DNS Mapping 解决内网回流
内网用户访问公司对外发布的域名时，DNS 返回的是公网地址，流量被送到出口设备，再从内网绕回服务器——这段回流路径经常被策略挡住或走不通。华为与 H3C 提供了 nat dns-map：设备识别经过的 DNS 应答报文，把其中对应的公网地址改写成内网地址再返回给用户，用户直接走内网访问服务器。思科没有等价命令，通常靠内网 DNS 分区视图或 NAT 环回解决。
基本信息
| 适用平台 | 华为 VRP（nat dns-map）；H3C 部分版本支持（nat dns-map） |
|---|---|
| 命令要点 | nat dns-map domain <域名> <公网IP> <端口> <协议> |
| 生效条件 | 设备需能看到并处理内网用户的 DNS 应答（代理解析等配套功能随版本） |
| 查看命令 | display nat dns-map |
| 思科替代 | 内网 DNS 直接解析到内网地址（推荐），或使用 NAT 环回 |
典型使用场景
- 双域名环境：同一域名的外网访问走公网地址、内网访问走内网地址
- 出口策略严格：内网流量不允许绕经公网出口时，用改写避免回流
- 邮件与 Web 服务：服务部署在 DMZ，内网用户用域名访问时避免绕行
- 迁移过渡期：域名解析记录尚未统一时，用设备侧改写维持可用性
- 压测与验收：内网批量访问时避免出口设备成为瓶颈
华为 VRP
华为 VRP
[Huawei] nat dns-map domain www.example.com 202.1.1.1 80 tcp # 域名、公网地址、端口、协议
[Huawei] nat dns-map domain mail.example.com 202.1.1.1 25 tcp
<Huawei> display nat dns-map # 核对配置项
! 域名、端口、协议任一写错都会静默不生效，改完必须实测解析结果H3C Comware
H3C Comware
[H3C] nat dns-map domain www.example.com 202.1.1.1 80 tcp
<H3C> display nat dns-map
! 支持情况随版本不同，配置前确认当前版本是否有该特性思科 IOS（替代做法）
思科 IOS（替代做法）
! IOS 无等价 DNS 改写命令，常用两条路径：
! 1) 内网 DNS 视图：内部查询直接返回内网地址（推荐，问题最少）
! 2) NAT 环回（NVI）解决回流路径
SW-CORE-01# show ip nat translations # 用翻译表确认回流是否发生三种方案对比
| 方案 | 实现位置 | 优缺点 |
|---|---|---|
| 内网 DNS 分区视图 | DNS 服务器 | 最干净，配置集中在 DNS；需要能维护 DNS 视图 |
| nat dns-map | 出口设备 | 改动小；域名与端口参数写错静默失效 |
| NAT 环回 | 出口设备 | 不依赖 DNS；配置复杂度高，排障困难 |
三厂定位不同：华为与 H3C 有 nat dns-map 这类专用改写机制，思科没有对应特性。跨厂替换设备时，原本依赖该特性的域名访问方案需要重新设计，不能简单照搬。