腾讯云私有域解析PrivateDNS完全对接指南：从VPC内网解析到混合云互联

apphuang2026年07月09日 16:23:4913

1. 引言：为什么需要私有域解析

在传统IDC架构中，内网域名解析通常依赖自建DNS服务器或修改各主机的hosts文件来实现。自建DNS服务器虽然功能强大，但运维成本高、扩展性差；而修改hosts文件的方式则完全无法应对规模化场景，每新增一台服务器或变更一次IP地址，都需要逐台修改，极易出错且难以维护。当业务整体迁移到腾讯云VPC环境后，这一问题有了更优雅的解决方案——私有域解析PrivateDNS。

私有域解析PrivateDNS是腾讯云面向企业内网场景（主要为VPC环境）提供的完整DNS解析服务，涵盖私有域管理、递归解析等功能模块。它的核心价值在于：允许用户在VPC内灵活定制任意私有域名，无需担心域名被他人注册，也不必担心在VPC之外能查询到这些私有域名。通过私有域名记录，可以方便地管理VPC关联的CVM、CLB、CDN、COS等腾讯云自有资源，而这些私有域名在VPC之外完全无法访问，天然具备内网隔离的安全特性。

需要先登录腾讯云控制台，点击：腾讯云控制台，还没有账号，点击：注册后再关联，已有账号点击：登录后再关联

2. PrivateDNS核心概念与术语

在深入操作之前，有必要先了解PrivateDNS的几个核心概念：

私有域（Private Zone）：用户自定义且仅在指定VPC内可解析的虚拟域名，相当于传统DNS中的Zone。私有域不需要在域名服务商处注册，支持自定义创建符合IANA规范的标准TLD域名。
解析记录（DNS Record）：私有域中设置的域名映射规则，将子域名指向具体的资源地址。
关联VPC：将私有域名关联一个或多个需要配置的VPC，关联后该VPC内的所有云资源才能解析该私有域。
子域名递归解析：开启后，当私有域中未配置某子域名的解析记录时，查询请求会自动转至公共DNS进行解析。
递归解析：为VPC内终端提供公网域名解析服务，需配合腾讯云默认DNS（183.60.83.19、183.60.82.98）使用。

PrivateDNS的解析结果仅在关联的VPC内生效，与公网DNS完全隔离。同时它支持子域名递归解析——当私有域中未配置某子域名的解析记录时，查询请求会自动转至公共DNS进行解析。这一设计既保证了私有域配置的灵活性，又不会阻断对公网域名的正常访问。

3. 私有域管理与解析记录配置

3.1 创建私有域

私有域是PrivateDNS的核心资源对象，所有解析操作都围绕私有域展开。创建私有域的操作步骤如下：

登录腾讯云DNSPod控制台，进入内网解析页面。
在域名列表页签中，单击新建私有域。
填写私有域相关信息：
- 域名：自定义输入想要创建的私有域名，支持符合IANA规范的标准TLD域名。如需创建非IANA标准的TLDs私有域名，可购买增值服务优惠包。
- 关联VPC：选择当前PrivateDNS支持的地域且已创建的VPC进行关联，同一私有域名不支持关联同一VPC。
- 标签：通过标签对云资源进行分类、搜索和聚合。
- 备注：填写私有域备注信息以便管理。
- CNAME加速：开启后，在设置多级CNAME记录时减少解析次数，提升解析速度。
- 子域名递归解析：根据实际需求选择开启或关闭，默认状态为关闭。
单击确定，完成私有域创建。

3.2 支持的解析记录类型

PrivateDNS支持的记录类型覆盖了绝大多数业务场景：

A记录：将域名指向IPv4地址，是最常用的记录类型。
AAAA记录：将域名指向IPv6地址。
CNAME记录：别名记录，将域名指向另一个域名。
MX记录：邮件交换记录，用于邮件服务器的路由。
TXT记录：可填写任意文本，长度限制255个字符，常用于SPF反垃圾邮件验证。
PTR记录：反向解析记录，从IP地址映射到域名。
SRV记录：标识某台服务器提供的特定服务，格式为"服务名.协议类型"，如_sip._tcp。
SPF记录：指定允许发送邮件的服务器，是一种高效的反垃圾邮件解决方案。
CAA记录：授权指定CA机构为域名签发SSL证书，防止SSL证书错误签发。

3.3 添加解析记录

私有域创建完成后，需要为其添加解析记录才能实际生效。操作路径为：在DNSPod控制台的内网解析页面，单击需要进行解析的私有域名称，进入解析记录控制台，即可为该私有域添加解析记录。每条解析记录包含主机记录、记录类型、记录值、TTL（生存时间）等核心字段，其中TTL支持自定义输入。

4. VPC关联与跨账号授权

4.1 私有域与VPC的关联

私有域创建后，需要关联到一个或多个VPC才能生效。关联后，该VPC内的所有云资源（CVM、容器、负载均衡等）都可以通过私有域名进行内网访问。需要注意的是：

相同名称的私有域名不能关联同一个VPC。
私有域关联VPC后，在对应的VPC内访问该私有域时，私有域内的解析记录将覆盖公共网络中的现有域名。

4.2 跨账号关联VPC

在企业级场景中，经常需要将账号A的私有域关联到账号B的VPC。PrivateDNS支持跨账号关联VPC，操作流程如下：

步骤一：B账号给A账号进行角色授权

使用B账号登录腾讯云访问管理控制台，进入角色页面，单击新建角色。
在选择角色载体窗口中，单击腾讯云账户。
在新建自定义角色页面，云账号类型选择"其他主账号"，填写A账号的账号ID。
配置角色策略，查找并勾选QcloudVPCReadOnlyAccess策略。
角色名称必须按照格式填写：PRIVATEDNS_ACCOUNT_被授权UIN（即A账号UIN）。

步骤二：A账号添加B账号为关联账号

使用A账号登录私有域解析PrivateDNS控制台。
选择需要授权的私有域，单击关联VPC。
在弹出的窗口中单击添加账号，输入B账号的账号ID。
关联成功后，即可对B账号的VPC进行关联或修改等操作。

5. 子域名递归解析：内网劫持与公网回退

子域名递归解析是PrivateDNS的一项重要特性，它实现了内网解析与公网解析的智能融合。

5.1 工作原理

开启子域名递归解析功能后，当客户端在VPC内发起DNS请求时，PrivateDNS的处理逻辑如下：

如果请求的子域名在私有域中已配置解析记录，则直接返回私有记录（内网IP）。
如果请求的子域名未在私有域中配置解析记录：
- 开启子域名递归解析：将查询请求转发至公共DNS进行解析，返回公网IP。
- 未开启子域名递归解析：返回SOA记录，无法正常解析。

例如，私有域名为dnspod.cn，配置了01.dnspod.cn、02.dnspod.cn、03.dnspod.cn三条私有A记录指向内网IP。当请求01.dnspod.cn时返回内网IP；当请求www.dnspod.cn（未配置）时，若开启了子域名递归解析，则进行递归查询返回公网DNS解析结果。

5.2 应用场景

这一功能在混合场景中尤其实用——既希望部分子域名指向内网IP实现内网访问，又希望未配置的子域名能够正常访问公网。典型场景包括：

企业内网门户使用私有域名，同时员工需要访问公网服务。
微服务架构中，部分服务部署在内网，部分服务部署在公网。
混合云场景下，云上应用需要同时访问云内和云外资源。

开启或关闭子域名递归解析可以在创建私有域时设置，也可以在后续通过私有域设置页签随时调整。

6. 混合云场景：出站转发规则与入站终端节点

PrivateDNS不仅支持VPC内的私有域名解析，还通过转发规则和终端节点能力打通了混合云场景。

6.1 出站转发规则

出站转发规则通过创建域名转发规则和DNS出站终端节点，将腾讯云VPC下的内网域名解析请求流量转发至外部DNS系统。这在混合云架构中至关重要——云上环境内的应用和服务需要访问云下（本地数据中心或其他云）托管的内网资源时，云上PrivateDNS服务器配置转发规则，命中规则的内网域名请求自动转发到云下的DNS服务器。

转发流程如下：

云上资源尝试访问example.com。
DNS客户端向PrivateDNS服务器发起查询请求。
PrivateDNS检查配置的规则，发现example.com匹配转发规则。
PrivateDNS将查询请求封装，通过出站终端节点转发给云下指定的本地DNS服务器（如10.1.0.100）。
云下本地DNS在其本地数据库中找到example.com的IP地址记录（如192.168.10.20）。
云下本地DNS将解析结果通过私网连接返回给PrivateDNS。
PrivateDNS将解析结果返回给最初发起查询的云上资源。
云上资源使用获得的IP地址，通过私网连接访问云下的example.com。

创建出站终端节点的操作步骤：

登录DNSPod控制台，进入内网解析页面，单击转发管理页签。
在转发管理页面中单击出站终端节点。
单击创建终端节点。
配置终端节点名称、地域、所属网络、网络接入类型（内网CLB或CCN路由）、转发目标（最多支持5个转发目标IP和端口）。

计费说明：出站终端节点IP按1元/个/小时计费，转发解析量按0.03元/万次按量付费。目前转发规则功能开放的地域包括北京、广州、杭州、上海、新加坡、东京、法兰克福等。

6.2 入站终端节点与服务地址

入站终端节点允许将外部DNS请求引入腾讯云内的PrivateDNS进行解析。通过创建入站终端节点，可以分配自定义的内网DNS解析服务地址，有效解决混合云、云上与云下业务之间的调用场景。

入站终端节点的计费模式与出站终端节点相同：入站终端节点IP按1元/个/小时计费，入站解析量按0.03元/万次按量付费。

7. API接口与SDK编程实践

PrivateDNS提供了完整的API接口体系，支持通过编程方式管理私有域和解析记录。

7.1 API概览

所有API接口的请求域名为：privatedns.tencentcloudapi.com。核心接口包括：

开通服务：SubscribePrivateZoneService
创建私有域：CreatePrivateZone
批量创建私有域：CreatePrivateZoneList
添加解析记录：CreatePrivateZoneRecord
批量添加解析记录：CreatePrivateZoneRecordList
获取私有域列表：DescribePrivateZoneList
获取解析记录列表：DescribePrivateZoneRecordList
修改解析记录：ModifyPrivateZoneRecord
删除解析记录：DeletePrivateZoneRecord
修改私有域关联VPC：ModifyPrivateZoneVpc
获取操作日志：DescribeAuditLog

推荐使用API Explorer进行在线调试，它提供了在线调用、签名验证、SDK代码生成和快速检索接口等能力。

7.2 Python SDK完整示例

腾讯云官方提供了Python SDK，可以通过pip安装使用：

pip install tencentcloud-sdk-python-common
pip install tencentcloud-sdk-python-privatedns

以下是一个完整的Python代码示例，演示了如何创建私有域、添加A记录、查询解析记录：

import json
from tencentcloud.common import credential
from tencentcloud.common.profile.client_profile import ClientProfile
from tencentcloud.common.profile.http_profile import HttpProfile
from tencentcloud.privatedns.v20201028 import privatedns_client, models

# 配置认证信息
cred = credential.Credential("您的SecretId", "您的SecretKey")

# 配置HTTP
httpProfile = HttpProfile()
httpProfile.endpoint = "privatedns.tencentcloudapi.com"

clientProfile = ClientProfile()
clientProfile.httpProfile = httpProfile

# 创建客户端
client = privatedns_client.PrivatednsClient(cred, "ap-guangzhou", clientProfile)

# 1. 创建私有域
def create_private_zone(domain):
    req = models.CreatePrivateZoneRequest()
    params = {
        "Domain": domain,
        "Remark": "通过Python SDK创建",
        "DnsForward": True  # 开启子域名递归解析
    }
    req.from_json_string(json.dumps(params))
    resp = client.CreatePrivateZone(req)
    print(f"私有域创建成功: {resp.ZoneId}")
    return resp.ZoneId

# 2. 添加A记录
def add_a_record(zone_id, sub_domain, record_value):
    req = models.CreatePrivateZoneRecordRequest()
    params = {
        "ZoneId": zone_id,
        "RecordType": "A",
        "SubDomain": sub_domain,
        "RecordValue": record_value,
        "TTL": 600
    }
    req.from_json_string(json.dumps(params))
    resp = client.CreatePrivateZoneRecord(req)
    print(f"A记录添加成功: {resp.RecordId}")
    return resp.RecordId

# 3. 查询私有域列表
def list_private_zones():
    req = models.DescribePrivateZoneListRequest()
    params = {
        "Offset": 0,
        "Limit": 20
    }
    req.from_json_string(json.dumps(params))
    resp = client.DescribePrivateZoneList(req)
    print(f"共有 {resp.TotalCount} 个私有域")
    for zone in resp.PrivateZoneSet:
        print(f"  - {zone.Domain} (ID: {zone.ZoneId})")
    return resp.PrivateZoneSet

# 4. 查询解析记录
def list_records(zone_id):
    req = models.DescribePrivateZoneRecordListRequest()
    params = {
        "ZoneId": zone_id,
        "Offset": 0,
        "Limit": 20
    }
    req.from_json_string(json.dumps(params))
    resp = client.DescribePrivateZoneRecordList(req)
    print(f"共有 {resp.TotalCount} 条解析记录")
    for record in resp.RecordSet:
        print(f"  - {record.SubDomain}.{record.ZoneId} {record.RecordType} {record.RecordValue}")
    return resp.RecordSet

# 5. 关联VPC
def associate_vpc(zone_id, vpc_id, vpc_region):
    req = models.ModifyPrivateZoneVpcRequest()
    params = {
        "ZoneId": zone_id,
        "VpcSet": [
            {
                "UniqVpcId": vpc_id,
                "Region": vpc_region
            }
        ]
    }
    req.from_json_string(json.dumps(params))
    resp = client.ModifyPrivateZoneVpc(req)
    print(f"VPC关联成功: {resp.RequestId}")
    return resp

# 主程序
if __name__ == "__main__":
    # 创建私有域
    zone_id = create_private_zone("internal.example.com")
    
    # 添加A记录
    add_a_record(zone_id, "api", "10.0.1.100")
    add_a_record(zone_id, "web", "10.0.1.101")
    
    # 查询私有域列表
    list_private_zones()
    
    # 查询解析记录
    list_records(zone_id)
    
    # 关联VPC（需替换为实际的VPC ID和地域）
    # associate_vpc(zone_id, "vpc-xxxxxxxx", "ap-guangzhou")

8. 安全与权限管理（CAM）

PrivateDNS支持通过访问管理（CAM）进行精细化的权限控制。

8.1 授权粒度

PrivateDNS的授权粒度分为三个级别：

服务级：定义对服务整体的访问权限，如允许或拒绝全部操作。
操作级：针对特定API接口的授权，不支持对某一个特定资源进行授权。
资源级：支持指定用户对哪些特定资源（如某个私有域）具有操作权限。PrivateDNS大部分接口支持资源级授权。

8.2 资源六段式

资源级授权的资源六段式格式为：

qcs::privatedns::$accountid:zone/$zoneId

其中$accountid为资源拥有者的AccountId（可留空），$zoneId为特定私有域的ID。如果授权所有的私有域，可以填写"*"。

8.3 常用策略

完全访问权限：配置策略QcloudPrivateDNSFullAccess。
只读访问权限：配置策略QcloudPrivateDNSReadOnlyAccess。
自定义策略：根据业务需要，限制子账号仅能操作特定私有域或特定类型的操作。

9. 监控与审计

9.1 操作日志

PrivateDNS提供了操作日志查询接口DescribeAuditLog，可以获取私有域解析的所有操作记录。默认接口请求频率限制为20次/秒。操作日志可用于安全审计、故障排查和合规性检查。

9.2 DNS请求监控

VPC内每台实例的DNS请求有明确的阈值限制：单实例每秒最高DNS请求为5000次（包括私有域解析和外部递归解析总量），超过限制阈值后将面临限速风险。此外，VPC内单台实例的外部递归解析请求阈值为100次/秒。

腾讯云安全中心还提供了基于PrivateDNS公网递归解析日志的DNS威胁监测方案，无需任何变更或部署代理，即可自动梳理全网主机域名请求情况，识别异常命中。

10. 使用限制与配额

在使用PrivateDNS时，需要关注以下限制：

私有域数量：同一个UIN账号下最多支持创建500个私有域。
解析记录数量：同一个UIN账号下最多支持添加10万条DNS解析记录。
子域名数量：最大子域名数量为10万条。
最小TTL：支持最小1秒。
DNS请求阈值：VPC内单实例每秒最高5000次（含私有域解析和外部递归解析）。
递归解析阈值：VPC内单实例外部递归解析请求100次/秒。

如果不使用腾讯云默认DNS（183.60.83.19、183.60.82.98），将无法使用私有域解析PrivateDNS提供的服务。如需修改CVM的DNS配置，请注意保持使用腾讯云默认DNS地址。

11. 计费说明

PrivateDNS采用按量付费的计费方式，收费项为私有域名数量加解析请求量，以自然日为单位进行结算。

11.1 计费项

私有域数量：每个私有域按0.1元/天收费，运行未满一个自然日不计费。国际站为每个私有域0.015美元/天。
解析请求量：按0.03元/万次请求计费。国际站为0.004美元/万次请求。
出站/入站终端节点：1元/个/小时。
转发解析量：0.03元/万次。

私有域解析PrivateDNS提供免费额度，每个自然月的解析请求消耗总量超出免费额度后按正常使用进行计费。

12. 最佳实践建议

12.1 命名规范

建议建立统一的私有域命名规范，例如使用"internal.公司域名.com"或"prod.服务名.local"的格式，便于识别和管理。同时利用标签功能对私有域进行分类和搜索。

12.2 安全加固

使用CAM进行最小权限授权，避免使用主账号密钥。
私有域默认设置为私有权限，仅在关联的VPC内生效。
定期通过DescribeAuditLog审计操作日志，及时发现异常操作。

12.3 性能优化

合理设置TTL值，对于不常变化的记录可设置较大的TTL（如600秒以上）以减少解析请求量，降低费用。
开启CNAME加速功能，减少多级CNAME记录的解析次数。
关注单实例DNS请求阈值（5000次/秒），避免高并发场景下的限速风险。

12.4 混合云场景

合理规划出站转发规则，仅将需要访问云下资源的域名配置转发规则，避免不必要的转发开销。
出站终端节点最多支持绑定5个转发目标IP和端口，可根据需要配置多个目标以实现高可用。
确保云下DNS服务器与腾讯云VPC之间的网络连通性（通过专线、VPN或CCN）。

13. 常见问题

Q1：PrivateDNS会覆盖公共域名吗？

添加私有域后并不会立即覆盖公共网络中存在的域名。只有当私有域关联上VPC之后，在对应的VPC内访问该私有域时，才会覆盖公共网络中的现有域名。

Q2：私有域需要注册吗？

不需要。私有域是仅在关联VPC内生效的虚拟域名，不需要在域名服务商处注册。

Q3：PrivateDNS支持中文域名吗？

支持创建中文域名。

Q4：不支持IANA标准TLD的域名怎么办？

可以购买增值服务优惠包来支持非IANA标准的TLDs私有域名。

Q5：如何查看PrivateDNS的解析请求量？

可以通过DescribeRequestData接口获取私有域解析请求量数据，也可以在控制台的监控页面查看相关统计数据。

Q6：PrivateDNS的可用性SLA是多少？

私有域解析付费版的可用性SLA为99.99%，但需注意单实例DNS请求超过5000次/秒阈值后将面临限速风险，SLA将无法保证。