建站基礎知識：DNS 核心概念與實務總結（不完全版）

前言：為什麼要懂 DNS？

初次接觸 Active Directory 時，許多人像我一樣邊看說明邊執行 dcpromo，對 DNS 的運作機制一知半解。安裝精靈會提示自動部署 DNS，導致許多管理員忽略其深度配置。實際經驗證明，不懂 DNS 會在後續維護中付出高昂代價——論壇上關於 DNS 的求助帖佔比極高。本文整理自論壇精華帖、參考書與實戰經驗，旨在建立系統性認知，亦歡迎高手指正補充。

一、DNS 與 Active Directory 的關係

核心概念

• DNS 定義「命名空間」：例如 contoso.com，此空間內的主機記錄儲存在「區域檔案」中，本質是名稱到 IP 的映射關係。
• AD 域「儲存域內物件」：用戶、電腦帳戶等記錄存放於 SAM（安全帳戶管理器）資料庫。
• 完全合格域名（FQDN）結合兩者：如 srv1.contoso.com，說明主機 srv1 位於 contoso.com 域內。

關鍵細節：根域的尾點「.」

DNS 結構中，頂級域（如 com.）末尾有一個句點「.」。解析器從左至右解析 FQDN，最終以「.」結束。Windows DNS 會自動補上尾點，易使人忽略其存在。在命令列測試時最好手動加上「.」。因根域有此點，林根 DNS 的「轉發器」選項會變灰無法設定（因「.」認為自己是根，無需轉發）。解決方法：刪除該點，即可啟用轉發設定。

企業 DNS 規劃建議

若企業外部服務（如網站）已在 Internet 註冊 contoso.com，內部 AD 建議使用不同名稱（如 contoso.net）或外部名稱的子域（如 corp.contoso.com），避免內外部命名空間重疊導致用戶端登入或存取 Internet 出現問題，尤其涉及 NAT 環境時更為關鍵。

二、hosts 檔案與快取機制

hosts 檔案的作用

位於 C:\WINDOWS\system32\drivers\etc\hosts，用於減少 DNS 伺服器負載：若用戶端查詢的主機名存在於 hosts 中，即直接解析 IP 而不查詢 DNS 伺服器。常被用於封鎖廣告或特定網站（如屏蔽 QQ）。

TTL（生存時間）與快取清除

DNS 記錄皆有 TTL，hosts 快取超過 TTL 會被刪除，否則 DNS 變更無法在 hosts 中體現。實例：DNS 新增 A 記錄後，用戶端因快取仍無法存取，需在用戶端執行 ipconfig /flushdns 清除快取；伺服器端則用 dnscmd /clearcache。

三、主 DNS 與輔助 DNS 伺服器

• 主 DNS 伺服器：唯一可對區域檔案進行寫入操作（修改記錄）。
• 輔助 DNS 伺服器：從主或其他輔助伺服器取得區域檔案副本（預設 24 小時無法取得副本則失效）。
• 僅快取名稱伺服器：僅儲存查詢結果快取，加速用戶端回應。

此機制類似 NT 時代的 PDC/BDC，屬脆弱架構。微軟允許任何執行 DNS 的 DC 設為該域的主 DNS 伺服器以延長可用性。

四、權威性應答與非權威性應答

• 權威性應答：DNS 伺服器在自己的區域檔案中找到記錄並回應（含查無記錄的 RecordNotFound）。
• 非權威性應答：伺服器非該區域權威時，透過三種方式處理：遞迴查詢其他伺服器並回應、轉介用戶端至上層伺服器、使用本地快取回應。

查詢類型：遞迴 vs 迭代

• 遞迴查詢：用戶端要求 DNS 伺服器「救人救到底」，必須查到結果回應。預設為遞迴查詢。
• 迭代查詢：伺服器若找不到，回應「去問那台伺服器」，用戶端自行繼續查詢，減輕伺服器壓力。

DNS 伺服器被要求遞迴查詢時，向其他伺服器查詢預設採迭代方式。可在 DNS 伺服器進階選項中停用遞迴查詢。

五、NetBIOS 解析與 DNS 解析順序

啟用 NetBIOS 解析時，Windows 用戶端依序查詢：

1. NetBIOS 快取
2. WINS 查詢
3. LMHOSTS 檔案
4. 廣播
5. hosts 檔案
6. DNS

實例：ping srv1.contoso.com 發生什麼？

1. 用戶端自動附加 DNS 尾碼送往 DNS 伺服器。
2. 名稱含「.」但非以「.」結尾 → 自動補上尾點「.」再查詢。
3. 仍失敗 → 附加連接介面設定的備用 DNS 尾碼再試。

理解此流程可解決「為何 ping 完整名稱才通」及「域成員身份變更時更改主 DNS 尾碼」等疑問。

結語

DNS 範圍極廣，短時間難以盡錄。本文為基礎總結，後續將補充進階主題。歡迎留言指正交流，共同精進。