说明

DNS 转发--你需要知道的一切

DNS 转发对互联网上有效的名称解析起着至关重要的作用。它确保在请求服务器本身无法提供答案的情况下，将 DNS 查询有针对性地传递给其他服务器，从而延长响应时间，减少不必要的网络负载。

中心点

有条件转发： 通过定义的规则转发特殊域
递归转发： 由第三 DNS 服务器进行查询处理
缓存与转发： 提高绩效的不同战略
DNS 记录： A 和 AAAA 记录控制分辨率
网络安全： 保护外部可见性对企业至关重要

什么是 DNS 转发？

随着 DNS 转发 DNS 服务器会将自身无法解决的查询转发给另一台指定的服务器。第二台服务器（通常称为转发器）会接手解析工作。这种程序通常用于内部网络，以集中 DNS 任务。同时，由于转发器避免了对 DNS 根服务器的不必要查询，因此提高了性能。结果是一个高效的过程，带来了可衡量的效益，尤其是对大型 IT 基础设施而言。

DNS 转发类型及其用途

主要有两种类型：条件转发和递归转发。条件转发 有条件转发 是基于可定义的规则，用于将特定域与特定服务器绑定。域名 递归变体 则是通用的，将所有无法解决的请求转发给中央服务器，由其处理所有名称解析。这确保了集中管理，减轻了小型服务器的负担。

DNS 转发与 DNS 缓存

一个常见的错误是混淆了 DNS 转发和 DNS 缓存。虽然转发意味着请求被专门 发送到另一个 DNS 服务器 缓存会暂时保存已经解决的结果。这就减少了重复请求的网络负荷。这两种方法可以结合使用，并在 DNS.

特别是在大型网络中，为了尽可能高效地分配流量，通常会同时使用这两种方式。DNS 转发器将请求转发给中央解析器，而缓存则在成功解析后将响应保留一段时间（TTL）。选择适当的配置取决于预期用途、网络规模和安全要求。

技术实施实践

实际例子：某公司为不同部门运行自己的 DNS 服务器。例如，使用条件转发功能，与部门域名 "marketing.intern "有关的查询可直接在负责的内部 DNS 服务器上得到答复。这就绕过了整个外部 DNS 树。这 目标分部 提高安全性并减少延迟。

在建立这种结构时，必须明确责任。管理员需要知道哪个 DNS 区域由哪个内部服务器处理，以及外部域是如何解析的。在设计中央转发器时还应尽可能增加冗余，以确保 DNS 名称解析在发生故障时仍能继续运行。因此，在许多公司环境中，至少要存储两个转发器，以便在服务器维护或出现故障时不会中断。

DNS 记录：解决的关键

每个域都使用特定的 DNS 条目，特别是 A 级和 AAAA 级记录.这些数据记录存储域的 IP 地址（IPv4 或 IPv6），并为客户端提供连接地址。在 DNS 转发期间，转发服务器使用这些条目检索正确的地址。例如，如果您想更改 IONOS 的 DNS 设置，您可以找到 IONOS DNS 设置指南这是很有用的步骤。

除 A 和 AAAA 记录外，其他资源条目，如 CNAME (别名条目）或 MX 条目 (邮件服务器）的作用。特别是在将内部域转发到外部服务器时，必须确保正确存储所有相关条目。处理更复杂 DNS 问题的人还会遇到 SPF、DKIM 和 DMARC 条目等方面的问题，这些条目可确保电子邮件通信的安全。如果缺少其中一个条目，即使转发设置正确，也会出现问题。

DNS 转发的优势

DNS 转发带来了可衡量的好处。它可以节省带宽、缩短响应时间并保护敏感的网络结构。它还能对 DNS 查询进行集中管理。公司可以从中受益，因为他们可以更好地保护内部流程。其主要优势在于通过同时进行安保.

如果由少数几个中央转发器来协调解析，而不是由许多分散的 DNS 服务器来协调，管理起来也会更容易。因此，可以集中控制新子域等变更的导入。由于转发器一般都支持明确记录的规则目录，因此不再需要在各个 DNS 区域进行冗长的搜索。故障排除也变得更容易：你可以具体检查请求是否被正确转发，以及故障可能发生在哪里。

DNS 运行模式比较

下表总结了简单 DNS 操作、转发和缓存之间的区别：

DNS 模式	功能性	优势	使用
标准操作	沿 DNS 层次结构直接查询	独立于中央服务器	小型网络
转发器	转发到定义的 DNS 服务器	管理简单	中型和大型网络
缓存	保存答案	快速响应重复	所有网络

DNS 转发对公司有什么作用？

企业网络专门使用 DNS 转发来划分内部通信。特别是在多域环境中，有条件的转发可以实现 目标控制 的 DNS 流量。管理员可保留对内部或外部处理请求的控制权。此外，还可以减少外部 DNS 服务的使用，是数据保护与性能相结合的理想选择。使用 STRATO 设置域名转发只需几步即可完成配置。

特别是在银行或公共机构等有严格合规规定的敏感领域，条件转发是不可或缺的。它们可确保内部资源不会意外地通过外部 DNS 服务解析。这样，数据流的控制权仍在内部。同时，由于通信渠道更容易追踪，不易被操纵，因此安全级别也得到了提高。

配置 DNS 转发

通常通过服务器平台或 DNS 服务器本身进行配置。递归重定向可设置为默认回退或定向重定向（如针对特定域）。设计重定向时必须防止出现循环或错误的目标服务器。现代服务器解决方案提供图形用户界面和日志选项，可用于分析。结果是 稳定的 DNS 系统 路径明确。

典型的步骤是在 Microsoft DNS 中存储转发器或自定义 named.conf 在 Linux 下的 BIND 中。在这里，你可以具体定义将某些区域的查询分配给哪个外部或内部服务器。一个常用的技巧是总是指定多个转发器条目，以便在出现故障时有一个替代 DNS 服务器可用。要测试配置，可以使用 nslookup 或挖掘可用于发送有针对性的查询。

常见错误及如何避免

典型的错误包括输入无法到达的转发目的地。规则中的域名不完整也会导致错误定向。如果定期检查 DNS 基础设施，就能避免长时间加载和解析器错误。此外，不应配置开放式 DNS 解析器--它们会为攻击提供网关。一套稳定的规则可确保 有针对性的 DNS 访问 并且不会通过网络分散。

还必须遵守正确的有效期（TTL）时间戳。TTL 值太短会导致不必要的频繁请求，而 TTL 值太长则会在 IP 地址快速变化时产生问题。此外，还应了解在某些区域是否需要递归转发。如果转发器输入错误，就会出现请求与响应不再匹配的无尽循环。因此，正确记录 DNS 拓扑至关重要。

DNS 转发的高级方面

现代 IT 架构非常复杂，通常包括混合云环境，其中部分服务在本地运行，部分服务在云中运行。在这种情况下，DNS 转发有助于将访问从公司内部网络导向云，反之亦然。分脑 DNS（即同一域名的内部区和外部区）也可以通过条件转发来实现。必须严格区分域的不同视图，以保护内部资源不受外部视图的影响。

此外，DNS 查询的保护由 DNSSEC (域名系统安全扩展）正变得越来越重要。DNSSEC 通过对 DNS 数据进行签名，确保 DNS 数据在途中未被篡改。在转发环境中，转发器必须能够正确处理经过 DNSSEC 验证的响应。这就要求端到端安全链中的每个 DNS 服务器都了解 DNSSEC。即使 DNSSEC 并非所有公司网络的强制要求，许多安全策略也正是依赖于这项技术。

监控和记录 DNS 转发

全面监控可以更快地识别瓶颈。可使用以下工具监控 DNS 服务器 普罗米修斯 或 Grafana 可以通过监控来测量延迟时间和响应时间。这样就能深入了解转发器的性能，并迅速找出薄弱环节，如 DNS 实例过载。日志选项（例如 Microsoft Windows DNS 或 BIND 中的日志选项）可显示向某些转发器发送请求的时间和频率。这些数据不仅可用于检测攻击，还可用于识别优化潜力，例如在放置新的本地 DNS 服务器时。

详细的日志记录对于取证分析也特别有价值。例如，如果内部攻击者试图访问恶意域，就可以从日志数据中清楚地追踪到这些企图。因此，DNS 转发不仅有助于提高性能，而且如果得到适当监控和记录，还有助于提高安全性。在大型 IT 环境中，这甚至成为有效事件管理的先决条件。

在大型基础设施中优化使用 DNS 转发

在超大型网络中，通常会有多级使用转发链。本地转发器首先将查询转发到区域 DNS 服务器，区域 DNS 服务器再绑定到数据中心的中央 DNS 服务器。如果最近的 DNS 服务器已经缓存了相关条目，这种层次结构就能减少延迟。不过，网络路径应始终考虑在内。分布式方法只有在本地部署的转发器确实能提供缓解时才有意义。

与防火墙和代理的交互也会产生影响。如果要通过加密通道（如 DNS-over-TLS 或 DNS-over-HTTPS）发送 DNS 查询，则应相应配置转发器。并非每家公司的代理都能无缝支持这些新协议。尽管如此，它们的重要性与日俱增，因为它们能保护 DNS 查询不被潜在窃听者窃取。因此，在受限制或严格监管的环境中，最好为加密 DNS 流量制定策略，并明确定义支持哪些转发器和协议。