本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
在 VPC 和您網路之間解析 DNS 查詢
此外，Resolver 包含您設定以解答內部部署環境的往返 DNS 查詢的端點。
注意
不支援將私人 DNS 查詢從內部部署 DNS 伺服器轉寄至任何 VPC CIDR + 2 位址，而且這麼做可能導致結果不穩定。建議您改為使用 Resolver 傳入端點。
您也可以設定轉送規則，來整合網路上 Resolver 與 DNS 解析程式之間的 DNS 解析。您的網路可包含任何可從 VPC 連線的網路，例如以下項目：
VPC 本身
另一個對等 VPC
AWS 與連線的內部部署網路 AWS Direct Connect、VPN 或網路位址轉譯 (NAT) 閘道
開始轉送查詢前，請在連線的 VPC 中建立 Resolver 傳入及 (或) 傳出端點。這些端點提供輸入或輸出查詢的路徑：
- 傳入端點：您網路上的 DNS 解析程式可以透過此端點，將 DNS 查詢轉送至 Route 53 Resolver。
這可讓您的 DNS 解析器輕鬆解析 AWS 資源的網域名稱，例如 Route 53 私有託管區域中的 EC2 執行個體或記錄。如需詳細資訊，請參閱 您網路上的 DNS 解析程式如何將 DNS 查詢轉送至 Route 53 Resolver 端點。
- 傳出端點：Resolver 會有條件地透過此端點向您網路上的解析程式轉送查詢
若要轉送選取的查詢，您可以建立 Resolver 規則，而該規則指定您想要轉送之 DNS 查詢的網域名稱 (如 example.com)，以及您要轉送查詢至網路上哪個 DNS 解析程式的 IP 地址。如果查詢符合多項規則 (example.com、acme.example.com)，Resolver 會選擇最符合的規則 (acme.example.com)，並轉送查詢到您以該規則指定的 IP 地址。如需詳細資訊，請參閱 Route 53 Resolver 端點如何從您的 VPC 轉送 DNS 查詢到您的網路。
類似於 Amazon VPC，Resolver 是區域性的。在有 VPC 的每個區域中，您可以選擇將查詢從 VPC 轉送到網路 (對外查詢)、從網路轉送至 VPC (傳入查詢)，或兩者皆選。
您無法在非您擁有的 VPC 中建立 Resolver 端點。只有 VPC 擁有者可以建立 VPC 層級的資源，例如傳入端點。
注意
建立 Resolver 端點時，您無法指定執行個體租用屬性設定為 dedicated 的 VPC。如需詳細資訊，請參閱 在為專用執行個體租戶設定的 VPC 中使用 Resolver。
若要使用傳入或傳出轉送，請在您的 VPC 中建立 Resolver 端點。在定義端點的過程中，您需要指定希望傳入 DNS 查詢轉送到哪些 IP 地址，或希望傳出查詢來自哪些 IP 地址。對於您指定的每個 IP 地址，Resolver 會自動建立 VPC 彈性網路介面。
下圖顯示 DNS 查詢從您網路上的 DNS 解析程式到達 Route 53 Resolver 端點的路徑。
下圖顯示 DNS 查詢從其中一個 VPC 中的 EC2 執行個體到達您網路上的 DNS 解析程式的路徑。
如需 VPC 網路介面的概觀，請參閱 Amazon VPC 使用者指南中的彈性網路介面。
主題
您網路上的 DNS 解析程式如何將 DNS 查詢轉送至 Route 53 Resolver 端點
當您想要將 DNS 查詢從網路轉送至 AWS 區域中的 Route 53 Resolver 端點時，請執行以下步驟：
您可以在 VPC 中建立 Route 53 Resolver 傳入端點，並指定您網路上的解析程式將 DNS 查詢轉送到哪些 IP 地址。
對於您為傳入端點所指定的每個 IP 地址，Resolver 會在您建立傳入端點的 VPC 中，建立 VPC 彈性網路介面。
您在網路上設定解析程式，將適用網域名稱的 DNS 查詢轉送至您在傳入端點中指定的 IP 地址。如需詳細資訊，請參閱 建立傳入和傳出端點時的注意事項。
以下是 Resolver 解析在網路上產生之 DNS 查詢的方法：
您網路上的 Web 瀏覽器或其他應用程式會提交您轉送到 Resolver 的網域名稱 DNS 查詢。
您網路上的解析程式會將查詢轉送至傳入端點的 IP 地址。
傳入端點將查詢轉送至 Resolver。
Resolver 從內部或對公有名稱伺服器執行遞迴查詢，在 DNS 查詢中取得網域名稱的適用值。
Resolver 會將值傳回傳入端點。
傳入端點將值傳回您網路上的解析程式。
您網路上的解析程式將值傳回應用程式。
應用程式使用 Resolver 傳回的值提交 HTTP 請求，例如，請求 Amazon S3 儲存貯體中的物件。
創建入站端點不會改變解析器的行為，它只是提供從 AWS 網絡外部位置到解析器的路徑。
Route 53 Resolver 端點如何從您的 VPC 轉送 DNS 查詢到您的網路
當您想要將 AWS 區域中一或多個 VPC 中 EC2 執行個體的 DNS 查詢轉寄至您的網路時，請執行下列步驟。
在 VPC 中建立 Route 53 Resolver 傳出端點並指定多個值：
在前往網路解析程式途中，您希望 DNS 查詢通過的 VPC。
您希望 Resolver 從中轉送 DNS 查詢之 VPC 中的 IP 地址。對網路上的主機而言，這些是 DNS 查詢產生來源的 IP 地址。
對於您為傳出端點所指定的每個 IP 地址，Resolver 會在您指定的 VPC 中建立 Amazon VPC 彈性網路介面。如需詳細資訊，請參閱 建立傳入和傳出端點時的注意事項。
您要建立一或多項規則，指定您希望 Resolver 轉送到您網路解析程式之 DNS 查詢的網域名稱。您也要指定解析程式的 IP 地址。如需詳細資訊，請參閱 使用規則來控制哪些查詢轉送到您的網路。
建立每項規則與將 DNS 查詢轉送至網路之 VPC 的關聯。
主題
使用規則來控制哪些查詢轉送到您的網路
這些規則會控制 Route 53 Resolver 端點將哪些 DNS 查詢轉送到網路 DNS 解析程式，以及 Resolver 解答哪些查詢。
有幾種方式可以分類規則。一種方法是以規則建立者為分類依據：
自動定義的規則 – Resolver 會自動建立自動定義的規則，並建立這些規則與您 VPC 的關聯。這些規則大多適用於 Resolver 回答查詢的 AWS特定域名。如需詳細資訊，請參閱 Resolver 建立自動定義規則所針對的網域名稱。
自訂規則 – 您建立自訂規則，並建立這些規則與 VPC 的關聯。目前，您只能建立一種自訂規則，即條件式轉送規則，也稱為轉送規則。轉送規則可讓 Resolver 將 DNS 查詢從您的 VPC 轉送至網路 DNS 解析程式的 IP 地址。
如果您為同一個網域建立轉送規則做為自動定義規則使用，Resolver 會根據轉送規則的設定，將該網域名稱的查詢轉送至網路 DNS 解析程式。
另一個方法是依據操作內容分類規則：
條件式轉送規則 – 當您想要將指定網域名稱的 DNS 查詢轉送到您網路的 DNS 解析程式時，建立條件式轉送規則 (也稱為轉送規則)。
系統規則 – 系統規則可讓 Resolver 選擇性地覆寫在轉送規則中定義的行為。當您建立系統規則時，Resolver 會解析指定子網域的 DNS 查詢，否則即由您網路的 DNS 解析程式解析。
根據預設，轉送規則適用於網域名稱及其所有子網域。如果您想要將網域查詢轉送到網路的解析程式，但不想轉送某些子網域的查詢，您可以建立針對子網域的系統規則。例如，如果您為 example.com 建立了轉送規則，但不想轉送 acme.example.com 的查詢，您可以建立一項系統規則，並指定 acme.example.com 為網域名稱。
遞迴規則 – Resolver 會自動建立名為 Internet Resolver (網際網路解析程式) 的遞迴規則。對於您未建立自訂規則，而且 Resolver 也未建立自動定義規則的任何網域名稱，這個規則會使 Route 53 Resolver 成為遞迴解析程式。如需如何覆寫這種行為的資訊，請參閱本主題稍後的「將所有查詢轉送到您的網路」。
您可以建立套用至特定網域名稱 (您或大多數網 AWS 域名稱)、公用 AWS 網域名稱或所有網域名稱的自訂規則。
- 將特定網域名稱的查詢轉送到您的網路
若要將 example.com 等特定網域名稱的查詢轉送到您的網路，您可以建立一項規則，指定該網域名稱。您也可以指定您網路 DNS 解析程式的 IP 地址，將查詢轉送至此地址。然後，建立每項規則與將 DNS 查詢轉送至網路之 VPC 的關聯。例如，您可以分別為 example.com、example.org 和 example.net 建立規則。然後，您可以使用任何組合將規則與 AWS 區域中的 VPC 產生關聯。
- 將 amazonaws.com 的查詢轉送至您的網路
網域名稱 Amazonaws.com 是 EC2 執行個體和 S3 儲存貯體等資 AWS 源的公有網域名稱。如果您想要將 amazonaws.com 的查詢轉送到您的網路，請建立一項規則，指定網域名稱為 amazonaws.com，並指定規則類型為 Forward (轉送)。
注意
即使您建立了 amazonaws.com 轉送規則，Resolver 也不會自動轉送某些 amazonaws.com 子網域的 DNS 查詢。如需詳細資訊，請參閱 Resolver 建立自動定義規則所針對的網域名稱。如需如何覆寫這種行為的資訊，請參閱接下來的「將所有查詢轉送到您的網路」。
- 將所有查詢轉送到您的網路
-
如果您想要將所有查詢轉送至您的網路，您可以建立一項規則，指定「.」(點) 為網域名稱，並建立規則與將所有 DNS 查詢轉送至網路之 VPC 的關聯。解析器仍然不會將所有 DNS 查詢轉發到您的網絡，因為在之外使用 DNS 解析器 AWS 會破壞某些功能。例如，某些內部 AWS 網域名稱具有無法從外部存取的內部 IP 位址範圍 AWS。如需建立「.」規則後無法將查詢轉送到您網路的網域名稱清單，請參閱 Resolver 建立自動定義規則所針對的網域名稱。
不過，您可以停用反向 DNS 的自動定義系統規則，讓「.」規則將所有反向 DNS 查詢轉送至您的網路。如需如何關閉自動定義之規則的詳細資訊，請參閱 Resolver 中反向 DNS 查詢的轉送規則。
如果您想要嘗試將所有網域名稱的 DNS 查詢轉送至您的網路，包括預設排除轉送的網域名稱，您可以建立「.」規則，然後執行下列一項操作：
將 VPC 的
enableDnsHostnames標記設為false為Resolver 建立自動定義規則所針對的網域名稱列出的網域名稱建立規則
重要
如果您在建立「.」規則時將所有網域名稱轉送到您的網路，包括 Resolver 排除的網域名稱，有些功能可能會停止運作。
Resolver 如何判斷查詢中的網域名稱是否符合任何規則
Route 53 Resolver 會比較 DNS 查詢中的網域名稱和與查詢產生來源 VPC 相關聯之規則中的網域名稱。在下列情況中，Resolver 認為網域名稱符合：
網域名稱完全相符
查詢中的網域名稱是規則中網域名稱的子網域
例如，如果規則中的網域名稱是 acme.example.com，Resolver 會將 DNS 查詢中的下列網域名稱視為相符：
acme.example.com
zenith.acme.example.com
下列網域名稱不相符：
example。com
nadir.example.com
如果查詢中的網域名稱符合多項規則中的網域名稱 (例如 example.com 和 www.example.com)，Resolver 會使用包含最多特定網域名稱的規則 (www.example.com) 路由傳出 DNS 查詢。
Resolver 如何判斷將 DNS 查詢轉送至何處
當在 VPC 之 EC2 執行個體上執行的應用程式提交 DNS 查詢時，Route 53 Resolver 會執行以下步驟：
Resolver 檢查規則中的網域名稱。
如果查詢中的網域名稱符合規則中的網域名稱，Resolver 會將查詢轉送至您建立傳出端點時所指定的 IP 地址。然後傳出端點會將查詢轉送至您網路的解決程式 IP 地址，即您在建立規則時所指定的地址。
如需詳細資訊，請參閱 Resolver 如何判斷查詢中的網域名稱是否符合任何規則。
Resolver 端點根據「.」規則中的設定轉送 DNS 查詢。
如果查詢中的網域名稱不符合任何其他規則中的網域名稱，Resolver 會根據自動定義之「.」(點) 規則中的設定轉送查詢。點規則適用於所有網域名稱，但私人託管區域中的某些 AWS 內部網域名稱和記錄名稱除外。如果查詢中的網域名稱不符合您自訂轉送規則中的任何名稱，此規則可讓 Resolver 將 DNS 查詢轉送至公有的名稱伺服器。如果您想要將所有查詢轉送到網路上的 DNS 解析器，則可以建立自訂轉送規則，指定網域名稱為「.」，指定類型為 Forwarding (轉送)，並指定這些解析程式的 IP 地址。
Resolver 會將回應傳回至提交查詢的應用程式。
在多個區域中使用規則
Route 53 解析器是一種地區服務，因此您在一個 AWS 區域中創建的對象僅在該區域中可用。若要在多個區域中使用相同的規則，您必須在每個區域中建立該規則。
建立規則的 AWS 帳戶可以與其他 AWS 帳號共用規則。如需詳細資訊，請參閱 與其他 AWS 帳戶共享解析器規則並使用共享規則。
Resolver 建立自動定義規則所針對的網域名稱
Resolver 會自動建立自動定義的系統規則，其中會定義如何解析所選網域的查詢：
針對私有託管區域和 Amazon EC2 特定網域名稱 (如 compute.amazonaws.com 和 compute.internal)，自動定義規則可確保您的私有託管區域和 EC2 執行個體繼續解析，前提是您為較少的特定域名 (如「.」(點) 或「com」) 建立條件轉送規則。
針對公開預留網域名稱 (如 localhost 和 10.in-addr.arpa)，DNS 最佳實務建議在本機解答查詢，不要將查詢轉送到公有名稱伺服器。請參閱 RFC 6303，本機服務 DNS 區域
。
注意
如果為「.」(點) 或「com」建立條件式轉送規則，建議您也為 amazonaws.com 建立系統規則。(系統規則可讓 Resolver 在本機解析特定網域和子網域的 DNS 查詢。) 建立此系統規則可提升效能、減少轉送至您網路的查詢數量，以及降低 Resolver 費用。
如果您想要覆寫自動定義的規則，則可以為相同的網域名稱建立條件式轉送規則。
您也可以停用某些自動定義的規則。如需詳細資訊，請參閱 Resolver 中反向 DNS 查詢的轉送規則。
Resolver 會建立下列自動定義的規則。
- 私有託管區域的規則
針對已與 VPC 建立關聯的每個私有託管區域，Resolver 會建立規則，並建立它與 VPC 的關聯。如果您建立該私有託管區域與多個 VPC 的關聯，則 Resolver 會建立該規則與多個相同 VPC 的關聯。
此規則的類型為 Forward (轉送)。
- 各種 AWS 內部網域名稱的規則
-
在本節中，所有內部網域名稱的規則類型都是 Forward (轉送)。Resolver 會將這些網域名稱的 DNS 查詢轉送至 VPC 的授權名稱伺服器。
注意
當您將 VPC 的
enableDnsHostnames標記設定為true時，Resolver 會建立大部分這些規則。即使您未使用 Resolver 端點，Resolver 也會建立規則。當您將 VPC 的
enableDnsHostnames標記設定為true時，Resolver 會建立下列自動定義規則，並建立其與 VPC 的關聯：區域名稱.compute.internal，例如，eu-west-1.compute.internal。us-east-1 區域不使用此網域名稱。區域名稱.compute.amazon-domain-name，例如，eu-west-1.compute.amazonaws.com 或 cn-north-1.compute.amazonaws.com.cn。us-east-1 區域不使用此網域名稱。ec2.internal。僅 us-east-1 區域使用此網域名稱。
compute-1.internal。僅 us-east-1 區域使用此網域名稱。
compute-1.amazonaws.com。僅 us-east-1 區域使用此網域名稱。
當您將 VPC 的
enableDnsHostnames標記設定為true時，以下是 Resolver 建立之規則的反向 DNS 查詢的自動定義規則。10.in-addr.arpa
16.172.in-addr.arpa 到 31.172.in-addr.arpa
168.192.in-addr.arpa
254.169.254.169.in-addr.arpa
VPC 的各個 CIDR 範圍的規則。例如，如果 VPC 的 CIDR 範圍為 10.0.0.0/23，Resolver 將會建立以下規則：
0.0.10.in-addr-arpa
1.0.10.in-addr-arpa
當您將 VPC 的
enableDnsHostnames標記設定為true時，也會建立以下 localhost 相關網域的自動定義規則，及其與 VPC 的關聯：localhost
localdomain
127.in-addr.arpa
1.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa
0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.ip6.arpa
當您透過傳輸閘道或 VPC 對等互連連接兩個 VPC 並啟用 DNS 支援時，Resolver 會建立下列自動定義規則，並建立其與 VPC 的關聯：
對等 VPC 的 IP 地址範圍反向 DNS 查詢，例如，0.192.in-addr.arpa
如果將 IPv4 CIDR 區塊新增至 VPC，Resolver 會為新的 IP 地址範圍新增自動定義規則。
如果其他 VPC 位在另一個區域，則以下網域名稱：
區域名稱.compute.internal。us-east-1 區域不使用此網域名稱。區域名稱.compute.amazon 網域名稱。us-east-1 區域不使用此網域名稱。ec2.internal。僅 us-east-1 區域使用此網域名稱。
compute-1.amazonaws.com。僅 us-east-1 區域使用此網域名稱。
- 所有其他網域的規則
Resolver 建立的「.」(點) 規則適用本主題前文中未指定的所有網域名稱。「.」規則都有 Recursive (遞迴) 類型，這表示規則可讓 Resolver 做為遞廻解析程式使用。
建立傳入和傳出端點時的注意事項
在 AWS 區域中建立輸入和輸出解析器端點之前，請考慮下列問題。
主題
每個 區域中的傳入和傳出端點數量
當您想要將 AWS 區域中 VPC 的 DNS 與網路的 DNS 整合時，通常需要一個解析器輸入端點 (適用於轉寄至 VPC 的 DNS 查詢) 和一個輸出端點 (適用於從 VPC 轉寄到網路的查詢)。您可以建立多個傳入端點和多個傳出端點，但一個傳入或傳出端點就足夠處理每一相應方向的 DNS 查詢。注意下列事項：
-
對於每個 Resolver 端點，您需要指定位於不同可用區域的兩個或更多個 IP 地址。端點中的每個 IP 地址每秒可以處理大量的 DNS 查詢。(如需了解端點中每個 IP 地址每秒的查詢次數的目前上限，請參閱 Route 53 Resolver 的配額。) 如果您需要 Resolver 來處理更多的查詢，您可以將多個 IP 地址新增到現有的端點，而不是新增其他端點。
-
Resolver 定價是根據端點中的 IP 地址數量和該端點處理的 DNS 查詢數量。每個端點包含至少兩個 IP 地址。如需 Resolver 定價的詳細資訊，請參閱 Amazon Route 53 定價
。 -
每個規則指定 DNS 查詢轉送自哪個傳出端點。如果您在 AWS 區域中建立多個傳出端點，並且想要將部分或全部 Resolver 規則與每個 VPC 建立關聯，您需要建立這些規則的多個副本。
針對傳入和傳出端點使用相同的 VPC
您可以在相同 VPC 中或相同區域中的不同 VPC 中建立傳入和傳出端點。
如需詳細資訊，請參閱 Amazon Route 53 的最佳實務。
傳入端點和私有託管區域
如果您希望 Resolver 使用私有託管區域中的記錄來解析傳入 DNS 查詢，請將私有託管區域與您建立傳入端點的 VPC 建立關聯。如需有關將私有託管區域與 VPC 建立關聯的詳細資訊，請參閱 使用私有託管區域。
VPC 對等互連
無論您選擇的 VPC 是否與其他 VPC 對等，您都可以將 AWS 區域中的任何 VPC 用於輸入端點或輸出端點。如需詳細資訊，請參閱 Amazon Virtual Private Cloud VPC 對等互連。
共用子網路中的 IP 位址
當您建立傳入或傳出端點時，只有在目前帳戶建立 VPC 時，才能在共用子網路中指定 IP 地址。如果另一個帳戶建立 VPC 並與您的帳戶共用 VPC 中的子網路，則您無法在該子網路中指定 IP 地址。如需共用子網路的詳細資訊，請參閱 Amazon VPC 使用者指南中的使用共用 VPC。
在您的網路和您建立端點的 VPC 之間的連線
在您的網路和您建立端點的 VPC 之間，您必須有以下其中一個連線：
-
傳入端點 – 您必須在網路和每個建立了傳入端點的 VPC 間設定 AWS Direct Connect 連線或 VPN 連接。
-
傳出端點 – 在您的網路和您建立傳出端點的每個 VPC 之間，您必須設定 AWS Direct Connect 連線、VPN 連接或網路位址轉譯 (NAT) 閘道。
當您共用規則時，您也會共用傳出端點
當您建立規則時，您需要指定傳出端點，供 Resolver 用來將 DNS 查詢轉送到您的網路。如果您與其他 AWS 帳戶共用規則，也會間接共用您在規則中指定的輸出端點。如果您使用多個 AWS 帳戶在一個 AWS 區域中建立 VPC，則可以執行下列動作：
-
在該區域中建立一個傳出端點。
-
使用一個 AWS 帳戶建立規則。
-
與區域中建立 VPC 的所有 AWS 帳戶共用規則。
這可讓您使用區域中的一個輸出端點，將多個 VPC 的 DNS 查詢轉寄至您的網路，即使 VPC 是使用不同 AWS 的帳戶建立的也一樣。
選擇端點的協定
端點協定確定如何將資料傳輸至傳入端點以及從傳出端點傳輸資料。不需要加密 VPC 流量的 DNS 查詢，因為網路上的每個封包流程都根據規則個別授權，以在傳輸和交付之前驗證正確的來源和目的地。未同時經傳輸和接收實體明確授權，資訊在實體之間任意傳遞的可能性極小。如果封包路由至目的地時沒有與其相符的規則，則此封包會捨棄。如需詳細資訊，請參閱 VPC 功能。
可用的通訊協定包括：
-
Do53：透過連接埠 53 的 DNS。透過使用 Route 53 Resolver 轉送資料，而無需額外加密。雖然外部各方無法讀取數據，但可以在 AWS 網絡中查看。使用 UDP 或 TCP 傳送封包。Do53 主要用於 Amazon VPC 內部和之間的流量。
-
DoH：透過加密的 HTTPS 工作階段傳輸資料。DoH 新增了額外的安全層級，未經授權的使用者無法解密資料，並且除預期收件人之外的任何人都無法讀取資料。
-
DoH-FIPS：透過符合 FIPS 140-2 密碼編譯標準的加密 HTTPS 工作階段傳輸資料。僅支援傳入端點。如需詳細資訊，請參閱 FIPS PUB 140-2
。
對於傳入端點，您可以按如下方式套用協定：
Do53 和 DOH 組合。
Do53 和 DoH-FIPS 組合。
單獨 Do53。
單獨 DoH。
單獨 DoH-FIPS。
無，視為 Do53。
對於傳出端點，您可以按如下方式套用協定：
Do53 和 DOH 組合。
單獨 Do53。
單獨 DoH。
無，視為 Do53。
另請參閱 當您建立或編輯傳入端點時所指定的值 和 當您建立或編輯傳出端點時所指定的值。
在為專用執行個體租戶設定的 VPC 中使用 Resolver
建立 Resolver 端點時，您無法指定執行個體租用屬性設定為 dedicated 的 VPC。Resolver 不會在單一租戶硬體上執行。
您可以繼續使用 Resolver 解析源自於 VPC 的 DNS 查詢。至少建立一個執行個體租用屬性設為 default 的 VPC ，並在建立傳入和傳出端點時指定該 VPC。
當您建立轉送規則時，可以將其與任何 VPC 建立關聯，無論該執行個體租用屬性的設定為何。
