Migrar uma configuração de encaminhamento do Cloud DNS para endpoints de saída

Este documento oferece uma visão geral do que você precisa fazer para migrar uma configuração de encaminhamento do Cloud DNS para usar endpoints de saída.

Migrar uma configuração de encaminhamento do Cloud DNS

Há quatro fases para migrar uma configuração de encaminhamento do Cloud DNS para usar endpoints de saída:

Preparação

Na fase de preparação, antes de iniciar a migração, crie as sub-redes somente proxy, as sub-redes normais e os endpoints de saída. Além disso, verifique se as regras de firewall on-premise permitem o tráfego DNS de entrada do intervalo de endereços IP da sub-rede somente proxy regional.

  1. Criar sub-redes somente proxy: se ainda não estiverem presentes, em cada região em que você pretende implantar um endpoint de saída, crie uma sub-rede somente proxy com um tamanho mínimo de /26 (64 endereços).
  2. Identificar ou criar uma sub-rede normal: em cada região em que você planeja implantar um endpoint de saída, identifique ou crie uma sub-rede normal com um endereço IPv4 interno disponível no intervalo de IP principal.
  3. Criar endpoints de saída: Crie seus endpoints de saída e associe-os à rede VPC de destino, região, sub-rede normal (--subnetwork=REGULAR_SUBNET) e um endereço IPv4 interno disponível (--endpoint-ip=IP_ADDRESS_STRING). O Cloud DNS cria e gerencia automaticamente o recurso de reserva de IP estático e vincula o endpoint à sub-rede somente proxy regional na rede VPC.

  4. Atualizar firewalls on-premise: adicione regras de firewall nos ambientes on-premise e externos para permitir o tráfego DNS de entrada (porta UDP e TCP 53) originário do intervalo de endereços IP da sub-rede somente proxy regional.

Verificação (opcional)

Opcionalmente, você pode usar a fase de verificação para verificar a configuração do endpoint de saída.

  1. Criar uma zona de encaminhamento de teste: crie uma zona de encaminhamento temporária para um domínio de teste (por exemplo, test.corp.example.com).
  2. Configurar para os endpoints: configure a zona de teste para usar os novos endpoints de saída.
  3. Iniciar uma VM de teste: em uma rede VPC relevante, inicie uma VM de teste temporária.
  4. Verificar a resolução: na VM de teste, use dig ou nslookup para consultar um host na zona de teste (por exemplo, dig host.test.corp.example.com). Confirme se você recebeu uma resposta DNS bem-sucedida na VM de teste e se o servidor recebeu a consulta. Verifique também se o servidor recebeu a consulta de um endereço IP de origem na nova sub-rede somente proxy.

Migração de Production

Durante a fase de migração de produção, atualize as zonas de encaminhamento e as políticas de servidor para usar os endpoints de saída e analise os registros de consulta para garantir que as consultas sejam resolvidas.

  1. Atualizar zonas de encaminhamento e políticas de servidor: para cada zona de encaminhamento ou política de servidor que você quer migrar, edite a configuração e mude o caminho de ida do intervalo padrão 35.199.192.0/19 para os endpoints de saída.
  2. Monitorar a resolução e a integridade: analise os registros de consulta DNS do Cloud DNS e as métricas de monitoramento das zonas migradas para confirmar se as consultas estão sendo resolvidas.
    • Use dns.googleapis.com/query/response_count para acompanhar o volume de consultas e os códigos de status de resposta.
  3. Estratégia de migração de alto volume e pré-aquecimento:
    • Latência de escalonamento automático: há uma latência de inicialização de escalonamento automático de aproximadamente 10 minutos para a infraestrutura de proxy gerenciada pelo Google.
    • Implementação incremental: migre as zonas de forma incremental (uma zona por vez) se o volume total de consultas exceder 10.000 consultas por segundo (QPS) por região para evitar consultas descartadas durante o aumento do escalonamento automático.
    • Suporte ao pré-aquecimento: para migrações grandes de zona única que excedam imediatamente 10.000 QPS por região, aumente o tráfego gradualmente (por exemplo, 10%, 25%, 50% e 100%) ou entre em contato com a Google Cloud equipe de conta ou o suporte antes da migração planejada para solicitar o pré-aquecimento da infraestrutura durante a janela de manutenção programada. Na sua solicitação, especifique:
      • ID do projeto
      • Regiões de destino
      • QPS máximo estimado

Limpar

Depois de verificar se a migração de produção foi bem-sucedida, limpe o mecanismo de encaminhamento anterior.

  1. Confirmar a migração completa: verifique se todas as zonas de encaminhamento e políticas de servidor necessárias no seu projeto não estão usando o intervalo padrão 35.199.192.0/19.
    • Analise os registros de DNS on-premise e verifique se não há tráfego originário desse intervalo por um período seguro (por exemplo, 24 horas).
  2. Remover a regra de firewall anterior: depois de confirmar que todo o tráfego foi movido para endpoints de saída, você pode remover com segurança a regra de firewall on-premise que permitia o tráfego DNS de entrada do intervalo padrão 35.199.192.0/19. Verifique se nenhum outro Google Cloud serviço está usando essa regra antes de removê-la ou ajustá-la.

Reverter

Se você precisar reverter a migração, faça o seguinte:

  1. Reverter a zona de encaminhamento ou as políticas de servidor: edite a zona ou a política de servidor afetada e mude o encaminhamento de volta para o intervalo padrão 35.199.192.0/19.
  2. Restaurar regras de firewall: verifique se a regra que permite o tráfego DNS de entrada de 35.199.192.0/19 ainda está ativa. Não remova essa regra antes da fase de limpeza de uma migração bem-sucedida.

A seguir