解析私有 DNS

1. 在 Cloudflare 仪表板 ↗ 中，前往 Zero Trust > Team & Resources（团队和资源） > Devices（设备） > Device profiles（设备配置文件） > General profiles（常规配置文件）。
2. 找到您要查看或修改的 设备配置文件，然后选择 Configure（配置）。
3. 向下滚动到 Local Domain Fallback（本地域名回退） 并选择 Manage（管理）。

4. 在 **Domain（域名）**中，输入您想使用私有 DNS 服务器解析的顶级域（example.com）。该顶级域下的所有前缀都将受到 Local Domain Fallback 的约束（换句话说，example.com 被解释为 *.example.com）。

5. 在 **DNS Servers（DNS 服务器）**中，输入应解析该域名的 DNS 服务器的 IP 地址。Cloudflare 建议将列表限制在最多八个服务器，以避免性能问题。

6. 输入可选的描述，然后选择 Save domain（保存域名）。

Local Domain Fallback 列表的范围限定为特定的设备配置文件。如果设备配置文件没有对应的 Local Domain Fallback 资源，这些设备将使用步骤 2 中显示的默认本地域。

1. 向您的 cloudflare_api_token ↗ 添加以下权限：

   • Zero Trust Write

2. （可选）创建一个可以在多个设备配置文件中重复使用的域名列表。例如，您可以在与设备配置文件相同的模块中声明本地值：

   locals {
   	default_local_domains = [
   		# Cloudflare 推荐的默认 Local Domain Fallback 条目
       {
     suffix = "corp"
   },
   {
     suffix = "domain"
   },
   {
     suffix = "home"
   },
   {
     suffix = "home.arpa"
   },
   {
     suffix = "host"
   },
   {
     suffix = "internal"
   },
   {
     suffix = "intranet"
   },
   {
     suffix = "invalid"
   },
   {
     suffix = "lan"
   },
   {
     suffix = "local"
   },
   {
     suffix = "localdomain"
   },
   {
     suffix = "localhost"
   },
   {
     suffix = "private"
   },
   {
     suffix = "test"
   }
   	]
   }

3. 要为默认设备配置文件配置 Local Domain Fallback，请使用 cloudflare_zero_trust_device_default_profile_local_domain_fallback ↗ 资源。要为自定义设备配置文件配置 Local Domain Fallback，请使用 cloudflare_zero_trust_device_custom_profile_local_domain_fallback ↗。例如：

   resource "cloudflare_zero_trust_device_custom_profile_local_domain_fallback" "example" {
   	account_id = var.cloudflare_account_id
   	policy_id  = cloudflare_zero_trust_device_custom_profile.example.id
   	domains = concat(
   		# 全局条目
   		local.default_local_domains,
   
   		# 特定于配置文件的条目
   		[
   			{
   			suffix = "example.com"
   			description = "本地开发域名"
   			dns_server = ["1.1.1.1", "192.168.0.1"]
   			}
   		]
   	)
   }

对于 suffix，指定您想使用私有 DNS 服务器解析的顶级域（example.com）。该顶级域下的所有前缀都将受到 Local Domain Fallback 的约束（换句话说，example.com 被解释为 *.example.com）。对于 dns_server，输入应解析该域名的 DNS 服务器的 IP 地址。Cloudflare 建议将列表限制在最多八个服务器，以避免性能问题。

1. 在 Cloudflare 仪表板 ↗中，转到 Zero Trust > Traffic policies（流量策略）> Resolver policies（解析器策略）。

2. 选择 Add a policy（添加策略）。

3. 为您期望的流量创建一个表达式。例如，您可以解析内部服务的主机名：

   选择器	运算符	值
   Host（主机）	in（属于）	internal.example.com

   确保您的目标不受本地域回退的限制。

4. 在 Select DNS resolver（选择 DNS 解析器） 中，选择 Configure custom DNS resolvers（配置自定义 DNS 解析器）。

5. 输入自定义 DNS 解析器的 IP 地址。当您输入 IP 地址时，Gateway 将在 Zero Trust 中配置的虚拟网络中进行搜索。

6. 在 Network（网络） 中，选择是公开路由查询（路由到互联网）还是私有路由查询（路由到私有网络服务）。

7. （可选）为每个 IP 地址输入自定义端口。

8. 选择 Create policy（创建策略）。

自定义解析器将保存到您的账户中以备后用。您可以在一个策略中添加最多 10 个 IPv4 和 10 个 IPv6 地址。

1. 向您的 cloudflare_api_token ↗ 添加以下权限：

   • Zero Trust Write

2. 使用 cloudflare_zero_trust_gateway_policy ↗ 资源创建解析器策略：

   resource "cloudflare_zero_trust_gateway_policy" "resolver_policy" {
   	name        = "Example resolver policy"
   	enabled     = true
   	account_id  = var.cloudflare_account_id
   	description = "TERRAFORM MANAGED resolver policy"
   	action      = "resolve"
   	traffic     = "dns.fqdn in {\"internal.example.com\"}"
   	identity    = "identity.email in {\"[email protected]\"}"
   	precedence  = 1
   	rule_settings = {
   			dns_resolvers = {
   			# 您可以在一个策略中添加最多 10 个 IPv4 和 10 个 IPv6 地址。
   				ipv4 = [{
   					ip = "192.0.2.24"
   					port = 53
   					route_through_private_network = true
   					vnet_id = cloudflare_zero_trust_tunnel_cloudflared_virtual_network.staging_vnet.id
   				}]
   				ipv6 = [{
   					ip = "2001:DB8::"
   					port = 53
   					route_through_private_network = true
   					vnet_id = cloudflare_zero_trust_tunnel_cloudflared_virtual_network.staging_vnet.id
   				}]
   			}
   	}
   }