Scope: 設計・運用で誤りやすい点を優先して整理。SKU/region/limitsは変更されるため、実装時はリンク先のcurrent Microsoft Learnを再確認してください。
Overview
Internetからは解決されないprivate DNS namespaceをAzure VNetへ提供する。
Key technical points
- zoneはVNet linkしたnetworkから解決できる。
- autoregistrationを有効にしたlinkではVM record lifecycleを自動化できる。
- hub-spokeではcentral link topologyとprivate endpoint zone ownershipを決める。
Design guidance
- Private Endpoint問題の多くはrouteより先にDNSを疑う価値がある。FQDNの最終A/AAAAまで追う。
- public zone、privatelink zone、on-prem conditional forwarderを混ぜず、authorityを明確にする。
- network private化とresource public access disableを別checkとして扱う。
Operations checklist
- clientが利用するDNS serverを確認する。
- FQDNのCNAME/A/AAAA chainとPrivate DNS zone linkを確認する。
- route/NSGはresolved private IPを基準に確認する。
Common pitfalls
- Private Endpointを作っただけでDNSが自動的に全networkから解決できると思う。
- public zoneを誤ってprivate zoneで上書きする。
Azure CLI quick check
read-only確認を優先し、実環境のsubscription/resource名へ置換してください。
az network private-dns zone list -o tableVerification pattern
Control plane
resource state、association、policy、route/BGP configが期待通りかを確認。
resource state、association、policy、route/BGP configが期待通りかを確認。
Data plane
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
同一5-tupleまたは実application journeyで到達性・latency・security判定を実証。
Observability
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
diagnostic logs / flow logs / Network Watcherで実際の判定とpathを残す。
Rollback
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。
設定を戻した後のroute convergence、DNS cache、existing sessionまで確認。