内容摘要：公司技术部老张上周五差点把整个办公室的网络搞瘫痪。他图省事，在路由器上把DNS直接指向了某个公共解析服务，结果下午三点整，全公司二十多台电脑同时开始转圈——网页打不开，邮件收不了，连内部考勤系统都罢工

公司技术部老张上周五差点把整个办公室的内网网络搞瘫痪。他图省事，内网在路由器上把DNS直接指向了某个公共解析服务，内网结果下午三点整，内网全公司二十多台电脑同时开始转圈——网页打不开，内网邮件收不了，内网连内部考勤系统都罢工了。内网后来查了半天，内网发现是内网那个公共DNS服务商在下午恰好做了节点调整，把我们的内网请求全甩到了一个高延迟的备用节点上。

这事其实完全可以避免。内网内网DNS设置，内网说白了就是内网给公司内部网络配一个“翻译官”，专门把像file-server这样的内网内部主机名翻译成192.168.1.50这类IP地址。你可能会问，内网直接用IP不就行了？问题在于，一旦服务器迁移或者扩容，IP一变，所有依赖旧地址的同事都得手动改配置，而内网DNS能自动帮你指向新地址。

具体怎么设？核心就两步。第一步，找一台性能稳定的服务器（哪怕是台旧台式机也行），装上DNS服务软件。Windows Server自带的DNS角色就能干这事，Linux下用BIND或者更轻量的dnsmasq也完全够用。第二步，把公司内部那些经常变动的服务——比如文件共享、打印服务器、开发测试环境——统统写成“A记录”或“CNAME别名”，指向它们对应的真实IP。

但光配好还不够，最关键的坑在于“转发器”怎么填。如果你把内网DNS的转发器设成公共DNS（比如8.8.8.8），那内网查询会先走一遍公共解析，这既慢又容易出老张遇到的那种事故。正确的做法是：内网DNS只负责解析内部域名，一旦发现请求的是外部地址（比如www.baidu.com），就把它转发给运营商提供的DNS服务器。这样内外流量天然隔离，互不干扰。

还有个细节容易被忽略——客户端的指向。很多人改了服务器端，却忘了把电脑的网卡DNS地址从“自动获取”改成内网DNS的IP。更隐蔽的是，如果路由器开启了DHCP，它会默认把自身作为DNS下发给所有设备。你必须在路由器设置里把“DNS服务器”一栏手动填上内网DNS的地址，否则改了也白改。

内网DNS还有个隐藏好处：能拦截恶意域名。比如你在DNS里把某个广告追踪域名解析到127.0.0.1，全公司电脑打开网页时就会自动跳过那些烦人的弹窗。我见过有运维同事用这招，把视频网站的域名解析到内网一个提示页，午休时间刷剧的人瞬间少了一半。

最后提醒一句，内网DNS服务器别图省事装在有公网IP的机器上。一旦暴露到公网，很容易被黑客利用做DNS放大攻击——别人拿你的服务器当跳板去攻击别人，最后警察找上门的是你。老老实实放在内网，防火墙只允许内部网段访问53端口，基本就能睡个安稳觉了。