深入理解Windows域概念

原文地址：http://angerfire.blog.51cto.com/198455/43217

在说域这个概念之前,我们先来回忆一下工作组. 

首先,工作组中,每一台计算机都独立维护自己的资源,不能集中管理所有网络资源. 
其次,每一台计算机都在本地存储用户的帐户 
第三,一个账户只能登陆到一台计算机 
第四,工作组中计算机都是平等的,对于其他计算机来说即是服务器,也是客户机. 
第五,工作组的网络规模一般少于10台计算机. 

记得以前有个小弟弟(某企业网络管理员),刚开始全单位8台计算机,他用的是工作组管理模式 
网络配置很轻松,几乎不用管理.哪台机器有问题 就去哪来机器上解决.工作强度也不是很大. 
不到3个月时间.随着企业信息化的需要,公司的计算机台数增加到了50台.这个小弟弟采用同样的管理方式. 
每天都很忙碌,从早上到公司到晚上离开,一直在解决网络中用户的计算机故障问题,病毒\IE首页篡改\甚至出现了公司内部恶意攻击的事件,经常晚上加班,通宵达旦的工作.但问题总是解决不了. 
一个月后,他被辞退了. 
为什么会这样呢?有没有更简单方便的管理方式呢? 

下面我们来看这么个例子: 
如果我们把工作组看成是原始社会,各服务器(人)各自为政 
再想想刚刚的例子,小张公司的8台电脑最开始都是各自为政的, 
所以就不存在管理的概念, 
小张只能充当一个哪里出问题就去哪解决的故障排除机器般的被动角色. 
那么在网络日益应用广泛,结构越来越复杂的今天,我们可不可以,让我们的计算机网络世界也进化一下呢? 
比如在计算机中通过网络成立一个国家,在公司的一定范围内实现集中管理,中央集权!! 
(微软替我们想到了这一点,也做到了这一点,从微软的NT时代就提出的域的概念,演化到现在也就是我们的单域环境.)
一个国家可以管理的范围只在一个国家内(适合一些规模小,地域范围跨度小的公司),想做更复杂 范围更广阔的管理,需要什么样的体制呢? 

感谢地球,因为我们有联合国,欧盟. 
实现多个基本管理范围(国家,域)的联合管理.减少这些基本管理范围内的重复管理工作. 
方便相互之间资源调用.(也就是现在域森林 多域的网络环境为当今的跨地域性企业提供了高效适合管理的网络管理方式.) 

那么我们继续刚刚的例子,来看看活动目录域的定义 

首先 谁能加入联合国(活动目录中能放哪些对象) 
其次 共同遵守的设定和规则(通用性设定) 
第三 不干涉别国内政(各域数据原则上由该数据所在的域进行管理) 

我们何以把活动目录当作一个联合国,其中包括了所有的成员国信息,大家遵守统一的规则,每个成员国各自管理自己的国家. 

那么每个成员国以及每个国家中的人(域和域中的计算机)如何去其他国家呢,走什么样的路线呢?国家与国家之间又怎样联系彼此呢? 

DNS这个具有全球定位系统服务的管理机构,也就是我们的联合国管理委员会,帮助我们解决了这个问题. 
准确的定位各个国家的位置,并为各个国民提供了方便的查询服务. 
我们想要去某个国家,想在某个国家内享受一个国民的基本权利,比如取得这个国家提供的最低生活保证金(访问域中的网络资源:如共享文件,打印),就连想要加入某个国家国籍(加入域)都必须通过DNS这个机构为我们指引. 


有的人容易把域林 域树 子域的概念搞混 

那么在这里提出来再解释一下 

结构关系:域林和树 可以看成我们的联合国和成员国(国家内的省,省内的县市,县市内的村子) 这种管理结构关系 
称呼名词:而子域这个名称是相对的,可以看作一个相对某个成员国中的某一个省或者相对某个省的某一个县. 

这里有牵扯到一个名词:DC(域控制器) 
我们可以把它看成一个国家的首都(也就是一台物理服务器上安装了AD活动目录). 
我们的所有的国民的户籍信息都存储在这里. 

=============================================================================

来说说加入域的问题。

有人加入域时很顺利，几分钟甚至几秒的功夫，完毕。

有人加入域时很恼火，折腾了一天甚至几天始终丈二和尚莫不找头脑。

 

      有个学生，很 勤奋，喜欢动手，拿着实验要求迅速动手就开始做了。dcpromo完成后，马上开始加入域，但一直提示无法联系到域控制器。他也很 好问，马上就举手问了：老师，我加不进去域？ 反问：为什么加不进去？学生回答：不知道。继续：检查一下，看看系统提示。学生继续：提示联系不到域控制器。继续引导：那么回忆一下，用什么工具或者命令检测通讯问题？学生：ping。（ping完DC 显示ping通）通着呢啊，怎么加不进去？引导：我们在创建域的时候，说域的概念的时候，提到一个全球卫星定位系统，说加入域的时候必须靠他来。。。？学生回答：定位DC！（运行中敲入NSLOOKUP 域名 后果然解析不了。检查客户机DNS，空白。）填写正确DNS后，问题解决，成功加入域。引导后反问：这下找到问题了？有排查问题的 思路了没？学生：有了，谢谢老师。

 

     通过上面的例子，可以发现勤奋和好问是各位新手朋友本身就有的精神，而且思路是晋级更高层次的通行证。有了思路，我们就可以在工作和学习中，不断了深入浅出的研究各种题材的实验，从而让自己飞得更高。

     回归正题：DNS，域名解析系统，并不是一项单纯的服务，而且广泛意义上的全球的域名解析系统，由若干台DNS服务器以及DNS成员机组成的这么一个计算机组织。

                        在域环境中DNS的作用：

                        1、以DNS标准命名（ 域的命名）

                        2、支持DC（ 创建DC时，要有相应的DNS的支持）

                        3、定位DC（ 加入域时，帮助地球人找到DC）

    有了以上的知识准备，我们来看看加入域需要注意的几点：

                         1、联系问题：a.ping通DC、DNS服务器（确保可以和DC、DNS服务器通信，要加入对方的国际你就必须和对方的政府“DC”以及大使馆“最近的DNS服务器”联系） b.DNS解析DC（通过dns得知DC的所在“大使馆告诉你如何找到相关的人事部门，当然就会告诉你DC的地址了”），【可以使用nslookup 命令+域名 来检测客户机DNS是否正确设置】

                         2、权限问题：加入域的时候，会提示输入相应有加入域权限的用户名密码。这里有很多人有误区，认为只有administrator才能通过加入域的验证，所以一直用administrator来验证加入域。其实用一个普通的domain user也是可以的，新建的域用户可以为非域成员机验证加入域。域，就象一个国家，是需要发展的，能够吸纳的有识之士越多，这个国家就越壮大，所以每一位国民，都有权利一传十十传百的。

                        3、登陆问题：加入域后不是万事大吉了，很多朋友直接拿administrator登陆了。殊不知，此举还是登陆了本地计算机。需要大家在登录时点击选项，在登录到中选择所加入的域。

                      

 

 *特殊问题：

                     a.  sid问题，如果加入域的计算机中系统是GHOST安装并没有重新封装过的话，就需要重新封装了，封装办法，及sid说明见 《 微软级DNA手术-新SID的诞生之系统封装  》      

                     b.dns服务器故障，如果客户端dns填写正确（当前网络环境中的DNS【内网DNS】）   ，但是同样无法联系到DC，并且可以ping通DNS 和DC的话，那么十有八九是你的DNS服务器出故障了，定位信息记录在dns服务的srv资源记录中。可能是相关的SRV资源记录没有生效或者不存在，那么如何是好呢？记住这个办法： 在服务管理器（运行中输入：services.msc）中重启net logon服务，当然这项操作要去DNS服务器上解决哦。别找错了 地方。

 

 总结：今天跟大家分享了加入域的几个问题。并拓展出几个系统概念。在这里总结一下。

          1、DNS（概念、作用、故障排除、检测工具）

          2、sid（加入域时两台系统sid相同的计算机没办法同时加入域，产生现象的原因时GHOST克隆系统）

          3、权限问题（验证计算机加入域的用户不一定非要administrator）