Tweet
Khi học Windows Server, một trong những bài lab nền tảng nhất là dựng Domain Controller.
Nhưng nếu bài lab chỉ dừng ở việc:
Install AD DS → Promote → Reboot → Done
thì chúng ta mới biết cách triển khai, chứ chưa thực sự hiểu Domain Controller đang làm gì và vì sao Active Directory có thể quản lý cả một hệ thống Windows Domain.
Trong bàiLab này, mình đi từ một Windows Server “trắng” đến Domain Controller hoàn chỉnh, đồng thời kiểm tra mối quan hệ giữa AD DS, DNS, Authentication và Domain Client. 🔹 1. TỪ WINDOWS SERVER “TRẮNG” ĐẾN DC01
Sau khi cài Windows Server, trước khi cài Role, mình chuẩn bị một số cấu hình cơ bản:
Sau đó vào:
Server Manager → Add Roles and Features → Active Directory Domain Services
Một điểm rất quan trọng cần phân biệt:
Sau khi Role được cài đặt, cần thực hiện:
Promote this server to a domain controller
Nếu đây là Domain đầu tiên của hệ thống, chọn:
Add a new forest
Ví dụ sử dụng Domain:
vnpro.local
Trong quá trình Promote, Windows Server sẽ xây dựng các thành phần cần thiết của Active Directory và có thể đồng thời cài đặt DNS Server.
Sau khi hoàn tất và Server reboot, DC01 chính thức trở thành Domain Controller.
Nhưng lúc này mới bắt đầu xuất hiện một câu hỏi quan trọng:
Tại sao Active Directory lại cần DNS? 🔹 2. DNS – “BẢN ĐỒ” ĐỂ CLIENT TÌM DOMAIN CONTROLLER
Đây là phần rất đáng chú ý khi thực hành Active Directory.
Khi một Windows Client cần tìm Domain Controller, nó không đơn giản chỉ hỏi:
Client cần biết Domain Controller nào đang cung cấp các dịch vụ mà Active Directory yêu cầu.
Đó là lúc DNS phát huy vai trò.
Active Directory sử dụng các DNS Service Records – SRV Records để công bố vị trí của những dịch vụ như:
Ví dụ:
_ldap._tcp.dc._msdcs.vnpro.local
hoặc:
_kerberos._tcp.vnpro.local
Nhờ các record này, Client có thể xác định:
Dịch vụ nào → nằm trên Server nào → sử dụng địa chỉ nào.
Đây cũng là lý do khi DNS cấu hình sai, hàng loạt vấn đề có thể xuất hiện:
Vì vậy, khi troubleshooting Active Directory, DNS gần như luôn là một trong những nơi cần kiểm tra đầu tiên. 🔹 3. DOMAIN CONTROLLER THỰC SỰ QUẢN LÝ GÌ?
Sau khi Promote thành công, mở:
Active Directory Users and Computers (ADUC)
Lúc này chúng ta không còn quản lý User theo kiểu từng máy riêng lẻ nữa.
Active Directory cho phép xây dựng một hệ thống quản lý tập trung:
Users → Groups → Computers → Organizational Units
Ví dụ:
VNPRO.LOCAL
→ IT
→ HR
→ ACCOUNTING
→ COMPUTERS
Từ đây, Administrator có thể quản lý danh tính và các đối tượng trong Domain theo một cấu trúc thống nhất.
Một Domain User có thể sử dụng tài khoản Domain để đăng nhập vào các máy Client đã Join Domain, tùy thuộc vào quyền và chính sách được áp dụng.
Đây chính là khác biệt cốt lõi giữa:
Workgroup vs Domain
Trong Workgroup, mỗi máy gần như tự quản lý User, Permission và cấu hình của chính nó.
Trong Domain, Identity và việc quản lý tài nguyên được tập trung hóa thông qua Active Directory. 🔹 4. ĐỪNG CHỈ NHÌN “LAB KHÔNG BÁO LỖI”
Một bài lab hoàn chỉnh không nên kết thúc ở trạng thái:
Promote thành công → không báo lỗi → Done.
Sau khi dựng Domain Controller, mình sẽ kiểm tra từng lớp. Kiểm tra Domain Controller:
dcdiag Kiểm tra DNS:
nslookup Kiểm tra thông tin Domain:
set Kiểm tra tài khoản hiện tại:
whoami
Sau đó mới kiểm tra từ phía Windows Client:
Client → DNS → tìm Domain Controller → Join Domain → đăng nhập bằng Domain User
Nếu flow này hoạt động, chúng ta mới có cơ sở nói rằng hệ thống Domain đang vận hành đúng. 🔥 NHÌN DOMAIN CONTROLLER THEO MỘT FLOW
Điều quan trọng nhất sau bài lab không phải là nhớ:
“AD DS được cài ở đâu?”
Mà phải hiểu được luồng hoạt động phía sau:
Client
↓
DNS
↓
Domain Controller
↓
Active Directory
↓
Authentication / Authorization
↓
Group Policy & Resource Access
Khi hiểu được flow này, những bài lab tiếp theo như Join Domain, User & Group, Group Policy, DHCP, File Server, NTFS Permission, Shared Folder... sẽ bắt đầu liên kết với nhau thành một hệ thống thay vì những bài thực hành rời rạc.
Và đó cũng là điểm mình thấy quan trọng nhất khi học Windows Server:
Khi hiểu được phần “vì sao”, việc triển khai và troubleshooting Windows Domain sẽ trở nên rõ ràng hơn rất nhiều.
Nhưng nếu bài lab chỉ dừng ở việc:
Install AD DS → Promote → Reboot → Done
thì chúng ta mới biết cách triển khai, chứ chưa thực sự hiểu Domain Controller đang làm gì và vì sao Active Directory có thể quản lý cả một hệ thống Windows Domain.
Trong bàiLab này, mình đi từ một Windows Server “trắng” đến Domain Controller hoàn chỉnh, đồng thời kiểm tra mối quan hệ giữa AD DS, DNS, Authentication và Domain Client. 🔹 1. TỪ WINDOWS SERVER “TRẮNG” ĐẾN DC01
Sau khi cài Windows Server, trước khi cài Role, mình chuẩn bị một số cấu hình cơ bản:
- Đặt hostname: DC01
- Cấu hình IP tĩnh
- Kiểm tra kết nối mạng
- Kiểm tra DNS
- Đồng bộ thời gian
Sau đó vào:
Server Manager → Add Roles and Features → Active Directory Domain Services
Một điểm rất quan trọng cần phân biệt:
Cài AD DS Role chưa có nghĩa Server đã trở thành Domain Controller.
Sau khi Role được cài đặt, cần thực hiện:
Promote this server to a domain controller
Nếu đây là Domain đầu tiên của hệ thống, chọn:
Add a new forest
Ví dụ sử dụng Domain:
vnpro.local
Trong quá trình Promote, Windows Server sẽ xây dựng các thành phần cần thiết của Active Directory và có thể đồng thời cài đặt DNS Server.
Sau khi hoàn tất và Server reboot, DC01 chính thức trở thành Domain Controller.
Nhưng lúc này mới bắt đầu xuất hiện một câu hỏi quan trọng:
Tại sao Active Directory lại cần DNS? 🔹 2. DNS – “BẢN ĐỒ” ĐỂ CLIENT TÌM DOMAIN CONTROLLER
Đây là phần rất đáng chú ý khi thực hành Active Directory.
Khi một Windows Client cần tìm Domain Controller, nó không đơn giản chỉ hỏi:
“DC01 có IP bao nhiêu?”
Client cần biết Domain Controller nào đang cung cấp các dịch vụ mà Active Directory yêu cầu.
Đó là lúc DNS phát huy vai trò.
Active Directory sử dụng các DNS Service Records – SRV Records để công bố vị trí của những dịch vụ như:
- LDAP
- Kerberos
- Global Catalog
- Domain Controller
Ví dụ:
_ldap._tcp.dc._msdcs.vnpro.local
hoặc:
_kerberos._tcp.vnpro.local
Nhờ các record này, Client có thể xác định:
Dịch vụ nào → nằm trên Server nào → sử dụng địa chỉ nào.
Đây cũng là lý do khi DNS cấu hình sai, hàng loạt vấn đề có thể xuất hiện:
- Không Join Domain được
- Không tìm thấy Domain Controller
- Domain User đăng nhập thất bại
- Group Policy không được áp dụng
- Kerberos Authentication gặp lỗi
Vì vậy, khi troubleshooting Active Directory, DNS gần như luôn là một trong những nơi cần kiểm tra đầu tiên. 🔹 3. DOMAIN CONTROLLER THỰC SỰ QUẢN LÝ GÌ?
Sau khi Promote thành công, mở:
Active Directory Users and Computers (ADUC)
Lúc này chúng ta không còn quản lý User theo kiểu từng máy riêng lẻ nữa.
Active Directory cho phép xây dựng một hệ thống quản lý tập trung:
Users → Groups → Computers → Organizational Units
Ví dụ:
VNPRO.LOCAL
→ IT
→ HR
→ ACCOUNTING
→ COMPUTERS
Từ đây, Administrator có thể quản lý danh tính và các đối tượng trong Domain theo một cấu trúc thống nhất.
Một Domain User có thể sử dụng tài khoản Domain để đăng nhập vào các máy Client đã Join Domain, tùy thuộc vào quyền và chính sách được áp dụng.
Đây chính là khác biệt cốt lõi giữa:
Workgroup vs Domain
Trong Workgroup, mỗi máy gần như tự quản lý User, Permission và cấu hình của chính nó.
Trong Domain, Identity và việc quản lý tài nguyên được tập trung hóa thông qua Active Directory. 🔹 4. ĐỪNG CHỈ NHÌN “LAB KHÔNG BÁO LỖI”
Một bài lab hoàn chỉnh không nên kết thúc ở trạng thái:
Promote thành công → không báo lỗi → Done.
Sau khi dựng Domain Controller, mình sẽ kiểm tra từng lớp. Kiểm tra Domain Controller:
dcdiag Kiểm tra DNS:
nslookup Kiểm tra thông tin Domain:
set Kiểm tra tài khoản hiện tại:
whoami
Sau đó mới kiểm tra từ phía Windows Client:
Client → DNS → tìm Domain Controller → Join Domain → đăng nhập bằng Domain User
Nếu flow này hoạt động, chúng ta mới có cơ sở nói rằng hệ thống Domain đang vận hành đúng. 🔥 NHÌN DOMAIN CONTROLLER THEO MỘT FLOW
Điều quan trọng nhất sau bài lab không phải là nhớ:
“AD DS được cài ở đâu?”
Mà phải hiểu được luồng hoạt động phía sau:
Client
↓
DNS
↓
Domain Controller
↓
Active Directory
↓
Authentication / Authorization
↓
Group Policy & Resource Access
Khi hiểu được flow này, những bài lab tiếp theo như Join Domain, User & Group, Group Policy, DHCP, File Server, NTFS Permission, Shared Folder... sẽ bắt đầu liên kết với nhau thành một hệ thống thay vì những bài thực hành rời rạc.
Và đó cũng là điểm mình thấy quan trọng nhất khi học Windows Server:
Đừng chỉ học cách dựng một Domain Controller. Hãy hiểu vì sao Client có thể tìm thấy nó, xác thực với nó và nhận chính sách từ nó.
Khi hiểu được phần “vì sao”, việc triển khai và troubleshooting Windows Domain sẽ trở nên rõ ràng hơn rất nhiều.
Attached Files