Архив метки: Настройка ПО

Блокировка YouTube через роутер MikroTik.

Возникла необходимость заблокировать Youtube в сети, где шлюзом выступает роутер MikroTik BR750Gr3. Первоначальные настройки роутера выполнены по этой  инструкции.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.

Информация по блокировке взята отсюда.

В сокращенном виде терминальных команд это выглядит так:

/ip firewall mangle

add action=mark-connection chain=prerouting protocol=udp

dst-port=53 connection-mark=no-mark layer7-

protocol=youtube new-connection-mark=youtube_conn

passthrough=yes

add action=mark-packet chain=prerouting connectionmark=youtube_conn new-packet-mark=youtube_packet

/ip firewall filter

add action=drop chain=forward packet-mark=youtube_packet

add action=drop chain=input packet-mark=youtube_packet

(Нажимаем в роутере New Terminal и вводим построчно команды)

Принцип действия таков: мы маркируем соединения и пакеты, относящиеся к ютубу, затем правилами фаервола их блокируем.

Для тех, кто всё понял, дальше может не читать.

В микротик рекомендуют такой способ вместо одиночного правила блокировки т.к. он снижает нагрузку на оборудование.

Помимо настроек через команды, написанные выше, настройки можно выполнить через графический интерфейс. Рассмотрим этот способ подробнее.

Подключаемся к роутеру через WinBox.

Переходим по пути меню: IP>>Firewall>>Layer7 Protocols

Нажимаем синий плюсик и создаем новое правило.

В поле Name пишем имя youtube.

В поле Regexp: вводим значение для идентификации ютуба   ^.+(youtube).*$

* если необходимо заблокировать социальные сети или другие ресурсы, то необходимо создать правила с другими идентификаторами (доменными именами)

Создадим два правила для маркировки соединений и пакетов.

Переходим на вкладку Mangle. Нажимаем синий плюсик.

В открывшемся окне на вкладке General вводим значения, как на скриншоте ниже:

Chain: prerouting.

Src.Address: 192.168.x.x (адрес ПК, у которого нужно заблокировать доступ на ютуб, src – исходящий адрес, dst – адрес назначеня).

Protocol: udp.

Dst.port: 53.

Connection Mark: no-mark

Нажимаем кнопку «Apply».

Переходим на вкладку Advanced.

Layer7 Protocol: youtube

Переходим на вкладку Action, выполняем настройки.

Action: mark connection

New Connection Mark: youtube_conn

Passthrough – активируем галочкой.

Нажимаем Apply или OK.

Этим правилом мы будем маркировать все соединения с ютуб именем youtube_conn.

Создаем еще одно правило на вкладке Mangle нажав синий плюсик.

В открывшемся окне, на вкладке General вводим значения, как на скриншоте ниже:

Chain: prerouting.

Src.Address: 192.168.x.x (адрес ПК, у которого нужно заблокировать доступ на ютуб).

Connection Mark: youtube_conn.

Нажимаем кнопку «Apply».

Переходим на вкладку Action, выполняем настройки.

Action: mark packet

New Connection Mark: youtube_packet

Passthrough – активируем галочкой.

Нажимаем Apply или OK.

Этим правилом мы будем маркировать все пакеты ютуба.

Получилось два правила.

Переходим на вкладку Filter Rules. Создаем правило, нажав плюс.

Выполняем настройки. На вкладке General:

Chain: forward.

Packet Mark: youtube_packet.

Переходим на вкладку Action.

Action: drop

Можно добавить комментарий к правилу.

Нажимаем Apply или ОК. Правило готово.

Создадим еще одно правило в этом же разделе (Filter Rules).

На вкладке General отмечаем:

Chain: input

Packet Mark: youtube_packet

Переходим на вкладку Action.

Action: drop

Добавляем комментарий.

Нажимаем Apply, чтоб сохранить правило.

В итоге получились два правила.

После этих действий YouTube на компьютере перестал работать.

Блокировка ресурса для нескольких пользователей.

Если нужно заблокировать доступ на YouTube для большого числа пользователей создадим группу пользователей и применим правила к ней.

Переходим по пути: IP>>Firewall>>Address Lists

Нажимаем синий плюсик.

В открывшемся окне New Firewall Address List пишем название группы и диапазон необходимых IP-адресов. Нажимаем ОК.

Если работает DHCP, то правило будет применяться только к этому диапазону IP, нужно учитывать этот нюанс. Либо привязать MAC  адрес пользователя к определенному IP, и ему всегда будет раздаваться один и тот же IP либо прописать у всех пользователей сети статические IP адреса. Или какие-то другие варианты.

Переходим на вкладку Mangle, выбираем по очереди два наших созданных ранее правила по маркировке соединений и пакетов. В разделе General из строчки Src.Address убираем IP адрес, а на вкладке Advanced добавляем в строчке Src.Address List созданную группу. ОК.

После этих действий YouTube заблокируется у группы пользователей с перечисленным диапазоном IP адресов.

Иногда может потребоваться некоторое время, чтоб правило начало действовать.

Если есть какие-то другие запрещающие правила в списке фаервола, то данные правила лучше разместить выше них (или по обстоятельствам, в соответствии с тем, что и  как блокируется).

Разрешение доступа на YouTube определенным пользователям и запрет всем остальным.

Если нужно заблокировать ютуб всем пользователям и только определенным оставить, создаем группу GR3, в которою добавляем IP адреса пользователей, которым нужно разрешить доступ в YouTube.

Если нужны какие-то определенные IP-адреса, помимо перечисленного диапазона, то создаем еще один объект в разделе Address Lists, называем его точно так же и добавляем в него нужный IP.

С помощью консольной команды это можно сделать так:

/ip firewall address-list add list=GR3 address=192.168.0.60

Таким способом добавляем все нужные адреса.

Создаем группу GR5, в которую добавляем все IP-адреса сети.

В двух правилах на вкладке Mangle в разделе Advanced указываем созданную группу со всеми IP адресами. OK.

В двух правилах на вкладке Firewall в разделе General указываем диапазон всех IP-адресов сети в поле Src.Address.

Переходим на вкладку Advanced и в поле Src.Address выбираем группу пользователей, которым доступ разрешен. Важный момент – отмечаем значок «!» в квадратике слева от выбранной группы. Он означает инверсию действия, т.е. вместо запрещения разрешение. Нажимаем ОК.

Смысл всех этих действий таков: Соединения и пакеты Ютуба будут маркироваться для всех пользователей сети. Фильтр фаервола будет обрывать (drop) маркированные соединения и пакеты всем пользователям, за исключением пользователей группы GR3, для которых действие наоборот, т.е. разрешающее.

Вероятно, что есть и другие варианты для решения вопроса блокировки ресурса через MikroTik. Представленная схема проверена и работает в сети нашей организации. Обладая вышеописанными знаниями по маркировке и работе с группами можно создавать и комбинировать правила для блокировки/разрешения доступа к различным ресурсам интернета разным пользователям различными вариантами.

Освоить MikroTik Вы можете с помощью онлайн-куса
«Настройка оборудования MikroTik». Курс содержит все темы, которые изучаются на официальном курсе MTCNA. Автор курса – официальный тренер MikroTik. Подходит и тем, кто уже давно работает с микротиками, и тем, кто еще их не держал в руках. В курс входит 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.



2019-03-09T17:04:36
Настройка ПО

Архивация данных в Windows Server 2019.

Сервер настроен и работает как требуется. Сделаем резервную копию системы, чтоб сохранить рабочее состояние и в случае возникновения аварийной ситуации восстановить сервер.

Воспользуемся встроенной возможностью Windows – Системой архивации данных Windows Server. Открываем диспетчер серверов и через Мастера добавления ролей и компонентов добавляем его.

После установки компонента в диспетчере серверов в выпадающем меню пункта «Средства» выбираем строчку «Система архивации данных Windows Server».

В открывшемся окне в правой части можно выбрать архивацию по расписанию или однократную архивацию. Более надежной будет архивация по расписанию, т.к. резервная копия всегда будет с актуальными данными. Сделаем однократную копию DCSRVER2 и копию по расписанию DCSERVER3.

Архивация по расписанию. Настроим и выполним её на сервере в виртуальной машине.

Запускаем систему архивации данных Windows Server, в разделе действия выбираем расписание архивации. Откроется мастер расписания архивации. Первый пункт – Приступая к работе, читаем, жмем >>Далее.

Конфигурация архива – настраиваемый. >>Далее.

В разделе Объекты для архивации нажимаем кнопку «Добавить элементы».

В открывшемся окне выбираем все пункты, кроме диска, на котором планируем хранить архив.

После нажатия кнопки «ОК» можно еще раз убедиться, какие объекты для архивации выбраны. >>Далее.

Выбираем время выполнения архивации. >>Далее.

Тип места назначения – Архивация на жесткий диск для архивов. (отдельный жесткий диск) >>Далее.

При выполнении архивации в первый раз присутствует пункт – Выбор диска назначения. Нажимаем кнопку «Показать все доступные диски».

Выбираем из доступных дисков необходимый и жмем ОК.

>>Далее.

Если архивация выполняется уже не первый раз, и диск для хранения архива выбирался ранее, то пункт «Выбор диска» называется «Сохранить или изменить место назначения архива». Выбираем «Оставить  текущие места назначения архива». Можно изменить или удалить место хранения, отметив точкой другие строки. >>Далее.

Проверяем данные, подтверждаем операцию, нажав кнопку «Готово».

Сводка >> Закрыть.

В заданное время архивация выполнилась автоматически, о чем можно посмотреть в основном окне системы архивации.

Восстановление системы.

Способ 1 — Операционная система работоспособна.

Восстановим систему из созданной копии. Это можно сделать из основного окна системы архивации Windows Server, нажав на строчку «Восстановление».

В  первом пункте открывшегося мастера восстановления выбираем место расположения архива. >>Далее.

Выбираем дату создания архивной копии. Можно нажать на ссылку «Элементы подлежащие восстановлению» и посмотреть эти элементы. >>Далее.

Тип восстановления – Файлы и папки. >>Далее.

Восстанавливаемые элементы – выбираем Локальный диск (С:). >>Далее.

Параметры восстановления – можно ничего не изменять. >>Далее.

Подтверждаем восстановление, нажав кнопку «Восстановить».

Ожидаем ход восстановления.

По завершению восстановления в главном окне приложения можно посмотреть, какие возникли ошибки.

Способ 2. — Операционная система не работоспособна.

Выполняем загрузку ОС с установочного носителя (Флэшка, Диск). Доходим до окна, в котором есть ссылка «Восстановление системы». Нажимаем на неё.

 

Далее выбираем пункт – Поиск и устранение неисправностей.

В следующем меню выбираем – Восстановление образа системы.

Выбираем нашу ОС.

 

Откроется окошко «Восстановление компьютера из образа». Выбираем образ любым из предложенных способов. >>Далее.

>>Далее.

Можно оставить галочку напротив пункта «Форматировать и разбить на разделы». >>Далее.

Подтверждаем восстановление.

Ожидаем некоторое время, пока происходит процесс восстановления.

После перезагрузки сервер восстановлен по состоянию последней резервной копии.


СПОЙЛЕР ОДНОКРАТНАЯ АРХИВАЦИЯ.

Запускаем систему архивации Windows Server как описано выше. Выбираем однократную архивацию.

На первом шаге открывшегося мастера отмечен  пункт – Другие параметры. Нажимаем >>Далее.

При выборе конфигурации архивации отмечаем настраиваемый диапазон, так как в нашем случае контроллера домена все данные расположены на диске C и архивировать необходимо только его. Нажимаем >>Далее.

В следующем шаге мастера необходимо выбрать объекты для архивации.

Отмечаем галочкой необходимый том – WIN19(C:) >> OK, >>Далее.

Тип места назначения – Локальные диски.

Выбираем в выпадающем списке диск для расположения резервной копии. >>Далее.

Хранить резервную копию в одном и том же ПК и к тому же на одном и том же диске – это очень не надежный вариант, однако в данном случае других вариантов нет.

Проверяем и подтверждаем выполнение резервной копии, нажав кнопку «Архивировать»

Далее можно пронаблюдать за ходом архивации. Можно нажать кнопку «Закрыть» при этом архивация продолжится и завершится сама собой, о чем оповестит флажок в диспетчере серверов.

На скриншоте ниже для примера представлена архивация в сетевое расположение. В данном случае необходимо было сделать резервную копию всего сервера МАП, со всеми томами и дисками. Поэтому мне пришлось выбирать место для хранения резервной копии вне сервера.

По завершении архивации в строке состояния можно посмотреть подтверждение об успешном выполнении. В нашем случае возникла какая-то проблема.

Подробный текст ошибки гласит: Не удалось прочитать 4608 байт, поскольку на жестких дисках имеются поврежденные кластеры; данные в поврежденных кластерах не архивируются. Запустите для жесткого диска команду CHKDSK /R, а затем выполните архивацию повторно.

Команда проверки диска не помогла устранить ошибку. Дело в том, что этот HDD был установлен в ПК, на корпус которого подавалась фаза 220В вместо заземления. Электрики перепутали контакты в розетке и фаза попала на третий заземляющий контакт. Случается вот такое. В итоге пол года в ПК умирали жесткие диски и ни кто не понимал почему, пока однажды мне не довелось коснуться одновременно корпуса ПК и батареи отопления. Тут всем всё стало понятно. Заземление вернули, HDD перестали умирать. Видимо после такого диску поможет только глубокое форматирование (или уже ничего) которое выполнить сейчас не представляется возможным. Для хранения резервной копии лучше выбирать новые надежные жесткие диски.

После выполнения архивации проверяем место расположения резервной копии. Как правило, на выбранном диске создается папка WindowsImageBackup и в ней хранятся резервные копии.

Восстановление такое же, как при архивации по расписанию.




2019-02-10T10:40:30
Настройка ПО

Создание виртуальной машины в Hyper-V.

Описание последовательности действий для создания виртуальной машины с установкой ОС Windows. (немного исправлено в 2021г)

Обязательные требования.

-поддержка аппаратной виртуализации — выставляется в BIOS.

-разрядность ОС x64.

Все действия выполнялись на компьютере с ОС Windows 10.

 

Активация Hyper-V.

Переходим в меню «Программы и компоненты» через графический интерфейс или через команду «Выполнить»

Win+R >> OptionalFeatures >> ОК (или кнопка Ввод).

 

Отмечаем галочкой Hyper-V, нажимаем ОК и перезагружаем ПК.

 

Запуск Hyper-V.

Запускаем диспетчер виртуальных машин через строку «Выполнить» или через графический интерфейс.

Win+R >> virtmgmt.msc >> ОК (или кнопка Ввод).

Через графический интерфейс.

Пуск  >> Все программы >> Средства администрирования Windows.

 

Создание ВМ.

В открывшемся диспетчере жмем правой кнопкой мыши по серверу и выбираем: Создать >> Виртуальная машина.

Откроется мастер создания виртуальной машины. Пройдем по нему.

 

На первой странице читаем информацию и жмем Далее.

 

Указываем имя и путь к расположению VM. Далее.

 

Выбираем 2 поколение (ВМ для систем х64).

 

Указываем объем оперативной памяти. Оставляем галочку «Использовать для этой ВМ динамическую память»

 

В настройке сети выбираем Default Switch. Настроим сетевое подключение после создания ВМ.

 

Указываем имя расположение и размер жесткого диска.

 

Установим операционную систему позже.

 

Проверяем введенные данные и нажимаем кнопку «Готово».

 

Ожидаем время создания ВМ.

Если ни каких ошибок не возникнет, то ВМ будет создана.

 

Настройка загрузки образа ОС.

Чтоб попасть в параметры нужно нажать правой кнопкой мыши по ВМ и выбрать из выпадающего меню «Параметры…»

 

Настроим загрузку с диска для установки операционной системы Windows.

Добавим дисковод.

 

Указываем путь к образу диска с ОС.

 

Ставим дисковод на первое место. Нажимаем «Применить».

 

Установка ОС.

Запускаем ВМ. И нажимаем «Подключить…» чтоб сразу видеть что происходит на экране ВМ.

 

Далее происходят действия, как при установке Windows на физическом компьютере.

 

После установки ОС необходимо убрать загрузку с дисковода.

Одной из важных функций ВМ является доступ по сети. Рассмотрим, как его настроить.

 

Настройка сетевого доступа.

Настраивать будем внешнюю сеть, которая объединит виртуальную машину с физической компьютерной сетью нашей организации.

Переходим в диспетчер виртуальных коммутаторов и создаем новый.

 

Выполняем настройки виртуального коммутатора.

Имя: Любое понятное.

Тип подключения – Внешняя сеть. Выбираем физический сетевой адаптер, через который будет работать соединение.

Отмечаем галочкой – Разрешить управляющей операционной системе предоставлять общий доступ к этому сетевому адаптеру.

Это означает, что физический сетевой адаптер становится портом к виртуальному коммутатору, через который ВМ и физическая машина будут связываться с внешней сетью (в смысле с локальной сетью организации). Альтернативный вариант – использовать несколько физических адаптеров. Один для виртуального коммутатора и ВМ, второй – для физического компьютера на котором работает Hyper-V.

Нажимаем «ОК» для подтверждения.

Появится предупреждение о возможности пропадания соединения. Нажимаем кнопку «Да».

 

В итоге в сетевом оборудовании появился новый адаптер – vEthernet, с тем именем, которое мы присвоили виртуальному коммутатору.

 

В сведениях физического сетевого адаптера теперь абсолютно ничего нет.

В свойствах можно увидеть, что адаптер работает на виртуальный коммутатор.

 

Для настройки IP-адреса и прочих настроек теперь нужно использовать адаптер виртуального коммутатора Hyper-V.

IP-адрес можно настроить вручную или получить по DHCP от выше стоящего роутера ЛВС.

 

Далее, подключим сетевой адаптер ВМ к виртуальному коммутатору. Переходим в параметры нужной ВМ.

 

Если сетевой адаптер у ВМ отсутствует, то его нужно создать.

 

Далее выбираем виртуальный коммутатор.

 

Настройка завершена.

Запускаем виртуальную машину и проверяем сеть и доступ в Интернет.

 



2019-01-29T10:02:22
Настройка ПО

Добавление компьютера и учетной записи пользователя в домен.

Устанавливаем и настраиваем контроллер домена.

В диспетчере серверов контроллера домена выбираем в меню слева – Все серверы. Видим нужный контроллер домена, в нашем случае это DCSERVER. Нажимаем на него правой кнопкой мыши. В открывшемся меню выбираем пункт – Пользователи и компьютеры Active Directory.

В открывшейся оснастке Пользователи и компьютеры Active Directory [DCSERVER] выбираем Managed Service Accounts правой кнопкой мыши. В раскрывшемся меню выбираем пункт «Создать» в следующем выпадающем меню выбираем пункт «Пользователь»

Можно создавать пользователей в директории Users, но у нас так сложилось, что все пользователи именно в Managed Service Accounts (MSA управляемые учетные записи служб), в этом есть некоторые преимущества. Процесс создания в MSA и в Users аналогичен.

В открывшемся окне создания пользователя вводим имя – создадим например пользователя admin, нажимаем >> Далее.

Создаем пароль для пользователя, галочки как на скриншоте ниже, >> Далее.

Подтверждаем создание, нажав кнопку «Готово».

Чтоб можно было создавать простые пароли пользователям, включаем эту возможность в редакторе локальной групповой политики. Правой кнопкой мыши на кнопку «Пуск», выбираем «Выполнить», пишем gpedit.msc, ОК. (или WIN+R >> gpedit.msc >> ENTER)

Когда все заработает усложняем пароль. Он должен состоять из букв разного регистра, цифр и спец.символов.

Нажав правой кнопкой на созданного пользователя, можно отредактировать его свойства, например, добавить описание.

Чтоб admin мог сам добавлять пользователей в домен, и в общем то быть Администратором в сети я добавил его во все группы администраторов. Для обычных пользователей этого делать не нужно.

Еще одного пользователя, с аналогичными параметрами можно создать методом копирования (ПКМ на пользователя, копировать).

Если структура организации достаточно большая, то  в корне домена можно создавать OU (Organizational Units) для удобного управления пользователями.

Если есть необходимость переместить учетную запись в другую директорию, например из ManagedServiceAccounts в Users, то нажимаем правой кнопкой мыши на требуемого пользователя, в нашем случае это TEST5 и выбираем строчку «Переместить».

Далее откроется окошко, в котором выбираем место назначения, выберем Users, >>OK.

Проверим папку Users – пользователь уже там.

Переходим к добавлению компьютера в домен.

У нас в сети статическая IP-адресация, по этому в добавляемом компьютере первым делом меняем сетевые настройки. Переходим по пути: Панель управленияСеть и ИнтернетЦентр управления сетями и общим доступом. В настройках соединения изменяем протокол Интернета версии 4(TCP/IPv4) нажав на кнопку «Свойства».

Изменяем данные как на картинке ниже.

IP-адрес: 192.168.1.25 (адрес компьютера)

Маска подсети: 255.255.255.0

Основной шлюз: 192.168.1.1 (шлюз модема или фаервола)

Предпочитаемый DNS-сервер: 192.168.1.200 (IP-адрес контроллера домена).

Альтернативный DNS-сервер: 192.168.1.130 (IP-адрес резервного контроллера домена).

Применяем настройки, нажав кнопку «ОК».

В панели управления переходим по пути: Панель управленияСистема и безопасностьСистема. Нажимаем на ссылку – «Изменить параметры».

Предлагается два варианта, нажмем первый – идентификация.

Откроется мастер присоединения компьютера к сети или домену. Выбираем первый пункт: Компьютер входит в корпоративную сеть; во время работы я использую его для соединения с другими компьютерами. Нажимаем >>Далее.

На следующем шаге выбираем первый пункт: Моя организация использует сеть с доменами. >>Далее.

>>Далее

Вводим учетные данные созданного ранее пользователя.

Если компьютер ранее не был в домене то мастер предложит написать имя, под которым он будет известен в домене (фактически на этом шаге можно переименовать компьютер). >>Далее

Если пользователь не имеет прав на присоединение компьютера к домену, то откроется окно, в котором нужно указать данные, того кому разрешено.

Иногда может возникнуть ситуация, когда ПК «не видит» домен. В этом случае нужно написать постфикс .local после названия домена (например SCRB.local)

В следующем окне, выбирая пункт: Добавить следующую учетную запись пользователя в домене, подразумевается – в этом компьютере. Если это окно открылось и не появились какие-нибудь ошибки, то можно считать, что компьютер зарегистрирован в домене.

Если  указать Не добавлять учетную запись пользователя в домене (на компьютере), то это можно сделать позже, в настройках учетных записей пользователей панели управления. >> Далее.

Так как мне нужно установить программы на этот новый компьютер, я устанавливаю доступ администратора для учетной записи admin на этом компьютере.

Можно выполнить идентификацию с учетной записью того пользователя, который затем будет работать на этом компьютере, установить ей права администратора, настроить программы и затем установить обычный доступ. Чаще всего так и делается.

Нажимаем кнопку «Готово».

Видим, что имя и домен уже изменились, но изменения вступят в силу после перезагрузки. Перезагружаем компьютер.

 

После перезагрузки появится надпись нажать CTRL+ALT+DELETE и затем вход в учетную запись, которую мы только что добавили.

Компьютер добавлен в домен. На контроллере домена в списке компьютеров он тоже появился. Отключить нажатие  CTRL+ALT+DELETE можно (но не нужно) в настройках учетных записей пользователей панели управления или в локальной политике безопасности.

Добавление в домен можно выполнить без использования мастера. В свойствах системы нужно нажать кнопку «Изменить» (чуть ниже кнопки «Идентификация»). В открывшемся окне указать имя ПК и домен. Затем указать учетную запись с правом присоединения к домену и перезагрузить ПК.

Организовывать доменную сеть выгодно, потому, что она обладает рядом преимуществ и гибкой системой настроек в сравнении с обычной сетью. Например, можно создать сетевые папки с доступом только для определенных пользователей, через политики на контроллере домена задавать различные права и настройки для ПО и пользователей сети, блокировать учетные записи и тп.



2019-01-27T19:13:00
Настройка ПО

Сервер Dell PowerEdge T430 – подключение, настройка, установка ОС.

 

Небольшая предыстория рассказывает о том, что изначально в нашей организации на сервере Dell PowerEdge T430 был установлен Linux Oracle 7.3 и в нем виртуальные машины с ОС Windows Server.

Однако, такая схема периодически давала сбой. С учетом того, что одной из виртуальных машин был сервер МАП и 127 его пользователей в сети, перезагружать сервер было не очень приятно, все начинали жаловаться и шуметь. Наконец, было принято решение демонтировать виртуальные машины, удалить Линукс и настроить сервер МАП на физической машине на Windows Server 2019. Чтоб не останавливать рабочий процесс в организации, где вся работа завязана на МАПе, был смонтирован и настроен резервный сервер МАП, на него были перенесены настройки, база данных, службы и он работал в течение нескольких дней, пока происходила настройка основного сервера. О том, как происходила настройка главного сервера Dell PowerEdge T430 написано далее.

В нашей конфигурации сервер обладает следующими параметрами:

Материнская плата: Dell Inc. 0KX11M

Процессор:  Intel Xeon E5-2620 v4 2.1GHz (8 ядер, 16 потоков)

ОЗУ: 32Гб DDR4 (DUAL IN-LINE MEMORY MODULE, 16GB, 2400, 2RX8, 8G, DDR4, R)

Жесткий диск:  Dell 1TB 7.2K RPM NLSAS 12Gbps 2.5in Hot-plug Drive – 2шт.

БП: Dell Hot Plug Redundant Power Supply 495W – 2шт.

ИБП: Powercom Macan MAS-2000

Чтоб узнать какая мат.плата в сервере можно посмотреть в BIOS, либо в ОС Windows воспользоваться командной строкой и командой wmic baseboard get product

HDD с возможностью горячей замены.

Блоки питания тоже с возможностью горячей замены, модульные, резервируют друг друга.

 

О своем сервере можно узнать по сервис тэгу. Подробная информация на сайте производителя.

Чтоб сберечь такой дорогой сервер от скачков и отключений напряжения необходимо подключать его в сеть электропитания через источник бесперебойного питания ON-LINE типа.

Подключаем питание, провод ЛВС, включаем ИБП, запускаем сервер.

Ждем загрузку. Жмем F10 чтоб попасть в LifeCycle Controller.

Настроим RAID. Нажимаем в главном меню LifeCycle Controller >> Configure RAID.

Откроется мастер настройки RAID.  На первом шаге видим, что в сервере присутствует контроллер для создания RAID – PERC H330 Integrated RAID Controller. (чуть ниже видно что RAID уже создан, но пройдем по мастеру еще раз) Подробности об контроллере можно прочитать в мануале производителя. Жмем >>Next.

У нас как обычно сэкономили и в комплектации всего два HDD, по этому доступен RAID0 или RAID1. Для надежности системы будем делать RAID1 – зеркалировать один диск на другой. Наилучшим вариантом является RAID10, но для его создания необходимо минимум 4 HDD.

Выбираем RAID1 и жмем >>Next.

Выбираем два наших физических диска и жмем >>Next.

Настройки дисков решено было не менять. Можно написать название будущего RAID массива. >>Next.

Последним шагом проверяем конфигурацию и жмем >>Finish.

Подтверждаем создание и через некоторое время RAID1 готов.

Переходим к установке ОС. На сайте тех поддержки DELL установка ОС через LifeCycle Controller называется предпочтительным методом.

Однако, в OS Deployment при нажатии на Deploy OS (развернуть ОС) система ругалась на отсутствия источника для установки ОС. По этому воспользуемся другим методом.

Изготавливаем загрузочную флэшку с Windows Server 2019. Флэшка должна подходить под тип UEFI с разметкой диска GPT. Если флэшку делать в RUFUS, то нужно выбирать именно такие настройки.

Вставляем флэшку в разъем USB сервера. На передней панели их два, можно в любой.

Запускаем сервер. Заходим в LifeCycle Controller нажимая F10. Переходим в пункт меню SystemSetup. Далее в Advanced Hardware Configuration.

Выбираем System BIOS.

В BIOS отмечаем режим загрузки Boot Mode — UEFI.

В пункте меню UEFI Boot Sequence отмечаем галочкой нашу флэшку – Disk connected to front USB1: USB DISK 2.0 (или в USB2, испробовано в обоих)

В пункте меню безопасность проверяем Secure Boot – Disabled.

Сохраняем настройки, перезагружаем сервер. После перезагрузки жмем F11, чтоб попасть в Boot Manager.

Выбираем One-Shot UEFI Boot Menu.

Начнется загрузка с флэшки.

Пойдет установка ОС.

Размечаем единственный диск (который RAID1), 100Гб для системы, остальное для данных. Так же система создаст несколько дополнительных служебных разделов. Выбираем диск для установки системы и ждем, пока установка завершится.

ОС Windows Server 2019 установлена. Назначаем IP-адрес,  переименовываем сервер, размечаем диск, если требуется.

Обновляем драйверы оборудования. DriverPack определил 84 необходимых драйвера.

В диспетчере устройств действительно оказалось очень много не определившихся устройств.

Разрешаем RDP, добавляем сервер в домен.

В процессе настроек обнаружилась проблема с включением сетевого обнаружения. После сохранения параметров сетевое обнаружение оказывается выключенным.

Для того, чтоб включить сетевое обнаружение, необходимо перейти в раздел Службы и активировать Узел универсальных PNP-устройств. Устанавливаем тип запуска – автоматически, нажимаем запустить, применить.

Так же необходимо убедится, что включены службы:

-DNS-клиент;

-Обнаружение SSDP;

-Публикация ресурсов обнаружения функций.

После активации служб сетевое обнаружение включилось. Сервер обнаружился в сети.

Еще одна определившаяся после запуска сервера проблема – отсутствие доступа к общим сетевым ресурсам сервера для пользователей с ОС Windows XP. У нас в сети ПК с подобной системой еще предостаточно. Решается проблема активацией дополнительного компонента SMB 1.0/CIFS File Sharing Support.

Следует учитывать, что установка компонента потребует перезагрузки сервера, поэтому его желательно активировать до ввода сервера в работу. Активация протокола SMB1 снижает безопасность системы, т.к. в нем присутствует большое количество критических уязвимостей, способствующих проникновению вредоносных программ.

Когда система настроена и работает как требуется, делаем её резервную копию.



2019-01-27T19:12:40
Настройка ПО

Деинсталяция резервного контроллера домена с ОС Windows Server 2008R2.

Резервный контроллер домена нужно вывести из домена и демонтировать виртуальную машину, потому что она постоянно зависает. Точнее зависает не она, о тот Linux на котором она  установлена. Сервер в работе, к нему есть доступ. При корректной деинсталяции из домена удалятся все записи об этом контроллере и он ни где не будет фигурировать. Приступим.

 В диспетчере удаляемого сервера, он называется WIN-SRV-ST, выбираем опцию – Удалить роли.

 

Откроется мастер удаления ролей. Читаем – нажимаем >>Далее.

В следующем окне можно увидеть список ролей сервера. С тех ролей, которые нужно удалить, снимаем галочки.

При убирании галочки с пункта Доменные службы Active Directory получаем сообщение: Удаление доменных служб Active Directory невозможно, пока сервер является контроллером домена.

Чтобы удалить AD DC необходимо удалить контроллер домена с помощью мастера установки доменных служб dcpromo.exe. Воспользуемся этой подсказкой.

Для запуска dcpromo пишем его в поисковой строке и запускаем из результатов поиска.

Запустится мастер установки доменных служб Active Directory. Нажимаем  >> Далее.

Появившееся сообщение предупреждает о том, что сервер является хранителем глобального каталога.

Чтоб проверить, где еще хранится глобальный каталог переходим в диспетчере сервера по директориям >> Роли >> Доменные службы Active Directory >> Active Directory – сайты и службы >> Sites >> Default-First-Site-Name >>Servers.

По очереди выбираем доступные контроллеры домена, правой кнопкой мыши на NTDS Settings >> Свойства и смотрим, отмечена ли галочка напротив надписи – Глобальный каталог. В данном случае глобальный каталог хранится на всех DC, поэтому с деинсталируемого WIN-SRV-ST его можно удалять.

 

Возвращаемся к Мастеру dcpromo, нажимаем ОК >> Далее.

В следующем окне галочку не ставим. Наш контроллер домена не последний. >> Далее.

Начнутся проверки необходимости удаления компонентов.

Далее необходимо ввести пароль для новой учетной записи администратора на данном сервере.

Смотрим сводку, подтверждаем удаление нажав >> Далее.

В следующем окне можно отметить галочкой – Перезагрузка по завершении. Мастер выполнит работу и сервер перезагрузится.

После перезагрузки выполняем авторизацию с учетной записью Администратора и новым созданным паролем.

Снова запускаем мастер удаления ролей. Снимаем галочки с ролей:  Доменные службы Active Directory и DNS-сервер. На сей раз ни каких предупреждений не появилось. Нажимаем >>Далее.

Подтверждаем удаление компонентов нажав >>Удалить.

Ожидаем, пока выполняется удаление.

Видим результаты удаления. Перезагружаем сервер.

После перезагрузки видим, что удаление прошло успешно.

В итоге роли и службы удалены, сервер больше не является контроллером домена. Виртуальную машину можно демонтировать.



2019-01-19T13:30:22
Настройка ПО