NebulaDNS 完整功能指南：k3s、Route53、可觀測性和企業級 DNS

源

本指南綜合了公共NebulaDNS 站點和儲存庫github.com/bwalia/nebuladns。里程碑和 GA 專案不斷發展 - 驗證您版本的發行說明。

架構概覽

該堆疊將控制平面（REST/gRPC、authn/z）、區域管理（驗證、DNSSEC 簽名、原子提交）、傳播驗證（輔助報告 SOA）分開，內容定址區域儲存和DNS 資料平面（UDP/TCP/DoT/DoH/DoQ、傳輸、DNSSEC 線上簽名器）。

功能目錄（“含電池”）

該專案推銷的 12 項主要功能— 在登陸頁面上進行了總結。

• API-first：REST/gRPC，用於區域、記錄、TSIG 輪換​​、回滾 — 作為瘦客戶端的 CLI/UI。
• 預設情況下可觀察：Prometheus/metrics、列舉型別標籤、JSON 日誌、OTLP 跟蹤。
• 驗證傳播：僅當宣告的輔助節點確認新的 SOA 序列時，部署才會完成。
• 對等軟體指紋識別：記錄version.bindCHAOS 式訊號，因此靜默 BIND 升級不會無形中削弱冗餘。
• 安全防鏽：無unsafe；對編解碼器、解析器、DNSSEC 簽名器進行連續模糊測試。
• 零 GC 尾延遲：確定性分配；透過arc-swap進行無鎖區域快照。
• 原子版本配置：內容定址區域；前滾/回滾，無需部分讀取。
• 確定性 SOA 序列：單調序列策略，以避免楔形恢復。
• Kubernetes-原生：Helm 圖表、操作器、CRDs（Zone、Record、Secondary、TsigKey、DeployGate）； GitOps 友好；路線圖上的 CoreDNS 叢集-DNS 替換路徑。
• 符合標準的線纜：嚴格的 RFC 覆蓋範圍；明確的錯誤型別（例如QdCountMismatch）。您可以看到
• 冗餘：儀表板意圖用於跨區域傳輸可見性。
• 強化預設值：systemd 強化、seccomp、非根容器、小型 distroless 映像。

對比定位（高水平）

該網站釋出了競爭矩陣（TinyDNS、BIND 9、Knot、NSD、PowerDNS、CoreDNS、NebulaDNS）。推出的差異化產品包括全 REST API、始終線上 Prometheus、內建傳播門、Kubernetes 運算子 + CRDs、對等指紋識別和記憶體安全實現。使用上游矩陣來獲取特定於版本的宣告。

指標目錄（示例）

站點中的示例包括查詢計數器、延遲直方圖、FORMERR 跟蹤、AXFR 嘗試、每個對等點的最後成功時間戳、傳播延遲和構建資訊。將名稱視為說明性的，直到您抓取正在執行的構建。

nebula_dns_queries_total{proto,qtype,rcode}
nebula_dns_query_duration_seconds_bucket{proto,qtype,le}
nebula_axfr_attempts_total{peer,zone,direction,result}
nebula_peer_version_info{peer,software,version}
nebula_zone_propagation_converged{zone}

k3s、CoreDNS 和 AWS 路由 53

• 路由 53：在 AWS 中保留公共委託和健康檢查；將 NS 記錄指向 NebulaDNS 輔助節點或執行與您的安全模型匹配的水平分割模式。
• k3s / RKE2：透過帶有 PDB + ServiceMonitor 的 Helm 部署 NebulaDNS；將 CoreDNS前向/存根與 NebulaDNS 對齊，以用於您在地產內負責服務的區域。
• 外部DNS：從 Ingress/LB 物件到公共記錄的可選橋接器 — 與傳播門協調，以便自動化無法過早標記“完成”。

路線圖說明

公共路線圖列出了 GA 期間的里程碑（線路/區域完整性、傳輸、DNSSEC、傳播驗證器、HA/多區域、運營商）。檢查PROJECT_PROMPT.md並在儲存庫中釋出以瞭解日期。

相關釋出文章

對於“為什麼是現在/AI 時代”的敘述，請閱讀NebulaDNS：AI 時代的遊戲規則改變者。

Workstation 如何幫助

我們幫助企業圍繞權威堆疊交付可觀察的 DNS和GitOps模式 — 請聯絡info@workstation.co.uk。