将父域添加为 DNS 内的附加区域是否安全？

Question

我们的内部 Windows 域是 ad.company.co.uk。

当我们尝试访问 mail.company.co.uk（例如，用于 OWA 或 Outlook Anywhere）时，它会解析为路由器的外部 IP 地址，并且由于路由器无法配置反射 NAT 而卡住。

我读到分割 DNS 是允许通过外部 IP 地址访问内部资源的最佳方式。

在内部 DNS 服务器 company.co.uk 中添加另一个区域并设置重复邮件、www、自动发现等 A 记录是否安全，同时又不会干扰内部 Windows 域中已使用的现有子域？如果不知道任何潜在的不利影响（当然，如果有的话），我并不想在生产环境中尝试它。

希望这有意义。

Answer 1

您要做的是“教科书式”的拆分 DNS，即使不鼓励，也是非常安全的。

拆分 DNS 的唯一缺点是它会增加管理负担。每次添加新记录时foobar.company.co.uk，您都必须考虑是否应该只在公共版本中，仅在私有版本中，在两个版本中完全相同，还是在两个版本中但使用不同的关联数据。然后，在决定之后，您可能需要编辑 2 个区域文件而不是一个。总而言之，这不是一个很大的缺点。