默认不监听dns，需要配置dns snooping enable。

可参考：https://zhiliao.h3c.com/Theme/details/224261

结论

F5000 防火墙的DNS 被动监听就是 DNS Snooping，默认关闭，必须手动执行 dns snooping enable 开启，不会默认启用H3C。

1、功能原理

DNS Snooping（DNS 被动监听）：防火墙旁路侦听穿越防火墙的 DNS 请求 / 应答报文，被动记录域名 <->IP 映射关系，供域名对象、安全策略、带宽策略使用，不篡改 DNS 报文。

仅当策略里引用了域名对象，才会记录对应域名解析条目；没有被订阅的域名，不会生成缓存表项。

2、CLI 完整配置

3、重要限制（必看）

1. DNS Snooping 和 DNS 透明代理 dns transparent-proxy enable 互斥，不能同时开启，二选一。
2. 报文必须是客户端 ↔ DNS 服务器流量穿过防火墙，才可以监听；不支持跨 VPN 监听 DNS 报文。
3. 表项 TTL 默认复用 DNS 应答报文里的 TTL，也可以手动修改：

4、查看与验证命令

5、Web 界面开启路径

登录 F5000 Web 管理页面：对象 → 域名对象 → 全局设置，勾选【开启 DNS Snooping】，和命令行dns snooping enable等价。

补充区分两个容易混淆的功能

• DNS Snooping（DNS 被动监听）：被动侦听、不改包，用于域名对象匹配安全策略，需要手动开启；
• DNS 透明代理：防火墙拦截并代处理 DNS 报文，会修改源 IP，和 snooping 互斥。

华三 SecPath F5000 防火墙的DNS Snooping（DNS 被动监听）默认是关闭，必须手动配置 dns snooping enable 才能开启H3C。

DNS Snooping 就是你说的 DNS 被动监听：旁路侦听经过防火墙的 DNS 请求 / 应答报文，抓取域名 <->IP 映射关系，供给域名对象、域名安全策略使用。

简要说明

1. 缺省状态：dns snooping enable 不生效，防火墙不会监听、记录 DNS 域名 IP 映射。
2. 开启命令（系统视图）

3. 配套查看：

可以看到抓到的域名 IP 表项。 4. 重要限制

• DNS Snooping 和 dns transparent-proxy enable（DNS 透明代理）互斥，不能同时开启H3C
• 只有策略里配置了域名对象，防火墙才会只抓取订阅域名的解析记录，不是全网所有 DNS 都保存。
• 报文必须穿过防火墙（客户端 DNS 流量经过 F5000 转发），监听才生效。

补充区分两个容易混淆的功能

• DNS Snooping：被动监听，不改动 DNS 报文，只抓域名 IP 映射（用于域名策略），需要dns snooping enable
• DNS Proxy：DNS 代理，防火墙主动代答 DNS 请求，默认关闭，dns proxy enable开启
• 
  

华三F5000防火墙的DNS被动监听功能默认是关闭的，需要手动配置开启。不过，具体的开启方式取决于你的实际用途，因为F5000系列存在两种不同层面的“DNS Snooping”。

 先分清你的需求

 场景一：为安全策略配置域名对象（最常见）

如果你是想让防火墙安全策略能够基于域名进行过滤，不需要手动开启全局命令。F5000（V7版本）防火墙在配置了域名对象（object-group ip host name）后，会自动监听经过的DNS应答报文，学习域名与IP的映射关系。

配置示例：

配置完成后，防火墙会自动开始监听DNS流量并记录解析结果。

 场景二：手动开启全局DNS Snooping（部分版本支持）

如果你的F5000版本确实支持 dns snooping enable 命令（可通过在系统视图下输入 dns snooping enable ? 确认），则可以手动开启：

注意：部分F5000 V7版本（如F5030）在系统视图下没有这条命令，此时只能依赖场景一的自动机制。

 如何验证是否生效

无论采用哪种方式，都可以通过以下命令查看防火墙学习到的域名解析记录：

如果能看到对应的域名和IP地址，说明DNS被动监听已经正常工作。