L’introduction d’un contrôleur de domaine (DC) sous Windows Server 2025 dans un environnement existant ou sa cohabitation avec d’anciens systèmes d’exploitation (OS) apporte des changements majeurs en matière de sécurité et d’architecture.
Voici les incompatibilités et points de vigilance majeurs à connaître :
1. Incompatibilité des niveaux fonctionnels (Bloquant)
- Niveau fonctionnel minimal requis : Windows Server 2025 n’accepte plus les niveaux fonctionnels de domaine ou de forêt inférieurs à Windows Server 2016. [1, 2]
- Impact : Si votre Active Directory est encore configuré avec un niveau fonctionnel Windows Server 2012 R2 ou plus ancien, le serveur 2025 refusera catégoriquement de devenir contrôleur de domaine. Vous devez obligatoirement migrer et élever le niveau fonctionnel à 2016 au minimum avant de pouvoir ajouter un DC 2025. [1, 2, 3, 4]
2. Fin de support de FRS (File Replication Service)
- Réplication SYSVOL : Windows Server 2025 exige exclusivement l’utilisation du protocole DFSR (Distributed File System Replication) pour la réplication du dossier
SYSVOL. - Impact : Si votre domaine a été créé il y a longtemps et n’a jamais été migré de FRS vers DFSR, la promotion d’un DC 2025 échouera. [1, 2]
3. Problèmes de mot de passe machine et Kerberos en environnement mixte (Très critique)
Plusieurs retours en production font état de réels problèmes d’interopérabilité lorsque des DC Windows Server 2025 coexistent avec des DC plus anciens (2016, 2019 ou 2022) : [1, 2]
- Le problème : Windows Server 2025 introduit un durcissement de la sécurité Kerberos et désactive par défaut d’anciens algorithmes de chiffrement (comme RC4 ou DES) au profit d’AES-256. [1, 2]
- La conséquence : Lorsqu’une machine cliente ou un serveur membre change son mot de passe d’ordinateur auprès d’un DC 2025, il arrive fréquemment que les anciens DC (2019/2022) ne parviennent plus à authentifier cet ordinateur. Cela provoque des erreurs aléatoires de type « La relation de confiance a échoué » ou « Nom d’utilisateur ou mot de passe incorrect », résolues temporairement par un redémarrage du poste. [1, 2, 3]
- Recommandation actuelle : Les experts recommandent d’éviter de laisser cohabiter trop longtemps des DC 2025 et des DC plus anciens dans le même domaine. Il est préférable de faire une bascule rapide : ajouter le DC 2025, transférer les rôles FSMO, et décommissionner rapidement les anciens DC. [1, 2]
4. Durcissement des canaux de communication (LDAP et SAM RPC)
- LDAP Sécurisé obligatoire : Windows Server 2025 applique de nouvelles règles strictes qui forcent l’utilisation du chiffrement pour les opérations impliquant des attributs confidentiels. [1]
- SAM RPC : Les modifications de mots de passe à distance via l’ancienne interface SAM RPC sont bloquées par défaut (notamment pour les comptes du groupe Protected Users). []
- Impact : Vos anciens serveurs applicatifs ou vieilles machines industrielles qui utilisent du LDAP basique non chiffré (port 389 sans TLS/SSL) ne pourront plus communiquer correctement avec le DC 2025 à moins de modifier des stratégies de groupe spécifiques pour désactiver ce durcissement. []
5. Format de la base de données (Nouveauté NTDS)
- Windows Server 2025 introduit un nouveau format de base de données avec des pages de 32k (au lieu de 8k historiquement).
- Compatibilité : Tant que des DC plus anciens sont présents, le DC 2025 fonctionnera en mode de compatibilité 8k. Vous ne pourrez activer les pages 32k qu’une fois que tous les DC de la forêt auront été migrés vers 2025 et que le niveau fonctionnel 2025 aura été appliqué. [1, 2, 3, 4]
Articles :
Microsoft LearnActive Directory Domain Services Functional LevelsMicrosoft Ignite * Get started. * Learn Windows Server. Browse all training. Instructor-led courses. Earn credentials. * Previous …
Reddit·r/activedirectoryAdding 2025 DC to Domain with existing 2016 and 2022 serversAdding 2025 DC to Domain with existing 2016 and 2022 servers. Hi, I’m running a very small on-premise setup for a 100 person compa…
Microsoft LearnMigrate from Windows Server 2012 R2 to Windows Server 20253 answers. … Windows server 2025 does not support functional levels older than 2016. Your current 2012 R2 does not support anyth…
Voici le tableau comparatif des problèmes majeurs rencontrés par les serveurs membres selon leur version d’OS lorsqu’ils interagissent avec un DC Windows Server 2025 :
| Version d’OS du Serveur Membre | Statut de compatibilité | Problèmes d’authentification (Kerberos / NTLM) | Problèmes d’accès aux partages (SMB / RPC) | Gestion des comptes & Mots de passe machine |
|---|---|---|---|---|
| Windows Server 2003 / 2003 R2 | ❌ Incompatible (Sauf modifications de sécurité critiques dégradant le DC) | Blocage total de Kerberos car ces OS s’appuient sur RC4/DES, désactivés par défaut sur Server 2025. NTLMv1 est rejeté. | Le chiffrement SMB obligatoire sur Server 2025 bloque l’accès à SYSVOL et aux partages d’infrastructure. | Impossible de joindre le domaine ou de renouveler le mot de passe machine à distance (SAM RPC durci). |
| Windows Server 2008 / 2008 R2 | ⚠️ Très problématique (Nécessite des contournements lourds) | AES est supporté mais de nombreux correctifs manquent. Risque élevé de rupture d’authentification Kerberos si le DC applique le durcissement PAC. | SMBv1 est désactivé par défaut côté DC. Les communications RPC non chiffrées échouent. | Risque de blocage lors du changement automatique du mot de passe machine (tous les 30 jours). |
| Windows Server 2012 / 2012 R2 | ⚠️ Partiellement impacté (Fin de support éditeur globale) | L’absence des dernières mises à jour de sécurité cumulatives empêche le serveur membre de comprendre les nouveaux attributs de sécurité Kerberos du DC 2025. | Les connexions LDAP simples (sans TLS) sur le port 389 échouent si des attributs confidentiels sont requis. | Perte intermittente de la relation de confiance lors du renouvellement des clés d’ordinateur. |
| Windows Server 2016 / 2019 | 🔄 Compatible avec vigilance | Généralement fonctionnel, mais sujet à des bugs d’interopérabilité (erreurs de tickets Kerberos) si les serveurs membres ne sont pas pleinement à jour. | Aucun problème SMB majeur (SMBv2/v3 pleinement supportés), mais durcissement RPC à surveiller. | Erreur aléatoire « La relation de confiance a échoué » causée par un bug connu de synchronisation des mots de passe machine avec Server 2025. |
| Windows Server 2022 | Totalement compatible (Recommandé) | Parfait support d’AES-256 et des exigences Kerberos modernes. | Interopérabilité SMB et LDAP sécurisée native. | Comportement stable, bien qu’un patch récent sur le membre soit nécessaire pour éviter le bug de relation de confiance. |
Synthèse des 3 causes techniques majeures :
- La fin de l’algorithme RC4 : Windows Server 2025 n’émet plus de tickets Kerberos chiffrés en RC4 par défaut. Si un serveur membre (comme 2003/2008) ne sait pas négocier l’AES-128 ou l’AES-256, son canal sécurisé se brise instantanément. [1]
- Le bug du renouvellement de mot de passe machine : Un comportement spécifique à Windows Server 2025 fait échouer le changement automatique de mot de passe machine des OS clients/membres plus anciens (y compris Windows 10/11 et serveurs intermédiaires), provoquant l’erreur classique : « La relation de confiance entre cette station de travail et le domaine principal a échoué ». [1, 2]
- Le chiffrement obligatoire des flux : Server 2025 rejette par défaut les liaisons LDAP non chiffrées et l’authentification RPC anonyme ou non scellée, ce que les anciens OS utilisent massivement pour leurs services internes.
Exemples de sujet et liens
Microsoft LearnWindows Server 2025 trust relationship issues – resolution?14 août 2025 — Devices intermittently fail to authenticate with the domain, resulting in the error: “The trust relationship between this workstat…
Reddit·r/WindowsServerProblèmes d’authentification/DNS/Kerberos avec Server 2003 …10 janv. 2023 — J’ai rencontré un problème étrange avec mes serveurs 2003. Après avoir fait beaucoup de rattrapage sur les mises à jour Windows (p…
Reddit·r/WindowsServerWindows 11 Clients, Server 2025 AD, Trust Relationship Lost3 juin 2026 — Starting with Windows Server 2025, Domain Controllers no longer issue Kerberos tickets using RC4. If affected computers are still …
Les sources et articles de référence expliquant ces mécanismes et comportements incluent :
1. Niveaux fonctionnels requis et fin de FRS
- Source Microsoft : Active Directory Domain Services Functional Levels et Upgrading to Windows Server 2025.
- Ce que dit le document : L’éditeur y confirme que pour introduire un contrôleur de domaine (DC) sous Windows Server 2025, le niveau fonctionnel de la forêt et du domaine doit être au minimum Windows Server 2016. De plus, toute réplication SYSVOL basée sur l’ancien moteur FRS (File Replication Service) bloque la promotion du DC, DFSR étant obligatoire. [1, 2]
2. Désactivation de RC4 et durcissement Kerberos
- Source Microsoft : Beyond RC4 for Windows authentication (Article du blog officiel Windows Server).
- Ce que dit le document : Microsoft détaille sa stratégie d’élimination complète de l’algorithme de chiffrement obsolète RC4 au profit d’AES-128/256. Avec Windows Server 2025, les DCs ne délivrent plus de tickets Kerberos via RC4 par défaut. Cela casse directement le canal sécurisé (Netlogon secure channel) des serveurs membres trop anciens (comme Server 2003/2008) qui ne supportent pas ou négocient mal AES. [1, 2, 3]
3. Le bug de la rupture de relation de confiance (Machine Passwords)
- Source Microsoft : Fil de discussion officiel Windows Server 2025 Upgrade Deployment – Microsoft Q&A ainsi que Windows Server 2025 DCs – Intermittent Machine Account Trust Failures. [1, 2]
- Ce que disent les ingénieurs Microsoft : Les équipes techniques documentent un problème de désynchronisation majeur lors du renouvellement automatique du mot de passe de l’ordinateur membre (qui a lieu par défaut tous les 30 jours). En raison des écarts de protocoles de sécurité appliqués par défaut sur Server 2025, si la machine initie son changement de mot de passe auprès du DC 2025, les autres DC plus anciens (2019/2022) de l’environnement mixte perdent la capacité de valider la clé chiffrée. Cela génère l’erreur critique : « La relation de confiance a échoué ». [1, 2, 3, 4]
4. Blocage de SAM RPC et chiffrement LDAP / SMB obligatoire
- Source Microsoft : What’s new in Windows Server 2025 (Section Advanced multilayer security).
- Ce que dit le document : Microsoft liste les méthodes RPC héritées qui sont désormais bloquées par défaut lorsqu’elles sont appelées à distance (notamment
SamrChangePasswordUser, utilisée historiquement par les anciens OS ou scripts tiers pour modifier les mots de passe). De la même manière, la signature SMB (SMB Signing) est désormais requise par défaut pour toutes les connexions sortantes, et non plus seulement pour SYSVOL/NETLOGON, empêchant les OS obsolètes incapables de s’y conformer de communiquer. [1]