存根区域用于跨森林轻量级dns解析，动态同步对方林ns/soa记录而非主机记录，需对方dns启用区域传送且本林能访问其权威服务器，创建后须验证加载状态、主服务器列表及glue记录有效性。
在 windows server dns 中配置存根区域（stub zone），是实现跨森林（multi-forest）轻量级名称解析的有效方式。它比条件转发器更智能——不只转发查询，而是动态获取并缓存对方林的权威 dns 服务器列表（ns 记录），自动适应对方 dns 基础设施变更，适合长期稳定互联的多林环境。
明确存根区域适用场景
存根区域适用于：对方林已部署 AD 集成 DNS、其 DNS 区域启用了安全动态更新、且你希望本林 DNS 自动发现并持续同步其 NS 和 SOA 记录。它不替代条件转发器，也不用于解析具体主机名（如 dc01.remote-forest.com），而是为后续查询提供“找谁问”的权威路径。
- 仅需同步目标林根域（如 remote-forest.com）或其 DNS 命名空间的主区域，不包含 A/CNAME 等记录
- 必须由本林 DNS 服务器能直接访问对方林至少一台权威 DNS 服务器（通常是 DC）的 UDP/TCP 53 端口
- 对方林 DNS 区域需允许区域传送（至少对你的 DNS 服务器 IP 开放），否则创建失败
创建存根区域的操作步骤
使用 DNS 管理器（dnsmgmt.msc）图形界面操作最稳妥：
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
- 打开 DNS 管理器 → 右键“存根区域” → “新建存根区域”
- 在“DNS 域名”中输入对方林的完整域名（如 remote-forest.com），不加末尾点
- 选择“此存根区域存储在 Active Directory 中”，并勾选“将此存根区域复制到以下所有 DNS 服务器”（确保选“林中所有 DNS 服务器”或“域中所有 DNS 服务器”，取决于你的 AD 复制范围）
- 在“主服务器”列表中，手动输入对方林至少一台权威 DNS 服务器的 IPv4 地址（如 10.20.1.5），点击“添加”；建议填 2–3 个以提高容错性
- 点击“确定”，系统会立即向首个主服务器发起查询，尝试获取 NS、SOA 和 glue A 记录；失败时弹出错误提示，需先排查网络连通性与区域传送权限
验证与关键检查项
创建成功后，需确认三点：
- 在 DNS 管理器中展开“存根区域”，能看到新区域图标，并双击查看其属性 → “常规”页签中状态为“已加载”，且“名称服务器”列表已 populated（含 remote-forest.com 的真实 NS 记录）
- 运行 PowerShell：Get-DnsServerStubZone -Name "remote-forest.com"，确认 MasterServers 字段包含你填写的 IP，且 IsLoaded 为 True
- 在本林客户端执行 nslookup -type=ns remote-forest.com，返回结果应来自你本林的 DNS 服务器，且列出的 NS 主机名能正向解析出 IP（即 glue 记录有效）
与条件转发器的配合使用
存根区域本身不处理递归查询，它只是“知道该问谁”。实际解析仍需配合条件转发器或根提示逻辑：
- 若已配置条件转发器指向 remote-forest.com，DNS 会优先走转发路径，存根区域此时仅作冗余参考
- 若未配条件转发器，当客户端查询 dc01.remote-forest.com 时，本林 DNS 会先查存根区域拿到 NS 列表，再向其中一台 NS 发起迭代查询——这要求对方林 DNS 允许被外部查询，且客户端 DNS 设置正确
- 生产环境推荐“存根区域 + 条件转发器”组合：存根保障 NS 列表时效性，转发器确保查询必走可控路径，避免因对方 NS 不响应导致超时
