默认不监听dns，需要配置dns snooping enable。

可参考：https://zhiliao.h3c.com/Theme/details/224261

结论

F5000 防火墙的DNS 被动监听就是 DNS Snooping，默认关闭，必须手动执行 dns snooping enable 开启，不会默认启用H3C。

1、功能原理

DNS Snooping（DNS 被动监听）：防火墙旁路侦听穿越防火墙的 DNS 请求 / 应答报文，被动记录域名 <->IP 映射关系，供域名对象、安全策略、带宽策略使用，不篡改 DNS 报文。

仅当策略里引用了域名对象，才会记录对应域名解析条目；没有被订阅的域名，不会生成缓存表项。

2、CLI 完整配置

3、重要限制（必看）

1. DNS Snooping 和 DNS 透明代理 dns transparent-proxy enable 互斥，不能同时开启，二选一。
2. 报文必须是客户端 ↔ DNS 服务器流量穿过防火墙，才可以监听；不支持跨 VPN 监听 DNS 报文。
3. 表项 TTL 默认复用 DNS 应答报文里的 TTL，也可以手动修改：

4、查看与验证命令

5、Web 界面开启路径

登录 F5000 Web 管理页面：对象 → 域名对象 → 全局设置，勾选【开启 DNS Snooping】，和命令行dns snooping enable等价。

补充区分两个容易混淆的功能

• DNS Snooping（DNS 被动监听）：被动侦听、不改包，用于域名对象匹配安全策略，需要手动开启；
• DNS 透明代理：防火墙拦截并代处理 DNS 报文，会修改源 IP，和 snooping 互斥。

华三 SecPath F5000 防火墙的DNS Snooping（DNS 被动监听）默认是关闭，必须手动配置 dns snooping enable 才能开启H3C。

DNS Snooping 就是你说的 DNS 被动监听：旁路侦听经过防火墙的 DNS 请求 / 应答报文，抓取域名 <->IP 映射关系，供给域名对象、域名安全策略使用。

简要说明

1. 缺省状态：dns snooping enable 不生效，防火墙不会监听、记录 DNS 域名 IP 映射。
2. 开启命令（系统视图）

3. 配套查看：

可以看到抓到的域名 IP 表项。 4. 重要限制

• DNS Snooping 和 dns transparent-proxy enable（DNS 透明代理）互斥，不能同时开启H3C
• 只有策略里配置了域名对象，防火墙才会只抓取订阅域名的解析记录，不是全网所有 DNS 都保存。
• 报文必须穿过防火墙（客户端 DNS 流量经过 F5000 转发），监听才生效。

补充区分两个容易混淆的功能

• DNS Snooping：被动监听，不改动 DNS 报文，只抓域名 IP 映射（用于域名策略），需要dns snooping enable
• DNS Proxy：DNS 代理，防火墙主动代答 DNS 请求，默认关闭，dns proxy enable开启
•