DNS privado - Cloud Firewall - Centro de documentación de Alibaba Cloud

En arquitecturas de red complejas, los sistemas de negocio suelen depender de un DNS privado, como PrivateZone o un DNS autogestionado, para resolver nombres de dominio internos a direcciones IP privadas o nodos de servicio específicos. De forma predeterminada, Cloud Firewall utiliza los servidores DNS de Alibaba Cloud en 100.100.2.136 y 100.100.2.138 para la resolución dinámica. Este comportamiento predeterminado puede provocar discrepancias en la resolución. Al habilitar la función de sincronización de DNS privado, Cloud Firewall obtiene los resultados de resolución de nombres de dominio directamente desde su PrivateZone o DNS autogestionado. En este tema se describe cómo configurar la sincronización de DNS privado en Cloud Firewall.

Limitaciones

La sincronización de DNS privado solo es efectiva para las políticas de control de acceso que utilizan un modo de resolución de nombres de dominio basado en dynamic DNS resolution o basado tanto en FQDN como en resolución DNS dinámica.

Descripción general de la solución

Antes de la sincronización

Después de la sincronización

Los sistemas de negocio dependen de un DNS privado para la resolución de nombres de dominio salientes, mientras que Cloud Firewall usa los servidores DNS predeterminados de Alibaba Cloud (100.100.2.136 y 100.100.2.138). Resolver el mismo nombre de dominio con servidores DNS distintos puede generar resultados inconsistentes. Esto provoca que fallen las políticas de control de acceso basadas en dominios.

Para evitar fallos en las políticas por resoluciones DNS inconsistentes, Cloud Firewall proporciona nodos de sincronización de DNS privado. Estos nodos permiten que Cloud Firewall obtenga automáticamente los resultados de resolución de su PrivateZone o DNS autogestionado. De esta forma se garantiza la coherencia entre los servidores DNS y se reduce el riesgo de fallos en las políticas.

Procedimiento

Antes de empezar, identifique el tipo de servidor DNS que utiliza.

Si usa PrivateZone, asegúrese de que los registros de resolución estén configurados.
Si usa un DNS autogestionado, asegúrese de que las asignaciones de dominio a IP estén configuradas.

Siga estos pasos para configurar la sincronización de DNS privado:

Paso 1: Crear un nodo de sincronización

Un nodo de sincronización consta de un endpoint, un vSwitch y una interfaz de red elástica (ENI) de endpoint.

Inicie sesión en la consola de Cloud Firewall. En el panel de navegación izquierdo, seleccione Prevention Configuration > Address Book > Sync Nodes.
En la página Sync Nodes, haga clic en la pestaña Private DNS y luego haga clic en Create.

Configure los siguientes parámetros para crear el nodo de sincronización.

Parámetro	Descripción
Synchronization Node Name	Introduzca un nombre personalizado para el nodo de sincronización.
Private DNS Type	Si usa PrivateZone, las direcciones IP predeterminadas del servidor DNS son 100.100.2.136 y 100.100.2.138.
Private DNS Type	Si usa un DNS autogestionado, debe configurar la dirección del servidor DNS principal. La dirección del servidor DNS secundario es opcional. El servidor DNS principal se utiliza primero para resolver los nombres de dominio. Si no logra resolver un nombre de dominio, se recurre al servidor DNS secundario. Si el servidor DNS tiene una dirección IP pública, asegúrese de que la VPC de negocio cuente con un NAT Gateway para permitir que el nodo de sincronización acceda al servidor DNS. Si el servidor DNS tiene una dirección IP privada, asegúrese de que exista una ruta de red entre la VPC de negocio y el servidor DNS.
Region	La región de la VPC a la que pertenece el nodo de sincronización. Los resultados de resolución DNS para el control de acceso aplican en esta región. Si su negocio abarca dos regiones, debe crear un nodo de sincronización en cada una y configurar los nombres de dominio correspondientes en cada nodo. Así aplicará la resolución de DNS privado a las políticas de control de acceso en ambas regiones.
VPC	Seleccione la VPC para el nodo de sincronización. Esta VPC se usa para acceder al servidor DNS y puede ser cualquier VPC de negocio. Se recomienda no seleccionar una VPC que contenga un VPC firewall o un NAT firewall.
Zone and vSwitch	Seleccione el vSwitch para el nodo de sincronización. También puede especificar manualmente una dirección IP para la interfaz de red elástica (ENI) del nodo. La dirección IP no debe entrar en conflicto con ninguna dirección IP en uso dentro del vSwitch. Si no especifica una dirección IP, Cloud Firewall asigna una automáticamente. Existen dos opciones de despliegue para la recuperación ante desastres: Escenario de zona doble (recomendado): Cree dos nodos de sincronización en vSwitches distintos dentro de dos zonas de disponibilidad diferentes. Este método ofrece recuperación ante desastres. Escenario de zona única: Cree un nodo de sincronización en un vSwitch dentro de una sola zona de disponibilidad. Esta opción no proporciona recuperación ante desastres.
DNS Resolution Protocol	Si usa PrivateZone, el protocolo es UDP. Si usa un DNS autogestionado, especifique el protocolo del servidor. Son compatibles UDP y TCP.
DNS Resolution Port	Si usa PrivateZone, el puerto de resolución es el 53. Si usa un DNS autogestionado, especifique el puerto del servidor. El puerto predeterminado es el 53.
Firewall Border	Seleccione los bordes de firewall donde se aplicarán los resultados DNS sincronizados. Un nodo de sincronización puede aplicarse a varios bordes de firewall, pero cada borde de una región solo se asocia con un nodo de sincronización. Debe configurar como mínimo un borde. Los bordes disponibles incluyen: Internet Border NAT Border VPC Border
DNS Resolution Synchronization Cycle	El intervalo de sincronización es fijo y está establecido en 5 minutos.

Haga clic en Next para completar el proceso de creación.

Paso 2: Agregar nombres de dominio

En la pestaña Private DNS, ubique el nodo de sincronización que creó y haga clic en Configure Domain Names en la columna Actions.
Haga clic en Add para agregar nombres de dominio.

Puede agregar hasta 1,000 nombres de dominio a la vez, con un límite total de 10,000. No son compatibles los nombres de dominio comodín.
Haga clic en View Resolution Details para comprobar que las direcciones IP resueltas coincidan con las direcciones IP esperadas.
Una vez que agregue todos los nombres de dominio, haga clic en OK.

Paso 3: Configurar una política basada en dominios

Para configurar políticas de control de acceso que permitan a los recursos orientados a Internet conectarse a Internet, consulte Configure an access control policy for the Internet Border.
Para configurar políticas de control de acceso del tráfico de recursos dentro de una VPC, como una instancia ECS o una Elastic Container Instance (ECI), que se conecta a Internet mediante un NAT Gateway, consulte Configure an access control policy for the NAT Border.
Para configurar políticas de control de acceso del tráfico entre instancias de red conectadas mediante Cloud Enterprise Network (CEN) o Express Connect, consulte Configure an access control policy for the VPC Border.

Operaciones adicionales

Editar un nodo: Para modificar el nombre de un nodo de sincronización de DNS privado o cambiar la dirección IP de un DNS autogestionado, busque el nodo en la pestaña Private DNS y haga clic en Edit Instance en la columna Actions.
Eliminar una instancia: Si ya no necesita la instancia del nodo de sincronización para la resolución de DNS privado, vaya a la página Private DNS y haga clic en Delete. Antes de eliminar la instancia del nodo de sincronización, debe eliminar los nombres de dominio configurados.

Importante
Después de eliminar un nodo de sincronización, las políticas de control de acceso que utilizaban sus resultados de resolución volverán a usar Alibaba Cloud DNS. Esto podría introducir riesgos para el negocio. Proceda con precaución.