Windows上用BIND9搭建主从DNS需完成：安装BIND9并生成rndc.key；主服务器配置named.conf（含acl、recursion no、also-notify）和db.lab.internal（Serial递增、SOA末尾带点）；从服务器配置named.conf（type slave、masters指向主IP）并创建slaves目录赋权；启动服务后用rndc retransfer和dig axfr验证同步。
在 Windows 系统上用 BIND9 搭建主从 DNS 解析服务，核心目标是让内网客户端无论访问哪台 DNS 服务器（主或从），都能获得一致、可靠、低延迟的域名解析结果，且主服务器宕机时从服务器能立即接管——这要求你绕过 Windows 自带 DNS Server 的图形界面限制，直接操作 BIND9 的文本配置与权限体系。
安装并初始化 BIND9 主程序
下载 ISC 官方提供的 Windows 版 BIND9 安装包（如 BIND 9.18.x），解压后双击 BINDInstall.exe 启动安装向导；目标路径建议设为 C:\BIND9，避免空格和中文路径，否则 named 服务启动时会因路径解析失败而报错 1067；安装过程中务必勾选 “Automatic Startup”，但取消勾选 “Start BIND Service After Install”——因为此时配置文件尚未写入，强行启动必然失败。
安装完成后，打开命令提示符（以管理员身份运行），执行：
cd /d C:\BIND9\bin
rndc-confgen -a
该命令会在 C:\BIND9\etc\ 下生成 rndc.key 文件，这是主从同步和远程控制的密钥基础，【若跳过此步，后续所有 notify 和 transfer 都将被拒绝】。
配置主服务器（Master）named.conf
在 C:\BIND9\etc\ 目录下新建文本文档，重命名为 named.conf，写入以下内容（注意：Windows 路径中反斜杠需双写或改用正斜杠）：
acl "trusted" { 127.0.0.1; 192.168.1.0/24; };
options {
directory "C:/BIND9/etc";
version "not disclosed";
allow-query { trusted; };
allow-transfer { trusted; };
allow-notify { trusted; };
notify yes;
recursion no;
};
zone "lab.internal" {
type master;
file "db.lab.internal";
notify yes;
also-notify { 192.168.1.10; }; // 从服务器IP
};
关键点：recursion no 是强制关闭递归查询，确保这台机器只承担权威解析角色；【also-notify 必须显式写出从服务器 IP，BIND9 不会自动广播 NOTIFY，漏写将导致从服务器永远收不到更新通知】。
编写主区域文件 db.lab.internal
在 C:\BIND9\etc\ 下新建文件 db.lab.internal，内容如下：
$TTL 3600
@ IN SOA ns1.lab.internal. admin.lab.internal. (
2026102301 ; Serial —— 必须每次修改后手动+1
3600 ; Refresh
1800 ; Retry
604800 ; Expire
3600 ; Minimum
)
IN NS ns1.lab.internal.
IN NS ns2.lab.internal.
ns1 IN A 192.168.1.5
ns2 IN A 192.168.1.10
web IN A 192.168.1.100
db IN A 192.168.1.101
Serial 格式推荐用年月日+两位序号（如 2026102301），便于人工追踪变更顺序；【SOA 记录末尾的点号 . 绝对不能省略，否则 BIND 会把 lab.internal 当作子域拼接，导致解析失败】。
Windows 桌面自动化技能，支持鼠标控制（移动/点击/拖拽/滚轮/截图）、键盘输入（文字输入/按键/组合键）、窗口管理（查找/聚焦/最大化/最小化/关闭/移动）、截图并发送文件。提供两种截图方式：Python pyautogui 截图（集成在自动化流程中）和 PowerShell + .NET 零依赖截图（支持区域截图和多显示器）。当用户需要自动化 Windows 桌面操作、控制鼠标键盘、管理窗口、执行 GUI 自动化任务、截图发送文件时使用。
配置从服务器（Slave）named.conf
在从服务器（IP 为 192.168.1.10）上完成相同安装流程后，编辑其 C:\BIND9\etc\named.conf：
acl "trusted" { 127.0.0.1; 192.168.1.0/24; };
options {
directory "C:/BIND9/etc";
version "not disclosed";
allow-query { trusted; };
recursion no;
};
zone "lab.internal" {
type slave;
file "slaves/db.lab.internal"; // 注意路径含 slaves 子目录
masters { 192.168.1.5; }; // 主服务器IP
};
必须创建 C:\BIND9\etc\slaves 目录，并赋予 named 用户对该目录的完全控制权限（右键→属性→安全→编辑→添加 named →勾选“完全控制”）；【BIND9 在 Windows 上不会自动创建 slaves 目录，也不提示缺失，而是静默失败并记录 SERVFAIL 错误】。
启动服务并验证同步状态
依次在主、从服务器上执行：
net start named
若启动失败，先检查 Windows 事件查看器 → Windows 日志 → 应用程序，过滤来源为 named 的错误；常见原因包括 rndc.key 权限不足、slaves 目录缺失、SOA 中 Serial 未递增、防火墙拦截 UDP/TCP 53 端口。
主服务器上执行：
rndc retransfer lab.internal
从服务器上执行：
dig @127.0.0.1 lab.internal axfr | findstr "web db"
若返回 web.lab.internal 和 db.lab.internal 的 A 记录，则 AXFR 区域传输成功；再执行：
dig @192.168.1.10 web.lab.internal
返回 192.168.1.100 即表示从服务器已可对外提供权威解析服务。
