Comment résoudre les problèmes de résolution DNS liés aux points de terminaison de Route 53 VPC Resolver ?

Résolution

Résoudre les problèmes liés aux points de terminaison entrants Route 53

Pour permettre aux résolveurs DNS de votre réseau d’utiliser votre point de terminaison entrant pour transférer les requêtes DNS vers le résolveur VPC Route 53, effectuez les actions suivantes :

• Si votre serveur DNS sur site doit transférer les requêtes DNS vers le point de terminaison entrant pour vos domaines, créez une règle de transfert conditionnel. Vous devez créer la règle sur votre serveur DNS sur site. Cette configuration s’applique aux zones hébergées privées et aux domaines publics.

• Vérifiez que les adresses IP du point de terminaison entrant de résolveur sont accessibles via la connexion AWS Direct Connect ou le VPN. Cette étape permet de vérifier que l’adresse IP du point de terminaison entrant de résolveur est accessible depuis votre réseau sur site. Utilisez la commande telnet suivante pour tester la connectivité à l’adresse IP du résolveur du point de terminaison entrant sur le port 53 :

  telnet yourInboundEndpointResolverIPAddress 53.

  Remarque : remplacez yourInboundEndpointResolverIPAddress par vos informations.

• Vérifiez le groupe de sécurité associé au point de terminaison entrant de résolveur. Le groupe de sécurité doit autoriser le trafic sur le port 53 TCP et UDP en provenance de l’adresse IP de votre serveur DNS sur site.

• Vérifiez que les listes de contrôle d’accès au réseau personnalisées (ACL réseau) du sous-réseau qui contient le point de terminaison entrant autorisent les éléments suivants :
  Trafic UDP et TCP entrant en provenance du serveur DNS sur site sur le port 53.
  Trafic UDP et TCP sortant vers le serveur DNS sur site sur la plage de ports de destination 1024–65535.

• Vérifiez que la table de routage associée au sous-réseau dans lequel vous avez créé le résolveur du point de terminaison entrant comporte une route vers le réseau sur site. Configurez la route via une connexion Direct Connect ou un VPN. Cette route permet au résolveur du point de terminaison entrant de renvoyer une réponse à une requête DNS.

• Pour valider la résolution du domaine, effectuez une recherche de nom de domaine depuis le serveur DNS sur site ou localhost.

• Remarque : remplacez yourPrivateHostedZoneDomainName et yourInboundEndpointIPAddress par vos informations.
  Pour Windows, exécutez la commande suivante :

  nslookup yourPrivateHostedZoneDomainName

  Pour Linux ou macOS, exécutez la commande suivante :

  dig yourPrivateHostedZoneDomainName

• Si les commandes précédentes ne renvoient aucun enregistrement, envoyez la requête DNS directement à l’adresse IP du point de terminaison entrant de résolveur. Cette opération contourne votre serveur DNS sur site. 
  Pour Windows, exécutez la commande suivante :

  nslookup yourPrivateHostedZoneDomainName yourInboundEndpointIPAddress

  Pour Linux ou macOS, exécutez la commande suivante :

  dig yourPrivateHostedZoneDomainName @ yourInboundEndpointIPAddress

• Vérifiez que votre serveur DNS sur site envoie uniquement des requêtes récursives. Le résolveur entrant Route 53 ne prend pas en charge les requêtes itératives.

• Si vous effectuez une résolution dans une zone hébergée privée, vérifiez que vous associez vos points de terminaison entrants de résolveur et votre zone hébergée privée au bon Amazon Virtual Private Cloud (Amazon VPC).

Résoudre les problèmes liés aux points de terminaison sortants Route 53

Pour vous assurer que le résolveur VPC Route 53 utilise votre point de terminaison sortant pour transférer de manière conditionnelle les requêtes vers les résolveurs de votre réseau, procédez comme suit.

Tester le point de terminaison sortant

Pour tester le transfert sortant, interrogez l’adresse IP du résolveur DNS de l’Amazon VPC. Cette adresse correspond à l’adresse de base du CIDR de votre Amazon VPC, plus 2.

Pour Linux ou macOS, exécutez la commande suivante :

dig example.com @10.0.0.2

Pour Windows, exécutez la commande suivante :

nslookup example.com 10.0.0.2

Remarque : remplacez 10.0.0.2 par l’adresse IP du résolveur DNS de votre Amazon VPC.

Remarque : n’interrogez pas directement l’adresse IP de l’ENI du point de terminaison sortant. Les requêtes envoyées directement à l’adresse IP de l’ENI du point de terminaison sortant expirent sans message.

Si une adresse IP est renvoyée, cela signifie que la requête correspondait à la règle de transfert et que le serveur DNS cible a répondu correctement. Dans le cas contraire, effectuez les actions suivantes :

• Si la valeur renvoyée est SERVFAIL, le point de terminaison sortant ne peut pas atteindre le serveur DNS cible ou celui-ci n’a renvoyé aucune réponse. Vérifiez vos groupes de sécurité, vos ACL réseau et votre routage. Vérifiez également si une règle de pare-feu DNS bloque la requête.
• Si la valeur renvoyée est NXDOMAIN, la requête a atteint le serveur DNS cible, mais le domaine n’existe pas. Vérifiez le domaine dans la règle de transfert.
• Si la requête expire, vérifiez que vous avez associé la règle de transfert à l’Amazon VPC et que le point de terminaison sortant est opérationnel. Si votre configuration répond à ces conditions et que votre requête expire toujours, contactez AWS Support pour résoudre le problème.

Identifier les serveurs DNS personnalisés

Si l’ensemble d’options DHCP de votre Amazon VPC spécifie un serveur DNS personnalisé au lieu d’AmazonProvidedDNS, les requêtes provenant d’Amazon Elastic Compute Cloud (Amazon EC2) sont d’abord envoyées à ce serveur personnalisé. Les requêtes ne sont pas envoyées au résolveur VPC Route 53. Les règles de transfert ne sont appliquées que si les requêtes atteignent l’adresse (.2).

Pour identifier le serveur DNS utilisé par votre instance, exécutez la commande suivante sous Linux :

cat /etc/resolv.conf

Si votre instance utilise un DNS personnalisé dans le même Amazon VPC, configurez un redirecteur conditionnel sur votre serveur DNS personnalisé. Utilisez ce redirecteur pour transférer les domaines concernés vers l’adresse IP du résolveur DNS de l’Amazon VPC (.2).

Si votre instance utilise un DNS personnalisé dans un autre Amazon VPC ou sur site, le résolveur .2 n’est accessible que depuis son propre Amazon VPC. Créez un point de terminaison entrant de résolveur Route 53 dans l’Amazon VPC de la charge de travail. Configurez votre serveur DNS personnalisé pour qu’il transfère les requêtes vers les adresses IP des ENI du point de terminaison entrant. Acheminez ces adresses IP via l’appairage d’Amazon VPC, AWS Transit Gateway, Direct Connect ou un VPN.

Vérifier la connectivité réseau à votre serveur DNS sur site

Pour un serveur DNS sur site, vérifiez le groupe de sécurité associé au point de terminaison sortant de résolveur. La règle de sortie doit autoriser le trafic UDP et TCP sur le port 53 vers les adresses IP de votre serveur.

Vérifiez les règles ACL réseau personnalisées sur les sous-réseaux dans lesquels vous avez créé les interfaces du point de terminaison sortant. Ces règles doivent autoriser les éléments suivants :

• Trafic UDP et TCP sortant vers le serveur DNS sur site sur le port 53.
• Trafic UDP et TCP entrant en provenance du serveur DNS sur site sur la plage de ports éphémères 1024–65535.

Vérifiez que la table de routage du sous-réseau du point de terminaison sortant comporte une route vers votre serveur DNS sur site via une connexion Direct Connect ou un VPN. Vérifiez la configuration du pare-feu de votre serveur DNS sur site. Le pare-feu doit autoriser le trafic provenant des adresses IP du point de terminaison sortant de résolveur.

Remarque : vous n’avez pas besoin d’une connectivité réseau entre vos Amazon VPC pour transférer des requêtes DNS vers une règle de résolveur. Cela s’applique aux Amazon VPC appartenant au même compte ou à des comptes différents. Vous avez besoin d’une connectivité réseau uniquement entre l’Amazon VPC du point de terminaison sortant et les résolveurs DNS distants.

Examiner les configurations des règles de résolveur

Effectuez les actions suivantes pour rechercher des règles de résolveur mal configurées :

• Si vous utilisez une règle partagée, assurez-vous de l’associer à votre Amazon VPC.
• Le point de terminaison sortant référencé dans la règle partagée appartient au compte du propriétaire de la règle. Vérifiez que les exigences de connectivité réseau entre le point de terminaison sortant du propriétaire et le serveur DNS cible sont respectées. Les exigences de connectivité réseau comprennent les groupes de sécurité, les ACL réseau, le routage et les règles du pare-feu sur site.
• Recherchez une règle de résolveur qui achemine le trafic vers votre réseau pour le même nom de domaine. Ce nom de domaine est prioritaire sur les zones hébergées privées.
• Recherchez des règles dont les noms de domaine sont plus spécifiques que le domaine prévu. Le résolveur utilise la règle contenant le nom de domaine le plus spécifique pour acheminer les requêtes DNS sortantes.

Pour plus d’informations, consultez Comment le résolveur VPC détermine si le nom de domaine d’une requête correspond à des règles.

Résoudre les défaillances intermittentes en cas de volume élevé de requêtes

Le suivi des connexions par les groupes de sécurité peut réduire le débit du point de terminaison sortant de 10 000 requêtes par seconde (QPS) par ENI à seulement 1 500 QPS par ENI. Les symptômes incluent des réponses SERVFAIL intermittentes ou des expirations de délai corrélées aux pics de trafic. Pour plus d’informations, consultez Suivi des connexions par les groupes de sécurité.

Pour éviter le suivi des connexions, utilisez les règles permissives de groupe de sécurité suivantes sur le point de terminaison sortant, comme recommandé dans Bonnes pratiques de mise à l’échelle des points de terminaison de résolveur :

• Entrée : TCP et UDP, tous les ports, depuis 0.0.0.0/0.
• Sortie : TCP et UDP, port 53, vers 0.0.0.0/0.

Déboguer avec les journaux de flux VPC et la journalisation des requêtes de résolveur

Utilisez les journaux de flux VPC pour capturer les informations sur les flux réseau des interfaces réseau Elastic du point de terminaison sortant. Vérifiez si le trafic quitte le point de terminaison et si les réponses reviennent.

Dans Route 53, utilisez la journalisation des requêtes de résolveur pour afficher les transferts de requêtes, les correspondances avec les règles de transfert et le statut des réponses.