macOS企业DNS解析需结合“网络位置+专属DNS”与“/etc/resolver/域名分流”双策略：前者切换场景自动启用内网DNS（如192.168.10.2），后者强制hr.internal等内部域名始终走企业DNS，公网域名不受影响，配合缓存刷新和MDM批量部署确保安全精准解析。

macOS 作为企业内部 DNS 解析客户端，核心目标是：让设备在接入公司网络时，自动、安全、准确地使用内网 DNS（如 192.168.10.2 或 10.1.1.50）解析内部域名（如 hr.internal、gitlab.corp、devops.intra），同时不影响公网域名的正常访问。这不是简单改个 DNS 地址，而是要实现「按场景分流」与「按域名精准控制」的组合策略。

用「网络位置 + 专属 DNS」绑定企业环境

这是最稳妥、系统原生支持的方式，适合大多数企业办公场景：

• 打开系统设置 → 网络 → 编辑位置… → + 新建位置，命名为“公司内网”
• 选中该位置后，在左侧服务列表中点击“Wi-Fi”或“以太网”，再点右侧“详细信息…” → 切换到“DNS”标签页
• 清空原有 DNS，只添加企业指定的内网 DNS 服务器（例如 192.168.10.2 和备用 192.168.10.3）
• 点击“好”→“应用”。之后只要顶部菜单栏选择“公司内网”，系统立刻启用这套 DNS

为内部域名强制走企业 DNS（/etc/resolver/ 方式）

当企业有专属域名（如 corp、intra、ad.company.com），且需确保所有 macOS 设备无论连什么网络都解析正确，就用这个方法：

IntoDNS.ai

免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。

下载

• 终端执行：sudo mkdir -p /etc/resolver
• 为域名创建专属 resolver 文件：echo "nameserver 192.168.10.2" | sudo tee /etc/resolver/corp
• 若还有 intra 域，再运行：echo "nameserver 192.168.10.2" | sudo tee /etc/resolver/intra
• 检查权限：sudo ls -l /etc/resolver/corp 应显示 -rw-r--r--，属主为 root:wheel
• 刷新缓存：sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder

验证是否真正生效

别只看设置界面，要测行为：

• 查内网域名：dig hr.internal +short —— 应返回内网 IP（如 10.20.30.40）
• 查公网域名：dig github.com +short —— 应仍能正常返回，说明未被拦截或污染
• 确认当前 DNS 路由：scutil --dns | grep 'nameserver'（注意：/etc/resolver/ 规则不会出现在这里，属正常）
• 查具体域名用了哪个 resolver：scutil --dns | grep -A5 'resolver #' 可看到匹配顺序

注意事项与企业部署提示

实际落地时容易踩坑：

• 企业 DNS 若启用了 DNSSEC 或要求 EDNS 客户子网（ECS），需确认 macOS 的 mDNSResponder 兼容性；必要时可在 /etc/resolver/ 文件中加 options edns0（需 macOS 14+）
• 若设备加入 Jamf 或 Kandji 等 MDM，可通过配置描述文件（Configuration Profile）批量部署 /etc/resolver/ 文件和网络位置，避免手动操作
• 遇到“DNS权限受限”提示（常见于 macOS 13+ 企业版），需在系统设置 → 网络 → 过滤条件中启用对应的企业网络代理或 DNS 过滤服务
• 部分企业应用（如 Cisco AnyConnect、Palo Alto GlobalProtect）会覆盖 DNS 设置，建议将其 DNS 配置设为“仅用于隧道内流量”，保留主接口 resolver 规则