用 ExternalDNS 自动维护 DNS 记录

适用场景

Kubernetes 中的 Ingress、Service 或 Gateway 经常变化，手工维护 DNS 容易遗漏。ExternalDNS 根据资源注解自动创建、更新和清理 DNS 记录。

前置条件

• 一个 DNS 服务商账号（Route53、Cloudflare、阿里云 DNS、腾讯云 DNSPod 等）。
• 最小权限的 API 凭据，只允许管理目标 zone。
• 明确哪些域名由 ExternalDNS 管理，避免误删其他记录。
• 集群能访问 DNS 服务商 API。

步骤

1. 创建凭据 Secret（以 Cloudflare 为例）：

kubectl create namespace external-dns
kubectl -n external-dns create secret generic cloudflare-api-token \
  --from-literal=cloudflare_api_token="$CF_API_TOKEN"

2. 使用 Helm 安装：

helm repo add external-dns https://kubernetes-sigs.github.io/external-dns/
helm install external-dns external-dns/external-dns \
  --namespace external-dns \
  --set provider.name=cloudflare \
  --set env[0].name=CF_API_TOKEN \
  --set env[0].valueFrom.secretKeyRef.name=cloudflare-api-token \
  --set env[0].valueFrom.secretKeyRef.key=cloudflare_api_token \
  --set domainFilters[0]=example.com \
  --set policy=sync \
  --set registry=txt \
  --set txtOwnerId=prod-cluster

3. 给 Ingress 或 Service 加注解：

kubectl annotate ingress demo external-dns.alpha.kubernetes.io/hostname=demo.example.com

4. 如果使用内部负载均衡，设置目标：

kubectl annotate service demo \
  external-dns.alpha.kubernetes.io/hostname=api.internal.example.com \
  external-dns.alpha.kubernetes.io/ttl=60

5. 观察日志和 DNS 记录：

kubectl -n external-dns logs deploy/external-dns -f
dig +short demo.example.com

验证

• Ingress/Service 创建后，DNS 记录在几分钟内出现。
• 修改 hostname 后，旧记录被更新或清理。
• 删除资源后，policy=sync 会删除对应记录。
• TXT registry 记录存在，多个集群不会互相覆盖。
• 日志中没有权限错误或 rate limit。

回滚

• 将 policy 改为 upsert-only，停止删除记录。
• 删除 ExternalDNS Deployment 不会删除已有 DNS 记录。
• 切换 provider 时保留旧凭据和旧记录，确认新记录生效后再清理。
• 误删记录时从 DNS 服务商的版本历史或备份恢复。

常见坑

• domainFilters 没配，ExternalDNS 可能扫描并修改所有 zone。
• policy=sync 权限过大，删除资源时误删手工维护的记录。
• 多个集群使用相同 txtOwnerId，记录互相覆盖。
• DNS 服务商 API 限流，记录创建延迟或失败。
• Ingress 没有外部地址，ExternalDNS 生成空目标。
• TTL 设置过长，切换流量后旧记录缓存很久。
• 云厂商的 zone 和 record 权限分离，缺少 list 权限导致启动失败。

相关命令

• external-dns — 控制器
• kubectl — 注解 Ingress/Service 和查看日志
• dig / nslookup — 验证解析
• aws / aliyun / tccli — 检查云 DNS 记录