원격 네트워크에서 프라이빗 호스팅 영역의 DNS 레코드를 확인하도록 Route 53 Resolver 인바운드 엔드포인트를 구성하려면 어떻게 해야 합니까?

간략한 설명

Amazon VPC(Amazon Virtual Private Cloud)로 생성된 VPC는 Route 53 Resolver로부터 자동 DNS 확인을 수신합니다. VPC의 Amazon EC2(Amazon Elastic Compute Cloud) 인스턴스는 VPC CIDR IPv4 네트워크 범위의 베이스에 2를 더한 예약 IP 주소를 사용하여 해석기로 DNS 쿼리를 보낼 수 있습니다. 원격 네트워크와 VPC 간에 네트워크 연결이 있는 경우, 원격 네트워크의 DNS 해석기는 DNS 쿼리를 VPC의 해석기로 전달할 수 있습니다. 이 연결은 AWS Direct Connect 또는 VPN 연결을 사용하여 수행됩니다. 하지만 해석기는 VPC 네트워크 범위를 벗어나는 IP 주소의 DNS 쿼리를 허용하지 않습니다. 이 문제를 해결하려면 VPC에 인바운드 엔드포인트를 생성할 수 있습니다. 인바운드 엔드포인트에서 수신한 DNS 쿼리는 해석기로 전달됩니다. 이러한 쿼리는 VPC 자체 내에서 시작되는 쿼리와 동일하게 처리됩니다.

해결 방법

사전 요구 사항 완료

먼저, 인바운드 엔드포인트를 생성하려는 VPC에 대한 DNS 지원 속성에서 DNS 호스트 이름과 DNS 확인을 활성화합니다.

그런 다음 인바운드 엔드포인트를 생성하려는 VPC와 해당 프라이빗 호스팅 영역을 연결합니다.

프라이빗 호스팅 영역과 VPC가 동일한 계정에 있는 경우:

1. Route 53 콘솔을 엽니다.
2. 탐색 창에서 [Hosted zones]를 선택합니다.
3. 쿼리할 레코드가 포함된 프라이빗 호스팅 영역을 선택합니다.
4. 검색 창에서 VPC를 검색한 다음 [Associate New VPC]를 선택합니다.

프라이빗 호스팅 영역과 VPC가 서로 다른 계정에 있는 경우, AWS CLI(AWS 명령줄 인터페이스)를 사용하여 교차 계정 연결을 수행합니다.

인바운드 규칙 구성

1. Route 53 콘솔을 엽니다.
2. 탐색 창에서 [Inbound endpoints]를 선택합니다.
3. 탐색 모음에서 인바운드 엔드포인트를 생성하려는 VPC의 지역을 선택합니다.
4. [Create inbound endpoint]를 선택합니다.
5. [Create inbound endpoint] 페이지에서 [General settings for inbound endpoint] 섹션을 작성합니다. 대상 포트 53에서 원격 네트워크로부터의 인바운드 UDP 및 TCP 트래픽을 허용하는 [Security group for this endpoint]를 선택합니다.
6. [IP addresses] 섹션을 작성합니다. 해석기가 서브넷의 사용 가능한 IP 주소에서 IP 주소를 자동으로 선택하도록 하거나 IP 주소를 직접 지정할 수 있습니다. DNS 쿼리에 대해 2개(최소) ~ 6개(최대) IP 주소 중에서 선택합니다. 두 개 이상의 서로 다른 가용 영역에서 IP 주소를 선택하는 것이 모범 사례입니다. [Subnet]에서 다음과 같은 항목이 있는 서브넷을 선택합니다.
   • AWS Direct Connect 또는 VPN 연결을 사용하는 원격 네트워크에 있는 DNS 해석기의 IP 주소에 대한 경로가 포함된 라우팅 테이블.
   • 대상 포트 53에서 원격 네트워크로부터의 UDP 및 TCP 트래픽과 대상 포트 범위가 1024-65535인 원격 네트워크로의 UDP 및 TCP 트래픽을 모두 허용하는 네트워크 ACL(액세스 제어 목록). 클라이언트 유형에 따라 네트워크 ACL에 다른 범위를 사용할 수 있습니다.
7. (선택 사항) [Tags] 섹션을 작성합니다.
8. [Submit]을 선택합니다.

구성 테스트

테스트하기 전에 다음과 같은 사항을 구성했는지 확인합니다.

• 원격 네트워크의 DNS 서버가 프라이빗 호스팅 영역의 도메인 이름에 대한 DNS 쿼리를 인바운드 엔드포인트의 IP 주소로 조건부로 전달하도록 구성합니다.
• 원격 DNS 서버가 도메인 이름의 권한을 인바운드 엔드포인트에 위임하는 대신 도메인 이름에 대한 DNS 쿼리를 전달하도록 구성합니다.
  참고: 인바운드 엔드포인트는 재귀 DNS 쿼리만 지원합니다. 인바운드 엔드포인트로 전송된 반복 DNS 쿼리에 대한 제한 시간.

그런 다음 아래의 명령을 사용하여 원격 네트워크의 클라이언트에서 프라이빗 호스팅 영역에 있는 레코드 중 하나에 대한 DNS 확인을 수행합니다.

• Linux 또는 MacOS의 경우: dig <record name> <record type>
• Windows의 경우: nslookup <record name> <record type>

관련 정보

VPC와 네트워크 간 DNS 쿼리 확인

네트워크로 아웃바운드 DNS 쿼리 전달

아웃바운드 엔드포인트 관리