DHCP 이름 보호 예외 처리 문제

Question

SCCM을 통해 클라이언트 자동 재이미징을 반복적으로 수행하는 환경에서 문제가 발생했습니다. 새로 이미징된 클라이언트가 기존에 사용하던 DNS 호스트 레코드를 다시 등록하려고 하면, DHCP Name Protection이 이를 차단하면서 Access Denied 오류를 반환합니다. 이 때문에 정상적인 도메인 조인이 깨지고, 새로 배포된 시스템이 AD 환경에 제대로 합류하지 못합니다. 특히 자동화된 프로비저닝 계정이 기존 DNS 엔트리를 갱신하려 할 때 Name Protection 정책이 강제로 막아버리는 상황인데, 이는 대규모 자동화 배포 시 심각한 장애로 이어집니다. 이런 경우 자동화된 프로비저닝 계정만큼은 Name Protection 차단에서 예외 처리할 수 있는 방법이나 권장되는 설정이 있을까요 ?

Answer 1

안녕하세요, 최지원

지금 겪고 계신 문제는 DHCP Name Protection 과 SCCM 자동 재이미징 환경이 충돌할 때 흔히 발생하는 현상입니다. 이 기능은 악의적인 클라이언트가 기존 DNS 레코드를 덮어쓰는 것을 막기 위해 설계되었지만, 자동화된 프로비저닝 계정이 기존 호스트 이름을 다시 등록하려고 할 때도 차단해 버립니다. 아쉽게도 Name Protection 자체에는 예외 목록을 설정하는 기능은 없고, 권장되는 방법은 DNS 존 권한을 조정하여 프로비저닝 계정 에 해당 레코드를 갱신할 수 있는 권한을 명시적으로 부여하는 것입니다. 또 다른 방법은 재이미징된 클라이언트가 사용하는 DHCP 스코프에서는 Name Protection을 비활성화하고, 다른 영역에서는 계속 활성화해 보안을 유지하는 것입니다.

일부 관리자는 DNS 레코드를 사전에 등록(pre‑staging)하고 소유권을 프로비저닝 계정에 할당하여 업데이트가 차단되지 않도록 처리하기도 합니다. 더 엄격한 제어가 필요하다면 Dynamic DNS 업데이트 를 보안 업데이트 모드로 설정해 신뢰할 수 있는 계정만 레코드를 갱신하도록 하는 것도 좋은 방법입니다. 핵심은 Name Protection에서 예외를 기대하기보다는 DNS ACL이나 스코프 설정을 조정하는 쪽으로 접근하는 것입니다.