Windows DNS 서버에서 조건부 전달자를 사용할 때 CNAME 레코드 확인 문제를 해결하려면 어떻게 해야 합니까?

간략한 설명

---

다음 환경에서 Windows DNS 서버 또는 AWS 디렉터리 서비스와 해당 조건부 전달자를 사용하는 경우 CNAME 레코드 확인 문제가 발생합니다.

• 프라이빗 온프레미스 설정에 있는 Windows DNS 서버는 조건부 전달자를 사용하여 Amazon Route 53 Resolver의 인바운드 엔드포인트로 DNS 쿼리를 전송합니다.
• 프라이빗 Amazon 가상 프라이빗 클라우드(VPC) 설정의 Windows DNS 서버는 조건부 전달자를 사용하여 DNS 쿼리를 Route 53 확인자에게 보냅니다.

해결 방법

DNS 클라이언트가 NOERROR 응답을 받지만 프라이빗 호스팅 영역에 있는 CNAME 레코드 값을 확인할 수 없습니다.

이 문제는 Windows DNS 서버에 CNAME 레코드(cname.example.com)에 대한 조건부 전달자가 있지만 CNAME 레코드 값(example.net)에 대한 조건부 전달자는 없는 경우에 발생합니다.

Windows DNS 서버가 쿼리를 Amazon Route 53에 전달하면 Route 53 확인자는 cname.example.com과 example.net을 확인하고 A 레코드로 응답합니다. 이 응답은 각 레코드의 TTL(Time To Live)을 기반으로 Windows DNS 서버에 캐시됩니다. DNS 서버에 cname.example.com에 대한 유효한 캐시가 있지만 example.net에 대한 캐시가 만료된 경우 DNS 서버는 CNAME 레코드 값만 반환합니다. Route 53 해석기가 CNAME 쿼리를 관리하는 방법에 대한 자세한 내용은 Amazon Route 53 DNS의 모범 사례에서 CNAME 레코드를 참조하십시오.

다음 예제 출력은 다양한 조건부 전달자 구성을 보여줍니다.

호스팅 영역 정보

Public Hosted Zone (example.com)  
cname.example.com CNAME Simple - No example.net 300  

Private Hosted Zone (example.net)  
example.net A Simple - No 10.0.0.100 10 - - -

레코드에 대한 캐시 없이 cname.example.com에 대해서만 생성된 조건부 전달자를 사용한 초기 dig 쿼리

$ dig cname.example.com. +noedns +noquestion

; <<>> DiG 9.16.48-RH <<>> cname.example.com.
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38053 <- NOERROR response
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; ANSWER SECTION:
cname.example.com. 300 IN CNAME example.net.
example.net. 10 IN A 10.0.0.100 <- A record IP address of example.net

;; Query time: 10 msec
;; SERVER: 10.0.0.53#53(10.0.0.53) <- a client's own Windows DNS server
;; WHEN: Sat Mar 09 22:11:34 UTC 2024
;; MSG SIZE rcvd: 110

cname.example.com에 대해서만 생성되고 cname.example.com에 대해서만 유효한 캐시를 생성하는 조건부 전달자를 사용한 dig 쿼리

$ dig cname.example.com. +noedns +noquestion

; <<>> DiG 9.16.48-RH <<>> cname.example.com.
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 47918 <- NOERROR response
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; ANSWER SECTION:
cname.example.com. 280 IN CNAME example.net. <- No IP address returned

;; Query time: 0 msec <- Query time is 0 because it's a cache response
;; SERVER: 10.0.0.53#53(10.0.0.53) <- a client's own Windows DNS server
;; WHEN: Sat Mar 09 22:11:54 UTC 2024
;; MSG SIZE rcvd: 94

두 레코드 모두에 대해 생성된 조건부 전달자를 사용한 dig 쿼리

$ dig cname.example.com. +noedns +noquestion

; <<>> DiG 9.16.48-RH <<>> cname.example.com.
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 38153 <- NOERROR response
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1

;; ANSWER SECTION:
cname.example.com. 280 IN CNAME example.net.
example.net. 10 IN A 10.0.0.100 <- A record IP address of example.net

;; Query time: 10 msec
;; SERVER: 10.0.0.53#53(10.0.0.53) <- a client's own Windows DNS server
;; WHEN: Sat Mar 09 22:11:54 UTC 2024
;; MSG SIZE rcvd: 110

이 문제를 해결하려면 다음 조치를 취하십시오.

• Windows DNS 서버의 경우 example.net의 조건부 전달자를 Route 53 확인자의 인바운드 엔드포인트로 설정하십시오. 자세한 내용은 Microsoft 웹사이트에서 조건부 전달자 만들기를 참조하십시오.
• 디렉터리 서비스 DNS 설정의 경우 example.net의 조건부 전달자를 Route 53 확인자에 구성하십시오.

참고: 프라이빗 호스팅 영역 레코드를 해결하려면 enableDNSHostnames and enableDnsSupport 속성을 True로 설정합니다.