Warum kann ich Domain-Namen nicht über meine Amazon VPC-Peering-Verbindung auflösen?

Lösung

Wenn du deine Amazon VPC mit AmazonProvidedDNS konfiguriert hast und die Domain-Namen nicht über eine Peering-Verbindung auflösen kannst, schließe die Auflösung für deine Konfiguration ab.

Dein Domain-Name wird in das öffentliche DNS einer Amazon EC2-Instance aufgelöst, die in der Peering-VPC erstellt wurde

Um den öffentlichen Domain-Namen in die private IP-Adresse der Amazon Elastic Compute Cloud (Amazon EC2)-Instance aufzulösen, aktiviere die DNS-Auflösung für die VPC-Peering-Verbindung. Führe dann den folgenden Befehl aus, um zu überprüfen, ob das öffentliche DNS in die private IP-Adresse der EC2-Instance aufgelöst wird:

dig ec2-35-88-61-144.us-west-2.compute.amazonaws.com +short

Beispielausgabe:

172.31.12.97

Greife über VPC Peering auf öffentliche Amazon RDS DB-Instances zu

Wenn du eine Amazon Relational Database Service (Amazon RDS)-DB-Instance mit aktiviertem öffentlichen Zugriff erstellt hast, weist Amazon RDS der Datenbank eine öffentliche IP-Adresse zu. Der RDS-Endpunkt wird in eine öffentliche IP-Adresse aufgelöst, und andere Ressourcen außerhalb der VPC können eine Verbindung zu deiner Datenbank herstellen.

Um über eine VPC-Peering-Verbindung privat auf den öffentlichen RDS-Endpunkt zuzugreifen, aktiviere die Optionen DNS-Auflösung des Requesters und DNS-Auflösung des Accepters für das VPC-Peering.

Um zu überprüfen, ob du privat auf den öffentlichen RDS-Endpunkt zugreifen kannst, führe einen Befehl ähnlich dem folgenden aus:

dig database-test.1234abcde-east-1.rds.amazonaws.com +short

Beispielausgabe:

ec2-35-88-61-144.us-west-2.compute.amazonaws.com
172.31.12.97

Wenn du Probleme mit der DNS-Auflösung hast, ergreife die folgenden Maßnahmen:

• Überprüfe die Quell-VPC- und die Ziel-VPC-ID.
• Bestätige, dass eine aktive Peering-Verbindung zwischen der Quell- und der Ziel-VPC besteht.
• Überprüfe die DNS-Konfiguration für die Peering-Verbindung. Stelle sicher, dass du die DNS-Auflösung sowohl für die Requester- als auch für die Accepter-VPCs aktiviert hast.
• Stelle sicher, dass der öffentliche Domain-Name, den du auflöst, existiert. Überprüfe die Ziel-VPC, um sicherzustellen, dass es eine Instance mit der im Domain-Namen genannten öffentlichen IP-Adresse gibt.
• Überprüfe, ob die DNS-Konfiguration in der VPC AmazonProvidedDNS oder CustomDNS ist. Wenn du ein benutzerdefiniertes DNS verwendest, stelle sicher, dass das benutzerdefinierte DNS den Domain-Namen der öffentlichen Instance auflöst. Wenn das benutzerdefinierte DNS den Domain-Namen nicht auflösen kann, füge entweder einen statischen DNS-Datensatz hinzu oder leite die Abfrage an AmazonProvidedDNS um.

Dein Domain-Name wird in den Domain-Namen der Services aufgelöst, die in einer Peering-VPC erstellt wurden

Domain-Namen von Service-Endpunkten, wie ssm.us-east-1.amazonaws.com, werden in die öffentliche IP-Adresse aufgelöst. Dies gilt auch dann, wenn in der Peering-VPC ein Schnittstellenendpunkt mit aktivierter privater DNS-Option erstellt wurde. Diese Namen werden in private IP-Adressen aufgelöst, wenn sie von der VPC aus abgefragt werden, in der du den Schnittstellenendpunkt erstellt hast.

Um die Endpunkt-Domain-Namen von einer Peering-VPC in private Endpunkt-IP-Adressen aufzulösen, musst du über die richtige DNS-Architektur verfügen.

Für das folgende Beispiel hast du den Schnittstellen-VPC-Endpunkt auf VPC A konfiguriert. Um den Service-Domain-Namen in die Schnittstellen-VPC-Endpunkt-IP-Adressen in VPC A von VPC B aufzulösen, führe die folgenden Schritte aus:

1. Erstelle einen Schnittstellenendpunkt für den Service mit deaktiviertem PrivateDNS.
2. Verwende den Namen der Service-Domain, um eine private gehostete Zone zu erstellen, z. B. ssm.us-east-1.amazonaws.com. Erstelle die Zone aus dem AWS-Konto, in dem du den Schnittstellenendpunkt erstellt hast.
3. Stelle sicher, dass du die DNS-Hostnamen und die DNS-Auflösung für beide VPCs in der Peering-Verbindung aktivierst.
4. Erstelle einen Alias-Datensatz, der den Service-Domain-Namen auf den regionalen Endpunkt des Schnittstellenendpunkt-DNS verweist, z. B. vpce-057d3426e21755b8a-svk1k3tm.ssm.us-east-1.vpce.amazonaws.com. Oder erstelle einen Datensatz, der den Namen der Service-Domain auf die privaten IP-Adressen des Schnittstellen-VPC-Endpunkts verweist, den du in VPC A erstellt hast.
5. Ordne die privat gehostete Zone, die du erstellt hast, der Peering-VPC zu. Wenn VPC B kontoübergreifend ist, findest du weitere Informationen unter Wie verknüpfe ich eine privat gehostete Amazon Route 53-Zone mit einer VPC auf einem anderen Konto?

Wenn du deine Endpunkt-Domain-Namen immer noch nicht in eine private Endpunkt-IP-Adresse von einer Peering-VPC auflösen kannst, gehe wie folgt vor:

• Überprüfe die Quell-VPC- und die Ziel-VPC-ID.
• Stelle sicher, dass eine aktive Peering-Verbindung zwischen der Quell- und der Ziel-VPC besteht.
• Stelle sicher, dass du die DNS-Hostnamen und die DNS-Auflösung für beide VPCs in der Peering-Verbindung aktiviert hast.
• Überprüfe, ob es sich bei dem DNS, das du in der VPC konfiguriert hast, um AmazonProvidedDNS oder CustomDNS handelt. Wenn du ein benutzerdefiniertes DNS verwendest, stelle sicher, dass das benutzerdefinierte DNS den Domain-Namen auflösen kann. Wenn das benutzerdefinierte DNS den Domain-Namen nicht auflösen kann, füge einen statischen DNS-Datensatz hinzu. Wenn das Problem dadurch nicht behoben wird, konfiguriere benutzerdefiniertes DNS, um die Abfrage an AmazonProvidedDNS weiterzuleiten.
• Stelle sicher, dass du beide Peering-VPCs derselben privaten gehosteten Zone zugeordnet hast, in der du den Domain-Namendatensatz erstellt hast.
• Stelle sicher, dass die Datensätze auf die richtigen regionsspezifischen VPC-Endpunkt-Domain- oder Schnittstellenendpunkt-IP-Adressen verweisen.

Du hast deinen benutzerdefinierten Domain-Namen in einer privat gehosteten Zone erstellt

Die folgenden Szenarien können zu Problemen mit der benutzerdefinierten Domain-Namenauflösung über eine VPC-Peering-Verbindung führen:

• Du hast eine privat gehostete Zone für einen benutzerdefinierten Domain-Namen erstellt, der verwendet wird, um die Domain in einen Datensatz aufzulösen, der in einer privat gehosteten Zone erstellt wurde.
• Du hast VPC A einer privat gehosteten Zone zugeordnet.
• Du hast eine Peering-Verbindung von VPC B zu VPC A hergestellt.

Um diese Probleme zu beheben, verknüpfe VPC B mit der privat gehosteten Zone für die benutzerdefinierte Domain, in der du den Datensatz erstellt hast. Nachdem du die Zuordnung vorgenommen hast, kannst du den benutzerdefinierten Domain-Namen in einer privat gehosteten Zone aus Ressourcen in beiden Peering-VPCs auflösen.

Wenn nach dem Zuordnen von VPC B zur privat gehosteten Zone Probleme auftreten, ergreife die folgenden Maßnahmen:

• Überprüfe die Quell-VPC- und die Ziel-VPC-ID.
• Überprüfe, ob es sich bei dem in der VPC konfigurierten DNS um AmazonProvidedDNS oder CustomDNS handelt. Wenn du ein benutzerdefiniertes DNS verwendest, kannst du keine Datensätze auflösen, die in privat gehosteten Zonen gehostet werden. Um dies zu korrigieren, füge dem benutzerdefinierten DNS einen statischen Domain-Namendatensatz hinzu. Oder konfiguriere ein benutzerdefiniertes DNS, um die Abfrage an AmazonprovidedDNS weiterzuleiten.
• Wenn du das von Amazon bereitgestellte DNS verwendest, überprüfe die Domain, die du auflösen möchtest, und ob sie auf Route 53 oder On-Premises gehostet wird.
  Hinweis: Wenn sie On-Premises gehostet wird, stelle sicher, dass du den ausgehenden Resolver-Endpunkt, der zum Weiterleiten der Abfrage an das On-Premises-DNS verwendet wird, richtig konfiguriert hast. Wenn sie in einer privat gehosteten Route 53-Zone gehostet wird, stelle sicher, dass du die Quell-VPC der privat gehosteten Zone zugeordnet hast. Die Quell-VPC ist der Ort, von dem aus du versuchst, den benutzerdefinierten Domain-Namen aufzulösen.
• Stelle sicher, dass für den vollqualifizierten Domain-Namen (FQDN), den du auflösen möchtest, ein Datensatz in der privat gehosteten Zone erstellt wurde.