防火墙+智能dns

支持的

高端 SecPath 防火墙（F5000/M9000/L5000 等 Comware V7）支持【智能 DNS】+【入方向链路负载（入 LB）】，这两个是绑定在一起的同一套 LB 模块；低端防火墙（F100 系列）不具备入 LB / 智能 DNS 模块H3C

简单理解：智能 DNS 就是入方向链路负载均衡的 DNS 调度组件，二者一体，用来解决多运营商线路，外网用户域名访问内网服务器就近解析（电信用户解析电信公网 IP、联通用户解析联通 IP，链路故障自动切）。

1、支持型号区分

✅支持：F5000、M9000、L5000（应用交付防火墙），版本 E96xx/E97xx ❌不支持：F1000-AK、F100-C、F100-SG 等低端防火墙，只有出方向链路负载（多出口内网上网选路），没有入 LB / 智能 DNS

注意：普通 DNS 代理 / 域名重定向 ≠ 智能 DNS（入 LB），很多人混淆。

• DNS 代理：内网终端 DNS 转发；
• 智能 DNS：设备充当权威 DNS，对外域名解析，根据 ISP、链路质量返回对应运营商公网 IP，属于入方向链路负载。

2、核心原理

1. 域名服务商 NS 记录指向防火墙公网 DNS 监听器 IP；
2. 外网用户域名请求转发到防火墙 DNS 监听器；
3. 防火墙通过静态就近性（ISP 地址库）/ 动态就近性 RTT / 带宽 / 加权轮转算法，选择最优链路对应的公网虚 IP 做 DNS 应答；
4. 用户拿到该 IP 访问内网服务器，流量走对应运营商链路；链路故障，健康探测识别后，DNS 不再分配故障链路 IPH3C

3、基础配置要点（CLI）

Web 路径：策略 → 负载均衡 → 链路负载均衡 → 入方向链路负载均衡（DNS 映射、DNS 监听器）

4、关键约束 & 坑

1. 需要 License：入方向链路负载均衡（智能 DNS）需要单独负载均衡 License，默认不带，无授权该菜单不可见。
2. 域名解析授权（NS 记录）：域名商需要把域名 NS 记录指向防火墙公网监听 IP；也可以用 DNS 子域授权方式。
3. 双机 VRRP/RBM 场景：DNS 监听器、虚 IP 需要绑定 VRRP/RBM，主备同步 DNS 映射表。
4. 动态就近性：设备主动探测远端 DNS 递归服务器 RTT，消耗设备 CPU；大规模域名场景慎用。
5. TTL 设置：TTL 不要设置过大，否则链路故障后，公网 DNS 缓存会导致用户依然解析故障 IP。

5、出方向链路负载 vs 入方向链路负载（容易混淆）

• 出方向 LB（大部分防火墙自带）：内网用户访问外网，多出口选电信 / 联通，不需要智能 DNS。
• 入方向 LB（智能 DNS）：外网用户访问内网发布服务器，域名就近解析，必须启用智能 DNS 模块，高端防火墙 + LB license 才支持。

6、排查查看命令

智能DNS一般是负载均衡的功能，你可以对照看下有没有

https://www.h3c.com/cn/d_202108/1452868_30005_0.htm