公司新来的内网实习生抱着笔记本找我，说连上WiFi后打不开内部OA系统，意思但百度倒是内网刷得飞起。我看了眼他的意思网络配置，DNS服务器填的内网是8.8.8.8。问题就出在这儿——他用了公网DNS，意思压根不知道内网DNS是内网干嘛的。

内网DNS，意思说白了就是内网只在你公司或组织内部用的域名解析服务。它不对外网开放，意思外面的内网人也访问不到。你打开浏览器输入oa.company.com，意思这个域名在公网DNS里根本查不到，内网因为它是意思内部域名。只有内网DNS服务器知道这个域名对应的内网是192.168.1.50这样的私有IP。公网DNS看到这个请求只会一脸懵，返回个“找不到”。

那为什么不用公网DNS直接解析内部地址？因为私有IP地址在公网没有路由，就算解析出来你也连不上。而且把内部服务器地址暴露到公网DNS，等于告诉全世界你家里保险柜放哪。内网DNS解决的正是这两个问题：一是让内部域名能正确指向私有IP，二是把这些信息圈在内部，不泄露出去。

我待过的一家公司，内网DNS还承担了更细的活。测试环境和生产环境用了同一套域名，比如api.service.com。但测试人员访问时应该走测试服务器，生产用户走生产服务器。怎么区分？内网DNS根据来源IP段做智能解析。办公区IP返回测试环境地址，生产网段返回生产地址。这种玩法公网DNS也能做，但内网DNS更灵活，改条记录几秒钟生效，不用等TTL过期。

搭建内网DNS通常用BIND或者Windows Server自带的DNS角色。小公司可能直接在路由器上开个DNS转发，把内部域名指到一台服务器，其他请求转发给公网DNS。大公司就复杂了，主从架构、区域传送、DNSSEC、跟DHCP联动动态更新记录。我见过最狠的是用内网DNS做灰度发布，按用户IP段返回不同版本的服务器地址，运维连负载均衡器都不用碰。

有个坑得提一下。很多人以为内网DNS就是hosts文件的升级版。hosts文件确实能解析内部域名，但每台机器都得手动维护，改个IP要挨个改。内网DNS是集中管理，改一处全网生效。而且hosts文件优先级高于DNS，有时候你改了DNS记录发现没生效，八成是某台机器的hosts文件里还留着旧记录。

排查内网DNS问题有个简单办法。Windows上用nslookup，Linux上用dig。指定内网DNS服务器地址查询内部域名，看返回的IP对不对。如果超时，检查防火墙有没有放行53端口。如果返回公网IP，说明查询请求被转发到外网DNS了，得检查DNS服务器上的转发器配置。我遇到过最诡异的情况是内网DNS返回了正确IP，但客户端还是连不上，最后发现是客户端缓存了旧的DNS记录。Windows上ipconfig /flushdns清一下就好。

内网DNS还有个隐藏功能：广告拦截。有些公司在内网DNS上把已知的广告域名解析到0.0.0.0，全公司电脑都清净了。这比每台机器装广告拦截插件省事多了。不过得小心别误杀，之前有同事把某个CDN域名给拦了，结果内部系统加载不出样式表，排查了半天。

说到底，内网DNS就是内部网络的电话簿。它不神秘，但没它内部服务就得靠记IP地址访问。你记不住192.168.1.50是OA还是邮件服务器，但oa.company.com一看就明白。这层抽象让网络管理变得可控，也让内部服务有了稳定的访问入口。下次连上公司WiFi打不开内部系统，先看看DNS填对了没。

(责任编辑：焦点)