跳转到内容
WinBook非官方

Windows Server 2025 AD DS 首域：一个能重建的实验

核验于 1 分钟阅读

把 Windows Server 2025 评估版 VM 提升为首个森林/域控：静态 IP、DNS、DSRM 和验证——快照化，不是生产。

测试环境Standard / Datacenter (Evaluation) · 版本号 26100.33650 · x64
E1
版本号
26100.33650
版本
Standard / Datacenter (Evaluation)
架构
x64
支持
实验（E1）
证据
E1官方文档
核验日期
2026-10-28
页面类型
服务器角色

一句话结论

Section titled “一句话结论”

实验首域是四个决定：

  1. 一个不会后悔的名字（lab.internal，不是 LAB 或你不拥有的公网域）。
  2. 静态 IP 和正确 DNS。
  3. DSRM 密码存在 VM 之外。
  4. 提升前快照，不用重装就能重建。

然后装 AD DS、提升新森林、重启，验证 DNS/SYSVOL/复制。通过之前不要加客户端。

提升之前

Section titled “提升之前”
检查 值
计算机名 dc1（提升前改）
IP 静态，如 10.10.10.10/24
DNS 装 DNS 后才指 127.0.0.1；DC 上不要配公网 DNS
时间 正确时区；同步可靠源
域名 lab.internal（单标签名是坏习惯）
DSRM 密码 密码管理器，不是桌面便签
快照 srv2025-pre-ad
终端窗口
Rename-Computer -NewName dc1 -Restart
Get-NetIPAddress -AddressFamily IPv4

安装与提升

Section titled “安装与提升”
终端窗口
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
Install-ADDSForest `
  -DomainName 'lab.internal' `
  -DomainNetbiosName 'LAB' `
  -InstallDns `
  -ForestMode 'Win2025' `
  -DomainMode 'Win2025'

cmdlet 会问 DSRM 密码并重启。新实验森林用 Win2025 功能级别即可；只有故意混旧 DC 才降级。

加客户端前验证

Section titled “加客户端前验证”
终端窗口
Get-Service NTDS,DNS,Netlogon,SYSVOL
dcdiag /test:dns /v
nltest /dsgetdc:lab.internal
Get-SmbShare SYSVOL,NETLOGON

预期：

  • NTDS、DNS、Netlogon 运行；
  • SYSVOL/NETLOGON 共享存在；
  • dcdiag DNS 测试通过；
  • DC 定位器找到 dc1。

然后在 DC 上设 DNS 转发器（路由器不能可靠解析外网时，不要让它成为唯一转发器）。用 Resolve-DnsName microsoft.com 测试。

加入客户端

Section titled “加入客户端”
  1. 客户端 DNS 只指 DC。
  2. 加入 lab.internal，重启。
  3. 用域账户登录。
  4. 验证 whoami /fqdn、nltest /sc_query:lab.internal。

加入失败先查 DNS：解析不到 SRV 记录的客户端永远找不到域。

实验边界

Section titled “实验边界”
  • 单 DC 是实验，不是高可用域。
  • 不用公网域名、不建生产 CA、不做外部联合。
  • 从 srv2025-clean + 本页重建，不要“修”坏实验。
  • 评估期适用；记录到期。

来源