内网严格禁止上网，业务系统只需解析厂商域名，DNS 条件转发器应该如何设计？
严格隔离内网可通过 DNS 条件转发器只解析指定厂商域名，同时限制出口 DNS、记录变更并验证失败回退。
先控制风险，再实施变更建议先在测试环境或单一对象上验证，保存配置、日志和可恢复备份。涉及生产切换、批量策略、数据库修复或存储重建时，应设置维护窗口和明确回退条件。
1. 结论与适用范围
条件转发器的目标不是让内网“能够上网”，而是把指定命名空间的查询发送到经过批准的解析路径。设计时必须同时考虑域名边界、上游 DNS、TCP/UDP 53、双 DNS 一致性、缓存和厂商 CDN 变化。
该问题涉及 DNS、网络、VPN、防火墙和受控访问。应从查询路径、端口、回程和日志分层验证。
2. 需要优先关注的风险信号
- 业务客户端只需访问更新、授权或接口域名，但普通互联网访问必须继续阻断。
- 直接配置全局 DNS 转发器会让所有未知域名查询离开内网，不符合安全边界。
3. 迁移或处理前的检查清单
- 向厂商确认必须解析的主域、子域、CNAME 链和是否使用 CDN，而不是只收集当前 IP。
- 确认上游解析器地址、访问控制、日志保留和 TCP/UDP 53 双向策略。
- 检查两台内网 DNS 的条件转发器、超时、递归和缓存策略。
- 验证内部同名区域、存根区域或 hosts 是否会截断正常解析。
只读检查与验证示例
Get-DnsServerConditionalForwarderZone
Resolve-DnsName vendor.example -Server 192.0.2.53
Get-DnsServerCache
Clear-DnsServerCache -Forcecorp.example、192.0.2.0/24 与 203.0.113.0/24 均为文档示例。只有在确认实际环境参数后，才能替换为真实值。
4. 推荐实施步骤
- 按最小必要域名建立条件转发器，优先使用可管理的主域边界。
- 防火墙仅允许指定 DNS 服务器访问批准的上游解析器，不允许客户端直接外联 53。
- 在两台 DNS 上同步配置，清理缓存后分别测试 A、AAAA、CNAME 和失败查询。
- 建立厂商域名变更记录和定期复核，不在防火墙长期维护大量 CDN IP。
远程还是现场处理？日志、配置和少量对象通常可先远程评估；涉及物理服务器、存储、机房供电、批量切换或恢复演练时，应安排受控现场窗口。浙江、上海、江苏可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
- 批准域名能稳定解析，普通外部域名仍按安全策略失败。
- 主 DNS 故障后客户端切换到备用 DNS 仍可解析。
- DNS 日志能看到查询路径，防火墙没有客户端绕过内网 DNS 的流量。
常见错误做法
- 把条件转发器配置为空或配置到不可达上游。
- 只放行 UDP 53，忽略大型响应和回退所需的 TCP 53。
- 把当前 CDN IP 当成永久白名单。
常见问题
条件转发器会让内网可以上网吗？
不会。它只决定 DNS 查询路径，实际访问仍由路由和防火墙策略控制。
是否需要持续跟踪 CDN IP？
通常不应按 IP 长期维护，应允许 DNS 动态返回并在访问层按业务目标控制。