05-网络互通配置指导

17-域名解析配置

1.12.3 DNS proxy典型配置举例

1.13 IPv6域名解析典型配置举例

1.13.1 静态域名解析配置举例

1.13.2 动态域名解析配置举例

1.13.3 DNS proxy典型配置举例

1.14 域名解析常见故障处理

1.14.1 无法解析到正确的IP地址

1.14.2 无法解析到正确的IPv6地址

2 DDNS

2.1 DDNS简介

2.2 DDNS配置限制和指导

2.3 设备作为DDNS客户端配置任务简介

1 域名解析

1.1 域名解析简介

DNS（Domain Name System，域名系统）是一种用于TCP/IP应用程序的分布式数据库，提供域名与IP地址之间的转换。通过域名系统，用户进行某些应用时，可以直接使用便于记忆的、有意义的域名，而由网络中的域名解析服务器将域名解析为正确的IP地址。

1.1.1 域名解析类型

域名解析分为静态域名解析和动态域名解析，二者可以配合使用。在解析域名时，首先采用静态域名解析（查找静态域名解析表），如果静态域名解析不成功，再采用动态域名解析。由于动态域名解析需要域名服务器（DNS server）的配合，会花费一定的时间，因而可以将一些常用的域名放入静态域名解析表中，这样可以大大提高域名解析效率。

1.1.2 静态域名解析

静态域名解析就是手工建立域名和IP地址之间的对应关系。当用户使用域名进行某些应用（如telnet应用）时，系统查找静态域名解析表，从中获取指定域名对应的IP地址。

1.1.3 动态域名解析

1. 体系结构

图1-1 动态域名解析

用户程序、DNS客户端及域名服务器的关系如图1-1所示，其中解析器和缓存构成DNS客户端。用户程序、DNS客户端在同一台设备上，而DNS客户端和域名服务器一般分布在两台设备上。

目前，设备只能作为DNS客户端，不能作为DNS服务器。

如果域名服务器上配置了域名的别名，设备也可以通过别名来解析主机的IP地址。

2. 解析过程

动态域名解析通过向域名服务器查询域名和IP地址之间的对应关系来实现将域名解析为IP地址。动态域名解析过程如下：

(1) 当用户使用域名进行某些应用时，用户程序首先向DNS客户端中的解析器发出请求。

(2) DNS客户端收到请求后，首先查询本地的域名缓存。如果存在已解析成功的映射项，就将域名对应的IP地址返回给用户程序；如果未发现所要查找的映射项，就向域名服务器发送查询请求。

(3) 域名服务器首先从自己的数据库中查找域名对应的IP地址。如果判断该域名不属于本域范围，就将请求交给其他域名服务器处理，直到完成解析，并将解析的结果返回给DNS客户端。

(4) DNS客户端收到域名服务器的响应报文后，将解析结果返回用户程序。

3. 缓存功能

动态域名解析支持缓存功能。每次动态解析成功的域名与IP地址的映射均存放在DNS客户端的动态域名缓存区中，当下一次查询相同域名的时候，就可以直接从缓存区中读取，不用再向域名服务器进行请求。缓存区中的映射在一段时间后会老化而被删除，以保证及时从域名服务器得到最新的内容。老化时间由域名服务器设置，DNS客户端从域名服务器的应答报文中获得老化时间。

4. 域名后缀列表功能

动态域名解析支持域名后缀列表功能。用户可以预先设置一些域名后缀，在域名解析的时候，用户只需要输入域名的部分字段，系统会自动将输入的域名加上不同的后缀进行解析。例如，用户想查询域名aabbcc.com，那么可以先在后缀列表中配置com，然后输入aabbcc进行查询，系统会自动将输入的域名与后缀连接成aabbcc.com进行查询。

使用域名后缀的时候，根据用户输入域名方式的不同，查询方式分成以下几种情况：

· 如果用户输入的域名中没有“.”，比如aabbcc，系统认为这是一个主机名，会首先加上域名后缀进行查询，如果所有加后缀的域名查询都失败，将使用最初输入的域名（如aabbcc）进行查询。

· 如果用户输入的域名中间有“.”，比如www.aabbcc，系统直接用它进行查询，如果查询失败，再依次加上各个域名后缀进行查询。

· 如果用户输入的域名最后有“.”，比如aabbcc.com.，表示不需要进行域名后缀添加，系统直接用输入的域名进行查询，不论成功与否都直接返回结果。就是说，如果用户输入的字符中最后一个字符为“.”，就只根据用户输入的字符进行查找，而不会去匹配用户预先设置的域名后缀，因此最后这个“.”，也被称为查找终止符。带有查询终止符的域名，称为FQDN（Fully Qualified Domain Name，完全合格域名）。

1.1.4 DNS代理

DNS代理（DNS proxy）用来在DNS client和DNS server之间转发DNS请求和应答报文。局域网内的DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy。DNS proxy将该请求报文转发到真正的DNS server，并将DNS server的应答报文返回给DNS client，从而实现域名解析。

使用DNS proxy功能后，当DNS server的地址发生变化时，只需改变DNS proxy上的配置，无需改变局域网内每个DNS client的配置，从而简化了网络管理。

DNS proxy的典型应用环境如图1-2所示。

图1-2 DNS代理典型组网应用

DNS代理的工作过程如下：

(1) DNS client把DNS proxy当作DNS server，将DNS请求报文发送给DNS proxy，即请求报文的目的地址为DNS proxy的IP地址。

(2) DNS proxy收到请求报文后，首先查找本地的静态域名解析表和动态域名解析缓存表，如果存在请求的信息，则DNS proxy直接通过DNS应答报文将域名解析结果返回给DNS client。

(3) 如果不存在请求的信息，则DNS proxy将报文转发给DNS server，通过DNS server进行域名解析。

(4) DNS proxy收到DNS server的应答报文后，记录域名解析的结果，并将报文转发给DNS client。DNS client利用域名解析的结果进行相应的处理。

只有DNS proxy上存在域名服务器地址，并存在到达域名服务器的路由，DNS proxy才会向DNS server发送域名解析请求。

1.1.5 DNS spoofing

图1-3 DNS spoofing典型应用场景

DNS spoofing（DNS欺骗）主要应用于图1-3所示的拨号网络。在该网络中：

· Device通过拨号接口连接到PSTN等拨号网络。只有存在通过拨号接口转发的报文时，才会触发拨号接口建立连接。

· Device作为DNS proxy。在Host上将Device指定为DNS服务器；拨号接口建立连接后，Device通过DHCP等方式动态获取DNS服务器地址。

Device上未开启DNS spoofing功能时，Device接收到Host发送的域名解析请求报文后，如果不存在对应的域名解析表项，则需要向DNS server发送域名解析请求。但是，由于此时拨号接口尚未建立连接，Device上不存在DNS server地址，Device不会向DNS server发送域名解析请求，也不会应答DNS client的请求。从而导致域名解析失败，且没有流量触发拨号接口建立连接。

DNS spoofing功能可以解决上述问题。使能DNS spoofing功能后，即便Device上不存在DNS server地址或到达DNS server的路由，Device也会利用指定的IP地址作为域名解析结果，应答DNS client的域名解析请求。DNS client后续发送的报文可以用来触发拨号接口建立连接。

图1-3所示网络中，Host访问HTTP server的报文处理流程为：

(1) Host通过域名访问HTTP server时，首先向Device发送域名解析请求，将HTTP server的域名解析为IP地址。

(2) Device接收到域名解析请求后，如果拨号接口尚未建立连接，Device上不存在DNS server地址，或者设备上配置的DNS server地址均不可达，则Device利用DNS spoofing中指定的IP地址作为域名解析结果，应答DNS client的域名解析请求。该域名解析应答的老化时间为0。并且，应答的IP地址满足如下条件：Device上存在到达该IP地址的路由，且路由的出接口为拨号接口。

(3) Host接收到Device的应答报文后，向应答的IP地址发送HTTP请求。

(4) Device通过拨号接口转发HTTP请求时，触发拨号接口建立连接，并通过DHCP等方式动态获取DNS server的地址。

(5) 域名解析应答老化后，Host再次发送域名解析请求。

(6) 之后，Device的处理过程与DNS proxy工作过程相同，请参见“1.1.4 DNS代理”。

(7) Host获取到正确的HTTP server地址后，可以正常访问HTTP server。

由于DNS spoofing功能指定的IP地址并不是待解析域名对应的IP地址，为了防止DNS client上保存错误的域名解析表项，该IP地址对应域名解析应答的老化时间为0。

1.2 域名解析配置任务简介

域名解析配置任务如下：

(1) 配置DNS客户端

请至少选择其中一项进行配置。

¡ 配置静态域名解析

¡ 配置动态域名解析

(2) （可选）配置DNS proxy

(3) （可选）配置DNS spoofing

本功能用于拨号网络。

(4) （可选）开启DNS快速应答功能

(5) （可选）配置DNS安全功能

¡ 配置DNS Snooping功能

(6) （可选）配置DNS报文的源接口

(7) （可选）配置DNS信任接口

(8) （可选）指定DNS报文的DSCP优先级

1.3 配置DNS客户端

1.3.1 配置静态域名解析

1. 配置限制和指导

一个主机名只能对应一个IPv4地址和IPv6地址。

最多可以配置2048个主机名和地址的对应关系。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置主机名和对应的地址。

（IPv4网络）

ip host host-name ip-address

（IPv6网络）

ipv6 host host-name ipv6-address

1.3.2 配置动态域名解析

1. 配置限制和指导

· 设备上允许配置的域名服务器数目限制为：

¡ 系统视图下，最多可以配置6个域名服务器的IPv4地址。

¡ 系统视图下，最多可以配置6个域名服务器的IPv6地址。

¡ 接口视图下，最多可以配置6个域名服务器的IPv4地址。

· 如果同时配置域名服务器的IPv4地址和IPv6地址，DNS客户端向域名服务器发送请求的处理方式如下：

¡ 查询主机名对应的IPv4地址时，优先向域名服务器的IPv4地址发送查询请求。如果查询失败，则再向域名服务器的IPv6地址发送查询请求；

¡ 查询主机名对应的IPv6地址时，优先向域名服务器的IPv6地址发送查询请求。如果查询失败，则再向域名服务器的IPv4地址发送查询请求。

· 域名服务器的优先级顺序为：系统视图下配置的域名服务器优先级高于接口视图下配置的域名服务器；先配置的域名服务器优先级高于后配置的域名服务器；设备上手工配置的域名服务器优先级高于通过DHCP等方式动态获取的域名服务器。设备首先向优先级最高的域名服务器发送查询请求，失败后再根据优先级从高到低的次序向其他域名服务器发送查询请求。

· 配置域名解析后缀时，需要注意：

¡ 最多可以配置16个域名后缀。

¡ 添加域名后缀的优先级顺序为：先配置的域名后缀优先级高于后配置的域名后缀；设备上手工配置的域名后缀优先级高于通过DHCP等方式动态获取的域名后缀。设备首先添加优先级最高的域名后缀，查询失败后再根据优先级从高到低的次序添加其他域名后缀。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) （可选）配置域名后缀。

dns domain domain-name

缺省情况下，未配置域名后缀，即只根据用户输入的域名信息进行解析。

(3) 配置域名服务器的地址。

¡ 系统视图下配置域名服务器的地址。

（IPv4网络）

dns server ip-address

（IPv6网络）

ipv6 dns server ipv6-address [ interface-type interface-number ]

缺省情况下，未配置域名服务器的地址。

1.4 配置DNS proxy

1. 配置限制和指导

可以指定多个DNS server。DNS proxy接收到客户端的查询请求后，首先向优先级最高的DNS server转发查询请求，失败后再依次向其他DNS server转发查询请求。

DNS proxy可同时配置域名服务器的IPv4地址和IPv6地址。无论DNS proxy接收到的查询请求是来自IPv4客户端还是来自IPv6客户端，DNS proxy都会按照优先级顺序向域名服务器的IPv4地址和IPv6地址转发查询请求。如果查询请求是IPv4报文，则优先向域名服务器的IPv4地址转发查询请求。如果查询请求是IPv6报文，则优先向域名服务器的IPv6地址转发查询请求。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启DNS proxy功能。

dns proxy enable

缺省情况下，DNS proxy功能处于关闭状态。

(3) 配置域名服务器的地址。

¡ 系统视图下配置域名服务器的地址。

（IPv4网络）

dns server ip-address

（IPv6网络）

ipv6 dns server ipv6-address [ interface-type interface-number ]

缺省情况下，未配置域名服务器的地址。

1.5 配置DNS spoofing

1. 配置限制和指导

只能配置1个DNS spoofing应答的IPv4地址和1个DNS spoofing应答的IPv6地址。重复配置时，新的配置会覆盖原有配置。

DNS spoofing功能生效时，即使设备上配置了静态域名解析，也会使用DNS spoofing指定的IP地址来应答DNS请求。

2. 配置准备

设备上启用了DNS proxy功能。

设备上未指定域名服务器地址或不存在到达域名服务器的路由。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 启用DNS proxy功能。

dns proxy enable

缺省情况下，DNS proxy功能处于关闭状态。

(3) 开启DNS spoofing功能，并指定DNS spoofing应答地址。

（IPv4网络）

dns spoofing ip-address

（IPv6网络）

ipv6 dns spoofing ipv6-address

缺省情况下，未开启DNS spoofing功能。

1.6 开启DNS快速应答功能

1. 功能简介

开启DNS快速应答功能后，设备会侦听过路的DNS请求报文，解析出报文中被请求的域名，然后查找本地的静态域名解析表，根据查询结果的不同决定是否进行DNS快速应答，具体工作机制如下：

· 在本地缓存中查找到域名和IP地址信息，设备直接应答DNS请求，不会将报文转发给DNS服务器。

· 未在本地缓存中查找到域名和IP地址信息，设备将DNS请求转发给DNS服务器。

DNS快速应答功能使得设备每秒钟能够处理的DNS请求报文数量较多，适用于对DNS报文处理性能要求较高的场景。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启DNS快速应答功能。

dns fast-reply enable

缺省情况下，DNS快速应答功能处于关闭状态。

1.7 配置DNS Snooping功能

1. 功能简介

DNS Snooping功能适用于基于域名做策略的场景（如安全策略、带宽策略等）。设备使用基于域名的策略过滤用户流量时，需要获取域名对应的IP地址才能真正实现流量过滤。开启DNS Snooping功能后，设备会监听过路的DNS请求报文和DNS应答报文，如果DNS请求报文中的域名与策略中的域名相同，设备会在收到该域名的响应报文时记录域名解析结果，并上报给策略，使得策略可以基于此域名对应的IP地址实现流量过滤。如果DNS请求报文中的域名与过滤规则中的域名不同，设备不会记录域名解析结果。

2. 配置限制和指导

开启DNS Snooping功能时，需要注意：

· DNS Snooping设备只有位于DNS客户端与DNS服务器之间，或DNS客户端与DNS代理设备之间时，DNS Snooping功能配置后才能正常工作。

· DNS Snooping功能和DNS源地址透明代理功能不能同时使用。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 开启DNS Snooping功能。

dns snooping enable

缺省情况下，DNS Snooping功能处于关闭状态。

1.8 配置DNS报文的源接口

1. 功能简介

缺省情况下，设备根据域名服务器的地址，通过路由表查找请求报文的出接口，并将该出接口的主IP地址作为发送到该服务器的DNS请求报文的源地址。根据域名服务器的地址不同，发送报文的源地址可能会发生变化。在某些特殊的组网环境中，域名服务器只应答来自特定源地址的DNS请求报文。这种情况下，必须指定DNS报文的源接口。如果为设备配置了DNS报文的源接口，则设备在发送DNS报文时，将固定使用该接口的主IP地址作为报文的源地址。

2. 配置限制和指导

发送IPv4 DNS报文时，将使用源接口的主IPv4地址作为DNS报文的源地址。发送IPv6 DNS报文时，将根据RFC 3484中定义的规则从源接口上选择IPv6地址作为DNS报文的源地址。如果源接口上未配置对应的地址，则将导致报文发送失败。

只能配置1个源接口。重复配置时，新的配置会覆盖原有配置。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 指定DNS报文的源接口。

dns source-interface interface-type interface-number

缺省情况下，未指定DNS报文的源接口。

1.9 配置DNS信任接口

1. 功能简介

缺省情况下，任意接口通过DHCP等协议动态获得的域名后缀和域名服务器信息都将作为有效信息，用于域名解析。如果网络攻击者通过DHCP服务器为设备分配错误的域名后缀和域名服务器地址，则会导致设备域名解析失败，或解析到错误的结果。通过本配置指定信任接口后，域名解析时只采用信任接口动态获得的域名后缀和域名服务器信息，非信任接口获得的信息不能用于域名解析，从而在一定程度上避免这类攻击。

2. 配置限制和指导

设备最多可以配置128个DNS信任接口。

3. 配置步骤

(1) 进入系统视图。

system-view

(2) 指定DNS信任接口。

dns trust-interface interface-type interface-number

缺省情况下，未指定任何接口为信任接口。

1.10 指定DNS报文的DSCP优先级

1. 功能简介

DSCP优先级用来体现报文自身的优先等级，决定报文传输的优先程度。通过本配置可以指定设备发送的DNS报文的DSCP优先级。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 指定DNS客户端或DNS proxy发出的DNS报文的DSCP优先级。

（IPv4网络）

dns dscp dscp-value

缺省情况下，DNS报文的DSCP优先级为0。

（IPv6网络）

ipv6 dns dscp dscp-value

缺省情况下， IPv6 DNS报文的DSCP优先级为0。

1.11 域名解析显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示域名解析配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下，执行reset命令可以清除动态域名缓存信息。

表1-1 域名解析显示和维护

操作	命令
显示域名后缀信息	display dns domain [ dynamic ]
显示域名解析表信息	display dns host [ ip \| ipv6 ]
显示域名服务器的IPv4地址信息	display dns server [ dynamic ]
显示域名服务器的IPv6地址信息	display ipv6 dns server [ dynamic ]
清除动态域名解析缓存信息	reset dns host [ ip \| ipv6 ]

1.12 IPv4域名解析典型配置举例

1.12.1 静态域名解析配置举例

1. 组网需求

为了避免记忆复杂的IP地址，AC希望通过便于记忆的主机名访问某一主机。在AC上手工配置IP地址对应的主机名，利用静态域名解析功能，就可以实现通过主机名访问该主机。

在本例中，AC访问的主机IP地址为10.1.1.2，主机名为host.com。

2. 组网图

图1-4 静态域名解析配置组网图

‌

3. 配置步骤

# 配置AC基本功能（详细介绍请参见“WLAN接入配置指导”中的“WLAN接入配置”）（略）。

# 配置主机名host.com对应的IP地址为10.1.1.2。

<AC> system-view

[AC] ip host host.com 10.1.1.2

4. 验证配置

执行ping host.com命令，AC通过静态域名解析可以解析到host.com对应的IP地址为10.1.1.2。

[AC] ping host.com

Ping host.com (10.1.1.2): 56 data bytes, press CTRL_C to break

56 bytes from 10.1.1.2: icmp_seq=0 ttl=255 time=1.000 ms

56 bytes from 10.1.1.2: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 10.1.1.2: icmp_seq=2 ttl=255 time=1.000 ms

56 bytes from 10.1.1.2: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 10.1.1.2: icmp_seq=4 ttl=255 time=2.000 ms

--- Ping statistics for host.com ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.000/1.200/2.000/0.400 ms

1.12.2 动态域名解析配置举例

1. 组网需求

为了避免记忆复杂的IP地址，AC希望通过便于记忆的域名访问某一主机。如果网络中存在域名服务器，则可以利用动态域名解析功能，实现通过域名访问主机。

在本例中：

· 域名服务器的IP地址是2.1.1.2/16，域名服务器上存在com域，且com域中包含域名“host”和IP地址3.1.1.1/16的对应关系。

· AC作为DNS客户端，使用动态域名解析功能，将域名解析为IP地址。

· AC上配置域名后缀com，以便简化访问主机时输入的域名，例如通过输入host即可访问域名为host.com、IP地址为3.1.1.1/16的主机Host。

2. 组网图

图1-5 动态域名解析组网图

‌

3. 配置步骤

· 在开始下面的配置之前，假设AC与主机之间的路由可达，AC和主机都已经配置完毕，接口IP地址如图1-5所示。

· 不同域名服务器的配置方法不同，下面仅以Windows Server 2008 R2为例，说明域名服务器的配置方法。

(1) # 配置AC基本功能（详细介绍请参见‍‍“WLANj接入配置指导”中的“WLAN接入配置”）（略）

(2) 配置域名服务器

# 进入域名服务器配置界面。

在开始菜单中，选择[程序/管理工具/DNS]。

# 创建区域com。

如图1-6所示，右键点击[正向查找区域]，选择[新建区域]，按照提示创建新的区域com。

图1-6 创建区域

# 添加域名和IP地址的映射。

如图1-7所示，右键点击区域[com]。

图1-7 新建主机

选择[新建主机]，弹出如图1-8的对话框。按照图1-8输入域名host和IP地址3.1.1.1。单击<添加主机>可完成操作。

图1-8 添加域名和IP地址的映射

(3) 配置DNS客户端AC

# 配置域名服务器的IP地址为2.1.1.2。

<AC> system-view

[AC] dns server 2.1.1.2

# 配置域名后缀com。

[AC] dns domain com

4. 验证配置

# 在设备上执行ping host命令，可以ping通Host，且对应的目的地址为3.1.1.1。

[AC] ping host

Ping host.com (3.1.1.1): 56 data bytes, press CTRL_C to break

56 bytes from 3.1.1.1: icmp_seq=0 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=2 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=4 ttl=255 time=2.000 ms

--- Ping statistics for host ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.000/1.200/2.000/0.400 ms

1.12.3 DNS proxy典型配置举例

1. 组网需求

通过DNS proxy功能，当域名服务器IP地址改变时，只需更改DNS proxy上的配置，即可实现局域网内设备通过新的域名服务器解析域名，可以大大减少网络管理员的工作量。

在本例中，具体配置步骤为：

(1) AC配置为DNS proxy，DNS proxy上指定域名服务器IP地址为真正的域名服务器的地址4.1.1.1。

(2) 局域网中的其他设备上，域名服务器的IP地址配置为DNS proxy的地址，域名解析报文将通过DNS proxy转发给真正的域名服务器。

2. 组网图

图1-9 DNS proxy组网图

‌

3. 配置步骤

在开始下面的配置之前，假设AC与域名服务器、主机之间的路由可达，并已按照图1-9配置各接口的IP地址。

(1) 配置AC基本功能（详细介绍请参见“WLAN接入配置指导”中的“WLAN接入配置”）（略）

(2) 配置域名服务器

不同的域名服务器的配置方法不同。Windows Server 2008 R2作为域名服务器时，配置方法请参见“1.12.2 动态域名解析配置举例”。

(3) 配置DNS代理AC

# 配置域名服务器的IP地址为4.1.1.1。

<AC> system-view

[AC] dns server 4.1.1.1

# 开启DNS proxy功能。

[AC] dns proxy enable

(4) 配置DNS客户端Client，配置域名服务器的IP地址为2.1.1.2（略）

4. 验证配置

# 在Client上执行ping host.com命令，可以ping通主机，且对应的目的地址为3.1.1.1。

C：\Users\ss> ping host.com

Ping host.com (3.1.1.1): 56 data bytes, press CTRL_C to break

56 bytes from 3.1.1.1: icmp_seq=0 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=2 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 3.1.1.1: icmp_seq=4 ttl=255 time=2.000 ms

--- Ping statistics for host.com ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.000/1.200/2.000/0.400 ms

1.13 IPv6域名解析典型配置举例

1.13.1 静态域名解析配置举例

1. 组网需求

为了避免记忆复杂的IPv6地址，AC希望通过便于记忆的主机名访问某一主机。在AC上手工配置IPv6地址对应的主机名，利用静态域名解析功能，就可以实现通过主机名访问该主机。

在本例中，AC访问的主机IPv6地址为1::2，主机名为host.com。

2. 组网图

图1-10 静态域名解析配置组网图

‌

3. 配置步骤

# 配置AC基本功能（详细介绍请参见“WLAN接入配置指导”中的“WLAN接入配置”）（略）。

# 配置主机名host.com对应的IPv6地址为1::2。

<AC> system-view

[AC] ipv6 host host.com 1::2

4. 验证配置

执行ping ipv6 host.com命令，AC通过静态域名解析可以解析到host.com对应的IPv6地址为1::2。

[AC] ping ipv6 host.com

Ping6(56 data bytes) 1::1 --> 1::2, press CTRL_C to break

56 bytes from 1::2, icmp_seq=0 hlim=128 time=1.000 ms

56 bytes from 1::2, icmp_seq=1 hlim=128 time=0.000 ms

56 bytes from 1::2, icmp_seq=2 hlim=128 time=1.000 ms

56 bytes from 1::2, icmp_seq=3 hlim=128 time=1.000 ms

56 bytes from 1::2, icmp_seq=4 hlim=128 time=0.000 ms

--- Ping6 statistics for host.com ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.600/1.000/0.490 ms

1.13.2 动态域名解析配置举例

1. 组网需求

为了避免记忆复杂的IPv6地址，AC希望通过便于记忆的域名访问某一主机。如果网络中存在域名服务器，则可以利用动态域名解析功能，实现通过域名访问主机。

在本例中：

· 域名服务器的IPv6地址是2::2/64，域名服务器上存在com域，且com域中包含域名“host”和IPv6地址1::1/64的对应关系。

· AC作为DNS客户端，使用动态域名解析功能，将域名解析为IPv6地址。

· AC上配置域名后缀com，以便简化访问主机时输入的域名，例如通过输入host即可访问域名为host.com、IPv6地址为1::1/64的主机Host。

2. 组网图

图1-11 动态域名解析组网图

‌

3. 配置步骤

· 在开始下面的配置之前，假设AC与主机之间的路由可达，AC和主机都已经配置完毕，接口IPv6地址如图1-11所示。

· 不同域名服务器的配置方法不同，下面仅以Windows Server 2008 R2为例，说明域名服务器的配置方法。配置之前，需确保DNS服务器支持IPv6 DNS功能，以便处理IPv6域名解析报文；且DNS服务器的接口可以转发IPv6报文。

(1) 配置AC基本功能（详细介绍请参见“WLAN接入配置指导”中的“WLAN接入配置”）（略）

(2) 配置域名服务器

# 进入域名服务器配置界面。

在开始菜单中，选择[程序/管理工具/DNS]。

# 创建区域com。

如图1-12所示，右键点击[正向查找区域]，选择[新建区域]，按照提示创建新的区域com。

图1-12 创建区域

如图1-13所示，右键点击区域[com]。

图1-13 新建主机

选择[新建主机]，弹出如图1-14的对话框，输入域名和IPv6地址1::1。单击<添加主机>可完成操作。

图1-14 添加域名和IPv6地址的映射

(3) 配置DNS客户端AC

# 配置域名服务器的IPv6地址为2::2。

<AC> system-view

[AC] ipv6 dns server 2::2

# 配置域名后缀com。

[AC] dns domain com

4. 验证配置

# 在设备上执行ping ipv6 host命令，可以ping通Host，且对应的目的地址为1::1。

[AC] ping ipv6 host

Ping6(56 data bytes) 3::1 --> 1::1, press CTRL_C to break

56 bytes from 1::1, icmp_seq=0 hlim=128 time=1.000 ms

56 bytes from 1::1, icmp_seq=1 hlim=128 time=0.000 ms

56 bytes from 1::1, icmp_seq=2 hlim=128 time=1.000 ms

56 bytes from 1::1, icmp_seq=3 hlim=128 time=1.000 ms

56 bytes from 1::1, icmp_seq=4 hlim=128 time=0.000 ms

--- Ping6 statistics for host ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.600/1.000/0.490 ms

1.13.3 DNS proxy典型配置举例

1. 组网需求

通过DNS proxy功能，当域名服务器IPv6地址改变时，只需更改DNS proxy上的配置，即可实现局域网内设备通过新的域名服务器解析域名，可以大大减少网络管理员的工作量。

在本例中，具体配置步骤为：

(1) AC配置为DNS proxy，DNS proxy上指定域名服务器IPv6地址为真正的域名服务器的地址4000::1

(2) 局域网中的其他设备上，域名服务器的IPv6地址配置为DNS proxy的地址，域名解析报文将通过DNS proxy转发给真正的域名服务器。

2. 组网图

图1-15 DNS proxy组网图

‌

3. 配置步骤

在开始下面的配置之前，假设AC与域名服务器、主机之间的路由可达，并已按照图1-15配置各接口的IPv6地址。

(1) 配置AC基本功能（详细介绍请参见“WLAN接入配置指导”中的“WLAN接入配置”）（略）

(2) 配置域名服务器

不同的域名服务器的配置方法不同。Windows Server 2008 R2作为域名服务器时，配置方法请参见“1.13.2 动态域名解析配置举例”。

(3) 配置DNS代理AC

# 配置域名服务器的IPv6地址为4000::1。

<AC> system-view

[AC] ipv6 dns server 4000::1

# 开启DNS proxy功能。

[AC] dns proxy enable

(4) 配置DNS客户端Client，配置域名服务器的IPv6地址为2000::2（略）

4. 验证配置

# 在Client上执行ping host.com命令，可以ping通主机，且对应的目的地址为3000::1。

C：\Users\ss> ping host.com

Ping6(56 data bytes) 2000::1 --> 3000::1, press CTRL_C to break

56 bytes from 3000::1, icmp_seq=0 hlim=128 time=1.000 ms

56 bytes from 3000::1, icmp_seq=1 hlim=128 time=0.000 ms

56 bytes from 3000::1, icmp_seq=2 hlim=128 time=1.000 ms

56 bytes from 3000::1, icmp_seq=3 hlim=128 time=1.000 ms

56 bytes from 3000::1, icmp_seq=4 hlim=128 time=0.000 ms

--- Ping6 statistics for host com ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.600/1.000/0.490 ms

1.14 域名解析常见故障处理

1.14.1 无法解析到正确的IP地址

1. 故障现象

配置了动态域名解析，但不能根据域名解析到正确的IP地址。

2. 故障分析

DNS客户端需要和域名服务器配合使用，才能根据域名解析到正确的IP地址。

3. 处理过程

· 执行命令display dns host ip，检查动态域名缓存信息是否存在指定域名。

· 如果不存在要解析的域名，检查DNS客户端是否和域名服务器通信正常，域名服务器是否工作正常。

· 如果存在要解析的域名，但地址不对，则检查DNS客户端所配置的域名服务器的IP地址是否正确。

· 检查域名服务器所设置的域名和地址映射表是否正确。

1.14.2 无法解析到正确的IPv6地址

1. 故障现象

配置了动态域名解析，但不能根据域名解析到正确的IPv6地址。

2. 故障分析

DNS客户端需要和域名服务器配合使用，才能根据域名解析到正确的IPv6地址。

3. 处理过程

· 执行命令display dns host ipv6，检查动态域名缓存信息是否存在指定域名。

· 如果不存在要解析的域名，检查DNS客户端是否和域名服务器通信正常，域名服务器是否工作正常。

· 如果存在要解析的域名，但地址不对，则检查DNS客户端所配置的域名服务器的IPv6地址是否正确。

· 检查域名服务器所设置的域名和地址映射表是否正确。

2 DDNS

2.1 DDNS简介

DNS仅仅提供了域名和IP地址之间的静态对应关系，当节点的IP地址发生变化时，通过域名解析得到的IP地址是错误的，会导致访问失败。

DDNS（Dynamic Domain Name System，动态域名系统）用来动态更新DNS服务器上域名和IP地址之间的对应关系，保证通过域名解析到正确的IP地址。

图2-1 DDNS典型组网图

DDNS的典型组网环境如图2-1所示，DDNS采用客户端/服务器模式：

· DDNS客户端：IP地址变化时，需要在DNS服务器上动态更新其域名和IP地址对应关系的设备。Internet用户通常通过域名访问提供应用层服务的服务器，如HTTP、FTP服务器。为了保证IP地址变化时，仍然可以通过域名访问这些服务器，当服务器的IP地址发生变化时，服务器将作为DDNS客户端，向DDNS服务器发送更新域名和IP地址对应关系的DDNS更新请求。

· DDNS服务器：负责通知DNS服务器动态更新域名和IP地址之间的对应关系。接收到DDNS客户端的更新请求后，DDNS服务器通知DNS服务器重新建立DDNS客户端的域名和IP地址之间的对应关系。从而保证即使DDNS客户端的IP地址改变，Internet用户仍然可以通过同样的域名访问DDNS客户端。

设备可以作为DDNS客户端，通过www.3322.org、花生壳等DDNS服务器动态更新DNS服务器上域名和IP地址之间的对应关系。

目前，DDNS更新过程没有统一的标准，向不同的DDNS服务器请求更新的过程各不相同。

产品系列	产品型号		说明
MSG系列	MSG360-4 MSG360-4-PWR MSG360-10 MSG360-10S MSG360-10-PWR MSG360-10-LTE MSG360-20 MSG360-40 MSG360-22L-PWR	支持
WX2500H-WiNet系列	WX2510H-PWR-WiNet WX2560H-WiNet	支持
WX3500H-WiNet系列	WX3508H-WiNet	不支持
WAC系列	WAC380-30 WAC380-60 WAC380-90 WAC380-120 WAC381	支持
WX2500H-LI系列	WX2540H-LI WX2560H-LI	不支持
WX3500H-LI系列	WX3510H-LI WX3520H-LI	不支持
AC1000系列	AC1016 AC1108	支持

2.2 DDNS配置限制和指导

目前，只有IPv4域名解析支持DDNS，IPv6域名解析不支持DDNS，即只能通过DDNS动态更新域名和IPv4地址之间的对应关系。

2.3 设备作为DDNS客户端配置任务简介

设备作为DDNS客户端配置任务如下：

(1) 配置DDNS策略

(2) 在接口上应用DDNS策略

(3) （可选）配置DDNS报文的DSCP优先级

2.4 配置DDNS策略

1. 功能简介

DDNS策略是DDNS服务器的地址、端口号、登录用户名、密码、时间间隔、关联的SSL客户端策略和更新时间间隔等信息的集合。创建DDNS策略后，可以在不同的接口上应用相同的DDNS策略，从而简化DDNS的配置。

2. 配置限制和指导

设备向不同DDNS服务器请求更新的过程各不相同，因此，DDNS更新请求的URL地址的配置方式也存在差异，如表2-1所示。

表2-1 常见的DDNS更新请求URL地址格式列表

DDNS服务器	DDNS更新请求的URL地址格式
www.3322.org	http://members.3322.org/dyndns/update?system=dyndns&hostname=<h>&myip=<a>
DYNDNS	http://members.dyndns.org/nic/update?system=dyndns&hostname=<h>&myip=<a>
DYNS	http://www.dyns.cx/postscript.php?host=<h>&ip=<a>
ZONEEDIT	http://dynamic.zoneedit.com/auth/dynamic.html?host=<h>&dnsto=<a>
TZO	http://cgi.tzo.com/webclient/signedon.html?TZOName=<h>IPAddress=<a>
EASYDNS	http://members.easydns.com/dyn/ez-ipupdate.php?action=edit&myip=<a>&host_id=<h>
HEIPV6TB	http://dyn.dns.he.net/nic/update?hostname=<h>&myip=<a>
CHANGE-IP	http://nic.changeip.com/nic/update?hostname=<h>&offline=1
NO-IP	http://dynupdate.no-ip.com/nic/update?hostname=<h>&myip=<a>
DHS	http://members.dhs.org/nic/hosts?domain=dyn.dhs.org&hostname=<h>&hostscmd=edit&hostscmdstage=2&type=1&ip=<a>
HP	https://server-name/nic/update?group=group-name&myip=<a>
ODS	ods://update.ods.org
GNUDIP	gnudip://server-name
花生壳	根据实际情况选择： · oray://phddns60.oray.net · oray://phservice2.oray.net

请根据网络中DDNS服务器选择要设置的URL地址：

· DDNS更新请求的URL地址可以以“http://”开头，表示基于HTTP与DDNS服务器通信；以“https://”开头，表示基于HTTPS与DDNS服务器通信；以“ods://”开头，表示基于TCP与ODS服务器通信；以“gnudip://”开头，表示基于TCP与GNUDIP服务器通信；以“oray://”开头，表示基于TCP与花生壳DDNS服务器通信。

· HP和GNUDIP是通用的DDNS更新协议，server-name是使用对应DDNS更新协议的服务提供商的服务器域名或地址。

· URL地址中的端口号是可选项，如果不包含端口号则使用缺省端口号：HTTP是80，HTTPS是443，花生壳DDNS服务器是6060。

· <h>由系统根据接口上应用DDNS策略时指定的FQDN自动填写，<a>由系统根据应用DDNS策略的接口的主IP地址自动填写。用户也可以手工输入需要更新的FQDN和IP地址，代替URL中的<h>和<a>，此时，应用DDNS策略时指定的FQDN将不会生效。建议不要修改URL中的<h>和<a>，以免配置错误的FQDN和IP地址。应用DDNS策略的详细介绍，请参见“2.5 在接口上应用DDNS策略”。

· 花生壳DDNS服务器的URL地址中不能指定用于更新的FQDN和IP地址。用户可在接口上应用DDNS策略时指定FQDN；用于更新的IP地址是应用DDNS策略的接口的主IP地址。

3. 配置准备

登录DDNS服务提供商的网站，注册账户，并为DDNS客户端申请域名。通过DDNS服务器更新域名和IP地址的对应关系时，DDNS服务器将检查DDNS更新请求中的账户信息是否正确、需要更新的域名是否属于该账户。

4. 配置步骤

(1) 进入系统视图。

system-view

(2) 创建DDNS策略，并进入DDNS策略视图。

ddns policy policy-name

(3) 指定DDNS更新请求的URL地址。

url request-url

缺省情况下，未指定DDNS更新请求的URL地址。

URL地址中不支持携带用户名和密码，配置用户名和密码请配合username和password命令使用，请根据实际情况修改。

(4) 指定登录DDNS服务器的用户名。

username username

缺省情况下，未指定登录DDNS服务器的用户名。

(5) 指定登录DDNS服务器的密码。

password { cipher | simple } string

缺省情况下，未指定登录DDNS服务器的密码。

(6) （可选）配置采用HTTP或HTTPS报文发送DDNS更新请求时使用的参数传输方式。

method { http-get | http-post }

缺省情况下，采用HTTP或HTTPS报文发送DDNS更新请求时使用的参数的传输方式为http-get。

本命令仅在基于HTTP或HTTPS与DDNS服务器通信时生效。

与DHS通信时，必须指定http-post参数传输方式进行DDNS更新。

(7) 指定与DDNS策略关联的SSL客户端策略。

ssl-client-policy policy-name

缺省情况下，未指定与DDNS策略关联的SSL客户端策略。

在指定URL为HTTPS的URL地址时为必选。

基于HTTPS与DDNS服务器通信时，需要通过本命令指定与DDNS策略关联的SSL客户端策略，SSL客户端策略的配置方法请参见“安全配置指导”中的“SSL”。

(8) （可选）指定定时发起更新请求的时间间隔。

interval days [ hours [ minutes ] ]

缺省情况下，定时发起DDNS更新请求的时间间隔是1小时。

2.5 在接口上应用DDNS策略

1. 功能简介

在接口上应用DDNS策略，并指定需要更新的FQDN与IP地址对应关系后，DDNS客户端才会向DDNS服务器发起更新域名和接口主IP地址对应关系的请求。

2. 配置限制和指导

· 除花生壳DDNS服务器外，其他的DDNS服务器均需要指定更新的FQDN，否则会导致DDNS更新失败。

· 对于花生壳DDNS服务器，如果未指定更新的FQDN，则DDNS服务器将更新DDNS客户端的账户对应的所有域名；如果指定了更新的FQDN，则DDNS服务器只更新指定的FQDN。

3. 配置准备

· 配置该接口的主IP地址，使之与DDNS服务器路由可达。

· 配置IPv4静态或动态域名解析功能，以便将DDNS服务器的域名解析为IP地址。域名解析功能的配置方法请参见“1.3 配置DNS客户端”。

4. 配置步骤

(1) 进入系统视图。

system-view

(2) 进入接口视图。

interface interface-type interface-number

(3) 在接口上应用指定的DDNS策略来更新指定的FQDN与IP地址的对应关系，并启动DDNS更新。

ddns apply policy policy-name [ fqdn domain-name ]

缺省情况下，没有为接口指定任何DDNS策略和需要更新的FQDN，且未启动DDNS更新。

FQDN是节点在网络中的唯一标识，由主机名和域名组成，可被解析为IP地址。

2.6 配置DDNS报文的DSCP优先级

1. 功能简介

DSCP优先级用来体现报文自身的优先等级，决定报文传输的优先程度。通过本配置可以指定DDNS服务器发送的DDNS报文的DSCP优先级。

2. 配置步骤

(1) 进入系统视图。

system-view

(2) 配置DDNS报文的DSCP优先级。

ddns dscp dscp-value

缺省情况下，DDNS报文的DSCP优先级为0。

2.7 DDNS显示和维护

在完成上述配置后，在任意视图下执行display ddns policy命令可以显示DDNS策略的配置情况，通过查看显示信息验证配置的效果。

表2-2 DDNS显示和维护

操作	命令
显示DDNS策略的配置情况	display ddns policy [ policy-name ]

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

热门推荐

热门推荐

H3C服务器

HPE服务器

热门推荐

H3C存储

HPE存储

热门推荐

商用台式机

商用笔记本

商用显示器

配件

热门推荐

热门推荐

智能终端

技术解决方案

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

专业安全服务

安全运营服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

技术支持

自助服务

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

热门推荐

公司刊物

加入我们

国家/地区

05-网络互通配置指导

目录

17-域名解析配置

1.1 域名解析简介

1. 体系结构

2. 解析过程

4. 域名后缀列表功能

1.1.4 DNS代理

1.3 配置DNS客户端

1. 配置限制和指导

2. 配置步骤

1.3.2 配置动态域名解析

1. 配置限制和指导

2. 配置步骤

1.4 配置DNS proxy

1. 配置限制和指导

2. 配置步骤

1.5 配置DNS spoofing

1. 配置限制和指导

2. 配置准备

3. 配置步骤

1.6 开启DNS快速应答功能

1. 功能简介

2. 配置步骤

1.7 配置DNS Snooping功能

1. 功能简介

2. 配置限制和指导

3. 配置步骤

1.8 配置DNS报文的源接口

1. 功能简介

2. 配置限制和指导

3. 配置步骤