dns服务器和域控有什么区别，哪个更重要？

dns服务器和域控虽然经常一起出现，但完全是两种东西：dns服务器负责把域名解析成IP地址，域控负责管理域内的账号和策略。很多人刚接触Windows Server时，经常把这两个角色搞混，因为域控部署时总要带上DNS，DNS配置又总跟域扯上关系，今天就用大白话把它们的区别、依赖关系以及日常运维中的配合讲清楚。

dns服务器和域控的区别体现在哪

先说最本质的区别：dns服务器解决的是“你在哪”的问题，域控解决的是“你是谁、能干什么”的问题。

• dns服务器把类似 file-server.company.com 的域名翻译成 168.1.10 这样的IP地址,让电脑能找到目标设备。
• 域控（域控制器）保存所有域用户的账号密码、组策略、计算机账户，它决定谁能登录域、登录后能用哪些资源。

两者的协议和端口也完全不同，DNS走UDP/TCP 53端口，用的是DNS协议；域控主要靠LDAP（389端口）、Kerberos（88端口）和SMB（445端口）来提供服务，一台机器可以同时安装这两个角色，比如常用的Windows Server域控服务器上就自带DNS服务，但安装在一起不代表它们是一个东西。

再看数据存储方式，DNS把区域数据放在普通文本文件或AD集成区域里，域控则把整个目录数据库存在NTDS.dit文件中，由域控的复制机制同步到所有域控制器，正因如此，域控出现故障时，整个域的登录和认证都会瘫痪；而独立的DNS服务器挂了，只是用户上网解析不了,不会导致域账号无法验证。

下表汇总了关键差异：

域控和dns服务器先装哪个

这是新手最容易踩坑的地方。先装DNS角色，再升级为域控。 因为域控启动时需要从DNS里找到自己的SRV记录，如果没有DNS，dcpromo 或新版 Install-ADDSForest 命令会直接报错。

实操路径如下：

• 在Windows Server上先添加“DNS服务器”角色。
• 再把该机器升级为域控，在向导中勾选“将此DNS服务器作为该域的DNS服务器”。
• 域控升级完成后，DNS区域里会自动生成 _msdcs、_sites、_tcp 等SRV记录。
• 如果已有独立DNS，则要确保它支持SRV记录,并把域控的DNS指向自己或对方。

业内专家指出，绝大多数域环境的问题“DNS配置错了”都排在“账号密码忘了”前面,可见先理清顺序有多重要。

没有域控，dns服务器能独立工作吗

当然可以。公网DNS就是一个最典型的例子，它只做域名解析，跟域控没有任何关系，你买一台Linux服务器装个BIND，或者Windows Server装DNS角色，不加入任何域,照样能给内网提供域名解析服务。

这种情况下，dns服务器不需要域控也能正常运转，很多企业会把内网解析任务单独交给一个“本地dns服务器搭建”方案，比如用dnsmasq或Windows DNS做内网域名映射，只负责把

gitlab.local 解析到 168.2.5，这种部署方式轻便、好维护,还不用额外买域控授权。

但要注意，如果是为域环境提供DNS，情况就不一样了，域内所有客户端都要求能解析到域控的LDAP、Kerberos服务，也就是要存在SRV记录，只有域控或加入AD集成的DNS才会有这些记录，独立的第三方DNS往往不支持，域控+独立DNS”的组合很少见,也容易出问题。

公司内网dns服务器怎么和域控配合

当一个公司规模不大但到了几十人，通常会组一个域环境，这时dns服务器和域控是“同生共死”的关系：域控自带DNS服务，DNS又把域控的SRV记录发出去,二者互相依赖。

实际查询流程是这样的：

• 员工电脑加入域后,网卡里的DNS指向域控IP。
• 用户登录时，电脑先向DNS查询 _kerberos._tcp.dc._msdcs.company.com 来找到最近的域控。
• 拿到域控IP后,再向域控发起Kerberos认证请求。
• 如果DNS解析失败，电脑会提示“找不到域控制器”，但网卡本身是通的,这就很容易让人误以为是网络问题。

这就解释了为什么域控和DNS要装在同一个点上，日常运维检查时，最常用的命令就是 nslookup -type=SRV _ldap._tcp.dc._msdcs.域名，能返回域控信息，说明DNS正常；如果返回空或超时，就得去查DNS区域是否完整，还有 dcdiag /test:dns 这个命令，它专门检测DNS的健康状态,是排障的第一利器。

这里要说下 “公司内部dns服务器配置” 的常见做法：很多中小企业没单独做DNS冗余，只依赖域控自带的DNS，这台机器一挂，整个域就瘫痪，行业共识认为，至少部署两台域控，且每台都装DNS服务，DNS区域采用AD集成复制,才能避免单点故障。

dns服务器和域控需要分开买吗

这得看你想不想省预算，微软的角色授权是包含在Windows Server许可证里的，你在同一台服务器上装DNS和域控，不需要额外买DNS软件授权，但如果单独建一台Linux DNS服务器，软件本身免费,主要成本是服务器硬件或云主机费用。

所以从价格角度看，域控加DNS装在同一台Windows Server上最省，只需要买Windows Server的授权即可，如果公司用的是公网域名，还需要在域名注册商那里解析，这跟内网DNS无关，很多人问“dns服务器多少钱”，其实自建成本极低，Windows Server授权是大头， Linux环境下基本为零。

dns服务器和域控常见问题答疑

问：域控自己用着DNS，为什么还要在DNS里建正向查找区域？

因为域控需要把 dc1.company.com 这个名称解析到自己的IP，如果DNS区域里没有这条记录，客户端就找不到域控，域控升级向导会自动创建区域，不需要手动建,但手动维护时要注意别删错。

问：能不能用路由器上的DNS功能替代域控自带的DNS？

可以替代一部分，路由器能转发内网域名解析，但它不认识SRV记录，也不会自动注册域内计算机和服务的动态记录，只要你的环境是域环境，就不能用路由器DNS代替域控DNS,否则域成员根本加入不了。

问：域控和DNS装在一起，DNS挂了是不是域就一定进不去？

通常是这样的，因为客户端找不到域控的SRV记录就无法完成认证，除非你设置了备用DNS指向另一台可用的域控，并且那台域控也发布了自己的记录，所以生产环境里,多台域控共同承担DNS是基本要求。