Windows Server 2025 / Configurare i server d’inoltro DNS e verificare le query esterne

Un server d’inoltro DNS, detto anche forwarder, riceve le query che un altro server deve risolvere oltre i propri dati locali. Nel Domain Name System (DNS), questo consente ai client di dominio di continuare a usare il DNS interno, mentre una destinazione approvata gestisce i nomi esterni.

Separare nomi interni e connettività esterna

Dopo aver configurato zona e record di laboratorio su DC1, una query per fs1.lab.example.test a 172.24.50.10 deve restituire 172.24.50.20. Un nome come www.microsoft.com richiede un percorso di risoluzione esterno. Aggiungere un server d’inoltro non crea automaticamente routing o accesso a Internet.

Una rete completamente isolata, senza routing, NAT (Network Address Translation, traduzione degli indirizzi di rete) o traffico DNS in uscita consentito, può risolvere il nome interno e fallire sulle query esterne: è un limite previsto della topologia. Verificare prima la query interna e un percorso autorizzato in uscita da DC1. Non collegare la rete di esercitazione DHCP alla rete aziendale per ottenere quel risultato; DHCP (Dynamic Host Configuration Protocol) serve alla configurazione automatica della rete.

Registrare la configurazione esistente

Su DC1 aprire Windows PowerShell come amministratore, con ruolo DNS e modulo DnsServer disponibili. Conservare l’output completo di Get-DnsServerForwarder e Get-DnsServerRecursion: indirizzi, ordine configurato, timeout, uso degli hint radice e opzioni di ricorsione o riordinamento. Annotare anche i valori dell’interfaccia prima di modificarli. I primi comandi leggono il server locale; la terza riga verifica il nome interno tramite .10:

Get-DnsServerForwarder
Get-DnsServerRecursion
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10

Un server d’inoltro generale gestisce le query prive di una risposta locale definitiva e non indirizzate lungo un percorso prioritario diverso. Un inoltro condizionale riguarda uno spazio dei nomi specifico. Non crearne uno con lo stesso nome di una zona già ospitata da DC1 come autorità. La documentazione su inoltro e percorsi alternativi DNS spiega la selezione. Il ricorso agli hint radice richiede ricorsione e uso degli hint consentiti, connettività e tempo di risoluzione ancora disponibile; non è garantito quando un server d’inoltro non risponde.

Aggiungere un DNS di destinazione approvato

1. Ottenere un indirizzo DNS approvato per il routing o il NAT effettivo del laboratorio. Verificare che DC1 possa usarlo secondo le regole di uscita, senza copiare un IP pubblico arbitrario.
2. Aprire Gestione DNS con dnsmgmt.msc, verificare DC1 e fare clic con il pulsante destro sul server. Scegliere Proprietà → Server d’inoltro (Forwarders) → Modifica.
3. Aggiungere l’indirizzo approvato, attendere la convalida visualizzata e controllarne il risultato. Un errore di convalida richiede di verificare destinazione e connettività. Salvare con OK e applicare le modifiche nelle proprietà.
4. Conservare server d’inoltro esistenti, timeout e opzioni degli hint radice. Modificare altri valori solo come decisione di progettazione separata.

Evitare cicli: DC1 non deve inoltrare a sé stesso o a un resolver che gli restituisce le stesse domande. Controllare inoltre che il nuovo indirizzo non sia già nell’elenco. Con PowerShell distinguere l’aggiunta di un server d’inoltro dalla sostituzione dell’intero elenco. Dopo il salvataggio, ripetere le due query Get del primo blocco e controllare che siano cambiati solo i valori previsti.

Confrontare query interne ed esterne verso DC1

Su CLIENT1 aprire PowerShell ed eseguire entrambe le query verso DC1 indicando -Server 172.24.50.10. Confrontare lo stesso tipo A e lo stesso server, senza cambiare ancora i DNS predefiniti del client:

Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10
Resolve-DnsName 'www.microsoft.com' -Type A -Server 172.24.50.10

La prima query deve restituire 172.24.50.20. La seconda deve ottenere una risposta A se il percorso esterno è consentito e funzionante; gli indirizzi dei servizi esterni possono cambiare, quindi non va richiesto un unico indirizzo IP fisso. Se fallisce solo la seconda, controllare l’accesso di DC1 al DNS di destinazione e la ricorsione. Se quest’ultima è disabilitata da criteri, rivedere il progetto prima di modificarla. Se entrambe vanno in timeout, verificare prima il percorso CLIENT1–DC1, il servizio DNS e le regole di accesso.

Il successo della query esterna non dimostra quale server d’inoltro abbia risposto: il risultato può provenire dalla cache o da un altro percorso consentito. Per verificare direttamente la destinazione approvata, ripetere la query www.microsoft.com sostituendo soltanto il valore di -Server con il suo indirizzo reale approvato. Confrontare da DC1 e, se autorizzato, da CLIENT1: le regole di uscita possono essere diverse. Un errore diretto sul client non dimostra che anche DC1 non possa usare quella destinazione.

Distinguere errori di zona, cache e ripristino

Modificare l’inoltro non corregge un record errato in una zona locale autoritativa. NXDOMAIN indica un nome inesistente e NODATA l’assenza del tipo richiesto; normalmente sono risposte definitive e non attivano il passaggio a un altro server d’inoltro. REFUSED indica una query rifiutata, un timeout una risposta non arrivata in tempo e SERVFAIL una risoluzione non completata. La risoluzione dei problemi del server DNS aiuta a separare errori nei dati locali da ricorsione e connettività.

La cache del client e quella del server DNS sono distinte. Se occorre svuotarne una, valutarne l’impatto e agire soltanto su quella pertinente, poi ripetere nome, tipo e server di destinazione identici. Per annullare l’esercitazione, riaprire Proprietà di DC1 → Server d’inoltro → Modifica ed eliminare solo l’indirizzo aggiunto durante la prova. Confrontare elenco e opzioni con la registrazione iniziale, preservando modifiche estranee. Ripetere le query interne ed esterne secondo la connettività prevista. Non aggiungere DNS pubblici alternativi ai client di dominio per nascondere un problema di individuazione dei servizi interni.