简介针对 Windows Server 2022 环境下 AD 域控的高可用部署这份 PDF 文档详细拆解了主域控与备域控的搭建流程及同步机制。内容面向负责企业网络管理和维护的 IT 技术人员尤其适合需要独立完成域控部署、熟悉域环境运行原理的运维工程师。文档从 Hyper-V 创建虚拟机开始依次讲解主机名修改、静态 IP 与 DNS 指向、AD 域服务角色安装、服务器提升为域控制器并深入说明全局编录、DSRM 密码、NetBIOS 名称等核心概念的作用备域控部分则覆盖角色添加、配置加入现有域以及主备之间的数据复制与故障切换测试帮助读者在实验环境中验证业务连续性。资源为单份 PDF 文件压缩包共 1 个文件大小 15.25MB以图文步骤为主便于边看边做。已有 893 人学习适合具备一定 Windows Server 基础、希望系统掌握域控高可用方案的技术人员。1. 主备域控不是装完角色就完事先搞懂三件事再动手某公司内部要搭一套高可用域环境拿到 Windows Server 2022用 Hyper-V 开了两台虚机以为装好 AD DS 角色、点一下“提升为域控制器”就收工。结果客户端加域时不是提示找不到域控制器就是 DNS 解析不了域控最后查了半天发现是前置规划出了问题。AD 域控部署的坑通常不在“安装”这一步而在主机名、静态 IP、DNS 自指、功能级别、备域控同步这几个环节里。任何一个错位都会让后面的验证变成玄学。这篇文章按我自己的部署顺序把主域控和备域控从零到同步验证完整拆开讲包括参数怎么设、命令输出怎么看、出问题先查哪里。适合正在做企业内网域控高可用改造的工程师照着操作。2. 主域控的“地基”主机名、静态IP与DNS自指2.1 主机名重命名sysdm.cpl 里的两个决定项很多人做域控时第一反应是直接打开“添加角色和功能”但 AD DS 部署失败一半以上是前置没做好。我习惯按下面顺序来第一步永远是重命名计算机。WinR 输入sysdm.cpl打开系统属性点“更改”把计算机名改成规划好的主机名。这里有两个决定项主机名不要超过 15 个字符因为 NetBIOS 名称长度有硬限制不要用中文、下划线或特殊符号避免旧协议解析时翻车。我一般把主域控命名为 DC01备域控命名为 DC02直观好认。确定后系统会提示重启别想着“不重启也能继续”AD 角色安装对主机名是强依赖重启必须做。注意一个细节如果你用的是 Hyper-V 虚拟机重命名之前先给虚拟机拍个快照。命名错了可以随时退回去比装完角色再改主机名轻松得多。2.2 静态IP与DNS指向为什么两种方式最后都会变成127.0.0.1重命名完成后配置静态 IP。WinR 输入ncpa.cpl打开网络连接找到对应的 Hyper-V 虚拟网卡右键属性双击“Internet 协议版本 4 (TCP/IPv4)”把 IP 设为规划好的内网地址。以我自己的环境为例主域控 IP 设为192.168.10.230/24网关填公司路由器地址。DNS 的配置有两种常见填法首选 DNS 填127.0.0.1首选 DNS 填自己的 IP 地址也就是192.168.10.230。这两种方式在刚开始都一样网页是打不开的因为当前系统里还没有 DNS 服务。很多兄弟在这会怀疑自己配错了其实没有。等 AD 域服务角色安装完成并提升为域控后系统会自动把 DNS 服务器绑定到127.0.0.1这个回环地址这是一个正常行为不用慌。那么为什么域控必须依赖 DNS因为域控在域内是靠 DNS 的 SRV 记录来定位的。客户端加域时会去查询_ldap._tcp.dc._msdcs.你的域名这类记录才能找到当前可用的域控。域控本身也会把自己的服务记录动态注册到 DNS 里。没有 DNS域就等于没有通讯录谁也不知道该找谁完成身份验证和资源访问。另外还要明白一点AD 域控服务器本身就是 DNS 服务器。主域控扮演两种角色很正常。所以我在配置静态 IP 时首选 DNS 一定指向域控自身而不是公司现有的普通 DNS。原因很简单如果指向了其他 DNS加域的计算机就查不到域控的 SRV 记录自然无法入域。2.3 补丁更新和虚拟快照给安装上一道后悔药接下来更新系统补丁。这一步经常被大家省略但我不建议跳过去。AD DS 角色安装完成后如果系统存在已知问题可能会导致域控服务无法启动或者组策略处理异常。我通常在“设置 - Windows 更新”里手动检查更新把所有重要更新装完重启再做下一步。这一步不要嫌慢Windows Server 2022 刚装完时补丁量不少但耐心等它更新完比后面域控出现莫名其妙问题再排查要省时得多。在 Hyper-V 里这一步是最佳的快照时机。AD 角色安装本质上会改变系统状态装坏了想卸载、回滚是非常痛苦的。我会在补丁装完、系统干净的这个时间点把虚拟机状态设为“关闭”然后创建一个标准检查点。如果条件允许直接复制一份 VHDX 文件做冷备份也行。这样后面就算把域控配置搞得一团乱麻也能恢复到干净状态重来。这个习惯救过我很多次尤其是当你同时调了好几个配置项、已经分不清哪一个破坏了服务时直接回滚到快照是最快的后悔药。到这里主域控的“地基”已经打好。接下来才是安装 AD DS 角色和正式提升为域控。3. 安装AD域服务并把服务器提升为域控3.1 添加AD DS角色勾选组策略管理打开服务器管理器在“管理”菜单点“添加角色和功能”安装类型保持默认的“基于角色或基于功能的安装”下一步选中当前这台服务器。在角色列表里勾选“Active Directory 域服务”系统会立刻弹出“添加 Active Directory 域服务所需的功能”窗口里面包括 AD DS 和 AD LDS 工具、Active Directory 模块以及组策略管理工具。直接点“添加功能”即可。这里有个关键点角色列表里我没有手动勾选“DNS服务器”但系统会提示“AD DS 要求将 DNS 服务器安装在网络上”并且在后续提升过程中自动把 DNS 角色装到这台域控上。所以不用提前单独装 DNS照着默认流程走就行。装完 AD 角色和功能后系统提示“安装成功”我建议手动把服务器重启一次。这样做能确保 AD 角色状态完全刷新避免配置域控时出现“角色未就绪”的诡异提示。重启后重新打开服务器管理器点右上角的小旗子图标这时候才能看到“将此服务器提升为域控制器”的连接。这里要提醒一句只安装了 AD DS 角色不等于这台服务器就已经是域控。必须完成“提升”这个动作把服务器初始化为域控制器AD 域服务才会真正运行起来。3.2 提升为域控新林、根域名和功能级别的选择点击小旗子里的“将此服务器提升为域控制器”进入部署配置。在“部署操作”里因为这台是公司第一台域控所以选“添加新林”。根域名按你的规划填我习惯用内部域名比如demo.local。这里建议区分两种命名xxx.com这类公网域名适合生产环境如果这个域名在公网上已经被注册使用内部 DNS 和外部 DNS 解析容易出现割裂运维时还要小心域名归属问题xxx.local这类内部域名适合纯内网环境不会和公网域名冲突也无需向公网 DNS 注册绝大多数中小企业用这种最省心。我在实验环境里常用demo.local生产环境则推荐用公司已有公网域名的子域比如corp.demo.com这样以后如果要做联合认证或租户同步内外域名可以统一规划。再看“功能级别”。这里最高能选的是“Windows Server 2016”很多新手会困惑我装的可是 2022为什么没有 2022 选项注意功能级别不是系统版本它代表的是 AD 架构能够兼容的最低域控版本。Windows Server 2022 的域控完全可以在 Windows Server 2016 功能级别下运行普通加域、组策略、DNS 解析都不受影响最多只是少数新特性不可用。新林默认选 2016 即可没必要纠结。接下来“DNS 选项”里DNS 服务器是默认勾选的全局编录也是默认勾选。这时有可能会出现一条黄色警告“无法创建该 DNS 服务器委派”。这是新林根域没有父级 DNS 区域的正常提示直接跳过不会影响域内正常使用。3.3 DSRM密码和NetBIOS名称关键时刻的钥匙和门牌在配置过程中有两个选项很容易被随手带过但真到出问题那天你会发现它们比想象中重要得多。第一个是“目录服务还原模式(DSRM)密码”。这个密码不是普通管理员密码它是将来域控遇到严重故障、无法正常启动时用来进入目录服务还原模式的凭据。在 DSRM 模式下你可以做数据库修复、系统状态还原甚至重置域管理员密码。我习惯把 DSRM 密码单独记录到密码本里并且和域管理员密码区分开因为它的使用场景很特殊。如果不小心忘了这个密码虽然可以用ntdsutil重置但前提是你还有域管理员权限如果整个域都瘫痪了处理起来会相当被动。第二个是 NetBIOS 域名。系统默认会把根域名中“.”之前的部分作为 NetBIOS 名称比如demo.local的 NetBIOS 名就是demo。NetBIOS 是局域网内计算机通信的传统协议负责名称解析、文件共享、打印机共享等。客户端加域时直接输入 NetBIOS 名也能定位域控。如果在同一个网络里已经存在同名的计算机组或设备就需要改成不冲突的名称。否则客户端加域时可能被解析到错误的设备报出莫名奇妙的网络错误。这个名称的检查其实比大多数功能级别的选择都更影响实际使用。确认完所有配置后系统会列出安装选项直接点“安装”。整个提升过程会持续几分钟完成后自动重启。重启后主域控就正式上线了。4. 避坑主域控搭建中最常见的五个翻车点4.1 加域时报“找不到网络路径”现象客户端在加域对话框里填好域名和账号后弹窗提示“找不到网络路径”或者“域控制器不存在”。原因最常见的是客户端 DNS 没有指向域控 IP。大家在公司里习惯了自动获取 DNS路由器给的是一个普通 DNS根本查不到企业内网的 SRV 记录。客户端连域控都找不到自然走不到身份验证那一步。解决手动把客户端的首选 DNS 改成主域控的 IP比如192.168.10.230然后在客户端执行nslookup -typeSRV _ldap._tcp.dc._msdcs.demo.local能看到域控主机名和 IP 返回再重新加域。如果查不到记录回域控上检查 DNS 管理器中域区域是否允许安全动态更新。4.2 配了DNS但还是打不开网页现象给域控配置静态 IP 时首选 DNS 填了自己的 IP 或者127.0.0.1然后打开浏览器访问公网网站全部超时。原因此时 DNS 服务还没有安装。你只是把流量指向了一台没有监听 53 端口的主机它根本不知道如何递归解析域控自己也没有完成提升自然不会有任何 DNS 区域。解决不用急着改回公网 DNS。按正常顺序完成 AD DS 角色安装和域控提升DNS 服务会自动装上区域会自动生成之后域控就能正常解析内外部域名了。这个现象在安装过程中出现是正常的别因此打断节奏。4.3 提升时报“无法创建该DNS服务器委派”现象在提升域控的 DNS 选项页出现黄条提示“无法创建该 DNS 服务器委派”有些兄弟当场就有点慌担心 DNS 装不上。原因当前环境没有父级 DNS 区域新建的根域也没有上游区域来接受委派记录。对于新林第一台域控这个提示几乎是必然出现的属于“看起来是错误实际不是错误”的情况。解决直接忽略点击下一步继续。域控安装完成后DNS 区域会正常创建本域内的解析不受影响。唯一需要注意的是如果你将来要在这个域下再建子域或做 DNS 委派才需要回过来规划父区域。4.4 DNS被改成127.0.0.1后客户端依然解析不了域控现象域控安装完成后DNS 设置自动变成了127.0.0.1在域控本机解析域内主机名、查 SRV 记录都正常但其他客户端把 DNS 指向域控后却查询不到任何记录。原因客户端到域控的 53 端口网络不通或者域控的 Windows 防火墙阻止了来自其他网段的 DNS 请求。另一种可能是 DNS 区域没有开启“安全动态更新”导致域控自己的 SRV 记录没有注册进去。解决先在客户端执行Test-NetConnection 192.168.10.230 -Port 53确认 TCP/UDP 53 端口通不通。如果不同在域控防火墙里放行“域名服务(DNS)”入站规则。如果端口通但还是查不到记录打开 DNS 管理器检查正向查找区域demo.local的属性把动态更新改为“仅安全”。然后重启 Netlogon 服务或者直接重启域控让服务记录重新注册。4.5 忘记DSRM密码紧急修复时进不了目录服务还原模式现象域控因为异常断电或数据库损坏重启时需要进入目录服务还原模式来修复 AD 数据库结果发现 DSRM 密码怎么输都是错误。原因安装域控时设置完 DSRM 密码再也没用过。几个月后故障来了密码本里没记或者根本就没认真设置脑补了一个自己以为的密码。解决如果域内还有一台正常的域控或还有域管理员权限可以使用ntdsutil在普通模式下重置域控本机的 DSRM 密码ntdsutil set dsrm password reset password on server DC01.demo.local quit quit如果整个域已经只剩这一台域控且系统无法正常启动那只能从系统备份或虚拟机快照恢复这也是我前面强调必须先打快照的原因。从那以后我每装完一台域控都会把 DSRM 密码明确存档并在交接文档里单独标注。5. 备域控搭建从零到接管同步验证5.1 备域控的角色为什么至少要两台主域控再稳也架不住断电、硬件故障或系统崩溃。AD DS 部署的最佳实践是至少要两台域控目的就是确保在其中一台域控中断的情况下用户仍然可以通过另一台完成身份验证和登录。备域控不是简单在另一台机器上装一个 AD DS 角色而是要让它成为同域中的第二台域控制器并同步整个 AD 数据库。这台备域控需要包含域内所有用户、计算机、组、GPO 等对象并且承担域名解析和身份验证的工作。在默认配置下备域控也会被设置为全局编录GC。全局编录里存储了域中所有对象的查询信息用户登录时需要 GC 来提供通用组成员身份如果没有 GC普通域用户可能会在登录时遇到“服务器不愿意处理请求”这类错误。所以备域控建好后一定要确认 GC 已经在运行。5.2 备域控部署步骤加域而不是建新林备域控的部署流程和主域控有些区别关键动作是“加入现有域”而不是“添加新林”。在另一台 Windows Server 2022 虚拟机上先执行和主域控一样的准备工作用sysdm.cpl修改主机名比如 DC02配置静态 IPDNS 指向主域控 IP192.168.10.230安装补丁并创建快照把 DC02 加入demo.local域。操作路径是“系统属性 - 更改 - 隶属于域”输入demo.local和管理员凭据重启生效。接下来打开服务器管理器同样安装 Active Directory 域服务角色。安装完成后点击通知小旗子里的“将此服务器提升为域控制器”。关键一步来了部署操作选择“将域控制器添加到现有域”域信息里输入demo.local并输入有权限添加域控的域管理员账号。之后的功能级别、DNS 选项、DSRM 密码配置和主域控一致。系统会从主域控复制 AD 数据这个过程需要等待一段时间取决于目录数据库的大小。不要图省事直接在备域控上再创建一个新林那样只会得到两个毫不相干的独立域客户端加域进哪个都不对完全达不到高可用目的。5.3 验证主备同步dcdiag、repadmin和nltest备域控部署完成后不能只看角色状态就收工必须验证主备之间的复制是否正常。在备域控上用管理员身份打开 PowerShell 或 CMD执行以下命令dcdiag /q/q表示只显示错误信息。如果返回结果为空说明 AD 基本状态正常如果有错误会给出对应测试名称例如Replications、Services、DNS。再执行repadmin /showrepl这条命令会列出当前域控的复制伙伴以及每个分区上一次复制是否成功。看到Successful字样说明复制正常。我还会用repadmin /syncall /AdeP强制触发一次全量同步虽然日常不需要但初次搭建后做一次能确保所有新增对象都落到备域控上repadmin /syncall /AdeP最后用nltest确认客户端能否发现域控nltest /dsgetdc:demo.local这条命令返回域控的可用地址如果同时能列出 DC01 和 DC02说明 DNS 中已经注册了两台域控的 SRV 记录客户端会按照自己的优先级选择可用的域控进行验证。5.4 主域控宕机演练模拟故障看用户能否登录验证主备同步不是终点真正的目标是“主域控没了用户还能登录”。我每次做完备域控都会强制自己走一遍宕机演练。先把主域控 DC01 虚拟机正常关机或者直接断开网络然后在一台已经加域的客户端上用域账号重新锁定并登录。如果客户端 DNS 只配置了 DC01 的 IP这一步就会失败。正确做法是客户端的 DNS 至少配上主备两个地址首选192.168.10.230备用192.168.10.231。这样即使 DC01 下线客户端也会自动向 DC02 发起 DNS 查询和身份验证。演练时会发现域账号登录成功但共享文件夹、组策略等依赖于特定域控服务的功能可能会有一段时间的延迟。这是正常的因为服务记录需要重新选择可用域控。深呼吸等半分钟到一分钟再打开组策略结果工具就能看到策略从 DC02 下发。在演练结束后把 DC01 重新开机等它和 DC02 完成差值复制再执行一次repadmin /showrepl确认两边数据一致。这样整个高可用环才算闭环。6. 一个小技巧用PowerShell脚本批量检查域控健康状态两台域控都上线后日常巡检如果还靠一台一台登录服务器点鼠标看事件日志效率太低。我把常用检查命令封装成一个简单的 PowerShell 脚本每次巡检跑一遍结果按域控分开输出。$DCs Get-ADDomainController -Filter * foreach ($dc in $DCs) { Write-Host $($dc.Name) -ForegroundColor Cyan dcdiag /s:$($dc.Name) /q repadmin /showrepl $dc.Name | Select-String -Pattern failed|error|success $svc Get-Service -ComputerName $dc.Name -Name NTDS,Kdc,DNS $svc | Format-Table MachineName, Name, Status -AutoSize }脚本的逻辑很简单先通过Get-ADDomainController -Filter *自动发现域内所有域控然后对每台执行三个动作——跑一次精简版dcdiag检查是否有真实错误用repadmin查看复制状态把包含 failed 或 error 的行筛出来最后检查 NTDS目录服务、KDC身份验证、DNS 三个关键服务的运行状态。用脚本有个好处巡检结果里没有输出才是最好的情况。一旦看到红色错误行再单独针对那台域控深挖不用每台都从头看。我习惯把脚本存成一个DCHealthCheck.ps1放在一台装有 RSAT 工具的跳板机上配合计划任务每周自动跑一次输出结果写到文件里方便追溯。最后分享我的一个习惯每次部署完域控环境不管当时有多忙我都强制自己把dcdiag和repadmin的完整输出跑一遍并且把主备切换演练做一次再确认结果正常。这套动作救过我不少次尤其是备域控同步异常时能第一时间发现并修复而不是等真出故障时才发现“备域控根本接管不了”。希望这份主备域控搭建笔记也能帮你少踩几个坑顺利把企业内网的域控高可用落到位。本文还有配套的精品资源点击获取