Windows Server 2025 / Mengonfigurasi forwarder DNS dan memeriksa kueri eksternal

Forwarder DNS adalah server tujuan penerusan kueri yang memerlukan resolusi di luar data lokal server asal. Dengan mekanisme DNS (Domain Name System, sistem nama domain) ini, klien domain tetap menggunakan DNS internal, sementara server tujuan yang disetujui menangani nama eksternal.

Pisahkan nama internal dari konektivitas eksternal

Setelah zona dan record latihan pada DC1 dikonfigurasi, kueri fs1.lab.example.test ke 172.24.50.10 harus menghasilkan 172.24.50.20. Nama www.microsoft.com memerlukan jalur resolusi eksternal. Menambahkan forwarder tidak otomatis membuat routing atau akses internet.

Jaringan yang sepenuhnya terisolasi tanpa routing, NAT (Network Address Translation, penerjemahan alamat jaringan), atau izin lalu lintas DNS keluar dapat berhasil menjawab nama internal tetapi gagal menjawab nama eksternal. Itu merupakan batas topologi yang diharapkan. Pastikan dahulu kueri internal berhasil dan DC1 mempunyai jalur keluar yang diizinkan. Jangan menghubungkan jaringan latihan DHCP ke jaringan kantor untuk memaksakan hasil ini; DHCP (Dynamic Host Configuration Protocol) digunakan untuk konfigurasi jaringan otomatis.

Catat konfigurasi yang sudah ada

Pada DC1, buka Windows PowerShell sebagai administrator dengan peran DNS dan modul DnsServer yang tersedia. Simpan keluaran lengkap Get-DnsServerForwarder dan Get-DnsServerRecursion: daftar alamat, urutan yang dikonfigurasi, batas waktu, penggunaan root hints atau petunjuk server akar, serta opsi rekursi dan pengurutan ulang. Catat pula nilai pada antarmuka sebelum mengeditnya. Perintah awal membaca server lokal; baris ketiga memeriksa nama internal melalui .10:

Get-DnsServerForwarder
Get-DnsServerRecursion
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10

Forwarder umum menangani kueri yang tidak mempunyai jawaban lokal final dan tidak diarahkan melalui jalur lain yang lebih diprioritaskan. Forwarder kondisional berlaku untuk ruang nama tertentu. Jangan membuat forwarder kondisional dengan nama zona yang sama dengan zona otoritatif yang sudah dihosting DC1. Dokumentasi penerusan dan jalur alternatif DNS menjelaskan pemilihannya. Peralihan ke root hints hanya dapat berlangsung jika rekursi dan penggunaan root hints diizinkan, konektivitas tersedia, dan waktu resolusi masih tersisa. Kegagalan forwarder tidak menjamin jalur itu akan digunakan.

Tambahkan DNS tujuan yang disetujui

1. Dapatkan alamat DNS yang disetujui untuk routing atau NAT lab yang sebenarnya. Pastikan DC1 diizinkan memakainya sesuai aturan keluar; jangan menyalin IP publik sembarang.
2. Buka DNS Manager melalui dnsmgmt.msc dan pastikan servernya DC1. Klik kanan server, lalu pilih Properties → Forwarders → Edit.
3. Tambahkan alamat yang disetujui, tunggu validasi pada antarmuka, lalu periksa hasilnya. Jika validasi gagal, periksa tujuan dan konektivitas. Simpan dengan OK dan terapkan perubahan pada Properties.
4. Pertahankan forwarder yang sudah ada, batas waktu, dan opsi root hints. Ubah nilai lain hanya sebagai keputusan desain yang terpisah.

Hindari loop: DC1 tidak boleh meneruskan kueri ke dirinya sendiri atau resolver yang mengirim pertanyaan yang sama kembali ke DC1. Pastikan alamat baru belum ada dalam daftar. Jika memakai PowerShell, bedakan menambahkan forwarder dari mengganti seluruh daftar. Setelah menyimpan, ulangi kedua kueri Get pada blok pertama dan pastikan hanya nilai yang dimaksud berubah.

Bandingkan kueri internal dan eksternal ke DC1

Buka PowerShell pada CLIENT1 dan arahkan kedua kueri secara eksplisit ke DC1 menggunakan -Server 172.24.50.10. Bandingkan jenis record A dan server yang sama tanpa mengubah DNS bawaan klien terlebih dahulu:

Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10
Resolve-DnsName 'www.microsoft.com' -Type A -Server 172.24.50.10

Kueri pertama harus menghasilkan 172.24.50.20. Kueri kedua harus memperoleh jawaban A jika jalur eksternal diizinkan dan berfungsi; alamat layanan eksternal dapat berubah sehingga tidak perlu mencocokkan satu IP tetap. Jika hanya kueri kedua gagal, periksa akses DC1 ke DNS tujuan dan pengaturan rekursi. Jika rekursi dinonaktifkan oleh kebijakan, tinjau desain sebelum mengubahnya. Jika keduanya mengalami timeout, periksa dahulu jalur CLIENT1 ke DC1, layanan DNS, dan aturan aksesnya.

Keberhasilan kueri eksternal tidak membuktikan forwarder mana yang menjawab: hasil dapat berasal dari cache atau jalur lain yang diizinkan. Untuk menguji DNS tujuan secara langsung, ulangi kueri www.microsoft.com dan ganti hanya nilai -Server dengan alamat sebenarnya yang disetujui. Bandingkan dari DC1 dan, jika diizinkan, CLIENT1. Aturan lalu lintas keluar dapat berbeda; kegagalan akses langsung dari klien tidak membuktikan bahwa DC1 juga tidak dapat memakai tujuan tersebut.

Bedakan kesalahan zona, cache, dan pemulihan pengaturan

Perubahan forwarder tidak memperbaiki record yang salah pada zona otoritatif lokal. NXDOMAIN berarti nama tidak ada, sedangkan NODATA berarti jenis record yang diminta tidak tersedia. Keduanya biasanya merupakan jawaban akhir dan tidak memicu percobaan ke forwarder lain. REFUSED berarti kueri ditolak, timeout berarti respons tidak diterima tepat waktu, dan SERVFAIL berarti resolusi tidak dapat diselesaikan. Panduan diagnosis server DNS membantu memisahkan masalah data lokal dari rekursi dan konektivitas.

Cache klien dan cache server DNS terpisah. Jika perlu mengosongkan salah satunya, pertimbangkan dampaknya dan tangani hanya cache yang relevan, lalu ulangi nama, jenis, dan server tujuan yang sama. Untuk membatalkan latihan, buka Properties DC1 → Forwarders → Edit dan hapus hanya alamat yang ditambahkan dalam latihan ini. Bandingkan daftar serta opsi dengan catatan awal sambil mempertahankan perubahan lain yang bukan bagian latihan. Ulangi kueri internal dan eksternal sesuai konektivitas yang direncanakan. Jangan menambahkan DNS publik alternatif pada klien domain untuk menutupi kegagalan penemuan layanan internal.