Настройка dns-пересылки на портале Azure

По умолчанию компоненты управления решениями Azure VMware, такие как vCenter Server, могут разрешать только записи имен, доступные через общедоступный DNS. Однако для некоторых гибридных сценариев использования требуется, чтобы компоненты управления решения Azure VMware могли разрешать записи имен из частно размещенных DNS для корректной работы, включая управляемые клиентом системы, такие как vCenter Server и Active Directory.

Частные компоненты управления решениями Azure VMware позволяют определять правила условной пересылки для требуемого доменного имени в выбранный набор частных DNS-серверов через службу DNS центра обработки данных NSX-T.

Эта возможность использует службу пересылки DNS в центре обработки данных NSX-T. Служба DNS и зона DNS по умолчанию предоставляются как часть частного облака. Чтобы включить компоненты управления решениями Azure VMware для разрешения записей из частных систем DNS, необходимо определить зону FQDN и применить ее к службе DNS центра обработки данных NSX-T. Служба DNS условно перенаправит запросы DNS для каждой зоны на основе внешних DNS-серверов, определенных в этой зоне.

Архитектура

На схеме показано, что служба DNS центра обработки данных NSX-T может пересылать DNS-запросы в системы DNS, размещенные в Azure и локальных средах.

Настройка DNS-переадресации

1. В частном облаке решения Azure VMware в разделе "Сеть рабочих нагрузок" выберитезоны DNS.> Затем выберите Добавить.

   Примечание.

   Для частных облаков, созданных 1 июля 2021 г., зона DNS по умолчанию создается во время создания частного облака.

   

2. Выберите зону FQDN, укажите имя и до трех IP-адресов DNS-сервера в формате 10.0.0.53. Затем выберите OK.

   

   Это важно

   Центр обработки данных NSX-T поддерживает использование пробелов и других небуквенно-цифровых символов в имени зоны DNS. Однако некоторые NSX-T ресурсы Центра обработки данных, такие как зона DNS, сопоставляются с ресурсом Azure, имена которых не допускают определенные символы.

   В результате имена зон DNS, которые в противном случае были бы допустимыми в Центре обработки данных NSX-T, может потребоваться корректировка для соблюдения соглашений об именовании ресурсов Azure.

   Выполнение займет несколько минут, но вы можете отслеживать ход выполнения из уведомлений. При создании зоны DNS отображается сообщение в уведомлениях.

3. Игнорируйте сообщение о зоне DNS по умолчанию, так как она создается для вас в рамках частного облака.

4. Перейдите на вкладку "Служба DNS " и нажмите кнопку "Изменить".

   Подсказка

   Для частных облаков, созданных 1 июля 2021 г. или после 1 июля 2021 г., можно игнорировать сообщение о зоне DNS по умолчанию, так как она создается для вас во время создания частного облака.

   Это важно

   Некоторые операции в частном облаке можно выполнять из диспетчера NSX-T. Для частных облаков, созданных 1 июля 2021 г., необходимо изменить службу DNS из интерфейса упрощенной сети на портале Azure для любых изменений конфигурации, внесенных в шлюз уровня 1 по умолчанию.

   

5. В раскрывающемся списке зон полного доменного имени выберите только что созданное полное доменное имя и нажмите кнопку "ОК".

   

   Это займет несколько минут и после завершения отображается сообщение "Завершено " из уведомлений. На этом этапе компоненты управления в частном облаке должны иметь возможность разрешать записи DNS из зоны FQDN, предоставленной службе DNS центра обработки данных NSX-T.

6. Повторите описанные выше действия для других зон FQDN.

Изменение зоны пересылки DNS по умолчанию T1

1. В частном облаке решения Azure VMware в разделе "Сеть рабочих процессов" выберите DNS>DNS зоны>, чтобы проверить TNT##-DNS-FORWARDER-ZONE>, выберите "Изменить".

   

2. Измените записи DNS-сервера на допустимые IP-адреса, а затем нажмите кнопку "ОК".

   

   Подсказка

   Для того чтобы компоненты управления vCenter, NSX-T и HCX успешно выполняли обратные DNS-запросы, в DNS server IP зоне пересылки DNS по умолчанию T1 должен быть определен DNS-сервер, способный выполнять такие запросы.

   Это важно

   Конечная точка DNS, недоступная NSX-T DNS-сервером, приводит к NSX-T сигнализации о том, что конечная точка недоступна. В случаях конфигурации по умолчанию, предоставленной решением Azure VMware, это связано с интернетом, отключенным по умолчанию. Тревогу можно признать и игнорировать, или конфигурацию по умолчанию можно изменить на допустимую конечную точку.

Проверка процессов разрешения имен

После настройки переадресации DNS доступно несколько вариантов для проверки операций разрешения имен.

VMware NSX-T Менеджер

NSX-T Manager предоставляет статистику службы пересылки DNS на глобальном уровне обслуживания и на основе каждой зоны.

1. В диспетчере NSX-T выберите "Сеть>DNS" и разверните службу пересылки DNS.

   

2. Выберите "Просмотреть статистику", а затем выберите свою Зону FQDN в раскрывающемся списке "Статистика зоны".

   Верхняя половина отображает статистику для всей службы, а в нижней половине отображается статистика для указанной зоны. В этом примере можно просмотреть перенаправленные запросы к службам DNS, указанным во время настройки зоны FQDN.

   

PowerCLI

API политики NSX-T позволяет выполнять команды nslookup из службы DNS-пересылки центра обработки данных NSX-T. Обязательные командлеты являются частью модуля VMware.VimAutomation.Nsxt в PowerCLI. В следующем примере показано выходные данные этого модуля версии 12.3.0.

1. Подключитесь к кластеру NSX-T Manager.

   Подсказка

   Ip-адрес кластера диспетчера NSX-T можно получить на портале Azure в разделе "Управление удостоверениями>".

   Connect-NsxtServer -Server 10.103.64.3
   

2. Получите прокси для сервиса nslookup пересылки DNS.

   $nslookup = Get-NsxtPolicyService -Name com.vmware.nsx_policy.infra.tier_1s.dns_forwarder.nslookup
   

3. Выполните поиск с использованием службы перенаправления DNS.

   $response = $nslookup.get('TNT86-T1', 'vc01.contoso.corp')
   

Первый параметр команды — это идентификатор шлюза T1 частного облака, который можно получить на вкладке службы DNS на портале Azure.

1. Получите необработанный ответ из поиска, используя следующие свойства ответа.

   $response.dns_answer_per_enforcement_point.raw_answer; (()) DiG 9.10.3-P4-Ubuntu (()) @10.103.64.192 -b 10.103.64.192 vc01.contoso.corp +timeout=5 +tries=3 +nosearch ; (1 server found) ;; global options: +cmd ;; Got answer: ;; -))HEADER((- opcode: QUERY, status: NOERROR, id: 10684 ;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1  ;; OPT PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: 4096 ;; QUESTION SECTION: ;vc01.contoso.corp.  IN A  ;; ANSWER SECTION: vc01.contoso.corp. 3046 IN A 172.21.90.2  ;; Query time: 0 msec ;; SERVER: 10.103.64.192:53(10.103.64.192) ;; WHEN: Thu Jul 01 23:44:36 UTC 2021 ;; MSG SIZE  rcvd: 62
   

   В этом примере вы увидите ответ на запрос vc01.contoso.corp, показывающий запись A с адресом 172.21.90.2. Кроме того, в этом примере показан кэшированный ответ службы пересылки DNS, поэтому выходные данные могут немного отличаться.