Ringkasan Endpoint Keluar

Dokumen ini memberikan ringkasan tentang Endpoint Keluar Cloud DNS. Endpoint Keluar dapat dilampirkan ke zona penerusan atau kebijakan server untuk mengaktifkan penerusan kueri DNS langsung dari jaringan VPC ke DNS resolver eksternal dan lokal menggunakan alamat IP pribadi. Penggunaan Endpoint Keluar memberikan kontrol terperinci atas traffic DNS keluar dan meningkatkan kemampuan Anda untuk membuka blokir kasus penggunaan resolusi DNS Hybrid dan Multi-cloud.

Untuk mempelajari cara membuat, memperbarui, dan mengaitkan Endpoint Keluar dengan zona penerusan atau kebijakan server, lihat Membuat dan memperbarui Endpoint Keluar.

Kemampuan Endpoint Keluar

Endpoint Keluar memungkinkan Anda mengontrol alamat IP sumber untuk traffic DNS keluar, sehingga memungkinkan perilaku khusus jaringan VPC dengan menetapkan rentang traffic keluar yang unik untuk setiap jaringan. Rentang traffic keluar yang unik mengatasi batasan perutean rentang proxy penerusan tetap yang ada.

Cluster GKE otomatis mewarisi Endpoint Keluar saat mengkueri tujuan eksternal dengan jaringan VPC host. Jika jaringan VPC host diizinkan untuk zona penerusan Cloud DNS global standar atau kebijakan server yang dikonfigurasi dengan Endpoint Keluar, pod yang menggunakan resolusi DNS VPC akan otomatis merutekan kueri keluar melalui Endpoint Keluar regional tanpa memerlukan modifikasi tingkat cluster atau zona penerusan zona.

Untuk mempelajari lebih lanjut cara memigrasikan penyiapan penerusan DNS yang ada ke Endpoint Keluar, lihat Memigrasikan penyiapan penerusan Cloud DNS yang ada ke Endpoint Keluar.

Arsitektur Endpoint Keluar dan perutean kueri

Endpoint Keluar dibuat dalam jaringan VPC tertentu dan menggunakan subnet khusus proxy jaringan tersebut untuk alamat IP sumbernya.

Saat Anda melampirkan Endpoint Keluar ke zona penerusan atau kebijakan server, Cloud DNS akan mencoba merutekan kueri DNS melalui Endpoint Keluar dengan peringkat tertinggi menggunakan algoritma peringkat target yang ada. Jika endpoint tersebut tidak responsif, Cloud DNS akan mencoba endpoint dengan peringkat tertinggi berikutnya. Endpoint Keluar yang secara geografis paling dekat lebih diutamakan, tetapi tidak dijamin.

Algoritma peringkat untuk server tujuan dilakukan secara otomatis dan didasarkan pada pola failover zona penerusan yang ada - pemilihan IP dengan latensi dan tingkat error terendah. Faktor berikut meningkatkan peringkat target penerusan:

  • Jumlah respons DNS yang berhasil diproses oleh target penerusan lebih tinggi. Respons DNS yang berhasil juga mencakup respons NXDOMAIN.
  • Latensi yang lebih rendah untuk berkomunikasi dengan target penerusan.
  • Jarak geografis yang lebih pendek ke Endpoint Keluar. Jika data keberhasilan dan latensi tidak tersedia, target terdekat akan dipilih.

Untuk perlindungan terhadap pemadaman layanan regional, Anda dapat mengonfigurasi Endpoint Keluar di setidaknya dua region tempat Anda menjalankan workload komputasi. Pendekatan ini memberikan target failover regional untuk Cloud DNS dan mempertahankan latensi kueri minimal. Jika konektivitas hybrid Anda hanya disediakan di region tertentu, endpoint di region komputasi lain masih dapat merutekan melalui koneksi tersebut untuk menjangkau resolver lokal Anda.

Meskipun endpoint dengan peringkat tertinggi berada di region yang berbeda, Cloud DNS akan terus merutekan kueri ke endpoint tersebut. Misalnya, jika endpoint di Region A menjadi tidak tersedia, traffic akan otomatis dirutekan ke endpoint yang berfungsi baik di Region B. Saat endpoint di Region A kembali berfungsi dengan baik, algoritma peringkat akan mendeteksi peningkatan performanya dan mulai memprioritaskannya lagi untuk kueri mendatang.

Anda dapat memiliki hingga 10 Endpoint Keluar per project per region, tetapi Anda dapat meminta penambahan kuota di konsol Google Cloud jika diperlukan. Dapat ada hingga 100 Endpoint Keluar yang dilampirkan ke zona penerusan atau kebijakan server.

Merutekan kueri ke resolver lokal regional

Cloud DNS tidak menjamin bahwa traffic dikirim ke endpoint di region yang sama dengan VM asal, tetapi Anda dapat menggunakan Kebijakan perutean geolokasi untuk merutekan traffic ke server nama target terdekat. Meskipun Cloud DNS lebih memilih untuk merutekan traffic ke Endpoint Keluar di region yang paling dekat dengan kueri asal dan server nama target, region server nama target dan region Endpoint Keluar tidak memiliki pengaitan erat. Terlepas dari lokasinya, Cloud DNS memilih endpoint yang secara historis memberikan latensi terendah.

Berikut adalah ringkasan tingkat tinggi tentang yang perlu Anda lakukan untuk merutekan kueri ke resolver lokal regional:

  • Buat zona dengan kebijakan geolokasi: Buat zona pribadi Cloud DNS baru untuk FQDN yang Anda kontrol (misalnya, onprem-resolvers.example.com) yang diberi otorisasi untuk jaringan VPC Anda. Di zona ini, buat data A untuk IP server DNS lokal Anda dan terapkan kebijakan perutean Geolokasi. Konfigurasi kebijakan untuk menampilkan IP resolver untuk kueri yang berasal dari wilayah tertentu tersebut. Misalnya, menampilkan IP resolver Eropa untuk kueri yang bersumber dari region Google Cloud Eropa.
  • Gunakan FQDN sebagai target penerusan: Di zona penerusan, gunakan FQDN yang baru saja Anda buat (onprem-resolvers.example.com) sebagai server DNS tujuan.
  • Konfigurasi Endpoint Keluar: Kaitkan Endpoint Keluar regional Anda (misalnya, satu di region AS dan satu di region Eropa) dengan zona penerusan ini.

Saat VM di satu region membuat kueri, sistem akan mengikuti proses perutean dua langkah:

  • Pemilihan endpoint: Cloud DNS mengevaluasi daftar Endpoint Keluar yang terkait dengan zona penerusan dan memilih endpoint terbaik (misalnya, endpoint di Eropa kemungkinan dipilih untuk kueri dari VM di Eropa).
  • Penyelesaian tujuan: Endpoint Keluar yang dipilih menyelesaikan FQDN tujuan (onprem-resolvers.example.com). Karena Endpoint Keluar adalah resource regional yang berada di region yang ditentukan, kebijakan Geolocation mengidentifikasi sumber kueri sebagai region tersebut dan menampilkan alamat IP tertentu yang telah Anda konfigurasi untuk region tersebut. Endpoint Keluar kemudian meneruskan kueri asli ke IP server DNS target.

Untuk mengetahui informasi selengkapnya, lihat tutorial penerusan DNS keluar FQDN Cloud DNS.

Penerusan dari region tanpa endpoint lokal dalam satu jaringan VPC

Jaringan Google Cloud VPC adalah resource global yang dapat berisi subnet di beberapa region. Jika VM membuat kueri dari region tempat Anda belum mengonfigurasi Endpoint Keluar, penerusan akan tetap berhasil. Kueri akan dirutekan di seluruh region ke Endpoint Keluar yang tersedia dengan peringkat tertinggi yang ada dalam jaringan VPC yang sama dan dikonfigurasi di zona penerusan atau kebijakan server.

Meneruskan dari beberapa jaringan VPC di region yang sama dengan isolasi IP sumber

Jika Anda perlu meneruskan kueri dari beberapa jaringan VPC di region yang sama dan memerlukan pemecah masalah lokal untuk melihat alamat IP sumber yang berbeda untuk setiap jaringan VPC, ikuti langkah-langkah berikut:

  1. Membuat Endpoint Keluar di setiap jaringan VPC: Untuk mengetahui informasi selengkapnya, lihat Membuat Endpoint Keluar.
  2. Buat kebijakan server atau zona penerusan di setiap jaringan VPC: Beri otorisasi kebijakan server atau zona penerusan hanya untuk jaringan VPC tersebut dan hanya gunakan Endpoint Keluar jaringan VPC tersebut.

Tindakan ini menyebabkan VM di setiap jaringan VPC mengirim kueri melalui Endpoint Keluar di jaringan VPC-nya. Setiap endpoint meneruskan kueri ke resolver lokal. Jaringan lokal melihat alamat IP sumber dari subnet khusus proxy setiap jaringan VPC, sehingga dapat menerapkan konfigurasi yang berbeda untuk traffic setiap jaringan.

Penerusan terpadu di berbagai jaringan VPC (Hub-and-Spoke)

Anda dapat mengonfigurasi zona penerusan atau kebijakan server untuk menggunakan Endpoint Keluar di jaringan VPC terpusat yang berbeda (hub). Konektivitas jaringan tidak diperlukan antara jaringan hub dan jaringan VPC tempat kueri berasal (spoke) karena Cloud DNS menangani penerusan kueri secara internal.

Anda harus mengonfigurasi konektivitas jaringan antara Endpoint Keluar dan target penerusan di zona penerusan atau kebijakan server Anda. Konektivitas dapat dibuat menggunakan Cloud Interconnect atau Cloud VPN untuk menjangkau resolver lokal. Peering Jaringan VPC dapat digunakan untuk menjangkau target penerusan di jaringan VPC lain.

  1. Membuat Endpoint Keluar di jaringan VPC hub.
  2. Buat zona penerusan atau kebijakan server di jaringan VPC spoke dan konfigurasikan untuk menggunakan Endpoint Keluar jaringan hub.

VM di jaringan VPC spoke mengirim kueri melalui Endpoint Keluar di jaringan VPC hub. Endpoint meneruskan kueri ke resolver lokal.

Dukungan VPC Bersama

Endpoint Keluar mendukung deployment VPC Bersama. Endpoint dan subnet khusus proxy terkait dibuat secara terpusat di project host. Project layanan kemudian dapat membuat zona penerusan pribadi atau kebijakan server dan mengikatnya lintas project ke Endpoint Keluar terpusat di project host (memerlukan dns.outboundEndpoints.bindPrivateDNSZone atau dns.outboundEndpoints.bindPrivateDNSPolicy di project host).

Mengelola resource jaringan yang terkait dengan Endpoint Keluar

Endpoint Keluar Cloud DNS menerapkan dependensi siklus proses yang ketat dengan jaringan dan subnet VPC yang mendasarinya untuk membantu melindungi traffic DNS produksi dari perubahan infrastruktur yang tidak disengaja seperti penghapusan atau modifikasi.

Menghapus subnet khusus proxy atau jaringan VPC saat digunakan oleh Endpoint Keluar

Subnet atau jaringan VPC khusus proxy yang aktif digunakan oleh Endpoint Keluar dilindungi dari penghapusan untuk mencegah gangguan. Upaya untuk menghapus resource ini akan menyebabkan error. Jika ingin menghapus resource ini, Anda harus mengikuti langkah-langkah berikut dalam urutan yang tepat:

  1. Perbarui konfigurasi Cloud DNS: Edit zona penerusan atau kebijakan server yang menggunakan Endpoint Keluar dan hapus dari konfigurasi agar tidak lagi digunakan.
  2. Hapus Endpoint Keluar: Setelah endpoint tidak lagi digunakan, Anda dapat menghapusnya. Tindakan ini akan melepaskan dependensi pada subnet khusus proxy.
  3. Hapus subnet khusus proxy: Setelah mengonfirmasi bahwa tidak ada resource lain yang menggunakannya, hapus subnet khusus proxy.
  4. Hapus jaringan VPC: Setelah semua dependensi VPC lainnya dihapus, Anda dapat menghapus jaringan VPC.

Modifikasi subnet

Anda tidak dapat langsung mengubah subnet khusus proxy saat Endpoint Keluar aktif menggunakannya. Pembatasan ini mencegah Anda mengedit properti utama, seperti rentang alamat IP, yang membantu menghindari pemadaman layanan. Untuk mengubah subnet, Anda harus mengikuti pedoman yang ada dan bermigrasi terlebih dahulu ke subnet baru.

Lakukan hal berikut untuk mengubah subnet yang digunakan oleh Endpoint Keluar:

  1. Buat subnet cadangan: Buat subnet khusus proxy baru di jaringan VPC dan region yang sama. Anda harus menetapkan peran subnet ini ke BACKUP selama pembuatan.
  2. Aktifkan subnet baru: Perbarui peran subnet baru menjadi ACTIVE. Tindakan ini akan otomatis menetapkan subnet asli ke peran BACKUP dan mulai menghentikan koneksi aktif dari subnet tersebut.
  3. Tunggu pengosongan: Berikan waktu untuk menyelesaikan proses pengosongan koneksi.
  4. Hapus subnet lama: Anda kini dapat menghapus subnet asli setelah berada dalam peran BACKUP dan tidak memiliki koneksi aktif.

Prediktabilitas IP sumber khusus untuk firewall lokal

Jika firewall DNS lokal Anda memerlukan rentang alamat IP sumber khusus dan dapat diprediksi yang diisolasi ke traffic DNS, sebaiknya terapkan arsitektur berikut:

  • Deploy di jaringan VPC traffic keluar khusus: Buat jaringan VPC khusus dengan subnet reguler (untuk alamat IP Endpoint Keluar) dan subnet khusus proxy regional yang dicadangkan secara eksklusif untuk Cloud DNS (--purpose=REGIONAL_MANAGED_PROXY dan --role=ACTIVE).
  • Mengisolasi jaringan VPC aplikasi Anda: Jangan melakukan peering atau merutekan jaringan VPC aplikasi Anda ke jaringan egress khusus ini. Cloud DNS merutekan kueri secara internal dalam infrastruktur Google Cloud, sehingga konektivitas jaringan langsung antara jaringan VPC ini tidak diperlukan.
  • Menghubungkan jaringan VPC egress khusus ke target penerusan eksternal: Konfigurasi konektivitas hanya antara jaringan VPC egress khusus dan server nama target eksternal atau lokal Anda. Buat jalur ini dengan menggunakan hal berikut:
    • Peering jaringan VPC ke VPC transit yang ada: Ini adalah pendekatan yang direkomendasikan dan paling hemat biaya. Jika organisasi Anda sudah memiliki jaringan VPC transit pusat dengan Cloud Interconnect atau Cloud VPN ke lokal, lakukan peering jaringan VPC DNS khusus ke hub transit tersebut. Pendekatan ini menghindari penyediaan sirkuit hybrid yang redundan dan meminimalkan biaya.
    • Konektivitas hybrid langsung: Dedicated Interconnect, Cross-Cloud Interconnect, atau Cloud VPN yang dihentikan langsung di jaringan VPC DNS khusus.

Batasan

Endpoint Keluar memiliki batasan berikut:

  • IP sumber dan berbagi subnet terbatas pada resource di region yang sama: Endpoint Keluar mengalokasikan rentang IP sumber dari subnet khusus proxy regional dari jaringan VPC tempat endpoint tersebut terpasang. Dalam deployment standar, subnet khusus proxy ini dapat dibagikan dengan resource regional lainnya seperti Load Balancer Aplikasi Regional.

  • Peering langsung ke subnet khusus proxy tidak didukung: Anda tidak dapat melakukan peering langsung dengan subnet khusus proxy. Konektivitas jaringan ke server nama eksternal harus dibuat melalui perutean VPC standar seperti Cloud Interconnect, Cloud VPN, atau Peering Jaringan VPC.

  • Hanya dukungan IPv4: Alamat IP sumber Endpoint Keluar hanya IPv4, dan kueri hanya dapat diteruskan ke target IPv4 atau target penerusan FQDN di zona penerusan yang me-resolve ke alamat IPv4.

  • Mengikat Endpoint Keluar ke jaringan di seluruh project tidak didukung: Membuat Endpoint Keluar dalam project layanan yang terpasang ke jaringan VPC bersama project host tidak didukung. Endpoint Keluar harus berada dalam project yang sama dengan jaringan VPC dan subnet yang terpasang.

  • Terbatas untuk target pribadi: Endpoint Keluar hanya mendukung penerusan ke target pribadi dan tidak dapat digunakan sebagai proxy traffic keluar atau anchor IP sumber statis untuk traffic DNS internet publik. Kueri ke target internet publik di-resolve langsung melalui edge anycast terdistribusi Google untuk meminimalkan latensi dan menghindari dependensi Cloud NAT.

  • Cakupan regional: Endpoint Keluar adalah resource regional. Anda harus membuat endpoint di setiap region tempat Anda ingin menggunakannya.

  • Hanya satu mekanisme penerusan: Mekanisme penerusan Anda (rentang 35.199.192.0/19 default atau Endpoint Keluar) dikonfigurasi di tingkat zona penerusan atau kebijakan server. Namun, Anda tidak dapat menggunakan kedua metode tersebut secara bersamaan untuk zona atau kebijakan yang sama.

Langkah berikutnya