深信服AD智能路由最佳技术实践.pdf

深信服 AD智能路由最佳技术实践 培训内容 培训目标 智能路由不生效问题排查思路 掌握智能路由的排错思路 上网时快时慢，DNS有时解析不到问 掌握排错思路 题排查思路 DNS代理不生效问题排查思路 掌握DNS代理不生效的排错思路 智能路由不生效问题排查思路 深信服 上网时快时慢，DNS有时 解析不到问题排查思路 AD DNS代理不生效问题排查思路 智能路由不生效问题排查思路 问题现象：AD做出站负载，设置了智能路由，发现不生效。 1. 先检查智能路由的配置是否正确。智能路由由上往下匹配。 2. 再查 【系统概况】- 【链路状态】中的外网线路是否离线或者繁忙。 3. 在 【智能路由】- 【路由测试】中进行测试，看测试结果。 4. 【智能路由】- 【出站高级配置】中，出站会话保持的子网掩码是否合适。如果掩 码过大，会导致很多这个网段的IP走会话保持，智能路由不生效。 5. 不能使用ping去测试，长ping公网某个IP地址，然后拔掉一个WAN 口线，发现不 通了。这个是由于ICMP有连接跟踪保持 （为30秒），其实直接使用http访问是正 常的。 上网时快时慢，DNS有时解析不到问题排查思路 出站链路负载问题分析 一般情况下要访问到一个网页，首先要进行DNS请求（UDP53端口数据），请求到 了IP地址之后才是发送HTTP 80端口的数据向公网IP请求数据，所以出站问题分开两 步来分析： 第一步：判断DNS请求解析的过程是否正常。 第二步：判断上网的数据出站是否正常。 注意：如果启用了DNS代理，那么DNS请求包（UDP53端口数据）是不会走智能路 由的，会走DNS代理模块去选路解析。如果没有启用DNS代理，那么DNS请求包会 走智能路由。可以说DNS代理的优先级高于智能路由。 问题现象：AD做出站负载，发现上网时快时慢，DNS有时候也解析不到。 排查方法 DNS有时解析不到问题排查 第一步：若启用了DNS代理，调度策略选轮询或加权轮询，有可能会出现我访问 一个电信的站点，恰好调度到联通的DNS，但是这个域名联通解析不了。用DNS 前置调度策略解决。(该情况很少见) 第二步：若启用了DNS代理，查看【DNS状态】，看DNS服务器是否不停离线。 可能是DNS服务器的问题或者监视域名有问题。 第三步：若没有启用DNS代理，则DNS请求可能走智能路由，检查ISP地址段是 否包含DNS服务器地址。 问题现象：AD做出站负载，发现上网时快时慢，DNS有时候也解析不到。 排查方法 上网时快时慢问题排查 第一步：如果使用了线路繁忙保护，导致上网数据匹配到智能路由里面的default 策略，default策略采用加权最小流量算法，所以导致一会走线路1，一会走线路2。 需要把繁忙保护比例设置成99% （建议新配置设备时，繁忙保护比例就设置成 99%），当只有1条电信和1条联通线路时，建议禁用繁忙保护。 第二步：目标IP选择的是ISP网段，则可能访问的目标IP不在ISP地址段里面。将目 标IP填写到对应的ISP地址段即可。 第三步：可能链路监视器设置有问题，导致外网链路不停的出现离线的情况。修改 监视地址查看是否可以。 DNS代理不生效问题排查思路 问题现象：AD路由模式做DNS代理，发现内网用户并没有走代理或者解 析不到域名。 DNS代理问题大部分情况下都是配置不当造成，需要检查的地方如下： •如果PC的DNS填写AD设备接口地址，注意查看DNS监听地址有没有填，需要将AD 设备接口地址填写到DNS监听地址处。 •查看DNS服务器列表有没有填。 •客户端电脑的DNS是否填写正确。需要填写DNS服务器列表的地址或者AD的LAN口 地址。 • 【系统概况】- 【DNS状态】中DNS服务器是否在线.。离线的DNS服务器是不会参 与调度的。 问题思考 1.