オンプレからAWSのDNSを引く高可用性な構成

コンニチハ、千葉です。

オンプレ+AWSのハイブリッドな構成で、AWS側のDNS引きたいということがあります。

例えば、ELBやRDSです。オンプレ側がインターネット接続可能でパブリックなDNSを引く場合はあまり問題になりません。が、オンプレ側がパブリックDNSを引けない場合は困りますね。

この場合、AWSのDNSをを利用したくなるのですが残念ながらオンプレからAWSのDNSを直接引くことはできません。

構成

そこで、直接引くのではなくAWS上にDNSフォワーダーを立て、オンプレのサーバではこちらを参照するように構成します。

自前で立てるのではなく、AWS Directory Serviceを使えばマネージドなので運用が楽になります。参考

ただ、今回はオンプレからDirect Connect(またはVPC、以下略)経由にてS3をアクセスする構成を考えており、今回立てるDNSフォワーダー上にhttpプロキシも同居させる構成を考えています。

そのため、AWS Directory Serviceは使わずに自前でDNSフォワーダーを立てます。DNSフォワーダーにはUnboundを使います。オンプレ側のDNSサーバはBINDとします。

また、Direct Connect環境がないため、検証は擬似的にVPCをピアリングすることで構成します。

※本記事ではVPCのピアリングやEC2作成、セキュリティグループの構成については省略しす ※オンプレ側の内部DNSの変更したくない！という場合は、クライアント側のresolv.confにAWS側のDNSフォワードサーバを指定することも可能です

DNSフォワードの構成

DNSフォワーダを構成します。

以下のスクリプトを流すことで実施します。

#!/bin/bash
# Set the variables for your environment
vpc_dns=10.88.135.2
onprem_domain=example.local
onprem_dns=192.0.2.2

# Install updates and dependencies
yum update -y
yum install -y gcc openssl-devel expat-devel
# Get, build, and install latest Unbound
wget https://unbound.net/downloads/unbound-latest.tar.gz
tar -zxvf unbound-latest.tar.gz
cd unbound-*
./configure && make && make install
# Add run-time user
useradd unbound

# Write Unbound configuration file with values from variables
cat << EOF | tee /usr/local/etc/unbound/unbound.conf
server:
        interface: 0.0.0.0
        access-control: 0.0.0.0/0 allow
forward-zone:
        name: "."
        forward-addr: ${vpc_dns}
EOF

# Install Unbound as service and run
cat << EOF | tee /etc/init/unbound.conf
start on runlevel [2345]
exec /usr/local/sbin/unbound
EOF

start unbound

今回は冗長構成のため、これを２台構成します。

オンプレDNSの構成

既存のオンプレDNSを想定して、特定のドメインのみAWSへフォワードする構成にします。

また、DNSサーバとしてBINDをインストールします。今回はchiba.localドメインを、DNSフォワーダーへ転送するように設定します。

# yum install bind -y
# vi /etc/named.conf

### DNSSECを無効化
< 	dnssec-enable yes;
< 	dnssec-validation yes;
---
> 	dnssec-enable no;
> 	dnssec-validation no;

### chiba.localドメインをDNSフォワーダーへ転送する
> zone "chiba.local" {
> 	type forward;
> 	forward only;
> 	forwarders {
> 		XX.XX.XX.XX;
> 		XX.XX.XX.XX;
> 	};

# service named start
# chkconfig named on

DNSクライアントの構成

resolv.confの設定をします。

# vi /etc/sysconfig/network-scripts/ifcfg-eth0
## yesをnoへ
PEERDNS=no

# vi /etc/resolv.conf
## オンプレDNSのプライベートIPを指定
nameserver XX.XX.XX.XX

動作確認

動作確認用に、Route53にてプライベートホストゾーン「chiba.local」を構成しVPC2:AWS環境にアタッチします。

これで、VPC1:オンプレ環境からはchiba.localは名前解決できませんが、DNSフォワーダーを経由することで名前解決できるようになります。

では、やってみます。まずは、DNSクライアントサーバより、オンプレ環境のDNSサーバに問い合わせを行います。

# nslookup ec2-proxy-1.chiba.local 192.168.0.2
Server:		192.168.0.2
Address:	192.168.0.2#53

** server can't find ec2-proxy-1.chiba.local: NXDOMAIN

引くことはできません。

では、DNSフォワーダ経由で引いてみます。

# nslookup ec2-proxy-1.chiba.local 192.168.0.29
Server:		192.168.0.29
Address:	192.168.0.29#53

Non-authoritative answer:
Name:	ec2-proxy-1.chiba.local
Address: 192.169.0.48

引くことができました。これで、問題なくAWS環境のRoute53プライベートホストゾーンDNSを引けていることが確認できました。

では、今度はAWS環境のDNSフォワーダーを停止しても引けるか確認してみます。

# nslookup ec2-proxy-1.chiba.local 192.168.0.29
Server:		192.168.0.29
Address:	192.168.0.29#53

Non-authoritative answer:
Name:	ec2-proxy-1.chiba.local
Address: 192.169.0.48

問題なく引くことができました。(もちろん逆を停止しても引けました)

まとめ

これで、オンプレ側からAWSのDNSを引くことができました。また、Route53との連携もできるのでELBのALIAS等と組み合わせると、拡張性が高い構成が組めます。今回はEC2上にフォワーダーを構築しましたが、AWS Directory Serviceを利用することでメンテナンスフリーな構成にすることもできます。