防火牆環境下 DNS 設定策略：分離內外解析、隱藏內部架構、轉發與策略控制

防火牆後方的 DNS 架構設計直接關係內網安全、解析效能與合規性。錯誤配置會導致內部主機名洩露、解析迴路、惡意軟體 C2 通訊暢通。本文提供企業級 DNS 分離架構 (Split DNS)、防火牆策略配置、DoH/DoT 加密、惡意域名封鎖的完整實作指南。

核心架構：分離式 DNS (Split Horizon DNS)

原則： 內部用戶查詢內部域名 → 內部權威 DNS；查詢外部域名 → 內部遞迴 DNS → 轉發至外部權威 DNS。外部用戶查詢僅能獲得「公開授權」資訊 (Web、Mail、VPN 入口)。

部署拓撲

[內部用戶] → (內部網路) → [內部遞迴 DNS (AD DC / Unbound / BIND)]
                                            │
                    ┌───────────────────────┼───────────────────────┐
                    ▼                       ▼                       ▼
            [內部權威區域]           [轉發器/根提示]           [防火牆 DNS 策略]
            (corp.example.com)      (外部域名遞迴解析)       (封鎖/記錄/重導向)
                    │                       │
                    ▼                       ▼
            [內部資源 IP]             [外部公開 IP]

關鍵配置步驟 (以 Windows Server DNS / BIND / Unbound 為例)

1. 內部權威區域建立

• 建立 corp.example.com (或 ad.example.com) 正向查詢區域，型別「主要區域」，允許安全動態更新 (AD 整合) 或手動管理。
• 建立反向查詢區域 (如 10.0.0.0/8、192.168.0.0/16) 對應 PTR 記錄。
• 註冊內部資源：DC, File Server, SQL, Print, Intranet Web, 憑證發布點, 自動化部署點等。

2. 內部遞迴 DNS 設定轉發器

• 屬性 →「轉發器」→ 新增外部 DNS IP (ISP DNS, 114.114.114.114, 8.8.8.8, 9.9.9.9, Cloudflare 1.1.1.1)。
• 勾選「僅使用轉發器」 (不使用根提示)，減少根查詢洩露內部查詢模式。
• 設定轉發器逾時 (建議 3-5 秒)，啟用 EDNS Client Subnet (ECS) 提升 CDN 調度精度。

3. 防火牆 DNS 流量控制策略

4. 客戶端 DNS 指向設定

• DHCP 選項 006 (DNS Servers) 僅下發內部遞迴 DNS IP (至少 2 個高可用節點)。
• 靜態 IP 主機手動設定相同 DNS。
• **關鍵：內部遞迴 DNS 自身也指向自己 (127.0.0.1 / 內部 IP) 作為客戶端**，確保其查詢同樣受轉發器控制。

進階安全與隱私強化

隱藏內部架構：通配符 PTR 與最小化公開區域

• 公開權威區域 (example.com) 僅包含：
  - www, mail, vpn, autodiscover 等公開服務 A/AAAA/CNAME 記錄。
  - _spf, _dmarc, _dkim 郵件驗證記錄。
  - **不包含** 內部主機名、內部 IP、測試環境、開發代號。
• 內部反向區域設定通配符 PTR：* IN PTR unknown.corp.example.com.，外部反向查詢內部 IP 僅回應通用名稱，不洩露真實主機名。

加密解析：DoH/DoT 部署

• 內部遞迴 DNS 啟用 DNS over TLS (DoT, TCP 853) 或 DNS over HTTPS (DoH, TCP 443) 向上游轉發，防止 ISP/鏈路側竊取查詢內容、注入廣告/劫持。
• 支援 DoT/DoH 的遞迴軟體：Unbound, Knot Resolver, PowerDNS Recursor, Windows Server 2022+ (DoH)。
• 客戶端 (Windows 11, Android 10+, iOS 14+) 可直接設定 DoH 伺服器繞過內部遞迴，**企業環境建議透過群組原則/MDM 強制客戶端使用內部遞迴 DNS**，集中控制與稽核。

惡意域名即時封鎖 (RPZ / Threat Intelligence)

• 訂閱威脅情報源 (Spamhaus DROP/EDROP, Abuse.ch FeodoTracker/URLhaus, Cisco Talos, 本地 CERT/ISAC 推送)。
• 內部遞迴 DNS 載入 RPZ (Response Policy Zone) 區域，對惡意域名回應 NXDOMAIN 或重導向至阻斷頁面 (Sinkhole Web Server)。
• 防火牆同步封鎖惡意 IP (與 RPZ 域名解析結果聯動)，雙層阻斷。

驗證與稽核清單

1. nslookup internal-server.corp.example.com 內部DNS_IP → 回應內部 IP。
2. nslookup www.google.com 內部DNS_IP → 回應外部 IP (經轉發器)。
3. nslookup internal-server.corp.example.com 公開DNS_IP → 回應 NXDOMAIN 或 REFUSED。
4. dig @內部DNS_IP example.com AXFR → 拒絕區域傳輸 (僅允許授權從屬 DNS)。
5. 防火牆日誌確認：無內部主機直連外部 UDP/TCP 53；內部遞迴 DNS 正常轉發外部查詢。
6. 定期審計公開區域記錄，移除廢棄/測試/內部洩露條目。

DNS 是網路的電話簿，也是攻擊者偵察的第一站。實施「分離解析、最小公開、加密傳輸、威脅封鎖」四位一體的 DNS 安全架構，配合防火牆精細流控，能將內網攻擊面壓縮至極致，同時保障業務解析高可用、低延遲。請將此架構納入網路基礎設施標準，新環境部署、舊環境改造同步落地。