Segurança DNS e resolução privada de nomes

Este artigo explica como desenhar DNS para redes Azure usando zonas privadas de DNS, DNS do Azure Private Resolver, e controlos de segurança DNS. Abrange padrões de resolução de nomes privados, encaminhamento híbrido de DNS, integração de DNS de Pontos Finais Privados e proteção contra ameaças ao nível do DNS.

O que este artigo aborda

O DNS é a base da conectividade de rede: cada ligação começa com uma consulta de resolução de nomes. No Azure, a conceção do DNS determina como as cargas de trabalho se localizam entre si em redes virtuais, como os sistemas locais resolvem nomes alojados no Azure e como os Pontos de Extremidade Privados se tornam acessíveis através dos respetivos nomes de domínio totalmente qualificados (FQDNs). Para além da resolução, o DNS é também uma superfície de ataque. O tunelamento DNS, a exfiltração e as consultas a domínios maliciosos representam ameaças reais que requerem controlos de segurança na camada DNS.

Este artigo aborda três preocupações relacionadas com o DNS:

  • Resolução do nome privado: Como máquinas virtuais, containers e serviços de plataforma resolvem nomes dentro do Azure sem expor consultas DNS à internet pública.
  • Encaminhamento DNS híbrido: Como as redes on-premises resolvem nomes privados do Azure e como as cargas de trabalho do Azure resolvem nomes on-premises.
  • Segurança DNS: Como bloquear consultas DNS maliciosas, prevenir a exfiltração de DNS e ativar o filtragem de rede baseada em FQDN.

Quem precisa deste artigo

Leia este artigo se:

  • Implementa endpoints privados (se aplicável ao teu cenário) e precisas de trabalhos para resolver privatelink.* corretamente as zonas DNS.
  • Operar ambientes híbridos onde os sistemas on-premises têm de resolver nomes privados do Azure (ou vice-versa).
  • Usa o Azure Firewall e precisas de filtragem baseada em FQDN nas regras de rede.
  • Quero bloquear consultas DNS para domínios maliciosos conhecidos na camada de resolução.
  • Gerir ambientes multi-VNet onde a resolução DNS centralizada simplifica as operações.
  • Planeie uma arquitetura DNS para topologias hub-spoke com serviços partilhados.

Foco em levantar e deslocar: Preservar o comportamento existente de nomeação DNS durante a migração. Utilizar encaminhamento bidirecional entre DNS local e Azure, configurar encaminhadores condicionais para resolução de horizonte dividido e alojar nomes privados do Azure em zonas DNS Privado para que as aplicações mantenham a configuração atual de DNS.

Modernizar o foco: Centraliza a resolução de nomes à medida que replataformas as cargas de trabalho. Use o DNS do Azure Private Resolver com conjuntos de regras de encaminhamento para resolução híbrida, integre zonas DNS Privado com Endpoints Privados para serviços PaaS, e ative o proxy DNS do Azure Firewall para que regras baseadas em FQDN e resolução DNS partilhem um único caminho em cache.

Abordagem multicloud: Planeie a mudança de DNS entre nuvens antes da migração da carga de trabalho. Utilize o DNS do Azure Private Resolver para a resolução de nomes entre clouds, configure o reencaminhamento condicional com o AWS Route 53 Resolver ou o Google Cloud DNS e reduza os valores de TTL antes da transição para diminuir o risco de desatualização da cache.

Serviços e funcionalidades do Azure

A tabela seguinte descreve os serviços e funcionalidades do Azure envolvidos na segurança DNS e na resolução de nomes privados.

Serviço / Funcionalidade Purpose Capacidade-chave Quando utilizar
DNS do Azure (zonas públicas) Alojamento autoritativo para nomes de domínio público Rede global anycast, integração Azure RBAC, registos de alias para recursos Azure Possui um domínio público e quer alojar registos DNS no Azure com alta disponibilidade.
Zonas DNS Privadas do Azure Resolução de nomes dentro de redes virtuais sem exposição pública Ligação VNet, registo automático de nomes de host VM, alojamento em zonas privatelink Resolução interna de nomes para cargas de trabalho do Azure. Necessário para a integração de DNS do Private Endpoint.
Resolvedor Privado de DNS do Azure Encaminhamento DNS entre Azure e redes externas Ponto final de entrada (resolução do local para o Azure), ponto final de saída (reencaminhamento do Azure para o local), conjuntos de regras de reencaminhamento Ambientes híbridos que necessitam de resolução DNS bidirecional sem implementar VMs DNS personalizadas.
Azure Firewall DNS proxy Interceção DNS centralizada para filtragem FQDN Armazena em cache respostas DNS, ativa regras de rede baseadas em FQDN, fornece um único endpoint DNS para VNets spoke Implementas o Azure Firewall e precisas de filtragem FQDN nas regras de rede. Necessário para resolução consistente de FQDN.
Política de segurança DNS Proteção contra ameaças na camada DNS Bloqueia a resolução de domínios maliciosos conhecidos com base na fonte de informações sobre ameaças da Microsoft Quer evitar que cargas de trabalho se liguem a domínios de comando e controlo ou distribuição de malware.

Conceitos das zonas DNS privadas

As zonas DNS Privado proporcionam resolução de nomes para redes virtuais ligadas sem expor registos à internet. Principais comportamentos:

  • Ligação VNet: Podes ligar uma zona DNS privada a vários VNets. Todos os recursos nas VNets vinculadas podem resolver registos na zona.
  • Registo automático: Quando ativado numa ligação VNet, o Azure cria automaticamente registos A para máquinas virtuais implementadas nesse VNet. O Azure remove registos quando deslocas ou eliminas VMs. O auto-registo funciona apenas para VMs (apenas na NIC principal). Um VNet pode registar-se automaticamente numa única zona DNS privada, mas pode ligar vários VNets à mesma zona.
  • DNS de Ponto Final Privado: Os serviços do Azure acedidos através de Pontos Finais Privados requerem zonas DNS privatelink específicas (por exemplo, privatelink.blob.core.windows.net para o Armazenamento de Blobs do Azure). Sem a zona correta, os clientes resolvem o IP público em vez do endereço privado do endpoint.

Arquitetura DNS Private Resolver

O DNS do Azure Private Resolver substitui a necessidade de máquinas virtuais DNS personalizadas em cenários de encaminhamento híbrido. O diagrama seguinte mostra o fluxo híbrido de resolução de DNS a partir do ambiente no local, através do DNS do Azure Private Resolver, até um endereço IP de um Ponto Final Privado.

Diagrama que mostra o fluxo híbrido de resolução de DNS desde o local, através do ponto final de entrada do DNS do Azure Private Resolver, até a uma zona DNS privada e ao endereço IP do ponto final privado.

O resolvedor utiliza dois tipos de endpoints:

  • Ponto final de entrada: Fornece um endereço IP que os servidores DNS locais podem direcionar como encaminhador condicional. O DNS do Azure resolve as consultas enviadas para este endereço IP (incluindo zonas DNS Privado associadas). Requer uma sub-rede dedicada delegada a Microsoft.Network/dnsResolvers.
  • Ponto final de saída: Permite que cargas de trabalho do Azure encaminhem consultas DNS para servidores DNS on-premises, outros fornecedores cloud ou resolvers externos. Também requer uma sub-rede dedicada. Os conjuntos de regras de encaminhamento ligados ao endpoint de saída definem quais os sufixos de domínio a encaminhar e quais os servidores DNS de destino a utilizar.

Importante

Os endpoints de entrada e saída requerem cada um a sua própria sub-rede dedicada. Não podes implementar outros recursos nessas sub-redes. Uma VNet associada a um conjunto de regras de encaminhamento não precisa de estar emparelhada com a VNet do resolvedor. Os links do conjunto de regras funcionam independentemente do peering VNet.

Como escolher

Use a seguinte árvore de decisão para selecionar os componentes DNS certos para o seu ambiente.

Árvore de decisões

  1. Utiliza Pontos Finais Privados?

    • Sim → Implementar zonas DNS privadas com os nomes de zona apropriados privatelink.*. Ligue zonas às VNets que precisam de resolver endereços de pontos finais privados.

  2. Os sistemas on-premises precisam de resolver nomes privados do Azure?

    • Sim, → Implementar o DNS Private Resolver com um endpoint de entrada. Configure servidores DNS no local com reencaminhadores condicionais a apontar para o IP do ponto final de entrada.

  3. As cargas de trabalho do Azure precisam de resolver nomes locais?

    • Sim, → implementar o DNS Private Resolver com um endpoint de saída. Crie conjuntos de regras de encaminhamento para sufixos de domínio on-premises (por exemplo, corp.contoso.com).

  4. Implementas o Azure Firewall e precisas de filtragem FQDN nas regras de rede?

    • Sim, → ativar o proxy DNS do firewall. Configura as VMs spoke para usarem o IP privado do firewall como servidor DNS.

  5. Queres bloquear consultas DNS a domínios maliciosos conhecidos?

    • Sim → Ativar a política de segurança de DNS com o feed de Informações sobre Ameaças da Microsoft nas VNets de destino.

Padrões comuns

Padrão Componentes Caso de utilização
Apenas resolução por endpoint privado Zonas DNS Privado + ligações VNet Cargas de trabalho apenas na cloud, acedendo a serviços PaaS através de endpoints privados. Sem conectividade híbrida.
Resolução bidirecional híbrida Zonas DNS Privado + DNS Private Resolver (entrada + saída) On-premises resolve nomes privados de Azure; Azure resolve nomes do Active Directory on-premises.
DNS centralizado do hub DNS Private Resolver no hub VNet + conjuntos de regras de encaminhamento ligados aos spokes Topologia hub-and-spoke em que toda a resolução de DNS passa pelo hub para registo centralizado e controlo.
DNS mediado por firewall Azure Firewall DNS proxy + zonas do DNS Privado Ambientes que utilizam a firewall para filtragem por FQDN. O firewall interceta o tráfego DNS, permitindo uma resolução consistente de FQDN para IP para regras de rede.
Conjunto completo de segurança Todas as opções anteriores, mais a política de segurança DNS Ambientes empresariais que requerem resolução híbrida, filtragem FQDN e proteção contra ameaças na camada DNS.

Exemplos de zonas DNS para endpoints privados

A tabela seguinte lista os serviços comuns do Azure e os nomes obrigatórios de zonas de DNS Privado.

Serviço do Azure Nome da zona DNS privada
Armazenamento de Blobs do Azure privatelink.blob.core.windows.net
Base de Dados SQL do Azure privatelink.database.windows.net
Azure Key Vault privatelink.vaultcore.azure.net
Ficheiros do Azure privatelink.file.core.windows.net
Azure Container Registry privatelink.azurecr.io
Azure Cosmos DB (SQL API) privatelink.documents.azure.com

Note

Para a lista completa de nomes de zonas DNS Privado para todos os serviços Azure, consulte Azure Private Endpoint DNS configuration.

Pré-requisitos

Antes de implementar segurança DNS e resolução privada de nomes, certifique-se de que tem:

  • Uma rede virtual: Todas as funcionalidades DNS operam dentro ou através de redes virtuais. Consulte Redes virtuais e sub-redes para orientações fundamentais. (F1)
  • Conectividade de rede para cenários híbridos: Os endpoints entrantes do DNS Private Resolver requerem acessibilidade da rede desde on-premises (ExpressRoute ou VPN) até ao resolvedor VNet.
  • Sub-redes dedicadas para o Resolvedor DNS Privado: Cada ponto final (de entrada e de saída) requer a sua própria sub-rede delegada a Microsoft.Network/dnsResolvers. Planeia pelo menos um /28 para cada sub-rede de endpoint.
  • Endpoints Privados implementados (se utilizarem zonas Privatelink): As zonas DNS Privado para privatelink.* nomes só fornecem valor quando existem Endpoints Privados. Consulte Acesso PaaS privado com pontos finais privados para orientações para a implementação. (C5)
  • Azure Firewall implementado (se usar proxy DNS): A funcionalidade do proxy DNS requer uma instância Azure Firewall existente. Veja Azure Firewall e inspeção de tráfego. (S1)
  • Permissões: Função de Contribuinte de Zona DNS para gerir zonas DNS Privado. Contribuidor de Rede para implementação do DNS Private Solver.

Considerações de segurança

O DNS introduz vetores de ataque específicos que requerem controlos dedicados. As secções seguintes abrangem riscos de exfiltração, bloqueios baseados em inteligência de ameaças, comportamento de proxy DNS em firewalls e limitações DNSSEC.

Riscos de exfiltração DNS

O tunelamento DNS codifica dados nas consultas DNS para exfiltrar informação através de um protocolo que, de outra forma, não é restrito. Como a maioria das redes permite DNS de saída (UDP/TCP 53), os atacantes usam o DNS como um canal encoberto. Mitigar este risco através de:

  • Ativar o proxy DNS do Azure Firewall e encaminhar todo o tráfego DNS através do firewall. O firewall regista todas as consultas DNS, tornando o tunelamento detetável através de análises.
  • Aplicação da política de segurança DNS para bloquear a resolução de domínios associados a ferramentas de exfiltração conhecidas e infraestrutura de comando e controlo.
  • Monitorizar padrões de consulta DNS no Azure Monitor para anomalias como rótulos de subdomínio incomumente longos, volumes elevados de consultas para um único domínio ou consultas para domínios recentemente registados.

Política de segurança DNS

A política de segurança DNS com o Microsoft Threat Intelligence bloqueia a resolução de DNS para domínios maliciosos conhecidos ao nível do VNet. Quando uma carga de trabalho tenta resolver um domínio sinalizado pelo Centro de Resposta de Segurança da Microsoft (MSRC), a política bloqueia a resolução antes de qualquer ligação à rede. Este controlo opera de forma independente do Azure Firewall e não requer alterações nas configurações individuais das cargas de trabalho.

Principais características:

  • Utiliza o feed de Threat Intelligence da Microsoft proveniente do MSRC.
  • Opera na camada de resolução DNS: bloqueia a consulta, não o tráfego.
  • Aplicado por VNet: ativar em todos os VNets que contenham cargas de trabalho que acedam à internet.
  • Distinto do filtro FQDN por firewall: a política de segurança DNS bloqueia domínios maliciosos globalmente sem exigir a implementação do firewall.

Proxy de DNS da firewall e filtragem de FQDN

O proxy DNS do Azure Firewall é necessário para filtragem baseada em FQDN nas regras de rede. Sem proxy DNS, os pedidos DNS das VMs cliente podem ser resolvidos em momentos diferentes da resolução do firewall, causando mapeamento inconsistente entre IP e FQDN e incompatibilidades nas regras.

Quando ativas o proxy DNS:

  • Configura as VMs spoke para usarem o IP privado do firewall como servidor DNS.
  • O firewall resolve consultas em nome dos clientes e armazena resultados em cache (cache positiva até 1 hora, cache negativa até 30 minutos).
  • FQDN -to-IP mapeamentos atualizam-se a cada 15 segundos. O firewall remove entradas obsoletas após 15 minutos.
  • As regras de aplicação (L7) usam Indicação de Nome do Servidor (SNI) para correspondência FQDN e não requerem proxy DNS. As regras de rede (L4) requerem proxy DNS para resolução FQDN.
  • A filtragem por FQDN nas regras de rede suporta apenas correspondências exatas de nomes de domínio. Padrões coringa não são suportados em FQDNs de regras de rede. Use as regras de aplicação para correspondência de wildcard com FQDN.

Note

Se todos os servidores DNS upstream configurados ficarem indisponíveis, o proxy DNS do Azure Firewall não recorre a um resolvedor alternativo. A resolução de DNS falha até que pelo menos um servidor ascendente recupere. Planeie a redundância do servidor DNS na sua configuração a montante.

Atenção

Se ativares o proxy DNS mas não configurares as VMs cliente para usarem o firewall como servidor DNS, as regras de rede baseadas em FQDN não funcionarão corretamente. Clientes e firewall podem resolver IPs diferentes para o mesmo FQDN, causando quedas inesperadas de tráfego.

Limitações do DNSSEC

O DNS do Azure atualmente não suporta validação DNSSEC para zonas privadas. As zonas públicas alojadas no DNS do Azure suportam a assinatura DNSSEC para respostas autoritativas, mas a resolução recursiva dentro das redes virtuais do Azure não realiza validação DNSSEC. Se os seus requisitos de segurança exigirem validação DNSSEC, avalie o uso de um resolvedor DNS personalizado que suporte validação ou implemente verificação ao nível da aplicação.

Considerações de design

Foco na conceção de DNS para lift-and-shift

  • Configure o encaminhamento DNS bidirecional entre servidores DNS on-premises e o DNS do Azure Private Resolver.
  • Utilize encaminhadores condicionais para que as consultas provenientes do ambiente on-premises para nomes alojados no Azure sejam resolvidas no Azure e para que os nomes on-premises consultados a partir do Azure sejam resolvidos através da sua infraestrutura DNS existente.
  • Crie zonas DNS privadas para cada serviço do Azure utilizado pelas cargas de trabalho migradas, especialmente serviços suportados por Pontos Finais Privados.
  • Preserve o comportamento do DNS da aplicação durante a migração usando registos de alias ou mapeamentos CNAME em vez de alterar as definições do resolvedor do cliente.

Foco na modernização da conceção do DNS

  • Centralize a resolução de DNS no hub ao utilizar o DNS do Azure Private Resolver com conjuntos de regras de encaminhamento partilhados por redes virtuais spoke.
  • Associe zonas de DNS Privado a cada serviço PaaS com suporte de Ponto Final Privado, para que as cargas de trabalho migradas para a nova plataforma resolvam automaticamente os nomes privatelink.
  • Ative o proxy DNS do Azure Firewall para que as regras de rede baseadas em FQDN e a resolução de DNS da carga de trabalho usem um caminho de resolução consistente e em cache.
  • Use o auto-registo e o Azure RBAC em zonas DNS Privado para reduzir a gestão manual de registos ao adotar a infraestrutura como código.

Foco no desenho de DNS entre clouds

  • Utilize o DNS do Azure Private Resolver como ponto de controlo de encaminhamento para a resolução de nomes entre clouds.
  • Configure o encaminhamento condicional entre o DNS privado do Azure, o AWS Route 53 Resolver e o Google Cloud DNS para cada namespace privado que tenha de ser resolvido entre os ambientes.
  • Planeie o cutover DNS em fases: reduza os valores TTL, valide caminhos de encaminhamento, altere registos CNAME ou A, e monitorize a latência de consulta e o comportamento da cache.
  • Aplique DNSSEC em zonas autoritativas onde as plataformas ligadas o suportem, e documente onde os caminhos de resolução privada não validam DNSSEC.

Saiba mais

Passos seguintes

Dica

Explorar sozinho? Volte ao navegador de visão geral para encontrar o seu próximo artigo por capacidade.

A seguir na sua jornada de levantar e deslocar:

Controla o tráfego de saída da internet: Centraliza toda a comunicação de saída através do Azure Firewall e desativa o acesso de saída por defeito.

Próximo passo na sua jornada de modernização:

Configurar monitorização de produção: Ativar o Observador de Rede e o Network Performance Monitor para a prontidão de produção desde o primeiro dia.

A seguir na sua jornada através da cloud:

Proteja a sua rota de trânsito entre clouds: Implemente o Azure Firewall no seu hub virtual seguro para inspecionar todo o tráfego entre clouds, das filiais e com destino à Internet.

  • Last updated on