故障描述
USG9560部署在校園網(wǎng)出口，學校內(nèi)部DNS服務器和外界DNS同步業(yè)務中斷,在外部PC使用telnet命令測試內(nèi)網(wǎng)DNS服務器53端口的時候發(fā)現(xiàn)53端口不通。
故障分析
USG9560開啟DNS flood防攻擊功能以后，如果USG收到的外部DNS服務器發(fā)送的 UDP端口為53的包超過設定的值后，DNS會偽造一個TCP報文發(fā)給外部DNS服務器，該報文ACK的值非常大，如果外部服務器回應該TCP包，USG則將該外部服務器的IP加入白名單，允許其UDP報文通過，但是USG偽造的TCP報文，可能會被對端防火墻丟棄，導致業(yè)務不通.
處理過程
在USG9560上行口抓包，發(fā)現(xiàn)防火墻已經(jīng)將構(gòu)造的TCP報文發(fā)出，但是對方并沒有回應，報文被中間鏈路丟棄.
建議/總結(jié)
無