架構優勢：AD 整合 DNS 的三大特性
- 🔐 安全動態更新： 僅經驗證的網域電腦/使用者可更新 DNS 記錄，防止惡意竄改。
- 🔄 多主機複寫： DNS 區域資料儲於 AD 資料庫，隨 AD 複寫自動同步至所有網域控制站 (DC)，無傳統區域傳輸風險。
- 🖥️ 用戶端自動註冊： 加入網域的 Win2k/XP/2003 用戶端啟動時自動向 DNS 註冊 A/PTR 記錄，零人工維運。
伺服器端部署步驟
1. 推升為網域控制站 (DCPROMO) — 自動安裝 DNS
- 管理工具 → 設定您的伺服器 → Active Directory 安裝精靈。
- 若預先未設定 DNS，精靈會自動安裝並設定 DNS 服務；若已手動安裝 DNS，務必先啟用「允許動態更新」否則 DCPROMO 會報錯。
- 網域名稱假設：
test.com (NetBIOS: TEST)。
- 完成後，伺服器成為 DC + DNS 伺服器，不可再變更電腦名稱或網域名稱。
2. DNS 管理主控台微調
- 建立反向查詢區域 (網段 192.168.0.x → 區域名
0.168.192.in-addr.arpa) → 啟用「僅安全動態更新」。
- 在反向區域新增指標 (PTR) 記錄指向 DNS 伺服器自身 IP，確保
nslookup 顯示預設伺服器名稱。
- 啟用轉發器： DNS 伺服器內容 → 轉發器分頁 → 新增上層 ISP/公共 DNS IP (如
168.95.1.1, 8.8.8.8) → 取消「不使用遞迴」。內部無權威記錄時轉發給外部解析，實現內外網無縫存取。
用戶端設定與加域
- TCP/IP 內容 → DNS 伺服器位址 → 指向內部 DNS 伺服器 IP。
- IE 直接可用內部網域名稱存取內部網站。
- 加入網域： 我的電腦 → 內容 → 網路識別 → 內容 → 網域 → 輸入
TEST (NetBIOS 名稱) → 提供網域管理員帳密 → 重開機。
- 重開機後，用戶端自動向 DNS 註冊 A/PTR 記錄，DC 驗證電腦帳號，完成加域。
進階議題：DHCP + DNS + AD 三合一
若環境採用 DHCP 指派 IP，可在 DHCP 伺服器啟用「為無法動態更新的用戶端啟用 DNS 動態更新」並設定認證 (DnsUpdateProxy 群組)，實現：
DHCP 租約 → 觸發 DNS 更新 A/PTR → AD 同步電腦帳號資訊 → 三位一體自動化。
回滾與角色變更
若需移除 DC 角色或重新規劃 DNS：
命令列執行 dcpromo → 精靈引導降級為成員伺服器 → DNS 服務保留但不再為 AD 整合區域，可改為標準主要/次要區域運作。
結語
Windows 2000 AD 整合 DNS 以「安全動態更新、多主機複寫、用戶端自動註冊」三大特性，大幅降低中小企業網域環境的 DNS 維運負擔。關鍵成功因子：DCPROMO 前確保動態更新啟用、建立反向區域與 PTR、正確設定轉發器、用戶端使用 NetBIOS 網域名加域。遵循此流程，即可建立穩健、自癒的內部名稱解析基礎設施。
