问

全局负载与单独的dns服务器

14小时前提问

粉丝：2人关注：0人

组网：同一局域网，有服务器负载，全局负载，单独的dns服务器。

电脑配置全局负载地址作为dns地址测试：通过全局负载--服务器负载访问业务正常（域名+端口访问）

现在：

加上了单独的dns服务器，将全局负载的地址添加到了dns服务器上，dns服务器上说是配置了解析，电脑配置dns的地址，测试出现下面的结果：

电脑浏览器域名+端口访问业务不通，提示连接被拒绝，电脑上ping域名，可以解析出来的地址是全局负载的地址。

在这种情况下：

是dns服务器上配置的问题？还是全局负载的问题？还是哪里的问题啊。

2 个回答

按时间按赞数

粉丝：2人关注：0人

电脑能通过 DNS 正确解析出全局负载（AD）的 IP 地址，但访问（域名+端口）时提示“连接被拒绝”，这通常不是 DNS 服务器配置的问题。

DNS 服务器的任务是将域名翻译成 IP 地址，这个任务它已经完成了（因为 ping 命令显示解析结果是正确的）。问题出在解析完成后，电脑尝试与这个 IP 地址建立网络连接的过程中。

“连接被拒绝”这个错误提示非常关键，它通常意味着网络路径通到了目标服务器，但目标服务器（在这里是深信服 AD 设备）拒绝了连接请求。结合您的组网环境，问题极大概率出在全局负载（GSLB）或服务器负载（SLB）的配置上。

以下是导致该问题的几个核心原因及排查方向：

在较新的深信服 AD 版本（如 7.0.21 及以上）中，DNS 解析功能依赖于“DNS 服务”和“DNS 策略”的配置。

问题点：您虽然配置了全局负载策略，但可能没有在 DNS 服务中关联对应的 DNS 策略，或者在 DNS 策略中没有勾选 GSLB 模块。
后果：AD 设备收到了 DNS 请求，但由于没有策略匹配，无法触发 GSLB 的应答机制，导致连接被拒绝或无响应。
排查：检查 AD 界面的【DNS 服务】配置，确认是否引用了包含该域名的【DNS 策略】，并且该策略启用了 GSLB 模块。

问题点：GSLB 负责将域名解析给用户，但最终用户访问的是具体的业务端口（例如 HTTPS 的 443 端口）。如果【服务器负载】模块中创建的【虚拟服务】只监听了 IP，但没有开放对应的业务端口，或者端口协议（TCP/UDP）配置错误，就会返回“连接被拒绝”。
排查：检查【服务器负载】->【虚拟服务】配置，确认该服务是否正确配置了业务使用的端口号，并且状态为“启用”。

问题点：AD 设备本身具有防火墙功能。如果 ACL 策略或安全组配置中，只允许了 ICMP（Ping）流量通过，但拦截了您业务所使用的特定端口（例如 8080 或 443），就会出现 Ping 得通但访问不了的情况。
排查：检查 AD 设备或网络中其他防火墙的安全策略，确保存放策略允许源地址（内网电脑）访问目的地址（AD 虚拟 IP）的对应业务端口。