AWS 用 Unbound 解析 Private DNS

shazi7804

7 年前

因為本身 AWS 環境需要解析在 On-Premises 的 DNS record，所以在 AWS 上自架了 DNS resolver 來解析，而不是用 AWS 本身的 DNS Server。

目前的環境是在各個 Link Account 建立自己的 DNS Resolver，去跟內部的 DNS Slave / Master 問 record。

在這種情境下 Internet / On-Premises 的 DNS record 都沒問題，但是 AWS Only 的 record 就需要特別處置 …，最直接遇到的例子就是 Route 53 提供的 Private DNS for VPC，這種只有在 VPC 內才解的到的 DNS record 就沒辦法透過 DNS Slave / Master 取得。

AWS 的 DNS 我採用 Unbound 來當 resolver，詳細設定可以參考「Unbound 取代 Bind 拿來當 DNS resolver」

在這篇遇到的問題是 Unbound 在 forwarded AWS Private DNS 的時候都會問不到，但問其他 DNS record 都正常回應。

將 verbosity 條到 5 後查看 debug log，發現正常的 query 和 Private DNS 的 query 差在 Private DNS 有使用 DNSSEC。

在查了一些文件後發現 Unbound 預設並不支援 DNSSEC，文件中提到可以使用 module-config 來打開對 DNSSEC 的支援。

Setting this to “validator iterator” will turn on DNSSEC validation.

實際設定：

server:
    access-control: 0.0.0.0/0 allow
    interface: 0.0.0.0
    interface: ::0
    module-config: "iterator"

之後就可以對有 DNSSEC 的 domain 進行 forwarded !!

Ref：Set up private, internal DNS for your VPC using Route 53 and unbound

分享此文：