防止DNS区域被域外盗取，核心是阻断未经授权的区域传输：严格限制仅向指定IP进行区域传输；启用DNSSEC确保响应真实可信；禁用递归查询并设为权威服务器；强化系统访问控制与防火墙策略。
防止 dns 区域被域外盗取，核心是阻断未经授权的区域传输（zone transfer）。windows server dns 默认允许向 ns 记录所列服务器传输，但这仍可能被滥用。必须主动收紧为“仅限指定 ip”，并辅以其他防护层。
严格限制区域传输目标 IP
这是最直接有效的防线：
- 在 DNS 管理器中右键对应正向或反向查找区域 → “属性” → 切换到“区域传输”选项卡
- 勾选“允许区域传输”，然后选择“只允许传输到下列服务器”
- 点击“编辑”，输入你认可的辅助 DNS 服务器的**确切 IPv4 地址**（如 192.168.10.5、10.20.30.40），每行一个
- 确保不勾选“允许复制到任何服务器”或“仅限 NS 记录中的服务器”——后者不够安全
启用 DNSSEC 验证签名
DNSSEC 不防区域传输，但能阻止盗取后的伪造使用：
- 对区域启用签名：在 DNS 管理器中右键区域 → “DNSSEC” → “签名此区域”，按向导完成密钥生成与 RRSIG/DNSKEY 记录发布
- 确保父区域（如 .com 或公司根域）已配置 DS 记录，形成信任链
- 客户端（如 Windows 10/11）会自动验证响应签名；若签名无效，解析失败，恶意解析结果无法生效
关闭递归查询并禁用开放解析
避免 DNS 服务器被当成公共解析器，间接暴露区域信息：
- 在 DNS 管理器中右键服务器名 → “属性” → “高级”选项卡 → 勾选“禁用递归”
- 同时在“根提示”选项卡中清空所有根提示条目（或保留但确保不对外提供递归服务）
- 确认该服务器仅作为权威服务器（Authoritative Only），不响应非本地区域的查询
加固服务器本身访问控制
从系统层面切断攻击者接触 DNS 配置的路径：
- 确保 DNS 服务运行账户权限最小化，不使用 Administrator 或 Domain Admin
- 在 Windows 防火墙中，仅放行 TCP/UDP 53 端口给可信子网（如内部管理网段），拒绝来自公网或 DMZ 的区域传输请求（TCP 53）
- 定期审计 DNS 日志（事件查看器 → DNS Server → Analytic 日志需手动启用），排查异常的 AXFR 请求
