DNS 管理与 TCP/IP 排障的关系？

DNS 解析失败常与 TCP/IP 连通性纠缠在一起——出口 NAT、防火墙策略可能挡了 53 端口，使解析超时。把 DNS 与 TCP/IP 放在同一故障树里看，往往比单独查 DNS 更快定位根因。

DNS 排障的基本故障树？

先清本地缓存（Win: ipconfig/flushdns；Linux: resolvectl flush-caches），排除 hosts 与系统 resolver 层层叠加；再用公共 DNS（如 223.5.5.5）验证是否为运营商 DNS 问题；最后查出口 NAT/防火墙是否挡 53 端口。

NXDOMAIN、SERVFAIL、超时分别指向什么？

NXDOMAIN 表示域名本身不存在（拼写或记录缺失）；SERVFAIL 多为权威或递归服务器配置/链路异常；超时通常是网络链路不通、DNS 被劫持或污染、或 53 端口被挡。三类返回对应完全不同的处置路径。

缓存层层叠加怎么处理？

本地 hosts、系统 resolver 缓存、递归服务器缓存层层叠加会掩盖真实结果。排障先逐级清缓存：清本地、清递归服务器缓存（防污染与放大攻击），再复测，避免被旧记录误导。

出口 NAT、防火墙挡 53 端口怎么查？

用 dig 指定外部 DNS（如 dig @223.5.5.5 域名）若通，说明本地 DNS 有问题；若仍超时，检查出口防火墙是否放行 UDP/TCP 53，以及 NAT 会话是否异常。把 53 端口作为连通性必查项。

DNS 管理与 TCP/IP 故障排除全解析

Q: 为什么要先分清本地解析器和权威服务器？

排障第一步是区分「本地解析器」还是「权威服务器」问题。用 nslookup/dig 看返回的是 SERVFAIL、NXDOMAIN 还是超时：NXDOMAIN 是域名不存在，SERVFAIL 多为权威或递归配置异常，超时则是链路或 DNS 被劫持/污染。

DNS管理与TCP/IP故障排除全解析

1. DNS管理

1.1 DNS安全

若区域与Active Directory集成，可使用与区域关联的DACL进一步控制对文件的访问。从Windows Server 2008 R2开始，在保护区域数据库文件方面，安全性更进一步，引入了域名系统安全扩展（DNSSEC）。DNSSEC允许对DNS区域及区域内的所有记录进行加密签名。当DNS服务器收到对签名区域文件的请求时，会返回文件及数字签名。解析器通过获取公钥，可验证文件是否被篡改。

DNS 管理与 TCP/IP 故障排除全解析 — 图片素材来自免费商用图库（pixabay），非本站项目实拍。

1.2 单标签DNS解析配置

大多数网络将DNS作为主要的名称解析系统，但也有其他选择，如Windows Internet名称服务（WINS），在许多网络中仍在使用。然而，在向IPv6过渡时，WINS不再受支持。若没有WINS，DNS客户端可通过在名称后附加DNS后缀并在DNS中查找来解析单标签名称。

如果计划使用IPv6，所有名称解析都将通过DNS进行。对于网络中的单标签名称，Windows Server 2012使用名为全局名称区域（GNZ）的特殊区域来存储这些记录，并通过DNS促进这些名称的解析。GNZ不是WINS的替代品，而是在将WINS从网络中淘汰的过渡期间提供名称解析的途径。创建和管理GNZ的方式与标准主区域类似，不应为GNZ启用动态更新，以防止其资源记录注册到该区域。

1.3 创建GNZ

创建GNZ的过程从DNS管理器开始：
1. 从任务栏中选择“服务器管理器”图标，然后从“工具”菜单中选择“DNS”。
2. 右键单击要在其上创建GNZ的服务器名称。
3. 选择“新建区域”。 <

DNS 排障：递归、权威与缓存

DNS 解析失败先分清是”本地解析器”还是”权威服务器”问题。用 nslookup/dig 看返回的是 SERVFAIL、NXDOMAIN 还是超时：NXDOMAIN 是域名不存在，SERVFAIL 多为权威或递归配置异常，超时则是链路或 DNS 被劫持/污染。改公共 DNS（如 223.5.5.5）可快速验证是否为运营商 DNS 问题。

缓存与 TCP/IP 故障树

本地 hosts、系统 resolver 缓存层层叠加，排障先清缓存（Win: ipconfig/flushdns；Linux: resolvectl flush-caches）。递归服务器本身要防缓存污染与放大攻击。把 DNS 与 TCP/IP 连通性放在同一故障树里看，常能发现是出口 NAT 或防火墙策略挡了 53 端口。