Integração do DNS do ponto de extremidade privado

  • Artigo

O Ponto de Extremidade Privado do Azure é um adaptador de rede que conecta você de maneira privada e segura a um serviço que conta com o Link Privado do Azure. O Ponto de Extremidade Privado usa um endereço IP privado da rede virtual, colocando efetivamente o serviço na sua rede virtual. O serviço pode ser um serviço do Azure, como o Armazenamento do Microsoft Azure, o Azure Cosmos DB, o SQL etc. ou seu próprio Serviço de Link Privado. Este artigo descreve cenários de configuração do DNS para o ponto de extremidade privado do Azure.

Para obter configurações da zona DNS privada para serviços do Azure que dão suporte a um ponto de extremidade privado, consulte valores de zona DNS privada do ponto de extremidade privado do Azure.

Cenários de configuração de DNS

O FQDN dos serviços é resolvido automaticamente para um endereço IP público. Para resolver o endereço IP privado do ponto de extremidade privado, altere a configuração de DNS.

O DNS é um componente crítico para que o aplicativo funcione corretamente por meio da resolução correta do endereço IP do ponto de extremidade privado.

Com base em suas preferências, os seguintes cenários estão disponíveis para a resolução de DNS integrada:

Cargas de trabalho de rede virtual sem o Resolvedor Privado do Azure

Essa configuração é apropriada para cargas de trabalho de rede virtual sem um servidor DNS personalizado. Nesse cenário, o cliente consulta o endereço IP do ponto de extremidade privado para o serviço DNS fornecido pelo Azure 168.63.129.16. O DNS do Azure é responsável pela resolução DNS das zonas DNS privadas.

Observação

Este cenário usa a zona DNS privada recomendada do Banco de Dados SQL do Azure. Para outros serviços, você pode ajustar o modelo usando a seguinte referência: Configuração de zona DNS dos serviços do Azure.

Para configurar corretamente, você precisará dos seguintes recursos:

Esta captura de tela ilustra a sequência de resolução DNS de cargas de trabalho de rede virtual que usam a zona DNS privada:

Diagram of single virtual network and Azure-provided DNS.

Cargas de trabalho de rede virtual emparelhadas sem o Resolvedor Privado do Azure

Você pode estender esse modelo para redes virtuais emparelhadas associadas ao mesmo ponto de extremidade privado. Adicione novos links de rede virtual à zona DNS privada de todas as redes virtuais emparelhadas.

Importante

  • Você só precisa de uma zona DNS privada para essa configuração. Criar várias zonas com o mesmo nome para diferentes redes virtuais precisaria de operações manuais para mesclar os registros DNS.

  • Se você estiver usando um ponto de extremidade privado em um modelo de hub e spoke de uma assinatura diferente ou na mesma assinatura, vincule as mesmas zonas DNS privadas a todos os hubs e spokes de redes virtuais que contêm clientes que precisam de resolução DNS das zonas.

Nesse cenário, há uma topologia de rede hub e spoke. As redes spoke compartilham um ponto de extremidade privado. As redes virtuais spoke estão vinculadas à mesma zona DNS privada.

Diagram of hub and spoke with Azure-provided DNS.

Resolvedor Privado do Azure para cargas de trabalho locais

Para cargas de trabalho locais resolverem o FQDN de um ponto de extremidade privado, use o Resolvedor Privado do Azure para resolver a zona DNS pública do serviço do Azure no Azure. O Resolvedor Privado do Azure é um serviço gerenciado do Azure que pode resolver consultas DNS sem a necessidade de uma máquina virtual atuando como um encaminhador DNS.

O cenário a seguir é para uma rede local configurada para usar um Resolvedor Privado do Azure. O resolvedor privado encaminha a solicitação do ponto de extremidade privado para o DNS do Azure.

Observação

Este cenário usa a zona DNS privada recomendada do Banco de Dados SQL do Azure. Para outros serviços, você pode ajustar o modelo usando a seguinte referência: Valores de zona DNS dos serviços do Azure.

Os seguintes recursos são necessários para uma configuração adequada:

O diagrama a seguir ilustra a sequência de resolução DNS de uma rede virtual local. A configuração usa um Resolvedor Privado implantado no Azure. A resolução é feita por uma zona DNS privada vinculada a uma rede virtual:

Diagram of on-premises using Azure DNS.

Resolvedor Privado do Azure com encaminhador DNS local

Essa configuração pode ser estendida para uma rede local que já tenha uma solução DNS em vigor.

A solução DNS local é configurada para encaminhar o tráfego DNS para o DNS do Azure por meio de um encaminhador condicional. O encaminhador condicional faz referência ao Resolvedor Privado implantado no Azure.

Observação

Este cenário usa a zona DNS privada recomendada do Banco de Dados SQL do Azure. Para outros serviços, você pode ajustar o modelo usando a seguinte referência: Valores de zona DNS dos serviços do Azure

Para configurar corretamente, você precisará dos seguintes recursos:

O diagrama a seguir ilustra a resolução DNS de uma rede local. A resolução de DNS é encaminhada condicionalmente para o Azure. A resolução é feita por uma zona DNS privada vinculada a uma rede virtual.

Importante

O encaminhamento condicional deve ser feito para o encaminhador de zona DNS pública recomendado. Por exemplo: database.windows.net em vez de privatelink.database.windows.net.

Diagram of on-premises forwarding to Azure DNS.

Resolvedor Privado do Azure para cargas de trabalho locais e de rede virtual

Para cargas de trabalho que acessam um ponto de extremidade privado de redes virtuais e locais, use o Resolvedor Privado do Azure para resolver a zona DNS pública de serviço do Azure implantada no Azure.

O cenário a seguir é de uma rede local com redes virtuais no Azure. Ambas as redes acessam o ponto de extremidade privado localizado em uma rede de hub compartilhada.

O resolvedor privado é responsável por resolver todas as consultas DNS por meio do serviço DNS fornecido pelo Azure 168.63.129.16.

Importante

Você só precisa de uma zona DNS privada para essa configuração. Todas as conexões de cliente estabelecidas em redes virtuais emparelhadas e locais também devem usar a mesma zona DNS privada.

Observação

Este cenário usa a zona DNS privada recomendada do Banco de Dados SQL do Azure. Para outros serviços, você pode ajustar o modelo usando a seguinte referência: Configuração de zona DNS dos serviços do Azure.

Para configurar corretamente, você precisará dos seguintes recursos:

O diagrama a seguir mostra a resolução DNS para ambas as redes, local e virtual. A resolução está usando o Azure Private Resolver.

A resolução é feita por uma zona DNS privada vinculada a uma rede virtual:

Diagram of hybrid scenario.

Grupo de zonas DNS privadas

Se você optar por integrar seu ponto de extremidade privado a uma zona DNS privada, um grupo da zonas DNS privadas também será criado. O grupo de zonas DNS tem uma forte associação entre a zona DNS privada e o ponto de extremidade privado. Ele ajuda a gerenciar os registros de zona DNS privados quando há uma atualização no ponto de extremidade privado. Por exemplo, quando você adiciona ou remove regiões, a zona DNS privada é atualizada automaticamente com o número correto de registros.

Anteriormente, os registros DNS para o ponto de extremidade privado eram criados por meio de script (recuperando determinadas informações sobre o ponto de extremidade privado para, depois, adicioná-los à zona DNS). Com o grupo de zonas DNS, não há necessidade de escrever linhas CLI/PowerShell extras para cada zona DNS. Além disso, quando você exclui o ponto de extremidade privado, todos os registros DNS dentro do grupo de zonas DNS são excluídos.

Em uma topologia hub-and-spoke, um cenário comum permite a criação de zonas DNS privadas apenas uma vez no hub. Essa configuração permite que os raios se registrem nele, em vez de criar zonas diferentes em cada raio.

Observação

  • Cada grupo de zonas DNS pode dar suporte a até cinco zonas DNS.
  • Não há suporte para a adição de vários grupos de zonas DNS a um ponto de extremidade privado.
  • As operações de exclusão e atualização de registros DNS podem ser vistas executadas pelo Gerenciador de Tráfego do Azure e pelo DNS. Esta é uma operação de plataforma normal necessária para gerenciar seus registros DNS.

Próximas etapas