Azure 私人端點 DNS 整合
Azure 私人端點是一種網路介面，可讓您以私人且安全地方式連線至 Azure Private Link 所支援的服務。 私人端點會使用您虛擬網路中的私人 IP 位址，有效地將服務帶入您的虛擬網路。 服務可以是 Azure 服務，例如 Azure 儲存體、Azure Cosmos DB、SQL 等，或您自己的 Private Link 服務。 本文說明 Azure 私人端點的 DNS 設定案例。
如需支援私人端點的 Azure 服務私人 DNS 區域設定，請參閱 Azure 私人端點私人 DNS 區域值。
DNS 設定案例
服務的 FQDN 會自動解析為公用 IP 位址。 若要解析為私人端點的私人 IP 位址，請變更您的 DNS 設定。
DNS 是成功解析私人端點 IP 位址，讓應用程式正確運作的重要元件。
您可根據喜好設定，選用下列整合了 DNS 解析的案例：
沒有 Azure 私人解析器的虛擬網路工作負載
此設定適用於沒有自訂 DNS 伺服器的虛擬網路工作負載。 在此案例中，用戶端會對 Azure 提供的 DNS 服務 168.63.129.16 查詢私人端點 IP 位址。 Azure DNS 負責私人 DNS 區域的 DNS 解析。
注意
此案例會使用 Azure SQL Database 建議的私人 DNS 區域。 針對其他服務，您可以使用下列參考來調整模型：Azure 服務 DNS 區域設定。
您需要下列資源才能正確設定：
用戶端虛擬網路
私人 DNS 區域 privatelink.database.windows.net (包含類型 A 記錄)
私人端點資訊 (FQDN 記錄名稱與私人 IP 位址)
下圖說明使用私人 DNS 區域的虛擬網路工作負載 DNS 解析順序：
沒有 Azure 私人解析器的對等互連虛擬網路工作負載
您可以將此模型延伸為與相同私人端點建立關聯的對等互連虛擬網路。 將新的虛擬網路連結新增至所有對等互連虛擬網路的私人 DNS 區域中。
重要
此設定需要單一私人 DNS 區域。 為不同的虛擬網路建立多個同名區域時，需要手動合併 DNS 記錄。
如果您正在中樞和輪輻模型中使用來自不同訂閱或甚至位於相同訂閱內的私人端點，請將相同的私人 DNS 區域連結到所有輪輻和中樞虛擬網路，其包含的用戶端需要來自區域的 DNS 解析。
本案例中有一個中樞與輪輻網路拓撲。 輪輻網路共用一個私人端點。 輪輻虛擬網路會連結到相同的私人 DNS 區域。
適用於內部部署工作負載的 Azure 私人解析器
若要讓內部部署工作負載解析私人端點的 FQDN，請使用 Azure 私人解析器，解析 Azure 中 Azure 服務公用 DNS 區域。 Azure 私人解析器是 Azure 受控服務，可以解析 DNS 查詢而不需要虛擬機器做為 DNS 轉寄站。
下列案例適用於設定為使用 Azure 私人解析器的內部部署網路。 私人解析器將私人端點的要求轉寄至 Azure DNS。
注意
此案例會使用 Azure SQL Database 建議的私人 DNS 區域。 若是其他服務，您可以利用接下來的參考資料調整模型：Azure 服務 DNS 區域值。
下列資源需要正確的設定：
內部部署網路
連線到內部部署的虛擬網路
私人 DNS 區域 privatelink.database.windows.net (包含類型 A 記錄)
私人端點資訊 (FQDN 記錄名稱與私人 IP 位址)
下圖顯示來自內部部署網路的 DNS 解析序列。 設定使用部署在 Azure 中的私人解析器。 解析是由連結至虛擬網路的私人 DNS 區域所建立：
具有內部部署 DNS 轉寄站的 Azure 私人解析器
已有 DNS 解決方案的內部部署網路可擴充此設定。
內部部署 DNS 解決方案的設定是透過條件轉寄站將 DNS 流量轉寄至 Azure DNS。 條件式轉寄站參考部署在 Azure 中的私人解析器。
注意
此案例會使用 Azure SQL Database 建議的私人 DNS 區域。 若是其他服務，您可以利用接下來的參考資料調整模型：Azure 服務 DNS 區域值
您需要下列資源才能正確設定：
具備自訂 DNS 解決方案的內部部署網路
連線到內部部署的虛擬網路
私人 DNS 區域 privatelink.database.windows.net (包含類型 A 記錄)
私人端點資訊 (FQDN 記錄名稱與私人 IP 位址)
下圖顯示來自內部部署網路的 DNS 解析。 DNS 解析會有條件地轉送至 Azure。 解析是由連結至虛擬網路的私人 DNS 區域所建立。
重要
條件式轉寄的目標必須是建議的公用 DNS 區域轉寄站。 例如：database.windows.net 而非 privatelink.database.windows.net。
適用於虛擬網路和內部部署工作負載的 Azure 私人解析器
若要讓工作負載從虛擬與內部部署網路存取私人端點，請使用 Azure 私人解析器，解析在 Azure 中部署的 Azure 服務公用 DNS 區域。
下列案例適用於在 Azure 中具有虛擬網路的內部部署網路。 這兩種網路都能存取位在共用中樞網路中的私人端點。
私人解析器負責透過 Azure 提供的 DNS 服務 168.63.129.16，解析所有 DNS 查詢。
重要
此設定需要單一私人 DNS 區域。 內部部署與對等互連虛擬網路建立的所有用戶端連線，都須使用相同的私用 DNS 區域。
注意
此案例會使用 Azure SQL Database 建議的私人 DNS 區域。 針對其他服務，您可以使用下列參考來調整模型：Azure 服務 DNS 區域設定。
您需要下列資源才能正確設定：
內部部署網路
連線到內部部署的虛擬網路
Azure 私人解析器
私人 DNS 區域 privatelink.database.windows.net (包含類型 A 記錄)
私人端點資訊 (FQDN 記錄名稱與私人 IP 位址)
下圖顯示內部部署網路和虛擬網路的 DNS 解析。 使用 Azure 私人解析器進行解析。
解析是由連結至虛擬網路的私人 DNS 區域所建立：
私人 DNS 區域群組
如果您選擇整合私人端點與私人 DNS 區域，也會建立私人 DNS 區域群組。 DNS 區域群組在私人 DNS 區域與私人端點之間有強大的關聯性。 在私人端點有更新時，可以協助管理私人 DNS 區域記錄。 例如，當您新增或移除區域時，私人 DNS 區域會自動以正確的記錄數目進行更新。
先前，私人端點的 DNS 記錄是透過指令碼建立 (擷取私人端點的特定資訊，然後將其新增至 DNS 區域)。 使用 DNS 區域群組時，不需要為每個 DNS 區域撰寫任何額外的 CLI/PowerShell 命令列。 此外，若您刪除私人端點，也會刪除 DNS 區域群組內的所有 DNS 記錄。
在中樞和輪輻拓撲中，有一個常見案例是只允許在中樞建立私人 DNS 區域一次。 此設定允許輪輻向其註冊，而不是在每個輪輻中建立不同的區域。
注意
- 每個 DNS 區域群組最多可支援 5 個 DNS 區域。
- 不支援將多個 DNS 區域群組新增至單一私人端點。
- Azure 流量管理員和 DNS 可以查看和執行 DNS 記錄的刪除和更新作業。這是管理 DNS 記錄所需的一般平台作業。