在windows active directory中配置域信任关系，核心是dns解析、权限分配、防火墙放行与信任建立四者协同；需先明确信任类型（林/外部/快捷方式），再通过“active directory域和信任关系”向导创建，确保双向dns转发、fqdn访问、显式acl授权及kerberos（88）、ldap（389）、dns（53）、smb（445）等端口双向开放。
确认信任类型和范围
先想清楚你要建的是哪种信任：
- 林信任（Forest Trust）：适用于两个完整林之间，自动可传递，支持跨林全局组使用（但需注意嵌套限制）；必须在双方林的根域之间建立。
- 外部信任（External Trust）：用于不同林且不支持可传递性的场景（比如老版本林或非Windows环境），不可传递，需手动为每个目标域单独配置。
- 快捷方式信任（Shortcut Trust）：仅用于同一林内跨域路径过长时优化Kerberos跳转，不跨林，也不影响默认可传递性。
多数企业跨林互通选林信任；若对方是孤立域或非AD环境（如Samba），考虑外部信任。
建立信任关系（图形界面或命令行）
以林信任为例，操作路径一致：
- 在任一林的域控制器上打开Active Directory 域和信任关系 → 右键本地根域 → “属性” → “信任”选项卡 → “新建信任”向导。
- 输入对方林的DNS根域名（如 partner.com），选择“森林信任”，方向按需选“双向”或“单向”。
- 认证类型建议保持默认“林范围身份验证”；若启用“选择性身份验证”，后续必须为每个服务（如CIFS、LDAP）单独授权SPN，否则访问会失败。
- 完成向导后，双方林的“信任”属性页都应显示该条目；可用
nltest /trust或netdom trust验证连通性。
确保 DNS 双向解析畅通
没有 DNS，信任就无法定位对方域控制器，身份验证必然失败：
- 在双方林各自的DNS服务器上，为对方林根域名（如 partner.com）配置条件转发器，指向对方林DNS服务器的IP地址。
- 测试方法：在本方DC上执行
nslookup user@partner.com，应能返回 partner.com 林中某台DC的A记录；同样反向测试也要通。 - 避免依赖NetBIOS名（如 PARTNER\user），它不支持跨林自动解析，容易出错；统一使用FQDN（user@partner.com）登录和访问资源。
配置资源访问权限（ACL 和组策略）
信任建立 ≠ 自动获得权限。Windows不会把源林用户加进目标林任何内置组，必须显式授权：
- 在目标林的共享文件夹、NTFS权限或OU上右键 → “属性” → “安全” → “编辑” → “添加”。
- 点击“位置”，切换到目标林 → “高级” → “立即查找”，此时应能搜到源林的用户或全局组（前提是DNS和信任已生效）。
- 推荐做法：在目标林创建一个域本地组（如 DL-AppAccess-Partner），把源林用户/组加入其中，再给该本地组分配具体权限——便于后期增删和审计，也规避跨林组嵌套限制。
- 若需委派OU管理（如允许源林管理员重置密码），必须用ADUC中的“委派控制向导”，并在向导里明确选择源林主体，不能直接在ACL里加。
检查网络与防火墙端口
信任通信依赖底层协议，常见端口必须放行：
- Kerberos（88/TCP+UDP）、LDAP（389/TCP+UDP）、DNS（53/TCP+UDP）、SMB（445/TCP）、RPC（动态端口，通常1024–65535）等均需双向开放。
- 特别注意：Windows Server 2008+ 默认RPC客户端端口范围是49152–65535，防火墙策略要覆盖此范围，而非旧版的1024–5000。
- 若使用SSL/LDAPS，还需开放636（LDAP over SSL）和3269（GC over SSL）端口。
