Windows sever中域、域树、域森林之间的区别与联系

域（Domain）

在说域这个概念之前,我们先来回忆一下工作组.

首先,工作组中,每一台计算机都独立维护自己的资源,不能集中管理所有网络资源.
其次,每一台计算机都在本地存储用户的帐户
第三,一个账户只能登陆到一台计算机
第四,工作组中计算机都是平等的,对于其他计算机来说即是服务器,也是客户机.
第五,工作组的网络规模一般少于10台计算机.

记得以前有个小弟弟(某企业网络管理员),刚开始全单位8台计算机,他用的是工作组管理模式
网络配置很轻松,几乎不用管理.哪台机器有问题就去哪来机器上解决.工作强度也不是很大.
不到3个月时间.随着企业信息化的需要,公司的计算机台数增加到了50台.这个小弟弟采用同样的管理方式.
每天都很忙碌,从早上到公司到晚上离开,一直在解决网络中用户的计算机故障问题,病毒\IE首页篡改\甚至出现了公司内部恶意攻击的事件,经常晚上加班,通宵达旦的工作.但问题总是解决不了.
一个月后,他被辞退了.
为什么会这样呢?有没有更简单方便的管理方式呢?

下面我们来看这么个例子:
如果我们把工作组看成是原始社会,各服务器(人)各自为政
再想想刚刚的例子,小张公司的8台电脑最开始都是各自为政的,
所以就不存在管理的概念,
小张只能充当一个哪里出问题就去哪解决的故障排除机器般的被动角色.
那么在网络日益应用广泛,结构越来越复杂的今天,我们可不可以,让我们的计算机网络世界也进化一下呢?
比如在计算机中通过网络成立一个国家,在公司的一定范围内实现集中管理,中央集权!!
(微软替我们想到了这一点,也做到了这一点,从微软的NT时代就提出的域的概念,演化到现在也就是我们的单域环境.)
一个国家可以管理的范围只在一个国家内(适合一些规模小,地域范围跨度小的公司),想做更复杂范围更广阔的管理,需要什么样的体制呢?
感谢地球,因为我们有联合国,欧盟.
实现多个基本管理范围(国家,域)的联合管理.减少这些基本管理范围内的重复管理工作.
方便相互之间资源调用.(也就是现在域森林多域的网络环境为当今的跨地域性企业提供了高效适合管理的网络管理方式.)
那么我们继续刚刚的例子,来看看活动目录域的定义
首先谁能加入联合国(活动目录中能放哪些对象)
其次共同遵守的设定和规则(通用性设定)
第三不干涉别国内政(各域数据原则上由该数据所在的域进行管理)
我们何以把活动目录当作一个联合国,其中包括了所有的成员国信息,大家遵守统一的规则,每个成员国各自管理自己的国家.
那么每个成员国以及每个国家中的人(域和域中的计算机)如何去其他国家呢,走什么样的路线呢?国家与国家之间又怎样联系彼此呢?
DNS这个具有全球定位系统服务的管理机构,也就是我们的联合国管理委员会,帮助我们解决了这个问题.
准确的定位各个国家的位置,并为各个国民提供了方便的查询服务.
我们想要去某个国家,想在某个国家内享受一个国民的基本权利,比如取得这个国家提供的最低生活保证金(访问域中的网络资源:如共享文件,打印),就连想要加入某个国家国籍(加入域)都必须通过DNS这个机构为我们指引.
有的人容易把域林域树子域的概念搞混
那么在这里提出来再解释一下
结构关系:域林和树可以看成我们的联合国和成员国(国家内的省,省内的县市,县市内的村子) 这种管理结构关系
称呼名词:而子域这个名称是相对的,可以看作一个相对某个成员国中的某一个省或者相对某个省的某一个县.
这里有牵扯到一个名词:DC(域控制器)
我们可以把它看成一个国家的首都(也就是一台物理服务器上安装了AD活动目录).
我们的所有的国民的户籍信息都存储在这里.
来说说加入域的问题。
有人加入域时很顺利，几分钟甚至几秒的功夫，完毕。
有人加入域时很恼火，折腾了一天甚至几天始终丈二和尚莫不找头脑。
有个学生，很勤奋，喜欢动手，拿着实验要求迅速动手就开始做了。dcpromo完成后，马上开始加入域，但一直提示无法联系到域控制器。他也很好问，马上就举手问了：老师，我加不进去域？反问：为什么加不进去？学生回答：不知道。继续：检查一下，看看系统提示。学生继续：提示联系不到域控制器。继续引导：那么回忆一下，用什么工具或者命令检测通讯问题？学生：ping。（ping完DC 显示ping通）通着呢啊，怎么加不进去？引导：我们在创建域的时候，说域的概念的时候，提到一个全球卫星定位系统，说加入域的时候必须靠他来。。。？学生回答：定位DC！（运行中敲入NSLOOKUP 域名后果然解析不了。检查客户机DNS，空白。）填写正确DNS后，问题解决，成功加入域。引导后反问：这下找到问题了？有排查问题的思路了没？学生：有了，谢谢老师。
通过上面的例子，可以发现勤奋和好问是各位新手朋友本身就有的精神，而且思路是晋级更高层次的通行证。有了思路，我们就可以在工作和学习中，不断了深入浅出的研究各种题材的实验，从而让自己飞得更高。
回归正题：DNS，域名解析系统，并不是一项单纯的服务，而且广泛意义上的全球的域名解析系统，由若干台DNS服务器以及DNS成员机组成的这么一个计算机组织。
在域环境中DNS的作用：
1、以DNS标准命名（域的命名）
2、支持DC（创建DC时，要有相应的DNS的支持）
3、定位DC（加入域时，帮助地球人找到DC）
有了以上的知识准备，我们来看看加入域需要注意的几点：
1、联系问题：a.ping通DC、DNS服务器（确保可以和DC、DNS服务器通信，要加入对方的国际你就必须和对方的政府“DC”以及大使馆“最近的DNS服务器”联系） b.DNS解析DC（通过dns得知DC的所在“大使馆告诉你如何找到相关的人事部门，当然就会告诉你DC的地址了”），【可以使用nslookup 命令+域名来检测客户机DNS是否正确设置】
2、权限问题：加入域的时候，会提示输入相应有加入域权限的用户名密码。这里有很多人有误区，认为只有administrator才能通过加入域的验证，所以一直用administrator来验证加入域。其实用一个普通的domain user也是可以的，新建的域用户可以为非域成员机验证加入域。域，就象一个国家，是需要发展的，能够吸纳的有识之士越多，这个国家就越壮大，所以每一位国民，都有权利一传十十传百的。
3、登陆问题：加入域后不是万事大吉了，很多朋友直接拿administrator登陆了。殊不知，此举还是登陆了本地计算机。需要大家在登录时点击选项，在登录到中选择所加入的域。
*特殊问题：
a. sid问题，如果加入域的计算机中系统是GHOST安装并没有重新封装过的话，就需要重新封装了，封装办法，及sid说明见《微软级DNA手术-新SID的诞生之系统封装》
b.dns服务器故障，如果客户端dns填写正确（当前网络环境中的DNS【内网DNS】），但是同样无法联系到DC，并且可以ping通DNS 和DC的话，那么十有八九是你的DNS服务器出故障了，定位信息记录在dns服务的srv资源记录中。可能是相关的SRV资源记录没有生效或者不存在，那么如何是好呢？记住这个办法：在服务管理器（运行中输入：services.msc）中重启net logon服务，当然这项操作要去DNS服务器上解决哦。别找错了地方。
总结：今天跟大家分享了加入域的几个问题。并拓展出几个系统概念。在这里总结一下。
1、DNS（概念、作用、故障排除、检测工具）
2、sid（加入域时两台系统sid相同的计算机没办法同时加入域，产生现象的原因时GHOST克隆系统）
3、权限问题（验证计算机加入域的用户不一定非要administrator）
域既是Windows网络系统的逻辑组织单元，也是Internet的逻辑组织单元，在Windows操作系统中，域是安全边界。域管理员只能管理域的内部，除非其他的域显式地赋予他管理权限，他才能够访问或者管理其他的域。每个域都有自己的安全策略，以及它与其他域的安全信任关系。
其实可以把域和工作组联系起来理解，在工作组上你一切的设置在本机上进行包括各种策略，用户登录也是登录在本机的，密码是放在本机的数据库来验证的。而如果你的计算机加入域的话，各种策略是域控制器统一设定，用户名和密码也是放到域控制器去验证，也就是说你的账号密码可以在同一域的任何一台计算机登录。
如果说工作组是“免费的旅店”那么域（Domain）就是“星级的宾馆”；工作组可以随便出出进进，而域则需要严格控制。“域”的真正含义指的是服务器控制网络上的计算机能否加入的计算机组合。一提到组合，势必需要严格的控制。所以实行严格的管理对网络安全是非常必要的。在对等网模式下，任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。在由Windows 9x构成的对等网中，数据的传输是非常不安全的。

不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。

域控制器中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息有一样不正确，那么域控制器就会拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，他只能以对等网用户的方式访问Windows共享出来的资源，这样就在一定程度上保护了网络上的资源。
要把一台电脑加入域，仅仅使它和服务器在网上邻居中能够相互“看”到是远远不够的，必须要由网络管理员进行相应的设置，把这台电脑加入到域中。这样才能实现文件的共享，集中统一，便于管理。
域作为最基本的管理单元,同时也是最基层的容器,它可以对员工、计算机等基本数据进行存储.在一个活动目录中可以根据需要建立多个域,比方说 “甲公司”的财务科、人事科、销售科就可以各建一个域,因为这几个域同属甲公司,所以就可以将这几个域构成一棵域树并交给域树管理,这棵域树就是甲公司. 又因为,甲公司、乙公司、丙公司都归属A集团,那么为了让A集团可以更好地管理这三家子公司,就可以将这三家公司的域树集中起来组成域森林（即A集团）. 因此A集团可以按“子公司（域树）→部门→员工”的方式进行层次分明的管理.活动目录这种层次结构使企业网络具有极强的扩展性,便于组织、管理以及目录定位.假设甲公司的人事科现在需要更名为人力资源部,那么它的域名“人事科.甲公司.A集团”就必须更改为“人力资源部.甲公司.A集团”,这时就出现了域更名需求.

OU(Organizational Unit)

OU 是一个容器对象，我们可以把域中的对象组织成逻辑组，所以OU纯粹是一个逻辑概念，它可以帮助我们简化管理工作。OU可以包含各种对象，比如用户账户、用户组、计算机、打印机，甚至可以包括其他的OU。所以我们可以利用OU把域中的对象形成一个完全逻辑上的层次结构，对于一个企业来讲，我们可以按部门把所有的用户和设备组成一个OU层次结构，也可以按地理位置形成层次结构，还可以按功能和权限分成多个OU层次结构。由于OU层次结构局限于域的内部，所以一个域中的OU层次结构与另一个域中的OU层次结构完全独立。
树
当多个域通过信任关系连接起来之后，所有的域共享公共的表结构(schema) 、配置和全局目录(global catalog)，从而形成域树。域树由多个域组成，这些域共享同一个表结构和配置，形成一个连续的名字空间。树中的域通过信任关系连接起来。活动目录包含一个或多个域树。
森林
域森林是指一个或多个没有形成连续名字空间的域树。域林中的所有域树共享同一个表结构、配置和全局目录。域林中的所有域树通过Kerberos信任关系建立起来，所以每个域树都知道Kerberos信任关系，不同域树可以交叉引用其他域树中的对象。
接下来我们看一下AD与站点之间的关系
谈到Active Directory中的站点，很多Active Directory的初学者都会深感头疼，为什么呢？搞不清楚这个站点究竟是起什么作用。有很多同学都问过这样的问题，站点和域有什么区别？到底是域大还是站点大？有了域为什么还要有站点？本文将尝试为大家介绍站点的概念及设计初衷，让大家能够更好地理解站点，运用站点。

域是共享用户账号，计算机账号及安全策略的一组计算机，这个定义是基于逻辑因素考虑的，只要用户和计算机在同一个Active Directory内，我们就认为他们都在域的安全边界之内。我们从域的定义中可以看到，域没有考虑网络速度等物理因素，无论计算机和域控制器之间是一个快速的物理连接还是一个慢速的物理连接，域都会一视同仁，完全把连接速度视若无物。但在实际的生产环境中我们就会发现如果不考虑网速这样的物理因素，我们会在管理域时遇到很多麻烦。我们通过一个例子加以说明，如下图所示，某域的域控制器分布在北京，上海两处，北京有A,B,C三台域控制器，上海有D,E,F三台域控制器。北京和上海的本地局域网都是千兆以太网，北京和上海之间是一条128K的专线。
现在我们要考虑这么一个问题，如果域控制器A更改了Active Directory，那么怎样才能用最有效率的方法把这个AD的变化复制到其他五个域控制器上呢？显然域控制器A应该先把更改复制到同一高速局域网内的B和C，然后再利用慢速的广域网链接复制到上海的一个域控制器上，例如复制到D，最后再由D复制到E和F。域控制器如果使用我们规划的这种复制拓扑，那当然好，在这种复制拓扑中数据只经过两地间的慢速链路传递了一次。但问题是域如果不考虑速度因素，未必能作出这种拓扑，万一KCC决定使用的复制拓扑是先从A到D，再从D到B，然后B到E，再E到C，最后从C到F，那我们就要崩溃了。这样的话六个域控制器之间的AD复制要沿着两地间的慢速链路走五次，无论如何都让我们无法接受！从这个例子中我们已经看到了速度因素的重要性，再顺着这个例子引申一下，用户每天登录到域进行身份验证，显然北京的用户应该登录到北京的域控制器，上海的用户应该登录到上海的域控制器，这样效率才会比较高，如果北京的用户每天都到上海的域控制器进行身份验证，显然不是一件好事。
从上面的例子中我们发现，在日常的运维工作中是不能把速度因素透明处理的，我们必须考虑到计算机之间的连接速度！正是基于这种考虑，微软才引入了站点对计算机进行管理。站点的概念其实很简单，站点就是高速相连的一组计算机！从这个概念来看，站点强调了速度这个物理因素，域则是强调要共享Active Directory这个逻辑因素，把站点和域结合起来对计算机从物理和逻辑两个角度进行管理，是微软的一个很好的构思。值得一提的是，微软这种管理思路并非罕见，例如Exchange中也有管理组和路由组的概念，管理组和路由组其实类似于域和站点的关系，也是一个从逻辑角度进行管理，另一个从物理角度进行管理。
有了站点帮助管理，我们处理前面提到的那个例子就容易多了，从站点的定义来看，由于北京和上海之间存在一条慢速链路，因此我们应该把北京的计算机放到一个站点内，把上海的计算机放到另一个站点内。这样的话，北京和上海的用户在登录时会优先选择本站点内的域控制器登录，KCC在规划复制拓扑时也会自动地优先考虑在本站点内的域控制器之间进行AD复制。更好的是，如果AD需要垮站点复制，AD内容还可以经过压缩后再进行复制，显然站点在设计时已经充分考虑到了对带宽的充分利用。