AD・DNSサーバ冗長環境（2台）でのDNSフォワーダ設定について

Question

AD・DNSサーバを冗長化（2台構成：Azure上に1台、オンプレミスサーバ上に1台）しており、外部の名前解決のためDNSフォワーダ先を設定しているのですが、それぞれ別で設定しています。

Azure上のADDNSサーバのDNSフォワーダ設定はAzure既定のDNSサーバ（168.63.129.16）を設定しており、オンプレミスサーバのADDNSサーバのDNSフォワーダ設定はプロバイダが提供するアドレスを設定しています。

上記構成ですが、ナンセンスな構成なのでしょうか。Azure上のADDNSサーバのDNSフォワーダ設定もルートさせてプロバイダが提供するアドレスにした方がベストなのでしょうか。

Answer 1

Azure の Vnet に接続されているデバイスの DNS サーバーとして Azure 上のドメインコントローラーを指定し、オンプレミスのネットワークに接続しているデバイスの DNS サーバーはオンプレミスのドメインコントローラーを指定している構成で、Azure 上のドメインコントローラーの DNS サーバーのフォワーダーと、オンプレミスのドメインコントローラーの DNS サーバーのフォワーダーをあえて別にしているということですね。

Azure既定のDNSサーバ（168.63.129.16）でもプロバイダが提供する DNS サーバーでも同じように名前解決ができるのであれば（というか普通は同じようにできるはず）その構成で問題ないかと思います。この方が Azure Vnet からの DNS トラフィックがオンプレミス側に流れないので、トラフィックの節約にもなりますね。

Answer 2

チャブーンです。

この件ですが、問題解決済みとは思うのですが、追加コメントしておいたほうがいいかしらと。

状況としては「Azure既定のDNSサーバー」と「ISPのDNSサーバー」で同じ名前解決ができれば、問題ありません。ですが、状況見合いでそうでないケースがあります。

• Azure Vnet内のIaaSやプライベートエンドポイントのエンドポイントの名前解決はAzure既定のDNSサーバー(あるいはAzure DNS Private Resolver)しかできません。ISPのDNSサーバーにはできません。なのでこの名前解決が必要であれば、オンプレミス側もDNSフォワーダーかPrivate Resolverを構成するしかありません。
• ISPのDNSサーバーはリソース保護やオープンDNS(キャッシュ)サーバーの問題を避けるため、自身が配布しているIPアドレス(ネットワーク)以外の場所からはDNSクエリーを受け付けません。なのでISPのDNSサーバーにそろえる、といったことは技術的にムリ、と言えると思います。

上記の状況から、「Azure Vnetの名前解決もできる」方向に倒しておいたほうが、無用なトラブルは避けられると思います。もちろん本質的には要件しだい、になりますが、「謎のエラー」は避けられる傾向が期待できます。