SammendragDenne gangen har vi et avdelingskontor med server, pc-er og skrivere. På hovedkontoret befinner det seg en SBS Server. Den lokale administrator ønsker VPN-forbindelse mellom avdelingskontoret og hovedkontoret. Begge kontorer benyttet Zyxel Zywall. På avdelingskontoret har de gått til innkjøp av en server. Den lokale administrator har hørt at det er mulig å ha flere servere i SBS-domenet, og at en eller flere servere kan promoteres til additional domain controller.
Den kravstore lokale administrator har utarbeidet en oversikt over tjenester som ønskes kjørt på avdelingsserveren. Fra denne listen finner du ønske om lokal autentisering, DNS, DHCP og WINS server. De ønsker med andre ord en additional domain controller som også er Global Catalog Server. Hun vil videre ha lokal redirigering av mine dokumenter til avdelingsserveren. Brukerne på avdelingskontoret er vant til å bruke shadow copy og ønsker også dette konfigurert lokalt. Det er videre ønskelig med en katalog hvor avdelingskontoret kan dele filer. Den gjenstridige lokale administratoren er bekymret for sikkerhetskopieringen, men hun har hørt om DFS. Hun ønsker derfor at innholdet i katalogen for redirigering av mine dokumenter og felleskatalogen for avdelingen, skal overføres til SBS Serveren på hovedkontoret på regelmessig basis. For øvrig presiserer hun at alle tjenester på SBS Serveren også må være tilgjengelige for avdelingskontorets brukere. Du er kalt inn som edb-konsulent for å utarbeide en plan for dette, og for å implementere denne etterpå. Etter å ha gjennomgått ønskene lurer du på om dette lar seg gjøre i SBS Server domenet. Du tar med deg dine notater, reiser hjem, og setter deg ned for å lage en plan. I denne artikkelen skal vi se hva edb-konsulenten gjorde og hvordan han løste oppgaven.
Et testmiljø
Edb-konsulenter er usikker på hvordan han skal takle dette oppdraget. Han beslutter derfor å sette opp en test-lab og utarbeider en plan for dette. Han har en ruter som er koblet til Internett. I denne ruterens lanporter kobler han to nettverskabel som kobles videre til Wan porten på to Zyxel Zywaller. Deretter konfigureres ruter til ruter VPN mellom de to testruterne. I de to testruternes lanporter kobles det hver sin server. På serverne installeres Windows Server 2003 R2 og MS Virtual Server 2005 R2.
I hostene konfigureres det to nettverskort. Den ene med tcp/ip og ipadresser som stemmer overens med den tilkoblede ruter for host. I det andre nettverskortet som skal brukes virtuelt fjernes Client for Microsoft Networks, File and Printer Sharing for Microsoft Networks og Internet Protocol (TCP/IP). Han slår på Virtual Machine Network Services og kobler deretter en kabel til fra serverne til ruterne.
I den ene virtuelle serveren installeres Windows XP og Windows Server 2003 R2. I den andre installeres Windows XP og SBS Server 2003 R2. I det følgende er det hans planer og notater vi leser.
Forberedelser
I dette avsnittet skal vi se på forberedelser og forutsetninger etter den uvante innledningen. Vi kan oppsummere forberedelsene som følger:
Advarsel!
De ytterste anstrengelser er gjort for å sikre kvaliteten på denne artikkelen. Dersom du beslutter å følge denne gjør du det på eget ansvar. Du kan ødelegge Active Directory i din SBS Server dersom noe skulle gå galt. Dette kan lede til full reinstallasjon. Skyld da ikke på undertegnede!
· Denne artikkelen er utarbeidet og testet med et gitt sett av programvare. Ved utarbeidelsen har jeg forsøkt å ta hensyn til Windows 2000, SBS Server RTM og R1, Windows Server 2003 RTM og R1. Jeg har imidlertid ikke testet dette på disse versjonene av operativsystemene. For øvrig har artikkelen hvert testet og omarbeidet flere ganger for å kvalitetssikre den. Den programvaren artikkelen er skrevet av og med, og testet på er Microsoft Small Business Server 2003 R2, fullt patchet til dato, Microsoft Windows Server 2003 R2, fullt patchet til dato og Windows XP SP2 fullt patchet til dato.
· Small Business Serveren og Windows Serveren har et nettverskort. Denne løsningen er ikke laget for Small Business Server med to nettverskort. Det får jeg eventuelt komme tilbake til i en senere artikkel.
· Ta en full backup av SBS Server 2003 inkludert system state, og lag eller oppdater en ”emergency repair disk”.
· Slå fullstendig av eller aller best, avinstaller eventuelle antivirus programmer du måtte ha installert på SBS Server og avdelingsserveren.
· Innstillingen av nettverskortet på avdelingsserveren som skal promoteres til domain controller er av avgjørende betydning for resultatet.
· Korrekt konfigurert VPN-forbindelsen mellom avdelingskontor og hovedkontor, er også avgjørende for resultatet og bestemmende for hvor lang tid den første replikering mellom de to domain controllerne tar. Her gjelder det å ha is i magen og vente lenge nok.
· Dersom du har flere Domain Controllere i SBS Server må du grundig sjekke at det eksisterende nettverket ikke har feil eller mangler. Feil og mangler må rettes forutfor dcpromo.
· Dersom du har flere Domain Controllere i SBS Server domenet så må du kjøre Adprep med kommandoen adprep /domainprep. For ordens skyld SBS Server er Schema Master og vi benytter kommandoen adprep /forestprep på denne.
· Dersom du har andre versjoner av Windows Server som Windows Server 2000 må du sjekke hele prosessen. Du kan ikke uten videre benytte denne artikkelen. Den har ikke vært testet på Windows 2000, eller andre versjoner av OS’ene enn forutsatt i artikkelen.
· Patcher og service pakker kan påvirke resultatet. Du må derfor nøye sjekke dette før du benytter denne artikkelen. På de testserverne som ble benyttet var Windows Server 2003 SP2 installert.
SBS Server begrensninger
· SBS 2003 må være en Domain Controller installert i roten (root) av domenet. Dvs at SBS Server må installeres inn i roten av en single domain forest.
· SBS 2003 kan ikke ha parent eller child domains, og SBS Server kan ikke benytte trust mellom domener herunder implicit og explicit trust.
· SBS 2003 må holde alle Flexible Single Master Operation (FSMO) rollene.
· SBS 2003 må være en Global Catalog Server og Licensing (lisens) server.
· Det må kun være en SBS Server i domenet. Hvis SBS Server er installert må det ikke eksistere andre SBS Servere i domenet. Med tanke på migrering, kan du ha to SBS Servere i samme domene, opp til 7 dager. Etter dette vil SBS Server slå seg av hver time.
· SBS 2003 tillater maksimalt 75 brukere (users) eller device CALs.
· Programmene som leveres sammen med SBS Server kan kun installeres på SBS Server. Med SBS Server 2005 R2 fikk vi en lisensendring i det MS SQL Server 2005 Workgroup Edition som kan installeres på en (1) annen server, når denne er medlem av domenet.
· Det kan være flere servere (member server) i SBS 2003 domenet, og en eller flere av disse serverne kan promoteres som Domain Controller. Member Server bruker en lisens (user eller device). En separat lisens må anskaffes eller eksistere for operativsystemet på member server. SBS Server inkluderer imidlertid client access license rettigheter for medlems servere, også når disse kjører Exchange Server 2003, SQL Server 2005 Workgroup Edition. Dette gjelder også dersom member servere promoteres til Domain Controller.
En takk til..
Jeg benytter anledning her til å takke Zyxel Norge for lånet av Zyxel Zywall rutere. Jeg takker også Christopher Conradi og Haraldur Hafsteinn som flere ganger har testet artikkelen i labmiljøet og som har levert fine tilbakemeldinger til artikkelen.
Dette ble en stor og omfattende artikkel. Under testing av artikkelen tok det mellom 6 og 8 timer å gjennomføre alle konfigurasjoner. Du må derfor sette av god tid!
Lykke til!
Dag Staale Jenssen
26.11.2007
ArtDSJ050 versjon 1
Oversikt og plan for prosedyrene i denne artikkelen
Figur 1 – Denne figuren viser en oversikt over IPadresseplanen for avdelings- og hovedkontoret. Det er denne adresse planen som ligger til grunn for utarbeidelsen av denne artikkelen.
Ruter til Ruter VPN
I denne artikkelen benyttes Zyxel Zywall rutere. Zywall ruterne er utstyrt med et internt sertifikat. I denne artikkelen blir sertifikat-basert ruter til ruter IPSec VPN benyttet. Begge servere er utstyrt med ett nettverskort. Det eksisterer også andre løsninger og SBS Server kan være utstyrt med to nettverskort. I denne artikkelen beskrives det ingen løsninger for servere med to nettverskort. Det får bli en artikkel for fremtiden.
Hovedkontorets SBS Server
SBS Server er konfigurert med ett nettverskort. Ipadresser fremgår av figuren over. Alle tjenester og programmer er installert. Når vi introduserer en additional domain controller i domenet må det foretas noen justeringer på denne serveren. Disse justeringer presenteres kort i det følgende.
Active Directory Services
Før vi kan promotere avdelingsserveren til Additional Domain Controller (ADC), må vi oppdatere active directory (AD) schema. Dette gjør vi ved å kjøre programmet adprep på SBS Server.
Active Directory Sites and Services
Det må konfigureres et Site object og to subnett objekter i Active Directory Site and Services (ADSS). Det er den delen av AD som regulerer replikering (kopieringen) mellom Domain Controllere (DC).
DNS Services
SBS Server har en AD integrert DNS Server. I denne må det opprette en standard DNS Reverse Lookup Zone for avdelingskontorets subnett.
Internet Information Services (IIS)
Internet Connection Wizard (ICW) konfigurerer ipadresse restriksjoner på Default Web Site og Companyweb hvis de ikke er publisert til Internett. Det blokkerer computere på avdelingskontoret fra å få tilgang til disse webstedene. Av den grunn må subnettet til avdelingskontoret registreres på de webstedene som er konfigurert med ip address restrictions. For å kontrollere disse innstillingene benyttes et script.
Intersite Messaging Service (IMS)
IMS må kjøre for at de to domain controllerne skal kunne snakke sammen. Tjenesten er disabled på SBS Serveren. Den må derfor konfigureres til å starte automatisk, og den må startes.
SBS Servers Login script
SBS Server login script kjøres hver gang noen logger på en computer i sbs server domenet. Ved login på avdelingsserver stiller scriptet nettverskortets default gateway til sbs serverens ipadresse. Det passer ikke for avdelingsserveren. Den har sin egen default gateway. Av den grunn må det utvikles en strategi for håndtering av dette, og den må implementeres.
WINS Services
En WINS server er pr default installert på SBS Server. WINS installeres også på avdelingskontorets server. De to WINS serverne må stilles til å replikere hverandre. De må konfigureres som replication partners (kopierings partnere). WINS er nødvendig for DFS. Dvs det finnes måter å gjøre det på uten Wins, men det beskrives ikke her.
Tjenester på avdelingskontoret
Utgangspunktet for serveren på avdelingskontoret er en nyinstallert Windows Server 2003 R2. Operativsystemet forutsettes installert opp til det punktet hvor serveren skal tildeles roller. Det er videre naturlig at serveren er fullt oppdatert med Microsoft Update inklusive W2K3 SP2. I det følgende skal vi se nærmere på de tjenestene som skal kjøre på avdelingskontorets server, og aktuelle konfigurasjoner.
Remote Administration med den innebygde lokale administrator
Remote administration (via RDP) ved bruk av den innebygde lokale administrator på avdelingsserveren, kan være problematisk i forbindelse med konfigurasjon av avdelingsserveren. Det kan være ønskelig å logge på serveren med denne kontoen i forbindelse med konfigureringen. Av den grunn skal vi stille inn dette, for det tilfelle at dette er ønskelig, og eller blokkert.
Windows Firewall / Internett Connection Sharing
Denne tjenesten vil kunne forhindre nødvendig kommunikasjon med SBS Server. Tjenesten er automatisk slått på etter installasjonen av W2K3 serveren. Vi tar ingen sjanser og slår av Windows Firewall tjenesten.
Licensing på additional domain controller
SBS Server licensing gir brukere rett til å benytte resurser på tilleggsservere. Men vi må kjøpe (betale for) operativsystemet separat. Hver server vil imidlertid ta en CAL (enten User eller Device CAL). Når vi legger nye servere inn i domenet må vi konfigurere lisensieringen på disse.
Active Directory Services
Avdelingskontorets server skal promoteres til en Additional Domain Controller (ADC) og konfigureres slik at den kan autentisere brukere i SBS Server domenet lokalt dersom forbindelsen til hovedkontoret skulle være nede. Derfor skal ADC konfigureres som en Global Catalog Server. Før vi kan promotere avdelingsserveren, må vi oppdatere active directory schema på SBS Server med adprep. Vi må også kontrollere at vi har den nødvendige kontakten mellom hovedkontoret og avdelingsserveren via ruter til ruter VPN. Når avdelingsserveren promoteres til ADC overføres det en kopi (replica) av AD til avdelingsserveren og det er et krav at OS disken på avdelingsserveren er formatert med NTFS. Når avdelingsserveren er promotert til ADC vil de to domain controllerne replikere (kopiere hverandre) over VPN-tunellen. I denne sammenhengen må vi være nøye med hvordan vi konfigurerer nettverskortet på avdelingsserveren. Dette er beskrevet i et eget avsnitt. Videre må vi melde avdelingsserveren inn i domenet og gjøre avdelingsserveren til en medlemsserver forutfor oppgraderingen til additional domain controller.
DNS Services
For å gi lokal navneoppløsning og for å kunne installere Active Directory (AD) på en W2K3 server som skal promoteres til ADC, må vi benytte en Active Directory integrerte DNS Server. Den vil installeres på avdelingskontorets server. I W2K3 er det gjort endring for å unngå ”DNS islands”, DNS skal installeres parallelt med at serveren promoteres til ADC. Vi tar imidlertid ingen sjanser og installerer et minimum av en DNS Server på avdelingskontorets server. DNS Serveren på hovedkontoret og avdelingskontoret må kopiere hverandre, det besørger AD på grunn av AD integrasjonen. Det betyr at replikering mellom DNS Serverne blir utført av AD når de to domain controllerne replikerer hverandre. Avdelingskontoret skal være uavhengig av hovedkontoret. Av den grunn må vi registrere ISPs DNS servere som forwarders i DNS Serveren på avdelingskontoret. Gateway til Internett vil være avdelingskontorets Zyxel Zywall.
WINS Services
WINS Server begynner å bli gammeldags, men vi finner fortsatt programmer som gjør bruk av WINS. I denne sammenheng kan nevnes DFS som skal konfigureres i denne artikkelen. Vi ønsker derfor å tilby denne tjenesten (WINS) i lanet på avdelingskontoret. Vi skal derfor installere WINS på avdelingskontorets server. Det befinner seg også en WINS Server på SBS Serveren på hovedkontoret (Installert og konfigurert pr default på SBS Server 2003.) Innholdet i de to WINS Serverne skal i prinsippet være like. Av den grunn må de konfigureres til å replikere hverandre. De skal derfor settets opp som replication partners (kopierings partnere).
DHCP tjenester
Avdelingskontorets nettverk trenger en DHCP Server for å dele ut ipadresser til klienter, og for å konfigurere klientenes nettverskort. DHCP Services vil derfor installeres på avdelingsserveren. Den vil bli konfigurert med et subnett, og vi vil ekskludere noen ipadresser for utstyr som trenger fast ipadresse. DHCP tjenesten konfigurere nettverskortene på avdelingskontorets deviser. Vi ønsker derfor å konfigurere scope options med bla default gateway, DNS Servere og Wins Servere. På den måten vet vi at alle klientenes nettverskort konfigureres korrekt.
Intersite Messaging Service
Denne tjenesten er nødvendig for at de to domain controllerne skal kunne snakke sammen. Pr. default vil denne tjenesten være disabled på avdelingsserveren. Vi må derfor konfigurere denne tjenesten til å starte automatisk, og vi må starte den.
File Services
Fildeling vil kunne foregå mot den lokale serveren eller og mot hovedkontorets SBS Server. Båndbredden på kommunikasjonen med hovedkontoret er en begrensende faktor. Av den grunn vil vi konfigurere avdelingskontorets server som file server, og lage et share (delt katalog) for deling av filer lokalt. For øvrig må det nevnes at båndbredden (hastigheten) på Internett forbindelsen vil være bestemmende for brukeropplevelsen av fildeling mot hovedkontoret og vise versa. En Wan linje vil stort sett ikke være rask nok til å kjøre LOB (line of business) applikasjoner som for eks regnskapsprogrammer og faktureringsprogrammer. Men det finnes vel også her unntak fra hovedregelen.
Shadow Copy
På lik linje med hovedkontorets SBS Server som pr. default er konfigurert med Shadow Copy på den disken som inneholder Users Shared Folders, vil vi også på avdelingsserveren tilby denne tjenesten. Shadow Copy må derfor konfigureres på den disken som skal holde avdelingskontorets shares.
My Documents
My Documents kan redirigeres til SBS Server på hovedkontoret. Hvis denne konfigurasjonen gjøres vil dette bety at avdelingskontorets pc-er også vil synkronisere My Dokuments for sine brukere til SBS Serveren på hovedkontoret. Dette kan skape mye trafikk over VPN-tunellen. En kan derfor vurdere å slå av denne konfigurasjonen. Dersom man ønsker å slå den på er dette lite praktisk for avdelingskontoret. Vi vil derfor modifisere SBS Serveren redirigering slik at brukere på hovedkontoret synkroniserer til serveren på hovedkontoret og brukere på avdelingskontoret synkroniserer til avdelingsserveren.
Print Services
Avdelingskontoret vil normalt være utstyrt med en eller flere skrivere. De kan med fordel være av type TCP/IP. Disse blir installert og delt på avdelingskontorets server. Utover dette utveksles delte printere med hovedkontoret og vise versa. Dette beskrives ikke i artikkelen.
E-post (SMTP)
Exchange server 2003 kjører på hovedkontoret. Det er liten eller ingen grunn til å installere en Exchange server på avdelingskontoret. Avdelingskontorets pc-er vil være medlem av domenet og nødvendige konfigurasjoner for Outlook vil gjøres under innmeldingen i domenet. For øvrig vil e-post fungere knirkefritt. E-post forsendelser kan skape mye trafikk. Av den grunn kan RPC over http vurderes på avdelingskontorets pc-er. Det beskrives ikke i denne artikkelen.
SharePoint Services – Companyweb
Companyweb vil være fullt tilgjengelig for fildeling og sjekk ut av dokumenter som det arbeides med på avdelingskontoret. Dog med den båndbreddebegrensningen som ligger på Wan forbindelsen.
WSUS
Windows Update Service (R2) vil også oppdatere pc-er og servere på avdelingskontoret når disse er medlem av domenet. Dette kan skape trafikk over VPN-tunellen. Windows Update Service vil kunne oppleves som forsinkende. Alternativet vil være å melde disse ut av WSUS og kjøre Microsoft Update separat. En egen WSUS installasjon kan også vurderes men det ligger utenfor denne artikkelens område.
Administrasjon
Administrasjon av pc-er og ADC på avdelingskontoret vil kunne utføres fra Server Management på SBS Server 2003 slik vi kjenner dette fra før. Herunder vil ConnectComputer og annen funksjonalitet fungere, dog med den hastigheten Wan linjen har mellom de to kontorene.
Sikkerhet i avdelingskontorets nettverk
Zywall leveres med Unified Threat Management (UTM) som inkluderer Intrusion Detection (IDP), Anti-Virus, Anti Spam og Content Filtering. Disse tjenestene bør vurderes både for hovedkontoret og avdelingskontoret. Når dette er nevnt må det også nevnes at avdelingsserveren inneholder en full kopi av AD. Det innebærer også en full kopi av alle brukernavn og passord. Serveren bør derfor sikres rent fysisk, slik at ingen stikker av med denne. Husk at harddisker kan stjeles og lastes opp i andre maskiner. Det er ingen BitLocer her eller Read Only Domain Controller som vi får i W2K8!
Distributed File Services (DFS)
Backup av dokumenter og data på avdelingskontorets server kan være et problem. Av den grunn skal DFS konfigurer til å synkronisere avdelingkontorets felles dokumentmappe og katalogen for brukernes My Documents til SBS Serveren på hovedkontoret. I så måte skal DFS konfigureres for å overføre kopier til hovedkontoret. Windows Server 2003 R2 har ny teknologi. Denne teknologien befinner seg imidlertid ikke på SBS Serveren 2003 R2. Av den grunn er det liten vits i å installere den nye versjonen av DFS på avdelingsserveren. Dens nye egenskaper vil ikke bli benyttet.
Remote Access
SBS Serveren på hovedkontoret er konfigurert som Remote Access Server. Denne serveren kan nåes fra Internett dersom tjenestene publiseres i ICW. Avdelingskontoret vil benytte seg av de publiserte tjenestene der. Disse tjenestene omfatter bla SharePoint Services (Companyweb), Remote Web Workplace RWW, Outlook Web Access OWA og VPN.
Oversikt over prosedyrene i artikkelen
Basert på den overstående gjennomgang kan prosedyrene i denne artikkelen presenteres på følgende måte:
-
Oversikt og plan for prosedyrene i denne artikkelen
-
Hvordan konfigurere Zyxel Zywall på hovedkontoret og avdelingskontoret, og Ruter til Ruter VPN
-
Hvordan oppdatere Active Directory Domain Schema på SBS server 2003
-
Hvordan sette opp en Site i Active Directory Sites and Services på SBS Server 2003
-
Hvordan sette opp Reverse Lookup Zone på SBS Server 2003
-
Hvordan stille Internett Information Server IIS på SBS Server 2003
-
Hvordan sjekke ip address and domain name restrictions på SBS Server 2003
-
Hvordan konfigurere Intersite Messaging Services på SBS Server 2003
-
Hvordan konfigurere SBS Server som en autorativ time server
-
Hvordan håndtere SBS_LOGIN_SCRIPT
-
Hvordan konfigurere remote (RDC) login for lokal administrator
-
Hvordan slå av W2K3 firewall på avdelingsserveren
-
Hvordan kontrollere nettverket og Domain Controller
-
Hvordan stille inn nettverskortet på avdelingsserveren
-
Hvordan melde avdelingserveren inn i SBS Server 2003 domenet
-
Hvordan installere DNS på avdelingsserveren
-
Hvordan konfigurere Intersite Messaging Services på avdelingsserveren
-
Hvordan promotere serveren som Additional Domain Controler
-
Hvordan stille inn DNS Server på Additional Domain Controller
-
Hvordan installere DHCP Server på Additional Domain Controller
-
Hvordan konfigurere DHCP Server på Additional Domain Controller
-
Hvordan installere WINS Server på Additional Domain Controllere
-
Hvordan konfigurere WINS Replication Partner på Additional Domain Controller
-
Hvordan konfigurere WINS Replication Partner på SBS Server
-
Hvordan gjøre Additional Domain Controller til Global Catalog Server
-
Hvordan sjekke Logonserver
-
Hvordan konfigurere licensing på Additional Domain Controller
-
Hvordan sette Additional Domain Controller opp som Filserver
-
Hvordan sette opp Shadow Copy for avdelingskontoret
-
Hvordan ekskludere avdelingsbrukere fra SBS Server Folder Redirection
-
Hvordan sette opp en katalog til bruk for redirigering av mine dokumenter på avdelingsserver
-
Hvordan redirigere avdelingsbrukeres My Dokuments til en katalog på avdelingsserveren
-
Hvordan sette opp DFS for å ta backup av avdelingsserver til hovedkontoret
-
Hvordan presse frem en manuell replication mellom Domain Controllerne