VPN හරහා Azure පෞද්ගලික DNS: resolver අන්ත ලක්ෂ්‍යය හෝ forwarder
නිර්මාණ දෙකම උමං හරහා පෞද්ගලික කලාපවලට පිළිතුරු දෙයි. කළමනාකරණය කරන ලද ඇතුළත අන්ත ලක්ෂ්‍යය forwarder VM එකක් සමඟ සසඳා, පසුව ඕනෑම අවස්ථාවක තිබිය යුතු මාර්ගය පරීක්ෂා කරන්න.
පරිශ්‍රයේ සේවාදායකයක් පෞද්ගලික ලිපිනයකින් Azure VM වෙත ළඟා වුවත් එහි පෞද්ගලික සත්කාරක නාමය විසඳිය නොහැක, එයින් මිනිසුන් කැඩුණු උමං සොයන්නට යයි. උමං හොඳින් ඇත. නොමැති දෙය DNS මායිමකි: පරිශ්‍රයේ පැත්තේ කිසිවක් නොදනී යම් Azure පෞද්ගලික කලාපයකට VNet තුළ ඇති resolver එකක් පිළිතුරු දිය යුතු බව. මෙම හිඩැස පුරවන නිර්මාණ දෙකක් ඇත, ඒවා අවසානයේ ඔබ කළමනාකරණය කරන දෙයින් වෙනස් වේ, විමසුම් ක්‍රියා කරයිද යන්නෙන් නොවේ.
උමං විමසුම් ගෙන යයි, කලාප දැනුම නොවේ
අඩවි-සිට-අඩවි සම්බන්ධතාවයක් පැකට්ටු දෙකට ජාල දෙකක් අතර මාර්ගයක් ලබා දෙයි. එය පරිශ්‍රයේ DNS සේවාදායකයට පවසන්නේ නැත කුමන නාම අවකාශය Azure ට අයත් ද හෝ කුමන ලිපිනය පිළිතුරු දිය යුතු ද, එබැවින් විමසුම එක්කෝ අන්තර්ජාලයට ගොස් හිස්ව ආපසු එයි, නැතහොත් දේශීය resolver එක කිසිදා නොහැර යයි.
විසඳුමේ පහසුවෙන් වෙන් කළ හැකි අර්ධ දෙකක් ඇත. එක් අර්ධයක් උමං හරහා පැමිණෙන විමසුම් පිළිගන්නා VNet තුළ ඇති resolver එකකි. අනෙක් අර්ධය පරිශ්‍රයේ පැත්තේ කොන්දේසි සහිත forwarder එකකි, එය හරියටම එක් නාම අවකාශයක් එම resolver වෙත යවයි. කිසිදු අර්ධයක් තනිව ක්‍රියා නොකරයි.
මෙම විස්තරයේ ඉතිරි කොටස සඳහා කලාපය cloud.corp.example යැයි උපකල්පනය කරන්න, සහ සෑම ලිපිනයක්ම නිදර්ශනයක් ලෙස සලකන්න.
විකල්පය A: කළමනාකරණය කරන ලද ඇතුළත අන්ත ලක්ෂ්‍යය
Azure DNS Private Resolver VNet ට පිටතින් එන DNS විමසුම් පිළිගන්නා ඇතුළත අන්ත ලක්ෂ්‍යයක් සපයයි. ඔබ එය කැපවූ පැවරුම් කළ උපජාලයක් තුළ වියෝජනය කරයි, පෞද්ගලික කලාපය එම VNet වෙත සම්බන්ධ කරයි, සහ සේවාව විසින් පවරන ඇතුළත ලිපිනය සටහන් කරයි.
පසුව පරිශ්‍රයේ DNS සේවාදායකයේ හරියටම නාම අවකාශය සඳහා එම ලිපිනය දෙසට කොන්දේසි සහිත forwarder එකක් සාදයි:
Namespace: cloud.corp.example
Forward to: 10.20.2.4Microsoft හි දෙමුහුන් DNS ක්‍රියාපටිපාටිය කලාප සම්බන්ධතාවය සහ forwarder පියවර දෙකම ලේඛනගත කරයි. කළමනාකරණය කරන මාර්ගය පැච් කිරීමට DNS මෘදුකාංගයක් ඉතිරි නොකරයි, සහ අන්ත ලක්ෂ්‍ය ලිපිනය සම්පත්‍රයේ මුළු ආයුෂ පුරා ස්ථාවරව පවතී.
මිල වන්නේ දැන් ඔබට resolver සම්පත්‍රයක්, එහි උපජාල පැවරුම සහ එහි පිරිවැය ඇති බවයි, එය විමසුම් ප්‍රමාණය ඉතා කුඩා වුවත් සැබෑ ය.
විකල්පය B: VNet තුළ forwarder VM
පැරණි නිර්මාණය VNet හි සාමාන්‍ය VM එකක DNS මෘදුකාංග ධාවනය කරයි: Windows DNS, BIND හෝ dnsmasq, පෞද්ගලික කලාපය දේශීයව සත්කාරකත්වය දෙයි හෝ 168.63.129.16 හි Azure resolver වෙත යවයි. පරිශ්‍රයේ කොන්දේසි සහිත forwarder එම VM හි පෞද්ගලික ලිපිනය දෙසට යොමු වේ.
මෙම විකල්පය දැනටමත් DNS සේවාදායක ධාවනය කරන කණ්ඩායම්වලට හුරුපුරුදු වන අතර ලොග් කිරීම හෝ split-horizon පිළිතුරු වැනි අමතර තර්කනයක් රැගෙන යා හැක. එය DNS සේවාදායකයක සෑම මෙහෙයුම් යුතුකමක්ම උරුම වේ: පැච් කිරීම, ලබා ගැනීම සඳහා දෙවන අවස්ථාව, අධීක්ෂණය, සහ VM ප්‍රතිස්ථාපනය වී එහි ලිපිනය වෙනස් වන විට නැවත ගොඩනැගීමේ මාර්ගය.
සාමාන්‍ය VNet සත්කාරකයක් DNS ප්‍රොක්සියක් නොවේ සේවාව ස්ථාපනය කර එම සේවාදායකයන්ට පිළිතුරු දීමට අවසර ලබන තෙක්, සහ VM පිටපත් කරන විට මිනිසුන් මඟ හරින පියවර එයයි.
ඔබේ මෙහෙයුමට ගැළපෙන්නේ කුමක්ද
සංසන්දනය කුමන නිර්මාණය වේගවත් ද යන්න නොවේ. එය ඔබ DNS මෘදුකාංග කළමනාකරණය කිරීමට කැමති ද යන්න, සහ විමසුම් ප්‍රමාණය අන්ත ලක්ෂ්‍යය සහ විමසුම අනුව බිල්පත් කරන කළමනාකරණ සම්පත්‍රයක් සාධාරණීකරණය කරන්නේ ද යන්නයි.
| Question | Managed inbound endpoint | Forwarder VM |
|---|---|---|
| Software to patch | None | The DNS service on every instance |
| Address stability | Fixed for the resource lifetime | Tied to the VM or its reserved address |
| Availability work | Handled by the service | Second instance, health checks, failover |
| Extra logic | Limited to resolver features | Whatever the DNS software supports |
කුමන පේළියක් තීරණය කළත්, පරිශ්‍රයේ forwarder රීතිය එකම ලෙස පෙනේ. මෙම කොටස නිර්මාණ දෙකෙහිම තිබිය යුතුය, සහ Azure තුළින් විසඳුම ක්‍රියා කරන නමුත් කාර්යාලයෙන් ක්‍රියා නොකරන බව යමෙකු වාර්තා කරන විට වඩාත්ම නොමැති වන කොටසද එයයි.
මාර්ගය පිළිවෙළින් පරීක්ෂා කරන්න
කලාපය resolver ඇති VNet වෙත සම්බන්ධ ද, පරිශ්‍රයේ forwarder මව් වසමක් නොව නාම අවකාශය නම් කරන්නේ ද යන්න තහවුරු කරන්න. corp.example සඳහා forwarder, resolver ම විසින් පැවරුම් නොකරන්නේ නම් cloud.corp.example සමඟ නොගැළපේ, සහ මෙම නොගැළපීම නැති වූ වාර්තාවක් මෙන් පෙනෙන පිරිසිදු සෘණාත්මක පිළිතුරක් ලබා දෙයි.
පසුව විමසුම අන්ත ලක්ෂ්‍යයට ළඟා වේ ද යන්න පරීක්ෂා කරන්න: පරිශ්‍රයේ මූලාශ්‍රයට resolver ලිපිනයට මාර්ගයක් සහ ආපසු මාර්ගයක් අවශ්‍යයි, සහ ප්‍රතිපත්තිය අවසර දෙන තැන UDP සහ TCP දෙකටම 53 වරාය විවෘත විය යුතුය. NSG එකකට නැති වූ කලාප වාර්තාවක් සැපයිය නොහැක, සහ නිවැරදි කලාපයකට කිසිදා නොපැමිණෙන විමසුමකට පිළිතුරු දිය නොහැක.
රෝග විනිශ්චය කරන විට ඉල්ලා සිටි FQDN තෝරාගත් resolver අසල තබාගන්න, සහ කාල ඉකුත්වීම සෘණාත්මක පිළිතුරෙන් වෙන් කරන්න. කාල ඉකුත්වීම මාර්ගයේ හෝ ප්‍රතිපත්තියේ ගැටලුවකි. සෘණාත්මක පිළිතුර යනු විමසුම පැමිණි අතර නාම අවකාශය නොගැළපුණි. වැඩ පිළිවෙළ: කලාපය සම්බන්ධ කරන්න, කොන්දේසි සහිත forwarder එකක් එකතු කරන්න, දිශා දෙකෙහිම 53 වරාය විවෘත කරන්න, පරිශ්‍රයේ සිට එක් නාමයක් පරීක්ෂා කරන්න, පසුව පමණක් යෙදුමේම අවසරය බලන්න.