Disponibilidade e escalabilidade do Route 53 Resolver

Amazon Route 53 Resolver, executado no endereço CIDR + 2 da Amazon VPC e fd00:ec2: :253, está disponível por padrão em todos e responde recursivamente às consultas de DNS para registros públicos VPCs, nomes DNS específicos do Amazon VPC e zonas hospedadas privadas do Route 53. Há dois componentes altamente disponíveis, transparentes para os usuários, que compõem o Route 53 Resolver: o serviço Nitro Resolver e a frota Zonal Resolver. O Nitro Resolver Service é um serviço executado no cartão Nitro, em instâncias do Nitro, e em Dom0 em instâncias de gerações mais antigas, e consome pacotes endereçados ao Route 53 Resolver localmente no servidor host. Para obter mais informações, consulte O design de segurança do sistema AWS Nitro.

O serviço Nitro Resolver mantém um cache local que pode ajudar a reduzir a latência, respondendo a consultas repetidas feitas por uma instância durante um período curto. Quando o serviço Nitro Resolver recebe uma consulta para a qual não tem uma resposta em cache, ele a encaminha para a frota Resolver Zonal, uma frota de resolvedores altamente disponível, normalmente na mesma zona de disponibilidade que a instância. Quando há falhas no tratamento de consultas por servidores de nomes upstream ou outros componentes ao longo do caminho, o serviço Nitro Resolver geralmente consegue lidar com essas falhas de modo transparente, sem afetar as workloads em execução na instância. Além disso, se o Resolvedor encontrar tempos limite de consulta, conexões recusadas ou SERVFAILS dos servidores de nomes do domínio, ele poderá responder com uma resposta em cache além do valor Time-To-Live (TTL) para melhorar a disponibilidade. As consultas entre o serviço Nitro Resolver e a frota Zonal Resolver são restritas a uma rede rigidamente controlada fora da VPC do cliente, que é inacessível aos clientes e está sujeita a controles de segurança rigorosos. Lidando com consultas entre o serviço Nitro Resolver e a frota Zonal Resolver fora da VPC, os clientes ficam impedidos de interceptar consultas ao DNS dentro da sua VPC. As consultas destinadas a servidores de nomes externos AWS percorrerão a Internet pública, originadas de endereços IP públicos pertencentes à frota do Zonal Resolver. Atualmente, não oferecemos suporte ao atributo EDNS0-Client Subnet, o que significa que todas as consultas destinadas a servidores de nomes DNS públicos não incluem informações sobre o endereço IP do cliente originador.

O serviço Resolver do Nitro faz parte dos serviços Link-Local na instância. Os serviços Link-Local incluem o Route 53 Resolver, o serviço de horas da Amazon (NTP), o serviço de metadados de instância (IMDS) o serviço de licenciamento do Windows (para instâncias do Windows). Esses serviços são escalados com cada interface de rede elástica que você cria em sua VPC, e cada interface de rede permite 1.024 pacotes por segundo (PPS) destinados aos serviços Link-Local. Pacotes que excedem esse limite são rejeitados. Você pode determinar se excedeu esse limite pelo valor linklocal_allowance_exceeded retornado por ethtool. Para obter mais informações sobre o ethtool, consulte Monitore o desempenho da rede para sua EC2 instância da Amazon no Guia do EC2 usuário da Amazon. Essa métrica também pode ser reportada às CloudWatch métricas pelo CloudWatch Agente. Como o Route 53 Resolver é implementado por interface de rede, ele é escalado e se torna mais confiável à medida que você adiciona mais instâncias em mais zonas de disponibilidade. Não há limite de número de consultas agregado por VPC, portanto, o Route 53 Resolver pode ser escalado dentro dos limites de uma VPC, o que inerentemente se baseia no uso de endereços de rede (NAU). Para obter mais informações, consulte Uso de endereço de rede para sua VPC no Manual do usuário da Amazon Virtual Private Cloud.

O diagrama a seguir mostra uma visão geral de como o Route 53 Resolver resolve consultas ao DNS nas zonas de disponibilidade.