1. 项目整体设计与选型思路搞一台属于自己的 Windows 服务器挂上自己的网站再让它自己解析自己的域名——这件事听起来像是运维的入门作业但真正动手的时候坑比想象中多得多。我用 VMware 搭过不下十套这样的实验环境从最早用来学 IIS到后来给团队做测试站点、做内网文件共享、做 DNS 实验区这套组合VMware Windows Server IIS DNS几乎是性价比最高的一条路。这篇文章面向的是想在自己的电脑上跑出一套完整域名—解析—网站闭环的人可能你是在校学生正在啃服务器配置这门课可能是刚转岗的开发第一次要独立部署一个站点也可能是工作了好几年的后端平时只写代码想补上部署这一环。整套流程不需要买云主机、不需要备案、不需要公网 IP一台内存 16GB 的笔记本就能跑起来。我会把每一步拆开讲清楚——不只是点哪个按钮更重要的是为什么这么点。比如为什么虚拟机的网络模式要选桥接而不是 NAT为什么 DNS 装完第一件事是确认监听地址为什么 IIS 绑定了主机头之后访问还是跳到默认站点。这些问题的答案往往决定了你是半小时搞定还是折腾一整晚。2. VMware 环境准备与虚拟机创建实操2.1 宿主机准备与虚拟机规格规划先说硬件。Windows Server 的图形界面版本对内存的胃口不小官方给的最低要求是 2GB但那是能开机的标准实际上跑起 IIS 和 DNS 角色2GB 内存会让你每次点开服务器管理器都想砸键盘。我的建议是给虚拟机分配4GB 起步8GB 比较舒服宿主机本身留 8GB 以上。CPU 分配 2 个核心足够了Windows Server 的授权本身也是按核心算的实验环境没必要给太多。磁盘方面我习惯给60GB 单文件磁盘。之所以强调单文件是因为 VMware 默认可能会按 2GB 拆分方便在 FAT32 的老 U 盘上搬运但现在基本都是 NTFS单文件在性能和快照管理上更清爽。类型选 NVMe 或 SCSI 都行NVMe 在虚拟化层的开销略小一点。关于 VMware Workstation 本身目前官方已经对个人使用放开了免费许可装完登录账号就能拿到授权商用场景请老老实实走正规渠道购买。我不建议去找来路不明的许可证一台虚拟机跑着跑着突然提示授权失效、只能挂起是很烦人的事情。注意安装 VMware Workstation 之前如果宿主机开着 Hyper-V 或者 Windows 沙盒、WSL2 的虚拟机平台功能可能会和 VMware 的虚拟化层抢资源表现为虚拟机启动极慢或者直接报错。要么在启用或关闭 Windows 功能里关掉冲突项并重启要么升级到较新的 VMware 版本它对 Windows Hypervisor Platform 的兼容性做得更好。2.2 新建虚拟机全流程与关键参数打开 Workstation走创建新的虚拟机选自定义高级模式。很多人图快选典型模式结果后面想改固件类型、想调网络模式的时候找不到入口只能删了重来。关键参数我列一下都是踩过坑之后固定下来的配置项推荐值说明固件类型UEFI新系统支持安全启动兼容性更好处理器2 核单核在装 .NET 组件时会明显卡顿内存4096MB 起低于 2GB 图形界面基本不可用网络类型桥接Bridged局域网内其他设备可直接访问磁盘60GB单文件预留系统更新和日志空间虚拟化引擎不勾选虚拟化 Intel VT-x除非要做嵌套虚拟化网络类型这块值得展开说。VMware 提供三种模式桥接、NAT、仅主机。桥接模式下虚拟机会像一台独立设备一样接入你所在的局域网从路由器那里拿到一个同网段的 IP。好处是同一个 Wi-Fi 下的手机、平板、另一台电脑都能直接用 IP 或域名访问你的网站和 DNS特别适合做多机联调。风险是如果公司网络做了 MAC 地址绑定或者接入管控虚拟机可能拿不到 IP。NAT 模式下虚拟机会被藏在一个虚拟网段里由 VMware 的 NAT 服务帮它转发上网。宿主机访问虚拟机没问题但局域网内其他设备访问不了除非你手动做端口映射。好处是不管你换到哪个网络环境虚拟机的 IP 都不会变适合笔记本到处跑的人。仅主机模式完全隔离虚拟机只能和宿主机通信适合做纯粹的实验。我一般先用桥接把功能跑通如果需要固定环境再切 NAT 并配好端口映射。2.3 Windows Server 安装过程与首次登录配置系统镜像建议从官方渠道下载评估版Evaluation180 天有效期对实验来说绰绰有余到期后还能重新授权续期。版本上2019 和 2022 都行2022 的界面和内核更新一些但对老硬件的兼容性稍差2019 更稳网上的参考资料也更多新手我更推荐从 2019 开始。安装类型要选带桌面体验的服务器。有人为了省资源装 Server Core那确实轻快但所有操作都得靠 PowerShell 和 sconfig 命令行完成对于第一次搭环境的人来说学习成本陡增。先把图形界面跑通熟悉了之后再玩 Core 也不迟。安装过程中会要求设置 Administrator 密码。这里有个细节Windows Server 默认的密码策略要求至少 8 位且包含大写字母、小写字母、数字、符号中的三类。如果你设了个简单的密码安装程序会卡在那里反复要求重输很多人以为是镜像坏了其实就是策略没过。进系统之后第一次登录会自动弹出服务器管理器。如果你是装在 VMware 里第一件事建议装VMware Tools——在虚拟机菜单里选安装 VMware Tools然后在光驱里运行 setup.exe。装完之后鼠标能在宿主机和虚拟机之间自由切换、分辨率自适应、还能在宿主机和虚拟机之间拖拽文件体验提升非常明显。接下来把系统补丁打一下顺便确认一下网络是通的。这一步别跳过很多后面的怪问题比如 IIS 模块装不上、证书链验证失败根源都是系统补丁太旧。3. 服务器基础配置静态 IP、主机名与时间同步3.1 静态 IP 与 DNS 客户端指向服务器必须用静态 IP这一点没有商量余地。DHCP 分配的地址会在租约到期后变化DNS 记录指向的 IP 一旦变了整个解析链路就断了。假设你的局域网是192.168.10.0/24网关是192.168.10.1那可以这样规划服务器 IP192.168.10.10子网掩码255.255.255.0默认网关192.168.10.1首选 DNS127.0.0.1DNS 服务装好之后指向自己备用 DNS192.168.10.1或公共 DNS这里有个顺序问题很容易踩坑在 DNS 角色还没装好、DNS 服务还没启动之前不要把网卡的 DNS 指向 127.0.0.1。否则你会发现这台服务器自己都上不了网因为操作系统找不到能解析的 DNS。正确的做法是先填一个可用的公共 DNS比如运营商的、或者阿里223.5.5.5、腾讯119.29.29.29这类国内公共解析把系统更新、组件安装都搞完DNS 角色部署好之后再改回 127.0.0.1。改回 127.0.0.1 的原因也很实在DNS 服务器自己也应该用自己来解析这样你在本机上测nslookup时走的才是真实链路能验证配置是否生效而不是被别的 DNS 兜底了。3.2 计算机名、远程桌面与时间同步计算机名建议改成有意义的名字比如WEB-DNS-01。默认的随机名在以后管理多台机器的时候会让你抓狂而且加入域的场景下改名还要重启。改完需要重启生效。远程桌面RDP建议打开这样你可以从宿主机直接用远程桌面连接把虚拟机窗口的 800x600 小窗口甩掉用全屏操作效率翻倍。打开方式在系统属性 → 远程里勾选允许防火墙会自动放行 3389。时间同步是个容易被忽略但很关键的点。DNS 记录、HTTPS 证书、Kerberos 票据都跟时间强相关服务器时间漂移超过几分钟各种诡异问题就会冒出来。Windows Server 默认会跟域控或time.windows.com同步但在国内网络下这个地址的连通性时好时坏。我的做法是手动指定国内稳定的 NTP 源w32tm /config /manualpeerlist:ntp.aliyun.com,ntp1.aliyun.com /syncfromflags:manual /reliable:yes /update net stop w32time net start w32time w32tm /resync w32tm /query /status执行完最后一条能看到当前时间源的同步状态。如果显示上次同步时间是刚刚就说明成功了。3.3 防火墙策略预放行Windows 防火墙默认会拦截绝大多数入站流量。IIS 角色安装时会自动创建 80/443 的放行规则DNS 角色安装时也会自动加 53 端口规则所以一般情况下不用手动加。但有两件事我习惯提前确认。第一网络位置。Windows 会把网卡识别为公用网络或专用网络不同位置对应不同的防火墙配置文件。如果服务器被识别成公用网络某些规则可能不生效。在网络和 Internet 设置里把连接改成专用网络更稳妥。第二如果你是桥接模式其他电脑访问不了你的站点第一反应应该是到高级安全 Windows Defender 防火墙里检查入站规则看万维网服务(HTTP 流量入站)这条规则是否启用、是否限制了作用域。我遇到过一次规则是启用的但作用域被限制成了本地子网而测试机在另一个网段结果死活连不上查了半天。提示排查防火墙问题时可以先临时关闭防火墙验证一下是不是它拦的。但验证完一定要开回来实验环境也别养成裸奔的习惯。4. DNS 服务器角色部署与解析记录配置4.1 安装 DNS 角色打开服务器管理器点添加角色和功能一路下一步到服务器角色勾选DNS 服务器。会弹一个提示框说需要额外功能点添加即可。继续下一步确认安装等进度条走完。装完之后服务器管理器左侧会多一个 DNS 项。也可以直接运行dnsmgmt.msc打开 DNS 管理器。装好后的第一件事我建议先做两个自检服务是否在跑services.msc里找到 DNS Server 服务确认状态是正在运行启动类型是自动。监听地址是否正确在 DNS 管理器里右键服务器名 → 属性 → 接口选项卡默认是侦听所有 IP 地址。如果服务器有多张网卡比如一张内网一张外网建议改成只侦听以下 IP 地址只勾内网那张避免 DNS 服务暴露在不需要的网络上。这一步的意义在于安全。开放的递归 DNS 服务如果被外部利用会被当成流量放大的跳板轻则带宽被打满重则被机房或运营商封端口。实验环境虽然影响小但养成只监听必要接口的习惯是好事。4.2 创建正向查找区域与记录域名后缀的选择有讲究。不要用真实存在的公网域名后缀比如.com、.cn否则客户端可能会在内网记录和公网记录之间来回横跳非常难排查。常见的做法是用.local、.lan、.test、.internal这类后缀。不过.local现在有个已知冲突它被 mDNS多播 DNS协议占用了苹果设备和部分 Linux 发行版会拿它做局域网设备发现可能造成解析抖动。所以我现在更倾向于用.lab、.test或者.internal。这篇文章里我用lab.test作为示例。在 DNS 管理器里右键正向查找区域→ 新建区域 → 主要区域 → 区域名称填lab.test→ 允许动态更新选不允许实验环境不需要动态更新避免被意外污染。区域建好之后开始加记录A 记录右键区域 → 新建主机 → 名称wwwIP 填192.168.10.10。这样www.lab.test就指向服务器了。A 记录裸域名名称留空IP 同样填192.168.10.10。这样lab.test本身也能解析。CNAME 记录如果你想做blog.lab.test指向www.lab.test就新建别名这样以后服务器 IP 变了只改 A 记录所有 CNAME 自动跟着走。泛解析新建主机时名称填*意思是任何未定义的子域名都指向这台服务器。这个在做多站点测试时特别省事不用每次都加记录。但如果这个 DNS 还兼任内网其他用途泛解析可能会掩盖配置错误谨慎使用。4.3 反向查找区域与转发器反向区域不是必须的但加了之后体验会好很多。它的作用是把 IP 反查成域名。有些服务和应用在做访问控制或日志记录时会做反查没有反向区域的话每次都要等超时性能会受影响。创建方式右键反向查找区域→ 新建区域 → 主要区域 → 网络 ID 填192.168.10向导会自动生成10.168.192.in-addr.arpa这个区域名。然后在里面新建指针PTR记录把192.168.10.10指回www.lab.test。转发器是让内网 DNS 能解析公网域名的关键。服务器自己不知道baidu.com的 IP得有人告诉它。做法是在 DNS 管理器里右键服务器名 → 属性 → 转发器选项卡 → 编辑 → 添加223.5.5.5和119.29.29.29两个国内公共解析。这样内网客户端的公网查询会被转发出去同时内网区域内的记录由本地直接应答两不耽误。4.4 解析验证与客户端验证配置完不要急着上浏览器先用命令行验证这样出问题能快速定位是哪一层。在服务器本机执行nslookup www.lab.test 127.0.0.1如果返回192.168.10.10说明 DNS 服务本身工作正常。如果报找不到回头检查区域是否创建、记录是否在正确的区域里、DNS 服务是否重启过。然后再测公网转发nslookup www.baidu.com 127.0.0.1这条能返回结果说明转发器配置生效了。接着回到宿主机把宿主机的 DNS 服务器地址改成虚拟机的192.168.10.10。改完执行ipconfig /flushdns刷一下缓存再ping www.lab.test如果解析到了192.168.10.10并且 ping 有回应说明整条链路打通了。这里有个常见的坑宿主机改 DNS 后上不了网了。原因是宿主机的公网解析也被指向了虚拟机的 DNS而虚拟机的转发器如果没配好公网域名就解析不了。所以顺序一定是先配好转发器再改宿主机的 DNS。另外要注意如果宿主机有多个网卡比如同时连着 Wi-Fi 和有线Windows 可能会优先用另一个网卡的 DNS导致你的设置看起来生效了但实际没走。5. IIS 部署 Web 站点与域名绑定5.1 安装 IIS 与必要功能模块服务器管理器 → 添加角色和功能 → 勾选Web 服务器(IIS)。弹窗点添加功能继续到角色服务这一步这里千万别一路默认下一步有几个模块必须手动勾模块用途是否必选静态内容提供 HTML/CSS/图片必选默认文档自动返回 index.html 等必选目录浏览列出目录文件按需HTTP 错误返回自定义错误页建议请求筛选拦截危险请求建议日志记录访问日志必选ASP.NET 4.x跑 .NET 网站按需ISAPI 扩展支持第三方处理程序按需WebSocket 协议实时通信场景按需如果你后面打算部署的是前端项目Vue、React 打包出来的静态文件只要静态内容 默认文档就够。如果是 ASP.NET 或者需要跑 API把 ASP.NET 相关模块勾上。装完之后浏览器访问http://192.168.10.10看到 IIS 的欢迎页就说明成功了。5.2 站点目录、应用程序池与权限我不建议把网站文件放在默认的C:\inetpub\wwwroot里。原因是系统盘做快照时体积会膨胀得很快而且系统目录的权限继承关系比较复杂容易出问题。我的习惯是在数据盘或者根目录下建一个D:\WebSites\目录每个站点一个子文件夹。在 IIS 管理器里右键网站→ 添加网站填写网站名称lab-site物理路径D:\WebSites\lab-site绑定类型 httpIP 地址全部未分配端口 80主机名www.lab.test添加完成后往目录里放一个index.html写点内容方便验证。应用程序池是 IIS 里最容易被忽视的部分。默认新站点会使用和站点同名的应用程序池.NET CLR 版本选无托管代码跑纯静态页面时托管管道模式选集成。如果你的站点是 .NET Framework 应用要把 CLR 版本改成对应的 v4.0。权限方面IIS 是通过IIS_IUSRS这个内置账户来读取站点目录的。给目录加上IIS_IUSRS的读取权限即可。如果站点需要写文件比如上传功能不要图省事给整个目录写权限而是单独建一个uploads目录只给它写权限这样即使上传功能被利用攻击面也被限制住了。5.3 绑定主机头实现域名访问主机头是整套方案里连接 DNS 和 Web 的关键。它的原理很简单浏览器在发送 HTTP 请求时会在请求头里带一行Host: www.lab.testIIS 根据这一行决定把请求交给哪个站点处理。所以同一台服务器、同一个 80 端口可以挂无数个不同域名的站点。配置步骤在站点上右键 → 编辑绑定 → 选中 http 那条 → 编辑 → 主机名填www.lab.test。默认站点Default Web Site强烈建议停掉或者删掉。因为它没有绑定主机名相当于一个兜底站点任何主机头它都能接。如果它还在运行你可能会发现访问哪个域名都返回 IIS 欢迎页而不是你自己的站点。这是新手最常见的一个为什么我的网站不生效的原因。绑定完成后在宿主机浏览器里访问http://www.lab.test如果看到你写的内容整条链路DNS 解析 → TCP 连接 → 主机头路由 → IIS 处理就打通了。5.4 多站点共存与 HTTPS 思路想再挂一个站点重复上面的流程就行新的物理路径、新的应用程序池、新的绑定主机名换成blog.lab.test再去 DNS 里加一条对应记录。两个站点跑在同一个 80 端口上互不干扰。HTTPS 稍微复杂一点。IIS 8 以上支持SNI服务器名称指示允许在同一个 IP 和 443 端口上为不同域名配置不同证书。绑定的时候勾选需要服务器名称指示就行。证书来源有两条路。内部实验用自签名证书最省事在 IIS 管理器里点服务器证书→ 创建自签名证书域名填www.lab.test然后绑定到站点的 443 端口。缺点是浏览器会报证书不受信任需要在客户端手动把根证书导入到受信任的根证书颁发机构里才能消除警告。如果只是学习用途忽略警告继续访问也没问题。如果手里有公网域名并且解析指向这台服务器可以考虑用自动化工具申请免费证书但那需要公网可达和域名验证门槛更高。6. Web DNS 联动联调与问题排查6.1 完整访问链路拆解把整条链路画出来出问题的时候你就知道该从哪一层查浏览器拿到www.lab.test向配置的 DNS 服务器192.168.10.10发出查询DNS 服务器在自己管理的lab.test区域里找到 A 记录返回192.168.10.10浏览器向192.168.10.10:80发起 TCP 连接防火墙检查 80 端口入站规则放行IIS 接收到请求读取Host: www.lab.testIIS 匹配绑定了该主机名的站点应用程序池启动工作进程读取物理路径下的index.html响应返回给浏览器每一层出问题现象都不一样。DNS 层出问题是找不到服务器TCP 层出问题是连接超时IIS 层出问题是403404500这类 HTTP 状态码。根据现象反推层级是排查效率最高的方法。6.2 常用排查命令与日志我把常用的命令整理成一张表基本上覆盖了 90% 的场景命令作用典型用法nslookup检查域名解析结果nslookup www.lab.test 192.168.10.10ping测连通性和解析ping www.lab.testipconfig /flushdns清本机 DNS 缓存解析改了但没生效时执行ipconfig /displaydns查看本机 DNS 缓存确认是否缓存了旧记录telnet测端口是否开放telnet 192.168.10.10 80netstat -ano查端口占用netstat -ano | findstr :80curl -v看完整 HTTP 交互curl -v http://www.lab.test/curl --resolve绕过本机 DNS 直接测curl --resolve www.lab.test:80:192.168.10.10 http://www.lab.test/其中curl --resolve这个技巧特别实用。它让你在不改本机 DNS 的情况下指定域名对应的 IP 去请求能快速判断问题出在解析还是出在 Web 服务上。IIS 的访问日志默认在C:\inetpub\logs\LogFiles\W3SVC1\下面按天生成。日志里能看到每个请求的客户端 IP、时间、方法、URI、状态码、User-Agent。如果某个请求返回了 500日志里至少能确认请求有没有到 IIS 这一层。6.3 常见问题速查表现象可能原因处理方向访问域名提示找不到服务器DNS 客户端没指向服务器 / 区域或记录不存在先nslookup指定 DNS 测试检查记录解析正常但网页打不开防火墙未放行 80 / IIS 服务未运行telnet测端口检查防火墙规则访问任何域名都返回 IIS 欢迎页默认站点还在且未绑定主机头停掉 Default Web Site返回 403.14目录下没有默认文档且未开目录浏览放一个 index.html或开启目录浏览返回 500.19web.config 配置有误或缺少模块看详细错误信息补齐对应模块宿主机能访问别的机器不行桥接网络异常 / 防火墙作用域限制检查虚拟机网络模式扩大规则作用域改了 DNS 记录但没生效客户端 DNS 缓存或 TTL 未过期ipconfig /flushdns等 TTL 过期解析到公网地址去了客户端 DNS 顺序错误 / 存在 IPv6 优先检查网卡 DNS 顺序必要时禁用 IPv6重启后配置丢失DHCP 覆盖了静态 IP / 网卡被重置确认 IP 是静态配置检查网卡配置文件DNS 自己上不了网网卡 DNS 指向 127.0.0.1 但服务没起来临时改回公共 DNS检查 DNS 服务状态我在实际排查里最常遇到的是最后两类。DNS 服务器自己解析不了公网八成是安装顺序错了重启后配置丢失往往是因为有人手动改了 IP 但没注意 VMware 的网络设置或者用了 DHCP 保留地址却和静态配置打架。7. 快照、备份与安全加固7.1 快照与克隆使用经验VMware 的快照功能在这套流程里极其有用。我一般会在三个节点各打一个快照系统装完、补丁打完命名为01-SysReadyDNS 和 IIS 角色部署完命名为02-RoleReady站点跑通、域名访问正常命名为03-SiteLive这样后面不管哪一步改坏了回滚到最近的快照几分钟就能恢复比重新装系统快得多。但快照不等于备份。快照是增量磁盘你操作得越多快照文件越大虚拟机读写性能下降越明显。长期挂着十几个快照机器的磁盘占用会膨胀到你怀疑人生。我的习惯是快照保留不超过三个功能验证完就把中间状态删掉一个。克隆虚拟机的时候要注意直接克隆出来的 Windows 会保留原来的计算机名和 SID两台机器同名会在网络里打架。克隆后必须改计算机名和 IP必要时跑一下sysprep做系统准备让系统在下次启动时重新生成标识。7.2 端口与服务的收敛实验环境虽然不对外但该有的收敛习惯还是要养成。我的原则是对外只开放 80、443、53DNS 只在内网接口、3389RDP 限制来源 IP关闭不必要的服务特别是 SMBv1老版本协议的安全问题很多Administrator 账户改名密码用长口令站点目录权限只给读上传目录单独给写DNS 服务不要监听所有接口只监听内网那张网卡3389 这条特别提醒一下。如果你用桥接模式虚拟机的 RDP 端口暴露在整个局域网里任何一台机器都能尝试登录。建议在防火墙入站规则里把 3389 的作用域限制成本地子网或者干脆限制成宿主机的 IP。密码也要设得复杂些暴力破解工具在局域网里扫描 3389 是很常见的事情。7.3 后续可扩展方向这套环境跑通之后能延伸的方向其实很多。加一台 FTP 服务在 IIS 里可以同时装 FTP 服务器角色配合域名做ftp.lab.test。注意 FTP 有主动和被动两种模式被动模式需要额外放行一段端口范围比如 50000-50100否则客户端连上控制端口后数据通道建立不起来表现为能登录但列不出目录。做多站点负载再克隆一两台虚拟机装同样的站点然后在前面用 Nginx 或 IIS 的 ARR 做反向代理把请求分发到不同后端。这是从单机迈向集群的第一步。加一台独立的数据库服务器把 MySQL 或 SQL Server 拆到另一台虚拟机上Web 服务器只负责处理请求。这样既能练习两台机器之间的连接配置防火墙、账号授权、连接字符串也更能体会真实生产环境的架构。引入版本控制和自动化部署在服务器上装个 Git 服务把站点目录做成仓库本地推送之后自动更新。这一步做完你的实验环境就从手工搭的变成了可重复部署的。8. 我个人踩坑后总结的几条经验最后说点具体的体会都是我自己折腾出来的。第一条动手前把 IP 规划写下来。我早期搭环境从来不写规划随手填 IP结果 DNS 里记的、网卡配的、防火墙放行的经常对不上排查起来要在三四个地方来回翻。现在我会在记事本里先写清楚网段、网关、服务器 IP、域名后缀、站点列表照着填效率高很多。第二条DNS 装完先验证再改客户端指向。很多人一装完 DNS 就急着把宿主机 DNS 改过去然后发现问题一堆分不清是 DNS 服务的问题还是转发的问 题。先用nslookup在本机指定服务器测试确认服务本身没问题再去动客户端。第三条主机头绑完之后一定停掉默认站点。这个坑我至少踩过三次。现象是访问任何域名都返回 IIS 欢迎页日志里显示请求确实到了但就是命中不了正确的站点。原因就是默认站点没绑主机名把所有请求都截胡了。第四条快照要打但别依赖快照。快照方便但磁盘膨胀和性能下降是真实存在的。重要的配置改动最好还是记一份文档或者把关键配置文件applicationHost.config、DNS 区域文件导出来存一份。真到了磁盘炸掉的时候文档比快照靠谱。
