원격 네트워크에서 프라이빗 호스팅 영역의 DNS 레코드를 확인하도록 Route 53 Resolver 인바운드 엔드포인트를 구성하려면 어떻게 해야 하나요?

간략한 설명

Amazon Virtual Private Cloud(Amazon VPC)는 Route 53 Resolver를 통해 자동 DNS 확인을 제공합니다. 인바운드 엔드포인트를 생성하여 원격 네트워크에서 프라이빗 호스팅 영역으로의 DNS 쿼리를 허용합니다.

해결 방법

원격 네트워크가 프라이빗 호스팅 영역의 레코드를 확인할 수 있도록 Amazon Route 53 Resolver 인바운드 엔드포인트를 구성하려면 다음 단계를 완료하십시오.

참고: AWS Command Line Interface(AWS CLI) 명령을 실행할 때 오류가 발생하면 AWS CLI의 오류 해결을 참조하십시오. 또한 최신 AWS CLI 버전을 사용하고 있는지 확인하십시오.

1. 인바운드 엔드포인트를 생성하려는 Amazon VPC의 DNS 지원 속성에서 DNS 호스트 이름 및 확인을 활성화합니다.
2. 프라이빗 호스팅 영역을 Amazon VPC와 연결합니다.

프라이빗 호스팅 영역과 Amazon VPC가 동일한 AWS 계정에 속하는 경우 다음 단계를 완료하십시오.

1. Route 53 콘솔을 엽니다.
2. 탐색 창에서 호스팅 영역을 선택합니다.
3. 쿼리하려는 레코드가 포함된 프라이빗 호스팅 영역을 선택합니다.
4. 검색 창을 사용하여 Amazon VPC를 찾은 다음, 새 VPC 연결을 선택합니다.

프라이빗 호스팅 영역과 Amazon VPC가 서로 다른 AWS 계정에 있는 경우 다음 단계를 완료하십시오.

1. AWS CLI를 사용하여 교차 계정 연결을 수행합니다.
   자세한 내용은 Route 53 프라이빗 호스팅 영역을 다른 AWS 계정의 VPC와 연결하려면 어떻게 해야 합니까?를 참조하십시오.
2. 온프레미스 DNS 서버가 재귀 쿼리만을 보내는지 확인합니다.
3. 인바운드 엔드포인트를 생성하려는 서브넷과 연결된 라우팅 테이블에 온프레미스 네트워크에 대한 경로가 포함되어 있는지 확인합니다.
4. 서브넷이 사용자 지정 네트워크 ACL을 사용하는 경우 다음 트래픽을 허용하도록 규칙을 업데이트합니다.
   포트 범위 1024–65535의 온프레미스 DNS 서버에 대한 UDP 및 TCP 아웃바운드 트래픽.
   포트 53의 온프레미스 DNS 서버로부터의 UPD 및 TCP 인바운드 트래픽.
5. 온프레미스 DNS 서버 IP 주소의 포트 53에서 TCP 및 UDP 트래픽을 허용하도록 인바운드 엔드포인트의 보안 그룹을 구성합니다.
6. 온프레미스 네트워크와 AWS 사이에 방화벽이 있는 경우 포트 53에서 DNS 서버 IP 주소에 대해 TCP 및 UDP 트래픽을 허용합니다.
7. 인바운드 엔드포인트 IP 주소에 대한 연결이 AWS Direct Connect 또는 VPN을 통해 이루어지는지 확인합니다.

인바운드 엔드포인트 구성

인바운드 엔드포인트를 구성하려면 다음 단계를 완료하십시오.

1. Route 53 콘솔을 엽니다.
2. 탐색 창에서 인바운드 엔드포인트를 선택합니다.
3. 탐색 모음에서 Amazon VPC가 위치한 AWS 리전을 선택합니다.
4. 인바운드 엔드포인트 생성을 선택합니다.
5. 인바운드 엔드포인트에 대한 일반 설정에서 프라이빗 호스팅 영역이 위치한 리전의 Amazon VPC를 선택합니다. 대상 포트 53의 원격 네트워크로부터의 인바운드 UDP 및 TCP 트래픽을 허용하는 보안 그룹을 선택합니다.
6. 2~6개의 IP 주소를 선택합니다. Route 53이 서브넷에서 IP 주소를 선택하거나 지정하도록 허용합니다. 2개 이상의 가용 영역의 IP 주소를 사용하십시오.
7. 각 IP 주소에 대해 다음 요구 사항을 충족하는 서브넷을 선택합니다.
   라우팅 테이블에는 원격 네트워크의 DNS 해석기 IP 주소에 대한 경로가 포함됩니다.
   네트워크 ACL은 포트 53의 원격 네트워크로부터의 UDP 및 TCP 트래픽을 허용합니다.
   네트워크 ACL은 대상 포트 범위 1024–65535의 원격 네트워크로의 UDP 및 TCP 트래픽을 허용합니다.
8. (선택 사항) 태그 섹션을 완료합니다.
9. 인바운드 엔드포인트 생성을 선택합니다.

참고: Route 53 인바운드 엔드포인트에는 정규화된 도메인 이름(FQDN)이 없습니다. 엔드포인트를 생성하면 Route 53은 서브넷에 탄력적 네트워크 인터페이스를 생성합니다. 이러한 IP 주소는 DNS 쿼리를 해석기에 전달합니다.

구성 테스트

구성을 테스트하려면 다음 단계를 완료하십시오.

1. 프라이빗 호스팅 영역의 도메인 이름에 대한 DNS 쿼리를 인바운드 엔드포인트 IP 주소로 전달하도록 원격 DNS 서버를 구성합니다.
2. 도메인 이름에 대한 권한을 위임하는 대신 쿼리를 전달하도록 DNS 서버를 설정합니다.
3. 원격 DNS 서버가 재귀 DNS 쿼리만 보내는지 확인합니다.
4. 재귀 필요가 0으로 설정된 상태에서 온프레미스 DNS 서버가 DNS 쿼리를 보내면 인바운드 엔드포인트가 응답하지 않습니다. 패킷 캡처에서 이 정보를 찾을 수 있습니다.
5. AWS Transit Gateway를 사용하는 경우 인바운드 엔드포인트 서브넷을 Transit Gateway Attachment와 연결합니다.
6. 원격 네트워크의 클라이언트에서 프라이빗 호스팅 영역의 레코드 중 하나에 대한 해석을 테스트합니다.

다음 명령에서 RECORD_NAME 및 RECORD_TYPE을 관련된 값으로 바꾸십시오.

• Linux 또는 MacOS의 경우 dig RECORD_NAME RECORD_TYPE을 실행합니다. 예: dig example.com A
• Windows의 경우 nslookup RECORD_NAME RECORD_TYPE을 실행합니다. 예: nslookup example.com

관련 정보

VPC와 네트워크 간 DNS 쿼리 확인

아웃바운드 DNS 쿼리를 네트워크로 전달

아웃바운드 엔드포인트 관리

Route 53 해석기 엔드포인트의 DNS 확인 문제를 해결하려면 어떻게 해야 하나요?