《Windows网络操作系统》课件 项目五、六　DNS 服务器的安装与配置、域控制器的安装与管理

项目五DNS服务器的安装与配置146147任务1

DNS服务器的安装任务2主DNS服务器与辅助DNS服务器的配置任务3委派DNS服务器的配置某公司将OA（办公自动化）系统部署在内部网络中，员工在内部网络可以通过域名

访问OA系统进行办公。HR（人力资源）部门需要通过

进行人事资料共享且访问量较大。现准备基于WindowsServer网络2022操作系统来实现以上功能，需要配置主DNS和辅助DNS两台服务器。公司的网络环境如图所示。148149公司的网络环境DNS服务器的安装任务11501. 了解DNS服务器的作用及其在网络中的重要性。2. 掌握DNS的空间结构和域名解析的过程。3. 能部署DNS服务器。4. 能创建正向查找区域，并能建立主机。5. 能对DNS服务器进行解析测试。151从“项目描述”可知，员工在内部网络可以通过域名

访问公司的OA系统，因此需要为公司WindowsServer2022服务器安装DNS服务器，创建域并添加主机信息，网络拓扑图如图所示，具体的IP地址配置见下表。152网络拓扑图153IP地址配置一、域名系统域名系统（domainnamesystem，DNS）是一种采用客户／服务器模式实现名称与IP地址转换的系统，通过在DNS服务器建立DNS数据库，记录主机名称与IP地址的对应关系，为客户端的主机提供IP地址解析服务。某主机要与其他主机通信时，就可利用主机名称向DNS服务器请求查询此主机的IP地址。154域名系统空间结构采用了树状结构，如图所示。155域名系统空间结构1. 根域根域位于域名系统结构的最顶端，用“.”表示。全球共有13个根域名服务器逻辑标识，用字母A～M表示，每个标识对应由部署在全球各地的多个物理服务器（包括镜像节点）组成的集群，我国也已部署多个镜像节点。根域名服务器存储所有顶级域的权威服务器地址。用户访问域名时，根域名服务器引导解析器定位到对应顶级域服务器。在日常使用域名时，根域的“.”通常是省略的。1562. 顶级域顶级域位于根域之下，数量有限，且不能轻易变动。在网络中顶级域大致分为两类：各种组织的顶级域（机构域，见下表）和各个国家或地区的顶级域（地理域，见下表）。157各种组织的顶级域158各个国家或地区的顶级域3. 二级域二级域是处于顶级域名之下的域。二级域名是域名的倒数第二个部分，如在域名

中，二级域名是edu。4. 子域在DNS空间结构中，除了根域和顶级域之外，其他都称为子域。广义上，二级域是顶级域的子域，但在实际应用中，子域通常指二级域以下的层级。一个域可以有多个子域。子域是相对而言的，如域名

中的tsinghua就是

的子域。1595. 主机在DNS空间结构中，主机可以存在于根域以下的各层上。由于域名树是层次型的而不是平面型的，因此只要求主机名在每一个连续的域名空间中是唯一的，而在相同层中可以有相同的名称。即使两个主机名称都是www，在不同的域中也都可以被正确解析到唯一的主机，即只要主机在不同的子域，就可以重名。160二、域名解析的过程1. 域名解析过程的三个阶段客户端使用域名访问网络地址时，需要将其解析为相应的IP地址，这一工作是由DNS服务器来完成的。整个过程可以大致分为三个阶段。（1）本机查询阶段客户端在向DNS服务器发起查询请求前，会先检查本机缓存（包括浏览器缓存、操作系统hosts文件等），若找到有效记录，则直接返回IP地址。161（2）递归查询阶段若在本机未查询到结果，则客户端向本地DNS服务器（如运营商提供的DNS服务器或其他服务器）发起查询请求。本地DNS服务器自身缓存中如存在有效记录，则直接返回IP地址，如缓存中不存在，则本地DNS服务器代表客户端向其他DNS服务器发起查询，直到获得结果后反馈给客户端。这一查询过程称为递归查询，其特点是本地DNS服务器收到客户端请求后，代替客户端完成后续所有查询直至得到结果。162（3）迭代查询阶段本地DNS服务器继续发起查询的对象主要涉及根DNS服务器、顶级DNS服务器和权威DNS服务器三种。本地DNS服务器首先向根DNS服务器（即前文提到的根域名服务器）查询管理顶级域名的服务器地址。根DNS服务器返回对应的顶级DNS服务器的IP地址。163本地DNS服务器根据该地址，向顶级DNS服务器查询管理二级域名的权威DNS服务器地址，顶级DNS服务器返回对应的权威DNS服务器的IP地址。本地DNS服务器根据该地址，继续向权威DNS服务器发起查询，直至获得最终的IP地址。和递归查询相比，这一查询过程中，被查询的服务器仅返回下一阶段服务器的地址，而不会代表本地DNS服务器完成全部查询工作，称为迭代查询。1642. 域名解析过程示例以用户在浏览器地址栏中输入域名

后的过程为例，整个域名解析的过程如图所示。165域名解析的过程三、DNS资源记录DNS服务器根据不同场景的需求设置不同的解析记录，根据不同的解析记录，可以实现对主机名不同的解析效果，从而满足不同场景下的域名解析需求。常见的资源记录类型有A、CNAME、MX、NS、AAAA、CAA、TXT等，DNS资源记录类型见下表。166167DNS资源记录类型四、测试命令nslookupnslookup是一种网络管理命令行工具，主要用来诊断DNS基础结构的信息，可以查询DNS的记录，查询域名解析是否正常，在网络故障时用来诊断网络问题。1.使用nslookup命令的方法是，在命令提示符下执行“nslookup”命令，进入nslookup交互模式，出现“>”

提示符，这时输入域名或IP地址等资料，按Enter键可得到相关信息。1682.nslookup命令中的常用参数及其说明如图所示。3.如图所示为nslookup命令的使用示例，从客户端进入“命令提示符”窗口，输入“nslookup”命令进入查询状态，输入图中的命令即可。169nslookup命令中的常用参数及其说明nslookup的使用示例主DNS服务器与辅助

DNS服务器的配置任务21701. 掌握辅助DNS服务器的作用。2. 了解主DNS服务器与辅助DNS服务器的工作原理。3. 能配置辅助DNS服务器。4. 能对辅助DNS服务器进行解析测试。171从“项目描述”可知，需在公司内部网络部署一台主DNS服务器和一台辅助DNS服务器，保障员工能在内部网络中使用域名

访问到OA系统。网络拓扑结构如图所示，具体的网络参数设置见下表。172网络拓扑图173网络参数设置表一、主DNS服务器主DNS服务器负责维护一个区域的所有域名信息。它是特定的所有信息的权威信息源，数据可以修改。构建主DNS服务器时，需要自行建立所负责区域的IP地址数据文件。174二、辅助DNS服务器当主DNS服务器出现故障、关闭或者负载过重时，辅助DNS服务器作为备份提供域名解析服务。辅助DNS服务器提供的解析结果不是由自己决定的，而是来自主DNS服务器。构建辅助DNS服务器时，需要指定主DNS服务器的位置，以便服务器能够自动同步区域的地址数据库。175辅助DNS服务器中心辅助区域用来存储此区域内所有记录的副本，这份信息是从主服务器上利用“区域复制”的方式复制过来的。在本任务中，在服务器DNS2（IP地址为01）上新建一个提供正向查找服务的辅助区域，用于备份数据和分担负载。这个区域是从服务器DNS1（IP地址为00）内的主要区域

复制过来的。176委派DNS服务器的配置任务31771. 掌握委派DNS的作用和工作原理。2. 了解委派和转发的区别。3. 能配置委派DNS服务器。4. 能对委派DNS服务器进行解析测试。178从“项目描述”可知，公司人事部门的业务需求增多，需要在内部网络部署一台操作系统为WindowsServer2022服务器的委派DNS服务器，专门用于

这个子域下的所有解析工作，将

解析到人事部门内部的FTP服务器上，网络拓扑图如图所示，具体的网络参数设置见下表。179网络拓扑图180网络参数设置表一、委派DNS委派DNS是指一个DNS服务器将某些区域的解析委托给其他DNS服务器负责。通过在区域中新建委派，可以将子域委派到其他服务器进行维护。181二、转发DNS转发DNS是一种特殊的递归。如果本地的缓存记录中没有相应的域名解析结果时，转发DNS服务器将查询请求转发给另外一台DNS服务器，由另外一台DNS服务器来完成查询请求。转发指的是子域对父域的一种操作，而委派则是父域对子域的一种操作，它们的目的均是减轻DNS的负担。182项目六域控制器的安装与管理183184任务1域控制器的安装任务2域用户账户和组的管理任务3多域的管理某公司建设了内部的办公网络，该网络是基于工作组的对等网络，现公司业务快速发展，计算机等设备大量增加，原有的工作组的分散管理模式，已经无法满足需要，公司准备采用基于WindowsServer2022网络操作系统域的网络来统一管理资源。网络具体规划如下。1851.公司网络规划使用2个域树“”和“”，其中“”域树下有子域

“”、域控制器server1（/），域“”有域控制

器server2（0/），域“”

有域控制器server3（192.168.60.150/），并能使用全局账户实现跨域访问共享资源，具体如图所示。186域结构图2.域“”内需要根据公司的实际组织架构来规划域的组织单位，公司的具体组织架构（部门人员）见下表。187公司的具体组织架构（部门人员）域控制器的安装任务11881. 理解域的基本概念。2. 掌握域控制器的基本功能。3. 掌握活动目录和组织单位的基本概念。4. 能创建和卸载域控制器，并能将客户端成功加入域。189从“项目描述”可知，本任务需要在服务器Server1上安装域服务，并将该服务器成功提升为域控制器，域名为“”。域控制器完成后将客户端成功加入域中。190一、域前面的任务中，主要通过工作组和账户来管理服务器，但工作组是一群计算机的集合，它仅仅是一个逻辑的集合，工作组的特点是分散管理，这意味着每台服务器都要为用户创建一个用户账户。当公司服务器和用户数量变大以后，这种方式管理网络资源需要十分烦琐的操作，如图所示。工作组这种散漫的管理方式和大型网络所要求的高效率是背道而驰的。191192工作组模式域描述了一组用户、系统、应用程序、网络、数据库服务器和其他任何资源，这些资源都受到一组共同的管理规则的控制，如果它们在域内，就处于一个理论上安全和可信的空间，如图所示。193域模式二、域控制器在域模式下，至少有一台服务器负责每一台连入网络的计算机和用户的验证工作，相当于一个单位的门卫，称为“域控制器（domaincontroller，DC）”。域控制器是运行活动目录（activedirectory，AD）的WindowsServer2022服务器。域控制器包含由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当计算机连入网络时，域控制器首先要鉴别这台计算机是否属于这个域，用户使用的登录账号是否存在、密码是否正确。194域控制器在组织内部起到关键的作用，主要包括以下几个方面。用户管理：域控制器可以集中管理组织内的用户账户，包括创建、修改、删除和禁用账户等操作。认证与授权：域控制器可以提供认证和授权的功能，确保只有经过授权的用户可以访问网络资源。安全性管理：域控制器可以管理密码策略、安全组策略等，提高系统和网络资源的安全性。195资源共享：域控制器可以提供共享文件夹、打印机等资源，方便用户之间的协作和资源共享。集中管理：域控制器可以集中管理组织内的计算机、服务器和其他网络设备，简化管理工作和提高效率。日志记录与审计：域控制器可以记录用户和系统的操作日志，方便管理员进行审计和追溯。196一个域可以有一个或多个域控制器。通常单个局域网的用户可能只需要一个域就能够满足要求。由于一个域比较简单，所以整个域也只需要一个域控制器。为了获得高可用性和较强的容错能力，具有多个网络位置的大型网络或组织可能在每个部分都需要配置一个或多个域控制器。这样的设计使得大型组织的管理非常烦琐，而活动目录支持域中的所有域控制器之间目录数据的多宿主复制，从而可以降低管理的复杂程度，提高管理效率。197DNS服务器主要用于名称解析和查询，域的可靠性和可用性很大程度上依赖于DNS服务器的正常运行，如果没有DNS服务器，DC将无法互相查找并复制目录信息，客户端也将无法联系DC来进行身份验证。WindowsServer2022网络操作系统中的DNS区域可以与活动目录集成，集成的DNS区域数据存放在活动目录中。使用组策略设置DNS服务器自动启动，域控制器只归域管理员控制，可以避免DNS服务器被未经授权的用户操纵，也可防止管理员因疏忽而禁用该服务。198三、活动目录活动目录是面向WindowsServer2022网络操作系统的目录服务。它存储着本网络上各种对象的相关信息，并使用一种易于用户查找及使用的结构化的数据存储方法来组织和保存数据。在整个目录中，通过登录验证及对目录中对象的访问控制，将安全性集成到活动目录中。通过单点登录（singlesign-on，SSO），管理员可管理整个网络中的目录数据和单位，而且获得授权的网络用户可访问网络上所有的资源。这种基于策略的管理模式大大地减轻了复杂网络的管理复杂度和工作量。199活动目录有两方面内容，即目录和目录服务。目录是一个用于存储用户感兴趣的对象的信息库。目录服务其实就是提供了一种按层次结构组织的信息，然后按名称关联检索信息的服务方式。这种服务提供了一个存储在目录中的各种资源的统一管理视图，从而减轻了企业的管理负担。另外，它还为用户和应用程序提供了对其所包含信息的安全访问。活动目录作为用户、计算机和网络服务相关信息的中心，支持现有的行业标准LDAP（lightweightdirectoryaccessprotocol，轻量目录访问协议）第3版，使任何兼容LDAP的客户端都能与之相互协作，可访问存储在活动目录中的信息，如安装了Linux、NovellNetWare操作系统的计算机等。200活动目录提供对企业网络环境的集中式管理。例如，在域环境中，只需要在活动目录中创建一次Zs账户，就可以在域中任意一台计算机上登录Zs，如果要为Zs账户更改密码，只需在活动目录中更改一次即可，也就是说域用户信息保存在活动目录中。如果网络由多个域的集合组成，它们共享相同的架构和配置，安装的第一台域控制器会自动配置为全局编录服务器，该域控制器包含了组合中所有域目录的关键信息。201四、组织单位组织单位（organizationalunit，OU）也是一个逻辑层次的容器对象，用于管理域中的对象，如用户、组、计算机、打印机等，甚至可以包括其他的组织单位，所以可以利用组织单位把域中的对象组成一个完全逻辑上的层次结构。对于企业来讲，可以按部门把所有的用户和设备组成一个组织单位层次结构，也可以按地理位置形成层次结构，还可以按功能和权限分成多个组织单位层次结构。202域用户账户和组的管理任务22031. 理解域用户账户的基本概念。2. 掌握域用户组的类型、作用域，了解系统内置的域组基本功能。3. 能根据需求在活动目录中对域用户账户和域组进行规划和操作。204从“项目描述”可知，前面的任务已经成功安装域控制器，建立域“”，本任务需要根据公司的实际架构来配置域的组织单位，具体规划见下表。205206域用户规划207域组规划一、域用户账户和本地用户账户不同，域用户账户保存在活动目录中。在域的活动目录数据库中，管理员可以为每个用户创建一个用户账户，由于这种用户账户只存在于域中，因此被称为“域用户账户”。由于所有的用户账户都集中保存在活动目录中，因此使得集中管理变成可能。同时，一个域用户账户可以在域中的任何一台计算机上登录（域控制器除外），用户可以不再使用固定的计算机。当某台计算机出现故障时，用户可以使用域用户账户登录到另一台计算机上继续工作，这样也使对账户的管理变得简单。208二、域用户组域用户组，也称为域组，它是在域中注册的一组用户，这些用户共享相同的访问权限和资源访问控制。域用户组可以用于管理文件、目录和其他系统资源的权限，以控制不同用户之间的访问和操作。域用户组通常由域管理员创建和维护，可以通过域用户账户的属性来指定用户所属的组。209活动目录中的域组分为安全组和通信组两种类型。安全组可以被用来分配权限与权利，如可以指定安全组对文件具备读取的权限。它也可以用在与安全（权限与权利设置等）无关的工作上，如可以给安全组发送电子邮件。通信组被用在与安全无关的工作上，如可以给通信组发送电子邮件，但是无法被分配权限与权利。210从使用范围来看，活动目录域内的组可以分为三种：本地域组、全局组和通用组。本地域组主要被用来分配其所属域内的访问权限，以便可以访问该域内的资源。本地域组的成员可以包含任何一个域内的用户、全局组、通用组，也可以包含相同域内的本地域组，但无法包含其他域内的本地域组。本地域组只能访问该域内的资源，无法访问其他不同域内的资源。换句话说，当设置权限时，只可以设置相同域内的本地域组的权限，无法设置其他不同域内的域本地组的权限。211全局组主要用来组织用户，可以将多个即将被赋予相同权限（权利）的用户账户加入同一个全局组内。全局组的成员只能包含相同域内的用户与全局组，它可以访问任何一个域内的资源，可以在任何一个域内设置全局组的权限，以便具备权限访问该域内的资源。通用组可以在所有域内被分配访问权限，访问所有域内的资源。通用组可以包含域树（按一定规则连接在一起的域的集合）或域林（按一定规则连接在一起的域树的集合）中任何一个域内的用户、全局组、通用组，但是无法包含任何一个域内的本地域组。三种类型的域组具体可查看下表。212213三种不同类型的域组域控制器安装后有许多默认内置组，它们分别隶属于本地域组、全局组、通用组，通常这些组是为区分系统管理工作的权限所设立的，具体可查看下表。214系统内置本地域组215系统内置本地域组216系统内置全局组217系统内置通用组

多域的管理任务32181. 掌握域的信任关系。2. 理解域树和域林的基本概念。3. 能根据需求建立域与域之间的关系。219从“项目描述”可知，本任务需要建立两个域树，分别是“”和“”，其中域“”有子域“”，域树“”和域树“”之间建立双向信任关系，并能使用全局账户实现跨域访问共享资源。220一、域的信任关系随着网络的不断发展，有的企业网络变得大得惊人。当网络有十万个用户甚至更多时，域控制器存放的用户数据量会很大，更为关键的是如果用户频繁登录，域控制器可能会不堪重负。单域模式已不能满足要求，这时需要增加其他的域。221在实际的应用中，根据管理的要求，通常在网络中划分多个域，每个域的规模控制在一定的范围内，也就是将大的网络划分成小的网络，每个小的网络管理员管理自己所属的账户，如图所示。222域的划分信任关系是域与域之间建立的连接关系。它可以执行对经过委托的域内用户的登录审核工作。WindowsServer2022网络操作系统中域之间的信任关系建立在Kerberos安全协议上，Kerberos信任是可传递的、分层次和结构化的。域之间经过委托后，用户只要在某一个域内有一个用户账户，就可以使用其他域内的网络资源。例如，若域A信任委托域B，则域B的用户可以访问