謝謝你的回覆.
第二條問題,應否比對外查詢的DNS SERVER在同一個網路?
dns.abc.com 外部用123.123.123.123 內部用192.168.123.123
內部的ACTIVE DIRECTORY 的DNS FORWARDER 應該用192.168.123.123 或是不應該在同一個網路上?

Um... 這樣說吧, WINDOWS DNS也有"PROXY"功能, 自己沒有的A RECORD會交到FORWARDER去

因為這特性, 所以所有公司內部電腦都應該[其實是必須]用192.168.123.123作為自己的DNS

而123.123.123.123就是192.168.123.123的FORWARDER

而dns.abc.com應該已經存在你192.168.123.123上的

因為你的192.168.123.123是AD+DC而且 "dns" 這主機已經加入到abc.com 這公司DOMAIN

一般情況下你應該不需要處理這問題

而123.123.123.123就是192.168.123.123的FORWARDER 這句話不就是說 123.123.123.123 跟 192.168.123.123 是不同一台嘛
怎麼會是同一個 NETWORK 呢
基本上 DNS HOSTING 要考慮查詢者內外有別
我們這麼說好了你內部查 WWW 這台是在 192.168.123.80 這台內部主機，當然你內部的DNS 也寫好了 192.168.123.80 這台的A紀錄
而你的防火牆NAT出去之後是 123.123.123.123:80 上面
你如果在內部再加入 WWW 的A紀錄是 123.123.123.123 的話
會發生外部查詢 WWW 這個紀錄的時候有時候是 192.168.123.80 有時候是 123.123.123.123，這樣鐵定會造成錯誤的
給外部查詢的 DNS HOSTING 的IP不能有 私人IP，必須全部都是公眾IP，給內部查詢的DNS HOSTING 的IP 如果是公眾IP，而這個公眾IP是經過 NAT或是埠對應轉的，你的防火牆要支援NAT轉換才能在內部找到這個公眾IP，如果你是打算做紀錄覆蓋的話，可以把任何的外域紀錄建立在內部DNS內，直接做IP指向來覆蓋外部的紀錄，這種方式，你DNS有做轉查也沒用，因為已經是本機覆蓋，只要來查這台DNS的用戶端都會認為這台DNS的紀錄為真，並不會跟外部的DNS做相互驗證的，個人小經驗分享