DNS 调度与告警

概念复制链接

配置 DNS 调度复制链接

DNS 调度为每个集群写入调度记录，网站与 L4 应用 的 CNAME 目标指向所在集群的健康节点。Edgeweir 不运行权威 DNS，只通过服务商的 API 管理记录。

添加服务商账号复制链接

1. 打开 DNS 调度，点击「添加服务商账号」。
2. 填写「名称」，选择「DNS 服务商」，按表单填写凭据（字段与所需权限见服务商与凭据）。
3. 能列出区域的服务商：点击「列出区域」，在「区域」中选择；其他服务商直接填写「区域」。
4. 点击「测试连接」。验证：显示「连接正常：区域内有 N 条记录」。
5. 点击「创建」。保存前先执行与「测试连接」相同的测试；失败时对话框显示错误，按钮变为「仍然保存」。

一个账号对应一组凭据和一个区域；同一组凭据管理多个区域时，分别添加账号。账号列表中的「测试连接」用已保存的凭据读取区域。「编辑」可以改名；打开「重新填写凭据」后重新填写全部字段以轮换密钥，保存前同样先测试。只改名时不测试。测试失败后修改任一字段，下次保存重新测试。服务商和区域创建后不可修改。凭据使用主密钥信封加密后保存，只写不读。

绑定集群复制链接

1. 打开 集群与节点，选择集群，切换到「DNS」页签（集群有节点后显示）。

2. 选择「模式」：「不管理」「手动」或「自动」。

3. 选择「服务商账号」，「区域」显示该账号的区域；填写「集群域名」和「TTL（秒）」。

4. 按需点击「添加线路」，填写「线路名称」并选择本集群的「节点组」；按需选择「解析线路」，填写「最少健康 IP 数」，在「备用节点组」中「添加备用节点组」并排列顺序。节点位于 NAT 或内网之后时，在该节点的「节点名：目标地址」字段中填写对外地址，或为节点配置调度地址；留空则使用节点的调度地址。不添加线路时，all.<集群域名> 返回本集群全部健康节点的地址。

5. 点击「保存」。控制台提示「已生成 DNS 版本 N」。

6. 验证：「当前记录」卡片状态为「已发布」，网站「域名」页签显示「CNAME 目标」。

   复制

   dig +short CNAME <网站 UUID>.<集群域名>
   dig +short A all.<集群域名>

   第一条输出 all.<集群域名>.，第二条输出该集群健康节点的地址。

7. 在各网站域名的 DNS 中，把域名 CNAME 到「CNAME 目标」。卡片下方列出每个域名的解析状态（「指向正确」「指向其他地址」「未解析」「未能检查」），网站「概览」页签的「上线检查」汇总为「DNS 已指向 N/M」。

不同集群可以使用不同的服务商账号和集群域名。DNS 调度 页面的「集群绑定」表列出每个集群的模式、集群域名和发布状态，「打开」进入该集群的「DNS」页签。

绑定字段复制链接

每个绑定最多 128 条线路、10000 条系统管理记录。同一区域内集群域名相同的两个绑定，线路名称与汇总记录名不能重复（DNS_BINDING_CONFLICT）。

服务商只有默认线路时，「解析线路」不可选，提示「该服务商只有默认线路」；改选不支持某条解析线路的服务商账号时，表单把这些线路改回默认。保存服务商不支持的解析线路返回 DNS_LINE_UNSUPPORTED（「该 DNS 服务商不支持 {line} 解析线路」）。手动模式不选服务商账号时可以选择全部解析线路。

生成的记录复制链接

地址记录每个集群只写一份（all.<集群域名> 在每条用到的解析线路上各一组），记录数为「网站数 + 启用的 L4 应用数 + 集群地址数」；打开「保留站点线路别名」时再加「（网站数 + 启用的 L4 应用数）× 线路数」。网站「域名」页签与 L4 应用页列出的线路目标在关闭线路别名时为 <线路名称>.<集群域名>。

「当前记录」与「手动创建的记录」表的「解析线路」列显示每条记录所在的解析线路。

按解析线路写入复制链接

all.<集群域名> 在每条用到的解析线路上各有一组记录；其余记录只在默认线路。

• 递归服务器不匹配任何其他解析线路时得到默认线路的记录；DNSPod 要求名称在默认线路上有记录。
• 写入一个名称与类型时替换它在全部解析线路上的记录；不再用到的解析线路上的副本被删除。只使用默认线路的绑定写入的记录与此前相同。
• 服务商账号不再支持某条解析线路时，该线路上的记录不写入。

例：

all.<集群域名> 对电信用户返回「电信节点」的地址，对联通用户返回「联通节点」的地址，其他用户得到「海外节点」的地址。去掉 intl 后，默认线路返回 ct 与 cu 的全部地址。

备用节点组复制链接

一个节点组可以作为多条线路的备用节点组，不能作为自己线路的备用节点组。

手动模式复制链接

控制台不写入 DNS。集群「DNS」页签列出需要手动创建的记录（绝对名称）与 BIND zone 文件，「下载」保存为 <区域>.zone。

从全局 DNS 配置升级复制链接

此前版本的 DNS 调度是一份全局配置。升级后它转换为每个集群一条绑定，网站域名上的 CNAME 不需要修改：

• 每个集群的集群域名为原来的 CNAME 域，网站的 CNAME 目标名称不变，解析结果与升级前相同。
• 原来启用时，模式为「自动」并打开「保留站点线路别名」，原来网站「域名」页签列出的线路目标 <线路>.<网站 UUID>.<CNAME 域> 继续解析；原来关闭时，模式为「不管理」，账号、域名与线路保留在表单中。
• 多个集群共用原来的 CNAME 域时，汇总记录依次命名为 all、all-2……（有网站的集群在前），网站 CNAME 指向所在集群的汇总记录。
• 原来按网站写入的地址记录 all.<网站 UUID>.<CNAME 域> 由下一次对账删除，只删除控制台登记过的名称。
• 升级后的第一次发布如果只剩 CNAME、没有任何地址记录（例如节点都还没有重新连上），该集群保留原来的记录，版本状态为「已阻止」，按大面积摘除保护处理；节点恢复后自动继续，也可以「强制发布」。
• 此前的 DNS 版本保留在数据库中，不再显示。
• /api/v1 的 /dns/config、/dns/revisions、/dns/force-publish 改为按集群的 /clusters/{clusterId}/dns、/clusters/{clusterId}/dns/revisions、/clusters/{clusterId}/dns/force-publish；/dns/bindings 列出全部集群的绑定。

健康摘除与修复复制链接

DNS 版本的失败原因显示为：服务商认证失败、服务商找不到区域、服务商不可用、服务商限流、名称上已有不受管理的记录、名称已被其他集群管理、服务器地址被出站策略拒绝等。

大面积摘除保护复制链接

一次发布会把某个集群原来非空的 all. 或线路记录集（每条解析线路分别计）清空，或摘除的地址记录超过阈值时，保留该集群的上一版记录，不写入服务商。控制台与节点通道断开、所有节点都被判定离线时，同样按此处理。

DNS 版本与回滚复制链接

每个集群有自己的 DNS 版本，不增加节点配置 revision。「回滚 DNS」恢复所选版本的绑定设置（模式、账号、集群域名、TTL、线路及其解析线路、备用节点组与最少健康 IP 数），地址仍按当前的网站与节点健康状态计算，不恢复已离线的节点。手动模式的版本在保存时即为「已发布」。每个集群保留最近 200 个 DNS 版本，当前版本、已发布版本与「已阻止」的版本不清理。

「DNS 版本」表的「原因」列：

删除服务商账号前，先把使用它的集群绑定改选其他账号或切换到「不管理」，并等待清理完成（账号不再持有系统管理的记录），否则返回 DNS_PROVIDER_IN_USE。删除集群前同样先把该集群的 DNS 切换到「不管理」并等待清理完成（DNS_BINDING_IN_USE）。

服务商与凭据复制链接

DNS 调度的服务商账号与证书 DNS-01 使用的 DNS 凭据（见 HTTPS 与证书）使用同一份服务商目录与表单。给凭据授予目标区域所需的最小权限。

各服务商的适配器只通过录制的 API 交换测试（按官方 API 文档构造的请求与响应），没有在真实账户上验收；接入前先用「测试连接」确认。

「根域」：CNAME 展平或 ALIAS 记录能让区域根（@）指向主机名（例如网站的 CNAME 目标）；其余服务商的区域根只能用 A / AAAA 记录。解析线路见解析线路；其他服务商的运营商或地区线路（火山引擎、百度智能云、西部数码、DNS.LA、Route 53、Google Cloud DNS、Gcore、Bunny DNS 提供）不使用，记录只写在默认线路。

未接入的服务商：

解析线路复制链接

解析线路让同一名称按运营商或地区返回不同的记录。服务商适配器使用下列线路名，并换成各服务商自己的线路：

• 只有上表四家（腾讯云 DNSPod 含中国站与国际站）支持全部线路，其他服务商只有 default，其他线路的记录被拒绝。GET /dns/catalog 的 capabilities.lines 列出每个服务商支持的线路。
• 写入一个名称与类型时，替换它在全部线路上的记录：写入中没有的线路上的副本被删除。
• 读取时，不在上表中的服务商线路（例如省份线路）显示为 other:<服务商线路>，这类记录只能删除。阿里云按上表的线路逐一读取，其他线路上的记录可能读不到。

自建端点与出站策略复制链接

PowerDNS、RFC 2136 与自定义 HTTP 的地址由运营者填写，每个连接都经过出站地址策略：

自定义 HTTP 协议复制链接

每个操作是一个请求：

POST <地址>
Content-Type: application/json
User-Agent: edgeweir-certd/1
X-Edgeweir-Timestamp: <Unix 秒>
X-Edgeweir-Signature: v1=<hex>

<hex> 为以签名密钥计算的 HMAC-SHA256（小写十六进制），输入为时间戳、. 与原始请求体。接收方用原始请求体重新计算并以常量时间比较，签名不符或时间戳与本地时钟相差超过 300 秒时返回 401。示例：密钥 example-secret-0123456789、时间戳 1700000000、请求体 {"action":"zones"} 的签名为 v1=3af007dacbb4d9b54c57bc499f275d13e48a5513e8ecf036d83c1b5a6c0f20f8。

请求体：

{"action":"set","zone":"example.com","records":[{"name":"www","type":"A","data":"192.0.2.1","ttl":600}]}

成功返回 2xx 与 JSON（最大 16 MiB）：list、append、set、delete 返回 {"records":[...]}，zones 返回 {"zones":["example.com"]}。401 或 403 表示认证失败，404 表示区域不存在，zones 返回 501 表示不能列出区域；429 视为限流，5xx 视为不可用。错误响应可以带 {"error":"简短说明"}。签名只含时间戳，300 秒内的请求可能被重放：set 与 delete 是幂等的，append 需要接收方去重。

告警页面复制链接

告警在 告警 页面配置，页面有五张卡片：

配置告警渠道复制链接

1. 打开 告警，在「告警渠道」卡片中点击「添加渠道」。
2. 填写「名称」，选择「渠道类型」，填写该类型的字段（见下表）。
3. 选择「通知语言」。
4. 按需打开「接收所有告警」。
5. 点击「创建」。
6. 验证：点击「发送测试」，目标收到测试通知；渠道行不显示「通知发送失败」。

邮件渠道使用「SMTP」卡片中的服务器，见 SMTP。

渠道字段复制链接

未打开该开关的渠道只接收订阅到它的网站告警，见订阅告警。

最多 32 个渠道。编辑渠道时，打开「更新渠道凭据」重新填写类型与字段；不打开则保留原凭据。停用的渠道不发送通知，也不能被新的订阅选择。

Webhook 载荷复制链接

请求体为 JSON，包含 id（事件 ID）、siteId、siteName、kind、status（firing / resolved）、occurredAt、resourceId（告警对象，例如节点或证书的 ID）、text 和 url（控制台链接）。集群与 DNS 告警的 siteId 为 null，siteName 为集群名称；「节点离线」的 siteId 为 null，siteName 为节点名称，resourceId 为节点 ID；url 指向 集群与节点 或 DNS 调度；scheduling_action 的 siteName 为「规则 · 节点」，resourceId 为 <规则 ID>:<节点 ID>。配置了 Bearer 令牌时附带 Authorization: Bearer <令牌>。接收方返回 2xx 视为成功。

SMTP复制链接

邮件渠道的发信服务器，在 告警 页的「SMTP」卡片中设置并点击「保存」。未设置时，邮件渠道「发送测试」提示「尚未配置 SMTP」，投递失败的渠道行显示同样的提示。

设置告警规则复制链接

1. 打开 告警，在「告警规则」卡片中修改阈值。
2. 点击「保存」。

「源站不可用」没有单独阈值：某个节点在离线阈值内上报网站的每个源站都不可用时触发。一个源站在该节点上不可用，指它的被动检查或主动检查结果（任一来源）为不健康；见被动健康检查与主动健康检查。

「CC 防护升级」（cc_mitigation）没有单独阈值：节点上报网站从正常升级时触发，同一网站 15 分钟内最多一次（期间被压下的升级，若 15 分钟后网站仍高于正常级别，则在下一次每分钟检查时触发）；没有在线节点再报告该网站高于正常级别后恢复。见挑战与 CC 防护。

网站告警只针对已启用且至少有一个域名的网站。

集群与 DNS 告警复制链接

以下告警属于集群而不是网站，只投递到开启「接收所有告警」的渠道，不能订阅；「近期告警」同样列出它们。

订阅告警复制链接

1. 打开 告警，在「告警订阅」卡片中点击「订阅告警」。
2. 选择「通知渠道」。
3. 打开「全部网站」，或在「网站」列表中勾选网站（可用「搜索网站」查找，切换搜索时已勾选的网站保留）。
4. 打开要发送的告警种类，点击「保存」。
5. 验证：订阅行显示渠道、网站（或「全部网站」）与告警种类；「近期告警」显示这些网站的事件。

投递行为复制链接

限制复制链接

故障排查复制链接