子域与委派的区别

子域：
在区域中可以创建子域来扩展域名空间。
委派：
子域的信息都存储在父域区域文件中，当区域中的子域过多时，维护起来很不方便，并且性能不好的情况下，还会遇到域名查询量的瓶颈。这时就可以通过委派，将子域委派到其他服务器维护。

委派

读音：[wěi pài]

释义：1委托安排。2委任派遣。

近义词：指派

委派造句

主教没有委派一个继任人。

他被委派为代表参加会议。

索伦森被委派为联络官。

他不能委派代表来指挥。

她委派他作自己的助手。

他无法强迫主教委派他。

委派他赴一新团任职。

通过Microsoft Management Console 组织和委派任务

委派他任上尉。

合资企业内所有职能部门经理全由母公司委派。

近义词造句

请随意指派我们吧。

农学院指派人员去指导这些学习班的工作。

要手动为该设备指派资源，请单击“手动配置”。

同胞们!我现在开始担负起你们所指派给我的职务。

如果手动为该设备指派资源，请单击“手动配置”。

特迪厄普肖，你以前的顶头上司，现在要听你的`指派。

一年前他就指派哈立逊上校，研究组织上的弱点，并寻求改进方法。

出于安全考虑，应始终为Administrator 帐户指派密码，要牢记密码并保管好它。

在安装之后可以更改对 *** 作主机角色的指派，但在多数情况下没有必要。

域内第一个被安装为域控制器的服务器会被自动指派为具有全部 *** 作主机角色。

假设这样一种场景，在域中获取了一台IIS机器的webshell，默认权限iis defaultapppool，在试了其他办法后仍然无法提权至system权限时，可以试试基于资源的约束委派来获取IIS所在机器的system权限。要成功利用这种技术需要两个前提，一个是需要域中的一个服务账号或普通域账号的密码或者哈希值，另一个就是IIS所在机器加入了域。

如果没有服务账号，可以通过普通域账号创建一个新的机器账号，以此来设置这个机器账号到IIS所在机器的资源约束委派。设置资源约束委派的关键源码如下：

源码中，sid表示新创建的机器账号的objectSid属性值，iisName表示IIS所在机器的名称。

通过webshell上传可以设置资源委派的程序到IIS服务器中，直接运行程序就会成功设置资源约束委派：

如上图所示，虽然运行程序的权限很低，但是程序在域中请求网络资源时是用所在机器的机器账号这一身份来请求的，在这里就相当于IIS所在机器会请求修改自身msDS-AllowedToActOnBehalfOfOtherIdentity属性值，而默认情况下自身是有权限修改自己的这个属性值的。

委派设置成功后，通过getSTpy模拟administrator来申请一张高权限票据，然后通过mimikatz注入票据：

首先，你需要考虑是哪一类程序出了问题，如果是TCP/IP客户端，如telnet或ftp，那么问题可能出在DNS和HOSTS文件上。如果是一个支持NetBIOS命名的实用程序，如net（与在net use中一样）中，那么值得怀疑的还要包括Wins和LMHOSTS文件。其他也使用DNS名称或NetBIOS名称作为参数的客户端（如ping）也会使用这些命名服务中的任意一种。接下来，再考虑Windows使用这些命名服务的顺序。在查找问题时，应按照此顺序检查各种服务。这些提示对你查出问题的症结会有帮助，至少可帮你排除一个怀疑对象。
如果要检查一个服务器的缓存区，请单击DNS控制台左窗格中该服务器名称左边的加号。你将看到一个名为Cached Lookups的文件夹。单击其左边的加号或双击文件夹图标或标签以展开下一级。这样可显示出你的名称服务器已为其缓存了数据的那些顶级域。继续展开，直至看到你要查看的缓存数据所在的那一域名。如我们的名称服务器已为microsoftcom缓存了三条NS记录和一条A记录。如果依次双击net和hp,我们还会看到这些名称服务器的缓存地址。如果想看缓存数据上的 TTL，请双击右窗格中的一条记录。若 DNS 控制台处于高级查看模式（选择查看 > 高级），则出现的窗口将显示出该记录的 TTL。在检查 TTL 之前，一定要用 *** 作 > 刷新或用 F5 键刷新 DNS 控制台，否则你看到的 TTL 可能会大于当前 TTL。如果右键单击该记录，你可能会注意到有一个删除记录选项。
DNS的一些常见的错误
1 忘记增加序列号
在你未使用 DNS 控制台而是用手动方式更改区域数据文件时，就会出现一些问题。DNS 控制台在它每次更改区域数据时都会记着在 SOA 记录中增加序列号，所以你不必为此 *** 心。不过，这也意味着你可能不会养成更新序列号的习惯，所以在进行一次性手动修改时，你可能会忘记增加序列号。此问题的主要症状是，从属名称服务器不会获得你在主服务器上对该区域做的任何更改。从属服务器认为区域数据并未更改，因为它看到的序列号仍是原来的序列号。该怎样检查当时是否记着增加序列号呢？不幸的是，这就不是那么容易了。如果你不记得原序列号是什么，而现在的序列号不能表明它是什么时候更新的，则没有直接的方法判断它是否已更改。在启动主服务器时，不管你是否更改了序列号，它都将加载更新后的区域数据文件。最好的办法只能是使用 nslookup 来比较主服务器和从属服务器返回的数据。如果它们返回不同的数据，则表明你可能忘了增加序列号。如果你能想起最近作的一次更改，则可以查看此数据。如果记不起最近一次作的更改，则可以从一个主服务器和一个从属服务器复制该区域，将结果排序并使用文件比较工具将它们加以比较。还有一个好消息，即，尽管确定该区域此前是否已复制比较难，但现在要确保该区域被复制却非常简单。只须在 DNS 控制台中双击 SOA 记录并手动编辑序列号字段，增加主服务器上此区域的副本中的序列号即可。从属服务器将在刷新时间间隔内获得此新的数据，如果它们用了 NOTIFY，则会更快。
2 以手动方式更改DNS服务器
要记住 Microsoft DNS 服务器会定期更新其区域数据文件。每次用 DNS 控制台对一个区域的数据进行更改时，就有一个写 *** 作挂起：在 DNS 服务器退出之前，它必须重写该区域的数据文件，否则它就会丢失你所作的更改。可以将此比作内存中一个已更新的页： *** 作系统在退出之前必须将它写到磁盘上。如果你在一个写 *** 作挂起期间对一个区域数据文件作了手动更改，则在名称服务器退出后你会莫名其妙地丢失所作的更改。比如你在服务器正在运行且有一个写 *** 作挂起时向一个名为microsoftcom的新子域添加了委派。作完更改后，你必须将服务器停下并再次启动，以让它再次读取该区域数据。但是在服务器退出时，它将重写 microsoftcom 区域数据文件，你的委派于是就会丢掉。如果仔细观察（平时就需要这样）事件查看器，会在服务器停止事件之前看到这样一条消息：The DNS server wrote version 37 of zone microsoftcom to file microsoftcomdns（DNS 服务器写入区域 microsoftcom 的版本 37 到文件 microsoftcomdns。）如果你用 *** 作 | 更新服务器数据文件来强制服务器重写其区域数据文件，则服务器就会与区域数据文件同步，而不必在退出时重写。所以，如果要对区域数据文件作手动更改，那么要么首先停止服务器（但这意味着在你作更改期间服务器将不响应任何查询），要么使用 DNS 控制台将服务器与区域数据文件同步，然后再进行更改。
3 从属服务器无法加载区域数据
如果一个从属服务器无法从其主控服务器获取某个区域的当前序列号，那么最初它是不会给你发警告消息的。然而，如果该问题一直存在而且从属服务器在有效期时间内无法确定其数据是否是最新的，那么该区域就会过期。在一个 Microsoft DNS 服务器上，你将在事件查看器中看到与下文类似的一条消息：在获得成功区域复制或从这个区域作为其源的主服务器获得成功区域复制之前microsoftcom 区域就超时了，该区域已经被关闭。区域过期后，当你向名称服务器查询该区域中的数据时，就会收到 SERVFAIL 错误消息：
C:> nslookup robocop wormholemicrosoftcom
Server: wormholemicrosoftcom
Addresses: 20746230219, 1922532531
wormholemicrosoftcom can’t find robocopmicrosoftcom: Server failed
出现此问题的原因主要有三个：由于网络故障与主控服务器的连接断开，为主控服务器配置的 IP 地址不正确，主控服务器上的区域数据文件中有语法错误。首先，应使用 DNS 控制台检查该从属服务器在尝试从中加载数据的那一（些）主控服务器的地址。右键单击左窗格中该区域的域名，选择属性，然后查看常规选项卡，确认它是否真是主名称服务器的 IP 地址。如果是，请检查到此 IP 地址的连接：C:> ping 20746230219
Pinging 20746230219 with 32 bytes of data:
Request timed out
Request timed out
Request timed out
Request timed out
如果无法连接到主控服务器，请确定该服务器的主机是否真的在运行（例如，已通电），或检查网络问题。你可能还需要检查主控服务器对该区域中数据的查询是否返回权威性响应。如果主控服务器的响应对于该区域不是权威性的，则从属服务器就不从该主控服务器中复制此区域。可使用 nslookup 检查主控服务器的对于区域的 SOA 记录的权威性响应，命令格式如下：
C:> nslookup -norec -type=SOA microsoftcom 20746230219
此命令向位于地址 15210416 的名称服务器发送一个非递归查询，以查询 microsoftcom 的 SOA 记录。我们必须发送非递归查询，这样位于 15210416 的名称服务器就不会将该查询转发给另一个服务器。如果将此主控服务器配置正确，则对此查询的响应就应是权威性的。（记住，除非 nslookup 返回了“非权威性”响应，否则响应就是权威性的。）非权威性的响应可能表明主控服务器在加载该区域时发生问题，通常是由于区域数据文件中存在语法错误。请与该主控服务器的管理员联系，让他检查其事件查看器或系统日志的输出中是否有表明出现语法错误的消息。我们从来还没有见到过 Windows 2000 名称服务器因为区域数据文件中有语法错误而对于此区域失去非权威性的情况，但旧的 BIND 名称服务器确实会表现出这种现象。所以，如果你的名称服务器是某一区域的从属服务器，而此区域的主要主名称服务器是 BIND 名称服务器，该服务器现在对该区域不具有权威性，那么问题可能就是一个语法错误。如果对查询的响应是权威性的但从属服务器仍无法成功复制该区域，那么你可以使用nslookup的ls命令来手动复制该区域。如果看到类似于下面的错误消息，则很可能是主控服务器限制区域复制：
C:> nslookup - 15210416
Default Server: terminatormicrosoftcom
Address: 15210416
> ls microsoftcom
[terminatormicrosoftcom]
Can‘t list domain microsoftcom: Query refused
请与该主控服务器的管理员联系，问是否在对区域复制进行限制。请他检查你正在尝试复制的区域的属性窗口的区域复制选项卡上的选项（如果他在运行 Microsoft DNS 服务器）。如果该远程服务器在运行着 BIND，则请问他是否在使用 xfrnets 或 allow-transfer 功能来对区域复制进行限制。在问题已被排除而且你的服务器能成功复制该区域后，你会在事件查看器中看到下面的消息：A more recent version, version 212 of zone microsoftcom was
found at DNS server at 20746230219 Zone transfer is in progress
The DNS server wrote version 212 of zone microsoftcom to
file microsoftcomdns（在 20746230219 的 DNS 服务器上找到区域microsoftcom 的更新的版本212。正在进行区域复制。DNS 服务器写入区域 microsoftcom 的版本 212 到文件 microsoftcomdns。）
4 网络连接断开
虽然与原始的 ARPANET时代相比，如今的 Internet 已可靠得多，但网络中断的现象仍很常见。这些故障往往看起来好像是性能问题：
C:\> nslookup niscsricom
Server: terminatormicrosoftcom
Address: 15210416
DNS request timed out
……
Request to terminatormicrosoftcom timed-out
使用 nslookup，你可以查找你的名称服务器要与之对话的那些名称服务器的名称和地址，以便解析该名称：
C:\> nslookup
Default Server: terminatormicrosoftcom
Address: 15210416
> set type=ns
> sricom
Server: terminatormicrosoftcom
Address: 20746230219
Non-authoritative answer:
……
NSsricom internet address = 128183066
NSCSLsricom internet address = 130107494
NSCSLsricom internet address = 192123394
TURTLEMCCCOM internet address = 128621215
NS1sricom internet address = 128183065
> com
Server: terminatormicrosoftcom
Address: 20746230219
Non-authoritative answer:
……
CROOT-SERVERSNET internet address = 19233412
DROOT-SERVERSNET internet address = 12881090
EROOT-SERVERSNET internet address = 19220323010
IROOT-SERVERSNET internet address = 1923614817
FROOT-SERVERSNET internet address = 19255241
GROOT-SERVERSNET internet address = 192112364
JGTLD-SERVERSINTERNICNET internet address = 19841021
AROOT-SERVERSNET internet address = 1984104
HROOT-SERVERSNET internet address = 12863253
BROOT-SERVERSNET internet address = 12890107
然后你可以检查你的主机与这些服务器的连接。但是，ping也不会比你的名称服务器幸运多少。如果ping成功了，你就应该查一查这些远程服务器是否真的在运行。
C:\> ping 128183066 --ping 第一个 sricom 名称服务器
Pinging 128183066 with 32 bytes of data:
Request timed out
……
C:\> ping 130107494 --ping 第二个 sricom 名称服务器
Pinging 130107494 with 32 bytes of data:
Request timed out
……
现在剩下要做的只是查找网络中的故障。像tracert这样的实用工具可帮你确定问题是出在你的网络上、在目标网络上、还是在中间某个地方，在查找故障位置时也需要运用一些常识了。
5缺少子域委派
尽管取得ICANN认证的注册员尽了最大努力以尽可能快地处理你的请求，但让你的子域的委派出现在根名称服务器中也可能需要一两周的时间。你的父级不同（是取得ICANN 认证的注册员还是其他区域管理员），你的等待时间也会不一样。有的父级办事速度快且有责任心；而有的父级则办事拖拉。等到你的委派数据出现在父级区域的名称服务器上后，你的名称服务器就能够在 Internet 域名称空间查找数据了，但Internet 上（在你的域之外）没有任何人会知道怎样在你的 名称空间查找数据。
这意味着，尽管你可以将邮件发送到你的域之外，但收件人却不能回复你的邮件。而且，也没有人能够按名称 telnet 到、ftp 到，甚至不能 ping 到你的主机。
要知道，你运行的任何 in-addrarpa 子域都是这种情况。在父级将这些子域委派到你的服务器之前，Internet 上的名称服务器不能够逆映射你网络上的地址。
如要确定你区域的委派是否已在你的父级区域的名称服务器中，请向一个父级名称服务器查询你的区域的 NS 记录。如果父级名称服务器中有此数据，则 Internet 上的任何名称服务器都能找到它：
C:\> nslookup
Default Server: terminatormicrosoftcom
Address: 15210416
> server aroot-serversnet--Query a root name server
Default Server: aroot-serversnet
Address: 1984104
> set norecurse --Instruct the server to answer out of
> set type=ns --its own data and to look for NS records
> 249249192in-addrarpa --for 249249192in-addrarpa
Server: aroot-serversnet
Address: 1984104
aroot-serversnet can't find 249249192in-addrarpa
: Non-existent domain
从这里可以清楚地看出尚未添加委派。你可以耐心地等待，如果在向父级区域请求委派后等待的时间太长，你可以与父级区域的管理员联系，问他们是怎么回事。
6．子域委派不正确
子域委派不正确是 Internet 上另一个常见的问题。让委派保持最新需要人的参与 - 将你对你的一组权威性名称服务器作的更改通知父级区域的管理员。因此，委派信息往往会由于管理员作更改时不将此情况通知他们的父级管理员而变得不准确。有相当多的管理员都认为，建立委派是一劳永逸的事：在建立他们的区域时，他们让父级管理员知道哪些名称服务器是权威性的，然后就再也不与父级管理员沟通此事了。他们甚至在母亲节也不知道打个电话。一名管理员可能会添加一个新的名称服务器，撤下另一个，又改变了某一个名称服务器的 IP 地址，而这一切都可能不让父级区域的管理员知道。久而久之，由父级区域正确委派的名称服务器的数目就会变少。在这种情况下，最好的结局是名称解析时间延长，因为进行查询的名称服务器要费尽周折去查找该区域的权威性名称服务器。如果委派信息严重过时而最后一个权威性名称服务器主机被停机维修，那么就无法访问到该区域中的信息。如果你怀疑有委派错误，不管是从你的父级到你的区域，从你的区域到你的一个子级，还是从一个远程区域到该区域的一个子级，你都可以用 nslookup 来检查：
C:\> nslookup
Default Server: terminatormicrosoftcom
Address: 15210416
> server agtld-serversnet --Set server to the parent name
--server you suspect has bad delegation
Default Server: agtld-serversnet
Address: 1984104
> set type=ns --Look for NS records
> microsoftcom --for the zone in question
Server: agtld-serversnet
Address: 1984104
Non-authoritative answer:
……
RELAYMICROSOFTCOM internet address = 152551522
HPLABSHPLMICROSOFTCOM internet address = 1525517647
NNSCNSFNET internet address = 128891178
HPSDLOSDDMICROSOFTCOM internet address = 1525516064
HPSDLOSDDMICROSOFTCOM internet address = 152611211
假如你怀疑到 hpsdlosddmicrosoftcom 的委派不正确，你可以在 hpsdlo 区域查询 microsoftcom 中的数据，并检查返回的结果：
> server hpsdlosddmicrosoftcom
Default Server: hpsdlosddmicrosoftcom
Addresses: 1525516064, 152611211
> set norecurse
> set type=soa
> microsoftcom
Server: hpsdlosddmicrosoftcom
Addresses: 1525516064, 152611211
Non-authoritative answer:
……
expire = 604800 (7 days)
minimum ttl = 86400 (1 day)
Authoritative answers can be found from:
……
RELAYMICROSOFTCOM internet address = 152551522
HPLABSHPLMICROSOFTCOM internet address = 1525517647
NNSCNSFNET internet address = 128891178

DNS是“域名系统”（Domain Name System）的英文缩写，是一种组织成域层次结构的计算机和网络服务命名系统。域名的解析工作由DNS服务器完成。 域名解析都是通过DNS服务器来实现的，首选DNS和备用DNS就是你用来解析域名的两个DNS服务器 互联网域名是为了方便人们记忆而采用的识别机制，域名与IP地址相对应，一个IP地址对应一个或多个域名，就比如一个人有唯一的身份z号码，而此人除了有姓名之外，也可以有外号，别称，曾用名……。备用DNS：顾名思义，当主DNS停止服务时，计算机访问互联网自动请求备用DNS进行服务。 为保证服务的高可用性，DNS 要求使用多台名称服务器冗余支持每个区域。 某个区域的资源记录通过手动或自动方式更新到单个主名称服务器（称为主 DNS 服务器）上。主 DNS 服务器可以是一个或几个区域的权威名称服务器。 其它冗余名称服务器（称为辅 DNS 服务器）用作同一区域中主服务器的备份服务器，以防主服务器无法访问或宕机。辅 DNS 服务器定期与主 DNS 服务器通讯，确保它的区域信息保持最新。如果不是最新信息，辅 DNS 服务器就会从主服务器获取最新区域数据文件的副本。这种将区域文件复制到多台名称服务器的过程称为区域复制。 通常，DNS 数据库可分成不同的相关资源记录集。其中的每个记录集称为区域。区域可以包含整个域、部分域或只是一个或几个子域的资源记录。 管理某个区域（或记录集）的 DNS 服务器称为该区域的权威名称服务器。每个名称服务器可以是一个或多个区域的权威名称服务器。 在域中划分多个区域的主要目的是为了简化 DNS 的管理任务，即委派一组权威名称服务器来管理每个区域。采用这样的分布式结构，当域名称空间不断扩展时，各个域的管理员可以有效地管理各自的子域。 有时，区域和域是很难分辨的。 区域是域的子集。可以将它看作域名称空间的某个分支（或子树）。

1、win2012加域contosocom2、win2012加域重启后，安装AD角色管理工具3、安装中，经过短暂的几分钟后，安装完成。4、安装完成之后，接下来我们将要进行AD的扩展了，这里注意的是win2003是32位系统，不能使用64位的命令执行域扩展命令，于是我将WindowsServer2012的光盘加载到Win2012服务器上，并用命令定位到adprep目录下，将命令提示符转到D盘的support/adprep目录，升级2003ADSchema林架构；输入adprepexe/forestprep5、提示我们要保证林架构和域架构为windowsserver2003以上版本，于是切换到win2003服务器，进行林架构和域架构的提升。在ad域和信任关系中，右键域名，提升域功能级别为windowsserver2003模式。6、在右键选择域和信任关系，选择提升林功能级别为windowsserver20037、返回到win2012，继续进行林架构扩展adprepexe/forestprep,按C继续,等待扩展完成。8、升级2003ADSchema域架构；adprepexe/domainprep9、更新组策略对象权限；adprepexe/domainprep/gpprep10、更新AD对RODC只读域控器的支持；adprepexe/rodcprep11、至此AD的林和域架构升级成功，接下来要将Win2012提升域控，继续之前的步骤，点击将此服务器提升为域控制器。12、在部署配置页面我们可以看到当前的服务器FQDN和当前的域名及当前用户。如需更改则在相应项后面点击进行更改即可。我们这里保持默认，点击下一步继续。13、下一步，我们可以看到一个警告信息，详细信息，提示如果需要部署只读域控需有windowsserver2008、2008R2或2012域控，因我们现在所安装的是辅助域控并非单独的只读域控，所以这个警告可以忽略。14、下一步，又出现警告信息，无法创建DNS服务器委派，因当前服务器未安装DNS所致，后续会勾选自动安装，继续下一步。15、指定要从哪台域控复制信息。当前环境只有一台Win2003域控制器，可以选择win2003，也可以保持默认----从任何域控制器安装，这里我保持默认，下一步，继续。16、数据库及其他文件夹保存位置，默认，下一步。17、显示你的所有选项设置，确保无误后点击下一步继续。18、所有检查条件都已通过，点击安装。19、安装完后，自动重启电脑。20、重新win2012后，打开AD用户和计算机，右键―contosocom, *** 作主机。21、依次对RID、PDC及基础结构都进行更改。22、打开域和信任关系，右键--- *** 作主机。23、对域命名主机进行更改，点击更改，域命名主机就平滑的从win2003切换到了win2012服务器上。24、在win2012服务器里面，点击开始运行，（注：我这里给win2012服务器装了个开始菜单插件）或直接调出命令行工具，输入:regsvr32schmmgmtdll。25、在运行窗口输入mmc，调出控制台管理工具，在点击文件---添加删除管理单元，添加AD架构。26、右键----AD架构，选择更改AD域控制器。27、选择win2012服务器，在点击确定，对当前连接的目录服务器win2003进行更改。28、继续选择AD架构，我们注意到现在已经连接到win2012服务器了，点击 *** 作主机。29、点击更改，这样架构主机就从win2003转移到了win2012服务器。30、打开AD站点和服务，选择win2003，取消win2003服务器的全局编录功能，因为我们最终的目的是要把win2003服务器退域，所以不要它担负任何角色。31、更改后，刷新下状态，看到我们的win2003角色已经从GC变成了DC。32、在命令行窗口，我们输入netdomqueryfsmo，看到我们的角色都已经更改为了win2012contosocom。33、我们尝试提示下域功能级别到windowsserver2012，提示域内有windowsserver2003版本的域控存在，接下来我们把win2003域控退域。34、win2003退域过程，漫长的等待。。。。。。35、点击完成，这样win2003就降级为了域成员服务器，根据提示我们对win2003服务器进行重启。36、将win2003和win2012的dns服务器首选地址都更改为win2012的IP，这个也是我们最新的2012域控的IP地址。（注：如果win2003的dns地址没有更改就重启的话，我们发现登录的过程很慢，这个是由于缓存的问题，更改dns指向最新的win2012后，我们可以发现登录的过程很快）37、验证一下我们加域是否正常，并且是否目前已加域的计算机登录不受影响。我们把首先把win2012服务器重启，然后在把win2003退域计算机重命名为test并重新加域，使用账号ceshi1正常登录。38、基本步骤都已经完成，客户端也登录正常，我们在检查下最新的windowsserver2012的域控信息是否都已经准确了。右键win2012，转发器还是原来的192168150服务器，这里我们予以删除之，如果需要解析到外网，我们可以填写我们当地的dns服务器地址，我这里填写广东的dns,20296128166,20296134133。39、右键contosocom，起始授权机构显示的是最新的是最新的win2012,名称服务器选项里将win2003的记录予以删除。40、右键_msdcscontosocom，起始授权机构显示的是最新的是最新的win2012,名称服务器选项里将win2003的记录予以删除。41、右键反向查找区域，起始授权机构显示的是最新的是最新的win2012,名称服务器选项里将win2003的记录予以删除,并且将位置的IP地址更改为正确的。42、更改后重启dns服务器。43、AD站点和服务里面删除win2003服务器。44、同时我们也注意到了win2012的dns服务器已经有了新加入的test计算机记录。至此，win2003到win2012的域升级步骤就已经全部完成。

---