- VIP（虚拟服务地址）：192.168.20.10:53 UDP，对外给客户端访问
- 负载均衡算法：加权轮询 weight 2:1 → 每 3 次请求，2 次分给 server1、1 次分给 server2
- 服务：DNS，UDP 53 端口
✅ 重点：VIP（192.168.20.10）这个 IP，server1、server2 本身根本不配置！VIP 只存在防火墙上，是防火墙虚拟出来的地址。
- 客户端访问 VIP
192.168.20.10:53，报文送到防火墙。 - 防火墙 SLB 按加权轮询（2:1）挑选 Server1 或 Server2，改写报文目的 IP 为选中服务器真实 IP。 （权重 2:1，代表分配比例 Server1 : Server2 = 2 : 1）
- 防火墙依靠自身直连路由，把报文转发到对应网段的服务器：
- Server1（192.168.1.5）、Server2（196.168.2.6）各自处理 DNS 请求。
- 服务器构造应答包，以防火墙对应接口为网关，回包发给防火墙。
- 防火墙匹配 server-map 表，把回包源 IP 改回 VIP，转发给客户端。
- 客户端只看到 VIP，感知不到后端两台不同网段服务器。
Server1：IP 192.168.1.5/24，网关192.168.1.1
Server2：IP 196.168.2.6/24，网关196.168.2.1
配置视图：
#====================基础配置==================== system-view sysname FW # 接口IP配置 interface GigabitEthernet 1/0/1 ip address 198.150.2.1 255.255.255.0 quit interface GigabitEthernet 1/0/2 ip address 192.168.1.1 255.255.255.0 quit interface GigabitEthernet 1/0/3 ip address 196.168.2.1 255.255.255.0 quit # 加入安全区域 firewall zone untrust add interface GigabitEthernet 1/0/1 quit firewall zone trust add interface GigabitEthernet 1/0/2 add interface GigabitEthernet 1/0/3 quit # 安全策略，放行DNS流量 security-policy rule name permit_dns_slb source-zone untrust destination-zone trust destination-address 192.168.20.10 255.255.255.255 service dns action permit quit quit #====================SLB负载均衡配置==================== slb enable slb group 1 grp1 metric weight-roundrobin # 加权轮询算法 rserver 1 rip 192.168.1.5 weight 2 # server1 权重2 rserver 2 rip 196.168.2.6 weight 1 # server2 权重1 quit vserver 1 vs1 protocol udp vip 1 192.168.20.10 vport 53 group grp1 quit quit #====================查看验证命令==================== display firewall server-map static display slb vserver vs1 verbose display slb group grp1防火墙的简单轮询：图形化配置（防火墙默认执行简单轮询算法）