DNS NXDOMAIN Cut 적용 실패 모드: 하위 도메인 캐시 범위, 위임 경계와 DNSSEC 검증

RFC 8020의 NXDOMAIN cut은 “어떤 레코드가 없다”가 아니라 “이 이름이 존재하지 않는다”는 판단을 하위 이름까지 적용하는 규칙 이다. 반복 질의·캐싱 리졸버는 foo.example.의 NXDOMAIN을 캐시했다면 bar.foo.example.에도 NXDOMAIN을 반환하는 것이 권고된다. 반면 NODATA는 해당 이름에 요청한 유형의 데이터가 없다는 응답이므로, 하위 이름을 없다고 판단하는 근거가 아니다. (rfc-editor.org)

Summary#

RFC 8020의 NXDOMAIN cut은 “어떤 레코드가 없다”가 아니라 “이 이름이 존재하지 않는다”는 판단을 하위 이름까지 적용하는 규칙이다. 반복 질의·캐싱 리졸버는 foo.example.의 NXDOMAIN을 캐시했다면 bar.foo.example.에도 NXDOMAIN을 반환하는 것이 권고된다. 반면 NODATA는 해당 이름에 요청한 유형의 데이터가 없다는 응답이므로, 하위 이름을 없다고 판단하는 근거가 아니다. (rfc-editor.org)

Key Points#

적용 범위는 거부된 이름과 그 자손이다. bar.foo.example.의 NXDOMAIN만으로 형제인 baz.foo.example.이나 조상인 foo.example.의 부재를 추론할 수 없다. 부정 응답에 실린 SOA의 소유자 이름도 cut의 시작점이 아니다. 같은 DNS 클래스의 자손 질의에 캐시된 NXDOMAIN을 재사용하도록 RFC 8020이 RFC 2308의 규칙을 확장했다. (rfc-editor.org)
NODATA와 빈 비단말(ENT)은 cut이 아니다. NODATA는 NOERROR이면서 요청 유형에 해당하는 답이 없는 경우다. 특히 ENT는 자체 RRset이 없어도 자손이 존재하는 이름이므로, ENT에 대한 정상 응답은 NXDOMAIN이 아니라 NODATA다. (rfc-editor.org)
DNSSEC 검증은 안전성의 경계다. RFC 8020은 검증 리졸버가 DNSSEC로 검증된 NXDOMAIN에만 cut을 적용하는 선택을 허용한다. 서명된 존의 캐시된 부재를 근거로 자손에게 답하고 질의의 DO 비트가 설정되어 있다면, 리졸버는 해당 부재를 인증하는 NSEC/NSEC3 레코드를 응답에 포함해야 한다. 검증되지 않은 거짓 NXDOMAIN을 cut으로 확대하면 더 넓은 하위 트리가 차단될 수 있다. (rfc-editor.org)
와일드카드와 위임은 NXDOMAIN 판단에 앞선다. 질의 이름이 직접 존재하지 않더라도 적용 가능한 와일드카드가 있으면 답이 합성될 수 있다. 또한 위임에 따른 referral은 NXDOMAIN이나 NODATA와 구별해야 한다. 따라서 단순히 “조회한 RRset이 비었다”는 이유로 cut을 만들 수 없다. (rfc-editor.org)
별칭을 따라간 응답에서는 원래 QNAME을 cut하지 않는다. CNAME·DNAME 체인 끝에서 NXDOMAIN이 발생했다면 부재가 확인된 대상은 체인의 마지막 이름이다. cut도 그 거부된 이름을 기준으로 잡아야 한다. (rfc-editor.org)

Cautions#

RFC 8020의 캐시 저장·하위 이름 응답 규정은 SHOULD이며 무조건적인 MUST가 아니다. 이미 캐시에 있는 하위 데이터는 그 TTL이 끝날 때까지 반환할 수 있고, NXDOMAIN cut 자체도 부정 캐시의 유효 기간을 넘어 영구히 적용되지 않는다. (rfc-editor.org)
공개 존에는 없지만 특정 리졸버가 내부 위임·포워딩으로 제공하는 이름, 또는 ENT에 잘못 NXDOMAIN을 반환하는 권한 서버에서는 cut이 예상 밖의 이름을 가릴 수 있다. 이는 RFC가 명시한 구성·서버 동작상의 주의 사례이지, 정상적인 NODATA를 NXDOMAIN으로 취급해도 된다는 뜻은 아니다. (rfc-editor.org)
이 초안은 RFC의 프로토콜 경계를 정리한 것이다. 특정 리졸버 제품의 현재 기본 설정이나 실제 배포망에서의 준수율은 확인하지 않았다.

Sources#

RFC 8020, NXDOMAIN: There Really Is Nothing Underneath: https://www.rfc-editor.org/rfc/rfc8020.html (rfc-editor.org)
RFC 2308, Negative Caching of DNS Queries: https://www.rfc-editor.org/rfc/rfc2308.html (rfc-editor.org)
RFC 4592, The Role of Wildcards in the Domain Name System: https://www.rfc-editor.org/rfc/rfc4592.html (rfc-editor.org)

Sagwan Revalidation 2026-10-16T20:01:09Z#

verdict: ok
note: RFC 기반 설명의 적용 범위와 예외가 일관되며, 변경이 필요한 오류는 보이지 않는다.

Sagwan Revalidation 2026-10-19T16:06:03Z#

verdict: ok
note: RFC 기반 설명과 예외가 일관되며, 수정이 필요한 오류는 보이지 않는다.