Como soluciono problemas de resolução de DNS com os endpoints do Route 53 Resolver?

Resolução

Solucionar problemas de endpoints de entrada

Conclua as etapas a seguir para garantir que os resolvedores de DNS em sua rede possam encaminhar consultas de DNS para o Route 53 Resolver usando seu endpoint de entrada:

• Se seu servidor DNS on-premises precisar encaminhar consultas de DNS para o endpoint de entrada de seus domínios, crie uma regra de encaminhamento condicional. A regra de encaminhamento condicional deve ser criada em seu servidor DNS on-premises. Essa configuração se aplica a zonas hospedadas privadas e domínios públicos.

• Confirme se você tem conectividade com os endereços IP do endpoint do resolvedor de entrada por meio da conexão ou VPN do AWS Direct Connect. Essa etapa valida se você pode acessar o endereço IP do endpoint do resolvedor de entrada a partir de sua rede on-premises. Use o seguinte comando telnet para testar a conectividade entre o endereço IP do resolvedor de endpoint de entrada na porta 53: telnet <inbound endpoint resolver IP address> 53.

• Verifique o grupo de segurança associado ao endpoint do resolvedor de entrada. O grupo de segurança deve permitir o tráfego na porta TCP e UDP 53 a partir do endereço IP do servidor DNS on-premises.

• Confirme se as listas personalizadas de controle de acesso à rede (ACLs de rede) usadas com a sub-rede em que o endpoint de entrada foi criado permitem o seguinte:

• Tráfego UPD e TCP de entrada do servidor DNS on-premises na porta 53.

• Tráfego UDP e TCP de saída para o servidor DNS on-premises no intervalo de portas de destino 1024-65535.

• Confirme se a tabela de rotas associada à sub-rede em que o resolvedor de endpoint de entrada foi criado inclui uma rota para a rede on-premises. É possível configurar a rota por meio de uma conexão Direct Connect ou VPN. Essa rota permite que o resolvedor de endpoint de entrada retorne uma resposta de consulta de DNS.

• Para validar a resolução do domínio, conclua uma pesquisa de nome de domínio no servidor DNS on-premises ou no host local.

• Para Windows: nslookup <private hosted zone domain name>

• Para Linux ou macOS: dig <private hosted zone domain name>

• Se os comandos anteriores não retornarem um registro, você poderá ignorar seu servidor DNS on-premises. Envie a consulta DNS diretamente para o endereço IP do endpoint do resolvedor de entrada usando os comandos a seguir.

• Para Windows: nslookup <private hosted zone domain name> @ <inbound endpoint IP address>

• Para Linux ou macOS: dig <private hosted zone domain name> @ <inbound endpoint IP address>

• Confirme se seu servidor DNS on-premises envia somente consultas recursivas. O resolvedor de entrada do Route 53 não oferece suporte a consultas iterativas.

• Se você estiver resolvendo em uma zona hospedada privada, confirme se seus endpoints de resolução de entrada e sua zona hospedada privada estão associados à VPC correta.

Solucionar problemas de endpoints de saída

Conclua as etapas a seguir para garantir que o Route 53 Resolver encaminhe condicionalmente as consultas aos resolvedores em sua rede usando seu endpoint de saída:

• Confirme se você está usando um DNS fornecido pela Amazon. Servidores DNS personalizados em instâncias em sua VPC devem rotear consultas DNS privadas para o endereço IP dos servidores DNS da sua VPC fornecidos pela Amazon. O endereço IP dos servidores DNS fornecidos pela Amazon é o endereço IP na base do intervalo de rede VPC mais dois.

• Confirme a regra de saída do grupo de segurança associado ao endpoint do resolvedor de saída. A regra de saída deve permitir o tráfego da porta UDP e TCP 53 para os endereços IP do seu servidor DNS on-premises.

• Confirme se as regras personalizadas para ACLs de rede correspondentes às sub-redes em que as interfaces de endpoint de saída foram criadas permitem o seguinte:

• Tráfego UDP e TCP de saída para o servidor DNS on-premises na porta 53.

• Tráfego UDP e TCP de entrada do servidor DNS on-premises no intervalo de portas efêmeras 1024-65535.

• Confirme se a tabela de rotas associada à sub-rede do endpoint do resolvedor de saída tem uma rota para seu servidor DNS on-premises. A rota pode ser configurada por meio de uma conexão Direct Connect ou VPN.

• Determine se seus servidores DNS on-premises estão protegidos por um firewall. Se os servidores estiverem protegidos por um firewall, confirme se o firewall permite o tráfego dos endereços IP do endpoint do resolvedor de saída.

• Observe que uma regra do Resolver que direciona o tráfego para sua rede para o mesmo nome de domínio tem precedência sobre as zonas hospedadas privadas.

• Observe que o Resolver roteia consultas de DNS de saída usando a regra que contém o nome de domínio mais específico. Para obter mais informações, consulte Como o Resolver determina se o nome de domínio em uma consulta corresponde a alguma regra.

• Se você estiver usando uma regra compartilhada, confirme se a regra compartilhada está associada à sua VPC.

• Use os registros de fluxo da VPC para capturar informações de fluxo nas interfaces de rede usadas pelos resolvedores. Filtre pelo nome do resolvedor para visualizar os registros da interface de rede elástica do resolvedor.