域使一个安全边界,在有些情况下,我们需要越过这个边界,那么这个时候,我们就需要使用域信任了。

  举个例子,有两个域,nswl.localxuelan.local这两个域,如果当nswl.local域的用户需要访问xuelan.local域中的资源,或xualan.local域中账户需要在nswl.local的域中进行账户验证,那么,你可以通过在两个域之间设置信任来实现;

 

  信任可以分为单向信任和双向信任,单向信任就是A信任B,而B不信任A;双向信任则是,A信任BB也信任A;同时域的信任也是可传递的,如,A信任BB信任C,那么A也信任C;信任也分林信任和外部信任,这两者的区别在于,林信任可以被传递到林中的所有域,而外部信任则不会传递。设置了域信任关系会不会影响安全?信任关系不会影响安全,只是允许对方访问,至于访问权限,仍然需要管理员授权;这也是为什么我们应该避免在资源上给每个人(everyone)允许权限,因为一旦建立信任,那么受信任的域中的每个人都将能够访问这些资源。

 

林功能级别是Windows Server 2003

 

实验架构:

wKioL1YKHoHRqpxPAAD8030UOsg294.jpg

 

 

两个域之间创建信任很简单,麻烦的是怎么才能让两个域都能互相解析到,方法有很多种,比如,创建辅助区域、创建反向查找区域等等,我这里使用的是创建辅助区域:

1、在nswl.local的这台域控制器上面,打开DNS管理器,右击选择“属性”,选择“区域传送”对话框,勾选“允许区域传送”并选择“只允许到下列服务器”,然后选择“编辑”并添加xuelan.local这台域控制器的DNS地址;然后选择“确定”;

wKioL1YKHpyye9OYAAGWfmErbrc735.jpg

 

2、在xuelan.local这个域中,打开DNS管理器,右击“正想查找区域”并选择“新建区域”;

wKiom1YKHqSwuKrYAAGJKg6EtDM302.jpg

 

3、打开“欢迎使用新建区域向导”窗口,并选择“下一步”;

wKiom1YKHq3Auqw3AAFt89hmio4571.jpg

 

4、在区域类型页面,选择“辅助区域”并选择“下一步”;

wKioL1YKHsfiV5qoAAHNlYfjHmA002.jpg

 

5、输入区域名称(我们这里需要的是复制nswl.localDNS区域,所以这里输入的是nswl.local。),然后选择“下一步”;

wKioL1YKHtLhciDeAAF8lsrGWHo156.jpg

 

6、输入前面输入的区域名称所在的服务器的IP地址,并选择“添加”,然后选择“下一步”;

wKiom1YKHtuzlRcsAAFNc5K9FEY283.jpg

 

7、创建成功后,选择“完成”;

wKioL1YKHvDQ3cjGAAGzP9FNBos125.jpg

 

8、此时打开DNS管理器会发现多了一个nswl.local区域;

wKioL1YKHvqgVf5PAAHtWvAxiY0587.jpg

 

使用同样的方法,在xuelan.local这个域的DNS服务器管理里面开启区域传送,并将nswl.local这个域的DNS服务器添加到允许列表中,然后再nswl.local这个域的DNS服务器管理中新建辅助区域。

创建完成后可以通过“nslookup”看能否互相解析到;

如果有问题,可以先尝试:

Ipconfig  /flushdns           清除DNS缓存

ipconfig /registerdns          刷新所有dhcp租约,并重新注册DNS名称

Net stop netlogon                 停止netlogon

Net start netlogon                启动netlogon

 

 

创建好辅助区域后,下面就应该创建信任了:

1、打开“Active Directory 域和信任关系”右击域名,选择“属性”;

wKioL1YKH0fCkbI5AAEZP5nTSoI249.jpg

 

2、选择“信任”对话框,并选择“新建信任”;

wKiom1YKH07yzE8bAAEpoTp-UF4516.jpg

 

3、打开“新建域信任向导”,选择“下一步”;

wKioL1YKH2KB4iEKAAF3bAd3E3Y371.jpg

 

4、输入加入信任域的名称,然后选择“下一步”;

wKiom1YKH2ThDguXAAEmh0jBIUY298.jpg

 

5、在“信任类型”选择“外部信任”(这种信任是不可传递的。),然后选择“下一步”;

wKioL1YKH3zDW9k6AAF48sk2vKE863.jpg

 

6、在信任方向选择“双向”,然后选择“下一步”;

wKiom1YKH36RijalAAFXmYtLbjs629.jpg

 

7、在信任方选择“此域和指定的域”;然后选择“下一步”;

wKiom1YKH4qg8a7fAAGjAIuszqI459.jpg

 

8输入xuelan.local域的管理员账户密码,然后选择“下一步”;

wKioL1YKH62Bo0kNAAEhvEKpyu8063.jpg

 

9、在传出信任身份验证级别窗口选择“全域身份验证”(一般情况下,我们都会选择“全局性身份验证”;但如果有不同的需求可以选择下面一个“选择性身份验证”,每个选项都有相关说明,这里我就不说了。),然后选择“下一步”;

wKiom1YKH7HCIsuNAAHOTg2vD1k026.jpg

 

10、选择传出新任身份验证级别,一般选择“全局性身份验证”,即所有用户;如果选择“选择性身份验证”则需要事后手动选择用户;然后选择“下一步”;

wKioL1YKH8axbmZ5AAGsfDInpRo020.jpg

 

11、在“选择信任完毕”窗口选择“下一步”;

wKiom1YKH8ex-k6yAAFscZVd5Kw136.jpg

 

12、在“信任创建完毕”窗口,选择“下一步”;

wKiom1YKH9uhPBwCAAFtuF0fKUc733.jpg

 

13、在“确认传出信任”窗口,选择“是,确认传出信任”并选择“下一步”;

wKioL1YKH_fSupliAAEO6yRtbYQ101.jpg

 

14、在“确认传入信任”窗口,选择“是,确认传入信任”并选择“下一步”;

wKiom1YKH_eRl9tJAAD-Sfw9c3Q415.jpg

 

15、在“正在完成新建信任向导”窗口,选择“完成”;

wKioL1YKIAqiNgqvAAE2rN5AFKI393.jpg

 

16、在弹出“Active Directory 域服务”选择“确定”;

wKiom1YKIArBT7NZAAD2J7zV5jM817.jpg

 

17、此时,在信任属性窗口中,可以看到,相关域之间的属性;

wKioL1YKICHgg58iAAE6GFfHS9U140.jpg

 

18、到另一个域中打开域信任属性窗口,同样也可以看到两个域之间的信任。

wKiom1YKICPjldLiAAFMv-m5yew223.jpg