windows通过nrpt实现对特定域名的策略化解析，而非劫持；管理员可配置dev.local等域名强制解析至内网dns服务器，需同步设置该dns的a记录并验证策略生效。
windows 本身不提供“劫持解析”功能，而是通过 名称解析策略表（nrpt） 实现对特定域名的定向、安全、受控的解析行为。所谓“精准劫持”，实际是管理员主动将某域名强制解析到指定 ip（如内网测试服务器、本地开发环境或内部服务），属于合法可控的解析重定向，常用于企业内网、开发调试或安全隔离场景。
明确目标：不是劫持，而是策略化解析
Windows 的 NRPT 不修改 DNS 响应内容，也不伪造数据包，而是让系统在发起 DNS 查询前，根据预设规则决定：
• 是否走指定 DNS 服务器
• 是否启用 DNSSEC 验证
• 是否绕过常规递归链，直接使用特定解析路径
对局域网内域名（如 dev.internal、api.lab）做精准控制，正是 NRPT 的核心用途。
配置 NRPT 实现域名定向解析（以 dev.local 为例）
需在 Windows Server 或启用了 Group Policy 的专业版/企业版 Windows 上操作：
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
- 打开组策略管理编辑器（
gpedit.msc或 GPMC），定位到：计算机配置 → 管理模板 → 网络 → DNS 客户端 → 名称解析策略表 (NRPT) - 启用该策略，并点击显示…按钮进入规则编辑界面
- 新增一条规则：
• 命名空间：填入dev.local（选“后缀”类型，匹配所有子域如web.dev.local）
• DNS 服务器地址：填入你希望强制使用的内网 DNS 服务器 IP（如192.168.10.5）
• DNSSEC：可选关闭（若内网 DNS 不支持）或启用（增强可信度）
• 其他选项保持默认 - 应用策略后，运行
gpupdate /force，再执行Get-DnsClientNrptPolicy（PowerShell）验证规则已加载
配套要求：确保内网 DNS 服务器能正确响应
NRPT 只负责“指路”，真正返回 IP 的是它指向的 DNS 服务器。因此必须同步配置：
- 在指定的内网 DNS 服务器（如 Windows Server DNS 角色）上，为
dev.local创建一个正向查找区域 - 在该区域内添加 A 记录，例如：
web.dev.local → 192.168.10.100api.dev.local → 192.168.10.101 - 确认该 DNS 服务器允许来自客户端的查询（检查防火墙与区域传输设置）
验证与排错要点
执行以下命令快速确认是否生效：
-
nslookup web.dev.local—— 应返回你设定的内网 IP，且服务器地址显示为 NRPT 指定的 DNS -
Resolve-DnsName web.dev.local -Server 192.168.10.5—— 直连验证内网 DNS 是否正常响应 -
Get-DnsClientNrptRule -Namespace "dev.local"—— 查看当前生效的 NRPT 规则细节 - 若无效，检查：
• 组策略是否应用到目标计算机（运行rsop.msc查看结果集）
• 客户端 DNS 客户端服务是否运行（DnsCache服务）
• 是否存在更高优先级的 NRPT 规则（如 FQDN 规则覆盖了后缀规则）
