Cloud Firewall:Private DNS

Batasan

Sinkronisasi private DNS hanya efektif untuk kebijakan kontrol akses yang menggunakan mode resolusi nama domain berbasis resolusi DNS dinamis atau berbasis FQDN dan resolusi DNS dinamis.

Ikhtisar solusi

Prosedur

Sebelum memulai, identifikasi jenis server DNS Anda.

• Jika Anda menggunakan PrivateZone, pastikan catatan resolusi telah dikonfigurasi.

• Jika Anda menggunakan DNS yang dikelola sendiri, pastikan pemetaan domain ke IP telah dikonfigurasi.

Ikuti langkah-langkah berikut untuk mengonfigurasi sinkronisasi private DNS:

Langkah 1: Buat node sinkronisasi

Node sinkronisasi terdiri dari endpoint, vSwitch, dan endpoint elastic network interface (ENI).

1. Masuk ke Konsol Cloud Firewall. Di panel navigasi sebelah kiri, pilih Prevention Configuration > Address Book > Sync Nodes.

2. Di halaman Sync Nodes, klik tab Private DNS, lalu klik Create.

3. Konfigurasikan parameter berikut untuk membuat node sinkronisasi.

   Parameter	Deskripsi
   Synchronization Node Name	Masukkan nama kustom untuk node sinkronisasi.
   Private DNS Type	Jika Anda menggunakan PrivateZone, alamat IP server DNS default adalah 100.100.2.136 dan 100.100.2.138.
   	Jika Anda menggunakan DNS yang dikelola sendiri, Anda harus mengonfigurasi alamat server DNS utama. Alamat server DNS sekunder bersifat opsional. Server DNS utama digunakan terlebih dahulu untuk resolusi nama domain. Jika server utama gagal melakukan resolusi, server DNS sekunder akan digunakan. Jika server DNS memiliki alamat IP publik, pastikan VPC bisnis memiliki NAT Gateway agar node sinkronisasi dapat mengakses server DNS. Jika server DNS memiliki alamat IP pribadi, pastikan jalur jaringan tersedia antara VPC bisnis dan server DNS.
   Region	Wilayah VPC tempat node sinkronisasi berada. Hasil resolusi DNS untuk kontrol akses berlaku di wilayah ini. Jika bisnis Anda mencakup dua wilayah, Anda harus membuat node sinkronisasi di masing-masing wilayah dan mengonfigurasi nama domain untuk setiap node agar resolusi private DNS diterapkan pada kebijakan kontrol akses di kedua wilayah tersebut.
   VPC	Pilih VPC untuk node sinkronisasi. VPC ini digunakan untuk mengakses server DNS dan dapat berupa VPC bisnis apa pun. Kami menyarankan agar Anda tidak memilih VPC yang berisi firewall VPC atau firewall NAT.
   Zone and vSwitch	Pilih vSwitch untuk node sinkronisasi. Anda juga dapat menentukan alamat IP secara manual untuk elastic network interface (ENI) node tersebut. Alamat IP tersebut tidak boleh bentrok dengan alamat IP yang sedang digunakan di vSwitch. Jika Anda tidak menentukan alamat IP, Cloud Firewall akan menetapkannya secara otomatis. Tersedia dua opsi penerapan untuk pemulihan bencana: Skema dual-zone (Direkomendasikan): Buat dua node sinkronisasi di vSwitch berbeda yang tersebar di dua zona ketersediaan berbeda. Metode ini menyediakan pemulihan bencana. Skema single-zone: Buat satu node sinkronisasi di vSwitch dalam satu zona ketersediaan. Opsi ini tidak menyediakan pemulihan bencana.
   DNS Resolution Protocol	Jika Anda menggunakan PrivateZone, protokolnya adalah UDP. Jika Anda menggunakan DNS yang dikelola sendiri, tentukan protokol server tersebut. UDP dan TCP didukung.
   DNS Resolution Port	Jika Anda menggunakan PrivateZone, port resolusinya adalah 53. Jika Anda menggunakan DNS yang dikelola sendiri, tentukan port server tersebut. Port default adalah 53.
   Firewall Border	Pilih batas firewall tempat hasil DNS yang telah disinkronkan akan diterapkan. Satu node sinkronisasi dapat diterapkan pada beberapa batas firewall, tetapi setiap batas di suatu wilayah hanya dapat dikaitkan dengan satu node sinkronisasi. Anda harus mengonfigurasi minimal satu batas. Batas yang berlaku meliputi: Internet Border NAT Border VPC Border
   DNS Resolution Synchronization Cycle	Interval sinkronisasi tetap selama 5 menit.

4. Klik Next untuk menyelesaikan proses pembuatan.

Langkah 2: Tambahkan nama domain

1. Di tab Private DNS, temukan node sinkronisasi yang telah Anda buat, lalu klik Configure Domain Names di kolom Actions.

2. Klik Add untuk menambahkan nama domain.

   Anda dapat menambahkan hingga 1.000 nama domain sekaligus, dengan batas total 10.000. Nama domain wildcard tidak didukung.

3. Klik View Resolution Details untuk memverifikasi bahwa alamat IP hasil resolusi sesuai dengan alamat IP yang diharapkan.

4. Setelah menambahkan semua nama domain, klik OK.

Langkah 3: Konfigurasikan kebijakan berbasis domain

• Untuk mengonfigurasi kebijakan kontrol akses bagi aset yang menghadap Internet untuk mengakses internet, lihat Konfigurasikan kebijakan kontrol akses untuk Internet Border.

• Untuk mengonfigurasi kebijakan kontrol akses bagi lalu lintas dari sumber daya dalam VPC—seperti instance ECS atau Elastic Container Instance (ECI)—yang mengakses internet melalui NAT Gateway, lihat Konfigurasikan kebijakan kontrol akses untuk NAT Border.

• Untuk mengonfigurasi kebijakan kontrol akses bagi lalu lintas antar instans jaringan yang terhubung melalui Cloud Enterprise Network (CEN) atau Express Connect, lihat Konfigurasikan kebijakan kontrol akses untuk VPC Border.

Operasi tambahan

• Edit node: Untuk mengubah nama node sinkronisasi private DNS atau mengganti alamat IP DNS yang dikelola sendiri, temukan node tersebut di tab Private DNS, lalu klik Edit Instance di kolom Actions.

• Hapus instans: Jika Anda tidak lagi memerlukan instans node sinkronisasi untuk resolusi private DNS, di halaman Private DNS, klik Delete. Sebelum menghapus instans node sinkronisasi, Anda harus menghapus nama domain yang telah dikonfigurasi.

  Penting

  Setelah Anda menghapus node sinkronisasi, kebijakan kontrol akses yang menggunakan hasil resolusinya akan kembali menggunakan DNS Alibaba Cloud. Hal ini dapat menimbulkan risiko bisnis. Lakukan dengan hati-hati.