同一 VPC 中的内部 VM 必须私密访问 myglobalapp.terramearth.com（不能使用全局外部 IP）。公共 DNS 当前将该名称解析为公共 IP。遵循 Google 最佳实践，您应如何配置 Cloud DNS，以便内部客户端通过其私有 IP 访问该应用程序？

正确答案是创建一个 Cloud DNS 私有区域。通过为 myglobalapp.terramearth.com 创建一个私有区域，并在此区域内添加指向应用程序内部 IP 的 A 记录，然后将该私有区域绑定到您的 VPC，可以确保 VPC 内的 VM 在查询 myglobalapp.terramearth.com 时，会优先解析到内部 IP 地址。这遵循了 Google Cloud 的最佳实践，即使用私有区域进行内部 DNS 解析覆盖，从而实现私密访问。 其他选项不正确的原因： 创建子域 internal.terramearth.com 并添加记录，不会自动覆盖 myglobalapp.terramearth.com 的公共解析，VM 仍然会尝试解析原始名称。 Cloud DNS 不支持配置查询逻辑脚本来检测源 IP 并动态返回不同 IP。 修改每个客户端的 hosts 文件不具扩展性，且将公共记录更改为内部静态 IP 会导致外部访问中断。