Windows DNS Policy Manager

Projekt-Homepage

Eine browserbasierte GUI für Windows Server DNS — Richtlinien, Zonen, Datensätze, DNSSEC, DNS über HTTPS und Blocklisten. Erstellt mit Next.js, TypeScript und shadcn/ui, verbindet sie sich über die enthaltene PowerShell-Bridge mit einem laufenden DNS-Server für Echtzeitverwaltung und funktioniert offline als PowerShell-Befehlsgenerator. Enthält 8 Szenario-Assistenten und einen MCP-Server für die Integration von KI-Agenten (Claude Code, Cursor, VS Code).

Funktionen

• 12-Tab-Oberfläche: Server, Objekte, Zonen, Richtlinien, Erstellen, Blocklisten, Assistenten, DNSSEC, DNS über HTTPS, Resolver, Sicherung, PowerShell
• Multi-Server-Verwaltung mit Kerberos-, DPAPI-gespeicherten oder sitzungsbasierten Anmeldeinformationen und Server-Umschalter in der Kopfzeile zum schnellen Wechsel von jedem Tab aus
• Server-Konfigurationsdashboard mit Inline-Bearbeitung für 13 Konfigurationsbereiche (Einstellungen, Weiterleitungen, Rekursion, Cache, Blockliste, Diagnose, Statistiken, RRL, Scavenging, Root-Hinweise, EDNS, AD-Einstellungen, globale Namenszone)
• DNS Best Practices Analyzer — Windows BPA aus der Oberfläche ausführen mit nach Schweregrad kodierten Befunden
• Zonen-Browser mit Zwei-Panel-Layout, Einstellungseditor, vollständigem Datensatz-CRUD, CSV-Import/-Export, Paginierung und Filtern für Forward/Reverse, Zonentyp (Primary/Secondary/Stub/Forwarder) und AD-integriert
• 8 Szenario-Assistenten mit typisierter Ausführung (Geo-Lokalisierung, Split-Brain, Tageszeit, Lastverteilung, Abfragefilter, Blockliste, Geo+LB-Kombination, Primary-Secondary)
• Blocklisten-Tab — Quick Block (einzelne Domain), Massenimport (.txt), Tabelle aktiver Block-Richtlinien und Verwaltung der globalen Abfrage-Blockliste
• Resolver-Tab — IP-Stack-DNS pro Adapter (IPv4/IPv6), Weiterleitungskonfiguration, Mermaid-Topologie-Diagramm mit farbcodierten Kanten
• DNSSEC-Verwaltung — Zonensignierung, Signaturschlüssel-CRUD, Vertrauensanker, Vertrauenspunkte
• DNS über HTTPS (DoH) — dedizierter Tab zum Aktivieren/Deaktivieren von eingehendem DoH und zur Live-Verwaltung von bis zu 3 URI-Vorlagen unter Windows Server 2025+ (KB5094125), plus ein Offline-Generator für das vollständige Voraussetzungs-Setup-Skript (Zertifikatsimport, netsh-SSL-Bindung, Firewall-Regel, Set-DnsServerEncryptionProtocol und Neustart des DNS-Dienstes)
• Richtlinien-CRUD mit Aktivieren/Deaktivieren-Umschalter, Editor für die Verarbeitungsreihenfolge und serverübergreifendem Kopieren
• DNS-Objektverwaltung für Client-Subnetze, Zonenbereiche und Rekursionsbereiche
• Zonen-Lebenszyklus — Erstellen, Löschen, Konvertieren, Anhalten, Fortsetzen, Exportieren von Zonen
• PowerShell-Befehlsgenerierung mit Kopieren in die Zwischenablage — funktioniert offline als Befehlsgenerator
• Sicherung & Export — JSON-Sicherung/Wiederherstellung von Richtlinien, Serverkonfigurationsexport (Get-DnsServer als JSON), DNS-Zonenexport (einzelne oder alle primären Zonen via Export-DnsServerZone), AD-integrierte Sicherungsinformationen
• DNS-Lookup-Dienstprogramm — Slide-Over-Panel mit Live-nslookup- und dig-Abfragen von jedem Tab aus. Werkzeugspezifische Optionen (+trace, +dnssec, +short, +all, +multiline, debug), gezielte Auswahl benutzerdefinierter oder registrierter Nameserver und Konsolen-Ausgabe der Sitzung mit Kopieren/Leeren
• Kontextsensitive Hilfe mit Slide-Over-Panel und ganzseitigem Popout
• 21 Playwright-E2E-Tests mit Mock-Bridge, in CI integriert
• MCP-Server — 31 schreibgeschützte Werkzeuge für KI-Agenten über das Model Context Protocol (Zonen, Datensätze, Richtlinien, Serverkonfiguration, DNSSEC, RRL, Scavenging und mehr), plus Offline-PowerShell-Befehlsgenerierung
• Docker-bereit mit mehrstufigem Alpine-Image (221 MB)
• Tastaturzugängliche Tab-Navigation und ARIA-Attribute

Lokal ausführen

Voraussetzungen

• Node.js 24 LTS („Krypton") — die Version, auf die CI, Docker und .nvmrc alle abzielen. Node 20 erreichte am 2026-04-30 das Ende der Lebensdauer und Node 22 befindet sich bis 2027-04-30 in der Wartungsphase, daher ist 24 das aktuelle Active LTS. Mit nvm im Repository-Stamm nvm use ausführen, um es zu übernehmen.
• Windows Server mit der DNS-Server-Rolle oder ein Rechner mit dem PowerShell-Modul DnsServer
• Die Bridge bindet standardmäßig nur an 127.0.0.1 — niemals im Netzwerk exponiert

Start mit einem Befehl

powershell -ExecutionPolicy Bypass -File Start-DNSPolicyManager.ps1

Dies startet sowohl die PowerShell-Bridge (Port 8650) als auch den Next.js-Dev-Server (Port 10010) und öffnet dann Ihren Browser. Die Frontend-Abhängigkeiten werden beim ersten Start automatisch installiert.

Manueller Start

# Terminal 1: Start the bridge
powershell -ExecutionPolicy Bypass -File server/bridge.ps1

# Terminal 2: Start the frontend
cd dns-manager
npm install   # first time only
npm run dev

Dann öffne http://localhost:10010.

Offline-Modus

Wenn die Bridge nicht läuft, fällt die App auf die reine Befehlsgenerierung zurück — erstelle Richtlinien visuell und kopiere die generierten PowerShell-Befehle.

MCP-Server (KI-Agenten-Integration)

Der MCP-Server ermöglicht es KI-Agenten, deine DNS-Server über 31 schreibgeschützte Tools über das Model Context Protocol abzufragen. Er verbindet sich mit derselben PowerShell-Bridge, die auch von der Web-Oberfläche genutzt wird.

Einrichtung

cd mcp-server
npm install
npm run build

Oder verwenden Sie den Launcher:

powershell -ExecutionPolicy Bypass -File Start-DNSPolicyManager.ps1 -MCP

Bei Claude Code registrieren

claude mcp add dns-policy-manager -- node /path/to/mcp-server/dist/index.js

Mit Umgebungsvariablen für einen bestimmten Server:

claude mcp add dns-policy-manager \
  -e BRIDGE_URL=http://127.0.0.1:8650 \
  -e DNS_DEFAULT_SERVER=dc01.contoso.com \
  -e DNS_CREDENTIAL_MODE=currentUser \
  -- node /path/to/mcp-server/dist/index.js

Konfiguration

Die gesamte Konfiguration erfolgt über Umgebungsvariablen:

Variable	Standard	Beschreibung
BRIDGE_URL	http://127.0.0.1:8650	URL der PowerShell-Bridge
BRIDGE_TOKEN	(aus der Token-Datei gelesen)	Bearer-Token der Bridge. Nur erforderlich, wenn der MCP-Server unter einem anderen Benutzer oder auf einem anderen Rechner als die Bridge läuft
BRIDGE_TOKEN_FILE	%LOCALAPPDATA%\DNSPolicyManager\bridge.token	Wo das Token gelesen wird, das die Bridge beim Start schreibt
DNS_DEFAULT_SERVER	(keine)	Standard-Hostname des DNS-Servers
DNS_SERVER_ID	(keine)	Server-ID für die Anmeldedaten-Suche
DNS_CREDENTIAL_MODE	currentUser	Authentifizierungsmodus: currentUser oder savedCredential

Verfügbare Tools (31)

Kategorie	Tools
Zonen	dns_list_zones, dns_get_zone_details, dns_get_zone_records, dns_get_zone_aging, dns_get_zone_delegations
Richtlinien	dns_list_policies, dns_list_transfer_policies
Serverkonfiguration	dns_get_server_settings, dns_get_forwarders, dns_get_cache_settings, dns_get_recursion_settings, dns_get_blocklist, dns_get_diagnostics, dns_get_statistics, dns_get_rrl, dns_get_rrl_exceptions, dns_get_scavenging, dns_get_root_hints, dns_get_edns, dns_get_encryption, dns_get_global_name_zone, dns_export_server_config
DNS-Objekte	dns_list_subnets, dns_list_zone_scopes, dns_list_recursion_scopes
DNSSEC	dns_get_dnssec_settings, dns_get_signing_keys, dns_get_trust_anchors, dns_get_trust_points
Offline	dns_generate_policy_commands (funktioniert ohne Bridge)
Zustand	dns_check_health