主机信息

用途

操作系统

主机名

域名

IP地址

DNS

根域

windows 2012

DC1

adlab.com

10.10.10.50

127.0.0.1

辅域

windows 2019

DC4

adlab.com

10.10.10.20

127.0.0.1和10.10.10.50

子域

windows 2012

DC2

sec.adlab.com

10.10.11.50

127.0.0.1和10.10.10.50

树域

windows 2012

DC3

ad.com

10.10.12.50

127.0.0.1和10.10.10.50

一、安装域控

1、准备工作

如果域内主机都是克隆过来的，则需要重置SID。因为克隆过来的SID一样 （SID可以在cmd中whoami/all查看）所以每一次克隆后都要进行这一步在win+r 进行搜索sysprep 双击 等待重启

2、修改主机名

3、安装域

打开服务器管理器，添加角色和功能。

出现“添加角色和功能”界面，下一步 。

根据提示操作，下一步。

选择添加AD域服务（Active Directory 域服务），同时添加所需功能。

根据提示操作，下一步

根据提示操作，下一步

根据提示操作，安装

等待安装完成

安装完成

4、配置域

点击服务器管理器左侧“AD DS” 、点击黄色提示部分中的更多。

进入AD域服务器配置向导，选择 “添加新林” ，输入域，点击下一步。

填写密码，下一步 。

提示DNS无法创建，不用管，继续下一步

根据提示操作，下一步

安装路径，默认，下一步

查看选项，默认，下一步

点击安装 。此过程可能会报错，提示登陆用户没有设置密码，去设置给当前登陆用户（Administrator）设置一个密码，然后回来点击 “重新运行先决条件检查” 即可！

安装完成，会提示注销重启 （此过程比较漫长，耐心等待）

重启之后存在以下几个说明安装成功

接下来我们需要同步配置一下域控制器的 DNS 区域传输：

现在主域控制器和 DNS 集成，为了让后期搭建完辅域控制器的 DNS 同步主域控制器 DNS ，需要把主域控制器的 DNS 服务器_msdcs.adlab.com和 adlab.com 的起始授权机构(SOA)区域传送设置成允许:

5、新建域管理员

打开"Active Directory 用户和计算机"

选择Users,新建用户

输入"用户登录名"

输入密码，点击"密码永不过期"

点击完成

找到刚刚新建的用户，右键选择"属性"

将用户新增管理员组，点击添加

点击"高级"

点击"立即查找"

依次添加以下三个组

Domain Admins; Enterprise Admins; Schema Admins

添加之后，点击完成

二、辅域搭建

1、修改主机名

2、修改DNS

3、安装域

出现“添加角色和功能”界面，下一步 。

根据提示操作，下一步。

选择添加AD域服务（Active Directory 域服务），同时添加所需功能。

根据提示操作，下一步

根据提示操作，下一步

根据提示操作，安装

等待安装完成

安装完成

4、配置域

点击服务器管理器左侧“AD DS” 、点击黄色提示部分中的更多。

填写刚才新建具有权限的用户，不使用默认的administrator

选择域，确定

完成域确认后，下一步

保持默认，填写还原模式密码

下一步

选择dc01（由于测试环境，没有任何数据，此处不需要“从介质安装”，多站点，数据库文件大时，使用该项）

默认路径，下一步

下一步

安装

安装完成后，重启

登录

安装后用户和计算机、站点和服务中，都看到了二台域控制器。

到些主辅二台域控制器搭建完成

二、子域控制器搭建

搭建子域的操作系统只能大于等于根域的操作系统，不能低于根域的操作系统，这里我推荐都用相同的操作系统。

1、修改主机名

首先修改主机名

2、修改DNS

1、搭建⼦域控制器前需要先把 DNS 指向主域控制器的 IP地址，然后委派完DNS再把⼦域控制器DNS指向⾃⼰：

⽗域控制器：adlab.com

⼦域控制器：sec.adlab.com

子域控制器：

IP：10.10.11.50

子网掩码：255.255.255.0

默认网光：10.10.11.254

首选DNS：10.10.10.50

3、安装域

打开服务器管理器，添加角色和功能。

出现“添加角色和功能”界面，下一步 。

根据提示操作，下一步。

选择添加AD域服务（Active Directory 域服务），同时添加所需功能。

根据提示操作，下一步

根据提示操作，下一步

根据提示操作，安装

等待安装完成

安装完成

4、配置域

点击服务器管理器左侧“AD DS” 、点击黄色提示部分中的更多。

部署的时候需要设置:

选择部署操作：将新域添加到现有林选择域类型：⼦域 ⽗域名：adlab.com 子域名：sec.adlab.com 凭据：填写⽗域的⽤户名密码即可

输入密码，点击下一步

域功能级别：windows Server 2012指定域控制器功能和站点信息：域名系统（DNS）服务器 、全局编录 填写新的DSRM密码:Redteam.com

默认下一步

NetBIOS 我们默认用系统设置的就好，点击”下一步“

默认下一步

默认下一步

来到”安装”界面，等待安装成功机器会自动重启：

配置好之后，在子域中ping 父域

至此子域配置完成

三、树域搭建

搭建树域的操作系统只能大于等于根域的操作系统，不能低于根域的操作系统，这里我推荐都用相同的操作系统。

1、修改主机名

2、设置DNS

⽗域控制器：adlab.com

⼦域控制器：ad.com

子域控制器：

IP：10.10.12.50

子网掩码：255.255.255.0

默认网光：10.10.12.254

首选DNS：10.10.10.50

3、安装域

出现“添加角色和功能”界面，下一步 。

根据提示操作，下一步。

根据提示操作，下一步。

选择添加AD域服务（Active Directory 域服务），同时添加所需功能。

根据提示操作，下一步

根据提示操作，下一步

根据提示操作，安装

点击"将此服务器提升为域控制器"

4、配置域

根据以下顺序填写

1.选择"树域"

2.先输入凭据，这里要输入域名adlab.com\sysadmin

3.输入新域名

填写密码，下一步 。

提示DNS无法创建，不用管，继续下一步

根据提示操作，下一步

安装路径，默认，下一步

查看选项，默认，下一步

点击安装 。此过程可能会报错，提示登陆用户没有设置密码，去设置给当前登陆用户（Administrator）设置一个密码，然后回来点击 “重新运行先决条件检查” 即可！

5、检查配置

安装好之后，ping根域

ping dc1.adlab.com

两者之间也是互相信任的

说明两个域是互相信任的

bug汇总

1.域名无法解析

通过树域ping根域ping不通或者找不到域名，在根域的DNS中新增一个条件转发器

若不行在另外一个域中的DNS中新增一个条件转发器

2.无法联系到一个主域控制器（PDC）仿真器。

在dc上运行命令dcdiag /v，看看有无任何错误信息。

请运行命令repadmin /syncall，查看AD复制是否正常。

参考地址

https://social.technet.microsoft.com/Forums/msonline/en-US/606538d5-18dc-409b-b21a-83a29a654681/26080278613285231995210401996820010200272249525511210462212065?forum=windowsserversystemzhchs

3.找不到命名信息

点击域内服务时，提示以下内容

打开服务，检查Netlogon服务的状态

如果服务未启动或者暂停等，则需要手动将该服务启动

参考地址

https://mp.weixin.qq.com/s/2GKMFKmjCF_vht8hKl4iFw

https://www.bilibili.com/read/cv13367444

https://sec-in.com/article/1140

https://www.office26.com/windows/windows_17514.html

https://docs.microsoft.com/zh-cn/windows-server/identity/ad-ds/deploy/install-a-new-windows-server-2012-active-directory-child-or-tree-domain--level-200-