Orden de resolución de nombres

Cloud DNS usa el siguiente procedimiento para responder consultas de instancias de máquina virtual (VM) de Compute Engine y nodos de Google Kubernetes Engine (GKE).

En el caso de las VMs de Compute Engine que no son nodos de GKE, Cloud DNS sigue el orden de resolución de la red de VPC para procesar las consultas que recibe. Cada VM debe estar configurada para usar la dirección IP del servidor de metadatos (169.254.169.254) como su servidor de nombres.

Para nodos de GKE:

  1. Cloud DNS primero intenta hacer coincidir una consulta con políticas de respuesta y zonas privadas centradas en el clúster.

  2. Cloud DNS continúa siguiendo el orden de resolución de la red de VPC.

Políticas de respuesta y zonas privadas centradas en el clúster

  1. Hacer coincidir con reglas en las políticas de respuesta centradas en el clúster de GKE Cloud DNS analiza todas las políticas de respuesta aplicables centradas en el clúster de GKE en busca de una regla en la que el atributo de nombre de DNS coincida con la mayor parte posible de la consulta. Cloud DNS usa la coincidencia de sufijo más largo para analizar las políticas de respuesta centradas en el clúster.

    1. Si Cloud DNS encuentra una regla de política de respuesta que coincida y la regla entrega datos locales, Cloud DNS muestra los datos locales como su respuesta y completa el proceso de resolución de nombres.

    2. Si Cloud DNS encuentra una regla de política de respuesta que coincide y el comportamiento de la regla anula la política de respuesta, Cloud DNS continúa con el siguiente paso.

    3. Si Cloud DNS no encuentra una política de respuesta coincidente o si no hay una política de respuesta aplicable centrada en el clúster para el nodo, Cloud DNS continúa con el siguiente paso.

  2. Hace coincidir los registros en zonas privadas centradas en el clúster. Cloud DNS analiza todas las zonas privadas administradas centradas en el clúster en busca de un registro que coincida lo más posible con la consulta. Cloud DNS usa la coincidencia de sufijo más largo para encontrar registros en zonas privadas centradas en el clúster.

    1. Si la coincidencia más específica de la consulta es el nombre de zona de una zona privada centrada en el clúster, Cloud DNS usa los datos de registro de esa zona para resolver la solicitud.

      • Si la zona contiene un registro que coincide exactamente con la consulta, Cloud DNS muestra los datos de ese registro.
      • Si la zona no contiene un registro coincidente, Cloud DNS muestra NXDOMAIN.

    2. Si la coincidencia más específica para la consulta es el nombre de zona de una zona de reenvío centrada en el clúster, Cloud DNS reenvía la consulta a uno de los destinos de reenvío de la zona de reenvío para completar el proceso de resolución de nombres. Cloud DNS muestra una de las siguientes respuestas.

      • La respuesta recibida del destino de reenvío.
      • Una respuesta SERVFAIL, si el destino de reenvío no responde a Cloud DNS

    3. Si la consulta no coincide con ninguna zona privada centrada en el clúster, Cloud DNS continúa con el orden de resolución de la red de VPC.

Orden de resolución de la red de VPC

  1. Hacer coincidir con el servidor de nombres alternativo de la red de VPC Si la red de VPC tiene una política del servidor saliente, Google Cloud reenvía la consulta a uno de los servidores de nombres alternativos definidos en esa política para completar el proceso de resolución de nombres.

    Si existen dos o más servidores de nombres alternativos en la política del servidor saliente, Cloud DNS clasifica los servidores de nombres alternativos con un algoritmo interno. A partir de clasificaciones iguales, los servidores de nombres alternativos aumentan en clasificación en función de tasas más altas de respuestas correctas (incluidas las respuestas NXDOMAIN) y en función del tiempo de ida y vuelta más corto (la latencia de respuesta más baja).

    Cloud DNS envía consultas a servidores de nombres alternativos y muestra respuestas con el siguiente proceso.

    • Si existen dos o más servidores de nombres alternativos en la política de servidor saliente, Cloud DNS primero envía la consulta al servidor de nombres alternativo con la clasificación más alta y, luego, al servidor de nombres alternativo con la clasificación siguiente si no recibe ninguna respuesta del servidor de nombres alternativo con la clasificación más alta. Si Cloud DNS no recibe ninguna respuesta del servidor de nombres alternativo con la siguiente clasificación, Cloud DNS continúa consultando los servidores de nombres alternativos por clasificación descendente hasta que agota la lista de servidores de nombres alternativos.

    • Si Cloud DNS recibe una respuesta de un servidor de nombres alternativo, muestra esa respuesta. Las respuestas incluyen respuestas NXDOMAIN.

    • Si Cloud DNS no recibe una respuesta de todos los servidores de nombres alternativos en la política de servidor saliente, sintetiza una respuesta SERVFAIL. Para solucionar problemas de conectividad del servidor de nombres alternativo, consulta Requisitos de red del servidor de nombres alternativo.

    Si la red de VPC no tiene una política del servidor saliente, Cloud DNS continúa con el siguiente paso.

  2. Hacer coincidir con reglas en las políticas de respuesta centradas en la red de VPC Cloud DNS analiza todas las políticas de respuesta de red de VPC aplicables en busca de una regla en la que el atributo de nombre de DNS coincida con la mayor parte posible de la consulta. Cloud DNS usa la coincidencia de sufijo más largo para analizar las políticas de respuesta centradas en la red de VPC.

    1. Si Cloud DNS encuentra una regla de política de respuesta que coincida y la regla entrega datos locales, Cloud DNS muestra los datos locales como su respuesta y completa el proceso de resolución de nombres.

    2. Si Cloud DNS encuentra una regla de política de respuesta que coincide y el comportamiento de la regla anula la política de respuesta, Cloud DNS continúa con el siguiente paso.

    3. Si Cloud DNS no encuentra una política de respuesta coincidente o si no hay una política de respuesta aplicable centrada en la red de VPC para la VM o el nodo, Cloud DNS continúa con el siguiente paso.

  3. Hace coincidir los registros en las zonas privadas administradas centradas en la red de VPC. Cloud DNS analiza todas las zonas privadas administradas autorizadas para la red de VPC en busca de un registro que coincida con la mayor parte posible de la consulta. Cloud DNS usa la coincidencia de sufijo más largo para encontrar registros.

    1. Si la coincidencia más específica de la consulta es el nombre de zona de una zona privada centrada en la red de VPC, Cloud DNS usa los datos de registro de esa zona para resolver la solicitud.

      • Si la zona contiene un registro que coincide exactamente con la consulta, Cloud DNS muestra los datos del registro.
      • Si la zona no contiene un registro coincidente, Cloud DNS muestra NXDOMAIN.

    2. Si la coincidencia más específica de la consulta es el nombre de zona de una zona de reenvío centrada en la red de VPC, Cloud DNS reenvía la consulta a uno de los destinos de reenvío de la zona de reenvío para completar el proceso de resolución de nombres. Cloud DNS muestra una de las siguientes respuestas.

      • La respuesta recibida del destino de reenvío.
      • Una respuesta SERVFAIL, si el destino de reenvío no responde a Cloud DNS

    3. Si la coincidencia más específica de la consulta es el nombre de una zona de intercambio de tráfico centrada en la red de VPC, Cloud DNS detiene el proceso de resolución de nombres actual y comienza un nuevo proceso de resolución de nombres desde la perspectiva de la red de VPC de destino de la zona de intercambio de tráfico.

    Si la consulta no coincide con una zona privada, una zona de reenvío o una zona de intercambio, Cloud DNS continúa con el siguiente paso.

  4. Registros de coincidencia en las zonas internas de Compute Engine Cloud DNS analiza todas las zonas de DNS internas de Compute Engine aplicables en busca de un registro que coincida con la mayor parte posible de la consulta. Cloud DNS usa la coincidencia de sufijo más largo para encontrar registros.

    1. Si la coincidencia más específica de la consulta es un nombre de DNS interno de Compute Engine, Cloud DNS muestra la dirección IP interna de la interfaz de red de la VM o su puntero de búsqueda inversa como respuesta, lo que completa el proceso de resolución de nombres.

  5. Hacer coincidir el registro con una consulta de DNS pública Google Cloud sigue el registro de inicio de autoridad (SOA) para consultar las zonas disponibles públicamente, incluidas las zonas públicas de Cloud DNS. Cloud DNS muestra una de las siguientes respuestas.

    • La respuesta recibida de un servidor de nombres autorizado.
    • Una respuesta NXDOMAIN, si el registro no existe.

Ejemplo

Supongamos que tienes dos redes de VPC, vpc-a y vpc-b, y un clúster de GKE, cluster-a, junto con los siguientes recursos con permiso:

  1. vpc-a está autorizado para consultar las siguientes zonas privadas. Ten en cuenta el punto final en cada entrada:

    • static.example.com.
    • 10.internal.

  2. peer.com. es una zona de intercambio de tráfico que puede consultar el orden de resolución de nombres de VPC de vpc-b.

  3. vpc-a no está asociado con ningún servidor saliente ni política de respuesta.

  4. cluster-a está autorizado para consultar una zona privada llamada example.com. cluster-a tampoco está asociado con ningún servidor saliente ni política de respuesta.

  5. Una VM en cluster-a puede consultar lo siguiente:

    • example.com y sus elementos secundarios (incluido static.example.com), que reciben respuesta de la zona privada llamada example.com, están autorizados para cluster-a
    • 10.internal en vpc-a.
    • peer.com mediante la zona de intercambio de tráfico.

  6. Una VM que no está en cluster-a puede consultar lo siguiente:

    • static.example.com y los elementos secundarios, que reciben respuesta de la zona privada llamada static.example.com, están autorizados para vpc-a Las consultas para example.com muestran respuestas de Internet.
    • 10.internal en vpc-a.
    • peer.com mediante la zona de intercambio de tráfico.

¿Qué sigue?