我常年帮人折腾企业网络环境最怕听到的一句话就是我们公司现在每台电脑都是新员工来了自己配。真自己配过的人都知道这里头有多少烂摊子IP地址今天改一个、明天换一段文件服务器找不着共享打印机连不上谁要动了密码全公司都来问你。到后来几百台电脑全靠一台一台手动处理IT就变成了人肉工具书。这套路撑个十几人还行超过三十人你基本就别想干别的了。把Windows Server 2022的AD域和DNS一次搭好很多破事能从根上消掉。域环境起来之后用户账号、密码策略、文件共享权限、软件分发都有了统一入口新机器加域十分钟员工换电脑也不用重新配一堆东西。这篇我就把从零搭建AD域控的完整过程写给你看重点放在DNS配置的坑上——因为据我经验十次加域失败有八次是DNS的问题剩下的两次是时间不同步。我会把每一步为什么这么做也讲清楚不是让你照抄命令而是让你搭完之后敢拍胸脯说这环境稳。1. 先想清楚再动手AD域和DNS是干什么的1.1 手动配电脑的痛懂的都懂手动管理阶段的企业网络最经典的场景是这样的新来一个员工IT先去仓库搬一台机器然后开机设用户名、设密码、改计算机名、填IP、配网关、加打印机、装Office、再手动建共享文件夹权限。听起来每台也就半小时但半年下来五十台电脑再加上中间有人离职、有人换部门、有人忘了密码维护成本直接爆炸。更麻烦的是电脑一多IP冲突、DNS解析混乱、计算机名重复这些问题就会交替出现。今天财务说打印不了明天销售说连不上服务器你打开网络拓扑一看根本没拓扑全凭记忆。这时候就会发现真正该做的不是继续救火而是搭一套身份认证和资源管理的基础设施。AD域干的正是这件事。Active Directory域服务AD DS可以理解成企业IT的中央登记处。所有电脑、所有用户账号、所有安全组都在里面登记谁有权限访问什么资源都由域控制器统一说了算。DNS则是这套体系里的电话簿它负责把计算机名翻译成IP地址让域内机器能互相找到对方。1.2 AD域和DNS到底是啥关系拆开讲AD域解决的是信任问题你输入用户名密码域控制器确认你是合法员工再给你发一张通行证你就能按权限访问资源。DNS解决的是找到问题客户端要联系域控制器总不能记住它的IP吧它只要查一个特殊的DNS记录就能自动找到域控在哪台机器上。所以DNS不是AD的附属品而是AD的地基。Windows Server装成域控时会自动创建一个与域名同名的DNS区域里面会生成一堆SRV记录。客户端加域时第一件事就是通过DNS来定位域控制器如果DNS返回不了正确的SRV记录域控就算活生生在眼前客户端也报找不到域。后面我会专门讲这个坑这里先记住一句话DNS配置不对AD域白搭。1.3 环境规划两台虚拟机分主备很关键这次实操我建议你在虚拟环境里做两台Windows Server 2022虚拟机就够了规划对象 主域控DC01 备域控DC02 计算机名 DC01 DC02 IP地址 192.168.10.10/24 192.168.10.11/24 网关 192.168.10.1 192.168.10.1 DNS本身 127.0.0.1 192.168.10.10 AD域名 corp.example.local corp.example.local网卡要多留意虚拟机里给服务器至少配2个虚拟CPU、4GB内存、60GB硬盘。系统盘不用太大但建议单独分一个分区给AD数据库和日志后面备份恢复会省事很多。主域控的DNS地址填自己的IP或者127.0.0.1都行备域控的DNS必须指向主域控。这样第二台机器才能通过DNS找到主控然后从主控复制AD数据。很多人搭建备域控失败就是DNS指向写错了。注意如果是一台物理机单域控虚拟机快照千万别乱用。AD数据库写入很频繁乱回滚快照可能导致域环境出现各种诡异的复制冲突。有条件的还是在搭建前做个系统备份别省这一步。2. 搭建前的准备工作系统安装与基础设置2.1 系统从哪来装的时候要注意什么Windows Server 2022的ISO可以到微软官方评估中心下载有180天评估期用于学习和测试完全够用。别贪方便去下载不明来源的精简版域控这种基础服务系统里少一个组件可能半年后才会爆雷到那时排查成本高到你想哭。安装时选Windows Server 2022 Standard桌面体验这个是带图形界面的版本适合日常管理。别选Server Core除非你PowerShell熟到闭眼能写不然一个小配置查半天命令纯属给自己加戏。安装密钥那一步如果是评估版就选我没有产品密钥一路下一步到桌面。装完第一件事是打补丁。Windows Update跑一遍重启再继续。有些坑是补丁没打导致域控安装中途报错回头查日志特别浪费时间。2.2 改主机名和固定IP这步别偷懒系统装好后先把计算机名改了默认那串随机字符看着就别扭后面域里识别全靠它。改完重启再设置网卡IP。IP地址一定要设成静态域控的IP千万不能靠DHCP自动获取。虽然DHCP分到的地址可能一直没变但一旦哪天变了整个域内的DNS记录指向就会乱掉客户端加域、找域控全都得跟着翻车。具体设置IP地址192.168.10.10DC01子网掩码255.255.255.0网关192.168.10.1首选DNS服务器127.0.0.1安装时先用自己提升域控后再改成自己的真实IP有一个细节如果你的网络里已经存在DNS服务器比如路由器或防火墙带的内置DNS暂时不要把它的地址填进备用DNS。原因后面说因为域控的DNS区域需要自己管理混用外部DNS很容易出现区域解析混乱。2.3 时间同步不重视Kerberos分分钟罢工很多人建域的时候都忽略时间同步。AD域里有个叫Kerberos的认证协议它对客户端和域控之间的时间差非常敏感默认允许的误差只有5分钟。超了这个数客户端加域会失败已经加过域的机器登录会报错。所以域控建立之后我会顺手做两件事一是把Windows Time服务设为自动启动二是让这台机器的时间源指向一个可靠的NTP服务器。个人推荐用系统自带的w32tm命令来配置w32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update Restart-Service w32time提示域内其他成员机器后续会自动以域控为时间源所以你只要保证域控时间准客户端不用挨个配NTP。3. 手把手配置DNS与提升域控3.1 用服务器管理器添加角色和服务正式操作从服务器管理器开始。打开后点添加角色和功能一路下一步在服务器角色里勾选DNS服务器和Active Directory域服务。系统会弹窗提醒你添加所需功能直接确认就可以。这里我建议先把DNS角色单独装上重启一次再装AD域服务。虽然AD域服务安装向导会顺手把DNS一起装好但我习惯分开做这样每一步出问题都容易定位。两个角色装完服务器管理器右上角会多个感叹号气的小三角提示你将此服务器提升为域控制器这就是下一步的入口。3.2 先建正反向查找区域让DNS地基干净装完DNS角色打开DNS管理器展开正向查找区域先别急着新建。我会先把网络里的常用记录想清楚再分批加进去。正向查找区域的职责是名字解析成IP。比如员工访问fileserver.corp.example.localDNS告诉他这台机器在哪。AD域自己的DNS区域在提升为域控时通常自动创建但如果你等等再去建可能出现区域权限和复制范围不对的情况。我的实操顺序是在DNS管理器中新建正向查找区域选择主要区域区域名称填corp.example.local。在区域属性里允许动态更新选择安全或非安全及安全都行域环境下选安全最稳妥。顺手建反向查找区域网络ID填192.168.10这样DNS就可以做反解把IP解析回主机名。有些服务对反解要求挺严格提前配上不吃亏。反向查找区域经常被人忘掉但很多网络故障排查时工具会拿着IP来做PTR查询查不到就直接判定解析失败。所以这一步别省以后你会感谢自己。3.3 提升为域控制器每一步参数背后都有讲究AD域服务角色装好后执行提升为域控制器。向导里有几个参数网上教程大多一键带过我把它们拆开讲部署配置选添加新林根域名填corp.example.local。企业内网域名推荐用.local或内网专用域名而不是公网域名因为如果你用的域名已经对外发布了MX记录或者网站内网和外网的解析逻辑会打架麻烦不断。域控制器选项林功能级别和域功能级别都用Windows Server 2016以上。因为我们装的是2022如果以后想把老服务器加入进来级别太高可能不兼容级别低了又享受不到新特性。日常单域环境直接选默认值都没问题。DNS选项勾选DNS服务器。如果你已经装了DNS角色这里会自动勾上取消反而不合理因为域控必须要配合DNS区域才能正常工作。NetBIOS域名默认会截取域名的前半段比如corp。除非公司有明确的NetBIOS命名规范否则保持默认即可。路径设置AD数据库、日志、SYSVOL的存放路径建议放在非系统盘这样重装系统时数据还在备份也方便。磁盘性能好的话数据库和日志可以分开放日常环境放同一块SSD分区上也行。点安装之后系统会自动重启。重启完成后这台机器才算真正成为域控。整个过程大概十到二十分钟期间别断电、别乱取消。3.4 验证基础环境确定性比猜测重要重启完成后登录账号会变成CORP\Administrator。验证域控是否健康我建议看四个地方# 查域控是否正常 Get-ADDomainController -Filter * # 查DNS区域是否包含关键SRV记录 dnscmd /EnumRecords corp.example.local _tcp # 查域环境信息 Get-ADDomain # 查SYSVOL共享 net share sysvol如果_tcp区域里能看到_ldap._tcp.corp.example.local指向DC01的记录说明DNS注册成功这是域控对外可用的标志。再看SYSVOL目录它必须通过共享暴露出来里面存放组策略客户端登录和刷新策略全靠它。两项都正常基础环境就稳了。4. DNS避坑指南这篇博文的重头戏4.1 SRV记录缺失客户端怎么都找不到域控实际项目里遇到最多的加域失败问题十有八九出在SRV记录上。客户端想加域时它不直接访问域控IP而是先向DNS询问_ldap._tcp.corp.example.local这个记录拿到域控的IP后再去联系。如果你搭建过程中创建DNS区域的步骤出了岔子或者区域允许动态更新的权限没开SRV记录就不会自动注册。客户端报错往往是找不到网络路径或者域控制器找不到看着像网络故障实际是DNS尸位素餐。排查方法很简单dnscmd /EnumRecords corp.example.local _tcp如果列出的记录里没有_ldap就得手动处理确认域控自己的DNS指向是否正确域控DNS不能指向外部的路由器必须能解析自己所在域。在DNS区域属性里开启动态更新然后重启NetLogon服务Restart-Service Netlogon等待几十秒再次枚举_tcp区域SRV记录就会自动回来。注意手动逐条添加SRV记录可以应急但不建议长期这么做。因为域控重装或IP变化后自动注册机制会让你省掉很多更新记录的麻烦。动态更新是AD域名字服务的灵魂。4.2 DNS转发器的取舍别把所有解析都甩给运营商域控搭好之后它的DNS区域只认自己域内的名字如果你在服务器上ping一个外网域名比如www.microsoft.com默认是解析不了的。这时候需要在DNS管理器里配置转发器让域控把非本区域的查询转发到上游公共DNS。很多人图省事直接填8.8.8.8和114.114.114.114也不是不行但我建议有条件的话填公司出口防火墙或运营商提供的内网DNS因为内网DNS有缓存解析速度更快也方便做访问控制。真正的坑在于有人把转发器填上后发现内网域名解析顺序乱了。DNS服务器处理查询时优先查自己负责的正向区域查不到才走转发器。理论上不会和外网域名冲突。但如果你用了公网能注册的域名作为AD域比如corp.example.com而内网、外网解析的结果不一样那就要小心了。为了避免这种局面内网AD域名和不打算对外的内部主机名最好都用.local结尾或完全独立的内部域名空间。4.3 客户端的DNS指向加域成功的隐藏开关很多客户加域前网卡的DNS地址还指向路由器或运营商客户端到DNS一查_ldap._tcp.corp.example.local路由器DNS根本不认加域自然失败。所以加域前必须把客户端的首选DNS改成域控IP。最标准的操作是打开网卡属性IPv4设置首选DNS填192.168.10.10。DNS服务器地址不要填多个不同网段的特别不要把域控以外的DNS放前面。加域成功后如果需要上网客户端还是通过域控DNS的转发器去解析外网本质上还是同一个DNS。我在实际工作中见过这样一个案例客户加域总报找不到域控制器检查了一晚上最后发现是网卡里有两个DNS第一个填的是出口网关的IP第二个才是域控。Windows的DNS解析顺序是优先使用第一个结果所有域内查询都被网关吃掉了。把DNS改成只留域控地址问题立刻消失。4.4 动态更新和区域复制DNS不是配完就完事DNS区域里那些主机名和IP的对应关系不是写死的。我们手动加的是一部分域内机器加域后还会自动注册自己的A记录。如果你把DNS区域属性的动态更新关了那么新电脑加域后别人ping它的计算机名会失败各种依赖主机名的服务也会跟着凉。另外如果你按后面章节搭了第二台域控DNS那么区域复制是默认自动完成的。主域控上建的DNS区域在AD域环境下会同时存放在AD数据库里通过AD复制自动同步到备域控。这就意味着你通常不需要在备域控上手动新建一遍DNS区域只需要确认DNS服务角色已经安装、并且区域类型是Active Directory集成区域。5. 备域控搭建与主备同步5.1 为什么小企业也要第二台域控单台域控在企业里属于单点故障这台机器一挂域名解析、账号登录、文件服务器权限全部瘫痪。经验教训是有一年客户公司断电UPS也扛不住了域控直接硬关机RAID卡在开机自检时报错最后整个上午全公司登录不了电脑行政只能拿纸质表登记考勤。所以只要条件允许至少搞两台域控一主一备。别说什么公司小、没预算两台虚拟机放在同一个虚拟化平台或两台物理机上成本真的不高。多一台域控换来的是一份保险。5.2 备域控搭建流程和主控有本质区别备域控不是再走一遍新林流程而是让新机器加入现有域再提升为域控制器。具体步骤准备第二台Windows Server 2022改名为DC02IP设成192.168.10.11注意网关和主域控一致。网卡DNS指向必须写成主域控的IP也就是192.168.10.10。这一步写错后面所有操作都白搭。先把DC02加入现有域corp.example.local用域管理员账号完成加域重启。添加Active Directory域服务角色然后把它提升为域控制器部署配置里选择将域控制器添加到现有域域名填corp.example.local。提升完成后系统会从主域控把AD数据库、策略、DNS区域全部复制过来。整个过程大约十到二十分钟取决于网络和数据量。完成后DC02就是一台标准备用域控可以承担认证和DNS解析。5.3 主备同步是怎么工作的AD复制机制很多第一次搭双域控的人以为要自己写脚本定时把主域控的数据复制到备域控完全不用。Active Directory使用多主复制模型两台域控地位上对等数据通过复制协议自动双向同步。你改了一个用户密码几秒钟后就会同步到另一台域控。验证复制状态我一般用这条命令repadmin /showrepl如果一切正常会看到每个命名上下文都显示上次复制成功没有错误代码。另外可以故意在DC01改一个测试用户的部门然后到DC02用AD用户和计算机工具看是否同步实际效果比看命令结果更直观。注意千万不要在虚拟机层面用复制整个虚拟机磁盘的方式去做备域控。虚拟机的快照和克隆如果带出了已存在域控的SID会导致域内出现重复SID的机器轻则无法正常认证重则整个域的信任关系混乱。搭建备域控走正规的角色添加流程别走捷径。6. 客户端加域与用户登录常见问题6.1 加域的标准流程要把DNS改到位客户端加域的步骤不复杂用管理员账号登录本机把网卡DNS首选地址改成192.168.10.10。右键此电脑-属性-高级系统设置-计算机名-更改。在隶属于里选域输入corp.example.local。弹出的认证窗口里输入CORP\Administrator和密码。看到欢迎加入域的提示重启电脑。重启后登录界面会有切换到其他用户的选项输入域账号就能登录了。如果登录界面还是只有本地用户点左下角其他用户用户名输入CORP\用户名密码照填就能进域了。6.2 用户登录老是出现temp临时账户别慌不是域坏了这个问题的表现是用户登录后桌面变回了默认桌面文件、壁纸、快捷方式全不见了系统提示你已使用临时配置文件登录。看着像数据丢了实际上只是用户配置文件加载失败数据还在原配置文件目录里。常见原因有几个用户配置文件权限损坏。最常见的场景是用户之前用临时配置文件登录过产生了C:\Users\TEMP之类的配置文件后续正常登录时Windows不知道用哪个配置文件反复进临时环境。域配置文件路径错误。在用户配置文件列表里如果账户的配置文件状态显示临时说明系统没能正确加载原来的配置文件。漫游配置文件服务器故障。如果你配置了漫游配置文件很多企业会这么干用户登录时无法访问服务器上的配置文件也会退而求其次生成临时配置。处理方法不复杂先按WinR输入sysdm.cpl打开用户配置文件列表找到当前用户对应的配置文件。如果显示类型是临时那就在注册表里看HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList查找带.bak后缀的键值把它重命名为正常键值重启再登录。如果修不来就直接删掉有问题的配置记录让用户重新登录生成新配置再把原来文件里的桌面资料拷回去。7. 跨平台环境的DNS配置小扩展7.1 Linux客户端也能加入AD域现在很多企业网络不全是Windows机器还有Ubuntu、CentOS、麒麟等Linux服务器要纳入域管理。Linux加域的原理和Windows类似通过配置Kerberos和Samba/Winbind让Linux机器用域账号认证。在Debian/Ubuntu上操作思路大致是# 安装相关组件 sudo apt install realmd sssd samba-common krb5-user # 加入域 sudo realm join corp.example.local -U Administrator # 允许域用户登录 sudo realm permit --all加域前同样要把Linux机器的DNS改成域控IP否则realm join阶段就找不到域控。很多人在Linux下配置DNS时遇到的问题根源也是在/etc/resolv.conf里写了多个DNS或者写了一个不可达的DNS服务器导致解析超时。7.2 Linux下DNS解析的常见问题和排查思路Linux排查DNS问题我习惯先看/etc/resolv.conf再看systemd-resolved状态。不少发行版的DNS配置文件会被NetworkManager或systemd托管你手动改了文件系统重启后又给你覆盖回去这会让很多人一头雾水。常见坑位列一下/etc/resolv.conf里DNS地址写错或顺序不对。域内查询必须优先指向AD域控DNS别让外部DNS排在前面。search域后缀没写全。比如你直接pingdc01系统会尝试解析dc01.corp.example.local如果search里没配corp.example.local就解析不了。防火墙拦截UDP 53端口。DNS默认用UDP 53有些系统防火墙只放行了TCP 53结果看起来网络通但nslookup显示超时。排查顺序可以固定成先用nslookup查域控A记录和SRV记录再用klist看Kerberos票据最后再看系统日志里有没有解析超时的报错。按这个顺序走基本能筛掉九成问题。8. 常见问题速查表与我踩过的一些坑排查AD域和DNS问题我这些年总结出一套判断顺序分享出来供参考现象最可能原因快速解决方案客户端加域提示找不到域控制器客户端DNS未指向域控或SRV记录缺失把DNS改成域控IP用dnscmd检查_tcp区域SRV记录加域提示拒绝访问输入的账号权限不足或密码错误使用域管理员账号确认CORP\Administrator格式域控重启后客户端加域失败NetLogon服务未完全启动或DNS记录未注册重启NetLogon服务刷新DNS记录用户登录变临时配置文件配置文件权限损坏或漫游配置不可访问检查ProfileList注册表修复或清理配置记录客户端能上网但无法解析内网主机名客户端DNS中混用了外部DNS只保留域控IP作为唯一DNS服务器跨网段加域失败未做条件转发或多子网DNS通信不通检查防火墙、路由子网间放通UDP/TCP 53端口DC02复制失败DNS指向错误或时间差过大确认DC02 DNS指向DC01用w32tm同步时间Linux加域失败resolv.conf配置错误或search后缀缺失将DNS指向域控补全corp.example.local搜索域最后再补一个我自己踩过的坑给域控做快照。有一次为了让同事测试组策略效果我给正在运行的主域控拍了个快照恢复回去之后域内所有机器的计算机账号信任关系全断了最后只能一台台退出域、重新加域狼狈得很。域控这类身份认证基础设施讲究的是数据一致性和时效性不能像普通测试机那样随手快照回滚。真想测试就单独起一台测试环境别拿生产域控练手。搭建AD域这件事看起来界面点来点去真正决定成败的往往是那些不起眼的细节DNS指向、时间同步、区域动态更新、SRV记录。按这篇文章的顺序走一遍先做单台域控再加备域控然后再跑客户端加域中途遇到问题多用dnscmd和repadmin查状态比瞎猜管用得多。我个人在这些项目里反复验证过的结论是只要DNS这层稳了AD域基本就成功了一大半。
我常年帮人折腾企业网络环境最怕听到的一句话就是我们公司现在每台电脑都是新员工来了自己配。真自己配过的人都知道这里头有多少烂摊子IP地址今天改一个、明天换一段文件服务器找不着共享打印机连不上谁要动了密码全公司都来问你。到后来几百台电脑全靠一台一台手动处理IT就变成了人肉工具书。这套路撑个十几人还行超过三十人你基本就别想干别的了。把Windows Server 2022的AD域和DNS一次搭好很多破事能从根上消掉。域环境起来之后用户账号、密码策略、文件共享权限、软件分发都有了统一入口新机器加域十分钟员工换电脑也不用重新配一堆东西。这篇我就把从零搭建AD域控的完整过程写给你看重点放在DNS配置的坑上——因为据我经验十次加域失败有八次是DNS的问题剩下的两次是时间不同步。我会把每一步为什么这么做也讲清楚不是让你照抄命令而是让你搭完之后敢拍胸脯说这环境稳。1. 先想清楚再动手AD域和DNS是干什么的1.1 手动配电脑的痛懂的都懂手动管理阶段的企业网络最经典的场景是这样的新来一个员工IT先去仓库搬一台机器然后开机设用户名、设密码、改计算机名、填IP、配网关、加打印机、装Office、再手动建共享文件夹权限。听起来每台也就半小时但半年下来五十台电脑再加上中间有人离职、有人换部门、有人忘了密码维护成本直接爆炸。更麻烦的是电脑一多IP冲突、DNS解析混乱、计算机名重复这些问题就会交替出现。今天财务说打印不了明天销售说连不上服务器你打开网络拓扑一看根本没拓扑全凭记忆。这时候就会发现真正该做的不是继续救火而是搭一套身份认证和资源管理的基础设施。AD域干的正是这件事。Active Directory域服务AD DS可以理解成企业IT的中央登记处。所有电脑、所有用户账号、所有安全组都在里面登记谁有权限访问什么资源都由域控制器统一说了算。DNS则是这套体系里的电话簿它负责把计算机名翻译成IP地址让域内机器能互相找到对方。1.2 AD域和DNS到底是啥关系拆开讲AD域解决的是信任问题你输入用户名密码域控制器确认你是合法员工再给你发一张通行证你就能按权限访问资源。DNS解决的是找到问题客户端要联系域控制器总不能记住它的IP吧它只要查一个特殊的DNS记录就能自动找到域控在哪台机器上。所以DNS不是AD的附属品而是AD的地基。Windows Server装成域控时会自动创建一个与域名同名的DNS区域里面会生成一堆SRV记录。客户端加域时第一件事就是通过DNS来定位域控制器如果DNS返回不了正确的SRV记录域控就算活生生在眼前客户端也报找不到域。后面我会专门讲这个坑这里先记住一句话DNS配置不对AD域白搭。1.3 环境规划两台虚拟机分主备很关键这次实操我建议你在虚拟环境里做两台Windows Server 2022虚拟机就够了规划对象 主域控DC01 备域控DC02 计算机名 DC01 DC02 IP地址 192.168.10.10/24 192.168.10.11/24 网关 192.168.10.1 192.168.10.1 DNS本身 127.0.0.1 192.168.10.10 AD域名 corp.example.local corp.example.local网卡要多留意虚拟机里给服务器至少配2个虚拟CPU、4GB内存、60GB硬盘。系统盘不用太大但建议单独分一个分区给AD数据库和日志后面备份恢复会省事很多。主域控的DNS地址填自己的IP或者127.0.0.1都行备域控的DNS必须指向主域控。这样第二台机器才能通过DNS找到主控然后从主控复制AD数据。很多人搭建备域控失败就是DNS指向写错了。注意如果是一台物理机单域控虚拟机快照千万别乱用。AD数据库写入很频繁乱回滚快照可能导致域环境出现各种诡异的复制冲突。有条件的还是在搭建前做个系统备份别省这一步。2. 搭建前的准备工作系统安装与基础设置2.1 系统从哪来装的时候要注意什么Windows Server 2022的ISO可以到微软官方评估中心下载有180天评估期用于学习和测试完全够用。别贪方便去下载不明来源的精简版域控这种基础服务系统里少一个组件可能半年后才会爆雷到那时排查成本高到你想哭。安装时选Windows Server 2022 Standard桌面体验这个是带图形界面的版本适合日常管理。别选Server Core除非你PowerShell熟到闭眼能写不然一个小配置查半天命令纯属给自己加戏。安装密钥那一步如果是评估版就选我没有产品密钥一路下一步到桌面。装完第一件事是打补丁。Windows Update跑一遍重启再继续。有些坑是补丁没打导致域控安装中途报错回头查日志特别浪费时间。2.2 改主机名和固定IP这步别偷懒系统装好后先把计算机名改了默认那串随机字符看着就别扭后面域里识别全靠它。改完重启再设置网卡IP。IP地址一定要设成静态域控的IP千万不能靠DHCP自动获取。虽然DHCP分到的地址可能一直没变但一旦哪天变了整个域内的DNS记录指向就会乱掉客户端加域、找域控全都得跟着翻车。具体设置IP地址192.168.10.10DC01子网掩码255.255.255.0网关192.168.10.1首选DNS服务器127.0.0.1安装时先用自己提升域控后再改成自己的真实IP有一个细节如果你的网络里已经存在DNS服务器比如路由器或防火墙带的内置DNS暂时不要把它的地址填进备用DNS。原因后面说因为域控的DNS区域需要自己管理混用外部DNS很容易出现区域解析混乱。2.3 时间同步不重视Kerberos分分钟罢工很多人建域的时候都忽略时间同步。AD域里有个叫Kerberos的认证协议它对客户端和域控之间的时间差非常敏感默认允许的误差只有5分钟。超了这个数客户端加域会失败已经加过域的机器登录会报错。所以域控建立之后我会顺手做两件事一是把Windows Time服务设为自动启动二是让这台机器的时间源指向一个可靠的NTP服务器。个人推荐用系统自带的w32tm命令来配置w32tm /config /manualpeerlist:time.windows.com /syncfromflags:manual /reliable:yes /update Restart-Service w32time提示域内其他成员机器后续会自动以域控为时间源所以你只要保证域控时间准客户端不用挨个配NTP。3. 手把手配置DNS与提升域控3.1 用服务器管理器添加角色和服务正式操作从服务器管理器开始。打开后点添加角色和功能一路下一步在服务器角色里勾选DNS服务器和Active Directory域服务。系统会弹窗提醒你添加所需功能直接确认就可以。这里我建议先把DNS角色单独装上重启一次再装AD域服务。虽然AD域服务安装向导会顺手把DNS一起装好但我习惯分开做这样每一步出问题都容易定位。两个角色装完服务器管理器右上角会多个感叹号气的小三角提示你将此服务器提升为域控制器这就是下一步的入口。3.2 先建正反向查找区域让DNS地基干净装完DNS角色打开DNS管理器展开正向查找区域先别急着新建。我会先把网络里的常用记录想清楚再分批加进去。正向查找区域的职责是名字解析成IP。比如员工访问fileserver.corp.example.localDNS告诉他这台机器在哪。AD域自己的DNS区域在提升为域控时通常自动创建但如果你等等再去建可能出现区域权限和复制范围不对的情况。我的实操顺序是在DNS管理器中新建正向查找区域选择主要区域区域名称填corp.example.local。在区域属性里允许动态更新选择安全或非安全及安全都行域环境下选安全最稳妥。顺手建反向查找区域网络ID填192.168.10这样DNS就可以做反解把IP解析回主机名。有些服务对反解要求挺严格提前配上不吃亏。反向查找区域经常被人忘掉但很多网络故障排查时工具会拿着IP来做PTR查询查不到就直接判定解析失败。所以这一步别省以后你会感谢自己。3.3 提升为域控制器每一步参数背后都有讲究AD域服务角色装好后执行提升为域控制器。向导里有几个参数网上教程大多一键带过我把它们拆开讲部署配置选添加新林根域名填corp.example.local。企业内网域名推荐用.local或内网专用域名而不是公网域名因为如果你用的域名已经对外发布了MX记录或者网站内网和外网的解析逻辑会打架麻烦不断。域控制器选项林功能级别和域功能级别都用Windows Server 2016以上。因为我们装的是2022如果以后想把老服务器加入进来级别太高可能不兼容级别低了又享受不到新特性。日常单域环境直接选默认值都没问题。DNS选项勾选DNS服务器。如果你已经装了DNS角色这里会自动勾上取消反而不合理因为域控必须要配合DNS区域才能正常工作。NetBIOS域名默认会截取域名的前半段比如corp。除非公司有明确的NetBIOS命名规范否则保持默认即可。路径设置AD数据库、日志、SYSVOL的存放路径建议放在非系统盘这样重装系统时数据还在备份也方便。磁盘性能好的话数据库和日志可以分开放日常环境放同一块SSD分区上也行。点安装之后系统会自动重启。重启完成后这台机器才算真正成为域控。整个过程大概十到二十分钟期间别断电、别乱取消。3.4 验证基础环境确定性比猜测重要重启完成后登录账号会变成CORP\Administrator。验证域控是否健康我建议看四个地方# 查域控是否正常 Get-ADDomainController -Filter * # 查DNS区域是否包含关键SRV记录 dnscmd /EnumRecords corp.example.local _tcp # 查域环境信息 Get-ADDomain # 查SYSVOL共享 net share sysvol如果_tcp区域里能看到_ldap._tcp.corp.example.local指向DC01的记录说明DNS注册成功这是域控对外可用的标志。再看SYSVOL目录它必须通过共享暴露出来里面存放组策略客户端登录和刷新策略全靠它。两项都正常基础环境就稳了。4. DNS避坑指南这篇博文的重头戏4.1 SRV记录缺失客户端怎么都找不到域控实际项目里遇到最多的加域失败问题十有八九出在SRV记录上。客户端想加域时它不直接访问域控IP而是先向DNS询问_ldap._tcp.corp.example.local这个记录拿到域控的IP后再去联系。如果你搭建过程中创建DNS区域的步骤出了岔子或者区域允许动态更新的权限没开SRV记录就不会自动注册。客户端报错往往是找不到网络路径或者域控制器找不到看着像网络故障实际是DNS尸位素餐。排查方法很简单dnscmd /EnumRecords corp.example.local _tcp如果列出的记录里没有_ldap就得手动处理确认域控自己的DNS指向是否正确域控DNS不能指向外部的路由器必须能解析自己所在域。在DNS区域属性里开启动态更新然后重启NetLogon服务Restart-Service Netlogon等待几十秒再次枚举_tcp区域SRV记录就会自动回来。注意手动逐条添加SRV记录可以应急但不建议长期这么做。因为域控重装或IP变化后自动注册机制会让你省掉很多更新记录的麻烦。动态更新是AD域名字服务的灵魂。4.2 DNS转发器的取舍别把所有解析都甩给运营商域控搭好之后它的DNS区域只认自己域内的名字如果你在服务器上ping一个外网域名比如www.microsoft.com默认是解析不了的。这时候需要在DNS管理器里配置转发器让域控把非本区域的查询转发到上游公共DNS。很多人图省事直接填8.8.8.8和114.114.114.114也不是不行但我建议有条件的话填公司出口防火墙或运营商提供的内网DNS因为内网DNS有缓存解析速度更快也方便做访问控制。真正的坑在于有人把转发器填上后发现内网域名解析顺序乱了。DNS服务器处理查询时优先查自己负责的正向区域查不到才走转发器。理论上不会和外网域名冲突。但如果你用了公网能注册的域名作为AD域比如corp.example.com而内网、外网解析的结果不一样那就要小心了。为了避免这种局面内网AD域名和不打算对外的内部主机名最好都用.local结尾或完全独立的内部域名空间。4.3 客户端的DNS指向加域成功的隐藏开关很多客户加域前网卡的DNS地址还指向路由器或运营商客户端到DNS一查_ldap._tcp.corp.example.local路由器DNS根本不认加域自然失败。所以加域前必须把客户端的首选DNS改成域控IP。最标准的操作是打开网卡属性IPv4设置首选DNS填192.168.10.10。DNS服务器地址不要填多个不同网段的特别不要把域控以外的DNS放前面。加域成功后如果需要上网客户端还是通过域控DNS的转发器去解析外网本质上还是同一个DNS。我在实际工作中见过这样一个案例客户加域总报找不到域控制器检查了一晚上最后发现是网卡里有两个DNS第一个填的是出口网关的IP第二个才是域控。Windows的DNS解析顺序是优先使用第一个结果所有域内查询都被网关吃掉了。把DNS改成只留域控地址问题立刻消失。4.4 动态更新和区域复制DNS不是配完就完事DNS区域里那些主机名和IP的对应关系不是写死的。我们手动加的是一部分域内机器加域后还会自动注册自己的A记录。如果你把DNS区域属性的动态更新关了那么新电脑加域后别人ping它的计算机名会失败各种依赖主机名的服务也会跟着凉。另外如果你按后面章节搭了第二台域控DNS那么区域复制是默认自动完成的。主域控上建的DNS区域在AD域环境下会同时存放在AD数据库里通过AD复制自动同步到备域控。这就意味着你通常不需要在备域控上手动新建一遍DNS区域只需要确认DNS服务角色已经安装、并且区域类型是Active Directory集成区域。5. 备域控搭建与主备同步5.1 为什么小企业也要第二台域控单台域控在企业里属于单点故障这台机器一挂域名解析、账号登录、文件服务器权限全部瘫痪。经验教训是有一年客户公司断电UPS也扛不住了域控直接硬关机RAID卡在开机自检时报错最后整个上午全公司登录不了电脑行政只能拿纸质表登记考勤。所以只要条件允许至少搞两台域控一主一备。别说什么公司小、没预算两台虚拟机放在同一个虚拟化平台或两台物理机上成本真的不高。多一台域控换来的是一份保险。5.2 备域控搭建流程和主控有本质区别备域控不是再走一遍新林流程而是让新机器加入现有域再提升为域控制器。具体步骤准备第二台Windows Server 2022改名为DC02IP设成192.168.10.11注意网关和主域控一致。网卡DNS指向必须写成主域控的IP也就是192.168.10.10。这一步写错后面所有操作都白搭。先把DC02加入现有域corp.example.local用域管理员账号完成加域重启。添加Active Directory域服务角色然后把它提升为域控制器部署配置里选择将域控制器添加到现有域域名填corp.example.local。提升完成后系统会从主域控把AD数据库、策略、DNS区域全部复制过来。整个过程大约十到二十分钟取决于网络和数据量。完成后DC02就是一台标准备用域控可以承担认证和DNS解析。5.3 主备同步是怎么工作的AD复制机制很多第一次搭双域控的人以为要自己写脚本定时把主域控的数据复制到备域控完全不用。Active Directory使用多主复制模型两台域控地位上对等数据通过复制协议自动双向同步。你改了一个用户密码几秒钟后就会同步到另一台域控。验证复制状态我一般用这条命令repadmin /showrepl如果一切正常会看到每个命名上下文都显示上次复制成功没有错误代码。另外可以故意在DC01改一个测试用户的部门然后到DC02用AD用户和计算机工具看是否同步实际效果比看命令结果更直观。注意千万不要在虚拟机层面用复制整个虚拟机磁盘的方式去做备域控。虚拟机的快照和克隆如果带出了已存在域控的SID会导致域内出现重复SID的机器轻则无法正常认证重则整个域的信任关系混乱。搭建备域控走正规的角色添加流程别走捷径。6. 客户端加域与用户登录常见问题6.1 加域的标准流程要把DNS改到位客户端加域的步骤不复杂用管理员账号登录本机把网卡DNS首选地址改成192.168.10.10。右键此电脑-属性-高级系统设置-计算机名-更改。在隶属于里选域输入corp.example.local。弹出的认证窗口里输入CORP\Administrator和密码。看到欢迎加入域的提示重启电脑。重启后登录界面会有切换到其他用户的选项输入域账号就能登录了。如果登录界面还是只有本地用户点左下角其他用户用户名输入CORP\用户名密码照填就能进域了。6.2 用户登录老是出现temp临时账户别慌不是域坏了这个问题的表现是用户登录后桌面变回了默认桌面文件、壁纸、快捷方式全不见了系统提示你已使用临时配置文件登录。看着像数据丢了实际上只是用户配置文件加载失败数据还在原配置文件目录里。常见原因有几个用户配置文件权限损坏。最常见的场景是用户之前用临时配置文件登录过产生了C:\Users\TEMP之类的配置文件后续正常登录时Windows不知道用哪个配置文件反复进临时环境。域配置文件路径错误。在用户配置文件列表里如果账户的配置文件状态显示临时说明系统没能正确加载原来的配置文件。漫游配置文件服务器故障。如果你配置了漫游配置文件很多企业会这么干用户登录时无法访问服务器上的配置文件也会退而求其次生成临时配置。处理方法不复杂先按WinR输入sysdm.cpl打开用户配置文件列表找到当前用户对应的配置文件。如果显示类型是临时那就在注册表里看HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList查找带.bak后缀的键值把它重命名为正常键值重启再登录。如果修不来就直接删掉有问题的配置记录让用户重新登录生成新配置再把原来文件里的桌面资料拷回去。7. 跨平台环境的DNS配置小扩展7.1 Linux客户端也能加入AD域现在很多企业网络不全是Windows机器还有Ubuntu、CentOS、麒麟等Linux服务器要纳入域管理。Linux加域的原理和Windows类似通过配置Kerberos和Samba/Winbind让Linux机器用域账号认证。在Debian/Ubuntu上操作思路大致是# 安装相关组件 sudo apt install realmd sssd samba-common krb5-user # 加入域 sudo realm join corp.example.local -U Administrator # 允许域用户登录 sudo realm permit --all加域前同样要把Linux机器的DNS改成域控IP否则realm join阶段就找不到域控。很多人在Linux下配置DNS时遇到的问题根源也是在/etc/resolv.conf里写了多个DNS或者写了一个不可达的DNS服务器导致解析超时。7.2 Linux下DNS解析的常见问题和排查思路Linux排查DNS问题我习惯先看/etc/resolv.conf再看systemd-resolved状态。不少发行版的DNS配置文件会被NetworkManager或systemd托管你手动改了文件系统重启后又给你覆盖回去这会让很多人一头雾水。常见坑位列一下/etc/resolv.conf里DNS地址写错或顺序不对。域内查询必须优先指向AD域控DNS别让外部DNS排在前面。search域后缀没写全。比如你直接pingdc01系统会尝试解析dc01.corp.example.local如果search里没配corp.example.local就解析不了。防火墙拦截UDP 53端口。DNS默认用UDP 53有些系统防火墙只放行了TCP 53结果看起来网络通但nslookup显示超时。排查顺序可以固定成先用nslookup查域控A记录和SRV记录再用klist看Kerberos票据最后再看系统日志里有没有解析超时的报错。按这个顺序走基本能筛掉九成问题。8. 常见问题速查表与我踩过的一些坑排查AD域和DNS问题我这些年总结出一套判断顺序分享出来供参考现象最可能原因快速解决方案客户端加域提示找不到域控制器客户端DNS未指向域控或SRV记录缺失把DNS改成域控IP用dnscmd检查_tcp区域SRV记录加域提示拒绝访问输入的账号权限不足或密码错误使用域管理员账号确认CORP\Administrator格式域控重启后客户端加域失败NetLogon服务未完全启动或DNS记录未注册重启NetLogon服务刷新DNS记录用户登录变临时配置文件配置文件权限损坏或漫游配置不可访问检查ProfileList注册表修复或清理配置记录客户端能上网但无法解析内网主机名客户端DNS中混用了外部DNS只保留域控IP作为唯一DNS服务器跨网段加域失败未做条件转发或多子网DNS通信不通检查防火墙、路由子网间放通UDP/TCP 53端口DC02复制失败DNS指向错误或时间差过大确认DC02 DNS指向DC01用w32tm同步时间Linux加域失败resolv.conf配置错误或search后缀缺失将DNS指向域控补全corp.example.local搜索域最后再补一个我自己踩过的坑给域控做快照。有一次为了让同事测试组策略效果我给正在运行的主域控拍了个快照恢复回去之后域内所有机器的计算机账号信任关系全断了最后只能一台台退出域、重新加域狼狈得很。域控这类身份认证基础设施讲究的是数据一致性和时效性不能像普通测试机那样随手快照回滚。真想测试就单独起一台测试环境别拿生产域控练手。搭建AD域这件事看起来界面点来点去真正决定成败的往往是那些不起眼的细节DNS指向、时间同步、区域动态更新、SRV记录。按这篇文章的顺序走一遍先做单台域控再加备域控然后再跑客户端加域中途遇到问题多用dnscmd和repadmin查状态比瞎猜管用得多。我个人在这些项目里反复验证过的结论是只要DNS这层稳了AD域基本就成功了一大半。
