背景：
>我们有一个名为example.com的分割域,它存在于所有域控制器上.
> DC配置为对其不具有权威性的所有域使用转发器.
>有一个子域(sub.example.com)使用NS记录委托给DMZ中的公共IP地址.我需要消除这些IP地址使用DMZ之外的内部IP地址.
>可以从转发器访问新的IP地址,但不能访问域控制器.
为了直观地表示：
example.com. (DCs are authoritative) sub.example.com. (subdomain not managed by the DCs)
我想拥有sub.example.com. NS记录转换为条件转发器,将流量发送到标准转发器,但我们的域管理员告诉我,Windows DNS不允许转发查找区域内的转发器.
这是一个不受支持的配置是真的吗？其他DNS产品对于权威区域下的转发器没有问题,所以我想确保我在使用其他策略之前使用正确的信息,例如绕过转发器的每个DC的防火墙漏洞. (哎呀)
我已经审查了Forward requests for subdomain to another DNS server in Windows 2k3以及推荐NS代表团的接受答案,该代表团没有回答这个问题.
解决方法
首先,我可以确认,如果您尝试仅添加此类转发区域(例如,当example.com作为常规区域存在时,则为sub.example.com转发区域),您将遇到此错误对话框：
--------------------------- DNS --------------------------- A problem occurred while trying to add the conditional forwarder. A zone configuration problem occurred. --------------------------- OK ---------------------------
但是,正如Using Forwarders文档中所述(强调增加)：
A DNS server cannot forward queries for the domain names in the zones
it hosts. For example,the authoritative DNS server for the zone
microsoft.com cannot forward queries according to the domain name
microsoft.com. The DNS server authoritative for microsoft.com can
forward queries for DNS names that end with example.microsoft.com,if
example.microsoft.com is delegated to another DNS server.
即,如果您先将sub.example.com委托给其他地方(限制example.com区域的范围),那么它允许您为sub.example.com添加转发区域.
无论走下这条道路实际上是否适合您,可能都取决于您的场景的细节.
对于它的价值,我注意到,MSDNS由于某种原因似乎忽略了转发区域的RD(所需的递归)位(即,即使没有设置RD也转发),所以看来上面提到的委托不是实际上在此设置中可见.
