GCP私有DNS Zone在GKE Pod中无法生效问题求助

问题概述 #

VPC已关联私有DNS Zone，VPC内的Compute Engine实例可正常解析该Zone中的DNS记录，但GKE集群内的Pod执行nslookup时返回NXDOMAIN错误，Pod使用的DNS服务器为集群默认的10.0.48.10（kube-dns/CoreDNS地址）。

排查与解决步骤 #

1. 确认GKE集群是否使用VPC-native模式 #

VPC-native（别名IP）模式的GKE集群会自动继承VPC的DNS配置，而非传统路由模式的集群独立管理DNS，不会转发请求到VPC DNS。

• 检查集群模式：

  gcloud container clusters describe CLUSTER_NAME --zone ZONE | grep ipAllocationPolicy
  

  若输出包含ipAllocationPolicy字段，则为VPC-native模式；若为空则是传统路由模式。
• 若为传统路由模式，建议切换到VPC-native（需重建集群），或手动配置CoreDNS转发规则。

2. 检查私有DNS Zone的关联与权限 #

确保私有DNS Zone已正确关联GKE节点所在的VPC子网，且权限设置允许GKE集群访问：

• 确认Zone关联的VPC包含GKE节点所在子网；
• 检查Zone的IAM权限，确保allAuthenticatedUsers或GKE节点服务账号拥有dns.resourceRecords.list权限（若设置了细粒度权限）。

3. 配置CoreDNS转发到VPC DNS服务器 #

如果集群是非VPC-native，或VPC-native模式下仍需自定义转发，需修改CoreDNS的ConfigMap，将私有域名的请求转发到VPC的DNS服务器：

1. 编辑CoreDNS ConfigMap：

   kubectl edit configmap coredns -n kube-system
   

2. 在Corefile块中添加针对目标私有域名的转发规则，例如：

   xxx.xxxx {
       forward . <VPC_DNS_SERVER_IP>
       cache 30
   }
   

   替换xxx.xxxx为你的私有域名后缀，<VPC_DNS_SERVER_IP>为VPC的DNS服务器地址（通常是VPC网关地址或Cloud DNS私有Zone的DNS服务器）。
3. 重启CoreDNS部署使配置生效：

   kubectl rollout restart deployment coredns -n kube-system
   

4. 验证配置 #

在Pod内再次执行nslookup xxx.xxxx，确认是否能正常解析。若仍有问题，检查CoreDNS Pod日志：

kubectl logs -n kube-system -l k8s-app=kube-dns

查看是否有转发失败的错误信息，进一步排查DNS请求链路。

内容的提问来源于stack exchange，提问作者gkatzioura