Azure DNS: öffentliche und private Zonen

Die Nordlicht Reisen GmbH betreibt ihr Buchungsportal unter ihrer eigenen Domain und möchte, dass ihre Maschinen im internen Netz einander mit Namen erreichen, ohne Adressen auswendig zu lernen. Beides löst Azure DNS: öffentliche Zonen für Namen, die das Internet auflösen soll, und private Zonen für Namen, die nur in Ihren virtuellen Netzen gelten. Die Prüfung nennt es Azure DNS konfigurieren.

Vorwissen. Was Azure DNS ist, steht in „AZ-900 kompakt“, Lektion 2.4. Wie DNS funktioniert (Zonen, Datensätze, Auflösung, Zwischenspeicherung), lehrt K3, Lektion 3.0.3; hier wird es vorausgesetzt. Virtuelle Netze sind Lektion 4.1. Wo private Zonen für private Endpunkte gebraucht werden, zeigte Lektion 4.4 den Zonennamen.

Öffentliche Zonen

Eine DNS-Zone hostet alle Datensätze einer Domain. Azure DNS ist der Dienst, der diese Zone auf Namensservern von Microsoft betreibt. Azure DNS ist keine Registrierungsstelle: die Domain selbst kaufen und verlängern Sie dort, wo Sie sie bekommen; bei Azure DNS liegen nur ihre Datensätze.

Damit das Internet die Zone befragt, müssen Sie die Domain delegieren: Bei der Registrierungsstelle tragen Sie die Namensserver (NS) ein, die Azure Ihrer Zone zugewiesen hat. Bis dahin lösen Resolver im Internet Ihre Namen nicht in dieser Zone auf, auch wenn die Zone schon alle Datensätze hat.

Datensätze nennen Sie in Azure DNS mit relativen Namen: Der Name www in der Zone example.com ergibt www.example.com. Der Name @ steht für die Spitze der Zone (den Zonenapex, example.com selbst).

Azure DNS kennt die gängigen Typen:

Mehrere Datensätze mit gleichem Namen und Typ bilden eine Datensatzgruppe (record set), etwa zwei A-Einträge für www. Die TTL (Gültigkeitsdauer, die Resolver einen Eintrag behalten) ist je Gruppe einstellbar; Microsofts CLI-Beispiel zeigt als Standard 3600 Sekunden.

Portal-Weg: DNS zones → Create, Abonnement, Ressourcengruppe, Name der Zone → Review + create. In der Zone + Record set: Name, Typ, TTL, Wert. Die Portalnamen hängen von der Spracheinstellung ab.

Befehle (Microsofts Beispiel, mit example.com statt contoso.xyz):

az network dns zone create -g <gruppe> -n example.com
az network dns record-set a add-record -g <gruppe> -z example.com -n www -a 10.10.10.10
az network dns record-set list -g <gruppe> -z example.com
az network dns record-set ns show --resource-group <gruppe> --zone-name example.com `
  --name @

Die letzte Zeile nennt die Namensserver der Zone. Das sind die Namen, die bei der Registrierungsstelle eingetragen werden. Mit Azure PowerShell heißen die Gegenstücke New-AzDnsZone und New-AzDnsRecordSet mit New-AzDnsRecordConfig.

Prüfen mit nslookup

Solange die Delegierung fehlt, fragen Sie einen Namensserver der Zone direkt:

nslookup www.example.com <namensserver-der-zone>

Der Name des Servers kommt aus der NS-Ausgabe, Microsofts Beispiel schreibt ihn in der Form ns1-08.azure-dns.com.. Die Antwort enthält den Namen und die Adresse, die Sie eingetragen haben. Das beweist, dass die Zone stimmt; ob das Internet sie benutzt, hängt von der Delegierung ab.

Alias-Datensätze

Ein Alias-Datensatz ist ein A-, AAAA- oder CNAME-Datensatz, der auf eine Azure-Ressource zeigt, statt eine feste Adresse oder einen festen Namen zu tragen, etwa auf eine öffentliche IP-Adresse oder ein Traffic-Manager-Profil. Drei Vorteile nach Microsoft:

• Ändert sich die Adresse der Ressource, folgt der Eintrag automatisch.
• Wird die Ressource gelöscht, wird der Alias-Satz leer; es bleibt kein hängender Datensatz auf eine fremde Adresse.
• Er funktioniert am Zonenapex, wo ein CNAME nach den DNS-Regeln verboten ist. Das löst den klassischen Fall example.com ohne www.

Alias-Datensätze kosten nichts zusätzlich. Für sie muss der Ressourcenanbieter Microsoft.Network im Abonnement registriert sein (az provider register --namespace Microsoft.Network). Portal-Weg: + Record set, Alias record set auf Yes, Alias type Azure resource oder Zone record set, Ressource wählen.