防火墙做DNS透明代理、终端DNS要填什么

1. 1.

   ​​终端发起请求​​：

   • •

     PC（192.168.1.100）想要访问 ***.***。

   • •

     由于DNS指向了 192.168.1.1，它向防火墙发送一个DNS查询请求：“***.***的IP是什么？”

2. 2.

   ​​防火墙拦截与处理（透明代理核心）​​：

   • •

     防火墙（192.168.1.1）接收到这个DNS请求。

   • •

     此时，防火墙上的​​DNS透明代理功能​​和​​策略路由​​开始工作。

   • •

     防火墙会根据配置好的策略（通常基于源IP、目的地、链路负载等），​​智能地选择三条外网链路中的一条​​，并将这个DNS请求报文​​原样转发​​给该链路上对应的运营商DNS服务器（例如 218.2.2.2）。

   • •

     ​​注意​​：防火墙在转发时，会做SNAT（源地址转换），将DNS请求的源IP从PC的 192.168.1.100改为防火墙该出口链路的IP地址。

3. 3.

   ​​接收并返回响应​​：

   • •

     运营商DNS服务器（218.2.2.2）将解析出的IP地址（例如 1.2.3.4）回复给防火墙。

   • •

     防火墙收到响应后，再将其​​返还给最初发起请求的PC​​（192.168.1.100）。

4. 4.

   ​​后续流量建立连接​​：

   • •

     PC拿到 ***.***的IP地址 1.2.3.4后，开始发起业务访问（如HTTP请求）。

   • •

     这个业务请求的目标IP是 1.2.3.4，目标端口是80，它会首先发往默认网关（也就是防火墙 192.168.1.1）。

   • •

     防火墙收到这个业务流量后，会​​查询它的会话表​​，发现这个连接是由之前那个DNS查询引发的。

   • •

     为了保证流量路径的一致性（即从哪条链路出去解析的DNS，就从哪条链路出去访问），防火墙会​​确保这条业务连接也从之前发送DNS请求的那条链路转发出去​​。

为什么必须指向防火墙？

• •

  ​​实现代理功能​​：只有DNS流量先发给防火墙，防火墙才有机会“拦截”并“代理”它，从而执行链路选择的策略。如果终端直接指向公网DNS（如 8.8.8.8），请求就会直接通过默认路由出去，防火墙无法实现智能选路。

• •

  ​​集中管理​​：所有终端的DNS解析行为都经过防火墙，便于做​​安全审计​​（如记录域名访问日志）、​​内容过滤​​（如屏蔽恶意域名）和​​流量管理​​（如根据域名分流）。

与普通网关模式的区别

配置要点总结

1. 1.

   ​​终端配置​​：所有PC的DNS服务器地址设置为防火墙内网口IP 192.168.1.1。

2. 2.

   ​​防火墙配置​​：

   • •

     启用DNS透明代理/中继功能。

   • •

     配置三条链路的DNS服务器地址（分别填入对应运营商提供的DNS）。

   • •

     配置策略路由，规定DNS请求如何选择出口链路（例如：根据源IP段选择链路、轮询负载均衡等）。

3. 3.

   ​​防火墙策略​​：确保安全策略允许从内网到防火墙本身（192.168.1.1）的​​UDP 53​​端口的流量。

这样做之后，您的三链路DNS透明代理方案就能正常工作，实现流量的智能分流和负载均衡了。