DNS privat ta' Azure fuq VPN: endpoint tar-resolver jew forwarder
Iż-żewġ disinji jwieġbu żoni privati permezz tal-mina. Qabbel endpoint deħli ġestit ma' VM forwarder, imbagħad iċċekkja t-triq li trid teżisti fiż-żewġ każijiet.
Server fuq il-post jasal għal VM ta' Azure b'indirizz privat u xorta ma jistax isolvi l-isem tal-host privat tiegħu, li jwassal lil nies ifittxu tunnel miksur. It-tunnel huwa tajjeb. Li jonqos huwa fruntiera DNS: xejn fuq in-naħa lokali ma jaf li ċerta żona privata ta' Azure għandha tiġi mwieġba minn resolver ġewwa l-VNet. Żewġ disinji jagħlqu dik il-vojt, u huma differenti f'dak li fl-aħħar tamministra, mhux f'jekk il-mistoqsijiet jaħdmux.
It-tunnel iġorr mistoqsijiet, mhux għarfien taż-żoni
Konnessjoni bejn sit u sit tagħti lill-pakketti rotta bejn iż-żewġ netwerks. Ma tgħidx lis-server DNS lokali liema spazju tal-ismijiet jappartjeni lil Azure jew liema indirizz għandu jwieġeb, għalhekk il-mistoqsija jew tmur fuq l-internet u tiġi lura vojta, jew ma tħallix qatt ir-resolver lokali.
Is-sewqan għandu żewġ nofsijiet faċli biex jinfirdu. Nofs wieħed huwa resolver ġewwa l-VNet li jaċċetta mistoqsijiet li jaslu mill-mina. L-ieħor huwa forwarder kundizzjonali fuq in-naħa lokali li jibgħat eżattament spazju wieħed tal-ismijiet lil dak ir-resolver. Ebda nofs ma jaħdem waħdu.
Assumi li ż-żona hija cloud.corp.example għall-bqija ta' dan it-tiftix, u ttratta kull indirizz bħala illustrattiv.
Għażla A: l-endpoint deħli ġestit
Azure DNS Private Resolver jipprovdi endpoint deħli li jaċċetta mistoqsijiet DNS minn barra l-VNet. Inti tiskjerah f'subnet delegat iddedikat, torbot iż-żona privata ma' dik il-VNet, u tinnota l-indirizz deħli li jassenja s-servizz.
Fuq is-server DNS lokali mbagħad toħloq forwarder kundizzjonali għall-ispazju eżatt tal-ismijiet lejn dak l-indirizz:
Namespace: cloud.corp.example
Forward to: 10.20.2.4Il-proċedura DNS ibrida ta' Microsoft tiddokumenta kemm il-konnessjoni taż-żona kif ukoll il-pass tal-forwarder. It-triq ġestita ma tħallilekx software DNS x'taġġorna, u l-indirizz tal-endpoint jibqa' stabbli għall-ħajja kollha tar-riżorsa.
Il-prezz huwa li issa għandek riżorsa ta' resolver, id-delega tas-subnet tagħha u l-ispiża tagħha, li hija reali anki meta l-volum tal-mistoqsijiet huwa żgħir ħafna.
Għażla B: VM forwarder ġewwa l-VNet
Id-disinn eqdem iħaddem software DNS fuq VM ordinarja fil-VNet: Windows DNS, BIND jew dnsmasq, biż-żona privata jew ospitata lokalment jew mgħoddija lir-resolver ta' Azure f'168.63.129.16. Il-forwarder kundizzjonali lokali jindika lejn l-indirizz privat ta' dik il-VM.
Din l-għażla hija familjari għal timijiet li diġà jħaddmu servers DNS, u tista' ġġorr loġika addizzjonali bħar-reġistrazzjoni jew tweġibiet split-horizon. Tiret ukoll kull dmir operattiv ta' server DNS: l-għoti tal-patches, it-tieni istanza għad-disponibbiltà, il-monitoraġġ u triq ta' bini mill-ġdid meta l-VM tinbidel u l-indirizz tagħha jinbidel.
Host ordinarju tal-VNet mhuwiex proxy DNS sakemm is-servizz jiġi installat u jingħata permess iwieġeb lil dawk il-klijenti, u dan huwa l-pass li n-nies iħallu barra meta jikklojnaw VM.
Liema taqbel mal-operazzjoni tiegħek
Il-paragun mhuwiex dwar liema disinn huwa aktar malajr. Huwa dwar jekk tridx tamministra software DNS xorta waħda, u jekk il-volum tal-mistoqsijiet jiġġustifikax riżorsa ġestita li tiġi fatturata skont l-endpoint u skont il-mistoqsija.
| Question | Managed inbound endpoint | Forwarder VM |
|---|---|---|
| Software to patch | None | The DNS service on every instance |
| Address stability | Fixed for the resource lifetime | Tied to the VM or its reserved address |
| Availability work | Handled by the service | Second instance, health checks, failover |
| Extra logic | Limited to resolver features | Whatever the DNS software supports |
Liema ringiela tiddeċiedi, ir-regola tal-forwarder lokali tidher l-istess. Dan huwa l-parti li trid tkun teżisti fiż-żewġ disinji, u hija l-parti li l-aktar ta' spiss tonqos meta xi ħadd jirrapporta li s-soluzzjoni taħdem minn ġewwa Azure imma mhux mill-uffiċċju.
Iċċekkja t-triq fl-ordni
Ikkonferma li ż-żona hija marbuta mal-VNet li fiha r-resolver, u li l-forwarder lokali jsemmi l-ispazju tal-ismijiet u mhux dominju ġenitur. Forwarder għal corp.example mhux se jaqbel ma' cloud.corp.example sakemm ir-resolver stess ma jiddelegax, u n-nuqqas ta' qbil jipproduċi tweġiba negattiva nadifa li tidher bħal rekord nieqes.
Imbagħad iċċekkja li l-mistoqsija tasal għall-endpoint: is-sors lokali għandu bżonn rotta lejn l-indirizz tar-resolver u triq lura, u l-port 53 għal UDP u TCP għandu jiġi permess fejn il-politika tippermetti. NSG ma jistax jipprovdi rekord taż-żona nieqes, u żona korretta ma tistax twieġeb mistoqsija li qatt ma tasal.
Żomm l-FQDN mitlub ħdejn ir-resolver li għażilt meta tiddijanjostika, u ifred timeout minn tweġiba negattiva. Timeout hija problema ta' triq jew politika. Tweġiba negattiva tfisser li l-mistoqsija waslet u l-ispazju tal-ismijiet ma qabilx. Ordni tax-xogħol: orbot iż-żona, żid il-forwarder kundizzjonali, iftaħ il-port 53 fiż-żewġ direzzjonijiet, ipprova isem wieħed mill-post, u biss imbagħad ħares lejn l-awtorizzazzjoni tal-applikazzjoni stess.