DNS 委派實戰：父子域架構設計與跨站點解析授權部署指南

業務場景與架構設計

大型企業總部 (北京) 與分公司 (上海) 部署獨立 DNS 服務器。為減輕總部 DNS 負載、避免跨區域 WAN 頻寬消耗，採用 DNS 委派 將子域 (如 shanghai.contoso.com) 授權給分公司本地 DNS 管理，總部僅保留父域與委派記錄。

網路拓撲

總部 DNS (父域) 配置步驟

1. 建立子域容器

DNS 管理主控台 → 右鍵 contoso.com 正向查詢區域 → 「新增域」 → 輸入 shanghai

2. 建立委派

右鍵新建的 shanghai.contoso.com 節點 → 「新增委派」 → 啟動委派精靈

3. 指定委派域名

輸入要委派的子域名：shanghai (完整為 shanghai.contoso.com)

4. 新增授權名稱伺服器 (關鍵)

輸入分公司 DNS 伺服器的 完整主機名 (FQDN) 與 IP：

• 主機名：win08.shanghai.contoso.com (或 ns.shanghai.contoso.com)
• IP 位址：192.168.1.3

系統會自動解析主機名並建立對應的 NS 與 A 記錄 (Glue Record)。

5. 完成委派

分公司 DNS (子域) 配置步驟

1. 建立主要區域

DNS 管理主控台 → 右鍵「正向查詢區域」→「新增區域」→ 選「主要區域」→ 區域名稱輸入 shanghai.contoso.com

2. 新增主機記錄 (A)

在 shanghai.contoso.com 區域右鍵 →「新增主機」→ 名稱 www、IP 192.168.1.100 (分公司 Web 伺服器)

客戶端驗證

客戶端 DNS 指向總部 192.168.1.2，執行 nslookup www.shanghai.contoso.com，成功解析為 192.168.1.100。

委派 vs 轉發 vs 子域區域：核心差異對比

關鍵技術細節

• Glue Record (膠水記錄)：委派時必須在父域同時建立子域 NS 的 A 記錄，否則會出現循環依賴 (查詢 NS 需先解析 NS)
• 委派不等於區域傳送：委派僅授權查詢權，資料不同步；區域傳送是資料複製
• 反向區域同理委派：IP 段劃分給分公司時，對應 in-addr.arpa 反向區域也需委派
• DNSSEC 配合：父域簽署 DS 記錄指向子域 KSK，建立信任鏈

故障排除檢查清單

1. 父域是否存在正確的 NS + Glue A 記錄
2. 子域 DNS 服務是否運行、防火牆開放 UDP/TCP 53
3. 子域區域名稱是否與委派名稱完全一致 (大小寫不敏感但建議一致)
4. 客戶端是否直接查詢子域 DNS (追蹤 dig +trace 確認路徑)
5. 事件日誌檢查委派相關錯誤 (事件 ID 4013, 4015, 4515)