Bereitstellen eines NetScaler® für eine private Azure DNS-Zone

Azure DNS ist ein Dienst in der Microsoft Azure-Infrastruktur zum Hosten von DNS-Domänen und zur Bereitstellung der Namensauflösung.

Private Azure DNS-Zonen sind ein Dienst, der sich auf die Auflösung von Domänennamen in einem privaten Netzwerk konzentriert. Mit privaten Zonen können Kunden ihre eigenen benutzerdefinierten Domänennamen verwenden, anstatt der heute verfügbaren von Azure bereitgestellten Namen.

NetScaler, die führende Lösung für die Anwendungsbereitstellung, eignet sich am besten für die Bereitstellung von Lastenausgleichs- und GSLB-Funktionen für eine private Azure DNS-Zone. Durch das Abonnieren einer privaten Azure DNS-Zone kann das Unternehmen auf die Leistung und Intelligenz von NetScaler Global Server Load Balancing (GSLB) vertrauen, um Intranet-Traffic über Workloads in mehreren geografischen Regionen und Rechenzentren zu verteilen, die über sichere VPN-Tunnel verbunden sind. Diese Zusammenarbeit garantiert Unternehmen einen nahtlosen Zugriff auf den Teil ihrer Workload, den sie in die öffentliche Azure Cloud verschieben möchten.

Übersicht über Azure DNS

Das Domain Name System (DNS) ist für die Übersetzung oder Auflösung eines Dienstnamens in seine IP-Adresse verantwortlich. Als Hosting-Dienst für DNS-Domänen bietet Azure DNS die Namensauflösung mithilfe der Microsoft Azure-Infrastruktur. Neben der Unterstützung von internetbasierten DNS-Domänen unterstützt Azure DNS nun auch private DNS-Domänen.

Azure DNS bietet einen zuverlässigen, sicheren DNS-Dienst zur Verwaltung und Auflösung von Domänennamen in einem virtuellen Netzwerk, ohne dass eine benutzerdefinierte DNS-Lösung erforderlich ist. Durch die Verwendung privater DNS-Zonen können Sie Ihre eigenen benutzerdefinierten Domänennamen anstelle der von Azure bereitgestellten Namen verwenden. Die Verwendung benutzerdefinierter Domänennamen hilft Ihnen, Ihre Architektur des virtuellen Netzwerks optimal an die Anforderungen Ihres Unternehmens anzupassen. Es bietet Namensauflösung für virtuelle Maschinen (VMs) innerhalb eines virtuellen Netzwerks und zwischen virtuellen Netzwerken. Außerdem können Kunden Zonennamen mit einer Split-Horizon-Ansicht konfigurieren, die es einer privaten und einer öffentlichen DNS-Zone ermöglicht, einen Namen zu teilen.

Warum NetScaler GSLB für private Azure DNS-Zonen?

In der heutigen Welt möchten Unternehmen ihre Workloads von lokalen Umgebungen in die Azure Cloud verlagern. Der Übergang zur Cloud ermöglicht es ihnen, Time-to-Market, Investitionskosten/Preise, einfache Bereitstellung und Sicherheit zu nutzen. Der Azure DNS Private Zone Service bietet ein einzigartiges Angebot für Unternehmen, die einen Teil ihrer Workloads in die Azure Cloud verlagern. Diese Unternehmen können ihren privaten DNS-Namen, den sie jahrelang in lokalen Bereitstellungen hatten, verwenden, wenn sie den Private Zone Service nutzen. Bei diesem Hybridmodell, bei dem Intranet-Anwendungsserver lokal und in der Azure Cloud über sichere VPN-Tunnel verbunden sind, besteht die Herausforderung darin, einen nahtlosen Zugriff auf diese Intranet-Anwendungen zu gewährleisten. NetScaler löst diesen einzigartigen Anwendungsfall mit seiner globalen Lastenausgleichsfunktion, die den Anwendungsverkehr zu den optimalsten verteilten Workloads/Servern entweder lokal oder in der Azure Cloud leitet und den Status der Anwendungsserver bereitstellt.

Anwendungsfall

Benutzer in einem lokalen Netzwerk und in verschiedenen Azure VNets können sich mit den optimalsten Servern in einem internen Netzwerk verbinden, um auf die benötigten Inhalte zuzugreifen. Dies stellt sicher, dass die Anwendung immer verfügbar ist, die Kosten optimiert sind und die Benutzererfahrung gut ist. Azure Private Traffic Management (PTM) ist hier die primäre Anforderung. Azure PTM stellt sicher, dass die DNS-Abfragen der Benutzer in eine entsprechende private IP-Adresse des Anwendungsservers aufgelöst werden.

Lösung für den Anwendungsfall

NetScaler enthält die GSLB-Funktion (Global Server Load Balancing), um die Azure PTM-Anforderung zu erfüllen. GSLB fungiert als DNS-Server, der die DNS-Anfragen empfängt und die DNS-Anfrage in eine entsprechende IP-Adresse auflöst, um Folgendes bereitzustellen:

• Nahtloses DNS-basiertes Failover.
• Phasenweise Migration von lokalen Umgebungen in die Cloud.
• A/B-Tests einer neuen Funktion.

Unter den vielen unterstützten Lastenausgleichsmethoden können die folgenden Methoden in dieser Lösung nützlich sein:

1. Round Robin

2. Statische Nähe (standortbasierte Serverauswahl). Sie kann auf zwei Arten bereitgestellt werden:

   1. EDNS Client Subnet (ECS)-basiertes GSLB auf NetScaler.
   2. Stellen Sie einen DNS-Forwarder für jedes virtuelle Netzwerk bereit.

Topologie

Die folgende Abbildung zeigt die NetScaler GSLB-Bereitstellung für eine private Azure DNS-Zone.

Ein Benutzer kann auf jeden Anwendungsserver entweder in Azure oder On-Premise zugreifen, basierend auf der NetScaler GSLB-Methode in einer privaten Azure DNS-Zone. Der gesamte Datenverkehr zwischen dem lokalen Netzwerk und dem virtuellen Azure-Netzwerk erfolgt ausschließlich über einen sicheren VPN-Tunnel. Anwendungsverkehr, DNS-Verkehr und Überwachungsverkehr sind in der vorhergehenden Topologie dargestellt. Je nach erforderlicher Redundanz können NetScaler und DNS-Forwarder in den virtuellen Netzwerken und Rechenzentren bereitgestellt werden. Der Einfachheit halber wird hier nur ein NetScaler gezeigt, wir empfehlen jedoch mindestens einen Satz NetScaler und DNS-Forwarder für die Azure-Region. Alle DNS-Abfragen der Benutzer gehen zuerst an den DNS-Forwarder, der Regeln für die Weiterleitung der Abfragen an einen geeigneten DNS-Server definiert hat.

Konfigurieren von NetScaler für eine private Azure DNS-Zone

Getestete Produkte und Versionen:

Hinweis:

Die Bereitstellung wurde getestet und bleibt ab NetScaler Version 12.0 unverändert.

Voraussetzungen

Im Folgenden sind die allgemeinen Voraussetzungen aufgeführt.

• Microsoft Azure Portal-Konto mit einem gültigen Abonnement.
• Stellen Sie die Konnektivität (sicherer VPN-Tunnel) zwischen der lokalen Umgebung und der Azure-Cloud sicher. Informationen zum Einrichten eines sicheren VPN-Tunnels in Azure finden Sie unter Schritt-für-Schritt: Konfigurieren eines Site-to-Site-VPN-Gateways zwischen Azure und lokalen Umgebungen.

Lösungsbeschreibung

Wenn Sie eine Anwendung in einer privaten Azure DNS-Zone (rr.ptm.mysite.net) hosten möchten, die über HTTPS läuft und über Azure und lokale Umgebungen mit Intranetzugriff bereitgestellt wird, basierend auf der Round-Robin-GSLB-Lastverteilungsmethode. Um diese Bereitstellung zu erreichen, aktivieren Sie GSLB für die private Azure DNS-Zone mit NetScaler, die aus den folgenden Konfigurationen besteht:

1. Azure- und lokale Einrichtung konfigurieren.
2. NetScaler-Appliance im virtuellen Azure-Netzwerk.

Azure- und lokale Einrichtung konfigurieren

Wie in der Topologie gezeigt, richten Sie das virtuelle Azure-Netzwerk (in diesem Fall VNet A, VNet B) und die lokale Einrichtung ein.

1. Erstellen Sie eine private Azure DNS-Zone mit dem Domänennamen (mysite.net).
2. Erstellen Sie zwei virtuelle Netzwerke (VNet A, VNet B) in einem Hub-and-Spoke-Modell in einer Azure-Region.
3. Stellen Sie App-Server, DNS-Weiterleitung, Windows 10 Pro-Client und NetScaler in VNet A bereit.
4. Stellen Sie einen App-Server und eine DNS-Weiterleitung bereit, falls sich Clients in VNet B befinden.
5. Stellen Sie einen App-Server, eine DNS-Weiterleitung und einen Windows 10 Pro-Client On-Premises bereit.

Private Azure DNS-Zone

Erstellen Sie eine private Azure DNS-Zone mit dem Domänennamen.

1. Melden Sie sich beim Azure-Portal an und wählen oder erstellen Sie ein Dashboard.
2. Klicken Sie auf Ressource erstellen und suchen Sie nach DNS-Zone, um eine private Azure DNS-Zone (in diesem Fall mysite.net) mit dem Domänennamen (mysite.net) zu erstellen.

Beispiel für eine Azure-Portal-DNS-Zone(/de-de/vpx/media/image-02.png)

Virtuelle Azure-Netzwerke (VNet A, VNet B) im Hub-and-Spoke-Modell

Erstellen Sie zwei virtuelle Netzwerke (VNet A, VNet B) in einem Hub-and-Spoke-Modell in einer Azure-Region.

1. Erstellen Sie zwei virtuelle Netzwerke.

2. Wählen Sie dasselbe Dashboard aus und klicken Sie auf Ressource erstellen und suchen Sie nach virtuellen Netzwerken, um zwei virtuelle Netzwerke, nämlich VNet A und VNet B, in derselben Region zu erstellen und diese zu koppeln, um ein Hub-and-Spoke-Modell zu bilden, wie in der folgenden Abbildung gezeigt. Weitere Informationen zum Einrichten einer Hub-and-Spoke-Topologie finden Sie unter Implementieren einer Hub-Spoke-Netzwerktopologie in Azure.

   Virtuelles Netzwerk A (VNet A)(/de-de/vpx/media/image-03.png)

   

VNet A-zu-VNet B-Peering

So peeren Sie VNet A und VNet B:

1. Klicken Sie im Menü Einstellungen von VNet A auf Peerings und peeren Sie VNet B.

2. Aktivieren Sie Weitergeleiteten Datenverkehr zulassen und Gateway-Transit zulassen, wie in der folgenden Abbildung gezeigt.

   

Die folgende Abbildung zeigt das erfolgreiche Peering von VNet A mit VNet B.

VNet B-zu-VNet A-Peering

So peeren Sie VNet B und VNet A:

1. Klicken Sie im Menü Einstellungen von VNet B auf Peerings und peeren Sie VNet A.
2. Aktivieren Sie Weitergeleiteten Datenverkehr zulassen und verwenden Sie Remote-Gateways, wie in der folgenden Abbildung gezeigt.

![VNet B to A](/en-us/vpx/media/image-07.png)

Die folgende Abbildung zeigt das erfolgreiche Peering von VNet B mit VNet A.

Bereitstellen von App-Server, DNS-Forwarder, Windows 10 Pro-Client, NetScaler in VNet A

Wir besprechen kurz App-Server, DNS-Forwarder, Windows 10 Pro-Client und NetScaler in VNet A.

1. Wählen Sie dasselbe Dashboard aus, klicken Sie auf Ressource erstellen.
2. Suchen Sie nach den entsprechenden Instanzen und weisen Sie eine IP-Adresse aus dem VNet A-Subnetz zu.

App-Server

Ein App-Server ist nichts anderes als der Webserver (HTTP-Server), auf dem ein Ubuntu Server 16.04 als Instanz auf der Azure- oder lokalen VM bereitgestellt wird. Um ihn als Webserver zu konfigurieren, geben Sie an der Eingabeaufforderung Folgendes ein:

sudo apt install apache2

Windows 10 Pro-Client

Starten Sie eine Windows 10 Pro-Instanz als Client-Maschine in VNet A und lokal.

NetScaler

NetScaler ergänzt die private Azure DNA-Zone durch Integritätsprüfungen und Analysen von NetScaler MAS. Starten Sie einen NetScaler aus dem Azure Marketplace basierend auf Ihren Anforderungen; hier haben wir NetScaler (BYOL) für diese Bereitstellung verwendet.

Detaillierte Schritte zur Bereitstellung von NetScaler auf Microsoft Azure finden Sie hier. Siehe Bereitstellen einer NetScaler VPX-Instanz in Microsoft Azure.

Nach der Bereitstellung verwenden Sie die NetScaler IP-Adresse, um NetScaler GSLB zu konfigurieren.

DNS-Weiterleitung

Er wird verwendet, um Client-Anfragen von gehosteten Domänen, die an NetScaler GSLB (ADNS IP) gebunden sind, weiterzuleiten. Starten Sie einen Ubuntu Server 16.04 als Linux-Instanz (Ubuntu Server 16.04) und lesen Sie die unten stehende URL, wie Sie ihn als DNS-Weiterleitung einrichten.

Hinweis:

Für die Round-Robin-GSLB-Lastverteilungsmethode ist ein DNS-Weiterleiter pro Azure-Region ausreichend, aber für statische Proximity benötigen wir einen DNS-Weiterleiter pro virtuellem Netzwerk.

1. Nach der Bereitstellung des Forwarders ändern Sie die DNS-Server-Einstellungen des virtuellen Netzwerks A von Standard auf Benutzerdefiniert mit der IP-Adresse des VNet A DNS-Forwarders, wie in der folgenden Abbildung gezeigt.
2. Ändern Sie die Datei named.conf.options im VNet A DNS-Forwarder, um Weiterleitungsregeln für die Domäne (mysite.net) und Subdomäne (ptm.mysite.net) zur ADNS-IP von NetScaler GSLB hinzuzufügen.
3. Starten Sie den DNS-Forwarder neu, um die in der Datei named.conf.options vorgenommenen Änderungen zu übernehmen.

VNet A DNS-Forwarder-Einstellungen

    zone "mysite.net" {
               type forward;
    forwarders { 168.63.129.16; };
    };
    zone "ptm.mysite.net" {
        type forward;
        forwarders { 10.8.0.5; };
    };
 <!--NeedCopy-->

Hinweis:

Für die Zonen-IP-Adresse der Domäne (“mysite.net”) verwenden Sie die DNS-IP-Adresse Ihrer Azure-Region. Für die Zonen-IP-Adresse der Subdomäne (“ptm.mysite.net”) verwenden Sie alle ADNS-IP-Adressen Ihrer GSLB-Instanzen.

App-Server und DNS-Forwarder bereitstellen, wenn sich Clients in VNet B befinden

1. Für das virtuelle Netzwerk B wählen Sie dasselbe Dashboard aus und klicken Sie auf Ressource erstellen.
2. Suchen Sie nach den entsprechenden Instanzen und weisen Sie eine IP-Adresse aus dem VNet B-Subnetz zu.
3. Starten Sie den App-Server und den DNS-Forwarder, wenn ein statisches Proximity-GSLB-Lastenausgleich ähnlich wie bei VNet A vorhanden ist.

4. Bearbeiten Sie die VNet B DNS-Forwarder-Einstellungen in named.conf.options, wie in der folgenden Einstellung gezeigt:

   VNet B DNS-Forwarder-Einstellungen:

    zone "ptm.mysite.net" {
        type forward;
        forwarders { 10.8.0.5; };
    };
<!--NeedCopy-->

Die folgende Abbildung zeigt die VNet B DNS-Forwarder-Einstellungen:

App-Server, DNS-Forwarder und Windows 10 Pro-Client lokal bereitstellen

1. Für lokale Umgebungen starten Sie die VMs auf Bare Metal und stellen Sie den App-Server, den DNS-Forwarder und den Windows 10 Pro-Client ähnlich wie bei VNet A bereit.

2. Bearbeiten Sie die Einstellungen des lokalen DNS-Forwarders in named.conf.options, wie im folgenden Beispiel gezeigt.

Einstellungen des lokalen DNS-Forwarders

    zone "mysite.net" {
               type forward;
               forwarders { 10.8.0.6; };
    };
    zone "ptm.mysite.net" {
        type forward;
        forwarders { 10.8.0.5; };
    };
<!--NeedCopy-->

Für mysite.net haben wir die DNS-Forwarder-IP von VNet A anstelle der Azure Private DNS Zone Server-IP angegeben, da es sich um eine spezielle IP-Adresse handelt, die von lokalen Systemen nicht erreichbar ist. Daher ist diese Änderung in der DNS-Forwarder-Einstellung von lokalen Systemen erforderlich.

NetScaler im virtuellen Azure-Netzwerk konfigurieren

Wie in der Topologie gezeigt, stellen Sie den NetScaler im virtuellen Azure-Netzwerk (in diesem Fall VNet A) bereit und greifen Sie über die NetScaler-GUI darauf zu.

NetScaler GSLB konfigurieren

1. ADNS-Dienst erstellen.
2. Lokale und Remote-Sites erstellen.
3. Dienste für die lokalen virtuellen Server erstellen.
4. Virtuelle Server für die GSLB-Dienste erstellen.

ADNS-Dienst hinzufügen

1. Melden Sie sich bei der NetScaler-GUI an.
2. Wählen Sie auf der Registerkarte Configuration die Option Traffic Management > Load Balancing > Services.
3. Fügen Sie einen Dienst hinzu. Es wird empfohlen, den ADNS-Dienst sowohl in TCP als auch in UDP zu konfigurieren, wie in der folgenden Abbildung gezeigt:

Neuer Server für Lastenausgleichsdienst(/de-de/vpx/media/image-11.png)

Datenverkehrsmanagementdienste(/de-de/vpx/media/image-12.png)

GSLB-Standorte hinzufügen

1. Fügen Sie lokale und Remote-Standorte hinzu, zwischen denen GSLB konfiguriert wird.

2. Auf der Registerkarte Konfiguration navigieren Sie zu Traffic Management > GSLB > GSLB-Standorte. Fügen Sie einen Standort wie im folgenden Beispiel gezeigt hinzu und wiederholen Sie den Vorgang für andere Standorte.

   GSLB-Standort erstellen(/de-de/vpx/media/image-13.png)

   Cluster-IP-GSLB-Standort(/de-de/vpx/media/image-14.png)

   GSLB-Standorte(/de-de/vpx/media/image-15.png)

GSLB-Dienste hinzufügen

1. Fügen Sie GSLB-Dienste für die lokalen und Remote-virtuellen Server hinzu, die den Lastenausgleich für App-Server übernehmen.
2. Navigieren Sie auf der Registerkarte Konfiguration zu Traffic Management > GSLB > GSLB-Dienste.
3. Fügen Sie die Dienste wie in den folgenden Beispielen gezeigt hinzu.

4. Binden Sie den HTTP-Monitor, um den Serverstatus zu überprüfen.

   GSLB-Diensteinstellungen 1(/de-de/vpx/media/image-16.png)

   GSLB-Diensteinstellungen 2(/de-de/vpx/media/image-17.png)

5. Nachdem Sie den Dienst erstellt haben, wechseln Sie zur Registerkarte Erweiterte Einstellungen innerhalb des GSLB-Dienstes.

6. Klicken Sie auf Monitor hinzufügen, um den GSLB-Dienst mit einem HTTP-Monitor zu verbinden und den Dienststatus zu aktivieren.

7. Sobald Sie die Verbindung mit dem HTTP-Monitor hergestellt haben, wird der Status der Dienste als UP markiert, wie in der folgenden Abbildung gezeigt:

Virtuellen GSLB-Server hinzufügen

Fügen Sie einen virtuellen GSLB-Server hinzu, über den die Alias-GSLB-Dienste der App-Server zugänglich sind.

1. Navigieren Sie auf der Registerkarte Konfiguration zu Datenverkehrsverwaltung > GSLB > Virtuelle GSLB-Server.
2. Fügen Sie die virtuellen Server hinzu, wie im folgenden Beispiel gezeigt.

3. Binden Sie GSLB-Dienste und Domänennamen daran.

   

4. Nachdem Sie den virtuellen GSLB-Server erstellt und die entsprechende Lastenausgleichsmethode (in diesem Fall Round Robin) ausgewählt haben, binden Sie GSLB-Dienste und Domänen, um den Schritt abzuschließen.

   

5. Wechseln Sie zur Registerkarte Erweiterte Einstellungen innerhalb des virtuellen Servers und klicken Sie auf die Registerkarte Domänen hinzufügen, um eine Domäne zu binden.

6. Wechseln Sie zu Erweitert > Dienste und klicken Sie auf den Pfeil, um einen GSLB-Dienst zu binden und alle drei Dienste (VNet A, VNet B, lokal) an den virtuellen Server zu binden.

   

   Nachdem Sie GSLB-Dienste und Domäne an den virtuellen Server gebunden haben, wird es wie in der folgenden Abbildung gezeigt:

   

Überprüfen Sie, ob der virtuelle GSLB-Server aktiv und zu 100 % fehlerfrei ist. Wenn der Monitor anzeigt, dass der Server aktiv und fehlerfrei ist, bedeutet dies, dass die Sites synchronisiert sind und die Backend-Dienste verfügbar sind.

Um die Bereitstellung zu testen, greifen Sie über eine Cloud-Clientmaschine oder eine lokale Clientmaschine auf die Domänen-URL rr.ptm.mysite.net zu. Wenn Sie über eine Cloud-Windows-Clientmaschine darauf zugreifen, stellen Sie sicher, dass der lokale App-Server in einer privaten DNS-Zone ohne die Notwendigkeit von Drittanbieter- oder benutzerdefinierten DNS-Lösungen aufgerufen wird.