Administrar zonas y registros del servidor DNS desde PowerShell, y verificarlos con Resolve-DnsName

Objetivo

Inspeccionar zonas del servidor DNS, añadir o leer registros y habilitar la limpieza de registros obsoletos, verificando cada cambio desde un resolutor cliente en lugar de confiar únicamente en la escritura del lado del servidor.

Requisitos previos

El módulo de PowerShell DnsServer, disponible en un servidor con el rol de servidor DNS o mediante RSAT contra uno remoto; derechos sobre la zona de destino.

Pasos

1. Listar las zonas alojadas por un servidor: Get-DnsServerZone -ComputerName DNS1 | Select-Object ZoneName, ZoneType, IsDsIntegrated.
2. Añadir un registro A: Add-DnsServerResourceRecordA -ZoneName "contoso.com" -Name "app1" -IPv4Address "10.0.0.15" -ComputerName DNS1.
3. Añadir un CNAME que apunte a él: Add-DnsServerResourceRecordCName -ZoneName "contoso.com" -Name "app" -HostNameAlias "app1.contoso.com" -ComputerName DNS1.
4. Leer lo que realmente está almacenado, no lo que se pretendía: Get-DnsServerResourceRecord -ZoneName "contoso.com" -Name "app1" -ComputerName DNS1.
5. Habilitar el scavenging de registros dinámicos obsoletos a nivel de servidor, y luego por zona: Set-DnsServerScavenging -ScavengingState $true -ScavengingInterval 7.00:00:00 -ComputerName DNS1, y después Set-DnsServerZoneAging -ZoneName "contoso.com" -Aging $true -RefreshInterval 7.00:00:00 -NoRefreshInterval 7.00:00:00 -ComputerName DNS1. Ambos intervalos son valores TimeSpan (un 168 sin más se interpretaría como 168 ticks, no como horas) y, combinados, controlan cuánto tiempo sobrevive un registro no renovado antes de que el scavenging lo elimine.
6. Si las respuestas en caché del propio servidor parecen obsoletas durante las pruebas, limpiarlas: Clear-DnsServerCache -ComputerName DNS1 -Force.
7. Verificar desde un cliente, ya que el servidor puede ser correcto mientras un resolutor con caché en otro lugar no lo es: Resolve-DnsName app1.contoso.com -Server DNS1 -Type A y de nuevo sin -Server para comprobar lo que realmente devuelve el resolutor configurado del cliente.

Resultado esperado

Resolve-DnsName contra el servidor autoritativo devuelve el nuevo registro de inmediato; contra el resolutor normal del cliente puede ir con retraso equivalente al TTL del registro.

Límites y base de verificación

Todos los cmdlets citados aquí están documentados en las referencias de los módulos de PowerShell DnsServer y DnsClient. El scavenging solo elimina registros registrados dinámicamente que no se renuevan durante la suma de los intervalos de no renovación y de renovación combinados; no afecta a los registros estáticos, pero los registros que se registraron dinámicamente y que su propietario ya no renueva (por ejemplo, un dispositivo que se registró una sola vez) pueden eliminarse aunque sigan en uso si los intervalos se configuran demasiado cortos. Para deshacer un registro, usar Remove-DnsServerResourceRecord -ZoneName "contoso.com" -RRType A -Name "app1" -ComputerName DNS1 (o -RRType CName -Name "app"); no existen cmdlets de eliminación específicos por tipo. En una zona integrada en AD, otros servidores DNS ven un cambio solo después de la replicación del directorio. Ninguno de estos cambios requiere reinicio, aunque los resolutores con una respuesta en caché no verán el cambio hasta que expire su TTL.