Active Directory - szybki start - DHCP

Active Directory - szybki start - DHCP

Wstęp

Po działaniach z poprzednich części mamy już sprawnie działający serwer z rolą AD oraz poprawnie działający serwer DNS, a do szczęścia przydałby się łatwo zarządzalny serwer DHCP (Dynamic Host Configuration Protocol). Umożliwi on nam automatyczną konfigurację wszystkiego, co potrzebujemy do naszych dalszych prac. Co prawda nie jest on wymagany, natomiast bardzo często wykorzystywana jest ta usługa na serwerach Windows Server, więc i tutaj poruszymy ten temat.

Dlaczego DHCP na Windows Server?

1. łatwość konfiguracji

2. zaawansowana funkcjonalność

3. możliwość pracy w klastrze (możemy mieć wiele serwerów DHCP nawet w pojedyńczej sieci)

Ok! Zaczynamy! Aby rozpocząć poprawne wdrożenie tej usługi musimy spełnić warunek:

nasz serwer musi być poprawnie zaadresowany statycznie (ręcznie)

Instalacja roli DHCP

Zaczynamy tak jak zwykle w Server Manager i wybieramy "Add Roles and features"

Next...

Zaznaczamy "DHCP Server" w sekcji "Server Roles", potwierdzamy instalację dodatkowych konsolek do zarządzania i klepiemy "next" oraz na koniec "Install". 

Po instalacji usługi mamy ostrzeżenie we fladze Server Manager-a. Po rozwinięciu flagi mamy możliwość przeprowadzenia pierwszej konfiguracji serwera DHCP... Czyżby tak łatwo i prosto poszło? Tak! Sama usługa jest prosta i bardzo funkcjonalna, dlatego jedziemy z konfiguracją...

klikamy "Complete DHCP configuration" i pojawia się nam kreator konfiguracji.

Mamy w nim kilka informacji na pierwszej stronie. 

Pierwsza informacja - kreator założy nam dwie grupy użytkowników i wydeleguje uprawnienia dla tych grup. O co tu chodzi? A o to, że nie koniecznie tylko użytkownik Administrator będzie mógł zarządzać tym serwerem DHCP. Jak to? Tak naprawdę wszyscy użytkownicy, którzy będą w grupie "DHCP Administrators" będą mieli pełne uprawnienia do zarządzania serwerem DHCP, natomiast druga grupa "DHCP Users" to grupa z wydelegowanymi uprawnieniami do podglądu, co tam w tej usłudze się dzieje bez możliwości zmian. Na tym etapie nie przejmujemy sie tymi grupami. Narazie działamy tylko na użytkowniku Administrator w domenie ORGANIZACJA.PL, więc te grupy nie będą nam potrzebne (potem jednak z nich skorzystamy).

Dodatkowo mamy informację, że kreator autoryzuje nam serwer DHCP. Co to oznacza? Jeżeli mamy środowisko AD, to żaden inny serwer DHCP nie będzie mógł być uruchomiony bez autoryzacji. Po co to? Gdyby nam jakiś kolega z IT zainstalował obok inny serwer DHCP, to tamten bez naszej autoryzacji nie będzie mógł być uruchomiony (w praktyce jeżeli będzie to serwer DHCP inny, niż Windows Server to i tak zadziała a my będziemy mieli problemy z naszym - ale o tym później).

ok jedziemy z "next"...

Kreator pyta, kto będzie autoryzował serwer DHCP. Zatwierdzamy jak jest... commit... i Close.

To wszystko? W zasadzie tak, ale ten nasz serwer DHCP jeszcze nie działa, bo nie wie co ma robić. 

Konfiguracja serwera DHCP

W Server Manager uruchamiamy konsolkę DHCP (Tools -> DHCP)... i mamy konsolę:

Rozwijamy sobie wszystkie gałęzie i oglądamy co jest...

Na tym etapie należy przystopować z dalszymi pracami i zweryfikować, czy mamy inny serwer DHCP pracujący w sieci. Jeżeli tak, należy wyłączyć usługę DHCP Server najczęściej na routerze, który obsługuje naszą sieć. Jeżeli tego teraz nie zrobimy, będziemy mieli same problemy z działaniem tej usługi. Jeśli nie mamy klastrowania tej usługi na Windows Server (a teraz nie mamy), to bezwzględnie dbamy o to, żeby żaden inny serwer DHCP nie pracował w sieci lokalnej. 

Tworzenie nowego zakresu

Aby nam serwer DHCP poprawnie rozdawał adresy musimy mu zrobić zakres adresów, jakie ma rozdawać. Robimy to w gałęzi IPv4. Klikamy prawym na gałąź i wybieramy "New Scope". W kreatorze klikamy "next"... wprowadzamy nazwę zakresu oraz opis. Najlepiej podać nazwę i opis, żeby coś oznaczały. Podaję podstawowy_zakres jako nazwę. 

W następnym kroku podajemy zakres adresów, które ma przydzielać ten serwer DHCP na podstawie nowo tworzonego zakresu. Wiem masło maślane, ale zaraz zobaczymy o co tu chodzi...

klepiemy "next"...

W następnym oknie kreator pyta o zakres wykluczeń. O co chodzi? 

Zakładamy, że mamy zakres adresów 10.18.0.20 - 100. Możemy zrobić sobie dziurę w zakresie np. od 10.18.0.80 do 90. W jakim celu? Możemy np. mieć tam statycznie zaadresowane drukarki albo inne serwery... Zależy od naszej organizacji adresów IP. Nie jest to nam teraz potrzebne, ale żeby zobaczyć jak to zrobić, zróbmy taką dziurę w zakresie.

Jak widać możemy dodać sobie więcej takich dziur. To co teraz uzyskaliśmy? Serwer będzie rozdawał adresy z zakresu 10.18.0.20 - 100 z wyłączeniem 10.18.0.80 - 10.18.0.90. 

Ok jedziemy dalej... "next"...

Mamy kolejne niezrozumiałe okno. Możemy klepnąć dalej, ale warto się zastanowić o co tu chodzi. 

W tym oknie mamy możliwość ustawienia czasu dzierżawy. Chodzi o to, że każde urządzenie może zająć adres IP tylko na jakiś konkretny czas. To znaczy, że serwer w trakcie trwania dzierżawy napewno nie przydzieli tego samego adresu innemu komputerowi. Dla sieci kablowych 8 dni będzie dobrym czasem. Ale dla sieci WiFi szczególnie gościnnych warto ten czas znacznie skrócić, żeby urządzenia, które pobrały adres nie wisiały nam w dzierżawach i nie zajmowały adresu mimo, iż takie urządzenie już jest nieaktywne od dłuższego czasu. W tej sposób możemy zmniejszyć znacznie ilość zajmowanych adresów. Dla naszych testów zostawiamy domyślnie i klepiemy dalej.

W następnym oknie kreator pyta, czy chcemy dodać jakieś opcje do zakresu. Oczywiście potwierdzamy, że tak i klepiemy "next"...

Pierwsza opcja, o którą pyta kreator. Może teraz mała pauza, to słowo o tych całych opcjach. Opcje DHCP to temat rzeka, ale najpopularniejsze to: maska podsieci, serwer dns, brama domyślna, serwer ntp. O co tu chodzi tak właściwie? Chodzi o to, że jak komputer pyta o adres IP, to w odpowiedzi dostaje oprócz adresu inne dodatkowe informacje np. takie jak przed chwilą wymienione. Aby takie informacje dało się w jakiś ustandaryzowany sposób przesłać ustalono, że każda informacja będzie miała swój numer. Aby tych opcji i ich numerów tutaj nie wymieniać, to odsyłam Was do takiego linku:

http://www.iana.org/assignments/bootp-dhcp-parameters/bootp-dhcp-parameters.xhtml

Jak już skończymy przeglądać możliwe do przekazania opcje dodatkowo powiem, iż jest możliwość, że komputer, który pyta o adres IP również przesyła informacje w opcjach - może przesłać swoją nazwę lub jeszcze inne informacje, na podstawie których można mu przydzielić konkretny adres lub z konkretnego zakresu adresów. Możliwości jest wiele. Ustalmy zatem adres naszej bramy domyślnej. U mnie będzie to 10.18.0.1, możemy zdefiniować kilka bram jeżeli chcemy.

po ustaleniu bramy klepiemy "next"....

Powyżej widzimy pytanie o domenę jaką mamy oraz serwery DNS. Jeżeli mielibyśmy więcej serwerów DNS to warto byłoby je tutaj dodać. Mielibyśmy wtedy zapasowy serwer DNS i uchroniłoby nas od awarii, gdyby nasz serwer odmówił posłuszeństwa. Pewnie nasuwa się pytanie, czy warto dodać serwer naszego dostawcy. Tutaj zdania są podzielone, ale w mojej ocenie nie, gdyż czasami zapytania, które powinny trafić do naszego serwera zostaną obsłużone przez serwer dostawcy, co może spowodować jakieś nieoczekiwane historie. Pewność nam przyniesie jedynie obsługa rozwiązywania nazw przez nasze serwery. Więc w tym kroku kreatora zostawiamy jak jest. Jedziemy dalej... W kolejnym kroku pada pytanie o serwery NETBIOS, takich nie mamy więc "next"... 

Kolejne pytanie: czy chcemy aktywować zakres? Oczywiście wybieramy, że tak... "next"... i "finish" 

No i mamy jakąś niebieską kulkę z wykrzyknikiem w środku przy naszym nowym zakresie.

Taki znaczek mówi, że mamy jakieś ostrzeżenie i ogólnie coś jest nie tak z tym zakresem. Akurat w naszym przypadku zakres, który utworzyliśmy wymaga restartu serwera DHCP. Aby to zrobić zaznaczamy nasz serwer i pod prawym przyciskiem myszy mamy opcję "Restart".

Po restarcie usługi wszystko powinno być jak na obrazku poniżej.

Jeżeli mamy fajkę w zielonym kółku przy danym zakresie oznacza to, że jest on aktywny i pracuje poprawnie. W "Address Leases" po pewnym czasie powinniśmy widzieć dzierżawy adresów IP przydzielonych przez nasz serwer. W drzewku widać wszystko co wyklikaliśmy w kreatorze. W "Reservations" możemy tworzyć rezerwacje dla adresów IP pod konkretne adresy MAC. Na tym etapie nie będziemy się na tym skupiać.

Podsumowanie

Udało nam się uruchomić usługi takie jak DNS oraz DHCP - podstawowe dla poprawnego funkcjonowania sieci firmowej. Usługi te działają na Windows Server - są łatwe w zarządzaniu oraz udostępniają zaawansowane funkcjonalności. Na razie to tyle. Następne części przed nami także zapraszam.

Active Directory - szybki start - pierwsze pułapki

Active Directory - szybki start - pierwsze pułapki

Wstęp

Po części pierwszej mogą nas spotkać różne pułapki zależnie od środowiska sieciowego, w którym instalujemy nasz kontroler domeny. Aby uniknąć pierwszych najczęstszych kłopotów teraz zasymulujemy sobie kilka z nich, a mam nadzieję wszystkie rozwiążemy poprzez dokładne ich zrozumienie. 

Pierwszy problem - długie logowania na serwerze na konto administratora oraz dziwne problemy z usługami w Server Manager. 

Problem drugi - brak możliwości dołączenia komputerów do naszej nowej domeny - co prawda jeszcze o tym nie pisałem, ale jeżeli ktoś doczytał gdzieś jak to zrobić, ale ktoś mógł próbować i może to jeszcze nie działać poprawnie. 

Problem trzeci - pomimo docelowej konfiguracji pierwsze otwarcia stron www trwają dłużej niż zwykle. Problem przeważnie występuje w niekompletnej konfiguracji DNS.

Ogólnie wszystkie problemy dotyczą jednej usługi - DNS. DNS służy w wielkim skrócie do tego, żeby tłumaczyć adresy typu it-touch.blogspot.com na adresy IP i odwrotnie. Nasza domena organizacja.pl również korzysta z DNS, który w środowiskach AD jest krytyczną usługą i jej niepoprawna konfiguracja może przysporzyć wielu problemów. Podczas naszej instalacji w części pierwszej serwer DNS został zainstalowany i skonfigurowany automatycznie, a więc w czym problem?

Najczęstszy problem - komputery (w tym nasz nowy serwer) nie wiedzą, że mają korzystać z nowego serwera DNS. Jak to naprawić? Poniżej najbardziej typowy schemat najprostszej sieci w firmie:

Identyfikacja problemu oraz statyczna adresacja

Co to DHCP? Dynamic Host Configuration Protocol. Jest to usługa automatycznie rozdająca adresy IP urządzeniom w naszej sieci.

Tak jak widać na obrazku wyżej, problemem jest ten nasz routerek, który przydziela adresy IP za pomocą usługi DHCP. Mianowicie, przesyła on informację o serwerze DNS, z którego mają korzystać komputery w sieci, którą on obsługuje. Aby to poprawić mamy conajmniej kilka wyjść. Po pierwsze dobrze jest ustawić we wszystkich serwerach będących kontrolerami domeny poprawny adres IP statycznie. Pozwala to na poprawną pracę sieci firmowej podczas awarii routera. Pomimo braku internetu wszystko działa poprawnie. Każdy musi dobrać adresację zależnie od istniejącej w firmie. Ustawiamy zatem poprawną konfigurację sieci statycznie, u mnie będzie to:

Adres IP: 10.18.0.10

Maska podsieci: 255.255.255.0

Brama domyślna: 10.18.0.1

serwery DNS

pierwszy: 127.0.0.1

drugi: pusty

Dlaczego tak? Adres 127.0.0.1 jest to adres loopback wskazujący zawsze na siebie. Nasz serwer będzie korzystał z samego siebie jako serwera DNS. Sprawdźmy, czy po poprawnej konfiguracji sieci.

Jak widzimy wszystko działa prawidłowo. Serwer był w stanie rozwiązać domenę google.pl na adres IP. Ale zaraz?? Skąd nasz serwer DNS zainstalowany na naszym serwerze wie, że adres google.pl ma taki a nie inny adres IP? O tym później, trochę cierpliwości...;)

Optymalizacja serwera DNS

Co dalej? Mamy już poprawnie zaadresowany serwer wraz z serwerem DNS. Co z innymi komputerami? Mamy kilka dróg: otóż możemy ręcznie każdemu komputerowi w ustawieniach sieciowych wskazać nasz nowy serwer DNS (u mnie 10.18.0.10) lub możemy to zrobić trochę bardziej automatycznie poprzez zmianę serwera DNS w naszym routerze. Niestety nie pokażę tego w tym miejscu, ponieważ każdy router ma inny interfejs użytkownika i na każdym wygląda to trochę inaczej. Mamy jeszcze trzecią opcję. Moim zdaniem najlepszą. Instalacja usługi DHCP na naszym serwerze. 

Można tak?

Pewnie, że tak...

Ale to w następnej części. Teraz jeszcze popracujmy nad serwerem DNS, żeby działał trochę lepiej. Co prawda odpowiada on na wszystkie zapytania o adresy IP, ale nie jest to zbyt szybkie. Dlaczego tak? 

Działanie serwera DNS w domyślnej konfiguracji polega na tym, że pytając o domenę a.b.c.d.e.f.pl nasz serwer szuka najpierw serwera obsługującego domenę .pl i korzysta przy tym z głównych serwerów DNS najwyższego poziomu, których jest mało i są bardzo obciążone. Serwery te zwracają odpowiedź, który serwer obsługuje domenę f.pl. Następnie nasz serwer odpytuje f.pl i pyta o e.f.pl. Ten z kolei zwraca mu adres serwera, który obsługuje domenę e.f.pl i następnie łączy się z nim i odpytuje go o domenę d.e.f.pl i tak dalej... aż uzyskamy adres IP domeny a.b.c.d.e.f.pl...

Dlatego nasz serwer nie działa tak szybko. Oczywiście wszelkie zapytania i odpowiedzi są zapamiętywane przez nasz serwer i następne zapytanie o ten sam adres zadziała już o wiele szybciej. 

A czy nie da się ustawić tak, aby ten nasz serwer DNS pytał nie główne serwery DNS tylko serwer naszego dostawcy internetowego, który ma już zapamiętane wszystkie najpopularniejsze adresy i działa dla naszych potrzeb bardzo szybko? Dodatkowo nasz serwer będzie również pamiętał wszystkie zapytania i odpowiedzi, co powinno dać rezultat jeszcze szybszego przeglądania stron w Internecie.

Odpowiedź, da się! To super! Jak to zrobić? 

Server Manager!

To jedziemy...

Uruchamiamy konsolę do zarządzania serwerem DNS. Czyli Menu Tools -> DNS

Przechodzimy do właściwości naszego serwera DNS klikając na nim prawym klawiszem myszy i wybierając "właściwości (properties)".

z ciekawości zaglądamy na zakładkę root hints

Widać w niej główne serwery DNS, które obsługują światowy Internet. Bez nich Internet, jaki znamy przestałby istnieć. A więc jest dobrym pomysłem zostawienie ich w spokoju i nie korzystanie z nich. Dodam, że Microsoft aktualizuje nam tą listę wraz z aktualizacjami automatycznymi. Możemy też ją sami aktualizować. Do naszych potrzeb jednak o wiele lepiej się sprawdzi DNS operatora. Ustawmy go w zakładce "Serwery Pośredniczące (Forwarders)". Klikamy edycję i wpisujemy adres DNS naszego dostawcy lub publiczny adres DNS (ja korzystam z google więc wpisuję 8.8.8.8 - jest to bardzo popularny szybki DNS więc polecam). Efekt powinien być taki jak poniżej.

Zatwierdzamy wszystko i cieszymy się szybkimi odpowiedziami naszego serwera DNS. 

Podsumowanie

Poprawiliśmy działanie naszego serwera DNS. Możemy konfigurować ręcznie adres serwera DNS na naszych pozostałych komputerach, tak aby korzystały z naszego nowego serwera DNS. Możemy również wykorzystać ustawienia serwera DHCP na naszym routerze i tam wskazać nasz nowy serwer DNS. Wszystko powinno działać poprawnie na tym etapie. Dla ułatwienia sobie prac administracyjnych w następnej części zainstalujemy własny serwer DHCP. Zapraszam.

Active Directory - szybki start - wprowadzenie oraz instalacja

Active Directory - szybki start

Wstęp

Zaczynamy z grubej rury. Przed nami szybki start serii, w której przećwiczymy instalację oraz konfigurację środowiska dla firmy. W pierwszych założeniach przyjmiemy, że będzie to mała firma mająca około 30-50 użytkowników, jednak w miarę postępów serii będziemy rozszerzać wymagania. Wykorzystywać będziemy narzędzia udostępnione na TechNet. 

Ok! zaczynamy!

Na początek wstęp dla tych, którzy nie są zaznajomieni z tematem Active Directory.

Usługa Active Directory jest narzędziem pozwalającym na zarządzanie praktycznie wszystkimi aspektami obsługi systemów IT w organizacji. Jest to w uproszczeniu baza danych, w której są obiekty oraz powiązania pomiędzy obiektami. Obiekty oraz powiązania mają swoje właściwości. Poniżej drobna wizualizacja dla łatwiejszego zrozumienia.

Tak jak widać powyżej mamy 3 obiekty (2x użytkownik 1x grupa) oraz 2 powiązania (strzałki). Każdy rodzaj obiektu ma swój zestaw atrybutów (rodzaj obiektu to inaczej klasa obiektu). Użytkownik ma atrybuty takie jak: imię, nazwisko, login, hasło, e-mail itp. W miarę poznawania Active Directory poznamy więcej atrybutów i będziemy z nich korzystać w miarę naszych potrzeb. Poznamy również różne typy obiektów.

Jaka z tego korzyść i co nam po tym?

Dla przykładu przyjmijmy, że mamy udostępniony udział sieciowy. Niech to będzie powiedzmy "Dokumenty" na naszym nowym serwerze. Zakładamy, że mamy listę użytkowników, którzy mają mieć dostęp do tego udziału. Możemy w ustawieniach udostępniania folderu dodać użytkowników i dodać im uprawnienia. Możemy podejść do problemu inaczej i dodać uprawnienia do udziału na grupę użytkowników, którzy mają mieć dostęp do tego udziału, następnie dodać użytkowników do grupy. Dla ułatwienia pracy użytkownikom możemy zamapować ten udział jako dysk. Można takie mapowanie ustawić również w Active Directory (w późniejszym etapie), ale znowu musielibyśmy ustawiać takie mapowanie dla każdego z użytkowników - zamiast tak robić ustawiamy mapowanie dysków dla grupy.
Teraz wyobraźmy sobie sytuację, że mamy dodać uprawnienia kolejnemu użytkownikowi oraz zamapować mu dysk z tym działem. Wystarczy, że dodamy go do grupy, na którą zrobiliśmy ustawienia.
W późniejszych przykładach pokażemy jak to się robi, aby łatwiej było zrozumieć.

Ok! Przejdźmy do pracy!

Pobieramy system operacyjny Windows Server 2012 R2 z TechNet (wymagana prosta rejestracja):
http://www.microsoft.com/pl-pl/server-cloud/products/windows-server-2012-r2/try.aspx

Po pobraniu systemu instalujemy go z wypalonej płyty albo w maszynie wirtualnej. Mamy 180 dni na testy od czasu instalacji systemu! 

Instalacja

W zasadzie instalacja Windows Server 2012 R2 nie różni się niczym od instalacji systemów klienckich Windows 7 lub nowszych, więc pominę szczegółowy opis. Zwrócę jedynie uwagę na kilka kroków podczas instalacji.

Mamy możliwość instalacji systemu serwerowego z możliwością wyboru, czy środowisko graficzne ma być zainstalowane czy też nie. Powinno się instalować systemy serwerowe bez środowiska graficznego i zarządzać nimi za pomocą narzędzi zdalnych. Jednak w praktyce nikogo nie znam, kto by tak robił, więc i my instalujemy środowisko graficzne. 

Polecam również ustawić hasło użytkownika Administrator na P@ssw0rd

takie "skomplikowane" hasło uprości nam instalację AD.

Po instalacji i pierwszym logowaniu powinien przywitać nas Server Manager. O tej aplikacji można napisać książki i nie wyczerpać tematu, ponieważ bazuje on na skryptach PowerShell dodawanych do systemu wraz z instalacją kolejnych usług, których pewnie z czasem będzie coraz więcej. W tym oknie pewnie będziemy wykonywać większość operacji związanych z instalacjami oraz konfiguracją. 

Na tym etapie możemy jasno powiedzieć, że instalacja za nami.

Jedziemy z instalacją Active Directory Directory Services

Do instalacji tej usługi wykorzystamy Server Manager. Całość zamyka się w roli. Poniżej kolejne kroki:

1. klikamy "Add roles and features"

2. na pierwszej stronie kreatora klikamy "next"
3. na kolejnej wybieramy role-based or "feature-based installation" i "next" ;)

4. wybieramy serwer (mamy tylko jeden) i "next"
5. zaznaczamy "Active Directory Domain Services"
6. dostaniemy monit z prośbą o potwierdzenie, czy doinstalować dodatkowe składniki, które są wymagane przez rolę, zatwierdzamy... i klikamy "next"

7. następnie możemy doinstalować dodatkowe wybrane przez nas składniki (nie zaznaczamy nic tylko klepiemy "next") ...

8. klepiemy "next" aż będzie na końcu "install", który też naciskamy...

W tym momencie instaluje nam się usługa. Pozwolę sobie wprowadzić nieco teorii...

Podstawy Active Directory

Po instalacji usługi musimy wstępnie skonfigurować usługę, aby zrozumieć wszystkie elementy kolejnego kreatora. Przedstawię tutaj trochę podstawowych informacji:

1. usługa AD opiera się w całości o DNS (Domain Name Services) - dzięki DNS inne maszyny wiedzą gdzie jest usługa

2. serwer, na którym zainstalujemy usługę będzie się nazywał kontrolerem domeny

3. nasze usługi muszą działać pod jakąś nazwą domenową (w ten sposób możemy rozróżnić usługi AD nazywane często katalogowymi)

na razie tyle...

przechodzimy do...

Konfiguracja Active Directory - pierwsza domena

Po instalacji usługi w pierwszej kolejności powinniśmy ustawić dobrą nazwę naszego serwera, gdyż potem zmiana nazwy będzie bardzo uciążliwa, więc zróbmy to teraz.

Odpalamy okno zmiany nazwy (sysdm.cpl), klikamy change i ustawiamy (najlepiej tak, jak na screenie poniżej).

Po zmianie nazwy oczywiście restartujemy serwer. Po restarcie logujemy się ponownie i...

Server Manager wita nas komunikatem, że możemy ten serwer wypromować do roli kontrolera domeny (możemy, bo wcześniej rolę zainstalowaliśmy:) ).

No to jedziemy z koksem...

Pierwsze pytanie: czy instalujemy nowy kontroler w istniejącej domenie, czy w nowej domenie w istniejącym lesie, czy może nowy las chcemy zainstalować?? Co teraz?

Już tłumaczę. Las jest workiem na domeny i musi istnieć zawsze. Domena jest zawsze w lesie być może obok innych domen, dodatkowo dopowiem, że może istnieć wiele lasów. Więc co robimy? Do tej pory nie mamy nic, dlatego musimy utworzyć las... Klikamy "Add a new forest" i podajemy "root domain name".

Proponuję wpisać: organizacja.pl - o takiej nazwie będzie nasza nowa domena. Jako, że poprosiliśmy o utworzenie lasu, to pusty las nam się utworzy o takiej samej nazwie a następnie domena o również takiej nazwie. Po instalacji przejrzymy o co tu chodzi. 

Po wpisaniu nazwy klikamy "next"... Server Manager trochę poszuka, poprzeciąga i stwierdzi, że takiej lokalnej domeny nie ma, więc pozwoli nam taką utworzyć...

Mamy kolejny zestaw pytań...

Do wyboru mamy poziom funkcjonalności lasu oraz poziom funkcjonalności domeny. Od razu wytłumaczę o co tu chodzi, bo potem ciężko to zmienić na poziom niżej. Czym wyższy poziom funkcjonalności, tym więcej bajerów (czasem bardzo potrzebnych) mamy do dyspozycji. Natomiast, jeżeli wybierzemy poziom funkcjonalności na np. 2008 R2, to nie będziemy mogli wykorzystać Windows Server 2003 jako kontroler domeny. Czyli nie działa to wstecz. Ale zaraz... przecież instalujemy AD na Windows Server 2012 R2, to po co takie pytanie? 

Być może zechcemy dodać drugi kontroler domeny obok tego, który teraz instalujemy a posiadane licencje zmuszą nas do wykorzystania starszego systemu niż 2012 R2. Jeżeli przewidujemy taką sytuację, to poziom funkcjonalności wybieramy odpowiednio starszy dla domeny i dla lasu.

Jeżeli tylko dla testów instalujesz razem ze mną AD, to proponuję zostawić domyślnie.

Kolejne pytanie - zaznaczoną mamy instalację DNS-u - ?? WTF ?? Po co?? 

Nie chcemy DNS-u, ponieważ mamy przecież dostęp do internetu i nie jest nam potrzebny... odznaczamy... ale zaraz?domena? to gdzie będzie? Zaznaczamy DNS do instalacji, bo musimy mieć swój serwer DNS, żeby przetrzymywać w nim szereg bardzo potrzebnych rzeczy. Ok, narazie jeszcze nie wiemy co konkretnie, ale zaznaczamy a potem będziemy zaglądać co tam jest.

Global Catalog (GC) - zaznaczony nie możemy odznaczyć - jest to usługa AD, w której przechowywane są index-y (listy użytkowników, przynależności do grup uniwersalnych itd...), jest wymagany przynajmniej jeden w każdej domenie. Znacznie przyśpiesza wyszukiwanie obiektów w AD. Aktualnie Microsoft zaleca instalację DNS oraz GC na każdym kontrolerze domeny. Tak też robimy. 

Dalej jest RODC - kontroler domeny tylko do odczytu. Stosowany dość powszechnie w środowiskach, gdzie mamy lokalizacje zdalne. Omówimy w odpowiednim czasie. 

Do podania mamy hasło odzyskiwania usług katalogowych - jest to bardzo ważne hasło, dzięki któremu możemy uratować domenę w przypadku, gdy ktoś lub coś w niej za bardzo zamiesza. Wprowadzamy poważne hasło i dbamy o to, aby nam nie zginęło. Ja ustawiam P@ssw0rd  :)

Next... Netbios zostawiamy domyślnie Next...

Ścieżki...

Zostawiamy domyślnie, ale... o co tu chodzi? Chodzi o to, gdzie ma być przetrzymywana baza danych AD? Gdzie mają być przetrzymywane logi (zmiany)? A gdzie ma się znajdować SYSVOL (System Volume)?- ustrojstwo przechowujące bardzo krytyczne i istotne elementy naszej usługi AD. Zajrzymy tam po instalacji...

Next...

W następnym oknie mamy podsumowanie...

Next... 

Server Manager sprawdza i informuje, że są jakieś ostrzeżenia dotyczące instalacji i delegacji DNS. Niczym się nie przejmując klikamy "install", po instalacji reboot i logujemy się do maszyny ponownie.

Od razu widać, że nie jesteśmy zalogowani jako Administrator, tylko jako ORGANIZACJA\Administrator

O co tu chodzi? Chodzi o to, że wszystkie konta użytkowników są przechowywane w AD - co oznacza, że możemy się logować na tego konkretnego Administratora z tym konkretnym hasłem na każdym komputerze, który jest w naszej usłudze. Fajnie nie? Wystarczy, że w jednym miejscu zmienimy hasło i mamy z głowy problem z tym hasłem na wszystkich komputerach. Mam nadzieję, że widać już powoli udogodnienia... Ok, narazie może jeszcze nie. Oprócz komplikacji z instalacją niczego fajnego nie widać, ale być może zaraz będzie... Co teraz?

Czynności poinstalacyjne

Po pierwsze fajnie by było, gdybyśmy mogli się logować na ten serwer przez pulpit zdalny, więc zróbmy tak: cmd.exe -> sysdm.cpl

Zaznaczamy sobie jak wyżej i zatwierdzamy. Teraz przez połączenie pulpitu zdalnego powinniśmy się połączyć do tego serwera z innego komputera. Gdyby tak nie było, to musimy sobie włączyć w firewall reguły dopuszczające ruch połączeń zdalnych tak, jak poniżej.

Włączamy reguły Remote Desktop i napewno zadziała. 

Co dalej? Rozejrzyjmy się trochę...

Menu Tools w Server Manager... Eh to nie na dzisiaj. Jeżeli masz jeszcze trochę siły, to zapraszam do konsolki Active Directory Users and Computers. Proponuję sobie porozwijać trochę strukturę i pooglądać co tu mamy w naszej bazie AD w prezencie od Microsoftu na dzień dobry. 

Mamy zainstalowany kontroler domeny w nowym lesie kontrolujący domenę organizacja.pl. Mamy również dostęp zdalny do tego serwera, więc mamy już bardzo dużo. Zapraszam do następnego odcinka.