DNS 服務器原理、核心功能與 Windows Server 配置入門

DNS (Domain Name System) 是互聯網的「電話簿」，將人類可讀域名 (example.com) 解析為機器可路由 IP 地址 (93.184.216.34)。本文覆蓋核心概念、解析流程、記錄類型、Windows Server DNS 角色部署基礎配置。

核心功能與價值

• 正向解析：域名 → IP (A/AAAA/CNAME 記錄)
• 反向解析：IP → 域名 (PTR 記錄，**郵件服務器必配**，防拒收)
• 負載分發：輪詢 A 記錄、GSLB 智能解析
• 服務發現：SRV 記錄 (Kubernetes、AD 域控、VoIP)
• 安全增強：DNSSEC 防劫持、DANE 綁定 TLS 憑證、RPZ 惡意域名阻斷

解析流程 (遞歸 vs 迭代)

1. 客戶端發起查詢 → 本地 DNS 緩存 → Hosts 文件。
2. 未命中 → 遞歸查詢本地 DNS 服務器 (通常由 ISP/企業提供)。
3. 本地 DNS 迭代查詢：根服務器 (.) → 頂級域服務器 (.com) → 權威服務器 (example.com)。
4. 權威服務器返回最終記錄 → 本地 DNS 緩存並返回客戶端。

常見資源記錄類型速查

Windows Server DNS 角色基礎配置 (Server 2016/2019/2022)

1. 「服務器管理器」→「添加角色和功能」→ 勾選 **DNS 服務器** → 安裝。
2. 打開「DNS 管理器」 (dnsmgmt.msc)。
3. 右鍵服務器名稱 → 「新建區域」→ 「主要區域」→ 存儲於 Active Directory (若加域) 或文件。
4. 區域名稱輸入域名 (如 corp.example.com)。
5. 動態更新：選「僅安全動態更新」 (AD 環境) 或「不允許動態更新」 (手動管理)。
6. 完成嚮導。右鍵區域 → 「新建主機 (A 或 AAAA)」添加記錄。
7. 配置轉發器：右鍵服務器 → 屬性 → 「轉發器」標籤 → 添加上游 DNS (如 8.8.8.8, 1.1.1.1 或 ISP DNS)，啟用「僅使用轉發器」可禁用根提示。
8. 啟用 DNSSEC (可選)：右鍵區域 → 「使用 DNSSEC 簽署區域」嚮導。

驗證命令

nslookup example.com           # 正向
nslookup -type=mx example.com  # MX 記錄
nslookup -type=ptr 192.0.2.1   # 反向
ipconfig /displaydns           # 查看本地緩存
ipconfig /flushdns             # 清理本地緩存