10월 11일 DNS 루트 키 교체 — 2017년 이후 처음, 리졸버를 점검할 때

DNSSEC의 신뢰 사슬은 루트 존의 키 서명 키(KSK)에서 시작합니다. 이 키가 10월 11일 교체됩니다. 2017년 KSK-2010에서 KSK-2017로 바꾼 이후 두 번째 교체이고, Cloudflare가 10월 6일 그 준비 상태를 설명하는 글을 냈습니다.

무엇이 바뀌나

	기존	신규
키	KSK-2017	KSK-2024
키 태그	20326	38696

루트 존은 10월 11일부터 새 KSK로 DNSKEY RRset을 서명합니다. 검증 리졸버는 새 키를 신뢰 앵커로 갖고 있어야 서명을 검증할 수 있습니다.

리졸버는 어떻게 새 키를 받나

• RFC 5011 자동 갱신. 리졸버가 루트 존에서 새 키를 보고 일정 기간(보통 30일) 지난 뒤 신뢰 앵커에 추가합니다. KSK-2024는 2024년부터 루트 존에 미리 공개돼 있어, 자동 갱신이 켜진 리졸버는 이미 받았어야 합니다.
• 소프트웨어 내장. 최근 BIND, Unbound, Knot Resolver, PowerDNS Recursor는 새 키를 내장하고 있습니다.
• 수동. 자동 갱신이 꺼져 있고 소프트웨어가 오래됐다면 직접 넣어야 합니다.

Cloudflare의 1.1.1.1은 2024년 7월부터 준비됐다고 밝혔습니다.

확인하는 법

글은 센티널 테스트를 소개합니다. 자기 리졸버로 root-key-sentinel-is-ta-38696.dnstest.dev 같은 특수 이름을 조회하면, 리졸버가 태그 38696을 신뢰 앵커로 갖고 있는지에 따라 응답이 달라집니다. 명령 한 줄로 끝나는 확인입니다.

실무에서 할 일

사내 리졸버가 있다면 11일 전에 센티널 테스트를 돌리세요. 공용 리졸버(1.1.1.1, 8.8.8.8, 통신사 DNS)만 쓰는 환경은 할 일이 없습니다. 문제는 잊힌 리졸버입니다 — 몇 년 전 세운 BIND, 펌웨어 갱신이 끊긴 어플라이언스, 컨테이너 안의 Unbound. 2017년 교체 때도 실패 사례는 대부분 이런 곳에서 나왔습니다. 11일 이후 특정 네트워크에서만 "모든 도메인이 안 풀린다"면 이것부터 의심하면 됩니다.