Présentation des points de terminaison sortants

Ce document présente les points de terminaison sortants Cloud DNS. Les points de terminaison sortants peuvent être associés à des zones de transfert ou à des règles de serveur pour permettre le transfert direct des requêtes DNS des réseaux VPC vers des résolveurs DNS externes et sur site à l'aide d'adresses IP privées. L'utilisation de points de terminaison sortants permet de contrôler de manière précise le trafic DNS sortant et d'améliorer votre capacité à débloquer les cas d'utilisation de résolution DNS hybride et multicloud.

Pour savoir comment créer, mettre à jour et associer des points de terminaison sortants à des zones de transfert ou à des règles de serveur, consultez Créer et mettre à jour des points de terminaison sortants.

Fonctionnalités des points de terminaison sortants

Les points de terminaison sortants vous permettent de contrôler les adresses IP sources du trafic DNS sortant, ce qui permet d'adopter un comportement spécifique au réseau VPC en attribuant une plage de sortie unique à chaque réseau. La plage de sortie unique permet de contourner les limites de routage de la plage de proxy de transfert fixe existante.

Les clusters GKE héritent automatiquement des points de terminaison sortants lorsqu'ils interrogent des destinations externes avec le réseau VPC hôte. Si le réseau VPC hôte est autorisé pour une zone de transfert Cloud DNS globale standard ou une règle de serveur configurée avec des points de terminaison sortants, les pods utilisant la résolution DNS VPC acheminent automatiquement les requêtes sortantes via des points de terminaison sortants régionaux, sans nécessiter de modifications au niveau du cluster ni de zones de transfert zonales.

Pour en savoir plus sur la migration de votre configuration de transfert DNS existante vers des points de terminaison sortants, consultez Migrer une configuration de transfert Cloud DNS existante vers des points de terminaison sortants.

Architecture des points de terminaison sortants et routage des requêtes

Un point de terminaison sortant est créé dans un réseau VPC spécifique (à l'aide d'un sous-réseau standard dans la région cible pour l'adresse IP interne du point de terminaison) et utilise le sous-réseau proxy réservé régional de ce réseau pour son adresse IP source.

Lorsque vous associez des points de terminaison sortants à vos zones de transfert ou à votre règle de serveur, Cloud DNS tente d'abord d'acheminer les requêtes DNS via le point de terminaison sortant le mieux classé à l'aide de l'algorithme de classement des cibles existant. Si ce point de terminaison n'est pas opérationnel, Cloud DNS essaie le point de terminaison suivant dans le classement. Le point de terminaison de sortie le plus proche géographiquement est privilégié, mais pas garanti.

L'algorithme de classement des serveurs de destination est exécuté automatiquement et est basé sur le modèle de basculement des zones de transfert existant : sélection de l'adresse IP présentant la latence et le taux d'erreur les plus faibles. Les facteurs suivants augmentent le classement d'une cible de transfert :

  • Le nombre le plus élevé possible de réponses DNS réussies traitées par la cible de transfert. Les réponses DNS réussies incluent également les réponses NXDOMAIN.
  • La latence la plus faible possible pour la communication avec la cible de transfert.
  • Distance géographique plus courte jusqu'au point de terminaison sortant. Si les données de réussite et de latence ne sont pas disponibles, la cible la plus proche est privilégiée.

Pour vous protéger contre les pannes régionales, vous pouvez configurer des points de terminaison sortants dans au moins deux régions où vous exécutez des charges de travail de calcul. Cette approche fournit à Cloud DNS une cible de basculement régional et maintient une latence de requête minimale. Si votre connectivité hybride n'est provisionnée que dans certaines régions, les points de terminaison d'autres régions de calcul peuvent toujours acheminer le trafic via ces connexions pour atteindre vos résolveurs sur site.

Même si le point de terminaison le mieux classé se trouve dans une autre région, Cloud DNS continue d'acheminer les requêtes vers ce point de terminaison. Par exemple, si un point de terminaison de la région A devient indisponible, le trafic est automatiquement acheminé vers un point de terminaison opérationnel de la région B. Lorsque le point de terminaison de la région A est de nouveau opérationnel, l'algorithme de classement détecte l'amélioration de ses performances et recommence à le privilégier pour les requêtes à venir.

Vous pouvez avoir jusqu'à 10 points de terminaison sortants par projet et par région, et jusqu'à 100 points de terminaison sortants associés à une zone de transfert ou à une règle de serveur.

Acheminer les requêtes vers des résolveurs sur site régionaux

Cloud DNS ne garantit pas que le trafic est envoyé au point de terminaison dans la même région que la VM d'origine, mais vous pouvez utiliser des règles de routage de géolocalisation pour acheminer le trafic vers le serveur de noms cible le plus proche. Bien que Cloud DNS achemine de préférence le trafic vers le point de terminaison sortant dans la région la plus proche de la requête d'origine et du serveur de noms cible, la région du serveur de noms cible et celle du point de terminaison sortant ne sont pas en couplage fort. Quel que soit l'emplacement, Cloud DNS choisit le point de terminaison qui a historiquement fourni la latence la plus faible.

Vous trouverez ci-dessous une présentation générale de la procédure à suivre pour acheminer les requêtes vers des résolveurs sur site régionaux :

  • Créer une zone avec une règle de géolocalisation : créez une zone privée Cloud DNS pour un nom de domaine complet que vous contrôlez (par exemple, onprem-resolvers.example.com) autorisé pour votre réseau VPC. Dans cette zone, créez des enregistrements A pour les adresses IP de votre serveur DNS sur site et appliquez une règle de routage par géolocalisation. Configurez la règle pour qu'elle renvoie les adresses IP du résolveur pour les requêtes provenant de cette région spécifique. Par exemple, renvoyez les adresses IP des résolveurs européens pour les requêtes provenant de régions Google Cloud européennes.
  • Utilisez le nom de domaine complet comme cible de transfert : dans votre zone de transfert, utilisez le nom de domaine complet que vous venez de créer (onprem-resolvers.example.com) comme serveur DNS de destination.
  • Configurer des points de terminaison sortants : associez vos points de terminaison sortants régionaux (par exemple, un dans une région des États-Unis et un dans une région d'Europe) à cette zone de transfert.

Lorsqu'une VM d'une région effectue une requête, le système suit un processus de routage en deux étapes :

  • Sélection du point de terminaison : Cloud DNS évalue la liste des points de terminaison sortants associés à la zone de transfert et sélectionne le meilleur point de terminaison (par exemple, un point de terminaison en Europe est probablement choisi pour une requête provenant d'une VM en Europe).
  • Résolution de la destination : Cloud DNS résout le nom de domaine complet de destination (onprem-resolvers.example.com) pour la région d'origine de la requête. Cloud DNS transfère ensuite la requête d'origine via le point de terminaison sortant sélectionné vers l'adresse IP du serveur DNS résolu. La règle de géolocalisation identifie la source de la requête comme étant cette région et renvoie l'adresse IP spécifique que vous avez configurée pour cette région.

Pour en savoir plus, consultez le tutoriel sur le transfert DNS sortant de FQDN avec Cloud DNS.

Transfert depuis une région sans point de terminaison local dans un seul réseau VPC

Un réseau VPC Google Cloud est une ressource globale pouvant contenir des sous-réseaux dans plusieurs régions. Si une VM effectue une requête à partir d'une région dans laquelle vous n'avez pas configuré de point de terminaison sortant, le transfert réussit quand même. La requête sera acheminée entre les régions vers le point de terminaison sortant disponible le mieux classé qui existe dans le même réseau VPC et qui est configuré dans la zone de transfert ou la règle de serveur.

Transfert depuis plusieurs réseaux VPC dans la même région avec isolation des adresses IP sources

Si vous devez transférer des requêtes depuis plusieurs réseaux VPC de la même région et que le résolveur sur site doit voir une adresse IP source distincte pour chaque réseau VPC, procédez comme suit :

  1. Créez un point de terminaison sortant dans chaque réseau VPC : pour en savoir plus, consultez Créer un point de terminaison sortant.
  2. Créez une zone de transfert ou une règle de serveur dans chaque réseau VPC : autorisez la zone de transfert ou la règle de serveur uniquement pour ce réseau VPC et n'utilisez que le point de terminaison sortant de ce réseau VPC.

Cette action entraîne l'envoi de requêtes par les VM de chaque réseau VPC via le point de terminaison sortant de leur réseau VPC. Chaque point de terminaison transfère la requête au résolveur sur site. Le réseau sur site voit l'adresse IP source du sous-réseau proxy réservé de chaque réseau VPC, ce qui lui permet d'appliquer différentes configurations pour le trafic de chaque réseau.

Transfert unifié sur différents réseaux VPC (hub-and-spoke)

Vous pouvez configurer une zone de transfert ou une règle de serveur pour utiliser un point de terminaison sortant dans un réseau VPC centralisé différent (le hub). La connectivité réseau n'est pas nécessaire entre le réseau hub et le réseau VPC d'où provient la requête (le spoke), car Cloud DNS gère le transfert de la requête en interne.

Vous devez configurer la connectivité réseau entre le point de terminaison sortant et les cibles de transfert dans votre zone de transfert ou votre règle de serveur. La connectivité peut être établie à l'aide de Cloud Interconnect ou de Cloud VPN pour atteindre les résolveurs sur site. L'appairage de réseaux VPC peut être utilisé pour atteindre des cibles de transfert dans un autre réseau VPC.

  1. Créez un point de terminaison sortant dans le réseau VPC hub.
  2. Créez une zone de transfert ou une règle de serveur dans le réseau VPC spoke, puis configurez-la pour qu'elle utilise le point de terminaison sortant du réseau hub.

Les VM des réseaux VPC spoke envoient des requêtes via le point de terminaison sortant du réseau VPC hub. Le point de terminaison transfère la requête au résolveur sur site.

Compatibilité avec les VPC partagés

Les points de terminaison sortants sont compatibles avec les déploiements de VPC partagé. Le point de terminaison, son sous-réseau standard et son sous-réseau proxy réservé associé sont créés de manière centralisée dans le projet hôte. Les projets de service peuvent hériter des zones de transfert ou des règles de serveur créées dans le projet hôte, ou créer leurs propres zones de transfert ou règles de serveur privées et les lier entre les projets au point de terminaison sortant centralisé dans le projet hôte (nécessite dns.outboundEndpoints.bindPrivateDNSZone ou dns.outboundEndpoints.bindPrivateDNSPolicy sur le projet hôte).

Gérer les ressources réseau associées aux points de terminaison sortants

Les points de terminaison sortants Cloud DNS appliquent des dépendances de cycle de vie strictes avec leurs réseaux et sous-réseaux VPC sous-jacents pour protéger le trafic DNS de production contre les modifications accidentelles de l'infrastructure, telles que les suppressions ou les modifications.

Supprimer un sous-réseau proxy réservé ou un réseau VPC lorsqu'il est utilisé par un point de terminaison sortant

Un sous-réseau standard, un sous-réseau proxy réservé ou un réseau VPC activement utilisé par un point de terminaison sortant est protégé contre la suppression pour éviter les pannes. Toute tentative de suppression de ces ressources entraîne une erreur. Si vous souhaitez supprimer ces ressources, vous devez suivre les étapes suivantes dans l'ordre exact :

  1. Mettre à jour la configuration Cloud DNS : modifiez les zones de transfert ou les règles de serveur qui utilisent le point de terminaison sortant, puis supprimez-le de la configuration pour qu'il ne soit plus utilisé.
  2. Supprimer le point de terminaison sortant : une fois que le point de terminaison n'est plus utilisé, vous pouvez le supprimer. Cette action supprime la dépendance au sous-réseau standard et au sous-réseau proxy réservé.
  3. Supprimez les sous-réseaux : après avoir vérifié qu'aucune autre ressource ne les utilise, supprimez les sous-réseaux proxy réservés et standards.
  4. Supprimer le réseau VPC : une fois toutes les autres dépendances VPC supprimées, vous pouvez supprimer le réseau VPC.

Modification de sous-réseau

Vous ne pouvez pas modifier directement un sous-réseau proxy réservé lorsqu'un point de terminaison de sortie l'utilise activement. Cette restriction vous empêche de modifier des propriétés clés, telles que la plage d'adresses IP, ce qui permet d'éviter les interruptions de service. Pour modifier le sous-réseau, vous devez suivre les consignes existantes et d'abord migrer vers un nouveau sous-réseau.

Pour modifier un sous-réseau utilisé par un point de terminaison sortant, procédez comme suit :

  1. Créer un sous-réseau de secours : créez un sous-réseau proxy réservé dans le même réseau VPC et la même région. Vous devez définir le rôle de ce sous-réseau sur BACKUP lors de sa création.
  2. Activez le nouveau sous-réseau : remplacez le rôle du nouveau sous-réseau par ACTIVE. Cette opération définit automatiquement le sous-réseau d'origine sur le rôle BACKUP et commence à drainer les connexions actives de celui-ci.
  3. Attendre le drainage : laissez le temps au processus de drainage de connexion de se terminer.
  4. Supprimez l'ancien sous-réseau : vous pouvez maintenant supprimer le sous-réseau d'origine une fois qu'il est dans le rôle BACKUP et qu'il n'a pas de connexions actives.

Prévisibilité des adresses IP sources dédiées pour les pare-feu sur site

Si vos pare-feu DNS sur site nécessitent une plage d'adresses IP sources dédiée et prévisible, isolée du trafic DNS, nous vous recommandons d'appliquer l'architecture suivante :

  • Déployer dans un réseau VPC de sortie dédié : créez un réseau VPC dédié avec un sous-réseau standard (pour l'adresse IP du point de terminaison sortant) et un sous-réseau régional proxy réservé exclusivement à Cloud DNS (--purpose=REGIONAL_MANAGED_PROXY et --role=ACTIVE).
  • Isolez vos réseaux VPC d'application : n'appairez pas et n'acheminez pas vos réseaux VPC d'application vers ce réseau de sortie dédié. Cloud DNS achemine les requêtes en interne au sein de l'infrastructure Google Cloud. Par conséquent, une connectivité réseau directe entre ces réseaux VPC n'est pas requise.
  • Connectez le réseau VPC de sortie dédié aux cibles de transfert externes : configurez la connectivité uniquement entre le réseau VPC de sortie dédié et vos serveurs de noms cibles externes ou sur site. Établissez ce chemin d'accès en procédant comme suit :
    • Appairage de réseaux VPC à un VPC de transit existant : il s'agit de l'approche recommandée et la plus économique. Si votre organisation dispose déjà d'un réseau VPC de transit central avec Cloud Interconnect ou Cloud VPN vers un site sur site, appairez le réseau VPC DNS dédié à ce hub de transit. Cette approche évite de provisionner des circuits hybrides redondants et minimise les coûts.
    • Connectivité hybride directe : interconnexion dédiée, interconnexion cross-cloud ou Cloud VPN qui se termine directement dans le réseau VPC DNS dédié.

Limites

Les points de terminaison sortants sont soumis aux limites suivantes :

  • Partage d'adresses IP sources et de sous-réseaux limité aux ressources de la même région : les points de terminaison sortants allouent des plages d'adresses IP sources à partir du sous-réseau proxy réservé régional du réseau VPC auquel ils sont associés. Dans les déploiements standards, ce sous-réseau proxy réservé peut être partagé avec d'autres ressources régionales, comme les équilibreurs de charge d'application régionaux.

  • L'appairage direct avec des sous-réseaux proxy réservés n'est pas possible : vous ne pouvez pas appairer directement un sous-réseau proxy réservé. La connectivité réseau aux serveurs de noms externes doit être établie via un routage VPC standard, tel que Cloud Interconnect, Cloud VPN ou l'appairage de réseaux VPC.

  • Compatibilité IPv4 uniquement : l'adresse IP source d'un point de terminaison sortant est IPv4 uniquement, et les requêtes ne peuvent être transférées que vers des cibles IPv4 ou des cibles de transfert FQDN sur des zones de transfert qui se résolvent en adresses IPv4.

  • La liaison de points de terminaison sortants à un réseau entre plusieurs projets n'est pas acceptée : la création d'un point de terminaison sortant dans un projet de service associé au réseau VPC partagé d'un projet hôte n'est pas acceptée. Les points de terminaison sortants doivent se trouver dans le même projet que le réseau VPC et le sous-réseau auxquels ils sont associés.

  • Limité aux cibles privées : les points de terminaison sortants ne sont compatibles qu'avec le transfert vers des cibles privées (y compris RFC 1918, RFC 6598 et les adresses non-RFC 1918 routées de manière privée configurées avec --private-forward-targets ou forwardingPath: "private"). Ils ne peuvent pas être utilisés comme proxy de sortie ou ancrage d'adresse IP source statique pour le trafic DNS Internet public. Les requêtes adressées à des cibles Internet publiques sont résolues directement via la périphérie anycast distribuée de Google afin de minimiser la latence et d'éviter les dépendances Cloud NAT.

  • Champ d'application régional : les points de terminaison sortants sont des ressources régionales. Vous devez créer des points de terminaison dans chaque région où vous prévoyez de les utiliser.

  • Un seul mécanisme de transfert : votre mécanisme de transfert (la plage 35.199.192.0/19 par défaut ou les points de terminaison sortants) est configuré au niveau de la zone de transfert ou de la règle de serveur. Toutefois, vous ne pouvez pas utiliser les deux méthodes simultanément pour la même zone ou la même règle.

Étapes suivantes