Vorhandene Cloud DNS-Weiterleitungskonfiguration zu ausgehenden Endpunkten migrieren

In diesem Dokument finden Sie eine allgemeine Übersicht über die Schritte, die Sie ausführen müssen, um eine vorhandene Cloud DNS-Weiterleitungskonfiguration für die Verwendung von Endpunkten für ausgehenden Traffic zu migrieren.

Vorhandene Cloud DNS-Weiterleitungskonfiguration migrieren

Die Migration einer vorhandenen Cloud DNS-Weiterleitungskonfiguration für die Verwendung von Endpunkten für ausgehenden Traffic umfasst vier Phasen:

Vorbereitung

In der Vorbereitungsphase erstellen Sie vor Beginn der Migration die Nur-Proxy-Subnetze, regulären Subnetze und Endpunkte für ausgehenden Traffic. Achten Sie außerdem darauf, dass Ihre lokalen Firewallregeln eingehenden DNS-Traffic aus dem IP-Adressbereich Ihres regionalen Nur-Proxy-Subnetzes zulassen.

  1. Nur-Proxy-Subnetze erstellen: Erstellen Sie in jeder Region, in der Sie einen Endpunkt für ausgehenden Traffic bereitstellen möchten, ein Nur-Proxy-Subnetz mit einer Mindestgröße von /26 (64 Adressen), falls noch nicht vorhanden.
  2. Reguläres Subnetz identifizieren oder erstellen: Identifizieren oder erstellen Sie in jeder Region, in der Sie einen Endpunkt für ausgehenden Traffic bereitstellen möchten, ein reguläres Subnetz mit einer verfügbaren internen IPv4-Adresse im primären IP-Bereich.
  3. Endpunkte für ausgehenden Traffic erstellen: Erstellen Sie Ihre Endpunkte für ausgehenden Traffic und verknüpfen Sie sie mit Ihrem Ziel-VPC-Netzwerk, der Region, dem regulären Subnetz (--subnetwork=REGULAR_SUBNET) und einer verfügbaren internen IPv4-Adresse (--endpoint-ip=IP_ADDRESS_STRING). Cloud DNS erstellt und verwaltet automatisch die statische IP-Reservierungsressource und bindet den Endpunkt an das regionale Nur-Proxy-Subnetz im VPC-Netzwerk.

  4. Lokale Firewalls aktualisieren: Fügen Sie in Ihren lokalen und externen Umgebungen Firewallregeln hinzu, um eingehenden DNS-Traffic (UDP- und TCP-Port 53) aus dem IP-Adressbereich Ihres regionalen Nur-Proxy-Subnetzes zuzulassen.

Überprüfung (optional)

Optional können Sie in der Überprüfungsphase Ihre Endpunktkonfiguration für ausgehenden Traffic überprüfen.

  1. Testweiterleitungszone erstellen: Erstellen Sie eine neue temporäre Weiterleitungszone für eine Testdomain (z. B. test.corp.example.com).
  2. Für die Endpunkte konfigurieren: Konfigurieren Sie die Testzone so, dass die neuen Endpunkte für ausgehenden Traffic verwendet werden.
  3. Test-VM starten: Starten Sie in einem relevanten VPC-Netzwerk eine temporäre Test-VM.
  4. Auflösung überprüfen: Verwenden Sie auf der Test-VM dig oder nslookup, um einen Host in Ihrer Testzone abzufragen (z. B. dig host.test.corp.example.com). Bestätigen Sie, dass Sie auf der Test-VM eine erfolgreiche DNS-Antwort erhalten und dass der Server die Abfrage erhalten hat. Prüfen Sie außerdem, ob der Server die Abfrage von einer Quell-IP-Adresse im neuen Nur-Proxy-Subnetz erhalten hat.

Produktionsmigration

In der Produktionsmigrationsphase aktualisieren Sie Ihre Weiterleitungszonen und Serverrichtlinien, um Ihre Endpunkte für ausgehenden Traffic zu verwenden, und prüfen die Abfragelogs, um sicherzustellen, dass die Abfragen erfolgreich aufgelöst werden.

  1. Weiterleitungszonen und Serverrichtlinien aktualisieren: Bearbeiten Sie für jede Weiterleitungszone oder Serverrichtlinie, die Sie migrieren möchten, die Konfiguration und ändern Sie den Weiterleitungspfad vom Standardbereich 35.199.192.0/19 zu Ihren Endpunkten für ausgehenden Traffic.
  2. Auflösung und Systemdiagnose überwachen: Prüfen Sie Ihre Cloud DNS-Abfragelogs und Monitoring-Messwerte für die migrierten Zonen, um zu bestätigen, dass die Abfragen erfolgreich aufgelöst werden.
    • Verwenden Sie dns.googleapis.com/query/response_count, um das Abfragevolumen und die Antwortstatuscodes zu verfolgen.
  3. Strategie für Migration mit hohem Volumen und Vorbereitung:
    • Latenz bei der automatischen Skalierung: Für die zugrunde liegende von Google verwaltete Proxyinfrastruktur gibt es eine Latenz von etwa 10 Minuten für die automatische Skalierung.
    • Inkrementelle Bereitstellung: Migrieren Sie Zonen inkrementell (eine Zone nach der anderen) wenn Ihr aggregiertes Abfragevolumen 10.000 Abfragen pro Sekunde (QPS) pro Region übersteigt,um abgebrochene Abfragen während der automatischen Skalierung zu vermeiden.
    • Vorbereitung unterstützen: Bei großen Migrationen mit einer einzelnen Zone, die sofort 10.000 Abfragen pro Sekunde pro Region übersteigen, erhöhen Sie den Traffic schrittweise (z. B. 10%, 25%, 50 % und dann 100%) oder wenden Sie sich vor der geplanten Migration an Ihr Google CloudAccount-Management-Team oder den Support, um die Vorbereitung der Infrastruktur während des geplanten Wartungsfensters anzufordern. Geben Sie in Ihrer Anfrage Folgendes an:
      • Projekt-ID
      • Zielregion(en)
      • Geschätzte maximale QPS

Bereinigen

Nachdem Sie bestätigt haben, dass die Produktionsmigration erfolgreich war, müssen Sie den vorherigen Weiterleitungsmechanismus bereinigen.

  1. Vollständige Migration bestätigen: Prüfen Sie, ob alle erforderlichen Weiterleitungszonen und Server richtlinien in Ihrem Projekt den Standardbereich 35.199.192.0/19 nicht verwenden.
    • Prüfen Sie Ihre lokalen DNS-Logs und stellen Sie sicher, dass für einen sicheren Zeitraum (z. B. 24 Stunden) kein Traffic aus diesem Bereich stammt.
  2. Vorherige Firewallregel entfernen: Nachdem Sie bestätigt haben, dass der gesamte Traffic zu Endpunkten für ausgehenden Traffic verschoben wurde, können Sie die lokale Firewallregel entfernen, die eingehenden DNS-Traffic aus dem Standardbereich 35.199.192.0/19 zugelassen hat. Prüfen Sie, ob diese Regel von anderen Google Cloud Diensten verwendet wird, bevor Sie sie entfernen oder anpassen.

Rollback

Wenn Sie die Migration zurücksetzen müssen, gehen Sie so vor:

  1. Weiterleitungszone oder Serverrichtlinien zurücksetzen: Bearbeiten Sie die betroffene Zone oder Serverrichtlinie und ändern Sie die Weiterleitung wieder in den Standardbereich 35.199.192.0/19.
  2. Firewallregeln wiederherstellen: Prüfen Sie, ob die Regel, die eingehenden DNS-Traffic aus 35.199.192.0/19 zulässt, noch aktiv ist. Entfernen Sie diese Regel nicht vor der Bereinigungsphase einer erfolgreichen Migration.

Nächste Schritte