호스팅 영역 및 DNS 레코드 유형

Amazon Route 53은 AWS의 고가용성 및 확장성을 갖춘 도메인 이름 시스템(DNS) 서비스입니다. 사람이 읽을 수 있는 도메인 이름(예: api.example.com)을 컴퓨터가 연결에 사용하는 IP 주소로 변환합니다. Route 53은 도메인 등록, 상태 확인 및 정교한 트래픽 라우팅 정책도 제공합니다.

Route 53은 100% 가용성(SLA에서 100% 가동 시간을 보장)을 목표로 설계되었으며 전 세계 AWS 엣지 로케이션에 분산되어 있어 전 세계적으로 10ms 미만의 쿼리 응답 시간을 제공합니다.

퍼블릭 호스팅 영역은 도메인에 대한 인터넷 트래픽 라우팅 방식을 정의하는 DNS 레코드의 컨테이너입니다. 도메인을 등록하거나 Route 53으로 이전하면 퍼블릭 호스팅 영역이 자동으로 생성됩니다. 다른 곳에서 등록한 도메인에 대한 호스팅 영역을 생성하고 도메인의 이름 서버가 Route 53을 가리키도록 설정할 수도 있습니다.

각 호스팅 영역에는 소액의 월별 요금과 쿼리별 요금이 부과됩니다. 호스팅 영역을 생성하면 Route 53은 네 개의 이름 서버(NS) 레코드를 할당합니다. DNS 확인을 Route 53에 위임하려면 도메인 등록 기관에서 이 레코드를 구성해야 합니다.

프라이빗 호스팅 영역은 하나 이상의 VPC와 연결되며 해당 VPC 내부에서만 확인할 수 있습니다. 이를 통해 내부 서비스 검색이 가능합니다. 예를 들어 EC2 인스턴스가 이름을 퍼블릭 인터넷에 노출하지 않고 database.internal.example.com을 프라이빗 IP로 확인할 수 있습니다.

프라이빗 호스팅 영역은 내부에서 통신하는 마이크로서비스, 내부 로드 밸런서 및 외부에 공개해서는 안 되는 데이터베이스 엔드포인트에 적합합니다. associate-vpc-with-hosted-zone API를 사용하면 단일 프라이빗 호스팅 영역에 여러 VPC를 연결할 수 있으며, 계정 간 연결도 가능합니다.

A 레코드는 호스트 이름을 IPv4 주소에 매핑합니다(예: www.example.com → 54.123.45.67). 가장 기본적인 DNS 레코드 유형으로, 정적 IPv4 주소를 가진 모든 리소스에 사용됩니다. AAAA 레코드는 동일한 방식으로 IPv6 주소에 매핑합니다.

ALB나 CloudFront 배포처럼 동적 IP를 사용하는 AWS 리소스에는 Route 53의 ALIAS 레코드를 사용할 수 있습니다. ALIAS 레코드는 A 레코드처럼 작동하지만 정적 IP가 아닌 AWS 리소스의 DNS 이름을 가리킵니다. CloudFront 또는 ALB를 가리키는 표준 레코드는 중간 확인에 요금이 부과될 수 있지만, ALIAS 레코드는 쿼리 요금이 무료입니다.

CNAME(정식 이름) 레코드는 호스트 이름을 IP에 직접 매핑하지 않고 다른 호스트 이름에 매핑합니다. 예를 들어 www.example.com → d123abc.cloudfront.net과 같습니다. CNAME은 영역 정점(루트 도메인, 예: example.com 자체)에 생성할 수 없습니다. 이는 DNS 표준에 따른 제한입니다.

ALIAS 레코드는 A/AAAA 레코드처럼 작동하지만 이름으로 AWS 리소스를 가리키는 Route 53 확장 기능입니다. ALIAS 레코드는 영역 정점에 생성할 수 있으므로, example.com(www 제외)을 ALB, CloudFront 또는 S3 웹 사이트 엔드포인트로 라우팅할 때 올바른 선택입니다.

A 및 CNAME 외에도 Route 53은 다양한 DNS 레코드 유형을 지원합니다.

• MX: 메일 교환—우선순위 값과 함께 도메인의 이메일 수신을 담당하는 메일 서버를 지정합니다.
• TXT: 텍스트—임의의 텍스트를 저장합니다. 도메인 소유권 확인(SES, Google Workspace, SSL 인증서 검증)과 SPF 이메일 인증에 주로 사용됩니다.
• NS: 이름 서버—호스팅 영역의 권한 있는 이름 서버를 식별합니다. Route 53이 자동으로 생성하며 수정해서는 안 됩니다.
• SOA: 권한 시작—영역에 대한 메타데이터입니다. 자동으로 생성됩니다.

SRV 레코드는 서비스의 호스트와 포트를 지정하여 SIP 및 XMPP와 같은 프로토콜에서 서비스 검색을 가능하게 합니다. 형식은 우선순위, 가중치, 포트, 대상입니다. Kubernetes etcd 및 기타 서비스 메시에서는 피어 검색에 SRV 레코드를 사용합니다.

CAA(인증 기관 권한 부여) 레코드는 어떤 인증 기관(CA)이 해당 도메인의 SSL/TLS 인증서를 발급할 수 있는지 지정합니다. 발급 권한을 amazon.com으로 제한하는 CAA 레코드를 추가하면 다른 CA가 해당 도메인의 인증서를 발급할 수 없으므로 인증서 잘못 발급 위험이 줄어듭니다.

TTL(수명)은 DNS 확인자가 Route 53에 다시 쿼리하기 전에 레코드를 캐시하는 시간을 초 단위로 나타내는 값입니다. TTL이 짧으면(예: 60초) DNS 변경 사항이 빠르게 전파되지만 Route 53이 더 많은 쿼리를 받습니다. TTL이 길면(예: 86400 = 1일) Route 53 쿼리 비용은 줄어들지만 레코드 업데이트 전파가 느려집니다.

권장 방법은 다음과 같습니다. 기본 도메인 A 레코드처럼 안정적인 레코드에는 긴 TTL을 사용합니다. 계획된 마이그레이션이나 트래픽 전환 전에 TTL을 일시적으로 60초로 낮춰 변경 사항이 빠르게 전파되도록 합니다. 마이그레이션 후에는 긴 TTL로 되돌립니다.

Route 53 Resolver는 모든 VPC에 기본 제공되며 프라이빗 호스팅 영역의 레코드와 AWS 서비스 엔드포인트에 대한 DNS 확인을 처리합니다. 온프레미스 시스템에서 AWS 프라이빗 영역 이름을 확인해야 하거나 그 반대인 하이브리드 아키텍처에서는 Resolver 인바운드 엔드포인트(온프레미스에서 AWS로)와 Resolver 아웃바운드 엔드포인트(AWS에서 온프레미스 DNS로)를 사용합니다.

Resolver 전달 규칙을 사용하면 어떤 도메인 접미사를 회사 DNS 서버로 전달할지 구성할 수 있으므로 영역을 중복 관리하지 않고 원활한 하이브리드 DNS 확인을 구현할 수 있습니다.

Route 53은 도메인 등록 기관 역할도 하므로 새 도메인을 등록하거나 기존 도메인을 이전할 수 있습니다. 등록할 때 연락처 정보를 제공하고 개인정보 보호 기능을 선택적으로 활성화할 수 있습니다. 이 기능은 개인 WHOIS Data를 숨깁니다. Route 53은 수백 개의 최상위 도메인(TLD)을 지원합니다.

Route 53을 통해 도메인을 등록하면 NS 및 SOA 레코드가 미리 구성된 퍼블릭 호스팅 영역이 자동으로 생성됩니다. 등록 기관의 NS 레코드는 이미 Route 53의 이름 서버를 가리키므로 수동 위임 단계가 필요하지 않습니다. 즉시 레코드 추가를 시작할 수 있습니다.

SAA-C03 시험을 위한 주요 호스팅 영역 모범 사례는 다음과 같습니다.

• AWS 리소스에는 CNAME 대신 영역 정점에서 ALIAS 레코드를 사용합니다.
• 모든 내부 DNS에는 프라이빗 호스팅 영역을 사용하고, 퍼블릭 영역에 내부 호스트 이름을 절대 노출하지 않습니다.
• 마이그레이션 전에 짧은 TTL(60~120초)을 설정하고, 이후 긴 TTL로 되돌립니다.
• DNS 스푸핑 공격으로부터 보호하기 위해 퍼블릭 영역에 DNSSEC 서명을 활성화합니다.
• 여러 고객 또는 환경을 관리하는 경우 비용 할당을 위해 호스팅 영역에 태그를 지정합니다.

이 레슨에서는 다음을 배웠습니다. 퍼블릭 호스팅 영역은 인터넷 트래픽을 라우팅하고, 프라이빗 호스팅 영역은 VPC 내부에서만 확인됩니다. 또한 ALIAS 레코드는 AWS 리소스에 대한 영역 정점 CNAME의 제한을 해결하며, TTL은 DNS 캐시 기간과 전파 속도를 제어합니다. 다음에는 단순 라우팅, 가중치 기반 라우팅 및 지연 시간 기반 라우팅을 포함한 Route 53 라우팅 정책을 살펴보겠습니다.