Como configuro um endpoint de saída do Route 53 Resolver para resolver registros DNS hospedados em uma rede remota a partir de recursos em minha VPC?

Breve descrição

Para configurar um endpoint de saída do Route 53 Resolver, crie um endpoint na sua Amazon VPC e especifique os endereços IP de destino. Em seguida, configure as regras do Resolver para encaminhar consultas de DNS para seus servidores DNS remotos.

Resolução

Pré-requisitos

• Ative a resolução de DNS nos atributos de DNS para a sua VPC associada à regra do Resolver.
• Para servidores DNS personalizados ou servidores do Active Directory em suas opções de DHCP da VPC, configure-os para encaminhar condicionalmente as consultas de DNS aos servidores DNS da sua VPC. Por exemplo, se o intervalo CIDR principal da sua VPC for 172.31.0.0/16, o endereço IP do servidor DNS da sua VPC será 172.31.0.2. Esse é o intervalo de rede Amazon VPC mais dois.
• Se você não estiver usando um servidor DNS personalizado em sua VPC, defina os servidores de nome de domínio nas opções DHCP para:
  AmazonProvidedDNS
  O endereço IP reservado (intervalo de rede VPC IPv4 mais dois)

Configurar um endpoint de saída

Para configurar o endpoint de saída, conclua as seguintes etapas:

1. Abra o console do Route 53.
2. No painel de navegação, escolha Endpoints de saída.
3. Na barra de navegação, escolha a Região da VPC em que você deseja criar o endpoint de saída.
4. Escolha Criar endpoint de saída.
5. Na página Criar endpoint de saída, preencha a seção Configurações gerais para endpoint de saída.
   Escolha um Grupo de segurança que permita conectividade TCP e UDP de saída com o seguinte:
   Endereços IP que os resolvedores usam para consultas de DNS em sua rede remota.
   Portas que os resolvedores usam para consultas de DNS em sua rede remota.
6. Preencha a seção Endereços IP.
   É possível configurar o Resolver para escolher endereços IP entre os endereços IP disponíveis na sub-rede ou especificar endereços IP.
   Escolha entre no mínimo dois e no máximo seis endereços IP para consultas de DNS.
   É uma prática recomendada escolher endereços IP em pelo menos duas Zonas de Disponibilidade diferentes.
7. Em Sub-rede, selecione sub-redes que tenham:
   Tabelas de rotas com rotas para os endereços IP do resolvedor de DNS da sua rede remota. É possível usar o AWS Direct Connect, a conexão VPN da AWS ou o gateway NAT para essas rotas.
   Listas de controle de acesso (ACLs) à rede que permitem tráfego UDP e TCP para os endereços IP do resolvedor e portas em sua rede remota.
   Tráfego de resolvedores no intervalo de portas de destino 1024-65535.
8. (Opcional) Preencha a seção Tags.
9. Escolha Enviar.

Configurar uma regra do Resolver

Para criar uma nova regra do Resolver, conclua as seguintes etapas:

1. Abra o console do Route 53.
2. Escolha Regras no painel de navegação do Route 53.
3. Na barra de navegação, escolha a região em que o endpoint de saída recém-criado existe.
4. Selecione Create rule (Criar regra).
5. Na página Criar regra, preencha as seções Regra para tráfego de saída.
   Para Tipo de regra, configure uma regra de Encaminhamento. Associe-o à VPC de onde você deseja que a regra encaminhe consultas de DNS para sua rede remota.
   Para Endpoint de saída, escolha o endpoint de saída que você criou.
   Observação: a VPC associada a essa regra não precisa ser a mesma VPC em que você criou o endpoint de saída.
6. Preencha a seção Endereços IP.
   Em endereço IP, especifique os endereços IP dos resolvedores DNS em sua rede remota.
   Em Porta, especifique as portas que esses resolvedores usam para consultas de DNS.
   Observação: o Resolver encaminha todas as consultas de DNS que correspondam a essa regra e se originam de uma VPC associada a essa regra para o endpoint de saída referenciado. Nesse caso, o Resolver encaminha essas consultas para os endereços IP de destino que você especificou na seção Endereços IP.
7. (Opcional) Preencha a seção Tags.
8. Escolha Enviar.

Para uma regra em sua conta da AWS:

• Se você tiver uma regra existente para o mesmo domínio e Região da AWS da sua VPC, não crie uma nova regra.
• Em vez disso, selecione a regra no painel e associe-a às suas VPCs nessa Região.

Para uma regra em uma conta diferente:

• Use o AWS Resource Access Manager para compartilhar a regra da conta remota com sua conta.
• Quando compartilhado, você também recebe acesso ao endpoint de saída correspondente.
• Selecione a regra compartilhada do seu painel e associe-a às suas VPCs.

Observação: você não precisa de conectividade de rede entre suas VPCs para encaminhar consultas de DNS para uma regra do Resolver. Isso se aplica a VPCs na mesma conta ou em contas diferentes. A conectividade de rede só é necessária entre a VPC do seu endpoint de saída e os resolvedores remotos de DNS.

Testar sua configuração

Para testar sua configuração, execute uma resolução de DNS a partir de uma das instâncias do Amazon EC2 em sua VPC:

• Para Linux ou macOS: dig <record name> <record type>
• Para Windows: nslookup -type=<record type> <record name>

Informações relacionadas

Resolver consultas de DNS entre VPCs e sua rede

Encaminhar consultas de DNS de saída para sua rede

Gerenciar endpoints de saída