从 Windows Server 2016 或 2019 升级到 Windows Server 2025，域控应原地升级还是新建迁移？
域控迁移优先采用新建 Windows Server 2025 域控、复制验证、FSMO 转移和旧域控降级，不建议把原地升级作为默认方案。
先控制风险，再实施变更建议先在测试环境或单一对象上验证，保存配置、日志和可恢复备份。涉及生产切换、批量策略、数据库修复或存储重建时，应设置维护窗口和明确回退条件。
1. 结论与适用范围
域控不仅保存账号，还承担 DNS、Kerberos、GPO、SYSVOL、时间和大量业务认证。新建迁移能保留旧域控作为回退，并在切换前验证复制和客户端行为，通常比原地升级更容易控制风险。
该问题涉及 Active Directory、DNS、组策略、身份认证和域控健康。应在变更前完成复制、备份和影响范围确认。
2. 需要优先关注的风险信号
- 现有域控同时承担 DHCP、文件、证书或第三方软件，角色边界不清。
- AD 复制、DNS、SYSVOL 或事件日志本身已有错误。
3. 迁移或处理前的检查清单
- 执行 dcdiag、repadmin、DNS 和 SYSVOL 检查，先修复现有健康问题。
- 确认林和域功能级别、DFSR 状态、FSMO、站点子网、时间源和备份。
- 检查业务系统是否写死旧域控 IP、LDAP 地址、DNS 或 NTP。
- 确认 Windows Server 2025 的安全默认值对旧 SMB、LDAP、TLS 和管理工具的影响。
只读检查与验证示例
dcdiag /e /v
repadmin /replsummary
repadmin /showrepl * /csv
netdom query fsmocorp.example、192.0.2.0/24 与 203.0.113.0/24 均为文档示例。只有在确认实际环境参数后，才能替换为真实值。
4. 推荐实施步骤
- 新建服务器并使用固定 IP 加域，安装 AD DS 与 DNS 后提升为附加域控。
- 等待并验证 AD、DNS、SYSVOL 完整复制，再调整 DNS 客户端顺序和站点。
- 转移 FSMO，配置 PDC 时间源，观察登录、GPO、业务认证和事件日志。
- 确认无依赖后降级旧域控并清理 DNS、站点、DHCP 和监控记录。
远程还是现场处理？日志、配置和少量对象通常可先远程评估；涉及物理服务器、存储、机房供电、批量切换或恢复演练时，应安排受控现场窗口。浙江、上海、江苏可根据项目情况上门，其他地区可远程协助。
5. 验证、回退与常见误区
- repadmin /replsummary 无持续错误，dcdiag 关键测试通过。
- SYSVOL、NETLOGON、DNS 区域、GPO 和密码修改能在域控间同步。
- 客户端重启后使用新 DNS 和新域控完成登录与业务认证。
常见错误做法
- 在存在复制故障时继续迁移。
- 直接关闭旧域控测试，未先转移 FSMO 和依赖。
- 复制虚拟域控磁盘作为新域控。
官方资料参考
常见问题
原地升级是否完全不支持？
某些路径可能受支持，但风险控制、回退和角色清理通常不如新建迁移。
新旧域控能否并行运行？
可以，并行期正是验证复制、DNS、认证和业务依赖的重要窗口。