Amazon Route 53 · DNS · 헬스 체크 · 하이브리드 해석

모든 질의에 살아 있는 엔드포인트로 답하는 DNS

Route 53은 퍼블릭 도메인의 권한 DNS, VPC 안의 사설 DNS, 온프레미스와 주고받는 하이브리드 DNS를 하나의 서비스에서 운영합니다. 헬스 체크 결과를 응답에 반영해 장애가 난 엔드포인트로 트래픽이 가지 않게 합니다.

라우팅 정책 보기 하이브리드 DNS 구성 보기

dig · Multivalue answerexample.com

$ dig +noall +answer app.example.com A
app.example.com.	60	IN	A	192.0.2.10
app.example.com.	60	IN	A	198.51.100.20

Routing policyMultivalue

Health check2 / 3 healthy

TTL60 s

100%

호스팅 영역 가용성 SLA (월간 기준)

라우팅 정책 종류

10 s

Fast 헬스 체크 요청 간격 (기본 30 s)

DoH

Resolver 엔드포인트의 암호화 DNS 전송

Why Route 53

DNS는 모든 연결의 첫 번째 홉입니다

이름 해석이 실패하면 네트워크가 정상이어도 서비스는 멈춥니다. 권한 DNS의 가용성, 응답에 반영되는 상태 정보, VPC와 온프레미스를 잇는 해석 경로를 함께 설계해야 합니다.

Available

가용성 중심 권한 DNS

호스팅 영역별 월간 가용성 100%를 SLA로 약정합니다. accelerated recovery를 켜면 us-east-1 장애 때도 1시간 안에 퍼블릭 레코드를 다시 바꿀 수 있습니다.

Aware

상태를 아는 응답

헬스 체크와 라우팅 정책을 묶어, 정상인 엔드포인트만 응답에 담습니다.

Hybrid

하나의 해석 경로

Resolver 엔드포인트와 규칙으로 VPC와 온프레미스 DNS가 서로의 도메인을 해석합니다.

Resolution scope

어디에서 묻는 질의를 누가 답하는가

같은 Route 53이라도 질의가 들어오는 위치에 따라 답하는 구성 요소가 다릅니다.

PublicInternet

퍼블릭 호스팅 영역

인터넷의 재귀 리졸버가 묻는 질의에 권한 서버로 답합니다. 레코드마다 라우팅 정책과 헬스 체크를 붙일 수 있습니다.

Authoritative DNSAlias recordRouting policyHealth check

VPCPrivate

VPC Resolver · 사설 호스팅 영역

VPC의 인스턴스는 VPC+2 주소의 VPC Resolver로 질의합니다. VPC에 연결된 사설 호스팅 영역, EC2 인스턴스 같은 VPC 내부 이름, 퍼블릭 도메인을 모두 해석합니다.

VPC+2Private hosted zoneDNS FirewallQuery logging

HybridOn-premises

Resolver 엔드포인트 · 규칙

Inbound 엔드포인트는 온프레미스의 질의를 받고, Outbound 엔드포인트는 전달 규칙에 맞는 도메인을 사내 DNS로 넘깁니다. Direct Connect나 Site-to-Site VPN 위에서 동작합니다.

Inbound endpointOutbound endpointForwarding ruleDo53 / DoH

Routing policies

여덟 가지 라우팅 정책

레코드를 만들 때 정책을 고르면, Route 53이 질의마다 그 기준으로 응답할 값을 고릅니다.

Route 53 라우팅 정책 비교
정책	판단 기준	대표 사용 사례
Simple	레코드에 지정한 값을 그대로 응답	단일 웹 서버 같은 하나의 리소스
Weighted	레코드별로 지정한 가중치 비율	새 버전으로 일부 트래픽만 보내는 점진 전환
Latency	사용자에게 지연이 가장 낮은 AWS 리전	여러 리전에 같은 서비스를 배포한 경우
Failover	Primary의 헬스 체크 상태	Active-passive 재해 복구 구성
Geolocation	사용자의 위치 (대륙, 국가, 미국 주)	국가별 콘텐츠, 규제에 따른 지역 제한
Geoproximity	리소스의 위치와 bias 값	리전 간 트래픽 비중을 거리 기준으로 조정
Multivalue answer	정상 레코드 중 최대 8개를 무작위로 응답	헬스 체크를 곁들인 DNS 수준의 간단한 분산
IP-based	질의 출발지 IP가 속한 CIDR 컬렉션	ISP나 사내 대역별로 엔드포인트 지정

Features

주요 기능

Health checks

헬스 체크

엔드포인트를 HTTP, HTTPS, TCP로 확인하거나, 다른 헬스 체크를 묶은 계산형 체크, CloudWatch 경보 기반 체크를 만듭니다. HTTP 응답 본문의 문자열 일치도 확인할 수 있습니다.

Hybrid DNS

Resolver 엔드포인트

VPC 서브넷에 ENI로 만들어지며 IP 주소가 최소 2개 필요합니다. 두 개 이상의 가용 영역에 두는 구성을 권장합니다. Inbound는 Do53, DoH, DoH-FIPS를, Outbound는 Do53과 DoH를 지원하며, 하위 도메인을 NS 레코드로 위임받는 delegation 엔드포인트도 만들 수 있습니다.

Forwarding

Resolver 규칙

도메인 단위로 질의를 어느 DNS 서버로 보낼지 정합니다. 전달 규칙 외에 하위 도메인을 사내 DNS로 넘기는 delegation 규칙도 있습니다. 규칙을 VPC에 연결하고, AWS RAM으로 다른 계정과 공유할 수 있습니다.

DNS security

DNS Firewall

VPC Resolver를 지나는 아웃바운드 질의를 도메인 목록으로 ALLOW, ALERT, BLOCK 합니다. DNS Firewall Advanced는 DNS 터널링과 DGA 도메인을 탐지하고, Palo Alto Networks Advanced DNS Security 규칙도 추가할 수 있습니다.

Multi-account

Route 53 Profiles

사설 호스팅 영역, Resolver 규칙, DNS Firewall 규칙 그룹, 인터페이스 VPC 엔드포인트, 질의 로깅 구성을 하나의 Profile로 묶어 여러 VPC와 계정에 적용합니다.

Anycast resolver

Route 53 Global Resolver

인증된 클라이언트가 위치와 무관하게 퍼블릭 도메인과 사설 호스팅 영역을 해석하는 인터넷 접근형 anycast 리졸버입니다. 2026년 3월 GA로 IPv4·IPv6 질의를 받고, 질의 필터링과 중앙 로깅을 함께 제공합니다.

Reference architecture

공유 서비스 VPC로 묶는 하이브리드 DNS

Resolver 엔드포인트를 공유 서비스 VPC에 두고, 규칙과 사설 호스팅 영역은 Profile로 워크로드 VPC에 배포합니다. 핵심은 질의 방향입니다. Inbound는 온프레미스 → AWS 방향으로 aws.corp.internal 질의를 받고, Outbound는 AWS → 온프레미스 방향으로 corp.internal 질의를 사내 DNS에 넘깁니다. Inbound로 들어온 질의는 엔드포인트가 있는 VPC 기준으로 해석되므로, 사설 호스팅 영역을 공유 서비스 VPC에도 연결해야 합니다.

DNS 질의 방향 · inbound (온프레미스 → AWS) DNS 질의 방향 · outbound (AWS → 온프레미스) Profile 연결 Direct Connect / VPN 응답은 같은 경로를 거꾸로 돌아옵니다.

좁은 화면에서는 다이어그램을 좌우로 밀어서 보세요.

Reference architecture · Global Resolver

어디서든 같은 anycast 주소로 묻는 Global Resolver

지점, 데이터센터, 원격 사용자가 VPN이나 Resolver 엔드포인트 없이 인터넷으로 같은 anycast IP 두 개에 질의합니다. 질의는 직접 고른 2개 이상의 리전 중 가장 가까운 곳에서 처리되고, 그 리전이 멈추면 다음으로 가까운 리전이 같은 주소로 받습니다. 각 리전은 클라이언트를 인증한 뒤 DNS view의 필터링 규칙을 적용하고, view에 연결된 사설 호스팅 영역이나 퍼블릭 DNS로 해석합니다.

DNS 질의 방향 (클라이언트 → Global Resolver) 리전 장애 시 같은 anycast IP로 페일오버 질의 로그 전달 ③ 인증 후 정책 평가 · ④ 사설/퍼블릭 해석 · 응답은 같은 경로로 돌아옵니다.

좁은 화면에서는 다이어그램을 좌우로 밀어서 보세요.

Getting started

하이브리드 DNS를 여는 순서

STEP 1
보안 그룹 준비
엔드포인트용 보안 그룹에 TCP·UDP 53을 허용합니다. DoH를 쓰면 443도 엽니다.
STEP 2
엔드포인트 생성
공유 서비스 VPC에 Inbound와 Outbound 엔드포인트를 두 개 이상의 AZ에 만듭니다.
STEP 3
전달 규칙 작성
corp.internal 같은 사내 도메인을 사내 DNS 서버 IP로 보내는 규칙을 Outbound 엔드포인트에 만듭니다.
STEP 4
VPC에 배포
규칙과 사설 호스팅 영역을 Profile에 담아 워크로드 VPC에 연결하고, RAM으로 계정에 공유합니다.
STEP 5
사내 DNS 설정
사내 DNS에 AWS 도메인을 Inbound 엔드포인트 IP로 보내는 조건부 전달을 넣고, 양방향으로 dig로 확인합니다.

Pricing

비용 항목

Route 53 비용은 호스팅 영역 수, 질의 수와 라우팅 정책 유형, 헬스 체크 수, Resolver 엔드포인트의 ENI 시간으로 정해집니다. 하이브리드 DNS에서는 엔드포인트 ENI 수가 고정비가 됩니다.

Route 53 과금 항목
과금 항목	과금 기준	참고
호스팅 영역	호스팅 영역당 월 요금. 영역당 레코드 10,000개를 넘으면 초과 레코드당 월 요금	생성 후 12시간 안에 삭제한 호스팅 영역은 청구하지 않습니다.
표준 질의	퍼블릭 호스팅 영역 질의 100만 건당	사설 호스팅 영역 질의는 무료입니다. ELB, CloudFront, API Gateway, VPC 엔드포인트, Global Accelerator, S3 웹사이트 엔드포인트 등 지원되는 AWS 대상을 가리키는 alias 질의도 무료입니다.
정책 기반 질의	Latency, Geolocation·Geoproximity, IP-based 질의를 유형별로 100만 건당	IP-based 라우팅의 CIDR 블록은 1,000개를 넘는 블록부터 블록당 월 요금이 붙습니다.
Traffic Flow	정책 레코드당 월 요금	트래픽 정책을 도메인 이름에 적용해 만든 정책 레코드에 붙습니다.
헬스 체크	헬스 체크당 월 요금. AWS 엔드포인트와 그 외 엔드포인트의 단가가 다릅니다.	AWS 엔드포인트 헬스 체크 50개까지는 무료입니다. HTTPS, 문자열 일치, Fast 간격, 지연 측정은 옵션마다 월 요금이 추가됩니다.
Resolver 엔드포인트	엔드포인트 ENI당 시간 요금, 엔드포인트를 지나는 질의 100만 건당	엔드포인트를 거치지 않고 VPC 안에서 해석되는 재귀 질의는 무료입니다.
DNS Firewall	규칙 그룹이 연결된 VPC의 질의 100만 건당, 사용자 지정 도메인 목록의 도메인당 월 요금	AWS 관리형 도메인 목록에는 도메인 요금이 없습니다. Advanced 규칙을 쓰면 규칙 그룹의 VPC 연결당 시간 요금이 붙습니다.
Route 53 Profiles	계정·리전당 시간 요금(Profile-VPC 연결 100개 포함), 초과 연결당 시간 요금	Profile-VPC 연결이 100개를 넘으면 연결당 요금이 더해집니다.
Global Resolver	배포당 시간 요금(첫 두 리전 포함, 추가 리전은 리전당), 배포당 월 10억 건을 넘는 질의 100만 건당	DNS 필터링 사용 여부에 따라 시간 단가가 다릅니다. 신규 고객은 30일 무료 체험을 쓸 수 있습니다.
연관 비용	도메인 등록(TLD별 연간 요금), DNSSEC 서명 키, 질의 로그 저장	DNSSEC 서명과 질의 로그 자체는 Route 53 요금이 없고, AWS KMS와 CloudWatch Logs·S3·Data Firehose에서 과금합니다.

요금 단가는 리전과 사용량에 따라 다릅니다. 최신 단가는 Route 53 요금 페이지에서 확인하세요.

Next step

우리 조직의 DNS 해석 경로를 함께 그려 보세요

사내 도메인, VPC와 계정 구조, 장애 시 전환 기준을 정리해 오시면 호스팅 영역과 Resolver 설계를 함께 검토합니다.

서비스 페이지 열기 개발자 안내서 읽기