模拟搭建企业级大型域环境
2022-4-22 17:3:0 Author: mp.weixin.qq.com(查看原文) 阅读量:22 收藏

环境结构图

主父域控制器搭建(server 2016)

1、设置主域控服务器固定IP地址
更改适配器选项:

IP : 10.10.10.11子网掩码:255.255.255.0默认网关:10.10.10.1DNS:10.10.10.11(与IP一致)


2、“开始”-“服务器管理”-“添加角色和功能”


3、勾选“Active Directory 域服务”-“下一步”


4、安装完成后选择“将此服务器提升为域控制器”-“添加新林tide.com”


5、设置“还原模式(DSRM)密码”:Tide.com


6、“DNS选项”不做勾选,下一步


7、“NetBIOS域名”-“AD DS 数据库”、“日志文件”、“SYSVOL”默认选择下一步:


8、进行先决条件检查并安装


9、域控安装完毕,重启机器(重启可能会需要一些时间,耐心等待)


10,重设DNS(重启后电脑会修改DNS),修改完毕再次重启电脑



11,配置完成,完成域森林中的⽗域控制器(tide.com)的安装


12、同步配置一下域控制器的 DNS 区域传输
现在主域控制器和 DNS 集成,为了让后期搭建完辅域控制器的 DNS 同步主域控制器 DNS ,需要把主域控制器的 DNS 服务器_msdcs.tide.com和tide.com 的起始授权机构(SOA)区域传送设置成允许:


13,至此父域控制器搭建完成

Server 2012 加入域

1、设置IP地址

IP : 10.10.10.12子网掩码:255.255.255.0默认网关:10.10.10.1DNS:10.10.10.11(也就是父域控制器的IP


2、右键点击“计算机”-“属性”-“更改设置”-“隶属于tide.com”


3、输入administrator账户密码tide123...(此处为server2016的账户密码)


4、Server 2012 成功加入父域tide.com(若cmd查询net user /domain时提示:“发生系统错误5,拒绝访问”,则按照步骤2重设计算机名即可)

Server 2008 加入域

1、设置这台机器的 IP地址、DNS、网关

IP :10.10.10.13子网掩码:255.255.255.0默认网光:10.10.10.1DNS :10.10.10.11(也就是父域控的IP地址)


2、右键点击“计算机”-“属性”-“更改设置”-“隶属于tide.com”


3、加入域成功



辅域控制器搭建(Server 2019)

辅域控制器必要性* 提高用户登录的效率。因为多台域控制器可以同时分担审核用户的工作,因此,可以加快用户的登录速度。当网络内的用户数量较多,或者多种网络服务都需要进行身份认证时,应当安装多台域外控制器。* 提供容错功能。即使其中一台域控制器出现故障,仍然可以由其他域控制器提供服务,让用户可以正常登录,并提供用户身份认证。* 无需备份活动目录。当域内存在不止一台域控制器(DC,Domain Controller)时,域控制器之间可以相互复制和备份。因此,当重新安装其中的一台DC时,备份Active Directory并不是必需的,只需将其从域中删除,再重新安装,并使之回到域中,那么,其他DC会自动将数据复制到这台DC上。也就是说,如果一个域内只有或者只剩下最后一台DC时,才有必要而且必须对Active Directory进行备份。—— 百度百科

1、设置辅域控制器的 IP、DNS、网关

IP : 10.10.10.20子网掩码:255.255.255.0默认网关:10.10.10.1首选DNS:10.10.10.11(父域控制器的IP备选DNS:10.10.10.20(自己的IP地址)


2、按照之前的步骤,加入域


3、重启后来到“服务器管理器”,进行和搭建主域控制器一样的操作


4、安装完成后,选择“将此服务器提升为域控制器”


5、选择将域控制器添加到现有域,更改输入一下父域的域管账户密码


6、选择默认选择域名系统(DNS)服务器和全局编录,填⼊设置新的 DSRM 密码:Tide.com


7、接下来的选项都选择默认,先决条件检查通过后开始安装


8、安装完毕后重启计算机



9、重新配置一下DNS

⾸选DNS为:10.10.10.20(辅域DNS备⽤DNS为:10.10.10.11(⽗域DNS


10、检查DNS服务器是否已获取到主域控制器传输过来的DNS服务器配置,检查正常后需要把辅域控制器的DNS服务器 msdcs.tide.com 和 tide.com 的起始授权机构(SOA)区域传送设置成允许



11、至此辅域安装完成,需要注意的是安装辅域控制器,如果主域控制器DNS和AD集成,辅域控制器会在安装AD后⾃动同步DNS记录

子域控制器搭建(Server 2016)

  • 建议此处与主父域控制器操作系统版本相同,否则版本太低会导致不兼容

1、搭建⼦域控制器前需要先把 DNS 指向主域控制器的 IP地址,然后委派完DNS再把⼦域控制器DNS指向⾃⼰:

⽗域控制器:tide.com ⼦域控制器:abcd.tide.com子域控制器:IP:10.10.10.15子网掩码:255.255.255.0默认网关:10.10.10.1首选DNS:10.10.10.11(父域控制器IP


2、设置一下计算机名为:abcd,需要添加到域(原教程中不需要添加到域,但我进行至第4步时发现不添加到域无法进行下步操作,不知道什么原因)


3、计算机自动重启,重启完成后来到“服务器管理器”-“添加角色”,和之前创建域控的操作是一样的,安装完成后选择“将此服务器提升为域控制器”


4、选择部署操作

  • 将新域添加到现有林

  • 选择域类型:⼦域

  • ⽗域名:tide.com

  • 新域名:abcd

  • 凭据:⽗域的⽤户名密码



5、域控制器选项中选择

域功能级别:windows Server 2016指定域控制器功能和站点信息:域名系统(DNS)服务器 、全局编录 填写新的DSRM密码:Tide.com


6、配置DNS选项等一直默认,直至通过先决条件检查开始安装


7、安装完成后自动重启,跟之前步骤一样进行手动设置DNS修改

⾸选DNS选择⼦域IP : 10.10.10.15备⽤DNS选择⽗域IP : 10.10.10.11


8、至此子域控制器安装完成


子域添加机器和用户(Win7)

1、设置固定IP

IP : 10.10.10.16子网掩码:255.255.255.0默认网光:10.10.10.1首选DNS服务器:10.10.10.15(子域控制器的IP


2、修改主机名为:win7,这个时候加入域的域名就是:abcd.tide.com,账号密码需要输入子域控制器的密码



3、重启完毕,至此子域添加机器和用户步骤完成


添加域用户到 tide.com 域内

  • 大型企业一个域内一般有上百台用户,为了尽量模拟真实环境,我们多添加一些账户
    1、在主域的“Active Directory 用户和计算机”,选择“Users”-“新建”-“用户”




2、新建账户test&[email protected],密码永不过期




3、在server 2012登录test账户成功


4、基于同样的方法也可以在子域控制器添加账户,这里就不一一演示了。

总结

参加了多次攻防演练但还是对大型企业内网了解较少,刚好看到大佬的文章就跟着教程学习一下

参考资料搭建大型域环境(父域控制器、子域控制器、辅域控制器、域内主机)https://mp.weixin.qq.com/s/2GKMFKmjCF_vht8hKl4iFw搭建域服务器和DNS - pursuer.chen - 博客园https://www.cnblogs.com/chenmh/p/4444168.html

E

N

D

Tide安全团队正式成立于2019年1月,是新潮信息旗下以互联网攻防技术研究为目标的安全团队,团队致力于分享高质量原创文章、开源安全工具、交流安全技术,研究方向覆盖网络攻防、系统安全、Web安全、移动终端、安全开发、物联网/工控安全/AI安全等多个领域。

团队作为“省级等保关键技术实验室”先后与哈工大、齐鲁银行、聊城大学、交通学院等多个高校名企建立联合技术实验室。团队公众号自创建以来,共发布原创文章370余篇,自研平台达到26个,目有15个平台已开源。此外积极参加各类线上、线下CTF比赛并取得了优异的成绩。如有对安全行业感兴趣的小伙伴可以踊跃加入或关注我们


文章来源: http://mp.weixin.qq.com/s?__biz=Mzg2NTA4OTI5NA==&mid=2247497398&idx=1&sn=14ae079fa1dbe25dc0f4528dba287749&chksm=ce5dd4d7f92a5dc1475d466307dee0be9e890d2d09afbdfd8012c284811cb4ffba848d79388d#rd
如有侵权请联系:admin#unsafe.sh