Pourquoi ne puis-je pas résoudre les noms de domaine sur ma connexion d'appairage de VPC ?

Solution

Remarque : les scénarios suivants partent du principe que le VPC est configuré avec AmazonProvidedDNS. Si vous utilisez un DNS personnalisé et que vous ne pouvez pas résoudre les noms de domaine, procédez comme suit :

• Ajoutez les enregistrements dans le DNS personnalisé.
  -ou-
• Configurez le DNS pour le transfert de certaines requêtes vers le DNS fourni par Amazon. Le DNS fourni par Amazon est l'adresse IP .2 du CIDR du VPC.

Scénario 1 : Résolution du problème de DNS public d'une instance Amazon EC2 créée dans le VPC appairé

Amazon Elastic Compute Cloud (Amazon EC2) attribue un nom de DNS privé et public lors de la création de l'instance. Les noms de domaine suivants sont attribués aux instances par défaut :

• DNS privé : ip-172-31-19-128.ec2.internal (pour la région us-east-1) ou ip-172-31-12-97.us-west-2.compute.internal (pour les autres régions).
• DNS public : ec2-54-147-16-116.compute-1.amazonaws.com ou ec2-35-88-61-144.us-west-2.compute.amazonaws.com.

Si vous configurez le jeu d'options DHCP avec un nom de domaine personnalisé, tel que « exemple.com », l'instance EC2 utilisera ce nom de domaine. Par exemple, ip-172-31-12-97.us-west-2.example.com.

La résolution d'un problème de DNS privé à partir d'une instance AWS se fait à une adresse IP privée du VPC sur lequel vous avez créé l'instance :

$ dig ip-172-31-12-97.us-west-2.compute.internal +short
172.31.12.97

La résolution du problème de DNS public de l'instance à partir d'une autre instance créée dans le VPC appairé se fait à l'adresse IP publique de l'instance :

$ dig ec2-35-88-61-144.us-west-2.compute.amazonaws.com +short
35.88.61.144

Vous pouvez résoudre le problème de nom de domaine public à l'adresse IP privée de l'instance EC2. Pour ce faire, activez l'une des options suivantes sur la connexion d'appairage de VPC :

• Résolution DNS du demandeur
  -ou-
• Résolution DNS du receveur

Pour en savoir plus, consultez la section Activer la résolution du DNS pour une connexion d'appairage de VPC.

Après avoir activé la résolution du DNS, vous avez la possibilité de résoudre le problème de DNS public à l'adresse IP privée de l'instance. Par exemple : 

$ dig ec2-35-88-61-144.us-west-2.compute.amazonaws.com +short
172.31.12.97

Si la résolution du DNS ne fonctionne pas après l'avoir activée sur l'appairage de VPC, procédez comme suit pour résoudre le problème.

Étapes de dépannage

1.    Vérifiez le VPC source et l'identifiant du VPC de destination.

2.    Assurez-vous qu'il existe une connexion d'appairage active entre le VPC source et le VPC de destination à l'aide de l'appairage de VPC.

3.    Vérifiez la configuration DNS pour la connexion d'appairage. Assurez-vous que la résolution DNS est activée à la fois pour le VPC demandeur et pour le VPC accepteur.

4.    Vérifiez que le nom de domaine public que vous résolvez existe. Vérifiez le VPC de destination pour vous assurer qu'il existe une instance comportant l'adresse IP publique contenue dans le nom de domaine.

5.    Vérifiez si la configuration du DNS du VPC est AmazonProvidedDNS ou CustomDNS. Si vous utilisez un DNS personnalisé, vérifiez qu'il résout le nom de domaine de l'instance publique. S'il ne peut pas résoudre le nom de domaine, effectuez l'une des opérations suivantes :

Ajoutez un enregistrement de DNS statique.

-ou-

Redirigez la requête vers AmazonProvidedDNS.

Scénario 2 : Résolution du problème de nom de domaine des services créés dans un VPC appairé

Si vous créez un service comportant un nom de domaine, vous pouvez résoudre ce problème de nom de domaine à partir de l'instance de n'importe quel VPC appairé. Les noms de domaine créés pour ces services sont des enregistrements publics et peuvent être résolus de n'importe où.

Par exemple, les enregistrements du nom de domaine suivants peuvent être résolus publiquement :

• testCLB-520693273.us-east-1.elb.amazonaws.com
• test-87913728ca9b8a68.elb.us-east-1.amazonaws.com
• vpce-057d3426e21755b8a-svk1k3tm.ssm.us-east-1.vpce.amazonaws.com

Remarque : même si le nom de domaine est destiné à un équilibreur de charge privé, l'enregistrement est public et sa résolution mène à l'adresse IP privée.

Les résolutions de noms de domaine de point de terminaison de service tels que ssm.us-east-1.amazonaws.com mènent à l'adresse IP publique. Cela est vrai même si le point de terminaison d'une interface est créé dans le VPC appairé avec l'option DNS privé activée. De plus, ces noms ne deviennent des adresses IP privées que s'ils sont demandés depuis le VPC où vous avez créé le point de terminaison de l'interface. Pour résoudre les noms de domaine de point de terminaison en adresses IP privées de point de terminaison à partir d'un VPC pair, vous devez avoir créé l'architecture DNS appropriée.

Dans l'exemple suivant, le point de terminaison VPC de l'interface est configuré sur le VPC A. Pour résoudre le nom de domaine du service en adresses IP du point de terminaison VPC de l'interface dans le VPC A à partir du VPC B :

1. Créez un point de terminaison d'interface pour le Service avec PrivateDNS désactivé.
2. Créez une zone hébergée privée à l'aide du nom de domaine du service (par exemple, ssm.us-east-1.amazonaws.com) à partir du compte sur lequel le point de terminaison de l'interface est créé.
3. Veillez à ce que les noms d'hôte DNS et la résolution DNS des deux VPC utilisés dans la connexion d'appairage soient activés.
4. Créez un enregistrement d'alias pointant le nom de domaine du service vers le point de terminaison régional du point de terminaison de l'interface DNS : vpce-057d3426e21755b8a-svk1k3tm.ssm.us-east-1.vpce.amazonaws.com. Vous pouvez également créer un enregistrement indiquant le nom de domaine du service vers les adresses IP privées du point de terminaison VPC d'interface créé dans le VPC A.
5. Associez la zone hébergée privée que vous avez créée au VPC pair (VPC B). Si VPC B est un accès intercompte, consultez Comment associer une zone hébergée privée Route 53 à un VPC dans un autre compte AWS ?

Étapes de dépannage

1.    Vérifiez le VPC source et l'identifiant du VPC de destination.

2.    Vérifiez qu'une connexion d'appairage active existe entre le VPC source et le VPC de destination.

3.    Veillez à ce que les noms d'hôte DNS et la résolution DNS des deux VPC utilisés dans la connexion d'appairage soient activés.

4.    Veillez à ce que le DNS configuré dans le VPC soit AmazonProvidedDNS ou CustomDNS. Si vous utilisez un DNS personnalisé, vérifiez que le DNS personnalisé peut résoudre le nom de domaine. Si le DNS personnalisé ne peut pas résoudre le nom de domaine, ajoutez un enregistrement de DNS statique ou configurez un DNS personnalisé pour le transfert de la requête vers AmazonProvidedDNS.

5.    Vérifiez que les deux VPC appairés sont associés à la même zone hébergée privée dans laquelle l'enregistrement du nom de domaine est créé.

6.    Assurez-vous que les enregistrements indiquent des adresses IP de point de terminaison d'interface ou de domaine d'interface spécifiques à la région du point de terminaison VPC.

Scénario 3 : nom de domaine personnalisé créé dans une zone hébergée privée

Vous avez créé une zone hébergée privée pour un nom de domaine personnalisé utilisé pour résoudre le problème de domaine sur un enregistrement créé dans une zone hébergée privée. Le VPC A est associé à une zone hébergée privée. Le VPC B possède une connexion d'appairage au VPC A. Vous souhaitez résoudre le problème de nom de domaine personnalisé du VPC B sur le VPC A.

Pour résoudre le problème, associez le VPC B à la zone hébergée privée du domaine personnalisé dans lequel vous avez créé l'enregistrement. Une fois l'association établie, vous pouvez résoudre le problème de nom de domaine personnalisé dans une zone hébergée privée à partir des ressources des deux VPC appairés.

Étapes de dépannage

1.    Vérifiez le VPC source et l'identifiant du VPC de destination.

2.    Veillez à ce que le DNS configuré dans le VPC soit AmazonProvidedDNS ou CustomDNS. Si vous utilisez un DNS personnalisé, vous ne pouvez pas résoudre les problèmes d'enregistrements hébergés dans des zones hébergées privées. Pour corriger cela, ajoutez un enregistrement de nom de domaine statique sur le DNS personnalisé. Vous pouvez également configurer un DNS personnalisé pour le transfert de la requête vers AmazonProvidedDNS.

3.    Si vous utilisez un DNS fourni par Amazon, vérifiez le domaine que vous essayez de résoudre et l'endroit où il est hébergé (Amazon Route 53 ou sur site). S'il est sur site, assurez-vous que le point de terminaison du résolveur sortant utilisé pour le transfert de la requête vers le DNS sur site est correctement configuré.

4.    S'il est hébergé dans une zone hébergée privée Route 53, assurez-vous que le VPC source est associé à la zone hébergée privée. Le VPC source est l'emplacement à partir duquel vous essayez de résoudre le nom de domaine personnalisé.

5.    Assurez-vous que le nom de domaine complet de la requête que vous essayez de résoudre possède un enregistrement créé dans la zone hébergée privée.

---