企業部署兩台 DNS 伺服器後，條件式轉寄站、快取與根提示是否必須一致？

雙 DNS 的區域資料可透過 AD 複寫，但條件式轉寄站、轉寄站、根提示、快取和防火牆路徑仍需分別核對。

1. 結論與適用範圍

用戶端設定兩台 DNS 並不代表第二台天然具備相同能力。AD 集成區域通常可以複寫，但伺服器級轉寄站、調試日誌、遞歸策略、防火牆出口和快取狀態可能不同，故障時才會暴露。

該問題涉及 Active Directory、DNS、群組原則、身份驗證和網網域控制站制站健康。應在變更前完成複寫、備份和影響範圍確認。

2. 需要優先關注的風險信號

• 部分電腦正常、部分電腦失敗，結果取決於當前使用哪台 DNS。
• 主 DNS 停止後，域登入或供應商網網網域名稱稱稱解析立即異常。

3. 遷移或處理前的檢查清單

1. 比較區域類型、複寫範圍、序列號、動態更新和老化清理。
2. 比較全局轉寄站、條件式轉寄站、根提示、遞歸和超時。
3. 確認兩台 DNS 到上游、網網域控制站制站和用戶端網段的防火牆路徑。
4. 檢查 DHCP 選項、靜態用戶端和 VPN 是否都下發兩台正確地址。

Get-DnsServerZone
Get-DnsServerForwarder
Get-DnsServerConditionalForwarderZone
Get-DnsServerRootHint

4. 推薦實施步驟

1. 使用 AD 集成區域保存條件式轉寄站時，選擇正確複寫範圍。
2. 對不能複寫的伺服器級設定建立腳本化基線並定期比較。
3. 兩台分別清快取、重新啟動服務和執行獨立解析測試。
4. 監察查詢失敗率、遞歸超時、服務狀態和磁盤日誌容量。

5. 驗證、復原與常見誤區

• 用戶端隨機使用任一 DNS 都能完成域內和批准外部解析。
• 主 DNS 維護期間無需改用戶端設定即可繼續工作。
• 兩台的關鍵設定差異有明確記錄和批准理由。

常見錯誤做法

• 只在主 DNS 上添加條件式轉寄站。
• 認為快取必須實時一致；快取本身不複寫，但設定和解析結果應一致。
• DNS 地址順序與實際可用性不匹配。

常見問題

兩台 DNS 的快取會自動同步嗎？

不會，快取是各自維護的；應保證上游路徑和設定一致。

根提示必須完全相同嗎？

使用相同解析策略時應保持基線一致；若統一使用轉寄站，也要明確根提示是否允許復原。