Caddy 인증서 만료: systemd-resolved의 선택적 거짓말 때문

(dev.to)

Caddy 서버의 SSL 인증서가 예기치 않게 만료되는 원인이 Linux의 systemd-resolved가 특정 DNS 쿼리에 대해 간헐적으로 SERVFAIL을 반환하는 '선택적 거짓말' 때문임을 밝히며, 이를 해결하기 위한 DNS 설정 우회 및 DoH 도입 방안을 제시합니다.

이 글의 핵심 포인트

1Caddy 인증서 만료의 근본 원인은 systemd-resolved의 간헐적인 SERVFAIL 응답
2기존 DNS 확인 도구(dig, systemd-resolve --status)로는 오류를 발견하기 매우 어려움
3해결책 1: Caddyfile에서 1.1.1.1 등 공개 DNS 리졸버를 직접 지정하여 스텁 리졸버 우회
4해결책 2: GODEBUG=netdns=go 환경 변수를 사용하여 Go 자체 리졸버 강제 사용
5해결책 3: DNS-over-HTTPS(DoH)를 도입하여 DNS 응답의 무결성과 보안성 강화

이 글에 대한 공공지능 분석

왜 중요한가?

인프라의 보이지 않는 오류는 서비스 가용성에 치명적인 영향을 미치며, 특히 로그에 남지 않는 DNS 오류는 장애 대응 시간을 극도로 늦춥니다. 인증서 만료는 사용자 신뢰도 하락과 직결되는 문제입니다.

어떤 배경과 맥락이 있나?

현대적인 Linux 배포판은 systemd-resolved를 통해 DNS를 관리하는데, 이 스텁 리졸버(Stub Resolver)가 상위 리졸버 상태에 따라 불일치하는 응답을 보낼 수 있는 구조적 취약점을 가지고 있습니다.

업계에 어떤 영향을 주나?

DevOps 엔지니어와 개발자들은 '작동하는 것처럼 보이는' 인프라 설정이 실제로는 장애를 내포할 수 있음을 인지해야 하며, 인프라 모니터링 시 단순 네트워크 연결성뿐만 아니라 DNS 응답의 무결성 검증이 필요함을 시사합니다.

한국 시장에 어떤 시사점이 있나?

클라우드 네이티브 환경을 사용하는 한국 스타트업들은 기본 OS 설정에 의존하기보다, 인프라의 예측 가능성을 높이기 위해 명시적인 DNS 설정(예: 1.1.1.1 직접 지정)을 표준화하는 운영 가이드라인을 구축해야 합니다.

이 글에 대한 큐레이터 의견

이번 사례는 '가시성(Observability)의 부재'가 얼마나 위험한지를 보여주는 전형적인 사례입니다. 개발자는 코드가 완벽하고 로그에 에러가 없으면 시스템이 정상이라고 믿기 쉽지만, 인프라 계층의 '침묵하는 오류(Silent Failure)'는 가장 파괴적인 장애를 일으킵니다. 특히 Caddy와 같이 자동화된 도구를 사용할 때, 자동화된 프로세스가 실패하더라도 시스템이 이를 즉각적으로 알리지 못한다면 이는 운영상의 큰 리스크입니다.

스타트업 창업자라면 기술적 부채를 관리할 때 '작동 여부'를 넘어 '실패 시 어떻게 알 수 있는가'를 반드시 질문해야 합니다. 인프라 구성 시 기본값(Default)을 맹신하지 말고, DNS 리졸버와 같이 신뢰할 수 없는 중간 계층을 우회하거나 검증할 수 있는 설계를 도입하여 장애의 전파를 차단하는 전략이 필요합니다.

원문 보기 →