内网DNS设置这事儿，内网说简单也简单，内网说坑也坑。内网我见过太多人栽在同一处：路由器里填了8.8.8.8，内网结果内网服务器域名解析到公网IP，内网整个办公系统直接瘫痪。内网

核心原则就一条——内网域名必须由内网DNS服务器说了算，内网公网DNS只负责处理你不认识的内网域名。拿我们公司举例，内网文件服务器叫files.internal，内网CRM叫crm.internal。内网这些名字如果交给电信的内网DNS去查，它只会回你一个“查无此域”。内网所以你得让内网所有设备先问内网DNS，内网内网DNS答不上来，内网再转发给上游公网DNS。

具体操作分两步。第一步，找一台稳定的服务器装DNS服务。Windows Server就自带DNS角色，Linux上装个BIND或者dnsmasq都行。我偏爱dnsmasq，配置简单，几行文本就能搞定。设个A记录，把files.internal指向192.168.1.50，完事。Windows的DNS管理器界面友好，但资源占用高，小公司没必要。

第二步，把每台电脑的DNS指向这台服务器。这里有个细节，别一台台手动改。DHCP服务器上把DNS选项改成内网IP，客户端自动续租后就全生效了。我见过有人手动改了五十台电脑，结果打印机还是上不了网——那台打印机的网络设置里DNS是固定的，压根不走DHCP。所以网络里的固定IP设备，比如打印机、IP电话、监控摄像头，都得单独检查。

还有个容易忽略的点：DNS服务器自己上网。你得把内网DNS服务器的上游转发设置好，不然它自己解析不了外部域名。Windows里叫“转发器”，dnsmasq里写server=223.5.5.5，指向阿里或114这类公共DNS。注意别把上游设成8.8.8.8，国内网络环境，Google的DNS经常被干扰，延迟也高。

设置完成后，测试方法很粗暴。在任意一台内网电脑上打开命令行，敲nslookup files.internal。如果返回192.168.1.50，说明内网解析正常。再敲nslookup baidu.com，能返回公网IP，说明转发正常。两条都过了，基本就稳了。要是第一条失败，查一下DNS服务是不是没启动，或者防火墙挡了53端口。第二条失败，检查上游设置，顺带ping一下223.5.5.5通不通。

最后说个真实案例。上个月朋友公司新装了一套OA系统，域名设成了oa.internal。他们IT把路由器DNS改成了114.114.114.114，结果所有人访问OA都跳到公网一个陌生IP页面。我过去一看，路由器里DNS没改，但每台电脑手动设置了114的DNS。折腾了半小时，最后把DHCP的DNS选项改回内网服务器，再把那几台手动设置的电脑改回自动获取，瞬间全好。这事的教训就是：内网DNS的坑，九成出在“该走内网的请求被扔去了公网”。