56、设计 DNS 架构：从基础到安全实践

设计 DNS 架构：从基础到安全实践

1. DNS 架构设计的关键问题

设计 DNS 架构时，通常需要解决以下几个关键问题：
- 性能需求 ：通过多个 DNS 服务器实现快速的名称解析，并利用转发器实现集中缓存。
- 网络安全 ：将内部 DNS 服务器从属于外部的转发器，这些转发器通常是位于防火墙外的少数加固系统。
- 内外网分离 ：为了进一步保障网络安全，需要在内网和外网呈现不同的 DNS 名称，即所谓的“分裂脑 DNS”，使外部只能看到公司部分计算机信息。
- 外部访问内网 ：考虑如何让外部实体（如商业伙伴、客户、远程办公员工等）能够访问内网的命名空间。

2. 完全开放互联网的场景分析

以 Megabucks 公司为例，该公司约有 2000 名员工，2500 台计算机，需要约 2500 个 IP 地址，相当于 10 个 C 类子网。在最简单的网络布局中：
- 从 ISP 获取 10 个 C 类网络，每个 IP 地址都可在公共互联网上路由。
- 注册域名 megabucks.com，并将两台 Server 2003 机器（primary.megabucks.com 和 secondary.megabucks.com）作为该域名的权威 DNS 服务器。
- 在 primary.megabucks.com 上创建主正向查找区域，在 secondary.megabucks.com 上创建辅助正向查找区域，并启用动态 DNS 更新。

在这种场景