# DNS 네임서버 그룹 구성

Canonical: https://www.nsecsoft.com/ko/docs/ping64-zero-trust/zero-trust/dns/dns-nameservers/

Language: ko-KR

Updated: 2026-11-15T04:12:26.532686Z

Ping64에서 네임서버 그룹은 지정된 제로 트러스트 엔드포인트에 DNS 이름 확인 구성을 제공합니다. 더 구체적인 규칙이 처리하지 않는 도메인에 공통 DNS를 사용하거나 특정 기업 도메인만 지정 DNS 서버에서 처리하도록 설정할 수 있습니다.

**적용 범위**는 구성을 받는 엔드포인트를 결정하고 **이름 확인 규칙**은 해당 엔드포인트의 어떤 도메인 질의에 구성을 사용할지 결정합니다. 저장 후에도 엔드포인트가 연결하여 구성을 수신·적용해야 하며 DNS 서버에 접근할 수 있어야 합니다.

## 사전 조건

-   제로 트러스트 DNS 구성 권한이 있는 관리자 계정을 사용하고 대상 엔드포인트가 제로 트러스트 네트워크에 연결됐는지 확인합니다.
-   엔드포인트가 접근할 수 있는 DNS 서버 IP와 포트, 적용할 접근 그룹을 준비합니다. 현재 네임서버 그룹은 UDP를 사용합니다. 일반 DNS 포트는 `53`이지만 실제 서버 설정을 따릅니다.
-   대상 엔드포인트와 도메인 범위를 정합니다. 모든 도메인을 설정하기 전에 DNS가 필요한 이름을 확인할 수 있는지 확인하고 기존 업무와 인터넷 이름 확인에 미치는 영향을 평가합니다.
-   DNS 관리가 비활성화된 범위의 엔드포인트에는 이 구성이 적용된다고 기대하지 마십시오. 결과는 운영체제, 엔드포인트 네트워크 및 애플리케이션의 이름 확인 방식에도 영향을 받습니다.

## 네임서버 그룹 생성

1.  콘솔에서 Zero Trust의 DNS를 엽니다. 이름 서버 그룹이나 사용자 지정 영역이 이미 있으면 「Nameserver Groups」 탭을 선택한 후 「Create」를 선택합니다. 두 목록이 모두 비어 있으면 안내 화면에서 「Create Nameserver Group」을 선택합니다.
2.  「Basic Information」에 용도를 구분할 이름과 필요한 설명을 입력합니다. 예를 들어 「개발 내부 DNS」를 사용할 수 있습니다.
3.  「Effective Scope」에서 접근 그룹을 하나 이상 선택하고 대상 엔드포인트가 포함되는지 확인합니다.
4.  「DNS Servers」에 서버 IP와 포트를 입력합니다. 서버를 추가할 수 있으며 같은 그룹의 서버는 동일한 이름 확인 요구를 충족해야 합니다. 각 그룹에는 유효한 서버 주소가 1개 이상 3개 이하여야 합니다. 화면에서 행을 더 추가할 수 있지만 유효한 주소를 3개 넘게 제출하면 저장이 실패합니다.
5.  「Resolution Rules」에서 「All Domains」 또는 「Specified Domains」를 선택합니다. 「Specified Domains」를 선택하면 「Matched Domains」에 도메인을 하나 이상 추가해야 합니다. 짧은 이름으로 접근해야 하는 경우 아래 검색 도메인 옵션을 검토합니다.
6.  저장 후 목록에서 그룹, 일치 도메인, 적용 그룹 및 활성 상태를 확인하고 대상 엔드포인트에서 결과를 검증합니다.

저장 실패 시 안내에 따라 이름, 주소, 포트, 프로토콜, 적용 범위와 일치 도메인을 확인합니다. 포트는 `1`부터 `65535`까지입니다. 활성화된 구성만 일치하는 그룹의 엔드포인트에 배포됩니다. 엔드포인트가 연결되지 않았거나 구성을 적용하지 않았다면 콘솔 저장만으로 전환을 판단할 수 없습니다.

그룹의 DNS 서버 주소 중 하나가 단말 자체의 제로 트러스트 주소와 같으면 해당 단말이 적용 그룹에 속해 있어도 다른 서버를 포함한 그룹 전체를 받지 못할 수 있습니다. 그룹 소속만으로 서버 단말에 설정이 적용되었다고 판단하지 마십시오. 해당 단말의 이름 해석을 별도로 계획하고 검증하며 다른 시험 단말에서 서버 연결도 확인합니다.

## 이름 확인 모드 선택

### 전체 도메인

그룹을 대상 엔드포인트의 기본 업스트림으로 사용하여 더 구체적인 규칙이 처리하지 않는 질의를 처리합니다. 이 모드에서는 일치 도메인과 해당 그룹의 검색 도메인을 설정하지 않습니다.

예를 들어 기업 DNS 그룹을 전체 도메인으로 사무실 엔드포인트에 배포하면 더 구체적인 규칙에 일치하지 않는 질의가 보통 이 그룹으로 전달됩니다. 적용 전에 내부와 외부 업무 이름을 확인할 수 있는지 검증합니다. 내부 도메인만 확인하는 DNS를 전체 도메인에 사용하면 다른 이름 확인에 영향을 줄 수 있습니다.

### 지정 도메인과 일치 도메인

일치 도메인을 하나 이상 추가합니다. 일치 도메인 자체와 하위 도메인은 이 그룹을 사용할 수 있지만 범위 밖 질의가 이 규칙 때문에 모두 해당 그룹으로 전달되는 것은 아닙니다.

예를 들어 DNS 서버 `10.20.0.53`, 포트 `53`, 일치 도메인 `dev.example.com`, 적용 범위를 개발 엔드포인트의 접근 그룹으로 설정합니다. 구성을 받은 엔드포인트의 `dev.example.com` 또는 `git.dev.example.com` 질의는 이 그룹에서 확인할 수 있고 `www.example.net`은 범위 밖입니다. 값은 예시이며 성공 여부는 DNS 레코드와 네트워크 접근성에도 달려 있습니다.

일치 도메인에는 `*.` 같은 와일드카드 없이 일반 도메인을 입력합니다. 예를 들어 `dev.example.com`은 해당 도메인과 하위 도메인에 일치하지만 `*.dev.example.com`은 저장 검증을 통과하지 못합니다. 이는 사용자 지정 영역의 와일드카드 레코드와 다른 설정입니다.

## 검색 도메인 활성화

「Enable Search Domains」는 일치 도메인을 엔드포인트의 DNS 검색 도메인으로 배포하며 적용 엔드포인트 범위를 늘리지 않습니다. 지정 도메인 모드에서만 사용합니다.

예를 들어 `dev.example.com`을 지정하면 운영체제가 짧은 이름 `git`을 질의할 때 `git.dev.example.com`을 시도할 수 있습니다. 보완 여부, 시도 순서와 결과는 운영체제와 애플리케이션에 따라 다릅니다. 중요한 업무는 모호함을 줄이기 위해 전체 도메인 이름으로도 검증합니다.

## 미구성 및 대체 동작

전체 도메인 그룹을 설정하지 않으면 일반 도메인은 보통 엔드포인트의 기존 DNS를 통해 계속 확인할 수 있습니다. 그렇다고 제로 트러스트가 DNS에 전혀 관여하지 않는 것은 아닙니다. 노드 이름이나 다른 설정 규칙이 여전히 적용될 수 있습니다. 기존 DNS의 가용성과 시스템 확인 경로는 환경에 따라 달라 모든 질의의 성공을 보장하지 않습니다.

제로 트러스트 엔드포인트는 기존 DNS를 대체 확인 소스로 사용할 수 있습니다. 지정 DNS에 도달하지 못할 때 항상 중단 없이 전환된다고 해석하거나 기업 도메인이 다른 확인 서버에 절대 전달되지 않는다고 가정하지 마십시오. 기업 DNS 보안 요구에 따라 실제 동작을 검증합니다.

**적용되는 상위 서버가 모두 실패한 경우:** 일부 단말의 제로 트러스트 DNS 이름 확인 과정에서 질의가 적용되는 네임서버 그룹에 전달되었으나 어느 그룹에서도 유효한 응답을 받지 못하면 해당 질의는 이름 확인 실패를 반환합니다. 그 실패만으로 단말의 기존 DNS에 계속 질의하지는 않습니다. 이 경우 기존 DNS가 반드시 장애 대체 수단이 된다고 가정하지 말고 적용 그룹, 서버, 네트워크와 DNS 레코드를 확인하십시오. 운영 체제나 애플리케이션의 확인 방식 및 이후 재시도는 다를 수 있으며 도메인이 다른 DNS로 전송되지 않는다는 보장은 아닙니다.

## DNS 전송 및 여러 서버 검증

이름 서버 그룹의 설정 유형은 UDP이지만 조회가 항상 UDP만 사용하는 것은 아닙니다. 일부 단말의 제로 트러스트 DNS 이름 확인 과정에서는 UDP 응답이 잘리면 같은 DNS 서버와 포트에 TCP로 재시도합니다. TCP로 들어온 조회도 상위 서버에 TCP를 사용할 수 있습니다. 배포 전에 대상 단말에서 설정된 주소와 포트로의 UDP 및 TCP 연결이 조직의 네트워크와 접근 제어 요구사항에 맞는지 확인하고 간단한 조회와 큰 응답을 각각 검증하십시오. UDP 연결만 확인해서는 모든 조회의 완료를 보장할 수 없습니다.

한 서버 그룹에 여러 서버를 설정할 때 적용 도메인에 대해 일관되고 예상한 결과를 제공하는지 확인합니다. 시간 초과나 일부 서버 오류가 발생하면 클라이언트가 그룹 내 다른 서버를 시도할 수 있습니다. 반면 도메인이 존재하지 않는다는 응답은 유효한 DNS 응답이므로 일반적으로 같은 그룹의 다음 서버를 시도하지 않습니다. 일부 보안 정책 관련 오류도 재시도를 중단할 수 있습니다. 동일한 도메인에 적용되는 여러 그룹이 동시에 조회에 참여할 수 있으므로 특정 그룹이 항상 먼저 응답한다고 가정하지 마십시오. 결과가 다르면 각 서버의 레코드와 권한, UDP/TCP 연결 및 단말 설정을 확인하고 실제 애플리케이션을 검증하십시오.

일부 단말의 제로 트러스트 DNS 이름 확인 과정에서는 같은 그룹의 서버를 전달된 순서대로 시도합니다. 앞 서버에서 유효한 응답을 받으면 비교를 위해 다음 서버를 조회하지 않습니다. 재시도에는 전체 시간 제한이 있어 모든 서버가 시도된다고 보장할 수 없습니다. 순서를 바꾼 후 저장하고 다시 확인한 다음 실제 단말에서 시험합니다. 서로 다른 그룹의 동시 조회도 최종 결과에 영향을 줄 수 있습니다.

## 그룹 편집, 비활성화 및 삭제

변경 전에 기존 서버, 이름 확인 모드, 일치 도메인과 적용 범위를 기록하고 해당 그룹에 의존하는 엔드포인트와 업무를 확인한 뒤 복구 방안을 준비합니다. 비활성화나 삭제는 내부 또는 외부 이름 확인에 영향을 줄 수 있습니다. 다른 정상 DNS로 자동 전환된다고 가정하지 마십시오.

**이름 확인 모드 전환:** 지정 도메인에서 전체 도메인으로 바꾸면 화면이 양식의 일치 도메인을 즉시 지우고 검색 도메인을 끕니다. 다시 지정 도메인으로 바꿔도 자동 복원되지 않습니다. 기존 그룹을 편집 중이고 아직 저장하지 않았다면 취소 후 다시 열어 저장된 원래 구성을 확인할 수 있습니다. 저장한 후에는 변경 기록을 바탕으로 값을 수동 복원하고 검증합니다. 새 그룹의 미저장 내용도 다시 입력해야 합니다.

1.  **Zero Trust > DNS > Nameserver Groups**에서 대상 그룹을 찾습니다. 해당 행의 **Edit**을 선택하고 설정을 변경해 저장한 다음 서버, 일치 도메인, 적용 범위 및 상태를 다시 확인합니다.
    
2.  일시적으로 비활성화하거나 다시 활성화하려면 해당 행의 상태 스위치를 사용합니다. 처리 결과와 상태를 다시 확인하십시오. 쓰기 권한이 없거나 처리 중이면 스위치를 사용할 수 없을 수 있습니다.
    
3.  더 이상 필요하지 않으면 해당 행에서 **Delete**를 선택하고 이름을 확인한 뒤 확인 창에서 **Delete**를 선택합니다. 먼저 영향과 복구 방안을 확인하십시오. 삭제와 편집에 필요한 권한은 다를 수 있습니다.
    
4.  영향을 받는 엔드포인트가 변경 사항을 수신할 때까지 기다린 후 시험 엔드포인트에서 관련 전체 도메인 이름과 일반 도메인을 각각 테스트합니다. 검색 도메인을 사용하면 짧은 이름도 테스트하십시오. 저장이나 상태 변경만으로 모든 엔드포인트에 적용되었다고 볼 수 없으며, 결과는 다른 설정과 엔드포인트 환경에도 좌우됩니다.
    

## 검증 및 일반적인 문제

1.  그룹이 활성화되고 엔드포인트가 적용 범위에 속하며 연결하여 현재 구성을 적용했는지 확인합니다.
2.  대상 엔드포인트에서 일치 도메인 내 전체 이름과 범위 밖 이름을 각각 질의하고 결과를 비교합니다. 조직이 소유하거나 테스트 허가를 받은 도메인을 사용합니다.
3.  검색 도메인을 사용하면 짧은 이름과 전체 이름을 따로 시험합니다. 전체 이름만 정상이면 검색 도메인 설정과 애플리케이션의 운영체제 설정 사용 여부를 확인합니다.
4.  확인 실패 시 서버 IP, 포트, UDP 및 TCP 연결, DNS 레코드 및 엔드포인트의 DNS 관리 제외 여부를 확인합니다.
5.  일반 도메인에 영향이 있으면 전체 도메인 모드와 DNS의 확인 능력을 검사합니다. 변경 전 기존 구성을 기록하고 영향을 평가하며 필요하면 관리자나 기술 지원에 문의합니다.