Panoramica dell'utilizzo del DNS di zona

Questo documento descrive i vantaggi e l'approccio consigliato per eseguire la migrazione dei workload e dell'organizzazione dal DNS globale al DNS di zona.

Il DNS di zona riduce il rischio di interruzioni tra regioni e migliora l'affidabilità complessiva dei progetti su Compute Engine.

Vantaggi dell'utilizzo di nomi DNS di zona

Google Cloud offre due tipi di nomi DNS interni: di zona e globali.

DNS di zona

I nomi DNS di zona includono il nome dell'istanza Compute Engine, la zona in cui si trova l'istanza e il progetto a cui appartiene l'istanza. Questi nomi vengono risolti all'interno di una zona specifica. Di conseguenza, my-vm.zone1.google.com è univoco per zone1 e rappresenta un'istanza diversa da my-vm.zone2.google.com. Questo isolamento offre un vantaggio chiave:

  • Maggiore affidabilità: se in una zona si verifica un'interruzione del servizio, questa non influisce sulla risoluzione DNS in altre zone, il che comporta un'affidabilità più alta per le tue applicazioni.

Il DNS di zona è il metodo di risoluzione DNS interno predefinito per le organizzazioni create dopo il 6 settembre 2018.

DNS globale

I nomi DNS globali non includono la zona in cui si trova l'istanza. Ciò significa che ogni istanza deve avere un nome DNS univoco in tutte le zone del progetto. Questo approccio presenta uno svantaggio significativo:

  • Single point of failure: se il servizio DNS globale riscontra dei problemi, gli effetti si possono ripercuotere su tutte le istanze, indipendentemente dalla zona in cui si trovano. Ciò può causare i seguenti problemi:
    • Impossibilità di creare nuove istanze: potresti non essere in grado di creare nuove istanze in nessuna regione in cui si verificano errori nel control plane.
    • Interruzione del servizio: i servizi critici di Compute Engine, come la scalabilità automatica o il ripristino automatico per i gruppi di istanze gestite (MIG), potrebbero non funzionare correttamente.

Approccio consigliato per la migrazione dal DNS globale al DNS di zona

In genere, il processo di migrazione dal DNS globale al DNS di zona prevede due passaggi:

  1. Configura i nuovi progetti in modo che utilizzino il DNS di zona per impostazione predefinita.
  2. Esegui la migrazione dei progetti esistenti dall'utilizzo del DNS globale al DNS di zona, modificando l'impostazione dei metadati DNS interno.

Alcuni progetti potrebbero non essere compatibili con il DNS di zona. Per questi progetti è necessario effettuare l'analisi e la risoluzione dei problemi prima di poter eseguire la migrazione al DNS di zona.

Indicazioni sulla compatibilità dei progetti

Compute Engine controlla la cronologia DNS interna degli ultimi 30 giorni per determinare se puoi eseguire la migrazione al DNS di zona senza apportare modifiche al codice. Anche se la migrazione è consigliata per il tuo progetto, Google ti consiglia di verificare che la configurazione specifica del tuo workload sia pronta per il passaggio al DNS di zona. Per assicurarti che tutto funzioni senza problemi dopo la migrazione, esamina i seguenti fattori ambientali:

1. Domini di ricerca DNS (solo Linux o Unix)

Quando passi al DNS di zona, Compute Engine aggiunge un nuovo dominio al percorso di ricerca dell'istanza.

  • Quando eseguire la verifica: se esegui distribuzioni Linux o Unix precedenti che utilizzano glibc versione 2.25 o precedenti, il sistema ha un limite massimo di sei domini di ricerca.

  • Quando saltare la verifica: se l'istanza esegue uno dei seguenti sistemi operativi, non devi verificare nulla:

    • Windows
    • Container-Optimized OS
    • Debian 10 o versioni successive
    • Fedora CoreOS 27 o versioni successive
    • RHEL 8 o versioni successive
    • Ubuntu 18.04 o versioni successive
    • Immagini personalizzate che utilizzano glibc versione 2.26 o versioni successive

Come verificare l'ambiente:

  1. Connettiti all'istanza Linux e controlla la versione di glibc eseguendo questo comando:

    ldd --version

  2. Se utilizzi glibc versione 2.25 o precedenti, visualizza i domini di ricerca attuali eseguendo questo comando:

    cat /etc/resolv.conf

    La riga search nell'output mostra i domini di ricerca attuali. Non devi avere più di cinque domini per aggiungere in sicurezza un nuovo dominio di ricerca ed evitare di superare il limite di sei del sistema operativo.

Come eseguire la mitigazione:

Se l'istanza supera il limite dei domini di ricerca in una versione del sistema operativo interessata, puoi risolvere la limitazione utilizzando uno dei seguenti approcci:

  • Crea una nuova istanza: crea un'istanza di sostituzione utilizzando un'immagine del sistema operativo conforme (ad esempio Debian 10+ o RHEL 8+).
  • Aggiorna l'istanza esistente: aggiorna il sistema operativo guest sull'istanza di computing in modo che esegua un sistema operativo conforme.

2. Lunghezza del nome dell'istanza (sistemi operativi precedenti)

Il DNS di zona aggiunge un qualificatore a livello di zona al nome di dominio completo (FQDN) interno, allungando il nome complessivo.

  • Quando eseguire la verifica: i sistemi precedenti come Windows Server 2003 o versioni precedenti hanno un limite di 15 caratteri per il nome a causa delle convenzioni NetBIOS precedenti.
  • Cosa fare: se utilizzi questi sistemi precedenti, verifica che i nomi DNS di zona più lunghi non superino questo limite di caratteri.

Le immagini del sistema operativo Windows moderne non sono interessate.

Come eseguire la mitigazione:

Se il nome di un'istanza su un sistema operativo precedente supera i 15 caratteri dopo l'aggiunta del qualificatore a livello di zona, puoi risolvere il problema utilizzando uno dei seguenti metodi:

  • Rinomina l'istanza: arresta l'istanza e rinominala in modo che il FQDN combinato rimanga entro il limite di 15 caratteri di NetBIOS.
  • Esegui l'upgrade del sistema operativo: aggiorna il sistema operativo guest dell'istanza di computing a un'immagine del sistema operativo Windows moderna per la quale non si applicano più le restrizioni di denominazione NetBIOS.

3. Reti VPC condivise

Se la tua infrastruttura utilizza progetti di servizio connessi tramite un VPC condiviso, la risoluzione dei nomi si comporta in modo leggermente diverso dopo il passaggio all'utilizzo del DNS di zona.

  • Cosa fare: per garantire una comunicazione senza interruzioni nel VPC condiviso, verifica che le tue applicazioni risolvano i nomi delle istanze all'interno di questi progetti di servizio utilizzando il FQDN di zona. Il FQDN di zona include il nome della zona specifica.

Passaggi successivi