我使用隔离/隔离的全球网络，该网络具有多个冗余域控制器，这些域控制器也充当 DNS 服务器。我希望我的问题非常简单，但我似乎很难在 Google 上找到适用于我们设置的任何内容。
是否有最佳实践来处理来自隔离网络上的系统的外部互联网 DNS 请求？
背景：
我们最近发现，DNS 占用了我们网络带宽的很大一部分，特别是不同 DNS 服务器之间端口 53 上的 UDP 流量。我们可以通过启用 DNS 调试日志来验证这一点，我们可以看到我们所有 DNS 服务器上每小时都有数百兆字节的 DNS 流量。我们知道罪魁祸首是 McAfee 的 GTI/Artemis 协议，他们试图通过 DNS 请求将散列文件数据发送到 avts 或 avqs.mcafee.com。我们通过处理网络上的 McAfee 软件解决了 McAfee 问题，但我担心 DNS 请求如何在我们不同的 DNS 服务器之间转发。看来我们的 DNS 服务器只是将任何外部站点的请求转发到我们网络中的另一个 DNS 服务器。这个过程似乎会持续很长时间，或者至少会持续很长时间（对于我通过 DNS 调试日志跟踪的一个特定请求，它持续了 30 多分钟）。请求从服务器 1 -> 服务器 2 -> 服务器 3 -> 服务器 1 等发送。我正在尝试收集一些数据来向负责配置管理的人员提出变更，因为现在看来有些东西显然配置不正确。
使用 Windows Server 2008 R2。
答案1
如果所有 DNS 服务器都仅供内部使用并且区域已复制，则您应该没有转发器和根提示，外部查找将从其本地解析器（您的 DC）接收一次 NXDOMAIN 或 SERVFAIL。
看禁用递归
答案2
如果问题出在软件尝试解析 avqs.mcafee.com，请为 avqs.mcafee.com 创建一个区域，并将流量解析到黑洞盒。