私有域关联与转发是什么
私有域名区（PrivateZone）是一套只在云内可见的权威解析：创建之后必须显式关联 VPC，域名才会在这些 VPC 内生效，不关联就查不到。混合云场景还可以配转发规则，把某个域名（例如 corp.example.com）的查询转交给自建 DNS（AD 域控、内部权威服务器）解析。关联和转发都是显式动作，新增网络、更换自建 DNS 地址时必须同步维护，否则症状是实例解析超时或解析到错误地址。
基本信息
| 关联关系 | 私有域与 VPC 的多对多绑定，仅在关联的 VPC 内生效 |
|---|---|
| 生效范围 | 关联 VPC 内的实例；未关联的 VPC 查不到该域名 |
| 转发规则 | 把指定域名的查询转给自建 DNS（按产品支持范围） |
| 必要条件 | 与自建 DNS 网络可达，放行 53/UDP 与 53/TCP |
| 解析优先级 | 同名时私有域结果优先于公网权威解析（以产品为准） |
| 维护触点 | 新增 VPC、自建 DNS 换址、域名增删都要同步更新 |
典型使用场景
- 内网服务用自定义域名访问，替代 IP 硬编码，便于后续迁移
- 云上 VPC 与 IDC 的 AD 域控互通，把域内域名转发给域控解析
- 多 VPC 共享一套内网域名：把同一个私有域关联到多个 VPC
- 迁移期双跑：新旧环境各自解析不同地址，逐步切换
- 收敛自建 DNS 的暴露面：只把必要域名转发到自建侧，其余走云解析
常见失败与定位
| 症状 | 可能原因 | 核对动作 |
|---|---|---|
| 实例解析超时 | VPC 未关联私有域 | 检查私有域关联列表是否含该 VPC |
| 解析到公网地址 | 同名域名未配置或关联缺失 | 确认私有域记录与关联状态 |
| 转发域名查不到 | 转发规则域名/目标写错 | 核对规则域名与自建 DNS 地址 |
| 偶发解析失败 | 到自建 DNS 的 53 不通或丢包 | 从实例直连自建 DNS 探测 53 端口 |
| 新环境解析异常 | 新建 VPC 未加入关联 | 把新 VPC 纳入关联清单并回归验证 |
验证解析与转发链路
验证解析与转发链路
dig +short app.corp.example.com # 私有域记录是否解析正确
dig +short legacy.corp.example.com @10.0.0.53 # 直连自建 DNS 是否可解析
dig +tcp +short app.corp.example.com # TCP 53 是否也放行
nc -vzu 10.0.0.53 53 # UDP 53 连通性
nc -vz 10.0.0.53 53 # TCP 53 连通性
# 转发不生效时在实例侧抓包，看查询是否真的发出、有没有回包
tcpdump -ni eth0 port 53 | head转发到自建 DNS 最常见的失败根因是安全组：只放通了出方向没放回程，或只放 UDP 53 没放 TCP 53。域名越长、响应越大或带 DNSSEC 时更容易触发 TCP 回退，UDP 单通就会出现时好时坏。
自建 DNS 是新的单点：转发规则一上线，VPC 内的解析就依赖它的可用性。建议至少两台上游并做健康检查，且自建 DNS 无法解析的域名要能正常转发到公网解析，避免把公网域名一起拖死。