DNS Armor 费用估算和优化

本文档提供了一些有关估算 DNS Armor 费用的基本信息。此外，还提供了一些方法，可帮助您在使用 DNS Armor 时优化费用。

如需了解 Cloud DNS 的一般价格信息，请参阅 Cloud DNS 价格。

如需详细了解 DNS Armor 价格，请参阅高级威胁检测价格。

费用估算

您可以使用过滤为 target_type=external 和 source_type==gce-vm 的 dns.googleapis.com/query/response_count 指标来估算费用。

费用优化

如需降低 DNS Armor 费用，您可以配置以下资源，以将其流量从威胁检查中排除。

不包括 Google API 和服务

默认情况下，对 googleapis.com 的查询会递归到互联网，这意味着这些查询会被视为 external 查询，因此属于 DNS Armor 的处理范围。为避免这种情况，请在 Cloud DNS 专用区域中捕获此流量，并将其路由到 Google 的内部虚拟 IP 地址 (VIP)。这样做会将这些查询标记为 internal，并且这些查询将绕过 DNS Armor 检查。

如需将 API 调用从 DNS Armor 处理中排除，请为 Google API 配置专用 Google 访问通道或 Private Service Connect。如需了解详情，请参阅配置专用 Google 访问通道和通过端点访问 Google API 的简介。

排除您自己的网域

DNS Armor 会将内部工作负载对公共网域的查询视为外部流量，因此会通过威胁检测器进行处理。为避免这种情况，请确保您的公司网域通过专用托管区域、对等互连区域或转发区域以私密方式解析。只要 Cloud DNS 不将查询递归到互联网，DNS Armor 就不会处理这些查询。

专用托管可用区

如果您想在 Cloud DNS 中维护内部 DNS 可用区的完整且单独的副本（通常称为“脑裂”或“水平分割”DNS），请使用此选项。

例如，如果您为 example.com 创建 Cloud DNS 专用可用区并使用 DNS 记录填充该可用区，则可以将该可用区附加到您的 VPC 网络。这种方法意味着，当工作负载查询 api.example.com 时，Cloud DNS 会先检查附加的专用区域，找到内部记录，然后立即做出响应。查询永远不会离开 VPC，并且会被标记为 internal，这有助于查询避免 DNS Armor 处理。

Cloud DNS 响应政策

如果您只需要将一些特定的主机名（例如 api.example.com 或 db.example.com）解析为内部 IP 地址，但希望其余网域继续通过互联网公开解析，请使用此选项。

例如，您可以为 api.example.com 创建一条返回内部 IP 地址的响应政策规则，并将其附加到 VPC。此功能会拦截您的高流量可信查询，并在本地回答这些查询。来自其他网域（例如 www.example.com）的查询仍会公开解析，并由 DNS Armor 处理。

转发区域

如果您运行对内部 DNS 区域具有权威性的本地 DNS 服务器（例如 Active Directory、InfoBlox 或 BIND），并且这些服务器使用 Cloud VPN 或专用互连连接到 Google Cloud ，请使用此方法。

例如，您可以为 example.com 创建 Cloud DNS 转发地区，并将其配置为直接指向本地 DNS 服务器的内部 IP 地址（通常为 RFC 1918 地址）。此方法通过您的专用网络将查询发送到内部服务器。由于目标是专用 IP 地址，因此查询会被标记为 forwarding-zone，并且不受 DNS Armor 处理。

如需了解详情，请参阅使用转发地区查询本地服务器。

Compute Engine 虚拟机上的自定义 DNS 服务器

如果您在Google Cloud 虚拟机上运行自己的 DNS 服务器（例如 BIND、Active Directory、dnsmasq），则 DNS Armor 的使用情况取决于您使用的路由拓扑。

  • Cloud DNS 转发到您的虚拟机。使用 Cloud DNS 转发区域发送到自定义 DNS 虚拟机的内部 IP 地址的公司查询将被视为内部查询，因此不会由 DNS Armor 处理。
  • 直接查询虚拟机的各种工作负载。如果您的工作负载配置为绕过 Cloud DNS 并直接查询自定义 DNS 虚拟机，则 Cloud DNS 不会处理初始请求，因此 DNS Armor 不会在工作负载级别处理查询。

  • 您的虚拟机转发到 Cloud DNS。如果您将公司所有互联网 DNS 流量都通过中央 DNS 服务器虚拟机进行路由，然后由该虚拟机转发到 Cloud DNS，则平台只会看到来自该单一来源的查询。由于 DNS Armor 按 GREATEST(Workloads, Queries / 150) 计费，因此这种方法会将工作负载基准降至 1，从而降低低到中等流量环境的虚拟机费用。

专用地区解析

如果本应在内部解析的网域查询意外泄露到互联网，并因此使用公共 DNS 解析，且由 DNS Armor 处理，则可能会产生费用。

为了在此实例中优化费用，请在 VPC 内处理这些网域的解析。您可以使用 Cloud DNS 专用地区或转发地区将这些查询定向到您的内部解析器。这样做有助于确保查询不再标记为网络绑定，因此不会受到 DNS Armor 的检查。

后续步骤