微信扫码资讯 微信扫码资讯

【强叔秘籍】第9招:多出口等价路由场景下DNS的一个问题

AppSo
AppSo
48
文章
0
评论
2020-02-2307:35:11 常见问题阅读 1,483
设备现网运行过程中发现多出口等价路由DNS的一个问题,需要通过配置Eays-IP方式的源NAT规避。

1 9招:多出口等价路由场景下DNS的一个问题

图1-1 多出口等价路由DNS组网图

【强叔秘籍】第9招:多出口等价路由场景下DNS的一个问题- 如上图是一个典型的防火墙多出口场景。防火墙通过配置等价路由实现多出口的负载分担。 【强叔秘籍】第9招:多出口等价路由场景下DNS的一个问题-1 防火墙作为DNS代理或者防火墙自身需要访问域名(如访问sec.huawei.com)时,防火墙会构造DNS查询报文,向上一级DNS服务器查询。在多出口等价路由场景下,防火墙构造DNS查询报文时,报文的源地址会取第一个等价路由的出接口IP地址。例如,本示例中,第一个等价路由出接口是GE1/0/2DNS查询报文的源IP地址就是1.1.1.1 从防火墙的会话表中就可以看出这点。如下的会话表中,防火墙发出的DNS查询报文,不论是从GE1/0/2接口还是从GE1/0/3接口发出的,报文的源IP地址都是GE1/0/2接口的IP地址1.1.1.1 【强叔秘籍】第9招:多出口等价路由场景下DNS的一个问题-2
这种情况下,连接ISP2的接口GE1/0/3发出的DNS查询报文,源IP地址是ISP1IP地址,可能会被ISP2丢弃。为了规避这种问题,需要配置Easy-IP方式的源NAT,将DNS报文的源IP地址转换为出接口的IP地址,保证DNS查询报文的源地址和报文出接口的IP地址一致。 配置方法如下: 【强叔秘籍】第9招:多出口等价路由场景下DNS的一个问题-3 完成上述配置后,DNS查询报文的源IP地址转换为接口IP地址,会话表如下: 【强叔秘籍】第9招:多出口等价路由场景下DNS的一个问题-4

文章转载自微信公众号华为产品资料

相关推荐