coredns hosts插件可实现公共域名向私有内网ip的秒级无缝截流，核心在于不修改客户端、不依赖上游dns、不穿透公网，解析响应直接由集群本地返回，真正达成毫秒级生效。
在大型混合多云 Kubernetes 集群中，用 CoreDNS 的 Hosts 插件 实现公共域名向私有内网 IP 的秒级无缝截流，核心在于：不改客户端、不依赖上游 DNS、不穿透公网，且解析响应直接来自集群本地——真正“秒级”（通常
明确 Hosts 插件的定位与优势
Hosts 插件本质是 CoreDNS 内置的静态映射引擎，行为类似 Linux 的 /etc/hosts，但作用于整个集群 DNS 层。它：
- 优先级高于 forward / kubernetes / rewrite 等插件，在匹配 zone 后立即返回 IP，无网络往返
- 不依赖外部 DNS 或 etcd，配置即生效，reload 后毫秒级就绪
- 对
A和AAAA查询直接响应，无额外日志或转发开销 - 天然支持通配（如
*.api.example.com），适合灰度或环境隔离场景
配置 Hosts 实现精准截流
关键不是“加一条记录”，而是让这条记录被所有业务 Pod 正确命中。需三步协同：
-
定义专属 zone 域名段：避免污染全局
.区域。例如，将所有需截流的公共域名归入example.com子域，并在 Corefile 中显式声明该 zone -
写入 hosts 映射表：格式严格为
IP 域名，一行一记录；支持注释（#开头），支持空格或制表符分隔 -
确保 CoreDNS 配置生效范围覆盖全部工作节点：修改
corednsConfigMap 后，必须滚动重启 CoreDNS Pod（或触发 reload），且验证其 ConfigMap 挂载到所有副本
示例 Corefile 片段：
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
example.com:53 {
errors
cache 30
hosts {
10.128.4.100 api.example.com
10.128.4.101 assets.example.com
10.128.4.102 # staging-api.example.com → 走内网网关
}
loadbalance round_robin
}
注意：example.com:53 表示仅对该 zone 下的查询启用此段逻辑；若需截流 www.example.com，必须确保其完整 FQDN 匹配 hosts 表中的条目（CoreDNS hosts 插件默认不自动补 search 域）。
保障“无缝”与“秒级”的实操要点
真实生产中，常见失效点不在配置本身，而在链路协同：
-
Pod 的 resolv.conf 必须指向 CoreDNS Service IP：检查
dnsPolicy: ClusterFirst是否全局启用；确认/etc/resolv.conf中nameserver是10.96.0.10（或对应 kube-dns Service ClusterIP） -
禁用客户端缓存干扰：应用层（如 Java 的
networkaddress.cache.ttl）、glibc 的net.nscd、甚至容器镜像自带的 dnsmasq 都可能缓存旧解析结果。建议统一设options ndots:5 single-request-reopen并关闭 nscd -
验证方式要绕过本地缓存：用
dig @<coredns-pod-ip> -p 53 api.example.com +short</coredns-pod-ip>直连测试，而非nslookup（易走宿主机缓存） -
批量更新时用 patch 替代 edit：避免 ConfigMap 全量覆盖导致意外删行；使用
kubectl patch configmap coredns -n kube-system --type='json' -p='[{"op": "add", "path": "/data/Corefile", "value": "..."}]'
与其它方案对比的关键差异
Hosts 截流不是万能解法，但最适合“确定性映射+低延迟要求”场景：
- vs Forward 插件：Forward 仍需发请求到上游 DNS，引入 RTT 和超时风险；Hosts 是纯内存查表，无网络依赖
- vs Rewrite 插件：Rewrite 改写查询名称后仍需后续插件（如 kubernetes）解析，适用于 Service 别名；Hosts 直接终结查询，适合指向非 K8s Service 的内网地址（如 DB、中间件、裸金属服务）
- vs ExternalDNS + 自建 DNS：ExternalDNS 依赖 Ingress/Service 注解同步，延迟秒级到分钟级；Hosts 修改即刻生效，适合紧急切流、蓝绿发布、安全隔离等强时效场景
只要映射关系稳定、变更频率不高（如每日 ≤ 数次），Hosts 是混合多云环境下最轻量、最可控、最可审计的截流手段。
