PC + Wifi + 家庭服务器
-> 路由器 (Fritzbox)
-> UPC 电缆盒
我有 2 个互相接连的 NAT。
我遇到了一个奇怪的 DNS 问题。我将 DuckDns 配置为指向内部 IP 地址。解析在任何地方都有效，但在连接到 Fritzbox 的设备中无效。当 DuckDns 条目指向内部 IP（如 192.168.xy）时，会出现超时
如果 Duckdns 条目指向“真实”IP，则解析可以正常工作。
然后我将 Fritzbox 中的 DNS（配置菜单 -> DNS 服务器）切换为 9.9.9.9，但结果相同。有些事情没有按预期进行，因为：
nslookup xx.duckdns.org：超时
nslookup xx.duckdns.org 9.9.9.9：可以解决
当 Fritzbox 返回 NAT 内部的 IP 时，它似乎会抑制 DNS 查找。
这可信吗？
如何才能知道 Fritzbox 进行解析时真正使用了哪个 DNS？
你好，exae
应用程序堆栈有多个组件。例如 api、公共应用程序和内部应用程序。我想让内部应用程序只能从内部网络 IP 范围访问。我将 nginx（反向代理）配置为仅允许某些 IP 范围（例如 192.168.1.0/24）。我使用的域名是：mydomain.com
假设内部应用程序正在使用子域名app.mydomain.com
下还有一个网站（在外部运行），(www.)mydomain.com
外部 DNS（授权机构）配置为指向我的服务器的公共静态 IP，这是公共 API（例如api.mydomain.com）所需要的。
但在本地网络（包括 VPN）上，我想在内部引导流量。例如，PC 应该使用本地 IP 而不是公共 IP，这样 nginx 反向代理才会允许那些具有本地 IP 的 PC。为此，我正在配置还运行 DNS 服务器的 Windows AD 服务器。我正在尝试配置此 DNS 以将网络中的计算机引导到本地网络上的服务器。
当我尝试为 mydomain.com 定义一个主要区域，并为 app.mydomain.com 定义一个条目以指向内部服务器地址时，nslookup app.mydomain.com会返回本地 IP，但mydomain.com不再www.mydomain.com起作用。
有没有办法将所有其他子域指向外部 DNS（权威）？
当我尝试配置辅助区域时，传输失败。我认为权威机构（外部 DNS）不允许我这样做。
我想知道如何才能实现这一点？
我已经在我们组织的 DNS 服务器上设置了 PTR 记录。反向查找在我们的网络上有效，但在其他网络上无效。
在我看来，区域互联网注册局 RIR 方面需要采取一些行动。
我不知道如何与他们取得联系，那么他们为什么要按我的要求做呢？
我可以只配置 PTR 记录吗？如果我操作正确，它就会起作用吗？
我需要 RIR 做些什么吗？
每个人都是这么做的吗？
附言：我对 DNS 很熟悉，但是反向 DNS 目前对我来说有点令人困惑（我对它还不熟悉）。
我们公司将 .com 域名转移到其他域名提供商。这 14 天运行良好，但今天我们的域名被暂停了，因为我们的邮件提供商出了问题，没有收到验证所有者地址的邮件。
经过一段时间，我们设法修复了邮件问题并验证了域名。在使用 Google/Cloudflare/... DNS 时，我们的应用程序也能按预期运行。然而，我们的许多客户在近 12 小时后仍然无法访问我们的应用程序。
与此同时，我们可以找出一个可能的原因。我们怀疑是某些互联网提供商的 DNS 缓存。请参阅nslookup请求应用程序子域的 SOA 条目的输出。
使用 Google DNS（8.8.8.8），app.EXAMPLE.com 的 SOA 条目来自我们的域 EXAMPLE.com。
> server 8.8.8.8
Default Server: dns.google
Address: 8.8.8.8
> set type=soa
> set d2
> app.EXAMPLE.com
Server: dns.google
Address: 8.8.8.8
------------
SendRequest(), len 34
HEADER:
opcode = QUERY, id = 25, rcode = NOERROR
header flags: query, want recursion
questions = 1, answers = 0, authority records = 0, additional = 0
QUESTIONS:
app.EXAMPLE.com, type = SOA, class = IN
------------
------------
Got answer (99 bytes):
HEADER:
opcode = QUERY, id = 25, rcode = NOERROR
header flags: response, want recursion, recursion avail.
questions = 1, answers = 0, authority records = 1, additional = 0
QUESTIONS:
app.EXAMPLE.com, type = SOA, class = IN
AUTHORITY RECORDS:
-> EXAMPLE.com
type = SOA, class = IN, dlen = 53
ttl = 1800 (30 mins)
primary name server = ns1.DOMAINPROVIDER.de
responsible mail addr = postmaster.DOMAINPROVIDER.de
serial = 2024091603
refresh = 86400 (1 day)
retry = 10800 (3 hours)
expire = 3600000 (41 days 16 hours)
default TTL = 3600 (1 hour)
------------
EXAMPLE.com
type = SOA, class = IN, dlen = 53
ttl = 1800 (30 mins)
primary name server = ns1.DOMAINPROVIDER.de
responsible mail addr = postmaster.DOMAINPROVIDER.de
serial = 2024091603
refresh = 86400 (1 day)
retry = 10800 (3 hours)
expire = 3600000 (41 days 16 hours)
default TTL = 3600 (1 hour)
> set type=A
> app.EXAMPLE.com
Server: dns.google
Address: 8.8.8.8
------------
[...]
------------
Non-authoritative answer:
Name: app.EXAMPLE.com
Address: <IP ADDRESS OF OUR SERVER>
当使用我们的互联网提供商的 DNS 服务器时，我们会得到完全不同的子域名结果。
> set type=soa
> set d2
> app.EXAMPLE.com
Server: <DNS OF INTERNET PROVIDER>
Address: <DNS OF INTERNET PROVIDER>
------------
SendRequest(), len 34
HEADER:
opcode = QUERY, id = 28, rcode = NOERROR
header flags: query, want recursion
questions = 1, answers = 0, authority records = 0, additional = 0
QUESTIONS:
app.EXAMPLE.com, type = SOA, class = IN
------------
------------
Got answer (107 bytes):
HEADER:
opcode = QUERY, id = 28, rcode = NOERROR
header flags: response, want recursion, recursion avail.
questions = 1, answers = 1, authority records = 0, additional = 0
QUESTIONS:
app.EXAMPLE.com, type = SOA, class = IN
ANSWERS:
-> app.EXAMPLE.com
type = SOA, class = IN, dlen = 61
ttl = 2335 (38 mins 55 secs)
primary name server = ns1.emailverification.info
responsible mail addr = hostmaster.emailverification.info
serial = 2024090700
refresh = 7200 (2 hours)
retry = 3600 (1 hour)
expire = 604800 (7 days)
default TTL = 3600 (1 hour)
------------
Non-authoritative answer:
app.EXAMPLE.com
type = SOA, class = IN, dlen = 61
ttl = 2335 (38 mins 55 secs)
primary name server = ns1.emailverification.info
responsible mail addr = hostmaster.emailverification.info
serial = 2024090700
refresh = 7200 (2 hours)
retry = 3600 (1 hour)
expire = 604800 (7 days)
default TTL = 3600 (1 hour)
> set type=A
> app.EXAMPLE.com
Server: <DNS OF INTERNET PROVIDER>
Address: <DNS OF INTERNET PROVIDER>
------------
[...]
------------
Non-authoritative answer:
Name: app.EXAMPLE.com
Address: <WRONG IP ADDRESS>
我的问题是：一段时间后这个问题会自动解决吗？还是我们需要采取一些措施？是否可以加快这一进程？
在我的双栈 LAN 中，绑定服务器解析本地域（*.something.internal）的 A 和 AAAA 记录：
# bind zone file db.internal
webserver1.something IN AAAA 2001:908:532:bca0:211:32ff:fee5:8627
webserver1.something IN A 192.168.78.93
所有 LAN 网络服务器都监听 IPv4 和 IPv6。访问服务器时，IPv6 优先（如预期），但Firefox 和 Safari 中的本地客户端（也充当网络服务器）除外。Chrome 对所有服务器都使用 IPv6 地址。我使用了这三种浏览器中开发人员工具的“网络”选项卡来比较和验证行为。
我也在about:networking#dnslookuptoolFirefox 中使用了该功能，Firefox 仅为我的客户端持续反转 IPv4 / IPv6 IP 的顺序。
下一步，我使用 curl 进行了检查，看到了（几乎）相同的事情。curl 首先解析 IPv6，然后继续使用本地机器的 IPv4 地址：
# This is my local client and webserver
curl -Iv https://static.something.internal/
* Host static.something.internal:443 was resolved.
* IPv6: 2001:908:532:bca0:10e0:6db1:72f1:9c2f
* IPv4: 192.168.78.55
* Trying 192.168.78.55:443...
* Connected to static.something.internal (192.168.78.55) port 443
# This is another webserver on the LAN
curl -Iv https://nuc.something.internal/
* Host nuc.something.internal:443 was resolved.
* IPv6: 2001:908:532:bca0:1e69:7aff:feaf:7455
* IPv4: 192.168.78.42
* Trying [2001:908:532:bca0:1e69:7aff:feaf:7455]:443...
* Connected to nuc.something.internal (2001:908:532:bca0:1e69:7aff:feaf:7455) port 443
为什么 Firefox、Safari 和 curl 会优先为本地计算机使用 IPv4（与 Chrome 不同）？ 这可能与请求是从域解析到的同一个 IPv6 地址发送的这一事实有关（即使 curl 在强制使用时毫无问题地使用此地址curl -Iv -6 https://static.something.internal）？
/etc/hosts注意：如果我在本地机器上填充（使用127.0.0.1和::1作为其域）而不是使用我的 DNS 服务器，则所有应用程序都会优先考虑 IPv6（使用 Firefox 和 Safari 重复了以下 curl 测试）：
curl -Iv https://static.something.internal/
* Host static.something.internal:443 was resolved.
* IPv6: ::1
* IPv4: 127.0.0.1
* Trying [::1]:443...
* Connected to static.something.internal (::1) port 443
我有两个配置条目的等价物，通过从本地网络中的另一台主机检索所需信息来满足客户端请求。
使用的主机名实际上是某台机器的 CNAME。本周这台机器死机了，我更改了 CNAME 以指向本地网络中的另一台机器。
但是，一两天后，Apache 仍尝试联系死机的 IP。我预计它会将 DNS 查询结果缓存一小段时间（几秒或几分钟），然后再次查询。但这并没有发生，只是修复了systemctl restart apache2它。现在 i 可以正确解析名称。
有没有什么方法可以影响已解析主机名的 IP 缓存时间？此区域的 DNS 中的 TTL 很短（SOA 为N 123m 1m 5d 10m）。
ProxyPass "/some/path" "http://hostname/some/path"
ProxyPassReverse "/some/path" "http://hostname/some/path"
我最近又更换了我的 DNS 托管商，因为我需要一些以前的 DNS 托管商不提供的功能。每次我更换 DNS 托管商时，我的服务器都会不可用几个小时，直到 DNS 再次恢复正常。我知道 DNS 是一个分布式系统，会缓存几个小时的条目，但一定有一种方法可以在不中断服务的情况下更换提供商。
以下是我采取的主要步骤：
dig @<...>以确保两者的配置相同.de是 -zone，即 DENIC）在我执行第 3 步后大约一小时，我的服务器无法通过 DNS 访问。我的域名的 DNS 解析停止。大约又过了六个小时，一切才恢复正常。
如果我没记错的话，在这个特定案例中，中断是由于 NS 和 DNSKEY 记录与 DS 记录在那六个小时内不匹配造成的。NS 和 DNSKEY 记录已经更新并指向新的 DNS 托管商，而 DS 记录在接下来的六个小时内仍保持旧记录。
避免此类问题的正确方法是什么？
附录（2024-07-30）
今天，我想将我的第二个域名从以前的 DNS 托管商迁移到新的 DNS 托管商，我认为我很聪明。
我提前 48 小时禁用了 DNSSEC，以避免任何签名错误。（最好根本没有 DNSSEC，而不是 DNSSEC 失败。）但后来我又陷入了另一个陷阱。
我首先在新的 DNS 托管商处配置了 DNS 区域信息，然后告诉我的注册商将记录NS从旧 DNS 托管商更改为新 DNS 托管商。但是，更改不是原子性的。他们没有将记录NS从旧更改为新，而是将NS记录从旧值更改为“占位符” f.nic.de.，然后从更改f.nic.de.为实际的新值。这两个步骤相隔 5 分钟。不幸的是，这 5 分钟的时间窗口足以让 Google DNS (8.8.8.8) 拾取错误的中间值，f.nic.de.并且它的 TTL 为 14400，即 4 小时。
当然，f.nic.de.没有关于我实际域名的信息。因此，虽然错误只存在了 5 分钟，但它导致我的域名上某些用户的 DNS 解析中断了另外 4 小时，具体取决于他们查询的 DNS 服务器。
到目前为止，我认为我的虚拟专用服务器的托管商（它还“拥有”我的 IP 地址，也是我的域名的注册商（但不是我的 DNS 托管商））简直是愚蠢的。他们只提供了一个允许输入NS和DNSKEY记录的 Web 表单。（DS记录是从隐式计算的DNSKEY）。但是，没有添加（或删除）记录的选项。只能替换现有记录（每种类型一个）。但是，即使正确且一致地更改这两个值，然后提交 Web 表单，上游更改（在我的注册商和注册表之间）也是不可预测且无序的。鉴于以下答案，我想我除了与我的注册商讨论他们必须让他们的流程井然有序之外别无他法。
我创建了一个 Cloudfront 发行版，并获得了一个要作为 CNAME 的地址。问题是我无法在根域（如 mysite.com）上设置 CNAME，只能为子域设置。
我的 DNS 记录来自 Azure，有办法解决这个问题吗？怎么解决？
使用此云端分布中的 ipv4 IP 地址吗？此 IP 是否有可能随时间而改变？
谢谢
我有一个朋友，我在他的公共服务器上为他建立了一个网站；但是，我在让 DNS 正常工作方面遇到了很多麻烦。
我在 /etc/apache2/sites-available 中为新站点添加了一个文件/条目，并在 /etc/hosts 中添加了域名。本地浏览该站点可以正常工作，将其粘贴到我的 webroot 下的子目录中并转到 https:// mydomain/subdir 也可以正常工作。
我已经在 Apache 上提供多个域名；但是，这些域名都属于我，并在一个域名提供商 ( https://godaddy.com ) 上注册。然而，我朋友的域名注册商不同 - https://internic.co.il - 这似乎是我遇到问题的地方。
我已将她域名提供商的名称服务器更改为指向 GoDaddy 名称服务器，并添加了指向我的盒子 IP 的 A 记录 -
A xxxxxxxx.co.il 209.59.180.101 600 秒
到我的主域名。等了一会儿（此时，已经过了一天），然后... 不行，没有解析。'dig' 给我一个 'SERVFAIL'；'ping' 说'名称解析暂时失败'。
显然，我不明白我到底在做什么……所以我向你们这些专家求助。提前感谢你们提供的任何帮助！
我在实验室中测试水平分割（又称脑裂）DNS 策略。在 DC/DNS 服务器上设置的策略不会复制到其他 DC/DNS 服务器。
有可能让它们复制吗？
实验室有子网 192.168.72.0 和 192.168.73.0，以及两台运行 DNS 的 DC。两台 DC 的 IP 地址分别为 192.168.72.100 和 192.168.73.100。
我在 host1 的 DNS 中创建了一条 A 记录（10.0.0.2）
我按照本教程从 Microsoft DC（IP 为 192.168.72.100）进行操作。具体命令粘贴如下：
Add-DnsServerZoneScope -ZoneName "deez.datz" -Name Scope73"
Add-DnsServerResourceRecord -ZoneName "deez.datz" -A -Name "host1" -IPv4Address "10.0.0.100" -ZoneScope "Scope73"
Add-DNsServerQueryResolutionPolicy -Name "Policy73" -Action ALLOW -ClientSubnet "eq,TGH-North" -ZoneScope "Scope73,1" -ZoneName "deez.datz"
从 192.168.73.0 子网中的系统执行 Nslookup：
nslookup host1 192.168.72.100
Name: host1.deez.datz
Address: 10.0.0.100
nslookup host1 192.168.73.100
Name: host1.deez.datz
Address: 10.0.0.2
DNS 策略在运行命令的第一个 DC 上正常运行。该策略在第二个 DC 上未生效。该策略未复制。
我知道这是 Microsoft DNS 策略的默认行为。
是否可以强制 DNS 策略复制（并避免在每个 DC 上运行命令）？