DNS Server¶

Parametres du service DNS Server¶

flowchart TD
    A["Client DNS<br/>demande : www.app.corp.local"] --> B{"Dans le<br/>cache local ?"}
    B -->|"Oui"| C["Reponse<br/>depuis le cache"]
    B -->|"Non"| D["Requete au<br/>serveur DNS"]
    D --> E{"Zone<br/>autoritaire ?"}
    E -->|"Oui"| F["Reponse directe<br/>depuis la zone"]
    E -->|"Non"| G{"Forwarder<br/>configure ?"}
    G -->|"Oui"| H["Transfert au<br/>forwarder"]
    G -->|"Non"| I["Recursion via<br/>Root Hints"]
    H --> J{"Reponse<br/>recue ?"}
    J -->|"Oui"| K["Mise en cache<br/>+ reponse"]
    J -->|"Non / Timeout"| L{"IsSlave<br/>= 1 ?"}
    L -->|"Oui"| M["Echec<br/>(SERVFAIL)"]
    L -->|"Non"| I
    style A fill:#bd93f9,color:#fff
    style B fill:#ffb86c,color:#000
    style C fill:#50fa7b,color:#000
    style D fill:#8be9fd,color:#000
    style E fill:#ffb86c,color:#000
    style F fill:#50fa7b,color:#000
    style G fill:#ffb86c,color:#000
    style H fill:#ff79c6,color:#fff
    style I fill:#8be9fd,color:#000
    style J fill:#ffb86c,color:#000
    style K fill:#50fa7b,color:#000
    style L fill:#ffb86c,color:#000
    style M fill:#ff5555,color:#fff

Un serveur DNS qui met 30 secondes a resoudre un nom, un cache qui retourne des enregistrements obsoletes, des zones qui ne se mettent plus a jour : tous ces problemes se diagnostiquent via les cles de registre du service DNS. Le service Windows DNS Server centralise sa configuration sous une seule cle.

Emplacement principal¶

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters

Cette cle contient les parametres globaux du serveur DNS.

# Read DNS Server global parameters
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters" |
    Select-Object BootMethod, RpcProtocol, AdminConfigured

BootMethod RpcProtocol AdminConfigured
---------- ----------- ---------------
         3           5               1

Logging et diagnostics¶

Le serveur DNS dispose de parametres de journalisation detaillee pour le depannage.

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters

Les bits du LogLevel controlent les categories d'evenements :

# Enable detailed DNS query logging
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters" `
    -Name "LogLevel" -Value 0x2321 -Type DWord

# Alternative: use the DNS Server PowerShell cmdlet
Set-DnsServerDiagnostics -All $true

aucune sortie. Les logs DNS detailles commenceront a s'ecrire dans dns.log.

Configuration des zones¶

Les zones DNS definissent les domaines dont le serveur est autoritaire. En environnement AD, les zones sont generalement stockees dans Active Directory, mais leur configuration reste visible et modifiable dans le registre.

Types de zones¶

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Zones\<NomDeZone>

Chaque zone possede sa propre sous-cle avec les parametres suivants :

# List all DNS zones and their types
Get-DnsServerZone | Select-Object ZoneName, ZoneType, IsDsIntegrated, DynamicUpdate |
    Format-Table -AutoSize

ZoneName                ZoneType IsDsIntegrated DynamicUpdate
--------                -------- -------------- -------------
corp.local              Primary            True        Secure
_msdcs.corp.local       Primary            True        Secure
0.168.192.in-addr.arpa  Primary            True        Secure
TrustAnchors            Primary            True          None

Aging et scavenging¶

Le scavenging (nettoyage automatique) supprime les enregistrements DNS dynamiques obsoletes. C'est essentiel dans les environnements avec beaucoup de clients DHCP qui changent souvent d'adresse.

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Zones\<NomDeZone>

# Check aging/scavenging configuration for a zone
Get-DnsServerZoneAging -Name "corp.local"

ZoneName     AgingEnabled  NoRefreshInterval  RefreshInterval  ScavengeServers
--------     ------------  -----------------  ---------------  ---------------
corp.local          True   7.00:00:00         7.00:00:00       {192.168.1.10}

# Enable aging on a zone
Set-DnsServerZoneAging -Name "corp.local" -Aging $true `
    -NoRefreshInterval 7.00:00:00 -RefreshInterval 7.00:00:00

aucune sortie si la commande reussit.

Configurer le scavenging automatique au niveau du serveur¶

L'aging au niveau de la zone ne suffit pas : il faut aussi activer le scavenging au niveau du serveur pour que le nettoyage s'execute effectivement.

# Enable server-level scavenging (runs every 7 days)
Set-DnsServerScavenging -ScavengingState $true -ScavengingInterval 7.00:00:00 -ApplyOnAllZones

aucune sortie si la commande reussit.

Cache DNS : tuning¶

Le cache DNS du serveur stocke les reponses des requetes recursives. Un cache mal dimensionne ralentit la resolution ou retourne des donnees perimees.

Parametres de cache serveur¶

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters

# Read current cache settings
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters" |
    Select-Object MaxCacheTTL, MaxNegativeCacheTTL, MaxCacheSize

MaxCacheTTL MaxNegativeCacheTTL MaxCacheSize
----------- ------------------- ------------
      86400                 900            0

Ajuster le TTL du cache¶

# Reduce cache TTL to 1 hour (useful for frequently changing environments)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters" `
    -Name "MaxCacheTTL" -Value 3600 -Type DWord

# Reduce negative cache to 5 minutes
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters" `
    -Name "MaxNegativeCacheTTL" -Value 300 -Type DWord

# Restart DNS service to apply
Restart-Service DNS

aucune sortie. Le service DNS redemarrera avec les nouveaux parametres de cache.

Vider le cache DNS serveur¶

# Flush the DNS server cache
Clear-DnsServerCache -Force

aucune sortie si le cache a ete vide avec succes.

# View current cache content
Show-DnsServerCache | Select-Object -First 10 HostName, RecordType, RecordData

HostName                RecordType RecordData
--------                ---------- ----------
www.microsoft.com       A          23.43.117.200
dns.google              A          8.8.8.8

DNSSEC¶

DNSSEC (Domain Name System Security Extensions) ajoute une couche d'authentification aux reponses DNS en signant les enregistrements.

Cles de registre DNSSEC¶

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters

Signer une zone¶

# Sign a DNS zone with DNSSEC (generates KSK and ZSK)
Invoke-DnsServerZoneSign -ZoneName "corp.local" -SignWithDefault -Force

aucune sortie si la zone est signee avec succes. Les enregistrements RRSIG, DNSKEY et NSEC/NSEC3 sont crees.

# Check DNSSEC signing status
Get-DnsServerDnsSecZoneSetting -ZoneName "corp.local" |
    Select-Object ZoneName, IsSigned, DenialOfExistence

ZoneName    IsSigned DenialOfExistence
--------    -------- -----------------
corp.local      True             Nsec3

Trust Anchors¶

Les ancres de confiance (trust anchors) permettent aux clients de valider les signatures DNSSEC.

# View trust anchors on the DNS server
Get-DnsServerTrustAnchor -Name "corp.local"

TrustAnchorName    TrustAnchorType    TrustAnchorState    TrustAnchorData
---------------    ---------------    ----------------    ---------------
corp.local         DnsKey             Valid               [DNSKEY data]

Configuration du client DNS¶

Le client DNS Windows possede ses propres cles de registre, independantes du serveur DNS. Ces parametres controlent comment une machine resout les noms DNS.

Parametres TCP/IP du client¶

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

Cache DNS client¶

HKLM\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters

# Reduce client-side negative cache TTL
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters" `
    -Name "MaxNegativeCacheTtl" -Value 0 -Type DWord

# Restart DNS client service to apply
Restart-Service Dnscache

aucune sortie si la commande reussit.

Configuration DNS par interface¶

HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{GUID}

# View DNS configuration for all interfaces
Get-DnsClientServerAddress | Where-Object AddressFamily -eq 2 |
    Select-Object InterfaceAlias, ServerAddresses | Format-Table -AutoSize

InterfaceAlias ServerAddresses
-------------- ---------------
Ethernet       {192.168.1.10, 192.168.1.11}
Wi-Fi          {192.168.1.10}

Forwarders et zones conditionnelles¶

Les forwarders (redirecteurs) transmettent les requetes que le serveur DNS ne peut pas resoudre localement vers d'autres serveurs DNS. Les conditional forwarders permettent de diriger les requetes pour un domaine specifique vers un serveur DNS designe.

Forwarders globaux¶

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters

# View current forwarders
Get-DnsServerForwarder

UseRootHint        : True
Timeout (s)        : 3
EnableReordering   : True
IPAddress          : {8.8.8.8, 1.1.1.1}

# Set forwarders
Set-DnsServerForwarder -IPAddress "8.8.8.8","1.1.1.1" -PassThru

UseRootHint        : True
Timeout (s)        : 3
EnableReordering   : True
IPAddress          : {8.8.8.8, 1.1.1.1}

Conditional forwarders¶

Les conditional forwarders dirigent les requetes pour un domaine specifique vers un serveur DNS designe. C'est courant dans les environnements multi-forets ou avec des partenaires.

HKLM\SYSTEM\CurrentControlSet\Services\DNS\Zones\<NomDeDomaine>

Un conditional forwarder apparait comme une zone de type 4 (forwarder).

# Create a conditional forwarder for partner.com
Add-DnsServerConditionalForwarderZone -Name "partner.com" `
    -MasterServers "10.20.30.40","10.20.30.41" -ReplicationScope "Forest"

aucune sortie si le conditional forwarder est cree avec succes.

# List all conditional forwarders
Get-DnsServerZone | Where-Object ZoneType -eq "Forwarder" |
    Select-Object ZoneName, MasterServers | Format-Table -AutoSize

ZoneName      MasterServers
--------      -------------
partner.com   {10.20.30.40, 10.20.30.41}

Stub zones¶

Les stub zones maintiennent uniquement les enregistrements NS et SOA d'un domaine delegue. Elles sont plus legeres que les conditional forwarders et se mettent a jour automatiquement.

# Create a stub zone
Add-DnsServerStubZone -Name "branch.corp.local" `
    -MasterServers "10.10.10.1" -ReplicationScope "Forest"

aucune sortie si la stub zone est creee avec succes.

Scenario : corriger des problemes de resolution DNS¶

Contexte¶

Les utilisateurs d'un site distant signalent une lenteur extreme de la resolution DNS. Les applications internes mettent 10 a 15 secondes a s'ouvrir. Le serveur DNS local est un DC Windows Server 2022.

Etape 1 : diagnostiquer le cache¶

# Check DNS server cache configuration
$dnsParams = Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters"
[PSCustomObject]@{
    MaxCacheTTL         = $dnsParams.MaxCacheTTL
    MaxNegativeCacheTTL = $dnsParams.MaxNegativeCacheTTL
    Forwarders          = (Get-DnsServerForwarder).IPAddress -join ", "
}

MaxCacheTTL         : 86400
MaxNegativeCacheTTL : 900
Forwarders          : 10.0.0.1

Le MaxNegativeCacheTTL est a 900 secondes (15 minutes). Si le forwarder 10.0.0.1 est en panne, chaque requete externe echouera et sera mise en cache negative pendant 15 minutes.

Etape 2 : tester le forwarder¶

# Test the forwarder responsiveness
Resolve-DnsName -Name "www.microsoft.com" -Server "10.0.0.1" -DnsOnly

Resolve-DnsName : DNS name does not exist
    + FullyQualifiedErrorId : DNS_ERROR_RCODE_NAME_ERROR,...

Le forwarder ne repond pas. C'est la cause des lenteurs : chaque requete externe est envoyee au forwarder mort, attend le timeout, puis echoue.

Etape 3 : corriger les forwarders¶

# Replace the dead forwarder with working ones
Set-DnsServerForwarder -IPAddress "8.8.8.8","1.1.1.1" -PassThru

UseRootHint        : True
Timeout (s)        : 3
EnableReordering   : True
IPAddress          : {8.8.8.8, 1.1.1.1}

Etape 4 : vider le cache negatif¶

# Clear the server cache to remove negative entries
Clear-DnsServerCache -Force

# Also flush the client cache on affected machines
Invoke-Command -ComputerName (Get-ADComputer -Filter * -SearchBase "OU=Site-Lyon,DC=corp,DC=local" |
    Select-Object -ExpandProperty Name) -ScriptBlock {
    Clear-DnsClientCache
}

aucune sortie si les caches sont vides avec succes.

Etape 5 : reduire le cache negatif pour l'avenir¶

# Reduce negative cache TTL to 5 minutes on the server
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters" `
    -Name "MaxNegativeCacheTTL" -Value 300 -Type DWord

# Restart DNS to apply
Restart-Service DNS

aucune sortie. Le service DNS redemarrera avec le nouveau TTL negatif.

Etape 6 : verifier la resolution¶

# Test DNS resolution
Resolve-DnsName -Name "www.microsoft.com" -Server "localhost" -DnsOnly |
    Select-Object Name, Type, TTL, IPAddress

Name                Type TTL IPAddress
----                ---- --- ---------
www.microsoft.com   A    300 23.43.117.200

# Verify with performance counter
Get-Counter "\DNS\Total Query Received/sec" -SampleInterval 2 -MaxSamples 3

Timestamp                 CounterSamples
---------                 --------------
04/04/2026 10:30:00       \\dns01\dns\total query received/sec : 45.2
04/04/2026 10:30:02       \\dns01\dns\total query received/sec : 42.8
04/04/2026 10:30:04       \\dns01\dns\total query received/sec : 44.1