# Windows Server 2025 DNS 与 DHCP：别把家里网络搞挂的实验

> 在 Windows Server 2025 实验域控上安装 DNS/DHCP，设置转发器、作用域和选项，授权 DHCP，并避免制造 rogue 服务器。

**测试环境**

- 版本号: 26100.33650
- 版本: Standard / Datacenter
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-28

## 一句话结论

DNS 和 DHCP 装起来容易，搞挂局域网也容易。实验里：

- DNS 通常随 AD DS 安装；再加转发器解析外网。
- DHCP 必须先在 AD 里**授权**才能服务客户端。
- 网络上已有 DHCP 时，不要再起第二个，除非你控制作用域和交换机。

只需要实验名字解析，DNS 就够；需要客户端自动拿地址，再加 DHCP。

## DNS

在 DC 上：

```powershell
Get-DnsServerForwarder
Add-DnsServerForwarder -IPAddress 1.1.1.1,9.9.9.9
Resolve-DnsName microsoft.com
```

- DC 自己的 DNS 指向自己；转发器负责外网。
- 不要在 DC 网卡上配公网 DNS；会造成分裂解析路径。
- 实验可开递归；公网 DNS 服务器要另做设计。
- 内网（`dc1.lab.internal`）和外网名字都要测。

## DHCP

```powershell
Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerv4Scope -Name 'Lab' -StartRange 10.10.10.100 -EndRange 10.10.10.199 -SubnetMask 255.255.255.0
Set-DhcpServerv4OptionValue -ScopeId 10.10.10.0 -Router 10.10.10.1 -DnsServer 10.10.10.10 -DnsDomain lab.internal
Add-DhcpServerInDC -DnsName dc1.lab.internal -IPAddress 10.10.10.10
```

然后：

- 设 option 003（路由）、006（DNS）、015（域）；
- 排除 DC/路由地址；
- 给服务器/打印机留 reservation；
- 客户端 `ipconfig /renew` 测试；
- `Get-DhcpServerv4Lease` 看租约。

> **危险: Rogue DHCP 能让整个局域网瘫痪**
>
> 未授权 DHCP 会发错网关/DNS，所有客户端都坏。AD 里授权，并确认网段没有其他 DHCP。共享实验环境用隔离虚拟网络。

## 验证

```powershell
Get-DhcpServerv4Scope
Get-DhcpServerv4OptionValue
Get-DhcpServerInDC
Get-DnsServerZone
Resolve-DnsName dc1.lab.internal
```

客户端：

```powershell
ipconfig /all
ipconfig /renew
nltest /dsgetdc:lab.internal
```

客户端拿到地址但解析不了域，先查 option 006 和 DC 的 DNS 服务，别急着重装。

## 实验边界

- 单 DNS/DHCP 是实验，不是冗余。
- DHCP failover 是另一套设计；不要把单作用域说成高可用。
- 作用域留在隔离实验网；不要泄漏到家庭 LAN。
- 改作用域/选项前打快照；写下回滚。

## 来源

- [Microsoft Learn — DNS 概述](https://learn.microsoft.com/zh-cn/windows-server/networking/dns/dns-top)
- [Microsoft Learn — DHCP 概述](https://learn.microsoft.com/zh-cn/windows-server/networking/technologies/dhcp/dhcp-top)

---

来源页面: https://winbook.fyi/zh/server/roles/dns-dhcp/