接到一个“华为S5720上查看并修改DNS地址”的需求时很多朋友第一反应是交换机不是只管二层三层转发吗弄DNS干嘛说实话这也是我刚入行时最常踩的误区。后来做网络运维多了才明白交换机自己发起域名解析的场景其实相当常见——NTP对时用域名、日志服务器用域名、远程ACL时把FQDN转成IP甚至是你在设备上随手ping一个域名做连通性测试背后都要靠DNS。S5720作为华为企业网里出镜率极高的三层千兆交换机它的DNS配置并不复杂但很多人在操作时会栽在命令差异、视图层级、保存时机这些细节上。今天这篇就把“查看并修改DNS”这件事掰开揉碎从命令到验证到排错一条龙讲清楚适合日常维护S5720、或者准备数通实操的朋友参考。1. 先弄明白交换机的DNS到底是干嘛用的1.1 设备自身的“上网查号”功能先说一个很多人都会搞混的点在S5720上配置的DNS服务器不是给下面接的电脑、手机这些终端用的而是给交换机自己用的。终端上网时怎么解析域名一般由DHCP服务器下发DNS或者终端手工指定和交换机全局视图下配的DNS服务器是两码事。交换机自己发起需要域名解析的活动时比如要ping一个域名、要tracert一个域名或者NTP客户端配置的对时源是域名形式再或者你把日志服务器地址写成了域名这时候S5720就要以“客户端”的身份去问一轮DNS。它得先拿到这个域名对应的IP才能继续干活。设备上的DNS解析功能平时不显山不露水可真到了需要它的时候才发现没配置命令会直接给你弹一个“DNS resolve failed”那个时候再去翻手册就慢了。我自己的习惯是但凡设备会上外网、要拉版本、要对时、要往外部日志服务器发包就顺手把DNS配上。这属于典型的“平时用不上用上就要命”的基础设施配置。而且S5720这种三层交换机本身就可能承担VLAN间路由等核心职责远程运维时你想通过域名连到一个FTP服务器去备份配置没DNS解析一样抓瞎。1.2 哪些场景会让你非动DNS不可我梳理了一下现场改动交换机DNS地址的基本逃不出下面四类场景NTP对时源配置成域名。很多项目里NTP服务器地址是写死的IP但也有人习惯写ntp-service unicast-server ntp.example.com这种形式方便以后NTP服务器迁移。日志服务器、告警服务器、网管平台使用域名接入。设备要把syslog发到某个内网日志平台平台换IP后只改DNS解析不用逐台改交换机这是最典型的维护场景。从FTP/HTTP服务器升级版本或备份配置。命令里写tftp get vrp.cc这类操作时如果服务器地址用域名就必须依赖设备自身DNS。日常排障。我经常在S5720上直接ping公网域名来判断上联链路通不通这在没有内网DNS、又不记得目标IP的环境下非常省事。所以你如果只是单纯“改个DNS地址”很可能后面还藏着一堆关联需求要能解析内网域名、要能解析公网域名、要在多个DNS之间做主备切换。我建议配之前先确认几个问题这台设备要解析哪些域名首选DNS是哪台备选DNS是哪台解析不通时能不能接受它往下游DNS去问这些问题确定了后面配置起来就不会纠结。2. 查看当前DNS配置的三条命令2.1 display dns configuration一眼看全局在S5720上查看DNS配置第一个要记的命令就是display dns configuration。这个命令在系统视图下也可以敲在用户视图下也可以敲我自己习惯先进系统视图再执行方便接着改配置。Huawei system-view [Huawei] display dns configuration正常情况下输出会包含域名解析功能有没有开启、当前配置了哪几台DNS服务器。大致长这样dns resolve dns server 114.114.114.114 dns server 8.8.8.8如果设备从来没配过DNS你可能看到的是几行空配置甚至直接没有相关打印。这时候不要慌说明域解析功能是否开启以及DNS服务器列表都是缺省状态需要手工补。这个命令的核心价值在于先确认“现在到底配了什么”再动手改避免上去就把原有配置冲掉。另外一个很实用的变体是display dns server它专门列出设备当前配置的全部DNS服务器地址输出更精简。我在给客户做巡检时通常两个命令都敲一下前者看解析开关和缓存后者单独核对DNS服务器列表信息互补。2.2 查静态映射和动态缓存display ip host 与 display dns dynamic-host除了DNS服务器S5720上还可能配置了静态域名映射也就是直接把“域名-IP”写在设备里。这个用display ip host查[Huawei] display ip host Configuration of host: Host Age Flags Address test.example.com 0 static 10.1.1.10这里的static表示手动绑定优先级很高设备解析这个域名时甚至不会去问DNS服务器。这在测试环境、内网别名场景非常好用。而设备通过DNS服务器解析到过的域名会进入动态缓存用display dns dynamic-host查看[Huawei] display dns dynamic-host No DNS dynamic host information如果之前ping过域名这里就能看到域名的缓存记录、对应IP和TTL剩余时间。这个命令在排查“改了DNS地址但解析结果还是旧的”这类问题时特别有用因为动态缓存有老化时间不是改了DNS服务器就立刻全部刷新。2.3 版本差异命令不是死记硬背的S5720跨越的软件版本挺多早年有V200R001、V200R005后来还有V200R009、V200R010、V200R019等。不同版本之间DNS相关命令的细节会有差异有的版本支持display dns configuration有的版本侧重display ip dns configuration甚至配置命令也有过老版的ip dns server和新版的dns server之分。我的建议是到现场先按Tab键补全敲dns、display dns加一个问号?看看设备上实际支持哪些命令。华为VRP的命令体系整体来说很统一但“以设备实际帮助为准”永远是对的。这不是废话很多同事照着旧笔记敲命令发现undo dns server不认其实就是版本不同。查看这块总结成一句话**先看解析开关再看DNS服务器列表最后瞄一眼静态映射和动态缓存。**这样你心里就有数了接下来改配置才不会瞎改。3. 修改DNS地址的操作全流程3.1 标准五步开启解析、配置服务器、验证、留存S5720上修改DNS地址最标准的操作流程是下面五步。我用一个从114.114.114.114换成223.5.5.5的例子来说第一步进入系统视图Huawei system-view第二步确认域名解析功能已经开启。如果没开先执行dns resolve[Huawei] dns resolve这个命令很重要默认情况下S5720的域名解析功能可能是关闭的。你只配了DNS服务器但没开解析开关执行ping www.example.com时照样报解析失败。设备解析域名的前提是“开关服务器”同时具备。第三步删除旧DNS服务器地址。如果之前配了114.114.114.114现在要换成223.5.5.5可以先删再加[Huawei] undo dns server 114.114.114.114 [Huawei] dns server 223.5.5.5如果旧地址不止一个就逐个undo。当然你也可以直接追加新的DNS服务器地址不删旧的让新的排在前面这样解析时会优先用新地址。具体为什么能这样下一节讲优先级时会展开。第四步退回用户视图验证配置[Huawei] return Huawei display dns configuration确认输出里的DNS服务器已经变成了223.5.5.5并且dns resolve是开启状态。第五步保存配置。这一步最容易忘但恰恰最关键Huawei save系统会问是否保存输y回车即可。如果不保存设备一重启配置全部打回原形。3.2 配置多台DNS时优先级怎么排实际生产环境里多数情况不会只配一台DNS。S5720支持配置多个DNS服务器系统在发起域名解析时会按照配置顺序去查询默认情况下先向第一台DNS发起请求只有第一台不可达或者超时才会向后续DNS服务器查询。理解这个优先级之后你就知道该怎么应对不同冗余需求了。举个例子假设设备既需要解析内网域名又需要访问公网域名。内网DNS是10.10.1.10公网DNS是223.5.5.5。很多人随手把两条都配上但没想清楚顺序。如果第一条配了公网DNS那么设备在解析内部域名时会把请求发给公网DNS显然无法得正确答案于是要等到超时后才轮到内网DNS排障时就会发现每次解析都慢吞吞的。反过来如果第一条是内网DNS它能回答一部分内部域名但遇到公网域名时通常内网DNS会配置转发也能搞定整体体验更顺。所以配置多个DNS服务器时建议把“能覆盖更多解析场景的那台”放前面。比如内网有权威且支持递归的DNS就把它放第一位如果内网DNS只认内部域名、不转发外部请求那么就得靠顺序去平衡甚至要考虑用静态域名映射来兜底关键域名。S5720上配置第二个DNS的命令也简单继续执行[Huawei] dns server 10.10.1.10这样设备里就有两台DNS。以后想调整优先级就先把要放在前面的那台删掉再重新添加。华为VRP的命令体系里DNS服务器列表的处理逻辑基本都是“先添加的排前面”实操中记住这一点就够了。3.3 别把“给终端下发DNS”和“设备自己解析DNS”混为一谈这一节是现场刷新频率最高的误区我单独拿出来讲。S5720如果配置了DHCP Server功能给下面的终端动态分配IP时是可以下发DNS地址给终端使用的。这个配置不是全局的dns server而是在接口视图或者DHCP地址池视图下配的。比如在VLANIF接口下[Huawei] interface Vlanif 10 [Huawei-Vlanif10] dhcp select global然后在全局DHCP地址池视图里[Huawei] ip pool vlan10 [Huawei-ip-pool-vlan10] network 192.168.10.0 mask 255.255.255.0 [Huawei-ip-pool-vlan10] gateway-list 192.168.10.1 [Huawei-ip-pool-vlan10] dns-list 223.5.5.5这里的dns-list是发给终端的DNS和交换机自己用的dns server完全是两码事。很多人在排障时发现明明终端自动获取的DNS是对的但交换机ping域名就是不通其实就是因为全局的dns server没配或者dns resolve没开。现场怎么快速区分呢记住一句话**凡是看到dns-list、dhcp server dns-list这种带DHCP上下文的都是给终端用的凡是看到dns server、dns resolve这种裸命令都是设备自己用的。**这个区分想清楚至少能少走一半弯路。4. 配置后的验证与生效判断4.1 用ping和tracert验证解析配置完DNS最直接的验证方式就是ping一个域名。比如Huawei ping www.huawei.com解析正常时命令输出里会先显示解析到的IP地址然后再开始发ICMP包PING www.huawei.com (139.9.87.72): 56 data bytes看到括号里是一个具体IP说明DNS解析成功。如果解析失败设备会直接提示解析失败或域名不可达你甚至看不到后续的Reply from。tracert也可以用来验证而且能顺带看路由路径。我遇到“解析通了但访问不通”的场景就会从tracert入手看是丢在哪一跳。这里顺带提醒一下有些现场测试域名解析时习惯ping一个冷门域名其实没必要直接拿你自己业务要用的域名来测真实场景下这样验证才有意义。4.2 从display输出判断到底用的哪台DNS光看ping通没通还不够有时候需要确认设备当前到底用了哪台DNS服务器。我的习惯是三步走第一display dns configuration看服务器列表和解析开关Huawei display dns configuration第二display dns dynamic-host看缓存的解析记录。如果缓存里已经有你要测的那个域名可以对比一下IP是不是符合预期。第三如果发现解析结果不是预期值就可以用reset dns dynamic-host清掉缓存再重新解析Huawei reset dns dynamic-host这是个被忽略很多次的细节修改DNS服务器地址后如果设备之前解析过同一个域名动态缓存还没老化设备会直接用缓存的旧IP不会立刻重新去问新DNS。这时候你查配置觉得一切正常但测试结果就是不对。清一下缓存问题立刻水落石出。4.3 验证失败时按这个顺序排查如果配置完了ping域名还是不通我建议按下面这个顺序来排查先确认物理链路和路由。pingDNS服务器的IP地址试试如果IP都不通那就是网络层问题和DNS配置无关。确认dns resolve是否开启。没有这个开关域名解析功能就是停摆的。确认DNS服务器地址有没有敲错。多一位少一位、IPv4写成IPv6都是常见低级错误。确认DNS服务器本身能不能提供解析服务。拿PC去nslookup一下同一个域名如果PC用同一台DNS也解析失败那就是DNS服务器或上游问题。清缓存再试。很多时候是动态缓存里的旧记录在捣乱。用tracert看DNS服务器是否可达排查是否有防火墙拦截UDP 53端口。这套顺序我每次都给新同事讲因为它能帮你把“设备问题”和“网络问题”“服务器问题”快速隔离。DNS排障最忌讳的就是看到解析失败就一股脑改配置改了又改最后发现是中间链路把53端口封了白忙活半小时。5. 常见问题与排错技巧实录5.1 高频问题速查表问题现象可能原因处理方式配了DNS服务器但ping域名报DNS resolve failed没开dns resolve系统视图执行dns resolve再验证修改DNS后解析结果还是旧IP动态缓存未老化reset dns dynamic-host清缓存pingDNS服务器的IP都不通链路/路由问题查上游路由、防火墙策略内网域名解析很慢DNS服务器顺序不对把能解析内网域名的DNS放到列表前面终端自动获取的DNS不对看的是DHCP下发的dns-list不是全局DNS在DHCP地址池或接口下改dns-list设备重启后DNS配置丢失改完没保存执行save确认配置保存设备能解析域名但业务访问不正常访问链路或服务器问题非DNS问题tracert域名看路径丢包点这张表基本覆盖了我这些年处理S5720 DNS问题的高频case。凡是改配置我都会下意识问一句保存了吗缓存清了吗开关开了吗三连问下来大部分问题都能自己解决。5.2 两个容易踩的配置坑第一个坑是“顺手把dns resolve给undo了”。有些旧版本设备在配置DNS服务器时不会自动开启解析功能如果有人误操作执行了undo dns resolve那不管配了多少台DNS服务器域名解析都是失效状态。排查时可以多个心眼先看看是“不解析”还是“解析了连不上”前者大概率是开关问题后者通常是路由或服务器问题。第二个坑是“修改DNS时把接口下的DHCP配置也动了”。S5720启了DHCP后接口和地址池里会有一堆dns-list配置这是给终端用的。有些朋友为了“查DNS”display current-configuration里看到好几个DNS地址就误以为交换机全局DNS配置有问题一通乱改结果终端获取的DNS也跟着乱了。看配置时一定先区分上下文全局视图下的是设备自己用的DHCP地址池/接口下的才是下发终端的。5.3 一个小技巧用静态域名映射省掉DNS依赖最后分享一个我在实战中特别爱用的小技巧。如果某台S5720访问的域名数量很少而且都是固定IP我建议直接用静态域名映射别去折腾DNS服务器。配置命令很简单[Huawei] ip host ntp.example.com 192.168.200.10 [Huawei] ip host logserver.example.com 192.168.200.20配完之后设备解析ntp.example.com时会直接命中静态映射根本不经过DNS服务器。这样做有两个好处第一不受DNS服务器故障牵连解析永远秒回第二域名的实际IP你自己控制服务器迁移时改一行配置就行。当然静态映射也有局限域名一多就不适合维护而且它没法做复杂的记录类型解析。我的权衡标准是不超过5个域名就用静态映射超过就老老实实配DNS服务器。另外顺带说一句S5720的Web网管里也有网络配置页面可以填DNS但我个人更推荐命令行方式。原因很简单命令行可脚本化、可追溯、出问题时便于日志定位大部分华为设备的批量开局脚本里也都会包含DNS配置段。能命令行解决的问题我一般不上Web。我手头维护的几台S5720现在都固定配着两个DNS一个内网一个外网平时NTP对时、日志上送、随手ping域名测试链路基本没出过岔子。倒是那一次没敲save导致设备重启后DNS配置全丢让我白跑了一趟机房之后我再也不敢把保存配置这个动作省略了。这个内容后续如果你要做批量开局还可以把DNS配置写进Python的Netmiko脚本里提前把命令模板准备好一次下发到位。今天就把这些小经验分享到这儿改完DNS记得保存比什么都重要。
