V2Ray DNS 설정 가이드: 국내외 분할 해석과 오염 방지 설정법

DNS 분할 해석이 해결하는 두 가지 문제

국내 네트워크 환경에서 해외 도메인을 직접 조회하면 응답이 오염되는 경우가 많습니다. 반환된 IP가 대상 사이트의 IP가 아니라서 연결이 타임아웃되거나 엉뚱한 페이지로 연결됩니다. 암호화된 원격 해석은 조회 패킷을 TLS 터널에 담아 보내므로 오염원이 응답 내용을 변조할 수 없습니다. 이것이 분할 해석에서 DoH가 하는 핵심 역할입니다.

국내 도메인은 반대입니다. 원격 해석으로도 결과를 얻을 수는 있지만 조회 경로에 프록시 홉이 하나 더 추가되고, 일부 국내 CDN은 해석 출처에 따라 다른 노드를 반환하므로 원격 해석은 지역을 벗어난 노드를 받기 쉽습니다. 국내 도메인은 로컬 DNS에 맡겨 가까운 노드로 해석하는 편이 CDN 스케줄링에 더 유리합니다.

분할 해석의 목표는 조회를 기계적으로 나누는 것이 아니라 두 종류의 도메인이 각자의 해석 채널을 이용하도록 하면서, routing 규칙과 dns 섹션이 동일한 도메인 집합을 사용하도록 하는 것입니다.

dns 섹션의 기본 구조와 분할 해석 작성법

Xray의 dns 섹션은 servers 배열이며 순서대로 매칭됩니다. 도메인이 어떤 항목의 domains 목록에 포함되면 해당 항목을 사용하고, domains가 없는 항목은 모든 도메인에 매칭되므로 마지막에 두어 폴백으로 사용합니다. 아래 내용을 설정 파일의 루트 노드에 넣으면 됩니다.

"dns": {
  "servers": [
    {
      "address": "https://1.1.1.1/dns-query",
      "domains": ["geosite:geolocation-!cn"],
      "tag": "proxy"
    },
    {
      "address": "223.5.5.5",
      "domains": ["geosite:cn"],
      "expectIPs": ["geoip:cn"]
    },
    "223.5.5.5"
  ]
}

첫 번째 항목은 해외 도메인을 담당하며 조회가 프록시를 통해 나갑니다. 두 번째 항목은 국내 도메인을 담당하며 expectIPs로 응답 소속을 검증합니다. 세 번째 항목은 domains가 없는 폴백으로, geosite 데이터에 등록되지 않은 도메인을 처리합니다. v2rayN이 생성하는 설정에서 프록시 아웃바운드 태그는 proxy, 직접 연결은 direct이므로 참조할 때 일치시켜야 합니다. 프록시 서버 주소는 IP를 직접 입력하는 편이 해석 단계를 줄여서 좋습니다.

고정 해석이 필요한 도메인은 dns.hosts에 넣을 수 있습니다. dns.hosts는 servers 배열보다 우선순위가 높으며 조회가 외부로 나가지 않습니다. 내부 네트워크 호스트명이나 자체 운영 서비스 도메인을 여기에 두는 것이 적합합니다.

routing 규칙과 domainStrategy의 연동

dns 섹션은 도메인을 누가 해석할지 결정하고, routing은 연결이 어떤 아웃바운드를 사용할지 결정합니다. dns 섹션만 설정하고 routing을 설정하지 않으면 트래픽이 여전히 전부 프록시로 갈 수 있고, routing만 설정하고 dns를 설정하지 않으면 국내 도메인도 원격 해석으로 오염될 수 있습니다. 둘은 반드시 함께 설정해야 합니다.

"routing": {
  "domainStrategy": "IPIfNonMatch",
  "rules": [
    {
      "type": "field",
      "domain": ["geosite:cn"],
      "outboundTag": "direct"
    },
    {
      "type": "field",
      "domain": ["geosite:geolocation-!cn"],
      "outboundTag": "proxy"
    }
  ]
}

domainStrategy 세 가지 값의 적용 시나리오

• AsIs: 도메인 문자열로만 규칙을 매칭하고 직접 해석하지 않습니다. 모든 규칙을 도메인으로 작성하고 IP 규칙에 의존하지 않는 경우에 적합합니다.
• IPIfNonMatch: 도메인 규칙이 매칭되지 않으면 도메인을 해석한 뒤 IP 규칙을 시도합니다. 분할 해석 시나리오에서 자주 쓰이는 값입니다.
• IPOnDemand: 규칙에 IP 조건이 있으면 바로 해석하므로 DNS 요청이 더 잦아집니다. 일반적으로 필요하지 않습니다.

expectIPs의 오염 방지 의미와 검증 방법

expectIPs는 라우팅 규칙이 아니라 해석 결과만 검증합니다. 결과가 주어진 geoip 목록에 없으면 버리고 순서대로 다음 서버를 시도합니다. 국내 항목에서 가장 많이 쓰는 작성법은 expectIPs: ["geoip:cn"]로, 로컬 DNS가 국내 IP만 받아들이도록 합니다.

{
  "address": "223.5.5.5",
  "domains": ["geosite:cn"],
  "expectIPs": ["geoip:cn", "geoip:private"]
}

expectIPs는 부정 표현도 지원하므로 해외 항목에 geoip:!cn을 추가해 국내 CDN 노드로 해석된 결과를 거부할 수 있습니다. 검증 실패 시 폴백 대신 바로 오류를 내고 싶다면 항목에 skipFallback: true를 추가하세요. geoip:private는 내부 네트워크 주소 대역을 허용하므로 내부 도메인이 잘못 버려지는 것을 방지합니다.

분할 해석이 적용되었는지 확인하기

1. 설정 → 매개변수 설정 → 기본 설정에서 로그 레벨을 debug로 올린 뒤 노드에 다시 연결합니다.
2. 해외 사이트 하나에 접속해 로그에서 해당 도메인이 첫 번째 DoH로 해석되고 조회가 프록시를 통해 나가는지 확인합니다.
3. 국내 사이트 하나에 접속해 조회가 223.5.5.5로 들어가고 응답이 geoip:cn 검증을 통과하는지 확인합니다.
4. 명령줄에서 nslookup www.qq.com 223.5.5.5를 실행해 로컬 DNS 자체가 정상 동작하는지 확인합니다.

자주 묻는 질문과 문제 해결

분할 해석 설정 후 문제가 생기면 아래 네 가지 순서로 점검하세요.