第3部-部署虚拟化 IT 基础架构

这门课在补什么缺口？

很多学习者会装一台域控制器，让电脑加域、用域账号登录，但一碰到“域控挂了怎么办”“怎么给内部网站发证书”“内网用户如何安全上网”就卡住。这门课正好补上这一串：它把域身份认证、证书信任、边界访问控制三段连起来，目标是让你在虚拟化环境里搭出一套可用的企业内网基础架构。两件事是很多资料里分开讲的，这里却按真实部署顺序串了起来——先有身份（域控），再有信任（CA），最后有出口（TMG）。如果你只会单台域控，或者只在文档里看过证书服务却没亲手装过，这门课就是你的动手清单。

适合什么基础？先看哪几块？

你需要先会装 Windows Server，了解虚拟机克隆、快照和基本网络设置，知道 IP、DNS、域名的关系。不需要你是专家，但至少不是第一次打开服务器管理器。建议顺序：先看前两节关于域控制器的部分，搞清楚两台域控之间的复制关系，再跟着证书颁发机构那一节安装企业 CA，最后才碰 TMG。这个顺序不能乱——TMG 要验证域内用户的身份，也要依赖证书来完成 HTTPS 解密，前面没搭好，后面就是空中楼阁。看的时候不要只是眼睛过，每一节结束后都要自己动手做同样操作，并且故意制造错误（比如把 DNS 指向错 IP）来观察现象。

学完能独立做什么？练习怎么配合？

学完之后，你可以在自己的虚拟化环境里独立完成：部署两台域控制器并验证相互复制；安装企业证书颁发机构，给服务器或网站签发证书；部署 TMG 并配置防火墙策略，实现内网客户端通过 TMG 访问互联网，同时限制内网之间某些访问。换句话说，你拥有了一套“模拟企业网络”的最小原型——身份认证、证书、边界设备全齐了。此时你应该能回答：为什么域控要建 DNS 委派？企业 CA 和独立 CA 有什么区别？TMG 的策略顺序为什么会影响到访问结果？

练习时建议准备至少三台虚拟机：两台 Windows Server 做域控（其中一台顺带装 CA），另一台做 TMG，外加一台 Windows 客户端验证效果。每做完一个大步骤就拍一次快照，防止后面配错无法回退。视频里的步骤不要原封不动照抄，比如 IP 网段可以改成你自己的环境，域名也可以用 test.local 之类的假域名，重点是理解每一步依赖什么服务。最后，把你配置的规则顺序写下来，思考如果客户端无法上网，该怎么从 TMG 日志、DNS 解析、域认证三个方向排查。能独立完成排查，才算真正把这门课的内容吃透。