安全级别最高的LAN Area（内网）；
安全级别中等的DMZ区域；
安全级别最低的Internet区域（外网）。
三个区域因担负不同的任务而拥有不同的访问策略。
1.内网域
分类：单域、子域、父域、域树、域森林、DNS域名服务器
“域”是一个有安全边界的计算机组合（一个域中的用户无法访问另一个域中的资源），域内资源由一台域控制器（Domain Controller，DC）集中管理，用户名和密码是放在域控制器去验证的。
优点：通过组策略来统一管理。
单域：即只有一个域的网络环境，一般需要两台DC，一台DC，另一台备用DC（容灾）
父子域：类比公司总部和公司分部的关系，总部的域称为父域，各分部的域称为该域的子域。使用父子域的好处：
• 减小了域之间信息交互的压力（域内信息交互不会压缩，域间信息交互可压缩）
• 不同的子域可以指定特定的安全策略
父子域中域名使用一个.表示一个层次，类似于DNS域名表示方式，子域只能使用父域的名字作为域名后缀
域树：多个域通过建立信任关系组成的集合。若两个域之间需要相互访问，需要建立信任关系（Trust Relation），通过信任关系可以将父子域连接成树状结构
域森林：多个域树通过建立信任关系组成的集合。
域名服务器：实现域名到IP地址的转换。由于域中计算机使用DNS来定位DC、服务器和其他计算机的，所以域的名字就是DNS域的名字。
内网渗透中，大都是通过寻找DNS服务器来确定域控制器位置（因为DNS服务器和域控制器通常配置在一台机器上）
域内权限：
• 域本地组：
• 多域用户访问单域资源
• （访问同一个域），主要用于授予本域内资源的访问权限，可以从任何域中添加用户账号、通用组和全局组。域本地组无法嵌套在其他组中
• 全局组：
• 单域用户访问多域资源
• （必须是同一个域中的用户），只能在创建该全局组的域中添加用户和全局组，但可以在域森林中的任何域内指派权限，也可以嵌套在其他组中
• 通用组：多域用户访问多域资源，成员信息不保存在域控制器中，而是保存在全局编录（GC）中，任何变化都会导致全林复制
域本地组：来自全林作用于本域
全局组：来自本域作用于全林
通用组：来自全林作用于全林
本地域组的权限
Administrators（管理员组） ————最重要的权限
Remote Desktop Users（远程登录组）
Print Operators（打印机操作员组）
Account Operators（帐号操作员组）
Server Operaters（服务器操作员组）
Backup Operators（备份操作员组）
全局组、通用组的权限
DOMAIN ADMINS（域管理员组）————最最最重要的权限，一般来说域渗透是看重这个
Enterprise Admins（企业系统管理员组）————最重要的权限，其次是去看重这个权限
Schema Admins（架构管理员组）————最重要的权限
Domain Users（域用户组)
通常DNS服务器与域控制器会在同一台机器上
一个域内至少需要两台DC，需要一台用作备份
环境搭建 ：