4 Van server naar domeincontroller

33 4 Van server naar domeincontroller Een server wordt domeincontroller door de Active Directory te installeren. De Active Directory is wat men noemt een directoryservice. Dit is een systeem dat het mogelijk maakt om toegang te krijgen tot hiërarchisch georganiseerde gegevens. Hiervoor wordt het Lightweight Directory Access Protocol (LDAP) gebruikt, gecombineerd met DNS. Een Active Directory (AD) bestaat uit: Forest Tree(s) Domein(en) Sites Organisation Units (OU) Zie theoretische aanvulling11.5 Start, All Programs, Administrative Tools, Server Manager

34 De Server Manager is een console (MMC) die alle tools bevat om de server te configureren. Naast Roles en Features vind je ook alle onderdelen terug van taken, controlesystem en en instellingen van de server. W anneer gebeurt b.v. DEFRAG? Zijn er foutm eldingen in het systeem logboek? W elke lokale gebruikers zijn er? W at is het processorverbruik of b.v. de netwerktrafiek per processor? Zijn er hardwarefouten? (Device Manager) Hoe is het schijfbeheer? Merk op dat services uitschakelen ook kon via dit scherm Vergeet niet de dataschijf te formatteren en een andere stationsletter te geven Klik op Roles en dan op Add Roles Even een herinnering... Een sterk wachtwoord voor de adm i- nistrator (... gebruiken we niet...) Statische (geen DHCP) IP-num m ers (doen we ook al niet...) Alle updates doen... (... vegen we ook onze voeten aan...)... maar dat wisten we wel allemaal en doen we in principe wel... Plaats een vinkje bij: Skip this page by default Klik op Next

35 Plaats een vinkje bij: Active Directory Domain Services In tegenstelling tot b.v. W indows 7 is het aantal standaard werkende services beperkt. Bij heel wat roles zullen dan ook een aantal extra features m oeten geïnstalleerd worden. Klik op: Add Required Features Klik vervolgens op Next Een beetje uitleg... W e onthouden: Na de installatie van de AD DS role, we dcpromo.exe moeten uitvoeren Niet alleen de Active Directory geinstalleerd wordt maar ook : DFS nam espaces DFS replication FileReplication DFS = Distributed File System Klik op Next Klik op Install

36... t ja, de updates. We waren nochtans verwittigd...... maar voor de rest is het in orde. Klik op Close... en wie dacht, we zijn er al, komt nu wel heel bedrogen uit... Open de Command prompt (Startknop, bovenaan) Tik in: dcpromo en druk <Enter> Selecteer: Use advanced mode installation Klik op Next

37 Rare boodschap. Het systeem dat we installeren is niet com patibel m et system en van voor NT4... (de préhistorie dus) Klik op Next Er bestaat nog geen forest, dus m oet er een nieuw dom ein gecreëerd worden in een nieuwe forest Merk wel op hoe eenvoudig het is om een domeincontroller toe te voegen bij een bestaand dom ein. Selecteren is voldoende, een perfecte replica wordt aangem aakt, die continue gesynchroniseerd wordt. Selecteer: Create a new domain in a new forest Klik op Next

38 Gebruiken we een lokale dom einnaam of een geregistreerde dom einnaam? In het laatste geval is er geen probleem, er kunnen nooit conflicten zijn. Is de domeinnaam louter voor intern gebruik dan moet je in principe.local gebruiken als extensie. Maar dat is niet zo leuk... Kiezen we school.be, dit is een bestaande geregistreerde dom einnaam en mag je niet gebruiken om conflicten te voorkom en. Dan maar school.ua... ua verwijst naar Ukraine. school.cno dan maar... Klik op Next NetBIOS wordt nog steeds gebruikt in het netwerk door een aantal program - m a s. Voorbeeld: Klik op Next

39 Selecteer: Windows Server 2008 R2' Er is niet direct een logische reden om een lager niveau te kiezen Klik op Next Dit duurt meestal vrij lang. Geen paniek, uiteindelijk zal het systeem toch ondervinden dat er geen DNS is... W ordt er wel DNS gevonden, dan is de volgorde van de netwerkkaarten foutief. Volledig herbeginnen is dan de enige oplossing... Klik op Next

40 Geen DNS-server gevonden, het systeem stelt voor om er zelf één aan te maken. Klik op Next... t ja... we wisten het wel... maar ja...... en toch doen we zo verder in deze proefopstelling. Maar nogmaals, in een echte configuratie had de netwerkkaart Naar Internet een vast IP-nummer moeten krijgen. En ook is dit in feite niet correct, want zoals reeds vermeld een domeincontroller met twee netwerkkaarten is not done! Klik op: Yes, the computer will use an IP adress automatically assigned by a DHCP server... er is nog geen DNS dus... Klik op Yes

41 Er is niet direct een reden om dit aan te passen... Klik op Next W aarschijnlijk zijn beide adm inistrators dezelfde persoon, kies dus voor hetzelfde wachtwoord Geef in: Test123 (tweemaal) Klik op Next

42 Goed om weten... Klik op Next... a few minutes to several hours... Klik op Finish en herstart de computer

43 4.1 Aanpassen en controle DNS Ga naar Start, All Programs, Administrative Tools, DNS DNS is een moeilijke materie, maar Windows 2008 maakt het ons gemakkelijk door DNS volledig te integreren in de Active-Directory Forward LookUp Zones Bevat de records die een naam vertalen naar een IP Dit wil zeggen dat de nodige A-records om een naam te vertalen naar een IP-numm er autom atisch worden toegevoegd. O verbodige en/of foutieve records worden verwijderd, enz. Reverse Lookup Zones Bevat de records die een IP-adres vertalen naar een naam. Deze zone is nog niet ingesteld Conditional Forwarders Tijdens de installatie is het systeem op zoek gegaan naar de eerst volgende DNS. Deze is terug te vinden bij de eigenschappen van de DNS-server (zie verder). Hiervan kan je afwijken en een Conditional Forwarder opgeven. Dit is b.v. interessant als een bedrijf twee vestigingen heeft en de computers in beide vestigingen met elkaar moeten communiceren. Je kunt dan beide DNS-servers naar elkaar laten verwijzen en als er een aanvraag komt voor een computer in de andere vestiging, deze onmiddellijk doorverwijzen naar de DNS van die vestiging.

44 4.1.1 Reverse Lookup Zones Klik rechts op Reverse Lookup Zones en klik op New Zone... er wordt een W izard gestart Klik op Next Dit is de primaire DNS-server voor ons domein, dus Primaire zone is een correcte selectie Heel belangrijk! De gegevens (naam & IP-nummer) van elke node die bijkomt of verdwijnt in het dom ein wordt in de AD geregistreerd Verander niets en klik op Next

45 Als je de forest zou uitbreiden met extra domeinen, kies je voor de eerste mogelijkheid. Zoniet, laat de selectie staan Klik op Next W e hebben IPv6 uitgeschakeld op de netwerkkaart, dus is het niet zinvol om IPv6 te selecteren Klik op Next Geef de network ID in: In ons geval is dit 10.0.0 Klik op Next

46 Klik op Next... nog een overzichtje en klik op Finish

47 4.1.2 Controle DNS Klik rechts op de naam van de DNS-server (W indows7server) Klik op Properties Tabblad Interfaces Hier kan in principe maar één netwerkkaart staan (herinner: een DC kan maar één netwerkkaart bevatten) Indien het systeem dit niet zelf heeft gedaan: Selecteer: Only the following IP adressess Selecteer: De Ip-nummer van het toestel in het interne netwerk (Naar Lan) Klik (indien nodig) op Apply Klik op het tabblad Forwarders zie theoretische aanvulling over OpenDNS 11.3 Hier staan de IP-nummers van de eerste DNS-server (of forwarder) die het systeem gevonden heeft tijdens de installatie. In dit voorbeeld de IP-nummer van een lokale DNS-server. Is de DC rechtstreeks verbonden m et het Internet dan zullen hier de IP-nummers staan van de DNS-server van de provider. Zeer zinvol voor het onderwijs is hier het ingeven van de IP-nummers van OpenDNS Klik op Edit

48 Geef in: 208.67.222.222 208.67.220.220 Opm erking: De omzetting is geslaagd, het is bijna zeker dat de DNS-server correct werkt. Klik op OK Klik op het tabblad Monitoring Plaats een vinkje bij: A simple query against this DNS server A recursive query to other DNS Servers Klik op Test Now Er moet tweemaal Pass verschijnen, anders zijn er fouten in uw DNS-server. Indien er fouten zijn heeft het geen zin om verder te doen, uw server zal niet of zeer traag werken! Klik op Cancel (of verwijder eerst de vinkjes en klik dan op OK )

49 4.2 Dynamic Host Configuration Protocol (DHCP) Het Dynamic Host Configuration Protocol (DHCP) is een computerprotocol dat beschrijft hoe een computer zijn netwerkinstelling van een DHCP-Server kan verkrijgen. Het DHCP-protocol is gebaseerd op het Internet Protocol IP en werkt met UDP (User Data Protocol) pakketten. DHCP gebruiken om aan alle cliëntcomputers een uniek IP-nummer te geven en de nodige DNS-instellingen is eenvoudig, maar niet noodzakelijk. Gebruik je dit niet dan moet je alle instellingen op alle netwerkkaarten manueel instellen. DHCP wordt meestal op de domeincontroller geïnstalleerd. Dit is ook niet echt noodzakelijk, wel moet DHCP geïntegreerd zijn in de Active Directory'. Plaats je de DHCP-server op een lidserver dan moet je deze Machtigen' om actief deel te zijn van de Active Directory'. Gebruik je een router als DHCP-server dan moet deze router LDAP ondersteunen. Start de Server Manager (Start, All Programs, Administrative Tools, Server Manager ) Klik op Add Roles Plaats een vinkje bij: DHCP Server Klik Next

50 Klik Next Dit is correct... Klik op Next

51 Dit is fout! (waarom zal verder blijken) Deze IP-num m er krijgt de client voor DNS. De client zou dus naar zichzelf verwijzen voor DNS Verander deze waarde naar: 10.0.0.2 Klik op Validate Klik op Next Dit is correct... Klik op Next Klik op Add

52 Scope name: (onbelangrijk) b.v. DHCP-Scope Starting IP adress: 10.0.0.11 (het is de gewoonte de eerste 10 adressen te reserveren voor servers. Dit is geen verplichting!) Ending IP adress: 10.0.0.254 Subnet mask: 255.255.255.0 (hebben we in het begin zo gekozen) Default gateway: 10.0.0.1 Klik op OK Moet je invullen! Klik op Next Selecteer: Disable DHCPv6 stateless mode for this server Klik Next

53... dit is correct, maar soms geraakt het systeem deze gegevens kwijt (wijzigen wachtwoord?) en komen er foutmeldingen bij de DHCP-server. De credentials opnieuw ingeven is dan de oplossing. Klik op Next Controleer de samenvatting... en herbegin desnoods... Klik op Install Klik op Close

54 4.2.1 Controle en aanpassen DHCP Open DHCP via Start, Adm inistrative Tools, DHCP... of (beter)... via de Server Manager Controleer de Scope Opties Hier moeten optie 3, 6 en 15 correct zijn ingevuld. Een foutieve of ontbrekende waarde zal er voor zorgen dat de client zeer traag aanmeldt Scope Opties <> Server Options! Klik rechts op Adress Pool Mogelijkheid om een range' van IP-nummers in te voegen voor toestellen m et een vast IP (b.v. netwerkprinters) Klik rechts op de IPv4-Scope Voor een aantal programma s( ) is een vast IP-nummer vereist. Door de Lease - tijd op oneindig te plaatsen combineer je de voordelen van DHCP (uitdelen IPnummers) met een vast IP-nummer. ( ) o.a. ForeFront om een rule te m aken om Internet aan/af te zetten per lokaal. Deze rule bevat de IP-nummers van de com puters per lokaal. Het invoeren in de rule gebeurt door de P-numm ers en de client -naam zijn via Adress Leases te exporteren naar een tekstbestand.

55 4.3 Foutmeldingen, Event-logs, Diagnose, enz. Ook alles wat met foutmeldingen, Event-logs, Diagnose, enz. te maken heeft is geïntegreerd in de Server Manager. De klassieke Windows logs ontbreken niet (zie voorbeeldscherm), maar tevens werd het programma Best Practices Analyzer toegevoegd. Best Practices Analyzer is een reeks van tools van Microsoft om hun software te controleren op eventuele installatiefouten of om optimalisatiemogelijkheden voor te stellen. Een krachtige tool, maar weinig gebruikt wegens niet gekend, maar ook omdat om de haverklap er nieuwe versies uitkwamen die apart te downloaden en te installeren waren. Dit is nu verholpen door deze tools te integreren in deze Server Manager. 4.3.1 Foutmeldingen Merk op dat belangrijke foutm eldingen of waarschuwingen al worden weergegeven in het hoofdscherm. W aarschuwingen zijn niet erg, rode kruisjes wel, die m oeten zeker weggewerkt worden. Klik op Active Directory Domain Services

56 Klik op: Scan this Role De foutm elding m oet opgelost worden, de waarschuwingen zijn terecht (geen tweede dom eincontroller, geen backup, opletten m et accidenteel verwijderen, enz.), maar niet echt nodig voor de goede werking van het systeem. Klik op: The PDC emulator master... Deze foutmelding verwijst naar het ontbreken van een tijdsynchronisatie m et een tim e -server. Dit kan opgelost worden door zelf een tim e -server te installeren of door de DC te synchroniseren met een externe time -server. W e kiezen voor dit laatste. Dit zal echter maar lukken als het tijdsynchronisatieprotocol (NTP) door de firewall wordt doorgelaten.

57 Selecteer: w32tm /config /com puter:w indows7server.school.cno /m anualpeerlist:tim e.windows.com /syncfromflags:manual /update Open de Command Prompt en klik op Paste (via het C:\-symbool, Edit, Paste) en druk op <Enter>... opgelost...

58 Klik op de foutmelding DHCP Server De rode kruisjes zijn afkom stig van tijdens de installatie en te verwaarlozen. Dit wordt bevestigd door het inform atiescherm erboven dat de service geautoriseerd is om te starten. Voor alle veiligheid en om na te gaan of alles nu goed werkt, herstart de service Klik op Restart... er komen toch wel twee waarschuwingen bij zeker... Eén is niet relevant (dynam isch IPv6- adres) en in de andere waarschuwing is het systeem onze credentials kwijt. Ook dit kan via de Command Prompt opgelost worden, m aar hier is kopiëren en uitvoeren onvoldoende, om dat naam, wachtwoord en domein moeten ingevuld worden. Klik rechts op IPv4 en klik op Properties

59 Klik op het tabblad Advanced Klik vervolgens op Credentials Geef in: User Nam e: Adm inistrator Dom ain: SCHOOL Password: Test123 Confirm password: Test123 Klik op OK

60 Klik op de foutmelding DNS Server Start een Best Practices Analyzer... bbrr... De foutmeldingen of waarschuwingen i.v.m. de netwerkkaart Naar Internet negeren we, want in de prakrijk is die hier niet aanwezig. W e behandelen twee meldingen i.v.m. : het loopback-adres scavenging Loopback adress W e hebben op de netwerkkaart enkel het loopback adress ingevuld. Een oplossing is niet eenvoudig en misschien niet wenselijk. Verm eld je een externe DNS-server dan m oet deze ook Reverse Lookup Zones kunnen verwerken. Dit is zelden het geval en bovendien niet wenselijk (De Ip-nummers en de nam en van de com puters worden dan doorgegeven). Oplossing: Als je een tweede domeincontroller aanmaakt wordt nu ook DNS geïnstalleerd. Gebruik dit IP als Preferred DNS Server

61 Scavenging Is de opkuis -functie voor resten van DNS-gegevens die niet m eer gebruikt worden. Voorbeeld: A-record met IP-nummer en computernaam. IP-num m er wordt daarna gekoppeld (fysiek) aan een andere naam. Nieuw A-record met zelfde IP-nummer, maar andere computernaam. In principe zal dit niet direct een fout opleveren omdat de tweede record eerst zal voorkomen, maar verwijderen is toch beter. Scavenging instellen Klik rechts op de DNS-server: Windows7server Je kan dit ook manueel door Scavenge Stale Resource Records uit te voeren (Set Aging/Scavenging for Alll Zones... heeft er niets mee te maken...) Klip op Properties Klik op het tabblad Advanced Plaats een vinkje bij : Enable autom atic scavenging of stale records Opm erking: De Scavenging period moet lager zijn dan de DHCP-lease tijd Klik op OK

62 4.4 Consoles Om op een vlotte manier te werken met de verschillende onderdelen van een domeincontroller kan je best werken via een console. In principe vind je alles terug in het onderdeel Administrative Tools (Start, All Programs, Administrative Tools). Maar daarin staan veel programma s die je zelden gebruikt. 4.4.1 Active Directory Administration Center Eén van de nieuwe onderdelen in Windows Server 2008 R2 is de Active Directory Administration Center of kortweg ADAC. Maar om het via Run of Search uit te voeren moet je dsac.exe ingeven. Een sterk onderdeel is Global Search. Geef de naam in van een object en je krijgt onm iddellijk een lijst m et corresponderende gegevens en een bijhorend Task - blad. Dit is intuïtief, d.w.z. naargelang het type object kan dit anders zijn. Bij nam en zal Reset password verschijnen

63 De Active Directory is een eigen implementatie van Microsoft van de directoryservice LDAP in combinatie met DNS en Kerberos. Het is een gecentraliseerde database waarin alle objecten worden opgeslagen. W e onderscheiden twee soorten m appen: De ingebouwde vaste m appen De Organisation Unit (OU) De Organisatie Eenheid of OU wordt gebruikt om alle mogelijke objecten in de Active Directory te organiseren.! Builtin Deze map bevat de ingebouwde lokale standaardgroepen. M.a.w. de leden van de groep Administrators zijn geen domein-administrators! Deze groep vind je terug bij de m ap Users (Dom ainadm in). Let op het symbool voor groep!

64! Computers Deze map bevat de computers die aan het domein werden toegevoegd. Gezien we dit nog niet gedaan hebben is deze map voorlopig leeg (afbeelding van een ander dom ein). Deze map is geen OU! Groepsbeleid (zie verder) is enkel toepasbaar op OU s. M.a.w. wil je b.v. software installeren (via groepsbeleid en.msi) op deze computers dan moet je de com puters verplaatsen naar een OU. Let op het symbool voor computer!! Domain Controllers Deze map bevat steeds m inimaal één com puter, de dom eincontroller In dit voorbeeld - zoals aangeraden - is er een tweede domeincontroller. Deze replica is tevens een Global Catalog -server, wat willen zeggen dat deze ook instaat voor b.v. het afhandelen van de aanmeldingsprocedures. Bovendien mag één van beide wegvallen, aanmelden zal (vertraagd) nog steeds mogelijk zijn (zie tevens hst. Backup)! ForeinSecurityPrincipals Merk op dat de inhoud van deze map niet beveiligd is tegen verwijderen! Deze m ap bevat de beveiligingsinform atie van objecten uit andere vertrouwende dom einen. Deze m ap bevat ook gebruikeraccounts die niet bij het eigen dom ein horen en waaraan toch perm issies kunnen worden toegekend. Voorbeelden van security principals die je in deze map kunt aantreffen zijn: s-1-5-11 = authenticated users s-1-5-4 = interactive s-1-1-0 = everyone

65! LostAndFound. :.. Default container for orphanend objects... t ja, het zal je maar overkomen, zelf in computerland... W aarschijnlijk zuiver hypothetisch, m aar veronderstel dat je een gebruiker aanmaakt in een OU en een andere beheerder verwijdert op dat moment de OU... Uw weesje is gecreëerd...! M anaged Service Accounts! NTDS quota s! Program data! System Zijn in feite systeem mappen die beter niet zichtbaar zouden zijn. Hieraan wijzigingen aanbrengen doe je best niet... Merk opnieuw op dat de inhoud niet beschermd is tegen accidenteel verwijderen.! Users Deze map bevat de ingebouwde globale standaardgroepen en gebruikers. Merk op dat o.a. de gebruiker Guest nog wel bestaat, maar is uitgeschakeld (De Guest-user was een gebruiker die toegang had tot een computer zonder een wachtwoord te moeten gebruiken). Let op het symbool voor gebruiker!

66 4.4.2 Zelf een console aanmaken Het Active Directory Administration Center is een krachtige tool, zeker als je meerdere domeinen hebt binnen dezelfde tree. Nadeel is echter dat je in deze console geen extra roles of features kunt toevoegen, dit naargelang de onderdelen die je zelf veel gebruikt. Bij afsluiten wordt ook de laatst gebruikte lay-out niet opgeslagen. In vele gevallen keer je terug naar hetzelfde onderdeel dat je het laatst gebruikt hebt, dus de vorige lay-out bewaren is wel zinvol. Start, All Programs, Run Tik in mmc en klik op OK (mmc= Microsoft Management Console ) Ga naar File, Add/remove Snap-in Klik op Add Selecteer: Active Directory Users and Computers Selecteer: DHCP Selecteer: DNS Merk op dat je eenvoudig de volgorde kunt wijzigen Klik op OK Vergeet niet om deze console op het bureaublad te bewaren!

67 4.5 Snelkoppelingen Plaats op het bureaublad snelkoppelingen naar: Active Directory Adm inistrative Center Server Manager Group Policy Managem ent 4.6 Afsluiten Een Server heropstarten of afsluiten doe je niet zonder reden. (merk op dat voor beide handelingen het zelfde scherm gebruikt wordt) Dit wordt opgenomen in het logboek zodat collega s dit eventueel kunnen raadplegen als er nog problemen zijn. Dit is bij ons zelden het geval... W at letters intikken bij Com m ent: is voldoende om te kunnen afsluiten of opnieuw op te starten. Klik op OK