Windows Server 2025 / DNS 전달자를 설정하고 이름 확인을 점검하는 방법
DNS 전달자는 DNS 서버가 직접 담당하지 않는 이름의 조회를 다른 DNS 서버에 맡기는 설정입니다. 내부 이름은 내부 DNS가 답하고 외부 이름은 허용한 상위 DNS로 전달하도록 구성하면, 도메인 클라이언트의 DNS 설정을 내부 서버로 유지할 수 있습니다.
내부 조회와 외부 조회를 먼저 나눕니다
이 실습의 DC1은 lab.example.test 연습 영역을 가지고 있습니다. fs1.lab.example.test 조회는 그 영역의 레코드로 답할 수 있지만, www.microsoft.com 같은 외부 이름은 외부 해석 경로가 필요합니다. 전달자만 입력해도 인터넷 경로가 생기는 것은 아닙니다.
격리망에 라우터·NAT와 외부 DNS 통신 허용이 없다면 외부 조회 실패가 예상됩니다. 내부 레코드 조회까지 실패하는지 먼저 확인하고, 격리 실습에서는 내부 조회 성공만으로 해당 범위의 동작을 검증할 수 있습니다. 전달자 실습을 위해 사내 DHCP나 실제망에 무계획으로 연결하지 않습니다.
현재 전달 설정을 기록합니다
DC1의 관리자 PowerShell에서 아래 항목을 조회합니다. 전달자 목록과 재귀 조회 설정을 기록해 두고, 운영 서버라면 현재 값을 무작정 바꾸지 않습니다.
Get-DnsServerForwarder Get-DnsServerRecursion Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10
일반 전달자는 서버의 외부 조회 경로이고, 조건부 전달자는 특정 이름 공간만 지정한 DNS로 보냅니다. 자신이 이미 담당하는 영역과 같은 이름의 조건부 전달자를 만드는 방식은 사용할 수 없습니다. 동작과 대체 경로의 조건은 Windows Server DNS 전달 설명에서 확인할 수 있습니다.
허용한 상위 DNS 하나를 추가합니다
- 네트워크 관리자 또는 실습 NAT 구성에서 사용할 수 있는 상위 DNS IP를 확인합니다. 인터넷에 있는 임의 주소를 복사해 사용하지 않습니다.
- DNS 관리자에서 DC1의 속성 → 전달자 탭을 엽니다.
- 편집에서 승인된 상위 DNS IP를 추가하고 상태를 확인한 뒤 저장합니다.
- 기존 전달자, 시간 초과와 루트 힌트 관련 옵션은 목적을 검토하지 않은 채 함께 변경하지 않습니다.
전달자에 자기 자신이나 다시 DC1로 전달하는 서버를 지정하면 순환 경로가 생길 수 있습니다. 상위 서버의 역할과 전달 방향을 확인하세요. PowerShell을 사용할 때도 기존 항목을 보존하면서 새 주소를 추가하는지 확인해야 합니다.
같은 서버에 내부·외부 이름을 질의합니다
CLIENT1에서 명시적으로 DC1을 지정하여 아래 두 조회를 비교합니다. 외부 응답 주소는 서비스와 시점에 따라 달라지므로 특정 IP 하나와 같아야 한다고 검사하지 않습니다.
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10 Resolve-DnsName 'www.microsoft.com' -Type A -Server 172.24.50.10
내부 이름은 성공하고 외부 이름만 실패한다면 외부 경로·상위 DNS·재귀 설정을 중심으로 확인합니다. 둘 다 시간 초과라면 클라이언트에서 DC1까지의 통신과 DNS 서비스를 먼저 확인합니다. 외부 이름이 성공해도 캐시나 루트 힌트 경로로 처리됐을 수 있어, 결과만으로 특정 전달자를 거쳤다고 단정하지 않습니다.
전달자 자체를 점검하려면 허용된 상위 DNS 주소를 -Server에 넣어 같은 외부 이름을 직접 질의할 수 있습니다. 클라이언트에서의 직접 통신과 DC1에서의 외부 통신 정책이 다를 수도 있으므로 서버 측에서도 확인합니다.
캐시와 권한 오류를 구분해 정리합니다
서버가 담당하는 영역에 잘못된 이름이 있을 때 전달자 변경으로 그 레코드가 고쳐지지는 않습니다. 이름 없음(NXDOMAIN), 조회 거부, 시간 초과를 구분하고 DNS 서버 문제 해결 절차의 영역과 재귀 조회 점검을 함께 참고하세요.
클라이언트 캐시와 DNS 서버 캐시는 서로 다릅니다. 캐시 삭제는 영향 범위를 생각한 뒤 필요한 쪽에서만 사용합니다. 캐시를 지운 뒤에는 같은 이름·종류·서버로 재조회해야 비교가 가능합니다.
실습용으로 새로 추가한 전달자만 제거하고, 이전 목록과 옵션이 유지되는지 확인하면 원래 구성으로 되돌릴 수 있습니다. 도메인 클라이언트의 대체 DNS에 공용 DNS를 섞어 내부 조회 실패를 우회하는 방식은 사용하지 않습니다.
