شبکه ویندوزی

بندانگشتی|نمونه‌ای از ساختار درخت دامنه در اکتیو دایرکتوری؛ دامنه‌ها و زیردامنه‌ها می‌توانند در یک ساختار سلسله‌مراتبی سازمان‌دهی شوند.
شبکهٔ ویندوزی (به انگلیسی: Windows networking) اصطلاحی عمومی برای مجموعه‌ای از فناوری‌ها، پروتکل‌ها، سرویس‌ها و سازوکارهای مدیریتی است که رایانه‌های مبتنی بر مایکروسافت ویندوز و ویندوز سرور از طریق آن‌ها در یک شبکه رایانه‌ای با یکدیگر یا با سامانه‌های غیر ویندوزی ارتباط برقرار می‌کنند. شبکهٔ ویندوزی یک پروتکل شبکه مستقل نیست، بلکه معماری‌ای متشکل از پروتکل‌های استاندارد اینترنتی مانند پروتکل اینترنت (IP)، سامانه نام دامنه (DNS) و پروتکل پیکربندی پویای میزبان (DHCP)، به‌همراه فناوری‌هایی مانند خدمات دامنهٔ اکتیو دایرکتوری (Active Directory Domain Services)، بلوک پیام سرور (SMB)، پروتکل دسکتاپ از راه دور (RDP)، کربروس (Kerberos), NTLM و خط‌مشی گروهی (Group Policy) است.
در شبکه‌های کوچک، رایانه‌های ویندوزی می‌توانند در قالب یک گروه کاری (Workgroup) و بدون وجود زیرساخت هویت مرکزی فعالیت کنند. در شبکه‌های سازمانی، معماری دامنه (Domain) معمولاً با استفاده از Active Directory Domain Services یا AD DS، کنترل‌کننده‌های دامنه (Domain Controllers), DNS و Group Policy امکان مدیریت متمرکز هویت‌ها، رایانه‌ها، تنظیمات امنیتی و دسترسی به منابع را فراهم می‌کند.

 تاریخچه و سیر تکامل 
ریشه‌های شبکه‌سازی یکپارچه در محصولات ویندوز به اوایل دههٔ ۱۹۹۰ بازمی‌گردد. خانوادهٔ Windows for Workgroups قابلیت‌های شبکه‌ای را مستقیماً در محیط ویندوز در اختیار کاربران رایانه‌های شخصی قرار داد و نسخهٔ Windows for Workgroups 3.11 در سال ۱۹۹۳ یکی از محصولات مهم مایکروسافت در این حوزه بود. شبکه‌های این نسل به فناوری‌هایی مانند NetBIOS و پروتکل‌های اشتراک‌گذاری فایل اولیه وابستگی زیادی داشتند.
با توسعهٔ خانوادهٔ Windows NT، مایکروسافت معماری سرویس‌گیرنده–سرور (Client–Server) و مفهوم دامنهٔ ویندوز را گسترش داد. دامنه‌های Windows NT از ساختاری متفاوت با Active Directory امروزی استفاده می‌کردند و مدیریت حساب‌ها عمدتاً بر پایهٔ کنترل‌کنندهٔ اصلی دامنه (Primary Domain Controller) و کنترل‌کننده‌های پشتیبان دامنه (Backup Domain Controllers) انجام می‌شد.
نقطهٔ تحول عمده با Windows 2000 Server رخ داد. مایکروسافت Active Directory Domain Services را نخستین‌بار در Windows 2000 ارائه کرد و مدل سلسله‌مراتبی دامنه، درخت (Tree)، جنگل (Forest)، واحد سازمانی (Organizational Unit) و تکثیر تکثیر چندسروری (Multi-master Replication) را به هستهٔ مدیریت شبکهٔ ویندوز وارد کرد.
نسخه‌های بعدی Windows Server قابلیت‌هایی مانند بهبود تکثیر Active Directory، سطوح عملکردی دامنه و جنگل (Domain and Forest Functional Levels)، بهبود Group Policy، افزونگی DHCP، نسخه‌های جدید SMB، مجازی‌سازی و امکانات امنیتی جدید را توسعه دادند. در Windows Server 2025 نیز AD DS, SMB و زیرساخت‌های شبکه و هویت همچنان از اجزای اصلی سیستم‌عامل سرور مایکروسافت هستند و برخی محدودیت‌های معماری قدیمی Active Directory و قابلیت‌های امنیتی SMB در آن توسعه یافته‌اند.

 مدل‌ها و معماری شبکه 
شبکه‌های ویندوزی را از دید مدیریت هویت و منابع می‌توان به‌طور کلی در دو الگوی گروه کاری و دامنه بررسی کرد. این تقسیم‌بندی مستقل از توپولوژی فیزیکی شبکه است؛ برای نمونه، هر دو مدل می‌توانند بر بستر اترنت، شبکهٔ محلی، شبکه‌های بی‌سیم یا شبکه‌های مسیریابی‌شدهٔ مبتنی بر TCP/IP فعالیت کنند.

 گروه کاری 
گروه کاری (Workgroup) مجموعه‌ای از رایانه‌ها است که می‌توانند تحت یک نام گروه کاری مشترک سازمان‌دهی شوند، بدون آن‌که عضویت در یک دامنهٔ Active Directory برای آن‌ها الزامی باشد. در مشخصات پروتکل‌های ویندوز، Workgroup به‌عنوان مجموعه‌ای از رایانه‌ها با نام مشترک تعریف شده است که در نبود دامنه می‌تواند محدودهٔ جست‌وجو و کشف منابع را سازمان‌دهی کند.
در یک Workgroup معمولی، هر رایانه پایگاه حساب‌های محلی خود را نگهداری می‌کند؛ بنابراین حساب کاربری ایجادشده روی یک رایانه الزاماً روی رایانه‌ای دیگر وجود ندارد. دسترسی به یک منبع اشتراکی ممکن است مستلزم ارائهٔ اعتبارنامه‌ای باشد که رایانهٔ میزبان منبع بتواند آن را اعتبارسنجی کند.
این معماری برای محیط‌های کوچک یا سامانه‌هایی که نیاز به مدیریت متمرکز هویت و خط‌مشی ندارند ساده‌تر است، اما با افزایش تعداد کاربران، رایانه‌ها و سیاست‌های امنیتی، مدیریت جداگانهٔ حساب‌ها و تنظیمات روی هر میزبان می‌تواند پیچیده شود.

 دامنه 
در معماری دامنه (Domain)، رایانه‌ها و کاربران در یک زیرساخت هویت مشترک سازمان‌دهی می‌شوند. در محیط‌های سنتی Windows Server این زیرساخت معمولاً به‌وسیلهٔ AD DS پیاده‌سازی می‌شود. رایانه‌ای که به دامنه می‌پیوندد دارای یک حساب رایانه (Computer Account) در Active Directory است و می‌تواند از خدمات کنترل‌کننده‌های دامنه برای احراز هویت و دریافت خط‌مشی استفاده کند.
یک دامنه می‌تواند شامل کاربران، گروه‌ها، رایانه‌ها، سرورها و سایر اشیای دایرکتوری باشد. چند دامنه می‌توانند در ساختارهای بزرگ‌تر Active Directory قرار گیرند و دامنه‌ها در قالب یک جنگل (Forest) مرز اصلی ساختار منطقی Active Directory را تشکیل می‌دهند. همچنین سایت‌ها (Sites) برای مدل‌سازی ساختار فیزیکی یا جغرافیایی شبکه و واحدهای سازمانی (OUs) برای سازمان‌دهی و تفویض مدیریت اشیا به‌کار می‌روند.

 مقایسهٔ گروه کاری و دامنه 
+ مقایسهٔ معماری Workgroup و Domain در شبکه‌های ویندوزی ویژگی گروه کاری (Workgroup) دامنه (Domain) مدیریت هویت حساب‌های کاربری و رایانه‌ای عمدتاً به‌صورت محلی روی هر سیستم مدیریت می‌شوند. حساب‌های کاربران، گروه‌ها و رایانه‌ها می‌توانند به‌صورت متمرکز در Active Directory مدیریت شوند. مدیریت تنظیمات تنظیمات معمولاً باید به‌صورت محلی یا با ابزارهای مدیریت جداگانه اعمال شوند. Group Policy امکان اعمال و مدیریت متمرکز شمار زیادی از تنظیمات کاربران و رایانه‌ها را فراهم می‌کند. احراز هویت معمولاً بر اعتبارنامه‌ها و پایگاه حساب محلی میزبان متکی است؛ NTLM می‌تواند در سناریوهای Workgroup به‌کار رود. در محیط AD, Kerberos روش ترجیحی احراز هویت است؛ NTLM نیز برای برخی شرایط سازگاری یا سناریوهای خاص پشتیبانی می‌شود. امنیت و اعمال خط‌مشی سیاست‌های امنیتی را می‌توان روی هر میزبان اعمال کرد، اما هماهنگی آن‌ها در تعداد زیاد سیستم‌ها دشوارتر است. سیاست‌های امنیتی، محدودیت‌های کاربران، تنظیمات سیستم و بخشی از کنترل‌های امنیتی از طریق Group Policy قابل مدیریت متمرکز هستند. مقیاس‌پذیری مدیریتی معمولاً برای تعداد محدود دستگاه‌ها و ساختارهای ساده‌تر مناسب‌تر است. برای مدیریت تعداد زیاد کاربران، رایانه‌ها، گروه‌ها و واحدهای سازمانی طراحی شده و ساختار دامنه و جنگل امکان توسعهٔ سازمانی را فراهم می‌کند. وابستگی زیرساختی برای عضویت در Workgroup به کنترل‌کنندهٔ دامنه نیاز نیست. عملکردهای دامنه به دسترسی مناسب به AD DS و به‌ویژه DNS و کنترل‌کننده‌های دامنه وابسته‌اند. اشتراک منابع اشتراک فایل و چاپگر از طریق SMB امکان‌پذیر است، اما مجوزها معمولاً بر پایهٔ حساب‌ها و گروه‌های محلی تنظیم می‌شوند. SMB می‌تواند همراه حساب‌ها و گروه‌های دامنه و فهرست‌های کنترل دسترسی، مدیریت متمرکزتری برای منابع فراهم کند. پیچیدگی و هزینهٔ استقرار زیرساخت اولیهٔ ساده‌تری دارد و برای محیط‌های کوچک معمولاً به سرور دامنه نیاز ندارد. استقرار AD DS, DNS، افزونگی، پشتیبان‌گیری و نگهداری کنترل‌کننده‌های دامنه پیچیدگی و هزینهٔ بیشتری ایجاد می‌کند؛ در مقابل، مدیریت متمرکز می‌تواند هزینهٔ عملیاتی محیط‌های بزرگ را کاهش دهد. کاربرد متداول شبکه‌های کوچک، آزمایشگاه‌ها، سامانه‌های مستقل و محیط‌هایی که به مدیریت هویت مرکزی نیاز ندارند. سازمان‌ها، مؤسسات و زیرساخت‌هایی که مدیریت متمرکز کاربران، رایانه‌ها، سیاست‌ها و دسترسی‌ها اهمیت دارد.
این مقایسه به معنای برتری مطلق یکی از دو مدل نیست. انتخاب معماری به تعداد سامانه‌ها، نیازهای امنیتی، الزامات مدیریتی، دسترس‌پذیری زیرساخت و هزینهٔ چرخهٔ عمر شبکه بستگی دارد.

 اجزا و سرویس‌های کلیدی 
 اکتیو دایرکتوری 
خدمات دامنهٔ اکتیو دایرکتوری (Active Directory Domain Services یا AD DS) سرویس دایرکتوری اصلی ویندوز سرور برای محیط‌های دامنه‌ای است. یک سرویس دایرکتوری اطلاعات ساختاریافته دربارهٔ اشیای شبکه را ذخیره می‌کند و امکان جست‌وجو، مدیریت و کنترل دسترسی به این اطلاعات را در اختیار کاربران و مدیران مجاز قرار می‌دهد.
اشیای متداول Active Directory شامل حساب‌های کاربری، حساب‌های رایانه، گروه‌های امنیتی، واحدهای سازمانی و اشیای مرتبط با سرویس‌ها هستند. کنترل‌کنندهٔ دامنه (Domain Controller یا DC) سروری است که یک نسخهٔ قابل استفاده از پایگاه دادهٔ AD DS را نگهداری کرده و در عملیات‌هایی مانند احراز هویت، جست‌وجوی دایرکتوری و تکثیر داده‌ها مشارکت می‌کند.
ساختار منطقی AD DS چند سطح مهم دارد:
 دامنه (Domain): مجموعه‌ای منطقی از اشیای دایرکتوری با نام DNS و سیاست‌های مدیریتی مرتبط؛
 درخت (Tree): ساختاری از دامنه‌های مرتبط در فضای نام؛
 جنگل (Forest): مجموعه‌ای از یک یا چند دامنه که ساختار و پیکربندی مشترک Active Directory دارند؛
 واحد سازمانی (Organizational Unit): ظرفی منطقی برای سازمان‌دهی اشیا و تفویض مدیریت یا اعمال Group Policy؛
 سایت (Site): نمایش منطقی ساختار فیزیکی شبکه که در مدیریت تکثیر و مکان‌یابی سرویس‌ها نقش دارد.
گروه‌های امنیتی Active Directory نیز برای دسته‌بندی حساب‌ها و واگذاری مجوزها به مجموعه‌ای از کاربران یا رایانه‌ها استفاده می‌شوند، روشی که مدیریت دسترسی را در مقایسه با اختصاص مجوز جداگانه به هر کاربر ساده‌تر می‌کند.

 دی‌ان‌اس در محیط ویندوز 
سامانهٔ نام دامنه (Domain Name System یا DNS) یکی از مؤلفه‌های اساسی شبکه‌های دامنه‌ای ویندوز است. DNS نام‌های میزبان و سرویس‌ها را به اطلاعاتی مانند نشانی‌های IP نگاشت می‌کند؛ اما در Active Directory نقش آن فراتر از تبدیل سادهٔ نام به IP است.
AD DS از DNS برای یافتن کنترل‌کننده‌های دامنه و سرویس‌های مرتبط استفاده می‌کند. رایانه‌های عضو دامنه با جست‌وجوی رکوردهای سرویس (SRV Records) می‌توانند کنترل‌کننده‌های دامنه و سرویس‌هایی مانند LDAP و Kerberos را پیدا کنند. کنترل‌کننده‌های دامنه نیز برای یافتن یکدیگر و انجام بسیاری از عملیات دایرکتوری به DNS متکی هستند.
سرویس DNS ویندوز سرور از ناحیه‌های استاندارد DNS و ناحیه‌های یکپارچه با Active Directory (AD-integrated Zones) پشتیبانی می‌کند. در ناحیه‌های یکپارچه با AD، داده‌های DNS می‌توانند از سازوکار تکثیر Active Directory استفاده کنند.

 دی‌اچ‌سی‌پی 
پروتکل پیکربندی پویای میزبان (Dynamic Host Configuration Protocol یا DHCP) یک پروتکل سرویس‌گیرنده–سرور استاندارد برای تخصیص خودکار تنظیمات IP است. سرور DHCP می‌تواند اطلاعاتی مانند نشانی IP، ماسک زیرشبکه، دروازه پیش‌فرض و آدرس سرورهای DNS را در اختیار سرویس‌گیرنده قرار دهد.
در یک محیط AD DS، سرور DHCP ویندوز می‌تواند در Active Directory مجازسازی (Authorization) شود. محدوده‌های DHCP (Scopes)، رزروها (Reservations)، گزینه‌های DHCP و سیاست‌ها امکان کنترل نحوهٔ تخصیص پیکربندی شبکه را فراهم می‌کنند. Windows Server همچنین از DHCP Failover پشتیبانی می‌کند که در آن دو سرور DHCP می‌توانند اطلاعات اجارهٔ نشانی‌ها (Leases) و بخشی از تنظیمات را برای افزایش دسترس‌پذیری به اشتراک بگذارند.

 پروتکل‌های اختصاصی و پرکاربرد 
شبکه‌های ویندوزی ترکیبی از استانداردهای عمومی اینترنت و پروتکل‌هایی هستند که توسعه یا کاربرد تاریخی آن‌ها ارتباط نزدیکی با محصولات مایکروسافت داشته است.

 SMB و CIFS 
بلوک پیام سرور (Server Message Block یا SMB) پروتکل اصلی اشتراک‌گذاری فایل در ویندوز است. SMB به برنامه‌ها و کاربران اجازه می‌دهد فایل‌ها و سایر منابع موجود روی یک سامانهٔ راه‌دور را از طریق شبکه بخوانند، ایجاد یا ویرایش کنند. از SMB برای اشتراک فایل، چاپ، برخی ارتباطات بین‌فرایندی (Inter-process Communication) و تعدادی از قابلیت‌های زیرساختی ویندوز سرور نیز استفاده می‌شود.
اصطلاح Common Internet File System یا CIFS به‌طور تاریخی با نسل قدیمی SMB و به‌ویژه خانوادهٔ SMB 1.0 مرتبط است و نباید با همهٔ نسخه‌های جدید SMB مترادف دانسته شود. نسل‌های جدیدتر SMB قابلیت‌های امنیتی، کارایی و دسترس‌پذیری بیشتری ارائه می‌کنند.
SMB مدرن می‌تواند مستقیماً روی TCP/IP فعالیت کند. مایکروسافت برای SMB مستقیم روی TCP از درگاه TCP 445 استفاده می‌کند، در حالی که نسل‌های قدیمی SMB/CIFS می‌توانستند از NetBIOS over TCP/IP نیز استفاده کنند.
نسخه‌های جدید SMB از قابلیت‌هایی مانند امضای پیام (SMB Signing)، رمزگذاری ارتباط (SMB Encryption)، چندکاناله‌سازی (SMB Multichannel) و در برخی سناریوها SMB Direct مبتنی بر RDMA پشتیبانی می‌کنند.

 پروتکل دسکتاپ از راه دور 
پروتکل دسکتاپ از راه دور (Remote Desktop Protocol یا RDP) فناوری مایکروسافت برای انتقال رابط کاربری یک نشست راه‌دور، ورودی صفحه‌کلید و ماوس و سایر داده‌های مرتبط میان سرویس‌گیرنده و میزبان است. این پروتکل پایهٔ بسیاری از قابلیت‌های Remote Desktop در ویندوز و خدمات دسکتاپ از راه دور (Remote Desktop Services یا RDS) در Windows Server محسوب می‌شود.
RDS می‌تواند برنامه‌ها یا محیط‌های دسکتاپ مدیریت‌شده را از یک زیرساخت مرکزی در اختیار کاربران قرار دهد؛ در این مدل پردازش برنامه عمدتاً روی سرور انجام می‌شود و رابط کاربری به دستگاه کاربر منتقل می‌شود.
در استقرارهای سازمانی، مؤلفه‌هایی مانند Remote Desktop Gateway می‌توانند برای واسطه‌گری و محافظت از دسترسی راه‌دور به منابع RDS به‌کار روند.

 NetBIOS و NetBIOS over TCP/IP 
نت‌بایوس (Network Basic Input/Output System یا NetBIOS) مجموعه‌ای قدیمی از خدمات نام‌گذاری، نشست و ارتباطات شبکه‌ای است که در نسل‌های اولیهٔ شبکه‌های رایانهٔ شخصی و ویندوز کاربرد گسترده‌ای داشت. NetBIOS over TCP/IP یا NBT خدمات NetBIOS را روی پروتکل‌های TCP و UDP نگاشت می‌کند و در RFC 1001 و RFC 1002 تعریف شده است.
در معماری‌های جدید، DNS و SMB مستقیم روی TCP/IP بسیاری از نقش‌هایی را که در شبکه‌های قدیمی به NetBIOS وابسته بودند بر عهده گرفته‌اند. به همین دلیل NetBIOS بیشتر به‌عنوان فناوری سازگاری با سامانه‌ها و برنامه‌های قدیمی مطرح است و برخی پیکربندی‌های ویندوز امکان غیرفعال‌سازی NetBIOS over TCP/IP را فراهم می‌کنند.

 LDAP و پروتکل‌های دایرکتوری 
Active Directory برای ارائه و دسترسی به خدمات دایرکتوری از مجموعه‌ای از پروتکل‌ها استفاده می‌کند که پروتکل دسترسی سبک به دایرکتوری (Lightweight Directory Access Protocol یا LDAP) یکی از مهم‌ترین آن‌ها است. LDAP برای جست‌وجو و دسترسی به اشیای دایرکتوری به‌کار می‌رود، در حالی که DNS مکان سرویس‌های دامنه را مشخص می‌کند و Kerberos بخش مهمی از احراز هویت دامنه را بر عهده دارد.

 امنیت در شبکه‌های ویندوزی 
امنیت شبکهٔ ویندوزی از چند لایهٔ مرتبط شامل هویت، احراز هویت (Authentication)، مجازسازی (Authorization)، خط‌مشی‌های امنیتی، فهرست‌های کنترل دسترسی، امنیت پروتکل‌ها و جداسازی شبکه تشکیل می‌شود. در یک محیط دامنه‌ای، Active Directory مرکز بخش مهمی از این ساختار است و حساب‌های کاربران، رایانه‌ها و گروه‌های امنیتی را در اختیار سرویس‌های احراز هویت و کنترل دسترسی قرار می‌دهد.

 Kerberos 
Kerberos پروتکل احراز هویت مبتنی بر بلیت (Ticket-based Authentication) است و روش ترجیحی احراز هویت در محیط‌های Active Directory به‌شمار می‌رود. این پروتکل امکان تأیید هویت کاربران یا میزبان‌ها را بدون ارسال مکرر گذرواژه به سرویس‌های شبکه فراهم می‌کند.
در Active Directory، کنترل‌کنندهٔ دامنه نقش مرکز توزیع کلید (Key Distribution Center یا KDC) را نیز ایفا می‌کند. سرویس‌گیرنده ابتدا برای دریافت Ticket-Granting Ticket و سپس برای دسترسی به سرویس‌های مشخص، بلیت‌های مربوط را دریافت می‌کند. به دلیل وابستگی Kerberos به اعتبار زمانی بلیت‌ها، هماهنگی زمان میان اعضای دامنه از ملاحظات مهم این معماری است.

 NTLM 
NT LAN Manager یا NTLM خانواده‌ای از پروتکل‌های احراز هویت چالش–پاسخ (Challenge–Response) مایکروسافت است. NTLM همچنان در برخی سناریوهای ویندوز، از جمله سامانه‌های عضو Workgroup، ورود محلی و مواردی که Kerberos قابل استفاده نیست، پشتیبانی می‌شود. در محیط‌های Active Directory، مایکروسافت Kerberos نسخهٔ ۵ را بر NTLM ترجیح می‌دهد.
از دید طراحی امنیتی، وجود NTLM برای سازگاری با سامانه‌های قدیمی باید از استفادهٔ عمدی از آن در طراحی سامانه‌های جدید تفکیک شود؛ زیرا زیرساخت‌های جدید دامنه‌ای در صورت فراهم بودن شرایط مناسب می‌توانند از Kerberos استفاده کنند.

 خط‌مشی گروهی 
خط‌مشی گروهی (Group Policy) زیرساختی برای تعریف و مدیریت تنظیمات کاربران و رایانه‌های ویندوزی است. در محیط AD DS، مدیران می‌توانند اشیای خط‌مشی گروهی (Group Policy Objects یا GPOs) ایجاد کرده و آن‌ها را در سطوح مختلف ساختار Active Directory اعمال کنند.
Group Policy می‌تواند برای مدیریت طیف گسترده‌ای از تنظیمات، از جمله سیاست‌های حساب و گذرواژه، تنظیمات امنیتی سیستم‌عامل، دیوارهٔ آتش، پیکربندی سرویس‌ها، محدودیت‌های کاربران، اسکریپت‌ها و تنظیمات نرم‌افزاری به‌کار رود. اعمال متمرکز چنین تنظیماتی یکی از تفاوت‌های اساسی شبکهٔ دامنه‌ای با Workgroup است.

 مجوزها و کنترل دسترسی 
ویندوز برای شناسایی بسیاری از اشیای امنیتی از شناسهٔ امنیتی (Security Identifier یا SID) استفاده می‌کند. دسترسی به فایل‌ها، پوشه‌ها و سایر اشیای قابل محافظت می‌تواند با فهرست کنترل دسترسی (Access Control List یا ACL) مشخص شود. در یک دامنه، گروه‌های امنیتی Active Directory امکان آن را فراهم می‌کنند که مجوزها به گروه‌ها اختصاص داده شوند و عضویت کاربران در آن گروه‌ها به‌طور مرکزی مدیریت شود.
در اشتراک فایل، مجوزهای SMB و مجوزهای NTFS می‌توانند هم‌زمان در تعیین سطح دسترسی مؤثر باشند. ازاین‌رو احراز هویت کاربر و مجوز دسترسی او دو فرایند جدا اما مرتبط هستند: احراز هویت تعیین می‌کند کاربر چه هویتی دارد، در حالی که مجازسازی مشخص می‌کند آن هویت به چه منابعی دسترسی دارد.

 امنیت ارتباطات SMB و دسترسی راه‌دور 
نسخه‌های جدید SMB از سازوکارهایی مانند امضای پیام برای تشخیص دست‌کاری داده و رمزگذاری SMB برای حفاظت از محرمانگی ترافیک پشتیبانی می‌کنند. چنین قابلیت‌هایی جایگزین طراحی صحیح شبکه، کنترل مجوزها یا اصل حداقل دسترسی نیستند، بلکه بخشی از دفاع چندلایه (Defense in Depth) محسوب می‌شوند.
در مورد دسترسی راه‌دور، RDP و RDS نیز باید در چارچوب معماری امنیتی کل شبکه بررسی شوند. Remote Desktop Gateway امکان ایجاد یک لایهٔ واسط برای دسترسی کاربران بیرونی به منابع RDS را فراهم می‌کند و در استقرارهای سازمانی می‌توان آن را با سازوکارهای احراز هویت تکمیلی ترکیب کرد.

 وابستگی میان سرویس‌ها 
یکی از ویژگی‌های مهم شبکهٔ ویندوزی سازمانی، وابستگی متقابل سرویس‌ها است. برای نمونه، پیوستن یک رایانه به دامنه تنها یک ارتباط ساده با کنترل‌کنندهٔ دامنه نیست؛ سرویس‌گیرنده باید بتواند از طریق DNS رکوردهای مربوط به سرویس‌های Active Directory را پیدا کند، سپس با سرویس‌های دایرکتوری و احراز هویت ارتباط برقرار کند.
به همین ترتیب، DHCP می‌تواند آدرس DNS صحیح را در اختیار سرویس‌گیرنده قرار دهد؛ DNS محل کنترل‌کننده‌های دامنه را مشخص می‌کند؛ Kerberos برای احراز هویت به کنترل‌کنندهٔ دامنه متکی است؛ Group Policy پس از شناسایی و احراز هویت رایانه یا کاربر سیاست‌های مربوط را دریافت می‌کند؛ و SMB می‌تواند از هویت و گروه‌های امنیتی دامنه برای کنترل دسترسی به منابع اشتراکی استفاده کند. به همین دلیل اختلال در یک سرویس پایه مانند DNS می‌تواند به‌صورت ظاهری به شکل خطای ورود به دامنه، Group Policy یا دسترسی به منابع شبکه مشاهده شود.

 مقیاس‌پذیری و مدیریت سازمانی 
در محیط‌های بزرگ، طراحی شبکهٔ ویندوزی تنها به نصب Windows Server و ایجاد یک دامنه محدود نمی‌شود. ساختار سایت‌ها، توپولوژی شبکه، محل استقرار کنترل‌کننده‌های دامنه، DNS، افزونگی سرویس‌ها، نحوهٔ سازمان‌دهی واحدهای سازمانی، مدل گروه‌های امنیتی و تفویض اختیارات مدیریتی همگی بر قابلیت مدیریت و دسترس‌پذیری زیرساخت اثر می‌گذارند.
AD DS یک سرویس توزیع‌شده است و در محیط‌های دارای چند کنترل‌کنندهٔ دامنه، داده‌های دایرکتوری میان آن‌ها تکثیر می‌شود. این ویژگی امکان توزیع سرویس هویت و افزایش دسترس‌پذیری را فراهم می‌کند، اما نیازمند طراحی صحیح توپولوژی، پشتیبان‌گیری و مدیریت تغییرات است.
از دید مهندسی شبکه، دامنهٔ Active Directory با دامنهٔ انتشار (Broadcast Domain)، دامنهٔ برخورد (Collision Domain), VLAN یا یک زیرشبکهٔ IP یکسان نیست. یک دامنهٔ AD می‌تواند چندین شبکه، VLAN، زیرشبکه و موقعیت جغرافیایی را دربر گیرد و ساختار فیزیکی شبکه از طریق مفاهیمی مانند Active Directory Sites و Subnets با ساختار منطقی دایرکتوری مرتبط شود.

 شبکه‌های ویندوزی در محیط‌های ناهمگون 
اگرچه اصطلاح شبکهٔ ویندوزی بر محصولات مایکروسافت تأکید دارد، بسیاری از پروتکل‌های مورد استفاده در آن محدود به Windows نیستند. TCP/IP, DNS, DHCP, Kerberos و LDAP استانداردهای شبکه‌ای یا دایرکتوری هستند و پیاده‌سازی‌های آن‌ها در سیستم‌عامل‌ها و محصولات دیگر نیز وجود دارد.
SMB نیز توسط سامانه‌های غیر ویندوزی پیاده‌سازی شده است و این موضوع امکان اشتراک منابع میان Windows و سایر سیستم‌عامل‌ها را فراهم می‌کند؛ بنابراین یک شبکهٔ سازمانی مبتنی بر Active Directory می‌تواند شامل تجهیزات شبکه، سامانه‌های ذخیره‌سازی، سرورهای لینوکس و برنامه‌های غیرمایکروسافتی نیز باشد، مشروط بر آن‌که پروتکل‌ها و سازوکارهای هویت و دسترسی مورد نیاز را پشتیبانی کنند.

 شبکه‌های محلی، ابری و ترکیبی 
معماری سنتی شبکهٔ ویندوزی عمدتاً بر Windows Server و Active Directory در مرکز داده یا شبکهٔ محلی سازمان استوار بود. با گسترش رایانش ابری، مدل‌های مدیریت هویت ویندوز نیز به محیط‌های ترکیبی (Hybrid) توسعه یافته‌اند. AD DS همچنان برای بسیاری از زیرساخت‌های محلی و برنامه‌های وابسته به دامنه استفاده می‌شود، در حالی که خدمات هویت ابری مایکروسافت مانند Microsoft Entra ID مدل متفاوتی برای مدیریت هویت و دسترسی در سرویس‌های ابری ارائه می‌کنند.
Active Directory Domain Services و Microsoft Entra ID از نظر معماری و پروتکل‌ها یک محصول واحد نیستند. AD DS بر مفاهیمی مانند دامنه، کنترل‌کنندهٔ دامنه، Kerberos, LDAP و Group Policy استوار است، در حالی که سامانه‌های هویت ابری از معماری و پروتکل‌های متفاوتی برای سناریوهای نرم‌افزار به‌عنوان خدمت و برنامه‌های اینترنتی استفاده می‌کنند.

 ملاحظات طراحی 
طراحی شبکهٔ ویندوزی به عواملی مانند اندازهٔ سازمان، تعداد کاربران و دستگاه‌ها، توزیع جغرافیایی، الزامات امنیتی، دسترس‌پذیری سرویس‌ها، برنامه‌های موجود و نیاز به یکپارچگی با سامانه‌های دیگر وابسته است. در محیط‌های کوچک ممکن است Workgroup نیازهای عملیاتی را تأمین کند، در حالی که مدیریت تعداد زیادی کاربر و رایانه معمولاً نیاز به یک زیرساخت متمرکز هویت و سیاست را افزایش می‌دهد.
از دید معماری، جداسازی مفاهیم شبکه، هویت و سرویس اهمیت دارد. Active Directory جایگزین طراحی IP، مسیریابی، VLAN، دیواره آتش یا افزونگی شبکه نیست؛ همان‌طور که وجود یک شبکهٔ IP سالم نیز به‌تنهایی خدمات هویت، مجازسازی و مدیریت متمرکز Windows را فراهم نمی‌کند. شبکه‌های ویندوزی سازمانی حاصل تعامل این لایه‌ها با یکدیگر هستند.

 جستارهای وابسته 
 مدیریت شبکه

 منابع 

 برای مطالعهٔ بیشتر 

 
 
 
 

رده:شبکه‌های رایانه‌ای
رده:مایکروسافت ویندوز
رده:مدیریت شبکه
رده:ویندوز سرور