당신에게 맞는 DNS 리졸버는 무엇일까요?

커뮤니티에서는 개인 정보 보호(Privacy)와 성능(Performance) 사이의 트레이드오프가 주요 논쟁거리로 부상함. Cloudflare의 1.1.1.1과 같이 개인 정보 보호를 위해 EDNS Client Subnet(ECS)을 지원하지 않는 리졸버는 CDN 및 지역별 콘텐츠 전송에 영향을 미쳐 비디오 스트리밍(Video Streaming)이나 대규모 다운로드 속도를 저하시킬 수 있다는 지적이 있음. 반면, ISP 기본 DNS는 최단 경로를 제공하지만 개인 정보 보호 수준이 낮다는 우려가 공존함.

일부 사용자는 자체 캐싱 재귀 리졸버(Local Caching Recursive Resolver) 구축을 선호하며, Unbound, Dnsmasq, Dnsdist와 같은 도구를 언급함. 이를 통해 쿼리 로그(Query Logs)를 직접 관리하고, 필터링 규칙(Filtering Rules)을 세밀하게 조정할 수 있다는 장점이 있음. 그러나 iOS, Android 등 주요 OS에 내장되지 않은 점, 루트 서버 및 CDN에 대한 잠재적 부하 증가 가능성, 그리고 유지보수 부담(Maintenance Burden)은 단점으로 지적됨.

DoH, DoT, DoQ와 같은 암호화된 전송(Encrypted Transports)은 중간자 공격(Man-in-the-Middle Attack)으로부터 DNS 쿼리를 보호하지만, 리졸버 자체는 사용자의 모든 쿼리 기록을 볼 수 있음을 명확히 함. 따라서 데이터 미저장 정책(Zero-Retention Policy)을 가진 운영자를 선호하거나, ODoH(Oblivious DNS over HTTPS)와 같은 데이터 격리 아키텍처(Data Isolation Architecture)를 고려해야 한다는 의견이 제시됨. 또한, DNSCrypt는 측정 데이터가 부족하여 실제 사용률 파악이 어렵다는 점이 언급됨.

공용 Wi-Fi 환경에서 인증 포털(Captive Portal)을 통과하기 위해 DNS 설정을 일시적으로 변경해야 하는 번거로움이 지적됨. 사용자는 인터넷 연결이 끊겼을 때 DNS를 변경하고, 인증 후 다시 원래 설정으로 되돌리는 과정을 반복해야 하는 불편함을 토로함. 이에 대한 자동화된 해결책 부재가 아쉬움으로 남으며, TLS가 아닌 도메인(Non-TLS Domain)에 접근하여 인증 화면을 강제하는 방식이 언급됨.

DNSSEC 검증은 위조된 응답(Forged Answers)으로부터 사용자를 보호하는 핵심 요소로 강조됨. Google, Cloudflare, Quad9 등이 DNSSEC 검증을 지원하며, 특히 루트 키 롤오버(Root KSK Rollover)를 성공적으로 처리한 사례가 언급됨. 또한, 운영자의 법적 관할권(Jurisdiction)과 운영 주체(Operator Type)가 개인 정보 보호 및 규제 준수에 중요한 영향을 미치므로, 신뢰할 수 있는 운영자를 선택하는 것이 중요하다고 논의됨.