如何配置 Route 53 Resolver 出站端点，以便从我的 VPC 中的资源解析远程网络上托管的 DNS 记录？

简短描述

要配置 Route 53 Resolver 出站端点，请在您的 Amazon VPC 中创建一个端点并指定目标 IP 地址。然后，设置 Resolver 规则，以将 DNS 查询转发到远程 DNS 服务器。

解决方法

先决条件

• 在与 Resolver 规则关联的 VPC 的 DNS 属性中启用 DNS 解析。
• 配置 VPC DHCP 选项中的自定义 DNS 服务器或 Active Directory 服务器，使其有条件地将 DNS 查询转发到 VPC 的 DNS 服务器。例如，如果您的 VPC 的主 CIDR 范围为 172.31.0.0/16，则 VPC DNS 服务器的 IP 地址为 172.31.0.2。该地址为 Amazon VPC 网络范围加 2。
• 如果您未在 VPC 中使用自定义 DNS 服务器，请将 DHCP 选项中的域名服务器设置为以下任一选项：
  AmazonProvidedDNS
  预留 IP 地址（VPC IPv4 网络范围加 2）

配置出站端点

要配置出站端点，请完成以下步骤：

1. 打开 Route 53 控制台。
2. 在导航窗格中，选择 Outbound endpoints（出站端点）。
3. 在导航栏上，对于要创建出站端点的 VPC，选择 Region（区域）。
4. 选择 Create outbound endpoint（创建出站端点）。
5. 在 Create outbound endpoint（创建出站端点）页面上，完成 General settings for outbound endpoint（出站端点的一般设置）部分。
   选择允许与以下目标进行出站 TCP 和 UDP 连接的安全组：
   解析器在远程网络上用于 DNS 查询的 IP 地址。
   解析器在远程网络上用于 DNS 查询的端口。
6. 完成 IP addresses（IP 地址）部分。
   您可以将 Resolver 设置为从子网的可用 IP 地址中选择 IP 地址，或指定 IP 地址。
   为 DNS 查询选择至少两个且最多六个 IP 地址。
   最佳做法是在至少两个不同的可用区中选择 IP 地址。
7. 对于 Subnet（子网），选择具备以下条件的子网：
   路由表中包含指向远程网络 DNS 解析器 IP 地址的路由。您可以使用 AWS Direct Connect、AWS VPN 连接或 NAT 网关来配置这些路由。
   网络访问控制列表 (ACL) 允许 UDP 和 TCP 流量到达远程网络上的解析器 IP 地址和端口。
   网络 ACL 允许来自目标端口范围 1024-65535 的解析器流量。
8. （可选）完成 Tags（标签）部分。
9. 选择提交。

配置 Resolver 规则

要创建新的 Resolver 规则，请完成以下步骤：

1. 打开 Route 53 控制台。
2. 从 Route 53 导航窗格中选择规则。
3. 在导航栏上，选择新创建的出站端点所在的区域。
4. 选择创建角色。
5. 在 Create rule（创建规则）页面上，完成 Rule for outbound traffic（出站流量规则）部分。
   对于 Rule type（规则类型），配置转发规则。将其关联到您希望规则从中将 DNS 查询转发到远程网络的 VPC。
   对于 Outbound endpoint（出站端点），选择您创建的出站端点。
   **注意：**与此规则关联的 VPC 无需与您创建出站端点的 VPC 相同。
6. 完成 IP addresses（IP 地址）部分。
   对于 IP address（IP 地址），指定远程网络上 DNS 解析器的 IP 地址。
   对于 Port（端口），指定这些解析器用于 DNS 查询的端口。
   **注意：**Resolver 会将与此规则匹配且源自与此规则关联的 VPC 的任何 DNS 查询转发到引用的出站端点。在这种情况下，Resolver 会将这些查询转发到您在 IP addresses（IP 地址）部分中指定的目标 IP 地址。
7. （可选）完成 Tags（标签）部分。
8. 选择 Submit（提交）。

对于您的 AWS 账户中的规则：

• 如果您在 VPC 所在的域和 AWS 区域有现行规则，请不要创建新规则。
• 相反，请从控制面板中选择该规则，并将其与该区域中的 VPC 关联。

对于其他账户中的规则：

• 通过 AWS Resource Access Manager 将规则从远程账户共享至您的账户。
• 共享后，您还会获得对相应出站端点的访问权限。
• 从控制面板中选择该共享规则，并将其与您的 VPC 关联。

**注意：**无需在 VPC 之间建立网络连接即可将 DNS 查询转发到 Resolver 规则。这适用于同一账户或不同账户中的 VPC。仅需在出站端点 VPC 与远程 DNS 解析器之间建立网络连接。

测试您的配置

要测试您的配置，请从您的 VPC 中的一个 Amazon EC2 实例执行 DNS 解析：

• 对于 Linux 或 macOS：dig <record name> <record type>
• 对于 Windows：nslookup -type=<record type> <record name>

相关信息

解析 VPC 与您的网络之间的 DNS 查询

将出站 DNS 查询转发到您的网络

管理出站端点