防火牆如何添加特殊域名

三種解決方案
方案一：使用靜態 DNS 映射（推薦）
在防火牆上配置靜態域名解析，將含 "?" 的域名映射到固定 IP
[H3C] ip host <域名(含?)> <對應IP地址>
例：ip host server?***.*** 192.168.1.100
在 IPv4 地址對象組中添加上述 IP 地址，而非直接使用域名
[H3C] object-group ip address TestGroup
[H3C-obj-grp-ip-TestGroup] network host address 192.168.1.100
優勢： 保持域名邏輯，配置簡單，對原有策略影響小，適合長期使用
方案二：使用 IP 地址替代（適合臨時或固定 IP 場景）
先獲取含 "?" 域名的 IP 地址（可通過其他設備或工具查詢）
nslookup server?***.***
直接在地址對象組中添加 IP 地址
[H3C] object-group ip address TestGroup
[H3C-obj-grp-ip-TestGroup] network host address <IP地址>
優勢： 無需額外配置，直接使用 IP，適合目標主機 IP 固定場景
方案三：使用 URL 過濾規則替代（適合 Web 應用場景）
如果要保護的是 Web 服務，可使用 URL 過濾功能：
創建 URL 過濾類別
[H3C] url-filter category TestCategory
添加 URL 過濾規則（支持正則表達式匹配）
[H3C-url-filter-cat-TestCategory] rule 1 permit host "server\?***.***"
注意：在命令行中需要使用雙反斜杠轉義 "?"，即\?
在安全策略中引用該 URL 過濾類別，而非地址對象組
優勢： 專為 Web 應用設計，支持更靈活的 URL 匹配（含路徑、參數等）
操作步驟詳解（以方案一為例）
1. 配置靜態 DNS 映射
<H3C> system-view
[H3C] ip host myserver?***.*** 10.0.0.1 # 添加含"?"域名的靜態映射
[H3C] commit # 提交配置
2. 創建地址對象組並添加映射的 IP
[H3C] object-group ip address WebServers # 創建對象組
[H3C-obj-grp-ip-WebServers] network host address 10.0.0.1 # 添加映射的IP地址
[H3C-obj-grp-ip-WebServers] quit
[H3C] commit # 提交配置
3. 在安全策略中引用對象組
[H3C] security-policy
[H3C-sec-policy] rule 10 permit source any destination WebServers service any # 引用對象組
[H3C-sec-policy] quit
[H3C] commit # 提交配置