Existe uma maneira de desativar as consultas recursivas pelo DNS hospedado no servidor e ainda permitir que as consultas DNS originárias no servidor funcionem?
Não com o servidor DNS da Microsoft, não existe.
Com o servidor DNS do ISC, BIND, pode-se esquivar as coisas. O servidor DNS da Microsoft não possui esse mecanismo. Portanto, para qualquer instância específica do servidor DNS da Microsoft, é preciso escolher se é um servidor DNS de conteúdo público ou um servidor DNS proxy de site local . Ele não pode atrapalhar as coisas e fingir ser diferentes tipos de servidor para diferentes clientes DNS.
O serviço / ferramenta de teste de segurança está certo. É uma prática recomendada não fornecer serviço de proxy - qualquer tipo de serviço de proxy: seja serviço de proxy HTTP, serviço de proxy DNS ou serviço de envio de SMTP - para o restante da Internet fora do próprio site. Você deve ter servidores separados : um servidor DNS de conteúdo que publique seus dados DNS públicos, sobre os nomes de domínio que você registrou, para todos na Internet; e um servidor DNS proxy local, que realiza o trabalho pesado de resolução de consultas em nome dos computadores da sua LAN / organização, acessível apenas às máquinas da sua organização / na sua LAN. Com o servidor DNS da Microsoft, isso não é particularmente fácil.
Seria especialmente difícil se sua máquina também fosse um controlador de domínio. Você afirma que esta máquina está diretamente acessível a partir de toda a Internet. Se tal máquina um é um controlador de domínio, então você deve repensar a sua organização em rede agora . Você estaria expondo uma enorme quantidade de serviços internos ao público, não apenas o serviço DNS proxy. Então, vamos trabalhar com a suposição de que este não é um controlador de domínio.
Como não é um controlador de domínio e é apenas um servidor membro , não é necessário que o cliente DNS na máquina use o servidor DNS da própria máquina (ou, inicialmente, o servidor DNS de outro controlador de domínio) para proxy Serviço DNS, esse é o caso de controladores de domínio. Se você tivesse, não conseguiria desativar o serviço DNS proxy no servidor DNS da máquina. Felizmente, não é um controlador de domínio e seu cliente DNS pode usar outra máquina para o serviço DNS proxy, não ele próprio.
O cliente DNS na máquina do servidor membro ainda precisa usar um servidor DNS proxy interno . Você não pode simplesmente apontar para algum servidor DNS externo, como os fornecidos pelo seu ISP, Google ou qualquer outra parte que não conheça todos os dados DNS que o Active Directory está usando na sua LAN . Você pode apontar o cliente DNS da máquina no servidor DNS em um ou mais dos seus controladores de domínio. Isso é bastante simples e é o que você está fazendo, afinal de contas, em todas as suas estações de trabalho na sua LAN. O cliente DNS em seu servidor membro basta ser configurado como os clientes DNS em todas as suas estações de trabalho são .
Como o cliente DNS da sua máquina não está usando o servidor DNS em execução na máquina para o serviço DNS proxy, você simplesmente configura o servidor DNS da Microsoft para não fornecer serviço DNS proxy de qualquer forma a ninguém.
Leitura adicional