AZ-104
Deep Dive
DNS es fundamental en Azure para resolución de nombres de recursos, servicios PaaS y conectividad híbrida. El AZ-104 evalúa Azure DNS público, zonas privadas, resolución en VNets y la integración con Private Endpoints.
Contenido
Azure DNS es un servicio de hosting de zonas DNS que usa la infraestructura de Azure para alta disponibilidad y rendimiento global. Permite gestionar los registros DNS de tus dominios desde Azure.
Importante: Azure DNS NO es un registrador de dominios — debes registrar el dominio en un registrador externo (GoDaddy, Namecheap, etc.) y luego delegar la zona DNS a Azure cambiando los nameservers.
Cómo funciona la delegación
Ventajas de Azure DNS
| Tipo | Función | Ejemplo | Notas AZ-104 |
|---|---|---|---|
| A | Nombre → IPv4 | www → 1.2.3.4 | El más común. Usar Alias para IPs de Azure. |
| AAAA | Nombre → IPv6 | www → 2001:db8::1 | Para recursos con IPv6. |
| CNAME | Alias de nombre → otro nombre | mail → contoso.mail.com | No se puede usar en el apex (root) del dominio. Usar Alias record en su lugar. |
| MX | Servidor de correo del dominio | 10 mail.contoso.com | Prioridad más baja = mayor preferencia. |
| TXT | Texto arbitrario | "v=spf1 include:..." | SPF, DKIM, verificación de dominio (Azure AD, etc.). |
| NS | Nameservers de la zona | ns1-04.azure-dns.com | Auto-generados por Azure DNS al crear la zona. |
| SOA | Start of Authority — info de la zona | Serial, refresh, retry... | Auto-generado y gestionado por Azure DNS. |
| SRV | Localización de servicios (host + puerto) | _sip._tcp → sipserver:5060 | Para servicios como SIP, LDAP, Kerberos. |
| PTR | IP → nombre (reverse DNS) | 4.3.2.1.in-addr.arpa → www | Resolución inversa. En Azure: zonas 168.63.in-addr.arpa. |
| Alias | Referencia a recurso Azure directamente | www → Public IP / Traffic Manager | Extensión de Azure — se actualiza automáticamente si la IP del recurso cambia. |
Las Private DNS Zones permiten usar nombres DNS personalizados dentro de una VNet sin necesidad de DNS servers propios. Los registros de la zona solo son resolubles desde las VNets vinculadas — no desde internet.
Autoregistro de VMs
Al vincular una VNet a una Private DNS Zone con autoregistration habilitado, las VMs en esa VNet registran automáticamente sus registros A y PTR en la zona cuando se crean/eliminan.
• Registro: vm-name.private.contoso.com → 10.0.0.4
• Se elimina automáticamente al eliminar la VM
• Solo una zona con autoregistro por VNet
• No funciona con IPs privadas de Private Endpoints (registro manual)
Virtual Network Links
Para que una VNet pueda resolver registros de una Private DNS Zone, debes crear un Virtual Network Link entre la zona y la VNet.
• Una zona puede tener links a múltiples VNets (incluidas VNets peered)
• Sin link: la VNet no puede resolver la zona privada aunque haya peering
• Con peering: la VNet spoke puede resolver la zona del hub si hay link entre la zona y la VNet hub (no necesita link directo si el DNS proxy del hub re-envía las queries)
DNS de Azure (default)
DNS personalizado
Azure DNS Private Resolver (recomendado para híbrido)
Servicio PaaS que permite resolver nombres DNS entre Azure y on-premises sin gestionar VMs de DNS. Tiene dos endpoints: Inbound (recibe queries desde on-premises) y Outbound (reenvía queries de Azure a DNS on-premises según ruleset). Altamente disponible y sin gestión de infraestructura.
Concepto crítico para el examen
Cuando creas un Private Endpoint para un servicio PaaS (ej: Storage Account), el nombre DNS público del servicio (mystorageaccount.blob.core.windows.net) debe resolver a la IP privada del endpoint — no a la IP pública original.
Azure hace esto via CNAME: el nombre público se redirige a un subdominio *.privatelink.blob.core.windows.net, que se resuelve en la Private DNS Zone privatelink.blob.core.windows.net a la IP privada del endpoint.
| Servicio PaaS | Zona DNS Privada requerida |
|---|---|
| Azure Blob Storage | privatelink.blob.core.windows.net |
| Azure SQL Database | privatelink.database.windows.net |
| Azure Key Vault | privatelink.vaultcore.azure.net |
| Azure Container Registry | privatelink.azurecr.io |
| Azure Kubernetes Service | privatelink.<region>.azmk8s.io |
| Azure Monitor / Log Analytics | privatelink.monitor.azure.com |
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa tiene un Storage Account con Private Endpoint configurado en su VNet. Los desarrolladores reportan que desde dentro de la VNet, el nombre DNS del storage resuelve a la IP pública en lugar de la IP privada del endpoint. ¿Cuál es la causa más probable?