Windows Server 2025 / Cómo configurar reenviadores DNS y verificar consultas externas

Un reenviador del sistema de nombres de dominio (DNS) recibe de otro servidor las consultas que este necesita resolver fuera de sus datos locales. Configurarlo permite que los clientes del dominio sigan usando el DNS interno mientras un servidor DNS de destino aprobado se ocupa de los nombres externos.

Separe los nombres internos de la conectividad externa

Con la zona y los registros de práctica ya creados en DC1, fs1.lab.example.test debe resolverse como 172.24.50.20 al consultar 172.24.50.10. www.microsoft.com requiere una ruta de resolución externa. Añadir un reenviador no crea por sí solo rutas de red ni acceso a Internet.

Una red completamente aislada, sin enrutamiento, traducción de direcciones de red (NAT, Network Address Translation) ni salida DNS permitida, puede resolver el nombre interno y fallar al consultar nombres externos: es una limitación prevista de esa topología. Confirme primero la consulta interna y una ruta de salida autorizada desde DC1. No conecte la red de práctica de DHCP (protocolo de configuración dinámica de host) a la red de la oficina para conseguir este resultado.

Registre la configuración existente

En DC1, abra Windows PowerShell como administrador, con el rol DNS y su módulo DnsServer disponibles. Guarde la salida completa de Get-DnsServerForwarder y Get-DnsServerRecursion: direcciones, orden configurado, tiempos de espera, uso de sugerencias raíz y opciones de recursión o reordenación. Anote también los valores de la interfaz antes de editarlos. Son consultas al servidor local; la tercera comprueba el nombre interno contra .10:

Get-DnsServerForwarder
Get-DnsServerRecursion
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10

Un reenviador general recibe consultas para las que el servidor no tiene una respuesta local definitiva y que no siguen otra ruta prioritaria, según la configuración. Uno condicional se aplica a un espacio de nombres concreto. No cree un reenviador condicional con el mismo nombre de una zona que DC1 ya aloja como autoridad. La documentación de reenvío y rutas alternativas DNS explica la selección. La alternativa mediante sugerencias raíz depende de que la recursión y su uso estén permitidos, haya conectividad y quede tiempo de resolución; no es una garantía cuando falla un reenviador.

Añada un servidor DNS de destino aprobado

1. Obtenga la dirección de un DNS aprobado para la ruta o NAT real del laboratorio. Confirme que DC1 puede usarla conforme a las reglas de salida; no copie una IP pública arbitraria.
2. Abra Administrador de DNS con dnsmgmt.msc, confirme DC1, haga clic derecho en el servidor y elija Propiedades → Reenviadores → Editar.
3. Añada la dirección aprobada, espere la validación que muestre la interfaz y revise el resultado. Un error de validación requiere comprobar destino y conectividad. Guarde con Aceptar y aplique los cambios de Propiedades.
4. Conserve los reenviadores existentes, los tiempos de espera y las opciones de sugerencias raíz; cambie otros valores únicamente como parte de una decisión de diseño específica.

Evite bucles: DC1 no debe reenviarse consultas a sí mismo ni a otro servidor que le devuelva las mismas preguntas. Compruebe también que la dirección nueva no esté ya en la lista. Si usa PowerShell en lugar de la interfaz, distinga añadir un reenviador de reemplazar la lista completa. Tras guardar, repita las dos consultas Get del primer bloque y compruebe que solo cambió lo previsto.

Compare consultas internas y externas al mismo servidor

En CLIENT1, abra PowerShell y ejecute estas dos consultas indicando expresamente DC1 con -Server 172.24.50.10. Mantenga el mismo tipo A y servidor para comparar la resolución interna y la externa sin cambiar todavía los DNS predeterminados del cliente:

Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10
Resolve-DnsName 'www.microsoft.com' -Type A -Server 172.24.50.10

La primera debe devolver 172.24.50.20. La segunda debe ofrecer una respuesta A si existe una ruta externa autorizada y funcional; las direcciones de un servicio externo pueden cambiar, por lo que no debe exigir una IP fija. Si solo falla la segunda, compruebe el acceso de DC1 al DNS de destino y la configuración de recursión. Si esta está deshabilitada por política, revise el diseño antes de cambiarla. Si ambas consultas agotan el tiempo, examine primero la ruta CLIENT1–DC1, el servicio DNS y sus reglas de acceso.

Que la consulta externa funcione no identifica por sí solo al reenviador que respondió: el resultado puede venir de caché o de otra ruta permitida. Para probar directamente el destino aprobado, repita la consulta de www.microsoft.com y sustituya únicamente el valor de -Server por su dirección real aprobada. Compare desde DC1 y, si está autorizado, desde CLIENT1; sus permisos de salida pueden ser distintos, y un fallo directo en el cliente no demuestra que DC1 tampoco pueda consultar ese destino.

Distinga errores de zona, caché y reversión

Cambiar reenviadores no repara un registro equivocado en una zona local autoritativa. NXDOMAIN indica nombre inexistente y NODATA, ausencia del tipo solicitado; normalmente son respuestas finales y no provocan que se pruebe otro reenviador. REFUSED indica rechazo de la consulta, un tiempo de espera indica falta de respuesta a tiempo y SERVFAIL indica que no se pudo completar la resolución. Use la guía de diagnóstico de servidores DNS para separar problemas de datos locales de problemas de recursión y conectividad.

La caché del cliente y la caché del servidor DNS son distintas. Si es necesario vaciar una, evalúe el impacto y actúe solo sobre la que corresponda; después repita el mismo nombre, tipo y servidor. Para revertir la práctica, vuelva a Propiedades de DC1 → Reenviadores → Editar y elimine únicamente la dirección añadida por este ejercicio. Compare la lista y opciones con el registro inicial, preservando cambios ajenos. Repita la consulta interna y la externa según la conectividad prevista. No añada un DNS público alternativo en clientes de dominio para ocultar un fallo de descubrimiento interno.