Azure 专用终结点 DNS 配置

请务必正确配置 DNS 设置,以便将专用终结点 IP 地址解析为连接字符串的完全限定的域名 (FQDN)。

现有的 Azure 服务可能已具有公共终结点的 DNS 配置。 必须替代此配置才能使用专用终结点进行连接。

与专用终结点关联的网络接口包含配置 DNS 所需的信息。 网络接口信息包括专用链接资源的 FQDN 和专用 IP 地址。

可使用以下选项来配置专用终结点的 DNS 设置:

  • 使用主机文件(仅建议用于测试) 。 可以使用虚拟机上的主机文件来替代 DNS。
  • 使用专用 DNS 区域。 你可使用专用 DNS 区域来替代专用终结点的 DNS 解析。 可将专用 DNS 区域链接到虚拟网络,以解析特定的域。
  • 使用 DNS 转发器(可选) 。 你可使用 DNS 转发器来替代专用链接资源的 DNS 解析。 创建 DNS 转发规则,以在虚拟网络中托管的 DNS 服务器上使用专用 DNS 区域。

重要

不建议替代正在用于解析公共终结点的区域。 在不 DNS 转发到公共 DNS 的情况下,与资源的连接无法正确解析。 若要避免出现问题,请创建不同的域名,或对以下每个服务采用建议的名称。

Azure 服务 DNS 区域配置

Azure 将在公共 DNS 上创建一个规范名称 DNS 记录 (CNAME)。 CNAME 记录可将解析重定向到专用域名。 可以用专用终结点的专用 IP 地址替代解析。

应用程序无需更改连接 URL。 使用公共 DNS 服务进行解析时,DNS 服务器将解析为专用终结点。 此过程不会影响现有应用程序。

重要

已将专用 DNS 区域用于给定类型的专用网络如果没有任何专用终结点连接,只能连接到公共资源,否则需要在专用 DNS 区域上进行相应的 DNS 配置才能完成 DNS 解析序列。

对于 Azure 服务,请根据下表中所述使用建议的区域名称:

中国

专用链接资源类型/子资源 专用 DNS 区域名称 公共 DNS 区域转发器
Azure SQL 数据库 (Microsoft.Sql/servers)/SQL Server privatelink.database.chinacloudapi.cn database.chinacloudapi.cn
Azure Cosmos DB (Microsoft.AzureCosmosDB/databaseAccounts)/SQL privatelink.documents.azure.cn documents.azure.cn
Azure Cosmos DB (Microsoft.AzureCosmosDB/databaseAccounts)/MongoDB privatelink.mongo.cosmos.azure.cn mongo.cosmos.azure.cn
Azure Cosmos DB (Microsoft.AzureCosmosDB/databaseAccounts)/Cassandra privatelink.cassandra.cosmos.azure.cn cassandra.cosmos.azure.cn
Azure Cosmos DB (Microsoft.AzureCosmosDB/databaseAccounts)/Gremlin privatelink.gremlin.cosmos.azure.cn gremlin.cosmos.azure.cn
Azure Cosmos DB (Microsoft.AzureCosmosDB/databaseAccounts)/Table privatelink.table.cosmos.azure.cn table.cosmos.azure.cn
Azure Database for PostgreSQL - 单一服务器 (Microsoft.DBforPostgreSQL/servers)/postgresqlServer privatelink.postgres.database.chinacloudapi.cn postgres.database.chinacloudapi.cn
Azure Database for MySQL (Microsoft.DBforMySQL/servers)/mysqlServer privatelink.mysql.database.chinacloudapi.cn mysql.database.chinacloudapi.cn
Azure Database for MariaDB (Microsoft.DBforMariaDB/servers)/mariadbServer privatelink.mariadb.database.chinacloudapi.cn mariadb.database.chinacloudapi.cn
Azure HDInsight (Microsoft.HDInsight) privatelink.azurehdinsight.cn azurehdinsight.cn

DNS 配置方案

服务的 FQDN 自动解析为公共 IP 地址。 若要解析为专用终结点的专用 IP 地址,请更改 DNS 配置。

DNS 是通过成功解析专用终结点 IP 地址使应用程序正常工作的一个关键组件。

根据你的偏好,以下方案适用于集成的 DNS 解析:

不带自定义 DNS 服务器的虚拟网络工作负荷

此配置适用于不带自定义 DNS 服务器的虚拟网络工作负载。 在此方案中,客户端会向 Azure 提供的 DNS 服务 168.63.129.16 查询专用终结点 IP 地址。 Azure DNS 将负责专用 DNS 区域的 DNS 解析。

注意

此方案使用 Azure SQL 数据库建议的专用 DNS 区域。 对于其他服务,可以使用以下参考来调整模型:Azure 服务 DNS 区域配置

若要正确进行配置,需要以下资源:

以下屏幕截图显示了使用专用 DNS 区域的虚拟网络工作负载中的 DNS 解析序列:

单个虚拟网络和 Azure 提供的 DNS

可将此模型扩展到与同一专用终结点关联的对等互连虚拟网络。 向所有对等虚拟网络的专用 DNS 区域添加新的虚拟网络链接

重要

此配置需要使用单个专用 DNS 区域。 为不同的虚拟网络创建具有相同名称的多个区域时,需要通过手动操作来合并 DNS 记录。

重要

如果你在不同的订阅或甚至在同一订阅的中心辐射型模型中使用专用终结点,请将同一专用 DNS 区域链接到包含需要从区域进行 DNS 解析的客户端的所有中心辐射型虚拟网络。

在此方案中,有一个中心辐射型网络拓扑。 辐射型网络共用一个专用终结点。 辐射型虚拟网络关联到同一专用 DNS 区域。

具有 Azure 提供的 DNS 的中心辐射型拓扑

使用 DNS 转发器的本地工作负荷

要使本地工作负载解析专用终结点的 FQDN,可使用 DNS 转发器在 Azure 中解析 Azure 服务公共 DNS 区域DNS 转发器是在与专用 DNS 区域链接的虚拟网络上运行的虚拟机,可以代理来自其他虚拟网络或本地的 DNS 查询。 这是必需的,因为查询必须从虚拟网络发起到 Azure DNS。 DNS 代理的一些选项包括:运行 DNS 服务的 Windows、运行 DNS 服务的 Linux、Azure 防火墙

以下方案适用于在 Azure 中具有 DNS 转发器的本地网络。 此转发器通过服务器级转发器将所有 DNS 查询解析为 Azure 提供的 DNS 168.63.129.16

注意

此方案使用 Azure SQL 数据库建议的专用 DNS 区域。 对于其他服务,可以使用以下参考来调整模型:Azure 服务 DNS 区域配置

若要正确进行配置,需要以下资源:

下图显示了本地网络中的 DNS 解析顺序。 配置使用 Azure 中部署的 DNS 转发器。 该解析是通过关联到虚拟网络的专用 DNS 区域进行的:

使用 Azure DNS 的本地网络

可以为已有 DNS 解决方案的本地网络扩展此配置。  将本地 DNS 解决方案配置为通过条件转发器将 DNS 流量转发到 Azure DNS。 该条件转发器引用部署在 Azure 中的 DNS 转发器。

注意

 此方案使用 Azure SQL 数据库建议的专用 DNS 区域。 对于其他服务,可以使用以下参考来调整模型:Azure 服务 DNS 区域配置

若要正确进行配置,需要以下资源:

下图显示了本地网络中的 DNS 解析。 DNS 解析按条件转发到 Azure。 该解析是通过关联到虚拟网络的专用 DNS 区域进行的。

重要

 条件转发必须指向建议的公共 DNS 区域转发器。 例如: database.chinacloudapi.cn 而不是 database.chinacloudapi.cn. database.chinacloudapi.cn。

本地转发到 Azure DNS

使用 DNS 转发器的虚拟网络和本地工作负载

要使工作负载从虚拟网络和本地网络访问专用终结点,请使用 DNS 转发器来解析部署在 Azure 中的 Azure 服务公共 DNS 区域

以下方案适用于在 Azure 中具有虚拟网络的本地网络。 这两种网络都可访问位于共享中心网络的专用终结点。

此 DNS 转发器负责通过服务器级转发器将所有 DNS 查询解析为 Azure 提供的 DNS 服务 168.63.129.16

重要

此配置需要使用单个专用 DNS 区域。 从本地和 对等互连虚拟网络 建立的所有客户端连接也必须使用相同的专用 DNS 区域。

注意

此方案使用 Azure SQL 数据库建议的专用 DNS 区域。 对于其他服务,可以使用以下参考来调整模型:Azure 服务 DNS 区域配置

若要正确进行配置,需要以下资源:

下图显示了两种网络(本地网络和虚拟网络)的 DNS 解析。 该解析使用 DNS 转发器。 该解析是通过关联到虚拟网络的专用 DNS 区域进行的:

混合方案

后续步骤