Windows Server 2003 雖已停止主流支援，但大量存量系統仍在運行。本文依微軟官方 KB 文檔，梳理 **獨立伺服器 → 靜態 IP → 安裝 DNS 服務 → 配置正向/反向區域 → 移除根區域 → 配置轉發器/根提示 → 防火牆穿透** 完整部署鏈路，附避坑指南與現代化替代建議。
前置條件
- 作業系統：Windows Server 2003 Enterprise / Datacenter Edition (Standard 不支援叢集但支援 DNS)
- 靜態 IP 位址 (強制)：DNS 伺服器絕不可使用 DHCP，IP 變更將導致所有用戶端失聯
- 網域環境：已加入 Active Directory 網域 (若需 AD 整合區域)
- 管理權限：本機 Administrators 群組成員
步驟 1：配置 TCP/IP 靜態 IP 與 DNS 參數
- 網路連線 → 區域連線 → 內容 → TCP/IP → 內容
- 指定 IP、子網遮罩、預設閘道
- 進階 → DNS 分頁：
☑ 附加主要和連線特定的 DNS 尾碼
☑ 附加主要 DNS 尾碼的父尾碼
☑ 向 DNS 登記此連線的位址
- 關鍵： **慣用 DNS 伺服器指向自身 IP** (如 `192.168.1.10`)，備用可留空或指向另一台內部 DNS
- 確定全關 → 若彈出「DNS 快取解析器服務警告」點確定 (服務尚未啟動)
步驟 2：安裝 DNS 服務
- 控制台 → 新增/移除程式 → 新增/移除 Windows 元件
- 元件清單 → 網路服務 → 詳細資料
- 勾選「網域名稱系統 (DNS)」 → 確定 → 下一步
- 插入 Server 2003 安裝光碟 (或指向 I386 共享路徑) → 完成
步驟 3：配置 DNS 伺服器 (DNS 管理主控台)
- 啟動：開始 → 管理工具 → DNS
- 右鍵伺服器名稱 → 內容 → 介面分頁：確認監聽 IP (通常「所有 IP」)
- 建立正向查詢區域 (主要區域 / AD 整合)：
右鍵「正向查詢區域」 → 新增區域 → 下一步 → **主要區域** (或 AD 整合，若為 DC) → 下一步
區域名稱：`example.com` (需與 AD 網域名一致或為其子域) → 下一步
區域檔案：接受預設 (`example.com.dns`) → 下一步
動態更新：選「允許安全和非安全動態更新」 (測試) 或「僅允許安全動態更新」 (生產 AD 整合) → 完成
- 建立反向查詢區域 (建議)：
右鍵「反向查詢區域」 → 新增區域 → 主要區域 → 網路 ID：輸入網段前綴 (如 `192.168.1` 對應 `1.168.192.in-addr.arpa`) → 同樣選動態更新 → 完成
- 新增主機記錄 (A/PTR)：
展開正向區域 `example.com` → 右鍵 → 新增主機 (A) → 名稱 `www` → IP `192.168.1.100` → 勾選「建立關聯的指標 (PTR) 記錄」 → 新增主機
步驟 4：移除根區域 (關鍵，否則轉發器/根提示不生效)
若安裝 DNS 時為 DC 升級 (Dcpromo)，會自動建立根區域 `.`，導致伺服器自認為根伺服器，**不再使用轉發器/根提示**。
- DNS 管理主控台 → 展開伺服器 → 正向查詢區域
- 右鍵 `.` (根區域) → 刪除 → 是
步驟 5：配置轉發器 (推薦：指向 ISP/企業核心/公共 DNS)
- 右鍵伺服器名稱 → 內容 → 轉發器分頁
- DNS 網域：選 `All Other` (預設) 或新增特定域名
- 轉發器 IP 位址：新增上游 DNS (如 `8.8.8.8`、`1.1.1.1`、ISP DNS、企業核心 DNS) → 新增
- 勾選「不使用此轉發器的遞迴」 (可選，若轉發器失敗則不嘗試根提示)
- 確定
步驟 6：配置根提示 (轉發器失效時的備援)
- 右鍵伺服器名稱 → 內容 → 根提示分頁
- 預設載入 InterNIC 根伺服器清單 (a.root-servers.net ~ m.root-servers.net)
- 可手動更新：從 `ftp://ftp.internic.net/domain/named.cache` 下載最新 `cache.dns` 覆蓋 `%SystemRoot%\System32\Dns\Cache.dns`
步驟 7：防火牆穿透 (Windows 防火牆 / 硬體防火牆)
| 協定/埠 | 方向 | 用途 | Windows 防火牆規則 |
|---|
| UDP 53 | 入站 | 標準 DNS 查詢/回應 | 預設規則「DNS 伺服器」啟用 |
| TCP 53 | 入站 | 區域傳輸 (AXFR/IXFR)、大於 512 位元組回應、DNS over TLS | 新增入站規則：TCP、本地埠 53、允許連線 |
| TCP 135 / RPC 動態埠 | 入站 | DNS 管理主控台 (RPC/WMI) 遠端管理 | 建議僅限管理網段，或使用 RSAT/遠端桌面替代 |
避坑指南與現代化建議
- ❌ **不要在生產環境新部署 Server 2003 DNS**：主流支援 2010 年結束、擴展支援 2015 年結束、無安全更新、不支援 DNSSEC/DoT/DoH/RRL/EDNS0 Client Subnet
- ✅ **遷移目標**：Windows Server 2019/2022 DNS、Linux BIND 9.16+/Unbound/Knot DNS、雲端託管 DNS (Route 53/Cloudflare/Azure DNS/阿里雲/騰訊雲)
- ✅ **遷移路徑**：區域匯出 → 目標平台匯入 → 降低 TTL → 同步雙寫驗證 → 切換 NS/用戶端 DNS → 監控 48h → 退役舊機
- ✅ **若必須維護**：隔離於管理網段、僅允許必要埠、啟用 IPsec、定期離線備份區域檔案、應用虛擬化修補 (0patch/第三方微補丁)
結語
Server 2003 DNS 部署流程雖經典，但已屬歷史文物。**新架構請直接選擇現代 DNS 平台** (支援 DNSSEC/DoT/DoH/EDNS0/自動化 API/高可用叢集)。對存量系統，做好「隔離、監控、備份、遷移規劃」四件事，才是負責任的運維態度。
