Ringkasan Endpoint Keluar

Dokumen ini memberikan ringkasan tentang Endpoint Keluar Cloud DNS. Endpoint Keluar dapat dilampirkan ke zona penerusan atau kebijakan server untuk mengaktifkan penerusan kueri DNS langsung dari jaringan VPC ke DNS resolver eksternal dan lokal menggunakan alamat IP pribadi. Penggunaan Endpoint Keluar memberikan kontrol terperinci atas traffic DNS keluar dan meningkatkan kemampuan Anda untuk membuka blokir kasus penggunaan resolusi DNS Hybrid dan Multi-cloud.

Untuk mempelajari cara membuat, memperbarui, dan mengaitkan Endpoint Keluar dengan zona penerusan atau kebijakan server, lihat Membuat dan memperbarui Endpoint Keluar.

Kemampuan Endpoint Keluar

Endpoint Keluar memungkinkan Anda mengontrol alamat IP sumber untuk traffic DNS keluar, sehingga memungkinkan perilaku khusus jaringan VPC dengan menetapkan rentang egress unik untuk setiap jaringan. Rentang egress unik mengatasi batasan pemilihan rute dari rentang proxy penerusan tetap yang ada.

Cluster GKE otomatis mewarisi Endpoint Keluar saat mengkueri tujuan eksternal dengan jaringan VPC host. Jika jaringan VPC host diizinkan untuk zona penerusan Cloud DNS global standar atau kebijakan server yang dikonfigurasi dengan Endpoint Keluar, pod yang menggunakan resolusi DNS VPC akan otomatis merutekan kueri keluar melalui Endpoint Keluar regional tanpa memerlukan modifikasi tingkat cluster atau zona penerusan zona.

Untuk mempelajari lebih lanjut cara memigrasikan penyiapan penerusan DNS yang ada ke Endpoint Keluar, lihat Memigrasikan penyiapan penerusan Cloud DNS yang ada ke Endpoint Keluar.

Arsitektur dan pemilihan rute kueri Endpoint Keluar

Endpoint Keluar dibuat dalam jaringan VPC tertentu (menggunakan subnet reguler di region target untuk alamat IP internal endpoint) dan menggunakan subnet khusus proxy regional jaringan tersebut untuk alamat IP sumbernya.

Saat Anda melampirkan Endpoint Keluar ke zona penerusan atau kebijakan server, Cloud DNS akan terlebih dahulu mencoba merutekan kueri DNS melalui Endpoint Keluar dengan peringkat tertinggi menggunakan algoritma peringkat target yang ada. Jika endpoint tersebut tidak responsif, Cloud DNS akan mencoba endpoint dengan peringkat tertinggi berikutnya. Endpoint Keluar yang secara geografis paling dekat lebih diutamakan, tetapi tidak dijamin.

Algoritma peringkat untuk server tujuan dilakukan secara otomatis dan didasarkan pada pola failover zona penerusan yang ada - pemilihan IP dengan latensi dan tingkat error terendah. Faktor berikut meningkatkan peringkat target penerusan:

  • Jumlah respons DNS yang berhasil diproses oleh target penerusan lebih tinggi. Respons DNS yang berhasil juga mencakup respons NXDOMAIN.
  • Latensi yang lebih rendah untuk berkomunikasi dengan target penerusan.
  • Jarak geografis yang lebih pendek ke Endpoint Keluar. Jika data keberhasilan dan latensi tidak tersedia, target terdekat akan lebih diutamakan.

Untuk perlindungan terhadap pemadaman layanan regional, Anda dapat mengonfigurasi Endpoint Keluar di setidaknya dua region tempat Anda menjalankan workload komputasi. Pendekatan ini memberi Cloud DNS target failover regional dan mempertahankan latensi kueri minimal. Jika konektivitas hybrid Anda hanya disediakan di region tertentu, endpoint di region komputasi lain masih dapat merutekan melalui koneksi tersebut untuk menjangkau resolver lokal Anda.

Meskipun endpoint dengan peringkat tertinggi berada di region yang berbeda, Cloud DNS akan terus merutekan kueri ke endpoint tersebut. Misalnya, jika endpoint di Region A tidak tersedia, traffic akan otomatis dirutekan ke endpoint yang responsif di Region B. Saat endpoint di Region A kembali responsif, algoritma peringkat akan mendeteksi peningkatan performanya dan mulai memprioritaskannya lagi untuk kueri mendatang.

Anda dapat memiliki hingga 10 Endpoint Keluar per project per region, dan hingga 100 Endpoint Keluar yang terpasang ke zona penerusan atau kebijakan server.

Merutekan kueri ke resolver lokal regional

Cloud DNS tidak menjamin bahwa traffic dikirim ke endpoint di region yang sama dengan VM asal, tetapi Anda dapat menggunakan kebijakan perutean Geolokasi untuk merutekan traffic ke server nama target terdekat. Meskipun Cloud DNS secara istimewa merutekan traffic ke Endpoint Keluar di region yang paling dekat dengan kueri asal dan server nama target, region server nama target dan region Endpoint Keluar tidak memiliki pengaitan erat. Terlepas dari lokasi, Cloud DNS memilih endpoint yang secara historis memberikan latensi terendah.

Berikut ini ringkasan umum tentang hal yang perlu Anda lakukan untuk merutekan kueri ke resolver lokal regional:

  • Buat zona dengan kebijakan geolokasi: Buat zona pribadi Cloud DNS baru untuk FQDN yang Anda kontrol (misalnya, onprem-resolvers.example.com) yang diberi otorisasi untuk jaringan VPC Anda. Di zona ini, buat data A untuk IP server DNS lokal Anda dan terapkan kebijakan pemilihan rute Geolokasi. Konfigurasi kebijakan untuk menampilkan IP resolver untuk kueri yang bersumber dari region tertentu tersebut. Misalnya, menampilkan IP resolver Eropa untuk kueri yang berasal dari region Google Cloud Eropa.
  • Gunakan FQDN sebagai target penerusan: Di zona penerusan, gunakan FQDN yang baru saja Anda buat (onprem-resolvers.example.com) sebagai server DNS tujuan.
  • Konfigurasi Endpoint Keluar: Kaitkan Endpoint Keluar regional Anda (misalnya, satu di region AS dan satu di region Eropa) dengan zona penerusan ini.

Saat VM di satu region membuat kueri, sistem akan mengikuti proses perutean dua langkah:

  • Pemilihan endpoint: Cloud DNS mengevaluasi daftar Endpoint Keluar yang terkait dengan zona penerusan dan memilih endpoint terbaik (misalnya, endpoint di Eropa kemungkinan dipilih untuk kueri dari VM di Eropa).
  • Resolusi tujuan: Cloud DNS me-resolve FQDN tujuan (onprem-resolvers.example.com) untuk region asal kueri. Cloud DNS kemudian meneruskan kueri asli melalui Endpoint Keluar yang dipilih ke IP server DNS yang di-resolve. Kebijakan Geolokasi mengidentifikasi sumber kueri sebagai region tersebut dan menampilkan alamat IP spesifik yang telah Anda konfigurasi untuk region tersebut.

Untuk mengetahui informasi selengkapnya, lihat tutorial penerusan DNS keluar FQDN Cloud DNS.

Meneruskan dari region tanpa endpoint lokal di satu jaringan VPC

Jaringan Google Cloud VPC adalah resource global yang dapat berisi subnet di beberapa region. Jika VM membuat kueri dari region tempat Anda belum mengonfigurasi Endpoint Keluar, penerusan akan tetap berhasil. Kueri akan dirutekan di seluruh region ke Endpoint Keluar yang tersedia dengan peringkat tertinggi yang ada dalam jaringan VPC yang sama dan dikonfigurasi di zona penerusan atau kebijakan server.

Meneruskan dari beberapa jaringan VPC di region yang sama dengan isolasi IP sumber

Jika Anda perlu meneruskan kueri dari beberapa jaringan VPC di region yang sama dan mengharuskan resolver lokal melihat alamat IP sumber yang berbeda untuk setiap jaringan VPC, ikuti langkah-langkah berikut:

  1. Buat Endpoint Keluar di setiap jaringan VPC: Untuk mengetahui informasi selengkapnya, lihat Membuat Endpoint Keluar.
  2. Buat zona penerusan atau kebijakan server di setiap jaringan VPC: Otorisasi zona penerusan atau kebijakan server hanya untuk jaringan VPC tersebut dan hanya gunakan Endpoint Keluar jaringan VPC tersebut.

Tindakan ini menyebabkan VM di setiap jaringan VPC mengirim kueri melalui Endpoint Keluar di jaringan VPC-nya. Setiap endpoint meneruskan kueri ke resolver lokal. Jaringan lokal melihat alamat IP sumber dari subnet khusus proxy setiap jaringan VPC, sehingga dapat menerapkan konfigurasi yang berbeda untuk traffic setiap jaringan.

Penerusan terpadu di berbagai jaringan VPC (Hub-and-Spoke)

Anda dapat mengonfigurasi zona penerusan atau kebijakan server untuk menggunakan Endpoint Keluar di jaringan VPC terpusat yang berbeda (hub). Konektivitas jaringan tidak diperlukan antara jaringan hub dan jaringan VPC tempat kueri berasal (spoke) karena Cloud DNS menangani penerusan kueri secara internal.

Anda harus mengonfigurasi konektivitas jaringan antara Endpoint Keluar dan target penerusan di zona penerusan atau kebijakan server Anda. Konektivitas dapat dibuat menggunakan Cloud Interconnect atau Cloud VPN untuk menjangkau resolver lokal. Peering Jaringan VPC dapat digunakan untuk menjangkau target penerusan di jaringan VPC lain.

  1. Membuat Endpoint Keluar di jaringan VPC hub.
  2. Buat zona penerusan atau kebijakan server di jaringan VPC spoke dan konfigurasikan untuk menggunakan Endpoint Keluar jaringan hub.

VM di jaringan VPC spoke mengirim kueri melalui Endpoint Keluar di jaringan VPC hub. Endpoint meneruskan kueri ke resolver lokal.

Dukungan VPC Bersama

Endpoint Keluar mendukung deployment VPC Bersama. Endpoint, subnet regulernya, dan subnet khusus proxy terkait dibuat secara terpusat di project host. Project layanan dapat mewarisi zona penerusan atau kebijakan server yang dibuat di project host, atau membuat zona penerusan pribadi atau kebijakan servernya sendiri dan mengikatnya lintas project ke Endpoint Keluar terpusat di project host (memerlukan dns.outboundEndpoints.bindPrivateDNSZone atau dns.outboundEndpoints.bindPrivateDNSPolicy di project host).

Mengelola resource jaringan yang terkait dengan Endpoint Keluar

Endpoint Keluar Cloud DNS menerapkan dependensi siklus proses yang ketat dengan jaringan dan subnet VPC yang mendasarinya untuk membantu melindungi traffic DNS produksi dari perubahan infrastruktur yang tidak disengaja seperti penghapusan atau modifikasi.

Menghapus subnet khusus proxy atau jaringan VPC saat digunakan oleh Endpoint Keluar

Subnet reguler, subnet khusus proxy, atau jaringan VPC yang aktif digunakan oleh Endpoint Keluar dilindungi dari penghapusan untuk mencegah pemadaman layanan. Jika Anda mencoba menghapus resource ini, akan muncul error. Jika ingin menghapus resource ini, Anda harus mengikuti langkah-langkah berikut dalam urutan yang tepat:

  1. Perbarui konfigurasi Cloud DNS: Edit zona penerusan atau kebijakan server yang menggunakan Endpoint Keluar dan hapus dari konfigurasi agar tidak lagi digunakan.
  2. Menghapus Endpoint Keluar: Setelah endpoint tidak lagi digunakan, Anda dapat menghapusnya. Tindakan ini akan melepaskan dependensi pada subnet reguler dan subnet khusus proxy.
  3. Hapus subnet: Setelah mengonfirmasi bahwa tidak ada resource lain yang menggunakannya, hapus subnet khusus proxy dan subnet reguler.
  4. Hapus jaringan VPC: Setelah semua dependensi VPC lainnya dihapus, Anda dapat menghapus jaringan VPC.

Modifikasi subnet

Anda tidak dapat langsung mengubah subnet khusus proxy saat Endpoint Keluar aktif menggunakannya. Pembatasan ini mencegah Anda mengedit properti utama, seperti rentang alamat IP, yang membantu menghindari pemadaman layanan. Untuk mengubah subnet, Anda harus mengikuti panduan yang ada dan bermigrasi ke subnet baru terlebih dahulu.

Lakukan hal berikut untuk mengubah subnet yang digunakan oleh Endpoint Keluar:

  1. Buat subnet cadangan: Buat subnet khusus proxy baru di jaringan VPC dan region yang sama. Anda harus menetapkan peran subnet ini ke BACKUP selama pembuatan.
  2. Aktifkan subnet baru: Perbarui peran subnet baru menjadi ACTIVE. Tindakan ini akan otomatis menetapkan subnet asli ke peran BACKUP dan mulai mengosongkan koneksi aktif dari subnet tersebut.
  3. Tunggu pengosongan: Berikan waktu untuk menyelesaikan proses pengosongan koneksi.
  4. Hapus subnet lama: Anda kini dapat menghapus subnet asli setelah berada dalam peran BACKUP dan tidak memiliki koneksi aktif.

Prediktabilitas IP sumber khusus untuk firewall lokal

Jika firewall DNS lokal Anda memerlukan rentang alamat IP sumber khusus dan dapat diprediksi yang diisolasi ke traffic DNS, sebaiknya terapkan arsitektur berikut:

  • Deploy di jaringan VPC egress khusus: Buat jaringan VPC khusus dengan subnet reguler (untuk alamat IP Endpoint Keluar) dan subnet khusus proxy regional yang dicadangkan secara eksklusif untuk Cloud DNS (--purpose=REGIONAL_MANAGED_PROXY dan --role=ACTIVE).
  • Isolasi jaringan VPC aplikasi Anda: Jangan melakukan peering atau merutekan jaringan VPC aplikasi Anda ke jaringan egress khusus ini. Cloud DNS merutekan kueri secara internal dalam infrastruktur Google Cloud, sehingga konektivitas jaringan langsung antara jaringan VPC ini tidak diperlukan.
  • Hubungkan jaringan VPC egress khusus ke target penerusan eksternal: Konfigurasikan konektivitas hanya antara jaringan VPC egress khusus dan server nama target eksternal atau lokal Anda. Buat jalur ini dengan menggunakan hal berikut:
    • Peering jaringan VPC ke VPC transit yang ada: Ini adalah pendekatan yang direkomendasikan dan paling hemat biaya. Jika organisasi Anda sudah memiliki jaringan VPC transit pusat dengan Cloud Interconnect atau Cloud VPN ke infrastruktur lokal, peering jaringan VPC DNS khusus ke hub transit tersebut. Pendekatan ini menghindari penyediaan sirkuit hybrid yang redundan dan meminimalkan biaya.
    • Konektivitas hybrid langsung: Dedicated Interconnect, Cross-Cloud Interconnect, atau Cloud VPN yang dihentikan langsung di jaringan VPC DNS khusus.

Batasan

Endpoint Keluar memiliki batasan berikut:

  • IP sumber dan berbagi subnet terbatas pada resource di region yang sama: Endpoint Keluar mengalokasikan rentang IP sumber dari subnet khusus proxy regional dari jaringan VPC yang terpasang. Dalam deployment standar, subnet khusus proxy ini dapat dibagikan ke resource regional lainnya seperti Load Balancer Aplikasi Regional.

  • Peering langsung ke subnet khusus proxy tidak didukung: Anda tidak dapat melakukan peering langsung dengan subnet khusus proxy. Konektivitas jaringan ke server nama eksternal harus dibuat melalui perutean VPC standar seperti Cloud Interconnect, Cloud VPN, atau Peering Jaringan VPC.

  • Hanya dukungan IPv4: Alamat IP sumber Endpoint Keluar hanya IPv4, dan kueri hanya dapat diteruskan ke target IPv4 atau target penerusan FQDN di zona penerusan yang me-resolve ke alamat IPv4.

  • Mengikat Endpoint Keluar ke jaringan di seluruh project tidak didukung: Membuat Endpoint Keluar dalam project layanan yang terpasang ke jaringan VPC bersama project host tidak didukung. Endpoint Keluar harus berada dalam project yang sama dengan jaringan VPC dan subnet yang terpasang.

  • Terbatas untuk target pribadi: Endpoint Keluar hanya mendukung penerusan ke target pribadi (termasuk RFC 1918, RFC 6598, dan alamat non-RFC 1918 yang dirutekan secara pribadi yang dikonfigurasi dengan --private-forward-targets atau forwardingPath: "private") dan tidak dapat digunakan sebagai proxy egress atau anchor IP sumber statis untuk traffic DNS internet publik. Kueri ke target internet publik di-resolve langsung melalui edge anycast terdistribusi Google untuk meminimalkan latensi dan menghindari dependensi Cloud NAT.

  • Cakupan regional: Endpoint Keluar adalah resource regional. Anda harus membuat endpoint di setiap region tempat Anda ingin menggunakannya.

  • Hanya satu mekanisme penerusan: Mekanisme penerusan Anda (rentang 35.199.192.0/19 default atau Endpoint Keluar) dikonfigurasi di tingkat zona penerusan atau kebijakan server. Namun, Anda tidak dapat menggunakan kedua metode tersebut secara bersamaan untuk zona atau kebijakan yang sama.

Langkah berikutnya