환경: Windows Server 2025 (Datacenter, Desktop Experience) / 단일 포리스트, 단일 도메인 홈랩

AD 홈랩을 세울 때 가장 먼저 정하는 게 도메인 이름인데, 여기서 잘못 고르면 나중에 되돌리는 비용이 큽니다. 저는 thoyslab.local 로 시작했습니다. 지금이라면 다르게 하겠습니다.

.local 이 문제인 이유

1. mDNS 가 이미 쓰고 있다

RFC 6762 는 .local 을 멀티캐스트 DNS 전용으로 예약했습니다. macOS 의 Bonjour, 리눅스의 Avahi 가 이 이름공간을 씁니다.

결과적으로 같은 네트워크에 macOS 나 리눅스 클라이언트가 있으면 이름 해석이 유니캐스트 DNS(도메인 컨트롤러)로 갈지 mDNS 로 갈지 예측이 어려워집니다. Windows 클라이언트만 있는 랩에서는 몇 달 동안 아무 문제 없다가, 맥북 한 대를 붙이는 순간 이상해집니다.

2. 공인 인증서를 받을 수 없다

CA/Browser Forum 규정에 따라, 공인 CA 는 2015년 11월 1일부터 내부 전용 이름(internal server name)에 대한 인증서를 발급하지 않습니다. .local 은 여기 해당합니다.

홈랩이라 사설 CA(AD CS)를 세우면 되긴 합니다. 실제로 그게 좋은 연습이기도 하고요. 하지만 나중에 이런 걸 붙이려 할 때 걸립니다.

• 하이브리드 구성에서 외부에 노출되는 엔드포인트
• ADFS / Entra Application Proxy
• 랩에서 만든 걸 그대로 실무 문서로 옮기려 할 때

3. 마이크로소프트 권장 사항이 아니다

MS 는 오래전부터 “본인이 소유한 공인 도메인의 하위 도메인”을 권장합니다.

그럼 뭘로 하나

소유한 도메인이 thoysinc.com 이라면:

ad.thoysinc.com

또는 corp.thoysinc.com, internal.thoysinc.com.

핵심은 내부 AD 이름공간과 외부 공개 이름공간을 분리하는 것입니다. thoysinc.com 을 그대로 AD 도메인으로 쓰면 (split-brain DNS) 도메인 컨트롤러가 그 존의 권한 서버가 되어 버립니다. 그러면 도메인 가입된 PC 에서 www.thoysinc.com 을 찾을 때 내부 존을 먼저 보고, 거기 www 레코드가 없으니 회사 홈페이지가 안 열립니다. 우리 회사 사이트는 Azure Static Web Apps 에 있고 메일은 M365 라, 내부 존에 www·autodiscover·MX 관련 레코드를 전부 수동으로 복제해 관리해야 한다는 뜻입니다. 유지보수 부채입니다.

단일 레이블 도메인(THOYSLAB 처럼 점이 없는 이름)은 더 나쁩니다. 지원되지 않는 구성이 많습니다.

이미 .local 로 만들었다면

선택지는 세 가지입니다.

A. 그냥 둔다. 홈랩이고 Windows 클라이언트만 붙일 거라면 실제로는 잘 돌아갑니다. 학습 목적이라면 충분합니다.

B. 도메인 이름을 바꾼다. rendom.exe 로 지원되는 절차가 있지만, 재부팅 두 번, 모든 멤버 서버 재부팅, GPO 참조 수정이 따라옵니다. 그리고 Exchange 가 설치된 포리스트에서는 지원되지 않습니다.

C. 갈아엎는다. 홈랩이라면 보통 이게 제일 빠릅니다. DC 를 재구축하는 절차 자체가 좋은 연습이고, 두 번째로 세울 때는 첫 번째보다 훨씬 깔끔해집니다.

저는 C 를 택했습니다. 새 포리스트를 세우는 스크립트는 다음 글에 정리합니다.

정리

항목	.local	ad.thoysinc.com
mDNS 충돌	있음	없음
공인 인증서	불가	가능
MS 권장	아니오	예
split-brain DNS	해당 없음	회피됨

홈랩이라도 실무에서 쓸 이름 규칙으로 세우는 게 낫습니다. 랩의 목적은 실무를 흉내내는 것이니까요.