Windows内网DNS服务器软件

大多数网管第一次接触DNS，服务都是器软从Windows Server的“DNS管理器”开始的。那个蓝色图标，服务点开就是器软一棵树，正向查找区、服务反向查找区，器软逻辑清清楚楚。服务可你真的器软用它扛过生产环境吗？我见过一家两百人的公司，DNS服务器跑在Server 2008上，服务五年没重启过，器软直到某天补丁更新后，服务所有客户端突然解析不了内部ERP地址——原因不是器软服务挂了，而是服务缓存区被垃圾记录塞满，内存碎片化严重。器软

Windows自带DNS的服务优势是省事。域环境里，它和AD域控天然集成，动态更新记录、安全分区、老化清理，这些功能零配置就能跑。尤其适合中小型企业——你不需要懂BIND的配置文件语法，也不用折腾PowerDNS的数据库表结构。右键新建区域，填个域名，完事。但代价也很明显：它跑在Windows上，补丁要打，系统要重启，而且性能天花板低。我做过粗略压测，单台普通配置的Server 2016，每秒最多处理两万次查询，再往上就开始丢包。对大多数内网来说够用，可一旦有视频会议系统或者大量物联网设备同时上线，CPU占用率直接飙到90%，延迟从1毫秒跳到200毫秒。

另一个坑是转发器配置。默认情况下，Windows DNS会向根提示服务器递归查询外部域名。内网环境里，如果你没配好条件转发，客户端访问外网就会走一遍“根服务器→com→目标域名”的完整链路，延迟增加不说，还可能被防火墙拦截。我见过最离谱的案例：某公司所有客户端能上QQ，但打不开网页，排查半天，发现DNS服务器上的转发器指向了一个已经停机的旧网关IP。改回来，秒通。这种问题，第三方软件比如Unbound就处理得聪明些——它默认只做递归，不做权威，逻辑更纯粹。

但Windows DNS有个隐藏技能，很多人不知道：它支持“辅助区域”和“存根区域”。辅助区域能从主服务器拉取完整副本，存根区域只保留NS记录和关键A记录。我帮一家连锁药店做过方案，总部一台主DNS，各分店各放一台Windows Server跑辅助区域。分店客户端解析内部系统域名时，直接查本地，延迟几乎为零。就算总部专线断了，分店依然能解析所有内部主机名——因为辅助区域是只读副本，不依赖主服务器实时同步。这个特性，在纯内网环境里比高可用集群还实用。

当然，Windows DNS也不是没有槽点。它的日志系统写得很随意，默认只记录事件，不记录查询日志。你想排查“为什么某台电脑解析不了某个域名”，只能开着调试日志看半天，满屏的十六进制编码，看得人头疼。相比之下，BIND的querylog一行一条，清晰明了。还有，Windows DNS的缓存清理机制有点“懒”——TTL到了不一定会马上删除记录，而是等后台清理线程跑完才动手。如果你频繁改内部服务的IP地址，客户端可能会因为缓存残留而持续访问旧地址，最长能持续15分钟。解决办法是手动执行dnscmd /clearcache，或者干脆降低记录的TTL值。

最后说个现实问题：如果你公司有Linux服务器，或者计划上Kubernetes，Windows DNS的维护成本会明显上升。CoreDNS或者coredns配合etcd，能实现服务自动发现，而Windows DNS得靠脚本调API去更新记录。我试过用PowerShell写定时任务同步K8s服务IP到DNS区域，能跑，但代码丑得没法看。所以我的判断是：纯Windows环境，没毛病，用自带DNS最稳；混合环境，或者你对性能有极致要求，还是考虑用Linux上跑PowerDNS或者BIND9，把Windows DNS降级为辅助区域或者干脆退役。

工具这东西，没有绝对好坏，只有合不合适。Windows DNS就像公司里那个老练的行政——大事小事都能干，但你要是让它去管跨国供应链，它真会累趴下。