Cloudflare Gateway DNS64 요청 기능 추가, DNS 위치 설정·EDNS 65051 지원
Cloudflare는 Gateway에서 DNS64를 요청하는 방식을 확장해 DNS 위치 설정과 EDNS 옵션 65051을 새로 지원한다고 밝혔다. 이번 변경은 IPv6 전용 환경에서 IPv4 대상 접근을 위해 AAAA 합성이 필요한 경우에 직접 연결되며, 기본값은 비활성화 상태여서 운영자가 위치 단위와 질의 단위 정책을 분리해 검토해야 한다.
무엇이 추가됐나
이번 변경으로 Cloudflare Gateway의 DNS64는 두 가지 새 요청 경로를 제공한다. 하나는 DNS location 설정에서 Enable DNS64를 켜는 방식이고, 다른 하나는 개별 DNS 질의에 빈 EDNS 옵션 65051을 포함하는 방식이다.
Cloudflare는 기존의 DoH 헤더 방식인 cf-dns-options: dns64도 계속 지원한다고 설명했다. 다만 새로 추가된 위치 설정, EDNS 옵션, 기존 DoH 헤더는 서로 독립적으로 동작하는 요청 메커니즘으로 안내됐다.
IPv6 전용 구간 운영에 미치는 영향
DNS64는 A 레코드만 있는 대상에 대해 AAAA 레코드를 합성해 IPv6 전용 네트워크가 NAT64와 함께 IPv4 자원에 도달할 수 있도록 돕는다. 따라서 IPv6 우선 전환을 진행 중인 네트워크, 일부 관리망을 IPv6 중심으로 분리한 환경, 클라이언트 또는 지점 단위로 IPv6-only 구성을 시험하는 경우에 관련성이 있다.
국내·일본 IDC나 코로케이션 사업자 관점에서도 이것이 곧바로 데이터센터 전용 기능을 뜻하는 것은 아니다. 다만 지점 보안 게이트웨이, 원격 사용자 보호, 중앙 DNS 정책 운영에서 Cloudflare Gateway를 쓰는 경우라면 IPv6-only 세그먼트가 실제로 존재하는지와 NAT64 설계가 함께 있는지를 먼저 확인해야 한다.
지원 전송 방식과 점검 포인트
Cloudflare는 두 가지 새 메커니즘이 UDP, TCP, DoT, DoH를 모두 지원한다고 밝혔다. 운영 측면에서는 특정 전송 방식에서만 동작이 제한되는지 우려하기보다, 현재 조직이 어떤 질의 경로를 쓰는지와 그 경로에서 DNS64 요청 신호를 어떻게 넣을지 구분하는 편이 중요하다.
예를 들어 위치 설정으로 일괄 활성화할지, 애플리케이션 또는 테스트 질의에서만 EDNS 65051을 붙여 선택적으로 쓸지 정책을 나눌 수 있다. 이미 DoH 헤더 기반 요청을 쓰고 있었다면 새 방식으로 완전히 대체되는 것이 아니라 독립 옵션이라는 점도 정리해야 한다.
운영자가 바로 확인할 체크리스트
첫째, IPv6-only 네트워크와 NAT64 사용 여부를 확인한다. 원문은 DNS64가 IPv6-only 네트워크와 NAT64가 필요한 경우를 전제로 설명하므로, 이 조건이 없다면 무리하게 켤 이유는 제시되지 않았다.
둘째, Gateway DNS location별로 DNS64를 상시 활성화할지 검토한다. 특정 지점이나 사용자 그룹만 필요한 경우라면 위치별 차등 적용이 더 적합할 수 있다.
셋째, 개별 질의 제어가 필요한 운영 도구나 테스트 절차에서는 EDNS 옵션 65051 사용 가능 여부를 확인한다. DNS 문제 재현, 전환 검증, 제한적 서비스 적용에 유용할 수 있다. 넷째, 기존에 cf-dns-options: dns64 헤더를 사용 중이라면 새 메커니즘과 중복 설계가 없는지 정책 문서를 정리한다. 다섯째, 기본값이 꺼져 있으므로 표준 이미지나 기본 프로파일이 자동으로 DNS64를 쓰고 있다고 가정하지 말아야 한다.
핵심 포인트
- Cloudflare Gateway가 DNS64 요청 경로로 DNS location 설정과 EDNS 옵션 65051을 새로 지원한다.
- DNS64는 IPv6-only 네트워크에서 A 레코드를 AAAA로 합성하며 NAT64가 함께 필요하다.
- UDP, TCP, DoT, DoH에서 모두 지원된다.
- 기존 cf-dns-options: dns64 DoH 헤더도 계속 지원되며 각 메커니즘은 서로 독립적이다.
- DNS64는 기본적으로 비활성화되어 있어 운영자가 위치별·질의별 적용 범위를 따로 정해야 한다.