Crea una zona di inoltro

Questa pagina fornisce istruzioni su come creare una zona di inoltro. Per informazioni di approfondimento, consulta Zone di inoltro.

Prima di iniziare, assicurati di aver compreso quanto segue:

• Le differenze tra il routing standard e quello privato, come mostrato in Destinatari inoltro e metodi di routing
• I metodi di inoltro DNS in uscita
• I requisiti di rete per i target di inoltro
• Le best practice per le zone di inoltro di Cloud DNS

Per creare una nuova zona di inoltro privato gestita, completa i seguenti passaggi.

gcloud dns managed-zones create NAME \
    --description=DESCRIPTION \
    --dns-name=DNS_SUFFIX \
    --networks=VPC_NETWORK_LIST \
    --forwarding-targets=FORWARDING_TARGETS_LIST \
    --private-forwarding-targets=PRIVATE_FORWARDING_TARGETS_LIST \
    --visibility=private

resource "google_dns_managed_zone" "private_zone" {
  name        = "private-zone"
  dns_name    = "private.example.com."
  description = "Example private DNS zone"
  labels = {
    foo = "bar"
  }

  visibility = "private"

  private_visibility_config {
    networks {
      network_url = google_compute_network.network_1.id
    }
    networks {
      network_url = google_compute_network.network_2.id
    }
  }

  forwarding_config {
    target_name_servers {
      ipv4_address = "172.16.1.10"
    }
    target_name_servers {
      ipv4_address = "172.16.1.20"
    }
  }
}

resource "google_compute_network" "network_1" {
  name                    = "network-1"
  auto_create_subnetworks = false
}

resource "google_compute_network" "network_2" {
  name                    = "network-2"
  auto_create_subnetworks = false
}

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones
{

    "name": "NAME",
    "description": "DESCRIPTION",
    "dnsName": "DNS_NAME",
    "visibility": "private"
    "privateVisibilityConfig": {
        "kind": "dns#managedZonePrivateVisibilityConfig",
        "networks": [{
                "kind": "dns#managedZonePrivateVisibilityConfigNetwork",
                "networkUrl": VPC_NETWORK_1
            },
            {
                "kind": "dns#managedZonePrivateVisibilityConfigNetwork",
                "networkUrl": VPC_NETWORK_2
            },
            ....
        ]
    },
    "forwardingConfig": {
        "kind": "dns#managedZoneForwardingConfig",
        "targetNameServers": [{
                "kind": "dns#managedZoneForwardingConfigNameServerTarget",
                "ipv4Address": FORWARDING_TARGET_1
            },
            {
                "kind": "dns#managedZoneForwardingConfigNameServerTarget",
                "ipv4Address": FORWARDING_TARGET_2
            },
            ....
        ]
    },
}

Requisiti della rete di destinazione del forwarding

Quando Cloud DNS invia richieste ai target di inoltro, invia pacchetti con gli intervalli di origine elencati nella tabella seguente.

Target di tipo 1 e 2

Per accedere a un target di tipo 1 o di tipo 2, Cloud DNS richiede quanto segue. Questi requisiti sono gli stessi se la destinazione è un indirizzo IP RFC 1918 e utilizzi il routing standard o se scegli il routing privato:

• Configurazione del firewall per 35.199.192.0/19

  Per i target di tipo 1, crea una regola firewall che consenta il traffico in entrata per la porta TCP e UDP53, applicabile ai target di inoltro in ogni rete VPC autorizzata. Per i target di tipo 2, configura un firewall di rete on-premise e apparecchiature simili per consentire la porta TCP e UDP 53.

• Percorso fino alla destinazione di inoltro

  Per i target di tipo 1, Cloud DNS utilizza una route di subnet per accedere al target nella rete VPC autorizzata a utilizzare la zona di inoltro. Per i target dei nomi di tipo 2, Cloud DNS utilizza route statici o dinamici personalizzati, ad eccezione dei route statici con tag, per accedere al target di inoltro.

• Percorso di ritorno a 35.199.192.0/19 tramite la stessa rete VPC

  Per i target di tipo 1, Google Cloud utilizza un percorso di instradamento speciale per la destinazione 35.199.192.0/19. Per i target di tipo 2, la rete on-premise deve avere una route per la destinazione 35.199.192.0/19, il cui hop successivo si trova nella stessa rete VPC da cui ha avuto origine la richiesta, tramite un tunnel Cloud VPN o un collegamento VLAN per Cloud Interconnect. Per informazioni su come soddisfare questo requisito, consulta le strategie di percorso di ritorno per i target di tipo 2.

• Risposta diretta dal target

  Cloud DNS richiede che il destinazione di inoltro che riceve i pacchetti sia quella che invia le risposte a35.199.192.0/19. Se il target di inoltro invia la richiesta a un altro server dei nomi e questo altro server dei nomi risponde a 35.199.192.0/19, Cloud DNS ignora la risposta. Per motivi di sicurezza, Google Cloud si aspetta che l'indirizzo di origine della risposta DNS di ogni server dei nomi di destinazione corrisponda all'indirizzo IP del target di inoltro.

Strategie di percorso di ritorno per i target di tipo 2

Cloud DNS non può inviare risposte dai target di inoltro di tipo 2 tramite internet o una rete VPC diversa. Le risposte devono tornare alla stessa rete VPC, anche se possono utilizzare qualsiasi tunnel Cloud VPN o collegamento VLAN nella stessa rete.

• Per i tunnel Cloud VPN che utilizzano il routing statico, crea manualmente un route nella rete on-premise la cui destinazione è 35.199.192.0/19 e il cui hop successivo è il tunnel Cloud VPN. Per i tunnel Cloud VPN che utilizzano il routing basato su criteri, configura il selettore del traffico locale di Cloud VPN e il selettore del traffico remoto del gateway VPN on-premise in modo da includere 35.199.192.0/19.
• Per i tunnel VPN Cloud che utilizzano il routing dinamico o per Cloud Interconnect, configura un annuncio route personalizzato per 35.199.192.0/19 nella sessione BGP del router Cloud che gestisce il tunnel o il collegamento VLAN.

Target di tipo 3

Quando Cloud DNS utilizza il routing standard per accedere a un indirizzo IP esterno, si aspetta che la destinazione del reindirizzamento sia un sistema su internet, accessibile pubblicamente o un indirizzo IP esterno di una risorsa Google Cloud.

Ad esempio, un target di tipo 3 include l'indirizzo IP esterno di una VM in un'altra rete VPC.

Il routing privato ai target di tipo 3 non è supportato.

Passaggi successivi

• Per utilizzare le zone gestite, consulta Creare, modificare ed eliminare le zone.
• Per trovare soluzioni ai problemi comuni che potresti riscontrare durante l'utilizzo di Cloud DNS, consulta la sezione Risoluzione dei problemi.
• Per una panoramica di Cloud DNS, consulta la panoramica di Cloud DNS.