기존 Cloud DNS 전달 설정을 아웃바운드 엔드포인트로 마이그레이션

이 문서에서는 아웃바운드 엔드포인트를 사용하도록 기존 Cloud DNS 전달 설정을 마이그레이션하기 위해 수행해야 하는 작업을 간략히 설명합니다.

기존 Cloud DNS 전달 설정 마이그레이션

기존 Cloud DNS 전달 설정을 아웃바운드 엔드포인트를 사용하도록 마이그레이션하는 단계는 다음과 같이 4단계로 구성됩니다.

준비

준비 단계에서는 마이그레이션을 시작하기 전에 프록시 전용 서브넷, 일반 서브넷, 아웃바운드 엔드포인트를 만듭니다. 또한 온프레미스 네트워크에 리전 프록시 전용 서브넷 IP 주소 범위에 대한 반환 경로가 있고 온프레미스 방화벽 규칙이 리전 프록시 전용 서브넷의 IP 주소 범위에서 인바운드 DNS 트래픽을 허용하는지 확인합니다.

  1. 프록시 전용 서브넷 만들기: 아직 없는 경우 아웃바운드 엔드포인트를 배포하려는 각 리전에서 최소 크기가 /26 (64개 주소)인 프록시 전용 서브넷을 만듭니다.
  2. 일반 서브넷 식별 또는 만들기: 아웃바운드 엔드포인트를 배포할 각 리전에서 기본 IP 범위에 사용 가능한 내부 IPv4 주소가 있는 일반 서브넷을 식별하거나 만듭니다.
  3. 아웃바운드 엔드포인트 만들기: 아웃바운드 엔드포인트를 만들고 대상 VPC 네트워크, 리전, 일반 서브넷 (--subnetwork=REGULAR_SUBNET), 사용 가능한 내부 IPv4 주소 (--endpoint-ip=IP_ADDRESS_STRING)와 연결합니다. Cloud DNS는 고정 IP 예약 리소스를 자동으로 만들고 관리하며 엔드포인트를 VPC 네트워크의 리전 프록시 전용 서브넷에 바인딩합니다.

  4. 온프레미스 방화벽 및 경로 업데이트: 온프레미스 네트워크에 리전 프록시 전용 서브넷 IP 주소 범위에 대한 반환 경로가 있는지 확인합니다. 온프레미스 및 외부 환경에 방화벽 규칙을 추가하여 리전 프록시 전용 서브넷의 IP 주소 범위에서 발생하는 인바운드 DNS 트래픽 (UDP 및 TCP 포트 53)을 허용합니다.

인증 (선택사항)

원하는 경우 확인 단계를 사용하여 아웃바운드 엔드포인트 구성을 확인할 수 있습니다.

  1. 테스트 전달 영역 만들기: 테스트 도메인 (예: test.corp.example.com)에 대한 새로운 임시 전달 영역을 만듭니다.
  2. 엔드포인트 구성: 새 아웃바운드 엔드포인트를 사용하도록 테스트 영역을 구성합니다.
  3. 테스트 VM 실행: 관련 VPC 네트워크에서 임시 테스트 VM을 실행합니다.
  4. 확인 해결: 테스트 VM에서 dig 또는 nslookup를 사용하여 테스트 영역 내의 호스트를 쿼리합니다 (예: dig host.test.corp.example.com). 성공적인 DNS 응답을 수신하는지 확인합니다. 온프레미스 또는 외부 DNS 서버 로그에서 서버가 새 리전 프록시 전용 서브넷의 소스 IP 주소에서 쿼리를 수신했는지 확인합니다. 또한 dns_query 로그에서 jsonPayload.egressPath가 OUTBOUND_ENDPOINT로 설정되어 있는지 확인합니다.

프로덕션 마이그레이션

프로덕션 마이그레이션 단계에서는 아웃바운드 엔드포인트를 사용하도록 전달 영역과 서버 정책을 업데이트하고 쿼리 로그를 검토하여 쿼리가 성공적으로 확인되는지 확인합니다.

  1. 전달 영역 및 서버 정책 업데이트: 마이그레이션하려는 각 전달 영역 또는 서버 정책에 대해 구성을 수정하고 전달 경로를 기본 35.199.192.0/19 범위에서 아웃바운드 엔드포인트로 변경합니다.
  2. 확인 및 상태 모니터링: Cloud DNS 쿼리 로그(jsonPayload.egressPath=OUTBOUND_ENDPOINT, jsonPayload.outboundEndpoint, jsonPayload.egressError 확인)와 마이그레이션된 영역의 기존 모니터링 측정항목을 검토하여 쿼리가 성공적으로 확인되는지 확인합니다.
    • dns.googleapis.com/query/response_count를 사용하여 쿼리 볼륨 및 응답 상태 코드를 추적합니다.
  3. 대규모 이전 및 사전 준비 전략:
    • 자동 확장 지연 시간: 기본 Google 관리 프록시 인프라의 자동 확장 스핀업 지연 시간은 약 10분입니다.
    • 점진적 출시: 자동 확장 증가 중에 쿼리가 삭제되지 않도록 하려면 총 쿼리 볼륨이 리전당 초당 쿼리 수 (QPS) 10,000개를 초과하는 경우 영역을 점진적으로 (한 번에 한 영역씩) 마이그레이션합니다.
    • 지원 사전 준비: 리전당 10,000QPS를 즉시 초과하는 대규모 단일 영역 마이그레이션의 경우 트래픽을 점진적으로 늘리거나(예: 10%, 25%, 50%, 100%) 계획된 마이그레이션 전에 Google Cloud계정팀 또는 지원팀에 문의하여 예약된 유지보수 기간 동안 인프라 사전 준비를 요청하세요. 요청에서 다음을 지정합니다.
      • 프로젝트 ID
      • 대상 지역
      • 예상 최대 QPS

삭제

프로덕션 마이그레이션이 성공했는지 확인한 후 이전 전달 메커니즘을 삭제해야 합니다.

  1. 전체 마이그레이션 확인: 프로젝트의 모든 필수 전달 영역과 서버 정책이 기본 35.199.192.0/19 범위를 사용하지 않는지 확인합니다.
    • 온프레미스 DNS 로그를 검토하고 안전한 기간 (예: 24시간) 동안 이 범위에서 소싱되는 트래픽이 없는지 확인합니다.
  2. 이전 방화벽 규칙 삭제: 모든 트래픽이 아웃바운드 엔드포인트로 이동되었음을 확인한 후 기본 35.199.192.0/19 범위에서 인바운드 DNS 트래픽을 허용한 온프레미스 방화벽 규칙을 안전하게 삭제할 수 있습니다. 이 규칙을 삭제하거나 조정하기 전에 다른 Google Cloud 서비스에서 이 규칙을 사용하고 있지 않은지 확인하세요.

롤백

마이그레이션을 롤백해야 하는 경우 다음을 수행합니다.

  1. 전달 영역 또는 서버 정책 되돌리기: 영향을 받는 영역 또는 서버 정책을 수정하고 전달을 기본 35.199.192.0/19 범위로 다시 변경합니다.
  2. 방화벽 규칙 복원: 35.199.192.0/19에서 인바운드 DNS 트래픽을 허용하는 규칙이 여전히 활성 상태인지 확인합니다. 마이그레이션이 성공적으로 완료된 후 정리 단계가 되기 전에는 이 규칙을 삭제하지 마세요.

다음 단계