Мониторинг зелёный. Балансировщик отвечает. Сертификат на месте. А пользователи в чате пишут, что портала больше нет. Через сорок минут причина находится – и звучит она до обидного просто. Для portal.corp.example часть клиентов получает новый внутренний адрес, часть – старый, выведенный из эксплуатации на прошлой неделе. Приложение живо. Сеть «как будто» жива. Разъехался DNS.
Это не невезение, а закономерное следствие того, как устроено большинство инфраструктур. Публичная зона живёт у регистратора, внутренняя – в службе каталогов, отдельно лежат частные зоны в облаке, отдельно стоит резолвер на шлюзе «для фильтрации», плюс ещё один DNS работает внутри контейнерной платформы. У каждого слоя свои люди, свой срок жизни записей и свой способ что-то поменять.
Пока всё совпадает – тишина. Стоит обновить один контур и забыть про второй, как симптомы начинают маскироваться подо что угодно: «тупит балансировщик», «VPN виноват», «1С тормозит». Вокруг при этом давно выстроен принцип «нулевого доверия»: проверки устройств, красивые схемы доступа, политики на каждый чих. DNS в эти схемы часто так и не вошёл. А зря – именно резолвер первым решает, существует ли для пользователя сервис и какой адрес считать правильным.
Анонс Cloudflare Internal DNS
Поводом для статьи стал анонс Cloudflare Internal DNS от 20 июля 2026 года: сервис вышел в общую доступность для корпоративных клиентов Cloudflare Gateway. Вендор собрал публичный и внутренний DNS рядом с защитным резолвером и описал систему через три объекта – внутренние зоны, представления (views) и политики резолвера.
Это не новый стандарт DNS и не единственно возможная реализация. Но как архитектурная рамка модель полезна: она заставляет отдельно описать данные, аудитории и правила выбора ответа. Дальше разберём эту идею без требования покупать конкретную платформу.
Перенос идей в гибридный контур
Что можно перенести в свой гибридный контур, где понадобятся BIND, Windows DNS или облачные зоны, а какие функции могут быть реализованы с помощью новых подходов? Важно понимать, что интеграция DNS в общую архитектуру управления сетью может значительно повысить её устойчивость и предсказуемость.
