既存の Cloud DNS 転送設定をアウトバウンド エンドポイントに移行する

このドキュメントでは、既存の Cloud DNS 転送設定を移行してアウトバウンド エンドポイントを使用するために必要な作業の概要について説明します。

既存の Cloud DNS 転送設定を移行する

既存の Cloud DNS 転送設定をアウトバウンド エンドポイントを使用するように移行するには、次の 4 つのフェーズがあります。

準備

準備フェーズでは、移行を開始する前に、プロキシ専用サブネット、通常のサブネット、アウトバウンド エンドポイントを作成します。また、オンプレミスのファイアウォール ルールで、リージョン プロキシ専用サブネットの IP アドレス範囲からのインバウンド DNS トラフィックが許可されていることを確認します。

  1. プロキシ専用サブネットを作成する: アウトバウンド エンドポイントをデプロイする各リージョンに、最小サイズ /26（64 個のアドレス）のプロキシ専用サブネットを作成します（まだ作成していない場合）。
  2. 通常のサブネットを特定または作成する: アウトバウンド エンドポイントをデプロイする予定の各リージョンで、プライマリ IP 範囲に使用可能な内部 IPv4 アドレスを持つ通常のサブネットを特定または作成します。
  3. アウトバウンド エンドポイントを作成する: アウトバウンド エンドポイントを作成し、ターゲット VPC ネットワーク、リージョン、通常のサブネット（--subnetwork=REGULAR_SUBNET）、使用可能な内部 IPv4 アドレス（--endpoint-ip=IP_ADDRESS_STRING）に関連付けます。Cloud DNS は、静的 IP 予約リソースを自動的に作成して管理し、エンドポイントを VPC ネットワーク内のリージョン プロキシ専用サブネットにバインドします。

  4. オンプレミス ファイアウォールを更新する: オンプレミス環境と外部環境にファイアウォール ルールを追加して、リージョン プロキシ専用サブネットの IP アドレス範囲から発信されるインバウンド DNS トラフィック（UDP ポート 53 と TCP ポート 53）を許可します。

確認（省略可）

必要に応じて、検証フェーズを使用してアウトバウンド エンドポイントの構成を検証できます。

  1. テスト転送ゾーンを作成する: テストドメイン（test.corp.example.com など）用に新しい一時転送ゾーンを作成します。
  2. エンドポイントを構成する: 新しいアウトバウンド エンドポイントを使用するようにテストゾーンを構成します。
  3. テスト VM を起動する: 関連する VPC ネットワークで、一時的なテスト VM を起動します。
  4. 解決策を確認する: テスト VM から、dig または nslookup を使用して、テストゾーン内のホスト（dig host.test.corp.example.com など）をクエリします。テスト VM で DNS 応答が正常に受信され、サーバーがクエリを受信したことを確認します。また、サーバーが新しいプロキシ専用サブネットの送信元 IP アドレスからクエリを受信したことも確認します。

本番環境の移行

本番環境移行フェーズでは、転送ゾーンとサーバー ポリシーを更新してアウトバウンド エンドポイントを使用し、クエリログを確認してクエリが正常に解決されていることを確認します。

  1. 転送ゾーンとサーバー ポリシーを更新する: 移行する転送ゾーンまたはサーバー ポリシーごとに、構成を編集し、順方向パスをデフォルトの 35.199.192.0/19 範囲からアウトバウンド エンドポイントに変更します。
  2. 解決と健全性をモニタリングする: 移行したゾーンの Cloud DNS クエリログとモニタリング指標を確認して、クエリが正常に解決されていることを確認します。
    • dns.googleapis.com/query/response_count を使用して、クエリ量とレスポンス ステータス コードを追跡します。
  3. 大量移行と事前ウォーミング戦略:
    • 自動スケーリングのレイテンシ: 基盤となる Google 管理のプロキシ インフラストラクチャでは、約 10 分の自動スケーリング スピンアップ レイテンシがあります。
    • 増分ロールアウト: リージョンあたりの合計クエリ数が 10,000 秒間クエリ数（QPS）を超える場合は、ゾーンを段階的に（一度に 1 ゾーンずつ）移行して、自動スケーリングのランプアップ中にクエリがドロップされないようにします。
    • サポートのプリウォーミング: リージョンあたり 10,000 QPS をすぐに超える大規模な単一ゾーンの移行では、トラフィックを段階的に増やします（例: 10%、25%、50%、100%）。または、移行を計画する前に Google Cloudアカウント チームまたはサポートに連絡して、スケジュールされたメンテナンスの時間枠中にインフラストラクチャのプリウォーミングをリクエストします。リクエストで、次の情報を指定します。
      • プロジェクト ID
      • ターゲット リージョン
      • ピーク時の推定 QPS

クリーンアップ

本番環境の移行が成功したことを確認したら、以前の転送メカニズムをクリーンアップする必要があります。

  1. 完全な移行を確認する: プロジェクト内の必要な転送ゾーンとサーバー ポリシーがデフォルトの 35.199.192.0/19 範囲を使用していないことを確認します。
    • オンプレミス DNS ログを確認し、安全な期間（24 時間など）、この範囲から送信されるトラフィックがないことを確認します。
  2. 以前のファイアウォール ルールを削除する: すべてのトラフィックがアウトバウンド エンドポイントに移動されたことを確認したら、デフォルトの 35.199.192.0/19 範囲からのインバウンド DNS トラフィックを許可していたオンプレミスのファイアウォール ルールを安全に削除できます。ルールを削除または調整する前に、他の Google Cloud サービスがこのルールを使用していないことを確認してください。

ロールバック

移行をロールバックする必要がある場合は、次の操作を行います。

  1. 転送ゾーンまたはサーバー ポリシーを元に戻す: 影響を受けるゾーンまたはサーバー ポリシーを編集し、転送をデフォルトの 35.199.192.0/19 範囲に戻します。
  2. ファイアウォール ルールを復元する: 35.199.192.0/19 からの内向き DNS トラフィックを許可するルールが引き続き有効であることを確認します。移行が成功し、クリーンアップ フェーズが完了するまで、このルールを削除しないでください。

次のステップ