企業內部 DNS 架設關鍵：根域陷阱與轉發器最佳實踐

案情回顧：內外網解析互斥的困境

某企業在區域網路部署 Windows 2000 DNS 伺服器，建立 rtj.net 內部域名供員工存取內部網站。客戶端 DNS 指向內部伺服器時，內部網站正常，但無法解析外部網域（如 www.google.com）；改指向公共 DNS 則外部正常、內部失效。因 rtj.net 未在公共 DNS 註冊，陷入「二選一」死結。

根因剖析：錯誤建立根域與頂層域

DNS 採樹狀分層架構：根域（.）→ 頂層域（.com/.net/.tw）→ 次級域（example.com）→ 子域。解析流程為：
客戶端 → 本地 DNS → 根域伺服器 → 頂層域伺服器 → 權威 DNS → 回傳 IP。

管理者在內部 DNS 錯誤建立了「.」根域與「net」頂層域，導致內部 DNS 誤以為自己就是根權威，拒絕向真正的互聯網根域遞迴查詢，造成外部解析失敗。

標準解決方案：僅建立必要的權威區域 + 設定轉發器

步驟 1：清理錯誤區域

在 DNS 管理主控台依序刪除：
❌ .（根域）
❌ net（頂層域）
❌ rtj.net（將重建）

步驟 2：重建內部權威區域

新建 正向查詢區域 → 類型選「主要區域」 → 勾選「在 Active Directory 中儲存區域」（若已加入 AD） → 區域名稱輸入 rtj.net → 允許「僅安全動態更新」。

步驟 3：設定轉發器——關鍵一招

DNS 伺服器內容 → 轉發器 分頁 → 勾選「啟用轉發器」 → 新增上層 ISP 或公共 DNS IP（如 168.95.1.1、8.8.8.8）→ 取消勾選「不使用遞迴」。

效果： 內部 DNS 對 rtj.net 具權威直接回應；其他網域轉發給上層 DNS 遞迴解析，回傳結果快取供後續查詢，完美實現內外網雙贏。

步驟 4：客戶端設定

所有用戶端 DNS 僅指向內部 DNS 伺服器 IP，即可同時解析內部 rtj.net 與外部所有網域。

進階建議：最小權限區域原則

• 嚴禁建立 .、com、net、org 等公共頂層域區域。
• 僅建立企業真正擁有授權的內部網域（如 corp.example.com、internal.example.com）。
• 若需覆寫特定外部域名（如測試環境導向內部 IP），可建立對應網域區域並新增 A 記錄，但需謹慎評估影響範圍。

結語

DNS 架設核心在於「權威與遞迴分離」。內部 DNS 僅對自有域名負責，其餘交給轉發器處理，避免根域污染，即能輕鬆實現內外網無縫解析。