Windows DNS服务器环境下工作站无法解析Debian DNS服务器的work.it域名求助

当前网络环境信息 #

Windows Server 2012 AD集成DNS服务器 #

• IP地址：192.168.10.10
• 域：work.local

Debian 12 DNS服务器 #

• IP地址：192.168.10.11
• 域：work.it

工作站情况 #

• 共25台，已加入Active Directory，IP段：10.16.0.0/24

Fortigate防火墙网关 #

• IP地址：10.16.0.1
• 端口配置：覆盖两个网段——10.16.0.0/24、192.168.10.0/24

各设备DNS测试结果 #

Debian服务器本地测试 #

nslookup work.it
Server: 127.0.0.53
Address: 127.0.0.53#53

Non-authoritative answer:
Name: work.it
Address: 192.168.10.11

Debian本地可正常解析自身域work.it

Windows DNS服务器本地测试 #

>nslookup work.local
Server: server01.work.local
Address: 192.168.10.10

Name: work.local
Address: 192.168.10.10

Windows DNS可正常解析自身域work.local

工作站网络配置 #

• IP地址：10.16.0.25
• 网关：10.16.0.1
• DNS服务器：首选192.168.10.10，备用192.168.10.11

排查与解决建议 #

兄弟，我帮你梳理几个实用的排查方向，你可以一步步验证：

1. 检查Windows DNS的转发规则
   工作站首选DNS是Windows服务器，当它收到work.it的解析请求时，自身没有这个域的记录，就需要转发给Debian DNS。你可以登录Windows DNS管理器：

   • 右键点击服务器名称，选择「属性」-「转发器」
   • 新增work.it域的转发规则，指向192.168.10.11；也可以添加全局转发器，让所有未知域请求都转发到Debian DNS
   • 记得设置完成后重启Windows DNS服务生效

2. 确认Debian DNS的访问权限
   Debian的DNS服务（比如bind9或systemd-resolved）可能默认只允许本地访问，你需要检查是否允许10.16.0.0/24网段的查询：

   • 如果是bind9，打开/etc/bind/named.conf.options，确认allow-query配置包含10.16.0.0/24和192.168.10.0/24
   • 如果是systemd-resolved，检查/etc/systemd/resolved.conf里的访问控制项，确保工作站网段能正常发起查询

3. 验证防火墙的DNS流量放行规则
   不管是Debian本地防火墙，还是Fortigate网关，都要确认UDP 53端口（DNS默认端口）的流量被允许：

   • Debian本地：运行nft list ruleset或iptables -L，查看是否有允许10.16.0.0/24网段访问53端口的规则
   • Fortigate：检查两个网段之间的安全策略，确保10.16.0.0/24到192.168.10.0/24的UDP 53流量没有被拦截

4. 直接在工作站测试Debian DNS
   在工作站上手动指定用Debian DNS解析，判断是DNS转发问题还是网络连通性问题：

   nslookup work.it 192.168.10.11
   

   如果这个命令能成功解析，那问题肯定出在Windows DNS的转发配置上；如果还是失败，就重点排查网络连通或Debian的DNS访问限制

5. 清空工作站DNS缓存
   有时候工作站本地缓存了错误记录，先清空再试：

   ipconfig /flushdns
   

   之后重新尝试解析work.it

备注：内容来源于stack exchange，提问作者kovarov