將現有的 Cloud DNS 轉送設定遷移至傳出端點

本文概略說明如何遷移現有的 Cloud DNS 轉送設定，改用傳出端點。

遷移現有的 Cloud DNS 轉送設定

如要將現有的 Cloud DNS 轉送設定遷移至傳出端點，請按照下列四個階段操作：

準備

在準備階段，您必須先建立僅限 Proxy 子網路、一般子網路和傳出端點，才能開始遷移。此外，請確認地端部署網路有區域 Proxy 專用子網路 IP 位址範圍的回傳路徑，且地端部署防火牆規則允許來自區域 Proxy 專用子網路 IP 位址範圍的傳入 DNS 流量。

  1. 建立僅限 Proxy 的子網路：如果尚未建立，請在要部署傳出端點的每個區域中，建立僅限 Proxy 的子網路，大小至少為 /26 (64 個位址)。
  2. 找出或建立一般子網路：在您打算部署傳出端點的每個區域中，找出或建立一般子網路，並在其主要 IP 範圍內提供可用的內部 IPv4 位址。
  3. 建立傳出端點：建立傳出端點，並與目標虛擬私有雲網路、區域、一般子網路 (--subnetwork=REGULAR_SUBNET) 和可用的內部 IPv4 位址 (--endpoint-ip=IP_ADDRESS_STRING) 建立關聯。Cloud DNS 會自動建立及管理靜態 IP 預留資源，並將端點繫結至虛擬私有雲網路中的區域 Proxy 專用子網路。

  4. 更新地端部署防火牆和路由：確認地端部署網路有區域性僅限 Proxy 子網路 IP 位址範圍的回傳路由。在地端部署和外部環境中新增防火牆規則，允許來自區域性僅限 Proxy 子網路 IP 位址範圍的傳入 DNS 流量 (UDP 和 TCP 通訊埠 53)。

驗證 (選用)

您也可以在驗證階段驗證傳出端點設定。

  1. 建立測試轉送區域：為測試網域 (例如 test.corp.example.com) 建立新的臨時轉送區域。
  2. 設定端點：設定測試區域，使用新的傳出端點。
  3. 啟動測試 VM：在相關的虛擬私有雲網路中，啟動暫時測試 VM。
  4. 驗證解析：在測試 VM 中，使用 dig 或 nslookup 查詢測試區域內的主機 (例如 dig host.test.corp.example.com)，確認您收到成功的 DNS 回應。在地端部署或外部 DNS 伺服器記錄中，確認伺服器收到的查詢來自新區域 Proxy 專用子網路中的來源 IP 位址。此外，請在 dns_query 記錄中確認 jsonPayload.egressPath 已設為 OUTBOUND_ENDPOINT。

正式遷移

在正式環境遷移階段，您會更新轉送區域和伺服器政策，以便使用傳出端點，並查看查詢記錄，確保查詢能成功解析。

  1. 更新轉送區域和伺服器政策：針對要遷移的每個轉送區域或伺服器政策，編輯設定並將轉送路徑從預設的 35.199.192.0/19 範圍變更為傳出端點。
  2. 監控解析和健康狀態：查看 Cloud DNS 查詢記錄 (檢查 jsonPayload.egressPath=OUTBOUND_ENDPOINT、jsonPayload.outboundEndpoint 和 jsonPayload.egressError)，以及已遷移區域的現有監控指標，確認查詢是否成功解析。
    • 使用 dns.googleapis.com/query/response_count 追蹤查詢量和回應狀態碼。
  3. 大量遷移和預熱策略：
    • 自動調度資源延遲時間：Google 代管的底層 Proxy 基礎架構，自動調度資源的啟動延遲時間約為 10 分鐘。
    • 逐步推出：如果每個區域的匯總查詢量超過每秒 10,000 次查詢 (QPS)，請逐步遷移區域 (一次一個區域)，以免在自動調度資源期間遺失查詢。
    • 支援預熱：如果大型單一可用區遷移作業會立即超過每個區域 10,000 QPS，請逐步增加流量 (例如 10%、25%、50%，然後 100%)，或在預定遷移前與 Cloud de Confiance帳戶團隊或支援團隊聯絡，要求在排定的維護期間預熱基礎架構。在要求中指定：
      • 專案 ID
      • 目標區域
      • 預估 QPS 尖峰

清除所用資源

確認正式環境遷移成功後，您需要清除先前的轉送機制。

  1. 確認完整遷移：確認專案中所有必要的轉送區域和伺服器政策，均未使用預設的 35.199.192.0/19 範圍。
    • 查看地端部署 DNS 記錄，並確認在安全期間 (例如 24 小時) 內，沒有來自這個範圍的流量。
  2. 移除先前的防火牆規則：確認所有流量都已移至傳出端點後，即可放心移除地端部署防火牆規則，該規則允許來自預設 35.199.192.0/19 範圍的傳入 DNS 流量。移除或調整這項規則前，請確認沒有其他 Cloud de Confiance 服務正在使用。

復原

如要復原遷移作業，請按照下列步驟操作：

  1. 還原轉送區域或伺服器政策：編輯受影響的區域或伺服器政策，並將轉送設定改回預設的 35.199.192.0/19 範圍。
  2. 還原防火牆規則：確認允許來自 35.199.192.0/19 的傳入 DNS 流量規則仍有效。在遷移作業成功完成並進入清理階段之前，請勿移除這項規則。

後續步驟