A resolução de DNS da AWS apenas resolve o IP interno de uma maneira?

Question

Eu tenho três instâncias em duas VPCs separadas. Eu configurei o peering entre os VPCs, ambos os VPCs têm DNS e DNS Hostnames habilitados, a conexão de peering tem "Permitir resolução de DNS de ponto VPC [...]" habilitado, e as tabelas de roteamento para ambos os VPCs têm entradas para rotear através da conexão peering para o espaço de endereços da outra VPC.

Vamos chamá-los de instância 1 (que reside no VPC A) e instâncias 2 e 3 (que residem no VPC B) ...

Com minha configuração atual, chamar nslookup ec2-[instance2].compute-1.amazonaws.com na instância 1 retorna o endereço 10.xxx para a instância 2 e o nome do host amazonaws.com, por exemplo, 3 retorna o endereço 10.xxx para a instância 3. Isso é o esperado. / p>

NO ENTANTO, quando eu chamo nslookup ec2-[instance1].compute-1.amazonaws.com da instância 2 ou instância 3, ele retorna o endereço público 54.x.x.x para a instância 1, em vez de seu endereço 10.x.x.x.

O que estou perdendo ou fazendo errado? Eu fui capaz de fazer isso antes (muitas luas atrás), eu não entendo porque não está funcionando agora.

    

Answer 1

O console não parece permitir que você configure isso em ambos os lados da conexão quando a mesma conta da AWS possui as VPCs "requester" e "accepter", então a resolução unidirecional parece ser a única coisa que você pode realmente configurar a partir do console - apenas os hosts do solicitante do VPC podem ser resolvidos.

Parece que você pode consertar isso com o aws-cli.

aws ec2 modify-vpc-peering-connection-options \
    --vpc-peering-connection-id 'pcx-xxxxxxxx" \
    --requester-peering-connection-options '{"AllowDnsResolutionFromRemoteVpc":true}' \
    --accepter-peering-connection-options '{"AllowDnsResolutionFromRemoteVpc":true}' \
    --region us-east-1

Quebras de linha para maior clareza, forneça a região de seus VPCs com a opção --region e seu ID de conexão de peering com --vpc-peering-connection-id .

De fato, o item acima altera o valor retornado por aws ec2 describe-vpc-peering-connections , que anteriormente mostrava falso em um lado e verdadeiro em outro depois de marcar a caixa no console.

É algo incomum, mas não inédito, que os recursos não sejam incluídos no console, mas sejam acessíveis apenas por meio das APIs.