Keamanan DNS dan resolusi nama privat

Artikel ini menjelaskan cara merancang DNS untuk jaringan Azure menggunakan zona DNS privat, Azure DNS Private Resolver, dan kontrol keamanan DNS. Ini mencakup pola resolusi nama privat, penerusan DNS hibrid, integrasi DNS Titik Akhir Privat, dan perlindungan ancaman lapisan DNS.

Apa yang dibahas artikel ini

DNS adalah fondasi konektivitas jaringan: setiap koneksi dimulai dengan kueri resolusi nama. Di Azure, desain DNS menentukan bagaimana workload saling menemukan di berbagai jaringan virtual, bagaimana sistem on-premises melakukan resolusi nama yang dihosting di Azure, dan bagaimana Private Endpoint dapat dijangkau melalui fully qualified domain name (FQDN). Di luar resolusi, DNS juga merupakan permukaan serangan. Penerowongan DNS, eksfiltrasi, dan kueri ke domain berbahaya mewakili ancaman nyata yang memerlukan kontrol keamanan lapisan DNS.

Artikel ini membahas tiga masalah DNS:

Resolusi nama privat: Bagaimana komputer virtual, kontainer, dan layanan platform menyelesaikan nama dalam Azure tanpa mengekspos kueri DNS ke internet publik.
Penerusan DNS hibrid: Cara jaringan on-premises meresolusikan nama privat Azure dan cara beban kerja Azure meresolusikan nama on-premises.
Keamanan DNS: Cara memblokir kueri DNS berbahaya, mencegah eksfiltrasi DNS, dan mengaktifkan pemfilteran jaringan berbasis FQDN.

Siapa yang membutuhkan artikel ini

Baca artikel ini jika Anda:

Konfigurasikan Private Endpoint (jika berlaku untuk skenario Anda) dan pastikan beban kerja dapat melakukan resolusi zona DNS privatelink.* dengan benar.
Mengoperasikan lingkungan hibrid tempat sistem on-premises harus menyelesaikan nama privat Azure (atau sebaliknya).
Gunakan Azure Firewall dan perlu pemfilteran berbasis FQDN dalam aturan jaringan.
Ingin memblokir kueri DNS ke domain berbahaya yang diketahui di lapisan resolusi.
Kelola lingkungan multi-VNet di mana resolusi DNS terpusat menyederhanakan operasi.
Merencanakan arsitektur DNS untuk topologi hub-spoke dengan layanan bersama.

Fokus angkat dan geser: Pertahankan perilaku penamaan DNS yang ada selama migrasi. Gunakan penerusan dua arah antara DNS lokal dan Azure, konfigurasikan forwarder bersyarat untuk resolusi split-horizon, dan hosting nama privat Azure di zona DNS Privat agar aplikasi tetap menggunakan konfigurasi DNS saat ini.

Modernisasi fokus: Terpusat resolusi nama saat Anda mereplatformasi beban kerja. Gunakan Azure DNS Private Resolver dengan aturan penerusan untuk resolusi hibrid, integrasikan zona Private DNS dengan Titik Akhir Privat untuk layanan PaaS, dan aktifkan proksi DNS Azure Firewall sehingga aturan berbasis FQDN dan resolusi DNS berbagi satu jalur cache.

Fokus lintas cloud: Rencanakan cutover DNS di berbagai cloud sebelum migrasi beban kerja. Gunakan Azure DNS Private Resolver untuk resolusi nama lintas cloud, konfigurasikan penerusan kondisional dengan AWS Route 53 Resolver atau Google Cloud DNS, dan turunkan nilai TTL sebelum cutover untuk mengurangi risiko cache kedaluarsa.

layanan dan fitur Azure

Tabel berikut ini menjelaskan layanan dan fitur Azure yang terlibat dalam keamanan DNS dan resolusi nama privat.

Layanan /Fitur	Kegunaan	Kemampuan utama	Kapan digunakan
Azure DNS (zona publik)	Hosting otoritatif untuk nama domain publik	Jaringan anycast global, integrasi Azure RBAC, rekaman alias untuk sumber daya Azure	Anda memiliki domain publik dan ingin menghosting catatan DNS di Azure dengan ketersediaan tinggi.
Zona DNS Pribadi Azure	Resolusi nama di dalam jaringan virtual tanpa terekspos ke publik	Penautan VNet, pendaftaran otomatis nama host VM, hosting zona privatelink	Resolusi nama internal untuk beban kerja Azure. Diperlukan untuk integrasi DNS Titik Akhir Privat.
Azure DNS Resolver Privat	Penerusan DNS antara Azure dan jaringan eksternal	Titik akhir masuk (resolusi lokal → Azure), titik akhir keluar (penerusan Azure → lokal), kumpulan aturan penerusan	Lingkungan hibrid yang memerlukan resolusi DNS dua arah tanpa menyebarkan VM DNS kustom.
proksi DNS Azure Firewall	Intersepsi DNS terpusat untuk pemfilteran FQDN	Menyimpan cache respons DNS, mengaktifkan aturan jaringan berbasis FQDN, menyediakan titik akhir DNS tunggal untuk spoke VNet	Anda menyebarkan Azure Firewall dan memerlukan pemfilteran FQDN dalam aturan jaringan. Diperlukan untuk resolusi FQDN yang konsisten.
Kebijakan keamanan DNS	Perlindungan ancaman di lapisan DNS	Memblokir resolusi domain berbahaya yang diketahui menggunakan umpan data Intelijen Ancaman Microsoft	Anda ingin mencegah beban kerja terhubung ke domain command-and-control atau distribusi malware.

Konsep zona Private DNS

Zona DNS privat menyediakan resolusi nama untuk jaringan virtual yang tertaut tanpa memaparkan rekor ke internet. Perilaku utama:

Penautan VNet: Anda bisa menautkan zona DNS privat ke beberapa VNet. Semua sumber daya di VNet yang ditautkan dapat mengurai rekaman di zona tersebut.
Pendaftaran otomatis: Saat diaktifkan pada tautan VNet, Azure secara otomatis membuat rekaman A untuk komputer virtual yang disebarkan di VNet tersebut. Azure menghapus rekaman saat Anda membatalkan alokasi atau menghapus VM. Pendaftaran otomatis hanya berfungsi untuk VM (hanya NIC utama). VNet hanya dapat mendaftar secara otomatis ke satu zona DNS privat, tetapi Anda dapat menautkan beberapa VNet ke zona yang sama.
DNS Titik Akhir Privat: layanan Azure yang diakses melalui Titik Akhir Privat memerlukan zona DNS privatelink tertentu (misalnya, privatelink.blob.core.windows.net untuk Azure Blob Storage). Tanpa zona yang benar, klien menyelesaikan IP publik alih-alih alamat titik akhir privat.

Arsitektur Pemecah Masalah Privat DNS

Azure DNS Private Resolver menggantikan kebutuhan akan komputer virtual DNS kustom dalam skenario penerusan hibrid. Diagram berikut menunjukkan alur resolusi DNS hibrid dari lokal melalui Azure DNS Private Resolver ke alamat IP Titik Akhir Privat.

Resolver menggunakan dua jenis titik akhir:

Titik akhir masuk: Menyediakan alamat IP yang dapat ditargetkan server DNS lokal sebagai penerus kondisional. Azure DNS menyelesaikan kueri yang dikirim ke IP ini (termasuk zona Private DNS tertaut). Memerlukan subnet khusus yang didelegasikan ke Microsoft.Network/dnsResolvers.
Titik akhir outbound: Memungkinkan beban kerja Azure meneruskan kueri DNS ke server DNS lokal, penyedia cloud lainnya, atau resolver eksternal. Juga memerlukan subnet khusus. Kumpulan aturan penerusan yang dilampirkan ke endpoint outbound menentukan akhiran domain mana yang akan diteruskan dan server DNS target mana yang akan digunakan.

Important

Titik akhir masuk dan keluar masing-masing memerlukan subnet khusus mereka sendiri. Anda tidak dapat menyebarkan sumber daya lain di subnet ini. VNet yang ditautkan ke kumpulan aturan penerusan tidak perlu di-peer-kan dengan VNet resolver. Tautan ruleset berfungsi secara independen dari peering VNet.

Cara memilih

Gunakan pohon keputusan berikut untuk memilih komponen DNS yang tepat untuk lingkungan Anda.

Hierarki keputusan

Apakah Anda menggunakan Titik Akhir Privat?
- Ya → Sebarkan zona Private DNS dengan nama zona yang sesuaiprivatelink.*. Tautkan zona ke VNet yang perlu meresolusikan alamat endpoint privat.
Apakah sistem lokal perlu menyelesaikan Azure nama privat?
- Ya → Terapkan Resolver Privat DNS dengan endpoint masuk. Konfigurasikan server DNS lokal dengan penerus bersyarat yang mengarah ke alamat IP endpoint masuk.
Apakah beban kerja Azure perlu menyelesaikan nama lokal?
- Ya → Menerapkan DNS Private Resolver dengan endpoint outbound. Buat aturan penerusan untuk akhiran domain lokal (misalnya, corp.contoso.com).
Apakah Anda menyebarkan Azure Firewall dan memerlukan pemfilteran FQDN dalam aturan jaringan?
- Ya → Aktifkan proksi DNS Firewall. Konfigurasikan VM spoke untuk menggunakan IP privat firewall sebagai server DNS mereka.
Ingin memblokir kueri DNS ke domain berbahaya yang diketahui?
- Ya → Aktifkan kebijakan keamanan DNS dengan umpan Microsoft Threat Intelligence pada VNet target.

Pola umum

Pola	Komponen	Skenario penggunaan
Resolusi Titik Akhir Privat saja	Zona DNS privat + tautan VNet	Beban kerja yang hanya berjalan di cloud dan mengakses layanan PaaS melalui endpoint privat. Tidak ada konektivitas hibrid.
Resolusi dua arah hibrid	zona DNS privat + DNS Private Resolver (masuk + keluar)	On-premises mengurai nama privat Azure; Azure mengurai nama Active Directory on-premises.
DNS hub terpusat	Pemecah Masalah Privat DNS di hub VNet + aturan penerusan yang ditautkan ke spoke	Topologi hub-spoke, di mana semua resolusi DNS dirutekan melalui hub untuk pencatatan dan pengendalian terpusat.
DNS yang dimediasi firewall	Proksi DNS Azure Firewall + zona Private DNS	Lingkungan yang menggunakan Firewall untuk pemfilteran FQDN. Firewall mencegat DNS, sehingga memungkinkan resolusi FQDN ke IP yang konsisten untuk aturan jaringan.
Tumpukan keamanan penuh	Semua opsi sebelumnya, ditambah kebijakan keamanan DNS	Lingkungan perusahaan yang memerlukan resolusi hibrid, pemfilteran FQDN, dan perlindungan ancaman lapisan DNS.

Contoh zona DNS Titik Akhir Privat

Tabel berikut mencantumkan layanan Azure umum dan nama zona Private DNS yang diperlukan.

Layanan Azure	Nama zona DNS Privat
Azure Blob Storage	`privatelink.blob.core.windows.net`
Azure SQL Database	`privatelink.database.windows.net`
Azure Key Vault	`privatelink.vaultcore.azure.net`
Azure Files	`privatelink.file.core.windows.net`
Azure Container Registry	`privatelink.azurecr.io`
Azure Cosmos DB (SQL API)	`privatelink.documents.azure.com`

Note

Untuk daftar lengkap nama zona Private DNS untuk semua layanan Azure, lihat konfigurasi DNS Titik Akhir Privat Azure.

Prasyarat

Sebelum Anda menerapkan keamanan DNS dan resolusi nama privat, pastikan Anda memiliki:

Jaringan virtual: Semua fitur DNS beroperasi di dalam atau di seluruh jaringan virtual. Lihat Jaringan virtual dan subnet untuk panduan dasar. (F1)
Konektivitas jaringan untuk skenario hibrid: Titik akhir masuk Dns Private Resolver memerlukan keterjangkauan jaringan dari lokal (ExpressRoute atau VPN) ke VNet pemecah masalah.
Subnet khusus untuk Dns Private Resolver: Setiap titik akhir (masuk dan keluar) memerlukan subnetnya sendiri yang didelegasikan ke Microsoft.Network/dnsResolvers. Rencanakan setidaknya satu /28 untuk setiap subnet endpoint.
Titik Akhir Privat yang diterapkan (jika menggunakan zona privatelink): zona DNS Privat untuk nama privatelink.* hanya berguna jika terdapat Titik Akhir Privat. Lihat Akses PaaS Privat dengan Titik Akhir Privat untuk panduan penyebaran. (C5)
Azure Firewall diterapkan (jika menggunakan proksi DNS): Fitur proksi DNS memerlukan instans Azure Firewall yang sudah ada. Lihat Azure Firewall dan inspeksi lalu lintas. (S1)
Izin: Peran Kontributor Zona DNS untuk mengelola zona Private DNS. Kontributor Jaringan untuk penerapan DNS Private Resolver.

Pertimbangan keamanan

DNS memperkenalkan vektor serangan tertentu yang memerlukan kontrol khusus. Bagian berikut mencakup risiko eksfiltrasi, pemblokiran berbasis inteligensi ancaman, perilaku proksi DNS firewall, dan batasan DNSSEC.

Risiko penyelundupan DNS

Penerowongan DNS mengodekan data dalam kueri DNS untuk menyelundupkan informasi melalui protokol yang tidak dibatasi. Karena sebagian besar jaringan mengizinkan DNS keluar (UDP/TCP 53), penyerang menggunakan DNS sebagai saluran rahasia. Mitigasi risiko ini dengan:

Mengaktifkan proksi DNS Azure Firewall dan merutekan semua lalu lintas DNS melalui firewall. Firewall mencatat semua kueri DNS, membuat penerowongan dapat dideteksi melalui analitik.
Menerapkan kebijakan keamanan DNS untuk memblokir resolusi domain yang terkait dengan alat eksfiltrasi yang diketahui dan infrastruktur perintah dan kontrol.
Memantau pola kueri DNS di Azure Monitor untuk anomali seperti label subdomain yang sangat panjang, volume kueri tinggi ke satu domain, atau kueri ke domain yang baru saja terdaftar.

Kebijakan keamanan DNS

Kebijakan keamanan DNS dengan Microsoft Threat Intelligence memblokir resolusi DNS ke domain berbahaya yang telah diketahui di tingkat VNet. Ketika beban kerja mencoba menyelesaikan domain yang ditandai oleh Microsoft Security Response Center (MSRC), kebijakan memblokir resolusi sebelum koneksi jaringan terjadi. Kontrol ini beroperasi secara independen dari Azure Firewall dan tidak memerlukan perubahan pada konfigurasi beban kerja individual.

Karakteristik utama:

Menggunakan umpan Inteligensi Ancaman Microsoft yang bersumber dari MSRC.
Beroperasi pada lapisan resolusi DNS: memblokir kueri, bukan lalu lintas.
Diterapkan per VNet: aktifkan pada semua VNet yang berisi beban kerja yang mengakses internet.
Berbeda dari pemfilteran FQDN Firewall: Kebijakan keamanan DNS memblokir domain berbahaya secara global tanpa memerlukan penyebaran firewall.

Proksi DNS firewall dan pemfilteran FQDN

Proksi DNS Azure Firewall diperlukan untuk pemfilteran berbasis FQDN pada aturan jaringan. Tanpa proksi DNS, permintaan DNS dari VM klien mungkin diselesaikan pada waktu yang berbeda dari resolusi firewall, menyebabkan pemetaan IP-ke-FQDN yang tidak konsisten dan ketidakcocokan aturan.

Saat Anda mengaktifkan proksi DNS:

Konfigurasikan VM spoke untuk menggunakan IP privat firewall sebagai server DNS mereka.
Firewall menyelesaikan kueri atas nama klien dan hasil cache (cache positif hingga 1 jam, cache negatif hingga 30 menit).
Pemetaan FQDN ke IP diperbarui setiap 15 detik. Firewall menghapus entri kedaluarsa setelah 15 menit.
Aturan aplikasi (L7) menggunakan Indikasi Nama Server (SNI) untuk pencocokan FQDN dan tidak memerlukan proksi DNS. Aturan jaringan (L4) memerlukan proksi DNS untuk resolusi FQDN.
Pemfilteran FQDN dalam aturan jaringan hanya mendukung kecocokan domain yang tepat. Pola karakter joker tidak didukung dalam FQDN pada aturan jaringan. Gunakan aturan aplikasi untuk pencocokan FQDN wildcard.

Note

Jika semua server DNS upstream yang dikonfigurasi menjadi tidak tersedia, proksi DNS Azure Firewall tidak akan beralih ke resolver alternatif. Resolusi DNS akan gagal sampai setidaknya satu server upstream pulih. Rencanakan untuk redundansi server DNS dalam konfigurasi upstream Anda.

Perhatian

Jika Anda mengaktifkan proksi DNS tetapi tidak mengonfigurasi VM klien untuk menggunakan firewall sebagai server DNS mereka, aturan jaringan berbasis FQDN tidak akan berfungsi dengan benar. Klien dan firewall mungkin menyelesaikan IP yang berbeda untuk FQDN yang sama, menyebabkan penurunan lalu lintas yang tidak terduga.

Batasan DNSSEC

Azure DNS saat ini tidak mendukung validasi DNSSEC untuk zona privat. Zona publik yang dihosting di Azure DNS mendukung penandatanganan DNSSEC untuk respons otoritatif, tetapi resolusi rekursif dalam jaringan virtual Azure tidak melakukan validasi DNSSEC. Jika persyaratan keamanan Anda mengamanatkan validasi DNSSEC, evaluasi menggunakan pemecah masalah DNS kustom yang mendukung validasi atau menerapkan verifikasi lapisan aplikasi.

Pertimbangan Desain

Fokus desain DNS untuk lift-and-shift

Konfigurasikan penerusan DNS dua arah antara server DNS lokal dan Azure DNS Private Resolver.
Gunakan forwarder bersyarat agar kueri lokal untuk nama yang dihosting di Azure diresolusikan di Azure, dan kueri Azure untuk nama lokal diresolusikan melalui infrastruktur DNS yang sudah ada.
Buat zona DNS Privat untuk setiap layanan Azure yang digunakan oleh beban kerja yang dimigrasikan, terutama layanan yang didukung oleh Private Endpoint.
Pertahankan perilaku DNS aplikasi selama migrasi dengan menggunakan rekaman alias atau pemetaan CNAME alih-alih mengubah pengaturan pemecah masalah klien.

Memodernisasi fokus desain DNS

Pusatkan resolusi DNS di hub menggunakan Azure DNS Private Resolver dengan kumpulan aturan penerusan yang dibagikan ke seluruh jaringan virtual spoke.
Hubungkan zona Private DNS untuk setiap layanan PaaS berbasis Private Endpoint agar beban kerja yang dimigrasikan ke platform baru dapat me-resolusikan nama privatelink secara otomatis.
Aktifkan proksi DNS Azure Firewall sehingga aturan jaringan berbasis FQDN dan resolusi DNS beban kerja menggunakan jalur resolusi cache yang konsisten.
Gunakan pendaftaran otomatis dan Azure RBAC pada zona Private DNS untuk mengurangi manajemen rekaman manual saat Anda mengadopsi infrastruktur sebagai kode.

Fokus desain DNS lintas cloud

Gunakan Azure DNS Private Resolver sebagai titik kontrol penerusan untuk resolusi nama lintas cloud.
Konfigurasikan penerusan kondisional antara DNS privat Azure, AWS Route 53 Resolver, dan Google Cloud DNS untuk setiap namespace privat yang harus diselesaikan di seluruh lingkungan.
Rencanakan cutover DNS secara bertahap: turunkan nilai TTL, validasi jalur penerusan, ubah rekaman CNAME atau A, dan pantau latensi kueri serta perilaku cache.
Terapkan DNSSEC pada zona otoritatif jika platform yang terhubung mendukungnya, dan dokumentasikan bagian yang jalur resolusi privatnya tidak memvalidasi DNSSEC.

Akses PaaS privat dengan Titik Akhir Privat: Menyebarkan Titik Akhir Privat dan mengonfigurasi zona DNS privatelink.
Azure Firewall dan inspeksi lalu lintas: Konfigurasi proksi DNS pada firewall dan pemfilteran FQDN.
Jaringan virtual dan subnet: Dasar-dasar VNet termasuk perencanaan subnet untuk titik akhir penyelesai DNS.
Topologi jaringan hub-spoke: Resolusi DNS terpusat dalam arsitektur hub-spoke.
Fase desain sekilas: Ringkasan berbasis fase di seluruh keputusan perencanaan, konektivitas, keamanan, dan operasi.

Selengkapnya

Langkah berikutnya

Tip

Menjelajahi sendiri? Kembali ke navigator gambaran umum untuk menemukan artikel Anda berikutnya berdasarkan kemampuan.

Berikutnya dalam perjalanan lift-and-shift Anda:

Mengontrol lalu lintas internet keluar: Memusatkan semua komunikasi keluar melalui Azure Firewall dan menonaktifkan akses keluar default.

Selanjutnya dalam perjalanan modernisasi Anda:

Menyiapkan pemantauan produksi: Aktifkan Network Watcher dan Network Performance Monitor untuk kesiapan produksi sejak hari pertama.

Selanjutnya dalam perjalanan lintas cloud Anda:

Amankan jalur transit lintas-cloud Anda: Terapkan Azure Firewall di virtual hub aman Anda untuk memeriksa semua lalu lintas lintas-cloud, cabang, dan yang menuju internet.

Saran dan Komentar

Apakah halaman ini membantu?

Last updated on 2026-07-01