# Windows Server 2025 AD DS 首域：一个能重建的实验

> 把 Windows Server 2025 评估版 VM 提升为首个森林/域控：静态 IP、DNS、DSRM 和验证——快照化，不是生产。

**测试环境**

- 版本号: 26100.33650
- 版本: Standard / Datacenter (Evaluation)
- 架构: x64
- 证据: E1
- 核验日期: 2026-10-28

## 一句话结论

实验首域是四个决定：

1. **一个不会后悔的名字**（`lab.internal`，不是 `LAB` 或你不拥有的公网域）。
2. **静态 IP** 和正确 DNS。
3. **DSRM 密码**存在 VM 之外。
4. **提升前快照**，不用重装就能重建。

然后装 AD DS、提升新森林、重启，验证 DNS/SYSVOL/复制。通过之前不要加客户端。

## 提升之前

| 检查 | 值 |
|---|---|
| 计算机名 | `dc1`（提升前改） |
| IP | 静态，如 `10.10.10.10/24` |
| DNS | 装 DNS 后才指 `127.0.0.1`；DC 上不要配公网 DNS |
| 时间 | 正确时区；同步可靠源 |
| 域名 | `lab.internal`（单标签名是坏习惯） |
| DSRM 密码 | 密码管理器，不是桌面便签 |
| 快照 | `srv2025-pre-ad` |

```powershell
Rename-Computer -NewName dc1 -Restart
Get-NetIPAddress -AddressFamily IPv4
```

## 安装与提升

```powershell
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest `
  -DomainName 'lab.internal' `
  -DomainNetbiosName 'LAB' `
  -InstallDns `
  -ForestMode 'Win2025' `
  -DomainMode 'Win2025'
```

cmdlet 会问 DSRM 密码并重启。新实验森林用 `Win2025` 功能级别即可；只有故意混旧 DC 才降级。

## 加客户端前验证

```powershell
Get-Service NTDS,DNS,Netlogon,SYSVOL
dcdiag /test:dns /v
nltest /dsgetdc:lab.internal
Get-SmbShare SYSVOL,NETLOGON
```

预期：

- `NTDS`、`DNS`、`Netlogon` 运行；
- SYSVOL/NETLOGON 共享存在；
- `dcdiag` DNS 测试通过；
- DC 定位器找到 `dc1`。

然后在 DC 上设 DNS 转发器（路由器不能可靠解析外网时，不要让它成为唯一转发器）。用 `Resolve-DnsName microsoft.com` 测试。

> **警告: 提升前快照，不是提升后**
>
> 提升会改 AD 数据库、SYSVOL 和 DNS。提升前快照才是干净回滚点。运行中 DC 的快照不是受支持备份。

## 加入客户端

1. 客户端 DNS 只指 DC。
2. 加入 `lab.internal`，重启。
3. 用域账户登录。
4. 验证 `whoami /fqdn`、`nltest /sc_query:lab.internal`。

加入失败先查 DNS：解析不到 SRV 记录的客户端永远找不到域。

## 实验边界

- 单 DC 是实验，不是高可用域。
- 不用公网域名、不建生产 CA、不做外部联合。
- 从 `srv2025-clean` + 本页重建，不要“修”坏实验。
- 评估期适用；记录到期。

## 来源

- [Microsoft Learn — AD DS 概述](https://learn.microsoft.com/zh-cn/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview)
- [Microsoft Learn — 安装新森林](https://learn.microsoft.com/zh-cn/windows-server/identity/ad-ds/deploy/install-a-new-windows-server-2012-forest)

---

来源页面: https://winbook.fyi/zh/server/roles/ad-ds/