Alibaba Cloud DNS fournit une résolution DNS pour les scénarios d'intranet d'entreprise au sein des réseaux privés virtuels (VPC) d'Alibaba Cloud.
Présentation
La résolution de noms de domaine privée (Private Hosted Zone) est une évolution d'Alibaba Cloud DNS PrivateZone. Elle offre une résolution DNS adaptée aux environnements intranet d'entreprise hébergés dans les VPC Alibaba Cloud, en intégrant des modules dédiés à la Private Zone, à la mise en cache, au transfert et à la récursion. Dans un environnement VPC, vous pouvez définir des noms de domaine autoritatifs privés, accélérer la résolution, acheminer le trafic DNS entre le cloud et vos centres de données sur site (IDC), ainsi qu'analyser les journaux de résolution pour des clients tels que les instances ECS et les conteneurs.
Fonctionnalités du produit
Alibaba Cloud DNS déploie son propre logiciel DNS dans des centres de données à travers le monde afin de fournir une résolution DNS privée pour les environnements VPC. Le service comprend les modules suivants :
Private Zone
S'appuyant sur le service Alibaba Cloud DNS PrivateZone d'origine, ce module DNS autoritatif privé vous permet de créer des noms de domaine accessibles uniquement depuis vos VPC et de les résoudre en adresses IP. Utilisez des enregistrements autoritatifs privés pour gérer des ressources telles que les noms d'hôte ECS, les instances SLB et les compartiments OSS au sein d'un VPC. Vous pouvez également connecter vos VPC à des centres de données sur site via des lignes louées ou des VPN, permettant ainsi aux ressources des deux environnements de communiquer à l'aide de noms de domaine privés.
Le service Private Zone se divise en régions d'accélération et régions standard. Les noms de domaine issus du service PrivateZone initial sont stockés dans les régions standard. Les régions d'accélération conservent les enregistrements DNS dans une mémoire haute vitesse, proche des sources de requêtes, garantissant ainsi la latence de résolution la plus faible possible. Cette configuration est idéale pour les noms de domaine exigeant une faible latence et une stabilité élevée. Les régions d'accélération prennent en charge le DNS par zone fractionnée et la résolution pondérée. Ces fonctionnalités ne sont pas disponibles dans les régions standard.
Mise en cache
Le module de mise en cache accélère la résolution des noms de domaine au sein d'un VPC en stockant les résultats dans une mémoire haute vitesse. La valeur TTL (Time to Live) détermine la durée de conservation des résultats en cache. Activez la rétention du cache afin de conserver en mémoire les résultats de résolution pour les noms de domaine critiques. Si une requête arrive après l'expiration du TTL, le système renvoie immédiatement le résultat mis en cache tout en mettant à jour l'enregistrement en arrière-plan. La rétention du cache améliore la vitesse de résolution et prévient les interruptions de service causées par des pannes du service DNS autoritatif public du domaine. Pour plus d'informations, consultez la section Mise en cache.
Transfert
Le module de transfert (anciennement Resolver dans Alibaba Cloud DNS PrivateZone) vous permet de créer des règles de transfert et des points de terminaison sortants DNS afin d'acheminer le trafic de requêtes pour des noms de domaine spécifiques depuis votre VPC vers un système DNS externe. Cette fonctionnalité prend en charge les architectures hybrides et les appels de services du cloud vers les infrastructures sur site. Consultez la section Gestion du transfert.
Récursion
Le module de récursion assure la résolution récursive des noms de domaine Internet pour les clients tels que les instances ECS au sein d'un VPC. Ce service est gratuit par défaut pour les scénarios VPC Alibaba Cloud, mais ne bénéficie d'aucun accord de niveau de service (SLA). Si vous modifiez les adresses du serveur DNS par défaut (100.100.2.136/100.100.2.138) sur une instance ECS pour utiliser celles d'un autre fournisseur, cette instance perd l'accès à la résolution privée Alibaba Cloud DNS.
Points de terminaison entrants
Un point de terminaison entrant correspond à l'adresse du serveur de noms du service de résolution DNS privée. Configurez-le comme adresse DNS pour les clients cloud (instances ECS, conteneurs) ou comme adresse IP de destination pour les clients externes (hôtes sur site, serveurs DNS externes). Les points de terminaison entrants sont attribués par le système ou personnalisés. Les adresses par défaut sont 100.100.2.136 et 100.100.2.138 ; elles desservent tous les VPC de toutes les régions via Anycast, sans frais supplémentaires.
Pour utiliser vos propres adresses IP privées pour la résolution DNS au sein d'un VPC, créez un point de terminaison entrant personnalisé. Les points de terminaison personnalisés sont facturés selon le modèle de paiement à l'utilisation. Consultez la section Points de terminaison entrants.
Analyse du trafic
Le module d'analyse du trafic offre une visualisation de bout en bout du trafic de résolution DNS. Il reconstitue le chemin complet, de la requête à l'accusé de réception, et génère des rapports sur la latence de résolution, le volume de requêtes, le taux de succès du cache, les noms de domaine les plus sollicités et les sources de requêtes les plus actives. Exploitez ces données pour optimiser vos paramètres de résolution.
Les règles de résolution DNS privée s'appliquent uniquement aux clients situés dans un VPC qui utilisent 100.100.2.136/100.100.2.138 ou l'adresse d'un point de terminaison entrant personnalisé comme serveur DNS. Si vous modifiez les paramètres DNS d'une instance ECS pour utiliser une autre adresse, les règles de résolution privée Alibaba Cloud DNS ne s'appliqueront pas à cette instance.
Priorité des règles de résolution
Dans un scénario VPC d'entreprise, lorsqu'un serveur DNS reçoit une requête, il résout le nom de domaine selon les règles de priorité suivantes :
Avantages
Fonctionnalités riches
DNS par zone fractionnée : Renvoie des adresses IP spécifiques en fonction de la plage d'adresses IP source de la requête. Prend en charge les lignes DNS Alibaba Cloud et les lignes DNS personnalisées.
Résolution pondérée : Attribuez des poids à plusieurs valeurs d'enregistrement pour un même nom d'hôte et une même source de requête. Les réponses DNS distribuent le trafic selon les ratios de poids prédéfinis afin d'assurer l'équilibrage de charge.
Rétention du cache : Conservez les enregistrements DNS des noms de domaine critiques en cache de manière permanente. Cette approche améliore la vitesse de résolution et prévient les interruptions de service liées à des pannes chez le fournisseur DNS autoritatif.
Purge du cache : Effacez les données mises en cache pour des noms de domaine spécifiques sur les serveurs de cache lors de modifications de service urgentes, lorsque la rétention du cache est activée.
Gestion du transfert : Acheminez le trafic de requêtes DNS pour des noms de domaine spécifiques dans un VPC vers un système DNS externe. Cette fonctionnalité prend en charge les architectures hybrides et les appels de services du cloud vers les infrastructures sur site.
Analyse du trafic : Offre une visualisation de bout en bout du trafic de résolution DNS grâce à des rapports graphiques. Adaptez votre architecture de service en fonction des tendances du trafic de résolution.
Isolation de sécurité
La résolution DNS privée garantit une isolation complète des données entre les VPC :
Les zones ne peuvent pas être interrogées depuis Internet, empêchant ainsi toute exploration externe de l'architecture interne.
Les zones ne peuvent pas être interrogées en dehors de leur périmètre d'application, limitant l'accès aux données essentielles à la portée strictement nécessaire.
Les données de zone sont traitées de manière sécurisée avec tunneling réseau pour prévenir toute compromission.
Contrôle flexible
Ajoutez ou personnalisez des zones privées sans limitation :
Ajoutez n'importe quelle zone (comme taobao.com) pour remplacer les résultats DNS publics dans le périmètre configuré. Le domaine taobao.com dans votre DNS privé écrase les résultats de résolution Internet.
Créez des noms de domaine personnalisés dans un VPC qui ne peuvent pas être enregistrés sur Internet public, tels que example.test et example.abcd.
Définissez différents périmètres d'application pour des zones portant le même nom. Cela permet aux VPC de différentes régions d'accéder à des ressources distinctes en utilisant le même nom de domaine pour un accès local optimal. Par exemple, les requêtes pour test.example.com provenant de VPC en Chine (Huabei 2) et en Chine (Hangdong 2) renvoient les adresses des ressources locales de chaque région.
Architecture système
La résolution de noms de domaine privée comporte deux couches : contrôle et résolution.
Couche de contrôle : Fournit des services via la console et l'OpenAPI. Gère les opérations CRUD et le stockage des enregistrements DNS, des données de configuration et des données de journalisation. Située en Chine (Zhangjiakou) et en Chine (Hangzhou).
Couche de résolution : S'exécute sur des clusters de serveurs déployés dans des régions du monde entier. Reçoit les enregistrements DNS distribués par la couche de contrôle et répond aux requêtes. Couvre toutes les régions et zones où les services Alibaba Cloud sont disponibles publiquement.
Scénarios
Gestion des noms d'hôte
Standardisez la dénomination des noms d'hôte ECS et utilisez la fonctionnalité d'enregistrement de nom d'hôte pour synchroniser automatiquement les enregistrements de résolution. Vous pourrez ainsi accéder aux instances ECS par leur nom d'hôte.
Par exemple, une entreprise (example.com) dispose de 50 instances ECS dans un VPC situé dans la zone E de Chine (Huabei 2) : 20 pour le site web, 20 pour l'application mobile et 10 pour les tests. Planifiez les noms d'hôte comme suit :
Site web : web01.huabei2-e.example.com à web20.huabei2-e.example.com
Application : m01.huabei2-e.example.com à m20.huabei2-e.example.com
Test : test01.huabei2-e.example.com à test10.huabei2-e.example.com
Après cette configuration, **définissez un nom de domaine privé à l'aide du service Private Zone et activez la synchronisation automatique des enregistrements de nom d'hôte ECS. Cela vous permet d'accéder aux instances ECS par leur nom d'hôte au sein d'un réseau VPC spécifique**, ce qui simplifie la gestion quotidienne des hôtes.
DNS par zone fractionnée
Le service PrivateZone d'origine ne prenait pas en charge le DNS par zone fractionnée, les lignes personnalisées ni les lignes Alibaba Cloud. Le service amélioré prend en charge le DNS par zone fractionnée, qui identifie la source du visiteur et renvoie différentes adresses IP en conséquence. Seuls les noms de domaine privés situés dans une région d'accélération Private Zone prennent en charge le DNS par zone fractionnée, y compris les lignes Alibaba Cloud et les lignes DNS personnalisées.
Résolution pondérée
Si une zone contient plusieurs enregistrements A, AAAA ou CNAME avec le même nom d'hôte et la même ligne DNS, définissez des poids pour chaque valeur d'enregistrement afin de distribuer le trafic lors des migrations de service. Seuls les noms de domaine privés situés dans une région d'accélération Private Zone prennent en charge la résolution pondérée.
Instanciation des services cloud
Les services cloud doivent souvent communiquer entre eux. Utilisez la résolution privée pour attribuer un nom de domaine à chaque service cloud au sein d'un VPC et le résoudre vers une adresse IP interne spécifique. Cela réduit considérablement les modifications de développement lorsque les adresses IP des services changent.
Par exemple, le système API interne d'une entreprise (example.com) utilise une adresse IP privée car il traite des données sensibles.
Attribuez account.inner.example.com à cette API et résolvez-le vers 10.23.45.67. Si l'adresse change pour devenir 10.45.67.89, mettez simplement à jour l'enregistrement DNS.
Accélération de la résolution de noms de domaine et reprise après sinistre
L'accès aux noms de domaine interentreprises est courant, créant ainsi des dépendances de service. Si le service DNS d'un domaine dont vous dépendez présente une latence élevée ou des pannes, vos propres services seront impactés.
Utilisez la fonctionnalité de Mise en cache pour améliorer la vitesse de résolution et vous protéger contre les pannes du fournisseur DNS. Avec la rétention du cache activée, les enregistrements mis en cache ne sont jamais supprimés automatiquement, atteignant ainsi un taux de succès du cache de 100 %. Après l'expiration du TTL, une requête déclenche une mise à jour en arrière-plan. Si le DNS autoritatif public est indisponible, le système continue de servir le résultat mis en cache, assurant ainsi la reprise après sinistre.
Échange de données de résolution entre le cloud et les environnements sur site
Lors de l'adoption progressive du cloud, la migration de la résolution DNS entre les VPC cloud et les centres de données sur site s'avère souvent complexe. Avant la migration vers le cloud, les entreprises disposent généralement de leur propre service DNS avec des noms de domaine privés pour l'accès interne. Après la migration, les services cloud doivent toujours pouvoir résoudre ces noms de domaine privés d'origine.
Utilisez la Gestion du transfert (Resolver) pour transférer les requêtes DNS concernant des noms de domaine spécifiques au sein d'un VPC vers votre DNS sur site. Cette approche préserve la logique de résolution d'origine pour les noms de domaine privés, garantissant ainsi une migration vers le cloud fluide.
Utilisez les Points de terminaison entrants pour acheminer les requêtes DNS depuis l'infrastructure sur site vers le VPC. Personnalisez l'adresse IP de destination pour éviter les conflits d'adresses avec votre réseau sur site. Cela vous permet de maintenir un seul système DNS pour les deux environnements, réduisant ainsi la charge opérationnelle.
Analyse du trafic
La résolution DNS privée était auparavant une boîte noire offrant une visibilité limitée. Le service amélioré propose une visualisation de bout en bout du trafic de résolution DNS. Il reconstitue le chemin complet, de la requête à l'accusé de réception, et génère des rapports sur la latence, le volume de requêtes, le taux de succès du cache, les domaines les plus sollicités et les sources les plus actives. Exploitez ces données pour ajuster votre architecture de service en fonction des tendances de résolution.