DNS Armor 費用估算與最佳化

本文提供一些基本資訊，協助您估算 DNS Armor 的費用。此外，本文也提供一些方法，協助您在使用 DNS Armor 時盡量節省費用。

如需 Cloud DNS 一般定價資訊，請參閱「Cloud DNS 定價」。

如要進一步瞭解 DNS Armor 定價，請參閱「進階威脅偵測定價」。

費用估算

您可以根據篩選後的 dns.googleapis.com/query/response_count 指標 (target_type=external 和 source_type==gce-vm) 估算費用。

成本最佳化

如要降低 DNS Armor 費用，您可以設定下列資源，將其流量排除在威脅檢查範圍外。

排除 Google API 和服務

根據預設，系統會將對 googleapis.com 的查詢遞迴至網際網路，也就是說，這些查詢會視為 external 查詢，因此屬於 DNS Armor 的處理範圍。為避免發生這種情況，請在 Cloud DNS 私人區域中擷取這項流量，並將流量轉送至 Google 內部虛擬 IP 位址 (VIP)。這麼做會將這些查詢標示為 internal，且查詢會略過 DNS Armor 檢查。

如要排除 DNS Armor 處理的 API 呼叫，請為 Google API 設定 Private Google Access 或 Private Service Connect。詳情請參閱「設定私人 Google 存取權」和「透過端點存取 Google API」。

排除自己的網域

DNS Armor 會將內部工作負載對公開網域的查詢視為外部流量，因此會由威脅偵測工具處理。為避免發生這種情況，請務必使用私有管理區域、對等互連區域或轉送區域，以私有方式解析公司網域。只要 Cloud DNS 不會將查詢遞迴至網際網路，DNS Armor 就不會處理查詢。

私有代管區域

如果您想在 Cloud DNS 中維護內部 DNS 可用區的完整獨立副本 (通常稱為「腦裂」或「視界分裂」DNS)，請使用這個選項。

舉例來說，如果您為 example.com 建立 Cloud DNS 私人區域，並填入 DNS 記錄，即可將該區域附加至 VPC 網路。也就是說，當工作負載查詢 api.example.com 時，Cloud DNS 會先檢查附加的私人區域，找到內部記錄並立即回覆。查詢絕不會離開 VPC，且會標記為 internal，有助於查詢避開 DNS Armor 處理程序。

Cloud DNS 回應政策

如果您只需要將幾個特定主機名稱 (例如 api.example.com 或 db.example.com) 解析為內部 IP 位址，但希望網域的其餘部分繼續透過網際網路公開解析，請使用這個選項。

舉例來說，您可以為 api.example.com 建立回應政策規則，傳回內部 IP 位址，並將其附加至 VPC。這項功能會攔截大量可信的查詢，並在本地回答。來自其他網域 (例如 www.example.com) 的查詢仍會公開解析，並由 DNS Armor 處理。

轉送區域

如果您運作地端部署 DNS 伺服器 (例如 Active Directory、InfoBlox 或 BIND)，這些伺服器是內部 DNS 區域的授權伺服器，且已透過 Cloud VPN 或專屬互連連線至 Google Cloud ，請使用這個方法。

舉例來說，您可以為 example.com 建立 Cloud DNS 轉送區域，並設定直接指向地端部署 DNS 伺服器的內部 IP 位址 (通常是 RFC 1918 位址)。這個方法會透過私人網路將查詢傳送至內部伺服器。由於目的地是私人 IP 位址，查詢會標示為 forwarding-zone，且不受 DNS Armor 處理。

詳情請參閱「使用轉送區域查詢地端部署伺服器」。

Compute Engine VM 上的自訂 DNS 伺服器

如果您在Google Cloud VM 上執行自己的 DNS 伺服器 (例如 BIND、Active Directory、dnsmasq)，DNS Armor 用量取決於您使用的路由拓撲。

  • Cloud DNS 轉送至 VM。使用 Cloud DNS 轉送區域傳送至自訂 DNS VM 內部 IP 位址的公司查詢，會視為內部查詢，因此 DNS Armor 不會處理。
  • 直接查詢 VM 的工作負載。如果工作負載設定為略過 Cloud DNS，並直接查詢自訂 DNS VM，Cloud DNS 就不會處理初始要求，因此 DNS Armor 也無法在工作負載層級處理查詢。

  • 您的 VM 會轉送至 Cloud DNS。如果您將公司所有網際網路 DNS 流量，都透過中央 DNS 伺服器 VM 轉送至 Cloud DNS，平台只會看到來自該單一來源的查詢。由於 DNS Armor 是根據 GREATEST(Workloads, Queries / 150) 計費，因此 VM 可降低中低用量環境的成本，且這種方法會將工作負載基準降至 1。

私人區域解析

如果應在內部解析的網域查詢意外洩漏至網際網路，並因此使用公開 DNS 解析，且由 DNS Armor 處理，就會產生費用。

如要盡可能降低費用，請在 VPC 內部處理這些網域的解析作業。您可以選擇使用 Cloud DNS 私人區域或轉送區域，將這些查詢導向內部解析器。這麼做有助於確保查詢不再標示為網際網路查詢，因此不會受到 DNS Armor 檢查。

後續步驟