Reihenfolge der Namensauflösung

Cloud DNS verwendet das folgende Verfahren, um Abfragen von Compute Engine-VM-Instanzen und Google Kubernetes Engine-Knoten (GKE) zu beantworten.

Bei anderen Compute Engine-VMs als GKE-Knoten folgt Cloud DNS bei der Verarbeitung empfangener Abfragen der Reihenfolge der VPC-Netzwerkauflösung. Jede VM muss so konfiguriert sein, dass sie die IP-Adresse des Metadatenservers (169.254.169.254) als Nameserver verwendet.

Für GKE-Knoten:

  1. Cloud DNS versucht zuerst, eine Abfrage mithilfe von clusterbezogenen Antwortrichtlinien und privaten Zonen abzugleichen.

  2. Cloud DNS wird gemäß der Reihenfolge der VPC-Netzwerkauflösung fortgesetzt.

Clusterbezogene Antwortrichtlinien und private Zonen

  1. Übereinstimmung mithilfe von Regeln in clusterbezogenen Antwortrichtlinien von GKE Cloud DNS scannt alle anwendbaren GKE-Cluster-Antwortrichtlinien auf eine Regel, bei der das DNS-Namensattribut mit einem möglichst großen Teil der Abfrage übereinstimmt. Cloud DNS verwendet den längsten Suffixabgleich, um clusterbezogene Antwortrichtlinien zu scannen.

    1. Wenn Cloud DNS eine übereinstimmende Antwortrichtlinienregel findet und die Regel lokale Daten bereitstellt, gibt Cloud DNS die lokalen Daten als Antwort zurück und schließt damit den Prozess zur Namensauflösung ab.

    2. Wenn Cloud DNS eine übereinstimmende Antwortrichtlinienregel findet und das Verhalten der Regel die Antwortrichtlinie umgeht, fährt Cloud DNS mit dem nächsten Schritt fort.

    3. Wenn Cloud DNS keine übereinstimmende Antwortrichtlinie findet oder keine anwendbare clusterbezogene Antwortrichtlinie für den Knoten vorhanden ist, fährt Cloud DNS mit dem nächsten Schritt fort.

  2. Einträge in clusterbezogenen privaten Zonen abgleichen. Cloud DNS scannt alle clusterbezogenen verwalteten privaten Zonen nach einem Eintrag, der mit einem Großteil der Abfrage wie möglich übereinstimmt. Cloud DNS verwendet den längsten Suffixabgleich, um Einträge in clusterbezogenen privaten Zonen zu finden.

    1. Wenn die genaueste Übereinstimmung für die Abfrage der Zonenname einer clusterbezogenen privaten Zone ist, verwendet Cloud DNS die Eintragsdaten dieser Zone, um die Anfrage aufzulösen.

      • Wenn die Zone einen Eintrag enthält, der genau mit der Abfrage übereinstimmt, gibt Cloud DNS die Daten dieses Eintrags zurück.
      • Wenn die Zone keinen übereinstimmenden Eintrag enthält, gibt Cloud DNS NXDOMAIN zurück.

    2. Wenn die spezifischste Übereinstimmung für die Abfrage der Zonenname einer clusterbezogenen Weiterleitungszone ist, leitet Cloud DNS die Abfrage an eines der Weiterleitungsziele der Weiterleitungszone weiter, um den Prozess der Namensauflösung abzuschließen. Cloud DNS gibt eine der folgenden Antworten zurück.

      • Die vom Weiterleitungsziel empfangene Antwort.
      • Eine SERVFAIL-Antwort, wenn das Weiterleitungsziel nicht auf Cloud DNS reagiert.

    3. Wenn die Abfrage mit keiner clusterbezogenen privaten Zone übereinstimmt, fährt Cloud DNS in der Reihenfolge der VPC-Netzwerkauflösung fort.

Reihenfolge der VPC-Netzwerkauflösung

  1. Abgleich mit einem alternativen Nameserver für das VPC-Netzwerk. Wenn das VPC-Netzwerk eine Serverrichtlinie für ausgehenden Traffic hat, leitet Google Cloud die Abfrage an einen der alternativen Nameserver weiter, die in dieser Richtlinie definiert sind, um den Prozess der Namensauflösung abzuschließen.

    Wenn in der Serverrichtlinie für ausgehenden Traffic zwei oder mehr alternative Nameserver vorhanden sind, ordnet Cloud DNS die alternativen Nameserver mithilfe eines internen Algorithmus ein. Beginnend mit gleichen Rängen erhöhen alternative Nameserver den Rang basierend auf höheren Raten erfolgreicher Antworten (einschließlich NXDOMAIN-Antworten) und basierend auf der kürzesten Umlaufzeit (niedrigste Antwortlatenz).

    Cloud DNS sendet Abfragen an alternative Nameserver und gibt die Antworten auf folgende Weise zurück.

    • Wenn in der Serverrichtlinie für ausgehenden Traffic zwei oder mehr alternative Nameserver vorhanden sind, sendet Cloud DNS die Abfrage zuerst an den alternativen Nameserver mit der höchsten Einstufung und dann an den alternativen Nameserver mit der höchsten Einstufung, wenn Cloud DNS keine keine Antwort vom hochrangigen alternativen Nameserver empfängt. Wenn Cloud DNS keine Antwort vom nächstrangigen alternativen Nameserver erhält, fragt Cloud DNS weiterhin alternative Nameserver ab, indem es den Rang abnimmt, bis es die Liste der alternativen Nameserver erschöpft ist.

    • Wenn Cloud DNS eine Antwort von einem alternativen Nameserver empfängt, gibt Cloud DNS diese Antwort zurück. Die Antworten umfassen NXDOMAIN-Antworten.

    • Wenn Cloud DNS keine Antwort von allen alternativen Nameservern in der Serverrichtlinie für ausgehenden Traffic empfängt, generiert Cloud DNS eine SERVFAIL-Antwort. Informationen zur Fehlerbehebung bei Verbindungen mit alternativen Nameservern finden Sie unter Netzwerkanforderungen für alternative Nameserver.

    Wenn das VPC-Netzwerk keine Serverrichtlinie für ausgehenden Traffic hat, fährt Cloud DNS mit dem nächsten Schritt fort.

  2. Abgleich mithilfe von Regeln in Antwortrichtlinien auf VPC-Netzwerk Cloud DNS scannt alle anwendbaren Antwortrichtlinien des VPC-Netzwerks auf eine Regel, bei der das DNS-Namensattribut mit einem möglichst großen Teil der Abfrage übereinstimmt. Cloud DNS verwendet den längsten Suffixabgleich, um Antwortrichtlinien auf VPC-Netzwerk zu scannen.

    1. Wenn Cloud DNS eine übereinstimmende Antwortrichtlinienregel findet und die Regel lokale Daten bereitstellt, gibt Cloud DNS die lokalen Daten als Antwort zurück und schließt damit den Prozess zur Namensauflösung ab.

    2. Wenn Cloud DNS eine übereinstimmende Antwortrichtlinienregel findet und das Verhalten der Regel die Antwortrichtlinie umgeht, fährt Cloud DNS mit dem nächsten Schritt fort.

    3. Wenn Cloud DNS keine übereinstimmende Antwortrichtlinie findet oder keine entsprechende Antwortrichtlinie auf VPC-Netzwerk für die VM oder den Knoten vorhanden ist, fährt Cloud DNS mit dem nächsten Schritt fort.

  3. Einträge in verwalteten privaten Zonen auf VPC-Netzwerk abgleichen. Cloud DNS scannt alle verwalteten privaten Zonen, die für das VPC-Netzwerk autorisiert sind, nach einem Eintrag, der mit einem Großteil der Abfrage wie möglich übereinstimmt. Cloud DNS verwendet den längsten Suffixabgleich, um Einträge zu finden.

    1. Wenn die spezifischste Übereinstimmung für die Abfrage der Zonenname einer privaten Zone auf VPC-Netzwerk ist, verwendet Cloud DNS die Eintragsdaten dieser Zone, um die Anfrage aufzulösen.

      • Wenn die Zone einen Eintrag enthält, der genau mit der Abfrage übereinstimmt, gibt Cloud DNS die Daten des Eintrags zurück.
      • Wenn die Zone keinen übereinstimmenden Eintrag enthält, gibt Cloud DNS NXDOMAIN zurück.

    2. Wenn die spezifischste Übereinstimmung für die Abfrage der Zonenname einer Weiterleitungszone im VPC-Netzwerk ist, leitet Cloud DNS die Abfrage an eines der Weiterleitungsziele der Weiterleitungszone weiter, um den Prozess der Namensauflösung abzuschließen. Cloud DNS gibt eine der folgenden Antworten zurück.

      • Die vom Weiterleitungsziel empfangene Antwort.
      • Eine SERVFAIL-Antwort, wenn das Weiterleitungsziel nicht auf Cloud DNS reagiert.

    3. Wenn die spezifischste Übereinstimmung für die Abfrage der Name einer Peering-Zone mit VPC-Netzwerkbereich ist, stoppt Cloud DNS den aktuellen Prozess zur Namensauflösung und startet einen neuen Prozess zur Namensauflösung aus Sicht des Ziel-VPC-Netzwerk der Peering-Zone.

    Stimmt die Abfrage mit keiner privaten Zone, Weiterleitungszone oder Peering-Zone überein, fährt Cloud DNS mit dem nächsten Schritt fort.

  4. Einträge in internen Compute Engine-Zonen abgleichen. Cloud DNS durchsucht alle anwendbaren internen DNS-Zonen von Compute Engine nach einem Eintrag, der mit einem Großteil der Abfrage wie möglich übereinstimmt. Cloud DNS sucht anhand des längsten Suffixes nach Einträgen.

    1. Wenn die spezifischste Übereinstimmung für die Abfrage ein interner DNS-Name von Compute Engine ist, gibt Cloud DNS die interne IP-Adresse der Netzwerkschnittstelle der VM oder ihren Reverse-Lookup-Zeiger als Antwort zurück, um den Namen der Namensauflösung abzuschließen.

  5. Eintrag mithilfe einer öffentlichen DNS-Abfrage abgleichen Google Cloud folgt dem Start of Authority-Eintrag (SOA), um öffentlich verfügbare Zonen abzufragen, einschließlich öffentlicher Cloud DNS-Zonen. Cloud DNS gibt eine der folgenden Antworten zurück.

    • Die von einem autoritativen Nameserver empfangene Antwort.
    • Eine NXDOMAIN-Antwort, wenn der Datensatz nicht vorhanden ist.

Beispiel

Angenommen, Sie haben die zwei VPC-Netzwerke vpc-a und vpc-b sowie den GKE-Cluster cluster-a und die folgenden bereichsbezogenen Ressourcen:

  1. vpc-a ist berechtigt, die folgenden privaten Zonen abzufragen. Beachten Sie den abschließenden Punkt jedes Eintrags:

    • static.example.com.
    • 10.internal.

  2. peer.com. ist eine Peering-Zone, die die Auflösungsreihenfolge von VPC-Namen von vpc-b abfragen kann.

  3. vpc-a ist mit keinem ausgehenden Server oder Antwortrichtlinien verknüpft.

  4. cluster-a ist berechtigt, eine private Zone mit dem Namen example.com abzufragen. cluster-a ist auch mit keinem ausgehenden Server oder Antwortrichtlinien verknüpft.

  5. Eine VM in cluster-a kann Folgendes abfragen:

    • example.com und untergeordnete Elemente (einschließlich static.example.com), beantwortet von der privaten Zone example.com, die für cluster-a autorisiert ist.
    • 10.internal auf vpc-a.
    • peer.com durch Verwenden der Peering-Zone.

  6. Eine VM, die nicht in cluster-a ist, kann Folgendes abfragen:

    • static.example.com und untergeordnete Elemente, beantwortet von der privaten Zone static.example.com, die für vpc-a autorisiert ist. Abfragen für example.com geben Internetantworten zurück.
    • 10.internal auf vpc-a.
    • peer.com durch Verwenden der Peering-Zone.

Nächste Schritte