实战域信任第二部分之建立森林信任 推荐

Technorati 标签: 实战,森林信任,域,功能级别,Bnsen,DNS,DNS辅助区域 继<实战域信任第一部分之安装子域>建立子域之后，，我们就要开始建立森林与森林之间的信任关系了。当然我们是需要做好准备工作的。在对方拥有信任关系的同时我们需要让他们正常解析！而最好地方法便是建立相应的DNS辅助区域。
实现步骤：
1、建立双方相应的DNS辅助区域
2、建立双方间的信任关系！
环境介绍如图：



在此，myhate.com下拥有一个子域BJ.myhate.com，现在我们要实现的是在myhate.com与one.com上建立双向的森林信任！
一、准备工作：建立DNS次要区域
开启One.com上的DNS服务器开启区域复制！



开启我们的DNS新增区域精灵



新增一个次要区域



输入相关的区域域名



输入次要DNS服务器地址，请确保对方的DNS服务器开启复制功能！



完成了新增区域。



好的。现在我们到myhate.com的DNS服务器上开启DNS复制功能



同样也是新增区域，因操作跟前面的一样，在此不再详述



完成了新增区域



现在看看完成后的次要区域。这是在myhate.com的DNS服务器上的截图



下面这张是在one.com的DNS服务器上的截图



在完成这一些准备工作后，我们现在就需要进行建立域信任关系。
二、建立信任关系
提升域及林的功能級別
因为目前one.com及myhate.com域默认的域功能级别为windows 2000模式。而windows 2000模式的功能域无法创建林信任。所以我们需要先将两个域提升各自的域及林的功能级别。以此以one.com为例：
打开[active dierectory网络及信任]——定位到[one.com提高网域功能等级]



开始提升到windows server 2003纯模式



提升功能级别后，将无法还原！
 


现在我们需要提升林的功能级别：以myhate为例
首先我们要定位到active directory网域及信任---提高树系功能等级。（唉，这繁体的真难以让人理解）



告诉你树系提升后将不能还原！



要保证双方都把网域的功能级别及树系的功能级别提升到2003，否则你将不能实现森林信任！因为windows 2000的森林模式是没有森林信任的功能的。注意哟！






新建信任关系：定位至活動目錄網域和信任—one.com属性页--点击[新建信任]



进行新增信任精灵



输入对方的DNS域名



选择信任类型--树系信任



建立双向信任关系



将这个信任[建立于这个网域及指定网络]



输入对方网域的系统管理员账户及密码



选取[验证整个网域]，以便于可以验证myhate域里的所有资源。



选择指定网域的验证方式



确认信任设定



信任关系建立成功



询问是否要传出信任。因为我们使用的是双向信任，所以没有必要连出信任。如果是单向的，就需要确认连出信任。



完成新增信任精灵



已建立成功。现在我们来看看截图：






好的。现在他们的信任关系已经成功建立，现在我们要开始来测一下！
信任关系验证：
测试准备说明：
1、一台XP已加入one这个域。
2、新增一个共享资料夹看是否能设定对方域用户的权限
A、现在我们来查看一下XP系统的测试机的登录界面



2、现在看下一个共享资料夹上是否可以设定相关域的权限






好的。到此，本文已完毕。双方在验证方面均已OK，不过我个人觉得这个实验的成败有两点：
1、DNS辅助区域设定。我看到网上有些文章使用DNS的转发功能为实现双方的解析，但那样会引起DNS服务器的循环解析，给DNS服务器极大的压力，同时也可能引起死机。对此，博主不推荐此种做法。
2、域及林的功能级别提升。森林信任是提升域及林的功能级别以后才可以实现的功能。否则你只能创建外部信任、快捷信任及域树内部信任关系！