프록시 켜고 끄기, 레코드별로 무엇을 선택해야 하나

프록시 켜고 끄기, 레코드별 선택 기준 정리

DNS 화면을 열면 레코드가 열 줄, 스무 줄씩 나열돼 있습니다. 여기서 어느 것을 오렌지로 켜고 어느 것을 회색으로 둘지가 첫 관문입니다. 잘못 켜면 사이트는 잘 열리는데 메일이 조용히 전부 실패하는 상황이 생깁니다.

안녕하세요, 코딩하는 안다형입니다. 이 글에서는 레코드별로 프록시를 켜야 할지 꺼야 할지를 판단 기준과 함께 정리했습니다. 기준은 딱 하나뿐이라 외울 것도 많지 않습니다.

3줄 요약
1. 판단 기준은 하나입니다. 웹 브라우저로 접속하는 주소인가? 그렇다면 오렌지입니다.
2. 메일 관련 주소는 무조건 회색입니다. 여기서 사고가 가장 많이 납니다.
3. SSH, FTP, 특수 포트로 붙는 서비스도 회색으로 두세요. 프록시는 웹 포트만 처리합니다.

레코드별 판단 순서: 용도 확인, 웹 레코드, 메일 레코드, 예외 처리

기준은 하나입니다

레코드 타입을 외울 필요 없습니다. 자문해 보세요.

"이 주소를 브라우저 주소창에 넣고 웹페이지를 볼 일이 있는가?"

• 있다면 오렌지입니다. 캐시와 보안이 필요한 트래픽입니다.
• 없다면 회색입니다. 메일, 원격 접속, 데이터베이스 같은 것들입니다.

이 기준 하나로 90%가 정리됩니다. 아래는 남은 10%를 위한 세부 사항입니다.

A와 CNAME: 웹이라면 오렌지

루트 도메인과 www

가장 기본이 되는 두 줄입니다. 둘 다 오렌지로 켭니다.

• @ (루트 도메인): 내도메인.com으로 들어오는 요청입니다.
• www: www.내도메인.com입니다. A 레코드로 IP를 직접 넣거나, CNAME으로 루트를 가리키게 해도 됩니다.

여기서 Cloudflare의 편리한 기능이 하나 있습니다. 원래 DNS 표준에서는 루트 도메인에 CNAME을 걸 수 없습니다. 그런데 Cloudflare는 CNAME 평탄화(CNAME Flattening)로 이 제약을 우회해 줍니다. 루트에 CNAME을 넣어도 Cloudflare가 알아서 A 레코드처럼 응답합니다. 티스토리나 외부 서비스에 루트 도메인을 연결할 때 유용합니다.

서브도메인

blog, shop, docs처럼 웹페이지를 제공하는 서브도메인은 모두 오렌지입니다. 다만 두 가지를 확인하세요.

• 외부 서비스에 연결한 CNAME: 티스토리, 노션, 깃허브 페이지 같은 곳에 연결한 CNAME은 회색으로 두어야 하는 경우가 있습니다. 그 서비스가 자체 SSL 인증서를 발급해야 하는데, 프록시가 켜져 있으면 소유 확인이 실패하기 때문입니다. 서비스 안내를 먼저 확인하고, 안내가 없으면 회색으로 시작하세요.
• 연결이 끝난 뒤: 인증서 발급이 완료된 다음에 오렌지로 바꿀 수 있는 서비스도 있습니다. 순서를 지키는 게 중요합니다.

메일 관련: 무조건 회색

이 항목만 제대로 지키면 큰 사고는 피합니다. 세 종류로 나눠 보겠습니다.

MX 레코드

MX에는 구름 아이콘이 아예 나타나지 않습니다. 프록시할 수 있는 타입이 아니기 때문입니다. 그래서 MX 자체는 실수할 여지가 없습니다.

메일 호스트의 A 레코드

여기가 진짜 함정입니다. MX 레코드는 보통 mail.내도메인 같은 호스트명을 가리키고, 그 호스트명에는 별도의 A 레코드가 있습니다. 이 A 레코드는 프록시가 가능합니다. 그래서 무심코 오렌지로 켜면 메일 서버 IP가 Cloudflare IP로 바뀌어 버립니다.

결과는 이렇습니다. 사이트는 정상인데 메일 수신이 전부 실패하고, 발송도 거부됩니다. 게다가 에러가 눈에 잘 안 띄어서 며칠 뒤에야 알아차리는 경우가 많습니다. mail, smtp, imap, pop이 들어간 A 레코드는 회색 고정이라고 기억하세요.

SPF, DKIM, DMARC

모두 TXT 레코드라 프록시와 무관합니다. 값만 정확히 넣으면 됩니다. 다만 도메인을 Cloudflare로 옮길 때 이 값들을 빠뜨리는 실수가 흔합니다. 이전 DNS에서 TXT 레코드를 전부 복사해 왔는지 꼭 확인하세요. 빠지면 보낸 메일이 스팸으로 분류됩니다.

그 외 서비스는 회색

• SSH와 FTP: 22번, 21번 포트를 씁니다. 프록시가 처리하는 포트가 아니라 회색이어야 접속됩니다.
• 데이터베이스 원격 접속: 3306번 같은 포트도 마찬가지입니다.
• 게임 서버, 미디어 서버: 웹 포트를 쓰지 않으면 회색입니다.
• 개발용 임시 서버: 8000번, 3000번처럼 비표준 포트로 열어둔 주소는 회색으로 두세요.

레코드별 프록시 권장 설정 정리표

레코드별 권장 설정

• A (웹): @ 나 www 처럼 웹을 서비스하는 주소는 오렌지입니다.
• CNAME (웹): blog, shop 같은 서브도메인은 오렌지입니다. 외부 서비스 연결이면 안내를 먼저 확인하세요.
• MX: 프록시 대상이 아닙니다. 구름 아이콘이 나타나지 않습니다.
• A (메일 호스트): mail 이나 smtp 가 붙은 주소는 회색 고정입니다.
• TXT와 SPF: 프록시 대상이 아닙니다. 값만 정확히 넣으면 됩니다.
• A (SSH나 FTP): 회색으로 두세요. 웹 포트가 아닙니다.

프록시를 켜기 전에 확인할 두 가지

1. 포트가 표준 웹 포트인가

오렌지 구름은 정해진 포트로 들어온 요청만 처리합니다. HTTP는 80번, HTTPS는 443번이 기본이고 몇 개의 대체 포트가 더 지원됩니다. 그 밖의 포트로 접속하는 서비스는 프록시를 거칠 수 없어 연결이 실패합니다.

비표준 포트를 쓰고 있다면 선택지는 두 가지입니다. 해당 레코드를 회색으로 두거나, 웹서버에서 80번과 443번으로 받아 내부 포트로 넘기는 리버스 프록시를 구성하는 것입니다.

2. 서버 방화벽이 Cloudflare를 막고 있지 않은가

오렌지로 켜면 접속이 Cloudflare IP에서 들어옵니다. 방화벽이 이 IP를 모르는 상태면 연결이 거부되고 522 오류가 뜹니다. 프록시를 켜기 전에 Cloudflare가 공개하는 IP 대역을 방화벽 허용 목록에 넣어 두세요.

여기까지 하면 보안 효과도 함께 챙길 수 있습니다. Cloudflare IP만 80번과 443번에 허용하고 나머지는 차단하면, 공격자가 원본 IP를 알아내도 직접 접속할 수 없습니다.

제대로 켜졌는지 확인하는 방법

설정만 바꾸고 넘어가지 말고 확인하세요. 두 가지 방법이 있습니다.

첫째, DNS 응답을 봅니다. Cloudflare 대역이 나오면 프록시가 켜진 것입니다.

nslookup www.내도메인.com

둘째, 응답 헤더를 봅니다. Cloudflare를 거치면 헤더에 흔적이 남습니다.

curl -I https://www.내도메인.com

결과에 server: cloudflare와 cf-ray 항목이 보이면 프록시를 정상적으로 거치고 있습니다. 이 두 줄이 없으면 회색 상태입니다. 메일 서버를 확인할 때는 반대로 이 항목이 없어야 정상입니다.

이건 하지 마세요

• 모든 레코드를 한 번에 오렌지로 전환: 메일과 SSH가 동시에 막힙니다. 실수를 한 번에 여섯 개 만드는 셈입니다.
• 메일이 안 간다고 MX 값을 고치기: MX는 프록시와 무관합니다. 메일 호스트의 A 레코드 구름 색을 확인하세요.
• 외부 서비스 연결 CNAME을 바로 오렌지로: 인증서 소유 확인이 실패합니다. 연결이 끝난 뒤에 판단하세요.
• 안 된다고 몇 초 간격으로 색을 바꾸기: 캐시 때문에 판단이 흐려집니다. 한 번 바꾸고 몇 분 기다리세요.
• TXT 레코드를 옮기지 않고 방치: 메일이 스팸으로 분류됩니다. 이전 DNS의 TXT를 전부 확인하세요.

자주 묻는 질문

Q. 메일이 안 들어옵니다. 어디를 봐야 하나요?

먼저 메일 호스트의 A 레코드가 오렌지인지 확인하세요. 오렌지라면 회색으로 바꾸는 것만으로 해결됩니다. 그다음 MX 값이 올바른 호스트를 가리키는지, SPF 같은 TXT가 빠지지 않았는지 봅니다.

Q. 서브도메인 하나만 회색으로 두면 문제가 되나요?

보안 측면에서 한 가지 주의점이 있습니다. 회색 레코드가 웹서버와 같은 IP를 가리키면 원본 IP가 그대로 노출됩니다. 웹서버와 다른 장비라면 문제없습니다.

Q. 오렌지로 켰더니 SSH 접속이 안 됩니다.

정상입니다. 프록시는 웹 포트만 처리하므로 22번 포트는 지나갈 수 없습니다. SSH용 주소를 회색으로 되돌리세요. 또는 서버 IP로 직접 접속하면 됩니다.

Q. 티스토리나 외부 서비스에 연결한 주소는요?

해당 서비스가 자체 SSL 인증서를 발급하는 구조라면 회색으로 두는 편이 안전합니다. 프록시가 켜져 있으면 소유 확인이 실패해 인증서가 발급되지 않습니다. 연결이 완료된 뒤 오렌지로 바꿔도 되는지는 서비스 안내를 확인하세요.

Q. 와일드카드 레코드도 프록시할 수 있나요?

와일드카드는 플랜과 인증서 커버 범위에 따라 제약이 있습니다. 무료 플랜에서 여러 서브도메인을 쓴다면, 와일드카드보다 필요한 서브도메인을 하나씩 등록하는 편이 문제가 적습니다.

Q. 구름 색을 바꾸면 사이트가 잠깐 끊기나요?

Cloudflare 쪽 전환은 거의 즉시입니다. 다만 방문자 PC와 통신사 DNS에 캐시가 남아 몇 분간 사람마다 다르게 보일 수 있습니다. 트래픽이 많은 시간대는 피해서 바꾸는 게 좋습니다.

마무리

정리하면 웹이면 오렌지, 웹이 아니면 회색입니다. 그리고 메일 호스트의 A 레코드는 예외 없이 회색입니다. 이 두 줄만 지키면 프록시 설정에서 큰 사고는 나지 않습니다.

설정을 바꾼 뒤에는 반드시 확인하세요. 웹 주소는 cf-ray 헤더가 보여야 정상이고, 메일 주소는 안 보여야 정상입니다. 이 확인 습관 하나가 며칠 뒤의 사고를 막아 줍니다.

 

함께 보면 좋은 글

• 그누보드 메일 발송 설정하는 방법
• 티스토리 2차 도메인 연결하는 방법
• 웹호스팅 · VPS · 클라우드 뭘 골라야 할까