Azure

Azure DNS Private Resolver

Allgemeine Infos

Azure DNS Private Resolver ist ein vollständig verwalteter, hochverfügbarer und zonenredundanter Dienst, der DNS-Anfragen zwischen Azure und lokalen oder anderen Netzen weiterleitet. Er löst private DNS-Zonen in Azure aus dem lokalen Netz auf und leitet Anfragen aus Azure für lokale Domänen an die eigenen DNS-Server weiter. Eigene Weiterleitungs-VMs mit Patchen und Hochverfügbarkeit entfallen, an den DNS-Einstellungen der VMs ändert sich nichts.

Typischer Einsatz ist die hybride Umgebung mit VPN oder ExpressRoute: Lokale Domänencontroller sollen die privatelink-Zonen von Private Endpoints auflösen, und Azure-VMs sollen Namen aus der lokalen AD-Domäne finden.

Abgrenzung: Azure DNS hostet Zonen (öffentlich und privat), der Private Resolver hostet keine Zonen, sondern beantwortet und leitet Anfragen weiter. Azure Private Link liefert die privaten Endpunkte, deren Namen der Resolver dann für das lokale Netz auflösbar macht. Allgemeine Grundlagen stehen im Eintrag DNS.

Funktionsweise & Details

Der Resolver besteht aus drei Bausteinen:

  1. Inbound-Endpunkt: eine private IP im VNet, die lokale DNS-Server als Ziel ihrer bedingten Weiterleitung eintragen. Anfragen darüber lösen private DNS-Zonen und Azure-Namen auf.
  2. Outbound-Endpunkt: der Absender für Anfragen aus Azure an lokale oder externe DNS-Server.
  3. DNS-Weiterleitungsregelsätze (Forwarding Rulesets): bis zu 1.000 Regeln mit Domänenname, bis zu sechs Ziel-DNS-Servern sowie Port und Protokoll (UDP oder TCP). Sie hängen an einem Outbound-Endpunkt und werden per VNet-Link mit bis zu 500 VNets verknüpft. Passen mehrere Regeln, gewinnt das längste Suffix.

Jeder Endpunkt braucht ein eigenes Subnetz zwischen /28 und /24, delegiert an Microsoft.Network/dnsResolvers und ohne IPv6. Ein Resolver gehört zu genau einem VNet in derselben Region, pro VNet ist nur ein Resolver möglich. Grenzen: 15 Resolver pro Subscription, je fünf Inbound- und Outbound-Endpunkte pro Resolver, 10.000 Abfragen pro Sekunde je Endpunkt.

Reihenfolge der Auflösung für eine VM mit Azure-DNS: zuerst verknüpfte private DNS-Zonen, dann verknüpfte Regelsätze, sonst die öffentliche Azure-Auflösung.

Vorteile & Nutzen

  • Keine DNS-Weiterleitungs-VMs mehr, damit entfallen Patchen, Hochverfügbarkeit und Überwachung für diese Server
  • Private Endpoints funktionieren auch aus dem lokalen Netz korrekt, weil privatelink-Namen auf die private IP aufgelöst werden statt auf die öffentliche
  • Ein Regelsatz im Hub lässt sich mit vielen Spoke-VNets verknüpfen, Weiterleitungen pflegst Du dadurch an einer Stelle
  • Eingebaute Zonenredundanz ohne eigenes Clustering

Praxisbeispiel

Ein Ingenieurbüro mit 120 Mitarbeitenden hat Azure Files und eine Azure-SQL-Datenbank per Private Endpoint angebunden. Clients im Büro lösten die Namen bisher auf die öffentliche IP auf, weil die lokalen Domänencontroller die privatelink-Zonen nicht kannten. Die IT richtet im Hub-VNet einen Private Resolver ein, trägt dessen Inbound-IP als bedingte Weiterleitung für die privatelink-Zonen auf den Domänencontrollern ein und legt einen Regelsatz an, der die AD-Domäne an die Domänencontroller weiterleitet. Zugriffe laufen seitdem über den VPN-Tunnel, die zwei alten DNS-Forwarder-VMs werden abgeschaltet.

Worauf sollte man achten?

  • Für Inbound- und Outbound-Endpunkt je ein eigenes Subnetz einplanen, /28 genügt für die aktuellen Grenzen, /27 lässt Reserve
  • Den Resolver im Hub platzieren und Regelsätze per VNet-Link an die Spokes geben, statt in jedem Spoke einen eigenen Resolver aufzubauen
  • Keine Weiterleitungsschleifen bauen: Lokale Server leiten privatelink-Zonen nach Azure, Azure leitet nur die lokalen Domänen zurück
  • Einschränkungen vor der Planung kennen: keine verschlüsselten VNets, kein ExpressRoute FastPath, keine Kompatibilität mit Azure Lighthouse und keine Regelsatz-Verknüpfung über Tenants
  • Ein Outbound-Endpunkt lässt sich erst löschen, wenn Regelsätze und VNet-Links entfernt sind, das beim Rückbau in der Reihenfolge berücksichtigen

Lizenz & Verfügbarkeit

Abrechnung monatlich je Inbound-Endpunkt, je Outbound-Endpunkt und je Regelsatz, bei vorzeitigem Entfernen stundengenau anteilig. Stand: Oktober 2026.

Fazit

Der Private Resolver ist der empfohlene Weg für hybride Namensauflösung mit Azure, vor allem sobald Private Endpoints im Spiel sind. Ersetze damit selbst betriebene DNS-Forwarder-VMs in Azure.

Weiterführende Links

Verwandte Artikel