Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
client config、zone link、record、conditional forwarding、route/NSG、resolver healthの順に切り分ける。
Key technical points
- nslookup/digでresolver serverとanswer chainを明示する。
- public queryとprivate queryを別network locationから比較する。
- Private EndpointではFQDN→CNAME→privatelink zone→A recordのchainを確認する。
Design guidance
- Private Endpoint問題の多くはrouteより先にDNSを疑う価値がある。FQDNの最終A/AAAAまで追う。
- public zone、privatelink zone、on-prem conditional forwarderを混ぜず、authorityを明確にする。
- network private化とresource public access disableを別checkとして扱う。
Operations checklist
- clientが利用するDNS serverを確認する。
- FQDNのCNAME/A/AAAA chainとPrivate DNS zone linkを確認する。
- route/NSGはresolved private IPを基準に確認する。
Common pitfalls
- Private Endpointを作っただけでDNSが自動的に全networkから解決できると思う。
- public zoneを誤ってprivate zoneで上書きする。
Verification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。