Windows Server DNS策略支持基于客户端子网返回不同IP，实现地理/区域流量分发；需Server 2016+、启用DNS策略功能，通过Add-DnsServerClientSubnet、Add-DnsServerIPBlock和Add-DnsServerQueryResolutionPolicy配置子网、IP组与策略，并按匹配顺序生效。
在windows server环境中，dns策略可以按客户端子网返回不同的ip地址，实现基于地理位置或网络区域的流量分发。这不需要修改应用配置，也不依赖外部负载均衡器，适合多分支、混合云或同城双活场景。
前提条件与环境准备
需使用Windows Server 2016或更高版本（推荐2019/2022），且DNS服务器角色已安装并启用DNS策略功能。确保DNS服务运行在域控制器或独立DNS服务器上，并已配置好正向查找区域和待调度的A记录（如app.corp.local）。
- 启用DNS策略支持：PowerShell中执行 Enable-DnsServerPolicy -Name "EnablePolicy"
- 确认客户端子网信息可被识别：DNS服务器需能获取客户端真实源IP（避免经NAT或代理后IP失真）
- 提前规划子网列表，例如：10.10.1.0/24（北京）、10.20.1.0/24（上海）、192.168.5.0/24（测试网段）
创建DNS子网与策略对象
子网定义是策略的基础，用于标识请求来源；策略则定义“来自某子网的查询，应返回哪些IP”。两者需配合使用。
- 新建DNS子网：Add-DnsServerClientSubnet -Name "BJ-Subnet" -IPv4Subnet "10.10.1.0/24"
- 新建IP地址组（对应不同后端）：Add-DnsServerIPBlock -Name "App-BJ-Servers" -IPv4Address @("10.10.1.10", "10.10.1.11")
- 创建策略，绑定子网与IP组：Add-DnsServerQueryResolutionPolicy -Name "Route-to-BJ" -Action ALLOW -ClientSubnet "BJ-Subnet" -IPBlock "App-BJ-Servers" -ZoneName "corp.local" -FQDN "app.corp.local"
同理可为上海、测试网段分别创建对应子网、IP组和策略。策略按顺序匹配，建议将精确子网（如/32或/24）放在前面，泛化规则（如0.0.0.0/0）置底作为兜底。
验证与排错要点
策略生效后，客户端解析结果取决于其发起查询时的源IP是否匹配预设子网，而非其本地网络配置。
- 用Resolve-DnsName app.corp.local -Server DNS-SERVER-IP从不同子网主机测试，观察返回A记录是否符合预期
- 检查策略是否启用：Get-DnsServerQueryResolutionPolicy | Where-Object {$_.State -eq "Enabled"}
- DNS日志（需提前开启）可查看策略匹配详情：事件ID 259 表示策略命中，260 表示未匹配到策略而走默认响应
- 注意：递归查询由客户端DNS设置决定；若客户端指向的是非策略DNS服务器（如8.8.8.8），策略不生效
进阶用法与注意事项
单一策略支持多子网组合（AND/OR逻辑）、时间窗口控制（-TimeOfDay）、权重轮询（-ProcessingOrder），还可与DNSSEC、响应速率限制（RRL）共存。
- 跨子网故障转移：配置两个策略，主策略匹配本地子网，备用策略用-ClientSubnet "Any" + -ProcessingOrder 2，仅当主策略无匹配时触发
- 避免策略冲突：同一FQDN下多个策略的ClientSubnet不能重叠，否则系统拒绝创建
- 策略不改变TTL，缓存行为仍由记录本身的TTL和客户端/中间DNS决定，生产环境建议设较低TTL（如60秒）便于快速切流
