Hallo und willkommen zurück.
Im heutigen Video werden wir über den hybriden DNS sprechen.
In größeren Unternehmen ist es üblich, dass die Architektur auf einem
hybriden Aufbau basiert.
So kann ein Teil der Infrastruktur in einem zweiten Teil der Infrastruktur in einem Rechenzentrum
vor Ort, in Azure usw. liegen.
Wenn Sie eine hybride Einrichtung haben, ist eine der Herausforderungen die DNS-Auflösung insgesamt.
Und genau das werden wir im heutigen Video besprechen.
Bevor wir die Dinge im Detail verstehen, sollten wir die Grundlagen der privaten gehosteten Zone
in einer Übersicht überarbeiten.
Die private gehostete Zone enthält den Datensatz, der angibt, wie Sie den Datenverkehr in einer Amazon VPC weiterleiten
möchten.
Nehmen wir zum Beispiel an, Sie haben eine privat gehostete Zone und es gibt einen bestimmten Satz von Einträgen
und zwei EPCs.
Standardmäßig sind diese VPC nicht in der Lage, eine Auflösung auf der Grundlage dieser Datensätze durchzuführen.
Sie müssen also die VPC mit einer privaten gehosteten Zone verknüpfen, und erst nach dieser
Verknüpfung können die Ressourcen in der VPC die Auflösung durchführen.
Da die VPC Nummer zwei nicht assoziiert ist, kann die EC, zwei Instanzen in dieser VPC, die
Datensätze dieser speziellen privaten gehosteten Zone nicht auflösen.
Lassen Sie mich Ihnen das auch kurz zeigen.
In diesem Stadium habe ich also eine private gehostete Zone namens demo dot internal.
Der Typ, den Sie sehen, ist jetzt privat und mit dieser Zone verbunden.
Wenn ich die Zone schnell bearbeite, haben Sie die Möglichkeit, eine VPC mit dieser Zone zu verknüpfen.
In diesem Stadium sehen Sie, dass nur eine VPC zugeordnet ist.
Sie haben auch die Möglichkeit, mehrere VPC mit dieser Zone zu verknüpfen, so dass alle Datensätze, die
Teil dieser Zone sind, von den Ressourcen, die mit der VPC verknüpft sind, aufgelöst werden
können.
Ein wichtiger Punkt ist, dass Route 53 nicht auf Anfragen antwortet, die nicht
aus dem VPC stammen.
Nehmen wir zum Beispiel an, Sie haben eine private gehostete Zone und eine VPC Nummer eins, die mit dieser Zone verbunden
ist, und es gibt auch eine VPC Nummer zwei, und es gibt ein Peering zwischen diesen beiden VPCs.
So kann die easy two-Instanz in VPC two mit der EC, two-Instanz in VPC one kommunizieren
und umgekehrt.
Da nun VPC 1 Zugriff auf die private gehostete Zone hat, wird davon ausgegangen, dass die Ressourcen in VPC
2 über diese Peering-Verbindung in der Lage sind, auch die Datensätze aufzulösen, die Teil der privaten gehosteten
Zone sind.
Das ist jedoch nicht der Fall.
Wenn also ein easy two aus dem VPC Nummer zwei die Abfrage für diesen speziellen Datensatz sendet.
Zum Beispiel, 01. Demopunkt intern zur VPC Nummer eins plus zwei Adresse.
Es wird nicht lösbar sein.
Schauen wir uns also auch das noch einmal kurz an.
Ähnlich wie bei dieser speziellen Architektur habe ich die Infrastruktur bereits eingerichtet.
In Konto Nummer eins habe ich also eine easy to-Instanz, die läuft, und eine weitere
easy two-Instanz, die in Konto Nummer zwei läuft, und beide VPC, in denen die EC two läuft,
sind erschienen.
Wenn wir uns zum Beispiel die Peering-Verbindung ansehen, sehen Sie, dass es ein Peering zwischen der VPC mit Kontonummer
eins und Kontonummer zwei gibt.
Und ähnlich wie in diesem Diagramm gibt es eine private gehostete Zone, die mit der VPC Nummer eins verbunden
ist.
Ich möchte es Ihnen auch zeigen.
Wenn Sie sich also die Assoziation ansehen, ist sie mit einer der VPCs verbunden, die wir als VPC Nummer
eins bezeichnen.
Vom Terminal aus bin ich nun bereits mit diesen beiden EC-Instanzen verbunden.
Die erste EC-2-Instanz hat also eine IP von 1077 null 172.
Wie Sie sehen, haben Sie 1077 null 172 und die zweite hat eine IP von eins 7231 und wenn Sie hier drüben schauen,
haben Sie eins 7231.
Bevor wir also fortfahren, sollten wir zunächst überprüfen, ob die Verbindung erfolgreich hergestellt wurde.
Ich werde also vom Konto Nummer zwei, EC zwei, einen Ping auf das EC zwei machen, das mit dem Konto Nummer eins
verbunden ist.
Und wie erwartet, ist die Ping-Verbindung in diesem Stadium erfolgreich.
In diesem Stadium ist der zweite Punkt sehr wichtig, bei dem es um die VPC-plus-zwei-Adresse ging.
Dies ist also die Adresse, die sich auf die Gesamtauflösung bezieht.
Lassen Sie mich Ihnen also kurz zeigen, wie die ETSI-Ergebniskonferenz aussieht.
Sie müssen das Plus ansprechen.
Wenn der VPC-CIDR also 1070 700 16 lautet, dann wäre der Nameserver 1077 0. 2.
Also gut.
Wenn Sie nun z.B. bei Google nachschauen. com auf diese Adresse, 1077 0. 2 wieder, wenn Sie es nicht erwähnen, wird dies als
Standard angenommen.
Aber um Verwirrung zu vermeiden, füge ich sie hier hinzu.
Sie sehen, die Auflösung funktioniert einwandfrei.
Ähnlich verhält es sich, wenn Sie die mit der privat gehosteten Zonendomäne verbundene Auflösung ausprobieren.
Ich werde 01 sagen. Demo-Punkt intern.
Und wie Sie sehen, funktioniert auch die Auflösung einwandfrei.
Da es bereits eine Verbindung zwischen VPC eins und VPC zwei gibt, wird angenommen, dass die Instanz in
VPC zwei, wenn diese Instanz auch diese spezifische DNS-Anfrage an diese Plus-Zwei-Adresse sendet, die Auflösung funktionieren
wird.
Wir haben jedoch gerade erfahren, dass dies nicht unterstützt wird, also sollten wir es ausprobieren.
Wenn ich also genau denselben Befehl hier ausführe, sehen Sie, dass wir hier nicht wirklich eine Antwort erhalten.
In diesem Stadium wurde eine Zeitüberschreitung der Verbindung gemeldet, die besagt, dass keine Server erreicht werden konnten.
Der erste Hinweis bedeutet also, dass Route 53 nicht auf Anfragen antwortet,
die nicht aus dem VPC stammen.
In diesem Stadium haben wir über das VPC-Peering gesprochen.
Es kann sich jedoch um jede Art von Einrichtung handeln.
Wenn wir zum Beispiel über eine hybride Architektur sprechen, bei der es eine VPC und eine On Premise
gibt und die Konnektivität entweder über VPN oder eine direkte Verbindung besteht, wird diese Art der Einrichtung
nicht unterstützt, wenn die Ressourcen in der On Premise versuchen, sich mit der VPC plus zwei IP-Adressen zur Auflösung
zu verbinden.
Da es viele Organisationen gibt, die eine solche Einrichtung aktiv nutzen, stellt sich nun die Frage, welche
Lösung wahrscheinlich ist, damit sie funktioniert.
Eine der wahrscheinlichen Lösungen ist hier die Einführung eines DNS-Servers.
Wenn Sie sich also diese spezielle wahrscheinliche Architektur ansehen, werden Sie zuerst den benutzerdefinierten
DNS-Server in der VPC hosten.
Dies ist also ein einfaches Beispiel.
Dann sendet der Standort die Abfragen an den benutzerdefinierten DNS-Server.
Anstatt an die IP-Adresse plus zwei zu senden, senden Sie sie an die IP-Adresse dieses benutzerdefinierten
DNS-Servers.
Nun leitet dieser benutzerdefinierte DNS-Server die Anfrage an den entsprechenden Route 53-Auflöser weiter.
Und von hier aus wird jede Antwort, die dieser benutzerdefinierte DNS-Server erhält, an den Server vor
Ort zurückgesendet.
Dies ist eine der am häufigsten anzutreffenden Architekturen, die Sie im Allgemeinen in Unternehmen vorfinden.
Das funktioniert ziemlich gut.
Diese Art von Architektur birgt jedoch einige Herausforderungen.
Der erste Grund ist, dass der Kunde den benutzerdefinierten DNS-Server verwalten muss, so dass alles, was mit Hochverfügbarkeit,
Sicherheit und Skalierbarkeitsoptimierung zu tun hat, in die Verantwortung des Kunden fällt.
Wenn nun aus irgendeinem Grund die EC2-Instanz für den benutzerdefinierten DNS-Server ausfällt, funktioniert
die gesamte DNS-Auflösung nicht mehr, was sich auf die gesamte Anwendung auswirkt.
Dies ist einer der Gründe, warum die Root 53 Resolver-Endpunkte eingeführt wurden, die es uns ermöglichen, mit den
privaten Hosts oder Domains von außerhalb der VPC zu kommunizieren.
Anstelle des benutzerdefinierten DNS-Servers wird hier also der Resolver-Endpunkt eingeführt.
Der Vorteil dieses Resolver-Endpunkts besteht darin, dass er sich um die gesamte Infrastruktur kümmert.
Sie müssen sich also keine großen Gedanken über Hochverfügbarkeit, Sicherheitsoptimierung usw. machen. Wir kümmern uns darum.
Sie müssen lediglich einen Resolver-Endpunkt erstellen und die Abfrage an die mit diesem Endpunkt verbundene
IP-Adresse senden, und schon ist Ihre gesamte DNS-Einrichtung für Sie erledigt.
Die meisten Unternehmen migrieren heute von dem von uns besprochenen Ansatz des benutzerdefinierten
DNS-Servers zu diesem Resolver-Endpunkt.
Auch hier bietet der Funktionsumfang des Resolver-Endpunkts eine große Flexibilität.
Wir werden dies in dem entsprechenden Video besprechen.
Ich hoffe jedoch, dass Sie aus architektonischer Sicht eine Vorstellung davon bekommen haben, welche Lösungen mit
einem hybriden Aufbau verbunden sind.
Damit endet unser heutiges Video.