深信服AD智能DNS及虚拟服务排错指南
dns配置错误的解决方法
dns配置错误的解决方法
dns配置错误的解决方法
dns配置错误的解决方法1
1、进入网络共享中心，点击以太网。
2、在弹出的窗口选择属性，并双击属性。
3、在弹出的窗口找到“Internet 协议版本4 (TCP/IPv4)/属性”，并双击属性。
4、将首选DNS改为223.5.5.5，这个DNS是阿里云公共的DNS 地址，这个DNS也是全球通用的，国内用户优先推荐，具备高速上网，防钓鱼网站等功能。
dns配置错误的解决方法2
1、在电脑右下方的网络图标上右键点击，打开“网络和lnternet”设置;
2、现在“更改配置器选项”，进入网络连接窗口;
3、右键点击网络连接图标，选择最下方的“属性”;
4、在新窗口中双击“ Internet协议版本4”，然后勾选“使用下面的DNS服务器地址”，输入8.8.8.8，点击确认即可。
dns配置错误的解决方法3
1、当浏览器垃圾太多时，也有可能导致网页打不开。
此时建议先清理浏览器产生的垃圾文件;
2、以IE浏览器为例，打开“工具”，选择“Internet选项”;
3、在“常规”中选择“删除”，点击进入;
4、在弹出的窗口中选择自己需要清理的选项。
一般选择“临时文件”、“Cookie”、“历史记录”即可。
SANGFOR_AD_V4.6_2013年渠道初级认证培训03_智能DNS与虚拟服务_20121218
选择虚拟IP的调度策略，需要注意 设备收到不存在域名的查询请求的时候，将该请 的是选择静态就近性需要在【智能 求转至【DNS代理】模块处理。 DNS】-【静态就近性】处设置规则， 通过该功能，可实现代理外网用户的DNS请求。 否则静态就近性不生效
SANGFOR AD配置方法与截图
服务器负载配置
自定义名称 名称自定义 当节点池使用 Cookie、HTTP Header、Radius会 设置会话保持方式，本案 话保持或者节点池选择的哈希 URI和HOST调度 新建一个IP组， IP组包 备用会话保持仅仅针对非Cookie 例中选择 Cookie 会话保持 算法，则选择七层模式，其他情况选择四层模式。 含外网线路的两个IP 和SourceIP类型的会话保持可选 配置完成 Cookie名称自定义
，不同运营商的用户返回不同的地址，联通用户能
从联通链路访问到服务器，电信用户从电信访问。 其他运营商自动选择最快链路访问。 2.如果某条链路异常，自动切换到正常链路
3.如果某台服务器异常，自动切换到其他正常的服
务器
部署前网络环境
智能DNS与虚拟服务典型案例及配置
SANGFOR AD解决方案
1.用SANGFOR AD入站链路负载功能，启用 智能DNS，从而实现智能DNS解析，联通用
智能DNS与虚拟服务典型案例及配置
用户网络环境与需求
用户环境： 某用户线路1电信100M，线路2联通100M，内网 有2台服务器提供80端口的同一WEB服务，目前通
过防火墙做映射进去访问。
用户需求： 1.用户已经从域名服务商注册域名 希望通过域名访问到内部WEB服务器
192.168.2.11。
6.新建一个虚拟服务，将服务、IP组、节点池关联起来即可。
深信服AD虚拟服务功能介绍
4、新建用于检查服务器健康状态的监视器，AD设备默认已经新建好ping 和connect监视器 5、新建节点池，添加两个服务器192.168.2.10和192.168.2.11
虚拟服务典型案ห้องสมุดไป่ตู้及配置
深信服AD解决方案
1.AD设备单臂模式部署，不会影响客户原来 的网络结构 2.通过AD设备做服务器负载，调度策略选择 轮询，并配置节点监视器来监控服务器状态
部署后网络拓扑
虚拟服务典型案例及配置
深信服AD配置思路
基础网络配置 此处不赘述。（由于旁路部署，需配置SNAT和默认路由） 虚拟服务配置思路如下：
会话保持
作用：用户的一个业务流程包含多个请求，而通常情况下这些请求需要被分 配到同一个服务器来处理。
常用会话保持方法： 源IP、cookie等
一个用户的多次 访问请求，需要 由同一个服务器 来处理
SSGG
用户
代理代理
服务器A 服务器B 服务器C
虚拟服务典型案例及配置
节点监视器 常用 icmp、http、connect、sql、ftp、snmp、radius、dns等
虚拟服务工作原理
某用户内部有三个WEB服务器提供同一个web应用，三个服务器在AD上设置的 权值为1，出口两条链路，服务器负载的数据流走向如下：
访问入站负载：略
根据配置的调度 算法，选择合适 的服务器，将会 话调度到服务器
SG
某网通用户
代 理
SANGFOR_AD_技术白皮书
深信服应用交付产品技术白皮书深信服科技有限公司2013年版权声明深圳市深信服电子科技有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。
本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其着作权或其它相关权利均属于深圳市深信服电子科技有限公司。
未经深圳市深信服电子科技有限公司书面同意，任何人不得以任何方式或形式对本文档内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。
免责条款本文档仅用于为最终用户提供信息，其内容如有更改，恕不另行通知。
深圳市深信服电子科技有限公司在编写本文档的时候已尽最大努力保证其内容准确可靠，但深圳市深信服电子科技有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。
信息反馈如果您有任何宝贵意见，请反馈：信箱：广东省深圳市学苑大道1001号南山智园A1栋邮编：518055电话：9传真：9您也可以访问深信服科技网站：获得最新技术和产品信息缩写和约定英文缩写英文全称中文解释ACL Access Control List 访问控制列表ADC Application Delivery Controller 应用交付设备BRAS Broadband Remote Access Server 宽带接入服务器DNAT Destination NAT 目的地址NATDNS Domain Name Service 域名服务DR Direct Route 直达路由FTP File Transfer Protocol 文件传输协议HA High Availability 高可用性HTTP Hypertext Transfer Protocol 超文本传输协议ICMP Internet Control Message Protocol 因特网控制报文协议ISP Internet Service Provider Internet服务提供商MAC Media Access Control 介质访问控制NAT Network Address Translation 网络地址转换OSPF Open Shortest Path First 开放最短路径优先RADIUS Remote Authentication Dial In User Service 远程用户拨号认证系统RIP Routing Information Protocol 路由信息协议RTT Round Trip Time 往返时间STP Spanning Tree Protocol 生成树协议SNAT Source NAT 源地址NATSNMP Simple Network Management Protocol 简单网络管理协议SOA Service Oriented Architecture 面向服务架构SSL Secure Socket Layer 安全套接层TCP Transmission Control Protocol 传输控制协议UDP User Datagram Protocol 用户数据报协议URI Uniform Resource Identifier 统一资源标识符URL Uniform Resource Locator 统一资源定位符VLAN Virtual Local Area Network 虚拟局域网目录第1章应用交付，后负载均衡时代的选择........................ 错误!未定义书签。
深信服AD智能DNS介绍
智能DNS典型案例及配置
用户网络环境与需求
用户环境： 某用户线路1电信100M，线路2联通100M，内网 有2台服务器提供WEB服务。 用户需求： 1.用户已经从域名服务商注册域名 希望通过域名访问到内部WEB服务器 ，不同运营商的用户返回不同的地址，联通用户能 从联通链路访问到服务器，电信用户从电信访问。 其他运营商自动选择最快链路访问。 2.如果某条链路异常，自动切换到正常链路
Local DNS
www.a要bc访.c问om 解w析w地w.址abc为.com 61.139.2.34
某网通用户
DNS server 212.10.204.26
61.139.2.34
智能DNS典型案例及配置
1. 用户网络环境与需求 2. 深信服AD解决方案 3. 深信服AD配置思路 4. 深信服AD配置方法与截图
深信服AD 智能DNS介绍
培训内容
DNS工作原理 智能DNS与典型案例及配置
培训目标
1.了解DNS解析原理
1、熟悉智能DNS的解决方案及配置思 路 2、能熟练配置智能DNS
深信服 AD
DNS工作原理 智能DNS典型案例及配置
DNS工作原理
DNS工作原理
A记录
LDNS:开通线路时，运营商告诉客户的DNS服务器 A记录：用来指定主机名（或域名）对应的IP地址
深信服AD配置方法与截图
基础网络配置（略） 入站链路负载配置
添加域名服务商处 NS记录指向的IP地址
添加两虚虚拟拟IIPP池列策表略可，以此在处此处直接填写进 的策去略。由也上可往以下先匹配配置好应用负载，从 右边的下拉列表进行选择。
填写域名服务商处申请的域名 添加电信和联通两个ISP
深信服问题排错文档
SANGFOR_IPSEC_ALL pdlan常见问题解决办法深信服科技有限公司2011年07月16pdlan常见问题解决办法PDLAN连接不上总时，首先请查看日志，根据日志提示排错，常见的日志有以下几种：1)日志显示wait_connectsuccess在移动端telnet总部的VPN监听口（默认是4009）是否是通的，若不通，a：请检查总部设备是否配置了全端口映射。
b:检查总部设备是否单臂部署，且在前置设备没有把设备的TCP/UDP4009端口成功映射出来。
c:是否运营商做了限制，尝试修改VPN监听端口.d:检查两端的WEBAGENT配置是否正确。
e、pdlan电脑是代理上网的，那pdlan也需要设置代理的，支持sock4和sock5代理的，否则会telnet端口4009是不通的f、检查pdlan所在网络的前置设备做了限制，拦截了VPN通迅。
2)日志显示wait_version_syn_ack1、检查总部和pdlan的版本是否一致，2.5x和2.5x可以连接，4.X和4.X连接，2.5X和4.X 的是不可以连接ipsecvpn的2、可以尝试把vpn端口改成低端端口3、可以尝试修改MTU3)日志提示load file error和configure init failed之类的日志1、这个是pdlan的注册表项被损坏的原因的，重装pdlan即可4）“[TcpNode] OnRead error:10053,errDsc = 您的主机中的软件中止了一个已建立的连接。
”1、是被本机的其他软件把连接给拒绝断开了5）移动用户PDLAN接入一直提示连接端口超时,但是测试总部端口是通的1、检查虚拟IP池和内网是否有冲突6）“绑定socket时发生错误，错误描述:以一种权限不允许的方式做了一个访问套接字的尝试”1、可能是pdlan的系统用户权限不够，或与其他软件有冲突，导致pdlan无法正确的绑定ip/mac地址的，保证电脑是超级管理员登陆的，或把电脑上其他的软件先退出再去连接除了查看日志外，也可根据一些现象排错，常见的有以下几种：1）ipsecvpn频繁掉线1、总部和pdlan电脑是否有ip网段冲突2、尝试切换传输模式3、尝试修改总部设备的MTU值4、尝试修改VPN监听端口5、检查上网线路本身是否正常2）pdlan连接不了总部1、测试telnet总部的4009端口是否通的，检查总部和pdlan的配置是否正确的2、查看pdlan控制台的日志信息，根据日志信息来排查3）pdlan连接上总部了，但访问不了1、被访问的服务和总部的VPN设备不在同一个网段，检查是否有配置系统路由和本地子网列表，如果是DLAN2.52，还需要配置dlan路由2、检查是否有对移动用户作VPN内网权限设置3、如果设备是单臂部署的，虚拟ip池配置的不是和vpn设备lan口同网段的，检查总部的前置设备上是否有回包路由的4、确认是否为总部内网电脑开启防火墙，可以尝试Ping其他电脑或使用telnet来测试。
深信服AD负载均衡原理介绍
静态就近性
Local DNS
116.52.1.30
?
电信 移动
=link电信
深信服 AD
联通
ISP地址段 电信：116.52.1.1-116.52.1.254 铁通：59.1.2.3-59.1.2.100 网通：210.22.19.10-210.22.19.254
A
2
Local DNS
3 4A
6
IP
5 IP
1
A
AD设备
第五步：AD根据配置的策略返回一 个IP给Local DNS 第六步：Local DNS将IP告诉客户端
客户端
智能DNS和虚拟服务工作原理
2.虚拟服务工作原理
使用AD设备对3台WEB服务器做负载，端口80
目标IP是 212.10.204.26，目
SG
代 理 网通：61.139.2.34
监视器判断节点状态
A1
A2 A3
Y
N
Y
节点A2故障，不参与调度
智能DNS和虚拟服务工作原理
2.虚拟服务工作原理
使用AD设备对3台WEB服务器做负载，端口80
目标IP是 212.10.204.26，目
标端口80
用户再次访问
访问，假 设该用户解析出的IP是 212.10.204.26
智能DNS和虚拟服务工作原理
1.智能DNS工作原理
域名 NS A 212.10.204.26
LDNS
26
4A
1
A
AD设备
网通：61.139.2.34
发现请求域名是 ，匹配DNS 映射。根据DNS映射，再
深信服上网行为管理-策略排错指南
10.10.10.100 GW:10.10.10.254 MAC;B8-70-F4-3A-42-2B
审计策略不生效
➢步骤1 检查多功能序列号是否开启，应用规则库保持最新。
➢步骤2 检查上网策略策略是否与用户关联，是否添加排除IP，是否优化审计URL。
审计策略不生效
➢步骤3 检查用户是否关联了上网准入策略
上网策略不生效
方法一： 测试用户只开启迅雷下载，查看用户流量排行，观察实时识别出来的应用都 有哪些，然后添加到“迅雷封堵”策略中拒绝掉
上网策略不生效
方法二： 用户测试使用迅雷下载，然后在数据中心查询用户的上网行为日志，确认哪 些应用已经被拒绝，哪些应用只是被记录，添加到上网策略拒绝
审计策略不生效
10.10.10.100 GW:10.10.10.254 MAC;B8-70-F4-3A-42-2B
流控策略不生效
➢步骤1 检查流量管理系统是否全局启用 一定要注意开启！
➢步骤2 检查是否开启直通或者排除IP，流控通道是否有排除策略
影响到限制 迅雷下载， 需要删除
流控策略不生效
➢步骤3 检查是否有多条流控通道，注意流控通道之间的影响，是否流控通道匹配错误
深信服生效 审计策略不生效
流控策略不生效
培训目标 1.掌握上网权限策略不生效的排查思路和排查方法 2.掌握上网审计策略不生效的排查思路和排查方法
3.掌握上网流控策略不生效的排查思路和排查方法
上网策略不生效
上网策略不生效
如图，AC路由部署在公网出口，内网用户通过AC进行上网行为控制，客户要求封堵迅 雷下载，结果发现通过迅雷还是可以下载资源。如何排查？
上网策略不生效
➢步骤3 检查应用规则库是否已经更新到最新版本，若不是请更新
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
客户端
虚拟服务访问不到问题排查思路
虚拟服务处理流程
数据包 客户端
服务 IP组 前置策略 节点池
AD设备虚拟服务
检查数据包的目的端口 不匹配 和协议（匹配服务）
匹配
交由其他 模块处理
检查数据包的目标IP
（匹配IP组）
不匹配
匹配
检查是否符合前置调度策略
不匹配或 者无配置
（匹配前置调度策略）
匹配
根据前置调 度策略调度
AD设备虚拟服务
节点状态一般有三种：正常、繁忙、离线。 请检查是否网络不可达或者IP配置有误或者检查节点监视 器配置是否有误。
问题现象：新建了虚拟服务，但是发现访问不到。 排查思路
第五步：如果节点在线，线路也未离线，而且是旁路模式部署，那检查是否做了SNAT 和路由。
第六步：如果是使用cookie 会话保持，改用源IP会话保持看是否能恢复正常。
排查思路
服务 IP组
第三步：检查前置策略。
检查前置策略的配置或者临时不关联前置策略看是否能访 问。
前置策略 节点池
AD设备虚拟服务
问题现象：新建了虚拟服务，但是发现访问不到。
排查思路 服务
第四步：检查节点状态。在【虚拟服务状态】里查看虚拟 服务状态，如果繁忙、离线，则不能访问.
IP组
前置策略 节点池
A记录用A表示 NS记录用NS表示
域名提供商
A
2
Local DNS
3 4A
6
IP
5 IP
1
A
AD设备
客户端
第一步：将请求（A）发送给Local DNS服务器 第二步：Local DNS将请求（A）发 送给域名提供商 第三步：域名提供商将域名对应的 NS记录和NS记录对应的A记录返回 给Local DNS服务器 第四步：Local DNS根据将请求（A） 发送给AD设备 第五步：AD根据配置的策略返回一 个IP给Local DNS 第六步：Local DNS将IP告诉客户端
AD设备虚拟服务
问题现象：新建了虚拟服务，但是发现访问不到。
排查思路 服务
第二步：检查链路状态。在【链路状态】查看。
IP组 前置策略
节点池
AD设备虚拟服务
链路状态一般有三种：正常、繁忙、离线。
请检查是否网络链路是否存在以上状态或者检查网络接口 健康状态配置是否有误。
问题现象：新建了虚拟服务，但是发现访问不到。
客户端
智能DNS数据流走向及排错
A记录用A表示 NS记录用NS表示
Local DNS
域名提供商
A
2 3 4A
5 IP 1
A
AD设备
常见问题：
2.AD设备上配置有问题
1.仔细检查配置，是否有疏漏 2.把电脑的DNS直接指向AD看是否可以 解析，如果能正常解析，可能是公网问题， 如果不能解析，则除了判断公网线路是否 正常外，还需要仔细检查AD设备的配置
问题思考
1.有什么手段可以验证NS记录是否生效？ 2.同样的发布一个服务，端口映射跟虚拟服务哪个优先级高 ？
深信服 AD智能DNS及虚拟服务排错指南
培训内容
智能DNS不生效问题排查思路 虚拟服务访问不到问题排查思路
培训目标
掌握智能DNS不生效问题排查思路 掌握虚拟服务访问不到问题排查思路
深信服 AD
智能DNS不生效问题排查思路 虚拟服务访问不到问题排查思路
智能DNS不生效问题排查思路
智能DNS数据流走向及排错
根据节点池 策略调度
问题现象：新建了虚拟服务，但是发现访问不到。
排查思路
服务 IP组 前置策略 节点池
第一步：检查是否服务器的服务不可用。 从内网不经过AD查看是否可以访问到应用系统。
如果是网关模式，可以先禁用虚拟服务，然后建立端口映 射，试着用端口映射是否能访问到。
另外，请注意区分四层负载和七层负载。
智能DNS数据流走向及排错
A记录用A表示 NS记录用NS表示
Local DNS
域名提供商
A
2 3 4A
5 IP 1
A
AD设备
常见问题和排错方法： 1.NS记录没做或做错，或者刚做时 间不久还未生效
1.让客户提供域名提供商处的设置截图， 看是否正确配置了NS记录 2.用nslookup命令测试，看域名是否有NS 记录