172 10 Systeembeveiliging en databack-up Een belangrijke beheer- en beveiligingstaak bestaat uit het m aken van back-ups. Ongelukken gebeuren, stroom storingen kom en voor, bliksem inslag, inbraak... Een ram pscenario bedenken is niet moeilijk. Ook de wet van Murphy krijgt maar al te dikwijls zijn gelijk..., als er meer dan één manier is om een taak te doen en één van die manieren zal in een ramp resulteren, dan zal iemand het zo doen.... Mijn eigen interpretatie van die wet klinkt iets anders neem je geen voorzorgen dan gebeurt er zeker iets, neem je voldoende voorzorgen dan gebeurt er niets... Systeembeveiliging De domeincontroller/active directory is de besturing van ons dom ein. Is het zinvol om hiervan een kopie te maken voor in het geval het toestel compleet crasht? Bedenk dan wel dat een kopie terugplaatsen enkel kan op een identiek toestel... Bovendien, is het opzetten van een nieuw domein zo n groot werk? Neen, behalve alle clients terug in het domein plaatsen... Is het dan ook niet zinvoller om een tweede domeincontroller te gebruiken in het domein die een replica is van de primaire domeincontroller? Het komt alvast ons netwerk ten goede, want bij een W indows Server 2008 is een secundaire dom eincontroller ook een Global Catalog -server die o.a. Logins kan verwerken. De secundaire dom eincontroller is bovendien een supplem entaire DNS-server wat ook de snelheid ten goede kom t. W ordt de secundaire domeincontroller gevirtualiseerd dan is hiervan een kopie maken heel eenvoudig. Dit kan bovendien zonder de werking van het domein te onderbreken. Maar wat als de primaire dom eincontroller totaal uitvalt? Het antwoord is vrij eenvoudig, m aar iets m oeilijker om te realiseren: de secundaire dom eincontroller prom oten tot een prim aire dom eincontroller... Het is een stappenplan dat zeer zorgvuldig m oet uitgevoerd worden, m aar haalbaar is. Bovendien (nogmaals) als dit een virtuele server is dan is het maken van een snapshot voordat je aan de prom otie begint heel eenvoudig. In het ergste geval kun je altijd terugkeren naar deze instellingen. W ant, hoe dan ook uw domein blijft werken met een secundaire domeincontroller zonder primaire DC. Alles zal trager verlopen en je zal wel zo snel mogelijk een oplossing moeten vinden om de data (de docum enten van de leerlingen b.v.) bereikbaar te m aken. M.a.w. een defecte voeding is geen ram pscenario... Databack-up Ook hiervoor zijn er verschillende m ogelijkheden. W indows Server 2008 bevat een heel degelijk back-upprogram m a dat eenvoudig en efficiënt zijn werk doet. Ook individuele bestanden uit de back-up halen is niet zo moeilijk. Toch kiezen we voor een andere oplossing, het gewoon kopiëren van de documenten per dag naar een andere computer. De reden hiervoor is de beperking van de lengte van bestandsnam en en/of path binnen W indows. Heel duidelijk is dit niet, want de lengte van een directory is groter dan de lengte van een bestandsnaam, maar in totaal mag dit niet meer zijn dan zo n 210 karakters. Toch geen probleem denk je, een bestandsnaam/pad langer dan 210 karakters? Neen? Een voorbeeldje: \\windows7server\docleer\6ib.kimberley\documents\visual Studio 2010\Projects \ToetsDisconectedToegang_ KimberleyVanDoorslaer\ToetsDisconectedToegang_KimberleyVanDoorslaer\obj\x86\Debug\ToetsDisconectedT oegang_kimberleyvandoorslaer.frmoef3.resources Dit lossen we op met een PowerShell-script...
173 10.1 Systeembeveiliging 10.1.1 Secundaire domeincontroller (ReplicaServer) Installeer Windows 2008 R2 (zie blz. 12 t.e.m. 24) Deze com puter bevat één netwerkkaart met volgende instellingen: IP-adres: 10.0.0.3 Subnetm ask: 255.255.255.0 Gateway: 10.0.0.2 (zonder ForeFront) 10.0.0.1 (met ForeFront) DNS: 10.0.0.2 (prim air) 127.0.0.1 (secundair) Com puternaam: ReplicaServer Plaats de computer in het domein Start de procedure om van deze server een domeincontroller te maken (hst. 4) Start dcpromo (blz. 36) Vergeet niet Use advanced mode installation (zie blz. 36) te gebruiken!
174 Selecteer: Existing forest Selecteer: Add a domain controller to an existing domain
175
176 De supplem entaire dom eincontroller wordt ook een Global Catalog -server en kan dus logins verwerken. Klik Next Er is geen authoritative parent zone buiten het dom ein school.cno. M.a.w. geen actie is vereist. Klik op Yes
177
178 Geef in: Tweemaal: Test123... de samenvatting...
179 Klik op Finish Herstart de computer Gaat dit nu echt werken?... natuurlijk niet, want onze tweede DNS-server heeft geen toegang tot het internet...????... Even terug naar het begin. Voor deze nascholing hebben we een dom eincontroller geïnstalleerd m et twee netwerkkaarten. Zoals reeds verschillende m alen aangegeven is dit niet de goede methode, maar wel bruikbaar in een testomgeving. In principe bevat de dom eincontroller, de W indows7server zoals de Replicaserver m aar één netwerkkaart. Beiden hebben een gateway naar een router die de verbinding maakt tussen het internet (WAN) en uw lokaal netwerk (LAN). Deze router kan ook een combinatie zijn van gateway, proxy,...(b.v. ForeFront) als er m aar een vertaling gebeurt tussen de W AN en de LAN-poort (Network Adress Translation of NAT) Op de volgende blz. een overzicht van correcte instellingen van netwerkkaarten gekoppeld aan een router. Kan het dan echt niet werken????... natuurlijk wel, maak van de Windows7server ook een router door Remote Access Service (RAS) te installeren. Maar dan is niet alleen uw domeincontroller rechtstreeks verbonden met het internet, ook al uw lokale computers kunnen zo het internet op (... en omgekeerd). Veilig... niet direct... deze methode is zeer sterk af te raden als te onveilig...
180 10.1.1.1 Correcte instelling netwerkkaarten In het tabblad Forwarders geef je de IPnummers in van uw provider of van b.v. OpenDns. (DNS, <DNS-server>, Properties)
181 10.1.1.2 Controle Open de Server Manager Ga naar: Active Directory Domain Services Start Best Practices Analyzer De foutm eldingen zijn verwaarloosbaar, wel is het systeem niet gelukkig met de virtualisatie. Herhaal deze test voor de DNSserver Er zijn geen opm erkingen meer: Noncompliant (0) Bekijk eens bij All(51) welke testen worden uitgevoerd Open Active Directory Sites and Services (Start, Administrative Tools, Active directory Sites and Services) Open de onderverdeling Servers Controleer of beide domeincontrollers Global Catalog -servers zijn
182 10.1.2 Rampscenario Hopelijk gebeurt het nooit, maar als de primaire domeincontroller er totaal de brui aangeeft moet de secundaire domeincontroller gepromoot worden tot primaire domeincontroller. Dit gebeurt in twee stappen: het overdragen van de Roles het verwijderen van de metadata 10.1.2.1 Overdragen van Roles De Active directory bevat vijf Flexible Single Master Operation -roles (FSMO). Deze zijn: Schemamaster Domeinnaamgevingsmaster RID-master PDC-master Infrastructuurmaster ( ) spreek uit als fiz-mo De rollen schemamaster en domeinnaamgevingsmaster zijn rollen die per Forest worden gedefinieerd. Derhalve kan er slechts één schemamaster en één domeinnaamgevingsmaster per Forest aanwezig zijn. De rollen RID-master, PDC-master en infrastructuurmaster zijn rollen die per domein worden gedefinieerd. Elk domein heeft dus een eigen RID-master, PDC-master en infrastructuurmaster. Schemamaster (instructie: Schema Master) > Forest Het Schemamaster is een database dat de attributen bevat van elk object in de Active Directory. Zo bestaat b.v. het userobject uit een voornaam, achternaam, een telefoonnummer, enz. Als je meer attributen aan objecten wil toevoegen, vertel je dit aan de Schemamaster. Domeinnaamgevingsmaster (instructie:naming Master) --> Forest De Domain naming master doet niets anders dan bijhouden welke namen de domeinen in het Forest hebben. Als je een nieuw domein aan de Forest wil toevoegen controleert de Domain naming master of de naam niet in gebruik is. RID-master(instructie: RID Master) > Domein Elk object in de Active Directory heeft een unieke identificatie code, een zogenaamde SID. Bij het aanmaken van een object wordt er een unieke code gegenereerd. Om te voorkomen dat twee verschillende domeincontrollers tegelijkertijd een object aanmaken met dezelfde SID, krijgen ze allemaal een groep met voorgedefinieerde RID s toegewezen door de RID -master. Als de voorraad RID s van een domeincontroller op is, wordt een nieuwe lijst aangevraagd bij de RID-master.
183 PDC-master (instructie: PDC) > Domein De Primary Domain Controller (PDC) is er om compatibiliteit te garanderen met Windows NT 4.0 Backup Domain Controllers (BDC). Bovendien is de PCD-emulator de primaire tijdserver in het domein, de NetBios master browser en verantwoordelijk voor het wijzigen van wachtwoorden. Infrastructuurmaster (instructie;infrastructrure Master) > Domein De Infrastructure Master bewaart de wijzigingen die worden uitgevoerd aan objecten die verplaatst worden, een andere naam krijgen, enz. van een OU naar een andere OU uit een ander domein of binnen hetzelfde domein. Dit is ook de functie van de Global Catalog, maar deze role houdt daar supervisie op. Open de Command Prompt Geef in: ntdsutil Geef in: roles Geef in: connections Geef in: connect to server < naam van de secundaire domeincontroller>
184 Geef in: quit Geef in: seize Schema Master Klik op Yes De overdracht is niet geslaagd. Dit is correct, want de primaire dom eincontroller is uitgeschakeld. De role werd wel toegekend aan de Replicaserver. Dit zal voor elke Role herhaald worden.
185 Geef in: seize Naming Master Klik op Yes Geef in: seize PDC Klik op Yes
186 Geef in: seize RID master Klik op Yes
187 Geef in: seize infrastructure master Klik op Yes Geef tweemaal in: quit
188 10.1.2.2 Cleanup time De Roles zijn overgedragen, maar de Knowledge Consistency Check (KCC) is nog steeds op zoek naar de andere domeincontroller. Ook het replication system probeert nog steeds om gegevens tussen beide domeincontrollers te synchroniseren. Dit wordt opgelost door de Server Metadata te wissen in de Active Directory Users and Computers en in de Active Directory Sites and Services. Open Active Directory Users and Computers Klik op Domain Controllers Selecteer (rechts) W indows7server Klik op Delete Klik op Yes Er kom t een extra waarschuwing, want het is wel een domeincontroller die verwijderd zal worden. Bevestig dat deze dom eincontroller permanent off line is Klik op Delete
189 Er wordt nogmaals gevraagd of je wel zeker bent... Klik op Yes Open Active Directory Sites and Services Open de indeling Default-First-Site-Name Selecteer Servers Selecteer (rechts) Windows7Server Klik op Delete De NTDS -instellingen zijn al verwijderd,het is enkel nog de naam die moet verwijderd worden. Klik op Yes
190 10.2 Databack-up Voor de databack-up kiezen we voor een script in PowerShell om de data eerst te controleren en in een aparte map te plaatsten indien bepaalde voorwaarden niet vervuld zijn. In dit voorbeeld wordt nagegaan of de lengte van het pad van het bestand niet groter is dan 210 karakters. Is dit wel het geval dan zal het kopiëren een foutmelding geven en in vele gevallen het verder kopiëren beëindigen. Gezien de foutmelding bij een automatische back-up niet op het scherm verschijnt is men er waarschijnlijk gerust in dat de back-up geslaagd is, maar niets is minder waar! Controleer dan ook regelmatig of alle data werd gekopieerd! Resultaat:
191 Bespreking: 6 De naam van het bestand en het pad van alle bestanden in DocLeer worden in de tabel CI geplaatst 7 In de variabele $Datum komt de systeem datum te staan in het form aat yyy-mm-dd 8 De variabele $Teller wordt op 1 geplaatst. Deze variabele wordt gebruikt om dat de naam van het bestand soms hetzelfde is, maar het pad anders is. Voorbeeld: D:\DocLeer\1HA.Lisa\Eerste map\brief1.doc D:\DocLeer\1HA.Lisa\Tweede m ap\brief1.doc Kopieer je het bestand Brief 1.doc naar een zelfde map dan krijg je een foutm elding (bestand bestaat al). Om dit te vermijden wordt de naam van de leerling uitgebreid met een cijfer. 10 Herhalingslus. Voor elk elem ent ($_.) in de tabel $CI) 12 Voorwaarde. Als de lengte van een tabelelement groter is dan 210 14 Elk elem ent van de tabel wordt gesplitst in een nieuwe tabel. Elk elem ent van de nieuwe tabel wordt begrensd door \ $Naam[0] = D: $Naam[1] = Docleer $Naam[2] = <naam leerling> Voorbeeld: 1HA.Lisa 15 Als $Naam[2] een nieuwe naam is t.o.v. de vorige ($Naamll) wordt de teller op één geplaatst 16 Nieuw pad. De backslash (\) zorgt voor subdirectories 20 De nieuwe map wordt gemaakt als ze nog niet bestaat 22 Het bestand wordt verplaatst naar deze nieuwe m ap 26 Vanaf hier start de back-up naar de map Backup op een andere computer in de nieuwe map Datum 28 De map wordt aangemaakt 30 De volledige m ap DocLeer wordt gekopieerd naar de Back-up -map 10.2.1 Back-up automatiseren Om de back-up dagelijks te laten uitvoeren gebruiken we het programma Task Scheduler Open Task Scheduler (Start, All programs, Aceessories,System Tools)
192 Klik rechts op Task Scheduler (Local) Klik op Create Basic Task... Geef in: BackUp DocLeer
193 Selecteer: Weekly Verander de tijd naar een tijdstip waarop er geen wijzigingen meer aangebracht worden aan Docleer Selecteer: alle dagen, behalve zaterdag en zondag,... Start a program is correct
194 Geef in: PowerShell.exe & C:\BackUpDocLeer.ps1... het systeem vertrouwt onze instructie niet... het is toch juist... Klik op Finish Een aantal instellingen m oeten gewijzigd worden. Anders zal het niet werken...
195 Selecteer: Task Scheduler Library Dubbelklik op de rule: BackUp DocLeer Selecteer: Run whether user is logged on or not Selecteer Configure for: Windows 7, Windows Server 2008 R2' Klik op OK Geef uw wachtwoord in Vergeet niet als je uw wachtwoord wijzigt dit program m a niet meer werkt! Klik op OK