Segurança DNS e resolução de nomes privados

Este artigo explica como criar DNS para redes Azure usando zonas DNS privadas, DNS do Azure Resolvedor Privado e controles de segurança DNS. Ele abrange padrões de resolução de nomes privados, encaminhamento de DNS híbrido, integração de DNS de ponto de extremidade privado e proteção contra ameaças de camada DNS.

O que este artigo aborda

O DNS é a base da conectividade de rede: cada conexão começa com uma consulta de resolução de nomes. No Azure, o projeto de DNS determina como as cargas de trabalho localizam umas às outras em redes virtuais, como os sistemas on-premises resolvem nomes hospedados no Azure e como os Pontos de Extremidade Privados passam a ser acessíveis por seus nomes de domínio totalmente qualificados (FQDNs). Além da resolução, o DNS também é uma superfície de ataque. Tunelamento de DNS, exfiltração e consultas a domínios maliciosos representam ameaças reais que exigem controles de segurança na camada de DNS.

Este artigo aborda três preocupações de DNS:

Resolução de nome privado: Como máquinas virtuais, contêineres e serviços de plataforma resolvem nomes em Azure sem expor consultas DNS à Internet pública.
Encaminhamento de DNS híbrido: Como as redes locais resolvem nomes privados do Azure e como as cargas de trabalho do Azure resolvem nomes locais.
Segurança DNS: Como bloquear consultas DNS mal-intencionadas, impedir a exfiltração de DNS e habilitar a filtragem de rede baseada em FQDN.

Quem precisa deste artigo

Leia este artigo se você:

Implante pontos de extremidade privados (se aplicável ao seu cenário) e precise de cargas de trabalho para resolver privatelink.* as zonas DNS corretamente.
Operar ambientes híbridos em que os sistemas locais devem resolver nomes privados do Azure (ou vice-versa).
Use Firewall do Azure e precise de filtragem baseada em FQDN nas regras de rede.
Deseja bloquear consultas DNS para domínios mal-intencionados conhecidos na camada de resolução.
Gerencie ambientes de várias VNets em que a resolução DNS centralizada simplifica as operações.
Planeje a arquitetura DNS para topologias hub-spoke com serviços compartilhados.

Foco de lift-and-shift: Preservar o comportamento de nomenclatura DNS existente durante a migração. Use o encaminhamento bidirecional entre o DNS local e o Azure, configure encaminhadores condicionais para resolução split-horizon e hospede nomes privados do Azure em zonas de DNS Privado para que os aplicativos mantenham sua configuração atual de DNS.

Foco na modernização: Centralize a resolução de nomes à medida que você migra as cargas de trabalho para uma nova plataforma. Use o Resolvedor Privado de DNS do Azure com conjuntos de regras de encaminhamento para resolução híbrida, integre zonas DNS privadas com Pontos de Extremidade Privados para serviços PaaS e habilite o proxy DNS do Firewall do Azure para que as regras baseadas em FQDN e a resolução de DNS compartilhem um único caminho com cache.

Foco multinuvem: Planeje a mudança de DNS entre nuvens antes da migração da carga de trabalho. Use o Resolvedor Privado de DNS do Azure para resolução de nomes entre nuvens, configure o encaminhamento condicional com o AWS Route 53 Resolver ou o Google Cloud DNS e reduza os valores de TTL antes da migração para reduzir o risco de cache desatualizado.

Azure serviços e recursos

A tabela a seguir descreve os Azure serviços e recursos envolvidos na segurança DNS e na resolução de nomes privados.

Serviço/Recurso	Purpose	Capacidade principal	Quando usar
DNS do Azure (zonas públicas)	Hospedagem autoritativa para nomes de domínio público	Rede global anycast, integração Azure RBAC, registros de alias para recursos de Azure	Você possui um domínio público e deseja hospedar registros DNS em Azure com alta disponibilidade.
Zonas DNS privadas do Azure	Resolução de nomes em redes virtuais sem exposição pública	Vinculação de VNet, registro automático de nomes de host de VM, hospedagem de zona de privatelink	Resolução interna de nomes para cargas de trabalho do Azure. Necessário para a integração do DNS do ponto de extremidade privado.
Resolvedor Privado de DNS do Azure	Encaminhamento de DNS entre redes Azure e externas	Ponto de extremidade de entrada (ambiente local → resolução no Azure), ponto de extremidade de saída (Azure → encaminhamento para o ambiente local), conjuntos de regras de encaminhamento	Ambientes híbridos que precisam de resolução DNS bidirecional sem implantar VMs DNS personalizadas.
proxy de DNS do Firewall do Azure	Interceptação de DNS centralizada para filtragem de FQDN	Armazena em cache as respostas DNS, habilita regras de rede baseadas em FQDN, fornece um único endpoint DNS para VNets spoke	Você implanta Firewall do Azure e precisa de filtragem de FQDN nas regras de rede. Necessário para uma resolução FQDN consistente.
Política de segurança DNS	Proteção contra ameaças na camada DNS	Bloqueia a resolução de domínios maliciosos conhecidos usando a fonte de Inteligência contra Ameaças da Microsoft	Você deseja impedir que cargas de trabalho se conectem a domínios de distribuição de comando e controle ou malware.

Conceitos de zona DNS privada

As zonas DNS privadas fornecem resolução de nomes para redes virtuais vinculadas sem expor os registros à internet. Principais comportamentos:

Vinculação de VNet: Você pode vincular uma zona DNS privada a várias VNets. Todos os recursos em VNets vinculadas podem resolver registros na zona.
Registro automático: Quando habilitado em um link de VNet, Azure cria automaticamente registros A para máquinas virtuais implantadas nessa VNet. Azure remove registros quando você desaloca ou exclui VMs. O registro automático funciona apenas para VMs (somente NIC primária). Uma VNet pode se registrar automaticamente em apenas uma zona DNS privada, mas você pode vincular várias VNets à mesma zona.
DNS de ponto de extremidade privado: os serviços de Azure acessados por meio de pontos de extremidade privados exigem zonas DNS de privatelink específicas (por exemplo, privatelink.blob.core.windows.net para Armazenamento de Blobs do Azure). Sem a zona correta, os clientes resolvem o IP público em vez do endereço do ponto de extremidade privado.

Arquitetura do Resolvedor Privado DNS

O Resolvedor Privado do DNS do Azure elimina a necessidade de máquinas virtuais de DNS personalizadas em cenários de encaminhamento híbrido. O diagrama a seguir mostra o fluxo de resolução de DNS híbrido do ambiente local, passando pelo Resolvedor Privado de DNS do Azure, até o endereço IP de um Ponto de Extremidade Privado.

O resolvedor usa dois tipos de ponto de extremidade:

Ponto de extremidade de entrada: Fornece um endereço IP que os servidores DNS locais podem usar como encaminhador condicional. O DNS do Azure resolve consultas enviadas para este IP (incluindo zonas de DNS privado vinculadas). Requer uma sub-rede dedicada delegada a Microsoft.Network/dnsResolvers.
Endpoint de saída: Permite que as cargas de trabalho do Azure encaminhem consultas DNS para servidores DNS locais, outros provedores de nuvem ou resolvedores externos. Também requer uma sub-rede dedicada. Os conjuntos de regras de encaminhamento anexados ao ponto de extremidade de saída definem quais sufixos de domínio encaminhar e quais servidores DNS de destino usar.

Importante

As extremidades de entrada e de saída exigem, cada uma, sua própria sub-rede dedicada. Não é possível implantar outros recursos nessas sub-redes. Uma VNet vinculada a um conjunto de regras de encaminhamento não precisa ser emparelhada com a VNet do resolvedor. Os links do conjunto de regras funcionam independentemente do emparelhamento de VNet.

Como escolher

Use a árvore de decisão a seguir para selecionar os componentes DNS corretos para seu ambiente.

Árvore de decisão

Você usa Private Endpoints?
- Sim → Implante zonas DNS privadas com os privatelink.* nomes de zona apropriados. Vincule zonas a VNets que precisam resolver endereços de ponto de extremidade privados.
Os sistemas locais precisam resolver Azure nomes privados?
- Sim → Implantar o Resolvedor Privado de DNS com um endpoint de entrada. Configure servidores DNS locais com encaminhadores condicionais apontando para o IP do endpoint de entrada.
As cargas de trabalho do Azure precisam resolver nomes locais?
- Sim → Implantar Resolvedor Privado de DNS com um ponto de extremidade de saída. Crie conjuntos de regras de encaminhamento para sufixos de domínio locais (por exemplo, corp.contoso.com).
Você implanta Firewall do Azure e precisa de filtragem de FQDN nas regras de rede?
- Sim, → habilitar o proxy DNS do Firewall. Configure VMs spoke para usar o IP privado do firewall como servidor DNS.
Deseja bloquear consultas DNS para domínios mal-intencionados conhecidos?
- Sim → Habilitar a política de segurança de DNS com o feed de Inteligência contra Ameaças da Microsoft nas VNets de destino.

Padrões comuns

Pattern	Componentes	Caso de uso
Somente resolução de ponto de extremidade privado	Zonas de DNS privadas + links da VNet	Cargas de trabalho somente na nuvem que acessam serviços de PaaS por meio de pontos de extremidade privados. Sem conectividade híbrida.
Resolução bidirecional híbrida	zonas DNS privadas + Resolvedor DNS privado (entrada + saída)	O ambiente local resolve nomes privados do Azure; o Azure resolve nomes do Active Directory local.
DNS do hub centralizado	Resolvedor Privado de DNS na VNet do hub + conjuntos de regras de encaminhamento vinculados a spokes	Topologia hub-spoke em que toda a resolução de DNS passa pelo hub para registro centralizado em logs e controle.
DNS mediado pelo firewall	Firewall do Azure proxy DNS + zonas de DNS privado	Ambientes que usam o Firewall para filtragem de FQDN. O firewall intercepta o DNS, permitindo a resolução consistente de FQDN para IP nas regras de rede.
Pilha de segurança completa	Todas as opções anteriores, além da política de segurança DNS	Ambientes empresariais que exigem resolução híbrida, filtragem de FQDN e proteção contra ameaças de camada DNS.

Exemplos de zona DNS de ponto de extremidade privado

A tabela a seguir lista serviços comuns de Azure e seus nomes de zona de DNS privado necessários.

serviço Azure	Nome da zona de DNS privada
Armazenamento de Blobs do Azure	`privatelink.blob.core.windows.net`
Banco de Dados SQL do Azure	`privatelink.database.windows.net`
Azure Key Vault	`privatelink.vaultcore.azure.net`
Arquivos do Azure	`privatelink.file.core.windows.net`
Registro de Contêiner do Azure	`privatelink.azurecr.io`
Azure Cosmos DB (API de SQL)	`privatelink.documents.azure.com`

Note

Para obter a lista completa de nomes de zona de DNS privado para todos os serviços do Azure, consulte configuração de DNS do Ponto de Extremidade Privado do Azure.

Pré-requisitos

Antes de implementar a segurança DNS e a resolução de nomes privados, verifique se você tem:

Uma rede virtual: Todos os recursos de DNS operam dentro ou entre redes virtuais. Consulte redes virtuais e sub-redes para obter diretrizes fundamentais. (F1)
Conectividade de rede para cenários híbridos: Os endpoints de entrada do Resolvedor DNS Privado exigem alcançabilidade de rede do ambiente local (ExpressRoute ou VPN) até a VNet do resolvedor.
Sub-redes dedicadas para o Resolvedor Privado de DNS: Cada ponto de extremidade (de entrada e de saída) requer sua própria sub-rede delegada a Microsoft.Network/dnsResolvers. Planeje, no mínimo, um /28 para cada sub-rede de endpoint.
Endpoints Privados implantados (se estiver usando zonas de privatelink): As zonas de DNS privado para nomes privatelink.* só têm valor quando existem Endpoints Privados. Consulte o acesso privado ao PaaS com endpoints privados para obter orientações de implantação. (C5)
Firewall do Azure implantado (se estiver usando o proxy DNS): o recurso de proxy DNS requer uma instância de Firewall do Azure existente. Consulte Firewall do Azure e inspeção de tráfego. (S1)
Permissões: Função Colaborador da Zona DNS para gerenciar zonas de DNS Privado. Colaborador de rede para implantação do Resolvedor Privado DNS.

Considerações de segurança

O DNS apresenta vetores de ataque específicos que exigem controles dedicados. As seções a seguir abrangem riscos de exfiltração, bloqueio baseado em inteligência contra ameaças, comportamento de proxy DNS de firewall e limitações de DNSSEC.

Riscos de exfiltração de DNS

O tunelamento de DNS codifica dados em consultas DNS para exfiltrar informações por meio de um protocolo que, de outra forma, não teria restrições. Como a maioria das redes permite DNS de saída (UDP/TCP 53), os invasores usam o DNS como um canal secreto. Reduza esse risco por:

Habilitar Firewall do Azure proxy DNS e rotear todo o tráfego DNS por meio do firewall. O firewall registra todas as consultas DNS, tornando o túnel detectável por meio da análise.
Aplicando a política de segurança DNS para bloquear a resolução de domínios associados a ferramentas de exfiltração conhecidas e à infraestrutura de comando e controle.
Monitorar padrões de consulta DNS em Azure Monitor para anomalias como rótulos de subdomínio extraordinariamente longos, volumes de consulta altos para um único domínio ou consultas para domínios registrados recentemente.

Política de segurança de DNS

A política de segurança de DNS com o Microsoft Threat Intelligence bloqueia a resolução de DNS para domínios maliciosos conhecidos em nível de VNet. Quando uma carga de trabalho tenta resolver um domínio sinalizado por Microsoft Security Response Center (MSRC), a política bloqueia a resolução antes que qualquer conexão de rede ocorra. Esse controle opera independentemente de Firewall do Azure e não requer alterações nas configurações de carga de trabalho individuais.

Principais características:

Utiliza feed de inteligência contra ameaças da Microsoft fornecido pelo MSRC.
Opera na camada de resolução DNS: bloqueia a consulta, não o tráfego.
Aplicado por VNet: habilite em todas as VNets que tenham cargas de trabalho que acessam a internet.
Diferente da filtragem de FQDN do Firewall: a política de segurança DNS bloqueia domínios mal-intencionados globalmente sem a necessidade de implantação de firewall.

Proxy DNS de firewall e filtragem de FQDN

O proxy DNS do Firewall do Azure é necessário para a filtragem baseada em FQDNs nas regras de rede. Sem o proxy DNS, as solicitações DNS de VMs de cliente podem ser resolvidas em momentos diferentes daqueles em que o firewall realiza a resolução, causando um mapeamento inconsistente entre IP e FQDN e incompatibilidades nas regras.

Ao habilitar o proxy DNS:

Configure VMs spoke para usar o IP privado do firewall como servidor DNS.
O firewall resolve consultas em nome de clientes e armazena em cache resultados (cache positivo de até 1 hora, cache negativo de até 30 minutos).
FQDN-to-IP mapeamentos são atualizados a cada 15 segundos. O firewall remove entradas obsoletas após 15 minutos.
As regras de aplicativo (L7) usam SNI (Indicação de Nome do Servidor) para correspondência de FQDN e não exigem proxy DNS. As regras de rede (L4) exigem proxy DNS para resolução FQDN.
A filtragem de FQDN nas regras de rede dá suporte apenas a correspondências de domínio exatas. Não há suporte a padrões curinga em FQDNs de regras de rede. Use regras de aplicativo para correspondência de FQDN com caractere curinga.

Note

Se todos os servidores DNS upstream configurados ficarem indisponíveis, Firewall do Azure proxy DNS não retornará a um resolvedor alternativo. A resolução DNS falha até que pelo menos um servidor upstream se recupere. Planeje a redundância do servidor DNS na configuração upstream.

Caution

Se você habilitar o proxy DNS, mas não configurar VMs cliente para usar o firewall como servidor DNS, as regras de rede baseadas em FQDN não funcionarão corretamente. Os clientes e o firewall podem resolver IPs diferentes para o mesmo FQDN, causando quedas de tráfego inesperadas.

Limitações de DNSSEC

DNS do Azure atualmente não dá suporte à validação DNSSEC para zonas privadas. As zonas públicas hospedadas no DNS do Azure oferecem suporte à assinatura DNSSEC para respostas autoritativas, mas a resolução recursiva nas redes virtuais do Azure não realiza a validação de DNSSEC. Se os requisitos de segurança exigirem a validação DNSSEC, avalie usando um resolvedor DNS personalizado que dê suporte à validação ou implemente a verificação de camada de aplicativo.

Considerações sobre o design

Foco do projeto de DNS para lift-and-shift

Configure o encaminhamento de DNS bidirecional entre servidores DNS locais e DNS do Azure Resolvedor Privado.
Use os encaminhadores condicionais para que as consultas no ambiente local para nomes hospedados no Azure sejam resolvidas no Azure, e as consultas do Azure para nomes do ambiente local sejam resolvidas por meio da sua infraestrutura DNS existente.
Crie zonas DNS privadas para cada serviço do Azure usado pelas cargas de trabalho migradas, especialmente serviços com suporte do Private Endpoint.
Preserve o comportamento do DNS do aplicativo durante a migração usando registros de alias ou mapeamentos CNAME em vez de alterar as configurações de resolvedor do cliente.

Modernizar o foco de design de DNS

Centralize a resolução de DNS no hub usando o Resolvedor Privado de DNS do Azure com conjuntos de regras de encaminhamento compartilhados entre as redes virtuais spoke.
Vincule zonas de DNS privado a cada serviço PaaS com Private Endpoint para que as cargas de trabalho migradas para a nova plataforma resolvam nomes privatelink automaticamente.
Habilite o proxy DNS Firewall do Azure para que as regras de rede baseadas em FQDN e a resolução de DNS de carga de trabalho usem um caminho de resolução consistente e armazenado em cache.
Use o registro automático e o RBAC do Azure em zonas privadas de DNS para reduzir o gerenciamento manual de registros à medida que você adota a infraestrutura como código.

Foco do projeto de DNS multinuvem

Use o Resolvedor Privado de DNS do Azure como o ponto de controle do encaminhamento para a resolução de nomes entre nuvens.
Configure o encaminhamento condicional entre o DNS privado do Azure, o AWS Route 53 Resolver e o Google Cloud DNS para cada espaço de nomes privado que precisa ser resolvido em todos os ambientes.
Planeje a substituição de DNS em fases: valores TTL mais baixos, validar caminhos de encaminhamento, alterar registros CNAME ou A e monitorar a latência de consulta e o comportamento do cache.
Aplique DNSSEC em zonas autoritativas em que as plataformas conectadas dão suporte a ela e documente onde os caminhos de resolução privada não validam o DNSSEC.

Acesso privado ao PaaS com Endpoints Privados: implantação de Endpoints Privados e configuração de zonas DNS do Private Link.
Firewall do Azure e inspeção de tráfego: configuração do proxy DNS do Firewall e filtragem de FQDN.
Redes virtuais e sub-redes: conceitos básicos da VNet, incluindo o planejamento de sub-rede para pontos de extremidade de resolvedor DNS.
Topologia de rede hub-spoke: resolução DNS centralizada em arquiteturas hub-spoke.
Fases do projeto em resumo: resumo por fases das decisões de planejamento, conectividade, segurança e operações.

Saiba mais

Próximas Etapas

Tip

Explorando por conta própria? Retorne ao navegador de visão geral para encontrar seu próximo artigo por funcionalidade.

A seguir, na sua jornada de lift-and-shift:

Controlar o tráfego de saída da Internet: centralize toda a comunicação de saída por meio de Firewall do Azure e desative o acesso de saída padrão.

A seguir, em sua jornada de modernização:

Configure o monitoramento de produção: Habilite o Observador de Rede e o Network Monitor de Desempenho para garantir a prontidão do ambiente de produção desde o primeiro dia.

A seguir, em sua jornada multinuvem:

Proteja seu caminho de trânsito entre nuvens: implante Firewall do Azure em seu hub virtual seguro para inspecionar todo o tráfego entre nuvens, ramificações e internet.

Comentários

Esta página foi útil?

Last updated on 2026-07-01