쪽팔리면 질문하지 맙시다. 소중한 답변 댓글을 삭제하는건 부끄러운 일 입니다
안녕하십니까?
사내메일 ▶ 구글 메일 발송 이슈가 생겨 확인하던 중 DNS쪽 설정이 의심스러우나
제가 이쪽에 대해서는 많이 무지하여 고수분들께 질문드립니다.
처음에 구글메일 발송이 안된다는 문의가 와서 반송 메세지를 확인해보니
550-5.7.26 SPF [kne.co.kr] with ip: [203.231.31.14] = did not pass 가 있었습니다.
그래서 nslookup을 쳐보니
nslookup -type=txt kne.co.kr 을 해보면 정상적으로 txt레코드가 나왔고,
skt와 kt dns로 nslookup을 쳐봐도 정상적으로 txt레코드가 나옵니다.
그런데 문제는, 구글dns로 조회를 해보면 다음 두가지 오류가 나옵니다.
==============================================================================================================================
nslookup -type=txt kne.co.kr 8.8.8.8
서버: dns.google
Address: 8.8.8.8
DNS request timed out.
timeout was 2 seconds.
*** dns.google이(가) kne.co.kr을(를) 찾을 수 없습니다. Server failed
nslookup -type=txt kne.co.kr 8.8.8.8
서버: dns.google
Address: 8.8.8.8
DNS request timed out.
timeout was 2 seconds.
DNS request timed out.
timeout was 2 seconds.
*** dns.google에 대한 요청이 제한 시간을 초과했습니다.
==============================================================================================================================
그리고 제 머리를 더 아프게 하는건 어느순간에는 또 잘 된다는겁니다..
(메일도 이때는 잘 보내지고 받아집니다. 이 부분때문에 spf쪽 의심은 거뒀습니다)
그러다가 또 어느순간 다시 안되구요..
(몇시간 잘되다가 또 몇시간동안 먹통이 됩니다)
이 이슈가 화요일부터 있었는데 아직까지 해결을 못하고 구글로 메일 발신/수신이 됐다가 안됐다가 하는 상황입니다.
https://dnschecker.org/#A/kne.co.kr
사이트가 있어 여기에 저희 회사 도메인을 넣고 검색을 해보니 거의 절반에서 정보를 못받더군요?
이것과도 연관이 있을까요?
혹시 이 증상에 대해 알고계신 분이 있으시다면 도움부탁드립니다 ㅠㅠ
* 자체 네임서버를 사용하고 있으며, 최근에 설정을 변경한 적이 없습니다.
* 구글메일 제외 나머지 메일들의 송수신에는 문제가 없는 상황입니다.
긴 글 읽어주셔서 감사합니다.
통신사 DNS 사용해야지 구글DNS 사용하면 DNS 트래픽 많아지면 한동안 네임풀이 안해줍니다. 그러다 시간지나면 또 되고...
자체네임서버 DNS 설정에 전달자는 통신사 DNS 넣어줬는가요?
아 맞다 자체 네임서버 사용한다는데 혹시 남미발 DDOS 트래픽 없던가요? DNS 서버 운영하면 공격 많이 들어올건데...
현재 내부망(사설아이피) 서버에 주영역이 설정되어있고
저 203.231.31.30서버에 보조영역이 설정되어있는 상태인데,
전달자는 두쪽 다 아무것도 설정되어있지 않습니다.
dns쪽 설정은 변경된게 없는데 잘 되던게 안되니 답답하네요ㅜㅜ
dig txt kne.co.kr @203.231.31.10
; <<>> DiG 9.11.4-P2-RedHat-9.11.4-26.P2.el7_9.15 <<>> txt kne.co.kr @203.231.31.10
;; global options: +cmd
;; connection timed out; no servers could be reached
혹시 체크해보면 좋을 부분이 있을까요?
2차 네임서버도 같이 돌리시는것도...
Pc에서 확인해보면 답 나오겠지만
제가 지금은 모바일만 사용가능하다보니 죄송.. ^^;;
이번에 많이 서치하면서 2차 네임서버 필요성을 많이 알았는데,
사실 제가 인프라 담당자가 아니라서 함부로 어떤걸 수정하기가 어렵네용..
담당자님께 의견은 피력하겠습니다
550-5.7.26 SPF [kne.co.kr] with ip: [203.231.31.14] = did not pass
이 에러만 나오는게 아니라
550-5.7.25 PTR record setup, or the corresponding forward DNS entry does not
이 에러도 번갈아가면서 나오더라구요
클라우드 플레어로 옮기는걸 추천드립니다.
해당 도메인을 호스팅하는 서버로 203.231.31.10 네임서버로 확인되며
일반 dns 유틸리티로 질의하는 경우 DNS 응답으로 FORMERR을 반환하고 있습니다.
해당 오류를 찾아보니 https://serverfault.com/a/958957 참고사례를 확인했습니다.
정말로 해당 DNS서버에서 EDNS 없이 DNS를 질의하는 경우 정상적으로 응답하는 것을 확인했습니다.
; <<>> DiG 9.16.48-Debian <<>> @203.231.31.10 +notcp +retries +timeout +noedns SOA kne.co.kr
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 40904
;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; QUESTION SECTION:
;kne.co.kr. IN SOA
;; ANSWER SECTION:
kne.co.kr. 3600 IN SOA ns.kne.co.kr. admin.kne.co.kr. 650 900 600 86400 3600
;; ADDITIONAL SECTION:
ns.kne.co.kr. 3600 IN A 203.231.31.10
;; Query time: 1263 msec
;; SERVER: 203.231.31.10#53(203.231.31.10)
;; WHEN: Fri Mar 08 22:55:20 JST 2024
;; MSG SIZE rcvd: 88
8.8.8.8, 1.1.1.1등 글로벌 퍼블릭 리졸버의 경우 모두 EDNS를 사용하여 권위있는 네임서버에 요청하게되므로 EDNS 응답은 현시대에서 필수라고 생각되어집니다.
EDNS 수신이 가능하도록 DNS 서버 최신소프트웨어 업그레이드 또는 방화벽장비 점검/예외가 필요할 것 같고요
또 지금 모든 네임 request가 1초(1000ms) 초과 지연(delay)이 발생합니다. 이 경우 글로벌 리졸버를 사용하는 경우에 DNS 질의가 모두 DROP 되는 것을 경험하였으므로
DNS 응답은 최대 300ms이내로 응답할 수 있도록 서버부하, 서버 디스크I/O 오류, 핑 또는 네트워크, 보안장비 전체적으로 지연을 점검하는게 좋겠습니다.
클라우드플레어 DNS로 이전시키는 것도 가능하다면 고려하는 것을 추천드립니다.
해당 사례를 위와 가정한다면, 메일수신 서버에서는 스팸체크를 위해서 SPF와 PTR 검증이 강제인 메일수신서버가 있을것이고 (특히 아웃룩이 빡빡합니다)
PTR (리버스도메인) 검증에서는 메일수신 아이피가
203.231.31.28, 203.231.31.33, 203.231.31.35, 203.231.31.11, 203.231.31.14, 203.231.31.131, 203.231.31.10
의 경우 세종텔레콤에 PTR이 등록되지 않아 거부하는 네임서버가 있을 수 있겠습니다. (해당 아이피대역의 PTR자체는 해당 네임서버로 위임되지 않아 네임서버이슈는 아닙니다)
문제는 SPF의 경우인데요 TXT레코드 응답이되어야만 가능하다고 했을 때 위 같은 이유로 해당 네임서버에서 응답을 주지못해
간헐적으로 일어나는 것은 메일수신 서버에서 바라보고 있는 리졸버가 메일마다 서로 다를 것이기 때문일 것으로 추측합니다.
정리가 제대로 안되었지만 확인해야 할 것은
중요) EDNS 수신가능하도록 DNS서버 업그레이드 또는 방화벽 패치
중요) 응답 지연 원인 점검
3) PTR이 등록되어있지 않으므로 멩일발신을 위해 세종텔레콤에 리버스도메인 등록
4) 고가용성위해 보조네임서버 추가
로 판단됩니다. 감사합니다
원인은 응답지연이었고, 술이님께서 답글로 써주신 방법 참고하여 해결하였습니다.
추가로 주신 조언들도 적용할 수 있는지 점검해보도록 하겠습니다.