什么是DNS透明代理

---

DNS透明代理是用来分配DNS请求报文出口链路的一种技术，将企业用户通过域名访问互联网上各种Web服务器的流量按照给定策略分配到不同链路上去。
对于命中DNS透明代理策略的DNS请求报文，链路负载均衡设备会根据DNS请求报文选择的出接口，修改请求报文的目的地址（DNS服务器地址），DNS请求被转发到不同的ISP链路，解析后的Web服务器地址也就属于不同的ISP链路，上网流量将通过不同的ISP链路转发，充分利用了所有链路资源，实现了企业网络访问流量的精细化、智能化分配，是实现多出口网络负载均衡和优化访问体验的有效手段。

---

为什么选择DNS透明代理

在大多数企业网络环境中，企业用户通过域名访问互联网上的Web服务时，其业务请求首先会触发客户端向DNS服务器发起域名解析请求。按照标准配置，企业内网用户的客户端通常只配置一个DNS服务器地址，该地址可通过DHCP自动分配或由管理员手动设定，且该DNS服务器地址通常指向特定运营商（如中国电信）。以某企业网络环境为例，其客户端配置使用中国电信的DNS服务器A进行域名解析。当DNS服务器A接收到DNS请求报文后，一般会将域名解析结果指向部署在电信网络内部的服务器地址。这种配置模式存在明显局限性：虽然Web服务提供商通常会在多个运营商网络节点部署服务器资源，但企业用户始终只能获取到部署在特定运营商网络（如中国电信）内的Web服务器地址。在默认路由策略的作用下，企业用户的上网流量将被强制集中到中国电信链路进行转发，导致该链路出现拥塞现象，严重影响用户体验，同时其他运营商链路（如中国联通）的带宽资源将被闲置利用，造成网络资源的浪费。

DNS透明代理前的流量模型

为解决上述网络资源利用不均衡的问题，DNS透明代理技术应运而生。该技术通过在链路负载均衡设备上启用透明DNS功能，能够智能识别并选择性修改特定DNS请求报文的目的地址，将这些请求导向不同运营商的DNS服务器（如中国电信、中国联通等）。具体而言，当内网客户端发起DNS请求后，设备会判断其是否符合透明代理策略。若符合，则将该请求转发至相应的ISP DNS服务器（例如，转发至中国电信DNS服务器A则获取电信网络内的Web服务器地址，转发至中国联通DNS服务器B则获取联通网络内的Web服务器地址）。通过这种机制，DNS透明代理实现了DNS请求报文出口链路的智能分配，从而引导业务流量在多条链路间实现均衡分配。值得注意的是，企业内网客户端的DNS配置方式保持不变，可通过DHCP自动获取或手动设置DNS服务器地址，且可配置为内网DNS服务器或任意运营商的DNS服务器。整个过程中，内网用户完全感知不到链路负载均衡设备对DNS请求报文所做的技术处理，这也是该技术被称为"透明代理"的核心特征。

图1-3 DNS透明代理后的流量模型

DNS透明代理的优势

DNS透明代理作为企业网络优化的关键技术，具有以下核心优势：

链路负载均衡与性能提升

DNS透明代理能够智能分配DNS请求到不同的出口链路，避免单一链路过载，实现多链路资源的均衡利用，显著提升网络访问性能和响应速度。

多ISP链路的充分利用

通过将DNS请求导向不同ISP的DNS服务器，企业可以同时利用多个运营商的网络资源，避免链路闲置，最大化带宽利用率。

灵活的策略配置

可以基于IP、域名、用户等多种条件制定DNS请求分配策略，满足企业多样化的网络管理需求。

对终端用户透明

终端用户无需修改DNS设置（无论是DHCP自动分配还是手动配置），也全程感知不到链路负载均衡设备对DNS请求报文所做的技术处理即可享受流量智能调度，降低运维复杂度。

华为防火墙DNS透明代理策略

DNS透明代理策略的配置是实现智能DNS请求分配的核心机制。管理员可通过在华为防火墙上配置策略匹配条件来定义需要进行透明代理处理的DNS请求。

1. 策略匹配条件
   DNS透明代理策略的匹配条件包括DNS请求报文的源IP地址和请求报文的目的IP地址。

2. 匹配逻辑
   “与”关系：策略中配置的多个匹配条件需全部满足（逻辑“与”），报文才视为匹配该策略。
   “或”关系：若某一匹配条件中包含多个值（如多个IP地址），报文属性只需匹配任意一个值（逻辑“或”），即可满足该条件。

3. 策略执行动作
   代理：将DNS请求转发至指定出口链路。
   不代理：保留原始DNS请求处理方式。

4. 策略优先级
   DNS请求将按策略配置顺序依次匹配。
   建议优先配置匹配范围较小的策略，后配置匹配范围较大的策略，以避免大范围策略覆盖小范围策略。

5. 默认策略
   系统内置一条优先级最低的缺省DNS透明代理策略default。
   1.缺省行为：系统预设一条优先级最低的默认策略default，其匹配条件均为any（匹配所有报文），动作默认为“不代理”。
   2.兜底机制：若所有用户自定义策略均未匹配，报文将自动匹配默认策略，确保所有请求均有明确处理方式。

华为DNS透明代理如何工作

华为防火墙为企业提供DNS透明代理服务，将企业用户通过域名访问互联网上各种Web服务器的流量按照给定策略分配到不同链路上去。

企业内网用户访问Web服务www.example.com时，会触发DNS查询请求。防火墙收到该请求后，首先进行代理策略匹配，判断该域名不是排除域名，报文命中DNS透明代理策略后，防火墙根据选路配置结果选择一条运营商链路。随后，防火墙执行以下处理流程：

1. 源地址转换（源NAT）：设备根据源NAT修改DNS请求报文的源IP地址。
2. 目的地址转换（DNS透明代理）：设备根据DNS透明代理策略将DNS请求报文的目的地址替换为对应运营商网络的DNS服务器地址（如电信DNS或联通DNS）。
3. 转发处理：修改后的DNS请求报文被转发至目标DNS服务器，完成域名解析。

DNS服务器的应答报文要完成相反的地址转换。最后内网客户端收到DNS应答报文后，根据其返回的IP地址访问Web服务器。

DNS透明代理的工作过程

---