云下网络如何通过VPN网关访问阿里云DNS_云解析 PrivateZone(PrivateZone)-阿里云帮助中心

背景

DNS服务的作用是通过域名找到对应IP。对于一家科技企业来说，搭建一套内网DNS是很有必要的。当企业将服务整体搬迁到阿里云上后，就面临着办公网络环境和阿里云互联互通的问题。这里面，DNS扮演着企业内部寻址服务的关键角色，如何在办公网环境下也能利用阿里云DNS完成内部域名解析，成了很多客户上云后的难点。

本文介绍一种在VPN互联互通场景下，利用阿里云DNS解析内部域名的实践方案。

适用场景

阿里云VPC内提供的DNS server支持PrivateZone功能，通过VPN网关可以使用ipsec协议把线下的网络（如本地数据中心/分支机构）和VPC进行互通。本教程介绍通过VPN网关访问阿里云上PrivateZone的方法。

资源准备

阿里云PrivateZone的DNS服务器地址如下：

序号	PrivateZone服务器IP地址
1	100.100.2.136/32
2	100.100.2.138/32

阿里云VPN服务（https://www.aliyun.com/product/vpn?）

具体配置：

第一步在VPN网关上配置访问DNS服务器的ipsec连接

在现有的VPN网关上创建新的ipsec连接：
点击“编辑”，注意点开“高级配置”，配置信息如下：

配置项	配置内容
名称	自定义
VPN网关	系统自动生成
用户网关	系统自动生成
本端网段	192.168.0.0/16（根据实际网段进行替换）
对端网段	10.0.0.0/24（根据实际网段进行替换）
立即生效	是
预共享密钥	自定义
版本	ikev1
协商模式	main
加密算法	aes
认证算法	sha1
DH分组	group2
SA生存周期（秒）	86400
LocalId	39.96.2.138（根据实际进行替换）
Remoteld	39.96.0.248（根据实际进行替换）

IPsec配置信息

配置项	配置内容
加密算法	aes
认证算法	sha1
DH分组	group2
SA生存周期（秒）	86400

第二步新建从线下网络到VPN网关的IPSec

点击创建IPSec连接，在相同的VPN网关上新建ipsec连接，除了本地网段换为100.100.2.136/32以外，其它参数保持完全一致。否则ipsec的第一阶段协商可能会失败.

配置项	配置内容
名称	自定义
VPN网关	自定义
用户网关	自定义
本端网段	100.100.2.128/25（DNS服务网段）
对端网段	192.168.0.0/16（根据实际网段进行替换）
立即生效	是
预共享密钥	自定义
版本	ikev1
协商模式	main
加密算法	aes
认证算法	sha1
DH分组	group2
SA生存周期（秒）	86400
LocalId	39.96.0.248（根据实际进行替换）
Remoteld	39.96.2.128（根据实际进行替换）