目  录

1 域名解析

1.1 域名解析简介

1.1.1 域名解析类型

1.1.2 静态域名解析

1.1.3 服务器域名解析

1.1.4 DNS代理

1.1.5 DNS spoofing

1.2 域名解析配置任务简介

1.3 配置DNS客户端

1.3.1 功能简介

1.3.2 配置静态域名解析

1.3.3 配置服务器域名解析

1.4 配置DNS proxy

1.4.2 开启DNS proxy功能

1.4.3 配置域名服务器的地址

1.5 配置DNS spoofing

1.6 配置DNS Snooping功能

1.7 配置DNS源地址透明代理

1.8 配置DNS报文的源接口

1.9 指定DNS报文的DSCP优先级

1.10 域名解析显示和维护

1.11 域名解析常见故障处理

1.11.1 无法解析到正确的IP地址

1.11.2 无法解析到正确的IPv6地址

1 域名解析

1.1  域名解析简介

DNS（Domain Name System，域名系统）是一种用于TCP/IP应用程序的分布式数据库，提供域名与IP地址之间的转换。通过域名系统，用户进行某些应用时，可以直接使用便于记忆的、有意义的域名，而由网络中的域名解析服务器将域名解析为正确的IP地址。

1.1.1  域名解析类型

域名解析分为静态域名解析和动态域名解析，二者可以配合使用。在解析域名时，首先采用静态域名解析（查找静态域名解析表），如果静态域名解析不成功，再采用动态域名解析。由于动态域名解析需要域名服务器（DNS server）或域名服务器组的配合，会花费一定的时间，因而可以将一些常用的域名放入静态域名解析表中，这样可以大大提高域名解析效率。

1.1.2  静态域名解析

静态域名解析就是手工建立域名和IP地址之间的对应关系。当用户使用域名进行某些应用（如telnet应用）时，系统查找静态域名解析表，从中获取指定域名对应的IP地址。

1.1.3  服务器域名解析

1. 体系结构

图1-1 服务器域名解析

用户程序、DNS客户端及域名服务器的关系如图1-1所示，其中解析器和缓存构成DNS客户端。用户程序、DNS客户端在同一台设备上，而DNS客户端和域名服务器一般分布在两台设备上。

目前，设备只能作为DNS客户端，不能作为DNS服务器。

2. 解析过程

服务器域名解析通过向域名服务器查询域名和IP地址之间的对应关系来实现将域名解析为IP地址。服务器域名解析过程如下：

(1)     当用户使用域名进行某些应用时，用户程序首先向DNS客户端中的解析器发出请求。

(2)     DNS客户端收到请求后，首先查询本地的域名缓存。如果存在已解析成功的映射项，就将域名对应的IP地址返回给用户程序；如果未发现所要查找的映射项，就向域名服务器发送查询请求。

(3)     域名服务器首先从自己的数据库中查找域名对应的IP地址。如果判断该域名不属于本域范围，就将请求交给其他域名服务器处理，直到完成解析，并将解析的结果返回给DNS客户端。

(4)     DNS客户端收到域名服务器的响应报文后，将解析结果返回用户程序。

3. 缓存功能

服务器域名解析支持缓存功能。每次解析成功的域名与IP地址的映射均存放在DNS客户端的动态域名缓存区中，当下一次查询相同域名的时候，就可以直接从缓存区中读取，不用再向域名服务器进行请求。缓存区中的映射在一段时间后会老化而被删除，以保证及时从域名服务器得到最新的内容。老化时间由域名服务器设置，DNS客户端从域名服务器的应答报文中获得老化时间。

4. 域名后缀列表功能

服务器域名解析支持域名后缀列表功能。用户可以预先设置一些域名后缀，在域名解析的时候，用户只需要输入域名的部分字段，系统会自动将输入的域名加上不同的后缀进行解析。例如，用户想查询域名aabbcc.com，那么可以先在后缀列表中配置com，然后输入aabbcc进行查询，系统会自动将输入的域名与后缀连接成aabbcc.com进行查询。

使用域名后缀的时候，根据用户输入域名方式的不同，查询方式分成以下几种情况：

·     如果用户输入的域名中没有“.”，比如aabbcc，系统认为这是一个主机名，会首先加上域名后缀进行查询，如果所有加后缀的域名查询都失败，将使用最初输入的域名（如aabbcc）进行查询。

·     如果用户输入的域名中间有“.”，比如www.aabbcc，系统直接用它进行查询，如果查询失败，再依次加上各个域名后缀进行查询。

·     如果用户输入的域名最后有“.”，比如aabbcc.com.，表示不需要进行域名后缀添加，系统直接用输入的域名进行查询，不论成功与否都直接返回结果。就是说，如果用户输入的字符中最后一个字符为“.”，就只根据用户输入的字符进行查找，而不会去匹配用户预先设置的域名后缀，因此最后这个“.”，也被称为查找终止符。带有查询终止符的域名，称为FQDN（Fully Qualified Domain Name，完全合格域名）。

1.1.4  DNS代理

DNS代理（DNS proxy）用来在DNS client和DNS server之间转发DNS请求和应答报文。局域网内的DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy。DNS proxy将该请求报文转发到真正的DNS server，并将DNS server的应答报文返回给DNS client，从而实现域名解析。

使用DNS proxy功能后，当DNS server的地址发生变化时，只需改变DNS proxy上的配置，无需改变局域网内每个DNS client的配置，从而简化了网络管理。

DNS proxy的典型应用环境如图1-2所示。

图1-2 DNS代理典型组网应用

DNS代理的工作过程如下：

(1)     DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy，即请求报文的目的地址为DNS proxy的IP地址。

(2)     DNS proxy收到请求报文后，首先查找本地的静态域名解析表和动态域名解析缓存表，如果存在请求的信息，则DNS proxy直接通过DNS应答报文将域名解析结果返回给DNS client。

(3)     如果不存在请求的信息，则DNS proxy将报文转发给域名服务器进行解析：

a.     当DNS proxy上配置了域名服务器组时，则DNS proxy根据域名匹配规则选择对应的域名服务器组，并将请求转发给服务器组中服务器；

b.     如果不存在匹配的域名服务器组，且配置了域名服务器地址时，DNS proxy将报文转发给DNS服务器，通过DNS服务器进行域名解析。

(4)     DNS proxy收到DNS server的应答报文后，记录域名解析的结果，并将报文转发给DNS client。DNS client利用域名解析的结果进行相应的处理。

只有DNS proxy上存在域名服务器地址，并存在到达域名服务器的路由，DNS proxy才会向DNS server发送域名解析请求。

1.1.5  DNS spoofing

图1-3 DNS spoofing典型应用场景

‌

DNS spoofing（DNS欺骗）主要应用于图1-3所示的拨号网络。在该网络中：

·     Device通过拨号接口连接到PSTN等拨号网络。只有存在通过拨号接口转发的报文时，才会触发拨号接口建立连接。

Device上未开启DNS spoofing功能时，Device接收到Host发送的域名解析请求报文后，如果不存在对应的域名解析表项，则需要向DNS server发送域名解析请求。但是，由于此时拨号接口尚未建立连接，Device上不存在DNS server地址，Device不会向DNS server发送域名解析请求，也不会应答DNS client的请求。从而导致域名解析失败，且没有流量触发拨号接口建立连接。

DNS spoofing功能可以解决上述问题。使能DNS spoofing功能后，即便Device上不存在DNS server地址或到达DNS server的路由，Device也会利用指定的IP地址作为域名解析结果，应答DNS client的域名解析请求。DNS client后续发送的报文可以用来触发拨号接口建立连接。

图1-3所示网络中，Host访问HTTP server的报文处理流程为：

(1)     Host通过域名访问HTTP server时，首先向Device发送域名解析请求，将HTTP server的域名解析为IP地址。

(2)     Device接收到域名解析请求后，如果拨号接口尚未建立连接，Device上不存在DNS server地址，或者设备上配置的DNS server地址均不可达，则Device利用DNS spoofing中指定的IP地址作为域名解析结果，应答DNS client的域名解析请求。该域名解析应答的老化时间为0。并且，应答的IP地址满足如下条件：Device上存在到达该IP地址的路由，且路由的出接口为拨号接口。

(3)     Host接收到Device的应答报文后，向应答的IP地址发送HTTP请求。

(4)     域名解析应答老化后，Host再次发送域名解析请求。

(5)     之后，Device的处理过程与DNS proxy工作过程相同，请参见“1.1.4  DNS代理”。

(6)     Host获取到正确的HTTP server地址后，可以正常访问HTTP server。

1.2  域名解析配置任务简介

域名解析配置任务如下：

(1)     配置DNS客户端

请至少选择其中一项进行配置。

¡     配置静态域名解析

¡     配置服务器域名解析

(2)     （可选）配置DNS proxy

(3)     （可选）配置DNS spoofing

本功能用于拨号网络。

(4)     （可选）配置DNS Snooping功能

(5)     （可选）配置DNS源地址透明代理

(6)     （可选）配置DNS报文的源接口

(7)     （可选）指定DNS报文的DSCP优先级

1.3  配置DNS客户端

1.3.1  功能简介

如果DNS客户端上同时配置了静态域名解析，动态域名解析和域名服务器组，则收到域名请求后，匹配顺序如下：

(1)     DNS客户端本地缓存已解析的域名信息；

(2)     使用域名服务组进行域名解析；

(3)     静态域名解析；

(4)     使用域名服务器进行域名解析。

如果以上方式均无法解析成功，则域名解析过程失败。

1.3.2  配置静态域名解析

1. 配置限制和指导

在公网或单个VPN实例内，一个主机名只能对应一个IPv4地址和IPv6地址。

公网或单个VPN实例内最多可以配置2048个主机名和地址的对应关系。可同时在公网和VPN实例内配置主机名和地址的对应关系。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置主机名和对应的地址。

（IPv4网络）

ip host host-name ip-address [ vpn-instance vpn-instance-name ]

（IPv6网络）

ipv6 host host-name ipv6-address [ vpn-instance vpn-instance-name ]

1.3.3  配置服务器域名解析

1. 配置限制和指导

·     设备上允许配置的域名服务器数目限制为：

¡     系统视图下，公网或单个VPN实例内最多可以配置6个域名服务器的IPv4地址。可同时在公网和VPN实例内配置域名服务器的IPv4地址。

¡     系统视图下，公网或单个VPN实例内最多可以配置6个域名服务器的IPv6地址。可同时在公网和VPN实例内配置域名服务器的IPv6地址。

¡     接口视图下，公网或单个VPN实例内最多可以配置6个域名服务器的IPv4地址。可同时在公网和VPN实例内配置域名服务器的IPv4地址。

·     如果同时配置域名服务器的IPv4地址和IPv6地址，DNS客户端向域名服务器发送请求的处理方式如下：

¡     查询主机名对应的IPv4地址时，优先向域名服务器的IPv4地址发送查询请求。如果查询失败，则再向域名服务器的IPv6地址发送查询请求；

¡     查询主机名对应的IPv6地址时，优先向域名服务器的IPv6地址发送查询请求。如果查询失败，则再向域名服务器的IPv4地址发送查询请求。

·     域名服务器的优先级顺序为：系统视图下配置的域名服务器优先级高于接口视图下配置的域名服务器；先配置的域名服务器优先级高于后配置的域名服务器。设备首先向优先级最高的域名服务器发送查询请求，失败后再根据优先级从高到低的次序向其他域名服务器发送查询请求。

·     配置域名解析后缀时，需要注意：

¡     公网或单个VPN实例内最多可以配置16个域名后缀。可同时在公网和VPN实例内配置域名后缀。

¡     添加域名后缀的优先级顺序为：先配置的域名后缀优先级高于后配置的域名后缀。设备首先添加优先级最高的域名后缀，查询失败后再根据优先级从高到低的次序添加其他域名后缀。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     （可选）配置域名后缀。

dns domain domain-name [ vpn-instance vpn-instance-name ]

缺省情况下，未配置域名后缀，即只根据用户输入的域名信息进行解析。

(3)     配置域名服务器的地址。

¡     系统视图下配置域名服务器的地址。

（IPv4网络）

dns server ip-address [ vpn-instance vpn-instance-name ]

（IPv6网络）

ipv6 dns server ipv6-address [ interface-type interface-number ] [ vpn-instance vpn-instance-name ]

¡     请依次执行以下命令在接口视图下配置域名服务器的IPv4地址。

interface interface-type interface-number

dns server ip-address [ vpn-instance vpn-instance-name ]

缺省情况下，未配置域名服务器的地址。

1.4  配置DNS proxy

1. 硬件适配关系

本功能的支持情况与设备实际情况有关，详情请见下表。

1.4.2  开启DNS proxy功能

(1)     进入系统视图。

system-view

(2)     开启DNS proxy功能。

dns proxy enable

缺省情况下，DNS proxy功能处于关闭状态。

1.4.3  配置域名服务器的地址

1. 配置限制和指导

可以指定多个DNS服务器。DNS proxy接收到客户端的查询请求后，首先向优先级最高的DNS服务器转发查询请求，失败后再依次向其他DNS服务器转发查询请求。

DNS proxy可同时配置域名服务器的IPv4地址和IPv6地址。无论DNS proxy接收到的查询请求是来自IPv4客户端还是来自IPv6客户端，DNS proxy都会按照优先级顺序向域名服务器的IPv4地址和IPv6地址转发查询请求。如果查询请求是IPv4报文，则优先向域名服务器的IPv4地址转发查询请求。如果查询请求是IPv6报文，则优先向域名服务器的IPv6地址转发查询请求。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     配置域名服务器的地址。

¡     系统视图下配置域名服务器的地址。

（IPv4网络）

dns server ip-address [ vpn-instance vpn-instance-name ]

（IPv6网络）

ipv6 dns server ipv6-address [ interface-type interface-number ] [ vpn-instance vpn-instance-name ]

¡     请依次执行以下命令在接口视图下配置域名服务器的IPv4地址。

interface interface-type interface-number

dns server ip-address [ vpn-instance vpn-instance-name ]

缺省情况下，未配置域名服务器的地址。

1.5  配置DNS spoofing

1. 硬件适配关系

本功能的支持情况与设备实际情况有关，详情请见下表。

2. 配置限制和指导

公网或单个VPN实例内只能配置1个DNS spoofing应答的IPv4地址和1个DNS spoofing应答的IPv6地址。重复配置时，新的配置会覆盖原有配置。

可同时在公网和VPN实例内配置DNS spoofing功能。

DNS spoofing功能生效时，即使设备上配置了静态域名解析，也会使用DNS spoofing指定的IP地址来应答DNS请求。

3. 配置准备

设备上启用了DNS proxy功能。

设备上未指定域名服务器地址或不存在到达域名服务器的路由。

4. 配置步骤

(1)     进入系统视图。

system-view

(2)     启用DNS proxy功能。

dns proxy enable

缺省情况下，DNS proxy功能处于关闭状态。

(3)     开启DNS spoofing功能，并指定DNS spoofing应答地址。

（IPv4网络）

dns spoofing ip-address [ vpn-instance vpn-instance-name ]

（IPv6网络）

ipv6 dns spoofing ipv6-address [ vpn-instance vpn-instance-name ]

缺省情况下，未开启DNS spoofing功能。

1.6  配置DNS Snooping功能

1. 功能简介

网络环境中，DNS proxy设备收到请求报文后，需要查询自己是否记录了请求域名对应的地址，如果存在，则直接应答需求；如果不存在，则需要向DNS服务器转发请求。如果网络中存在攻击源或有大量客户端同一时间发送大量DNS请求，则会增加网络负载并影响DNS proxy设备或DNS服务器的性能。

可以在DNS客户端和DNS proxy或DNS服务器之间的设备配置DNS Snooping功能，配置本功能后，DNS收到一个请求和对应的应答报文后会进行记录，并生成日志发给快速日志模块。管理员通过查询日志信息确认并解决问题。关于快速日志模块的详细介绍，请参见“网络管理和监控配置指导”中的“快速日志输出”。

开启DNS Snooping的报文限速功能后，当接口上收到的DNS报文速率超过用户设定的限速值时，丢弃超过速率限制的DNS报文。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启DNS Snooping的日志功能。

dns snooping log enable

缺省情况下，DNS Snooping的日志功能处于关闭状态。

(3)     开启DNS Snooping的报文限速功能，并指定限速速率。

dns snooping rate-limit rate

缺省情况下，DNS Snooping的报文限速功能处于关闭状态。

1.7  配置DNS源地址透明代理

1. 功能简介

在DNS客户端和DNS proxy或DHCP服务器之间的设备上开启DNS Snooping功能后，该设备将可以监听过路的DNS报文，但是在一些负载均衡场景中，对应的DNS应答报文可能不会返回此监听设备，将会导致监听失败。在开启DNS Snooping功能的设备上开启DNS源地址透明代理功能后，可以解决上述问题，工作机制如下：

(1)     DNS Snooping设备监听所有过路DNS报文，当收到DNS请求报文时，设备根据一定的规则从能够到达DNS服务器的本地IP地址选取一个，并将其作为修改后的DNS请求报文的源IP地址，以便DNS应答报文能够返回本设备。

(2)     DNS Snooping设备收到DNS服务器的应答报文后，记录域名解析的结果，并将报文转发给DNS客户端。DNS客户端利用域名解析的结果进行相应的处理。

如图1-4所示，Device A和Device B上开启了DNS Snooping功能，用于监听过路DNS报文。以Device A为例，为了保证Device A监听成功，需要在Device A上开启DNS源地址透明代理功能。Device A收到一个请求和对应的应答报文后，记录域名和IP地址的关系，并将报文转发给DNS客户端。

图1-4 DNS源地址透明代理原理图

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     开启DNS源地址透明代理功能。

dns transparent-proxy enable

缺省情况下，DNS源地址透明代理功能处于关闭状态。

1.8  配置DNS报文的源接口

1. 功能简介

缺省情况下，设备根据域名服务器的地址，通过路由表查找请求报文的出接口，并将该出接口的主IP地址作为发送到该服务器的DNS请求报文的源地址。根据域名服务器的地址不同，发送报文的源地址可能会发生变化。在某些特殊的组网环境中，域名服务器只应答来自特定源地址的DNS请求报文。这种情况下，必须指定DNS报文的源接口。如果为设备配置了DNS报文的源接口，则设备在发送DNS报文时，将固定使用该接口的主IP地址作为报文的源地址。

2. 配置限制和指导

发送IPv4 DNS报文时，将使用源接口的主IPv4地址作为DNS报文的源地址。发送IPv6 DNS报文时，将根据RFC 3484中定义的规则从源接口上选择IPv6地址作为DNS报文的源地址。如果源接口上未配置对应的地址，则将导致报文发送失败。

公网或单个VPN实例内只能配置1个源接口。重复配置时，新的配置会覆盖原有配置。可同时在公网和VPN实例内配置源接口。

无论配置的源接口是否属于指定的VPN，该配置都会生效。不建议为某个VPN配置一个不属于该VPN的源接口。否则，设备会使用不属于该VPN的地址作为DNS报文源地址，导致无法收到DNS应答。

3. 配置步骤

(1)     进入系统视图。

system-view

(2)     指定DNS报文的源接口。

dns source-interface interface-type interface-number [ vpn-instance vpn-instance-name ]

缺省情况下，未指定DNS报文的源接口。

1.9  指定DNS报文的DSCP优先级

1. 功能简介

DSCP优先级用来体现报文自身的优先等级，决定报文传输的优先程度。通过本配置可以指定设备发送的DNS报文的DSCP优先级。

2. 配置步骤

(1)     进入系统视图。

system-view

(2)     指定DNS客户端或DNS proxy发出的DNS报文的DSCP优先级。

（IPv4网络）

dns dscp dscp-value

缺省情况下，DNS报文的DSCP优先级为0。

（IPv6网络）

ipv6 dns dscp dscp-value

缺省情况下， IPv6 DNS报文的DSCP优先级为0。

1.10  域名解析显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示域名解析配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除动态域名缓存信息。

表1-1 域名解析显示和维护

1.11  域名解析常见故障处理

1.11.1  无法解析到正确的IP地址

1. 故障现象

配置了动态域名解析，但不能根据域名解析到正确的IP地址。

2. 故障分析

DNS客户端需要和域名服务器配合使用，才能根据域名解析到正确的IP地址。

3. 处理过程

·     执行命令display dns host ip，检查动态域名缓存信息是否存在指定域名。

·     如果不存在要解析的域名，检查DNS客户端是否和域名服务器通信正常，域名服务器是否工作正常。

·     如果存在要解析的域名，但地址不对，则检查DNS客户端所配置的域名服务器的IP地址是否正确。

·     检查域名服务器所设置的域名和地址映射表是否正确。

1.11.2  无法解析到正确的IPv6地址

1. 故障现象

配置了动态域名解析，但不能根据域名解析到正确的IPv6地址。

2. 故障分析

DNS客户端需要和域名服务器配合使用，才能根据域名解析到正确的IPv6地址。

3. 处理过程

·     执行命令display dns host ipv6，检查动态域名缓存信息是否存在指定域名。

·     如果不存在要解析的域名，检查DNS客户端是否和域名服务器通信正常，域名服务器是否工作正常。

·     如果存在要解析的域名，但地址不对，则检查DNS客户端所配置的域名服务器的IPv6地址是否正确。

·     检查域名服务器所设置的域名和地址映射表是否正确。