Configurações de DNS do Firewall do Azure

Você pode configurar um servidor DNS personalizado e habilitar o proxy DNS do Firewall do Azure. Configure essas configurações ao implantar o firewall ou configure-as mais tarde na páginaConfigurações de DNS. Por padrão, o Firewall do Azure usa o DNS do Azure e o Proxy DNS é desabilitado.

Servidores DNS

Um servidor DNS mantém e resolve os nomes de domínio para endereços IP. Por padrão, o Firewall do Azure usa o DNS do Azure para resolução de nomes. A configuração doservidor DNSpermite que você configure seus próprios servidores DNS para a resolução de nomes do Firewall do Azure. Você pode configurar um único servidor ou diversos servidores. Se você configurar vários servidores DNS, o servidor usado será escolhido aleatoriamente. Você pode configurar um máximo de 15 servidores DNS no DNS personalizado.

Configurar os servidores DNS personalizados

az network firewall update \
    --name fwName \
    --resource-group fwRG \
    --dns-servers 10.1.0.4 10.1.0.5

$dnsServers = @("10.1.0.4", "10.1.0.5")
$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSServer = $dnsServers

$azFw | Set-AzFirewall

Proxy DNS

Você pode configurar o Firewall do Azure para atuar como um proxy do DNS. Um proxy DNS é um intermediário das solicitações de DNS das máquinas virtuais do cliente para um servidor DNS.

Se você quiser habilitar a filtragem do FQDN (nome de domínio totalmente qualificado) nas regras de rede, habilite o proxy DNS e atualize a configuração da máquina virtual para usar o firewall como um proxy DNS.

Se você habilitar a filtragem de FQDN em regras de rede, mas não configurar máquinas virtuais cliente para usar o Firewall do Azure como proxy DNS, as solicitações DNS desses clientes poderão ser resolvidas em momentos diferentes ou retornar resultados diferentes daqueles vistos pelo Firewall do Azure. Para garantir a resolução de DNS consistente e a filtragem de FQDN, configure as máquinas virtuais cliente para usar o Firewall do Azure como proxy DNS. Essa configuração garante que todas as solicitações DNS passem pelo firewall, evitando inconsistências.

Quando o Firewall do Azure for um proxy DNS, são possíveis dois tipos de função de cache:

• Cache Positivo:a resolução de DNS foi bem-sucedida. O firewall armazena essas respostas em cache de acordo com o TTL (vida útil) na resposta até um máximo de 1 hora.

• Cache Negativo: a resolução de DNS resulta em nenhuma resposta ou nenhuma resolução. O firewall armazena essas respostas em cache de acordo com o TTL na resposta até um máximo de 30 minutos.

O proxy de DNS armazena todos os endereços IP resolvidos dos FQDNs nas regras de rede. Como a melhor prática, use os FQDNs que resolvem um endereço IP.

Herança de política

As configurações DNS de política aplicadas a um firewall autônomo substituem as configurações DNS do firewall autônomo. Uma política filho herda todas as configurações DNS da política pai, mas pode substituir a política pai.

Por exemplo, para usar FQDNs na regra de rede, o proxy DNS deve ser habilitado. Mas se uma política pai não tem o proxy DNS habilitado, a política filho não dá suporte a FQDNs nas regras de rede, a menos que você substitua localmente essa configuração.

Configuração de Proxy de DNS

A configuração do proxy do DNS requer três etapas:

1. Habilite o proxy DNS nas configurações de DNS do Firewall do Azure.
2. Opcionalmente, configurar seu servidor DNS personalizado ou usar o padrão fornecido.
3. Configure o endereço IP privado do Firewall do Azure como um endereço DNS personalizado nas configurações do servidor DNS de rede virtual para direcionar o tráfego DNS para o Firewall do Azure.

az network vnet update \
    --name VNetName \
    --resource-group VNetRG \
    --dns-servers <firewall-private-IP>

az network firewall update \
    --name fwName \
    --resource-group fwRG \
    --enable-dns-proxy true

$dnsServers = @("<firewall-private-IP>")
$VNet = Get-AzVirtualNetwork -Name "VNetName" -ResourceGroupName "VNetRG"
$VNet.DhcpOptions.DnsServers = $dnsServers

$VNet | Set-AzVirtualNetwork

$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSEnableProxy = $true

$azFw | Set-AzFirewall

Failover de alta disponibilidade

O proxy DNS tem um mecanismo de failover que para de usar um servidor não íntegro detectado e usa outro servidor DNS disponível.

Se todos os servidores DNS não estão disponíveis, não há fallback para outro servidor DNS.

Verificações de integridade

O proxy DNS executa loops de verificação de saúde de cinco segundos, desde que o relatório de servidores upstream não seja responsabilidade. As verificações de integridade são uma consulta DNS recursiva para o servidor de nomes raiz. Depois que um servidor upstream é considerado íntegro, o firewall interrompe as verificações de saúde até o próximo erro. Quando um proxy íntegro retorna um erro, o firewall seleciona outro servidor DNS na lista.

Firewall do Azure com zonas DNS privadas do Azure

O Firewall do Azure dá suporte à integração com zonas DNS privadas do Azure, permitindo que ele resolva nomes de domínio privados. Quando você associa uma zona DNS privada à rede virtual em que o Firewall do Azure é implantado, o firewall pode resolver nomes definidos nessa zona.

Veja a seguir uma lista não completa de domínios de propriedade da Microsoft que não devem ser substituídos, pois o tráfego de gerenciamento do Firewall do Azure pode exigir acesso a eles:

• azclient.ms
• azure.com
• cloudapp.net
• core.windows.net
• login.microsoftonline.com
• microsoft.com
• msidentity.com
• trafficmanager.net
• vault.azure.net
• windows.net
• management.azure.com
• table.core.windows.net
• store.core.windows.net
• azure-api.net
• microsoftmetrics.com
• time.windows.com
• servicebus.windows.net
• blob.storage.azure.net
• blob.core.windows.net
• arm-msedge.net
• cloudapp.azure.com
• monitoring.core.windows.net

Por exemplo, o tráfego de gerenciamento do Firewall do Azure requer acesso a contas de armazenamento usando o domínio blob.core.windows.net. Se você criar uma zona DNS privada para *.blob.core.windows.net e associá-la à rede virtual do firewall, você substituirá a resolução DNS padrão e interromperá as operações essenciais do firewall. Para evitar esse problema, não substitua o domínio padrão. Em vez disso, crie uma zona DNS privada para um subdomínio exclusivo, como *.<unique-domain-name>.blob.core.windows.net.

Como alternativa, para impedir que zonas DNS privadas afetem o Firewall do Azure, implante os serviços que exigem zonas DNS privadas em uma rede virtual separada. Dessa forma, as zonas DNS privadas são associadas apenas à rede virtual de serviço e não afetam a resolução de DNS para o Firewall do Azure.

Próximas etapas

• Detalhes do Proxy de DNS do Firewall do Azure
• A filtragem do FQDN nas regras de rede