Endpunkte für ausgehenden Traffic erstellen und aktualisieren

Vorschau

Dieses Produkt oder diese Funktion unterliegt den „Pre-GA-Angebotsbedingungen“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA-Produkte und -Features sind "im Ist-Zustand" verfügbar und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Auf dieser Seite wird beschrieben, wie Sie Endpunkte für ausgehenden Traffic erstellen, aktualisieren und mit Weiterleitungszonen und DNS-Serverrichtlinien verknüpfen, um die direkte Weiterleitung von DNS-Abfragen über private IP-Adressen aus Ihrem VPC-Netzwerk zu ermöglichen. Mit diesem Ansatz erhalten Sie eine detailliertere Kontrolle über den ausgehenden Traffic. Weitere Informationen zu Endpunkten für ausgehenden Traffic finden Sie unter Endpunkte für ausgehenden Traffic.

Hinweis

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe müssen Sie die folgenden Berechtigungen oder die folgenden IAM-Rollen haben.

Berechtigungen

• dns.outboundEndpoints.get
• dns.outboundEndpoints.list
• dns.outboundEndpoints.create
• dns.outboundEndpoints.update
• dns.outboundEndpoints.delete
• dns.outboundEndpoints.bindPrivateDNSZone
• dns.outboundEndpoints.bindPrivateDNSPolicy
• compute.networks.get
• compute.subnetworks.get
• compute.subnetworks.use

Rollen

• roles/compute.networkAdmin
• roles/dns.admin

1. Wählen Sie in der Google Cloud Console auf der Seite für die Projektauswahl ein Projekt von Google Cloud aus oder erstellen Sie eines.

   Erforderliche Rollen zum Auswählen oder Erstellen eines Projekts

   • Projekt auswählen: Für die Auswahl eines Projekts ist keine bestimmte IAM-Rolle erforderlich. Sie können jedes Projekt auswählen, für das Ihnen eine Rolle zugewiesen wurde.
   • Projekt erstellen: Zum Erstellen eines Projekts benötigen Sie die Rolle „Project Creator“ (roles/resourcemanager.projectCreator), die die Berechtigung resourcemanager.projects.create enthält. Informationen zum Zuweisen von Rollen
   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   Zur Projektauswahl

2. Prüfen Sie, ob die Abrechnung für Ihr Google Cloud Projekt aktiviert ist.

3. Aktivieren Sie die Cloud DNS, Compute Engine und Network Services APIs, falls sie noch nicht aktiviert sind.

   Erforderliche Rollen zum Aktivieren von APIs

   Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Inhaberrolle (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

   APIs aktivieren

Sie benötigen ein VPC-Netzwerk mit einer Verbindung zu Ihren lokalen oder externen DNS-Nameservern. In jeder Region, in der Sie einen ausgehenden Endpunkt bereitstellen möchten, muss Ihr VPC-Netzwerk ein reguläres und ein Nur-Proxy-Subnetz in der Zielregion haben. Weitere Informationen finden Sie unter VPC-Netzwerke erstellen und verwalten.

Achten Sie außerdem darauf, dass Ihr lokales Netzwerk eine Rückroute für den IP-Adressbereich des regionalen Subnetzes hat, das ausschließlich über Proxy läuft, und konfigurieren Sie lokale Firewallregeln, um eingehende DNS-Anfragen (UDP- und TCP-Port 53) aus dem IP-Adressbereich des regionalen Subnetzes, das ausschließlich über Proxy läuft, zuzulassen.

Endpunkt für ausgehenden Traffic erstellen

So erstellen Sie einen Endpunkt für ausgehenden Traffic:

Console

1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

   Cloud DNS aufrufen

2. Wechseln Sie zum Tab Endpunkte für ausgehenden Traffic und klicken Sie auf Endpunkt für ausgehenden Traffic erstellen.

3. Geben Sie im Feld Name einen eindeutigen Namen für den Endpunkt ein.

4. Optional: Geben Sie im Feld Beschreibung eine Beschreibung für den Endpunkt ein.

5. Wählen Sie unter Region die Zielregion aus.

6. Wählen Sie in der Liste Netzwerk Ihr VPC-Netzwerk aus.

7. Wählen Sie für Subnetz das reguläre Subnetz in der ausgewählten Region aus.

8. Geben Sie als IP-Adresse des Endpunkts einen gültigen IPv4-Adressstring aus dem ausgewählten Subnetzbereich ein.

   Hinweis: Die Endpunkt-IP-Adresse, die zum Platzieren des ausgehenden Endpunkts im Netzwerkstack verwendet wird, wird nicht für den ausgehenden Traffic von DNS-Abfragen verwendet. Ausgehende DNS-Anfragen stammen nur aus dem IP-Adressbereich des Nur-Proxy-Subnetzes.

9. Für Nur-Proxy-Subnetz erkennt die Console automatisch das regionale Nur-Proxy-Subnetz im ausgewählten VPC-Netzwerk und in der ausgewählten Region für ausgehenden Traffic von Abfragen. Wenn kein Nur-Proxy-Subnetz erkannt wird, klicken Sie auf Subnetz reservieren, um eines zu erstellen, bevor Sie fortfahren.

10. Klicken Sie auf Erstellen.

gcloud

Führen Sie den Befehl gcloud beta dns outbound-endpoints create aus:

gcloud beta dns outbound-endpoints create ENDPOINT_NAME \
    --project=PROJECT_ID \
    --network=VPC_NETWORK \
    --subnetwork=REGULAR_SUBNET \
    --location=REGION \
    --endpoint-ip=IP_ADDRESS \
    --description=DESCRIPTION

Ersetzen Sie Folgendes:

• ENDPOINT_NAME: Name des ausgehenden Endpunkts
• PROJECT_ID: Ihre Projekt-ID.
• VPC_NETWORK: VPC-Netzwerk, das mit dem ausgehenden Endpunkt verknüpft ist, z. B. projects/PROJECT_ID/global/networks/NETWORK_NAME oder nur NETWORK_NAME
• REGULAR_SUBNET: das reguläre Subnetz, aus dem die interne Listening-IP-Adresse des Endpunkts zugewiesen wird, z. B. projects/PROJECT_ID/regions/REGION/subnetworks/SUBNET_NAME oder einfach SUBNET_NAME
• REGION: Region, in der der Endpunkt bereitgestellt wird
• IP_ADDRESS: eine verfügbare interne IPv4-Adresse aus dem primären IP-Adressbereich des regulären Subnetzes
• DESCRIPTION: eine optionale Beschreibung für den Endpunkt

API

Führen Sie die Methode outboundEndpoints.create aus:

POST https://dns.googleapis.com/dns/v1beta2/projects/PROJECT_ID/locations/REGION/outboundEndpoints?outboundEndpointId=ENDPOINT_NAME
{
    "network": "projects/PROJECT_ID/global/networks/VPC_NETWORK",
    "subnetwork": "projects/PROJECT_ID/regions/REGION/subnetworks/REGULAR_SUBNET",
    "endpointIp": "IP_ADDRESS",
    "description": "DESCRIPTION"
}

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird
• ENDPOINT_NAME: Name des ausgehenden Endpunkts
• VPC_NETWORK: Das VPC-Netzwerk, das dem ausgehenden Endpunkt zugeordnet ist.
• REGULAR_SUBNET: das reguläre Subnetz, aus dem die interne Listening-IP-Adresse des Endpunkts zugewiesen wird
• IP_ADDRESS: eine verfügbare interne IPv4-Adresse aus dem primären IP-Bereich des regulären Subnetzes
• DESCRIPTION: eine optionale Beschreibung für den Endpunkt

Endpunkt für ausgehenden Traffic aktualisieren

So aktualisieren Sie einen Endpunkt für ausgehenden Traffic:

Console

1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

   Cloud DNS aufrufen

2. Rufen Sie den Tab Ausgehende Endpunkte auf und klicken Sie auf den Namen des ausgehenden Endpunkts, den Sie aktualisieren möchten.

3. Klicken Sie auf Bearbeiten, aktualisieren Sie das Feld Beschreibung und klicken Sie auf Speichern.

gcloud

Führen Sie den Befehl gcloud beta dns outbound-endpoints update aus:

gcloud beta dns outbound-endpoints update ENDPOINT_NAME \
    --project=PROJECT_ID \
    --location=REGION \
    --description=UPDATED_DESCRIPTION

Ersetzen Sie Folgendes:

• ENDPOINT_NAME: Name des zu aktualisierenden ausgehenden Endpunkts
• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird
• UPDATED_DESCRIPTION: optionale aktualisierte Beschreibung für den Endpunkt

Hinweis :Die Felder „Region“, „Projekt“, „Netzwerk“, „Subnetz“ und --endpoint-ip können für einen vorhandenen Endpunkt nicht geändert werden. Sie müssen den vorhandenen Endpunkt löschen und einen neuen erstellen, um diese Werte zu ändern.

API

Führen Sie die Methode outboundEndpoints.patch aus:

PATCH https://dns.googleapis.com/dns/v1beta2/projects/PROJECT_ID/locations/REGION/outboundEndpoints/ENDPOINT_NAME?updateMask=description
{
    "description": "UPDATED_DESCRIPTION"
}

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird
• ENDPOINT_NAME: Name des zu aktualisierenden ausgehenden Endpunkts
• UPDATED_DESCRIPTION: aktualisierte Beschreibung des ausgehenden Endpunkts

Hinweis :Mit der Methode PATCH kann nur die Beschreibung eines Outbound-Endpunkts aktualisiert werden. Wenn Sie die Region, das Netzwerk, das Subnetz oder die Endpunkt-IP-Adresse ändern möchten, müssen Sie den vorhandenen Endpunkt löschen und einen neuen erstellen.

Endpunkte mit einer Weiterleitungszone verknüpfen

Console

1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

   Cloud DNS aufrufen

2. Rufen Sie den Tab Zonen auf und klicken Sie auf Zone erstellen. Alternativ können Sie eine vorhandene Weiterleitungszone auswählen und auf Bearbeiten klicken.

3. Konfigurieren Sie die Zonenparameter:

   1. Wählen Sie für Zonentyp die Option Privat aus.
   2. Geben Sie für Zonenname eine eindeutige Kennung für die Zone ein.
   3. Geben Sie unter DNS-Name das Domain-Suffix ein, das Sie weiterleiten möchten. Beispiel: corp.example.com.
   4. Optional: Geben Sie unter Beschreibung eine Beschreibung ein.
   5. Wählen Sie unter Optionen die Option Abfragen an anderen Server weiterleiten aus.
   6. Wählen Sie unter Netzwerke die VPC-Netzwerke aus, die berechtigt sind, Anfragen für diese Zone aufzulösen.

4. Geben Sie unter Ziel-DNS-Server die Ziel-IPv4-Adressen oder FQDNs Ihrer externen/lokalen Nameserver ein.

5. Wählen Sie für Weiterleitungspfad die Option Endpunkte für ausgehenden Traffic aus.

6. Wählen Sie unter Endpunkte für ausgehenden Traffic einen oder mehrere Endpunkte für die Weiterleitung von Anfragen aus:

   • Mindestauswahl: Wählen Sie mindestens einen Endpunkt für ausgehenden Traffic aus (erforderlich, wenn Endpunkte für ausgehenden Traffic als Weiterleitungspfad ausgewählt sind).
   • Einschränkung für einzelne VPC: Alle ausgewählten Endpunkte müssen zum selben VPC-Netzwerk gehören.
   • Best Practice für Hochverfügbarkeit (HA): Konfigurieren und wählen Sie für die regionenübergreifende Notfallwiederherstellung und das automatische Failover mindestens zwei Endpunkte in verschiedenen Regionen innerhalb dieses VPC-Netzwerk aus.

7. Klicken Sie auf Erstellen (oder bei einer vorhandenen Zone auf Speichern).

gcloud

Verknüpfen Sie Endpunkte mit einer Weiterleitungszone, indem Sie den Befehl gcloud beta dns managed-zones update verwenden:

gcloud beta dns managed-zones update ZONE_NAME \
    --project=PROJECT_ID \
    --outbound-endpoints=projects/PROJECT_ID/locations/REGION_1/outboundEndpoints/ENDPOINT_NAME_1,projects/PROJECT_ID/locations/REGION_2/outboundEndpoints/ENDPOINT_NAME_2

Ersetzen Sie Folgendes:

• ZONE_NAME: Name der Weiterleitungszone, die aktualisiert werden soll
• PROJECT_ID: Ihre Projekt-ID.
• REGION_1 und REGION_2: Regionen, in denen die Endpunkte bereitgestellt werden
• ENDPOINT_NAME_1: Name des ersten Endpunkts, der mit der Weiterleitungszone verknüpft werden soll
• ENDPOINT_NAME_2: Name des zweiten Endpunkts, der mit der Weiterleitungszone verknüpft werden soll

API

Führen Sie die Methode managedZones.patch aus:

PATCH https://dns.googleapis.com/dns/v1beta2/projects/PROJECT_ID/managedZones/ZONE_NAME
{
    "name": "ZONE_NAME",
    "dnsName": "DNS_NAME",
    "description": "DESCRIPTION",
    "visibility": "private",
    "forwardingConfig": {
        "outboundEndpoints": [
              {
                 "name": "projects/PROJECT_ID/locations/REGION_1/outboundEndpoints/ENDPOINT_NAME_1"
              },
              {
                 "name": "projects/PROJECT_ID/locations/REGION_2/outboundEndpoints/ENDPOINT_NAME_2"
              }
        ]
    }
}

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• ZONE_NAME: Name der Weiterleitungszone, die aktualisiert werden soll
• DNS_NAME: DNS-Name für die Weiterleitungszone
• DESCRIPTION: (optional) aktualisierte Beschreibung der Weiterleitungszone
• REGION_1 und REGION_2: Regionen, in denen die Endpunkte bereitgestellt werden (alle aufgeführten ausgehenden Endpunkte in forwardingConfig müssen zum selben VPC-Netzwerk gehören)
• ENDPOINT_NAME_1: Name des ersten Endpunkts, der mit der Weiterleitungszone verknüpft werden soll
• ENDPOINT_NAME_2: Name des zweiten Endpunkts, der mit der Weiterleitungszone verknüpft werden soll

Endpunkte mit einer DNS-Serverrichtlinie verknüpfen

Console

1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

   Cloud DNS aufrufen

2. Rufen Sie den Tab DNS-Serverrichtlinien auf und klicken Sie auf Richtlinie erstellen. Alternativ können Sie eine vorhandene DNS-Serverrichtlinie auswählen und auf Bearbeiten klicken.

3. Nehmen Sie folgende Einstellungen vor:

   1. Geben Sie unter Richtlinienname einen eindeutigen Namen für die Serverrichtlinie ein.
   2. Optional: Geben Sie unter Beschreibung eine Beschreibung ein.
   3. Geben Sie für die Weiterleitung eingehender Anfragen an, ob externe Clients VPC-Arbeitslasten über eingehende Endpunkte abfragen.
   4. Aktivieren oder deaktivieren Sie für DNS64 die IPv6-Synthese nach Bedarf.
   5. Aktivieren oder deaktivieren Sie unter Logs das DNS-Logging nach Bedarf.
   6. Wählen Sie unter VPC-Netzwerke die VPC-Netzwerke aus, für die die Serverrichtlinie gilt.

4. Geben Sie unter Alternative DNS-Server die IPv4-Zieladressen Ihrer externen oder lokalen Nameserver ein.

5. Wählen Sie für Weiterleitungspfad die Option Endpunkte für ausgehenden Traffic aus.

6. Wählen Sie unter Endpunkte für ausgehenden Traffic einen oder mehrere Endpunkte aus, um alle nicht privaten VPC-Abfragen weiterzuleiten:

   • Mindestauswahl: Wählen Sie mindestens einen Endpunkt für ausgehenden Traffic aus.
   • Einschränkung für einzelne VPC: Alle ausgewählten Endpunkte müssen zum selben VPC-Netzwerk gehören.
   • Best Practice für Hochverfügbarkeit: Für die regionsübergreifende Notfallwiederherstellung und das automatische Failover konfigurieren und wählen Sie mindestens zwei Endpunkte in verschiedenen Regionen innerhalb dieses VPC-Netzwerk aus.

7. Klicken Sie auf Erstellen (oder bei einer vorhandenen Richtlinie auf Speichern).

gcloud

Verknüpfen Sie Endpunkte mit einer DNS-Serverrichtlinie, indem Sie den Befehl gcloud beta dns policies update verwenden:

gcloud beta dns policies update POLICY_NAME \
    --project=PROJECT_ID \
    --outbound-endpoints=projects/PROJECT_ID/locations/REGION_1/outboundEndpoints/ENDPOINT_NAME_1,projects/PROJECT_ID/locations/REGION_2/outboundEndpoints/ENDPOINT_NAME_2

Ersetzen Sie Folgendes:

• POLICY_NAME: Name der zu aktualisierenden DNS-Serverrichtlinie
• PROJECT_ID: Ihre Projekt-ID.
• REGION_1 und REGION_2: Regionen, in denen die Endpunkte bereitgestellt werden
• ENDPOINT_NAME_1: Name des ersten Endpunkts, der der DNS-Serverrichtlinie zugeordnet werden soll
• ENDPOINT_NAME_2: Name des zweiten Endpunkts, der der DNS-Serverrichtlinie zugeordnet werden soll

API

Führen Sie die Methode policies.patch aus:

PATCH https://dns.googleapis.com/dns/v1beta2/projects/PROJECT_ID/policies/POLICY_NAME
{
    "alternativeNameServerConfig": {
        "outboundEndpoints": [
            {"name": "projects/PROJECT_ID/locations/REGION_1/outboundEndpoints/ENDPOINT_NAME_1"},
            {"name": "projects/PROJECT_ID/locations/REGION_2/outboundEndpoints/ENDPOINT_NAME_2"}
        ]
    }
}

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• POLICY_NAME: Name der zu aktualisierenden DNS-Serverrichtlinie
• REGION_1 und REGION_2: Regionen, in denen die Endpunkte bereitgestellt werden
• ENDPOINT_NAME_1: Name des ersten Endpunkts, der der DNS-Serverrichtlinie zugeordnet werden soll
• ENDPOINT_NAME_2: Name des zweiten Endpunkts, der mit der DNS-Serverrichtlinie verknüpft werden soll

Endpunkte für ausgehenden Traffic ansehen

So listen Sie ausgehende Endpunkte in einer Region auf oder beschreiben sie:

Console

1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

   Cloud DNS aufrufen

2. Rufen Sie den Tab Ausgehende Endpunkte auf, um alle ausgehenden Endpunkte in Ihrem Projekt, ihre Regionen, Netzwerke, Subnetze, IP-Adressen und ihren Systemzustand aufzurufen.

gcloud

Führen Sie den Befehl gcloud beta dns outbound-endpoints list aus, um alle ausgehenden Endpunkte in einer Region aufzulisten:

gcloud beta dns outbound-endpoints list \
    --project=PROJECT_ID \
    --location=REGION

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird

Wenn Sie Details zu einem bestimmten Outbound-Endpunkt aufrufen möchten, führen Sie den Befehl gcloud beta dns outbound-endpoints describe aus:

gcloud beta dns outbound-endpoints describe ENDPOINT_NAME \
    --project=PROJECT_ID \
    --location=REGION

Ersetzen Sie Folgendes:

• ENDPOINT_NAME: Name des ausgehenden Endpunkts
• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird

API

Senden Sie eine GET-Anfrage, um alle ausgehenden Endpunkte in einer Region aufzulisten:

GET https://dns.googleapis.com/dns/v1beta2/projects/PROJECT_ID/locations/REGION/outboundEndpoints

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird

Wenn Sie Details zu einem bestimmten Endpunkt für ausgehenden Traffic aufrufen möchten, senden Sie eine GET-Anfrage:

GET https://dns.googleapis.com/dns/v1beta2/projects/PROJECT_ID/locations/REGION/outboundEndpoints/ENDPOINT_NAME

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird
• ENDPOINT_NAME: Name des ausgehenden Endpunkts

Endpunkt für ausgehenden Traffic löschen

Bevor Sie einen Endpunkt für ausgehenden Traffic löschen können, müssen Sie die Verknüpfung mit allen Weiterleitungszonen oder DNS-Serverrichtlinien aufheben, die darauf verweisen. Weitere Informationen finden Sie unter Mit ausgehenden Endpunkten verknüpfte Netzwerkressourcen verwalten.

Nachdem Sie die Verknüpfung des Endpunkts für ausgehenden Traffic mit allen Weiterleitungszonen und DNS-Serverrichtlinien aufgehoben haben, führen Sie die folgenden Schritte aus, um den Endpunkt zu löschen:

Console

1. Rufen Sie in der Google Cloud Console die Seite Cloud DNS auf.

   Cloud DNS aufrufen

2. Rufen Sie den Tab Endpunkte für ausgehenden Traffic auf.

3. Wählen Sie den ausgehenden Endpunkt aus, den Sie löschen möchten, und klicken Sie auf Löschen.

gcloud

Führen Sie den Befehl gcloud beta dns outbound-endpoints delete aus:

gcloud beta dns outbound-endpoints delete ENDPOINT_NAME \
    --project=PROJECT_ID \
    --location=REGION

Ersetzen Sie Folgendes:

• ENDPOINT_NAME: Name des zu löschenden ausgehenden Endpunkts
• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird

API

Verwenden Sie die Methode outboundEndpoints.delete:

DELETE https://dns.googleapis.com/dns/v1beta2/projects/PROJECT_ID/locations/REGION/outboundEndpoints/ENDPOINT_NAME

Ersetzen Sie Folgendes:

• PROJECT_ID: Ihre Projekt-ID.
• REGION: Region, in der der Endpunkt bereitgestellt wird
• ENDPOINT_NAME: Name des zu löschenden ausgehenden Endpunkts

Fehlerbehebung

Methoden zur Diagnose und Behebung von Fehlern im Zusammenhang mit ausgehenden Endpunkten finden Sie unter Fehlerbehebung.

Nächste Schritte

• Weitere Informationen zu Endpunkten für ausgehenden Traffic