Компоненты основной сети
Область применения: Windows Server 2022, Windows Server 2019, Windows Server 2016
В этом руководстве приводятся инструкции по планированию и развертыванию основных компонентов, необходимых для полностью функционирующей сети и нового домена Active Directory в новом лесу.
Данное руководство содержит следующие разделы:
Информация о руководстве
Данное руководство предназначено для администраторов и администраторов сетей, которые устанавливают новую сеть или которым необходимо создать сеть на основе доменов вместо сети, состоящей из рабочих групп. Сценарий развертывания, описанный в данном руководстве, особенно полезен, если в будущем предвидится необходимость добавления в сеть служб и компонентов.
Рекомендуется ознакомиться с руководствами по проектированию и развертыванию для каждой из используемых в данном сценарии развертывания технологий, которые помогут определить потребность в службах и конфигурациях, описанных в этом руководстве.
Основная сеть — это набор сетевого оборудования, устройств и программного обеспечения, который обеспечивает работу основных служб для удовлетворения ИТ-потребностей предприятия.
Основная сеть Windows Server предоставляет много преимуществ, в том числе перечисленные ниже.
Основные протоколы для организации связи компьютеров и других TCP/IP-совместимых устройств между собой по сети. TCP/IP — это набор стандартных протоколов для соединения компьютеров и построения сетей. TCP/IP — это программное обеспечение сетевого протокола, предоставляемое операционными системами Microsoft Windows, реализующими и поддерживающими набор протоколов TCP/IP.
Автоматическое назначение IP-адресов по протоколу DHCP компьютерам и другим устройствам, которые настроены как DHCP-клиенты. Настройка IP-адресов вручную на всех компьютерах сети отнимает время и обеспечивает меньшую гибкость, чем динамическое предоставление IP-адресов DHCP-сервером компьютерам и другим устройствам.
Служба доменных имен (DNS). Служба DNS предоставляет пользователям, компьютерам, приложениям и службам возможность выполнять поиск IP-адресов компьютеров и устройств в сети по полному доменному имени компьютера или устройства.
Лес — это один или несколько доменов Active Directory, использующих одни и те же определения классов и атрибутов (схему), сведения о сайтах и репликации (конфигурацию), а также возможности поиска по всему лесу (глобальный каталог).
Корневой домен леса — это первый домен, созданный в лесу. В корневом домене леса находятся группы "Администраторы предприятия" и "Администраторы схемы" — группы администраторов уровня леса. Кроме того, корневой домен леса, как и другие домены, представляет собой набор компьютеров, пользователей и объектов-групп, определенных администраторами в доменных службах Active Directory . Эти объекты используют общую базу данных каталога и политики безопасности. Они также могут совместно использовать отношения безопасности с другими доменами, если последние добавляются по мере расширения предприятия. Служба каталогов также хранит данные каталогов и позволяет авторизованным компьютерам, приложениям и пользователям получать доступ к данным.
База данных учетных записей пользователей и компьютеров. Служба каталогов представляет собой централизованную базу данных учетных записей пользователей, которая позволяет создавать учетные записи пользователей и компьютеров, имеющих право подключаться к сети и получать доступ к сетевым ресурсам, таким как приложения, базы данных, общие файлы, папки и принтеры.
Концепция основной сети предусматривает возможность масштабировать сеть по мере роста предприятия и изменения требований к ИТ. Например, с основной сетью можно добавлять домены, IP-подсети, службы удаленного доступа, беспроводные службы и другие функции и роли сервера, предоставляемые Windows Server 2016.
Требования к сетевому оборудованию
Чтобы успешно развернуть основную сеть, необходимо развернуть сетевое оборудование, включая указанное ниже.
Кабели Ethernet, Fast Ethernet или Gigabit Ethernet.
Концентратор, коммутатор второго или третьего уровня, маршрутизатор или другое устройство, которое выполняет функции ретрансляции сетевого трафика между компьютерами и устройствами.
Компьютеры, которые удовлетворяют минимальным требованиям к оборудованию для соответствующих клиентских и серверных операционных систем.
Чего в этом руководстве нет
В этом руководстве не содержатся указания по развертыванию перечисленных ниже компонентов.
Сетевое оборудование (кабели, маршрутизаторы, коммутаторы, концентраторы и пр.).
Дополнительные сетевые ресурсы (например, принтеры и файловые серверы).
Подключение к Интернету
Удаленный доступ.
Беспроводной доступ
Развертывание клиентских компьютеров.
Примечание.
Компьютеры под управлением клиентских систем Windows по умолчанию настраиваются для получения аренды IP-адресов с DHCP-сервера. Поэтому дополнительная настройка клиентских компьютеров для протоколов DHCP или IPv4 не требуется.
Обзор технологий
В следующих разделах приведен краткий обзор обязательных технологий, которые развертываются для создания основной сети.
Доменные службы Active Directory
Каталог представляет собой иерархическую структуру, содержащую информацию об объектах сети, таких как пользователи и компьютеры. Служба каталогов, например AD DS, предоставляет методы хранения данных каталога и предоставления этих данных сетевым пользователям и администраторам. Например, AD DS хранит сведения об учетных записях пользователей, включая имена, адреса электронной почты, пароли и номера телефонов, а также позволяет другим авторизованным пользователям в той же сети получить доступ к этой информации.
DNS
DNS — это протокол разрешения имен для сетей TCP/IP, таких как Интернет или сети предприятий. На DNS-сервере хранятся сведения, позволяющие клиентским компьютерам сопоставлять легко запоминаемые буквенно-цифровые DNS-имена с IP-адресами, которые компьютеры используют для связи друг с другом.
DHCP
DHCP — это стандарт IP для упрощения управления IP-конфигурацией узлов. Стандарт DHCP предусматривает использование DHCP-серверов для управления динамическим выделением IP-адресов и других сопутствующих сведений о настройке для клиентов сети, поддерживающих DHCP.
Протокол DHCP позволяет использовать DHCP-сервер для динамического назначения IP-адреса компьютеру или другому устройству в локальной сети. Любой компьютер в сети TCP/IP должен иметь уникальный IP-адрес, который вместе с маской подсети однозначно определяет главный компьютер и подсеть, в которой этот компьютер находится. Используя DHCP, можно проверить, все ли компьютеры, настроенные в качестве DHCP-клиентов, получают IP-адреса, предназначенные для данной подсети и расположения в сети; такие параметры DHCP, как шлюз по умолчанию и DNS-серверы, вместе с информацией о правильной работе в сети можно автоматически передавать DHCP-клиентам.
Для сетей на базе TCP/IP DHCP снижает сложность и количество административной работы, которая требуется для перенастройки компьютеров.
TCP/IP
TCP/IP в Windows Server 2016 :
сетевое программное обеспечение, которое основано на сетевых протоколах, являющихся отраслевым стандартом;
маршрутизируемый протокол корпоративных сетей, обеспечивающий подключение компьютера под управлением Windows к локальным и глобальным сетям;
базовые технологии и служебные программы для соединения компьютеров под управлением ОС Windows с разнородными системами для обмена данными;
основа доступа к глобальным службам Интернета, таким как веб-серверы и FTP-серверы;
надежная, масштабируемая кроссплатформенная система клиент-сервер.
TCP/IP обеспечивает основные служебные программы TCP/IP, которые позволяют компьютерам под управлением Windows соединяться с другими системами, произведенными как корпорацией Майкрософт, так и другими компаниями. Ниже указаны некоторые из них.
Windows Server 2016
Windows 10
Windows Server 2012 R2
Windows 8.1
Windows Server 2012
Windows 8
Windows Server 2008 R2
Windows 7
Windows Server 2008
Windows Vista
Узлы в Интернете
Системы Apple Macintosh
Мэйнфреймы IBM
Системы UNIX и Linux
Системы Open VMS
Принтеры, готовые к сети
Планшеты и мобильные телефоны с поддержкой проводной технологии Ethernet или беспроводной технологии 802.11
Обзор основной сети
На следующем рисунке показана топология основной сети Windows Server.
Примечание.
Данное руководство также содержит инструкции по добавлению к топологии сети необязательного сервера политики сети (NPS) и веб-сервера (IIS), необходимых для создания безопасного развертывания проводного 802.1X и беспроводного доступа к сети, которые можно реализовать с помощью руководства по основной сети и вспомогательных инструкций. Дополнительные сведения см. в статье "Развертывание необязательных функций для проверки подлинности и веб-служб сетевого доступа".
Компоненты основной сети
Ниже приведено описание компонентов основной сети.
Маршрутизатор
В данном руководстве по развертыванию приведены инструкции по развертыванию основной сети с двумя подсетями, разделенными маршрутизатором, на котором включена пересылка пакетов протокола DHCP. При этом в зависимости от требований и доступных ресурсов можно развернуть коммутатор уровня 2 или 3 либо концентратор. При развертывании коммутатора коммутатор должен быть способен переадресации DHCP, или необходимо разместить DHCP-сервер в каждой подсети. При применении концентратора выполняется развертывание одной подсети, и необходимость в пересылке DHCP или использовании второй области на DHCP-сервере отпадает.
Статические конфигурации TCP/IP
На всех серверах, развернутых в данном примере, настроены статические IPv4-адреса. По умолчанию клиентские компьютеры настроены на получение IP-адресов в аренду от DHCP-сервера.
Глобальный каталог доменных служб Active Directory и DNS-сервер DC1
На этом сервере установлены службы домен Active Directory (AD DS) и система доменных имен (DNS), которая предоставляет службы разрешения каталогов и имен для всех компьютеров и устройств в сети.
DHCP-сервер DHCP1
На DHCP-сервере с именем DHCP1 настроена область, предоставляющая в аренду IP-адреса для компьютеров в локальной подсети. На DHCP-сервере также можно настроить дополнительные области, которые будут обеспечивать аренду IP-адресов для компьютеров в других подсетях, если на маршрутизаторах настроена пересылка пакетов DHCP.
Клиентские компьютеры
Компьютеры под управлением клиентских систем Windows по умолчанию настраиваются как DHCP-клиенты, которые автоматически получают IP-адреса и параметры DHCP с DHCP-сервера.
Планирование основной сети
Перед развертыванием основной сети необходимо спланировать перечисленные ниже элементы.
В последующих разделах приведены более подробные сведения о каждом из этих элементов.
Примечание.
Дополнительные сведения о планировании развертывания см . в приложении E — лист подготовки к планированию основной сети.
Планирование подсетей
В сетях TCP/IP для обеспечения взаимодействия оборудования и программного обеспечения, находящихся в разных сегментах физической сети (называемых подсетями), используются маршрутизаторы. Маршрутизаторы также используются для пересылки IP-пакетов между различными подсетями. Прежде чем перейти к выполнению инструкций данного руководства, определите физическую структуру сети, включая количество необходимых маршрутизаторов и подсетей.
Кроме того, для настройки статических IP-адресов серверов сети необходимо определить диапазон IP-адресов, используемых для подсети, в которой находятся серверы основной сети. В этом руководстве частные IP-адреса диапазоны 10.0.0.1 – 10.0.0.254 и 10.0.1.1 – 10.0.1.254 используются в качестве примеров, но вы можете использовать любой диапазон частных IP-адресов, который вы предпочитаете.
Внимание
После выбора диапазона IP-адресов для каждой подсети убедитесь, что IP-адреса маршрутизаторов принадлежат тому же диапазону адресов подсети, в которой маршрутизатор установлен. Например, если маршрутизатор имеет по умолчанию IP-адрес 192.168.1.1 и установлен в подсети 10.0.0.0/24, необходимо сменить его на адрес подсети, в которой он установлен.
В документе RFC 1918 определены следующие диапазоны частных IP-адресов:
10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255
При использовании диапазонов частных IP-адресов, определенных в документе RFC 1918, к Интернету нельзя подключаться напрямую с использованием этих адресов, поскольку маршрутизаторы поставщиков услуг Интернета автоматически отклоняют запросы, поступающие на эти адреса или с них. Чтобы в дальнейшем обеспечить подключение основной сети к Интернету, необходимо обратиться к поставщику услуг Интернета для получения общего IP-адреса.
Внимание
При применении частных IP-адресов необходимо использовать какой-либо прокси-сервер или NAT-сервер для преобразования IP-адресов из частного диапазона локальной сети в общий IP-адрес, маршрутизируемый в сети Интернет. Большинство маршрутизаторов предоставляют службу NAT, поэтому выбор маршрутизатора не составит особого труда.
Дополнительные сведения см. в статье "Планирование развертывания DHCP1".
Планирование базовой конфигурации всех серверов
Каждый сервер необходимо переименовать и назначить ему статический IPv4-адрес, а также остальные свойства TCP/IP.
Планирование контекстов именования для компьютеров и устройств
Для соблюдения единообразия в сети в целом целесообразно использовать согласованные имена для серверов, принтеров и других устройств. Имена компьютеров можно использовать для того, чтобы упростить пользователям и администраторам задачу определения назначения и расположения серверов, принтеров и других устройств. Например, если у вас есть три DNS-сервера, один в Сан-Франциско, один в Лос-Анджелесе и один в Чикаго, можно использовать номер расположения-функции-сервера именования:
DNS-DEN-01. Данное имя представляет собой DNS-сервер в Денвере, штат Колорадо. Если в Денвере будут добавлены DNS-серверы, то можно увеличить числовое значение в имени, например: DNS-DEN-02 и DNS-DEN-03.
DNS-SPAS-01. Данное имя представляет собой DNS-сервер в Южной Пасадене, штат Калифорния.
DNS-ORL-01. Данное имя представляет собой DNS-сервер в Орландо, штат Флорида.
В этом руководстве контекст именования серверов очень прост и состоит из обозначения функции сервера-источника и номера. Например, контроллер домена называется DC1, а DHCP-сервер -– DHCP1.
Контекст именования с помощью данного руководства рекомендуется определить до установки основной сети.
Планирование статических IP-адресов
Перед настройкой статического IP-адреса для каждого из компьютеров необходимо спланировать подсети и диапазоны IP-адресов. Кроме того, необходимо определить IP-адреса DNS-серверов. Если планируется установка маршрутизатора, который обеспечивает доступ в другие сети, такие как дополнительные подсети или Интернет, необходимо знать IP-адрес маршрутизатора (который также называется шлюзом по умолчанию) для настройки статической IP-адресации.
В таблице ниже приведены примеры значений настройки статических IP-адресов.
| Элементы конфигурации | Пример значений |
|---|---|
| IP-адрес | 10.0.0.2 |
| Маска подсети | 255.255.255.0 |
| Шлюз по умолчанию (IP-адрес маршрутизатора) | 10.0.0.1 |
| Предпочитаемый DNS-сервер | 10.0.0.2 |
Примечание.
Если планируется развертывание нескольких DNS-серверов, можно также запланировать IP-адрес альтернативного DNS-сервера.
Планирование развертывания DC1
Ниже приведены основные этапы планирования перед установкой служб домен Active Directory (AD DS) и DNS на DC1.
Планирование имени корневого домена леса
Первым шагом в процессе разработки AD DS является определение количества лесов, необходимых вашей организации. Лес является контейнером AD DS верхнего уровня и состоит из одного или нескольких доменов, которые совместно используют общую схему и глобальный каталог. В организации может быть несколько лесов, но для большинства организаций предпочтительной моделью, которую проще администрировать, является схема с одним лесом.
При создании первого контроллера домена предприятия создается первый домен (который также называется корневым доменом леса) и первый лес. Однако перед выполнением действий, описанных в данном руководстве, необходимо определить оптимальное имя домена для предприятия. В большинстве случаев в качестве имени домена используется название организации, и во многих случаях это имя домена и регистрируется. Если планируется развернуть веб-серверы с выходом в Интернет, чтобы предоставлять информацию и службы для клиентов или партнеров, выберите неиспользуемое имя домена, а затем зарегистрируйте его в собственность на ваше предприятие.
Планирование режима работы леса
При установке AD DS необходимо выбрать функциональный уровень леса, который требуется использовать. Функции домена и леса, представленные в Windows Server 2003 Active Directory, позволяют включить функции Active Directory на уровне домена или леса в сетевой среде. В зависимости от среды доступны различные режимы работы домена и леса.
Возможности леса включают компоненты во всех доменах леса. Ниже перечислены доступные режимы работы леса.
Windows Server 2008. Этот уровень функциональности леса поддерживает только контроллеры домена под управлением Windows Server 2008 и более поздних версий операционной системы Windows Server.
Windows Server 2008 R2. Этот уровень функциональности леса поддерживает контроллеры домена Windows Server 2008 R2 и контроллеры домена, работающие в более поздних версиях операционной системы Windows Server.
Windows Server 2012. Этот уровень функциональности леса поддерживает контроллеры домена и контроллеры домена Windows Server 2012, работающие в более поздних версиях операционной системы Windows Server.
Windows Server 2012 R2. Этот уровень функциональности леса поддерживает контроллеры домена Windows Server 2012 R2 и контроллеры домена, работающие в более поздних версиях операционной системы Windows Server.
Windows Server 2016. Этот уровень функциональности леса поддерживает только контроллеры домена Windows Server 2016 и контроллеры домена, работающие в более поздних версиях операционной системы Windows Server.
Если вы развертываете новый домен в новом лесу и все контроллеры домена будут работать под управлением Windows Server 2016, рекомендуется настроить AD DS с функциональным уровнем работы леса Windows Server 2016 во время установки AD DS.
Внимание
При повышении режима работы леса контроллеры домена, работающие под управлением более ранних операционных систем, нельзя включить в лес. Например, если вы повышаете функциональный уровень леса до Windows Server 2016, контроллеры домена под управлением Windows Server 2012 R2 или Windows Server 2008 нельзя добавить в лес.
Примеры элементов конфигурации для AD DS приведены в следующей таблице.
| Элементы конфигурации | Примеры значений: |
|---|---|
| Полное DNS-имя | Примеры: - corp.contoso.com |
| Режим работы леса | — Windows Server 2008 — Windows Server 2008 R2 — Windows Server 2012 — Windows Server 2012 R2 — Windows Server 2016 |
| Расположение папки базы данных доменных служб Active Directory | E:\Configuration\ Можно также принять расположение по умолчанию. |
| Расположение папки файлов журнала доменных служб Active Directory | E:\Configuration\ Можно также принять расположение по умолчанию. |
| Расположение папки SYSVOL доменных служб Active Directory | E:\Configuration\ Можно также принять расположение по умолчанию. |
| Пароль администратора режима восстановления каталога | J*p2leO4$F |
| Имя файла ответов (необязательно) | AD DS_AnswerFile |
Планирование зон DNS
На основных DNS-серверах, интегрированных в службу каталогов Active Directory, зона прямого просмотра создается по умолчанию в процессе установки роли DNS-сервера. Зона прямого просмотра позволяет компьютерам и устройствам запрашивать IP-адреса других компьютеров или устройств на основании их DNS-имен. В дополнение к зоне прямого просмотра рекомендуется создать зону обратного просмотра DNS. С помощью запросов обратного просмотра DNS компьютеры и устройства могут узнавать имена других компьютеров и устройств по их IP-адресам. Развертывание зоны обратного просмотра обычно повышает эффективность работы службы DNS и существенно повышает успешность выполнения запросов DNS.
Чтобы обеспечить удобный и надежный способ выполнения обратных запросов, при создании зоны обратного просмотра в службе DNS устанавливается домен in-addr.arpa, определенный в стандартах DNS и зарезервированный в пространстве имен DNS Интернета. Чтобы создать обратное пространство имен, в домене in-addr.arpa формируются дочерние домены с использованием обратного порядка разделяемых точками десятичных чисел в IP-адресах.
Домен in-addr.arpa применяется ко всем сетям TCP/IP, основанным на адресации протокола 4 (IPv4). Мастер создания зоны автоматически предполагает, что этот домен используется при создании новой зоны обратного просмотра.
При запуске мастера создания новой зоны рекомендуется выбрать указанные ниже значения.
| Элементы конфигурации | Пример значений |
|---|---|
| Тип зоны | Выбрана основная зона и сохранение зоны в Active Directory |
| Область репликации зоны, интегрированной в Active Directory | Все DNS-серверы в этом домене |
| Страница мастера первого имени зоны обратного просмотра | Зона обратного поиска IPv4 |
| Страница мастера второго имени зоны обратного просмотра | Идентификатор сети = 10.0.0. |
| Динамические обновления | Разрешить только безопасные динамические обновления |
Планирование доступа к домену
Для входа в домен компьютер должен быть компьютер-член домена, а учетная запись пользователя должна быть создана в AD DS перед попыткой входа.
Примечание.
Отдельные компьютеры под управлением Windows содержат базу данных учетных записей локальных пользователей и групп, которая называется базой данных учетных записей диспетчера учетных записей безопасности (SAM). При создании учетной записи в базе данных SAM на локальном компьютере можно выполнить вход на этот компьютер, но невозможно войти в домен. Учетные записи домена создаются с помощью консоли управления (MMC) и оснастки "Пользователи и компьютеры Active Directory" на контроллере домена, а не оснастки "Локальные пользователи и группы" на локальном компьютере.
После первого успешного входа с учетными данными для входа в домен параметры входа существуют до тех пор, пока компьютер не удаляется из домена или параметры входа не изменяются вручную.
Перед входом в домен необходимо выполнить указанные ниже действия.
Создайте учетные записи пользователей в оснастке "Пользователи и компьютеры Active Directory". У каждого пользователя в оснастке "Пользователи и компьютеры Active Directory" должна быть учетная запись пользователя доменных служб Active Directory. Дополнительные сведения см. в разделе "Создание учетной записи пользователя" в Пользователи и компьютеры Active Directory.
Проверьте правильность конфигурации IP-адреса. Для присоединения компьютера к домену компьютер должен иметь IP-адрес. В данном руководстве у серверов настроены статические IP-адреса, а компьютеры получают IP-адреса в аренду от DHCP-сервера. Поэтому перед присоединением клиентов к домену необходимо развернуть DHCP-сервер. Дополнительные сведения см. в разделе "Развертывание DHCP1".
Присоедините компьютер к домену. Любой компьютер, предоставляющий или получающий доступ к сетевым ресурсам, должен быть присоединен к домену. Дополнительные сведения см. в разделе "Присоединение компьютеров сервера к домену" и присоединение клиентских компьютеров к домену и входу в систему.
Планирование развертывания DHCP1
Ниже описаны основные действия, которые необходимо выполнить перед установкой роли DHCP-сервера на компьютер DHCP1.
Планирование DHCP-серверов и пересылки DHCP
Поскольку сообщения DHCP являются широковещательными, маршрутизаторы не пересылают их между подсетями. Если имеется несколько подсетей и службу DHCP требуется обеспечить для каждой из них, необходимо выполнить одно из описанных ниже действий.
Установите DHCP-сервер в каждой из подсетей.
Настройте маршрутизаторы на пересылку широковещательных сообщений DHCP между подсетями, а на DHCP-сервере настройте несколько областей (по одной на подсеть).
В большинстве случаев настройка маршрутизаторов на пересылку широковещательных сообщений DHCP является более экономически эффективным решением, чем развертывание DHCP-сервера в каждом из физических сегментов сети.
Планирование диапазонов IP-адресов
У каждой подсети должен быть собственный уникальный диапазон IP-адресов. Эти диапазоны представлены на DHCP-сервере с помощью областей.
Область представляет собой группировку IP-адресов в целях администрирования для компьютеров подсети, в которой используется служба DHCP. Администратор сначала создает область для каждой физической подсети, а затем использует ее для определения параметров клиентских компьютеров.
Область имеет указанные ниже свойства.
Диапазон IP-адресов, в котором осуществляется включение или исключение адресов, используемых в предложениях на выделение адреса службы DHCP.
Маска подсети, определяющая префикс подсети для конкретного IP-адреса.
Имя области, назначаемое при ее создании.
Сроки действия аренды адресов, которые назначаются DHCP-клиентам, получающим динамически выделяемые IP-адреса.
Любые параметры области DHCP, настроенные для назначения DHCP-клиентам, такие как IP-адрес DNS-сервера и маршрутизатора или шлюза по умолчанию.
Резервирование — дополнительная возможность, обеспечивающая постоянное получение DHCP-клиентом одного и того же IP-адреса.
Перед развертыванием серверов создайте список подсетей и диапазонов IP-адресов, которые необходимо использовать для каждой из подсетей.
Планирование масок подсетей
Для различения идентификаторов сетей и адресов узлов используется маска подсети. Каждая маска подсети — это 32-разрядное число, в котором группа последовательных единичных битов (1) используется для обозначения идентификатора сети, а группа последовательных нулевых битов (0) — для обозначения адреса узла в IP-адресе.
Например, с IP-адресом 131.107.16.200 обычно используется маска подсети, которая представляет собой следующее 32-разрядное двоичное число:
11111111 11111111 00000000 00000000
Этот номер маски подсети составляет 16 одно битов, за которым следует 16 ноль-битов, указывая, что идентификатор сети и разделы идентификатора узла этого IP-адреса имеют длину 16 битов. Обычно маска подсети отображается в виде десятичных чисел, разделенных точками (255.255.0.0).
В таблице ниже приведены маски подсетей для классов адресов Интернета.
| Класс адреса | Количество битов для маски подсети | Маска подсети |
|---|---|---|
| Класс A | 11111111 00000000 00000000 00000000 | 255.0.0.0 |
| Класс B | 11111111 11111111 00000000 00000000 | 255.255.0.0 |
| Класс C | 11111111 11111111 11111111 00000000 | 255.255.255.0 |
При создании области в DHCP и вводе диапазона IP-адресов для области служба DHCP обеспечивает эти значения масок подсетей по умолчанию. Обычно значения масок подсетей по умолчанию применимы для большинства сетей, не имеющих особых требований, а также там, где каждый сегмент IP-сети соответствует одной физической сети.
В некоторых случаях для реализации IP-подсетей маски подсетей можно настраивать. При использовании IP-подсетей часть адреса узла по умолчанию можно разделить, чтобы определить подсети, которые являются подразделениями исходного идентификатора сети какого-либо класса.
Настройкой длины маски подсети можно уменьшить количество бит, необходимое для адреса узла.
Чтобы избежать проблем с адресацией и маршрутизацией, необходимо убедиться в том, что все компьютеры сегмента подсети, поддерживающие протокол TCP/IP, используют одинаковую маску подсети и что у каждого устройства имеется уникальный IP-адрес.
Планирование диапазонов исключения
При создании области на DHCP-сервере укажите диапазон IP-адресов, включающий все адреса, которые разрешено арендовать DHCP-клиентам, таким как компьютеры и другие устройства. Если вручную установить статические IP-адреса некоторым серверам и устройствам из того же диапазона адресов, который DHCP-сервер предоставляет в аренду, можно непреднамеренно создать конфликт IP-адресов, при котором вы и DHCP-сервер назначите один и тот же адрес разным устройствам.
Чтобы избежать этого, необходимо создать диапазон исключения для области DHCP. Диапазон исключений — это непрерывный диапазон IP-адресов в диапазоне IP-адресов область, который dhcp-сервер не может использовать. Если вы создаете диапазон исключений, DHCP-сервер не назначает адреса в этом диапазоне, позволяя вручную назначать эти адреса без создания конфликта IP-адресов.
IP-адреса можно исключить из распределения DHCP-сервером с помощью создания диапазона исключения для каждой области. Исключения необходимо использовать для всех устройств, для которых настроены статические IP-адреса. Исключаемые адреса должны включать все IP-адреса, вручную назначенные другим серверам, клиентам, не поддерживающим DHCP, бездисковым рабочим станциям или клиентам маршрутизации и удаленного доступа и PPP-клиентам.
Рекомендуется добавить в диапазоны исключения дополнительные адреса, чтобы предусмотреть рост сети в будущем. В следующей таблице представлен пример диапазона исключений для область с диапазоном IP-адресов 10.0.0.1 – 10.0.0.254 и маской подсети 255.255.255.0.
| Элементы конфигурации | Пример значений |
|---|---|
| Начальный IP-адрес диапазона исключения | 10.0.0.1 |
| Конечный IP-адрес диапазона исключения | 10.0.0.25 |
Планирование статической конфигурации TCP/IP
Определенные устройства, такие как маршрутизаторы, DHCP-серверы и DNS-серверы, необходимо настраивать с использованием статических IP-адресов. Кроме того, принтерам и другим дополнительным устройствам также может потребоваться назначение постоянного IP-адреса. Создайте для каждой подсети список устройств, которые необходимо настроить статически, а затем запланируйте диапазон исключения, который необходимо использовать на DHCP-сервере, чтобы последний не сдавал в аренду IP-адреса статически настроенных устройств. Диапазон исключения — это ограниченная последовательность IP-адресов области, исключаемых из числа назначаемых службой DHCP. Сервер не назначает DHCP-клиентам сети адреса из диапазонов исключения.
Например, если диапазон IP-адресов для подсети равен 192.168.0.1–192.168.0.254 и у вас есть десять устройств, которые нужно настроить со статическим IP-адресом, можно создать диапазон исключений для 192.168.0.x область, включая десять или более IP-адресов: 192.168.0.1 до 192.168.0.15.
В данном примере десять из числа исключаемых IP-адресов используются для настройки статических IP-адресов на серверах и других устройствах, а пять дополнительных IP-адресов оставлены про запас для статической настройки новых устройств, которые могут быть добавлены в будущем. При использовании этого диапазона исключения DHCP-серверу оставлен пул адресов 192.168.0.16–192.168.0.254.
Дополнительные примеры элементов конфигурации для AD DS и DNS приведены в следующей таблице.
| Элементы конфигурации | Пример значений |
|---|---|
| Привязки сетевых подключений | Ethernet |
| Параметры DNS-сервера | DC1.corp.contoso.com |
| IP-адрес предпочитаемого DNS-сервера | 10.0.0.2 |
| Значения диалогового окна "Добавление области" 1. Имя области |
1. Первичная подсеть 2. 10.0.0.1 3. 10.0.0.254 4. 255.255.255.0 5. 10.0.0.1 6. 8 дней |
| Режим работы DHCP-сервера IPv6 | Не включено |
Развертывание основной сети
Чтобы развернуть основную сеть, необходимо выполнить следующие действия:
Присоединение компьютеров сервера к домену и входу в систему
Присоединение клиентских компьютеров к домену и входу в систему
Развертывание дополнительных функций для проверки подлинности сетевого доступа и веб-служб
Примечание.
- В данном руководстве для большинства процедур предоставляются аналогичные команды Windows PowerShell. Перед выполнением этих командлетов в Windows PowerShell замените значения примера значениями, подходящими для вашего развертывания сети. Кроме этого, необходимо в Windows PowerShell вводить каждый командлет в одной строке. В данном руководстве отдельные командлеты могут быть показаны в несколько строк из-за ограничений форматирования, а также в результате отображения документа браузером или другим приложением.
- Процедуры, описанные в этом руководстве, не содержат инструкции для тех случаев, когда откроется диалоговое окно "Контроль учетных записей пользователей", чтобы запросить разрешение на продолжение. Если это диалоговое окно откроется во время выполнения процедур в этом руководстве, и если диалоговое окно было открыто в ответ на ваши действия, нажмите кнопку "Продолжить".
Настройка всех серверов
Перед установкой других технологий, таких как DHCP или доменные службы Active Directory, важно настроить следующие элементы.
Указанные ниже разделы можно использовать для выполнения этих действий для каждого из серверов.
Членство в Администратор istrator или эквивалентном является минимальным обязательным для выполнения этих процедур.
переименование компьютера
Процедуру в этом разделе можно использовать для изменения имени компьютера. Переименование компьютеров полезно в тех случаях, когда в операционной системе уже создано имя компьютера, которое использовать нежелательно.
Примечание.
Для переименования откройте Windows PowerShell и введите следующие командлеты в отдельных строках, а затем нажмите клавишу ВВОД. Необходимо также заменить ComputerName именем, которое вы хотите использовать.
Rename-ComputerИмяКомпьютера
Restart-Computer
Переименование компьютеров под управлением Windows Server 2016, Windows Server 2012 R2 и Windows Server 2012
В диспетчер сервера щелкните локальный сервер. Свойства компьютера отображаются в области сведений.
В разделе "Свойства" в имени компьютера щелкните существующее имя компьютера. Откроется диалоговое окно " Свойства системы". Щелкните Изменить. Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В диалоговом окне "Изменения имени компьютера" или "Домен" введите новое имя компьютера. Например, если требуется назовите компьютер DC1, введите DC1.
Дважды нажмите кнопку ОК, а затем кнопку Закрыть. Если вы хотите перезагрузить компьютер сразу же, чтобы завершить изменение имени, нажмите кнопку "Перезапустить сейчас". В противном случае нажмите кнопку " Перезапустить позже".
Примечание.
Сведения о переименовании компьютеров под управлением других операционных систем Майкрософт см . в приложении A . Переименование компьютеров.
Настройка статического IP-адреса
Для настройки свойств протокола 4 (IPv4) сетевого подключения со статическим IP-адресом для компьютеров под управлением Windows Server 2016 можно использовать процедуры, описанные в этом разделе.
Примечание.
Для переименования откройте Windows PowerShell и введите следующие командлеты в отдельных строках, а затем нажмите клавишу ВВОД. Кроме того, в этом примере необходимо переименовать интерфейсы и сменить IP-адреса на значения, подходящие для вашего компьютера.
New-NetIPAddress -IPAddress 10.0.0.2 -InterfaceAlias "Ethernet" -DefaultGateway 10.0.0.1 -AddressFamily IPv4 -PrefixLength 24
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 127.0.0.1
Настройка статического IP-адреса на компьютерах под управлением Windows Server 2016, Windows Server 2012 R2 и Windows Server 2012
На панели задач щелкните правой кнопкой мыши значок "Сеть" и выберите пункт "Открыть сеть" и "Центр общего доступа".
В Центре управления сетями и общим доступом нажмите кнопку "Изменить параметры адаптера". Откроется папка "Сеть Подключение ions" и отображается доступные сетевые подключения.
В сетевых Подключение ion щелкните правой кнопкой мыши подключение, которое требуется настроить, и выберите пункт "Свойства". Откроется диалоговое окно "Свойства сетевого подключения".
В диалоговом окне "Свойства сетевого подключения" в этом подключении используются следующие элементы, выберите протокол Интернета версии 4 (TCP/IPv4) и нажмите кнопку "Свойства". Откроется диалоговое окно "Свойства протокола Интернета" версии 4 (TCP/IPv4).
В свойствах ПРОТОКОЛА ИНТЕРНЕТА версии 4 (TCP/IPv4) на вкладке "Общие " нажмите кнопку "Использовать следующий IP-адрес". В поле IP-адрес введите IP-адрес, который вы хотите использовать.
Нажмите клавишу TAB, чтобы поместить курсор в маску подсети. Значение маски подсети по умолчанию будет введено автоматически. Примите значение по умолчанию или введите нужное значение маски подсети.
В шлюзе по умолчанию введите IP-адрес шлюза по умолчанию.
Примечание.
Необходимо настроить шлюз по умолчанию с тем же IP-адресом, который используется в интерфейсе локальной сети (LAN) маршрутизатора. Например, если у вас есть маршрутизатор, подключенный к широкой сети (глобальной сети), например Интернет, а также к локальной сети, настройте интерфейс локальной сети с тем же IP-адресом, который будет указан в качестве шлюза по умолчанию. В другом примере, если маршрутизатор подключен к двум локальным сетям (LAN), где в сети LAN A используется диапазон адресов 10.0.0.0/24, а в сети LAN B — 192.168.0.0/24, назначьте интерфейсу маршрутизатора LAN A IP-адрес 10.0.0.1. Кроме того, в область DHCP для этого диапазона адресов настройте шлюз по умолчанию с IP-адресом 10.0.0.1. Для локальной сети B настройте интерфейс маршрутизатора LAN B с адресом из этого диапазона адресов, например 192.168.0.1, а затем настройте локальную сеть B область 192.168.0.0/24 со значением шлюза по умолчанию 192.168.0.1.
В поле "Предпочтительный DNS-сервер" введите IP-адрес DNS-сервера. Если как предпочитаемый DNS-сервер планируется использовать локальный компьютер, введите его IP-адрес.
В альтернативном DNS-сервере введите IP-адрес альтернативного DNS-сервера, если таковой есть. Если как альтернативный DNS-сервер планируется использовать локальный компьютер, введите его IP-адрес.
Нажмите кнопку OK , затем кнопку Закрыть.
Примечание.
Сведения о настройке статического IP-адреса на компьютерах под управлением других операционных систем Майкрософт см . в приложении B. Настройка статических IP-адресов.
Развертывание DC1
Чтобы развернуть DC1, который является компьютером, на котором запущены службы домен Active Directory (AD DS) и DNS, выполните следующие действия в следующем порядке:
Выполните действия, описанные в разделе "Настройка всех серверов".
Создание учетной записи пользователя в Пользователи и компьютеры Active Directory
Права администратора
Если вы устанавливаете небольшую сеть и являетесь единственным администратором сети, рекомендуется создать учетную запись пользователя для себя, а затем добавить свою учетную запись пользователя в качестве члена групп "Администраторы предприятия" и "Администраторы домена". Это упростит администрирование всех сетевых ресурсов. Также рекомендуется выполнять вход с этой учетной записью, только если необходимо выполнять административные задачи, а для не связанных с ИТ задач создать отдельную учетную запись пользователя.
Если у вас есть более крупная организация с несколькими администраторами, обратитесь к документации AD DS, чтобы определить лучшее членство в группах для сотрудников организации.
Различия между учетными записями пользователей домена и учетными записями пользователей на локальном компьютере
Одним из преимуществ доменной инфраструктуры является то, что учетные записи пользователей не нужно создавать на каждом компьютере домена. Неважно, идет ли речь о клиентском компьютере или о сервере.
Это избавляет от необходимости создания учетных записей пользователей на каждом из компьютеров домена. Создайте все учетные записи пользователей в консоли "Пользователи и компьютеры Active Directory" и используйте описанные выше процедуры для назначения членства в группах. По умолчанию все учетные записи пользователей являются членами группы "Пользователи домена".
Все члены группы "Пользователи домена" могут входить на любой клиентский компьютер после присоединения его к домену.
Для учетных записей пользователей можно определить дни и время, в которые пользователи могут входить на компьютер. Также можно определить для каждого пользователя компьютеры, на которых он может работать. Чтобы настроить эти параметры, откройте консоль "Пользователи и компьютеры Active Directory", найдите учетную запись пользователя, которую необходимо настроить, и дважды щелкните ее. В свойствах учетной записи пользователя перейдите на вкладку "Учетная запись", а затем выберите "Часы входа" или "Войти".
Установка AD DS и DNS для нового леса
Для установки служб домен Active Directory (AD DS) и DNS можно использовать одну из следующих процедур, чтобы создать новый домен в новом лесу.
Первая процедура содержит инструкции по выполнению этих действий с помощью Windows PowerShell, а вторая процедура показывает, как установить AD DS и DNS с помощью диспетчер сервера.
Внимание
После завершения выполнения действий, описанных в этой процедуре, компьютер автоматически перезагрузится.
Установка AD DS и DNS с помощью Windows PowerShell
Для установки и настройки AD DS и DNS можно использовать следующие команды. В этом примере необходимо заменить доменное имя значением, которое вы хотите использовать для вашего домена.
Примечание.
Дополнительные сведения об этих командах Windows PowerShell см. в следующих справочных разделах.
Членство в Администратор istrators является минимальным обязательным для выполнения этой процедуры.
- Запустите Windows PowerShell в качестве Администратор istrator, введите следующую команду и нажмите клавишу ВВОД:
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools`
После успешного завершения установки в Windows PowerShell отображается следующее сообщение.
| Удачное завершение | Необходимо перезапустить | Код завершения | Результат функции |
|---|---|---|---|
| Истина | No | Удачное завершение | {домен Active Directory Services, Group P... |
- В Windows PowerShell введите следующую команду, заменив текст corp.contoso.com именем домена, а затем нажмите клавишу ВВОД:
Install-ADDSForest -DomainName "corp.contoso.com"
Во время процесса установки и настройки, который отображается в верхней части окна Windows PowerShell, появится следующая строка. После появления введите пароль и нажмите клавишу ВВОД.
Сейф Mode Администратор istratorPassword:
После ввода пароля и нажатия клавиши ВВОД появится следующая строка подтверждения. Введите тот же пароль и нажмите клавишу ВВОД.
Подтвердите Сейф Mode Администратор istratorPassword:
Когда появится следующая строка, введите букву Y и нажмите клавишу ВВОД.
The target server will be configured as a domain controller and restarted when this operation is complete. Do you want to continue with this operation? [Y] Yes [A] Yes to All [N] No [L] No to All [S] Suspend [?] Help (default is "Y"):Если вы хотите, вы можете прочитать предупреждения, отображаемые во время обычной успешной установки AD DS и DNS. Эти сообщения являются нормальными и не являются признаком сбоя установки.
После успешной установки появится сообщение о том, что вы будете выходить из компьютера, чтобы компьютер смог перезапустить. Если нажать кнопку "Закрыть", вы сразу же войдете в систему, а компьютер перезагрузится. Если вы не нажимаете кнопку "Закрыть", компьютер перезагрузится после периода времени по умолчанию.
После перезапуска сервера можно проверить успешную установку служб домен Active Directory и DNS. Откройте Windows PowerShell, введите следующую команду и нажмите клавишу ВВОД.
Get-WindowsFeature
Результаты этой команды отображаются в Windows PowerShell и должны быть похожи на результаты на рисунке ниже. Для установленных технологий квадратные скобки слева от имени технологии содержат символ X, а значение состояния установки установлено.
Установка AD DS и DNS с помощью диспетчер сервера
В dc1 в диспетчер сервера нажмите кнопку "Управление", а затем нажмите кнопку "Добавить роли и компоненты". Откроется мастер добавления ролей и компонентов.
Перед началом работы нажмите кнопку "Далее".
Примечание.
Страница "Перед началом работы " мастера добавления ролей и компонентов не отображается, если вы ранее выбрали "Пропустить эту страницу" по умолчанию при запуске мастера добавления ролей и компонентов.
В разделе "Выбор типа установки" убедитесь, что выбрана установка на основе ролей или компонентов, а затем нажмите кнопку "Далее".
В разделе "Выбор целевого сервера" убедитесь, что выбран сервер из пула серверов. В пуле серверов убедитесь, что выбран локальный компьютер. Нажмите кнопку Далее.
В разделе "Выбор ролей сервера" в разделе "Роли" щелкните домен Active Directory Службы. В разделе "Добавление функций", необходимых для служб домен Active Directory, нажмите кнопку "Добавить компоненты". Нажмите кнопку Далее.
В разделе "Выбор функций" нажмите кнопку "Далее" и в службах домен Active Directory просмотрите предоставленные сведения и нажмите кнопку "Далее".
В разделе "Подтверждение выбора установки" нажмите кнопку "Установить". На странице хода установки отображается состояние процесса. Когда процесс завершится, в сведениях о сообщении нажмите кнопку "Повысить уровень этого сервера" на контроллер домена. Откроется мастер настройки доменных служб Active Directory.
В разделе "Конфигурация развертывания" выберите "Добавить новый лес". В корневом доменном имени введите полное доменное имя (FQDN) для вашего домена. Например, если полное доменное имя corp.contoso.com, введите corp.contoso.com. Нажмите кнопку Далее.
В разделе "Параметры контроллера домена" выберите функциональный уровень нового леса и корневого домена, выберите уровень функциональности леса и функциональный уровень домена, который требуется использовать. В разделе "Указание возможностей контроллера домена" убедитесь, что выбран сервер системы доменных имен (DNS) и глобальный каталог (GC). В поле "Пароль" и "Подтверждение пароля" введите пароль режима восстановления служб каталогов (DSRM), который вы хотите использовать. Нажмите кнопку Далее.
В параметрах DNS нажмите кнопку "Далее".
В разделе "Дополнительные параметры" проверьте имя NetBIOS, назначенное домену, и измените его только при необходимости. Нажмите кнопку Далее.
В пути в разделе "Указание расположения базы данных AD DS", файлов журналов и SYSVOL выполните одно из следующих действий:
Примите значения по умолчанию.
Введите расположения папок, которые необходимо использовать для папки базы данных, папки файлов журнала и папки SYSVOL.
Нажмите кнопку Далее.
В разделе "Параметры проверки" просмотрите выбранные варианты.
Если вы хотите экспортировать параметры в скрипт Windows PowerShell, нажмите кнопку "Просмотреть сценарий". Сценарий откроется в Блокноте, сохранить сценарий можно в любой папке. Нажмите кнопку Далее. При проверке предварительных требований проверяются выбранные элементы. Когда проверка завершится, нажмите кнопку "Установить". При появлении запроса в Windows нажмите кнопку "Закрыть". Сервер перезагрузится, чтобы завершить установку AD DS и DNS.
Чтобы проверить успешную установку, просмотрите консоль диспетчер сервера после перезапуска сервера. Ad DS и DNS должны отображаться в левой области, например выделенные элементы на рисунке ниже.
Создание учетной записи пользователя в Пользователи и компьютеры Active Directory
Данная процедура используется для создания учетной записи пользователя домена в оснастке "Пользователи и компьютеры Active Directory" консоли управления (MMC).
Членство в домене Администратор или эквивалентных параметров является минимальным обязательным для выполнения этой процедуры.
Примечание.
Для выполнения этой процедуры откройте Windows PowerShell и введите в отдельной строке следующий командлет, а затем нажмите клавишу ВВОД. Кроме того, смените имя учетной записи пользователя в этом примере на то, которое должно использоваться.
New-ADUser -SamAccountName User1 -AccountPassword (read-host "Set user password" -assecurestring) -name "User1" -enabled $true -PasswordNeverExpires $true -ChangePasswordAtLogon $false
После этого нажмите клавишу ВВОД, введите пароль учетной записи пользователя. Созданная учетная запись по умолчанию будет входить в группу "Пользователи домена".
С помощью следующего командлета новую учетную запись пользователя можно ввести в другие группы. В примере, показанном ниже, пользователь User1 добавляется в группы "Администраторы домена" и "Администраторы предприятия". Прежде чем выполнять данную команду, проверьте, что имя учетной записи пользователя, имя домена и названия групп соответствуют вашим требованиям.
Add-ADPrincipalGroupMembership -Identity "CN=User1,CN=Users,DC=corp,DC=contoso,DC=com" -MemberOf "CN=Enterprise Admins,CN=Users,DC=corp,DC=contoso,DC=com","CN=Domain Admins,CN=Users,DC=corp,DC=contoso,DC=com"
Создание учетной записи пользователя
В dc1 в диспетчер сервера щелкните "Сервис" и щелкните Пользователи и компьютеры Active Directory. Откроется консоль управления "Пользователи и компьютеры Active Directory". Если узел домена еще не выбран, выберите его. Например, если домен corp.contoso.com, щелкните corp.contoso.com.
В области сведений щелкните правой кнопкой мыши папку, в которую следует добавить учетную запись пользователя.
Где?
- папка узла Пользователи и компьютеры Active Directory/домена/
Наведите указатель мыши на "Создать" и нажмите кнопку "Пользователь". Откроется диалоговое окно "Новый объект — пользователь ".
В поле "Имя" введите имя пользователя.
В поле Initials введите инициалы пользователя.
В поле "Фамилия" введите фамилию пользователя.
Измените полное имя , чтобы добавить инициалы или изменить порядок имен и фамилий.
В поле Имя входа пользователя введите имя входа пользователя. Нажмите кнопку Далее.
В разделе "Новый объект — пользователь" в поле "Пароль" и "Подтверждение пароля" введите пароль пользователя, а затем выберите соответствующие параметры пароля.
Нажмите кнопку "Далее", просмотрите параметры новой учетной записи пользователя и нажмите кнопку "Готово".
Назначение членства в группах
Данная процедура используется для добавления пользователя, компьютера или группы в группу в оснастке "Пользователи и компьютеры Active Directory" консоли управления (MMC).
Членство в доменных Администратор или эквивалентно минимально необходимо для выполнения этой процедуры.
Назначение членства в группе
В dc1 в диспетчер сервера щелкните "Сервис" и щелкните Пользователи и компьютеры Active Directory. Откроется консоль управления "Пользователи и компьютеры Active Directory". Если узел домена еще не выбран, выберите его. Например, если домен corp.contoso.com, щелкните corp.contoso.com.
В области сведений дважды щелкните папку, содержащую группу, в которую требуется добавить член.
Где?
- /папка узла/Пользователи и компьютеры Active Directory домена, содержащая группу
В области сведений щелкните правой кнопкой мыши объект, который нужно добавить в группу, например пользователя или компьютера, а затем щелкните "Свойства". Откроется диалоговое окно "Свойства объекта". Щелкните вкладку "Член".
На вкладке "Член" нажмите кнопку "Добавить".
Введите имена объектов, которые нужно выбрать, введите имя группы, в которую нужно добавить объект, и нажмите кнопку "ОК".
Чтобы назначить членство в группе другим пользователям, группам или компьютерам, повторите действия 4 и 5 данной процедуры.
Настройка зоны обратного поиска DNS
Описанная здесь процедура используется для настройки зоны обратного просмотра в службе DNS.
Членство в доменных Администратор является минимальным обязательным для выполнения этой процедуры.
Примечание.
- Для средних и крупных организаций рекомендуется настроить и использовать группу DNS Администратор в Пользователи и компьютеры Active Directory. Дополнительные сведения см. в разделе "Дополнительные технические ресурсы"
- Для выполнения этой процедуры откройте Windows PowerShell и введите в отдельной строке следующий командлет, а затем нажмите клавишу ВВОД. Кроме того, смените зону обратного просмотра DNS в этом примере на ту, которая должна использоваться. Убедитесь, что идентификатор сети в имени зоны обратного просмотра введен в обратном порядке. Например, если сетевой идентификатор равен 192.168.0, создайте имя зоны обратного поиска 0.168.192.in-addr.arpa.
Add-DnsServerPrimaryZone 0.0.10.in-addr.arpa -ZoneFile 0.0.10.in-addr.arpa.dns
Настройка зоны обратного просмотра DNS
В dc1 в диспетчер сервера щелкните "Сервис" и щелкните DNS. Откроется оснастка консоли управления DNS.
В DNS дважды щелкните имя сервера, чтобы развернуть дерево, если оно еще не развернуто. Например, если DNS-сервер имеет имя DC1, дважды щелкните DC1.
Выберите Зоны обратного подстановки, щелкните правой кнопкой мыши зоны обратного поиска и щелкните "Создать зону". Откроется мастер создания новой зоны.
В мастере создания зоны нажмите кнопку "Далее".
В типе зоны выберите основную зону.
Если DNS-сервер является контроллером домена с возможностью записи, убедитесь, что выбрана зона хранения в Active Directory . Нажмите кнопку Далее.
В области репликации зоны Active Directory выберите все DNS-серверы, работающие на контроллерах домена в этом домене, если у вас нет определенной причины выбрать другой вариант. Нажмите кнопку Далее.
На первой странице "Имя зоны обратного поиска" выберите зону обратного подстановки IPv4. Нажмите кнопку Далее.
На второй странице "Имя зоны обратного поиска" выполните одно из следующих действий:
В поле "Идентификатор сети" введите идентификатор сети диапазона IP-адресов. Например, если диапазон IP-адресов равен 10.0.0.1–10.0.0.254, введите 10.0.0.0.
В имени зоны обратного подстановки имя зоны обратного подстановки IPv4 автоматически добавляется. Нажмите кнопку Далее.
В динамическом обновлении выберите тип динамических обновлений, которые требуется разрешить. Нажмите кнопку Далее.
В мастере создания зоны просмотрите выбранные варианты и нажмите кнопку "Готово".
Присоединение компьютеров сервера к домену и входу в систему
После установки служб домен Active Directory (AD DS) и создания одной или нескольких учетных записей пользователей, имеющих разрешения на присоединение компьютера к домену, вы можете присоединить основные сетевые серверы к домену и войти на серверы, чтобы установить дополнительные технологии, такие как протокол конфигурации динамических узлов (DHCP).
На всех развернутых серверах, кроме сервера под управлением AD DS, сделайте следующее:
Выполните процедуры, описанные в разделе "Настройка всех серверов".
Чтобы присоединить серверы к домену и войти на серверы для выполнения дополнительных задач развертывания, используйте инструкции, указанные в двух следующих процедурах.
Примечание.
Для выполнения этой процедуры откройте Windows PowerShell и введите следующий командлет, а затем нажмите клавишу ВВОД. Кроме того, необходимо заменить имя домена на новое имя.
Add-Computer -DomainName corp.contoso.com
При появлении приглашения введите имя пользователя и пароль учетной записи, которой разрешено присоединять компьютер к домену. Чтобы перезагрузить компьютер, введите следующую команду и нажмите клавишу ВВОД.
Restart-Computer
Присоединение компьютеров под управлением Windows Server 2016, Windows Server 2012 R2 и Windows Server 2012 к домену
В диспетчер сервера щелкните локальный сервер. В области сведений щелкните WORKGROUP. Откроется диалоговое окно " Свойства системы".
В диалоговом окне Свойства системы щелкните Изменить. Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В поле "Имя компьютера" в элементе щелкните "Домен" и введите имя домена, к которому требуется присоединиться. Например, если доменное имя corp.contoso.com, введите corp.contoso.com.
Щелкните OK. Откроется диалоговое окно Безопасность Windows.
В поле "Изменения имени компьютера" в поле "Имя пользователя" введите имя пользователя и введите пароль и нажмите кнопку "ОК". Откроется диалоговое окно "Изменения имени компьютера" или "Домен", приветствовающее вас в домене. Щелкните OK.
В диалоговом окне "Изменения имени компьютера" или "Домен" отображается сообщение, указывающее, что для применения изменений необходимо перезагрузить компьютер. Щелкните OK.
В диалоговом окне "Свойства системы" на вкладке "Имя компьютера" нажмите кнопку "Закрыть". Откроется диалоговое окно Microsoft Windows и появится сообщение, указывающее, что необходимо перезапустить компьютер, чтобы применить изменения. Щелкните Перезагрузить сейчас.
Примечание.
Сведения о присоединении компьютеров под управлением других операционных систем Майкрософт к домену см . в приложении C. Присоединение компьютеров к домену.
Вход в домен с помощью компьютеров под управлением Windows Server 2016
Выйдите из системы или перезагрузите компьютер.
Нажмите клавиши CTRL + ALT + DELETE. Откроется окно входа.
В левом нижнем углу щелкните "Другой пользователь".
Введите имя пользователя в имени пользователя.
В поле "Пароль" введите пароль домена, а затем щелкните стрелку или нажмите клавишу ВВОД.
Примечание.
Сведения о входе в домен с помощью компьютеров, работающих под управлением других операционных систем Майкрософт, см . в приложении D. Вход в домен.
Развертывание DHCP1
Прежде чем развернуть этот компонент основной сети, необходимо выполнить указанные ниже действия.
Выполните действия, описанные в разделе "Настройка всех серверов".
Выполните действия, описанные в разделе "Присоединение компьютеров сервера к домену и входу".
Чтобы развернуть DHCP1 — компьютер с ролью DHCP-сервера — необходимо выполнить описанные ниже действия в указанном порядке.
Примечание.
Для выполнения этих процедур откройте Windows PowerShell и введите следующие командлеты в отдельных строках, а затем нажмите клавишу ВВОД. Необходимо сменить имя области, диапазон IP-адресов, маску подсети и другие значения в этом примере на те, которые должны использоваться.
Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerv4Scope -name "Corpnet" -StartRange 10.0.0.1 -EndRange 10.0.0.254 -SubnetMask 255.255.255.0 -State Active
Add-DhcpServerv4ExclusionRange -ScopeID 10.0.0.0 -StartRange 10.0.0.1 -EndRange 10.0.0.15
Set-DhcpServerv4OptionValue -OptionID 3 -Value 10.0.0.1 -ScopeID 10.0.0.0 -ComputerName DHCP1.corp.contoso.com
Add-DhcpServerv4Scope -name "Corpnet2" -StartRange 10.0.1.1 -EndRange 10.0.1.254 -SubnetMask 255.255.255.0 -State Active
Add-DhcpServerv4ExclusionRange -ScopeID 10.0.1.0 -StartRange 10.0.1.1 -EndRange 10.0.1.15
Set-DhcpServerv4OptionValue -OptionID 3 -Value 10.0.1.1 -ScopeID 10.0.1.0 -ComputerName DHCP1.corp.contoso.com
Set-DhcpServerv4OptionValue -DnsDomain corp.contoso.com -DnsServer 10.0.0.2
Add-DhcpServerInDC -DnsName DHCP1.corp.contoso.com
Установка протокола конфигурации динамического узла (DHCP)
Данная процедура используется для установки и настройки роли DHCP-сервера с помощью мастера добавления ролей и компонентов.
Членство в домене Администратор или эквивалентных параметров является минимальным обязательным для выполнения этой процедуры.
Установка протокола DHCP
В DHCP1 в диспетчер сервера нажмите кнопку "Управление", а затем нажмите кнопку "Добавить роли и компоненты". Откроется мастер добавления ролей и компонентов.
Перед началом работы нажмите кнопку "Далее".
Примечание.
Страница "Перед началом работы " мастера добавления ролей и компонентов не отображается, если вы ранее выбрали "Пропустить эту страницу" по умолчанию при запуске мастера добавления ролей и компонентов.
В разделе "Выбор типа установки" убедитесь, что выбрана установка на основе ролей или компонентов, а затем нажмите кнопку "Далее".
В разделе "Выбор целевого сервера" убедитесь, что выбран сервер из пула серверов. В пуле серверов убедитесь, что выбран локальный компьютер. Нажмите кнопку Далее.
В разделе "Выбор ролей сервера" в ролях выберите DHCP-сервер. В разделе "Добавление компонентов", необходимых для DHCP-сервера, нажмите кнопку "Добавить компоненты". Нажмите кнопку Далее.
В разделе "Выбор компонентов" нажмите кнопку "Далее" и в DHCP-сервере просмотрите предоставленные сведения и нажмите кнопку "Далее".
В разделе "Подтверждение выбора установки" при необходимости нажмите кнопку "Перезапустить конечный сервер". Когда появится запрос на подтверждение этого выбора, нажмите кнопку "Да" и нажмите кнопку "Установить". На странице хода установки отображается состояние во время процесса установки. По завершении процесса сообщение "Требуется конфигурация". Установка успешно выполнена на computerName" отображается, где Имя компьютера — это имя компьютера, на котором установлен DHCP-сервер. В окне сообщения нажмите кнопку "Завершить конфигурацию DHCP". Откроется окно мастера настройки DHCP после установки. Нажмите кнопку Далее.
В авторизации укажите учетные данные, которые необходимо использовать для авторизации DHCP-сервера в службах домен Active Directory, а затем нажмите кнопку "Зафиксировать". После завершения авторизации нажмите кнопку "Закрыть".
Создание и активация новой области DHCP
Данная процедура используется для создания области DHCP с помощью оснастки "DHCP" консоли управления (MMC). После завершения этой процедуры область становится активной, а созданный диапазон исключения предотвращает назначение DHCP-сервером IP-адресов, используемых для настройки серверов и других устройств, для которых необходимы статические IP-адреса.
Членство в dhcp-Администратор istrator или эквивалентном является минимальным обязательным для выполнения этой процедуры.
Создание и активация новой области DHCP
В DHCP1 в диспетчер сервера щелкните "Сервис" и щелкните DHCP. Откроется оснастка консоли управления DHCP.
В DHCP разверните имя сервера. Например, если имя DHCP-сервера DHCP1.corp.contoso.com, щелкните стрелку вниз рядом с DHCP1.corp.contoso.com.
Под именем сервера щелкните правой кнопкой мыши IPv4 и нажмите кнопку "Создать область". Откроется мастер создания области.
В мастере создания области нажмите кнопку "Далее".
В поле "Имя области" введите имя область. Например, введите подсеть 1.
В поле "Описание" введите описание нового область и нажмите кнопку "Далее".
В диапазоне IP-адресов выполните следующие действия.
В поле "Начальный IP-адрес" введите IP-адрес, который является первым IP-адресом в диапазоне. Например, введите 10.0.0.1.
В поле "Конечный IP-адрес" введите IP-адрес, который является последним IP-адресом в диапазоне. Например, введите 10.0.0.254. Значения маски длины и подсети вводятся автоматически на основе IP-адреса, введенного для начального IP-адреса.
При необходимости измените значения в маске длины или подсети в соответствии со схемой адресации.
Нажмите кнопку Далее.
В разделе "Добавление исключений" выполните следующие действия.
В поле "Начальный IP-адрес" введите IP-адрес, который является первым IP-адресом в диапазоне исключений. Например, введите 10.0.0.1.
В поле "Конечный IP-адрес" введите IP-адрес, который является последним IP-адресом в диапазоне исключений, например введите 10.0.0.15.
Нажмите кнопку Добавить, а затем кнопку Далее.
В период аренды измените значения по умолчанию для дней, часов и минут, в соответствии с параметрами сети, а затем нажмите кнопку "Далее".
В разделе "Настройка параметров DHCP" выберите "Да", теперь я хочу настроить эти параметры, а затем нажмите кнопку "Далее".
В маршрутизаторе (шлюз по умолчанию) выполните одно из следующих действий:
Если у вас нет маршрутизаторов в сети, нажмите кнопку "Далее".
Введите IP-адрес маршрутизатора или шлюза по умолчанию. Например, введите 10.0.0.1. Нажмите кнопку Добавить, а затем кнопку Далее.
В доменных именах и DNS-серверах выполните следующие действия:
В родительском домене введите имя DNS-домена, который клиенты используют для разрешения имен. Например, введите corp.contoso.com.
В имени сервера введите имя DNS-компьютера, который клиенты используют для разрешения имен. Например, введите DC1.
Нажмите кнопку Resolve (Раскрыть). IP-адрес DNS-сервера добавляется в IP-адрес. Нажмите кнопку "Добавить", дождитесь завершения проверки IP-адреса DNS-сервера и нажмите кнопку "Далее".
В WINS-серверах, так как у вас нет серверов WINS в сети, нажмите кнопку "Далее".
В области активации выберите "Да", я хочу активировать эту область сейчас.
Нажмите кнопку Далее, а затем кнопку Готово.
Внимание
Чтобы создать новые области для дополнительных подсетей, повторите эту процедуру. Используйте разные диапазоны IP-адресов для каждой подсети, планируемой для развертывания, и проверьте, что включена пересылка сообщений протокола DHCP на всех маршрутизаторах, которые передают эти сообщения в другие подсети.
Присоединение клиентских компьютеров к домену и входу в систему
Примечание.
Для выполнения этой процедуры откройте Windows PowerShell и введите следующий командлет, а затем нажмите клавишу ВВОД. Кроме того, необходимо заменить имя домена на новое имя.
Add-Computer -DomainName corp.contoso.com
При появлении приглашения введите имя пользователя и пароль учетной записи, которой разрешено присоединять компьютер к домену. Чтобы перезагрузить компьютер, введите следующую команду и нажмите клавишу ВВОД.
Restart-Computer
Присоединение компьютеров под управлением Windows 10 к домену
Войдите на компьютер с локальной учетной записью администратора.
В поле Поиска в Интернете и Windows введите System. В результатах поиска щелкните "Система" (панель управления). Откроется диалоговое окно "Система ".
В системе щелкните "Дополнительные параметры системы". Откроется диалоговое окно " Свойства системы". Перейдите на вкладку "Имя компьютера".
В имени компьютера нажмите кнопку "Изменить". Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В разделе "Изменения имени компьютера", в элементе щелкните "Домен", а затем введите имя домена, к которому нужно присоединиться. Например, если доменное имя corp.contoso.com, введите corp.contoso.com.
Щелкните OK. Откроется диалоговое окно Безопасность Windows.
В поле "Изменения имени компьютера" в поле "Имя пользователя" введите имя пользователя и введите пароль и нажмите кнопку "ОК". Откроется диалоговое окно "Изменения имени компьютера" или "Домен", приветствовающее вас в домене. Щелкните OK.
В диалоговом окне "Изменения имени компьютера" или "Домен" отображается сообщение, указывающее, что для применения изменений необходимо перезагрузить компьютер. Щелкните OK.
В диалоговом окне "Свойства системы" на вкладке "Имя компьютера" нажмите кнопку "Закрыть". Откроется диалоговое окно Microsoft Windows и появится сообщение, указывающее, что необходимо перезапустить компьютер, чтобы применить изменения. Щелкните Перезагрузить сейчас.
Присоединение компьютеров под управлением Windows 8.1 к домену
Войдите на компьютер с локальной учетной записью администратора.
Щелкните правой кнопкой мыши " Пуск" и выберите " Система". Откроется диалоговое окно "Система ".
В системе щелкните "Дополнительные параметры системы". Откроется диалоговое окно " Свойства системы". Перейдите на вкладку "Имя компьютера".
В имени компьютера нажмите кнопку "Изменить". Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В разделе "Изменения имени компьютера", в элементе щелкните "Домен", а затем введите имя домена, к которому нужно присоединиться. Например, если доменное имя corp.contoso.com, введите corp.contoso.com.
Щелкните OK. Откроется диалоговое окно Безопасность Windows.
В поле "Изменения имени компьютера" в поле "Имя пользователя" введите имя пользователя и введите пароль и нажмите кнопку "ОК". Откроется диалоговое окно "Изменения имени компьютера" или "Домен", приветствовающее вас в домене. Щелкните OK.
В диалоговом окне "Изменения имени компьютера" или "Домен" отображается сообщение, указывающее, что для применения изменений необходимо перезагрузить компьютер. Щелкните OK.
В диалоговом окне "Свойства системы" на вкладке "Имя компьютера" нажмите кнопку "Закрыть". Откроется диалоговое окно Microsoft Windows и появится сообщение, указывающее, что необходимо перезапустить компьютер, чтобы применить изменения. Щелкните Перезагрузить сейчас.
Вход в домен с помощью компьютеров под управлением Windows 10
Выйдите из системы или перезагрузите компьютер.
Нажмите клавиши CTRL + ALT + DELETE. Откроется окно входа.
В левом нижнем левом окне нажмите кнопку "Другой пользователь".
В поле "Имя пользователя" введите имя домена и пользователя в формате domain\user. Например, чтобы войти в домен, corp.contoso.com с учетной записью с именем User-01, введите CORP\User-01.
В поле "Пароль" введите пароль домена, а затем щелкните стрелку или нажмите клавишу ВВОД.
Развертывание дополнительных функций для проверки подлинности сетевого доступа и веб-служб
Если вы планируете развернуть серверы доступа к сети, такие как точки беспроводного доступа или VPN-серверы, после установки основной сети рекомендуется развернуть как NPS, так и веб-сервер. Для развертывания доступа к сети рекомендуется использовать безопасные методы проверки подлинности на основе сертификатов. Сервер политики сети применяется для управления политиками доступа к сети и развертывания безопасных методов проверки подлинности. Веб-сервер используется для публикации списка отзыва сертификатов центра сертификации (ЦС), предоставляющего сертификаты для безопасной проверки подлинности.
Примечание.
Можно развернуть сертификаты сервера и другие дополнительные компоненты с помощью руководств по основной сети. Дополнительные сведения см. в разделе "Дополнительные технические ресурсы".
На следующем рисунке показана топология сети Windows Server Core с добавленными NPS и веб-серверами.
В следующих разделах приводятся сведения о добавлении NPS-сервера и веб-сервера в сети.
Развертывание NPS1
Установка сервера политики сети является подготовительным действием для развертывания других технологий доступа к сети, таких как VPN-серверы, беспроводные точки доступа и коммутаторы с проверкой подлинности по протоколу 802.1X.
Сервер политики сети (NPS) позволяет централизованно настраивать политики сети и управлять ими со следующими функциями: сервер службы удаленной проверки подлинности (RADIUS) и прокси-сервер RADIUS.
Сервер политики сети — это необязательный компонент основной сети, но его необходимо установить, если выполняется любое из перечисленных ниже условий.
Вы планируете расширить сеть, чтобы включить серверы удаленного доступа, совместимые с протоколом RADIUS, такие как компьютер под управлением Windows Server 2016, Windows Server 2012 R2, Windows Server 2012, Windows Server 2008 R2 или Windows Server 2008 и служба удаленного доступа, шлюз служб терминалов или шлюз удаленных рабочих столов.
Вы планируете развернуть проверку подлинности 802.1X для проводного или беспроводного доступа.
Перед развертыванием этой службы ролей необходимо выполнить следующие действия на компьютере, который вы настраиваете в качестве NPS.
Выполните действия, описанные в разделе "Настройка всех серверов".
Выполните действия, описанные в разделе "Присоединение компьютеров сервера к домену и входу в систему"
Чтобы развернуть NPS1 — компьютер с ролью службы NPS-сервера роли сервера службы политики сети и доступа — необходимо выполнить следующие действия:
Примечание.
В этом руководстве приведены инструкции по развертыванию NPS на автономном сервере или виртуальной машине с именем NPS1. Еще одна рекомендуемая модель развертывания — установка NPS на контроллере домена. Если вы предпочитаете устанавливать NPS на контроллере домена вместо автономного сервера, установите NPS на DC1.
Планирование развертывания NPS1
При развертывании серверов удаленного доступа (таких как точки беспроводного доступа или VPN-серверы) после развертывания основной сети рекомендуется развернуть сервер политики сети.
При использовании NPS в качестве сервера службы пользователей удаленной проверки подлинности (RADIUS) NPS выполняет проверку подлинности и авторизацию для запросов на подключение через серверы доступа к сети. Сервер политики сети также позволяет осуществлять централизованную настройку и управление политиками сети, которые определяют пользователей, имеющих право доступа к сети, способ их доступа к сети, а также время доступа.
Ниже приведены основные действия по планированию, которые необходимо выполнить до установки сервера политики сети.
Планирование базы данных учетных записей пользователей. По умолчанию при присоединении сервера под управлением NPS к домену Active Directory NPS выполняет проверку подлинности и авторизацию с помощью базы данных учетных записей пользователей AD DS. В некоторых случаях, например в больших сетях, использующих сервер политики сети в качестве RADIUS-прокси для пересылки запросов подключения другим RADIUS-серверам, может потребоваться установка сервера политики сети на компьютер, который не входит в состав домена.
Планирование учета RADIUS. Сервер политики сети позволяет вести журнал данных учета в базе данных SQL Server или в текстовом файле на локальном компьютере. Если планируется использовать ведение журнала SQL Server, запланируйте установку и настройку сервера SQL Server.
Установка сервера политики сети (NPS)
Эту процедуру можно использовать для установки сервера политики сети (NPS) с помощью мастера добавления ролей и компонентов. Сервер политики сети — это служба роли сервера службы политики сети и доступа.
Примечание.
По умолчанию сервер политики сети прослушивает RADIUS-трафик на портах 1812, 1813, 1645 и 1646 для всех установленных сетевых адаптеров. Если брандмауэр Windows с расширенной безопасностью включен при установке NPS, исключения брандмауэра для этих портов автоматически создаются во время установки для трафика протокола Интернета версии 6 (IPv6) и IPv4. Если серверы сетевого доступа настроены для отправки трафика RADIUS через порты, отличные от этих значений по умолчанию, удалите исключения, созданные в брандмауэре Windows с расширенной безопасностью во время установки NPS, и создайте исключения для портов, используемых для трафика RADIUS.
Администратор istrative Credentials
Чтобы выполнить эту процедуру, необходимо быть членом группы доменных Администратор.
Примечание.
Для выполнения этой процедуры откройте Windows PowerShell и введите следующую команду, а затем нажмите клавишу ВВОД.
Install-WindowsFeature NPAS -IncludeManagementTools
Установка сервера политики сети
В NPS1 в диспетчер сервера нажмите кнопку "Управление", а затем нажмите кнопку "Добавить роли и компоненты". Откроется мастер добавления ролей и компонентов.
Перед началом работы нажмите кнопку "Далее".
Примечание.
Страница "Перед началом работы " мастера добавления ролей и компонентов не отображается, если вы ранее выбрали "Пропустить эту страницу" по умолчанию при запуске мастера добавления ролей и компонентов.
В разделе "Выбор типа установки" убедитесь, что выбрана установка на основе ролей или компонентов, а затем нажмите кнопку "Далее".
В разделе "Выбор целевого сервера" убедитесь, что выбран сервер из пула серверов. В пуле серверов убедитесь, что выбран локальный компьютер. Нажмите кнопку Далее.
В разделе "Выбор ролей сервера" выберите "Политика сети" и службы Access. Откроется диалоговое окно с запросом на добавление функций, необходимых для политики сети и службы Access. Щелкните Добавить компоненты, а затем — Далее.
В разделе "Выбор функций" нажмите кнопку "Далее" и в разделе "Политика сети" и службы Access просмотрите предоставленные сведения и нажмите кнопку "Далее".
В разделе "Выбор служб ролей" щелкните "Сервер политики сети". В разделе "Добавление компонентов", необходимых для сервера политики сети, нажмите кнопку "Добавить компоненты". Нажмите кнопку Далее.
В разделе "Подтверждение выбора установки" при необходимости нажмите кнопку "Перезапустить конечный сервер". Когда появится запрос на подтверждение этого выбора, нажмите кнопку "Да" и нажмите кнопку "Установить". На странице хода установки отображается состояние процесса. По завершении процесса отображается сообщение "Установка успешно выполнена на computerName", где Имя_компьютера — имя компьютера, на котором установлен сервер политики сети. Нажмите кнопку Закрыть.
Регистрация NPS в домене по умолчанию
Эту процедуру можно использовать для регистрации NPS в домене, где сервер является членом домена.
NPS должны быть зарегистрированы в Active Directory, чтобы они имели разрешение на чтение свойств учетных записей пользователей в процессе авторизации. Регистрация NPS добавляет сервер в группу серверов RAS и IAS в Active Directory.
учетные данные Администратор istrative
Чтобы выполнить эту процедуру, необходимо быть членом группы доменных Администратор.
Примечание.
Чтобы выполнить эту процедуру с помощью команд сетевой оболочки (Netsh) в Windows PowerShell, откройте PowerShell и введите следующую команду, а затем нажмите клавишу ВВОД.
netsh nps add registeredserver domain=corp.contoso.com server=NPS1.corp.contoso.com
Регистрация NPS в домене по умолчанию
В NPS1 в диспетчер сервера щелкните "Сервис" и выберите сервер политики сети. Откроется MMC сервера политики сети.
Щелкните правой кнопкой мыши NPS (Локальный) и щелкните " Регистрация сервера" в Active Directory. Откроется диалоговое окно "Сервер политики сети".
В сервере политики сети нажмите кнопку "ОК" и снова нажмите кнопку "ОК ".
Дополнительные сведения о сервере политики сети см. в разделе "Сервер политики сети" (NPS).
Развертывание WEB1
Роль веб-сервера (IIS) в Windows Server 2016 обеспечивает безопасную, простую и расширяемую платформу для надежного размещения веб-сайтов, служб и приложений. С помощью службы IIS (IIS) вы можете обмениваться информацией с пользователями в Интернете, интрасети или экстрасети. IIS — это единая веб-платформа, которая интегрирует службы IIS, ASP.NET, службы FTP, PHP и Windows Communication Foundation (WCF).
Помимо того, что вы можете публиковать список отзыва сертификатов для доступа к компьютерам-членам домена, роль сервера веб-сервера (IIS) позволяет настраивать и управлять несколькими веб-сайтами, веб-приложениями и САЙТАми FTP. IIS также предоставляет следующие преимущества:
Максимизация уровня веб-безопасности благодаря сокращению объема сервера и автоматической изоляции приложений.
Простое развертывание и запуск веб-приложений ASP.NET, Classic ASP и PHP на одном сервере.
Изоляция приложений путем уникальной идентификации рабочих процессов и их запуска в изолированной среде по умолчанию, еще более сокращающие риски безопасности.
Простое добавление, удаление и даже замена встроенных компонентов IIS с настраиваемыми модулями, отвечающими потребностям пользователя.
Повышение скорости работы веб-сайта с помощью встроенного динамического кэширования и расширенного сжатия.
Для развертывания WEB1 — компьютера с ролью веб-сервера (IIS) — необходимо выполнить следующие действия.
Выполните действия, описанные в разделе "Настройка всех серверов".
Выполните действия, описанные в разделе "Присоединение компьютеров сервера к домену и входу в систему"
Установка роли сервера веб-сервера (IIS)
Для выполнения этой процедуры необходимо быть членом группы Администратор istrator.
Примечание.
Для выполнения этой процедуры откройте Windows PowerShell и введите следующую команду, а затем нажмите клавишу ВВОД.
Install-WindowsFeature Web-Server -IncludeManagementTools
В диспетчере серверов выберите Управление, а затем — Добавить роли и компоненты. Откроется мастер добавления ролей и компонентов.
Перед началом работы нажмите кнопку "Далее".
Примечание.
Страница "Перед началом работы " мастера добавления ролей и компонентов не отображается, если вы ранее выбрали "Пропустить эту страницу" по умолчанию при запуске мастера добавления ролей и компонентов.
На странице "Выбор типа установки" нажмите кнопку "Далее".
На странице "Выбор целевого сервера" убедитесь, что выбран локальный компьютер, а затем нажмите кнопку "Далее".
На странице "Выбор ролей сервера" прокрутите страницу и выберите веб-сервер (IIS). Откроется диалоговое окно "Добавление компонентов, необходимых для веб-сервера (IIS). Щелкните Добавить компоненты, а затем — Далее.
Нажмите кнопку "Далее ", пока не примите все параметры веб-сервера по умолчанию, а затем нажмите кнопку "Установить".
Убедитесь, что все установки выполнены успешно, а затем нажмите кнопку "Закрыть".
Дополнительные технические ресурсы
Дополнительные сведения о технологиях, рассматриваемых в данном руководстве, см. в следующих источниках:
Ресурсы технической библиотеки Windows Server 2016, Windows Server 2012 R2 и Windows Server 2012
Новые возможности служб домен Active Directory (AD DS) в Windows Server 2016
Обзор служб домен Active Directory на странице https://technet.microsoft.com/library/hh831484.aspx.
Обзор системы доменных имен (DNS) на странице https://technet.microsoft.com/library/hh831667.aspx.
Общие сведения о протоколе конфигурации динамического узла (DHCP) см. в https://technet.microsoft.com/library/hh831825.aspxстатье .
Обзор политики сети и службы Accesshttps://technet.microsoft.com/library/hh831683.aspx.
Общие сведения о веб-сервере (IIS) см. в https://technet.microsoft.com/library/hh831725.aspxстатье .
Добавление A до E
В следующих разделах содержатся дополнительные сведения о конфигурации для компьютеров, работающих под управлением операционных систем, отличных от Windows Server 2016, Windows 10, Windows Server 2012 и Windows 8. Кроме того, предоставляется лист подготовки сети для поддержки развертывания.
Приложение A. Переименование компьютеров
Процедуры в этом разделе можно использовать для предоставления компьютеров под управлением Windows Server 2008 R2, Windows 7, Windows Server 2008 и Windows Vista с другим именем компьютера.
Windows Server 2008 R2 и Windows 7
Членство в Администратор istrator или эквивалентном является минимальным обязательным для выполнения этих процедур.
Переименование компьютеров, работающих под управлением Windows Server 2008 R2 или Windows 7
Щелкните Запустить, щелкните правой кнопкой мыши Компьютер, затем нажмите кнопку Свойства. Откроется диалоговое окно "Система ".
В параметрах имени компьютера, домена и рабочей группы нажмите кнопку "Изменить параметры". Откроется диалоговое окно " Свойства системы".
Примечание.
На компьютерах под управлением Windows 7 перед открытием диалогового окна "Свойства системы" откроется диалоговое окно "Контроль учетных записей пользователей", запрашивающее разрешение на продолжение. Нажмите кнопку " Продолжить ", чтобы продолжить.
Щелкните Изменить. Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В поле "Имя компьютера" введите имя компьютера. Например, если требуется назовите компьютер DC1, введите DC1.
Дважды нажмите кнопку "ОК", нажмите кнопку "Закрыть", а затем нажмите кнопку "Перезапустить", чтобы перезагрузить компьютер.
Windows Server 2008 и Windows Vista
Членство в Администратор istrator или эквивалентном является минимальным обязательным для выполнения этих процедур.
Переименование компьютеров под управлением Windows Server 2008 и Windows Vista
Щелкните Запустить, щелкните правой кнопкой мыши Компьютер, затем нажмите кнопку Свойства. Откроется диалоговое окно "Система ".
В параметрах имени компьютера, домена и рабочей группы нажмите кнопку "Изменить параметры". Откроется диалоговое окно " Свойства системы".
Примечание.
На компьютерах под управлением Windows Vista перед открытием диалогового окна "Свойства системы" откроется диалоговое окно "Контроль учетных записей пользователей", запрашивающее разрешение на продолжение. Нажмите кнопку " Продолжить ", чтобы продолжить.
Щелкните Изменить. Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В поле "Имя компьютера" введите имя компьютера. Например, если требуется назовите компьютер DC1, введите DC1.
Дважды нажмите кнопку "ОК", нажмите кнопку "Закрыть", а затем нажмите кнопку "Перезапустить", чтобы перезагрузить компьютер.
Приложение B. Настройка статических IP-адресов
В данном разделе приведено описание процедур настройки статических IP-адресов на компьютерах, работающих под управлением следующих операционных систем:
Windows Server 2008 R2
Членство в Администратор istrator или эквивалентном является минимальным обязательным для выполнения этой процедуры.
Настройка статического IP-адреса на компьютере под управлением Windows Server 2008 R2
Нажмите кнопку "Пуск", а затем щелкните панель управления.
В панель управления щелкните "Сеть" и "Интернет". Откроется сеть и Интернет .
В сети и Интернете щелкните Центр управления сетями и общим доступом. Откроется центр управления сетями и общим доступом.
В Центре управления сетями и общим доступом нажмите кнопку "Изменить параметры адаптера". Откроется Подключение сети.
В сетевых Подключение ions щелкните правой кнопкой мыши сетевое подключение, которое требуется настроить, и выберите пункт "Свойства".
В свойстве локальной области Подключение ion в этом подключении используются следующие элементы, выберите протокол 4 (TCP/IPv4) и нажмите кнопку "Свойства". Откроется диалоговое окно "Свойства протокола Интернета" версии 4 (TCP/IPv4).
В свойствах ПРОТОКОЛА ИНТЕРНЕТА версии 4 (TCP/IPv4) на вкладке "Общие " нажмите кнопку "Использовать следующий IP-адрес". В поле IP-адрес введите IP-адрес, который вы хотите использовать.
Нажмите клавишу TAB, чтобы поместить курсор в маску подсети. Значение маски подсети по умолчанию будет введено автоматически. Примите значение по умолчанию или введите нужное значение маски подсети.
В шлюзе по умолчанию введите IP-адрес шлюза по умолчанию.
В поле "Предпочтительный DNS-сервер" введите IP-адрес DNS-сервера. Если как предпочитаемый DNS-сервер планируется использовать локальный компьютер, введите его IP-адрес.
В альтернативном DNS-сервере введите IP-адрес альтернативного DNS-сервера, если таковой есть. Если как альтернативный DNS-сервер планируется использовать локальный компьютер, введите его IP-адрес.
Нажмите кнопку OK , затем кнопку Закрыть.
Windows Server 2008
Членство в Администратор istrator или эквивалентном является минимальным обязательным для выполнения этих процедур.
Настройка статического IP-адреса на компьютере под управлением Windows Server 2008
Нажмите кнопку "Пуск", а затем щелкните панель управления.
В панель управления убедитесь, что выбран классический вид, а затем дважды щелкните Центр управления сетями и общим доступом.
В Центре управления сетями и общим доступом в разделе "Задачи" щелкните "Управление сетевыми Подключение".
В сетевых Подключение ions щелкните правой кнопкой мыши сетевое подключение, которое требуется настроить, и выберите пункт "Свойства".
В свойстве локальной области Подключение ion в этом подключении используются следующие элементы, выберите протокол 4 (TCP/IPv4) и нажмите кнопку "Свойства". Откроется диалоговое окно "Свойства протокола Интернета" версии 4 (TCP/IPv4).
В свойствах ПРОТОКОЛА ИНТЕРНЕТА версии 4 (TCP/IPv4) на вкладке "Общие " нажмите кнопку "Использовать следующий IP-адрес". В поле IP-адрес введите IP-адрес, который вы хотите использовать.
Нажмите клавишу TAB, чтобы поместить курсор в маску подсети. Значение маски подсети по умолчанию будет введено автоматически. Примите значение по умолчанию или введите нужное значение маски подсети.
В шлюзе по умолчанию введите IP-адрес шлюза по умолчанию.
В поле "Предпочтительный DNS-сервер" введите IP-адрес DNS-сервера. Если как предпочитаемый DNS-сервер планируется использовать локальный компьютер, введите его IP-адрес.
В альтернативном DNS-сервере введите IP-адрес альтернативного DNS-сервера, если таковой есть. Если как альтернативный DNS-сервер планируется использовать локальный компьютер, введите его IP-адрес.
Нажмите кнопку OK , затем кнопку Закрыть.
Приложение C. Присоединение компьютеров к домену
Эти процедуры можно использовать для присоединения компьютеров под управлением Windows Server 2008 R2, Windows 7, Windows Server 2008 и Windows Vista к домену.
Внимание
Чтобы присоединить компьютер к домену, необходимо войти на компьютер с локальной учетной записью администратора или, если вход на компьютер выполнен с помощью учетной записи без прав администратора, в процессе присоединения компьютера к домену необходимо ввести учетные данные локальной учетной записи администратора. Кроме того, необходимо иметь учетную запись пользователя в домене, к которому нужно присоединить компьютер. В процессе присоединения компьютера к домену будет отображен запрос данных учетной записи домена (имя пользователя и пароль).
Windows Server 2008 R2 и Windows 7
Членство в доменных пользователях или эквивалентных значениях является минимальным обязательным для выполнения этой процедуры.
Присоединение компьютеров под управлением Windows Server 2008 R2 и Windows 7 к домену
Войдите на компьютер с локальной учетной записью администратора.
Щелкните Запустить, щелкните правой кнопкой мыши Компьютер, затем нажмите кнопку Свойства. Откроется диалоговое окно "Система ".
В параметрах имени компьютера, домена и рабочей группы нажмите кнопку "Изменить параметры". Откроется диалоговое окно " Свойства системы".
Примечание.
На компьютерах под управлением Windows 7 перед открытием диалогового окна "Свойства системы" откроется диалоговое окно "Контроль учетных записей пользователей", запрашивающее разрешение на продолжение. Нажмите кнопку " Продолжить ", чтобы продолжить.
Щелкните Изменить. Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В поле "Имя компьютера" в элементе выберите домен и введите имя домена, к которому вы хотите присоединиться. Например, если доменное имя corp.contoso.com, введите corp.contoso.com.
Щелкните OK. Откроется диалоговое окно Безопасность Windows.
В поле "Изменения имени компьютера" в поле "Имя пользователя" введите имя пользователя и введите пароль и нажмите кнопку "ОК". Откроется диалоговое окно "Изменения имени компьютера" или "Домен", приветствовающее вас в домене. Щелкните OK.
В диалоговом окне "Изменения имени компьютера" или "Домен" отображается сообщение, указывающее, что для применения изменений необходимо перезагрузить компьютер. Щелкните OK.
В диалоговом окне "Свойства системы" на вкладке "Имя компьютера" нажмите кнопку "Закрыть". Откроется диалоговое окно Microsoft Windows и появится сообщение, указывающее, что необходимо перезапустить компьютер, чтобы применить изменения. Щелкните Перезагрузить сейчас.
Windows Server 2008 и Windows Vista
Членство в доменных пользователях или эквивалентных значениях является минимальным обязательным для выполнения этой процедуры.
Присоединение компьютеров под управлением Windows Server 2008 и Windows Vista к домену
Войдите на компьютер с локальной учетной записью администратора.
Щелкните Запустить, щелкните правой кнопкой мыши Компьютер, затем нажмите кнопку Свойства. Откроется диалоговое окно "Система ".
В параметрах имени компьютера, домена и рабочей группы нажмите кнопку "Изменить параметры". Откроется диалоговое окно " Свойства системы".
Щелкните Изменить. Откроется диалоговое окно "Изменения имени компьютера" или "Домен".
В поле "Имя компьютера" в элементе выберите домен и введите имя домена, к которому вы хотите присоединиться. Например, если доменное имя corp.contoso.com, введите corp.contoso.com.
Щелкните OK. Откроется диалоговое окно Безопасность Windows.
В поле "Изменения имени компьютера" в поле "Имя пользователя" введите имя пользователя и введите пароль и нажмите кнопку "ОК". Откроется диалоговое окно "Изменения имени компьютера" или "Домен", приветствовающее вас в домене. Щелкните OK.
В диалоговом окне "Изменения имени компьютера" или "Домен" отображается сообщение, указывающее, что для применения изменений необходимо перезагрузить компьютер. Щелкните OK.
В диалоговом окне "Свойства системы" на вкладке "Имя компьютера" нажмите кнопку "Закрыть". Откроется диалоговое окно Microsoft Windows и появится сообщение, указывающее, что необходимо перезапустить компьютер, чтобы применить изменения. Щелкните Перезагрузить сейчас.
Приложение D. Вход в домен
Эти процедуры можно использовать для входа в домен с помощью компьютеров под управлением Windows Server 2008 R2, Windows 7, Windows Server 2008 и Windows Vista.
Windows Server 2008 R2 и Windows 7
Членство в доменных пользователях или эквивалентных значениях является минимальным обязательным для выполнения этой процедуры.
Вход в домен с помощью компьютеров под управлением Windows Server 2008 R2 и Windows 7
Выйдите из системы или перезагрузите компьютер.
Нажмите клавиши CTRL + ALT + DELETE. Откроется окно входа.
Щелкните " Переключить пользователя" и нажмите кнопку "Другой пользователь".
В поле "Имя пользователя" введите имя домена и пользователя в формате domain\user. Например, чтобы войти в домен, corp.contoso.com с учетной записью с именем User-01, введите CORP\User-01.
В поле "Пароль" введите пароль домена, а затем щелкните стрелку или нажмите клавишу ВВОД.
Windows Server 2008 и Windows Vista
Членство в доменных пользователях или эквивалентных значениях является минимальным обязательным для выполнения этой процедуры.
Вход в домен с помощью компьютеров под управлением Windows Server 2008 и Windows Vista
Выйдите из системы или перезагрузите компьютер.
Нажмите клавиши CTRL + ALT + DELETE. Откроется окно входа.
Щелкните " Переключить пользователя" и нажмите кнопку "Другой пользователь".
В поле "Имя пользователя" введите имя домена и пользователя в формате domain\user. Например, чтобы войти в домен, corp.contoso.com с учетной записью с именем User-01, введите CORP\User-01.
В поле "Пароль" введите пароль домена, а затем щелкните стрелку или нажмите клавишу ВВОД.
Приложение E. Основной лист подготовки к планированию сети
Этот бланк подготовки к планированию сети можно использовать для сбора сведений, необходимых для установки основной сети. Данный раздел содержит таблицу с отдельными элементами конфигурации для каждого сервера, для которого в процессе установки или настройки необходимо вводить данные или определенные значения. Для каждого элемента конфигурации приведены примеры значений.
Для планирования и отслеживания в каждой таблице предусмотрены свободные ячейки, куда вы можете занести значения, используемые при развертывании в организации. Если в эту таблицу заносятся значения, которые относятся к безопасности, ее необходимо хранить в безопасном месте.
Приведенные ниже ссылки ведут на подразделы данного раздела, содержащие элементы конфигурации и примеры значений, связанные с процедурами развертывания, представленными в данном руководстве.
Установка служб домен Active Directory и DNS
В таблицах этого раздела перечислены элементы конфигурации для предварительной установки и установки служб домен Active Directory (AD DS) и DNS.
Элементы конфигурации предварительной установки для AD DS и DNS
В следующих таблицах перечислены элементы конфигурации перед установкой, как описано в разделе "Настройка всех серверов".
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| IP-адрес | 10.0.0.2 | |
| Маска подсети | 255.255.255.0 | |
| Шлюз по умолчанию | 10.0.0.1 | |
| Предпочитаемый DNS-сервер | 127.0.0.1 | |
| Альтернативный DNS-сервер | 10.0.0.15 |
| Элемент конфигурации | Пример значения | Значение |
|---|---|---|
| Имя компьютера | DC1 |
Элементы конфигурации установки AD DS и DNS
Элементы конфигурации для процедуры развертывания сети Windows Server Core Install AD DS и DNS для нового леса:
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| Полное DNS-имя | corp.contoso.com | |
| Режим работы леса | Windows Server 2003 | |
| Расположение папки базы данных доменных служб Active Directory | E:\Configuration\ Можно также принять расположение по умолчанию. |
|
| Расположение папки файлов журнала доменных служб Active Directory | E:\Configuration\ Можно также принять расположение по умолчанию. |
|
| Расположение папки SYSVOL доменных служб Active Directory | E:\Configuration\ Можно также принять расположение по умолчанию. |
|
| Пароль администратора режима восстановления каталога | J*p2leO4$F | |
| Имя файла ответов (необязательно) | AD DS_AnswerFile |
Настройка зоны обратного поиска DNS
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| Тип зоны | — основная зона — вторичная зона — зона заглушки |
|
| Тип зоны Хранение зоны в Active Directory |
-Выбранного — Не выбрано |
|
| Область репликации зоны, интегрированной в Active Directory | — Для всех DNS-серверов в этом лесу — Все DNS-серверы в этом домене — Всем контроллерам домена в этом домене — всем контроллерам домена, указанным в область этого раздела каталога. |
|
| Имя зоны обратного просмотра (Тип IP) |
— зона обратного поиска IPv4 — Зона обратного подстановки IPv6 |
|
| Имя зоны обратного просмотра (Идентификатор сети) |
10.0.0 |
Установка DHCP
В таблицах в этом разделе содержатся элементы конфигурации, используемые для предустановки и установки службы DHCP.
Элементы конфигурации для предустановки DHCP
В следующих таблицах перечислены элементы конфигурации перед установкой, как описано в разделе "Настройка всех серверов".
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| IP-адрес | 10.0.0.3 | |
| Маска подсети | 255.255.255.0 | |
| Шлюз по умолчанию | 10.0.0.1 | |
| Предпочитаемый DNS-сервер | 10.0.0.2 | |
| Альтернативный DNS-сервер | 10.0.0.15 |
| Элемент конфигурации | Пример значения | Значение |
|---|---|---|
| Имя компьютера | DHCP1 |
Элементы конфигурации для процесса установки службы DHCP
Элементы конфигурации для процедуры развертывания сети Windows Server Core Установите протокол конфигурации динамического узла (DHCP):
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| Привязки сетевых подключений | Ethernet | |
| параметры DNS-сервера; | DC1 | |
| IP-адрес предпочитаемого DNS-сервера | 10.0.0.2 | |
| IP-адрес альтернативного DNS-сервера | 10.0.0.15 | |
| Имя области | Corp1 | |
| Начальный IP-адрес | 10.0.0.1 | |
| Конечный IP-адрес | 10.0.0.254 | |
| Маска подсети | 255.255.255.0 | |
| Шлюз по умолчанию (необязательно) | 10.0.0.1 | |
| Срок действия аренды адреса | 8 дней | |
| Режим работы DHCP-сервера IPv6 | Не включено |
Создание диапазона исключений в DHCP
Элементы конфигурации, необходимые для определения диапазона исключения при создании области в DHCP.
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| Имя области | Corp1 | |
| Описание области | Подсеть 1 главного офиса | |
| Начальный IP-адрес диапазона исключения | 10.0.0.1 | |
| Конечный IP-адрес диапазона исключения | 10.0.0.15 |
Создание нового область DHCP
Элементы конфигурации для процедуры развертывания сети Windows Server Core и активация новой области DHCP:
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| Имя новой области | Corp2 | |
| Описание области | Главная подсеть office 2 | |
| (диапазон IP-адресов) Начальный IP-адрес: |
10.0.1.1 | |
| (диапазон IP-адресов) Конечный IP-адрес |
10.0.1.254 | |
| Length | 8 | |
| Маска подсети | 255.255.255.0 | |
| (Диапазон исключения) Начальный IP-адрес | 10.0.1.1 | |
| Конечный IP-адрес диапазона исключения | 10.0.1.15 | |
| Срок действия аренды адреса Дни часов Минуты |
-8 - 0 - 0 |
|
| Маршрутизатор (шлюз по умолчанию) IP-адрес |
10.0.1.1 | |
| Родительский домен DNS | corp.contoso.com | |
| Сервер DNS IP-адрес |
10.0.0.2 |
Установка сервера политики сети (необязательно)
В таблицах в этом разделе содержатся элементы конфигурации, используемые для предустановки и установки сервера политики сети.
Элементы конфигурации для предустановки
В следующих трех таблицах перечислены элементы конфигурации предварительной установки, как описано в разделе "Настройка всех серверов".
| Элементы конфигурации | Пример значений | Values |
|---|---|---|
| IP-адрес | 10.0.0.4 | |
| Маска подсети | 255.255.255.0 | |
| Шлюз по умолчанию | 10.0.0.1 | |
| Предпочитаемый DNS-сервер | 10.0.0.2 | |
| Альтернативный DNS-сервер | 10.0.0.15 |
| Элемент конфигурации | Пример значения | Значение |
|---|---|---|
| Имя компьютера | NPS1 |
Элементы конфигурации для установки сервера политики сети
Элементы конфигурации для процедур развертывания NPS сети Windows Server Core установите сервер политики сети (NPS) и зарегистрируйте NPS в домене по умолчанию.
- Дополнительные элементы конфигурации для установки и регистрации сервера политики сети не требуются.