MSR3600 如何设置DNS转发？

不支持的 

防火墙当出口，做dns代理，防火墙策略禁掉所有内网访问外网dns的数据，只有电脑配了防火墙的dns才能出去

方法一：通过 DHCP 下发指定 DNS（最推荐，适用于内网设备自动获取 IP）

1. 进入系统视图并找到你的 DHCP 地址池（默认通常是 lan1）。
2. 配置下发的 DNS 服务器列表。

方法二：开启 DNS 透明代理（强制劫持，适用于防止用户自行乱改 DNS）

方法三：在路由器接口指定 DNS 服务器

下面给你 MSR3600 强制内网所有设备 DNS 走指定服务器 的完整方案，分两种：
DNS Proxy（简单、推荐）
内网设备 DNS 填网关（MSR3600 内网口），路由器帮你转发到指定 DNS。
DNS Redirect（透明劫持，最强）
不管内网设备填什么 DNS，全部强制改成你指定的 DNS，用户改不掉。
一、DNS Proxy（最常用，简单可靠）
1. 配置命令
bash
运行
system-view

# 1. 开启DNS功能
dns enable

# 2. 指定要转发到的DNS（公网/内网都可以）
dns server 223.5.5.5 # 阿里DNS（主）
dns server 114.114.114.114 # 备用

# 3. 开启DNS代理（内网请求发给上面的server）
dns proxy enable

# 4. 内网口（假设是G1/0/1）配置IP，作为网关
interface GigabitEthernet 1/0/1
ip address 192.168.1.1 255.255.255.0
undo shutdown

quit
save
2. 内网设备怎么设置
网关：192.168.1.1（路由器内网口）
DNS：必须填 192.168.1.1
→ 所有 DNS 请求到路由器，路由器再转发到 223.5.5.5
3. 验证
bash
运行
display dns server
display dns proxy
二、DNS Redirect（强制劫持，用户改 DNS 也没用）
需求：内网设备无论填什么 DNS（8.8.8.8/114 等），全部强制转到你指定的 DNS。
1. 配置思路
用 ACL + 策略路由 把所有 UDP 53 端口流量，重定向到路由器本身。
路由器开 DNS Proxy，再转发到真实 DNS。
2. 完整配置
bash
运行
system-view

# 1. 真实DNS
dns enable
dns server 223.5.5.5
dns proxy enable

# 2. ACL匹配所有DNS请求（UDP 53）
acl advanced 3000
rule permit udp destination-port eq 53

# 3. 策略路由：把所有DNS流量重定向到本机
policy-based-route DNS_REDIRECT permit node 10
if-match acl 3000
apply local

# 4. 内网口应用策略路由
interface GigabitEthernet 1/0/1
ip address 192.168.1.1 255.255.255.0
ip policy-based-route DNS_REDIRECT
undo shutdown

quit
save
3. 效果
内网 PC 填 8.8.8.8 → 被劫持到路由器 → 路由器用 223.5.5.5 解析
内网 PC 填 114.114.114.114 → 同样被劫持
用户自己改 DNS 无效
三、配合 DHCP（自动下发 DNS，更省心）
如果你内网用 MSR3600 做 DHCP：
bash
运行
dhcp enable

interface GigabitEthernet 1/0/1
dhcp select interface
dhcp server dns-list 192.168.1.1 # 下发网关作为DNS
这样所有终端自动拿到 DNS = 网关，配合 DNS Proxy 完美。
四、总结（你直接复制即可）
方案 A（简单）：DNS Proxy
bash
运行
system-view
dns enable
dns server 223.5.5.5
dns proxy enable
interface GigabitEthernet 1/0/1
ip address 192.168.1.1 255.255.255.0
undo shutdown
quit
save
方案 B（强制）：DNS Redirect
bash
运行
system-view
dns enable
dns server 223.5.5.5
dns proxy enable
acl advanced 3000
rule permit udp destination-port eq 53
policy-based-route DNS_REDIRECT permit node 10
if-match acl 3000
apply local
interface GigabitEthernet 1/0/1
ip address 192.168.1.1 255.255.255.0
ip policy-based-route DNS_REDIRECT
undo shutdown
quit
save