Crea una zona di inoltro

Questa pagina fornisce istruzioni su come creare una zona di inoltro. Per informazioni di base dettagliate, vedi Zone di inoltro.

Prima di iniziare, verifica di aver compreso quanto segue:

• Le differenze tra il routing standard e quello privato, come mostrato in Destinazioni di inoltro e metodi di routing
• I metodi di forwarding DNS in uscita
• I requisiti di rete per i target di forwarding
• Best practice per le zone di forwarding di Cloud DNS

Per creare una nuova zona di inoltro privato gestita, completa i seguenti passaggi.

gcloud dns managed-zones create NAME \
    --description=DESCRIPTION \
    --dns-name=DNS_SUFFIX \
    --networks=VPC_NETWORK_LIST \
    --forwarding-targets=FORWARDING_TARGETS_LIST \
    --private-forwarding-targets=PRIVATE_FORWARDING_TARGETS_LIST \
    --visibility=private

resource "google_dns_managed_zone" "private_zone" {
  name        = "private-zone"
  dns_name    = "private.example.com."
  description = "Example private DNS zone"
  labels = {
    foo = "bar"
  }

  visibility = "private"

  private_visibility_config {
    networks {
      network_url = google_compute_network.network_1.id
    }
    networks {
      network_url = google_compute_network.network_2.id
    }
  }

  forwarding_config {
    target_name_servers {
      ipv4_address = "172.16.1.10"
    }
    target_name_servers {
      ipv4_address = "172.16.1.20"
    }
  }
}

resource "google_compute_network" "network_1" {
  name                    = "network-1"
  auto_create_subnetworks = false
}

resource "google_compute_network" "network_2" {
  name                    = "network-2"
  auto_create_subnetworks = false
}

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones
{

    "name": "NAME",
    "description": "DESCRIPTION",
    "dnsName": "DNS_NAME",
    "visibility": "private"
    "privateVisibilityConfig": {
        "kind": "dns#managedZonePrivateVisibilityConfig",
        "networks": [{
                "kind": "dns#managedZonePrivateVisibilityConfigNetwork",
                "networkUrl": VPC_NETWORK_1
            },
            {
                "kind": "dns#managedZonePrivateVisibilityConfigNetwork",
                "networkUrl": VPC_NETWORK_2
            },
            ....
        ]
    },
    "forwardingConfig": {
        "kind": "dns#managedZoneForwardingConfig",
        "targetNameServers": [{
                "kind": "dns#managedZoneForwardingConfigNameServerTarget",
                "ipv4Address": FORWARDING_TARGET_1
            },
            {
                "kind": "dns#managedZoneForwardingConfigNameServerTarget",
                "ipv4Address": FORWARDING_TARGET_2
            },
            ....
        ]
    },
}

Requisiti di rete del target di forwarding

Quando Cloud DNS invia richieste alle destinazioni di forwarding, invia pacchetti con gli intervalli di origine elencati nella tabella seguente.

Target di tipo 1 e di tipo 2

Cloud DNS richiede quanto segue per accedere a una destinazione di tipo 1 o 2. Questi requisiti sono gli stessi indipendentemente dal fatto che la destinazione sia un indirizzo IP RFC 1918 e che tu stia utilizzando il routing standard o se scegli il routing privato:

• Configurazione del firewall per 35.199.192.0/19

  Per le destinazioni di tipo 1, crea una regola firewall di autorizzazione in entrata per il traffico TCP e UDP sulla porta 53, applicabile alle destinazioni di inoltro in ogni rete VPC autorizzata. Per le destinazioni di tipo 2, configura un firewall di rete on-premise e apparecchiature simili per consentire la porta TCP e UDP 53.

• Percorso verso il target di forwarding

  Per le destinazioni di tipo 1, Cloud DNS utilizza una route di subnet per accedere alla destinazione nella rete VPC autorizzata a utilizzare la zona di inoltro. Per i target di nomi di tipo 2, Cloud DNS utilizza route dinamiche personalizzate o statiche personalizzate, ad eccezione delle route statiche taggate, per accedere al target di forwarding.

• Percorso di ritorno a 35.199.192.0/19 tramite la stessa rete VPC

  Per i target di tipo 1, Google Cloud utilizza un percorso di routing speciale per la destinazione 35.199.192.0/19. Per le destinazioni di tipo 2, la tua rete on-premise deve avere una route per la destinazione 35.199.192.0/19, il cui hop successivo si trova nella stessa rete VPC da cui ha avuto origine la richiesta, tramite un tunnel Cloud VPN o un collegamento VLAN per Cloud Interconnect. Per informazioni su come soddisfare questo requisito, consulta Strategie di percorso di ritorno per target di tipo 2.

• Risposta diretta dal target

  Cloud DNS richiede che la destinazione di inoltro che riceve i pacchetti sia quella che invia le risposte a 35.199.192.0/19. Se il target di inoltro invia la richiesta a un server dei nomi diverso e questo altro server dei nomi risponde a 35.199.192.0/19, Cloud DNS ignora la risposta. Per motivi di sicurezza, Google Cloud si aspetta che l'indirizzo di origine della risposta DNS di ogni server dei nomi di destinazione corrisponda all'indirizzo IP della destinazione di forwarding.

Strategie di percorso di ritorno per i target di tipo 2

Cloud DNS non può inviare risposte dalle destinazioni di inoltro di tipo 2 su internet o tramite una rete VPC diversa. Le risposte devono tornare alla stessa rete VPC, anche se possono utilizzare qualsiasi tunnel Cloud VPN o collegamento VLAN nella stessa rete.

• Per i tunnel Cloud VPN che utilizzano il routing statico, crea manualmente una route nella tua rete on-premise la cui destinazione è 35.199.192.0/19 e il cui hop successivo è il tunnel Cloud VPN. Per i tunnel Cloud VPN che utilizzano il routing basato su criteri, configura il selettore di traffico locale di Cloud VPN e il selettore di traffico remoto del gateway VPN on-premise in modo da includere 35.199.192.0/19.
• Per i tunnel Cloud VPN che utilizzano il routing dinamico o per Cloud Interconnect, configura una pubblicità di route personalizzata per 35.199.192.0/19 nella sessione BGP del router Cloud che gestisce il tunnel o il collegamento VLAN.

Target di tipo 3

Quando Cloud DNS utilizza il routing standard per accedere a un indirizzo IP esterno, si aspetta che la destinazione di forwarding sia un sistema su internet, accessibile pubblicamente, o un indirizzo IP esterno di una risorsa Google Cloud .

Ad esempio, una destinazione di tipo 3 include l'indirizzo IP esterno di una VM in una rete VPC diversa.

Il routing privato alle destinazioni di tipo 3 non è supportato.

Target di tipo 4

Una destinazione di tipo 4 risolve innanzitutto gli indirizzi IP della destinazione. La destinazione di inoltro risolta può quindi essere risolta in un massimo di 50 indirizzi IP, inclusi indirizzi IPv4 e IPv6. A seconda della rete della destinazione di inoltro risolta, la destinazione di tipo 4 ha gli stessi requisiti di rete di una destinazione di tipo 1, 2 o 3.

Per ulteriori requisiti sull'utilizzo di un FQDN come destinazione di inoltro, vedi Utilizzare le zone di inoltro.

Passaggi successivi

• Per lavorare con le zone gestite, vedi Creare, modificare ed eliminare zone.
• Per trovare soluzioni ai problemi comuni che potresti riscontrare durante l'utilizzo di Cloud DNS, consulta la sezione Risoluzione dei problemi.
• Per una panoramica di Cloud DNS, consulta la sezione Panoramica di Cloud DNS.