Risolvere i problemi di DNS di Azure

Sommario

Questo articolo aiuta gli amministratori DNS a risolvere i problemi comuni di DNS di Azure con zone, record e risoluzione dei nomi in modo da poter ripristinare il servizio DNS.

Linee guida di progettazione correlate

Prima di risolvere i problemi relativi all'architettura DNS, esaminare le indicazioni di progettazione seguenti:

• Per informazioni sulla scelta tra dns Azure, zone DNS privato, sistema di risoluzione privato, server DNS personalizzati e opzioni basate su Gestione traffico per le progettazioni ibride e multiregione, vedere Infrastruttura DNS ibrida in Azure.
• Per i modelli di integrazione DNS dell'endpoint privato, tra cui una singola rete virtuale, scenari hub-spoke, locali e DNS personalizzati, vedere Azure scenari di integrazione DNS degli endpoint privati.

È anche possibile usare Microsoft Copilot in Azure dal portale di Azure per risolvere i problemi di risoluzione DNS. Ad esempio, provare una richiesta come "È possibile risolvere i problemi di risoluzione DNS in Azure?" Copilot possibile usare il contesto delle risorse e seguire i passaggi descritti in questo articolo. Per altre informazioni, vedere Che cos'è Microsoft Copilot in Azure? e istruzioni di esempio.

DNS di Azure prodotti

Priorità di risoluzione all'interno di Azure ricorsione

Quando Azure DNS fornito (168.63.129.16) o un endpoint resolver privato riceve una query, non solo il nome della ricorsione pubblica. Illustra diverse origini autorevoli e di criteri in un ordine fisso e restituisce la prima corrispondenza. Conoscere questo ordine consente di prevedere quale risposta ottiene una macchina virtuale quando lo stesso nome esiste in più di un'unica posizione,ad esempio una privatelink zona, un set di regole di inoltro DNS e UN DNS pubblico.

Il diagramma seguente mostra l'ordine di valutazione. Leggerlo dall'alto verso il basso:

• DNS di Azure criterio resolver funge da filtro per ogni query. Una regola Blocca arresta la ricerca prima di eventuali risposte all'area o al set di regole. Le regole consenti e di avviso passano la query tramite (con registrazione) ai passaggi seguenti.
• Le zone collegate DNS privato (incluse le privatelink.* zone registrate dagli endpoint privati) vengono controllate successivamente, motivo per cui un endpoint privato "vince" sul record pubblico per lo stesso FQDN.
• I set di regole di inoltro DNS corrispondono quindi al suffisso e inviano la query a un resolver locale o a un resolver di terze parti tramite l'endpoint in uscita.
• Tutto ciò che non corrisponde rientra nella DNS di Azure pubblica/ricorsione internet.

Usare questo ordine quando si sta provando a spiegare perché un client ha un indirizzo IP imprevisto. In genere, significa un'origine con priorità più alta (una regola dei criteri del sistema di risoluzione DNS di Azure, una zona privata collegata o una regola di inoltro) corrispondente prima che la ricorsione abbia raggiunto la risposta pubblica.

Per altre informazioni, vedere DNS di Azure Panoramica del sistema di risoluzione privato.

Strumenti generali per la risoluzione dei problemi dns

La maggior parte dei problemi DNS di Azure rientra in una delle due categorie: il contenuto restituito dal resolver (record errato, record mancante, cache non aggiornata) o il percorso di rete del sistema di risoluzione (NSG, tabella di route, firewall o appliance virtuale di rete che blocca UDP/TCP 53). Una risoluzione efficace separa queste due problematiche prima di approfondire qualsiasi comportamento specifico del prodotto.

Un approccio affidabile:

1. Stabilire cosa sta facendo il cliente oggi. Identificare il sistema di risoluzione in cui il client esegue effettivamente query (Get-DnsClientServerAddress, resolvectl status, ipconfig /all) prima di presupporre che sia 168.63.129.16 o il DNS personalizzato.
2. Confrontare la query con esito negativo con un'origine valida nota. Eseguire la stessa query sul sistema di risoluzione sospetto e su un resolver di riferimento (168.63.129.16, un endpoint in ingresso del sistema di risoluzione privato, 1.1.1.1o direttamente un server dei nomi Azure). Se le risposte differiscono, il problema riguarda il record DNS stesso (valore errato, cache non aggiornata o delega della zona interrotta). Se entrambi si verifica un timeout, il problema è il percorso di rete del sistema di risoluzione.
3. Isolare il percorso di rete con un probe non DNS. Test-NetConnection -Port 53 conferma se UDP/TCP 53 raggiunge il resolver, separando un problema di routing/gruppo di sicurezza di rete/firewall da un problema relativo al contenuto DNS.
4. Eliminare la memorizzazione nella cache prima di trarre conclusioni. Scaricare la cache locale (Clear-DnsClientCache, ipconfig /flushdns, sudo resolvectl flush-caches) e, quando si convalidano le zone pubbliche, usare un tester esterno, digwebinterface ad esempio i proxy aziendali e le cache ricorsive non mascherano la risposta in tempo reale.
5. Usare i segnali lato Azure ultimo, non prima. Il log attività nella zona, nel sistema di risoluzione o nei criteri illustra gli errori del piano di controllo (errori di creazione o aggiornamento, quota, conflitti); Network Watcher Risoluzione dei problemi di connessione illustra gli errori del percorso del piano dati. Entrambi sono più utili dopo che i passaggi precedenti hanno ristretto il problema.

Selezionare lo strumento che corrisponde al livello di test: contenuto delle query, raggiungibilità delle porte, stato della cache o piano di controllo Azure, usando la tabella seguente.

Scegliere lo strumento appropriato

Controllare la risoluzione DNS

Seguire questa procedura per eventuali errori DNS prima di passare a una sezione specifica del prodotto. Gli esempi nelle sezioni seguenti illustrano l'utilizzo comune degli strumenti. Per informazioni dettagliate sul comando completo e sulle risorse, vedere la tabella precedente. Se si usano comandi Linux, consultare la documentazione della distribuzione per la sintassi dei comandi e la disponibilità del pacchetto corretti, perché i comandi e le opzioni possono variare in base alla distribuzione.

1. Identificare il sistema di risoluzione usato dal client.

   a. In Windows:

   Get-DnsClientServerAddress -AddressFamily IPv4
   ipconfig /all | Select-String "DNS Servers"
   

   b. Su Linux:

   resolvectl status
   cat /etc/resolv.conf
   

   • In Azure macchine virtuali con le impostazioni predefinite viene visualizzato 168.63.129.16. Se viene visualizzato un indirizzo IP personalizzato, si passa attraverso un server DNS personalizzato o server.

2. Eseguire una query sul sistema di risoluzione predefinito.

   a. Windows:

   Resolve-DnsName www.contoso.com
   

   b. Linux:

   nslookup www.contoso.com
   dig www.contoso.com +noall +answer
   

3. Ignorare il sistema di risoluzione predefinito per isolare il problema. Puntare direttamente all'upstream da testare.

   a. Windows:

   # Query Azure-provided DNS directly
   Resolve-DnsName www.contoso.com -Server 168.63.129.16
   
   # Query a Private Resolver inbound endpoint
   Resolve-DnsName db.contoso.com -Server 10.10.0.4
   
   # Query a public resolver to compare what the internet sees
   Resolve-DnsName www.contoso.com -Server 1.1.1.1
   

   b. Linux:

   dig @168.63.129.16 www.contoso.com
   dig @10.10.0.4 db.contoso.com
   dig @1.1.1.1 www.contoso.com
   

4. Verificare la raggiungibilità di UDP/TCP 53 a qualsiasi server di destinazione.

   Test-NetConnection 168.63.129.16 -Port 53
   Test-NetConnection 10.10.0.4 -Port 53
   

5. Svuotare le cache prima di modificare nuovamente i record quando i record sono stati modificati di recente.

   a. Windows:

   ipconfig /flushdns
   Clear-DnsClientCache
   

   b. Linux:

   sudo resolvectl flush-caches
   

Gruppo di sicurezza di rete, Firewall di Azure o appliance virtuale di rete che blocca UDP/TCP 53

Sintomo

Timeout delle query DNS (Resolve-DnsName : timed out, dig mostra connection timed out; no servers could be reached). Questo problema viene spesso visualizzato immediatamente dopo aver introdotto una regola del gruppo di sicurezza di rete, modificare la tabella di route, Firewall di Azure o appliance virtuale di rete nel percorso in uscita.

Gradi

1. Identificare l'INDIRIZZO IP di destinazione su cui viene eseguita una query sul client.

   • Destinazioni comuni: 168.63.129.16, un endpoint in ingresso del sistema di risoluzione privato, una macchina virtuale DNS personalizzata o un resolver pubblico.
   • Usare il passaggio 1 di Controllare la risoluzione DNS per confermare.

2. Testare la raggiungibilità non elaborata sulla porta 53.

   Test-NetConnection 168.63.129.16 -Port 53
   

3. Esaminare le regole del gruppo di sicurezza di rete valide nella scheda di interfaccia di rete del client.

   a. Nel portale aprire la macchina virtuale client → Rete → scheda di interfaccia di rete → Guida → regole di sicurezza valide.

   b. Verificare che una regola in uscita consenta a UDP 53eTCP 53 all'INDIRIZZO IP di destinazione.

4. Esaminare le route valide nella stessa scheda di interfaccia di rete.

   • Per Microsoft,168.63.129.16 non è soggetto a route definite dall'utente, quindi non si applica una route definita dall'utente specifica per tale indirizzo.
   • Tuttavia, una regola del gruppo di sicurezza di rete che nega il tag del servizio può bloccare il AzurePlatformDNS traffico a Azure DNS fornito.

5. Se Firewall di Azure si trova nel percorso, assicurarsi che consenta il traffico DNS.

   a. Nella maggior parte dei casi, aggiungere una regola di rete che consenta UDP/TCP 53 dalla subnet client all'INDIRIZZO IP del resolver.

   b. Solo se si vuole che il firewall gestisca il DNS stesso (ad esempio, per usare il filtro FQDN nelle regole di rete), abilitare il proxy DNS nel firewall e puntare la rete dnsServers virtuale all'INDIRIZZO IP privato del firewall.

6. Per le appliance virtuali di rete (Appliance virtuali di rete), verificare che l'appliance virtuale di rete inoltra DNS non modificato e che le regole in uscita consentano 53.

7. Ripetere il test dopo ogni modifica.

   Resolve-DnsName www.contoso.com -Server 168.63.129.16
   

Articoli consigliati

• Che cos'è l'indirizzo IP 168.63.129.16?
• Impostazioni DNS di Firewall di Azure
• Panoramica dei gruppi di sicurezza di rete

gruppi di zone DNS privato

Integrando un endpoint privato con una zona DNS privato, Azure crea un gruppo di zone DNS privato. Questa risorsa di associazione connette l'endpoint privato a una o più zone DNS privato. Il gruppo di zone mantiene i privatelink.*A record nella zona sincronizzati con l'endpoint privato man mano che cambia (aree aggiunte o rimosse, endpoint eliminato). Senza il gruppo di zone, è necessario aggiornare manualmente zone e A record.

Tenere presenti questi limiti e comportamenti dei gruppi di zone:

• Un gruppo di zone può contenere fino a 5 DNS privato zone.
• Solo una zona DNS privato per ogni nome di zona per gruppo di zone. Ad esempio, non è possibile associare due privatelink.blob.core.windows.net zone allo stesso gruppo.
• Un endpoint privato supporta un solo gruppo di zone.
• Il provider di risorse AZURE TRAFFIC MANAGER e DNS esegue operazioni di eliminazione e aggiornamento sui record. Questo comportamento è un comportamento normale della piattaforma, non un servizio non correlato.

Riferimento: Azure scenari di integrazione DNS dell'endpoint privato , DNS privato gruppo di zone.

Controllare se un endpoint privato ha un gruppo di zone DNS

Eseguire i passaggi seguenti da una sessione che ha eseguito l'accesso alla sottoscrizione contenente l'endpoint privato.

• Azure PowerShell — Get-AzPrivateDnsZoneGroup:

Get-AzPrivateDnsZoneGroup `
  -ResourceGroupName <rg> `
  -PrivateEndpointName <pe-name>

Un risultato vuoto indica che l'endpoint privato non ha alcun gruppo di zona associato. La risoluzione dei nomi all'endpoint privato non viene gestita automaticamente in alcuna zona DNS privato e i client devono risolvere il nome di dominio completo in altro modo (record manualeA, DNS personalizzato, file host).

• interfaccia della riga di comando di Azure — az network private-endpoint dns-zone-group list:

az network private-endpoint dns-zone-group list \
  --resource-group <rg> \
  --endpoint-name <pe-name>

Per controllare le zone a cui è associato un gruppo specifico, usare az network private-endpoint dns-zone-group show:

az network private-endpoint dns-zone-group show \
  --resource-group <rg> \
  --endpoint-name <pe-name> \
  --name <zone-group-name>

Articoli consigliati

• Scenari di integrazione DNS dell'endpoint privato di Azure
• Configurazione DNS dell'endpoint privato di Azure

Non è possibile creare una zona DNS

Per risolvere i problemi comuni, provare uno o più dei passaggi seguenti:

1. Esaminare i log di controllo DNS di Azure per trovare il motivo dell'errore.
2. Ogni nome di zona DNS deve essere univoco all'interno del gruppo di risorse. Ovvero, due zone DNS con lo stesso nome non possono condividere un gruppo di risorse. Provare a usare un nome di zona diverso o un gruppo di risorse diverso.
3. È possibile che venga visualizzato un errore che indica che è stato raggiunto o superato il numero massimo di zone nella sottoscrizione {ID sottoscrizione}". Usare una sottoscrizione Azure diversa, eliminare alcune zone o contattare Azure supporto tecnico per aumentare il limite di sottoscrizione.
4. Potrebbe essere visualizzato un errore che indica che la zona '{zone name}' non è disponibile. Questo errore indica che DNS di Azure non è stato in grado di allocare i server dei nomi per questa zona DNS. Provare a usare un nome di zona diverso. In alternativa, se si è il proprietario del nome di dominio, è possibile contattare supporto tecnico di Azure allocare automaticamente i server dei nomi.

Articoli consigliati

• Zone e record DNS
• Creare una zona DNS

Non è possibile creare un record DNS

Per risolvere i problemi comuni, provare uno o più dei passaggi seguenti:

1. Esaminare i log di controllo DNS di Azure per trovare il motivo dell'errore.
2. Il set di record esiste già? DNS di Azure gestisce i record utilizzando set di record, ovvero la raccolta di record con lo stesso nome e lo stesso tipo. Se esiste già un record con lo stesso nome e tipo, è necessario modificare il set di record esistente per aggiungere un altro record.
3. Si sta tentando di creare un record al vertice della zona DNS (la "radice" della zona)? In tal caso, la convenzione DNS consiste nell'usare il carattere '@' come nome del record. Si noti anche che gli standard DNS non consentono record CNAME al vertice della zona.
4. Si è verificato un conflitto CNAME? Gli standard DNS non consentono un record CNAME con lo stesso nome di un record di qualsiasi altro tipo. Se si dispone di un CNAME esistente, la creazione di un record con lo stesso nome di un tipo diverso ha esito negativo. Analogamente, la creazione di un CNAME ha esito negativo se il nome corrisponde a un record esistente di un tipo diverso. Rimuovere il conflitto rimuovendo l'altro record o scegliendo un nome di record diverso.
5. È stato raggiunto il limite per il numero di set di record consentiti in una zona DNS? Il portale Azure mostra il numero corrente di set di record e il numero massimo di set di record, in "Proprietà" per la zona. Se è stato raggiunto questo limite, eliminare alcuni set di record o contattare Azure supporto tecnico per aumentare il limite del set di record per questa zona e riprovare.

Articoli consigliati

• Zone e record DNS
• Creare una zona DNS

Non è possibile risolvere il record DNS

La risoluzione dei nomi DNS è un processo a più passaggi, che può avere esito negativo per molti motivi. La procedura seguente consente di analizzare il motivo per cui la risoluzione DNS non riesce per un record DNS in una zona ospitata in DNS di Azure.

1. Verificare che i record DNS siano configurati correttamente in DNS di Azure. Esaminare i record DNS nel portale di Azure, verificando che il nome della zona, il nome del record e il tipo di record siano corretti.

2. Verificare che i record DNS vengano risolti correttamente sui server dei nomi DNS di Azure.

   • Se si eseguono query DNS dal PC locale, è possibile che vengano visualizzati risultati memorizzati nella cache che non riflettono lo stato corrente dei server dei nomi. Inoltre, le reti aziendali usano spesso server proxy DNS, che impediscono che le query DNS vengano indirizzate a server dei nomi specifici. Per evitare questi problemi, usare un servizio di risoluzione dei nomi basato sul Web, ad esempio digwebinterface.
   • Assicurarsi di specificare i server dei nomi corretti per la zona DNS, come illustrato nel portale di Azure.
   • Verificare che il nome DNS sia corretto (è necessario specificare il nome completo, incluso il nome della zona) e il tipo di record è corretto.

3. Verificare che il nome di dominio DNS sia correttamente delegato ai server dei nomi DNS di Azure. Esistono molti siti Web non Microsoft che offrono la convalida della delega DNS. Questo test è un test di delega della zona , quindi è necessario immettere solo il nome della zona DNS e non il nome del record completo.

4. Dopo aver completato i passaggi precedenti, il record DNS dovrebbe essere risolto correttamente. Per verificare, è possibile usare di nuovo digwebinterface, questa volta usando le impostazioni predefinite del server dei nomi.

Articoli consigliati

• Delegate un dominio a DNS di Azure

Come si specifica il servizio e il protocollo per un record SRV?

DNS di Azure gestisce i record DNS come set di record, ovvero la raccolta di record con lo stesso nome e lo stesso tipo. Per un set di record SRV, specificare il servizio e il protocollo come parte del nome del set di record. Si specificano gli altri parametri SRV ('priority', 'weight', 'port' e 'target') separatamente per ogni record nel set di record.

Nomi di record SRV di esempio (nome del servizio 'sip', protocollo 'tcp'):

• _sip._tcp (crea un set di record al vertice della zona)
• _sip._tcp.sipservice (crea un set di record denominato 'sipservice')

Articoli consigliati

• Zone e record DNS
• Creare set di record e record DNS tramite il portale di Azure
• Tipo di record SRV (Wikipedia)

Passaggi successivi

• Informazioni su DNS di Azure zone e record.
• Per iniziare a usare DNS di Azure, informazioni su come creare una zona DNS e creare record DNS.
• Per eseguire la migrazione di una zona DNS esistente, è necessario saper importare ed esportare un file di zona DNS.