External-DNS在OCI网络负载均衡器中的IP地址处理问题解析

问题背景

在使用Kubernetes的External-DNS组件与Oracle Cloud Infrastructure(OCI)的网络负载均衡器(NLB)集成时，用户遇到了DNS记录更新的异常问题。当服务类型从标准负载均衡器切换到网络负载均衡器后，External-DNS尝试同时将NLB的私有IP和公有IP地址写入同一个DNS A记录，导致OCI DNS服务返回400错误。

问题现象

具体表现为External-DNS日志中显示如下错误信息：

Record (somedomain.tld, A) contained invalid rdata (10.0.20.152 79.76.102.70)

这表明External-DNS试图将私有IP(10.0.20.152)和公有IP(79.76.102.70)同时写入同一条A记录，而OCI DNS服务不允许这种操作。

技术分析

网络负载均衡器在OCI中创建时会分配两个IP地址：

1. 私有IP地址(如10.0.20.152)：用于VCN内部通信
2. 公有IP地址(如79.76.102.70)：用于互联网访问

External-DNS默认会收集服务端点所有可用的IP地址，这在标准负载均衡器下工作正常，因为通常只暴露一个IP地址。但在网络负载均衡器场景下，它会同时获取到两个IP地址并尝试都写入DNS记录。

解决方案

External-DNS提供了灵活的IP地址过滤机制来解决这个问题：

方案一：仅使用公有IP

通过启动参数排除私有IP地址范围：

--exclude-target-net=10.0.0.0/8

这适用于需要从互联网访问服务的场景。

方案二：仅使用私有IP

通过启动参数限定只使用私有IP地址范围：

--target-net-filter=10.0.0.0/8

这适用于仅限VCN内部访问的服务。

最佳实践建议

1. 根据服务访问需求明确选择使用公有IP还是私有IP
2. 对于生产环境，建议显式配置IP过滤策略，避免依赖默认行为
3. 测试环境可以先检查External-DNS日志，确认它获取到的IP地址是否符合预期
4. 对于混合云场景，可能需要更复杂的IP过滤规则

实现原理

External-DNS内部通过以下机制实现IP过滤：

1. 首先收集服务关联的所有端点IP地址
2. 应用配置的包含/排除网络过滤器
3. 对过滤后的IP地址列表进行DNS记录更新

这种设计提供了灵活性，可以适应不同网络架构的需求。

总结

通过合理配置External-DNS的IP过滤参数，可以解决OCI网络负载均衡器环境下的DNS记录更新问题。关键在于理解服务访问模式(内部/外部)并相应配置IP地址过滤策略。这种方案不仅适用于OCI，也可作为其他云平台类似问题的参考解决思路。