问题描述：
F1000-AI-60如何配置域名封堵，我在对象组主机名添加的域名，但实际该域名是动态域名，解析的地址一直在变，如何彻底封堵，URL过滤是否可以实现？
组网及组网描述：
F1000在出口区，下行核心接用户pc电脑
- 2025-07-17提问
- 举报
-
(0)
最佳答案
方案一：URL过滤（推荐）
配置URL过滤规则
# 进入URL过滤视图
system-view
url-filter profile block_dynamic_domains
# 添加动态域名（支持通配符）
rule 1 deny url "*.***.***" # 替换为目标域名
rule 2 deny url "****.***" # 支持多个域名
quit
应用策略到安全策略
security-policy ip
rule name block_dynamic_domain
source-zone untrust
destination-zone trust
action deny
profile url-filter block_dynamic_domains # 关联URL过滤
优势：直接匹配域名而非IP，不受DNS解析变化影响，支持通配符。
方案二：DNS过滤（辅助手段）
若域名通过本地DNS查询，可阻断DNS解析：
dns-filter profile block_dns
rule 1 deny qtype A domain "***.***"
rule 2 deny qtype AAAA domain "***.***"
apply dns-filter block_dns interface GigabitEthernet1/0/1 # 应用在外网接口
注意：仅对通过防火墙的DNS请求生效，客户端若使用DoH/DoT可能绕过。
方案三：IP封堵+动态更新（备用）
创建地址组并关联DDNS
ip address-set dynamic_domain type object
description "Auto-updated via DDNS"
resolve enable # 启用DNS解析监控
host-name ***.*** # 动态域名
安全策略引用地址组
security-policy ip
rule name block_by_ip
source-address address-set dynamic_domain
action deny
局限：IP变化后需等待DNS缓存刷新（可调整resolve interval缩短周期）。
补充建议
日志监控：在URL过滤规则中添加logging选项记录命中日志。
通配符使用：如封堵子域名可用*.***.***。
策略优先级：确保封堵规则的优先级高于允许规则。
- 2025-07-17回答
- 评论(1)
- 举报
-
(0)
有web配置的说明吗 这个动态域名解析没看懂
url过滤可以的
这边参考如下链接
https://www.h3c.com/cn/pub/Document_Center/2023/08/WebHelp_H3C_SecPath_FHQCP_DXPZALJ(V7)/default_auto.htm?CHID=904205
- 2025-07-17回答
- 评论(0)
- 举报
-
(0)
对于F1000-AI-60设备，要实现对动态域名的封堵，使用基于域名的地址对象组可能不是最有效的方法，因为动态域名的IP地址会频繁变化，设备需要持续解析，这可能导致性能问题。URL过滤功能可以提供更细致的控制，包括对动态域名的封堵。
要使用URL过滤实现域名封堵，可以按照以下步骤操作：
1. **创建URL过滤分类**：使用`url-filter category`命令创建一个新的URL过滤分类。
2. **添加URL规则**：在URL过滤分类中，使用`rule`命令添加需要封堵的域名规则。可以使用通配符来匹配动态域名。
3. **配置URL过滤策略**：创建URL过滤策略，并在策略中引用之前创建的分类。
4. **应用URL过滤策略**：在安全策略或带宽策略中引用URL过滤策略，以实现对特定流量的控制。
例如，创建一个URL过滤分类并添加规则：
```
url-filter category myblock
rule host name ***.***
rule host name *.***.***
```
然后，创建URL过滤策略并引用分类：
```
url-filter policy mypolicy
category myblock action drop
```
最后，在安全策略中引用URL过滤策略：
```
security-policy
rule name myrule
action drop
url-filter policy mypolicy
```
这样，即使动态域名的IP地址发生变化，只要域名匹配，流量就会被封堵。URL过滤功能提供了更强大的动态域名封堵能力，适合处理动态变化的网络环境。
- 2025-07-26回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
有web配置的说明吗 这个动态域名解析没看懂