GCP-114：Cloud DNS 入門——全託管 DNS 服務完全指南

前言

每個上線的服務都離不開 DNS——它就是那本「把網域名稱翻成 IP 位址」的電話簿。Cloud DNS 是 GCP 的全託管權威 DNS 服務，跑在 Google 的全球 Anycast 網路（Anycast，同一個 IP 由全球多個節點對外宣告，誰離你近就由誰回應你）上。最讓人印象深刻的是它的 SLA：100% 可用性——在雲端服務裡這個數字很罕見，多數服務頂多寫到 99.9% 或 99.99%，Google 敢直接寫 100%，等於承諾「停機就賠你」。

這課我們來把 Cloud DNS 的核心概念和實際操作一次搞懂。動手前建議先讀過 VPC 那一課——後面講 Private Zone、Split-Horizon 都會用到 VPC 的概念，沒底子的話容易卡。

什麼是 Cloud DNS？

Cloud DNS 是 GCP 的全託管權威 DNS 服務，負責將域名（如 example.com）解析為 IP 位址：

核心特性

• 100% SLA——所有 Google Cloud 服務中最高的可用性保證
• 全球 Anycast 網路——自動路由到最近的節點以降低查詢延遲。對你的意義是：不管使用者在台北還是巴黎，查你的域名都是就近回應，不用自己架一堆海外 DNS 伺服器
• 自動擴展——支援數百萬 DNS Zone 和記錄
• 完整 API——Console、gcloud CLI、REST API、Terraform 全支援

Zone 類型

Cloud DNS 有好幾種 Zone 類型，各自對應不同的使用情境：

建立 Zone

# 建立 Public Zone
gcloud dns managed-zones create my-zone \
  --dns-name="example.com." \
  --description="Production zone" \
  --visibility=public

# 建立 Private Zone（綁定到 VPC）
gcloud dns managed-zones create my-private-zone \
  --dns-name="internal.example.com." \
  --description="Internal services" \
  --visibility=private \
  --networks=my-vpc-network

DNS 記錄管理

支援的記錄類型

使用 Transaction 管理記錄

Cloud DNS 使用 Transaction 確保記錄變更的原子性：

# 新增 A 記錄
gcloud dns record-sets transaction start --zone=my-zone
gcloud dns record-sets transaction add "203.0.113.1" \
  --name="www.example.com." \
  --ttl=300 \
  --type=A \
  --zone=my-zone
gcloud dns record-sets transaction execute --zone=my-zone

# 新增 MX 記錄
gcloud dns record-sets transaction start --zone=my-zone
gcloud dns record-sets transaction add "10 mail.example.com." \
  --name="example.com." \
  --ttl=300 \
  --type=MX \
  --zone=my-zone
gcloud dns record-sets transaction execute --zone=my-zone

# 列出所有記錄
gcloud dns record-sets list --zone=my-zone

DNSSEC

DNSSEC（DNS Security Extensions）防止 DNS 欺騙和快取中毒攻擊。Cloud DNS 提供全託管 DNSSEC：

# 建立時啟用 DNSSEC
gcloud dns managed-zones create secure-zone \
  --dns-name="secure.example.com." \
  --description="DNSSEC-enabled zone" \
  --dnssec-state=on

# 對既有 Zone 啟用 DNSSEC
gcloud dns managed-zones update my-zone --dnssec-state=on

# 取得 DS 記錄（需在域名註冊商設定）
gcloud dns dns-keys list \
  --filter='type=keySigning' \
  --format='value(ds_record())' \
  --zone=my-zone

DNSSEC 金鑰管理

• ZSK（Zone Signing Key）：自動建立和輪換
• KSK（Key Signing Key）：自動建立，但輪換需手動更新域名註冊商的 DS 記錄
• 支援 ECDSAP256SHA256（建議）、RSASHA256 等演算法
• 支援 NSEC 和 NSEC3 否定存在證明
• 啟用 DNSSEC 不額外收費

Split-Horizon DNS

Split-Horizon DNS（也叫分割視野 DNS）讓同一個域名在內部和外部回傳不同 IP——白話講就是「同一個門牌，公司內部的人走的是內網捷徑，外面的人走的是大馬路」：

設定方式

1. 建立 example.com 的 Public Zone，指向外部 IP
2. 建立 example.com 的 Private Zone，綁定 VPC，指向內部 IP
3. VPC 內的查詢自動走 Private Zone（Private Zone 優先於 Public Zone）

💡 重點提點

「Private Zone 優先於 Public Zone」是 Split-Horizon 的整套魔法所在，也是考試最愛問的點。記法很簡單：從 VPC 裡面查，先看 Private Zone，找到就用，根本不會繞出去問 Public Zone。所以才能做到「同名不同 IP」。實務上最容易踩的坑是——在 VM 裡測解析結果發現「怎麼還是回外部 IP？」，十之八九是那台 VM 不在綁定的 VPC 網路裡，或 Private Zone 根本沒綁到對的網路。先檢查綁定關係，不要急著懷疑記錄寫錯。

# Public Zone（對外）
gcloud dns managed-zones create example-public \
  --dns-name="example.com." \
  --visibility=public

# Private Zone（對內）
gcloud dns managed-zones create example-private \
  --dns-name="example.com." \
  --visibility=private \
  --networks=my-vpc

DNS 路由策略

Cloud DNS 可以直接在 DNS 層級做流量導引：

加權輪詢範例

# 90% 流量到 v1（203.0.113.1），10% 到 v2（203.0.113.2）（金絲雀部署）
gcloud dns record-sets create www.example.com. \
  --zone=my-zone \
  --type=A \
  --ttl=300 \
  --routing-policy-type=WRR \
  --routing-policy-data="0.9=203.0.113.1;0.1=203.0.113.2"

Response Policy

Response Policy 可以在 DNS 層級覆寫解析結果：

# 建立 Response Policy
gcloud dns response-policies create security-policy \
  --networks=my-vpc \
  --description="Block malicious domains"

# 封鎖惡意域名（回傳 0.0.0.0）
gcloud dns response-policies rules create block-malware \
  --response-policy=security-policy \
  --dns-name="malicious-site.com." \
  --local-data='name=malicious-site.com.,type=A,ttl=300,rrdatas=0.0.0.0'

# 豁免特定域名（passthru）
gcloud dns response-policies rules create allow-safe \
  --response-policy=security-policy \
  --dns-name="safe-site.com." \
  --behavior=passthru

常見用途

• 安全封鎖：阻擋已知惡意域名
• VPC Service Controls：重導 *.googleapis.com 到受限 VIP
• 內部服務覆寫：自訂特定服務的 DNS 解析

💡 重點提點

每個 VPC 只能綁定一個 Response Policy——這個限制很容易在實作時踩雷。新手常見的卡關情境是：已經有一條 Response Policy 在跑，又想加第二條規則集，結果建立時報錯。解法不是再建一個 Response Policy，而是把新規則加進現有的那一條裡（一個 Response Policy 底下可以放很多條 rule）。考試也會用這個一對一關係出陷阱題，看到「想在同一個 VPC 套用兩個 Response Policy」這種選項，直接刷掉。

DNS Server Policy

Server Policy 控制 VPC 內的 DNS 行為：

# 啟用 Inbound Forwarding + 查詢日誌
gcloud dns policies create my-policy \
  --networks=my-vpc \
  --enable-inbound-forwarding \
  --enable-logging

# 設定 Alternative Name Servers（轉發到地端 DNS）
gcloud dns policies create outbound-policy \
  --networks=my-vpc \
  --alternative-name-servers="10.0.0.53,10.0.0.54"

與其他 GCP 服務整合

定價

Zone 費用

查詢費用

使用 WRR、Geolocation 或 Failover 路由策略的查詢，費用較標準查詢高。

成本估算

10 個 Zone + 1 億次查詢 / 月：

• Zone：10 × $0.20 = $2.00
• 查詢：100 × $0.40 = $40.00
• 合計：~$42 / 月

Cloud DNS 沒有免費層，但 GCP 新帳號有 $300 免費試用額度可折抵。

配額與限制

ACE 考試重點整理

必背知識點

1. Cloud DNS 是全託管權威 DNS 服務，跑在 Google Anycast 網路上
2. 100% SLA——GCP 所有服務中最高
3. Private Zone 優先於 Public Zone（VPC 內查詢）
4. Split-Horizon DNS：同一域名內外回傳不同 IP
5. DNSSEC：全自動管理 KSK/ZSK 輪換
6. Response Policy：DNS 層級封鎖惡意域名
7. DNS 路由策略：WRR（加權）、Geolocation（地理）、Failover（故障轉移）

常見陷阱題

Q：需要讓同一域名在公司內部和外部解析到不同 IP，怎麼做？ A：Split-Horizon DNS。建立同名的 Public Zone 和 Private Zone，VPC 內查詢自動走 Private Zone。

Q：Cloud DNS 的 SLA 是多少？ A：100%。這是 GCP 所有服務中最高的 SLA。

Q：如何在 DNS 層級阻擋員工存取惡意網站？ A：使用 Response Policy，建立規則將惡意域名導向 0.0.0.0。

Q：地端伺服器需要查詢 Cloud DNS 的 Private Zone，怎麼設定？ A：建立 DNS Server Policy 並啟用 Inbound Forwarding，建立進入點 IP 供地端 DNS 轉發查詢。

Q：Cloud DNS 和 Cloud Domains 有什麼不同？ A：Cloud DNS 是 DNS 代管服務（管理 DNS 記錄）。Cloud Domains 是域名註冊服務（購買和管理域名）。兩者是獨立的服務，通常搭配使用。

總結

Cloud DNS 就是 GCP 幫你全託管的 DNS，把幾個重點收一下：

• 定位：全託管權威 DNS，100% SLA，全球 Anycast 網路
• Zone 類型：Public（對外）、Private（對內）、Forwarding（混合雲）、Peering（跨 VPC）
• 安全：DNSSEC 自動管理、Response Policy 封鎖惡意域名
• 路由：WRR、Geolocation、Failover 三種策略
• Split-Horizon：同一域名內外不同解析
• 定價：$0.20 / Zone / 月 + $0.40 / 百萬查詢

如果你只想帶走兩件事：考試最常考「Private Zone 優先於 Public Zone」這個 Split-Horizon 機制，實作最常卡「VM 不在綁定的 VPC 裡」這個坑。把這兩點記牢，Cloud DNS 這關大致就穩了。

下一課 ACE-215：GCP 基礎架構即代碼（IaC）策略，學習 Terraform、Infrastructure Manager 和 Config Connector 的實戰應用。