Come configuro un endpoint in uscita del risolutore Route 53 per risolvere i record DNS ospitati su una rete remota dalle risorse del mio VPC?

Breve descrizione

Per configurare un endpoint in uscita del risolutore Route 53, crea un endpoint in Amazon VPC e specifica gli indirizzi IP di destinazione. Quindi imposta le regole del risolutore per inoltrare le query DNS ai server DNS remoti.

Risoluzione

Prerequisiti

• Attiva la risoluzione DNS negli Attributi DNS del VPC associati alla regola del risolutore.
• Per i server DNS personalizzati o i server Active Directory nelle opzioni DHCP del VPC, configurali per inoltrare in modo condizionale le query DNS ai server DNS del VPC. Ad esempio, se l'intervallo CIDR primario del VPC è 172.31.0.0/16, l'indirizzo IP del server DNS del VPC è 172.31.0.2. Questo è l'intervallo di rete Amazon VPC più due.
• Se non utilizzi un server DNS personalizzato nel VPC, imposta i server dei nomi di dominio nelle opzioni DHCP su:
  AmazonProvidedDNS
  L'indirizzo IP riservato (intervallo di rete VPC IPv4 più due)

Configura un endpoint in uscita

Per configurare l'endpoint in uscita, completa i seguenti passaggi:

1. Apri la console Route 53.
2. Nel pannello di navigazione, seleziona Endpoint in uscita.
3. Nella barra di navigazione, seleziona la Regione del VPC in cui desideri creare l'endpoint in uscita.
4. Seleziona Crea endpoint in uscita.
5. Nella pagina Crea endpoint in uscita, completa la sezione Impostazioni generali per l’endpoint in uscita.
   Scegli un Gruppo di sicurezza che consenta la connettività TCP e UDP in uscita per quanto segue:
   Indirizzi IP utilizzati dai risolutore per le query DNS sulla rete remota.
   Porte utilizzate dai risolutore per le query DNS sulla rete remota.
6. Completa la sezione Indirizzi IP.
   Puoi impostare il risolutore in modo che scelga gli indirizzi IP tra gli indirizzi IP disponibili nella sottorete o specificare gli indirizzi IP.
   Scegli tra un minimo di due e un massimo di sei indirizzi IP per le query DNS.
   È consigliabile scegliere indirizzi IP in almeno due diverse zone di disponibilità.
7. Per Sottorete, seleziona le sottoreti che hanno:
   Tabelle di routing con route verso gli indirizzi IP del risolutore DNS della rete remota. Per queste route puoi utilizzare AWS Direct Connect, una connessione AWS VPN o un gateway NAT.
   Liste di controllo degli accessi (ACL) che consentono al traffico UDP e TCP di risolvere indirizzi IP e porte sulla rete remota.
   Traffico proveniente dai risolutori nell'intervallo di porte di destinazione 1024-65535.
8. (Facoltativo) Compila la sezione Tag.
9. Seleziona Invia.

Configura una regola del risolutore

Per creare una nuova regola del risolutore, completa i seguenti passaggi:

1. Apri la console Route 53.
2. Seleziona Regole dal pannello di navigazione Route 53.
3. Nella barra di navigazione, seleziona la regione in cui esiste l'endpoint in uscita appena creato.
4. Seleziona Crea regola.
5. Nella pagina Crea regola, completa le sezioni Regola per il traffico in uscita.
   Per Tipo di regola, configura una regola di inoltro. Associala al VPC da cui desideri che la regola inoltri le query DNS alla rete remota.
   Per Endpoint in uscita, seleziona l'endpoint in uscita che hai appena creato.
   Nota: non è necessario che il VPC associato alla regola sia lo stesso VPC in cui hai creato l'endpoint in uscita.
6. Completa la sezione Indirizzi IP.
   Per Indirizzo IP, specifica gli indirizzi IP dei risolutori DNS nella rete remota.
   Per Porta, specifica le porte utilizzate dai risolutori per le query DNS.
   Nota: il risolutore inoltra all'endpoint in uscita di riferimento tutte le query DNS che corrispondono alla regola e provengono da un VPC associato alla regola. In questo caso, il risolutore inoltra le query agli indirizzi IP di destinazione specificati nella sezione Indirizzi IP.
7. (Facoltativo) Compila la sezione Tag.
8. Scegli Invia.

Per una regola nell'account AWS:

• Se hai una regola esistente per lo stesso dominio e la stessa Regione AWS del VPC, non creare una nuova regola.
• Seleziona invece la regola dalla dashboard e associala ai VPC della Regione.

Per una regola in un altro account:

• Utilizza AWS Resource Access Manager per condividere la regola dall'account remoto al tuo account.
• Una volta condiviso, ricevi anche l'accesso all'endpoint in uscita corrispondente.
• Seleziona la regola condivisa dalla dashboard e associala ai VPC.

Nota: non è necessaria la connettività di rete tra i VPC per inoltrare le query DNS a una regola del risolutore. Questo vale per i VPC nello stesso account o in account diversi. La connettività di rete serve solo tra il VPC dell'endpoint in uscita e i risolutori DNS remoti.

Testa la configurazione

Per testare la configurazione, esegui una risoluzione DNS da una delle istanze Amazon EC2 nel VPC:

• Per Linux o macOS: dig <record name> <record type>
• Per Windows: nslookup -type=<record type> <record name>

Informazioni correlate

Risoluzione delle query DNS tra i VPC e la tua rete

Inoltro di query DNS in uscita alla rete

Gestione degli endpoint in uscita