中心辐射型拓扑中Azure Private DNS Resolver的VNet链接配置咨询

结论 #

仅中心Hub VNet的链接就足够，不需要为所有分支Spoke VNet创建DNS转发规则集的VNet链接。

原因说明 #

Azure Private DNS Resolver的VNet链接作用是允许对应VNet内的DNS查询请求被关联的转发规则集处理。在你的中心辐射拓扑中：

• 所有分支Spoke VNet的DNS流量都被配置为转发到中心Hub内的路由设备（示例中的Hub1防火墙）
• 承载该路由设备的Hub VNet已经与DNS转发规则集建立了VNet链接，且路由设备本身配置了使用Azure提供的DNS（通过该链接对接Private DNS Resolver）

分支VNet的DNS请求会先发送到中心路由设备，再由路由设备所在的Hub VNet通过已有的VNet链接，将请求传递给Private DNS Resolver的转发规则集进行处理，整个链路完全通畅，无需额外为分支VNet添加链接。

示例验证 #

以spoke1-hub1场景为例：

• Spoke1的VNet DNS服务器指向Hub1防火墙的IP
• Hub1防火墙配置使用Azure提供的DNS，且Hub1 VNet已链接到Private DNS Resolver的转发规则集
• Spoke1的DNS请求先发送到Hub1防火墙，防火墙再通过Hub1的VNet链接将请求转发至Private DNS Resolver处理，全程无需给Spoke1的VNet添加任何链接。

内容的提问来源于stack exchange，提问作者MyName