PAYATHON 2026

FortiGate DHCP 为何不自动更新 Windows DNS 中的 A 和 PTR 记录？

社区小冯

结论

DHCP 能正常分配地址时，DNS 记录仍可能不会自动更新。FortiGate DHCP 支持动态 DNS 更新，但需要额外配置，还要分别考虑 A 记录、PTR 记录和 Windows DNS 的安全更新要求。

根据 Fortinet 的 DHCP DDNS 配置说明，该功能默认关闭；文档所述实现支持更新 IPv4 A 记录，不支持动态更新 PTR 记录。由于问题没有提供 FortiOS 版本，实际配置前还应核对对应版本的功能说明。

为什么 Windows DNS 可能拒绝更新？

如果 DNS 区域已集成到 Active Directory，默认只允许安全动态更新。Fortinet 上述说明指出，FortiGate 的普通 TSIG 更新方式与 Windows DNS 使用的 GSS-TSIG 安全更新并不兼容，因此即使启用 FortiGate 的 DDNS 开关，也可能无法写入记录。

客户端也可能自行注册 DNS。Windows 客户端和 DHCP 服务器会通过 DHCP Option 81 协商由谁负责更新，因此还要确认更新方，不能只检查 DHCP 租约。Microsoft 动态更新说明介绍了这一协商过程。

优先检查客户端注册和区域设置

如果客户端是已加入域的 Windows 计算机，可以先检查客户端自行注册的路径，同时保留 DNS 区域的安全更新设置：

  1. 运行 ipconfig /all，核对客户端使用的 DNS 服务器、主 DNS 后缀和连接特定 DNS 后缀。
  2. 检查网卡高级 DNS 设置中的“在 DNS 中注册此连接的地址”是否启用。
  3. 在 Windows DNS 中检查对应正向区域是否允许动态更新；如果需要 PTR，还要检查对应的反向查找区域。
  4. 如果已有同名记录，检查其所有者和权限，避免客户端因没有更新权限而失败。

调整后，可在测试客户端执行以下命令，续租并触发相关更新流程：

ipconfig /renew

不要把 ipconfig /registerdns 当作验证 DHCP 代注册的等价操作：它会绕过 DHCP，由客户端直接尝试注册，还可能影响记录后续的更新权限。Microsoft 对这两个命令的说明明确区分了它们的行为。

如果需要 FortiGate 代为更新 A 记录

在支持这些参数的 FortiOS 版本中，可以在对应 DHCP 配置下启用 DDNS。以下均为示例值，必须把 edit 1 中的 ID 替换为现有 DHCP 配置的实际 ID，避免误建或修改其他配置：

config system dhcp server
    edit 1
        set domain "example.com"
        set ddns-update enable
        set ddns-server-ip 192.0.2.53
        set ddns-zone "example.com"
    next
end

其中，domain 向客户端提供 DHCP Option 15，ddns-server-ip 指向接收更新的 DNS 服务器，ddns-zone 指定目标区域。

如果已经确定让 FortiGate 负责更新，还可按需配置 set ddns-update-override enable，覆盖客户端通过 Option 81 表达的更新选择。该参数不解决身份验证问题，也不会增加 PTR 支持。

按照 Fortinet 的 Windows DNS 配置示例，此路径要求目标区域允许 Nonsecure and secure 更新。这会允许非安全动态更新，存在记录被未授权修改的风险。对于 AD 域区域，应先评估这一影响。如果需要保持安全更新，可以继续使用客户端注册，或改用支持相应认证的更新服务。

PTR 记录和后续排查怎么处理？

启用 A 记录更新后，不应预期 PTR 会自动随之生成。PTR 必须有对应的反向区域，并由具备权限且支持该记录类型的客户端或服务写入。

如果需要 DHCP 集中管理 DNS 更新，可以考虑使用 Windows DHCP，并在 FortiGate 上配置 DHCP relay。实施时应迁移现有作用域，配置更新凭据及记录清理策略，避免让两个未经协调的 DHCP 服务器同时服务同一地址池。

最后分别验证正向和反向结果，以下名称、地址均需替换：

nslookup pc01.example.com 192.0.2.53
nslookup 192.0.2.100 192.0.2.53

查询只能确认当前记录，不能证明更新请求是否发出。如果仍然失败，应抓包检查 DHCP Request/ACK 中的 Option 81，以及 DNS UPDATE 请求和响应：没有请求时检查更新责任与配置；收到拒绝响应时检查区域策略和权限。Fortinet 排障说明提供了相应的检查方向。

备注：内容仅供参考。