DNS

PDFRSS

Saat Anda meluncurkan instance ke VPC, tidak termasuk VPC default, AWS menyediakan instance dengan nama host DNS pribadi (dan berpotensi nama host DNS publik) tergantung pada atribut DNS yang Anda tentukan untuk VPC dan jika instance Anda memiliki alamat publik. IPv4 Ketika enableDnsSupport atribut diatur ketrue, Anda mendapatkan resolusi DNS dalam VPC dari Route 53 Resolver (+2 IP offset ke VPC CIDR). Secara default, Route 53 Resolver menjawab kueri DNS untuk nama domain VPC seperti nama domain untuk instance EC2 atau penyeimbang beban Elastic Load Balancing. Dengan VPC peering, host dalam satu VPC dapat menyelesaikan nama host DNS publik ke alamat IP pribadi untuk instance di peered VPCs, asalkan opsi untuk melakukannya diaktifkan. Hal yang sama berlaku untuk VPCs terhubung melalui AWS Transit Gateway. Untuk informasi selengkapnya, lihat Mengaktifkan Dukungan Resolusi DNS untuk Koneksi Peering VPC.

Jika ingin memetakan instans ke nama domain khusus, Anda dapat menggunakan Amazon Route 53 untuk membuat DNS-to-IP-mapping catatan kustom. Zona yang dihosting Amazon Route 53 adalah wadah yang menyimpan informasi tentang bagaimana Anda ingin Amazon Route 53 merespons kueri DNS untuk domain dan subdomainnya. Public Hosted Zones berisi informasi DNS yang dapat diselesaikan melalui internet publik sementara Private Hosted Zones adalah implementasi khusus yang hanya menyajikan informasi VPCs yang telah dilampirkan ke zona host pribadi tertentu. Dalam pengaturan Zona Pendaratan di mana Anda memiliki beberapa VPCs atau akun, Anda dapat mengaitkan satu zona yang dihosting pribadi dengan beberapa VPCs akun AWS dan di seluruh Wilayah (SDK/CLI/APIhanya dapat dilakukan dengan). Host akhir VPCs menggunakan IP Resolver Route 53 masing-masing (+2 mengimbangi VPC CIDR) sebagai server nama untuk kueri DNS. Resolver Route 53 di VPC hanya menerima kueri DNS dari sumber daya dalam VPC.

DNS Hibrida

DNS adalah komponen penting dari infrastruktur apa pun, hybrid atau lainnya, karena memberikan hostname-to-IP-address resolusi yang diandalkan aplikasi. Pelanggan yang menerapkan lingkungan hybrid biasanya memiliki sistem resolusi DNS yang sudah ada, dan mereka menginginkan solusi DNS yang bekerja bersama-sama dengan sistem mereka saat ini. Native Route 53 resolver (+2 set dari VPC CIDR dasar) tidak dapat dijangkau dari jaringan lokal menggunakan VPN atau. AWS Direct Connect Oleh karena itu, saat Anda mengintegrasikan DNS untuk Wilayah AWS dengan DNS untuk jaringan Anda, Anda memerlukan titik akhir masuk Route 53 Resolver (untuk kueri DNS yang diteruskan ke jaringan Anda VPCs) dan titik akhir keluar Route 53 Resolver (untuk kueri yang diteruskan dari jaringan Anda ke jaringan Anda). VPCs VPCs

Seperti yang ditunjukkan pada gambar berikut, Anda dapat mengonfigurasi titik akhir Resolver keluar untuk meneruskan kueri yang diterimanya dari EC2 instans Amazon di server DNS Anda ke jaringan Anda. VPCs Untuk meneruskan kueri yang dipilih, dari VPC ke jaringan lokal, buat aturan Resolver Route 53 yang menentukan nama domain untuk kueri DNS yang ingin diteruskan (seperti example.com), dan alamat IP resolver DNS di jaringan tempat Anda ingin meneruskan kueri. Untuk kueri masuk dari jaringan lokal ke zona yang dihosting Route 53, server DNS di jaringan Anda dapat meneruskan kueri ke titik akhir Resolver masuk dalam VPC tertentu.

Resolusi DNS Hybrid menggunakan Resolver Route 53

Hal ini memungkinkan resolver DNS lokal Anda untuk dengan mudah menyelesaikan nama domain untuk sumber daya AWS, seperti EC2 instans atau catatan Amazon di zona host pribadi Route 53 yang terkait dengan VPC tersebut. Selain itu, titik akhir Route 53 Resolver dapat menangani hingga sekitar 10.000 kueri per detik per ENI, sehingga dapat menskalakan ke volume kueri DNS yang jauh lebih besar dengan mudah. Lihat Praktik terbaik untuk Resolver di dokumentasi Amazon Route 53 untuk detail selengkapnya.

Anda tidak disarankan untuk membuat titik akhir Route 53 Resolver di setiap VPC Zona Pendaratan. Pusatkan mereka di VPC jalan keluar pusat (di akun layanan Jaringan). Pendekatan ini memungkinkan pengelolaan yang lebih baik sambil menjaga biaya tetap rendah (Anda dikenakan biaya per jam untuk setiap titik akhir resolver inbound/outbound yang Anda buat). Anda berbagi titik akhir masuk dan keluar terpusat dengan sisa Zona Pendaratan.

• Resolusi keluar — Gunakan akun Layanan Jaringan untuk menulis aturan resolver (berdasarkan kueri DNS mana yang akan diteruskan ke server DNS lokal). Menggunakan Resource Access Manager (RAM), bagikan aturan Resolver Route 53 ini dengan beberapa akun (dan kaitkan dengan VPCs di akun). EC2 instance dalam spoke VPCs dapat mengirim kueri DNS ke Route 53 Resolver dan Route 53 Resolver Service akan meneruskan kueri ini ke server DNS lokal melalui titik akhir Route 53 Resolver keluar di VPC jalan keluar.  Anda tidak perlu mengintip berbicara VPCs ke VPC jalan keluar, atau menghubungkannya melalui Transit Gateway. Jangan gunakan IP dari endpoint resolver outbound sebagai DNS utama di spoke. VPCs Spoke VPCs harus menggunakan Route 53 Resolver (untuk mengimbangi VPC CIDR) di VPC mereka.

Memusatkan titik akhir Rute 53 Resolver di VPC masuk/keluar

• Resolusi DNS masuk — Buat titik akhir masuk Resolver Route 53 di VPC terpusat dan kaitkan semua zona host pribadi di Zona Pendaratan Anda dengan VPC terpusat ini. Untuk informasi selengkapnya, lihat Mengaitkan Lainnya VPCs dengan Zona Dihosting Pribadi. Beberapa Zona Dihosting Pribadi (PHZ) yang terkait dengan VPC tidak dapat tumpang tindih. Seperti yang ditunjukkan pada gambar sebelumnya, asosiasi PHZ dengan VPC terpusat ini akan memungkinkan server lokal menyelesaikan DNS untuk entri apa pun di zona host pribadi apa pun (terkait dengan VPC pusat) menggunakan titik akhir masuk di VPC terpusat. Untuk informasi lebih lanjut tentang pengaturan DNS hybrid, lihat Manajemen DNS terpusat dari cloud hybrid dengan Amazon Route 53 dan AWS Transit Gateway dan Opsi DNS Cloud Hybrid untuk Amazon VPC.

Route 53 DNS Firewall

Amazon Route 53 Resolver DNS Firewall membantu memfilter dan mengatur lalu lintas DNS keluar untuk Anda. VPCs Penggunaan utama DNS Firewall adalah untuk membantu mencegah eksfiltrasi data data Anda dengan menentukan daftar izin nama domain yang memungkinkan sumber daya di VPC Anda untuk membuat permintaan DNS keluar hanya untuk situs yang dipercaya organisasi Anda. Ini juga memberi pelanggan kemampuan untuk membuat daftar blokir untuk domain yang tidak mereka inginkan sumber daya di dalam VPC untuk berkomunikasi melalui DNS. Amazon Route 53 Resolver Firewall DNS memiliki beberapa fitur berikut:

Pelanggan dapat membuat aturan untuk menentukan bagaimana kueri DNS dijawab. Tindakan yang dapat didefinisikan untuk nama domain meliputiNODATA, OVERRIDE danNXDOMAIN.

Pelanggan dapat membuat peringatan untuk daftar izin dan daftar penolakan untuk memantau aktivitas aturan. Ini bisa berguna ketika pelanggan ingin menguji aturan sebelum memindahkannya ke produksi.

Untuk informasi lebih lanjut, lihat posting blog Cara Memulai dengan Amazon Route 53 Resolver DNS Firewall untuk Amazon VPC.