阿里云云解析DNS

云解析DNS（Alibaba Cloud DNS）是一种安全、快速、稳定、可扩展的权威DNS服务，云解析DNS为企业和开发者将易于管理识别的域名转换为计算机用于互连通信的数字IP地址，从而将用户的访问路由到相应的网站或应用服务器。

阿里云云解析DNS

• 产品概述
  • 内网DNS解析（Private DNS）服务是原“云解析PrivateZone”产品的全新升级，是阿里云解析DNS产品面向企业内网场景（主要为阿里云VPC内网场景）提供的完整DNS解析服务，涵盖内置权威、缓存、转发、递归等功能模块，为云上客户在VPC内网环境下的各种客户端（如ECS主机、容器）提供域名解析、内网域名解析加速、内网私有权威域名定义、云上与云下IDC解析流量转发、内网解析流量日志分析等服务。
  • 内网DNS解析服务整体介绍
    • 内置权威（原“云解析 PrivateZone”服务）
      • 内置于企业内网（阿里云专有网络VPC）环境中的私有DNS权威模块。该服务允许创建只在您企业内网VPC中生效的私有权威域名，并可解析映射到IP地址。您可以方便地使用私有权威域名记录来管理VPC中的ECS主机名、SLB、OSS等阿里云资源，而这些私有权威域名在VPC之外将无法访问。此外，您还可以通过专线或VPN等连接方式，将您的VPC与传统数据中心相连，实现传统数据中心与阿里云VPC之间通过私有权威域名进行资源互相访问。
      • 内置权威服务位置区分为：加速区、普通区 。原云解析 PrivateZone服务创建的私有权威域名都存放在普通区；加速区权威服务离解析请求源更近，加速区权威域名解析记录数据存放在DNS服务器高速内存，所以对加速区的私有权威域名解析消耗的时延最短，特别适合将注重解析时延和稳定性的域名创建为内网加速区权威域名，保障此类域名的解析体验。加速区支持加速区支持分线路智能解析和权重解析功能，普通区不支持这两个功能。
    • 缓存
      • 内网DNS解析服务的缓存模块，主要用于加速域名在企业内网VPC的解析速度。通常VPC内网中的所有域名解析请求，都会将解析结果存储到DNS服务器高速缓存内存中，以便下次对相同域名进行解析时能快速获得解析结果。缓存中存放的解析应答结果持续时间受TTL时间影响，TTL到期后缓存效果会自动失效。
      • 您可以通过开启“缓存保持”功能，强制要求缓存服务将某些重点域名的解析结果持续保存在DNS服务器内存中不释放（TTL到期后如果有解析请求会先应答解析请求，再更新解析结果）， 缓存保持功能可以提升您重点域名在内网VPC环境中的解析速度，并可以避免域名在公网解析不可解析带来的异常影响（如：域名公网权威DNS服务故障）。
    • 转发（原云解析 PrivateZone的“解析器”服务）
      • 内网DNS解析服务的转发模块（对应原云解析 PrivateZone产品中的“解析器”服务），通过创建域名转发规则和DNS出站终端节点，可将企业内网VPC中的特定域名解析请求流量转发到外部DNS系统，能够有效解决混合云、云上&云下的业务间调用场景。
    • 递归
      • 内网DNS解析服务的递归模块，主要为企业内网VPC环境中的各类终端（如ECS主机）提供出公网的域名递归解析服务。该服务为阿里云VPC内网解析场景默认提供的免费服务，但不承诺服务SLA。您也可以通过修改ECS上的默认DNS服务器IP地址（100.100.2.136/100.100.2.138），实现使用其他厂商的DNS服务器做解析（此时该ECS将整体无法使用阿里云解析DNS提供的内网解析服务）。
    • 流量分析
      • 内网DNS解析服务提供端到端、全链路、可视化的域名解析流量分析服务，完整还原从收到域名解析请求、域名解析过程、最终返回DNS解析应答的全链路过程。提供解析时延、解析请求量、解析命中缓存率、热点域名、热点请求来源等各个维度的数据分析，为您优化解析设置提供数据参考。
  • 解析规则优先级说明
• 系统架构
  • 系统组成
    • 内网DNS解析（PrivateZone）是由管控层和解析层两部分组成：
    • 管控层：管控层通过控制台和OpenAPI对外提供服务，主要实现了域名解析数据、配置数据、日志数据等的增删改查功能和存储功能。管控层位于【中国内地-华北3（张家口）】。
    • 解析层：解析层通过部署在全球Region范围内的解析服务器集群对外提供服务，解析层接收来自于管控层分发的域名解析记录数据，主要实现了对域名解析记录数据的查询请求进行应答的功能。解析层在阿里云公开售卖的所有地域和可用区均有覆盖。
  • 高可用性
    • 管控层：管控层部署于中国内地-华北3（张家口），多可用区部署管控服务器集群，集群内管控服务器负载均摊。Region内可用区之间的管控服务器集群为多活模式，任一可用区管控服务器集群可承担Region下其他可用区所有解析配置下发流量。
    • 解析层：解析层在全球Region内均有部署，每个可用区均部署解析服务器集群，集群内解析服务器负载均摊。Region内可用区的DNS解析请求就近访问，当某可用区解析服务器集群全部不可用时，可就近访问其他可用区解析服务器集群。任一可用区解析服务器集群可承担Region下其他可用区所有解析请求流量。Region之间内网DNS解析服务不可相互容灾。
• 产品特点
  • 原理
    • 内网DNS解析利用阿里云VPC（Virtual Private Cloud）的隧道隔离特性（具体请查看什么是专有网络），对您的内网域名执行隧道隔离。不同VPC下关联的域名因其隧道ID不同，无法跨VPC访问。
    • 同时，阿里云的DNS采取了严格的验证机制，确保您的私有域名在阿里云网络内的唯一性，只有您自己才可以对其进行管理。
  • 逻辑架构
    • 一个内置权威Zone（例如example.com），域名生效范围可以设置一个VPC，也可以设置多个VPC。设置域名生效范围后，设置的域名解析记录在相应的VPC内便可以被访问。
  • 功能概述
    • 域名（Zone）
      • 域名（Zone）
        • ：域名（Zone）文件中包含您需要管理的域名或子域名的资源记录。域名（Zone）文件也是大多数DNS软件用来管理域名空间的工具。
        • 内网DNS解析支持添加子域名（Sub Zone），域名 (Zone) 和子域名 (Sub Zone) 可以共存，但是子域名（Sub Zone）中的资源记录将会覆盖域名（Zone）中的资源记录。
      • 主机记录
        • ：子域名的前缀称为主机记录，例如例如www。没有前缀的主域名使用@作为主机记录。
      • 记录类型
        • ：内网DNS解析支持的记录类型如下表所示。
          • 记录类型 描述 A 用来指定域名的 IPv4 地址（例如 223.5.XX.XX），若需要将域名指向一个 IPv4 地址，则需要添加 A 记录。 AAAA 用来指定域名的 IPv6 地址（例如 BF02::0:0:0:0:XX:XX），若需要将域名指向一个 IPv6 地址，则需要添加 AAAA 记录。 CNAME 别名记录，指向另外一个域名。 MX 邮件服务器记录，标识该域名的邮件服务器。 TXT 双引号标记的一些字符串，不超过512字符。例如申请SSL证书则需要添加TXT记录。 PTR 将IP地址反向映射到域名。
      • TTL
        • ：域名解析结果在缓存模块中的缓存时间。例如TTL设置为60秒，即表示外部DNS系统主动查询这个域名的时候，如果这个解析结果在首次查询之后被外部DNS系统缓存了，那么在60秒的时间内，这个外部DNS系统都将用这个缓存记录进行应答。内网DNS解析中内置权威分为普通区和加速区，其TTL值的影响如下表所示。
        • 当TTL值通过内置权威加速区 设置时：
          • 解析请求来源 解析结果缓存位置 描述 云上终端访问100.100.2.136/100.100.2.138发起的DNS查询 无 加速区解析结果直接返回给云上终端 外部DNS系统（入向）转发进来的DNS查询 外部DNS系统（入向）缓存模块 加速区解析结果首先返回给外部DNS系统（入向）缓存模块，由缓存模块再返回给发起DNS查询请求的终端
        • 当TTL值通过普通区 设置时：
          • 解析请求来源 解析结果缓存位置 描述 云上终端访问100.100.2.136/100.100.2.138发起的DNS查询 100.100.2.136/100.100.2.138的缓存模块 普通区解析结果先返回给100.100.2.136/100.100.2.138的缓存模块，然后由缓存模块返回给云上终端 外部DNS系统（入向）转发进来的DNS查询 外部DNS系统（入向）的缓存模块、100.100.2.136/100.100.2.138的缓存模块 普通区解析结果首先返回给100.100.2.136/100.100.2.138的缓存模块，再由100.100.2.136/100.100.2.138缓存模块返回给外部DNS系统（入向）缓存模块，由外部DNS系统（入向）缓存模块再返回给发起DNS查询请求的终端
        • 当TTL值通过外部DNS系统（如云下IDC自建DNS、公网权威DNS） 设置时：
          • 解析请求来源 解析结果缓存位置 描述 云上终端访问100.100.2.136/100.100.2.138发起的DNS查询 100.100.2.136/100.100.2.138的缓存模块 外部系统DNS（出向）解析结果先返回给100.100.2.136/100.100.2.138的缓存模块，然后由缓存模块返回给云上终端 外部DNS系统（入向）转发进来的DNS查询 外部DNS系统（入向）的缓存模块、100.100.2.136/100.100.2.138的缓存模块 外部系统DNS（出向）解析结果首先返回给100.100.2.136/100.100.2.138的缓存模块，再由100.100.2.136/100.100.2.138缓存模块返回给外部DNS系统（入向）缓存模块，由外部DNS系统（入向）缓存模块再返回给发起DNS查询请求的终端
    • 域名生效范围
      • 设置域名生效范围
        • ：您可以将域名（Zone）关联到需要访问的一个或多个VPC，相同名称的域名（Zone）不能关联同一个VPC。例如，当同时存在两个example.com时，无法将两个example.com都和相同的VPC关联，否则在执行DNS查询时，DNS服务器无法判断需要响应的解析结果。当您确定某些VPC不需要访问某个域名（Zone）时，可以将这些VPC从域名生效范围中移除。
    • 反向解析
      • 反向解析
        • ：域名反向解析指从IP地址到域名的映射，即通过查询IP地址的PTR记录来得到该IP地址指向的域名。
      • 反解域名（Zone）
        • ：在Internet域名空间中特地划出的一部分名字空间用作反向映射，这部分名字空间被称为in-addr.arpa 域。例如，168.192.in-addr.arpa这个域名（Zone）包含的就是所有IP地址以192.168开头的主机的反向映射信息。
      • PTR记录
        • ：IP地址到域名的映射，该类型映射使用的DNS资源记录是PTR（pointer指针）记录。
  • 产品优势
    • 丰富的产品功能
      • 智能解析：
        • 支持内网域名解析针对来源于某个特殊IP段的DNS查询请求返回特定的IP地址，目前支持阿里云解析线路及自定义解析线路。
      • 权重解析：
        • 相同主机记录、相同的解析请求来源配置多个IP地址或域名地址时，支持对每个记录值设置权重，在应答DNS查询时，所有IP地址/域名地址按照预先设置的权重比例返回，将解析流量分配到不同的服务器上，从而达到负载均衡的目的。
      • 缓存保持：
        • 支持用户对热点域名、重点域名设置缓存保持，设置缓存保持的域名解析记录会一直保存在缓存中，提高域名在内网DNS解析速度，规避域名的权威DNS厂商服务故障引起的解析服务中断影响。
      • 缓存清除：
        • 有些内网业务在紧急变更情况下，需要及时刷新内网DNS域名的最新解析记录。如果域名已经设置为缓存保持域名，可以通过缓存清除功能清除用户缓存保持域名在缓存规则生效范围对应缓存服务器上的数据。
      • 转发管理：
        • 支持将企业内网VPC中的特定域名解析请求流量转发到外部DNS系统，能够有效解决混合云、云上&云下的业务间调用场景。
      • 流量分析：
        • 提供端到端、全链路、可视化的流量分析服务，完整还原从收到域名解析请求、域名解析过程、最终返回DNS解析应答的全链路过程。并且提供图形化报表方便用户查阅，您可以根据解析流量数据变化及时调整您的业务架构。
    • 安全隔离
      • 域名（Zone）不会在Internet上被查询到，避免您的内部业务信息、内部系统架构被外界恶意探测。
      • 域名（Zone）不会在域名生效范围外被查询到，界定了您的内部系统访问边界，将核心数据访问限制在最小范围。
      • 域名（Zone）数据结合网络隧道特性，经过严密的安全处理，使您的域名（Zone）信息无法被恶意破解。
    • 灵活控制
      • 您可以在内网DNS内添加任何域名（Zone），例如：taobao.com，设置域名生效范围后，taobao.com将覆盖公网上的DNS解析结果。
      • 您可以在VPC内定制无法实际注册的域名。例如：example.test，example.abcd等。
      • 您可以将相同名称的域名（Zone）设置不同的域名生效范围，使不同Region的VPC通过相同的域名，访问不同的云资源，实现就近访问。例如：在华北2和华东2的VPC内查询test.example.com时，DNS会分别返回华北2和华东2的云资源地址。
• 应用场景
  • 主机名管理
    • 通过规范ECS主机名命名方式，使机器用途更容易理解看懂。借助内网解析服务“主机名记录”功能自动同步配置ECS主机名解析记录，实现通过主机名访问ECS。
    • 通过内网解析服务定义某个内网权威域名，并开启ECS主机名记录自动同步功能，实现在特定VPC网络通过主机名访问ECS的用途 ，提升了日常主机管理的便捷性。
  • 分线路解析
    • 老版本PrivateZone服务不支持分线路智能解析（不支持自定义线路、阿里云线路）。而升级后的内网DNS解析 (PrivateZone) 支持分线路智能解析，会判断访问者的来源，为不同的访问者智能返回不同的IP地址，可使访问者在访问网站时可获取用户指定的IP地址，提升网站访问速度。只有内置权威加速区域名支持智能解析，包括阿里云线路和自定义解析线路。
  • 权重解析
    • 当域名（Zone）下存在相同主机记录、相同解析线路的多条A记录、AAAA记录、CNAME记录时，例如做业务迁移时，需要将业务从IP1迁移至IP2，此过程要求流量逐步切换，就需要对IP1和IP2承接的业务流量动态切换，您可以通过设置解析记录的权重值，在应答DNS查询时，所有地址按照预先设置的权重返回不同的解析结果，将解析流量分配到不同的服务器上，
    • 从而达到负载均衡的目的 只有内置权威加速区域名支持权重解析功能
  • 云上服务实例化
    • 对于部署在云上的服务，往往涉及服务之间的互访。
    • 通过使用内网解析服务，为每个云上服务生成VPC内网权威域名并解析到具体的服务内网IP地址，将云上服务实例化，大大降低服务IP地址变更对研发的改动。
    • 例如在API管理场景，假设某公司（example.com）业务系统需要通过内部API接口获取账号鉴权信息。但是该API系统涉及隐私不能暴露在公网，因此API使用保留IP地址。
    • 那么可以为该API分配域名 account.inner.example.com，并将其解析指向 10.23.45.67。在API服务地址变更为10.45.67.89时，只要把account.inner.example.com的解析变更为新IP地址即可。
  • 域名解析加速及容灾保护
    • 随着互联网发展，企业间域名互访现象突出，间接造成了服务依赖，一旦被依赖的域名在公网解析不稳定（如域名所用DNS服务没有全球节点导致的解析时延高、域名所用DNS服务宕机等），将导致依赖方的服务也受影响。
    • 通过使用内网解析服务“缓存保持”功能，可以在VPC内网环境极大提升对域名的解析速度，并确保域名解析不受域名所用DNS服务商稳定性影响。
    • 开启缓存保持后，域名的解析缓存不会被清除，从而实现内网VPC中域名解析能100%命中缓存数据，极大提升域名在内网VPC中的解析速度。在缓存TTL到期后，域名解析请求将会触发系统对域名解析结果的更新，如果此时域名所用的公网权威DNS服务异常，系统依然会使用老的缓存的解析结果继续应答，确保解析应答正常，从而在域名所用DNS服务异常时起到容灾保护。
  • 云上云下解析数据互通
    • 在大型企业集团业务逐步上云的过程，往往涉及企业内网（云上VPC+企业IDC）中域名解析如何平滑过渡问题。在未上云时，企业内部可能会有自建DNS服务，并往往定义了较多内网私有域名用于内部服务互访；在企业上云后，迁移上云的服务需要依然可以正常解析访问原有的IDC内网中的私有域名。
    • 通过使用内网解析服务“转发管理”功能（Resolver解析器 ），可以将VPC内某些特定域名的解析请求转发到特定DNS服务进行解析。 在企业云上VPC内的服务访问原有的私有域名时，将此类私有域名解析请求转发到原企业自建DNS进行解析，确保此类私有域名解析逻辑不变，为业务平滑迁移上云提供保障。
  • 流量分析
    • 目前众多阿里云产品均集成内网DNS解析服务，但以往的服务是黑盒化的，用户对于内网DNS的解析服务情况了解甚少，用户无法根据域名解析情况及时调整业务架构。而本次内网DNS解析服务
    • 提供端到端、全链路、可视化的域名解析流量分析服务 ，完整还原从收到域名解析请求、域名解析过程、最终返回DNS解析应答的全链路过程。提供解析时延、解析请求量、解析命中缓存率、热点域名、热点请求来源等各个维度的数据分析，为业务优化解析设置提供数据参考。