Windows Server 2025 / Configurer les redirecteurs DNS et tester la résolution externe

Un redirecteur DNS est un serveur auquel DC1 peut transmettre les requêtes concernant des noms situés hors des zones qu’il héberge, lorsque les données ne sont pas déjà dans son cache. Cela permet aux clients du domaine de continuer à utiliser le DNS interne tandis qu'un chemin amont approuvé gère les noms externes.

Séparez les noms internes de la connectivité externe

DC1 peut répondre pour fs1.lab.example.test depuis la zone de pratique créée sur DC1. Un nom tel que www.microsoft.com nécessite un chemin de résolution externe. Renseigner l’adresse d’un redirecteur ne crée ni route réseau ni accès à Internet.

Un réseau entièrement isolé sans routage, traduction d’adresses réseau (NAT) ou sortie DNS autorisée est censé échouer pour les requêtes externes. Confirmez d'abord la recherche interne. Ne connectez pas le réseau DHCP de pratique à un réseau en production simplement pour démontrer la redirection.

Enregistrez la configuration existante

Exécutez ces commandes sur DC1 dans Windows PowerShell ouvert en tant qu’administrateur et conservez les paramètres de redirection et de récursion :

Get-DnsServerForwarder
Get-DnsServerRecursion
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10

Une redirection générale concerne les noms externes à résoudre. Une redirection conditionnelle sélectionne des serveurs DNS pour un espace de noms donné. Ne créez pas de redirecteur conditionnel pour une zone déjà hébergée localement. La documentation sur la redirection DNS et le basculement explique le comportement associé.

Ajoutez un résolveur en amont approuvé

1. Obtenez l’adresse d’un serveur DNS amont approuvé et joignable depuis DC1 avec le routage ou la configuration NAT prévus pour le laboratoire.
2. Dans le Gestionnaire DNS, ouvrez les propriétés de DC1 → Redirecteurs (Forwarders).
3. Modifiez la liste, ajoutez l'IP approuvée, vérifiez son statut signalé et enregistrez.
4. Conservez les autres redirecteurs, les délais d’expiration et les options d’indications de racine (root hints), sauf si une décision de conception distincte exige leur modification.

Évitez les boucles : n’indiquez pas DC1 comme son propre redirecteur et n’utilisez pas un résolveur qui renvoie ces requêtes vers DC1. Si vous utilisez PowerShell, confirmez qu'ajouter une entrée ne remplace pas de manière inattendue la liste existante.

Comparez les requêtes internes et externes sur le même serveur

Exécutez sur CLIENT1 et ciblez explicitement DC1 :

Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10
Resolve-DnsName 'www.microsoft.com' -Type A -Server 172.24.50.10

Les adresses renvoyées par un service externe peuvent changer ; ne supposez pas que le résultat doit contenir une adresse IP fixe. Si seule la recherche externe échoue, vérifiez l'accès en amont et la récursion. Si les deux expirent, inspectez d'abord le chemin client-vers-DC1 et le service DNS.

Une résolution externe réussie peut utiliser des données mises en cache ou un chemin de secours, elle ne prouve donc pas quel redirecteur a répondu. Pour tester directement un résolveur en amont approuvé, interrogez-le en utilisant -Server, en tenant compte des différentes règles de sortie sur CLIENT1 et DC1.

Distinguez les erreurs de zone, le cache et le retour en arrière

Les modifications du redirecteur ne réparent pas un enregistrement incorrect dans une zone hébergée localement. Distinguez NXDOMAIN (réponse de nom inexistant), REFUSED (refus du serveur), SERVFAIL (échec du traitement) et le délai d’attente (absence de réponse dans le temps prévu). Consultez le guide de dépannage du serveur DNS pour inspecter les données autoritatives et les chemins récursifs de manière indépendante.

Les caches du client et du serveur DNS sont séparés. Effacez uniquement le cache pertinent après avoir considéré son impact, puis répétez la même requête avec le même nom, le même type et le même serveur cible. Pour revenir en arrière, supprimez uniquement le redirecteur ajouté dans le laboratoire et comparez la liste restante et les options avec l’enregistrement original. N’utilisez pas de DNS public alternatif sur les clients du domaine comme solution de contournement pour une découverte interne défaillante.