Быстрое рыазвертывание отказоустойчивой инфраструктуры AD DS, DNS и DHCP

В этой статье я расскажу о том, как быстро «поднять» новую инфраструктуру Active Directory, DNS и DHCP без грубых ошибок и единственной точки отказа.

Разумеется я рекомендую пройти соответствующее обучение (как минимум курс 70-410) и в полной мере понимать теорию перед переходом к практике.

Но если все горит и делать нужно, а обучение отложено, то данный материал вполне сгодится. Также материал подойдет для создания лабораторных условий, которые пригодятся в процессе обучения.

Начнем с того, что на сервера установим Windows Server 2012 R2 с ролью Hyper-V, а ОС с которыми будем работать будут в виртуальных машинах .

Следует отметить, что виртуализировать контролеры домена можно было и до выхода Windows Server 2012, но были проблемы со временем и USN Rollback в случае использования снепшотов или клонирования виртуальной машины с ролью контролера домена.

Установим сервер D-DC1, откроем Server Manager, настроим сеть (ip 192.168.27.2/24), укажем имя и запустим счетчики производительности;

Затем установим роль DNS, включим автоочистку:

001

Запустим BPA, убедимся что проблем у нас не обнаружено и перейдем к настройке AD DS: добавим роль, создадим новый лес и домен (demo.mars.in.ua — IANA необходимо для того, чтобы наши коммерческие сертификаты работали правильно).

Подробнее о лесах, доменах и FSMO мастерах читайте в моей статье «Active Directory FSMO роли: описание и миграция»

Конфигурирование делегации DNS на данном этапе не выполняется, т.к. никакой DNS инфраструктуры еще не существует.

Создадим зону обратного просмотра:

010

Нам выдадут предупреждение о том, что по-умолчанию включена опция «Allow cryptography algorithms compatible windows NT 4.0». Т.к. в нашей сети нету маашин NT 4, можем выключить это дело (описание есть как в настройках, так и в интернете):

002

Т.к. наш новый сервер являеться PDC эмулятором укажем его в качестве источника NTP, как это сделать читайте в моей статье «Настройка NTP в домене»

Для начала посмотрим какие OU не защищены от удаления:

Get-ADOrganizationalUnit -filter * -Properties ProtectedFromAccidentalDeletion | where {$_.ProtectedFromAccidentalDeletion -eq $false}

Затем включим эту защиту:

Get-ADOrganizationalUnit -filter * -Properties ProtectedFromAccidentalDeletion | where {$_.ProtectedFromAccidentalDeletion -eq $false} | Set-ADOrganizationalUnit -ProtectedFromAccidentalDeletion $true

Также нелишним будет сделать резервную копию на внешний диск, для этого подключим диск, установим фичу Windows Server Backup и создадим такую копию:

wbadmin start systemstatebackup -backuptarget:D:

004

Что ж, один контроллер домена хорошо, но два лучше. Так что установим виртуальную машину d-DC2, введем в домен и сделаем ее вторичным КД:

005

Затем настроим DNS на сетевых интерфейсах обоих КД таким образом, чтобы в качестве основного был указан «сосед», а в качестве вторичного «сам».

Убедимся что репликация на d-DC2 прошла успешно:

repadmin /showrepl d-dc2

006

Установим DHCP на d-DC1, создадим новый пул адресов, активируем его, затем укажем учетные данные для обновления DNS записей:

007

Теперь установим роль DHCP на d-DC2, выберем Configure Failover для IPv4, распределим нагрузку 70/30, и получим такой результат:

009

Теперь может еще раз запустить BPA и убедится что к ролям AD DS, DNS и DHCP на обоих серверах он претензий не имеет, что и будет являться знаком того, что пора переходить к развертыванию AD CS.

Pin It

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Этот сайт использует Akismet для борьбы со спамом. Узнайте как обрабатываются ваши данные комментариев.