windows server dns服务器默认开启递归，须禁用非必要递归、配置防火墙acl限制53端口访问、启用调试日志审计，三者协同防护，避免沦为开放递归服务器引发dns放大攻击或业务中断。
windows server dns 服务器默认开启递归查询，若未合理限制，极易被利用为开放递归服务器，引发 dns 放大攻击、资源耗尽甚至业务中断。真正有效的防护不是只关一个开关，而是递归控制、访问限制、日志审计三者协同。
关闭非必要递归并验证效果
对外网或不可信客户端，递归必须禁用；仅对内网可信子网（如 192.168.10.0/24）保留递归能力。
- 打开 DNS 管理器 → 右键服务器名 → “属性” → “高级”选项卡 → 勾选“禁用递归（也禁用循环查找）”
- 切换到“根提示”选项卡 → 清空全部 IP（防止禁用后仍尝试向外解析）
- 执行 net stop dns && net start dns 重启服务
- 验证：在服务器本地运行 nslookup -type=soa example.com 127.0.0.1，应返回 “Query refused” 或超时；若成功返回 SOA 记录，说明递归未真正关闭
用防火墙实现等效 ACL 控制
Windows DNS 本身不支持 BIND 风格的 ACL 语法，但可通过主机防火墙精准控制 53 端口入站来源。
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
- 仅放行内部管理网段和业务子网（例如 10.20.30.0/24、192.168.1.0/24），拒绝所有其他来源的 UDP/TCP 53 请求
- 避免使用“转发器替代递归关闭”：转发器不校验请求源，外部请求仍可借道发出；且转发器失效时可能回退至根提示，意外恢复递归行为
- 如需为不同子网提供差异化解析（如办公网 vs 生产网），应启用 DNS 策略中的“递归范围”，而非全局开启递归
启用调试日志并识别异常流量
配置只是起点，持续监控才能发现绕过或误配问题。
- 在 DNS 管理器 → 服务器属性 → “调试日志”选项卡中启用日志，勾选“查询”和“拒绝”级别，指定独立存储路径
- 定期检查日志中高频出现的外部 IP，尤其关注大量 A/AAAA 查询 + 非常规域名（如随机子域、长字符串域名）
- 用 PowerShell 快速提取 Top 10 可疑客户端：
Get-WinEvent -LogName "DNS Server" | Where-Object {$_.Id -eq 257} | Group-Object -Property @{e={$_.Properties[1].Value}} | Sort-Object Count -Descending | Select-Object -First 10
排查业务对接异常是否由递归受限引起
当外部 API 调用失败、OAuth 回调超时、证书校验报错时，优先怀疑 DNS 递归策略问题。
- 在业务服务器上执行：nslookup api.thirdparty.com 127.0.0.1，再对比 nslookup api.thirdparty.com 8.8.8.8 —— 若前者失败后者成功，基本锁定本地 DNS 递归异常
- 检查注册表：reg query "HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters" /v NoRecursion，值为 0x1 表示强制禁用，需删除该键值
- 检查组策略：gpedit.msc → 计算机配置 → 管理模板 → 网络 → DNS 服务器 → “禁用递归”，确认未被域策略覆盖
- 修改后务必清除缓存：dnscmd /clearcache，并重启 DNS 服务，再从业务端实测 curl 或 telnet 连通性
