Azure Firewall の DNS 設定

カスタム DNS サーバーを構成して、Azure Firewall の DNS プロキシを有効にすることができます。 これらの設定は、ファイアウォールをデプロイするときに構成するか、後で [DNS 設定] ページから構成します。 既定では、Azure Firewall は Azure DNS を使用し、DNS Proxy は無効になっています。

DNS サーバー

DNS サーバーでは、ドメイン名から IP アドレスに管理と解決が行われます。 Azure Firewall では、名前解決に Azure DNS が既定で使用されます。 DNS サーバー設定を使用すると、Azure Firewall の名前解決に対して独自の DNS サーバーを構成できます。 1 台のサーバーまたは複数台のサーバーを構成できます。 複数の DNS サーバーを構成する場合、使用されるサーバーはランダムに選択されます。 カスタム DNS には、最大 15 台の DNS サーバーを構成できます。

カスタム DNS サーバーを構成する

az network firewall update \
    --name fwName \ 
    --resource-group fwRG \
    --dns-servers 10.1.0.4 10.1.0.5

$dnsServers = @("10.1.0.4", "10.1.0.5")
$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSServer = $dnsServers

$azFw | Set-AzFirewall

DNS プロキシ

Azure Firewall が DNS プロキシとして機能するように構成できます。 DNS プロキシは、クライアント仮想マシンから DNS サーバーへの DNS 要求の仲介役です。

ネットワーク ルールで FQDN (完全修飾ドメイン名) フィルタリングを有効にする場合は、DNS プロキシを有効にし、ファイアウォールを DNS プロキシとして使用するように仮想マシンの構成を更新します。

ネットワーク 規則で FQDN フィルター処理を有効にしたが、Azure Firewall を DNS プロキシとして使用するようにクライアント仮想マシンを構成していない場合、これらのクライアントからの DNS 要求が異なる時間に解決されたり、Azure Firewall で表示される結果とは異なる結果が返されたりする可能性があります。 一貫した DNS 解決と FQDN フィルター処理を確保するには、クライアント仮想マシンを構成して、Azure Firewall を DNS プロキシとして使用します。 この設定により、すべての DNS 要求がファイアウォールを通過し、不整合を防ぐことができます。

Azure Firewall が DNS プロキシの場合、次の 2 種類のキャッシュ関数を使用できます。

• 正のキャッシュ: DNS 解決が成功しました。 ファイアウォールは、最大 1 時間の応答で TTL (Time to Live) に従ってこれらの応答をキャッシュします。

• 負のキャッシュ: DNS 解決が、応答なし、または解決なしという結果になります。 ファイアウォールは、最大 30 分の応答で TTL に従ってこれらの応答をキャッシュします。

DNS プロキシによって、すべての解決済み IP アドレスが FQDN からネットワーク ルールに格納されます。 ベスト プラクティスとして、1 つの IP アドレスに解決される FQDN を使用することをお勧めします。

ポリシーの継承

スタンドアロン ファイアウォールに適用されるポリシー DNS 設定によって、スタンドアロン ファイアウォールの DNS 設定がオーバーライドされます。 子ポリシーは親ポリシーのすべての DNS 設定を継承しますが、親ポリシーをオーバーライドできます。

たとえば、ネットワーク規則で FQDN を使用するには、DNS プロキシを有効にする必要があります。 ただし、親ポリシーで DNS プロキシが有効 になっていない 場合、この設定をローカルでオーバーライドしない限り、子ポリシーはネットワーク ルールの FQDN をサポートしません。

DNS プロキシの構成

DNS プロキシの構成には、次の 3 つの手順が必要です。

1. Azure Firewall の [DNS 設定] で DNS プロキシを有効にします。
2. 必要に応じて、カスタム DNS サーバーを構成するか、指定された既定のものを使用します。
3. DNS トラフィックを Azure Firewall に誘導するために、仮想ネットワークの DNS サーバーの設定で、Azure Firewall のプライベート IP アドレスをカスタム DNS アドレスとして構成します。

az network vnet update \
    --name VNetName \ 
    --resource-group VNetRG \
    --dns-servers <firewall-private-IP>

az network firewall update \
    --name fwName \ 
    --resource-group fwRG \
    --enable-dns-proxy true

$dnsServers = @("<firewall-private-IP>")
$VNet = Get-AzVirtualNetwork -Name "VNetName" -ResourceGroupName "VNetRG"
$VNet.DhcpOptions.DnsServers = $dnsServers

$VNet | Set-AzVirtualNetwork

$azFw = Get-AzFirewall -Name "fwName" -ResourceGroupName "fwRG"
$azFw.DNSEnableProxy = $true

$azFw | Set-AzFirewall

高可用性フェールオーバー

DNS プロキシには、異常が検出されたサーバーの使用を停止し、利用可能な別の DNS サーバーを使用するフェールオーバー メカニズムが備わっています。

すべての DNS サーバーが利用不可の状態になった場合、別の DNS サーバーにフォールバックすることはできません。

正常性チェック

DNS プロキシは、上流のサーバーの異常がレポートされる限り、5 秒間の正常性チェック ループを実行します。 正常性チェックとは、ルート ネーム サーバーに対する再帰 DNS クエリのことです。 上流のサーバーが正常と見なされると、ファイアウォールは、次のエラーまで正常性チェックを停止します。 正常なプロキシからエラーが返されると、ファイアウォールはリストから別の DNS サーバーを選択します。

Azure プライベート DNS ゾーンを使用する Azure Firewall

Azure Firewall では、Azure プライベート DNS ゾーンとの統合がサポートされており、プライベート ドメイン名を解決できます。 プライベート DNS ゾーンを Azure Firewall がデプロイされている仮想ネットワークに関連付けると、そのゾーンで定義されている名前をファイアウォールで解決できます。

以下は、Azure Firewall の管理トラフィックがアクセスする必要があるため、オーバーライドされるべきではない Microsoft が所有するドメインの非網羅的なリストです。

• azclient.ms
• azure.com
• cloudapp.net
• core.windows.net
• login.microsoftonline.com
• microsoft.com
• msidentity.com
• trafficmanager.net
• vault.azure.net
• windows.net
• management.azure.com
• table.core.windows.net
• store.core.windows.net
• azure-api.net
• microsoftmetrics.com
• time.windows.com
• servicebus.windows.net
• blob.storage.azure.net
• blob.core.windows.net
• arm-msedge.net
• cloudapp.azure.com
• monitoring.core.windows.net

たとえば、Azure Firewall 管理トラフィックでは、ドメイン blob.core.windows.netを使用してストレージ アカウントにアクセスする必要があります。 *.blob.core.windows.netのプライベート DNS ゾーンを作成し、それをファイアウォールの仮想ネットワークに関連付ける場合は、既定の DNS 解決をオーバーライドし、重要なファイアウォール操作を中断します。 この問題を回避するには、既定のドメインをオーバーライドしないでください。 代わりに、 *.<unique-___domain-name>.blob.core.windows.netなどの一意のサブドメインのプライベート DNS ゾーンを作成します。

または、プライベート DNS ゾーンが Azure Firewall に影響しないようにするには、プライベート DNS ゾーンを必要とするサービスを別の仮想ネットワークにデプロイします。 これにより、プライベート DNS ゾーンはサービス仮想ネットワークにのみ関連付けられ、Azure Firewall の DNS 解決には影響しません。

次のステップ

• Azure Firewall DNS プロキシの詳細
• ネットワーク ルールでの FQDN フィルタリング