Kubernetes External-DNS 中 CNAME 与 TXT 记录冲突问题分析与解决方案

问题背景

在使用 Kubernetes External-DNS 管理 AWS Route 53 DNS 记录时，用户可能会遇到两种典型的 DNS 记录冲突错误：

1. CNAME 记录冲突错误：RRSet of type CNAME with DNS name [域名] is not permitted as it conflicts with other records
2. TXT 记录冲突错误：RRSet of type TXT with DNS name [域名] is not permitted because a conflicting RRSet of type CNAME already exists

这些错误通常发生在 External-DNS 尝试同时为同一域名创建 CNAME 和 TXT 记录时。TXT 记录在 External-DNS 中用于所有权标记，而 CNAME 记录则用于实际的 DNS 解析。

问题根源分析

1. DNS 协议限制

根据 DNS 协议规范，同一域名不能同时存在 CNAME 记录和其他类型的记录（如 TXT、A、MX 等）。这是 DNS 协议的设计限制，而非 External-DNS 的缺陷。

2. External-DNS 工作机制

External-DNS 默认会为每个管理的 DNS 记录创建一个对应的 TXT 记录，用于标记该记录的所有权。当同时启用 CNAME 记录时，就会违反上述 DNS 协议限制。

3. Helm 配置陷阱

使用 Helm 部署 External-DNS 时，如果配置不当，特别是关于 TXT 记录前缀/后缀的设置，很容易触发这个问题。Helm chart 中对于 txtPrefix 和 txtSuffix 的条件判断逻辑需要特别注意。

解决方案

方案一：禁用 CNAME 记录（推荐）

最简单的解决方案是避免使用 CNAME 记录，让 External-DNS 直接创建 A 记录：

# Helm values.yaml 配置
aws:
  preferCNAME: false

这种方法完全避免了 CNAME 和 TXT 记录的冲突问题，是大多数情况下的推荐做法。

方案二：正确配置 TXT 记录标识

如果确实需要使用 CNAME 记录，必须正确配置 TXT 记录的标识：

# Helm values.yaml 配置
txtPrefix: "external-dns-"
txtOwnerId: "my-cluster"

或者使用后缀方式：

# Helm values.yaml 配置
txtPrefix: ""  # 必须显式设置为空字符串
txtSuffix: "-externaldns"

关键点：

1. txtPrefix 和 txtSuffix 不能同时为空
2. 在 Helm chart 中，如果要使用 txtSuffix，必须显式设置 txtPrefix: ""

方案三：升级到最新版本

某些版本（如 0.14.2）修复了相关问题的处理逻辑。确保使用最新稳定版本：

# Helm values.yaml 配置
image:
  tag: "0.15.0"

最佳实践建议

1. 明确记录策略：在集群规划阶段就确定使用 A 记录还是 CNAME 记录
2. 测试环境验证：先在测试环境验证 DNS 配置，再应用到生产环境
3. 版本控制：将 External-DNS 的配置纳入版本控制系统
4. 监控告警：设置 DNS 记录变更的监控和告警
5. 文档记录：记录团队采用的 DNS 管理策略和配置规范

故障排查步骤

当遇到类似问题时，可以按照以下步骤排查：

1. 检查 Route 53 中是否已存在冲突的记录
2. 验证 External-DNS 的启动参数是否正确
3. 检查 Helm values 文件中关于 TXT 记录的配置
4. 查看 External-DNS 的日志确认实际执行的变更
5. 必要时手动清理冲突的 DNS 记录

通过理解 DNS 协议限制和 External-DNS 的工作原理，合理配置相关参数，可以避免这类记录冲突问题，确保 Kubernetes 服务的 DNS 记录能够正确管理。