Windows Server 2025 / DNS-Weiterleitungen konfigurieren und externe Abfragen prüfen

Bei einer Weiterleitung im Domain Name System (DNS) übergibt ein Server Abfragen, die eine Auflösung über seine lokalen Daten hinaus benötigen, an einen anderen DNS-Server. So können Domänenclients weiter ihren internen DNS-Server verwenden, während ein zugelassener vorgeschalteter Server externe Namen auflöst.

Trennen Sie interne Namen und externe Verbindung

Sind die Übungszone und Einträge auf DC1 eingerichtet, soll eine Anfrage an 172.24.50.10 für fs1.lab.example.test die Adresse 172.24.50.20 ergeben. www.microsoft.com benötigt einen externen Auflösungspfad. Das Eintragen einer Weiterleitung richtet weder Routing noch Internetzugang ein.

Ein vollständig isoliertes Netz ohne Routing, Netzwerkadressübersetzung (NAT, Network Address Translation) oder erlaubten DNS-Ausgang kann interne Namen auflösen, während externe Abfragen erwartungsgemäß scheitern. Prüfen Sie zuerst die interne Auflösung und einen erlaubten Ausgangspfad von DC1. Verbinden Sie das für DHCP-Übungen vorgesehene Netz nicht einfach mit dem Firmennetz; DHCP (Dynamic Host Configuration Protocol) dient der automatischen Netzwerkkonfiguration.

Halten Sie die vorhandene Konfiguration fest

Öffnen Sie auf DC1 Windows PowerShell als Administrator; DNS-Rolle und DnsServer-Modul müssen verfügbar sein. Bewahren Sie die vollständigen Ausgaben von Get-DnsServerForwarder und Get-DnsServerRecursion auf: Adressliste, konfigurierte Reihenfolge, Zeitlimits, Stammhinweise sowie Rekursions- und Neuordnungsoptionen. Halten Sie zusätzlich die Werte der Oberfläche vor dem Bearbeiten fest. Die ersten Befehle lesen den lokalen Server; die dritte Zeile prüft den internen Namen gegen .10:

Get-DnsServerForwarder
Get-DnsServerRecursion
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10

Eine allgemeine Weiterleitung übernimmt Abfragen ohne endgültige lokale Antwort, sofern keine andere vorrangige Auflösungsroute greift. Eine bedingte Weiterleitung gilt für einen bestimmten Namensraum. Legen Sie sie nicht mit demselben Zonennamen an, für den DC1 bereits eine autoritative Zone hostet. Microsofts Dokumentation zu Weiterleitung und Ausweichpfaden beschreibt die Auswahl. Der Rückgriff auf Stammhinweise setzt erlaubte Rekursion, aktivierte Nutzung der Stammhinweise, Netzwerkzugang und verbleibende Auflösungszeit voraus. Er ist bei einem ausgefallenen Weiterleiter nicht garantiert.

Ergänzen Sie einen genehmigten Ziel-DNS-Server

1. Besorgen Sie eine für die tatsächliche Routing- oder NAT-Anordnung des Labors genehmigte DNS-Adresse. Prüfen Sie die erlaubte Nutzung von DC1 aus; übernehmen Sie keine beliebige öffentliche IP.
2. Öffnen Sie den DNS-Manager mit dnsmgmt.msc, prüfen Sie DC1 und wählen Sie nach einem Rechtsklick auf den Server Eigenschaften → Weiterleitungen → Bearbeiten.
3. Ergänzen Sie die genehmigte Adresse, warten Sie auf die angezeigte Validierung und prüfen Sie deren Ergebnis. Bei einem Validierungsfehler prüfen Sie Ziel und Verbindung. Bestätigen Sie mit OK und übernehmen Sie die Änderung in den Eigenschaften.
4. Behalten Sie vorhandene Weiterleitungen, Zeitlimits und Stammhinweisoptionen bei. Ändern Sie weitere Werte nur im Rahmen einer gesonderten Designentscheidung.

Vermeiden Sie Schleifen: DC1 darf weder an sich selbst noch an einen Resolver weiterleiten, der dieselben Fragen wieder an DC1 schickt. Prüfen Sie auch, ob die neue Adresse schon vorhanden ist. Unterscheiden Sie bei PowerShell zwischen dem Hinzufügen einer Weiterleitung und dem Ersetzen der gesamten Liste. Wiederholen Sie nach dem Speichern die beiden Get-Abfragen des ersten Blocks und kontrollieren Sie, dass nur die beabsichtigten Werte geändert wurden.

Vergleichen Sie interne und externe Abfragen an DC1

Öffnen Sie auf CLIENT1 PowerShell und richten Sie beide Abfragen ausdrücklich mit -Server 172.24.50.10 an DC1. Vergleichen Sie denselben Eintragstyp A und denselben Server, ohne dafür schon die Standard-DNS-Server des Clients zu ändern:

Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10
Resolve-DnsName 'www.microsoft.com' -Type A -Server 172.24.50.10

Die erste Abfrage soll 172.24.50.20 liefern. Die zweite soll bei einem erlaubten und funktionierenden externen Pfad eine A-Antwort ergeben; externe Dienstadressen können sich ändern, daher ist keine feste IP zu erwarten. Scheitert nur die zweite Abfrage, prüfen Sie DC1s Zugriff auf den Ziel-DNS-Server und die Rekursion. Ist diese durch Richtlinien deaktiviert, klären Sie das Design vor einer Änderung. Laufen beide Abfragen in Zeitüberschreitungen, prüfen Sie zuerst CLIENT1s Verbindung zu DC1, den DNS-Dienst und dessen Zugriffsregeln.

Eine erfolgreiche externe Abfrage beweist nicht, welcher Weiterleiter geantwortet hat: Cache oder ein anderer erlaubter Pfad können das Ergebnis liefern. Für eine direkte Prüfung des genehmigten Zielservers wiederholen Sie die www.microsoft.com-Abfrage und ersetzen nur den Wert von -Server durch dessen tatsächlich genehmigte IP-Adresse. Vergleichen Sie von DC1 und, sofern erlaubt, von CLIENT1. Unterschiedliche Ausgangsregeln können dazu führen, dass der Client den Zielserver nicht direkt erreicht, DC1 aber schon.

Unterscheiden Sie Zonenfehler, Cache und Rücknahme

Eine Weiterleitungsänderung repariert keinen falschen Eintrag in einer lokal gehosteten autoritativen Zone. NXDOMAIN bedeutet, dass der Name nicht existiert; NODATA bedeutet, dass der angefragte Typ fehlt. Solche Antworten sind normalerweise endgültig und lösen keinen Wechsel zum nächsten Weiterleiter aus. REFUSED bezeichnet eine abgelehnte Abfrage, ein Timeout eine nicht rechtzeitig eingetroffene Antwort und SERVFAIL eine nicht abgeschlossene Auflösung. Die DNS-Server-Fehlerbehebung hilft, lokale Datenfehler von Rekursions- und Verbindungsproblemen zu trennen.

Clientcache und DNS-Servercache sind getrennt. Leeren Sie bei Bedarf nach Prüfung der Auswirkungen nur den betroffenen Cache und wiederholen Sie denselben Namen, Typ und Zielserver. Öffnen Sie zum Rückgängigmachen DC1s Eigenschaften → Weiterleitungen → Bearbeiten und entfernen Sie ausschließlich die für diese Übung hinzugefügte Adresse. Vergleichen Sie verbleibende Liste und Optionen mit der Ausgangsaufzeichnung und erhalten Sie fremde Änderungen. Wiederholen Sie interne und externe Abfragen entsprechend der vorgesehenen Verbindung. Öffentliche alternative DNS-Server auf Domänenclients sind kein Ersatz für die Reparatur der internen Dienstsuche.