Azure hybride — les VM ne résolvent plus les noms internes
```text ** server can't find app.corp.local: SERVFAIL ```
Détecter
Depuis Azure, app.corp.local ne se résout plus (SERVFAIL ou NXDOMAIN) alors que le VPN site à site est connecté ; les noms publics se résolvent normalement.
Symptômes
Depuis Azure, app.corp.local ne se résout plus (SERVFAIL ou NXDOMAIN) alors que le VPN site à site est connecté ; les noms publics se résolvent normalement.
Environnement
Datacenter relié à Azure par VPN ou ExpressRoute, résolveur privé Azure DNS (ou serveurs DNS dans le hub) qui transfère le domaine interne vers les contrôleurs de domaine.
Cause racine
La chaîne de transfert est cassée : règle de transfert pointant vers un DC retiré, DC injoignable (route ou NSG sur le port 53 TCP/UDP), VNet non lié à l'ensemble de règles, serveurs DNS personnalisés du VNet modifiés, ou zone privée qui masque le domaine.
Diagnostic
- Depuis la VM : quel serveur DNS est utilisé (
resolvectl status,ipconfig /all) ? - VPN ou ExpressRoute : état de la connexion et routes apprises.
- Résolveur : règle de transfert pour le domaine et ses serveurs cibles ; liens de VNet de l'ensemble de règles.
- Tester la résolution directement contre un DC (
nslookup app.corp.local 10.0.0.10). - Corréler avec un changement (migration de DC, modification réseau).
Solution
Mettre à jour la règle avec les DC actuels — au moins deux pour la redondance — ou corriger le flux réseau vers eux, puis vérifier depuis plusieurs VM.
Commandes
az network vpn-connection show -g rg-hub -n cn-datacenter --query connectionStatus
az dns-resolver forwarding-rule list -g rg-hub --ruleset-name frs-hub -o table
az dns-resolver forwarding-rule update -g rg-hub --ruleset-name frs-hub -n fwd-corp-local --target-dns-servers ip-address=10.0.0.10 port=53 ip-address=10.0.0.11 port=53
nslookup app.corp.local
Prévention
Inventaire des dépendances DNS dans chaque projet de migration de DC, supervision synthétique de la résolution, documentation de l'architecture DNS hybride.