Azure:如何将私有(private) DNS 区域与跨订阅的虚拟网络关联起来？

Question

我在 2 个不同的订阅中有 2 个虚拟网络，如下所示:

• VNET1:订阅#1 中的 192.168.0.0/24 (HUB)
• VNET2:订阅#2 中的 192.168.1.0/24 (SPOKE)

我已经创建了对等互连，并且能够从两侧正确执行 ping 操作。

现在，我已经在订阅#1 (HUB) 中创建了私有(private)区域，如下所示

resource "azurerm_private_dns_zone" "keyvalutzone" {
  name                = "privatelink.vaultcore.azure.net"
  resource_group_name = azurerm_resource_group.ipz12-dat-np-connection-rg.name

  depends_on = [
    azurerm_resource_group.ipz12-dat-np-connection-rg
  ]
}

它已与 VNET 链接，如下所示

resource "azurerm_private_dns_zone_virtual_network_link" "network_link_hub_vnet_keyvalut" {
  name                  = "vnet_link_hub_keyvalut"
  resource_group_name   = azurerm_resource_group.ipz12-dat-np-connection-rg.name
  private_dns_zone_name = azurerm_private_dns_zone.keyvalutzone.name
  virtual_network_id    = azurerm_virtual_network.hub_vnet.id

  depends_on = [
    azurerm_private_dns_zone.keyvalutzone, 
    azurerm_virtual_network.hub_vnet
  ]  
}

问题:我是否需要将此私有(private) DNS 区域与所有虚拟网络(包括订阅 #2 (SPOKE) 中的 VNET2)相关联，以便私有(private)端点可以在VNET2中解析吗？如果是这样，我如何将此私有(private) DNS 区域与 VNET2 关联？

注意:我在订阅#1 (HUB) 中有一个私有(private) DNS 解析器，因为它的入站端点地址在 VNET1 HUB) 中的strong>

resource "azurerm_private_dns_resolver" "hub_private_dns_resolver" {
  name                = "hub_private_dns_resolver"
  resource_group_name = azurerm_resource_group.ipz12-dat-np-connection-rg.name
  location            = azurerm_resource_group.ipz12-dat-np-connection-rg.location
  virtual_network_id  = azurerm_virtual_network.hub_vnet.id
}

resource "azurerm_private_dns_resolver_inbound_endpoint" "hub_private_dns_resolver_ie" {
  name                    = "hub_private_dns_resolver_ie"
  private_dns_resolver_id = azurerm_private_dns_resolver.hub_private_dns_resolver.id
  location                = azurerm_private_dns_resolver.hub_private_dns_resolver.location
  
  ip_configurations {
    private_ip_allocation_method = "Dynamic"
    subnet_id                    = azurerm_subnet.dns_resolver_inbound_subnet.id
  }
}

Answer 1

我尝试在我的环境中重现相同的结果，并得到如下结果:

您可以将属于不同订阅的虚拟网络与私有(private) DNS 区域一起使用，请确保您对虚拟网络和私有(private) DNS 区域具有写入操作权限，例如>网络贡献者和私有(private) DNS 区域贡献者角色

如果您在不同订阅或同一订阅的中心辐射模型中使用专用终结点，建议将相同的私有(private) DNS 区域链接到包含需要从该订阅进行 DNS 解析的客户端的所有分支和中心虚拟网络。区域。

您可以链接 private DNS zone有N个虚拟网络。还可以将专用区域连接到属于不同订阅一部分的虚拟网络。

每当创建新虚拟机时，请确保启用自动注册，自动注册到此私有(private) DNS 区域。

然后我创建了它自动注册的虚拟机，并尝试添加如下记录:

现在尝试测试私有(private) DNS 区域并在两个虚拟机上配置防火墙以允许 RDP powershell 中的入站 ICMP 数据包，如下所示:

New-NetFirewallRule –DisplayName "Allow ICMPv4-In" –Protocol ICMPv4

现在，从这台机器 vm2(infra002) 中，我可以使用自动注册的主机名 ping vm1，如下所示:

引用:

Azure Private Endpoint DNS configuration | Microsoft