DNS子域授权是将子域名（如dev.example.com）解析权从父域服务器移交至专用DNS服务器的过程，需配置NS与A记录、验证响应并注意FQDN结尾点号等细节。

什么是DNS子域授权与委派

子域授权（delegation）是将某个子域名的解析权限，从父域dns服务器移交到另一台（或一组）dns服务器的过程。例如，把 dev.example.com 的解析权交给专门负责开发环境的dns服务器，而不是由主域 example.com 的dns统一处理。这能实现管理分离、负载分担和安全隔离。

配置前的必要准备

确保以下条件已满足：

• 父域DNS服务器（如 example.com）运行正常，且你有管理员权限
• 子域DNS服务器（如负责 dev.example.com 的服务器）已安装并配置好DNS服务，能响应查询
• 子域DNS服务器拥有固定IP地址，并已在父域中可被网络访问（防火墙放行UDP/TCP 53端口）
• 子域DNS服务器上已创建正向查找区域 dev.example.com，并至少包含一条NS记录和对应的A记录

在Windows DNS管理器中添加委派

登录父域DNS服务器，在“DNS管理器”中定位到父域区域（如 example.com），右键选择“新建委派…”：

• 在“委派名称”中输入子域名部分，例如填 dev（不是 dev.example.com）
• 点击“添加”，输入子域DNS服务器的FQDN（如 ns1.dev.example.com）及其IPv4地址（必须准确，否则委派失败）
• 确认后，系统自动生成两条记录：一条NS记录指向子域DNS服务器，一条对应A记录（主机记录）解析该NS名称
• 若子域DNS服务器使用多个NS，需逐一添加；每条NS都应有对应的A（或AAAA）记录

验证委派是否生效

不要仅依赖DNS管理器界面显示，务必通过实际查询验证：

• 在客户端执行：nslookup -type=ns dev.example.com，应返回你配置的子域NS服务器名称
• 再执行：nslookup www.dev.example.com，结果应由子域DNS服务器响应（查看响应头中的server字段）
• 使用 dnscmd /info 或 Get-DnsServerZone（PowerShell）检查父域中是否生成了正确的NS和A记录
• 注意：本地DNS缓存可能干扰测试，可用 ipconfig /flushdns 清理，或换用未缓存的公共DNS（如8.8.8.8）作递归对比

常见问题与注意事项

委派配置失败多数源于细节疏漏：

• NS记录的FQDN末尾必须带点（.），例如 ns1.dev.example.com.，否则会被当作相对名自动补全为 ns1.dev.example.com.example.com.
• 子域DNS服务器自身必须能正确解析父域（如example.com），否则可能出现循环或无法回溯
• 如果子域DNS服务器使用Active Directory集成区域，确保其所在域控制器时间同步、复制正常
• 删除委派时，DNS管理器不会自动清理关联的A记录，需手动检查并删除，避免残留记录引发混淆