混合云架构下，灵活可靠的 DNS 解析解决方案——火山引擎 PrivateZone

越来越多的企业认同，多云和混合云是实现数字化变革的必由之路。Cisco 发布的《2022 Global Hybrid Cloud Trends Report》显示， 82% 的受访者使用混合多云架构来支撑其应用程序。混合云架构下，如何灵活、可靠且低成本地满足各种场景 DNS 的解析是企业需要解决的基本问题之一。

本文带你了解火山引擎边缘云 TrafficRoute DNS 套件——私网解析 PrivateZone ，它是基于火山引擎私有网络（VPC）的私网域名解析服务，是云服务器默认的 DNS 入口。如果你也需要云上灵活、快速、稳定的内网域名解析，那么火山引擎私网解析 PrivateZone 可以帮助到你。

PrivateZone 是云上域名解析的统一入口，提供了内网权威、自建权威、外网域名等各种域名解析能力。PrivateZone 架构由解析器（Resolver）和权威 DNS 组成，其中 Resolver 提供了缓存和转发功能，权威 DNS 提供了租户隔离和智能解析功能。在多云和混合云场景下，根据 DNS 请求的方向可以划分出以下 2 种基本情况：

1. 出站 DNS ：火山引擎 -> 自建数据中心 / 其他云

2. 入站 DNS ：自建数据中心 / 其他云 -> 火山引擎

当用户在火山引擎购买了一批云服务器，希望通过域名访问自建数据中心的某个服务时，可以考虑火山引擎私网解析 PrivateZone 解决方案。PrivateZone 解析器（Resolver）提供强大的自定义能力，对于出站 DNS 场景，用户可以先根据自己的网络架构配置一个出站终端节点，该节点是部署在云上的 DNS 转发服务，通过网卡与客户的 VPC 网络打通；随后可以基于该节点（批量）下发转发规则，命中转发规则的 DNS 请求会经由 VPC 网络转发到自建数据中心的 DNS 。

当用户在火山引擎购买了某个服务，希望在自建数据中心也可以通过域名访问时，可以选择外网或内网。但并非所有云服务都将内网域名发布到了互联网，因此走内网解析是更通用的选择。

通过下发路由规则（云企业网 /TR），可以相对简单地实现使用自建数据中心访问到 PrivateZone 提供的虚拟 IP 。但这种方式有以下弊端：

• 风险不可控：大多数云厂商都在使用 100.64.0.0/10 这一网段，可能会导致路由规则混乱，引起意料之外的问题；

• 解析不符合预期：火山引擎的机器上有 100.64.0.0/10 这一默认路由指向火山机房内部，如果用户使用了云防火墙，那就会导致 DNS 流量直接从云防火墙的 VPC 进入 PrivateZone ，可能引起解析不符合预期等问题。

火山引擎私网解析 PrivateZone 的集成方案解决了这 2 个问题。

私网解析 PrivateZone 在实践过程当中得到了验证和来自客户的好评。

某客户基于自建数据中心、火山引擎和公有云厂商 A 搭建了一套混合云架构，通过云企业网 、专线等方式打通网络。把云厂商 A 的 PrivateZone 作为中心 DNS ，托管着 cloud.com ，自建数据中心全部使用云厂商的 PrivateZone 作为默认 DNS 。基于上述方案，可以在火山引擎侧同时使用入站和出站终端节点，实现：

• 火山 ECS 可以访问以 cloud.com 提供服务的云厂商产品

• 火山 ECS 可以解析 ivolces.com 等内部域名

• 云厂商 ECS 可以访问以 ivolces.com 提供服务的火山产品

• 云厂商 ECS 可以解析 cloud.com 等内部域名

• 用户自建数据中心 EC2 可以同时解析火山和云厂商提供的域名

从而满足全链路、全场景的 DNS 解析需求。