F1000-E-G5是否支持配置域名访问黑名单？ 需要配置授权吗？

Q1: 实现基于域名的安全策略需要下发的配置能有哪些？

A1:安全策略放通dns解析流量；配置域名对象组；安全策略调用该域名对象组；开启dns snooping功能。示例如下：

#              

 dns snooping enable

#

object-group ip address dns_snooping

 0 network host name ***.***

#

#

security-policy ip

 rule 0 name dns

  action pass

  service dns-udp

 rule 1 name dns_snooping

  action pass  

  destination-ip dns_snooping

#

Q2：如何查看FW记录的解析结果

A2：参考命令如下：

#

RBM_P<FW_01>disp object-group ip host object-group-name dns_snooping    ---显示主机名对应IP地址的相关信息

object group : dns_snooping

  Object ID        : 0

    Host name      : ***.***

    VPN instance   : -

    Updated at     : 2024-02-23 18:40:16

    IP addresses   : 

      106.11.45.35

      106.11.211.236        ---域名对应的IP，该表项存在则安全策略生效

#

RBM_P[FW_01-probe]disp system internal dns snooping host   ---显示DNS Snooping记录的域名解析信息，该表项的老化时间由dns回应报文的老化时间决定

Total number: 1

No.  Host name                           Server                            TTL                QType              IP addresses

1    ***.***          114.114.114.114           104                 A                      106.11.45.35        

#

RBM_P[FW_01-probe]disp system internal dns kernel snooping-rule host   ---显示内核中DNS Snooping监听域名解析结果的规则，查看配置是否生效

Slot: 1

Type:

  D: Domain    S: Subdomain

 

No.   VPN instance              Domain/Subdomain       Rule-type QTYPE IgnoreVpn

1                               ***.***  D         A     N

 

实际使用中，前两条命令经常会用到，以对比终端dns解析结果和FW上记录表项是否一致。