DNS服务器因开放递归遭滥用而崩溃，须立即禁用递归、防火墙限制53端口访问源、清空根提示，并通过条件转发器为内网提供可控解析。
DNS递归查询压力过大导致崩溃，本质是服务器被当作开放递归服务器使用，承受了远超设计能力的外部查询请求。这不是资源不足的简单问题，而是配置策略失当引发的拒绝服务风险。核心解决方向是：**关闭非必要递归 + 限制访问源 + 隔离内外流量路径**。
立即切断开放递归入口
Windows DNS默认开启递归，若未加约束，公网任意主机都可向你发起递归查询，极易被用于DNS放大攻击或耗尽CPU/内存。
- 打开DNS管理器 → 右键服务器 → “属性” → “高级”选项卡
- 勾选“禁用递归（也禁用循环查找）”
- 重启DNS服务：net stop dns && net start dns
- 验证是否生效：在服务器上运行 nslookup -type=soa example.com 127.0.0.1，应返回“Query refused”或超时，而非IP地址
用防火墙精准控制53端口入站来源
DNS本身不支持传统ACL语法，但可通过系统级防火墙实现等效控制，这是最直接有效的访问层防护。
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
- 只放行可信子网：如内网客户端段 192.168.10.0/24、管理网段 10.20.30.0/24
- 阻止所有公网IP对UDP/TCP 53端口的入站连接（尤其注意云环境安全组也要同步配置）
- 禁用“允许来自任何IP的DNS请求”类默认规则
清空根提示，防止禁用递归后回退失效
即使勾选了“禁用递归”，若根提示列表仍存在，部分查询可能绕过策略尝试向外迭代，造成隐性负载。
- 进入DNS管理器 → 服务器属性 → “根提示”选项卡
- 清空全部13组根服务器地址（a–m.root-servers.net开头的条目）
- 该操作确保禁用递归后，服务器彻底无法对外发起任何解析尝试
为内网业务保留可控解析能力
完全禁用递归后，内部用户仍需解析内网域名（如corp.local）和部分公网域名。此时应通过条件转发器+内部权威DNS组合实现闭环。
- 对内网域名（如corp.local）配置条件转发器，目标指向域控DNS或内部权威服务器
- 避免将公网DNS（如8.8.8.8）设为转发器——它不校验源IP，外部请求仍可借道发出
- 确保条件转发器目标本身也已禁用递归并受防火墙保护，防止形成新跳板
