Microsoft AZ-700: Azure DNS e Resolução de Nomes — Guia de estudos
Faz parte do Microsoft Azure Network Engineer AZ-700 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.
Servidores DNS personalizados, proxy de DNS e armadilhas operacionais
Servidores DNS personalizados (controladores de domínio DNS do Windows ou BIND do Linux) ainda fazem sentido quando a integração com o Active Directory, o encaminhamento condicional complexo ou políticas de DNS avançadas são necessários; no entanto, eles introduzem responsabilidades operacionais — aplicação de patches, clustering de alta disponibilidade (HA), backups e escalonamento. Alternativas que reduzem as operações são as zonas de DNS Privado do Azure para resolução intra-Azure e o Azure Private Resolver ou o proxy de DNS do Firewall do Azure para centralizar as políticas de encaminhamento. Proxies de DNS (recurso de proxy de DNS do Firewall do Azure ou NVAs de terceiros) podem interceptar e encaminhar o DNS para resolvedores selecionados, o que simplifica as políticas e o registro em log, mas pode adicionar pontos únicos de falha e latência adicional. Decisões de design importantes incluem usar encaminhadores baseados em VM em um hub (custo mais baixo, manutenção mais alta) versus o Azure Private Resolver (gerenciado, melhor escalabilidade), quantos endpoints de resolvedor implantar entre as regiões para latência/resiliência e se deve habilitar o registro automático de DNS para endpoints privados. Erros frequentes de engenharia são depender apenas do emparelhamento de VNet para a resolução de DNS (o emparelhamento não compartilha automaticamente as zonas de DNS Privado), esquecer de conceder ao Private Endpoint a permissão para registrar automaticamente os registros DNS e negligenciar a validação das cadeias de certificados ao implementar TLS de ponta a ponta através de um gateway — tudo isso interrompe a resolução de nomes ou as conexões seguras em produção.
Problema Prático: Cenário de Caso de Uso
Cenário: A Fabrikam Inc. opera uma rede Azure hub-and-spoke multirregional. O hub em East US contém um Azure Firewall (Standard) e um perfil do Traffic Manager que roteia os usuários da internet para instâncias do Application Gateway WAF_v2 em duas regiões. Duas instâncias do App Service hospedam www.fabrikam.com, cada uma migrada do ambiente on-premise com endpoints privados em seus spokes regionais.
Desafio: Clientes on-premise e spokes do Azure devem resolver www.fabrikam.com para os endpoints privados do App Service após a migração, o Application Gateway deve preservar os cabeçalhos de host para habilitar o TLS de ponta a ponta, e a resolução de DNS deve ser resiliente entre as regiões.
Abordagem Recomendada:
- Implante uma zona de DNS Privado do Azure chamada fabrikam.com no hub e vincule-a tanto às VNets dos spokes regionais quanto à VNet do hub; adicione registros A para www.fabrikam.com apontando para os IPs dos endpoints privados (ou habilite o registro automático para os endpoints privados do App Service).
- Implante endpoints de entrada do Azure Private Resolver no hub (um por região para resiliência, se necessário) e configure encaminhadores condicionais on-premise para encaminhar as consultas de fabrikam.com para os IPs de entrada do resolvedor.
- Configure as definições de HTTP do Application Gateway WAF_v2 para usar HTTPS na porta 443, defina o cabeçalho de host do backend como www.fabrikam.com e garanta que as sondas de integridade do backend usem HTTPS com um cabeçalho de host que corresponda ao CN/SAN do certificado.
- Valide executando consultas de DNS do ambiente on-premise e dos spokes para garantir que retornem IPs privados, e verifique o TLS de ponta a ponta do Application Gateway conferindo o CN/SAN do certificado e o sucesso da sonda.
Justificativa: Centralizar a funcionalidade de DNS privado e de resolvedor no hub fornece uma fonte única de verdade e simplifica o encaminhamento condicional híbrido; vincular a zona privada a todas as VNets e garantir que o gateway use o cabeçalho de host correto preserva a validação do certificado para o TLS de ponta a ponta, equilibrando a capacidade de gerenciamento operacional, o desempenho e a resiliência.
← Rede Híbrida · Todos os domínios · Segurança de Rede →
Pratique estas questões → · Prática cronometrada no ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Passe no seu exame →