DNS 服務架設與解析故障完整排查手冊

DNS 核心概念

DNS（Domain Name System）將易記域名解析為 IP 位址。權威 DNS 伺服器掌握區域記錄；遞迴 DNS 伺服器代替用戶逐級查詢並快取結果。企業常見架構：內部 DNS 轉發至外部/ISP DNS。

Windows DNS 伺服器基本配置流程

1. 開始 → 管理工具 → DNS 管理員
2. 右鍵伺服器名 → 「新增區域」→ 選「主要區域」→ 輸入域名（如 corp.example.com）
3. 動態更新選「僅安全更新」（AD 整合）或「不允許」（獨立）
4. 新增主機（A）記錄：名稱 www、IP 192.168.1.10
5. 新增 CNAME、MX、SRV 等記錄依服務需求
6. 右鍵區域 → 「所有工作」→ 「重新載入」生效

DNS 解析故障四大排查步驟

1. nslookup 確認是否為 DNS 故障

C:\> nslookup
Default Server:  dns.corp.example.com
Address:  192.168.1.5

> www.example.com
Server:  dns.corp.example.com
Address:  192.168.1.5

Name:    www.example.com
Addresses:  203.0.113.10

• 回傳 IP → DNS 解析正常，問題在連通性/防火牆/應用層
• 回傳 DNS request timed out 或 Non-existent domain → 確為 DNS 故障

2. ipconfig /all 核對用戶端 DNS 伺服器設定

• 查看 DNS Servers 列表，確認順序正確（首選內部 DNS，備援外部 DNS）
• 若指向錯誤/失效 DNS → 修改網卡 IPv4 設定或 DHCP 選項 006

3. 清除用戶端 DNS 快取

C:\> ipconfig /flushdns
Successfully flushed the DNS Resolver Cache.

適用場景：記錄已更新但用戶端仍解析舊 IP（TTL 未過期或快取殘留）。

4. 修改 hosts 檔案強制繞過 DNS（臨時應急）

• 路徑：C:\Windows\System32\drivers\etc\hosts（Win2000: C:\WINNT\...）
• 格式：IP 域名，如 203.0.113.10 www.example.com
• 優先級高於 DNS，立即生效，無需重啟
• ⚠️ 僅限臨時測試/應急，長期維護成本極高，務必於 DNS 修復後移除

進階：DNS 伺服器端故障排查

• 事件檢視器 → DNS Server 服務日誌，關注錯誤事件 ID（如 4000、4004、4015）
• dnscmd /zoneinfo zone.name 檢查區域載入狀態、序號、主機記錄數
• 轉發器/根提示設定錯誤導致遞迴查詢失敗 → 修正轉發器 IP 或更新根提示
• 區域傳送失敗（次要 DNS） → 檢查主 DNS 「區域傳送」允許清單、防火牆 TCP 53

最佳實踐建議

1. 內外部 DNS 分離（Split-brain DNS），內部解析私有 IP，外部解析公網 IP
2. 啟用 DNSSEC 防範快取投毒
3. TTL 設定平衡：生產環境 300-3600 秒，變更前預先降低 TTL
4. 監控 DNS 解析延遲、回應碼分布（NOERROR/SERVFAIL/NXDOMAIN）
5. 定期備份區域檔案（dnscmd /zoneexport）