将现有的 Cloud DNS 转发设置迁移到出站端点

本文档简要介绍了将现有 Cloud DNS 转发设置迁移为使用出站端点时需要执行的操作。

迁移现有 Cloud DNS 转发设置

将现有 Cloud DNS 转发设置迁移为使用出站端点分为四个阶段，如下所示：

准备工作

在准备阶段，您需要先创建代理专用子网、常规子网和出站端点，然后才能开始迁移。此外，请确保您的本地防火墙规则允许来自区域代理专用子网的 IP 地址范围的入站 DNS 流量。

  1. 创建代理专用子网：如果尚未创建，请在您打算部署出站端点的每个区域中创建一个代理专用子网，其最小大小为 /26（64 个地址）。
  2. 确定或创建常规子网：在您打算 部署出站端点的每个区域中，确定或创建一个常规子网，其主 IP 范围内具有 可用的内部 IPv4 地址。
  3. 创建出站端点：创建出站端点 并将其与目标 VPC 网络、区域、 常规子网 (--subnetwork=REGULAR_SUBNET) 和可用的内部 IPv4 地址 (--endpoint-ip=IP_ADDRESS_STRING) 相关联。Cloud DNS 会自动创建和管理静态 IP 预留资源，并 将端点绑定到 VPC 网络中的区域代理专用子网。

  4. 更新本地防火墙：在本地环境 和外部环境中添加防火墙规则，以允许来自区域代理专用子网的 IP 地址范围的入站 DNS 流量（UDP 和 TCP 端口 53）。

验证（可选）

您可以选择使用验证阶段来验证出站端点配置。

  1. 创建测试转发区：创建一个新的临时转发区 用于测试网域（例如 test.corp.example.com）。
  2. 为端点配置：将测试区配置为使用新的 出站端点。
  3. 启动测试虚拟机：在相关的 VPC 网络中，启动 临时测试虚拟机。
  4. 验证解析：在测试虚拟机中，使用 dig 或 nslookup 查询 测试区中的主机（例如 dig host.test.corp.example.com）。确认 您在测试虚拟机中收到成功的 DNS 响应，并且 服务器收到了查询。另请验证服务器是否从新代理专用子网中的源 IP 地址收到了查询。

生产环境迁移

在生产环境迁移阶段，您需要更新转发区和服务器政策以使用出站端点，并查看查询日志以确保查询成功解析。

  1. 更新转发区和服务器政策：对于要迁移的每个转发区或 服务器政策，请修改配置并将 转发路径从默认的 35.199.192.0/19 范围更改为出站 端点。
  2. 监控解析和运行状况：查看已迁移区的 Cloud DNS 查询日志 和监控指标，以确认查询已 成功解析。
    • 使用 dns.googleapis.com/query/response_count 跟踪查询量和响应状态代码。
  3. 高容量迁移和预热策略:
    • 自动伸缩延迟时间：底层 Google 管理的代理基础架构的自动伸缩 启动延迟时间约为 10 分钟。
    • 增量推出：以增量方式（一次一个可用区）迁移可用区，如果每个区域的汇总每秒查询次数超过 10,000 次 (QPS)，请避免在自动扩缩扩容期间丢弃查询。
    • 支持预热：对于立即超过每个区域 10,000 QPS 的大型单区迁移，请逐步增加流量（例如 10%、25%、50%，然后 100%），或者在计划迁移之前与您的 Google Cloud客户支持团队或支持团队联系，以便在计划的维护窗口期间请求基础架构预热。在请求中，请指定：
      • 项目 ID
      • 目标区域
      • 估计的峰值 QPS

清理

验证生产环境迁移成功后，您需要清理之前的转发机制。

  1. 确认完全迁移：验证项目中的所有必要转发区和服务器 政策是否未使用默认的 35.199.192.0/19 范围。
    • 查看本地 DNS 日志，确保在安全期内（例如 24 小时）没有来自此范围的流量。
  2. 移除之前的防火墙规则：确认所有流量都已移至出站端点后，您可以安全地移除允许来自默认 35.199.192.0/19 范围的入站 DNS 流量的本地防火墙规则。在移除或调整此规则之前，请确保没有其他 Google Cloud 服务使用此规则。

回滚

如果您需要回滚迁移，请执行以下操作：

  1. 恢复转发区或服务器政策：修改受影响的区或 服务器政策，并将其转发恢复为默认的 35.199.192.0/19 范围。
  2. 恢复防火墙规则：确保允许入站 DNS 流量的规则 来自 35.199.192.0/19 仍处于有效状态。在成功迁移的清理阶段之前，请勿移除此规则。

后续步骤