前言：AD 不是孤立服務，而是協議與技術的交響樂
Windows Server 2003 Active Directory 延續 Windows 2000 核心架構，在 DNS 整合、站台複寫優化、LDAP 協議支援三大關鍵技術上進一步深化。本文系統梳理這三大支柱在 AD 中的實際應用機制、配置要點與最佳實務，助您構建高效、安全、互操作性強的目錄環境。
一、 DNS 在 Active Directory 中的深度應用
1. 從 NT 4.0 到 AD 的命名範式轉移
- NT 4.0：NetBIOS 名稱 + WINS/廣播/LMHOSTS 解析 → 內部高效，但非 Internet 標準，雙重命名管理負擔重。
- AD (Win2K/Win2K3)：AD 網域名 = DNS 網域名，父/子網域對應 DNS 區域委派，雙向可傳遞信任對應連續命名空間。AD 依賴 DNS 作為定位服務，解析服務名稱 (LDAP、Kerberos、GC) 至 DC IP。
2. AD 與 DNS 核心差異與相依關係
| 項目 | DNS | Active Directory |
|---|
| 儲存資料 | 區域、資源記錄 (A, SRV, CNAME...) | 網域、物件 (User, Computer, GPO...) |
| 解析目標 | 名稱 → IP 位址 | 物件名稱 → 物件屬性/記錄 |
| 查詢協議 | DNS (UDP/TCP 53) | LDAP (TCP 389/636), Kerberos (88) |
| 伺服器角色 | DNS 伺服器 | 網域控制器 (DC) |
| 相依性 | 獨立運作 | 強制相依 DNS (需 SRV 記錄) |
DNS 可獨立；AD 必須有 DNS (支援 SRV + 動態更新)。
3. 整合三大機制
- 共享階層命名空間： DNS 樹與 AD 樹結構同構。
- AD 整合區域： 主要區域儲存於 AD 資料庫分區 (DomainDnsZones, ForestDnsZones)，隨 AD 複寫同步，支援 ACL 安全動態更新。
- SRV 記錄定位 DC： 用戶端查詢
_ldap._tcp.dc._msdcs. 等 SRV 記錄尋找 DC；DC 透過 NetLogon 動態註冊。
4. 動態 DNS (DDNS) 徹底取代 WINS
- Win2K/Win2K3 用戶端/DC 透過 DHCP Client 服務動態註冊 A/PTR 記錄 (RFC 2136)。
- DDNS 為開放標準，跨平台支援；WINS 為私有協議逐步淘汰。
- 純 Win2K+ 環境可移除 WINS；DNS 整合 WINS (WINS-R/N) 已無必要。
- 非 Microsoft DNS (BIND 9+) 需驗證 SRV 支援；無動態更新時需手動匯入
NetLogon.dns。
5. 命名空間規劃四策略 (同前文，此處略)
二、 站台在 Active Directory 中的複寫優化實務
1. 站台定義與物理映射
- 站台 = 高速連結的 IP 子網集合 (通常 1 LAN = 1 站台)；站台間 = 慢速 WAN 連結。
- 子網物件將 IP 範圍映射至站台，用戶端啟動時依 IP 判斷所屬站台，尋找同站台 DC 登入 (就近驗證)。
2. 站台內複寫 — 高速、即時、未壓縮
- KCC 自動建立雙向環狀拓撲，每 DC 兩個夥伴。
- 變更通知驅動 (預設 15 秒延遲)，RPC over IP，資料未壓縮 (LAN 頻寬充足)，高頻率同步。
3. 站台間複寫 — 排程、壓縮、可控
- 排程驅動 (非通知)；管理員定義允許複寫時段 (如深夜) 與間隔 (如 180 分鐘)。
- 資料壓縮至 10-15%，大幅省頻寬 (WAN 瓶頸)。
- 協議：RPC over IP (預設，支援所有分區) 或 SMTP (僅 Schema/Configuration/GC 分區)。
- 橋頭伺服器：指定特定 DC 負責跨站收發，集中流量便於防火牆/QoS/Proxy 控制。
4. 站台連結與橋接 — 拓撲骨幹
- 站台連結： 連接 ≥2 站台，屬性：成本 (反映連結品質)、排程、間隔、協議。
- 站台連結橋接： 連接多個站台連結，啟用傳遞性拓撲計算。預設自動橋接 (全網格)；大型網路應手動建立橋接反映實體 WAN 拓撲 (Hub-Spoke 等)。
- KCC 依成本計算最小生成樹，決定橋頭配對與複寫方向。
三、 LDAP 在 Active Directory 中的應用
1. LDAP 簡介與演進
- 基於 X.500 簡化，支援 TCP/IP (必要條件)，核心規範定義於 RFC 系列。
- 早期 LDAP Server 為 X.500 閘道；現代 LDAP Server (如 AD) 獨立提供服務。
- AD 提供完整 LDAP v2/v3 支援 (Win2K 起)，Exchange 5.5 已支援 LDAP v2/v3。
2. LDAP 目錄模型與協議操作
- 基本單位 — 條目： 樹狀結構節點，由多個屬性組成；每屬性 = 類型 + 一或多個值。
- 協議流程： Client 連接 Server (Port 389/636) → Bind (驗證) → Search/Compare/Add/Delete/Modify/ModifyDN → Unbind。
- 搜尋關鍵參數： Base DN、Scope (Base/OneLevel/Subtree)、Filter (如
(&(objectClass=user)(cn=smith*)))、Attributes (僅擷取所需屬性)、DerefAliases、Size/Time Limit。
3. AD 支援的命名格式
| 格式 | 範例 | 用途 |
|---|
| RFC 822 (UPN) |
user@domain.com |
類似 Email，直觀易記；可作登入帳號、郵件地址；支援替代 UPN 尾碼簡化深層網域登入 |
| LDAP URL / X.500 DN |
LDAP://cn=User,ou=Sales,dc=corp,dc=com
CN=User,OU=Sales,DC=corp,DC=com |
應用程式內部使用；含伺服器位址與完整屬性路徑；終端用戶極少直接使用 |
| Down-Level (SAM) |
DOMAIN\user |
相容 NT 4.0/Win9x 用戶端；長度限制 20 字元 |
4. LDAP 應用開發關鍵點
- AD 遵循 LDAP v3 標準，但含大量 Microsoft 擴展 (範圍上屬性、連結屬性、位元屬性)；應用程式若使用非標準擴展將無法移植。
- 廠商支援矩陣關鍵：即使技術相容，若廠商未列 AD 為支援目錄，生產風險極高 (Gartner 建議)。
- 未來演進：WS2003 新增 LDAP 功能 (VLV、分頁控制)；ADAM (Active Directory Application Mode) 將提供獨立 LDAP 目錄服務，減輕核心 AD 負擔。
結語
DNS 提供命名與定位基石，站台實現複寫與登入的拓撲感知優化，LDAP 開啟標準化的目錄存取與應用整合大門。Windows Server 2003 AD 在這三大支柱上的深化 (如 DNS 條件轉寄、區域儲存於應用分區、站台連結橋接手動控制、LDAP VLV/ADAM) ，使其成為支撐大型異構企業環境的最佳身分平台。掌握三者交互作用與配置精髓，是資深 AD 架構師的核心爭力。
