複雑なネットワークアーキテクチャでは、業務システムが Alibaba Cloud PrivateZone やセルフマネージド DNS サーバーなどのプライベート DNS サービスに依存して、内部ドメイン名を解決することがあります。これらのドメイン名は、通常、内部 IP アドレスまたは特定のサービスノードに解決されます。しかし、Cloud Firewall はデフォルトで Alibaba Cloud の DNS サーバー (100.100.2.136 および 100.100.2.138) を使用して動的解決を行います。この不一致により、ドメインベースのアクセス制御ポリシーが失敗する可能性があります。プライベート DNS 同期機能を有効にすると、PrivateZone またはセルフマネージド DNS サーバーからドメイン名の解決結果を取得するように Cloud Firewall を設定できます。このトピックでは、Cloud Firewall でプライベート DNS を同期する方法について説明します。
制限事項
プライベート DNS の同期は、アクセス制御ポリシーのドメイン識別モードが DNS ベースの動的解決 または [FQDN および DNS ベースの動的解決] に設定されている場合にのみ有効です。
ソリューションの概要
同期前 | 同期後 |
業務システムはアウトバウンドドメインの解決にプライベート DNS を使用しますが、Cloud Firewall はデフォルトの Alibaba Cloud DNS サーバー (100.100.2.136 および 100.100.2.138) を使用します。同じドメインが異なる DNS サーバーによって解決されると、結果が不一致になる可能性があり、ドメインベースのアクセス制御ポリシーが失敗する原因となります。 | DNS 解決の不一致によるポリシーの失敗に対処するため、Cloud Firewall は同期ノードに基づくソリューションを提供します。このメカニズムにより、Cloud Firewall は PrivateZone またはセルフマネージド DNS サーバーから解決結果を自動的に取得できます。これにより、DNS サーバー間で結果の一貫性が確保され、ポリシーの失敗を防ぎます。 |
手順
開始する前に、ご利用の DNS サーバータイプを特定してください。
PrivateZone を使用する場合は、必要な解決レコードが設定されていることを確認してください。
セルフマネージド DNS サーバーを使用する場合は、サーバー上でドメインと IP のマッピングが設定されていることを確認してください。
プライベート DNS の同期を設定するには、次の 3 つのステップに従います：
ステップ 1：同期ノードの作成
同期ノードには、エンドポイント、vSwitch、およびエンドポイント ENI が含まれます。
Cloud Firewall コンソールにログインします。 左側のナビゲーションウィンドウで、 を選択します。
ページで、プライベート DNS の同期ノードの作成 をクリックします。
次のパラメーターで同期ノードを設定します。
パラメーター
説明
同期ノード名
同期ノードのカスタム名を入力します。
プライベート DNS のタイプ
PrivateZone を使用する場合、デフォルトの DNS サーバーは 100.100.2.136 と 100.100.2.138 です。
セルフマネージド DNS サーバーを使用する場合、プライマリ DNS サーバーのアドレスを指定する必要があります。セカンダリ DNS サーバーのアドレスはオプションです。
システムは、ドメイン解決にプライマリ DNS サーバーを優先的に使用します。プライマリサーバーがドメインの解決に失敗した場合、システムはセカンダリサーバーにフォールバックします。
DNS サーバーがパブリック IP アドレスを使用する場合、同期ノードが DNS サーバーにアクセスできるように、ビジネス VPC に NAT ゲートウェイがあることを確認してください。
DNS サーバーがプライベート IP アドレスを使用する場合、ビジネス VPC と DNS サーバー間のネットワーク接続を確保してください。
所属リージョン
同期ノードの VPC が所在するリージョンを選択します。プライベート DNS 解決は、このリージョンのアクセス制御ポリシーに適用されます。ビジネスが 2 つのリージョンに分散している場合は、各リージョンに同期ノードを作成し、各ノードにドメイン名を設定して、プライベート DNS 解決の結果を両方のリージョンのアクセス制御ポリシーに適用する必要があります。
VPC
同期ノードの VPC を選択します。この VPC は DNS サーバーへのアクセスに使用され、任意のビジネス VPC を指定できます。VPC 境界または NAT 境界ですでに使用されている VPC は選択しないことを推奨します。
ゾーンと vSwitch
同期ノードの vSwitch を選択します。同期ノードのエンドポイント ENI の IP アドレスを手動で指定することもできます。この IP アドレスは、vSwitch 内の既存の IP アドレスと競合しないようにする必要があります。IP アドレスを指定しない場合、Cloud Firewall が自動的に割り当てます。
アベイラビリティゾーンと vSwitch の設定では、2 つのデプロイメントシナリオがサポートされています：
デュアルアベイラビリティゾーンシナリオ (推奨)：ディザスタリカバリのために、それぞれ異なる vSwitch とアベイラビリティゾーンに 2 つの同期ノードを作成します。
シングルアベイラビリティゾーンシナリオ：1 つのアベイラビリティゾーン内の vSwitch に単一の同期ノードを作成します。このシナリオではディザスタリカバリは提供されません。
DNS 解決プロトコル
DNS サーバータイプが PrivateZone の場合、プロトコルは UDP です。
セルフマネージド DNS サーバーを使用する場合は、そのプロトコルを指定します。UDP と TCP がサポートされています。
DNS 解決ポート
DNS サーバータイプが PrivateZone の場合、解決ポートは 53 です。
セルフマネージド DNS サーバーを使用する場合は、そのポートを指定します。デフォルトのポートは 53 です。
アプリケーションのファイアウォール境界
プライベート DNS 解決の結果を適用するファイアウォール境界を選択します。1 つのノードを複数の境界に適用できますが、1 つのリージョン内の各境界は 1 つのノードにしか関連付けることができません。少なくとも 1 つ選択する必要があります。利用可能な境界は次のとおりです：
インターネット境界
NAT 境界
VPC 境界
DNS 解決同期サイクル
DNS 解決の結果は 5 分ごとに同期されます。
次へ をクリックして作成を完了します。
ステップ 2：ドメイン名の追加
プライベート DNS タブで、作成した同期ノードを見つけ、Actions 列の ドメイン名の設定 をクリックします。
新規追加 をクリックしてドメイン名を追加します。
一度に最大 1,000 個のドメイン名を追加でき、合計で 10,000 個まで追加できます。ワイルドカードドメイン名はサポートされていません。
解決の詳細を表示する をクリックして、ドメインに対して解決された IP アドレスが正しいことを確認します。
すべてのドメイン名を追加した後、[OK] をクリックします。
ステップ 3：アクセス制御ポリシーの設定
パブリックアセットとインターネット間のトラフィックに対するアクセス制御ポリシーを設定するには、「インターネット境界のアクセス制御ポリシーの設定」をご参照ください。
VPC 内のリソース (ECS インスタンスや Elastic Container Instance (ECI) など) から NAT ゲートウェイを介してインターネットへのトラフィックに対するアクセス制御ポリシーを設定するには、「NAT 境界のアクセス制御ポリシーの設定」をご参照ください。
Cloud Enterprise Network (CEN) または Express Connect を介して接続されたネットワークインスタンス間のトラフィックに対するアクセス制御ポリシーを設定するには、「VPC 境界のアクセス制御ポリシーの設定」をご参照ください。
その他の操作
インスタンスの編集：同期ノードの名前を変更したり、セルフマネージド DNS サーバーの IP アドレスを変更したりするには、プライベート DNS タブでノードを見つけ、[操作] 列の インスタンスの編集 をクリックします。
インスタンスの削除：同期ノードが不要になった場合は、プライベート DNS タブで [操作] 列の Delete をクリックして削除できます。ノードを削除する前に、まず設定されているすべてのドメイン名を削除する必要があります。
重要同期ノードを削除すると、それを使用するアクセス制御ポリシーはデフォルトの DNS サーバーからの解決結果を使用するように戻ります。これにより、ビジネスリスクが発生する可能性があります。慎重に進めてください。