Panoramica di Cloud DNS

Questa pagina fornisce una panoramica delle caratteristiche e funzionalità di Cloud DNS. Cloud DNS è un servizio DNS (Domain Name System) globale, resiliente e ad alte prestazioni che pubblica i tuoi nomi di dominio nel DNS globale in modo economico.

Il DNS è un database distribuito gerarchico che ti consente di archiviare gli indirizzi IP e altri dati e di cercarli per nome. Cloud DNS ti consente di pubblicare le tue zone e i tuoi record in DNS senza l'onere di gestire il software e i server DNS.

Cloud DNS offre sia zone pubbliche che zone DNS gestite private. Una zona pubblica è visibile alla rete internet pubblica, mentre una zona privata è visibile solo da una o più reti Virtual Private Cloud (VPC) specificate. Per informazioni dettagliate sulle zone, consulta la panoramica delle zone DNS.

Cloud DNS supporta le autorizzazioni IAM (Identity and Access Management) a livello di progetto e di singole zone DNS. Per informazioni su come impostare le autorizzazioni IAM per le singole risorse, consulta Creare una zona con autorizzazioni IAM specifiche.

Per un elenco della terminologia DNS generale, consulta la Panoramica generale del DNS.

Per un elenco della terminologia chiave su cui si basa Cloud DNS, consulta Termini chiave.

Per iniziare a utilizzare Cloud DNS, consulta la guida rapida.

Provalo

Se non conosci Google Cloud, crea un account per valutare le prestazioni di Cloud DNS in scenari reali. I nuovi clienti ricevono anche 300 $ di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.

Prova Cloud DNS gratuitamente

Considerazioni sul VPC condiviso

Per utilizzare una zona privata gestita da Cloud DNS, una zona di inoltro Cloud DNS o una zona di peering Cloud DNS con VPC condiviso, devi creare la zona nel progetto host e aggiungere una o più reti VPC condivise all'elenco delle reti autorizzate per quella zona. In alternativa, puoi configurare la zona in un progetto di servizio utilizzando l'associazione tra progetti.

Per ulteriori informazioni, consulta Best practice per le zone private Cloud DNS.

Metodi di Forwarding DNS

Google Cloud offre il forwarding DNS in entrata e in uscita per le zone private. Puoi configurare l'inoltro DNS creando una zona di inoltro o un criterio del server Cloud DNS. I due metodi sono riassunti nella tabella seguente.

Forwarding DNS Metodi Cloud DNS
In entrata

Crea un criterio del server in entrata per consentire a un client o a un server DNS on-premise di inviare richieste DNS a Cloud DNS. Il client o il server DNS può quindi risolvere i record in base all'ordine di risoluzione dei nomi di una rete VPC.

I client on-premise possono risolvere i record nelle zone private, nelle zone di inoltro e nelle zone di peering per le quali è stata autorizzata la rete VPC. I client on-premise utilizzano Cloud VPN o Cloud Interconnect per connettersi alla rete VPC.

In uscita

Puoi configurare le VM in una rete VPC per eseguire le seguenti operazioni:

  • Invia richieste DNS ai server dei nomi DNS che preferisci. I server dei nomi possono trovarsi nella stessa rete VPC, in una rete on-premise o su internet.
  • Risolvi i record ospitati su server dei nomi configurati come destinazione di inoltro di una zona di inoltro autorizzata per l'utilizzo dalla tua rete VPC. Per informazioni su come Google Cloud inoltra il traffico all'indirizzo IP di una destinazione di inoltro, consulta Destinazioni di inoltro e metodi di routing.
  • Crea un criterio del server in uscita per la rete VPC per inviare tutte le richieste DNS a un server dei nomi alternativo. Quando utilizzi un server dei nomi alternativo, le VM nella tua rete VPC non sono più in grado di risolvere i record nelle zone private, nelle zone di inoltro, nelle zone di peering o nelle zone DNS interne di Compute Engine. Per ulteriori dettagli, consulta Ordine di risoluzione dei nomi.

Puoi configurare contemporaneamente l'inoltro DNS in entrata e in uscita per una rete VPC. L'inoltro bidirezionale consente alle VM nella rete VPC di risolvere i record in una rete on-premise o in una rete ospitata da un altro cloud provider. Questo tipo di inoltro consente inoltre agli host della rete on-premise di risolvere i record per le tue risorseGoogle Cloud .

Il control plane di Cloud DNS utilizza l'ordine di selezione del destinazione di inoltro per selezionare una destinazione di inoltro. A volte le query inoltrate in uscita possono generare errori SERVFAIL se i destinatari dell'inoltro non sono raggiungibili o se non rispondono abbastanza rapidamente. Per le istruzioni di risoluzione dei problemi, vedi Le query inoltrate in uscita ricevono errori SERVFAIL.

Per informazioni su come applicare i criteri del server, consulta Creare criteri del server DNS. Per scoprire come creare una zona di inoltro, consulta Creare una zona di inoltro.

DNSSEC

Cloud DNS supporta DNSSEC gestito, proteggendo i tuoi domini da attacchi di spoofing e poisoning della cache. Quando utilizzi un resolver con convalida come Google Public DNS, DNSSEC fornisce un'autenticazione avanzata (ma non la crittografia) delle ricerche dei domini. Per ulteriori informazioni su DNSSEC, consulta Gestire la configurazione DNSSEC.

DNS64 (anteprima)

Puoi collegare le istanze di macchine virtuali (VM) Compute Engine solo IPv6 (anteprima) alle destinazioni IPv4 utilizzando DNS64 di Cloud DNS. DNS64 fornisce un indirizzo IPv6 sintetico per ogni destinazione IPv4. Cloud DNS crea un indirizzo sintetico combinando il prefisso noto (WKP) 64:ff9b::/96 con i 32 bit dell'indirizzo IPv4 di destinazione.

Configura DNS64 e la Network Address Translation con NAT pubblico (NAT64) per consentire alle istanze VM solo IPv6 (anteprima) di comunicare con destinazioni IPv4 su internet. Per configurare NAT64, segui le istruzioni riportate in Creare un gateway Cloud NAT.

L'esempio seguente mostra come un'istanza VM solo IPv6 (anteprima) chiamata vmipv6 risolva il nome di una destinazione solo IPv4.

  1. L'istanza VM vmipv6 avvia una richiesta DNS per risolvere il nome di destinazione in un indirizzo IPv6.

  2. Se esiste un record AAAA (indirizzo IPv6), Cloud DNS restituisce l'indirizzo IPv6 e l'istanza VM vmipv6 lo utilizza per connettersi alla destinazione.

  3. Se non esiste un record AAAA, ma hai configurato DNS64, Cloud DNS cerca un record A (indirizzo IPv4). Se Cloud DNS trova un record A, sintetizza un record AAAA anteponendo all'indirizzo IPv4 il prefisso 64:ff9b::/96.

DNS64 traduce un indirizzo IPv4 in un indirizzo IPv6 sintetico.
DNS64 traduce un indirizzo IPv4 in un indirizzo IPv6 sintetizzato (fai clic per ingrandire).

Ad esempio, se l'indirizzo IPv4 è 32.34.50.60, l'indirizzo IPv6 sintetizzato risultante è 64:ff9b::2022:323c, dove 2022:323c è l'equivalente esadecimale dell'indirizzo IPv4. Il prefisso 64:ff9b::/96 è definito nella RFC 6052. Cloud DNS sintetizza questi indirizzi IPv6 anche quando ospiti i record DNS on-premise, a condizione che tu abiliti il forwarding DNS in Cloud DNS.

Puoi utilizzare DNS64 nei seguenti scenari:

  • Rispettare i mandati che richiedono il passaggio agli indirizzi IPv6 senza allocare indirizzi IPv4.
  • Passare a un'infrastruttura di indirizzi solo IPv6 in più fasi, mantenendo al contempo l'accesso all'infrastruttura IPv4 esistente.
  • Evita interruzioni dei servizi critici assicurandoti l'accesso continuo agli ambienti con indirizzi IPv4 legacy durante la transizione agli indirizzi IPv6.

Per configurare DNS64 per una rete VPC, segui le istruzioni riportate in Configurare DNS64.

Controllo degli accessi

Puoi gestire gli utenti che sono autorizzati ad apportare modifiche ai tuoi record DNS nella pagina IAM e amministrazione della console Google Cloud. Affinché gli utenti siano autorizzati ad apportare modifiche, devono disporre del ruolo Amministratore DNS (roles/dns.admin) nella sezione Autorizzazioni della console Google Cloud. Il ruolo Lettore DNS (roles/dns.reader) concede l'accesso di sola lettura ai record Cloud DNS.

Queste autorizzazioni si applicano anche agli account di servizio che potresti utilizzare per gestire i tuoi servizi DNS.

Per visualizzare le autorizzazioni assegnate a questi ruoli, vedi Ruoli.

Controllo dell'accesso per le zone gestite

Gli utenti con il ruolo Proprietario o Editor del progetto (roles/owner o roles/editor) possono gestire o visualizzare le zone gestite nel progetto specifico che stanno gestendo.

Gli utenti con il ruolo di amministratore DNS o di lettore DNS possono gestire o visualizzare le zone gestite in tutti i progetti a cui hanno accesso.

I proprietari, gli editor, gli amministratori e i lettori DNS dei progetti possono visualizzare l'elenco delle zone private applicate a qualsiasi rete VPC nel progetto corrente.

Accesso alle autorizzazioni per risorsa

Per configurare un criterio in una risorsa DNS come una zona gestita, devi avere accesso come proprietario al progetto proprietario della risorsa. Il ruolo Amministratore DNS non dispone dell'autorizzazione setIamPolicy. In qualità di proprietario del progetto, puoi anche creare ruoli IAM personalizzati per le tue esigenze specifiche. Per informazioni dettagliate, consulta Informazioni sui ruoli IAM personalizzati.

Prestazioni e tempistiche

Cloud DNS utilizza la tecnologia anycast per gestire le zone gestite da più località in tutto il mondo per garantire un'elevata disponibilità. Le richieste vengono inoltrate automaticamente alla stazione di ricarica più vicina, riducendo la latenza e migliorando le prestazioni della ricerca dei nomi autorevoli per i tuoi utenti.

Propagazione delle modifiche

Le modifiche vengono propagate in due parti. Innanzitutto, la modifica inviata tramite lo strumento a riga di comando o l'API deve essere inviata ai server DNS autorevoli di Cloud DNS. In secondo luogo, i resolver DNS devono rilevare questa modifica quando scade la cache dei record.

Il valore TTL (Time To Live) impostato per i record, specificato in secondi, controlla la cache del resolver DNS. Ad esempio, se imposti un valore TTL di 86400 (il numero di secondi in 24 ore), ai resolver DNS viene chiesto di memorizzare nella cache i record per 24 ore. Alcuni risolutori DNS ignorano il valore TTL o utilizzano i propri valori, il che può ritardare la propagazione completa dei record.

Se prevedi di apportare una modifica ai servizi che richiede un periodo di tempo limitato, ti consigliamo di impostare un valore TTL inferiore prima di apportare la modifica. Il nuovo valore TTL inferiore viene applicato dopo la scadenza del valore TTL precedente nella cache del resolver. Questo approccio può contribuire a ridurre la finestra di memorizzazione nella cache e a garantire una modifica più rapida delle impostazioni del nuovo record. Dopo la modifica, puoi ripristinare il valore TTL precedente per ridurre il carico sui resolver DNS.

Passaggi successivi