Políticas do servidor DNS

É possível configurar uma política de servidor DNS para cada rede de nuvem privada virtual (VPC). A política pode especificar encaminhamento de DNS de entrada, encaminhamento de DNS de saída ou ambos. Nesta seção, a política de servidor de entrada se refere a uma política que permite o encaminhamento do DNS de entrada. Política do servidor de saída refere-se a um método possível para implementar o encaminhamento de DNS de saída. É possível que uma política seja de servidor de entrada e de servidor de saída se os recursos de ambas forem implementados.

Observação: as políticas de servidor do Cloud DNS não estão disponíveis para redes legadas. Elas requerem redes VPC.

Para mais informações, consulte Como aplicar políticas de servidor do Cloud DNS.

Políticas do servidor de entrada

Cada rede VPC fornece serviços de resolução de nome do Cloud DNS para instâncias de máquina virtual (VM) que têm uma interface de rede (vNIC) conectada à rede VPC. Quando uma VM usa o servidor de metadados 169.254.169.254 como servidor de nomes, o Google Cloud procura recursos do Cloud DNS de acordo com a ordem de resolução de nomes da rede VPC.

Use uma política de servidor de entrada para disponibilizar os serviços de resolução de nomes de uma rede VPC para redes locais conectadas a ela usando túneis do Cloud VPN, anexos da VLAN do Cloud Interconnect ou dispositivos de roteador.

Quando você cria uma política de servidor de entrada, o Cloud DNS cria pontos de entrada da política de servidor de entrada na rede VPC em que a política é aplicada. Os pontos de entrada da política do servidor de entrada são endereços IPv4 internos provenientes do intervalo de endereços IPv4 principal de todas as sub-redes na rede VPC aplicável, exceto para sub-redes com dados --purpose específicos, como sub-redes somente proxy para determinados balanceadores de carga e sub-redes usadas pelo Cloud NAT para NAT particular.

Por exemplo, se você tiver uma rede VPC que contenha duas sub-redes na mesma região e uma terceira em uma região diferente, ao configurar uma política de servidor de entrada para a rede VPC, o Cloud DNS usará um total de três endereços IPv4 como pontos de entrada da política de servidor de entrada, um por sub-rede.

Para informações sobre como criar uma política de servidor de entrada para uma VPC, consulte Criar uma política de servidor de entrada.

Rede e região para consultas de entrada

Para processar consultas DNS enviadas para pontos de entrada da política do servidor de entrada, o Cloud DNS associa a consulta a uma rede VPC e a uma região:

• A rede VPC associada a uma consulta DNS é a rede VPC que contém o túnel do Cloud VPN, o anexo da VLAN do Cloud Interconnect ou a interface de rede do dispositivo roteador que recebe os pacotes para a consulta DNS.

  • O Google recomenda criar uma política de servidor de entrada na rede VPC que se conecta à rede local. Dessa forma, os pontos de entrada da política do servidor de entrada estão localizados na mesma rede VPC que os túneis do Cloud VPN, os anexos da VLAN do Cloud Interconnect ou os dispositivos do roteador que se conectam à rede local.

  • Uma rede local pode enviar consultas para pontos de entrada da política do servidor de entrada em uma rede VPC diferente. Por exemplo, se a rede VPC que contém os túneis do Cloud VPN, os anexos da VLAN do Cloud Interconnect ou os dispositivos de roteador que se conectam à rede local também estiver conectada a uma rede VPC diferente usando o peering de rede VPC. No entanto, não recomendamos usar essa configuração porque a rede VPC associada para consultas DNS não corresponde à rede VPC que contém os pontos de entrada da política do servidor de entrada. Isso significa que as consultas DNS não são resolvidas usando zonas particulares e políticas de resposta do Cloud DNS na rede VPC que contém a política do servidor de entrada. Para evitar confusão, recomendamos as seguintes etapas de configuração:

    1. Crie uma política de servidor de entrada na rede VPC que se conecte à rede local usando túneis do Cloud VPN, anexos da VLAN do Cloud Interconnect ou dispositivos roteador.
    2. Configure sistemas locais para enviar consultas DNS aos pontos de entrada da política do servidor de entrada configurados na etapa anterior.

    3. Configurar os recursos do Cloud DNS autorizados para a rede VPC que se conecta à rede local. Use um ou mais dos seguintes métodos:

       • Adicione a rede VPC que se conecta à rede local à lista de redes autorizadas das zonas particulares do Cloud DNS que estão autorizadas para a outra rede VPC: se uma zona particular do Cloud DNS e a rede VPC que se conecta à rede local estiverem em projetos diferentes da mesma organização, use o URL completo da rede ao autorizar a rede. Para mais informações, consulte Configurar a vinculação entre projetos.
       • Zonas de peering do Cloud DNS autorizadas na rede VPC que se conecta à rede local: defina a rede de destino da zona de peering com a outra rede VPC. Não importa se a rede VPC que se conecta à rede local está conectada à rede VPC de destino da zona de peering usando peering de rede VPC, porque as zonas de peering do Cloud DNS não dependem do peering de rede VPC para conectividade de rede.

• A região associada a uma consulta DNS é sempre a região que contém o túnel do Cloud VPN, o anexo da VLAN do Cloud Interconnect ou a interface de rede do dispositivo roteador que recebe os pacotes para a consulta DNS, não a região da sub-rede que contém o ponto de entrada da política do servidor de entrada.

  • Por exemplo, se os pacotes de uma consulta de DNS entrarem em uma rede VPC usando um túnel do Cloud VPN localizado na região us-east1 e forem enviados para um ponto de entrada de política de servidor de entrada na região us-west1, a região associada à consulta de DNS será us-east1.
  • Como prática recomendada, envie consultas DNS para o endereço IPv4 de um ponto de entrada da política de servidor de entrada na mesma região que o túnel do Cloud VPN, o anexo da VLAN do Cloud Interconnect ou o dispositivo do roteador.
  • A região associada a uma consulta DNS será importante se você usar políticas de roteamento de geolocalização. Para mais informações, consulte Gerenciar políticas de roteamento de DNS e verificações de integridade.

Divulgação de rota do ponto de entrada da política do servidor de entrada

Como os endereços IP do ponto de entrada da política do servidor de entrada são extraídos dos intervalos de endereços IPv4 principais de sub-redes, os Cloud Routers anunciam esses endereços IP quando a sessão do protocolo de gateway de borda (BGP, na sigla em inglês) de um túnel do Cloud VPN, o anexo da VLAN do Cloud Interconnect ou o dispositivo roteador está configurado para usar o modo de divulgação padrão do Cloud Router. Também é possível configurar uma sessão do BGP para anunciar endereços IP de ponto de entrada da política do servidor de entrada se você usar o modo de divulgação personalizado do Cloud Router de uma das seguintes maneiras:

• Você divulga os intervalos de endereços IP das sub-redes, além dos prefixos personalizados.
• Inclua endereços IP de ponto de entrada da política do servidor de entrada nos anúncios de prefixo personalizados.

Políticas de servidor de saída

Modifique a ordem de resolução de nome do Cloud DNS de uma rede VPC criando uma política de servidor de saída que especifique uma lista de servidores de nomes alternativos. Quando uma VM usa o servidor de metadados 169.254.169.254 como servidor de nomes e você especifica servidores de nomes alternativos para uma rede VPC, o Cloud DNS envia todas as consultas a esses servidores, a menos que elas sejam correspondidas por uma política de resposta com escopo de cluster do Google Kubernetes Engine ou por uma zona particular com escopo de cluster do GKE.

Quando há dois ou mais servidores de nomes alternativos em uma política de servidor de saída, o Cloud DNS classifica esses servidores e os consulta conforme descrito na primeira etapa da ordem de resolução de nomes da VPC.

Importante: analise atentamente a ordem de resolução da rede VPC. O uso de servidores de nomes alternativos desativa a resolução de muitos recursos do Cloud DNS e também pode afetar a resolução de consultas DNS públicas, dependendo da configuração dos servidores de nomes alternativos. Para mais informações sobre outras estratégias para encaminhamento de DNS de saída, consulte Métodos de encaminhamento de DNS na visão geral do Cloud DNS.

Para informações sobre como criar políticas de servidor de saída, consulte Como criar uma política de servidor de saída.

Tipos alternativos de servidor de nomes, métodos de roteamento e endereços

O Cloud DNS oferece suporte a três tipos de servidores de nomes alternativos e oferece métodos de roteamento padrão ou particular para conectividade.

Tipo de servidor de nomes alternativos	Roteamento padrão compatível	Compatibilidade com roteamento privado	Intervalo de endereços de origem da consulta
Servidor de nomes do tipo 1 Um endereço IP interno de uma VM do Google Cloud na mesma rede VPC em que a política do servidor de saída está definida.	Somente endereços IP RFC 1918: o tráfego sempre é roteado por uma rede VPC autorizada.	Qualquer endereço IP interno, como um endereço RFC 1918 ou particular, ou um endereço IP privado não RFC 1918 ou um endereço IP público reutilizado de maneira privada, exceto endereço IP do servidor de nomes alternativo proibido - tráfego sempre roteado por uma rede VPC autorizada.	35.199.192.0/19
Servidor de nomes do tipo 2 Um endereço IP de um sistema local, conectado à rede VPC com a política do servidor de saída, usando a VPN do Cloud ou o Cloud Interconnect.	Somente endereços IP RFC 1918: o tráfego sempre é roteado por uma rede VPC autorizada.	Qualquer endereço IP interno, como um endereço RFC 1918 ou particular, ou um endereço IP privado não RFC 1918 ou um endereço IP público reutilizado de maneira privada, exceto endereço IP do servidor de nomes alternativo proibido - tráfego sempre roteado por uma rede VPC autorizada.	35.199.192.0/19
Servidor de nome do tipo 3 Um endereço IP externo de um servidor de nomes DNS acessível à Internet ou o endereço IP externo de um recurso do Google Cloud, por exemplo, o endereço IP externo de uma VM em outra rede VPC.	Somente endereços IP externos roteáveis pela Internet: o tráfego sempre é encaminhado para a Internet ou para o endereço IP externo de um recurso do Google Cloud.	O roteamento particular não é compatível.	Intervalos de origem do DNS público do Google

O Cloud DNS oferece dois métodos de roteamento para consultar servidores de nomes alternativos:

• Roteamento padrão: o Cloud DNS determina o tipo do servidor de nomes alternativo usando o endereço IP e, em seguida, usa o roteamento particular ou público:

  • Se o servidor de nomes alternativo for um endereço IP RFC 1918, o Cloud DNS o classificará como Tipo 1 ou Tipo 2 e encaminhará as consultas por uma rede VPC autorizada (roteamento particular).

  • Se o servidor de nomes alternativo não for um endereço IP RFC 1918, o Cloud DNS o classificará como Tipo 3 e espera que o servidor de nomes alternativo seja acessível pela Internet. O Cloud DNS encaminha consultas pela Internet (roteamento público).

• Roteamento particular: o Cloud DNS trata o servidor de nomes alternativo como Tipo 1 ou Tipo 2. O Cloud DNS sempre encaminha o tráfego por uma rede VPC autorizada, independentemente do endereço IP do servidor de nomes alternativo (RFC 1918 ou não).

Importante :um servidor de nomes alternativo do Tipo 1 não pode estar localizado em uma rede VPC conectada à rede VPC com a política de servidor de saída. Não importa como as duas redes VPC estão conectadas, por exemplo, usando o peering de rede VPC ou os túneis do Cloud VPN.

Endereços IP do servidor de nomes alternativos proibidos

Não é possível usar os seguintes endereços IP para servidores de nomes alternativos do Cloud DNS:

• 169.254.0.0/16
• 192.0.0.0/24
• 192.0.2.0/24
• 192.88.99.0/24
• 198.51.100.0/24
• 203.0.113.0/24
• 224.0.0.0/4
• 240.0.0.0/4
• ::1/128
• ::/128
• 2001:db8::/32
• fe80::/10
• fec0::/10
• ff00::/8

Requisitos de rede do servidor de nomes alternativo

Os requisitos de rede para servidores de nomes alternativos variam com base no tipo do servidor de nomes alternativo. Para determinar o tipo de um servidor de nomes alternativo, consulte Tipos de servidor de nomes alternativos, métodos de roteamento e endereços. Em seguida, consulte os requisitos de rede em uma das seções a seguir.

Requisitos de rede para servidores de nomes alternativos Tipo 1

O Cloud DNS envia pacotes com origens do intervalo de endereços IP 35.199.192.0/19 para o endereço IP do servidor de nomes alternativo Tipo 1. O Google Cloud encaminha pacotes para consultas usando rotas de sub-rede local na rede VPC. Verifique se você não criou nenhuma rota com base em políticas que tenha como destinos endereços IP do servidor de nomes alternativo Tipo 1.

Para permitir pacotes de entrada em VMs de servidores de nomes alternativos, crie regras de firewall VPC de entrada ou regras em políticas de firewall com as seguintes características:

• Destinos: precisa incluir as VMs do servidor de nomes alternativo
• Fontes: 35.199.192.0/19
• Protocolos: TCP e UDP
• Porta: 53

O Cloud DNS exige que cada servidor de nomes alternativo envie pacotes de resposta ao endereço IP do Cloud DNS em 35.199.192.0/19 que originou a consulta. As origens dos pacotes de resposta precisam corresponder ao endereço IP do servidor de nomes alternativo ao qual o Cloud DNS envia a consulta original. O Cloud DNS ignorará as respostas se elas vierem de uma origem inesperada de endereço IP, por exemplo, o endereço IP de outro servidor de nomes a que um servidor de nomes alternativo possa encaminhar uma consulta.

Quando um servidor de nomes alternativo do Tipo 1 envia pacotes de resposta para 35.199.192.0/19, ele depende de rotas de retorno especiais que o Google Cloud adiciona a cada rede VPC.

Requisitos de rede para servidores de nomes alternativos Tipo 2

O Cloud DNS envia pacotes com origens do intervalo de endereços IP 35.199.192.0/19 para servidores de nomes alternativos do Tipo 2. O Cloud DNS depende dos seguintes tipos de rotas dentro da rede VPC à qual a política do servidor de saída se aplica:

• Rotas estáticas, exceto rotas estáticas que só se aplicam a VMs por tag de rede
• Rotas dinâmicas

Para permitir pacotes de entrada em servidores de nomes alternativos do Tipo 2, configure as regras de firewall de permissão de entrada aplicáveis aos servidores de nomes alternativos e a qualquer equipamento de rede local relevante com recursos de firewall. A configuração efetiva do firewall precisa permitir os protocolos TCP e UDP com origens 53 e 35.199.192.0/19 da porta de destino.

O Cloud DNS exige que cada servidor de nomes alternativo envie pacotes de resposta ao endereço IP do Cloud DNS em 35.199.192.0/19 que originou a consulta. As origens dos pacotes de resposta precisam corresponder ao endereço IP do servidor de nomes alternativo ao qual o Cloud DNS envia a consulta original. O Cloud DNS ignorará as respostas se elas vierem de uma origem inesperada de endereço IP, por exemplo, o endereço IP de outro servidor de nomes a que um servidor de nomes alternativo possa encaminhar uma consulta.

A rede local precisa ter rotas para o destino 35.199.192.0/19, em que os próximos saltos são túneis do Cloud VPN, anexos da VLAN do Cloud Interconnect ou Cloud Routers localizados na mesma rede VPC e região de onde o Cloud DNS envia a consulta. Contanto que os próximos saltos atendam a esses requisitos de rede e região, o Google Cloud não vai exigir um caminho de retorno simétrico. As respostas de servidores de nomes alternativos do Tipo 2 não podem ser roteadas usando nenhum dos próximos saltos a seguir:

• Próximos saltos na Internet
• Próximos saltos em uma rede VPC diferente da rede VPC em que as consultas foram originadas
• Os próximos saltos estão na mesma rede VPC, mas em uma região diferente da região de origem das consultas.

Para configurar as rotas 35.199.192.0/19 na rede local, use o modo de divulgação personalizada do Cloud Router e inclua 35.199.192.0/19 como um prefixo personalizado nas sessões do BGP dos túneis do Cloud VPN relevantes, nos anexos da VLAN do Cloud Interconnect ou nos Cloud Routers que conectam sua rede VPC à rede local que contém o servidor de nomes alternativo do Tipo 2. Como alternativa, é possível configurar rotas estáticas equivalentes na rede local.

Requisitos de rede para servidores de nomes alternativos Tipo 3

O Cloud DNS envia pacotes com origens que correspondem aos intervalos de origem do DNS público do Google para servidores de nomes alternativos do Tipo 3. O Cloud DNS usa roteamento público. Ele não depende de rotas dentro da rede VPC a que a política de servidor de saída se aplica.

Para permitir pacotes de entrada em servidores de nomes alternativos do Tipo 3, verifique se a configuração de firewall efetiva aplicável ao servidor de nomes alternativo permite pacotes dos intervalos de origem do DNS público do Google.