将现有的 Cloud DNS 转发设置迁移到出站端点

本文档简要概述了迁移现有 Cloud DNS 转发设置以使用出站端点所需执行的操作。

迁移现有 Cloud DNS 转发设置

将现有 Cloud DNS 转发设置迁移到使用出站端点分为四个阶段，如下所示：

准备工作

在准备阶段，您需要先创建代理专用子网、常规子网和出站端点，然后才能开始迁移。此外，请确保您的本地网络具有区域级代理专用子网 IP 地址范围的返回路由，并且您的本地防火墙规则允许来自区域级代理专用子网 IP 地址范围的入站 DNS 流量。

  1. 创建代理专用子网：如果尚未创建，请在您打算部署出站端点的每个区域中创建一个代理专用子网，其最小大小为 /26（64 个地址）。
  2. 确定或创建常规子网：在您计划部署出站端点的每个区域中，确定或创建一个常规子网，其主要 IP 范围内具有可用的内部 IPv4 地址。
  3. 创建出站端点：创建出站端点，并将其与目标 VPC 网络、区域、常规子网 (--subnetwork=REGULAR_SUBNET) 和可用的内部 IPv4 地址 (--endpoint-ip=IP_ADDRESS_STRING) 相关联。Cloud DNS 会自动创建和管理静态 IP 预留资源，并将端点绑定到 VPC 网络中的区域级代理专用子网。

  4. 更新本地防火墙和路由：确保您的本地网络具有区域级代理专用子网 IP 地址范围的返回路由。在本地和外部环境中添加防火墙规则，以允许源自区域级代理专用子网 IP 地址范围的入站 DNS 流量（UDP 和 TCP 端口 53）。

验证（可选）

（可选）您可以使用验证阶段来验证出站端点配置。

  1. 创建测试转发可用区：为测试网域（例如 test.corp.example.com）创建新的临时转发可用区。
  2. 为端点进行配置：将测试可用区配置为使用新的出站端点。
  3. 启动测试虚拟机：在相关 VPC 网络中，启动临时测试虚拟机。
  4. 验证解析：在测试虚拟机中，使用 dig 或 nslookup 查询测试可用区中的主机（例如 dig host.test.corp.example.com）。确认您收到了成功的 DNS 响应。在本地或外部 DNS 服务器日志中验证服务器是否收到了来自新区域级代理专用子网中来源 IP 地址的查询。此外，请在 dns_query 日志中验证 jsonPayload.egressPath 是否已设置为 OUTBOUND_ENDPOINT。

生产环境迁移

在生产迁移阶段，您需要更新转发可用区和服务器政策，以使用出站端点，并查看查询日志，确保查询成功解析。

  1. 更新转发可用区和服务器政策：对于要迁移的每个转发可用区或服务器政策，请修改配置，并将转发路径从默认的 35.199.192.0/19 范围更改为出站端点。
  2. 监控解析和运行状况：查看 Cloud DNS 查询日志（检查 jsonPayload.egressPath=OUTBOUND_ENDPOINT、jsonPayload.outboundEndpoint 和 jsonPayload.egressError）以及已迁移区域的现有监控指标，以确认查询是否成功解析。
    • 使用 dns.googleapis.com/query/response_count 跟踪查询量和响应状态代码。
  3. 大批量迁移和预热策略：
    • 自动伸缩延迟时间：底层 Google 管理的代理基础架构大约有 10 分钟的自动伸缩启动延迟时间。
    • 增量发布：如果每个区域的总查询量超过每秒 10,000 次查询 (QPS)，请以增量方式（一次一个可用区）迁移可用区，以避免在自动扩缩增加期间丢弃查询。
    • 支持预热：对于每个区域立即超过 10,000 QPS 的大型单可用区迁移，请逐步增加流量（例如，10%、25%、50%，然后是 100%），或在计划迁移之前联系您的 Cloud de Confiance客户支持团队或支持团队，请求在预定维护窗口期间进行基础架构预热。在请求中，指定以下内容：
      • 项目 ID
      • 目标区域
      • 估算的峰值 QPS

清理

验证生产环境迁移成功后，您需要清理之前的转发机制。

  1. 确认完全迁移：验证项目中的所有必要转发可用区和服务器政策均未使用默认 35.199.192.0/19 范围。
    • 查看本地 DNS 日志，并确保在安全期（例如 24 小时）内没有来自此范围的流量。
  2. 移除之前的防火墙规则：确认所有流量都已移至出站端点后，您可以安全地移除允许来自默认 35.199.192.0/19 范围的入站 DNS 流量的本地防火墙规则。在移除或调整此规则之前，请确保没有其他 Cloud de Confiance 服务正在使用此规则。

回滚

如果您需要回滚迁移，请执行以下操作：

  1. 还原转发可用区或服务器政策：修改受影响的可用区或服务器政策，并将其转发更改回默认的 35.199.192.0/19 范围。
  2. 恢复防火墙规则：确保允许来自 35.199.192.0/19 的入站 DNS 流量的规则仍然有效。在成功迁移的清理阶段之前，请勿移除此规则。

后续步骤