Filtern und Anzeigen von DNS-Datenverkehr

Um eine DNS-Resolver-Richtlinie zu erstellen, indem Sie das Azure-Portal verwenden:

1. Auf der Startseite des Azure-Portals suchen und wählen Sie DNS Resolver Policies. Sie können auch die DNS Resolver Policy im Azure Marketplace auswählen.

2. Wählen Sie + Erstellen aus, um mit der Erstellung einer neuen Richtlinie zu beginnen.

3. Wählen Sie auf der Registerkarte Allgemeine Informationen das Abonnement und die Ressourcengruppe aus, oder erstellen Sie eine neue Ressourcengruppe.

4. Geben Sie neben Instanzname einen Namen für die DNS-Resolver-Richtlinie ein und wählen Sie dann die Region aus, in der die Resolver-Richtlinie angewendet wird.

   Hinweis

   Du kannst eine DNS-Resolver-Richtlinie nur auf VNets in derselben Region wie die Resolver-Policy anwenden.

   

5. Wählen Sie Weiter: VNet-Verknüpfungen und dann + Hinzufügen aus.

6. VNets in derselben Region wie die Resolver-Policy werden angezeigt. Wählen Sie mindestens ein verfügbares VNet und dann Hinzufügen aus. Du kannst kein VNet wählen, das bereits mit einer anderen Resolver-Policy verknüpft ist. Im folgenden Beispiel sind zwei VNets mit einer Resolver-Policy verknüpft, sodass zwei VNets zur Auswahl verfügbar sind.

   

7. Die ausgewählten VNets werden angezeigt. Wenn gewünscht, können Sie VNets aus der Liste entfernen, bevor Sie VNet-Verknüpfungen erstellen.

   

   Hinweis

   Es werden VNet-Verknüpfungen für alle in der Liste angezeigten VNets unabhängig davon erstellt, ob sie ausgewählt sind. Verwenden Sie Kontrollkästchen, um VNets zum Entfernen aus der Liste auszuwählen.

8. Wählen Sie Überprüfen und erstellen und anschließend Erstellen aus. Dieser Schritt überspringt Next: DNS Traffic Rules, aber du kannst jetzt auch Verkehrsregeln erstellen. In diesem Leitfaden erstellen Sie Verkehrsregeln und DNS-Domainlisten und wenden sie später auf die DNS-Resolver-Richtlinie an.

Erstellen eines Log Analytics-Arbeitsbereichs

Überspringen Sie diesen Abschnitt, wenn Sie bereits über einen Log Analytics-Arbeitsbereich verfügen, den Sie verwenden möchten.

Folgendermaßen erstellen Sie einen Log Analytics-Arbeitsbereichs mithilfe des Azure-Portals:

1. Suchen Sie auf der Startseite des Azure-Portals nach Log Analytics-Arbeitsbereiche, und wählen Sie diese Option aus. Sie können auch Log Analytics-Arbeitsbereich im Azure Marketplace auswählen.

2. Wählen Sie + Erstellen aus, um mit der Erstellung eines neuen Arbeitsbereichs zu beginnen.

3. Wählen Sie auf der Registerkarte Allgemeine Informationen das Abonnement und die Ressourcengruppe aus, oder erstellen Sie eine neue Ressourcengruppe.

4. Geben Sie neben Name einen Namen für den Arbeitsbereich ein, und wählen Sie dann die Region für ihn aus.

   

5. Wählen Sie Überprüfen und erstellen und anschließend Erstellen aus.

Konfigurieren von Diagnoseeinstellungen

Nachdem Sie einen Log Analytics-Arbeitsbereich erstellt haben, konfigurieren Sie die Diagnoseeinstellungen in Ihrer Resolver-Richtlinie so, dass sie diesen Arbeitsbereich verwenden.

Folgendermaßen konfigurieren Sie die Diagnoseeinstellungen:

1. Wählen Sie die von Ihnen erstellte DNS-Resolver-Policy aus (in diesem Beispiel myeast-secpol ).

2. Wählen Sie unter Überwachung die Option Diagnoseeinstellungen aus.

3. Klicken Sie auf Diagnoseeinstellung hinzufügen.

4. Geben Sie neben Name der Diagnoseeinstellung einen Namen für die Protokolle ein, die Sie hier sammeln.

5. Wählen Sie unter Protokolle und unter Metriken „alle“ Protokolle und Metriken aus.

6. Wählen Sie unter Zieldetails die Option An Log Analytics-Arbeitsbereich senden und dann das Abonnement und den von Ihnen erstellten Arbeitsbereich aus.

7. Wählen Sie Speichern aus. Siehe folgendes Beispiel.

   

Erstellen einer DNS-Domänenliste

Folgendermaßen erstellen Sie eine DNS-Domänenliste mithilfe des Azure-Portals:

1. Suchen Sie auf der Startseite des Azure-Portals nach DNS-Domänenlisten, und wählen Sie die Option aus.

2. Wählen Sie + Erstellen aus, um mit der Erstellung einer neuen Domänenliste zu beginnen.

3. Wählen Sie auf der Registerkarte Allgemeine Informationen das Abonnement und die Ressourcengruppe aus, oder erstellen Sie eine neue Ressourcengruppe.

4. Geben Sie neben Domainlistenname einen Namen für die Domainliste ein und wählen Sie dann die Region für die Liste.

   Hinweis

   Resolver-Richtlinien erfordern Domainlisten in derselben Region.

5. Wählen Sie Weiter: DNS-Domänen aus.

6. Geben Sie auf der Registerkarte DNS-Domänen manuell Domänennamen ein, oder importieren Sie sie aus einer CSV-Datei (Comma Separated Value, durch Trennzeichen getrennte Datei).

   

7. Wenn Sie die Eingabe der Domänennamen abgeschlossen haben, wählen Sie Überprüfen + erstellen und dann Erstellen aus.

Wiederholen Sie diesen Abschnitt, um bei Bedarf weitere Domänenlisten zu erstellen. Jede Domänenliste kann einer Datenverkehrsregel zugeordnet werden, die eine von drei Aktionen enthält:

• Zulassen: Zulassen und Protokollieren der DNS-Abfrage.
• Blockieren: Blockieren der DNS-Abfrage und Protokollieren der Blockieren-Aktion.
• Warnen: Zulassen der DNS-Abfrage und Protokollieren einer Warnung.

Es können mehrere Domänenlisten dynamisch zu einer einzelnen DNS-Datenverkehrsregel hinzugefügt oder aus ihr entfernt werden.

Konfigurieren von DNS-Datenverkehrsregeln

Jetzt, wo du eine DNS-Domainliste hast, konfiguriere die Diagnoseeinstellungen in deiner Resolver-Richtlinie, um diesen Arbeitsbereich zu nutzen.

Folgendermaßen konfigurieren Sie die Diagnoseeinstellungen:

1. Wählen Sie die von Ihnen erstellte DNS-Resolver-Policy aus (in diesem Beispiel myeast-secpol ).

2. Wählen Sie unter Einstellungen die Option DNS-Datenverkehrsregeln aus.

3. Wählen Sie + Hinzufügen. Der Bereich DNS-Datenverkehrsregel hinzufügen wird geöffnet.

4. Geben Sie neben Priorität einen Wert zwischen 100 und 65.000 ein. Regeln mit niedrigeren Zahlen haben eine höhere Priorität.

5. Geben Sie neben Name der Regel einen Namen für die Regel ein.

6. Wählen Sie neben DNS-Domänenlisten die Domänenlisten aus, die in dieser Regel verwendet werden sollen.

7. Wählen Sie neben DatenverkehrsaktionZulassen, Blockierenoder Warnen basierend auf dem Aktionstyp aus, der für die ausgewählten Domänen gelten soll. In diesem Beispiel wird Zulassen ausgewählt.

8. Belassen Sie den standardmäßigen Regelstatus auf Aktiviert , und wählen Sie Speichern aus.

   

9. Aktualisieren Sie die Ansicht, um zu überprüfen, ob die Regel erfolgreich hinzugefügt wurde. Sie können Datenverkehrsaktionen, DNS-Domänenlisten sowie die Priorität und den Status der Regel bearbeiten.

   

Sicherer DNS-Datenverkehr mit Threat-Intelligence-Feed

Der Bedrohungs-Intelligence-Feed ist eine vollständig verwaltete Domainliste, die Microsoft im Hintergrund kontinuierlich aktualisiert. Innerhalb der DNS-Resolver-Richtlinie sollten Sie sie wie jede andere Standard-Domainliste behandeln. Verwenden Sie dasselbe Konfigurationsmodell für Priorität und für die gewählte Aktion (zulassen, blockieren oder alarmieren).

Wählen Sie den Bedrohungsintelligenz-Feed, indem Sie eine neue DNS-Verkehrsregel hinzufügen. Konfiguriere die Regel mit der Aktion, die du anwenden möchtest, und deren jeweiliger Priorität.

Verknüpfen Sie den Bedrohungsintelligenz-Feed mit einer DNS-Verkehrsregel, indem Sie Azure DNS Bedrohungsintel auswählen:

Konfigurieren Sie die Aktion und Priorität:

Anzeigen und Testen von DNS-Protokollen

1. Gehe zu deiner DNS-Resolver-Richtlinie. Wählen Sie unter Überwachung die Option Diagnoseeinstellungen aus.
2. Wählen Sie den Log Analytics-Arbeitsbereich aus, den Sie zuvor mit der Resolver-Richtlinie verknüpft haben (in diesem Beispiel secpol-loganalytics).
3. Wählen Sie auf der linken Seite Protokolle aus.
4. Um DNS-Abfragen von einem virtuellen Computer mit der IP-Adresse 10.40.40.4 in derselben Region anzuzeigen, führen Sie die folgende Abfrage aus:

DNSQueryLogs
| where SourceIpAddress contains "10.40.40.4"
| limit 1000

Sehen Sie sich folgendes Beispiel an:

Denken Sie daran, dass die Datenverkehrsregel, die „contoso.com“ enthält, für Abfragen auf Zulassen festgelegt wurde. Die Abfrage vom virtuellen Computer führt zu einer erfolgreichen Antwort:

C:\>dig db.sec.contoso.com +short
10.0.1.2

Wenn Sie die Abfragedetails in der Protokollanalyse erweitern, werden beispielsweise folgende Daten angezeigt:

• OperationName: ERFOLGREICHE_ANTWORT
• Region: East US
• QueryName: db.sec.contoso.com
• Abfragetyp: A
• Quell-IP-Adresse: 10.40.40.4
• Auflösungspfad: PrivateDnsResolution
• ResolverPolicyRuleAction: Erlauben

Wenn die Datenverkehrsregel bearbeitet und auf das Blockieren von „contoso.com“-Abfragen festgelegt wird, führt die Abfrage vom virtuellen Computer zu einer Fehlerantwort. Achten Sie darauf, Speichern auszuwählen, wenn Sie die Komponenten einer Regel ändern.

Diese Änderung führt zu einer fehlgeschlagenen Abfrage:

C:\>dig @168.63.129.16 db.sec.contoso.com
; <<>> DiG 9.18.33-1~deb12u2-Debian <<>> db.sec.contoso.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26872
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 1224
; COOKIE: 336258f5985121ba (echoed)
;; QUESTION SECTION:
; db.sec.contoso.com. IN  A

;; ANSWER SECTION:
db.sec.contoso.com. 1006632960 IN CNAME blockpolicy.azuredns.invalid.

;; AUTHORITY SECTION:
blockpolicy.azuredns.invalid. 60 IN     SOA     ns1.azure-dns.com. support.azure.com. 1000 3600 600 1800 60

;; Query time: 0 msec
;; SERVER: 168.63.129.16#53(168.63.129.16) (UDP)
;; WHEN: Mon Sep 08 11:06:59 UTC 2025
;; MSG SIZE  rcvd: 183

Die fehlgeschlagene Abfrage wird in der Protokollanalyse aufgezeichnet:

Richten Sie ein lokales PowerShell-Repository ein, und installieren Sie das PowerShell-Modul „Az.DnsResolver“. Dies ist nur erforderlich, wenn Sie nicht Cloud Shell verwenden.

1. Erstellen Sie einen neuen Ordner auf Ihrem Datenträger, der als lokales PowerShell-Repository fungiert. Verwenden Sie in diesem Beispiel C:\bin\PSRepo.

2. Laden Sie Az.DnsResolver.0.2.6.nupkg in dieses Verzeichnis herunter.

3. Richten Sie Ihr lokales Repository ein, indem Sie den folgenden Befehl ausführen:

   # Register the repository
   Register-PSRepository -Name LocalPSRepo -SourceLocation 'C:\bin\PSRepo' -ScriptSourceLocation 'C:\bin\PSRepo' -InstallationPolicy Trusted
   
   # Install the Az.DnsResolver module
   Install-Module -Name Az.DnsResolver -RequiredVersion 0.2.6 -SkipPublisherCheck
   
   # If you already installed Az.DnsResolver, update your version to 0.2.6
   Update-Module -Name Az.DnsResolver
   
   # Confirm that the Az.DnsResolver module was installed properly
   Get-InstalledModule -Name Az.DnsResolver
   

4. Festlegen des Abonnementkontexts

   # Connect PowerShell to Azure cloud
   Connect-AzAccount -Environment AzureCloud
   
   # Set your default subscription
   Select-AzSubscription -SubscriptionObject (Get-AzSubscription -SubscriptionId <your-sub-id>)
   

5. Erstellen Sie eine DNS-Resolver-Richtlinie mit PowerShell.

   $ErrorActionPreference = "Stop"
   
   ################################################################
   # Configure resource names and locations
   ################################################################
   
   $resourceNumber = 1 # Customize this if needed
   $region = "centralus" # Change this region to your preference
   if ($env:username) {$name = "$($env:username)"} else {$name = "$($env:USER)"}  # The environment variable is different in Cloud Shell vs local PowerShell
   $nameSuffix = "test-$($region)-$($name)-resolverpolicytest$($resourceNumber)-test"
   $resourceGroupName = "rg-$($nameSuffix)"
   $virtualNetworkName = "vnet-$($nameSuffix)"
   $resolverPolicyName = "dnsresolverpolicy-$($nameSuffix)"
   $domainListName = "domainlist-$($nameSuffix)"
   $securityRuleName = "securityrule-$($nameSuffix)"
   $resolverPolicyLinkName = "dnsresolverpolicylink"
   $storageAccountName = "stor$($name.ToLower())"  # Customize this, taking care that the name is not too long
   $storageAccountName = $storageAccountName.Substring(0, [Math]::Min(24, $storageAccountName.Length)) # Storage account names must be 3-24 characters long
   $diagnosticSettingName = "diagnosticsetting-$($nameSuffix)"
   $vnetId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Network/virtualNetworks/$virtualNetworkName"
   
   ################################################################
   # Create resource group, virtual network, and storage account
   ################################################################
   
   Write-Host "Creating resource group"
   $rg = New-AzResourceGroup -Name $resourceGroupName -Location $region
   Write-Host ($rg | ConvertTo-Json -Depth 64)
   
   Write-Host "Creating virtual network"
   $defaultSubnet = New-AzVirtualNetworkSubnetConfig -Name "default" -AddressPrefix "10.$resourceNumber.0.0/24"
   $vnet = New-AzVirtualNetwork -Name $virtualNetworkName -ResourceGroupName $resourceGroupName -Location $region -AddressPrefix "10.$resourceNumber.0.0/16" -Subnet $defaultSubnet
   Write-Host ($vnet | ConvertTo-Json -Depth 64)
   
   Write-Host "Creating storage account"
   $storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroupName -Name $storageAccountName -Location $region -SkuName Standard_GRS
   Write-Host $storageAccount.ToString()
   
   ################################
   # Create DNS resolver policy
   ################################
   
   Write-Host "Creating DNS resolver policy"
   $resolverPolicy = New-AzDnsResolverPolicy -Location $region -ResourceGroupName $resourceGroupName -Name $resolverPolicyName
   Write-Host $resolverPolicy.ToJsonString()
   
   Write-Host "Creating DNS resolver policy virtual network link"
   $link = New-AzDnsResolverPolicyVirtualNetworkLink -Location $region -ResourceGroupName $resourceGroupName -DnsResolverPolicyName $resolverPolicyName -Name $resolverPolicyLinkName -VirtualNetworkId $vnetId
   Write-Host $link.ToJsonString()
   
   $log = New-AzDiagnosticSettingLogSettingsObject -Enabled $true -Category DnsResponse
   
   Write-Host "Creating diagnostic setting"
   $diagnosticSetting = New-AzDiagnosticSetting -Name $diagnosticSettingName -ResourceId  $resolverPolicy.id -Log $log -StorageAccountId $storageAccount.id
   Write-Host $diagnosticSetting.ToJsonString()
   
   Write-Host "Creating domain list"
   $domainList = New-AzDnsResolverDomainList -Location $region -ResourceGroupName $resourceGroupName -Name $domainListName -Domain @("contoso.com.", "adatum.com.")
   Write-Host $domainList.ToJsonString()
   
   Write-Host "Creating DNS resolver policy rule"
   $rule = New-AzDnsResolverPolicyDnsSecurityRule -ResourceGroupName $resourceGroupName -Name $securityRuleName -DnsResolverDomainList @{id = $domainList.Id;} -DnsSecurityRuleState "Enabled" -ActionType "Block" -ActionBlockResponseCode "SERVFAIL" -Priority 100 -DnsResolverPolicyName $resolverPolicyName -Location $region
   Write-Host $rule.ToJsonString()
   

6. Optional: Aktualisieren Sie die DNS-Resolverrichtlinien mit neuen Werten.

   ################################
   # Update DNS resolver policy
   ################################
   
   Write-Host "Updating DNS resolver policy"
   $resolverPolicy = Update-AzDnsResolverPolicy -ResourceGroupName $resourceGroupName -Name $resolverPolicyName -Tag @{"key0" = "value0"}
   Write-Host $resolverPolicy.ToJsonString()
   
   Write-Host "Updating DNS resolver policy virtual network link"
   $link = Update-AzDnsResolverPolicyVirtualNetworkLink -ResourceGroupName $resourceGroupName -DnsResolverPolicyName $resolverPolicyName -Name $resolverPolicyLinkName -Tag @{"key1" = "value1"}
   Write-Host $link.ToJsonString()
   
   $log = New-AzDiagnosticSettingLogSettingsObject -Enabled $false -Category DnsResponse
   
   Write-Host "Updating diagnostic setting by disabling log category"
   $diagnosticSetting = New-AzDiagnosticSetting -Name $diagnosticSettingName -ResourceId  $resolverPolicy.id -Log $log -StorageAccountId $storageAccount.id
   Write-Host $diagnosticSetting.ToJsonString()
   
   Write-Host "Updating domain list"
   $domainList = Update-AzDnsResolverDomainList -ResourceGroupName $resourceGroupName -Name $domainListName -Tag @{"key2" = "value2"}
   Write-Host $domainList.ToJsonString()
   
   Write-Host "Updating DNS resolver policy rule"
   $rule = Update-AzDnsResolverPolicyDnsSecurityRule -ResourceGroupName $resourceGroupName -Name $securityRuleName -DnsResolverDomainList @{id = $domainList.Id;} -DnsResolverPolicyName $resolverPolicyName
   Write-Host $rule.ToJsonString()
   

7. Überprüfen Sie die Konfiguration der DNS-Resolver-Richtlinien.

   ################################
   # Get DNS resolver policy
   ################################
   
   Write-Host "Getting DNS resolver policy"
   $resolverPolicy = Get-AzDnsResolverPolicy -ResourceGroupName $resourceGroupName -Name $resolverPolicyName
   Write-Host $resolverPolicy.ToJsonString()
   
   Write-Host "Getting DNS resolver policy virtual network link"
   $link = Get-AzDnsResolverPolicyVirtualNetworkLink -ResourceGroupName $resourceGroupName -DnsResolverPolicyName $resolverPolicyName -Name $resolverPolicyLinkName
   Write-Host $link.ToJsonString()
   
   Write-Host "Getting diagnostic setting"
   $diagnosticSetting = Get-AzDiagnosticSetting -ResourceId $resolverPolicy.id
   Write-Host $diagnosticSetting.ToJsonString()
   
   Write-Host "Getting domain list"
   $domainList = Get-AzDnsResolverDomainList -ResourceGroupName $resourceGroupName -Name $domainListName
   Write-Host $rule.ToJsonString()
   
   Write-Host "Getting DNS resolver policy rule"
   $rule = Get-AzDnsResolverPolicyDnsSecurityRule -ResourceGroupName $resourceGroupName -Name $securityRuleName -DnsResolverPolicyName $resolverPolicyName
   Write-Host $rule.ToJsonString()
   

Test der DNS-Resolver-Richtlinie

Um Ihre neue Resolver-Richtlinie zu testen, verbinden Sie sich mit einem Hostgerät im virtuellen Netzwerk und stellen Sie eine Abfrage für die von Ihnen blockierten Domains ab. In diesem Beispiel ist die Domainliste contoso.com und adatum.com.

Eingabe:

Resolve-DnsName -Name contoso.com -Type NS

Ausgabe:

Resolve-DnsName : contoso.com : DNS server failure
At line:1 char:1
+ Resolve-DnsName -Name contoso.com -Type NS
+ ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
    + CategoryInfo          : ResourceUnavailable: (contoso.com:String) [Resolve-DnsName], Win32Exception
    + FullyQualifiedErrorId : RCODE_SERVER_FAILURE,Microsoft.DnsClient.Commands.ResolveDnsName