Route 53 Resolver アウトバウンドエンドポイントで設定を行い、リモートネットワークでホストされている DNS レコードを VPC 内のリソースから解決する方法を教えてください。

所要時間2分

Amazon Route 53 Resolver のアウトバウンドエンドポイントを設定し、DNS クエリをリモートネットワークから Amazon Virtual Private Cloud (Amazon VPC) 内の Amazon Elastic Compute Cloud (Amazon EC2) インスタンスに転送したいです。

簡単な説明

Route 53 Resolver のアウトバウンドエンドポイントを設定するには、Amazon VPC にエンドポイントを作成し、ターゲット IP アドレスを指定します。次に、DNS クエリをリモート DNS サーバーに転送するリゾルバールールを設定します。

解決策

前提条件

リゾルバールールに関連付けられた VPC の DNS 属性で DNS 解決を有効にします。
VPC の DHCP オプションにおいて、カスタム DNS サーバーまたは Active Directory サーバーで設定を行い、DNS クエリを VPC の DNS サーバーに条件に基づいて転送するようにします。たとえば、VPC のプライマリ CIDR 範囲が 172.31.0.0/16 の場合、VPC の DNS サーバー IP アドレスは 172.31.0.2 になります。これは Amazon VPC ネットワークの範囲に 2 を加えたものです。
VPC でカスタム DNS サーバーを使用していない場合は、DHCP オプションでドメインネームサーバーを次のいずれかに設定します。
AmazonProvidedDNS
予約済み IP アドレス (VPC の IPv4 ネットワーク範囲に 2 を加えたもの)

アウトバウンドエンドポイントを設定する

アウトバウンドエンドポイントを設定するには、次の手順を実行します。

Route 53 コンソールを開きます。
ナビゲーションペインで [アウトバウンドエンドポイント] を選択します。
ナビゲーションバーで、アウトバウンドエンドポイントを作成する VPC のリージョンを選択します。
[アウトバウンドエンドポイントの作成] を選択します。
[アウトバウンドエンドポイントの作成] ページで、[アウトバウンドエンドポイントの一般設定] セクションに入力します。
以下へのアウトバウンド TCP および UDP 接続を許可する [セキュリティグループ] を選択します。
リゾルバーがリモートネットワーク上の DNS クエリに使用する IP アドレス。
リゾルバーがリモートネットワーク上の DNS クエリに使用するポート。
[IP アドレス] セクションに入力します。
リゾルバーで設定を行い、サブネット内の使用可能な IP アドレスから IP アドレスを選択させることも、IP アドレスを指定することもできます。
DNS クエリ用の IP アドレスを 2 個から 6 個の範囲で選択します。
2 個以上の異なるアベイラビリティーゾーンに属する IP アドレスを選択することをおすすめします。
[サブネット] では、次の条件を含むサブネットを選択します。
リモートネットワークの DNS リゾルバー IP アドレスへのルートを含むルートテーブル。これらのルートには、AWS Direct Connect、AWS VPN 接続、または NAT ゲートウェイを使用できます。
リモートネットワーク上のリゾルバー IP アドレスとポートへの、UDP および TCP トラフィックを許可するネットワークアクセスコントロールリスト (ACL)。
宛先のポート範囲 1024〜65535 でのリゾルバーからのトラフィック。
(オプション) [タグ] セクションに入力します。
[送信] を選択します。

リゾルバールールを設定する

新しいリゾルバールールを作成するには、次の手順を実行します。

Route 53 コンソールを開きます。
Route 53 ナビゲーションペインから [ルール] を選択します。
ナビゲーションバーで、新しく作成されたアウトバウンドエンドポイントが存在する リージョン を選択します。
[ルールの作成] を選択します。
[ルールの作成] ページで [アウトバウンドトラフィックのルール] セクションに入力します。
[ルールタイプ] で転送ルールを設定します。ルールを、そのルールでリモートネットワークに DNS クエリを転送する対象の VPC に関連付けます。
[アウトバウンドエンドポイント] で作成したアウトバウンドエンドポイントを選択します。
注: このルールに関連付けられた VPC は、アウトバウンドエンドポイントを作成した VPC と同じ VPC である必要はありません。
[IP アドレス] セクションに入力します。
[IP アドレス] には、リモートネットワーク上の DNS リゾルバーの IP アドレスを指定します。
[ポート] には、これらのリゾルバーが DNS クエリに使用するポートを指定します。
注: リゾルバーは、このルールに一致し、このルールに関連付けられた VPC から発信された DNS クエリを参照先のアウトバウンドエンドポイントに転送します。この場合、リゾルバーはこれらのクエリを [IP アドレス] セクションで指定したターゲットの IP アドレスに転送します。
(オプション) [タグ] セクションに入力します。
[送信] を選択します。

ルールが同じ AWS アカウント内の場合:

VPC と同じドメインと AWS リージョンに対する既存のルールがある場合は、新しいルールを作成しないでください。
代わりに、ダッシュボードからルールを選択し、そのリージョンの VPC に関連付けてください。

ルールが別のアカウント内の場合:

AWS Resource Access Manager を使用してリモートアカウントのルールをアカウントと共有してください。
共有すると、対応するアウトバウンドエンドポイントへのアクセス許可も付与されます。
ダッシュボードから共有ルールを選択し、VPC に関連付けます。

注: DNS クエリをリゾルバールールに転送するのに、VPC 間のネットワーク接続は必要ありません。これは、VPC が同じアカウント内にあるかどうかにかかわらず当てはまります。ネットワーク接続は、アウトバウンドエンドポイントの VPC とリモート DNS リゾルバー間でのみ必要です。

設定をテストする

設定をテストするには、VPC 内のいずれかの Amazon EC2 インスタンスから DNS 解決を実行します。

Linux または macOS の場合: dig <record name> <record type>
Windows の場合: nslookup<record type> <record name>