如何在Cisco IOS中配置正向及反向DNS记录？

阿华AIGC实验室

2026-5-27

搞定Cisco IOS下保留BIND DNS实现PC域名ping通的方案

嘿，我来帮你一步步解决这个问题！你之前的核心问题是只配置了路由器本地的host表，这张表仅对路由器自身生效，而局域网里的PC的DNS查询并没有被正确引导到你的BIND服务器，所以才出现“路由器能ping通域名，但PC不行”的情况。下面是具体的配置步骤和验证方法：

一、先把Cisco路由器的DNS转发/代理配置好

Cisco路由器需要扮演两个角色之一：要么让PC直接指向BIND服务器，要么当PC的DNS代理（把PC的请求转发给BIND）。后者更方便，尤其是PC数量多的时候：

1. 开启DNS解析并指定BIND为转发目标

进入全局配置模式，执行以下命令：

ip domain-lookup
ip name-server <你的BIND服务器IP>  # 比如你的BIND是192.9.200.10，就填这个

ip domain-lookup：确保路由器本身能做DNS解析（默认可能开着，但确认下没坏处）
ip name-server：告诉路由器，遇到自己解析不了的DNS请求，就转发给你的BIND服务器

2. 开启DNS代理（推荐，让PC把路由器当DNS服务器）

如果想让PC的DNS服务器直接填路由器的网关IP，就开启DNS代理：

ip dns server

这个命令会让路由器监听UDP 53端口，接收PC的DNS请求，转发给BIND，再把结果返回给PC，相当于一个中间转发器。

二、确保PC的DNS配置没毛病

用DNS代理的话：PC的首选DNS服务器设为Cisco路由器的LAN口IP（也就是PC的默认网关）
不用代理的话：直接把PC的首选DNS设为BIND服务器的IP

三、检查BIND服务器的配置是否正确

你的BIND得允许局域网的PC来查询，同时区域记录要没问题：

1. 正向区域`companyname.be`检查

确保区域文件里有完整的主机记录，比如：

@       IN      SOA     ns.companyname.be. admin.companyname.be. (
                        2024052001      ; 序列号，每次修改要递增
                        3600            ; 刷新时间
                        600             ; 重试时间
                        604800          ; 过期时间
                        86400 )         ; 最小TTL
        IN      NS      ns.companyname.be.
ns      IN      A       192.9.200.10    ; BIND服务器自己的IP
pc01    IN      A       192.9.200.20    ; 示例PC的记录，按需添加其他设备

2. 反向区域`192.9.200.in-addr.arpa`检查

确保PTR记录正确（IP转域名），比如：

@       IN      SOA     ns.companyname.be. admin.companyname.be. (
                        2024052001      ; 序列号要和正向区同步递增
                        3600            ; 刷新时间
                        600             ; 重试时间
                        604800          ; 过期时间
                        86400 )         ; 最小TTL
        IN      NS      ns.companyname.be.
10      IN      PTR     ns.companyname.be.
20      IN      PTR     pc01.companyname.be.

3. 确保BIND允许局域网查询

打开named.conf，在options块里确认有这行：

options {
    // 其他配置...
    allow-query { 127.0.0.1; 192.9.200.0/24; };  # 允许本地和局域网的PC查询
    // 其他配置...
};

改完后重启BIND服务生效。

四、测试和排错的几个关键步骤

先在路由器上验证：
敲这个命令，看路由器能不能正常解析：
```
ping pc01.companyname.be
```
如果能通，说明路由器和BIND的连接没问题，接下来测PC。
在PC上测DNS解析：
打开命令提示符，执行：
```
nslookup pc01.companyname.be
```
- 如果返回正确的IP，说明DNS解析正常，再ping试试；
- 如果解析失败，先检查PC的DNS设置，再看路由器的ip name-server和ip dns server配置，最后确认BIND的allow-query规则是不是没加局域网段。
抓包排查（可选）：
要是还是有问题，可以在路由器的LAN口抓包，看看有没有收到PC的DNS请求，有没有转发给BIND，有没有收到BIND的返回结果，这样能快速定位是哪一步出问题。