企業がオンプレミスDNSサーバー（ActiveDirectoryドメイン: corp.example.local）とAWS VPC（Route 53プライベートホストゾーン: internal.example.aws）を

Question

企業がオンプレミスDNSサーバー（ActiveDirectoryドメイン: corp.example.local）とAWS VPC（Route 53プライベートホストゾーン: internal.example.aws）をDirect Connectで接続している。AWSのEC2インスタンスからcorp.example.localを解決し、オンプレミスホストからinternal.example.awsを解決できる双方向ハイブリッドDNSを実装する正しい構成はどれか。

Accepted Answer

正解: Route 53 Resolverのインバウンドエンドポイントをプライベートサブネットに作成し、アウトバウンドエンドポイントでcorp.example.localをオンプレDNSへ転送するルールを設定する。Route 53 ResolverのインバウンドエンドポイントはオンプレからAWSへのクエリを受け付け、アウトバウンドエンドポイントは条件付き転送ルールでオンプレDNSへ転送し双方向解決を実現する。

Answer

Route 53 Resolverのアウトバウンドエンドポイントのみをプライベートサブネットに作成し、オンプレDNSサーバーからはVPC内デフォルトDNSリゾルバー（VPC CIDR+2アドレス）にクエリを直接送信するよう構成する — Route 53 Resolverのアウトバウンドエンドポイントのみでは、オンプレDNSからVPC+2アドレスへ外部から到達できないためオンプレ→AWSの解決パスが成立しない。

Answer

VPCのDHCPオプションセットのDNSサーバーアドレスをオンプレDNSサーバーIPに変更し、オンプレDNS側でinternal.example.awsのクエリをRoute 53へフォワードする — VPCのDHCPオプションセットのDNSをオンプレサーバーIPに変更するとEC2のAWS内部DNS解決（Route 53プライベートホストゾーン等）が機能しなくなる。

Answer

VPCのDHCPオプションセットのDNSサーバーアドレスをオンプレDNSサーバーIPに変更し、オンプレDNS側でAWSのゾーンデータをAXFRゾーン転送で定期同期する — VPCのDHCPオプションセットのDNS変更でAWS内部DNS解決が失われ、かつRoute 53プライベートホストゾーンはAXFRゾーン転送をサポートしないため同期もできない。

解説