防火墙DNS老化时间问题

H3C Comware V7 防火墙 DNS 缓存 TTL（DNS‑Proxy/DNS 透明代理）
区分两个完全不同对象：DNS 域名缓存表项、DNS UDP 会话表老化，很多现场容易混淆这两个。
一、DNS 域名缓存（dns‑proxy、透明代理的域名‑IP 映射缓存）
✅出厂默认：直接使用 DNS 应答报文中返回的 TTL，防火墙没有固定内置默认 TTL 值。
上游 DNS 返回 TTL=300 → 防火墙缓存就老化 300 秒；上游返回 TTL=86400，防火墙缓存就老化 86400 秒。
可以配置上下限钳位命令：
shell
system‑view
#设置缓存TTL下限、上限，单位秒，范围60‑3600
dns cache ttl minimum 120 maximum 1800
钳位后逻辑：
上游返回 TTL ＜配置 minimum → 使用 minimum 值；
上游返回 TTL 在 min‑max 之间 → 直接使用 DNS 报文中原始 TTL；
上游返回 TTL ＞配置 maximum → 使用 maximum 值。
不配置dns cache ttl，就完全跟随 DNS 服务器应答里的 TTL 值，防火墙不做修改。
查看缓存：display dns cache，每条表项会显示实际剩余 TTL。
清空缓存：reset dns cache。
二、DNS UDP 会话表老化（不要和域名缓存搞混）
这是会话表的老化，不是域名缓存老化。
bash
display session aging‑time application
DNS 应用会话默认老化时间为 1 秒。
含义：DNS 查询报文交互完成之后，UDP 会话表 1 秒就删掉，不影响 DNS 域名缓存表项。
很多人在这里踩坑：会话 1 秒回收≠域名缓存 1 秒过期。
三、通俗总结
DNS 域名缓存（Proxy 缓存）：默认继承 DNS 服务器应答的 TTL，防火墙没有硬编码默认 TTL。
返回 TTL 小，就按小值老化；返回 TTL 大，就按大值老化。
只有配置dns cache ttl min/max才会做钳位截断。
DNS UDP 会话表：应用老化 1s，只管五元组会话，和域名缓存 TTL 互不干涉。
举例子
DNS 服务器返回 TTL=60 秒，没有配置dns cache ttl：防火墙缓存 60s 后失效。
DNS 服务器返回 TTL=30 秒，配置dns cache ttl minimum 120 maximum 1800：上游 TTL30＜min120，防火墙缓存使用 120s。
DNS 服务器返回 TTL=7200，配置 maximum 1800：防火墙缓存最大 1800s。
四、排错验证命令
bash
#查看dns缓存表，观察每条表项TTL
display dns cache

#查看会话应用老化时间，确认dns会话老化
display session aging‑time application | include dns

#查看是否配置TTL钳位
display current‑configuration | include dns cache ttl
补充：DNS 透明代理（dns transparent‑proxy enable）同样遵从这套 TTL 逻辑。

参考：

服务器域名解析支持缓存功能。每次解析成功的域名与IP地址的映射均存放在DNS客户端的动态域名缓存区中，当下一次查询相同域名的时候，就可以直接从缓存区中读取，不用再向域名服务器进行请求。缓存区中的映射在一段时间后会老化而被删除，以保证及时从域名服务器得到最新的内容。老化时间由域名服务器设置，DNS客户端从域名服务器的应答报文中获得老化时间。