为什么特定于端点的DNS主机名在开放的internet上解析？

Question

为了工作，我创建了一个启用专用dns的接口端点。AWS按预期生成特定端点的DNS主机名。然而，我希望那些DNS地址只能在我的VPC中访问，相反，我看到它们在公共互联网上解析。所谓“公共互联网”，我的意思是我的个人(非工作)笔记本电脑可以解析DNS主机名时，我的非工作手机(没有VPN，没有工作访问)。大联盟惊喜！

我混淆了这个示例的DNS名称，但是当我期望它失败时，下面的命令基本上是从公共网络中运行的：

c:\>nslookup vpce-05df6-ug9qu.ec2.us-east-1.vpce.amazonaws.com
Server: Unknown
Address: 192.168.43.254

Non-authoritative answer:
Name: vpce-05df6-ug9qu.ec2.us-east-1.vpce.amazonaws.com
Addresses: 10.137.90.25
           10.137.95.40

同样，我混淆/更改了上面的DNS名称和IP答案，因为我不希望在这个问题中发布真实的值，但上面的内容足以说明地址确实解决了。相反，我原以为nslookup会说：

*未知找不到vpce-05df6-ug9qu.ec2.us-east-1.vpce.amazonaws.com:不存在的域

为什么会这样呢？

Answer 1

它是解析的，因为DNS条目是一个完全限定的域名(FQDN)。

您可以将FQDN指向任何目的地，并且在执行DNS查询时，它将返回私有地址。如果地址是私有IP，并且请求来自您专用网络上的一个节点，则您的请求将解析为您的私有IP。