View a markdown version of this page

AWSSupport-TroubleshootR53DNSResolution - AWS Systems Manager Referencia del manual de procedimientos de Automatización

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWSSupport-TroubleshootR53DNSResolution

Descripción

El AWSSupport-TroubleshootR53DNSResolution manual ayuda a solucionar los problemas de resolución de DNS mediante el análisis de la ruta de resolución completa desde la perspectiva de una instancia de Amazon Virtual Private Cloud (Amazon VPC) o Amazon Elastic Compute Cloud (Amazon EC2). Identifica los problemas de configuración en la configuración del DNS de Amazon VPC, el solucionador de Amazon Route 53 (Route 53), las zonas alojadas privadas, el firewall de DNS y las cadenas de delegación de DNS públicas.

Escenarios compatibles:

  • Los atributos de DNS de Amazon VPC (soporte de DNS, nombres de host de DNS) y conjuntos de opciones de DHCP incluyen la detección personalizada de servidores DNS.

  • Las reglas de Route 53 Resolver priorizan la evaluación y las asociaciones de perfiles.

  • La evaluación de grupos de reglas de DNS Firewall incluye la prioridad de grupos con varias reglas, la inspección de redireccionamiento de CNAME y la detección de listas de dominios administradas o AWS entre cuentas.

  • Búsqueda de registros en zonas alojadas privadas, resolución de zonas alojadas privadas de terminales de Amazon VPC y detección de anulaciones cuando los nombres de host DNS están deshabilitados.

  • Análisis de conectividad de red de terminales salientes de Route 53 Resolver (grupos de seguridad, NACL, tablas de rutas) y detección de bucles de reenvío.

  • Validación de la cadena de delegación del DNS público, coherencia entre servidores de nombres, detección de delegaciones poco fiables y estado de registro de dominios mediante RDAP.

Limitaciones:

  • Este manual realiza análisis de solo lectura y no modifica ningún recurso. AWS

  • Los registros CNAME no se persiguen hasta su objetivo final para su posterior análisis.

  • AWS-Se detectan las listas de dominios de Firewall administradas y los grupos de reglas de firewall multicuenta, pero su contenido no se puede inspeccionar.

  • Cross-account Los perfiles de Route 53 se detectan pero no se pueden analizar por completo.

  • No se evalúa el comportamiento de apertura o cierre por error del Firewall DNS durante la falta de disponibilidad del servicio.

  • Las respuestas personalizadas del servidor DNS configuradas mediante las opciones de DHCP no se pueden verificar.

  • El análisis del estado del registro de dominios no está disponible para todos los dominios de nivel superior.

¿Cómo funciona?

El manual determina la ruta de análisis en función del parámetro proporcionadoResourceId. Si proporciona un ID de instancia de Amazon EC2 o un ID de Amazon VPC, este analizará el DNS de Amazon, incluida la configuración del VPC-specific DNS de Amazon VPC, las reglas de resolución de Route 53, la evaluación del firewall de DNS, las zonas alojadas privadas y la conectividad de los puntos finales de salida de Resolver. Si no lo proporcionaResourceId, solo realizará un análisis de resolución de DNS público. Una vez finalizado, el manual genera un informe completo con las conclusiones, los niveles de gravedad y las recomendaciones prácticas.

Ejecuta esta automatización (consola)

Tipo de documento

Automatización

Propietario

Amazon

Plataformas

/

Parámetros

  • AutomationAssumeRole

    Tipo: cadena

    Descripción: (opcional) el Nombre de recurso de Amazon (ARN) del rol de AWS Identity and Access Management (IAM) que permite a Systems Manager Automation realizar las acciones en su nombre. Si no se especifica ningún rol, Systems Manager Automation utiliza los permisos del usuario que comienza este manual de procedimientos.

  • ResourceId

    Tipo: cadena

    Descripción: (opcional) El ID de instancia de Amazon Elastic Compute Cloud (Amazon EC2) (i-xxxxxxxxx) o el ID de Amazon Virtual Private Cloud (Amazon VPC) (vpc-xxxxxxxxx) para el análisis del DNS de Amazon. VPC-specific Si no se proporciona, este manual realizará un análisis de resolución de DNS público en lugar de un análisis de Amazon. VPC-specific

    Valor permitido: ^(i-[a-z0-9]{8,17}|vpc-[a-f0-9]{8,17})?$

  • DnsRecordName

    Tipo: cadena

    Descripción: (Obligatorio) El nombre de dominio completo (FQDN) que se analizará para detectar problemas de resolución del DNS.

    Valor permitido: ^([a-zA-Z0-9_]([a-zA-Z0-9_-]*[a-zA-Z0-9_])?\.)*[a-zA-Z0-9]([a-zA-Z0-9-]*[a-zA-Z0-9])?\.[a-zA-Z]{2,}\.?$

  • RecordType

    Tipo: cadena

    Descripción: (opcional) El tipo de registro DNS para consultar el nombre de dominio especificado.

    Valores válidos: A | AAAA | CNAME | CAA | MX | NAPTR | NS | PTR | SOA | SPF | SRV | TXT

    Valor predeterminado: A

Permisos de IAM necesarios

El parámetro AutomationAssumeRole requiere las siguientes acciones para utilizar el manual de procedimientos correctamente.

  • ec2:DescribeInstances

  • ec2:DescribeVpcs

  • ec2:DescribeVpcAttribute

  • ec2:DescribeDhcpOptions

  • ec2:DescribeSecurityGroups

  • ec2:DescribeNetworkAcls

  • ec2:DescribeRouteTables

  • ec2:DescribeSubnets

  • ec2:GetManagedPrefixListEntries

  • route53:ListHostedZonesByVPC

  • route53:ListHostedZonesByName

  • route53:GetHostedZone

  • route53:ListResourceRecordSets

  • route53resolver:GetResolverRule

  • route53resolver:ListResolverRuleAssociations

  • route53resolver:ListResolverEndpoints

  • route53resolver:ListResolverEndpointIpAddresses

  • route53resolver:ListFirewallRuleGroupAssociations

  • route53resolver:GetFirewallRuleGroup

  • route53resolver:ListFirewallRules

  • route53resolver:GetFirewallDomainList

  • route53resolver:ListFirewallDomains

  • route53resolver:GetResolverConfig

  • route53resolver:GetResolverDnssecConfig

  • route53resolver:GetFirewallConfig

  • route53profiles:ListProfileAssociations

  • route53profiles:GetProfile

  • route53profiles:ListProfileResourceAssociations

Ejemplo de política: 

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "EC2DescribePermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeVpcs",
                "ec2:DescribeVpcAttribute",
                "ec2:DescribeDhcpOptions",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeNetworkAcls",
                "ec2:DescribeRouteTables",
                "ec2:DescribeSubnets"
            ],
            "Resource": "*"
        },
        {
            "Sid": "EC2PrefixListPermissions",
            "Effect": "Allow",
            "Action": [
                "ec2:GetManagedPrefixListEntries"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53GlobalPermissions",
            "Effect": "Allow",
            "Action": [
                "route53:ListHostedZonesByVPC",
                "route53:ListHostedZonesByName"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53HostedZonePermissions",
            "Effect": "Allow",
            "Action": [
                "route53:GetHostedZone",
                "route53:ListResourceRecordSets"
            ],
            "Resource": "arn:aws:route53:::hostedzone/*"
        },
        {
            "Sid": "Route53ResolverListPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:ListResolverEndpoints",
                "route53resolver:ListResolverRuleAssociations",
                "route53resolver:ListFirewallRuleGroupAssociations"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53ResolverEndpointPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:ListResolverEndpointIpAddresses"
            ],
            "Resource": "arn:aws:route53resolver:*:*:resolver-endpoint/*"
        },
        {
            "Sid": "Route53ResolverSharedResourcePermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetResolverRule",
                "route53resolver:GetFirewallRuleGroup",
                "route53resolver:GetFirewallDomainList",
                "route53resolver:ListFirewallDomains"
            ],
            "Resource": "*"
        },
        {
            "Sid": "Route53ResolverFirewallRulePermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:ListFirewallRules"
            ],
            "Resource": "arn:aws:route53resolver:*:*:firewall-rule-group/*"
        },
        {
            "Sid": "Route53ResolverConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetResolverConfig"
            ],
            "Resource": "arn:aws:route53resolver:*:*:resolver-config/*"
        },
        {
            "Sid": "Route53ResolverDnssecConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetResolverDnssecConfig"
            ],
            "Resource": "arn:aws:route53resolver:*:*:resolver-dnssec-config/*"
        },
        {
            "Sid": "Route53ResolverFirewallConfigPermissions",
            "Effect": "Allow",
            "Action": [
                "route53resolver:GetFirewallConfig"
            ],
            "Resource": "arn:aws:route53resolver:*:*:firewall-config/*"
        },
        {
            "Sid": "Route53ProfilesPermissions",
            "Effect": "Allow",
            "Action": [
                "route53profiles:ListProfileAssociations",
                "route53profiles:GetProfile",
                "route53profiles:ListProfileResourceAssociations"
            ],
            "Resource": "*"
        }
    ]
}

Instrucciones

Siga estos pasos para configurar la automatización:

  1. Navegue hasta AWSSupport-TroubleshootR53DNSResolution la AWS Systems Manager consola.

  2. Para los parámetros de entrada, introduzca lo siguiente:

    • AutomationAssumeRole (Opcional):

      El nombre de recurso de Amazon (ARN) del rol AWS Identity and Access Management (IAM) que permite a Systems Manager Automation realizar las acciones en su nombre. Si no se especifica ningún rol, Systems Manager Automation usa sus permisos.

    • ResourceId (Opcional):

      El ID de instancia de Amazon EC2 (i-xxxxxxxxx) o el ID de Amazon VPC (vpc-xxxxxxxxx) para el análisis del VPC-specific DNS de Amazon. Si no se proporciona, el manual solo realiza un análisis de resolución de DNS público.

    • DnsRecordName (Obligatorio):

      El nombre de dominio completo (FQDN) que se analizará para detectar problemas de resolución de DNS. Por ejemplo, www.example.com.

    • RecordType (Opcional):

      El tipo de registro DNS para consultar el nombre de dominio especificado. El valor predeterminado es A. Los valores admitidos incluyen: A AAAACNAME,MX,NS,PTR,SOA,TXT, y otros.

  3. Seleccione Ejecutar.

  4. Se inicia la automatización.

  5. El manual de procedimientos de automatización realiza los siguientes pasos:

    • BranchOnResourceType:

      Determina la ruta de análisis en función del ResourceId tipo. Se dirige a la búsqueda de instancias, al conjunto de parámetros de Amazon VPC o directamente al análisis de DNS público.

    • GetVpcIdFromInstance:

      Recupera el ID de Amazon VPC de la instancia Amazon EC2 especificada. Solo se ejecuta cuando ResourceId hay un ID de instancia.

    • GatherVpcConfiguration:

      Recopila la configuración de Amazon VPC, incluidos los detalles de Amazon VPC, las opciones de DHCP y los atributos de DNS (habilitar, habilitarDnsSupport). DnsHostnames

    • GatherRoute53ResolverConfiguration:

      Reúne toda la configuración de Route 53 Resolver, incluidos los ajustes de resolución, los puntos finales, los perfiles de Route 53 y los grupos de reglas del firewall de DNS.

    • GatherDnsResolutionSources:

      Reúne todas las fuentes de resolución de DNS, incluidas las reglas de resolución, las zonas alojadas privadas, los registros de DNS y las reglas coincidentes. Auto-Defined

    • AnalyzeDnsServerConfiguration:

      Analiza la configuración del servidor DNS de Amazon VPC a partir de las opciones de DHCP. Determina si se utilizan servidores DNS personalizados AmazonProvidedDNS o no.

    • EvaluateFirewallBlocking:

      Evalúa los grupos de reglas del firewall DNS para determinar si están bloqueando o redirigiendo el dominio de destino.

    • DeterminePrecedence:

      Determina qué ruta de resolución de DNS tiene prioridad en función de las reglas de resolución, las zonas alojadas privadas y las reglas coincidentes. Auto-Defined

    • BranchOnResolutionPath:

      Se dirige a la ruta de análisis adecuada en función de la ruta de resolución determinada (regla de resolución, zona alojada privada, DNS público o Auto-Defined regla).

    • GatherResolverNetworkConfiguration:

      Recopila la configuración de red del terminal saliente del solucionador, incluidos los grupos de seguridad, las ACL de red, las tablas de enrutamiento y las listas de prefijos.

    • AnalyzeResolverConnectivity:

      Analiza la conectividad entre el punto final saliente del Resolver y los servidores DNS de destino. Evalúa los grupos de seguridad, las ACL de red y las tablas de rutas para identificar los problemas de conectividad.

    • AnalyzePrivateHostedZone:

      Analiza la configuración y los registros de la zona alojada privada del dominio de destino.

    • AnalyzeDelegationChain:

      Analiza toda la cadena de delegación de DNS desde los servidores raíz. Valida la coherencia de los servidores de nombres, detecta los niveles de delegación que faltan y recopila los datos de RDAP para la información de registro de dominios.

    • AnalyzePublicDnsResolution:

      Realiza la resolución del DNS público, comprueba si las zonas alojadas públicas de Route 53 coinciden y compara los servidores de nombres de las zonas alojadas con la cadena de delegación para detectar discrepancias.

    • GenerateFinalReport:

      Genera un informe de análisis de DNS completo que consolida los resultados de todos los pasos de análisis ejecutados.

  6. Una vez finalizado, revise la sección Resultados para ver los resultados detallados de la ejecución.

Referencias

Automatización de Systems Manager

AWS documentación de servicio