核心是区域传送机制：主DNS需配置allow-transfer并开放TCP 53端口，从DNS建辅助区域并填对主IP；SOA中Serial递增触发同步，Refresh控制检查频率，修改后须重载服务。
可以实现主备DNS服务器自动同步记录，核心是靠区域传送（Zone Transfer）机制，不是手动复制，也不依赖外部脚本。只要主从配置正确，从服务器启动后会主动向主服务器请求数据，并在主服务器更新后自动拉取新记录。
主DNS服务器必须开放区域传送权限
主服务器要明确允许哪些IP地址来获取它的区域数据：
- 在BIND中，通过
allow-transfer { 10.0.0.16; };指定从服务器IP - Windows Server DNS中，在区域属性 → “区域传送”选项卡里勾选“允许区域传送”，并指定“仅到下列服务器”，填入备DNS的IP
- 必须确保主服务器的防火墙放行TCP 53端口（区域传送走TCP，不是UDP）
从DNS服务器需配置为辅助区域
从服务器不能自己新建“主要区域”，必须创建辅助区域（Secondary Zone），并准确填写：
- 区域名称（必须和主服务器完全一致，包括大小写和点号，如
example.com.） - 主服务器的IP地址（即主DNS监听的IPv4地址）
- 安装DNS角色后，直接在DNS管理器中右键→“新建区域”→选“辅助区域”→按提示输入即可
Windows和Linux都会在创建完成后立即发起首次全量同步（AXFR），之后按SOA记录中的刷新时间（refresh）周期性检查变更。
IntoDNS.ai
下载
免费 DNS 与邮件安全分析（IntoDNS.ai）：包括 DNSSEC、SPF、DKIM、DMARC、MTA-STS、BIMI、SMTP STARTTLS、FCrDNS、黑名单、发件人要求及报告。
SOA记录决定同步行为和时效性
每个区域的SOA（起始授权机构）记录控制同步节奏，关键字段含义如下：
- Serial（序列号）：主服务器每次修改记录后必须递增该值，从服务器靠它判断是否需要同步
- Refresh（刷新间隔）：从服务器多久查一次主服务器的Serial，默认3600秒（1小时）
- Retry（重试间隔）：若Refresh失败，隔多久再试，默认900秒
- Expire（过期时间）：连续多次Refresh失败后，从服务器停止应答，默认604800秒（7天）
- Minimum（最小TTL）：影响缓存时间和负缓存，默认86400秒
修改主服务器区域文件后，务必更新Serial（推荐用年月日+序号格式，如 2026091601），然后重载服务（rndc reload 或 systemctl reload named）。
验证同步是否生效
- 在从服务器上执行
dig @10.0.0.16 example.com axfr（Linux）或用dnscmd /zoneexport example.com export.txt（Windows）查看是否能拉到完整记录 - 查询某条记录，比如
nslookup www.example.com 10.0.0.16，确认返回结果与主服务器一致 - 检查系统日志：Linux看
/var/log/named/named.log中是否有transfer of 'example.com/IN' from 10.0.0.113#53: ended；Windows看DNS服务器事件查看器中“信息”级事件ID 4015或4016
不复杂但容易忽略
