Windows Server 2025 / DNSフォワーダーを設定して名前解決を確認する
DNSフォワーダーは、自分で解決できない名前の問い合わせを別のDNSへ渡す設定です。ドメイン端末は内部DNSを使い、外部名を承認された上流DNSへ転送する構成にできます。
内部の回答と外部通信を分ける
DC1は自分の練習用ゾーンからfs1.lab.example.testを答えられます。www.microsoft.comのような外部名には別の経路が必要です。転送先IPを入力しても、ルーターやNATが自動でできるわけではありません。
完全隔離なら外部問い合わせの失敗は想定内です。まず内部名を確認し、転送の実演のためにDHCP実習ネットワークを会社のLANへ直結しないでください。
現在の転送と再帰設定を控える
DC1の管理者PowerShellで確認します。
Get-DnsServerForwarder
Get-DnsServerRecursion
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10通常のフォワーダーと、特定の名前空間だけを送る条件付きフォワーダーは用途が異なります。自分が保持するゾーンへ条件付き転送を追加しないようにします。動作とフォールバックはDNS転送の説明を確認します。
承認された上流DNSを追加する
- 実際のルーターやNATから到達可能で、利用が認められたDNSのIPを確認します。
- DNSマネージャーのDC1のプロパティから「フォワーダー」を開きます。
- 編集でIPを追加し、表示される検証結果を確認して保存します。
- 無関係な既存転送先、タイムアウト、ルートヒントの設定は保持します。
DC1自身や、同じ質問をDC1へ戻すDNSを転送先にするとループになります。コマンドを使う場合も一覧の追加と置換を区別し、既存値を失わないことを確認します。
同じ問い合わせ先で内部と外部を比較する
CLIENT1からDC1を明示して問い合わせます。
Resolve-DnsName 'fs1.lab.example.test' -Type A -Server 172.24.50.10
Resolve-DnsName 'www.microsoft.com' -Type A -Server 172.24.50.10外部サービスのIPは変わり得るため固定の値を成功条件にしません。外部だけ失敗するなら上流への通信と再帰、両方タイムアウトならCLIENT1からDC1とDNSサービスを先に調べます。
成功してもキャッシュや別の経路で回答した可能性があります。転送先を直接調べるならServer指定を変えますが、CLIENT1とDC1で外向き通信の許可が違う場合も考慮します。
キャッシュと設定を区別して戻す
ローカルゾーンの誤ったAレコードはフォワーダーでは直りません。NXDOMAIN、拒否、タイムアウトを分け、DNSサーバーの障害対応で権威データと再帰経路を確認します。
クライアントとDNSサーバーのキャッシュは別です。必要な側だけ影響を考えて消し、同じ質問で再確認します。戻すときは追加した転送先だけを削除して元の一覧と比較します。内部探索の不具合を、端末へパブリックDNSを混ぜて回避しないでください。
