树结构图

TOP 10

您现在的位置： > 技术沙龙 > 操作系统 > Window > 网络服务 > 管理核心网络服务 > DNS

相关软件
>DNS　创建者：webmaster　更新时间：2005-10-21 22:15

域名系统 (DNS) 是用于 TCP/IP 网络（例如，Internet）的名称解析协议。DNS 服务器存放能使客户端计算机将可记忆的字母数字的 DNS 名称解析为 IP 地址的信息，计算机使用 IP 地址彼此通信。

开始将该计算机用作 DNS 服务器之前，请参阅href="#1">清单：安装 DNS 服务器、清单：配置 DNS 服务器、清单：部署 DNS 、清单：为 Active Directory 部署 DNS 、清单：在安装 Active Directory 之前验证 DNS 、清单：保护 DNS 基础结构的安全。
要查找 Microsoft® Windows® Server 2003 家族中已经删除的功能，请参阅id=specLoc
href="#7">执行常见任务的新方法。
有关使用 DNS 的诀窍，请参阅href="#8">最佳操作。
有关特定任务的帮助信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_Topnode.htm">如何。
有关一般背景知识，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNSconcepts.htm">概念。
有关疑难解答的说明，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_tro_Topnode.htm">疑难解答。

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/Uabrand.gif">

清单：安装 DNS 服务器

	步骤	参考
	如果对于使用“域名系统 (DNS)”还不熟悉，那么首先应当学习 DNS 的基本概念，然后研究如何使用与 DNS 相关的工具部署与维护 DNS 的客户端和服务器功能。	DNS 概述
	详细学习 DNS 的工作原理，更好地理解与 DNS 有关的功能。	了解 DNS；href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_PlanningNode.htm">部署 DNS；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_admin_topnode.htm">管理 DNS
	在安装 DNS 服务器之前，确定此服务器现在是否为域控制器，或者确定它是否将升级为较新的版本。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ServerPlanning.htm">DNS 服务器的规划；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_Interoperability.htm#ad_considerations">Active Directory 的 DNS 考虑
	在您的网络上安装第一个 DNS 服务器。如果希望安装 Active Directory，“Active Directory 安装向导”会自动提示您安装 DNS 服务器。否则，可将 DNS 服务器服务安装为 Windows 组件。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_InstallServer.htm">安装 DNS 服务器
	选择最适合您的部署需要的清单，并根据它来完成您的 DNS 安装。	清单：配置 DNS 服务器；href="MS-ITS:DNSconcepts.chm::/sag_DNSchecklist_std.htm">清单：部署 DNS；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNSchecklist_ds.htm">清单：为 Active Directory 部署 DNS

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/Uabrand.gif">

清单：配置 DNS 服务器

	步骤	参考
	如果未安装 DNS 服务器，请首先按照 DNS 服务器安装清单操作，然后返回该清单配置新 DNS 服务器。	清单：安装 DNS 服务器
	小型办公室/家庭办公室。如果要建立一个家庭网络，它由连接到 Internet 的多台机器构成，那么请准备好以下事项：此服务器是该区域权威服务器的区域名称您的 ISP 的 DNS 服务器的 IP 地址	href="MS-ITS:DNSConcepts.chm::/sag_DNS_und_ZoneTransfers.htm">了解区域和区域传输；id=specLoc href="MS-ITS:DNSConcepts.chm::/sag_DNS_und_DynamicUpdates.htm">动态更新；id=specLoc href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_UsingConditionalForwarders.htm">使用转发器
	中型办公室/大型办公室。如果 DNS 服务器将为本地网络上的客户端提供请求服务，他们的请求可能从 Internet 得到解答，也可能得不到解答，那么请准备好以下事项：该区域权威服务器的区域名称可能：反向查找区域的名称用于转发的 DNS 服务器的 IP 地址	href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_ServerPlanning.htm">DNS 服务器的规划；id=specLoc href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_ZonePlanning.htm">DNS 的区域规划；href="MS-ITS:DNSConcepts.chm::/sag_DNS_und_ReverseLookup.htm">反向查找；id=specLoc href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_UsingConditionalForwarders.htm">使用转发器；id=specLoc href="MS-ITS:DNSConcepts.chm::/sag_DNS_und_ActiveDirIntegration.htm">Active Directory 集成
	配置 DNS 服务器之前，请学习 DNS 服务器最佳操作、服务器功能，以及配置主要和辅助服务器涉及的概念。	href="DNSConcepts.chm::/sag_DNS_imp_BestPractices.htm">服务器最佳操作；href="MS-ITS:DNSConcepts.chm::/sag_DNS_ovr_ServerFeatures.htm">服务器功能；id=specLoc href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_NewPrimaryServer.htm">配置新主服务器；id=specLoc href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_SecondaryServers.htm">使用辅助服务器
	配置 DNS 服务器。	配置新 DNS 服务器
	验证 DNS 服务器配置。	href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_UsingServerStatistics.htm">验证服务器配置

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/Uabrand.gif">

清单：部署 DNS

	步骤	参考
	复查不另外部署 Active Directory 时，在网络上部署域名系统 (DNS) 服务器特定的最佳操作和所有规划问题。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_PlanningNode.htm">部署 DNS；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_BestPractices.htm">最佳操作
	通过为组织指定域名标准来规划名称空间。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_NamespacePlanning.htm">DNS 的名称空间规划
	根据需要规划如何将 DNS 域名和网络地址空间划分为正向和反向查找区域。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ZonePlanning.htm">DNS 的区域规划、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_ReverseLookup.htm">反向查找
	规划 DNS 服务器，例如确定需要使用多少台服务器，确定服务器在网络上安装位置。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ServerPlanning.htm">DNS 服务器的规划
	（可选）使用 DNS 性能优化和监视工具测试并评估服务器性能。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_Monitoring.htm">监视和优化服务器
	如果合适，请复查迁移和互操作性问题。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_MigrationIssues.htm">迁移服务器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_Interoperability.htm">互操作性问题
	如果网络上的客户端要求能够解析外部 DNS 名称，则考虑使用网络转发器。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_UsingConditionalForwarders.htm">使用转发器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_EnableCondForwarders.htm">配置 DNS 服务器以使用转发器
	通过 Internet 域名登记者注册单位的域名。该名称用于形成在 Internet 上单位所使用的 DNS 名称。 Internet DNS Name: ____________________._____ src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意只有在您计划在 Internet 上对外使用父级或次级 DNS 域名的情况下，才需要为您所在组织向当前 Internet 域名注册机构注册这种域名。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_NamespacePlanning.htm">DNS 的名称空间规划；href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_Interoperability.htm">互操作性问题
	确定如何管理 DNS 客户端解析程序配置。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ManagingClients.htm">管理客户端
	开始为第一个 DNS 服务器添加和配置区域。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ConfigServer.htm">配置新 DNS 服务器；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AddForwardZone.htm">添加正向查找区域；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AddReverseZone.htm">添加反向查找区域
	如果其他的 DNS 服务器可用作初始区域的辅助服务器，则安装和配置这些服务器。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_InstallServer.htm">安装 DNS 服务器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_SecondaryServerForZone.htm">为现有区域添加辅助服务器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_SecondaryServers.htm">使用辅助服务器
	（仅对主要区域）如果采用以前的步骤，则向名称服务器 (NS) 记录添加现有区域的附加辅助服务器，以便使它们对于该区域具有权威性。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_SpecifySecondaries.htm">将区域的其他 DNS 服务器指定为权威服务器
	（可选）为您想从第一个 DNS 服务器及其区域委派的子域安装其他任何区域（和 DNS 服务器）。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ConfigServer.htm">配置新 DNS 服务器；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_NewPrimaryServer.htm">配置新主服务器
	如果采用以前的步骤，那么对上一步添加的任何子域，在父区域中添加委派。例如，如果添加 sub.example.microsoft.com 作为新的 DNS 域，那么必须在 example.microsoft.com 区域向它添加委派。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_CreateDelegation.htm">创建区域委派、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_DelegatingZones.htm">委派区域
	根据完成区域配置的需要，添加 DNS 资源记录，例如 A 记录、PTR 记录、CNAME 记录、以及 MX 记录。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ManagingRecords.htm">管理资源记录、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AddOtherRecord.htm">在区域中添加资源记录、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_add_RR-Reference.htm">资源记录参考
	根据需要启用或禁用区域的动态更新。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AllowDynamicUpdates.htm">允许动态更新；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_DynamicUpdates.htm">动态更新
	（可选）为选定区域启用 WINS 查找。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_EnableWinsResolution.htm">允许 DNS 使用 WINS 解析；href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_WinsLookupIntegration.htm">WINS 查找集成；href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_UsingWinsLookup.htm">使用 WINS 查找
	（可选）如果想把更新内容推到区域的辅助服务器，则在主服务器上配置 DNS 通知。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_CreateNotifyList.htm">创建和管理区域的通知列表；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_ZoneTransfers.htm">了解区域和区域传输
	使用 DNS 控制台的监视功能，例如简单或递归查询测试，以便验证 DNS 服务器是否正确运行。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_MonitorServersNode.htm">监视服务器
	如果必要，解答常见的与 DNS 相关的疑难问题。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_tro_topnode.htm">疑难解答

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/Uabrand.gif">

清单：为 Active Directory 部署 DNS

	步骤	参考
	复查有关规划部署与使用带“域名系统 (DNS)”的 href="HELP=glossary.hlp TOPIC=gls_activedirectory">Active Directory 的最佳操作。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_BestPractices.htm">最佳操作 (DNS)；id=specLoc href="MS-ITS:adconcepts.chm::/sag_ADbest_top.htm">最佳操作 (Active Directory)
	了解 Active Directory 集成对于 DNS 服务器的作用。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_ActiveDirIntegration.htm">Active Directory 集成
	在最终确定 Active Directory 名称空间规划之前，请考虑可影响 DNS 名称空间规划和使用的其他高级名称空间设计问题。在规划网络之前，可从 Microsoft 网站或 Microsoft 出版社的书籍中获得有关 DNS 名称空间设计的其他信息资源。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_NamespacePlanning.htm#dns_for_ad_planning">对 Active Directory 的 DNS 名称空间规划
	复查为支持 Active Directory 而在网络上部署 DNS 服务器的所有特殊的规划问题。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_PlanningNode.htm">部署 DNS
	通过为组织指定域名标准来规划名称空间。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_NamespacePlanning.htm">DNS 的名称空间规划
	如有必要，通过 Internet 域名登记者来注册单位的域名。然后，使用该名称构成您单位在 Internet 上使用的 DNS 名称的基础，而且还可能构成在内部网上使用的名称的基础。 Internet DNS Name: ____________________._____ src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意只有在您计划在 Internet 上对外使用父级或次级 DNS 域名的情况下，才需要为您所在组织向当前 Internet 域名注册机构注册这种域名。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_NamespacePlanning.htm#choosing_your_first_domain_name">选择您的第一个 DNS 域名；href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_NamespacePlanning.htm#choosing_names">选择名称；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_Interoperability.htm">互操作性问题
	根据需要规划如何将 DNS 域名和网络地址空间划分为正向和反向查找区域。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ZonePlanning.htm">DNS 的区域规划、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_ReverseLookup.htm">反向查找
	规划 DNS 服务器，例如确定需要使用多少台服务器，确定服务器在网络上安装位置。对于 Active Directory，请牢记，在默认情况下升级为域控制器的服务器计算机也作为 DNS 服务器操作。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ServerPlanning.htm">DNS 服务器的规划
	（可选）在最终确定服务器规划之前，测试并评估服务器性能。要执行 DNS 服务器评估，请使用相关的性能和事件监视工具。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_Monitoring.htm">监视和优化服务器
	如果合适，请复查其他的迁移和互操作性问题。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_MigrationIssues.htm">迁移服务器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_Interoperability.htm">互操作性问题
	如果网络上的客户端需要能够解析外部 DNS 名称，请考虑是否需要在网络上的 DNS 服务器中配置和使用转发器。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_UsingConditionalForwarders.htm">使用转发器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_EnableCondForwarders.htm">配置 DNS 服务器以使用转发器
	确定如何管理 DNS 客户端解析程序配置。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ManagingClients.htm">管理客户端
	如果必要，为需要在网络上添加和使用的任何其他子域添加其他区域。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AddForwardZone.htm">添加正向查找区域；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AddReverseZone.htm">添加反向查找区域
	（可选）修改区域配置以便能够动态更新，更改区域类型以便将区域存储区集成到 Active Directory 中。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AllowDynamicUpdates.htm">允许动态更新；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ChangeZoneType.htm">更改区域类型；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AllowSecureUpdates.htm">只允许进行安全的动态更新
	如果它们能够用于存放区域，那么请安装和配置域控制器（或任意地选择其他非集成的 DNS 服务器）和域。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ConfigServerForDS.htm">配置 DNS 服务器以便与 Active Directory 一起使用；href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_InstallServer.htm">安装 DNS 服务器；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ConfigServer.htm">配置新 DNS 服务器
	必要时，对上一步添加的任何子域，在父域中添加委派。例如，如果添加 sub.example.microsoft.com 作为新的 Active Directory 域，那么必须在 example.microsoft.com 区域向它添加委派。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_CreateDelegation.htm">创建区域委派、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_DelegatingZones.htm">委派区域
	（仅针对标准主要区域）向主要区域/服务器上的名称服务器 (NS) 记录添加主持您的区域所需要的新 DNS 服务器，以便使它们对该区域具有权威性。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_SpecifySecondaries.htm">将区域的其他 DNS 服务器指定为权威服务器
	根据完成区域配置的需要，添加 DNS 资源记录，例如 A 记录、PTR 记录、CNAME 记录、以及 MX 记录。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ManagingRecords.htm">管理资源记录、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AddOtherRecord.htm">在区域中添加资源记录、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_add_RR-Reference.htm">资源记录参考
	（可选）为选定区域启用 WINS 查找。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_EnableWinsResolution.htm">允许 DNS 使用 WINS 解析
	（可选）如果必要，根据 DNS 部署，将 DNS 服务器安装和配置为辅助服务器。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_InstallServer.htm">安装 DNS 服务器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_SecondaryServerForZone.htm">为现有区域添加辅助服务器、id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_SecondaryServers.htm">使用辅助服务器
	使用 DNS 控制台的监视功能，例如简单或递归查询测试，以便验证 DNS 服务器是否正确运行。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_MonitorServersNode.htm">监视服务器
	如果必要，解答与 DNS 相关的疑难问题。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_tro_topnode.htm">疑难解答

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/UAbrand.gif">

清单：在安装 Active Directory 之前验证 DNS

步骤

参考

验证安装 Active Directory 的服务器上的网络连接配置有用来查询域名的 DNS 服务器。

如果在“现有林”中的服务器上安装 Active Directory，服务器的网络连接必须配置有一个或多个 DNS 服务器。否则，应使网络连接配置有一个或多个 DNS 服务器的 IP 地址。

如果安装 Active Directory 来创建一个“新林”，而网络上不存在 DNS 服务器，“Active Directory 安装向导”会自动安装和配置本地的 DNS 服务器。DNS 服务器将安装在要运行该向导的服务器上，服务器的首选 DNS 服务器设置将配置为使用新的本地 DNS 服务器。如果使用“Active Directory 安装向导”安装本地 DNS 服务器，可能应停止使用该清单。

配置 TCP/IP 使用 dns；href="MS-ITS:adconcepts.chm::/Sag_ADCreateFirstDomain.htm">新建林

验证 DNS 资源记录。

如果在现有林中安装 Active Directory，应验证 DNS 中是否存在适当的href="HELP=glossary.hlp TOPIC=gls_srv_rr">服务 (SRV) 资源记录和相应的title=查看定义 href="HELP=glossary.hlp TOPIC=glos_glo_aegb">地址 (A) 资源记录。

角色	SRV 资源记录
现有域中的其他域控制器	_ldap._tcp.dc._mcdcs.ActiveDirectoryDomainDNSName
新的子域中的第一个域控制器	_ldap._tcp.dc._mcdcs.ParentActiveDirectoryDomainDNSName
新树中的第一个域控制器	_ldap._tcp.dc._mcdcs.ForestRootDomainDNSName

如果 DNS 中不存在所需要的 SRV 和 A 资源记录，可添加这些记录。

href="MS-ITS:DNSConcepts.chm::/sag_DNS_tro_VerifyDomainSrvLocRRs.htm">使用 nslookup 命令验证域控制器的 DNS 注册；href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_AddHost.htm">向区域中添加主机 (A) 资源记录；id=specLoc
href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_AddOtherRecord.htm">向区域中添加资源记录

验证动态更新和服务 (SRV) 资源记录。

验证域控制器定位程序 (Locator) DNS 资源记录的授权 DNS 区域允许动态更新，并且主持该区域的 DNS 服务器支持 DNS 服务 (SRV) 资源记录。要定位授权 DNS 区域，需要定位主持该区域的主 DNS 服务器。

如果授权 DNS 区域未配置为允许动态更新，应将该区域配置为允许href="HELP=glossary.hlp TOPIC=glos_glo_cgfd">动态更新。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

定位器 DNS 资源记录的授权 DNS 区域将拥有 Active Directory 域的 DNS 名称或父区域的名称。例如，如果 Active Directory 域的 DNS 名称是 example.microsoft.com，授权 DNS 区域可能是下列示例之一：
- example.microsoft.com
- microsoft.com
- com
如果已将 DNS 配置为不在 DNS 中动态注册这些资源记录，必须手动添加这些资源记录。应通过域控制器注册的资源记录列表存储在下列位置：

href="HELP=glossary.hlp TOPIC=gls_systemroot">systemroot\System32\Config\Netlogon.dns

href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_AllowDynamicUpdates.htm">允许动态更新

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

运行 Microsoft® Windows® Server 2003 Web Edition 操作系统的计算机不包括该功能。详细信息，请参阅 href="MS-ITS:C:\WINDOWS\Help\uadef.chm::/web_server_overview.htm">Windows Server 2003 Web Edition 概述。id=notwebserver>

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/UAbrand.gif">

清单：保护 DNS 基础结构的安全

	步骤	参考
	要防止公司以外的任何人获取内部网络信息，应对内部和 Internet 名称解析使用单独的 DNS 服务器。内部 DNS title=查看定义 href="HELP=glossary.hlp TOPIC=namespace">名称空间应在在网络title=查看定义 href="HELP=glossary.hlp TOPIC=gls_firewall">防火墙后面的 DNS 服务器上主持。外部的 Internet DNS 应由外围网络（也称为 DMZ、网络隔离或屏蔽子网）中的 DNS 服务器来管理。要为内部主机提供 Internet 名称解析，可让内部 DNS 服务器使用href="HELP=glossary.hlp TOPIC=gls_forwarder">转发器向外部 DNS 服务器发送外部查询。	href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_UsingConditionalForwarders.htm">使用转发器；id=MSUrl title=http://www.microsoft.com/ href="http://go.microsoft.com/fwlink/?LinkId=4639" target=_new>Microsoft Windows 资源工具包网站 (http://www.microsoft.com/) 上的“Windows Server 2003 DNS”
	要阻止公司外部的任何人获取有关您的内部 DNS 名称空间的信息，应将外部href="HELP=glossary.hlp TOPIC=gls_router">路由器和防火墙配置为只允许您的内部和外部 DNS 服务器间的 DNS 通信。对于暴露到 Internet 的网络中的 DNS 服务器，应将 DNS 区域传输限制为href="HELP=glossary.hlp TOPIC=gls_ns_rr">名称服务器 (NS) 资源记录在区域中标识的 DNS 服务器或您的网络中的特定 DNS 服务器。 src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意如果要使用 Microsoft Internet Security and Acceleration (ISA) Server，则可以使用块筛选器定义允许通过 ISA 服务器的通信。	href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_ZoneTransfers.htm">修改 DNS 区域传输设置；href="http://go.microsoft.com/fwlink/?LinkID=764" target=_new>Microsoft Internet Security and Acceleration (ISA) Server 网站 class=printOnly>(http://www.microsoft.com/)
	如果运行 DNS 服务器服务的服务器是href="HELP=glossary.hlp TOPIC=gls_multihomed_computer">多主计算机，应将 DNS 服务器服务限制为只侦听其 DNS 客户端和内部服务器使用的接口 IP 地址。例如，充当代理服务器的服务器可能有两个网络接口卡，一个用于 Intranet，一个用于 Internet。如果该服务器也运行 DNS 服务器服务，可将该服务配置为只侦听 Intranet 网络接口卡使用的 IP 地址上的 DNS 通信。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_RestrictInterfaces.htm">限制 DNS 服务器只侦听选定的地址
	如果运行 DNS 服务器服务的服务器是域控制器，应使用 href="HELP=glossary.hlp TOPIC=gls_activedirectory">Active Directory id=wPopup title=查看定义 href="HELP=glossary.hlp TOPIC=glos_glo_dcgb">访问控制列表 (ACL) 来保护 DNS 服务器服务的访问控制安全。	href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_ModifySecurityServer.htm">修改域控制器上的 DNS 服务器服务的安全性；指派 Active Directory 对象权限的最佳操作；href="MS-ITS:aclui.chm::/sag_SEconceptsImpACBP.htm">权限和用户权利的最佳操作；id=specLoc href="MS-ITS:adconcepts.chm::/sag_AdunderstandGroups.htm">了解组
	使用集成 Active Directory 的 DNS 区域。存储在 Active Directory 中的 DNS 区域可利用 Active Directory 安全功能，例如，href="HELP=glossary.hlp TOPIC=glos_glo_djeg">安全的动态更新和向 DNS 服务器、区域和资源记录参考 Active Directory 安全设置的能力。	href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_ChangeZoneType.htm">更改区域类型；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_ActiveDirIntegration.htm">Active Directory 集成；href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_AllowSecureUpdates.htm">只允许进行安全的动态更新；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ModifySecurityZone.htm">修改与目录集成的区域的安全性；id=specLoc href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ModifySecurityRecord.htm">修改资源记录的安全性
	如果 DNS 区域未存储在 Active Directory 中，修改对于 DNS 区域文件或存储区域文件的文件夹的title=查看定义 href="HELP=glossary.hlp TOPIC=permissions">权限可保护 DNS 区域文件的安全。区域文件或文件夹权限应配置为只允许完全控制 System 组。默认情况下，区域文件存储在 href="HELP=glossary.hlp TOPIC=gls_systemroot">systemroot\System32\Dns 文件夹中。	href="MS-ITS:aclui.chm::/acl_set_permissions.htm">要设置、查看、更改或删除文件和文件夹的特殊权限
	保护 DNS href="HELP=glossary.hlp TOPIC=gls_registry">注册表 href="HELP=glossary.hlp TOPIC=gls_registry_key">项。可在下列注册表位置中找到 DNS 注册表项： HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\DNS\	href="MS-ITS:regedit.chm::/regedit_permit_key_adduser.htm">向权限列表中添加用户或组
	在不直接响应 DNS 客户端且未配置有转发器的 DNS 服务器上禁用递归。如果 DNS 服务器响应来自 DNS 客户端的title=查看定义 href="HELP=glossary.hlp TOPIC=gls_recursive_query">递归查询或者它配置有转发器，该服务器将只需要递归。DNS 服务器使用href="HELP=glossary.hlp TOPIC=gls_iterative_query">迭代查询来彼此通信。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_DisableRecursion.htm">禁用 DNS 服务器上的递归
	保护所有 DNS 服务器的href="HELP=glossary.hlp TOPIC=gls_cache">高速缓存不受名称污染。	href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_SecureCachePollutedNames.htm">保护服务器缓存防止名称污染
	如果您拥有专用内部 DNS 名称空间，则可在内部 DNS 服务器上配置href="HELP=glossary.hlp TOPIC=gls_root_hints">根提示只指向主持内部title=查看定义 href="HELP=glossary.hlp TOPIC=glos_glo_ggci">根域的 DNS 服务器，而不指向主持 Internet 根域的 DNS 服务器。	href="MS-ITS:DNSConcepts.chm::/sag_DNS_pro_UpdateRootHints.htm">更新 DNS 服务器上的根提示；href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_UpdatingRootHints.htm">更新根提示

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/UAbrand.gif">

执行常见任务的新方法

下表列出了配置域名系统 (DNS) 的常见任务。执行这些任务的用户界面在这个版本的 Windows 中与在 Microsoft® Windows® NT 版本 4.0 中是不同的。

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

对于此组件，在 Windows 2000、Windows XP 和 Windows Server 2003 家族中，在用户界面上没有太大的差别。id=interface>

如果要	在 Windows NT 4.0 中使用	在该版 Windows 中使用
在本机上安装 DNS 服务器	“控制面板”中的“网络”	href="EXEC=,control.exe,appwiz.cpl,@0,2 CHM=UAShared.chm FILE=alt_url_windows_component.htm">class=shortcut src="ms-its:c:\windows\help\UAshared.chm::/shortcutCold.gif">class=space>Windows 组件向导。	打开 href="EXEC=,control.exe,appwiz.cpl,@0,2 CHM=UAShared.chm FILE=alt_url_windows_component.htm">class=shortcut src="ms-its:c:\windows\help\UAshared.chm::/shortcutCold.gif">class=space>Windows 组件向导。详细信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_InstallServer.htm">安装 DNS 服务器。
启动 DNS 管理器	“DNS 管理器”在“开始”菜单上的快捷方式在“管理工具”中列出		打开 DNS 控制台。详细信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_OpenConsole.htm">打开 DNS 控制台。
启动或停止 DNS 服务器	“控制面板”中的“服务”		使用 DNS 控制台启动或停止 DNS 服务器。详细信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_StartStopServer.htm">启动或停止 DNS 服务器。
向 DNS 管理器添加远程服务器。	“DNS 管理器”中的“服务器”菜单		在 DNS 控制台中添加远程服务器。详细信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_AddServerToDnsMgr.htm">在 DNS 控制台中添加服务器。

alt="Microsoft Windows 图形" src="MS-ITS:UADef.chm::/Uabrand.gif">

最佳操作

为添加到 DNS 服务器或在 DNS 服务器上管理的每个区域输入负责人的正确电子邮件地址。

由于各种原因，应用程序使用该字段来通知 DNS 管理员。例如，查询错误、查询中返回的错误数据以及安全问题是该字段可使用的几种方式。由于在电子邮件应用程序中使用的大多数 Internet 电子邮件地址包含 at 符号 (@)，因此在为该字段输入电子邮件地址时该符号必须用句点 (.) 替换。例如，不使用“administrator@microsoft.com”，而使用“administrator.microsoft.com”。

有关为区域配置负责人的详细信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_pro_ModifySoaRecord.htm">修改区域的起始授权机构 (SOA) 记录。
在向区域添加别名记录时应保守一些。

如果不需要在主机 (A) 资源记录中使用主机名的别名，则应避免使用 CNAME 资源记录 (RR)。同时，还要确保您所使用的任何别名都没有在其他的 RR 中使用。

DNS 允许将 CNAME 资源记录的所有者名称用作其他类型的资源记录（例如，NS、MX 和 TXT 资源记录）的所有者名称。

详细信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_imp_ManagingRecords.htm#cname_rr">别名 (CNAME) 资源记录。
设计 DNS 网络时，请使用标准的指导原则，并尽可能地遵循管理您的 DNS 结构所用的首选做法。

DNS 设计用来提供解析名称的容错等级。如有可能，您应至少有两个主控每个区域的名称服务器。
如果使用 Active Directory，应对 DNS 区域使用与目录集成的存储区，以增强安全性、容错能力并简化部署与管理。

通过与区域的集成，您可以简化网络的规划。例如，每个 Active Directory 域的域控制器在直接一对一映射中与 DNS 服务器对应。因为在两种拓扑结构中都使用相同的服务器计算机，这可以简化 DNS 及 Active Directory 复制问题的规划及疑难解答。

如果将与目录集成的存储区用于区域，可从在整个目录中复制您的 DNS 区域数据的不同的复制作用域进行选择。如果 DNS 结构必须支持 Windows 2000 DNS 服务器，将使用与目录集成的存储方法，将 DNS 区域数据复制到域中的所有域控制器。如果 DNS 结构只由运行 Windows Server 2003 的 DNS 服务器构成，也可以从复制作用域进行选择，这些作用域将您的 DNS 区域数据复制到 Active Directory 林中的所有 DNS 服务器、指定 Active Directory 域中的所有 DNS 服务器或自定义复制作用域中指定的所有域控制器。

有关与目录集成的 DNS 区域存储和复制选项的详细信息，请参阅 href="MS-ITS:DNSConcepts.chm::/sag_DNS_und_Active_Dir_Storage.htm">Active Directory 中的 DNS 区域复制。

主持与目录集成的区域的任何 DNS 服务器都是该区域的主 DNS 服务器。这可启用多主模型，其中，多个 DNS 服务器可以更新相同的区域数据。多主模型将消除与传统单主 DNS 拓扑有关的单一故障点，在这种拓扑中，只对给定区域的一个 DNS 服务器进行更新。

目录集成的一个重要好处是支持区域内名称的安全的动态更新。详细信息，请参阅href="MS-ITS:DNSconcepts.chm::/sag_DNS_und_DynamicUpdates.htm#secure_dynamic_updates">安全的动态更新。
请考虑在必要时使用辅助区域来协助卸载 DNS 查询通信。

辅助服务器可用作 DNS 客户端的备用服务器。它允许您使用辅助服务器作为对网络上 DNS 查询通信进行负载平衡处理的一种方式，并保留允许使用 DNS 的主服务器，仅供需要这些服务器执行 A 和 PTR RR 更新及动态注册的客户端使用。

有关使用辅助服务器或仅用于缓存服务器的详细信息，请参阅href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_SecondaryServers.htm">使用辅助服务器和id=specLoc
href="MS-ITS:DNSConcepts.chm::/sag_DNS_imp_CachingOnlyServers.htm">使用仅用于缓存服务器。
如果计划进行 DNS 设计（例如，用于支持使用 DNS 的大型 Internet 服务提供商 (ISP)），应查阅 Internet 工程任务组 (IETF) 出版的下列征求意见 (RFC) 文档。

RFC 标题
1912 公用 DNS 操作和配置错误
2182 辅助 DNS 服务器的选择和操作
2219 网络服务的 DNS 别名使用

可从 href="http://go.microsoft.com/fwlink/?LinkId=240" target=_new>RFC 编辑器网站获得这些 RFC。该网站目前是由发布所有 RFC 分类列表的信息科学院 (ISI) 的成员来维护的。RFC 按如下标准之一分类：获得批准的 Internet 标准、建议使用的 Internet 标准（以草稿形式流传以供审阅）、Internet 最佳实例或者“仅供参考 (FYI)”文档。

要查看与定义 DNS 标准有关的最新 RFC，请参阅 href="http://go.microsoft.com/fwlink/?LinkId=53" target=_new>Internet 工程任务组网站上的“DNS Extension (dsnext)”（DNS 扩展 (dsnext)），其中讨论动态更新、通知、区域传输、安全性和调整以满足 IPv6 寻址要求。也可参阅 title="链接到 Internet 工程任务组网站" href="http://go.microsoft.com/fwlink/?LinkId=123"
target=_new>Internet 工程任务组网站（提供 DNS 域管理员实施 DNS 的准则）上的 DNS 操作 (dnsop)。

RFC	标题
1912	公用 DNS 操作和配置错误
2182	辅助 DNS 服务器的选择和操作
2219	网络服务的 DNS 别名使用

src="ms-its:c:\windows\help\UAshared.chm::/note.gif"> 注意

href="MS-ITS:C:\WINDOWS\Help\uadef.chm::/copyright.htm">网站地址可能变动，您可能无法连接到在这里提到的网站。class=anything id=para5>

前一则: TCP/IP疑难解答

本页查看次数: