Problembehandlung bei Azure DNS

Zusammenfassung

Dieser Artikel hilft DNS-Administratoren bei der Behandlung allgemeiner Azure DNS Probleme mit Zonen, Einträgen und Namensauflösung, damit sie den DNS-Dienst wiederherstellen können.

Verwandter Designanleitfaden

Lesen Sie vor der Problembehandlung bei der DNS-Architektur die folgenden Entwurfsanleitungen:

• Hilfe bei der Auswahl zwischen Azure bereitgestellten DNS, Privates DNS Zonen, Private Resolver, benutzerdefinierten DNS-Servern und Traffic Manager-basierten Optionen für Hybrid- und Multiregion-Designs finden Sie unter Hybrid-DNS-Infrastruktur für Azure.
• Informationen zu DNS-Integrationsmustern für private Endpunkte, einschließlich einzelner virtueller Netzwerke, Hub-and-Spoke-, lokalen und benutzerdefinierten DNS-Szenarien, finden Sie unter Azure DNS-Integrationsszenarien für private Endpunkte.

Sie können auch Microsoft Copilot in Azure aus dem Azure-Portal verwenden, um die Behandlung von DNS-Lösungsproblemen zu unterstützen. Versuchen Sie beispielsweise eine Eingabeaufforderung wie "Können Sie mir bei der Behandlung von PROBLEMEN bei der DNS-Auflösung in Azure helfen?" Copilot können Ihren Ressourcenkontext verwenden und Sie durch die Schritte in diesem Artikel führen. Weitere Informationen finden Sie unter Was ist in Azure Microsoft Copilot? und Beispielaufforderungen.

Azure DNS Produkte

Auflösungspriorität innerhalb Azure Rekursion

Wenn Azure bereitgestellten DNS (168.63.129.16) oder ein Privater Resolver-Endpunkt eine Abfrage empfängt, wird nicht nur der Name an die öffentliche Rekursion übergeben. Es durchläuft mehrere autoritative und Richtlinienquellen in einer festen Reihenfolge und gibt die erste Übereinstimmung zurück. Wenn Sie diese Reihenfolge kennen, können Sie vorhersagen , welche Antwort eine VM erhält, wenn derselbe Name an mehreren Stellen vorhanden ist (z. B. eine Zone, ein privatelink DNS-Weiterleitungsregelnet und öffentliches DNS).

Das folgende Diagramm zeigt die Auswertungsreihenfolge. Lesen Sie es von oben nach unten:

• Azure DNS Resolver-Richtlinie fungiert als Filter für jede Abfrage. Eine Blockregel stoppt die Suche vor Antworten auf Zonen- oder Regelsatz.A Block rule stops the lookup before any zone or ruleset answers. Allow and Alert rules pass the query through (with logging) to the steps below.
• Verknüpfte Privates DNS Zonen (einschließlich privatelink.* zonen, die von privaten Endpunkten registriert wurden) werden als Nächstes überprüft, weshalb ein privater Endpunkt den öffentlichen Datensatz für denselben FQDN "gewinnt".
• DNS-Weiterleitungsregelnets stimmen dann beim Suffix überein und senden die Abfrage über den ausgehenden Endpunkt an einen Lokalen oder einen Drittanbieter-Resolver.
• Alles, was nicht übereinstimmt, fällt auf öffentliche Azure DNS/ Internet-Rekursion.

Verwenden Sie diese Reihenfolge, wenn Sie erklären möchten, warum ein Client eine unerwartete IP erhalten hat. Normalerweise bedeutet dies eine Quelle mit höherer Priorität (eine Azure DNS Resolver-Richtlinienregel, eine verknüpfte private Zone oder eine Weiterleitungsregel), die abgeglichen wird, bevor rekursion jemals die öffentliche Antwort erreicht hat.

Weitere Informationen finden Sie unter Azure DNS Übersicht über private Resolver.

Allgemeine DNS-Problembehandlungstools

Die meisten Azure DNS Probleme fallen in eine von zwei Kategorien: der Inhalt, den der Resolver zurückgibt (falscher Datensatz, fehlender Datensatz, veralteter Cache) oder der Netzwerkpfad zum Resolver (NSG, Route Table, Firewall oder NVA blocking UDP/TCP 53). Die effektive Problembehandlung trennt diese beiden Bedenken, bevor Sie ein produktspezifisches Verhalten eingehen.

Ein zuverlässiger Ansatz:

1. Legen Sie fest, was der Client heute tut. Ermitteln Sie, welcher Resolver der Client tatsächlich abfragt (Get-DnsClientServerAddress, , resolvectl status), bevor davon ausgegangen wirdipconfig /all, 168.63.129.16dass er oder Ihr benutzerdefiniertes DNS ist.
2. Vergleichen Sie die fehlerhafte Abfrage mit einer bekannten Quelle. Führen Sie dieselbe Abfrage für den verdächtigen Resolver und für einen Verweislöser aus (168.63.129.16ein privater Resolver-Endpunkt 1.1.1.1oder ein Azure Namensserver direkt). Wenn sich die Antworten unterscheiden, liegt das Problem beim DNS-Eintrag selbst (falscher Wert, veralteter Cache oder fehlerhafte Zonendelegierung). Wenn beide Timeouts auftreten, ist das Problem der Netzwerkpfad zum Resolver.
3. Isolieren Sie den Netzwerkpfad mit einem Nicht-DNS-Prüfpunkt. Test-NetConnection -Port 53 bestätigt, ob UDP/TCP 53 den Resolver überhaupt erreicht, wobei ein Routing/NSG/Firewall-Problem von einem DNS-Inhaltsproblem getrennt wird.
4. Vermeiden Sie zwischenspeichern, bevor Sie Schlussfolgerungen ziehen. Leeren Sie den lokalen Cache (Clear-DnsClientCache, ipconfig /flushdns, sudo resolvectl flush-caches), und verwenden Sie beim Überprüfen öffentlicher Zonen einen externen Tester, z digwebinterface . B. so dass Unternehmensproxys und rekursive Caches die Liveantwort nicht maskieren.
5. Verwenden Sie Azure-seitigen Signale nicht zuerst. Das Aktivitätsprotokoll in der Zone, dem Resolver oder der Richtlinie erläutert Fehler auf der Steuerungsebene (Fehler erstellen oder aktualisieren, Kontingente, Konflikte); Network Watcher Verbindungsproblembehandlung erläutert Datenebenenpfadfehler. Beide sind am nützlichsten, nachdem die oben genannten Schritte das Problem eingeschränkt haben.

Wählen Sie das Tool aus, das der getesteten Ebene entspricht – Abfrageinhalt, Portreichbarkeit, Cachestatus oder die Azure Steuerebene – mithilfe der folgenden Tabelle.

Wählen Sie das entsprechende Tool aus.

Überprüfen der DNS-Auflösung

Führen Sie die folgenden Schritte für einen DNS-Fehler aus, bevor Sie zu einem produktspezifischen Abschnitt wechseln. Die Beispiele in den folgenden Abschnitten zeigen die allgemeine Verwendung der Tools. Vollständige Befehls- und Ressourcendetails finden Sie in der vorherigen Tabelle. Wenn Sie Linux-Befehle verwenden, lesen Sie die Dokumentation Ihrer Verteilung für die richtige Befehlssyntax und paketverfügbarkeit, da Befehle und Optionen je nach Verteilung variieren können.

1. Ermitteln Sie, welcher Resolver der Client verwendet.

   a. Unter Windows:

   Get-DnsClientServerAddress -AddressFamily IPv4
   ipconfig /all | Select-String "DNS Servers"
   

   b. Unter Linux:

   resolvectl status
   cat /etc/resolv.conf
   

   • In Azure VMs mit Standardeinstellungen wird angezeigt168.63.129.16. Wenn eine benutzerdefinierte IP angezeigt wird, durchlaufen Sie einen benutzerdefinierten DNS-Server oder Server.

2. Abfragen des Standardlösers.

   a. Fenster:

   Resolve-DnsName www.contoso.com
   

   b. Linux:

   nslookup www.contoso.com
   dig www.contoso.com +noall +answer
   

3. Umgehen Sie den Standardlöser, um das Problem zu isolieren. Zeigen Sie direkt auf den Upstream, den Sie testen möchten.

   a. Fenster:

   # Query Azure-provided DNS directly
   Resolve-DnsName www.contoso.com -Server 168.63.129.16
   
   # Query a Private Resolver inbound endpoint
   Resolve-DnsName db.contoso.com -Server 10.10.0.4
   
   # Query a public resolver to compare what the internet sees
   Resolve-DnsName www.contoso.com -Server 1.1.1.1
   

   b. Linux:

   dig @168.63.129.16 www.contoso.com
   dig @10.10.0.4 db.contoso.com
   dig @1.1.1.1 www.contoso.com
   

4. Vergewissern Sie sich, dass UDP/TCP 53 erreichbar ist, auf welchen Server Sie abzielen.

   Test-NetConnection 168.63.129.16 -Port 53
   Test-NetConnection 10.10.0.4 -Port 53
   

5. Leeren von Caches vor dem erneuten Testen, wenn Datensätze kürzlich geändert wurden.

   a. Fenster:

   ipconfig /flushdns
   Clear-DnsClientCache
   

   b. Linux:

   sudo resolvectl flush-caches
   

NSG, Azure Firewall oder NVA blockieren UDP/TCP 53

Symptom

Timeout für DNS-Abfragen (Resolve-DnsName : timed outdigwird angezeigtconnection timed out; no servers could be reached). Dieses Problem tritt häufig unmittelbar nach der Einführung einer NSG-Regel, Änderung der Routentabelle, Azure Firewall oder NVA im Ausgangspfad auf.

Schritte

1. Identifizieren Sie die Ziel-IP , die der Client abfragt.

   • Allgemeine Ziele: 168.63.129.16, ein privater Resolver-Endpunkt, eine benutzerdefinierte DNS-VM oder ein öffentlicher Resolver.
   • Verwenden Sie Schritt 1 der DNS-Auflösung überprüfen , um dies zu bestätigen.

2. Testen Sie die unformatierte Reichweite am Port 53.

   Test-NetConnection 168.63.129.16 -Port 53
   

3. Überprüfen Sie effektive NSG-Regeln für die Client-NIC.

   a. Öffnen Sie im Portal den virtuellen Clientcomputer → Networking → Ihrem NIC-→ helfen, effektive Sicherheitsregeln zu →.

   b. Bestätigen Sie, dass eine ausgehende Regel UDP 53undTCP 53 an die Ziel-IP zulässt.

4. Überprüfen Sie effektive Routen auf derselben NIC.

   • Pro Microsoft 168.63.129.16 unterliegen keine benutzerdefinierten Routen, sodass eine UDR-Zieladresse, die ausdrücklich nicht gilt.
   • Eine NSG-Regel, die das AzurePlatformDNS Diensttag verweigert, kann jedoch den Datenverkehr an Azure bereitgestellten DNS blockieren.

5. Wenn sich Azure Firewall im Pfad befindet, stellen Sie sicher, dass der DNS-Datenverkehr zulässig ist.

   a. Fügen Sie in den meisten Fällen eine Netzwerkregel hinzu, die UDP/TCP 53 vom Client-Subnetz zur Auflösungs-IP zulässt.

   b. Nur wenn die Firewall DNS selbst verarbeiten soll (z. B. zum Verwenden der FQDN-Filterung in Netzwerkregeln), aktivieren Sie DEN DNS-Proxy in der Firewall und zeigen VNet dnsServers auf die private IP der Firewall.

6. Vergewissern Sie sich bei NVAs (Network Virtual Appliances), dass der NVA DNS unverändert weiterleitet und dass seine eigenen ausgehenden Regeln 53 zulassen.

7. Testen Sie nach jeder Änderung erneut.

   Resolve-DnsName www.contoso.com -Server 168.63.129.16
   

Empfohlene Artikel

• Was ist die IP-Adresse 168.63.129.16?
• DNS-Einstellungen für Azure Firewall
• Übersicht über Netzwerksicherheitsgruppen

Privates DNS Zonengruppen

Wenn Sie einen privaten Endpunkt in eine Privates DNS Zone integrieren, erstellt Azure eine Privates DNS Zonengruppe. Diese Bindungsressource verbindet den privaten Endpunkt mit einer oder mehreren Privates DNS Zonen. Die Zonengruppe speichert die privatelink.*A Datensätze in der Zone, die mit dem privaten Endpunkt synchronisiert werden, während sie sich ändert (hinzugefügte oder entfernte Regionen, Endpunkt gelöscht). Ohne die Zonengruppe müssen Sie Zonen und A Datensätze manuell aktualisieren.

Beachten Sie die folgenden Zonengruppenbeschränkungen und -verhaltensweisen:

• Eine Zonengruppe kann bis zu 5 Privates DNS Zonen enthalten.
• Nur eine Privates DNS Zone pro Zonenname pro Zonengruppe. Sie können beispielsweise keine zwei privatelink.blob.core.windows.net Zonen an dieselbe Gruppe binden.
• Ein privater Endpunkt unterstützt nur eine Zonengruppe.
• Der Azure Traffic Manager- und DNS-Ressourcenanbieter führt Lösch- und Aktualisierungsvorgänge für die Einträge aus. Dieses Verhalten ist ein normales Plattformverhalten, kein nicht verknüpfter Dienst.

Referenz: Azure Dns-Integrationsszenarien für private Endpunkte – Privates DNS Zonengruppe.

Überprüfen, ob ein privater Endpunkt über eine DNS-Zonengruppe verfügt

Führen Sie die folgenden Schritte aus einer Sitzung aus, die beim Abonnement angemeldet ist, das den privaten Endpunkt enthält.

• Azure PowerShell — Get-AzPrivateDnsZoneGroup:

Get-AzPrivateDnsZoneGroup `
  -ResourceGroupName <rg> `
  -PrivateEndpointName <pe-name>

Ein leeres Ergebnis bedeutet, dass der private Endpunkt keine Zonengruppe gebunden hat. Die Namensauflösung an den privaten Endpunkt wird in keiner Privates DNS Zone automatisch verwaltet, und Clients müssen den FQDN auf andere Weise auflösen (manueller A Eintrag, benutzerdefiniertes DNS, Hostdatei).

• Azure CLI — az network private-endpoint dns-zone-group list:

az network private-endpoint dns-zone-group list \
  --resource-group <rg> \
  --endpoint-name <pe-name>

Verwenden Sie az network private-endpoint dns-zone-group showfolgendes, um zu prüfen, an welche Zonen eine bestimmte Gruppe gebunden ist:

az network private-endpoint dns-zone-group show \
  --resource-group <rg> \
  --endpoint-name <pe-name> \
  --name <zone-group-name>

Empfohlene Artikel

• Szenarien für die DNS-Integration von privaten Azure-Endpunkten
• DNS-Konfiguration für private Azure-Endpunkte

Ich kann keine DNS-Zone erstellen

Um häufige Probleme zu beheben, führen Sie einen oder mehrere der folgenden Schritte aus:

1. Überprüfen Sie die Azure DNS Überwachungsprotokolle, um den Fehlergrund zu finden.
2. Jeder DNS-Zonenname muss innerhalb der Ressourcengruppe eindeutig sein. Das heißt, zwei DNS-Zonen mit demselben Namen können keine Ressourcengruppe gemeinsam nutzen. Versuchen Sie, einen anderen Zonennamen oder eine andere Ressourcengruppe zu verwenden.
3. Möglicherweise wird ein Fehler angezeigt, der besagt: "Sie haben die maximale Anzahl von Zonen im Abonnement {Abonnement-ID} erreicht oder überschritten." Verwenden Sie entweder ein anderes Azure-Abonnement, löschen Sie einige Zonen, oder wenden Sie sich an den Support Azure, um Ihr Abonnementlimit zu erhöhen.
4. Möglicherweise wird ein Fehler angezeigt, der besagt, dass die Zone "{zone name}" nicht verfügbar ist. Dieser Fehler bedeutet, dass Azure DNS Namenserver für diese DNS-Zone nicht zuordnen konnten. Versuchen Sie, einen anderen Zonennamen zu verwenden. Oder wenn Sie der Besitzer des Domänennamens sind, können Sie sich an Azure-Support wenden, um Namenserver für Sie zuzuweisen.

Empfohlene Artikel

• DNS-Zonen und -Einträge
• Erstellen einer DNS-Zone

Ich kann keinen DNS-Eintrag erstellen.

Um häufige Probleme zu beheben, führen Sie einen oder mehrere der folgenden Schritte aus:

1. Überprüfen Sie die Azure DNS Überwachungsprotokolle, um den Fehlergrund zu finden.
2. Ist der Datensatzsatz bereits vorhanden? Azure DNS verwaltet Datensätze mithilfe von Datensatzsätzen, bei denen es sich um die Auflistung von Datensätzen handelt, die denselben Namen und denselben Typ aufweisen. Wenn bereits ein Datensatz mit demselben Namen und Typ vorhanden ist, müssen Sie den vorhandenen Datensatzsatz bearbeiten, um einen anderen Datensatz hinzuzufügen.
3. Versuchen Sie, einen Eintrag in der DNS-Zone apex (das "Root" der Zone) zu erstellen? Ist dies der Grund, besteht die DNS-Konvention darin, das Zeichen "@" als Eintragsnamen zu verwenden. Beachten Sie außerdem, dass die DNS-Standards keine CNAME-Einträge in der Zone apex zulassen.
4. Haben Sie einen CNAME-Konflikt? Die DNS-Standards lassen keinen CNAME-Eintrag mit demselben Namen wie einen Eintrag eines anderen Typs zu. Wenn Sie über einen vorhandenen CNAME verfügen, schlägt das Erstellen eines Datensatzes mit demselben Namen eines anderen Typs fehl. Ebenso schlägt das Erstellen eines CNAME-Elements fehl, wenn der Name einem vorhandenen Datensatz eines anderen Typs entspricht. Entfernen Sie den Konflikt, indem Sie den anderen Datensatz entfernen oder einen anderen Datensatznamen auswählen.
5. Haben Sie den Grenzwert für die Anzahl der in einer DNS-Zone zulässigen Datensatzsätze erreicht? Das Azure Portal zeigt die aktuelle Anzahl von Datensatzsätzen und die maximale Anzahl von Datensatzsätzen unter den "Eigenschaften" für die Zone an. Wenn Sie diesen Grenzwert erreicht haben, löschen Sie einige Datensatzsätze oder wenden Sie sich an den Support Azure Support, um Den Datensatzsatzgrenzwert für diese Zone zu erhöhen, und versuchen Sie es dann erneut.

Empfohlene Artikel

• DNS-Zonen und -Einträge
• Erstellen einer DNS-Zone

Ich kann meinen DNS-Eintrag nicht auflösen

Die DNS-Namensauflösung ist ein mehrstufiger Prozess, der aus vielen Gründen fehlschlagen kann. Die folgenden Schritte helfen Ihnen, zu untersuchen, warum die DNS-Auflösung für einen DNS-Eintrag in einer zone fehlschlägt, die in Azure DNS gehostet wird.

1. Vergewissern Sie sich, dass die DNS-Einträge in Azure DNS ordnungsgemäß konfiguriert sind. Überprüfen Sie die DNS-Einträge im Azure-Portal, und überprüfen Sie, ob der Zonenname, der Eintragsname und der Datensatztyp korrekt sind.

2. Vergewissern Sie sich, dass die DNS-Einträge auf den Azure DNS Nameservern ordnungsgemäß aufgelöst werden.

   • Wenn Sie DNS-Abfragen von Ihrem lokalen PC erstellen, werden möglicherweise zwischengespeicherte Ergebnisse angezeigt, die nicht den aktuellen Status der Namenserver widerspiegeln. Darüber hinaus verwenden Unternehmensnetzwerke häufig DNS-Proxyserver, die verhindern, dass DNS-Abfragen an bestimmte Namenserver weitergeleitet werden. Um diese Probleme zu vermeiden, verwenden Sie einen webbasierten Namensauflösungsdienst wie digwebinterface.
   • Achten Sie darauf, die richtigen Namenserver für Ihre DNS-Zone anzugeben, wie im Azure-Portal gezeigt.
   • Überprüfen Sie, ob der DNS-Name korrekt ist (Sie müssen den vollqualifizierten Namen einschließlich des Zonennamens angeben), und der Eintragstyp ist richtig.

3. Vergewissern Sie sich, dass der DNS-Domänenname ordnungsgemäß delegiert an die Azure DNS Namenserver ist. Es gibt viele Nicht-Microsoft-Websites, die eine DNS-Delegierungsüberprüfung anbieten. Bei diesem Test handelt es sich um einen Zonendelegierungstest. Deshalb sollten Sie nur den Namen der DNS-Zone und nicht den vollqualifizierten Eintragsnamen eingeben.

4. Nachdem Sie die vorstehenden Schritte abgeschlossen haben, sollte ihr DNS-Eintrag jetzt ordnungsgemäß aufgelöst werden. Um zu überprüfen, können Sie digwebinterface erneut verwenden, diesmal mit den Standard-Nameserver-Einstellungen.

Empfohlene Artikel

• Delegieren einer Domäne an Azure DNS

Wie gebe ich den Dienst und das Protokoll für einen SRV-Eintrag an?

Azure DNS verwaltet DNS-Einträge als Datensatzsätze – die Sammlung von Datensätzen mit demselben Namen und demselben Typ. Für einen SRV-Datensatzsatz geben Sie den Dienst und das Protokoll als Teil des Datensatzsatznamens an. Sie geben die anderen SRV-Parameter ('priority', 'weight', 'port' und 'target') für jeden Datensatz im Datensatzsatz separat an.

Beispiel für SRV-Eintragsnamen (Dienstname 'sip', Protokoll 'tcp'):

• _sip._tcp (erstellt einen Datensatzsatz an der Zone apex)
• _sip._tcp.sipservice (erstellt einen Datensatzsatz namens 'sipservice')

Empfohlene Artikel

• DNS-Zonen und -Einträge
• Erstellen von DNS-Datensatzgruppen und -einträgen über das Azure-Portal
• SRV-Eintragstyp (Wikipedia)

Nächste Schritte

• Erfahren Sie mehr über Azure DNS Zonen und Datensätze.
• Um Azure DNS zu verwenden, erfahren Sie, wie Sie eine DNS-Zone erstellen und DNS-Einträge anlegen.
• Um eine vorhandene DNS-Zone zu migrieren, sollten Sie sich zuerst darüber informieren, wie Sie eine DNS-Zonendatei importieren und exportieren.