如何在Windows上配置DNS服务器

Microsoft Windows Server 2016旨在处理许多企业级任务，并且它可以扮演的最重要的角色之一是运行 域名系统（DNS）服务器。DNS的作用类似于Internet的电话簿，它将易于记录的域名转化为计算机用来互相找到对方的IP地址。无论您是建立内部网络还是管理面向公共的域，正确的DNS都是迈向可靠且响应迅速的系统的重要一步。

本教程涵盖了您在Windows Server 2016上安装和配置DNS所需的所有内容。它包括图形和PowerShell方法，现实世界应用程序以及针对初学者和经验丰富的Admins的实用指导。

Windows Server 2016中介绍的DNS功能

Windows Server 2016包括对DNS的多个更新，使其比以前的版本更强大和安全。如果您来自较旧的服务器环境或刚刚开始，那么知道什么是新事物很有帮助，因此您可以决定要使用哪些功能。这些增强能力使您可以更多地控制DNS行为，改善对某些攻击的保护，并使DNS管理更加容易，尤其是通过自动化。

• NRPT的小组政策： 通过组策略管理名称解析策略表设置，而无需将它们与特定的接口联系在一起。
• DNS政策： 根据客户IP，一天中的时间或查询类型等标准来控制DNS响应。
• 响应率限制（RRL）： 减轻基于DNS的拒绝服务攻击。
• dane（基于DNS的命名实体的身份验证）： 通过DNSSEC和TLSA记录加强安全性。
• 支持未知记录类型： 使使用非标准或自定义DNS记录更容易。
• IPv6根提示： 简化IPv6集成。
• 改进的Powershell支持： 对DNS管理的完整脚本支持。

系统要求和准备

在进入安装过程之前，请花一点时间确保您的系统准备就绪。DNS是您网络基础架构的核心部分，因此值得从一开始就正确设置它。其中包括使用正确的权限登录，具有固定的IP地址以保持一致性以及安装最新更新，以便所有内容都按预期运行。

• 通过控制台或 远程桌面.
• 使用具有管理员特权的帐户。
• 将静态IP地址分配给服务器。
• 应用所有当前的Windows更新。

步骤1：安装DNS服务器角色

要开始使用Windows Server作为DNS服务器，您需要安装DNS服务器角色。这是将DNS功能添加到系统的功能。您可以通过图形服务器管理器或快速PowerShell命令进行操作。两种方法都可以完成工作 - 选择您更舒服的选择。

选项A：使用服务器管理器

1. 打开 服务器管理器 从任务栏或开始菜单。
2. 请点击 管理>添加角色和功能.
3. 请点击 下一个 在"开始之前"屏幕上。
4. 选择 基于角色或基于功能的安装，然后点击 下一个.
5. 从列表中选择您的服务器，然后单击 下一个.
6. 在 服务器角色， 查看 DNS服务器.
7. 提示时，单击 添加功能.
8. 请点击 下一个 通过功能屏幕。
9. 查看您的选择并点击 安装.
10. 等待安装完成。可能需要重新启动。

选项B：使用PowerShell

如果您喜欢使用命令行， 电源外壳 提供更快的方法来安装DNS角色：

Install-WindowsFeature -Name DNS -IncludeManagementTools

步骤2：打开DNS经理

安装了DNS服务器角色后，您将使用DNS Manager来配置和管理DNS区域和记录。该工具提供了一个图形接口，您可以轻松地看到服务器的DNS结构，进行更改和解决问题。它是Windows Server上日常DNS任务的主要集线器。

有几种打开DNS经理的方法 - 使用最方便的方法：

选项A：来自服务器管理器

1. 点击 开始 按钮并启动 服务器管理器.
   
2. 在右上角，单击 工具类，然后选择 域名解析 从下拉列表中。
   
3. DNS Manager将在新窗口中打开，在左侧窗格中显示您的服务器名称。

选项B：从开始菜单

1. 点击 开始 按钮或按Windows键。
   
2. 在搜索栏中键入" DNS"。
   
3. 点击 域名解析 （应该以" DNS Manager"的形式出现）直接打开该工具。

选项C：使用"运行对话框"

1. 按 Windows键 + R 打开运行框。
   
2. 类型 'dnsmgmt.msc' 然后按 输入.
   
3. DNS经理将立即启动。

一旦您开放DNS经理：

• 将服务器的节点扩展到左窗格中。
  
• 从这里开始，您将可以查看前向查找区域，反向查找区域和其他配置选项。
  
• 右键单击服务器名称以访问任务，例如清除缓存，创建新区域，设置老化/清除设置以及访问属性。

步骤3：创建一个前向查找区域

向前查找区域是最常见的DNS区域。他们将域名（例如example.com）转换为IP地址，以便设备知道该连接的位置。如果您托管任何服务或网站，这是您需要的第一种区域。

1. 在DNS Manager中，扩展您的服务器节点。
2. 右键点击 向前查找区域>新区域.
3. 选择 主要区域.
4. 如果适用，请选择将区域存储在Active Directory中。
5. 输入区域名称（例如，示例）。
6. 接受或调整区域文件名。
7. 设置动态更新首选项：
   • 仅允许安全的动态更新 （推荐用于Active Directory）。
   • 不允许动态更新 用于静态设置。
8. 完成巫师。

步骤4：创建一个反向查找区域

反向查找区域 做相反的向前区域。他们没有将名称解析到IP中，而是让您从IP地址查找主机名。这些区域对于NSlookUp，Logging和某些安全应用程序等工具很有用。

1. 右键点击 反向查找区域>新区域.
2. 选择 主要区域.
3. 选择 IPv4. 要么 IPv6.
4. 输入 网络ID （例如，A/24子网192.168.1）。
5. 接受或更改区域文件名。
6. 设置您的动态更新首选项。
7. 完成巫师。

步骤5：添加DNS记录

区域到位后，您需要添加记录，以便您的DNS服务器知道如何响应查询。最常见的类型包括A，PTR和CNAME记录。这些地图名称为地址，地址为名称或另一个名称。

记录（主机）

1. 右键单击您的f向前查找区域>新主机（A或AAAA）.
2. 输入 主机名 （例如，www）和IP地址。
3. 检查一下 创建关联的PTR记录 用于反向DNS。

PTR记录（反向）

• 如果您选中了上面的框，则会自动创建。
• 或在反向区域中手动添加。

cname记录（别名）

1. 右键单击 区域>新别名（CNAME）.
2. 用它将一个名称指向另一个名称（例如，ftp.example.com→www.example.com）。

步骤6：验证DNS配置

在将其称为一天之前，测试您的DNS设置以确保一切都应应其应有的方式是很明智的。您可以使用NSlookUp命令来执行此操作，该命令直接查询DNS记录。这是确认您的记录正在起作用的快速方法。

nslookup example.com
nslookup 192.168.1.100

结果应反映您创建的记录。

DNS最佳实践和技巧

工作的DNS服务器很棒，但是安全可靠的服务器甚至更好。这些最佳实践有助于您避免出现问题。它们涵盖了诸如冗余和伐木之类的基础知识，以及诸如DNSSEC和递归控制之类的安全功能。

• 使用两个或多个DNS服务器提供冗余。
• 分配静态IP地址 到所有DNS服务器。
• 打开DNS记​​录：
  • 右键单击您的服务器 DNS管理器>属性>调试记录.
  • 在事件查看器中检查与DNS相关事件的日志。
• 保护您的区域：
  • 启用DNSSEC。
  • 限制区域转移。
  • 将递归限制为内部IP。

DNS自动化的PowerShell

PowerShell不仅用于安装，还可以使用它来管理DNS区域，记录和设置。如果您在较大的环境中工作或想自动化重复任务，则这些命令派上用场。

创建一个主要区域

Add-DnsServerPrimaryZone -Name "example.com" -ZoneFile "example.com.dns"

添加有条件的转发器

Add-DnsServerConditionalForwarderZone -Name "externaldomain.com" -MasterServers "8.8.8.8"

维护您的DNS服务器

设置DNS只是开始。为了使情况保持可靠，您的服务器将需要偶尔进行维护。这包括删除陈旧的记录，审查设置并关注性能。保持更新也很重要，尤其是作为支持截止日期的方法。

• 启用清除 清理旧记录：
  • 右键点击 服务器>设置老化/清除.
• 监视TTL设置以管理缓存。
• 定期查看您的区域文件。
• 开始计划升级-Windows Server 2016支持将于2027年1月结束。

故障排除常见DNS问题

即使正确设置了所有内容，DNS问题仍然可能发生。这些问题可能显示为缓慢的查找，名称分辨率失败或网络上的意外行为。发生这种情况时，您可以采取一些步骤来识别和解决该问题：

检查错别字和缺少记录

从基础开始。确保您的区域名称，主机名和IP地址正确。记录中的单字错字或错误命名的区域文件可以防止DNS按预期工作。

重新启动DNS服务器服务

有时服务只需要重新开始。您可以从服务控制台（Services.MSC）重新启动DNS服务器服务，也可以在PowerShell中运行以下内容：

Restart-Service -Name DNS

使用NSlookUp进行测试

使用NSlookup测试前向和反向查找。这可以帮助确认该问题是否与DNS或网络中的其他内容有关：

nslookup example.com
nslookup 192.168.1.100

检查事件日志

事件查看器通常包含有用的错误消息，可以将您指向正确的方向。看下来 Windows日志>系统 和 应用程序和服务日志> DNS服务器.

查看防火墙设置

如果DNS查询正在计时或无法到达服务器，请确保您的防火墙不会阻止 UDP/TCP端口53。您可能需要通过Windows防火墙或网络上的任何其他防火墙允许它们。

研究常见的DNS连接问题

如果您仍然没有得到结果，请看一下 DNS服务器未响应：PC/MAC的8个修复程序。尽管它专注于客户端故障排除，但它涵盖了许多常见的根本原因，这些原因也可能影响服务器，例如网络设置，适配器问题或不良的DNS缓存。