DNS preifat Azure dros VPN: pwynt terfyn datryswr neu forwarder

Mae gweinydd ar y safle yn cyrraedd VM Azure drwy gyfeiriad preifat ac yn dal i fethu datrys ei enw gwesteiwr preifat, sy'n gyrru pobl i chwilio am dwnnel wedi torri. Mae'r twnnel yn iawn. Yr hyn sydd ar goll yw ffin DNS: nid oes unrhyw beth ar yr ochr safle yn gwybod y dylai datryswr y tu mewn i'r VNet ateb parth preifat penodol o Azure. Mae dau gynllun yn cau'r bwlch hwnnw, ac maent yn wahanol yn yr hyn a weithredwch yn y diwedd, nid yn yr a yw ymholiadau'n gweithio.

Mae'r twnnel yn cario ymholiadau, nid gwybodaeth am barthau

Mae cysylltiad safle-i-safle yn rhoi llwybr i becynnau rhwng y ddau rwydwaith. Nid yw'n dweud wrth weinydd DNS y safle pa ofod enwau sy'n perthyn i Azure na pha gyfeiriad ddylai ateb, felly mae'r ymholiad naill ai'n mynd i'r rhyngrwyd ac yn dychwelyd yn wag, neu byth yn gadael y datryswr lleol.

Mae gan yr atgyweiriad ddwy hanner sy'n hawdd eu gwahanu. Un hanner yw datryswr y tu mewn i'r VNet sy'n derbyn ymholiadau sy'n cyrraedd dros y twnnel. Y llall yw forwarder amodol ar yr ochr safle sy'n anfon un gofod enwau yn union at y datryswr hwnnw. Nid yw'r naill hanner yn gweithio ar ei ben ei hun.

Cymerwch mai'r parth yw cloud.corp.example am weddill y daith hon, a thriniwch bob cyfeiriad fel un enghreifftiol.

Opsiwn A: y pwynt terfyn mewnol a reolir

Mae Azure DNS Private Resolver yn darparu pwynt terfyn mewnol sy'n derbyn ymholiadau DNS o'r tu allan i'r VNet. Rydych yn ei osod mewn is-rwydwaith dirprwyedig bwrpasol, yn cysylltu'r parth preifat â'r VNet honno, ac yn nodi'r cyfeiriad mewnol y mae'r gwasanaeth yn ei bennu.

Ar weinydd DNS y safle rydych wedyn yn creu forwarder amodol ar gyfer y gofod enwau uniongyrchol tuag at y cyfeiriad hwnnw:

Namespace: cloud.corp.example
Forward to: 10.20.2.4

Mae gweithdrefn DNS hybrid Microsoft yn dogfennu cysylltiad y parth a cham y forwarder ill dau. Mae'r llwybr a reolir yn gadael dim meddalwedd DNS i'w glytio, ac mae cyfeiriad y pwynt terfyn yn aros yn sefydlog am oes yr adnodd.

Y gost yw eich bod bellach yn berchen ar adnodd datryswr, ei ddirprwyaeth is-rwydwaith a'i gost, sy'n real hyd yn oed pan fo maint yr ymholiadau'n fach iawn.

Opsiwn B: VM forwarder y tu mewn i'r VNet

Mae'r cynllun hŷn yn rhedeg meddalwedd DNS ar VM cyffredin yn y VNet: Windows DNS, BIND neu dnsmasq, gyda'r parth preifat naill ai'n cael ei gynnal yn lleol neu'n cael ei anfon ymlaen at ddatryswr Azure yn 168.63.129.16. Mae'r forwarder amodol ar y safle yn pwyntio at gyfeiriad preifat y VM honno.

Mae'r opsiwn hwn yn gyfarwydd i dimau sy'n rhedeg gweinyddion DNS yn barod, a gall gario rhesymeg ychwanegol fel cofnodi neu atebion split-horizon. Mae hefyd yn etifeddu pob dyletswydd weithredol gweinydd DNS: clytio, ail enghraifft ar gyfer argaeledd, monitro, a llwybr ailadeiladu pan fydd y VM yn cael ei disodli a'i chyfeiriad yn newid.

Nid yw gwesteiwr VNet cyffredin yn ddirprwy DNS nes bod y gwasanaeth wedi'i osod a chaniatâd iddo ateb y cleientiaid hynny, a dyna'r cam y mae pobl yn ei hepgor wrth glonio VM.

Pa un sy'n addas i'ch gweithrediad

Nid yw'r gymhariaeth yn ymwneud â pha gynllun sy'n gyflymach. Mae'n ymwneud ag a ydych am redeg meddalwedd DNS o gwbl, ac a yw maint yr ymholiadau'n cyfiawnhau adnodd a reolir sy'n bilio fesul pwynt terfyn a fesul ymholiad.

Pa bynnag res sy'n penderfynu, mae'r rheol forwarder ar y safle yr un fath. Dyma'r rhan sy'n rhaid bodoli yn y ddau gynllun, a dyma'r rhan sy'n amlaf yn eisiau pan fydd rhywun yn adrodd bod datrysiad yn gweithio o fewn Azure ond nid o'r swyddfa.

Gwiriwch y llwybr yn ei drefn

Cadarnhewch fod y parth wedi'i gysylltu â'r VNet sy'n dal y datryswr, a bod y forwarder safle yn enwi'r gofod enwau yn hytrach na pharth rhiant. Ni fydd forwarder ar gyfer corp.example yn cyfateb i cloud.corp.example oni bai bod y datryswr ei hun yn dirprwyo, ac mae'r anghysondeb yn cynhyrchu ateb negyddol glân sy'n edrych fel cofnod ar goll.

Yna gwiriwch fod yr ymholiad yn cyrraedd y pwynt terfyn: mae angen llwybr at gyfeiriad y datryswr a llwybr dychwelyd ar y ffynhonnell safle, a dylid caniatáu porth 53 ar gyfer UDP a TCP ill dau lle mae'r polisi'n caniatáu. Ni all NSG ddarparu cofnod parth sydd ar goll, ac ni all parth cywir ateb ymholiad nad yw byth yn cyrraedd.

Cadwch yr FQDN a ofynnwyd wrth ymyl y datryswr a ddewiswyd gennych wrth ddiagnosio, a gwahanwch derfyn amser oddi wrth ateb negyddol. Mae terfyn amser yn broblem llwybr neu bolisi. Mae ateb negyddol yn golygu bod yr ymholiad wedi cyrraedd ac nad oedd y gofod enwau'n cyfateb. Trefn y gwaith: cysylltwch y parth, ychwanegwch y forwarder amodol, agorwch borth 53 y ddwy ffordd, profwch un enw o'r safle, ac yna'n unig edrychwch ar awdurdodiad yr ap ei hun.