文档中心

TrafficRoute DNS 套件

最佳实践

基于 PrivateZone 转发的 VPC 指定出口 IP 解析

火山引擎私网解析 PrivateZone 为私有网络 VPC 提供域名解析服务。PrivateZone 支持通过内置递归 DNS 服务、权威 DNS 服务、DNS 转发服务和 DNS 出网递归服务，将域名解析为 VPC 内 IP 地址或公网 IP 地址，并支持在 VPC 与自建 IDC、第三方云服务之间转发 DNS 查询请求。

场景介绍

在默认情况下，来自 VPC 的公网域名解析请求可由 PrivateZone 内置的出网递归能力完成，公网出口由系统默认处理。在以下场景中，您可能希望自行指定 DNS 查询请求的公网出口 IP：

需要提升解析路径与访问路径的一致性：业务公网访问已规划为固定单线出口，希望 DNS 查询也通过相同线路出口发起，以便上游 DNS 返回更符合访问路径的结果；

默认出口 IP 不满足要求：当前 DNS 查询使用的公网出口 IP 受到限制，或者希望使用自建公网出口统一承载 DNS 查询请求。

基于 PrivateZone 的转发能力，您可以将来自 VPC 的 DNS 查询请求转发到外部递归 DNS 服务器，并通过出站 VPC 中的公网 NAT 网关控制该查询请求的公网出口 IP，从而实现 VPC 指定出口 IP 解析。

方案概述

在本方案中，PrivateZone 解析器 Resolver 将命中转发规则的 DNS 查询请求转发到出站终端节点。出站终端节点部署在用户指定的出站 VPC 中，并通过该 VPC 的公网 NAT 网关访问外部递归 DNS 服务器。

工作原理

PrivateZone 解析器收到来自 VPC 的 DNS 查询请求后，会按顺序匹配：权威解析 → 类型为"转发至外部 DNS 系统"的转发规则 → 递归解析。

当查询请求命中转发规则后，完整的请求流转过程如下：

请求流转过程：

业务 VPC 内的 ECS 实例发起域名解析查询请求（如 www.example.com）

PrivateZone 解析器（Resolver）接收 DNS 查询请求，匹配转发规则。

命中转发规则后，解析器将请求转发至该规则关联的出站终端节点。

出站终端节点通过出站 VPC 内用户自建的 NAT 网关，将 DNS 查询请求发送至支持 EDNS Client Subnet 协议的外部递归 DNS 服务器（例如火山引擎公共 DNS 180.184.1.1 / 180.184.2.2）。此时递归 DNS 看到的源 IP 即出站 VPC NAT 网关的出口 EIP。

外部递归 DNS 在向权威 DNS 发起递归查询时，通过 EDNS Client Subnet 协议将上一步看到的 NAT 出口 IP 所在子网透传至权威 DNS。

权威 DNS 据此识别 NAT 出口 IP 所属运营商/地理位置，命中智能解析规则，返回与该出口运营商或区域匹配的就近 A 记录。

解析结果沿链路原路回传：权威 DNS → 外部递归 DNS → 出站终端节点 → 解析器 → 业务 VPC 内的 ECS 实例。

预期现象：

外部递归 DNS 服务器通常可感知到请求来自出站 VPC 中公网 NAT 网关绑定的 EIP。

在外部递归 DNS、目标权威 DNS 均支持相关来源网络调度机制，且业务访问路径与 DNS 查询出口保持一致的情况下，返回结果可能更符合指定出口网络的访问路径。

当默认 DNS 出口不满足业务要求时，您可以通过切换公网 NAT 网关绑定的 EIP 调整 DNS 查询出口。

准备工作

在配置本方案前，请完成以下资源创建和配置规划：

创建业务 VPC、子网和出站 VPC、子网。具体操作，请参见搭建IPv4私有网络。

说明

业务 VPC 与出站 VPC 必须属于同一地域。

为出站 VPC 配置公网出口能力：已创建 NAT 网关、绑定 EIP（该 EIP 即为 DNS 查询的公网出口 IP，请选择符合业务需求的运营商线路）并配置 SNAT 规则。

确定转发域名：需要通过指定出口 IP 解析的域名（如 example.com）。

确定外部递归 DNS 地址：转发的目标 DNS 服务器地址。推荐使用火山引擎公共解析 PublicDNS：

国内地址：180.184.1.1 / 180.184.2.2

海外地址：35.247.138.105 / 35.197.155.15

说明

火山引擎公共解析 PublicDNS 目前仅支持免费版，免费版不承诺服务可用性 SLA。

公共解析 PublicDNS 会限制来自相同客户端 IP 地址的 DNS 查询请求频率，并会根据网络负载状况和公共解析 PublicDNS 的整体服务质量动态调整 DNS 查询请求频率的限制。

操作步骤

步骤一：创建出站终端节点

登录私网解析 PrivateZone 控制台，打开解析器 Resolver 页面。

选择出站终端节点标签页，单击创建出站终端节点，配置以下关键参数。详细配置说明，请参见创建出站终端节点。

参数	配置要求
终端节点名称	自定义名称，如 outbound-ep-telecom。
出站 VPC	选择准备工作中配置的出站 VPC（创建完成后无法修改）。
出站终端节点类型	IPv4
出站流量源 IP 地址	至少配置两个不同可用区的 IP 地址，确保高可用。
跨服务授权	首次使用时需完成授权，点击去授权对 PrivateZone 服务进行授权。

出站终端节点创建生效大约需要 15s 时间，当状态变更为“正常运行”，即表示生效。

步骤二：创建转发规则

打开解析器 Resolver 页面，选择转发规则标签页。

单击创建转发规则，配置以下关键参数。详细配置说明，请参创建转发规则。

参数	配置要求
规则类型	选择转发至外部 DNS 系统。
出站终端节点	选择步骤一中创建的出站终端节点。创建转发规则后，您无法再修改该参数。
是否全部转发	根据需要选择。建议选择"否"并填写具体的转发域名，仅对需要控制出口的域名生效。
转发域名	填写需要转发的域名清单（如 example.com）。支持输入一个或多个域名，单个域名输入后按回车键确认；也可一次性粘贴多个域名，域名之间使用英文逗号（,）分隔。设置某个域名后，该域名及其全部子域名的 DNS 查询请求都将被转发
外部 DNS 系统的 IP 地址和端口	填写准备工作规划的外部递归 DNS 地址。推荐使用火山引擎公共 DNS（180.184.1.1/180.184.2.2）。
转发域名生效范围	转发规则所关联的域名生效的 VPC，即发起解析请求的客户端所在的 VPC。支持关联一个或多个 VPC，关联的 VPC 必须与出站 VPC 在同一地域。

步骤三：验证解析效果

登录转发规则生效范围内任一 VPC 中的 ECS 实例。

执行dig命令，验证解析结果是否返回了与出口线路匹配的 IP 地址。

dig www.example.com

预期输出示例：

; <<>> DiG 9.16.40 <<>> www.example.com
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 2399
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; ANSWER SECTION:
www.example.com. 60 IN A 2.2.xxx.xxx

;; Query time: 21 msec
;; SERVER: xxx.xxx.xxx.xxx#53(xxx.xxx.xxx.xxx)
;; MSG SIZE rcvd: 66

验证要点：

基础响应正常：检查 dig 输出的 ANSWER SECTION 是否成功返回解析结果，无超时、无 SERVFAIL。

核实响应 IP 是否符合预期：重点检查 ANSWER SECTION 中返回的 IP 地址是否属于 NAT 网关出口线路对应的运营商（如电信出口应返回电信 IP）。

全链路日志排查（结果不符预期时）：联系递归 DNS / 权威 DNS 运维侧，通过日志确认：

DNS 查询是否经出站 VPC 的 NAT 网关出公网；

递归 DNS 是否识别到请求来自 NAT 网关的出口 IP；

权威 DNS 是否通过 EDNS Client Subnet 协议收到了 NAT 出口 IP 的子网信息。

非转发域名验证：确认非转发域名仍走默认递归解析路径。

通过 PrivateZone 的转发管理（解析器 + 出站终端节点 + 转发规则）+ 用户自建公网 NAT 网关（指定出口 IP）+ 外部递归 DNS 三者的组合，您能够自主控制 DNS 查询请求的公网出口 IP。

该方案适用于需要控制 DNS 查询公网出口地址、提升解析路径与访问路径一致性，或在默认出口不满足要求时使用自定义公网出口承载 DNS 查询请求的场景。

最近更新时间：2026.10.23 11:11:31

这个页面对您有帮助吗？

有用

无用