防火墙的ISP选路与DNS透明代理

​ISP选路

ISP选路功能也称为运营商地址库选路功能，当FW作为出口网关设备连接多个ISP网络时，通过ISP选路功能可以使访问特定ISP网络的流量从相应出接口转发，保证流量转发使用最短路径，提高转发效率。

如下图所示，FW拥有两条属于不同ISP网络的出口链路。当内网用户访问ISP2中的Server2时，如果FW上存在等价路由，则FW可以通过路径1和路径2两条不同的路径到达Server2。其中，路径2显然不是最优路径，路径1才是用户所期望的路径。

配置ISP选路功能后，当内网用户访问Server1或Server2时，FW会根据目的地址所在ISP网络选择相应的出接口，从而使访问流量通过最短路径到达服务器。

ISP选路的原理

ISP选路是基于ISP路由的选路方式，通过批量生成到运营商网络的ISP路由实现访问特定ISP网络的报文都从相应的出接口转发。

ISP选路可以单独使用，也可以结合其他智能选路功能一起使用，具体的

使用场景分类如表1所示：

表1 ISP选路场景分类

分类	使用场景
ISP选路场景	如果用户希望访问特定ISP网络的流量从相应出接口转发，不会绕道其他ISP，可以配置ISP选路功能。
ISP选路+策略路由组合场景	如果用户希望根据报文目的地址所属ISP网络选择相应的出接口，并根据多出口策略路由进行智能的选路，实现链路资源的合理利用，可以使用该场景。
ISP选路+全局选路策略+DNS透明代理组合场景	当内网用户通过域名访问Web服务器时，可以使用该场景。通过配置DNS透明代理，可以使DNS请求报文根据选择的出接口，修改DNS请求报文的目的地址（DNS服务器地址）。通过配置ISP选路和全局选路策略，FW根据报文目的地址所属ISP网络选择相应的出接口，并根据全局选路策略，实现链路资源的合理利用。

ISP选路功能可以配合健康检查功能一起使用，保证流量不被转发到故障链路上。当健康检查的结果显示链路故障时，对应的ISP路由表项将被删除，所以流量不会命中该条路由，也就避免被转发到故障链路上。当链路状态恢复正常时，对应的ISP路由表项将重新生成，流量即可按此路由进行转发。

DNS透明代理

一般来讲，企业内网用户的客户端都会配置一个相同的DNS服务器地址，而DNS服务器通常会将域名解析成自己所在ISP内的Web服务器地址，这将导致内网用户的上网流量都集中在一个ISP的链路上转发，最终可能会造成链路拥塞，影响用户的上网体验。同时，由于其他ISP的链路资源没有被使用，也造成了资源的浪费。

为了解决上述问题，可以使用DNS透明代理功能。对于命中DNS透明代理策略的DNS请求报文