DNS 选项 Ironport 网络安全设备

网络工程 思科 安全 域名解析
2021-07-09 06:36:40

我在透明模式下运行 Ironport WSA。
在高级代理配置 - DNS 选项中,我发现以下内容:

Find web server by:
Specify how the appliance should find the location of the requested web server.
0 = use DNS answers in order
1 = use client supplied address then DNS
2 = use ONLY client supplied address
3 = use client supplied address for next hop connection and Web Reputation (Warning: Destination IP based policies will still use DNS).
Default Value: 1  

谁能解释为什么使用 1 作为默认值是有意义的?
使用 1. 用户可以编辑他的主机文件并将 www.google.com 指向 123.45.67.89。请求会发送到代理,代理会为 www.google.com 进行 dns 查找,但仍会将请求转发到 123.45.67.89。
如果代理不使用答案,为什么要进行 dns 查找?

任何人都可以看到不使用 0 的充分理由吗?
这对我来说很有意义,因为无论如何代理都会执行 DNS 请求,这将使代理日志更值得信赖。

1个回答

如果出于某种原因,客户端可以访问比代理更多或不同的名称解析数据,这首先可能是必要的。您自己举了一个简单的例子:代理上不存在的客户端主机文件中的条目。或者客户端可能正在与不同的 DNS 服务器通信。

这也可能是一个效率问题,因为使用选项 0,所有 DNS 请求都将执行两次,一次由客户端执行,一次由代理执行。在选项 1 中,如果客户端提供的地址不起作用,代理将仅执行 DNS 查找作为后备。

另请注意,当域使用循环 DNS 时,客户端和代理可能会得到不同的查询答案。这将导致连接到不同的服务器,而不是客户端期望连接的服务器。这可能会导致以某种方式依赖于连接到 DNS 返回的实例的协议出现问题。这样的协议适用于选项 1,但并不总是适用于选项 0。