Параметры DNS политики Брандмауэра Azure

Вы можете настроить для Брандмауэра Azure пользовательский DNS-сервер и включить DNS-прокси. Эти параметры настраиваются при развертывании брандмауэра или позднее на странице Параметры DNS. По умолчанию Брандмауэр Azure использует Azure DNS, поэтому прокси-сервер DNS отключен.

Серверы DNS

DNS-сервер хранит доменные имена и разрешает их в IP-адреса. По умолчанию Брандмауэр Azure использует для разрешения имен Azure DNS. Параметр DNS-сервер позволяет настроить собственные DNS-серверы для разрешения имен в Брандмауэре Azure. Можно указать один или несколько серверов. При настройке нескольких DNS-серверов используемый сервер выбирается случайным образом. В Пользовательском DNSможно настроить не более 15 DNS-серверов.

Настройка пользовательских DNS-серверов

az network firewall update \
    --name fwName \ 
    --resource-group fwRG \
    --dns-servers 10.1.0.4 10.1.0.5

$dnsServers = @("10.1.0.4", "10.1.0.5")
$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSServer = $dnsServers

$azFw | Set-AzFirewall

DNS-прокси

Вы можете настроить Брандмауэр Azure так, чтобы он действовал в качестве DNS-прокси. DNS-прокси — это посредник для обработки запросов DNS, направляемых от клиентских виртуальных машин к DNS-серверу.

Если вы хотите включить в правилах сети фильтрацию по полным доменным именам (FQDN), включите DNS-прокси и обновите конфигурацию виртуальной машины, чтобы использовать брандмауэр в качестве DNS-прокси.

Если вы включите в правилах сети фильтрацию по FQDN, но не настроите на клиентских виртуальных машинах использование брандмауэра в качестве DNS-прокси, то DNS-запросы от таких клиентов будут поступать на DNS-сервер в другое время или возвращать не тот ответ, который возвращает брандмауэр. Рекомендуется настроить клиентские виртуальные машины для использования Брандмауэр Azure в качестве DNS-прокси. Это ставит Брандмауэр Azure в путь клиентских запросов, чтобы избежать несоответствия.

Если Брандмауэр Azure выполняет роль DNS-прокси, поддерживаются два типа функций кэширования:

• Положительный кэш: успешное разрешение DNS. Брандмауэр кэширует эти ответы в соответствии с TTL (срок жизни) в ответе максимум до 1 часа.

• Отрицательный кэш: разрешение DNS не дает ответа или возвращает ответ об отсутствии разрешения. Брандмауэр кэширует эти ответы в соответствии с TTL в ответе максимум до 30 минут.

DNS-прокси сохраняет все IP-адреса, разрешенные по полным доменным именам в правилах сети. Рекомендуется использовать полные доменные имена, которые разрешаются в один IP-адрес.

Наследование политик

Параметры DNS политики, применяемые к автономному брандмауэру, переопределяют параметры DNS автономного брандмауэра. Дочерняя политика наследует все параметры DNS родительской политики, но может переопределить родительскую политику.

Например, чтобы использовать имена FQDN в правиле сети, необходимо включить прокси-сервер DNS. Но если в родительской политике не включен прокси-сервер DNS, дочерняя политика не будет поддерживать имена FQDN в правилах сети, если только вы не переопределяете этот параметр локально.

Настройка DNS-прокси

Для настройки DNS-прокси нужно выполнить следующие три шага.

1. Включите DNS-прокси в параметрах DNS для Брандмауэра Azure.
2. При желании настройте пользовательский DNS-сервер или используйте значение по умолчанию.
3. Укажите частный IP-адрес Брандмауэра Azure в качестве адреса пользовательского DNS-сервера в параметрах DNS-сервера для виртуальной сети. Такая конфигурация гарантирует, что трафик DNS будет перенаправляться в Брандмауэр Azure.

az network vnet update \
    --name VNetName \ 
    --resource-group VNetRG \
    --dns-servers <firewall-private-IP>

az network firewall update \
    --name fwName \ 
    --resource-group fwRG \
    --enable-dns-proxy true

$dnsServers = @("<firewall-private-IP>")
$VNet = Get-AzVirtualNetwork -Name "VNetName" -ResourceGroupName "VNetRG"
$VNet.DhcpOptions.DnsServers = $dnsServers

$VNet | Set-AzVirtualNetwork

$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSEnableProxy = $true

$azFw | Set-AzFirewall

Отработка отказа для высокодоступных систем

В прокси-сервере DNS используется механизм отработки отказа, который прерывает работу с обнаруженным неработоспособным сервером и использует другой доступный DNS-сервер.

Если все DNS-серверы недоступны, откат к другому DNS-серверу отсутствует.

Проверки работоспособности

Прокси-сервер DNS выполняет пятисекундный цикл проверки работоспособности в течение всего времени, когда вышестоящее серверы сообщают о неработоспособности. Проверки работоспособности — это рекурсивный DNS-запрос к корневому серверу доменных имен. После того как вышестоящий сервер признается работоспособным, брандмауэр останавливает проверку работоспособности до следующей ошибки. Если работоспособный прокси-сервер возвращает ошибку, брандмауэр выбирает другой DNS-сервер в списке.

Следующие шаги

• сведения о прокси-сервере DNS Брандмауэр Azure
• Фильтрация по FQDN в правилах сети