在 Active Directory 中创建新林时是否必须注册根域名？

Question

在运行 Windows Server 2012 R2 的域控制器上的 Active Directory 中创建新林时，系统提示我指定根域名。域名必须由我注册并拥有吗？如果我输入由其他人注册和拥有的域（例如 microsoft.com），会发生什么情况？稍后，当我尝试将 Windows 计算机添加到此域时，它会进入 Internet 并搜索 microsoft.com 还是仅在其子网（我的域控制器）中进行搜索？仅输入 microsoft.com 等拥有的域是否安全/更可取？

Answer 1

Active Directory 域的名称仅供内部使用，因此您可以将其命名为任何您想要的名称；但是，在 Active Directory 环境中，域名还充当域中所有计算机的 DNS 后缀，并且域控制器充当内部 DNS 服务器，这些服务器（或至少表现得像以前一样）对该 DNS 域具有权威性。

这意味着，如果 AD 域名与 Internet 上存在的实际域名冲突，则该域的所有 DNS 查询都将由您的 DC 应答，而不是由管理该域的实际 Internet DNS 服务器应答。就您而言，如果您将域命名为“microsoft.com”，那么在尝试连接到 Microsoft 站点或服务时将会遇到各种问题，因为您将无法查询该域的公共 DNS 服务器（因为您的内部 DNS 服务器会认为它们合法拥有它）。

顺便说一句，如果您使用真实的公共 DNS 域作为 Active Directory 域，情况也是如此：事情当然要简单得多，因为您实际上拥有它们，但这仍然需要您为同一域维护两个不同的 DNS 设置，一种用于 Internet，另一种用于内部网络。

作为最佳实践，您应该使用公共 DNS 域的子域作为 AD 域名；如果您的公共域是“domain.com”，您可以使用“internal.domain.com”或“ad.domain.com”或其他任何内容，只要它是有效的子域；这将确保不会发生冲突并减少很多麻烦。

无论如何，您不应该使用您实际上并不拥有的任何域名，即使它当前未处于活动状态（因为它仍然可能被您以外的其他人注册，并且随之而来的是头痛）。