O Alibaba Cloud DNS oferece resolução de DNS para cenários de intranet corporativa em Virtual Private Clouds (VPCs) da Alibaba Cloud.
Visão geral
A Resolução de Nomes de Domínio Privados (Zona Hospedada Privada) é uma evolução do Alibaba Cloud DNS PrivateZone. Ela fornece resolução de DNS para cenários de intranet corporativa em VPCs da Alibaba Cloud, com módulos para Private Zone, cache, encaminhamento e recursão. Em um ambiente de VPC, defina nomes de domínio autoritativos privados, acelere a resolução, encaminhe tráfego de DNS entre a nuvem e data centers locais (IDCs) e analise logs de resolução de clientes como instâncias ECS e containers.
Capacidades do produto
O Alibaba Cloud DNS implanta software proprietário de DNS em data centers ao redor do mundo para oferecer resolução privada de DNS em ambientes de VPC. O serviço inclui os seguintes módulos:
Private Zone
Baseado no serviço original Alibaba Cloud DNS PrivateZone, este módulo de DNS autoritativo privado permite criar nomes de domínio acessíveis apenas nas suas VPCs e resolvê-los para endereços IP. Use registros autoritativos privados para gerenciar recursos como hostnames de ECS, instâncias SLB e buckets OSS dentro de uma VPC. Conecte também VPCs a data centers locais por meio de linhas dedicadas ou VPNs para permitir que os recursos em ambos os ambientes se acessem mutuamente usando nomes de domínio privados.
O serviço Private Zone divide-se em regiões de aceleração e regiões padrão. Os nomes de domínio do serviço PrivateZone original residem nas regiões padrão. As regiões de aceleração armazenam registros DNS em memória de alta velocidade, mais próxima das origens das solicitações, proporcionando a menor latência de resolução. Isso as torna ideais para nomes de domínio que exigem baixa latência e alta estabilidade. Regiões de aceleração suportam DNS de zona dividida e resolução ponderada. Regiões padrão não oferecem suporte a esses recursos.
Cache
O módulo de cache acelera a resolução de nomes de domínio dentro de uma VPC ao armazenar resultados em memória de alta velocidade. O valor Time to Live (TTL) determina por quanto tempo os resultados permanecem em cache. Ative a retenção de cache para manter os resultados de resolução de nomes de domínio essenciais na memória. Se uma solicitação chegar após a expiração do TTL, o sistema retornará primeiro o resultado em cache enquanto atualiza o registro em segundo plano. A retenção de cache melhora a velocidade de resolução e evita interrupções de serviço causadas por falhas no serviço público de DNS autoritativo do domínio. Para mais informações, consulte Cache.
Encaminhamento
O módulo de encaminhamento (anteriormente Resolver no Alibaba Cloud DNS PrivateZone) permite criar regras de encaminhamento e endpoints de saída de DNS para rotear o tráfego de consulta de nomes de domínio específicos da sua VPC para um sistema DNS externo. Esse recurso viabiliza chamadas de serviço em nuvem híbrida e da nuvem para ambientes locais. Gerenciamento de encaminhamento.
Recursão
O módulo de recursão fornece resolução recursiva para nomes de domínio da Internet destinados a clientes como instâncias ECS dentro de uma VPC. Este serviço é gratuito por padrão para cenários de VPC da Alibaba Cloud, mas não inclui Acordo de Nível de Serviço (SLA). Caso você altere os endereços padrão do servidor DNS (100.100.2.136/100.100.2.138) em uma instância ECS para outro provedor, essa instância perderá o acesso à resolução privada do Alibaba Cloud DNS.
Endpoints de entrada
Um endpoint de entrada corresponde ao endereço do nameserver do serviço de resolução privada de DNS. Configure-o como o endereço DNS para clientes na nuvem (instâncias ECS, containers) ou como IP de destino para clientes externos (hosts locais, servidores DNS externos). Os endpoints de entrada podem ser atribuídos pelo sistema ou personalizados. Os endereços padrão são 100.100.2.136 e 100.100.2.138, que atendem todas as VPCs em todas as regiões via anycast sem custo adicional.
Para utilizar seus próprios endereços IP privados na resolução de DNS dentro de uma VPC, crie um endpoint de entrada personalizado. Endpoints personalizados são faturados no modelo pagamento conforme o uso. Endpoints de entrada.
Análise de tráfego
O módulo de análise de tráfego oferece visualização ponta a ponta do tráfego de resolução de DNS. Ele reconstrói o caminho completo desde a consulta até o reconhecimento e gera relatórios sobre latência de resolução, volume de solicitações, taxa de acerto de cache, nomes de domínio com maior acesso e origens de solicitação mais frequentes. Use esses dados para otimizar suas configurações de resolução.
As regras de resolução privada de DNS aplicam-se apenas a clientes dentro de uma VPC que utilizam 100.100.2.136/100.100.2.138 ou um endereço de endpoint de entrada personalizado como servidor DNS. Se você alterar as configurações de DNS de uma instância ECS para outro endereço, as regras de resolução privada do Alibaba Cloud DNS não serão aplicadas a essa instância.
Prioridade das regras de resolução
Em um cenário de VPC corporativa, quando um servidor DNS recebe uma consulta, ele resolve o nome de domínio seguindo estas regras de prioridade:
Benefícios
Recursos abrangentes
DNS de zona dividida: Retorna endereços IP específicos com base no intervalo de IP de origem da consulta. Suporta linhas de DNS da Alibaba Cloud e linhas personalizadas.
Resolução ponderada: Atribui pesos a múltiplos valores de registro para o mesmo hostname e origem de solicitação. As respostas de DNS distribuem o tráfego conforme proporções de peso predefinidas para balancear a carga.
Retenção de cache: Mantém registros DNS de nomes de domínio essenciais permanentemente em cache. Isso aumenta a velocidade de resolução e previne interrupções de serviço decorrentes de falhas no provedor de DNS autoritativo.
Limpeza de cache: Remove dados em cache de nomes de domínio específicos dos servidores de cache durante alterações emergenciais de serviço quando a retenção de cache está ativada.
Gerenciamento de encaminhamento: Encaminha o tráfego de consulta DNS para nomes de domínio específicos em uma VPC para um sistema DNS externo. Viabiliza chamadas de serviço em nuvem híbrida e da nuvem para ambientes locais.
Análise de tráfego: Oferece visualização ponta a ponta do tráfego de resolução de DNS com relatórios gráficos. Ajuste sua arquitetura de serviços com base nas tendências de tráfego de resolução.
Isolamento de segurança
A resolução privada de DNS garante isolamento total de dados entre VPCs:
Zonas não podem ser consultadas pela Internet, impedindo sondagens externas da arquitetura interna.
Consultas fora do escopo efetivo das zonas são bloqueadas, restringindo o acesso a dados críticos ao intervalo mínimo necessário.
Os dados da zona passam por processamento seguro com tunelamento de rede para evitar comprometimentos.
Controle flexível
Adicione ou personalize zonas privadas sem limitações:
Adicione qualquer zona (como taobao.com) para substituir resultados públicos de DNS dentro do escopo configurado. O domínio taobao.com no seu DNS privado sobrescreve os resultados de resolução da Internet.
Crie nomes de domínio personalizados em uma VPC que não podem ser registrados na Internet pública, como example.test e example.abcd.
Defina escopos efetivos diferentes para zonas com o mesmo nome. Isso permite que VPCs em regiões distintas acessem recursos diferentes usando o mesmo nome de domínio para acesso mais próximo. Por exemplo, consultas para test.example.com vindas de VPCs na China (Huabei 2) e China (Hangdong 2) retornam os endereços de recursos locais de cada região.
Arquitetura do sistema
A resolução privada de nomes de domínio possui duas camadas: controle e resolução.
Camada de controle: Fornece serviços por meio do console e OpenAPI. Gerencia operações CRUD e armazenamento de registros DNS, dados de configuração e logs. Localizada na China (Zhangjiakou) e China (Hangzhou).
Camada de resolução: Executa em clusters de servidores implantados em regiões ao redor do mundo. Recebe registros DNS distribuídos pela camada de controle e responde às consultas. Abrange todas as regiões e zonas onde os serviços da Alibaba Cloud estão disponíveis publicamente.
Cenários
Gerenciamento de hostnames
Padronize a nomenclatura de hostnames ECS e use o recurso de registro de hostname para sincronizar automaticamente os registros de resolução. Isso possibilita o acesso às instâncias ECS pelo hostname.
Por exemplo, uma empresa (example.com) possui 50 instâncias ECS em uma VPC na Zona E da China (Huabei 2): 20 para o site, 20 para o aplicativo móvel e 10 para testes. Planeje os hostnames da seguinte forma:
Site: web01.huabei2-e.example.com a web20.huabei2-e.example.com
Aplicativo: m01.huabei2-e.example.com a m20.huabei2-e.example.com
Teste: test01.huabei2-e.example.com a test10.huabei2-e.example.com
Após essa configuração, defina um nome de domínio privado usando o serviço Private Zone e ative a sincronização automática de registros de hostname ECS. Isso permite acessar instâncias ECS pelo hostname em uma rede VPC específica, aumentando a praticidade no gerenciamento diário de hosts.
DNS de zona dividida
O serviço PrivateZone original não oferecia suporte a DNS de zona dividida, linhas personalizadas ou linhas da Alibaba Cloud. O serviço atualizado suporta DNS de zona dividida, que identifica a origem do visitante e retorna endereços IP diferentes conforme apropriado. Apenas nomes de domínio privados em uma região de aceleração do Private Zone suportam DNS de zona dividida, incluindo linhas da Alibaba Cloud e linhas de DNS personalizadas.
Resolução ponderada
Se uma zona possuir múltiplos registros A, AAAA ou CNAME com o mesmo hostname e linha de DNS, defina pesos para cada valor de registro a fim de distribuir o tráfego durante migrações de serviço. Apenas nomes de domínio privados em uma região de aceleração do Private Zone suportam resolução ponderada.
Instanciação de serviços em nuvem
Serviços em nuvem frequentemente precisam se comunicar entre si. Use a resolução privada para atribuir um nome de domínio a cada serviço em nuvem dentro de uma VPC e resolvê-lo para um endereço IP interno específico. Isso reduz significativamente as alterações no desenvolvimento quando os endereços IP dos serviços mudam.
Por exemplo, o sistema interno de API de uma empresa (example.com) usa um endereço IP privado porque lida com dados sensíveis.
Atribua account.inner.example.com a esta API e resolva-o para 10.23.45.67. Se o endereço mudar para 10.45.67.89, atualize apenas o registro DNS.
Aceleração e recuperação de desastres na resolução de nomes de domínio
O acesso a nomes de domínio entre empresas é comum, criando dependências de serviço. Se o serviço DNS de um domínio dependente apresentar alta latência ou indisponibilidade, seus serviços serão afetados.
Use o recurso de Cache para melhorar a velocidade de resolução e proteger contra indisponibilidades do provedor de DNS. Com a retenção de cache ativada, os registros em cache nunca são limpos automaticamente, alcançando uma taxa de acerto de cache de 100%. Após a expiração do TTL, uma consulta aciona uma atualização em segundo plano. Se o DNS autoritativo público estiver indisponível, o sistema continua servindo o resultado em cache, fornecendo recuperação de desastres.
Troca de dados para resolução entre ambientes na nuvem e locais
Durante a adoção gradual da nuvem, migrar a resolução de DNS entre VPCs na nuvem e data centers locais costuma ser desafiador. Antes da adoção da nuvem, as empresas geralmente possuem seu próprio serviço DNS com nomes de domínio privados para acesso interno. Após a migração, os serviços em nuvem ainda precisam resolver esses nomes de domínio privados originais.
Use o Gerenciamento de encaminhamento (Resolver) para encaminhar consultas DNS de nomes de domínio específicos dentro de uma VPC para o seu DNS local. Isso preserva a lógica original de resolução para nomes de domínio privados, garantindo uma migração tranquila para a nuvem.
Use Endpoints de entrada para encaminhar consultas DNS do ambiente local para a VPC. Personalize o IP de destino para evitar conflitos de endereços com sua rede local. Isso permite manter um único sistema DNS para ambos os ambientes, reduzindo a carga operacional e de manutenção.
Análise de tráfego
Anteriormente, a resolução privada de DNS funcionava como uma caixa preta com visibilidade limitada. O serviço atualizado oferece visualização ponta a ponta do tráfego de resolução de DNS. Ele reconstrói o caminho completo desde a consulta até o reconhecimento e gera relatórios sobre latência, volume de solicitações, taxa de acerto de cache, domínios com maior acesso e origens mais frequentes. Use esses dados para ajustar sua arquitetura de serviços com base nas tendências de resolução.