Este 2015, Internetul a devenit răspândit, fiecare companie care se respectă are de mult timp propriul său site web. Nu trebuie să priviți departe - chiar și fiecare spital al orașului are propriile resurse web. Cu toate acestea, totuși, administratorii de sistem nu au învățat cum să creeze nume normale pentru domeniile lor.
Costul unui domeniu de nivel doi (de exemplu, bissquit.com) este de puțin peste 500 de ruble pe an. Acest lucru este foarte mic chiar și pentru cetățenii obișnuiți ca tine și mine și acest lucru este doar un ban pentru companii, cu atât mai mult. Mi-am dobândit domeniul cu mult înainte de apariția ideii de „tăiere” a acestui blozhik. Este doar convenabil. Ia chiar conexiune la distanță de rdp - introduc numele meu de domeniu, în loc de o adresă ip plictisitoare.
Pe Internet, pentru interogarea „cele mai bune practici în domeniul directorului activ”, aproape fiecare site conține recomandări cuprinzătoare privind denumirea domeniilor AD și explică de ce este necesar să faceți acest lucru. Să analizăm mai îndeaproape ce recomandări sunt în cauză:
- Utilizați un subdomeniu al domeniului înregistrat oficial al organizației dvs. pentru a denumi domeniul dvs. AD.
Ai înțeles bine, doar un sfat. Totul este! Puteți vorbi multe despre detalii și nuanțe mici, dar 80-90% din raționamente se rezumă la un singur sfat exprimat mai sus. Toate problemele provin din faptul că o persoană știe că acest lucru ar trebui făcut, dar nu înțelege de ce este imposibil sau extrem de descurajat să o faci diferit. De acum înainte, mai multe detalii.
1. De ce nu puteți folosi nume interne, nerezolvate extern, cum ar fi .local, .corp, .lan?
Poate sa. Cat mai mult posibil. Majoritatea le folosesc și ele. Am exemple printre prieteni care au peste 2000 de persoane în organizațiile lor și folosesc domeniul.local. Toate dificultățile vor începe dacă aveți nevoie brusc de un domeniu AD real. Acest lucru se poate întâmpla atunci când se utilizează implementări cloud hibride (un prim exemplu în acest sens este Exchange + Office365). "De ce nu redenumiți doar domeniul, deoarece este destul de posibil cu o anumită versiune de AD?" - tu intrebi. Da, în principiu, puteți, dar trebuie să vă confruntați cu dificultățile migrării serviciilor dependente de domeniu. Printre acestea se află același schimb și altele, dar aici un schimb este mai mult decât suficient.
2. „Ok, cumpărăm un nume extern real - my-company.com, vom denumi și domeniul AD” - de asemenea, nu este o opțiune. Veți avea probleme la rezolvarea altor resurse situate pe my-company.com, de exemplu, site-ul companiei. Și, în plus, serverele dvs. DNS nu vor fi autorizate pentru acest domeniu, deși se vor considera astfel. Acest lucru va cauza și probleme.
Există alte considerații pentru denumirea domeniilor, cum ar fi crearea unui domeniu similar cu cel real, dar într-un TLD diferit. Dar mi se pare că nu are prea mult rost să faci acest lucru, deoarece unele dintre probleme rămân în continuare și pur și simplu nu există avantaje evidente în comparație cu utilizarea domeniului corp.my-company.com (numele este luat ca exemplu ).
Pentru cei cărora le place să facă totul în felul lor, problemele cu certificatele vor fi, de asemenea, adăugate recent, deci nu are rost să folosească acum nume interne.
Întrebarea alegerii unui nume de domeniu se bazează tehnic pe linia în care scrieți numele atunci când creați un domeniu AD și nimic mai mult. Cu toate acestea, consecințele care vor implica alegerea greșită a numelui vă vor provoca multe probleme în viitor și, prin urmare, este foarte important să faceți totul eficient în etapa de planificare. Încă o dată, este o idee bună să citiți articole de administratori cu experiență
Bună ziua, dragi cititori și abonați, nu v-am mai spus despre domeniile Windows de mult timp, astăzi o voi remedia și vom analiza un subiect atât de fundamental, cum să denumiți corect un domeniu de director activ, deoarece acest lucru va avea ca rezultat cu atât funcționarea corectă și continuă a serviciilor dvs. vă reduceți numărul de probleme care ar putea apărea dacă numele serviciului de domeniu este incorect.
Erori de selectare nume Active Directory
Dacă ați citit blogul meu de mult timp sau tocmai v-ați alăturat, atunci vă voi reaminti despre articolul introductiv, Introducere în Active Directory, unde am încercat să vă spun ce este AD și cum funcționează și, cel mai important, ce componente este format din. Dacă citiți cu atenție, știți că Active Directory nu poate funcționa fără servere DNS.
- Sunt sigur că majoritatea dintre voi știți că numele DNS de pe Internet sunt construite conform unui anumit principiu, este format doar din numere, litere, puncte și liniuțe (aproximativ tipuri diferite Înregistrări DNS despre care nu vorbesc) .. com. Există un standard din documentul RFC 1123 privind denumirea domeniului, în care este scris în alb și negru că astfel de caractere speciale nu ar trebui să fie prezente în nume: semnul câinelui @, tilde ~, semnul numărului #, bară / și \\, subliniere, dacă, fără să știți, ca nume de domeniu, ați ales ceva care conține un subliniere, atunci de exemplu, veți avea mari probleme cu serverul de e-mail MS Exchange. Dacă nu ar exista standarde, ar exista haos.
- Ca nume locale pentru Active Directory, oamenii aleg adrese externe, sau mai degrabă nume de nivel secundar. Un exemplu simplu, să presupunem că am o întreprindere Pyatilistnik.inc și administratorul a decis să instaleze un controler Active Directory și să creeze o structură de domeniu, dar el a luat pyatilistnik ca nume local pentru aceasta .. Imaginați-vă ce haos va începe când oamenii vor ajunge la el din retea locala, va exista un conflict cu numele AD, va trebui să păstrați atât zona DNS externă, cât și zona DNS internă pentru a rezolva problema, ceea ce este incomod și va duce la erori. Mai jos vă voi spune cum să denumiți corect un domeniu de director activ.
- Numele zonelor care nu sunt incluse în registrul global înregistrat oficial ICANN. Exemplele sunt zonele .local sau de ex. Nn, deși sunt sigur că standardul le va atinge, deoarece este profitabil pentru această organizație să câștige bani din aer prin vânzarea de nume, domenii pe care nu le poți găsi acum, dar acest lucru nu este problema de astăzi. Nu este corect să folosiți aceste nume în Directorul Activer, deoarece acestea nu pot fi utilizate în afara biroului dvs., nu puteți emite un certificat ssl pentru un domeniu.
Deși, dacă faceți acest lucru într-un mediu de testare, atunci puteți
- Spațiu de nume disjunct\u003e există situații în care numele DNS al unui controler de domeniu sau computer nu se potrivește cu numele său NETBIOS, de exemplu, dacă controlerul meu avea un nume NETBIOS dc6 și un site de domeniu dc. Astfel de construcții sunt realizabile și pot fi la o fuziune de întreprinderi, dar cu un spațiu de nume disjunct poate exista un rake cu același MS Exchenge. Mai jos este un exemplu de potrivire a ambelor nume NETBIOS și DNS.
Cum se numește corect un domeniu de director activ
Am înțeles cum să facem acest lucru greșit și știm, acum vom face totul frumos, voi repeta imediat că, dacă aveți un mediu de testare, puteți apela AD după cum doriți, chiar și microsoft.com. Dar, serios, să ne întoarcem la compania noastră Pyatilistnik.inc. Pentru zona de domeniu Active Directory, aș alege o zonă de nivel trei, ad.site. Site-ul companiei ar fi atârnat pe un site logic. Datorită acestui fapt, nu ar exista probleme cu serverul MS Exchange. Dacă aveți mai multe ramuri, atunci vă sfătuiesc să folosiți o singură pădure, de exemplu Nijni Novgorod și Moscova, pentru Moscova aleg ad..ad.site. Sper că acum înțelegeți cum să apelați mai bine și mai corect domeniul Active Directory.
În cazuri rare, administratorul serviciilor de domeniu se poate confrunta cu sarcina de a redenumi domeniul curent. Motivele pot fi diferite, dar această situație este destul de posibilă. În ciuda faptului că această sarcină nu poate fi numită banală, dar uneori trebuie să o faceți, este extrem de important să faceți totul corect, deoarece altfel rezultatul evenimentelor poate fi extrem de periculos, până la o infrastructură corporativă complet inoperantă. Deci, mai târziu în acest articol, veți afla despre cerințele preliminare pentru efectuarea acestei operațiuni, câteva restricții și cum puteți redenumi domeniul. Înainte de a începe, nu efectuați acești pași într-un mediu de producție până când nu ați redenumit cu succes domeniul de testare într-un mediu de laborator. Să începem.
Condiții prealabile
Înainte de a începe redenumirea domeniului, asigurați-vă că luați în considerare următoarele informații:
- Nivel funcțional pădure Active Directory... Puteți efectua sarcini de redenumire a domeniilor numai dacă toate domeniile din pădure sunt echipate cu cel puțin Windows Server 2003 (în acest caz, nu există restricții de ediție). Mai mult, nivelul funcțional trebuie crescut cel puțin la nivelul Windows Server 2003. Adică, dacă ați selectat nivelul funcțional al Windows Server 2000 în pădure, atunci următoarea operație va deveni pur și simplu imposibilă;
- Locația domeniului... Pot exista diferite niveluri de domenii într-o pădure Active Directory. Adică, poate exista fie un domeniu separat, fie o pădure poate include domenii copil. În cazul în care modificați locația controlerului de domeniu în pădure, va trebui să creați o relație de încredere;
- Zona DNS... Înainte de a efectua operația de redenumire a domeniului, trebuie să creați o nouă zonă DNS;
- Acreditări administrative... Pentru a efectua operația de redenumire a domeniului, trebuie să vă conectați la sistem cu un cont administrativ membru al grupului Enterprise Admins;
- Serverele de sistem de fișiere distribuite (DFS)... Dacă mediul dvs. corporativ are DFS implementat sau profiluri de roaming configurate, vă rugăm să rețineți că serverele rădăcină DFS trebuie să ruleze cel puțin Windows Server 2000 cu Service Pack 3 sau sisteme de operare superioare;
- Incompatibilitate cu serverele Microsoft Exchange... Cel mai frustrant punct este că, dacă serverul de poștă Microsoft Exchange Server 2003 Service Pack 1 este implementat în pădurea dvs. Active Directory, redenumirea domeniului va fi efectuată fără probleme, dar contul de utilizator sub care va fi efectuat procesul de redenumire a domeniului ar trebui să fie un membru al grupului Administrator de schimb complet. Toate serverele de e-mail mai noi (inclusiv Exchange Server 2016) sunt incompatibile cu operațiile de redenumire a domeniului.
De asemenea, rețineți că trebuie să blocați toate configurațiile viitoare ale pădurilor Active Directory în timp ce domeniul este redenumit. Cu alte cuvinte, trebuie să vă asigurați că configurația pădurii nu se modifică până când operațiunea de redenumire a domeniului nu este completă (a se vedea mai jos pentru detalii despre cum să finalizați acest pas). Aceste operațiuni includ: crearea sau eliminarea domeniilor din pădurea dvs. Active Directory, crearea sau eliminarea partițiilor din directorul aplicației, adăugarea sau eliminarea controlerelor de domeniu din pădure, crearea sau eliminarea unei încrederi stabilite direct și adăugarea sau eliminarea atributelor care vor fi replicate la nivel global catalog.
Pentru orice eventualitate, aș sugera, de asemenea, să faceți o copie de rezervă completă a stării sistemului pe fiecare controler de domeniu din pădurea dvs. Active Directory. Dacă finalizați această sarcină, această precauție nu va fi cu siguranță inutilă.
În cazul în care infrastructura dvs. îndeplinește cerințele de mai sus și toate cerințele backup-uri, puteți începe procesul de redenumire a domeniului.
Proces de redenumire domeniu Active Directory
Mai întâi, pentru a verifica numele original al domeniului dvs., puteți deschide fereastra de proprietăți a sistemului. După cum puteți vedea în ilustrația însoțitoare, domeniul meu se numește „Biopharmaceutic.local”:
Figura: 1. Verificarea numelui de domeniu Active Directory original
Acum ar trebui să creați o nouă zonă DNS „biopharm.local”, astfel încât, după o redenumire reușită a domeniului, serverele și clienții dvs. membri să se alăture cu ușurință noului nume de domeniu. Pentru a face acest lucru, deschideți „ Manager DNS» ( Manager DNS) și a fi în " Zona de vizualizare live» ( Zona de căutare înainte) selectați opțiunea pentru a crea o zonă nouă. Practic, zona este creată ca de obicei: pe prima pagină a expertului pentru crearea unei zone noi, ar trebui să citiți informațiile introductive și să mergeți la a doua pagină. Pe pagina tipului de zonă, selectați zona principală ( Zona primară) și asigurați-vă că este activată opțiunea de salvare a zonei în Active Directory. În pagina Scopuri de replicare a zonei, lăsați opțiunea implicită - " Pentru toate serverele DNS care rulează pe controlere de domeniu în acest domeniu: Biopharmaceutic.local» ( Pentru toate serverele DNS care rulează pe controlere de domeniu în acest domeniu: Biopharmaceutic.local). Pe pagina cu numele zonei, specificați noul nume de domeniu (biopharm.local), iar pe pagina de actualizare dinamică lăsați și opțiunea „ Permiteți doar actualizări dinamice sigure (recomandat pentru Active Directory)» ( Permiteți doar actualizări dinamice sigure (recomandat pentru Active Directory)) care este selectat implicit. Mai jos puteți vedea mai multe etape ale creării unei zone noi:
Figura: 2. Creați o zonă DNS nouă
Următorul pas în redenumirea domeniului este de a genera o descriere a stării actuale a pădurii. De fapt, aceasta este prima operație de redenumire a domeniului în care va fi utilizat utilitarul linie de comanda Rendom... Acest utilitar va genera o descriere textuală a structurii dvs. actuale de pădure sub forma unui fișier XML numit Domainlist.xml. Acest fișier conține o listă cu toate partițiile din directorul de domeniu, precum și partițiile din directorul aplicațiilor care se află în pădurea dvs. Active Directory. Fiecare intrare pentru fiecare domeniu și partiție din directorul aplicației este delimitată de etichete XML
Pentru a crea un astfel de fișier, deschideți linia de comandă sub contul corespunzător și executați comanda „ aleatoriu / listă". Fișierul generat va fi salvat în directorul rădăcină cont utilizatorul dvs. Apoi, va trebui să deschideți acest fișier folosind orice editor de text.
În interiorul acestui fișier, trebuie să schimbați numele de domeniu din secțiune, care este delimitată de etichete
În următoarea ilustrație, veți vedea procesul de executare a comenzii de mai sus, locația fișierului Domainlist.xml și modificările pentru prima secțiune a acestui fișier. În cazul meu, numele domeniului din această configurare va fi schimbat de 4 ori:
Figura: 3. Generarea și modificarea fișierului Domainlist.xml
Pentru a vă asigura că ați făcut modificările necesare la fișierul corespunzător, puteți rula comanda „ rendom / showforest". După cum puteți vedea în următoarea ilustrație, toate intrările mele s-au schimbat în „Bopharm”:
Figura: 4. Vizualizați modificările potențiale
Când executați următoarea comandă ( rendom / upload) Utilitarul Rendom traduce noua structură de pădure specificată în fișierul editat într-o secvență de instrucțiuni de actualizare a directorului care vor rula local și la distanță pe fiecare controler de domeniu din pădure. În termeni generali, în acest moment, vor fi făcute modificări în secțiunea director de configurare din Expertul de denumire a domeniului pentru a redenumi domeniul Active Directory. În plus, un fișier Dclist.xml va fi creat și utilizat pentru a urmări progresul și starea fiecărui controler de domeniu din pădure pentru operația de redenumire a domeniului. Apropo, în acest moment, Rendom vă blochează pădurea Active Directory de la a efectua modificări de configurație. Procesul de executare a acestei comenzi este văzut mai jos:
Figura: 5. Executarea comenzii rendom / upload
Următoarea comandă este executată pentru a verifica disponibilitatea controlerelor de domeniu înainte de operația de redenumire a domeniului. În acest pas, trebuie să executați comanda de verificare pregătitoare fiecare controler de domeniu din pădure... Acest lucru este pentru a vă asigura că baza de date Active Directory de pe fiecare controler de domeniu din pădure este în starea corectă și gata să facă modificări care vă vor redenumi domeniul. Prin urmare, executați comanda „ rendom / pregăti„Așa cum se arată în următoarea ilustrație:
Figura: 6. Pregătirea domeniului pentru redenumire
Cel mai crucial moment. Executarea comenzii „ rendom / executa". Când rulați această comandă pe domeniu, sunt urmate instrucțiunile pentru redenumirea domeniului. În esență, în acest moment, fiecare controler de domeniu din pădure este accesat individual, forțând fiecare controler de domeniu să urmeze instrucțiunile de redenumire a domeniului. La finalizarea acestei operațiuni, fiecare controler de domeniu va fi repornit. Consultați următoarea ilustrație pentru procesul de redenumire a domeniului:
Figura: 7. Procesul de redenumire domeniu
Dar asta nu este tot. Chiar dacă domeniul dvs. a fost în esență deja redenumit, aveți în continuare sarcina de a repara obiectele. politica de grup și legăturile acestora după finalizarea operației de redenumire a domeniului. Utilizați utilitarul de linie de comandă pentru a restabili GPO-urile, precum și linkurile GPO din fiecare domeniu redenumit Gpfixup.exe... Această procedură nu poate fi neglijată din cauza faptului că, fără utilizarea sa, după finalizarea operațiunii de redenumire a unui domeniu într-o nouă pădure, politicile de grup pur și simplu nu vor funcționa corect. Vă rugăm să rețineți că această comandă trebuie executată o dată în fiecare domeniu redenumit. Prin urmare, executați comanda o dată gpfixup cu parametri /olddns:Biofarmaceutic.local (vechiul nume al domeniului pe care l-ați redenumit) și /newdns:Biopharm.local (nou nume de domeniu redenumit) și apoi comandă gpfixup cu parametri / oldnb: Biofarmaceutic și / newnb: Biopharm (respectiv, vechiul și noul nume NETBIOS al domeniului dvs.). Această procedură este vizibilă mai jos:
Figura: 8. Repararea obiectelor politicii de grup
Mai sunt doar două comenzi de executat: comanda „ rendom / curat", Care vă permite să eliminați toate referințele la vechile nume de domenii din Active Directory, precum și comanda" rendom / sfârșit„De fapt, dezghețarea pădurii Active Directory de la modificarea configurației sale. Puteți vedea procesul de executare a acestor comenzi în următoarea ilustrație:
Figura: 9. Finalizarea redenumirii domeniului Active Directory
Va trebui să le reporniți computerele de două ori pentru ca modificările să fie aplicate serverelor membre și clienților finali. Cu toate acestea, trebuie să redenumiți manual controlerele de domeniu. După cum puteți vedea în ilustrația următoare, numele controlerului meu de domeniu rămâne același.
Ce este un controler de domeniu
Controlerul de domeniu asigură o gestionare centralizată dispozitive de rețea, adică domenii. Controlerul stochează toate informațiile din conturi și parametrii utilizatorilor de rețea. Aceștia sunt parametri de securitate, politica locală și multe altele. Este un fel de server care controlează complet o anumită rețea sau grup de rețea. Un controler de domeniu este un fel de set de software special care lansează diverse servicii Active Directory. Controlerele rulează anumite sisteme de operare, cum ar fi Server Windows 2003. Expertul de instalare a unității active vă permite să creați controlere de domeniu.
ÎN sistem de operare Windows NT utilizează controlerul de domeniu principal ca server principal. Celelalte servere utilizate sunt utilizate ca controlere de rezervă. Controlerele PDC de bază pot rezolva diverse sarcini legate de apartenența la grupul de utilizatori, crearea și schimbarea parolelor, adăugarea de utilizatori și multe altele. Datele sunt apoi transferate către controlere BDC suplimentare.
Poate fi folosit ca controler de domeniu software Samba 4 dacă este instalat un sistem de operare Unix. Acest software acceptă și alte sisteme de operare, cum ar fi Windows 2003, 2008, 2003 R2 și 2008 R2. Fiecare dintre sistemele de operare poate fi extins, dacă este necesar, în funcție de cerințe și parametri specifici.
Utilizarea controlerelor de domeniu
Controlerele de domeniu sunt utilizate de multe organizații în care sunt amplasate computere care sunt conectate între ele și la rețea. Controlerele stochează datele din director și controlează intrarea și ieșirea utilizatorilor în sistem, precum și gestionează interacțiunea dintre ei.
Organizațiile care utilizează un controler de domeniu trebuie să decidă câte să utilizeze, să planifice arhivarea datelor, securitatea fizică, actualizările serverului și alte sarcini necesare.
Dacă compania sau organizația este mică și se utilizează o singură rețea de domeniu în ea, atunci este suficient să utilizați două controlere, care sunt capabile să asigure o stabilitate ridicată, toleranță la erori și un nivel ridicat de disponibilitate a rețelei. În rețelele care sunt împărțite într-un anumit număr de site-uri, pe fiecare dintre ele este instalat un controler, ceea ce face posibilă obținerea performanței și fiabilității necesare. Prin utilizarea controlerelor la fiecare site, este posibil să simplificați semnificativ logarea utilizatorului și să o faceți mai rapidă.
Traficul de rețea poate fi optimizat, pentru a face acest lucru, trebuie să setați ora de actualizare a replicării, atunci când încărcarea în rețea va fi minimă. Configurarea replicării vă va simplifica foarte mult munca și o va face mai productivă.
Puteți obține performanțe maxime în funcționarea controlerului dacă domeniul este un catalog global, care vă va permite să interogați orice obiecte cu o anumită greutate. Cu toate acestea, este important să ne amintim că activarea catalogului global implică o creștere semnificativă a traficului de replicare.
Cel mai bine este să nu activați controlerul de domeniu master dacă este utilizat mai mult de un controler de domeniu. Atunci când utilizați un controler de domeniu, este foarte important să aveți grijă de securitate, deoarece acesta devine suficient de accesibil pentru atacatorii care doresc să preia datele necesare pentru a înșela.
Considerații pentru instalarea controlerelor de domeniu suplimentare
Pentru a obține o fiabilitate mai mare în funcționarea serviciilor de rețea necesare, este necesar să instalați controlere de domeniu suplimentare. Drept urmare, se pot realiza stabilitate, fiabilitate și siguranță operațională semnificativ mai mari. În acest caz, performanța rețelei va deveni mult mai mare, ceea ce este un parametru foarte important pentru organizațiile care utilizează un controler de domeniu.
Pentru ca controlerul de domeniu să funcționeze corect, sunt necesare unele lucrări pregătitoare. Primul lucru de făcut este să verificați parametrii TCP / IP, aceștia trebuie să fie setați corect pentru server. Cel mai important lucru este să verificați numele DNS pentru potriviri.
Pentru muncă sigură controlerul de domeniu trebuie să utilizeze sistemul de fișiere NTFS, care oferă o securitate mai mare decât sistemele de fișiere FAT 32. Pentru instalarea pe server, trebuie să creați o partiție în sistemul de fișiere NTFS pe care se va afla volumul sistemului. De asemenea, aveți nevoie de acces la Server DNS de pe server. DNS este instalat pe acest server sau pe un server suplimentar care trebuie să accepte înregistrările resurselor.
Pentru a configura corect controlerul de domeniu, puteți utiliza Expertul de configurare, cu care puteți adăuga executarea anumitor roluri. Pentru a face acest lucru, va trebui să accesați secțiunea de administrare prin panoul de control. Trebuie să specificați un controler de domeniu ca rol de server.
Controlorul de domeniu de astăzi este indispensabil pentru rețelele și site-urile utilizate de diferite organizații, instituții și companii din toate domeniile activității umane. Datorită lui, se asigură o productivitate și o siguranță ridicate, ceea ce în retele de calculatoare are o importanță deosebită. Rolul unui controler de domeniu este foarte important deoarece vă permite să gestionați domeniile de domeniu construite pe rețele de calculatoare. Fiecare sistem de operare are anumite nuanțe asociate cu funcționarea controlerelor de domeniu, dar principiul și scopul său sunt aceleași peste tot, astfel încât înțelegerea setărilor nu este atât de dificilă pe cât ar putea părea chiar la început. Cu toate acestea, este foarte important ca controlorii de domeniu să fie reglați de experți pentru a obține în cele din urmă performanțe ridicate și securitate în timpul funcționării.
