O Alibaba Cloud DNS fornece resolução de DNS para cenários de intranet corporativa em VPCs do Alibaba Cloud.
Visão geral
A Resolução de Nomes de Domínio Privados (Private Hosted Zone) é uma evolução do Alibaba Cloud DNS PrivateZone. Ela oferece resolução de DNS para cenários de intranet corporativa em VPCs do Alibaba Cloud, com módulos para Private Zone, cache, encaminhamento e recursão. Em um ambiente de VPC, você pode definir nomes de domínio autoritativos privados, acelerar a resolução, encaminhar tráfego de DNS entre a cloud e os data centers locais (IDCs) e analisar logs de resolução para clientes como instâncias ECS e contêineres.
Capacidades do product
O Alibaba Cloud DNS implanta software de DNS proprietário em data centers ao redor do mundo para fornecer resolução de DNS privado em ambientes de VPC. O service inclui os seguintes módulos:
Private Zone
Baseado no service original do Alibaba Cloud DNS PrivateZone, este módulo de DNS autoritativo privado permite criar nomes de domínio acessíveis apenas nas suas VPCs e resolvê-los para endereços IP. Utilize registros autoritativos privados e gerencie recursos como hostnames de ECS, instâncias SLB e buckets OSS dentro de uma VPC. Você também pode conectar VPCs a data centers locais por meio de linhas dedicadas ou VPNs, permitindo que os recursos em ambos os ambientes acessem uns aos outros usando nomes de domínio privados.
O service Private Zone é dividido em regiões de aceleração e regiões padrão. Os nomes de domínio do service PrivateZone original são armazenados nas regiões padrão. As regiões de aceleração armazenam registros de DNS em memória de alta velocidade, mais próxima das sources de requisição, fornecendo a menor latência de resolução. Isso as torna ideais para nomes de domínio que exigem baixa latência e alta estabilidade. As regiões de aceleração suportam split-zone DNS e weighted resolution. As regiões padrão não suportam esses recursos.
Cache
O módulo de cache acelera a resolução de nomes de domínio dentro de uma VPC ao armazenar os resultados em memória de alta velocidade. O valor de Time to Live (TTL) determina por quanto tempo os resultados permanecem em cache. Ative a retenção de cache para manter os resultados de resolução de nomes de domínio principais na memória. Se uma requisição chegar após a expiração do TTL, o resultado em cache é retornado primeiro enquanto o sistema atualiza o registro em segundo plano. A retenção de cache melhora a velocidade de resolução e evita interrupções no service causadas por falhas no service de DNS autoritativo público do domínio. Para mais informações, consulte Cache management.
Encaminhamento
O módulo de encaminhamento (anteriormente Resolver no Alibaba Cloud DNS PrivateZone) permite criar regras de encaminhamento e endpoints de saída de DNS para rotear o tráfego de consulta de nomes de domínio específicos da sua VPC para um sistema de DNS externo. Isso oferece suporte a chamadas de service em cloud híbrida e da cloud para ambientes locais. Forwarding management.
Recursão
O módulo de recursão fornece resolução recursiva para nomes de domínio da Internet para clientes como instâncias ECS dentro de uma VPC. Este service é gratuito por padrão para cenários de VPC do Alibaba Cloud, mas não inclui um Acordo de Nível de Service (SLA). Se você alterar os endereços padrão do servidor DNS (100.100.2.136/100.100.2.138) em uma instância ECS para outro provedor, essa instância perderá o acesso à resolução privada do Alibaba Cloud DNS.
Endpoints de entrada
Um endpoint de entrada é o endereço do nameserver do service de resolução de DNS privado. Configure como o endereço DNS para clientes da cloud (instâncias ECS, contêineres) ou como o IP de destino para clientes externos (hosts locais, servidores DNS externos). Os endpoints de entrada são atribuídos pelo sistema ou personalizados. Os endereços padrão são 100.100.2.136 e 100.100.2.138, que atendem todas as VPCs em todas as regiões por meio de anycast sem custo.
Para usar seus próprios endereços IP privados para resolução de DNS dentro de uma VPC, crie um endpoint de entrada personalizado. Os endpoints personalizados são cobrados com base no pagamento conforme o uso. Inbound endpoints.
Análise de tráfego
O módulo de análise de tráfego fornece visualização de ponta a ponta do tráfego de resolução de DNS. Ele reconstrói o caminho completo desde a consulta até o reconhecimento e gera relatórios sobre latência de resolução, volume de requisições, taxa de acerto de cache, nomes de domínio de hot spot e sources de requisição de hot spot. Utilize esses dados para otimizar suas configurações de resolução.
As regras de resolução de DNS privado se aplicam apenas a clientes dentro de uma VPC que usam 100.100.2.136/100.100.2.138 ou um endereço de endpoint de entrada personalizado como servidor DNS. Se você alterar as configurações de DNS de uma instância ECS para outro endereço, as regras de resolução privada do Alibaba Cloud DNS não se aplicarão a essa instância.
Prioridade das regras de resolução
Em um cenário de VPC corporativa, quando um servidor DNS recebe uma consulta DNS, ele resolve o nome de domínio de acordo com as seguintes regras de prioridade:
Benefícios
Recursos ricos do product
DNS de zona dividida: Retorna endereços IP específicos com base no intervalo de IP da source da consulta. Suporta linhas do Alibaba Cloud DNS e linhas de DNS personalizadas.
Resolução ponderada: Atribua pesos a vários valores de registro para o mesmo hostname e source de requisição. As respostas de DNS distribuem o tráfego com base em proporções de peso predefinidas para alcançar o balanceamento de carga.
Retenção de cache: Mantenha os registros de DNS para nomes de domínio principais permanentemente em cache. Isso melhora a velocidade de resolução e evita interrupções no service causadas por falhas no provedor de DNS autoritativo.
Limpeza de cache: Limpe os dados em cache de nomes de domínio específicos dos servidores de cache durante alterações emergenciais no service quando a retenção de cache estiver ativada.
Gerenciamento de encaminhamento: Encaminhe o tráfego de consulta DNS para nomes de domínio específicos em uma VPC para um sistema de DNS externo. Suporta chamadas de service em cloud híbrida e da cloud para ambientes locais.
Análise de tráfego: Fornece visualização de ponta a ponta do tráfego de resolução de DNS com relatórios gráficos. Ajuste sua arquitetura de service com base nas tendências de tráfego de resolução.
Isolamento de segurança
A resolução de DNS privado fornece isolamento completo de dados entre VPCs:
As zonas não podem ser consultadas a partir da Internet, impedindo a sondagem externa da arquitetura interna.
As zonas não podem ser consultadas fora de seu escopo de atuação, limitando o acesso a dados essenciais ao intervalo mínimo necessário.
O sistema processa os dados da zona com segurança por meio de tunelamento de rede para evitar comprometimentos.
Controle flexível
Adicione ou personalize zonas privadas sem limitações:
Adicione qualquer zona (como taobao.com) para substituir os resultados de DNS público dentro do escopo configurado. O domínio taobao.com no seu DNS privado sobrescreve os resultados de resolução da Internet.
Crie nomes de domínio personalizados em uma VPC que não podem ser registrados na Internet pública, como example.test e example.abcd.
Defina escopos de atuação diferentes para zonas com o mesmo nome. Isso permite que VPCs em diferentes regiões acessem recursos distintos usando o mesmo nome de domínio para acesso mais próximo. Por exemplo, consultas para test.example.com a partir de VPCs em China (Huabei 2) e China (Hangdong 2) retornam os endereços de recursos locais para cada região.
Arquitetura do sistema
A resolução de nomes de domínio privados possui duas camadas: controle e resolução.
Camada de controle: Fornece services por meio do console e da openapi. Lida com operações CRUD e armazenamento para registros DNS, dados de configuração e dados de log. Localizada em China (Zhangjiakou) e China (Hangzhou).
Camada de resolução: Executa em clusters de servidores implantados em regiões ao redor do mundo. Recebe registros DNS distribuídos da camada de controle e responde a consultas. Cobre todas as regiões e zonas onde os services do Alibaba Cloud estão disponíveis publicamente.
Cenários
Gerenciamento de hostname
Padronize a nomenclatura de hostname do ECS e use o recurso de registro de hostname para sincronizar automaticamente os registros de resolução. Isso permite que você acesse instâncias ECS pelo hostname.
Por exemplo, uma empresa (example.com) possui 50 instâncias ECS em uma VPC na Zona E de China (Huabei 2): 20 para o site, 20 para o aplicativo móvel e 10 para testes. Planeje os hostnames da seguinte forma:
Site: web01.huabei2-e.example.com a web20.huabei2-e.example.com
Aplicativo: m01.huabei2-e.example.com a m20.huabei2-e.example.com
Teste: test01.huabei2-e.example.com a test10.huabei2-e.example.com
Após essa configuração, você pode definir um nome de domínio privado usando o service Private Zone e ative a sincronização automática de registros de hostname do ECS. Isso permite acessar instâncias ECS pelo hostname em uma rede VPC específica, o que melhora a conveniência do gerenciamento diário de hosts.
DNS de zona dividida
O service PrivateZone original não suportava DNS de zona dividida, linhas personalizadas ou linhas do Alibaba Cloud. O service atualizado suporta split-zone DNS, que identifica a source do visitante e retorna diferentes endereços IP de acordo. Apenas nomes de domínio privados em uma região de aceleração do Private Zone suportam DNS de zona dividida, incluindo linhas do Alibaba Cloud e linhas de DNS personalizadas.
Resolução ponderada
Se uma zona tiver vários registros A, AAAA ou CNAME com o mesmo hostname e linha de DNS, defina pesos para cada valor de registro a fim de distribuir o tráfego durante as migrações de service. Apenas nomes de domínio privados em uma região de aceleração do Private Zone suportam weighted resolution.
Instanciação de service na cloud
Os services na cloud frequentemente precisam acessar uns aos outros. Utilize a resolução privada para atribuir um nome de domínio a cada service na cloud dentro de uma VPC e resolvê-lo para um endereço IP interno específico. Isso reduz drasticamente as alterações de desenvolvimento quando os endereços IP do service mudam.
Por exemplo, o sistema de API interna de uma empresa (example.com) usa um endereço IP privado porque lida com dados sensíveis.
Atribua account.inner.example.com a esta API e resolva para 10.23.45.67. Se o endereço mudar para 10.45.67.89, atualize apenas o registro DNS.
Aceleração e recuperação de desastres na resolução de nomes de domínio
O acesso a nomes de domínio entre empresas é comum, criando dependências de service. Se o service de DNS de um domínio dependente apresentar alta latência ou interrupções, seus services serão afetados.
Use o recurso Cache management para melhorar a velocidade de resolução e proteger contra interrupções do provedor de DNS. Com a retenção de cache ativada, os registros em cache nunca são limpos automaticamente, alcançando uma taxa de acerto de cache de 100%. Após a expiração do TTL, uma consulta aciona uma atualização em segundo plano. Se o DNS autoritativo público estiver indisponível, o sistema continua a fornecer o resultado em cache, garantindo a recuperação de desastres.
Troca de dados para resolução entre ambientes na cloud e locais
Durante a adoção gradual da cloud, migrar a resolução de DNS entre VPCs na cloud e data centers locais costuma ser um desafio. Antes da adoção da cloud, as empresas geralmente possuem seu próprio service de DNS com nomes de domínio privados para acesso interno. Após a migração, os services na cloud ainda precisam resolver esses nomes de domínio privados originais.
Use Forwarding management (Resolver) para encaminhar consultas DNS de nomes de domínio específicos dentro de uma VPC para o seu DNS local. Isso preserva a lógica de resolução original para nomes de domínio privados, garantindo uma migração tranquila para a cloud.
Use Inbound endpoints para encaminhar consultas DNS do ambiente local para a VPC. Personalize o IP de destino para evitar conflitos de endereços com sua rede local. Isso permite manter um único sistema de DNS para ambos os ambientes, reduzindo a carga de trabalho de O&M.
Análise de tráfego
A resolução de DNS privado era anteriormente uma caixa preta com visibilidade limitada. O service atualizado fornece visualização de ponta a ponta do tráfego de resolução de DNS. Ele reconstrói o caminho completo desde a consulta até o reconhecimento e gera relatórios sobre latência, volume de requisições, taxa de acerto de cache, domínios de hot spot e sources de hot spot. Utilize esses dados para ajustar sua arquitetura de service com base nas tendências de resolução.