Come posso configurare un endpoint in entrata del risolutore Route 53 per risolvere i record DNS nella mia zona ospitata privata dalla mia rete remota?

Breve descrizione

Amazon Virtual Private Cloud (Amazon VPC) fornisce una risoluzione DNS automatica tramite risolutore Route 53. Crea un endpoint in entrata per consentire query DNS da una rete remota alla zona ospitata privata.

Risoluzione

Per configurare un endpoint in entrata del risolutore Amazon Route 53 in modo che la rete remota possa risolvere i record in una zona ospitata privata, completa i seguenti passaggi.

Nota: se ricevi errori quando esegui i comandi dell'Interfaccia della linea di comando AWS (AWS CLI), consulta Risoluzione degli errori per AWS CLI. Inoltre, assicurati di utilizzare la versione più recente di AWS CLI.

1. Attiva i nomi host e la risoluzione DNS negli attributi di supporto DNS per l'Amazon VPC per cui intendi creare un endpoint in entrata.
2. Associa la zona ospitata privata ad Amazon VPC.

Se la zona ospitata privata e Amazon VPC appartengono allo stesso account AWS, completa i seguenti passaggi:

1. Apri la console Route 53.
2. Nel pannello di navigazione, scegli Zone ospitate.
3. Seleziona la zona ospitata privata che contiene i record per cui desideri eseguire query.
4. Utilizza la barra di ricerca per trovare l'Amazon VPC, quindi scegli Associa nuovo VPC.

Se la zona ospitata privata e Amazon VPC si trovano in account AWS diversi, completa i seguenti passaggi:

1. Utilizza AWS CLI per eseguire l'associazione multi-account.
   Per ulteriori informazioni, consulta Come posso associare una zona ospitata privata di Route 53 a un VPC su un altro account AWS?
2. Verifica che il server DNS on-premises invii solo query ricorsive.
3. Verifica che la tabella di routing associata alla sottorete in cui intendi creare l'endpoint in entrata includa una route verso la rete on-premises.
4. Se la sottorete utilizza ACL di rete personalizzate, aggiorna le regole per consentire il seguente traffico:
   Traffico UDP e TCP in uscita verso il server DNS on-premises nell'intervallo di porte 1024-65535.
   Traffico UDP e TCP in entrata dal server DNS on-premises sulla porta 53.
5. Configura il gruppo di sicurezza per l'endpoint in entrata in modo da consentire il traffico TCP e UDP sulla porta 53 dall'indirizzo IP del server DNS on-premises.
6. Se esiste un firewall tra la rete on-premises e AWS, consenti il traffico TCP e UDP sulla porta 53 per gli indirizzi IP del server DNS.
7. Assicurati che la connettività agli indirizzi IP degli endpoint in entrata avvenga tramite AWS Direct Connect o VPN.

Configura l'endpoint in entrata

Per configurare l'endpoint in entrata, completa i seguenti passaggi:

1. Apri la console Route 53.
2. Nel pannello di navigazione, seleziona Endpoint in entrata.
3. Nella barra di navigazione, scegli la Regione AWS in cui si trova l'Amazon VPC.
4. Scegli Crea endpoint in entrata.
5. In Impostazioni generali per l'endpoint in entrata, scegli l'Amazon VPC nella Regione in cui si trova la zona ospitata privata. Scegli un gruppo di sicurezza che consenta il traffico UDP e TCP in entrata dalla rete remota sulla porta di destinazione 53.
6. Scegli da 2 a 6 indirizzi IP. Consenti a Route 53 di selezionare gli indirizzi IP dalla sottorete o di specificarli. Utilizza gli indirizzi IP di almeno due zone di disponibilità.
7. Per ogni indirizzo IP, scegli una sottorete che soddisfi i seguenti requisiti:
   La tabella di routing include route verso gli indirizzi IP del risolutore DNS sulla rete remota.
   L'ACL di rete consente il traffico UDP e TCP dalla rete remota sulla porta 53.
   L'ACL di rete consente il traffico UDP e TCP verso la rete remota sull'intervallo di porte di destinazione 1024-65535.
8. (Facoltativo) Compila la sezione Tag.
9. Scegli Crea endpoint in entrata.

Nota: gli endpoint in entrata di Route 53 non hanno un nome di dominio completo (FQDN). Quando crei l'endpoint, Route 53 crea interfacce di rete elastiche nella sottorete. Questi indirizzi IP inoltrano query DNS al risolutore.

Testa la configurazione

Per testare la configurazione, completa i seguenti passaggi:

1. Configura il server DNS remoto per inoltrare le query DNS per il nome di dominio della zona ospitata privata agli indirizzi IP degli endpoint in entrata.
2. Imposta il server DNS per inoltrare query anziché delegare l'autorità per il nome di dominio.
3. Verifica che il server DNS remoto invii solo query DNS ricorsive.
4. Se il server DNS on-premises invia una query DNS con Ricorsione desiderata impostata su 0, l'endpoint in entrata non risponde. Individua queste informazioni nell'acquisizione di pacchetti.
5. Se utilizzi AWS Transit Gateway, associa la sottorete dell'endpoint in entrata al collegamento del gateway di transito alla VPN.
6. Verifica la risoluzione di uno dei record nella zona ospitata privata da un client sulla rete remota.

Nei seguenti comandi, sostituisci RECORD_NAME e RECORD_TYPE con i valori corrispondenti:

• Per Linux o macOS, esegui dig RECORD_NAME RECORD_TYPE come nell'esempio seguente: dig example.com A
• Per Windows, esegui nslookup RECORD_NAME RECORD_TYPE come nell'esempio seguente: nslookup example.com

Informazioni correlate

Risoluzione delle query DNS tra i VPC e la tua rete

Inoltro di query DNS in uscita alla rete

Gestione degli endpoint in uscita

Come posso risolvere i problemi di risoluzione DNS con gli endpoint del resolver Route 53?