Contoso Retail dispose d'un réseau hybride : un réseau local sur site connecté à un VNet hub Azure via un peering privé ExpressRoute. L'équipe réseau doit permettre aux clients DNS sur site de résoudre les zones DNS privées Azure (pour les points de terminaison privés et les zones privées personnalisées) sans ouvrir le DNS à Internet. Ils souhaitent utiliser Azure Private DNS Resolver. Quelle configuration permet la résolution entrante des requêtes sur site vers Azure DNS à l'aide du Private DNS Resolver ?

La bonne réponse est de déployer Azure Private DNS Resolver avec un point de terminaison entrant dans le VNet hub et de configurer les redirecteurs DNS sur site pour qu'ils transfèrent les requêtes vers les adresses IP privées de ce point de terminaison via ExpressRoute. Le Private DNS Resolver est conçu pour permettre la résolution DNS bidirectionnelle entre les réseaux sur site et Azure, en utilisant des points de terminaison entrants pour les requêtes provenant de l'extérieur d'Azure. L'utilisation d'adresses IP privées garantit que le trafic reste sécurisé sur la connexion ExpressRoute privée, évitant ainsi l'exposition à Internet. Les autres options sont incorrectes car : L'utilisation d'une IP publique pour le point de terminaison entrant exposerait le DNS à Internet, ce qui est contraire à l'exigence de sécurité. La création d'une zone privée Azure DNS seule n'active pas la résolution des requêtes sur site vers Azure DNS sans un mécanisme de transfert approprié comme le Private DNS Resolver. De plus, une connexion Site-à-Site n'est pas nécessaire car ExpressRoute est déjà en place. Déployer une VM Linux BIND est une solution manuelle et moins gérée qu'Azure Private DNS Resolver, et l'exposition d'une IP publique est également une faille de sécurité.