DNS区域传送默认禁用，需在主服务器显式配置IP白名单或NS记录验证；从服务器通过辅助区域配置并依赖SOA序列号更新同步，推荐使用TSIG密钥增强安全性。
dns区域传送（zone transfer）在windows server dns中默认是禁用的，必须显式配置授权才能允许从服务器获取主区域数据。安全限制的核心在于：只有明确列出的ip地址或服务器才能发起axfr/ixfr请求，且主服务器必须启用并严格控制传送范围。
主服务器上的安全限制设置
Windows DNS服务不会自动允许任何外部服务器进行区域传送，即使对方配置为从服务器。必须手动配置以下两项之一：
- 仅允许特定IP地址：在DNS管理器中右键主区域 → “属性” → “区域传送”选项卡 → 勾选“只允许下列服务器” → 输入从服务器的IPv4或IPv6地址（不支持主机名）
- 仅允许NS记录中列出的服务器：勾选“仅允许下列服务器列表中列出的服务器”，此时DNS会检查该区域的NS资源记录，并只向其中A/AAAA记录解析出的IP地址响应传送请求
注意：若选择后者，务必确保NS记录中的主机名能被主服务器自身正确解析，否则传送失败；同时，NS记录变更后需等待本地缓存刷新或重启DNS服务才能生效。
从服务器的正确配置步骤
从服务器本身不主动“拉取”数据，而是由主服务器在区域更新时推送通知（Notify），或从服务器按SOA中定义的刷新间隔（Refresh Interval）定时发起AXFR/IXFR请求。配置要点如下：
- 添加辅助区域：在从服务器DNS管理器中右键“正向查找区域” → “新建区域” → 选择“辅助区域” → 输入与主区域完全一致的域名 → 指定主DNS服务器的IP地址（必须是主服务器上已授权的IP）
- 验证SOA同步：创建成功后，从服务器会立即尝试传送。可通过查看事件查看器中“DNS Server”日志（ID 4015、4016表示成功，4006、4010表示拒绝或超时）确认状态
- 禁止反向配置主从关系：辅助区域不可再作为其他服务器的主服务器，Windows DNS不支持多级从属链（如 A→B→C），仅支持一级主-从结构
常见故障与排查方向
区域传送失败通常不是网络连通性问题，而是权限或配置不匹配导致：
- 主服务器拒绝请求：检查主服务器“区域传送”设置是否开启、IP是否拼写错误（如多空格、含IPv6缩写未展开）、防火墙是否放行UDP/TCP 53端口（传送使用TCP）
- 从服务器无法启动辅助区域：确认主服务器IP可ping通且53端口可达（可用telnet或Test-NetConnection测试TCP连接），并核对区域名称大小写是否完全一致（DNS区域名区分大小写）
- 传送后无更新：检查主服务器SOA记录中的“序列号（Serial Number）”是否递增（每次修改区域后需手动或通过DNS管理器自动更新），否则从服务器认为数据未变更而不重传
增强安全性的补充建议
生产环境中应进一步收紧区域传送风险：
- 禁用Notify或限制Notify目标：在主服务器区域属性 → “通知”选项卡中，取消勾选“向下列服务器发送通知”，或仅指定从服务器IP，防止恶意服务器利用Notify触发探测
- 使用TSIG密钥认证（推荐）：在主从服务器上配置相同名称和密钥的TSIG密钥，然后在区域传送设置中启用“仅允许使用TSIG密钥的服务器”。这比IP白名单更可靠，可防IP欺骗
- 分离管理与查询端口（高级）：通过注册表设置DNS服务监听不同IP或端口用于管理操作（如传送）与普通查询，但需配合防火墙策略，操作复杂度较高，一般场景不强制要求
