Windows Server的DNS服务并不仅仅是一个域名解析器，从支持策略引擎开始，它就能根据客户端子网、查询时间、传输协议等条件返回不同的解析结果。这种机制为流量管理提供了一种非常灵活且成本低廉的手段，尤其适合不希望额外部署全局负载均衡设备的场景。比如同一台DNS服务器上的同一个域名，可以根据用户来自北京还是上海，返回对应数据中心的入口地址。这种按来源分流的能力，本质上是将DNS响应从静态记录变成动态决策，而实现这一切只需要系统内置角色和几条PowerShell命令。
一、理解DNS策略的流量管理逻辑
传统的DNS区域数据中，一条A记录通常只能指向一个IP地址。当多个机房同时提供同一服务时，管理员要么借助轮询机制，要么依赖外部全局负载均衡设备来分发流量。Windows Server的DNS策略则改变了这一限制：它允许在同一个区域下建立多个区域作用域，每个作用域内可以保存与主区域同名但解析结果不同的记录。当查询到达服务器时，策略引擎根据预先定义的条件判断该查询属于哪个客户端子网，随后从对应的区域作用域中选取记录返回。这样一来，北京客户端和上海客户端即使查询同一个域名，也会得到各自就近的入口地址。
这套机制由三个核心组件构成。第一个是客户端子网，它定义了IP地址范围，用于标识查询来源。第二个是区域作用域，相当于主区域的一个逻辑分区，可以存放独立的记录集合。第三个是查询解析策略，它把客户端子网、区域作用域以及查询条件绑定在一起，决定最终响应。三个组件相互配合，形成了完整的基于来源的流量调度链路。
除了按地理位置分流，DNS策略还支持按时间、查询类型、传输协议等维度进行决策。例如可以将一部分测试流量引导到新版本服务器，或者在工作时间将查询转发到不同的递归解析器。需要注意的是，DNS解析结果会被客户端本地缓存和转发器缓存，策略变更后不会立即影响所有用户。因此在涉及灾备切换等场景时，应当提前降低TTL值，以便策略调整能够更快地传播到终端。
二、创建客户端子网与区域作用域
配置的第一步是定义客户端子网。管理员需要梳理各办公网段或用户来源网段，确保客户端出口IP能够准确匹配。使用Add-DnsServerClientSubnet命令可以完成这一操作。下面的示例创建了两个子网，分别代表北京和上海的用户网段。
# 创建北京客户端子网 Add-DnsServerClientSubnet -Name "BeijingSubnet" -IPv4Subnet "10.10.0.0/16" # 创建上海客户端子网 Add-DnsServerClientSubnet -Name "ShanghaiSubnet" -IPv4Subnet "10.20.0.0/16"
上述命令中，-IPv4Subnet参数使用CIDR格式表示网段，-Name参数为该子网指定一个便于识别的名称。后续策略条件会引用这个名称，而不是直接填写IP范围。如果企业内部还有IPv6流量，也可以使用-IPv6Subnet参数单独定义。创建完成后可以通过Get-DnsServerClientSubnet查看已定义的子网列表，确认地址范围无误。
接下来需要为现有区域创建区域作用域。假设域名ipipp.com的主要区域已经存在，现在要建立两个作用域，分别存放北京和上海对应的解析记录。使用Add-DnsServerZoneScope命令可以快速完成作用域创建。
# 在ipipp.com区域下创建两个作用域 Add-DnsServerZoneScope -ZoneName "ipipp.com" -Name "BeijingScope" Add-DnsServerZoneScope -ZoneName "ipipp.com" -Name "ShanghaiScope"
作用域创建好后，需要在各个作用域中添加记录。下面的示例向BeijingScope添加了指向北京入口的A记录，向ShanghaiScope添加了指向上海入口的A记录。注意这两条记录的名称完全相同，只是作用域不同，这正是DNS策略能够返回不同结果的基础。
# 在BeijingScope中添加www的A记录 Add-DnsServerResourceRecord -ZoneName "ipipp.com" -ZoneScope "BeijingScope" -A -Name "www" -IPv4Address "10.10.1.10" # 在ShanghaiScope中添加www的A记录 Add-DnsServerResourceRecord -ZoneName "ipipp.com" -ZoneScope "ShanghaiScope" -A -Name "www" -IPv4Address "10.20.1.20"
完成以上步骤后，主区域中原本的默认记录仍然存在。如果某个查询没有匹配到任何策略，服务器会从默认作用域返回结果。这种设计允许管理员为所有用户提供一个兜底入口，同时为特定来源定制响应。默认作用域也可以单独配置权重，与区域作用域的内容共同参与决策。
三、编写查询解析策略实现按源分流
有了客户端子网和区域作用域，下一步就是把两者关联起来。Add-DnsServerQueryResolutionPolicy命令用于创建查询解析策略，其中-ClientSubnet参数指定匹配的客户端子网，-ZoneScope参数指定返回哪个作用域的记录。下面的策略让来源属于BeijingSubnet的查询返回BeijingScope中的记录，来源属于ShanghaiSubnet的查询返回ShanghaiScope中的记录。
# 北京来源查询策略 Add-DnsServerQueryResolutionPolicy -Name "RouteBeijing" -Action ALLOW -ClientSubnet "EQ,BeijingSubnet" -ZoneScope "BeijingScope,1" -ZoneName "ipipp.com" # 上海来源查询策略 Add-DnsServerQueryResolutionPolicy -Name "RouteShanghai" -Action ALLOW -ClientSubnet "EQ,ShanghaiSubnet" -ZoneScope "ShanghaiScope,1" -ZoneName "ipipp.com"
命令中-ClientSubnet "EQ,BeijingSubnet"的含义是匹配客户端子网名称等于BeijingSubnet。如果需要排除某个子网，可以将运算符改为NE。多个客户端子网条件可以用分号连接，例如"EQ,BeijingSubnet;EQ,ShanghaiSubnet"。而-ZoneScope "BeijingScope,1"表示返回BeijingScope作用域的记录，数字1是该作用域的权重。当同一个策略匹配多个作用域时，权重越大的作用域被选中的概率越高，这为灰度发布和按比例分流提供了支持。
策略执行顺序由-ProcessingOrder参数控制，数字越小越先被评估。默认情况下，后创建的策略处理顺序靠后。如果存在一个兜底策略，可以将其处理顺序设置为较大的数字，确保它只在其他条件都不匹配时生效。例如下面的策略允许未匹配任何子网的查询返回默认作用域记录。
# 兜底策略，处理顺序设为100 Add-DnsServerQueryResolutionPolicy -Name "DefaultRoute" -Action ALLOW -ZoneScope "DefaultScope,1" -ZoneName "ipipp.com" -ProcessingOrder 100
注意DefaultScope代表区域默认作用域，无需显式创建。策略中的-Action ALLOW表示允许查询继续进行，并应用后续的作用域选择逻辑。如果设置为-Action DENY，则会拒绝该查询。对于纯流量分流场景，使用ALLOW即可。除此之外，还可以结合-TimeOfDay参数实现基于时间的调度，例如只在夜间将部分流量切到备用机房，白天切回主用机房。
四、验证配置与诊断常见问题
配置完成后，可以通过一组查询命令确认策略是否生效。Get-DnsServerQueryResolutionPolicy可以列出所有策略及其处理顺序，Get-DnsServerClientSubnet可以检查已定义的客户端子网范围，Get-DnsServerZoneScope则能查看区域下有哪些作用域。实际测试时，找一台位于10.10.0.0/16网段内的客户端执行nslookup www.ipipp.com，如果返回10.10.1.10，说明北京策略已经正确匹配。再找一台上海网段的客户端重复测试，应返回10.20.1.20。如果测试机的出口IP做了NAT转换，需要确保转换后的地址仍然落在定义的子网内。
最常见的故障是客户端子网未生效，通常表现为所有客户端都返回默认记录。此时应检查客户端实际使用的DNS服务器是否就是配置了策略的那台服务器，以及客户端的出口IP是否与-IPv4Subnet参数严格匹配。子网掩码计算错误、漏掉某个分支机构网段，或者客户端经过代理导致源IP变化，都会让策略匹配失败。另一个高频问题是策略顺序错误，例如兜底策略的处理顺序数字太小，抢在其他策略之前被匹配，导致特定来源的查询被错误处理。使用Get-DnsServerQueryResolutionPolicy查看处理顺序，确认专用策略的数字小于兜底策略即可。
如果策略已经匹配但仍返回了错误的IP，应检查作用域中的记录是否正确，以及多个策略同时匹配时是否发生了权重混淆。DNS服务器的事件日志可以提供更细粒度的评估线索，在事件查看器中定位到应用程序和服务日志\Microsoft\Windows\DNS-Server，查看DNS服务器的操作日志。该路径中的反斜杠为系统标准路径分隔符，展开时请保持原样。通过日志可以确认策略是否被触发，以及触发时选择了哪个作用域。对于临时验证，还可以在服务器上使用Resolve-DnsName -Name www.ipipp.com -Server 127.0.0.1进行本地模拟，但要注意本地源IP通常会被识别为服务器自身地址，不能完全代表远端客户端来源。
Windows Server DNS策略流量管理DNS区域作用域修改时间：2026-09-30 19:20:09