從 Windows Server 2016／2019 遷移至 Windows Server 2025，網域控制站應原地升級還是並行新建？
網網域控制站制站遷移優先採用新建 Windows Server 2025 網網域控制站制站、複寫驗證、FSMO 轉移和舊網網域控制站制站降級，不建議把原地升級作為預設方案。
先控制風險，再實施變更建議先在測試環境或單一對象上驗證，保存設定、日誌和可復原備份。涉及生產切換、批次策略、資料庫修復或儲存重建時，應設定維護時段和明確復原條件。
1. 結論與適用範圍
網網域控制站制站不僅保存帳戶，還承擔 DNS、Kerberos、GPO、SYSVOL、時間和大量業務驗證。並行新建遷移能保留舊網網域控制站制站作為復原，並在切換前驗證複寫和用戶端行為，通常比原地升級更容易控制風險。
該問題涉及 Active Directory、DNS、群組原則、身份驗證和網網域控制站制站健康。應在變更前完成複寫、備份和影響範圍確認。
2. 需要優先關注的風險信號
- 現有網網域控制站制站同時承擔 DHCP、檔案、證書或第三方軟件，角色邊界不清。
- AD 複寫、DNS、SYSVOL 或事件日誌本身已有錯誤。
3. 遷移或處理前的檢查清單
- 執行 dcdiag、repadmin、DNS 和 SYSVOL 檢查，先修復現有健康問題。
- 確認林和域功能級別、DFSR 狀態、FSMO、站點子網、時間源和備份。
- 檢查業務系統是否寫死舊網網域控制站制站 IP、LDAP 地址、DNS 或 NTP。
- 確認 Windows Server 2025 的安全預設值對舊 SMB、LDAP、TLS 和管理工具的影響。
唯讀檢查與驗證範例
dcdiag /e /v
repadmin /replsummary
repadmin /showrepl * /csv
netdom query fsmocorp.example、192.0.2.0/24 與 203.0.113.0/24 均為檔案範例。只有在確認實際環境參數後，才能取代為實際值。
4. 推薦實施步驟
- 新建伺服器並使用固定 IP 加域，安裝 AD DS 與 DNS 後提升為附加網網域控制站制站。
- 等待並驗證 AD、DNS、SYSVOL 完整複寫，再調整 DNS 用戶端順序和站點。
- 轉移 FSMO，設定 PDC 時間源，觀察登入、GPO、業務驗證和事件日誌。
- 確認無依賴後降級舊網網域控制站制站並清理 DNS、站點、DHCP 和監察記錄。
遙距還是現場處理？日誌、設定和少量對象通常可先遙距評估；涉及物理伺服器、儲存、機房供電、批次切換或復原演練時，應安排受控現場維護時段。浙江、上海、江蘇可根據項目情況上門，其他地區可遙距協助。
5. 驗證、復原與常見誤區
- repadmin /replsummary 無持續錯誤，dcdiag 關鍵測試透過。
- SYSVOL、NETLOGON、DNS 區域、GPO 和密碼修改能在網網域控制站制站間同步。
- 用戶端重新啟動後使用新 DNS 和新網網域控制站制站完成登入與業務驗證。
常見錯誤做法
- 在存在複寫故障時繼續遷移。
- 直接關閉舊網網域控制站制站測試，未先轉移 FSMO 和依賴。
- 複寫虛擬網網域控制站制站磁盤作為新網網域控制站制站。
官方資料參考
常見問題
原地升級是否完全不支援？
某些路徑可能受支援，但風險控制、復原和角色清理通常不如並行新建遷移。
新舊網網域控制站制站能否並行運行？
可以，並行期正是驗證複寫、DNS、驗證和業務依賴的重要窗口。