domain-name-system – 使用不同的隧道时,DHCP可以分发不同的DNS服务器地址吗？

我们部署了几个ASA 5505.目前,我们有一个设置,本地ASA正在回答DHCP查询,并使用两个DNS服务器配置客户端：我们的DR站点DNS服务器(我们使用AD)和公共DNS.

当VPN隧道关闭时,我们需要让客户端访问“互联网”(这不仅意味着数据包路由,而且还有DNS应答),这将排除我们这边的服务DHCP.以上配置允许我们使用vpnclient服务器[生产站点VPN目标] [DR站点VPN目标]而不会出现问题.

这是先前配置的解决方法,我们通过调整DHCP分配的DNS手动对隧道进行故障转移.超高触感和慢速.

在Fortigate上,有一个负载平衡服务可以创建一个VIP并进行一些检查以验证与DNS服务器的连接.

除了像负载平衡这样的创造性解决方案之外,我们如何配置由我们的现场ASA分配DHCP的客户端将DNS查找发送到特定服务器？

[边注]

只是认为我们可能会在每个通过相同VIP(仅可由VPN客户端访问)提供DNS的站点上使用负载均衡器.但对于可能的客户端问题,这是一个复杂的服务器端解决方案.

解决方法

在您的情况下,我只是将ASA用作DHCP,将其内部IP作为DNS服务器,使用DNS代理到隧道DNS,并在配置中列出几个公共DNS.

例如. (这些命令适用于c3900设备ios15.1,您可能需要进行更改才能与ASA软件兼容)

service dhcp
ip domain nameserver "tunnel dns"
ip domain nameserver 8.8.8.8 ; google dns used for simplicity
ip domain nameserver 8.8.4.4
ip dhcp pool NET-POOL
   network 192.168.1.0 255.255.255.0
   default-router 192.168.1.1
   dns-server 192.168.1.1
   domain-name mydomain.net ; not required but helpful
   lease 9
ip dhcp excluded-address 192.168.1.1

这适用于小型办公室,我在100个或更少的用户使用它,但如果你有ram可以缩放.

在隧道上运行ip-sla以了解其何时关闭并使用默认路由指向隧道将使切换更快更可靠.只需确保定义的静态路由指向本地外部接口,或者当隧道发生故障时,asa将删除默认路由,然后事情就会停止工作.

原文地址：https://www.jb51.cc/html/228402.html