本文件概略說明如何遷移現有的 Cloud DNS 轉送設定，改用傳出端點。
遷移現有的 Cloud DNS 轉送設定
如要將現有的 Cloud DNS 轉送設定遷移至傳出端點，請按照下列四個階段操作：
準備
在準備階段，您必須先建立僅限 Proxy 子網路、一般子網路和傳出端點，才能開始遷移。此外，請確認地端部署防火牆規則允許來自區域性僅限 Proxy 子網路 IP 位址範圍的傳入 DNS 流量。
- 建立僅限 Proxy 的子網路：如果尚未建立，請在您打算部署傳出端點的每個區域中，建立大小至少為
/26(64 個位址) 的僅限 Proxy 子網路。 - 找出或建立一般子網路：在您打算部署傳出端點的每個區域中，找出或建立一般子網路，並在其主要 IP 範圍內提供可用的內部 IPv4 位址。
- 建立傳出端點：建立傳出端點，並與目標虛擬私有雲網路、區域、一般子網路 (
--subnetwork=REGULAR_SUBNET) 和可用的內部 IPv4 位址 (--endpoint-ip=IP_ADDRESS_STRING) 建立關聯。Cloud DNS 會自動建立及管理靜態 IP 預留資源，並將端點繫結至虛擬私有雲網路中的區域 Proxy 專用子網路。 更新地端部署防火牆：在地端部署和外部環境中新增防火牆規則，允許來自區域性僅限 Proxy 子網路 IP 位址範圍的傳入 DNS 流量 (UDP 和 TCP 通訊埠 53)。
驗證 (選用)
您也可以在驗證階段驗證傳出端點設定。
- 建立測試轉送區域：為測試網域 (例如
test.corp.example.com) 建立新的臨時轉送區域。 - 設定端點：設定測試區域，使用新的傳出端點。
- 啟動測試 VM：在相關的虛擬私有雲網路中，啟動暫時的測試 VM。
- 驗證解析：從測試 VM 使用
dig或nslookup查詢測試區域內的主機 (例如dig host.test.corp.example.com)。確認測試 VM 收到成功的 DNS 回應，且伺服器收到查詢。此外，也請確認伺服器收到的查詢，是來自新 Proxy 專用子網路中的來源 IP 位址。
正式遷移
在正式環境遷移階段，您會更新轉送區域和伺服器政策，以便使用傳出端點，並查看查詢記錄，確保查詢能成功解析。
- 更新轉送區域和伺服器政策：針對要遷移的每個轉送區域或伺服器政策，編輯設定並將傳出路徑從預設的
35.199.192.0/19範圍變更為 Outbound Endpoints。 - 監控解析和健康狀態：查看已遷移區域的 Cloud DNS 查詢記錄和監控指標，確認查詢是否成功解析。
- 使用
dns.googleapis.com/query/response_count追蹤查詢量和回應狀態碼。
- 使用
- 大量遷移和預熱策略：
- 自動調度資源延遲時間：Google 代管的底層 Proxy 基礎架構，自動調度資源啟動延遲時間約為 10 分鐘。
- 逐步推出：如果每個區域的匯總查詢量超過每秒 10,000 次查詢 (QPS)，請逐步遷移可用區 (一次一個可用區)，以免在自動調度資源期間遺漏查詢。
- 支援預先暖機：如果單一區域的遷移作業規模龐大，且每區域每秒查詢次數 (QPS) 立即超過 10,000 次，請逐步增加流量 (例如 10%、25%、50%，然後 100%)，或在預計遷移前與 Google Cloud帳戶團隊或支援團隊聯絡，要求在排定的維護時段預先暖機基礎架構。在要求中指定：
- 專案 ID
- 目標區域
- 預估最高 QPS
清除所用資源
確認正式環境遷移成功後，請清除先前的轉送機制。
- 確認已完成遷移：確認專案中所有必要的轉送區域和伺服器政策，都未使用預設
35.199.192.0/19範圍。- 檢查地端部署 DNS 記錄，確保安全期間 (例如 24 小時) 沒有來自這個範圍的流量。
- 移除先前的防火牆規則：確認所有流量都已移至傳出端點後，即可安全移除允許來自預設
35.199.192.0/19範圍的傳入 DNS 流量的地端部署防火牆規則。請先確認沒有其他 Google Cloud 服務使用這項規則，再移除或調整規則。
復原
如要復原遷移作業，請按照下列步驟操作：
- 還原轉送區域或伺服器政策：編輯受影響的區域或伺服器政策，並將轉送設定改回預設的
35.199.192.0/19範圍。 - 還原防火牆規則：確認允許來自
35.199.192.0/19的輸入 DNS 流量的規則仍有效。請勿在成功遷移的清理階段前移除這項規則。