Windows Server 中 DNS 服务器的新增功能网络协议

在 Windows Server 2016 中，DNS 服务器在以下方面提供了增强的支持。

功能性	新的或改进的	描述
DNS 策略	新的	您可以配置 DNS 策略以指定 DNS 服务器如何响应 DNS 查询。DNS 响应可以基于客户端 IP 地址（位置）、一天中的时间和其他几个参数。DNS 策略支持位置感知 DNS、流量管理、负载平衡、裂脑 DNS 和其他场景。
响应率限制 (RRL)	新的	您可以在 DNS 服务器上启用响应速率限制。通过这样做，您可以避免恶意系统使用您的 DNS 服务器对 DNS 客户端发起拒绝服务攻击的可能性。
基于 DNS 的命名实体身份验证 (DANE)	新的	您可以使用 TLSA（传输层安全身份验证）记录向 DNS 客户端提供信息，说明他们应该从哪个 CA 获得您的域名的证书。这可以防止中间人攻击，其中有人可能会破坏 DNS 缓存以指向他们自己的网站，并提供他们从不同 CA 颁发的证书。
未知记录支持	新的	您可以使用未知记录功能添加 Windows DNS 服务器未明确支持的记录。
IPv6 根提示	新的	您可以使用本机 IPV6 根提示支持来使用 IPV6 根服务器执行 Internet 名称解析。
Windows PowerShell 支持	改进	新的 Windows PowerShell cmdlet 可用于 DNS 服务器。

DNS 策略您可以将 DNS 策略用于基于地理位置的流量管理、基于时间的智能 DNS 响应、管理为裂脑部署配置的单个 DNS 服务器、对 DNS 查询应用过滤器等。以下各项提供了有关这些功能的更多详细信息。

应用程序负载平衡。当您在不同位置部署了应用程序的多个实例时，您可以使用 DNS 策略来平衡不同应用程序实例之间的流量负载，为应用程序动态分配流量负载。
基于地理位置的交通管理。您可以使用 DNS 策略允许主 DNS 服务器和辅助 DNS 服务器根据客户端的地理位置和客户端尝试连接的资源来响应 DNS 客户端查询，为客户端提供最近资源的 IP 地址.
裂脑 DNS。使用裂脑 DNS，DNS 记录在同一 DNS 服务器上被拆分为不同的区域范围，DNS 客户端根据客户端是内部客户端还是外部客户端接收响应。您可以为 Active Directory 集成区域或独立 DNS 服务器上的区域配置裂脑 DNS。
过滤。您可以配置 DNS 策略以创建基于您提供的条件的查询过滤器。DNS 策略中的查询过滤器允许您配置 DNS 服务器以基于 DNS 查询和发送 DNS 查询的 DNS 客户端以自定义方式响应。
取证。您可以使用 DNS 策略将恶意 DNS 客户端重定向到不存在的 IP 地址，而不是将它们定向到它们尝试访问的计算机。
基于时间的重定向。您可以使用基于时间的 DNS 策略在应用程序的不同地理分布实例之间分配应用程序流量。

您还可以将 DNS 策略用于 Active Directory 集成 DNS 区域。
有关详细信息，请参阅DNS 策略方案指南。
响应率限制您可以配置 RRL 设置以控制当您的服务器收到多个针对同一客户端的请求时如何响应对 DNS 客户端的请求。通过这样做，您可以防止有人使用您的 DNS 服务器发送拒绝服务 (Dos) 攻击。例如，僵尸网络可以使用第三台计算机的 IP 地址作为请求者向您的 DNS 服务器发送请求。如果没有 RRL，您的 DNS 服务器可能会响应所有请求，从而淹没第三台计算机。使用 RRL 时，可以配置以下设置：

每秒响应数。这是在一秒钟内向客户端提供相同响应的最大次数。
每秒错误数。这是在一秒钟内向同一客户端发送错误响应的最大次数。
窗口。这是在发出过多请求时暂停对客户端的响应的秒数。
泄漏率。这是在响应暂停期间 DNS 服务器响应查询的频率。例如，如果服务器暂停对客户端的响应 10 秒，并且泄漏率为 5，则服务器仍然每发送 5 个查询响应一个查询。即使 DNS 服务器对其子网或 FQDN 应用响应速率限制，这也允许合法客户端获得响应。
TC 率。这用于告诉客户端在暂停对客户端的响应时尝试使用 TCP 连接。例如，如果 TC 速率为 3，并且服务器暂停对给定客户端的响应，则服务器每收到 3 个查询就发出 TCP 连接请求。确保 TC rate 的值低于泄漏率，以便客户端在泄漏响应之前可以选择通过 TCP 连接。
最大响应。这是响应暂停时服务器向客户端发出的最大响应数。
允许列表域。这是要从 RRL 设置中排除的域列表。
白名单子网。这是要从 RRL 设置中排除的子网列表。
允许列表服务器接口。这是要从 RRL 设置中排除的 DNS 服务器接口列表。