Window域浅析

     想起很久以前看的一起节目《燃烧吧，天才程序员》，里面有一个词“域霸”不是很理解，直到最近接触了多了才明白“域”的内涵，特此记录。

一、域基本知识

1、域（Domain）

        Windows域是计算机网络的一种形式，其中所有用户帐户 ，计算机，打印机和其他安全主体都在位于称为域控制器的一个或多个中央计算机集群上的中央数据库中注册。 身份验证在域控制器上进行。 在域中使用计算机的每个人都会收到一个唯一的用户帐户，然后可以为该帐户分配对该域内资源的访问权限。

通俗来讲 / 个人理解：
       在内网环境中，一般分为工作组和域，工作组是默认的组，而域则需要创建，在工作组中，实施分散化的管理，每一台计算机都是自由平等的，由于人人平等，在企业中难以做到掌控和管理，这个时候出现了域，创建了域之后，在整个域中，域控（DC）就是老大，可以控制域中任何一台成员电脑，这样就实现了统一，集中管理域资源。

2、域的组成

一般而言，域的组成 = 域控制器（Domain Controller，简写为DC） + 成员机 （域的普通成员）

域的相关组成与联系：

域环境：安装了域控制器，就生成了域环境。
活动目录（Active Directory，简写AD）：安装了活动目录，就生成了域控制器。
组策略GPO：控制用户账户和计算机账户的工作环境，提供了集中化管理和配置，简而言之，组策略在部分意义上是控制用户可以或不能在计算机上做什么，即域的核心技术。
域林/域林/分林：不同域之间的关系树，主要可以实现不同域之间的联系与管辖。

3、域的原理

       其实可以把域和工作组联系起来理解，在工作组上你一切的设置在本机上进行包括各种策略，用户登录也是登录在本机的，密码是放在本机的数据库来验证的。而如果你的计算机加入域的话，各种策略是域控制器统一设定，用户名和密码也是放到域控制器去验证，也就是说你的账号密码可以在同一域的任何一台计算机登录。 如果登录验证通过，则可以访问域资源，否则用户就不能访问服务器上的域资源，也在一定程度上保护了网络上的信息安全。

       如果说工作组是“免费的旅店”那么域（Domain）就是“星级的宾馆”；工作组可以随便出出进进，而域则需要严格控制。“域”的真正含义指的是服务器控制网络上的计算机能否加入的计算机组合。一提到组合，势必需要严格的控制。所以实行严格的管理对网络安全是非常必要的。在对等网模式下，任何一台电脑只要接入网络，其他机器就都可以访问共享资源，如共享上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解，因此这就衍生出安全的必要性。

       不过在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器”。DC并不唯一，有的企业里面可以有多台DC。

二、域的创建与部署

1、环境准备

以下环境是博主自己实验时的环境，也是模拟的局域网组成。

VMware Workstation 16 Pro（部署局域网）
Window Server 2008 （作为域控制器）
Window Server 2003（作为域成员机）
Window XP（作为域成员机）
Window 10 （作为域成员机）

2、搭建步骤

0、首先关闭防火墙状态

1、点击桌面"网络"属性 --> 点击"更改适配器设置" --> 右键点击"本地连接"的属性 --> 找到TCP/IPv4协议并固定IP地址为10.1.1.1
PS：作为域控的话是要固定DNS服务器的，但是在安装域组件的时候会自动安装并解析自己，因此配IP的时候可以先不用理会DNS解析。

2、win+R中输入"dcpromo"安装活动目录。
步骤顺序如下：

1. 取消勾选"使用高级模式安装"
2. 点击"在新林中新建域"
3. "目录林的根级域FQDN"中输入域的名字，这里输入"msdomain"为例，意味Microsoft Domain。
   检查新的林名称的作用是防止该域和父域或者子域的名称冲突
   
4. 选择林功能级别——Window Server 2003
5. 选择域功能级别——Window Server 2003
6. 之前提到一般而言，DC需要DNS解析，要么指向公司单独的DNS服务器，要么可以指向自己，否则无法正常服务，那么下图就是安装DNS服务组件
7. 以下为域相关数据库和系统日志的默认安装目录，需要我们记住
   
8. 输入DC的安全密码
9. 然后等待安装完成即可
   

3、创建域用户，验证域功能

1、验证域

当安装完之后，那么由本地管理员用户就升级为了域管理员，这个其实是有意义的，有本地组变为了域。
打开活动目录：
开始 --> 管理工具 --> Active Directory 用户和计算机

在活动目录里面的所有账号都是域账号，原先本地用户和组被取消掉了，取而代之的是域，也就是User组：
2、加入域
右键我的电脑属性，在WindowXP中创建域用户
然后就能得到如下图所示的结果（PS：图中msdomain/administrator有误，应该是\而不是/）：

设置完成之后，如果没有DC给你的账号，那么这台机器就再也无法登陆到域中，当然本地机还是可以的。

3、创建域成员
在AD中点击新建并输入新用户的信息并设置密码：


4、登陆域
在Window XP中输入刚新建的账号和密码即可登陆域。同理，在Window 2007也可以做相同的配置。

三、拓展

1、权限问题

       域成员登陆本地机之后并非对自己本地机有完全控制权限，如果想设置完全控制权限的话，可以将域账户加入到本地管理员组当中，步骤是使用DC账户登录普通机，然后再进行操作。
域用户的权限: 建议将域用户加入到普通成员机的本地管理组
本地管理员组: administrator
域管理员组: Domain Admins

2、创建环境可能出现的问题

1、加入域不成功: 检查网络是否通畅、DNS是否能成功解析到DC上，是否为DNS缓存问题
2、登陆不成功：如XP，已勾选登录域之后，不用再写 域.com\xxx.xxx

3、OU

       组织单位 (Organizational Unit, 简写: OU): 用于归类域资源(域用户，域计算机，域组)。OU和window组的区别在于：OU用于下发组策略，而组用于分配权限，一般而言，公司内部会创建很多层次的OU，用户给不同层次的用户分配不同的权限，如董事长层OU，财务部层OU，开发部层OU等。措施一般为：【创建成员时】将User组的Computers组中的用户和计算机移动到OU里，可以实现对用户和计算机的权限控制，这两种控制的不同请自行斟酌

4、GPO

       GPO（Group Polocy，简写为GPO）作用：通过组策略可以修改计算机的各种属性，如开始菜单，桌面背景，网络参数等。组策略在域中，是基于OU来下发的。组策略在域中下发后，用户的应用顺序是: LSDOU
即：Local --> Station(林，站点) --> Domain --> OU
        后应用的过程中，如果发生冲突，则后应用的生效。特殊情况下，上级OU可以设置强制，而下级OU可以设置阻止继承。当上级强制和下级组织继承同时设置，强制生效

最后的最后，本来还想写写域的攻击与防御的，下次一定下次一定！