故障描述
USG9560部署在校園網(wǎng)出口，學(xué)校內(nèi)部DNS服務(wù)器和外界DNS同步業(yè)務(wù)中斷,在外部PC使用telnet命令測(cè)試內(nèi)網(wǎng)DNS服務(wù)器53端口的時(shí)候發(fā)現(xiàn)53端口不通。
故障分析
USG9560開啟DNS flood防攻擊功能以后，如果USG收到的外部DNS服務(wù)器發(fā)送的 UDP端口為53的包超過設(shè)定的值后，DNS會(huì)偽造一個(gè)TCP報(bào)文發(fā)給外部DNS服務(wù)器，該報(bào)文ACK的值非常大，如果外部服務(wù)器回應(yīng)該TCP包，USG則將該外部服務(wù)器的IP加入白名單，允許其UDP報(bào)文通過，但是USG偽造的TCP報(bào)文，可能會(huì)被對(duì)端防火墻丟棄，導(dǎo)致業(yè)務(wù)不通.
處理過程
在USG9560上行口抓包，發(fā)現(xiàn)防火墻已經(jīng)將構(gòu)造的TCP報(bào)文發(fā)出，但是對(duì)方并沒有回應(yīng)，報(bào)文被中間鏈路丟棄.
建議/總結(jié)
無