Pengaturan DNS Azure Firewall

Anda bisa mengonfigurasi server DNS kustom dan mengaktifkan proksi DNS untuk Azure Firewall. Konfigurasikan pengaturan ini saat Anda menggunakan firewall, atau konfigurasikan nanti dari halaman Pengaturan DNS. Secara default, Azure Firewall menggunakan Azure DNS dan Proksi DNS dinonaktifkan.

Server DNS

Server DNS memelihara dan menyelesaikan nama domain ke alamat IP. Secara default, Azure Firewall menggunakan Azure DNS untuk resolusi nama. Pengaturan server DNS memungkinkan Anda mengonfigurasi server DNS Anda sendiri untuk resolusi nama Azure Firewall. Anda dapat mengonfigurasi satu server atau beberapa server. Jika Anda mengkonfigurasi beberapa server DNS, server yang digunakan dipilih secara acak. Anda dapat mengonfigurasi maksimal 15 server DNS di DNS Kustom.

Catatan

Misalnya Azure Firewall yang dikelola dengan menggunakan Azure Firewall Manager, pengaturan DNS dikonfigurasi dalam kebijakan Azure Firewall terkait.

Mengonfigurasi server DNS kustom - Portal Microsoft Azure

Portal

1. Di bawah Pengaturan Azure Firewall, pilih Pengaturan DNS.
2. Di bawah Server DNS, Anda bisa mengetik atau menambahkan server DNS yang sudah ada yang sebelumnya ditentukan di jaringan virtual Anda.
3. Pilih Terapkan.

Firewall sekarang mengarahkan lalu lintas DNS ke server DNS yang ditentukan untuk resolusi nama.

CLI

Contoh berikut memperbarui Azure Firewall dengan server DNS kustom dengan menggunakan Azure CLI.

az network firewall update \
    --name fwName \
    --resource-group fwRG \
    --dns-servers 10.1.0.4 10.1.0.5

Penting

Perintah az network firewall ini mengharuskan ekstensi Azure CLI azure-firewall diinstal. Anda dapat menginstalnya dengan menggunakan perintah az extension add --name azure-firewall.

PowerShell

Contoh berikut memperbarui Azure Firewall dengan server DNS kustom dengan menggunakan Microsoft Azure PowerShell.

$dnsServers = @("10.1.0.4", "10.1.0.5")
$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSServer = $dnsServers

$azFw | Set-AzFirewall

Proksi DNS

Anda dapat mengonfigurasi Azure Firewall untuk bertindak sebagai proksi DNS. Proksi DNS adalah perantara untuk permintaan DNS dari mesin virtual klien ke server DNS.

Jika Anda ingin mengaktifkan pemfilteran FQDN (nama domain yang sepenuhnya memenuhi syarat) dalam aturan jaringan, aktifkan proksi DNS dan perbarui konfigurasi komputer virtual untuk menggunakan firewall sebagai proksi DNS.

Jika Anda mengaktifkan pemfilteran FQDN dalam aturan jaringan tetapi tidak mengonfigurasi komputer virtual klien untuk menggunakan Azure Firewall sebagai proksi DNS mereka, permintaan DNS dari klien ini mungkin diselesaikan pada waktu yang berbeda atau mengembalikan hasil yang berbeda dari yang terlihat oleh Azure Firewall. Untuk memastikan resolusi DNS yang konsisten dan pemfilteran FQDN, konfigurasikan komputer virtual klien untuk menggunakan Azure Firewall sebagai proksi DNS mereka. Penyiapan ini memastikan bahwa semua permintaan DNS melewati firewall, mencegah inkonsistensi.

Saat Azure Firewall menjadi proksi DNS, dua jenis fungsi penembolokan dimungkinkan:

• Singgahan positif: Resolusi DNS berhasil. Firewall membuat cache respons ini sesuai dengan TTL (waktu untuk hidup) dalam respons hingga maksimal 1 jam.

• Cache negatif: Resolusi DNS tidak ada respons atau tidak ada resolusi. Firewall membuat cache respons ini sesuai dengan TTL dalam respons hingga maksimal 30 jam.

Proksi DNS menyimpan semua alamat IP yang diselesaikan dari FQDN dalam aturan jaringan. Sebagai praktik terbaik, gunakan FQDN yang mengarah ke satu alamat IP.

Warisan kebijakan

Pengaturan DNS kebijakan yang diterapkan ke firewall mandiri mengambil alih pengaturan DNS firewall mandiri. Kebijakan anak mewarisi semua pengaturan DNS kebijakan induk, namun dapat menggantikan pengaturan kebijakan induk.

Misalnya, untuk menggunakan FQDN dalam aturan jaringan, proksi DNS harus diaktifkan. Tetapi jika kebijakan induk tidak mengaktifkan proksi DNS, kebijakan turunan tidak mendukung FQDN dalam aturan jaringan kecuali Anda mengambil alih pengaturan ini secara lokal.

Konfigurasi proksi DNS

Konfigurasi proksi DNS memerlukan tiga langkah:

1. Aktifkan proksi DNS di pengaturan DNS Azure Firewall.
2. Secara opsional, konfigurasikan server DNS kustom Anda atau gunakan default yang disediakan.
3. Konfigurasikan alamat IP privat Azure Firewall sebagai alamat DNS kustom di pengaturan server DNS jaringan virtual Anda untuk mengarahkan lalu lintas DNS ke Azure Firewall.

Catatan

Jika Anda menggunakan server DNS kustom, pilih alamat IP dari jaringan virtual Anda yang bukan bagian dari subnet Azure Firewall.

Portal

Untuk mengonfigurasi proksi DNS, Anda harus mengonfigurasi pengaturan server DNS jaringan virtual Anda untuk menggunakan alamat IP privat firewall. Kemudian aktifkan proksi DNS di pengaturan DNSAzure Firewall.

Mengonfigurasi server DNS jaringan virtual

1. Pilih jaringan virtual tempat lalu lintas DNS dirutekan melalui instans Azure Firewall.
2. Di bawah Pengaturan, pilih Server DNS.
3. Di bawah Server DNS, pilih Kustom.
4. Masukkan alamat IP privat firewall.
5. Pilih Simpan.
6. Mulai ulang VM yang tersambung ke jaringan virtual, sehingga mereka diberi pengaturan server DNS baru. VM terus menggunakan pengaturan DNS mereka saat ini hingga dihidupkan ulang.

Mengaktifkan proksi DNS

1. Pilih instans Azure Firewall Anda.
2. Di bawah Pengaturan, pilih DNS.
3. Pilih Diaktifkan untuk pengaturan DNS.
4. Secara default, Proksi DNS dinonaktifkan. Ketika pengaturan ini diaktifkan, firewall mendengarkan di port 53 dan meneruskan permintaan DNS ke server DNS yang dikonfigurasi.
5. Tinjau konfigurasi server DNS untuk memastikan bahwa pengaturannya sesuai untuk lingkungan Anda.
6. Pilih Simpan.

CLI

Anda bisa menggunakan Azure CLI untuk mengonfigurasi pengaturan proksi DNS di Azure Firewall. Anda juga dapat menggunakannya untuk memperbarui jaringan virtual untuk menggunakan Azure Firewall sebagai server DNS.

Mengonfigurasi server DNS jaringan virtual

Contoh berikut mengonfigurasi jaringan virtual untuk menggunakan Azure Firewall sebagai server DNS.

az network vnet update \
    --name VNetName \
    --resource-group VNetRG \
    --dns-servers <firewall-private-IP>

Mengaktifkan proksi DNS

Contoh berikut ini memungkinkan fitur proksi DNS di Azure Firewall.

az network firewall update \
    --name fwName \
    --resource-group fwRG \
    --enable-dns-proxy true

PowerShell

Anda bisa menggunakan Microsoft Azure PowerShell untuk mengonfigurasi pengaturan proksi DNS di Azure Firewall. Anda juga dapat menggunakannya untuk memperbarui jaringan virtual untuk menggunakan Azure Firewall sebagai server DNS.

Mengonfigurasi server DNS jaringan virtual

Contoh berikut mengonfigurasi jaringan virtual untuk menggunakan Azure Firewall sebagai server DNS.

$dnsServers = @("<firewall-private-IP>")
$VNet = Get-AzVirtualNetwork -Name "VNetName" -ResourceGroupName "VNetRG"
$VNet.DhcpOptions.DnsServers = $dnsServers

$VNet | Set-AzVirtualNetwork

Mengaktifkan proksi DNS

Contoh berikut ini memungkinkan fitur proksi DNS di Azure Firewall.

$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSEnableProxy = $true

$azFw | Set-AzFirewall

Ketersediaan tinggi failover

Proxy DNS memiliki mekanisme failover yang berhenti menggunakan server berkondisi buruk yang terdeteksi dan menggunakan server DNS lain yang tersedia.

Jika semua server DNS tidak tersedia, maka tidak ada fallback ke server DNS lain.

Pemeriksaan kesehatan

Proxy DNS menjalankan loop pemeriksaan kesehatan lima detik selama server upstream dilaporkan tidak sehat. Pemeriksaan kesehatan ini adalah kueri DNS rekursif ke server nama root. Setelah server upstram dianggap berkondisi baik, firewall akan menghentikan pemeriksaan kondisi sampai ada kesalahan berikutnya. Ketika proxy yang sehat memberikan kesalahan, firewall akan memilih server DNS lain dalam daftar.

Azure Firewall dengan Zona DNS Privat Azure

Azure Firewall mendukung integrasi dengan zona DNS Privat Azure, memungkinkannya untuk menyelesaikan nama domain privat. Saat Anda mengaitkan zona DNS Privat dengan jaringan virtual tempat Azure Firewall disebarkan, firewall dapat mengatasi nama yang ditentukan di zona tersebut.

Catatan

Integrasi ini berlaku untuk resolusi nama yang dilakukan oleh Azure Firewall itu sendiri (misalnya, ketika firewall menyelesaikan FQDN dalam aturan jaringan atau aturan aplikasi). Kueri DNS dari klien hilir yang dikirim ke Proksi DNS Azure Firewall tidak diselesaikan menggunakan zona DNS Privat Azure kecuali server DNS upstream yang dikonfigurasi juga memiliki akses ke zona tersebut. Proksi DNS hanya meneruskan kueri klien ke server upstream yang dikonfigurasi dan tidak menggabungkan hasil dari Azure DNS.

Penting

Hindari membuat rekaman DNS di zona DNS Privat yang mengambil alih domain default milik Microsoft. Mengambil alih domain ini dapat mencegah Azure Firewall menyelesaikan titik akhir penting, yang dapat mengganggu lalu lintas manajemen dan menyebabkan fitur seperti pengelogan, pemantauan, dan pembaruan gagal.

Berikut ini adalah daftar non-lengkap domain yang dimiliki Microsoft yang seharusnya tidak ditimpa, karena lalu lintas manajemen Azure Firewall mungkin memerlukan akses ke domain tersebut:

• azclient.ms
• azure.com
• cloudapp.net
• core.windows.net
• login.microsoftonline.com
• microsoft.com
• msidentity.com
• trafficmanager.net
• vault.azure.net
• windows.net
• management.azure.com
• table.core.windows.net
• store.core.windows.net
• azure-api.net
• microsoftmetrics.com
• time.windows.com
• servicebus.windows.net
• blob.storage.azure.net
• blob.core.windows.net
• arm-msedge.net
• cloudapp.azure.com
• monitoring.core.windows.net

Misalnya, lalu lintas manajemen Azure Firewall memerlukan akses ke akun penyimpanan menggunakan domain blob.core.windows.net. Jika Anda membuat zona DNS Privat untuk *.blob.core.windows.net dan mengaitkannya dengan jaringan virtual firewall, Anda mengambil alih resolusi DNS default dan mengganggu operasi firewall penting. Untuk menghindari masalah ini, jangan ambil alih domain default. Sebagai gantinya, buat zona DNS Privat untuk subdomain unik, seperti *.<unique-domain-name>.blob.core.windows.net.

Atau, untuk mencegah zona DNS Privat memengaruhi Azure Firewall, sebarkan layanan yang memerlukan zona DNS Privat di jaringan virtual terpisah. Dengan cara ini, zona DNS Privat hanya dikaitkan dengan jaringan virtual layanan dan tidak memengaruhi resolusi DNS untuk Azure Firewall.

Langkah berikutnya

• Rincian Proksi DNS Azure Firewall
• Pemfilteran FQDN dalam aturan jaringan