¿Cómo soluciono problemas de resolución de DNS con los puntos de conexión de Route 53 Resolver?

Resolución

Solución de problemas de los puntos de conexión de entrada de Route 53

Para permitir que los solucionadores de DNS de su red utilicen el punto de conexión de entrada para reenviar consultas de DNS a Route 53 Resolver en la VPC, realice las siguientes acciones:

• Si el servidor DNS en las instalaciones debe reenviar consultas de DNS al punto de conexión de entrada para sus dominios, cree una regla de reenvío condicional. Debe crear la regla en el servidor DNS en las instalaciones. Esta configuración se aplica a las zonas alojadas privadas y a los dominios públicos.

• Confirme que haya conectividad con las direcciones IP del punto de conexión de entrada del solucionador a través de la conexión de AWS Direct Connect o la VPN. Este paso valida si puede acceder a la dirección IP del punto de conexión de entrada del solucionador desde la red en las instalaciones. Use el siguiente comando telnet para probar la conectividad con la dirección IP del punto de conexión de entrada del solucionador mediante el puerto 53:

  telnet yourInboundEndpointResolverIPAddress 53.

  Nota: Reemplace yourInboundEndpointResolverIPAddress por su información.

• Compruebe el grupo de seguridad asociado al punto de conexión de entrada del solucionador. El grupo de seguridad debe permitir el tráfico TCP y UDP en el puerto 53 desde la dirección IP del servidor DNS en las instalaciones.

• Confirme que las listas de control de acceso de la red (ACL de la red) personalizadas de la subred que contiene el punto de conexión de entrada permitan lo siguiente:
  Tráfico UDP y TCP entrante desde el servidor DNS en las instalaciones en el puerto 53.
  Tráfico UDP y TCP saliente hacia el servidor DNS en las instalaciones en el intervalo de puertos de destino 1024-65535.

• Confirme que la tabla de enrutamiento asociada a la subred en la que creó el punto de conexión de entrada del solucionador incluya una ruta a la red en las instalaciones. Configure la ruta a través de una conexión de AWS Direct Connect o una VPN. Esta ruta permite que el punto de conexión de entrada del solucionador devuelva una respuesta a una consulta de DNS.

• Para validar la resolución del dominio, realice una búsqueda de nombre de dominio desde el servidor DNS en las instalaciones o localhost.

• Nota: Reemplace yourPrivateHostedZoneDomainName y yourInboundEndpointIPAddress por su información.
  En Windows, ejecute el siguiente comando:

  nslookup yourPrivateHostedZoneDomainName

  En Linux o macOS, ejecute el siguiente comando:

  dig yourPrivateHostedZoneDomainName

• Si los comandos anteriores no devuelven ningún registro, envíe la consulta de DNS directamente a la dirección IP del punto de conexión de entrada del solucionador. De este modo, se omite el servidor DNS en las instalaciones. 
  En Windows, ejecute el siguiente comando:

  nslookup yourPrivateHostedZoneDomainName yourInboundEndpointIPAddress

  En Linux o macOS, ejecute el siguiente comando:

  dig yourPrivateHostedZoneDomainName @ yourInboundEndpointIPAddress

• Confirme que el servidor DNS en las instalaciones envíe únicamente consultas recursivas. El punto de conexión de entrada de Route 53 Resolver no admite consultas iterativas.

• Si lleva a cabo la resolución en una zona alojada privada, confirme que los puntos de conexión de entrada del solucionador y la zona alojada privada estén asociados a la Amazon Virtual Private Cloud (Amazon VPC) correcta.

Solución de problemas de los puntos de conexión de salida de Route 53

Para asegurarse de que Route 53 Resolver utilice el punto de conexión de salida para reenviar de forma condicional consultas a los solucionadores de su red, complete los siguientes pasos.

Prueba del punto de conexión de salida

Para probar el reenvío saliente, consulte la dirección IP del solucionador de DNS de Amazon VPC. Esta dirección corresponde a la base del bloque de CIDR de Amazon VPC más 2.

En Linux o macOS, ejecute el siguiente comando:

dig example.com @10.0.0.2

En Windows, ejecute el siguiente comando:

nslookup example.com 10.0.0.2

Nota: Reemplace 10.0.0.2 por la dirección IP del solucionador de DNS de Amazon VPC.

Nota: No consulte directamente la dirección IP de la interfaz de red elástica (ENI) del punto de conexión de salida. Las consultas enviadas directamente a la dirección IP de la ENI de salida agotan el tiempo de espera sin mostrar ningún mensaje.

Si se devuelve la dirección IP, significa que la regla de reenvío ha coincidido y el servidor DNS de destino ha respondido correctamente. De lo contrario, realice las siguientes acciones:

• Si el valor devuelto es SERVFAIL, el punto de conexión de salida no puede acceder al servidor DNS de destino o este no ha respondido. Compruebe los grupos de seguridad, las ACL de la red y el enrutamiento. Compruebe también si una regla de DNS Firewall bloquea la consulta.
• Si el valor devuelto es NXDOMAIN, la consulta llegó al servidor DNS de destino, pero el dominio no existe. Compruebe el dominio en la regla de reenvío.
• Si se agota el tiempo de espera de la consulta, compruebe que la regla de reenvío esté asociada a la Amazon VPC y que el punto de conexión de salida esté operativo. Si la configuración cumple estas condiciones y la consulta sigue agotando el tiempo de espera, póngase en contacto con AWS Support para solucionar el problema.

Identificación de servidores DNS personalizados

Si el conjunto de opciones de DHCP de Amazon VPC especifica un servidor DNS personalizado en lugar de AmazonProvidedDNS, las consultas de Amazon Elastic Compute Cloud (Amazon EC2) se envían primero a ese servidor personalizado. Las consultas no se envían a Route 53 Resolver en la VPC. Las reglas de reenvío solo se ejecutan si las consultas llegan a la dirección (.2).

Para identificar el servidor DNS que usa la instancia, ejecute el siguiente comando en Linux:

cat /etc/resolv.conf

Si la instancia utiliza un servidor DNS personalizado en la misma Amazon VPC, configure un reenviador condicional en dicho servidor. Use este reenviador para reenviar los dominios correspondientes a la dirección IP del solucionador de DNS de Amazon VPC (.2).

Si la instancia utiliza un servidor DNS personalizado en otra Amazon VPC o en las instalaciones, el solucionador .2 solo es accesible desde su propia Amazon VPC. Cree un punto de conexión de entrada de Route 53 Resolver en la Amazon VPC de la carga de trabajo. Configure el servidor DNS personalizado para que reenvíe las consultas a las direcciones IP de las interfaces de red elásticas (ENI) del punto de conexión de entrada. Enrute estas direcciones IP mediante una conexión de emparejamiento de VPC de Amazon, AWS Transit Gateway, AWS Direct Connect o una VPN.

Comprobación de la conectividad de red con el servidor DNS en las instalaciones

Para un servidor DNS en las instalaciones, compruebe el grupo de seguridad asociado al punto de conexión de salida del solucionador. La regla de salida debe permitir el tráfico UDP y TCP en el puerto 53 hacia las direcciones IP del servidor.

Revise las reglas personalizadas de las ACL de la red en las subredes en las que creó las interfaces del punto de conexión de salida. Estas reglas deben permitir lo siguiente:

• Tráfico UDP y TCP saliente hacia el servidor DNS en las instalaciones en el puerto 53.
• Tráfico UDP y TCP entrante desde el servidor DNS en las instalaciones en el intervalo de puertos efímeros 1024-65535.

Confirme que la tabla de enrutamiento de la subred del punto de conexión de salida incluya una ruta al servidor DNS en las instalaciones a través de una conexión de AWS Direct Connect o una VPN. Revise la configuración del firewall del servidor DNS en las instalaciones. El firewall debe permitir el tráfico desde las direcciones IP del punto de conexión de salida del solucionador.

Nota: No se necesita conectividad de red entre las Amazon VPC para reenviar consultas de DNS a una regla de Resolver. Esto se aplica a las Amazon VPC de la misma cuenta o de cuentas diferentes. Solo se necesita conectividad de red entre la Amazon VPC del punto de conexión de salida y los solucionadores de DNS remotos.

Revisión de las configuraciones de las reglas de Resolver

Realice las siguientes acciones para comprobar si hay reglas de Resolver configuradas de forma incorrecta:

• Si usa una regla compartida, asegúrese de asociarla a la Amazon VPC.
• El punto de conexión de salida al que se hace referencia en la regla compartida pertenece a la cuenta del propietario de la regla. Confirme que se cumplan los requisitos de conectividad de red desde el punto de conexión de salida del propietario hasta el servidor DNS de destino. Los requisitos de conectividad de red incluyen grupos de seguridad, ACL de la red, enrutamiento y reglas de firewall en las instalaciones.
• Compruebe si hay una regla de Resolver que dirija el tráfico a su red para el mismo nombre de dominio. Este nombre de dominio tiene prioridad sobre las zonas alojadas privadas.
• Compruebe si hay reglas con nombres de dominio más específicos que el dominio previsto. Resolver utiliza la regla que contiene el nombre de dominio más específico para enrutar las consultas de DNS salientes.

Para obtener más información, consulte Cómo determina Resolver si el nombre de dominio de una consulta coincide con alguna regla.

Solución de errores intermitentes con volúmenes elevados de consultas

El seguimiento de conexiones de los grupos de seguridad puede reducir el rendimiento del punto de conexión de salida de 10 000 consultas por segundo (QPS) por ENI a tan solo 1500 QPS por ENI. Los síntomas incluyen respuestas SERVFAIL intermitentes o tiempos de espera que coinciden con los picos de tráfico. Para obtener más información, consulte Seguimiento de conexiones de grupos de seguridad.

Para evitar el seguimiento de conexiones, use las siguientes reglas permisivas de grupo de seguridad en el punto de conexión de salida, tal como se recomienda en Prácticas recomendadas para escalar puntos de conexión de Resolver:

• Entrada: TCP y UDP, todos los puertos, desde 0.0.0.0/0.
• Salida: TCP y UDP, puerto 53, hacia 0.0.0.0/0.

Depuración con Registros de flujo de VPC y registro de consultas de Resolver

Use Registros de flujo de VPC para capturar información sobre el flujo de red en las interfaces de red elásticas del punto de conexión de salida. Confirme si el tráfico sale del punto de conexión y si se reciben respuestas.

Use el registro de consultas de Route 53 Resolver para ver los reenvíos de consultas, las coincidencias con las reglas de reenvío y el estado de las respuestas.