对等连接跨VPC场景下VPN访问相关DNS转发失效问题咨询

1. 优先解决DNS策略优先级冲突 #

带备用服务器的DNS Server Policy全局规则优先级高于私有托管区、DNS peering、VPC默认DNS，是当前故障的核心冲突点

• 临时禁用VPC B的全局DNS Server Policy，验证DNS peering和私有托管区是否能恢复正常工作
• 若必须保留DNS Server Policy，需调整策略作用范围：禁止配置全局匹配规则，仅对需要单独走自定义DNS的域名前缀配置精准匹配策略，避免覆盖内部域名和公网域名的默认解析链路

2. VPC B侧配置校验 #

• 私有托管区配置检查：确认托管区关联的VPC范围包含当前故障实例所在的VPC B，转发规则的目标DNS服务器为VPC A的内网DNS地址或企业VPN侧的DNS服务器地址，无错误的域名后缀匹配规则
• DNS peering配置检查：确认DNS peering连接状态为已生效，VPC A侧已经同意VPC B的peering授权，转发的域名范围包含企业内部域名后缀，未和现有转发规则冲突
• VPC B基础DNS属性检查：确认VPC B已经开启enableDnsSupport和enableDnsHostnames属性，两个选项未开启时VPC内实例无法调用云厂商默认DNS服务

3. 对等连接与VPC A侧校验 #

• 对等连接路由检查：确认VPC B的路由表中存在指向VPC A CIDR的路由，下一跳为对等连接实例；VPC A的路由表中存在指向VPC B CIDR的回程路由，下一跳为同一对等连接实例，保证VPC B到VPC A的DNS查询报文可正常互通
• 端口放通检查：确认VPC A的DNS服务器所在子网的网络ACL、安全组放通了来自VPC B CIDR的53端口（UDP和TCP）入方向规则，VPC B侧出方向放通53端口的访问规则
• VPC A侧DNS可用性验证：登录VPC A内的正常实例，执行nslookup 企业内部域名和nslookup www.baidu.com验证VPC A本身的DNS解析正常，排除上游VPN侧DNS或公网DNS故障问题

4. 故障实例本地校验 #

• 实例DNS配置检查：登录故障实例，查看/etc/resolv.conf（Linux）或网络适配器DNS配置（Windows），确认DNS服务器地址为VPC默认DNS地址（通常为VPC网段+2的地址，例如10.0.0.2），未手动配置公网DNS
• 连通性测试：在实例内执行telnet <VPC A DNS地址> 53和nc -u <VPC A DNS地址> 53验证53端口的TCP、UDP连通性，排除网络不通问题
• 手动解析测试：执行nslookup 企业内部域名 <VPC A DNS地址>、nslookup 公网域名 114.114.114.114分别验证直接请求企业DNS和公网DNS是否能正常解析，定位是链路问题还是DNS规则转发问题

5. 兼容方案（需同时保留DNS Policy、转发、Peering的场景） #

云厂商DNS解析优先级从高到低通常为：精准匹配的DNS Server Policy > 私有托管区规则 > DNS Peering规则 > 全局DNS Server Policy > VPC默认公网解析，按照该优先级调整配置即可三类能力共存：

• 私有托管区仅配置企业内部域名后缀，转发到VPC A的DNS地址
• DNS Peering仅用于跨VPC的内部域名解析，不配置全局转发
• DNS Server Policy仅配置需要走自定义DNS的特殊域名的精准规则，不配置全局默认规则，避免覆盖其他解析链路

内容的提问来源于stack exchange，提问作者kohi