抱歉我按照上面的指示去操作,但我的AD信任類型好像不太一樣,這是為什麼呀
因為這台 AD 上面的 DNS, 查不到對向 AD 的 DNS.
(我以為你知道 AD 和 DNS 之間的關係, 所以沒寫)
建立 Trust 之前, 要先搞定 DNS 轉送. 讓兩邊的 AD 都能互相解析到對方 DNS 內的 AD 相關紀錄.
AD 相關的 DNS 紀錄大約有 15~20 個:
https://www.serverbrain.org/domains-2003/dns-records-registered-by-active-directory-domain-controllers.html
(不能自己把這些紀錄手動打進去, 因為 AD 會隨時更新這些內容, 你要讓 DNS Server 自動把 query 轉送到對方的 DNS 去查詢)
DNS 轉送設定:
https://petri.com/configure-dns-enable-trust-two-active-directory-forests/
還有你的 VPN 要確定把所有的 Port 都打通, 中間不要被防火牆規則攔下 1~65535 的 TCP/UDP Port, AD 需要所有的 Port.(其實也不是所有 Port 啦, 但是個別單獨去開, 數量太多太麻煩了, 乾脆就先全開, 等你測通了, 再來縮減就好)
我已經開彼此53port給對方,已經搞定dns轉送AD彼此都能解析到對方DNS相關紀錄,我下一步才開始要建立trust,但卻出現上面那張圖,才想說怎麼跟其他不一樣
彼此都能ping到彼此domain name了,但我卻無法trust彼此
I have two ADs (the two can be connected with a VPN in different regions).
How can I use the user account of user and computer in AD B to log in to AD A?
https://jamessmithcalculator.com/james-smith-fat-loss-calculator/
彼此都能ping到彼此domain name了
能 ping 得到, 並不代表兩台 AD 可以互通;
因為 AD 不是靠 ICMP (ping) 來傳遞資料的.
你只開 53 port, 雖然讓他可以查到 DNS 了, 但是 DNS 接著告訴他: 你現在該去 389 port 找 LDAP, 所以下一個是不是該開 389 port?
然後找完 LDAP, 接下來 DNS 又說:
你要去找 netdc 的 GC, 他在 Port 3268, 那是不是又要開 3268 Port?
他又說, 你要去查 Kerberos, 他在 port 88....
查完又說, 還要查 kpasswd, 他在 port 464....
DNS 只是一個起頭而已, 後面還有無數個 Port 要開....
(最凶狠的是 RPC port, 他會隨機亂跳, 不是用固定的 Port)
最快的方法, 就是讓兩邊通通能連到對方所有的 RPC/SMB Port (懶得查的話, 就是兩邊 TCP/UDP Port 都要全開; 尤其 RPC)
真有閒工夫一個一個開 port 的話, 請參考此篇:
https://fallbackstatus.com/how-does-active-directory-communicate/