> ## Content Index
> Fetch the complete content index at: https://www.azurebrasil.cloud/llms.txt
> Use this file to discover other available public pages before exploring further.

# Implementando DNS privado no Azure: boas práticas com Private DNS Zones e integração com Private Endpoints
- URL: https://www.azurebrasil.cloud/blog/implementando-dns-privado-no-azure-boas-praticas-com-private-dns-zones-e-integracao-com-private-endpoints/
- Published: 2025-07-15T20:09:45.000Z
- Updated: 2025-07-16T12:59:15.000Z
- Author: Ricardo Martins

## Introdução

Ao projetar uma rede segura no Azure, especialmente com o uso de **serviços PaaS acessados via Private Endpoint**, o correto funcionamento de DNS é fundamental. Sem uma resolução adequada de nomes, sua aplicação pode falhar ao tentar se comunicar com recursos essenciais como Storage, SQL Database ou Cosmos DB.

Neste post, vamos abordar como configurar o **DNS privado no Azure** usando **Private DNS Zones**, integrá-las com **Private Endpoints** e aplicar boas práticas em ambientes corporativos com múltiplas VNets ou ambientes híbridos.

## Conceitos essenciais

| Conceito                     | Descrição                                                               |
| ---------------------------- | ----------------------------------------------------------------------- |
| **Private DNS Zone**         | Zona DNS privada gerenciada pelo Azure para resolução de nomes internos |
| **VNet Link**                | Permite que uma VNet resolva nomes definidos na Private DNS Zone        |
| **Private Endpoint (PE)**    | IP privado associado a um serviço PaaS                                  |
| **Registro A automático**    | Criado ao integrar um PE com a zona DNS privada                         |
| **DNS Forwarder / Resolver** | Encaminha consultas entre redes ou para ambientes on-premises           |

## Cenário prático

### Objetivo

Conectar uma aplicação hospedada em uma VNet a uma conta de armazenamento via **Private Endpoint**, garantindo que o nome `mystorage.blob.core.windows.net` resolva para o IP privado.

### Etapas

**1\. Criar a Private DNS Zone**

```bash
az network private-dns zone create \
  --resource-group rg \
  --name "privatelink.blob.core.windows.net"
```

**2\. Linkar a VNet à zona**

```bash
az network private-dns link vnet create \
  --resource-group rg \
  --zone-name "privatelink.blob.core.windows.net" \
  --name link-vnet \
  --virtual-network vnet-principal \
  --registration-enabled false
```

**3\. Criar o Private Endpoint**

```bash
az network private-endpoint create \
  --name pe-storage \
  --resource-group rg \
  --vnet-name vnet-principal \
  --subnet subnet-default \
  --private-connection-resource-id /subscriptions/<sub-id>/resourceGroups/rg/providers/Microsoft.Storage/storageAccounts/mystorage \
  --group-id "blob" \
  --connection-name mystorage-pe-conn

```

**4\. Associar o PE à zona DNS**

A maioria dos serviços já permite associar a zona diretamente no momento da criação do PE (via DNS zone group), o que cria automaticamente o registro `A`.

## Diagrama da arquitetura

![](https://storage.ghost.io/c/00/52/0052dced-0017-4d07-b190-1f5c48e0ab59/content/images/2025/07/Untitled-diagram-_-Mermaid-Chart-2025-07-15-200634.png)

## Boas práticas

| Prática                         | Descrição                                                 |
| ------------------------------- | --------------------------------------------------------- |
| **Centralizar zonas DNS**       | Uma única zona privatelink.\* por tipo de serviço         |
| **Linkar todas as VNets**       | Necessário para que outras VNets também resolvam os nomes |
| **Desativar acesso público**    | Protege os serviços contra exposição indesejada           |
| **Monitorar com Log Analytics** | Captura falhas e anomalias de resolução                   |

## Testando a resolução

A partir de uma VM ou App Service em VNet integrada, rode:

```bash
nslookup mystorage.blob.core.windows.net

```

A resposta deve ser um **IP privado**, algo como `10.10.5.4`.

## Multi-região e ambientes híbridos

Se você opera em várias regiões ou conecta redes locais via VPN ou ExpressRoute:

- Crie links entre todas as VNets e a Private DNS Zone
- Use um **Azure DNS Private Resolver** (em preview) para controle avançado de encaminhamento
- Configure **Conditional Forwarders** em DNS locais para `.privatelink.*`

## Segurança integrada

- Use Azure Policy para forçar uso de Private Endpoints e bloquear IPs públicos
- Audite a criação de registros DNS com Activity Logs
- Implemente RBAC para controlar quem pode criar zonas ou editar registros

## Referências oficiais

- [Private DNS Zones](https://learn.microsoft.com/azure/dns/private-dns-overview?ref=azurebrasil.cloud)
- [Private Endpoint DNS integration](https://learn.microsoft.com/azure/private-link/private-endpoint-dns?ref=azurebrasil.cloud)
- [Azure DNS Private Resolver](https://learn.microsoft.com/azure/dns/dns-private-resolver-overview?ref=azurebrasil.cloud)

## Conclusão

O uso de **Private DNS Zones** no Azure é obrigatório para garantir uma comunicação confiável e segura entre recursos em redes privadas. Quando bem implementado, ele simplifica operações, aumenta a segurança e elimina a necessidade de manter DNS personalizados em máquinas ou appliances.