目录

问题

在Umbrella to Secure Access迁移期间将F5负载均衡器用作客户端DNS服务器时，DNS解析不起作用。当DNS请求到达虚拟IP(VIP)时，F5负载均衡器已成功将数据包转发到后端DNS转发器，但主机名在终端计算机上未解析。当直接将虚拟设备用作客户端DNS服务器时，DNS解析工作正常，表明问题特定于F5负载均衡器配置。

数据包捕获显示DNS应答使用虚拟设备IP地址而不是预期的F5 VIP地址。客户端计算机期待来自F5 VIP地址的DNS应答，但收到来自后端虚拟设备IP地址的应答。

环境

- Cisco Umbrella至安全访问迁移环境

- 已配置DNS负载均衡VIP的F5负载均衡器

- 多个DNS转发器作为后端服务器

- 充当DNS服务器的虚拟设备

- 需要通过负载均衡器进行DNS解析的客户端终端

分辨率

通过配置F5负载均衡器以正确充当客户端计算机和虚拟设备之间的代理，解决了此问题。关键配置更改涉及启用具有自动映射功能的源网络地址转换(SNAT)。

执行的诊断步骤

步骤 1：检验DNS解析行为

已使用F5负载均衡器VIP和直接虚拟设备连接测试DNS解析以隔离问题。

步骤 2：捕获和分析DNS流量

执行数据包捕获以分析通过F5负载均衡器的DNS请求和响应流。

步骤 3：标识源地址不匹配

分析显示，DNS回复包含虚拟设备IP地址而不是F5 VIP地址，从而导致客户端混乱。

配置变化

步骤 1：访问F5负载均衡器配置

导航到F5负载均衡器管理接口以修改DNS VIP配置。

步骤 2：启用SNAT自动映射

将SNAT（源网络地址转换）配置为在F5负载均衡器上自动映射。这可确保F5设备在客户端和后端DNS服务器之间正确代理DNS请求和响应。

步骤 3：验证配置

实施SNAT自动映射配置后，DNS解析开始通过F5负载均衡器正常工作。

原因

根本原因是F5负载均衡器上的源网络地址转换(SNAT)配置不正确。如果未启用SNAT自动映射，F5设备无法正确充当DNS流量的代理。这导致DNS响应直接从后端虚拟设备发送到客户端计算机，使用虚拟设备IP地址而不是预期的F5 VIP地址作为源。客户端计算机期望从它们向其发送请求的同一IP地址(F5 VIP)发出DNS响应，但接收来自不同IP地址（后端服务器）的响应，导致DNS解析失败。

相关内容

- 配置F5 GTM负载均衡

- 思科技术支持和下载