创建Win2003域和Win2008域之间的信任关系，Active Directory系列之十八

今天我们更换一个实验场景，拓扑如下图所示。一个是Win2003域，另一个是Win2008域。两个域都使用各自的域控制器提供DNS解析，而且Win2008域的功能级别是Win2003，我们将为大家演示如何在这两个域之间创建信任关系。

这个实验的关键是DNS！操作系统的差异并不重要，Win2008域可以和Win2003域，甚至可以和Win2000域创建信任关系。我们要注意的是DNS的设置，每个域控制器要确保自己使用的DNS服务器不但可以解析本域的SRV记录，还可以解析与自己有信任关系域的SRV记录，也就是说DNS服务器要对信任域和被信任域的SRV记录都能进行解析。如何让每个DNS服务器都能解析两个域的SRV记录呢？我们有多种技术可以选择，例如辅助区域，存根区域，私有根或者转发器。在本次实验中我们使用辅助区域来解决这个问题，在每个DNS服务器上创建一个对方域的辅助区域，这样DNS服务器就可以对两个域进行解析了。

我们为大家演示如何创建itet.com的辅助区域。首先我们要在Server1负责的itet.com区域中进行设置，允许Server2创建itet.com的辅助区域。在Server1上打开DNS管理器，如下图所示，右键点击itet.com区域，选择“属性”。

在区域属性中切换到“区域传送”标签，如下图所示，勾选“允许区域传送”，选择“只允许到下列服务器”，点击“编辑”按钮。