Zero Trust의 DNS를 엽니다. 이름 서버 그룹이나 사용자 지정 영역이 이미 있으면 「Custom Zones」 탭을 선택한 후 「Create」를 선택합니다. 두 목록이 모두 비어 있으면 안내 화면에서 「Create Custom Zone」을 선택합니다.
2.  「Domain」에 영역 도메인을 입력하고 필요하면 「Name」에 용도를 식별할 이름을 입력합니다. 도메인은 필수이며 생성 후 수정할 수 없으므로 변경하려면 새 영역을 계획합니다.
3.  「Distribution Settings」를 열고 「Distribution Groups」에서 영역을 받을 그룹을 선택합니다. **배포 그룹을 선택하지 않으면 조건에 맞는 모든 엔드포인트에 적용될 수 있습니다.** 시험이나 특정 부서만 대상으로 한다면 그룹을 명시적으로 선택합니다.
4.  필요하면 「Enable Search Domain」을 활성화합니다. 영역이 DNS 검색 도메인으로 배포되며 짧은 이름의 보완 여부는 운영체제와 애플리케이션에 달려 있습니다.
5.  저장 후 목록에서 이름, 도메인, 그룹 및 활성 상태를 확인하고 영역에서 DNS 레코드를 관리합니다.

적용 범위 선택이 필요한 네임서버 그룹과 달리 사용자 지정 영역은 배포 그룹을 선택하지 않을 수 있습니다. 둘을 같은 방식으로 가정하지 마십시오. 영역을 비활성화한 뒤 새 구성이 계속 적용된다고 기대하지 말고 기존 엔드포인트의 수신을 기다려 검증합니다.

**같은 이름의 기록과 충돌:** 같은 영역에서 하나의 이름에 값이 다른 `A` 또는 `AAAA` 기록을 여러 개 설정할 수 있고 `A`와 `AAAA`도 함께 사용할 수 있습니다. 하지만 `CNAME`은 다른 `CNAME`을 포함하여 같은 이름의 다른 기록과 공존할 수 없습니다. 이름, 유형, 값이 모두 같은 기록은 TTL이 달라도 중복 생성할 수 없습니다. 저장 실패 시 기존 기록과 유형을 먼저 확인하십시오. 교체 전 캐시와 업무 영향을 평가하고 복구 방안을 준비하십시오.

**와일드카드 기록:** 사용자 지정 영역의 기록 이름에 맨 앞 와일드카드를 사용할 수 있습니다. 예를 들어 `dev.example.com`에 `*.dev.example.com`의 `A` 기록을 만듭니다. 일부 엔드포인트 이름 확인 상황에서 조회 이름에 명시적 로컬 기록이 없으면 `git.dev.example.com`이 해당 기록과 일치할 수 있습니다. 영역 루트 `dev.example.com`과 더 깊은 `api.git.dev.example.com`은 이 와일드카드 기록과 일치하지 않습니다. 다른 DNS 설정이 응답할 수 있으므로 정확한 이름, 영역 루트 및 여러 단계의 이름을 각각 시험하십시오. 이 규칙이 모든 단계의 이름 확인이나 차단을 보장하지는 않습니다.

## DNS 레코드 추가

1.  사용자 지정 영역 목록에서 대상 영역을 열고 「DNS Records」에서 「Create Record」를 선택합니다.
2.  전체 도메인 이름을 입력합니다. 예를 들어 영역이 `dev.example.com`이면 `git.dev.example.com`을 입력할 수 있습니다.
3.  레코드 유형을 선택하고 해당 내용을 입력합니다. `A`에는 IPv4 주소, `AAAA`에는 IPv6 주소, `CNAME`에는 대상 도메인 이름을 입력합니다.
4.  DNS 관리 요구에 따라 양수 TTL을 입력하고 저장합니다. 새 레코드의 초기 TTL은 `300`입니다. 목록에서 이름, 유형, 내용과 TTL을 확인합니다.
5.  영역이 활성 상태이고 예상 레코드가 있는지 확인한 뒤 배포 범위 내 엔드포인트에서 전체 이름을 질의합니다. 레코드가 없는 영역은 배포 가능한 레코드 집합을 형성하지 않습니다.

예를 들어 `dev.example.com`에 `git.dev.example.com`의 `A` 레코드를 추가하고 테스트 주소 `10.20.0.10`을 사용할 수 있습니다. 예시 값은 기본값이 아니며 실제 대상은 조직에서 확인합니다.

**TTL이 0이거나 비어 있는 경우:** 화면에 `0`을 입력할 수 있으며 입력란을 지우면 `0`으로 처리됩니다. 새 레코드는 `0`을 `300`초로 저장하고, 기존 레코드를 편집할 때 `0`을 입력하면 0으로 변경하지 않고 기존 TTL을 유지합니다. TTL이 양수가 아닌 기존 기록은 장치에 배포할 때 `60`초로 대체됩니다. 캐시 비활성화 의미로 `0`을 사용하지 마세요. 원하는 양수를 입력해 저장하고 목록을 다시 열거나 새로 고쳐 저장값을 확인한 뒤 시험 장치에서 검증합니다.

## 사용자 지정 레코드와 다른 DNS

사용자 지정 영역은 전체 이름 공간의 격리 경계가 아닙니다. 단말이 배포된 사용자 지정 영역을 처리할 때 영역에 없는 이름은 다른 적절한 확인 소스로 계속 전달될 수 있습니다. 설정하지 않은 이름이 반드시 차단되거나 쿼리가 조직이 허용한 범위 밖으로 나가지 않는다고 가정하지 마십시오.

동일한 이름의 레코드 유형을 각각 확인합니다. 예를 들어 영역에 `git.dev.example.com`의 `A` 레코드만 있으면 해당 이름의 `AAAA` 조회가 주소 없는 응답을 받을 수 있으며, 상위 서버에서 IPv6 주소를 반드시 추가 조회한다고 가정할 수 없습니다. 다른 DNS 규칙과 단말의 이름 확인 방식도 최종 결과에 영향을 줄 수 있습니다. 이름과 주소는 예시입니다.

배포 전에 조직이 허용한 시험 이름과 시험 단말로 설정된 이름의 `A`와 `AAAA`, 영역 내 미설정 이름, 영역 외 이름을 각각 확인합니다. 최종 응답과 실제 사용된 DNS 소스가 보안 요구사항에 맞는지 확인하십시오. 승인되지 않은 민감한 이름으로 외부 조회를 시험하지 마십시오. 업무 연결과 접근 정책도 별도로 검증합니다.

사용자 지정 `CNAME`이 동일한 배포 영역의 이름을 가리키고 대상 레코드가 업스트림 DNS에만 있다면, 엔드포인트가 항상 사용자 지정 별칭을 따라 업스트림 대상을 조회한다고 가정하지 마십시오. 이 경우 원래 별칭 조회가 다른 확인 원본으로 전달될 수 있으며, 그 원본에 별칭이 없으면 확인이 실패할 수 있습니다. 필요한 대상 레코드를 사용자 지정 영역에 구성하고 별칭과 대상 이름을 각각 검증하십시오.

하나의 이름에 여러 `A` 또는 `AAAA` 주소가 반환되면 클라이언트는 알려진 제로 트러스트 노드의 연결 상태에 따라 일부 주소를 필터링할 수 있습니다. 알 수 없는 주소는 이 이유로 필터링되지 않으며 주소가 하나이거나 모든 후보를 사용할 수 없을 때에도 필터링이 보장되지 않습니다. DNS 주소 반환은 서비스 상태나 접근 성공을 보장하지 않습니다. 노드 연결, 서비스 상태 및 실제 접근을 각각 확인하십시오.

## 영역과 레코드 편집, 비활성화 또는 삭제

변경 전에 기존 영역 설정, 배포 범위와 레코드 내용을 기록하고 업무 영향을 확인하며 복구 방안을 준비합니다.

1.  **Zero Trust > DNS > Custom Zones**를 엽니다. 대상 영역 행에서 **Edit**을 선택하고 이름, 배포 그룹 또는 검색 도메인 설정을 변경한 뒤 **Save**를 선택합니다. 영역 도메인은 생성 후 편집할 수 없습니다.
2.  영역 행의 상태 스위치로 영역을 비활성화하거나 다시 활성화하고 최종 상태를 확인합니다. 변경 처리 중이거나 쓰기 권한이 없으면 스위치를 사용할 수 없을 수 있습니다.
3.  레코드를 변경하려면 대상 영역 행을 선택해 목록을 열고 해당 레코드에서 **Edit**을 선택한 뒤 변경 후 **Save**를 선택합니다. 삭제하려면 **Delete**를 선택하고 대상을 확인한 뒤 확인 창에서 **Delete**를 선택합니다.
4.  영역 전체를 삭제하려면 영역 목록으로 돌아가 대상 행에서 **Delete**를 선택하고 대상을 확인한 뒤 확인 창에서 **Delete**를 선택합니다. 삭제 권한은 편집 권한과 다를 수 있습니다. 작업 후 목록과 영향받는 장치의 이름 확인 및 캐시 갱신을 검증합니다.

## 변경 및 문제 해결

1.  레코드를 변경하거나 삭제하기 전에 이름에 의존하는 업무, 대상 엔드포인트와 캐시 영향을 확인합니다. 저장 후 다시 질의하고 필요하면 구성 수신과 DNS 캐시 갱신을 기다립니다.
2.  결과가 예상과 다르면 영역이 활성화되고 레코드가 하나 이상 있으며 장치에 제로 트러스트 DNS 관리가 적용되는지 확인합니다. 배포 그룹을 선택했다면 장치가 선택한 그룹 중 하나 이상에 속하는지 확인합니다. 선택한 배포 그룹이 없으면 특정 배포 그룹 소속을 요구하지 않고 조건에 맞는 모든 장치에 영역이 적용될 수 있습니다.
3.  레코드 이름이 완전한지, 유형과 내용이 일치하는지 확인합니다. `CNAME`의 대상 이름도 현재 환경에서 확인할 수 있어야 합니다.
4.  이름 확인은 정상이지만 서비스를 사용할 수 없으면 경로, 접근 정책, 대상 서비스와 네트워크 연결을 확인합니다. DNS 레코드는 이름 확인용이며 접근 권한을 자동으로 부여하지 않습니다.
5.  영역 비활성화나 삭제는 해당 레코드에 의존하는 엔드포인트에 영향을 줍니다. 변경 전에 구성을 기록하고 복원 방안을 확인한 뒤 범위 안팎의 테스트 엔드포인트에서 각각 검증합니다.