Migrar uma configuração de encaminhamento do Cloud DNS para endpoints de saída

Neste documento, apresentamos uma visão geral do que você precisa fazer para migrar uma configuração de encaminhamento do Cloud DNS para usar endpoints de saída.

Migrar uma configuração de encaminhamento do Cloud DNS

Há quatro fases para migrar uma configuração de encaminhamento do Cloud DNS para usar endpoints de saída:

Preparação

Na fase de preparação, antes de iniciar a migração, crie as sub-redes somente proxy, as sub-redes regulares e os endpoints de saída. Verifique também se a rede local tem uma rota de retorno para o intervalo de endereços IP da sub-rede somente proxy regional e se as regras de firewall locais permitem o tráfego DNS de entrada do intervalo de endereços IP da sub-rede somente proxy regional.

  1. Crie sub-redes somente proxy: se ainda não estiverem presentes, em cada região em que você pretende implantar um endpoint de saída, crie uma sub-rede somente proxy com um tamanho mínimo de /26 (64 endereços).
  2. Identificar ou criar uma sub-rede comum: em cada região em que você planeja implantar um endpoint de saída, identifique ou crie uma sub-rede comum com um endereço IPv4 interno disponível no intervalo de IP principal.
  3. Criar endpoints de saída: crie seus endpoints de saída e associe-os à rede VPC de destino, à região, à sub-rede regular (--subnetwork=REGULAR_SUBNET) e a um endereço IPv4 interno disponível (--endpoint-ip=IP_ADDRESS_STRING). O Cloud DNS cria e gerencia automaticamente o recurso de reserva de IP estático e vincula o endpoint à sub-rede regional somente proxy na rede VPC.

  4. Atualize os firewalls e as rotas locais: verifique se a rede local tem uma rota de retorno para o intervalo de endereços IP da sub-rede regional somente proxy. Adicione regras de firewall nos ambientes locais e externos para permitir o tráfego de DNS de entrada (porta UDP e TCP 53) originado do intervalo de endereços IP da sub-rede regional somente proxy.

Verificação (opcional)

Se quiser, use a fase de verificação para verificar a configuração do endpoint de saída.

  1. Criar uma zona de encaminhamento de teste: crie uma zona de encaminhamento temporária para um domínio de teste (por exemplo, test.corp.example.com).
  2. Configurar para os endpoints: configure a zona de teste para usar os novos endpoints de saída.
  3. Inicie uma VM de teste: em uma rede VPC relevante, inicie uma VM de teste temporária.
  4. Verifique a resolução: na VM de teste, use dig ou nslookup para consultar um host na zona de teste (por exemplo, dig host.test.corp.example.com). Confirme se você recebeu uma resposta de DNS bem-sucedida. Verifique nos registros do servidor DNS local ou externo se o servidor recebeu a consulta de um endereço IP de origem na nova sub-rede regional somente proxy. Verifique também nos registros de dns_query se jsonPayload.egressPath está definido como OUTBOUND_ENDPOINT.

Migração de Production

Durante a fase de migração de produção, você atualiza as zonas de encaminhamento e as políticas de servidor para usar os endpoints de saída e analisa os registros de consulta para garantir que as consultas sejam resolvidas.

  1. Atualizar zonas de encaminhamento e políticas de servidor: para cada zona de encaminhamento ou política de servidor que você quer migrar, edite a configuração e mude o caminho de ida do intervalo padrão 35.199.192.0/19 para os endpoints de saída.
  2. Monitorar a resolução e a integridade: analise os registros de consulta do Cloud DNS (verificando jsonPayload.egressPath=OUTBOUND_ENDPOINT, jsonPayload.outboundEndpoint e jsonPayload.egressError) e as métricas de monitoramento atuais das zonas migradas para confirmar se as consultas DNS estão sendo resolvidas.
    • Use dns.googleapis.com/query/response_count para acompanhar o volume de consultas e os códigos de status de resposta.
  3. Estratégia de migração de alto volume e pré-aquecimento:
    • Latência de escalonamento automático: há uma latência de inicialização de escalonamento automático de aproximadamente 10 minutos para a infraestrutura de proxy subjacente gerenciada pelo Google.
    • Lançamento incremental: migre as zonas de forma incremental (uma zona por vez) se o volume de consultas agregadas exceder 10.000 consultas por segundo (QPS) por região para evitar consultas descartadas durante o aumento do escalonamento automático.
    • Pré-aquecimento do suporte: para grandes migrações de zona única que excedem imediatamente 10.000 QPS por região,aumente o tráfego gradualmente (por exemplo, 10%, 25%, 50% e, em seguida, 100%) ou entre em contato com sua equipe de conta do Cloud de Confiance ou com o suporte antes da migração planejada para solicitar o pré-aquecimento da infraestrutura durante a janela de manutenção programada. Na solicitação, especifique:
      • ID do projeto
      • Regiões de destino
      • QPS de pico estimado

Limpeza

Depois de verificar se a migração de produção foi bem-sucedida, é necessário limpar o mecanismo de encaminhamento anterior.

  1. Confirme a migração completa: verifique se todas as zonas de encaminhamento e políticas de servidor necessárias no projeto não estão usando o intervalo 35.199.192.0/19 padrão.
    • Revise os registros de DNS locais e verifique se não há tráfego proveniente desse intervalo por um período seguro (por exemplo, 24 horas).
  2. Remova a regra de firewall anterior: depois de confirmar que todo o tráfego foi movido para os endpoints de saída, remova com segurança a regra de firewall local que permitia o tráfego de DNS de entrada do intervalo padrão 35.199.192.0/19. Verifique se nenhum outro serviço do Cloud de Confiance está usando essa regra antes de removê-la ou ajustá-la.

Reverter

Se você precisar reverter a migração, faça o seguinte:

  1. Reverter políticas de servidor ou zona de encaminhamento: edite a zona ou política de servidor afetada e mude o encaminhamento de volta para o intervalo padrão 35.199.192.0/19.
  2. Restaurar regras de firewall: verifique se a regra que permite o tráfego DNS de entrada de 35.199.192.0/19 ainda está ativa. Não remova essa regra antes da fase de limpeza de uma migração bem-sucedida.

A seguir