双线对外发布服务：USG智能DNS按运营商应答对应地址
整理自华为官方发布的CLI配置举例。
企业同时接了两个运营商的宽带，又用自己的域名对外发布Web服务——这时一个经典尴尬出现了：访问者从ISP1进来，DNS却把ISP2的地址解析给他，流量绕一大圈、速度掉一截。华为USG的智能DNS就是解这个的：防火墙根据访问者来的接口，应答对应的公网地址，让ISP1的用户拿到ISP1的地址、从ISP1的网络进来，ISP2用户同理，双向都走自家线路。
注意它和内网DNS代理是两回事：DNS代理管的是内网电脑上网解析，智能DNS管的是对外发布服务时"答哪个地址"，方向正好相反。官方案例的组网：DeviceA作为企业出口网关，两条链路分别接ISP1和ISP2，Web服务器用自己的注册域名对外提供服务，向两个运营商分别申请了公网地址192.0.2.11和198.51.100.12，内网DNS服务器的域名记录里两条地址都已登记。同一台服务器、同一个域名、两副对外门牌——ISP1用户敲域名拿到的是ISP1的门牌，走ISP1的线进来；ISP2用户拿到ISP2的门牌，走ISP2的线进来，谁都不用绕道。
配置思路三步
官方思路：一是出接口配源进源出，让DNS应答报文从入接口原路返回用户侧；二是启用智能DNS，配出接口与公网地址的映射；三是Web服务器配NAT Server，把私网地址映射成两个公网地址。三步串起来的逻辑是：解析阶段由dns-smart按来源接口挑地址应答，访问阶段由NAT Server把公网地址收回到私网服务器，回程阶段由源进源出保证报文从哪条线进来就从哪条线回去，三个环节各管一段、缺一不可。
第一步，接口地址、网关与源进源出：
[DeviceA] interface ge 0/0/1
[DeviceA-GE0/0/1] ip address 1.1.1.2 255.255.255.0
[DeviceA-GE0/0/1] gateway 1.1.1.1
[DeviceA-GE0/0/1] redirect-reverse next-hop 1.1.1.1
[DeviceA-GE0/0/1] quit
[DeviceA] interface ge 0/0/2
[DeviceA-GE0/0/2] ip address 2.2.2.2 255.255.255.0
[DeviceA-GE0/0/2] gateway 2.2.2.1
[DeviceA-GE0/0/2] redirect-reverse next-hop 2.2.2.1
[DeviceA-GE0/0/2] quit
[DeviceA] interface ge 0/0/3
[DeviceA-GE0/0/3] ip address 10.2.0.1 255.255.255.0
[DeviceA-GE0/0/3] quit
第二步，启用智能DNS，建映射组：GE0/0/1口对应应答地址192.0.2.11（ISP1），GE0/0/2口对应198.51.100.12（ISP2）：
[DeviceA] dns-smart
[DeviceA-dns-smart] dns-smart enable
[DeviceA-dns-smart] dns-smart group 1
[DeviceA-dns-smart-group-1] out-interface ge 0/0/1 answer-address 192.0.2.11
[DeviceA-dns-smart-group-1] out-interface ge 0/0/2 answer-address 198.51.100.12
[DeviceA-dns-smart-group-1] quit
[DeviceA-dns-smart] quit
第三步，两条NAT Server把服务器私网地址分别挂到两个公网地址上，no-reverse表示不做反向转换：
[DeviceA] nat server isp1_server_nat global 192.0.2.11 inside 10.2.1.10 no-reverse
[DeviceA] nat server isp2_server_nat global 198.51.100.12 inside 10.2.2.10 no-reverse
收尾：区域与放行策略
接口入区，两条外线同归untrust：
[DeviceA] firewall zone trust
[DeviceA-zone-trust] add interface ge 0/0/3
[DeviceA-zone-trust] quit
[DeviceA] firewall zone untrust
[DeviceA-zone-untrust] add interface ge 0/0/1
[DeviceA-zone-untrust] add interface ge 0/0/2
[DeviceA-zone-untrust] quit
放行untrust到trust的访问（内网用户网段按10.2.0.0/16口径）：
[DeviceA] security-policy
[DeviceA-policy-security] rule name policy_sec_untrust_trust
[DeviceA-policy-security-rule-policy_sec_untrust_trust] source-zone untrust
[DeviceA-policy-security-rule-policy_sec_untrust_trust] destination-zone trust
[DeviceA-policy-security-rule-policy_sec_untrust_trust] destination-address 10.2.0.0 16
[DeviceA-policy-security-rule-policy_sec_untrust_trust] action permit
[DeviceA-policy-security-rule-policy_sec_untrust_trust] quit
[DeviceA-policy-security] quit
上线前核一遍链路
这套配置的效果链依赖几个外部配合项，交付前逐项核对：两个运营商的公网地址要真落地（专线对端路由、NAT Server各自可达）；企业内网DNS服务器里域名要同时登记两条公网地址记录——智能DNS应答的是防火墙按来源接口挑出的那一条，前提是记录本身存在；源进源出与网关配置成对出现，缺一边应答报文就可能走错线。跑起来之后，拿两个运营商网络里的测试终端分别解析一次域名、回访一次服务，解析结果与访问路径双向验证，算交付完成。
对外服务跑在双线上，贵州诚鑫致达科技可以帮你把线路、DNS与发布策略一次理顺，欢迎搜索关注交流。
企业存储选型参考｜贵州诚鑫致达
做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。
