Como configuro um endpoint de entrada do Route 53 Resolver para resolver registros de DNS na minha zona hospedada privada a partir da minha rede remota?

Breve descrição

O Amazon Virtual Private Cloud (Amazon VPC) fornece resolução automática de DNS por meio do Route 53 Resolver. Crie um endpoint de entrada para permitir consultas de DNS de uma rede remota para a zona hospedada privada.

Resolução

Para configurar um endpoint de entrada do Amazon Route 53 Resolver para que sua rede remota possa resolver registros em uma zona hospedada privada, conclua as etapas a seguir.

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

1. Ative os nomes de host e a resolução de DNS nos atributos de suporte de DNS para a Amazon VPC para a qual você planeja criar um endpoint de entrada.
2. Associe a zona hospedada privada à Amazon VPC.

Se a zona hospedada privada e o Amazon VPC pertencerem à mesma conta da AWS, conclua as seguintes etapas:

1. Abra o console do Route 53.
2. No painel de navegação, selecione Zonas hospedadas.
3. Escolha a zona hospedada privada que contém os registros que você deseja consultar.
4. Use a barra de pesquisa para encontrar sua Amazon VPC e escolha Associate New VPC.

Se a zona hospedada privada e o Amazon VPC estiverem em contas diferentes da AWS, conclua as seguintes etapas:

1. Use a AWS CLI para realizar a associação entre contas.
   Para obter mais informações, consulte Como associar uma zona hospedada privada do Route 53 a uma VPC em outra conta da AWS?
2. Confirme se seu servidor DNS on-premises envia somente consultas recursivas.
3. Confirme se a tabela de rotas associada à sub-rede em que você planeja criar o endpoint de entrada inclui uma rota para a rede on-premises.
4. Se a sub-rede usar ACLs de rede personalizadas, atualize as regras para permitir o seguinte tráfego:
   Tráfego UDP e TCP de saída para o servidor DNS on-premises no intervalo de portas 1024–65535.
   Tráfego UPD e TCP de entrada do servidor DNS on-premises na porta 53.
5. Configure o grupo de segurança do endpoint de entrada para permitir tráfego TCP e UDP na porta 53 a partir do endereço IP do servidor DNS on-premises.
6. Se existir um firewall entre a rede on-premises e a AWS, permita o tráfego TCP e UDP na porta 53 para os endereços IP do servidor DNS.
7. Certifique-se de que a conectividade com os endereços IP do endpoint de entrada seja por meio do AWS Direct Connect ou VPN.

Configurar o endpoint de entrada

Para configurar o endpoint de entrada, conclua as seguintes etapas:

1. Abra o console do Route 53.
2. No painel de navegação, escolha Endpoints de entrada.
3. Na barra de navegação, escolha a região da AWS onde o Amazon VPC está localizado.
4. Escolha Criar endpoint de entrada.
5. Em Configurações gerais para endpoint de entrada, escolha o Amazon VPC na região em que a zona hospedada privada está localizada. Escolha um grupo de segurança que permita tráfego UDP e TCP de entrada da rede remota na porta de destino 53.
6. Escolha de 2 a 6 endereços IP. Permita que o Route 53 selecione endereços IP da sub-rede ou os especifique. Use endereços IP de pelo menos duas zonas de disponibilidade.
7. Para cada endereço IP, escolha uma sub-rede que atenda aos seguintes requisitos:
   A tabela de rotas inclui rotas para os endereços IP do resolvedor de DNS na rede remota.
   A ACL de rede permite tráfego UDP e TCP da rede remota na porta 53.
   A ACL de rede permite tráfego UDP e TCP para a rede remota no intervalo de portas de destino 1024–65535.
8. (Opcional) Preencha a seção Tags.
9. Escolha Criar endpoint de entrada.

Observação: os endpoints de entrada do Route 53 não têm um nome de domínio totalmente qualificado (FQDN). Quando você cria o endpoint, o Route 53 cria interfaces de rede elásticas na sub-rede. Esses endereços IP encaminham as consultas de DNS para o Resolvedor.

Teste sua configuração

Para testar sua configuração, conclua as seguintes etapas:

1. Configure o servidor DNS remoto para encaminhar consultas de DNS para o nome de domínio da zona hospedada privada para os endereços IP do endpoint de entrada.
2. Configure o servidor DNS para encaminhar consultas em vez de delegar autoridade para o nome de domínio.
3. Confirme se o servidor DNS remoto envia somente consultas DNS recursivas.
4. Se o servidor DNS on-premises enviar uma consulta ao DNS com Recursão desejada definida como 0, o endpoint de entrada não responderá. É possível encontrar essas informações na captura de pacotes.
5. Se você usa o AWS Transit Gateway, associe a sub-rede do endpoint de entrada ao anexo do gateway de trânsito.
6. Teste a resolução de um dos registros na zona hospedada privada de um cliente na rede remota.

Nos comandos a seguir, substitua RECORD_NAME e RECORD_TYPE pelos valores relevantes:

• Para Linux ou macOS, execute dig RECORD_NAME RECORD_TYPE, como no exemplo a seguir: dig exemplo.com A
• Para Windows, execute nslookup RECORD_NAME RECORD_TYPE, como no exemplo a seguir: nslookup exemplo.com

Informações relacionadas

Resolver consultas de DNS entre VPCs e sua rede

Encaminhar consultas de DNS de saída para sua rede

Gerenciar endpoints de saída

Como soluciono problemas de resolução de DNS com os endpoints do Route 53 Resolver?