Azure

Azure DNS

Overview

Azure DNS ist eine Familie von DNS-Diensten auf der Microsoft-Infrastruktur. Azure Public DNS hostet öffentliche Zonen, die über ein weltweites Anycast-Netz von Nameservern beantwortet werden. Azure Private DNS stellt private Zonen bereit, die nur in verknüpften VNets auflösbar sind, etwa für interne Servernamen oder die Zonen von Private Endpoints (privatelink.*).

Für hybride Umgebungen gibt es den Azure DNS Private Resolver: Er nimmt Anfragen aus dem lokalen Netz entgegen und leitet Anfragen aus Azure an lokale DNS-Server weiter, ohne dass Du eigene DNS-VMs betreiben musst. Die DNS-Sicherheitsrichtlinie (DNS security policy, seit Juli 2025 allgemein verfügbar) filtert und protokolliert DNS-Anfragen auf VNet-Ebene.

Seit Februar 2025 unterstützt Azure Public DNS DNSSEC für öffentliche Zonen. Azure DNS registriert keine Domains: Die Registrierung erfolgt weiterhin beim Registrar, der die Zone per NS-Einträge an Azure delegiert.

How it works

Die Bausteine im Zusammenspiel:

  1. Öffentliche Zone anlegen, Records per Portal, Azure CLI, PowerShell oder Bicep pflegen und die vier zugewiesenen Azure-Nameserver beim Registrar als NS eintragen.
  2. Optional DNSSEC aktivieren: Azure übernimmt Schlüsselverwaltung und Signatur, beim Registrar trägst Du den DS-Eintrag ein.
  3. Private Zonen per VNet-Link mit Netzen verknüpfen. Mit aktivierter Autoregistrierung legen VMs ihre A-Records selbst an.
  4. Für die Hybridauflösung erhält der Private Resolver einen Inbound-Endpunkt (Ziel für bedingte Weiterleitungen aus dem lokalen DNS) und einen Outbound-Endpunkt mit Weiterleitungsregeln. Jeder Endpunkt braucht ein eigenes delegiertes Subnetz zwischen /28 und /24.
  5. Eine DNS-Sicherheitsrichtlinie mit Domänenlisten erlaubt, blockiert oder meldet Anfragen und schreibt Protokolle nach Log Analytics, Storage oder Event Hubs.

Alias-Records verweisen direkt auf Azure-Ressourcen wie öffentliche IPs oder Front Door und folgen deren Änderungen automatisch.

Benefits

  • Hohe Verfügbarkeit der öffentlichen Zonen durch Anycast, ohne eigene Nameserver betreiben zu müssen.
  • Private Endpoints funktionieren erst mit korrekter privater Zone. Azure Private DNS liefert diese direkt im VNet.
  • Der Private Resolver ersetzt DNS-Weiterleitungs-VMs und spart damit Patchaufwand und Ausfallrisiko.
  • Zonen und Records sind Azure-Ressourcen: Du steuerst Zugriff per RBAC, schützt sie mit Ressourcensperren und versionierst sie als Code.
  • DNS-Sicherheitsrichtlinien liefern Protokolle aller Namensauflösungen in VNets, was bei der Erkennung von Malware-Kommunikation hilft.

Practical example

Ein Hersteller von Medizintechnik mit 300 Mitarbeitenden nutzt Private Endpoints für Storage und Azure SQL. Die Clients im Werk lösten die privatelink-Namen jedoch über die öffentliche IP auf, weil das lokale DNS nichts von den privaten Zonen wusste. Die IT richtet einen Azure DNS Private Resolver im Hub ein und trägt dessen Inbound-IP als bedingte Weiterleitung für die privatelink-Zonen auf den Domänencontrollern ein. Seitdem gehen Zugriffe aus dem Werk über das VPN auf die privaten Adressen und der öffentliche Netzwerkzugriff der Dienste konnte abgeschaltet werden.

Things to keep in mind

  • Plane private DNS-Zonen zentral im Hub und verknüpfe sie mit allen Spokes, statt pro Team eigene privatelink-Zonen anzulegen, sonst entstehen widersprüchliche Einträge.
  • Setze Ressourcensperren auf produktive Zonen, weil ein gelöschter NS- oder MX-Eintrag sofort Ausfälle verursacht.
  • Wähle TTL-Werte bewusst: Kurze TTLs vor geplanten Umzügen, längere im Normalbetrieb.
  • Teste DNSSEC zuerst mit einer weniger wichtigen Zone, da ein falscher DS-Eintrag beim Registrar die Zone für validierende Resolver unerreichbar macht.
  • Domains selbst registrierst Du beim Registrar oder über App Service Domains, nicht über Azure DNS.

Licensing & availability

Nutzungsabhängige Abrechnung über das Azure-Abonnement: öffentliche und private Zonen pro gehosteter Zone und nach Anzahl der Abfragen. Private Resolver und DNS-Sicherheitsrichtlinien haben eigene Preismodelle laut Preisseite. Keine Lizenz nötig. Stand: Oktober 2026.

Conclusion

Azure DNS ist die Grundlage für Namensauflösung in Azure und für jede Private-Link-Architektur. Plane private Zonen und die hybride Auflösung zentral, bevor Du die ersten Private Endpoints anlegst.

Further reading

Related articles