AWS Client VPN Endpoint配合OpenVPN使用时DNS解析超时问题求助

可能成因 #

• VPN端点DNS配置错误：配置的DNS地址与RDS所在VPC的DNS地址不匹配，或配置的DNS服务器无法从VPN关联子网访问
• 路由推送异常：未将DNS服务器的网段通过VPN推送给客户端，导致DNS请求走本地公网链路而非VPN隧道
• 网络访问控制限制：VPN关联子网的安全组、网络ACL未放行53端口（UDP+TCP）的入站和出站流量，DNS请求被拦截
• VPC DNS属性未开启：RDS所在VPC未开启enableDnsSupport和enableDnsHostnames属性，VPC本身无法处理DNS解析请求
• 客户端本地DNS优先级问题：本地网络的DNS优先级高于VPN推送的DNS，解析请求未发送到AWS侧DNS服务器
• 拆分隧道配置错误：开启拆分隧道后未将DNS服务器网段加入允许路由列表，DNS请求未走VPN隧道

排查调试步骤 #

• 核对VPN端点DNS配置：确认配置的DNS地址和RDS所在VPC的DNS地址一致，VPC默认DNS为VPC CIDR网段的第二个地址，例如VPC网段为10.0.0.0/16时，默认DNS为10.0.0.2
• 验证路由推送：客户端连接VPN后，执行route print（Windows）或netstat -rn（macOS/Linux）查看本地路由表，确认存在DNS服务器网段的路由指向VPN隧道
• 检查VPC DNS属性：进入VPC控制台，查看对应VPC的配置，确认启用DNS解析和启用DNS主机名两个选项均已开启
• 排查网络访问规则：
  • 确认VPN关联子网的网络ACL已放行53端口的UDP、TCP入站和出站流量
  • 确认VPN端点关联的安全组已放通往DNS服务器53端口的出站流量
• 客户端本地验证：连接VPN后执行nslookup <RDS域名> <AWS DNS地址>直接指定AWS DNS做解析，如果解析成功说明是本地DNS优先级问题，需手动调整客户端DNS顺序，将VPN推送的DNS调到最高优先级
• 核对隧道配置：如果使用拆分隧道，确认DNS服务器IP段已加入授权目标网络列表；如果使用全隧道模式，检查是否存在路由冲突导致DNS请求被分流到本地网络

内容的提问来源于stack exchange，提问作者AFortunato