dns区域委托是将子域名解析权移交至另一dns服务器，通过父域添加ns及a记录、子域建立同名主区域并配置soa/ns记录实现；需确保命名合规、无冲突，并验证解析路径与安全加固。

dns 区域权限切换与委托管理，核心在于把某段子域名的解析控制权从主dns服务器“移交”出去，交由另一台dns服务器独立管理。这不是简单的记录复制，而是通过ns记录建立权威链路，让查询自然流向被委派的服务器。

明确委托目标与命名规则

委托必须基于已有父区域（如 example.com），且委派的子域必须是其合法子集（如 dev.example.com 或 ns1.example.com）。不能直接委派无关域名，也不能跳级（比如从 example.com 直接委派 cloud.app.example.com 而不先有 app.example.com 区域）。

• 子域名名称需提前规划，避免与现有主机名冲突（例如不要用 www、mail 等常用名作委派名）
• 确保该子域名尚未在父区域中配置为A或CNAME记录，否则会引发解析冲突
• 若用于内部管理，建议采用语义清晰的命名，如 hr.internal、iot.lab 等

在父DNS服务器上创建委派记录

这一步是在原区域中添加两条关键记录：一条NS记录指向新DNS服务器的主机名，一条A（或AAAA）记录将该主机名解析为IP地址。操作路径为：

IntoDNS.ai

免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。

下载

• 打开DNS管理器 → 展开父区域 → 右键该区域 → 选择“新建委派”
• 向导中输入子域名（如 dev），系统自动生成完整FQDN（dev.example.com）
• 点击“添加”填入托管子域的DNS服务器名称（如 ns1.dev.example.com）及其IP地址
• 确认后，父区域下会出现灰色文件夹图标，表示该子域已脱离本机管理

在子DNS服务器上建立对应主区域

被委派的DNS服务器必须主动创建同名的正向查找区域（如 dev.example.com），并至少包含SOA和NS记录。否则外部查询无法获得权威响应。

• 在目标DNS服务器上新建标准主要区域或AD集成区域，名称须与委派名完全一致
• 手动添加NS记录，值设为自身主机名（如 ns1.dev.example.com）
• 为该NS主机名补充A记录，确保其可被父域解析（即与上一步填写的IP一致）
• 后续所有该子域下的主机记录（www、api等）、MX、CNAME等均由该服务器维护

验证与安全加固要点

委派生效后，需验证解析路径是否正确，并限制不必要的数据暴露：

• 用 nslookup -type=ns dev.example.com 检查是否返回预期的NS服务器列表
• 再用 nslookup www.dev.example.com ns1.dev.example.com 直接向子域DNS发起查询，确认能返回A记录
• 进入父区域属性 → “区域传输”选项卡 → 勾选“只允许传输到下列服务器”，仅保留子域DNS的IP
• 禁用递归查询或设置条件转发，防止子域DNS被滥用为开放解析器