EC2はVPC Resolverを使い、corp.example.comだけをオンプレミスの権威DNSへ転送する。Do53のTCP/UDP 53を利用し、DoHは対象外である。DXまたはVPN経路、NACL、オンプレFWと戻り経路はendpointから両プロトコルで通信できるよう準備済みである。
outbound endpoint用に2つのAZのIPを用意できる。転送先DNSのIPは10.50.0.53と10.50.1.53で、対象VPCへのrule関連付けも行う。DNSの転送ループと競合ルールはなく、他の名前は通常のVPC Resolverで解決する。
必要なendpoint・rule・SGの組み合わせはどれか。
outbound endpointと限定したFORWARD ruleを関連付け、オンプレDNSへのDo53を両プロトコルで許可する。
詳細解説
ruleを作っただけでは利用するVPCへの関連付けにならない。対象VPC、利用endpoint、転送先とドメインの設定を照合する。
inboundはハイブリッド側からVPC Resolverへ入る問い合わせの経路であり、本問のVPCから外への転送を単独で構成しない。
Do53はTCPも必要になる。UDPの短い応答が成功しただけでTCPを含む問い合わせが正常とは判断せず、両プロトコルを許可して確認する。
VPCから外へ送る方向のendpointと、対象ドメイン・転送先・VPC関連付けが必要である。TCPも含むDo53を許可し、準備済みの経路で問い合わせる。
公式資料で確認する
以下の項目を公式資料の記述と照合して確認します。
承認された検証ドメインでendpoint IPとオンプレDNS target IPを区別し、ruleのsuffix・VPC関連付け・SG TCP/UDP 53・往復経路を確認する。VPC内からUDPとTCPのDNS問い合わせを試し、オンプレDNSログと応答を照合する。
参考にした公式資料
確認できる内容
corp.example.comの問い合わせは指定オンプレDNSへ届き、UDP/TCPで期待する応答を得る。他の名前を一律に転送したとはせず、endpointのVPC内IPをオンプレDNSのtarget IPと取り違えない。
理解のポイント
- Resolver outbound endpoint
- FORWARD rule
- Do53
確認時の注意
- 確認環境: AWS公式SOA-C03試験ガイドとAWS公式ドキュメントの確認
- AWS公式SOA-C03試験ガイドと各サービスの公式ドキュメントを確認する。
基礎のおさらい
endpointの方向とIPの役割を分ける
outbound endpointはVPCからネットワーク外のDNSへ送る。本問は異なるAZにIPを用意し、VPC内のendpoint送信元IPとオンプレDNSの転送先IPを区別する。inbound endpointは逆方向の問い合わせに使う。
ruleを対象VPCへ関連付ける
corp.example.comのFORWARD ruleにendpointとオンプレDNSのtarget IPを設定し、利用するVPCへ関連付ける。作成だけで全VPCへ適用されるわけではなく、必要なsuffixだけを転送する。
Do53のTCP/UDPと往復を確認する
outbound endpointのSGは転送先DNSへのTCP/UDP 53送信を許可する。経路・NACL・オンプレFWと戻りも必要で、endpointだけでは専用接続を作らない。DoH等の別方式と混同せず、実UDP/TCP応答と転送先ログを確認する。