5 –AMALIYOT ISHI (4 SOAT)
VMware ESXi ASOSIDA KORPORATIV TARMOQ QURISH
Ishdan maqsad: VMware ESXi gipervizorida Windows Server yordamida
korporativ tarmoq qurishni o’rganish.
TOPSHIRIQ:
1. Windows serverda Active Directory rolini o’rnating.
2. Windows serverda DNS rolini o’rnating.
3. Windows serverda DHCP rolini o’rnating.
QISQACHA NAZARIY MA’LUMOTLAR
Ushbu ish ikkita virtual mashinadan iborat ma'lum bir virtual stendda
bajariladi:
Active Directory nima
Active Directory – bu Microsoft-ning katalog xizmati. Active Directory
tufayli tarmoq administratori foydalanuvchi hisoblarini, guruh siyosatlarini (shu
jumladan xavfsizlik siyosatlarini) va tarmoqdagi ob'ektlarni boshqarish uchun juda
qulay markazlashtirilgan vositaga ega bo'ladi (bundan tashqari, Active Directory
hatto yirik tarmoqlarni ham muammosiz boshqara oladi). Va o'rnatilgan
replikatsiya mexanizmi tufayli, to'g'ri tuzilgan AD xizmatlarini "qo'yish" oson
emas. Va nihoyat, Windows tufayli siz Active Directory-ni sichqoncha bilan tom
ma'noda sozlashingiz mumkin, shuning uchun hatto butunlay yangi IT-shniki ham
buni engishi mumkin.
Texnologiya Microsoft tomonidan boshqarilishiga qaramay, u Windows
mashinalarini boshqarish bilan cheklanib qolmaydi - barcha ma'lum Linux
distributivlari ushbu texnologiya bilan ishlashni uzoq vaqtdan beri o'rgangan.
Active Directory bilan uchrashish oson emas, lekin juda oddiy - deyarli har bir ofis
ushbu texnologiyani talab qiladi, shuning uchun hatto eng ishtiyoqli Linux
foydalanuvchilari ham Active Directory asoslarini tushunishlari yaxshi bo'lar edi.
Siz Windows Server 2016 ni o'rnatdingiz va (umid qilamanki) quyidagi
ekranni ko'rasiz:
Quyidagi panel Windows Server 2016 uchun asosiy (grafik) boshqaruv
vositasidir.
Bu
yerda
siz
serveringizdagi
komponentlar
va
xizmatlarni
boshqarishingiz mumkin (boshqacha qilib aytganda, server nima qila olishini
2
sozlash). Xuddi shu panel Windows Serverning asosiy tarmoq sozlamalari uchun
ishlatilishi mumkin, buning uchun “Lokal server” yorlig’i mavjud.
Windows Serverning asosiy sozlamalari
Birinchi qilinadigan ish serverning tarmoq nomini o'zgartirishdir.
Xost nomi tarmoqdagi xostni aniqlashning qulay usuli hisoblanadi. Tarmoq
nomi IP-manzilga muqobil sifatida ishlatiladi va kompyuterning IP-manzilini eslab
qolmaslik (bu manzil vaqti-vaqti bilan o'zgarishi mumkinligiga qaramasdan), balki
ushbu kompyuter bilan uning mantiqiy nomi bilan bog'lanish imkonini beradi.
Muammo shundaki, sukut bo'yicha Windows Server uchun butunlay o'qib
bo'lmaydigan va ma'lumotga ega bo'lmagan tarmoq nomi yaratilgan (men uni
skrinshotda qizil rang bilan ta'kidlaganman).
Ish stantsiyalari hali ham o'qilmaydigan Xost nomiga ega bo'lishi mumkin,
lekin server emas. Shuning uchun, men bu g'iybatni yanada oqilona narsaga
(masalan, ADController-ga) o'zgartirishni taklif qilaman, chunki bu tezda amalga
oshiriladi.
Tarmoq nomini o'zgartirish
Nomni o'zgartirgandan so'ng, mashinani qayta ishga tushirish kerak bo'ladi.
Endi server uchun statik IP manzilni o'rnatamiz. Aslida, bu kerak emas,
chunki biz baribir DHCP xizmatini ko'tarmoqchimiz, lekin korporativ tarmoqning
barcha asosiy elementlari aniq manzillarga ega bo'lsa, bu yaxshi amaliyotdir.
Tarmoq adapterini sozlash menyusini "Mahalliy server" yorlig'idan Ethernet
adapterining joriy sozlamalarini bosish orqali ochishingiz mumkin (shuningdek,
qizil rang bilan belgilangan).
windows_server interfeysi uchun IP sozlamalari
Biz kerakli komponentlarni o'z ichiga olamiz
Bizning stendimiz uchun Windows Serverda quyidagi xizmatlarni (yoki ular
bu yerda deyilganidek, rollarni) yoqishimiz kerak:
3
• Domain Services Active Directory;
• DNS server;
• DHCP serveri.
Keling, ularning har biriga qisqacha to'xtalib o'tamiz.
Active Directory domen xizmatlari
Bu rol aslida serverda Active Directory texnologiyasini "yoqadi" va uni
domen boshqaruvchisiga aylantiradi (AD texnologiyasidagi domen tarmoqdagi
mantiqiy bog'langan ob'ektlar guruhini bildiradi). Ushbu rol tufayli administrator
tarmoqdagi ob'ektlarni boshqarishi, shuningdek ular haqidagi ma'lumotlarni
maxsus taqsimlangan ma'lumotlar bazasida saqlashi mumkin.
Ushbu
ma'lumotlar
bazasi
tarmoqdagi
ob'ektlar
haqidagi
barcha
ma'lumotlarni o'z ichiga oladi (masalan, foydalanuvchi hisoblari haqidagi
ma'lumotlar unga kiritilgan). Biror kishi ish stantsiyasiga yaqinlashganda va o'z
domen hisobiga kirishga harakat qilganda, bu ish stantsiyasi autentifikatsiya so'rovi
bilan domen boshqaruvchisiga murojaat qiladi va agar muvaffaqiyatli bo'lsa,
foydalanuvchi ish stolini yuklaydi.
Biroq, agar domen boshqaruvchisi ishlamay qolsa (yoki ish stantsiyalarida
ishlamay qolsa) nima qilish kerak? Agar siz faqat bitta domen boshqaruvchisini
sozlagan bo'lsangiz, unda sizning ishlaringiz juda yomon - ishlaydigan domen
boshqaruvchisi bilan aloqa qilmasdan, foydalanuvchilar o'z ish joylariga kira
olmaydi. Shuning uchun, haqiqiy tarmoqlarda har doim domenga kamida ikkita
kontrollerni o'rnatish tavsiya etiladi. Har bir domen boshqaruvchisi replikatsiya
mexanizmi deb ataladigan mexanizmda ishtirok etadi, shuning uchun barcha
domen kontrollerlari domendagi barcha ob'ektlar bilan ma'lumotlar bazasining
to'liq nusxasiga ega bo'ladilar. Agar biron sababga ko'ra kontrollerlardan biri
ishlamay qolsa, uning o'rnini har doim zaxira boshqaruvchisi egallashi mumkin va foydalanuvchilar hech narsani sezmaydilar ham.
4
Biroq, ushbu qo'llanma "virtual mashinalarda" AD texnologiyasiga oddiy
kirish bo'lishi uchun mo'ljallangan, shuning uchun bu qo'llanma bir xil domenda
bir nechta AD kontrollerlarini yaratish masalasini qamrab olmaydi.
Shu nuqtada, hamma narsa ko'proq yoki kamroq aniq, lekin nima uchun
qo'shimcha DNS serverini kiritishimiz kerak?
DNS-server
Odatda, DNS (domen nomlari tizimi) protokoli tarmoqdagi tugunlarga IP
manzili bo'yicha emas, balki domen nomi (string identifikatori) bo'yicha murojaat
qilish uchun ishlatiladi, bu, albatta, ancha qulayroqdir. Boshqacha qilib aytganda,
DNS ko'pincha domen nomlarini hal qilish uchun ishlatiladi.
Ammo DNS protokoli doirasi faqat xost nomi va IP manziliga mos kelishi
bilan cheklanmaydi, buni Active Directory texnologiyasi tasdiqlaydi. Gap
shundaki, Microsoft Active Directory texnologiyasini noldan emas, balki DNS
protokoli asosida yaratishga qaror qildi. Xususan, DNS tarmoqdagi barcha asosiy
Active Directory xizmatlarini joylashtirish uchun ishlatiladi. Boshqacha qilib
aytganda, ish stantsiyasi domen boshqaruvchisiga ulanganda, u DNS protokoli
yordamida "qaerga" murojaat qilishi kerakligini tushunadi.
Barcha DNS yozuvlari (shu jumladan Active Directory xizmatlari haqidagi
ma'lumotlar) DNS serverida saqlanadi, ya'ni bizda o'z DNS serverimiz bo'lishi
kerak! Bitta savol - uni qayerdan olish kerak? Ikkita variant mavjud:
1. DNS server sifatida alohida mashinadan foydalaning;
2. DNS server sifatida windows_server mashinasidan foydalaning.
Birinchi variant, shubhasiz, eng to'g'ri - bu haqiqiy tarmoq boshqaruvida
nima qilish kerak (tarmoqning turli tugunlari bo'ylab mantiqni qanchalik ko'p
tarqatsangiz, shuncha yaxshi). Ammo ta'lim maqsadlarida men ikkinchi variantni
tanlashga qaror qildim (agar boshqa virtual mashina yaratishim shart bo'lmasa).
Shuning uchun bu (DNS server) roli ham windows_server mashinasi
rollariga qo'shilishi kerak.
5
Aytgancha, agar siz hozirda "DNS server" rolini qo'shmasangiz, kelajakda
AD domeni boshqaruvchisini sozlashda siz hali ham ushbu imkoniyatga ega
bo'lasiz.
DHCP-сервер
DHCP (Dynamic Host Configuration Protocol) tarmoqdagi xostlarga tarmoq
sozlamalarini avtomatik ravishda berish uchun talab qilinadi. Tarmoq sozlamalari
IP manzili, standart shlyuz manzili, DNS server manzili va bir qator boshqa
sozlamalarni anglatadi. Ushbu protokol tarmoqlarni, ayniqsa yirik tarmoqlarni
boshqarish uchun juda qulaydir.
Ushbu qo'llanmada men DHCP-dan foydalanaman, shunda ish stantsiyasi
tarmoq sozlamalarini (xususan, DNS server manzilini) hech qanday harakatimsiz
olishi mumkin.
DHCP protokolining Active Directory texnologiyasiga hech qanday aloqasi
yo'q va bu holda umuman qilish mumkin edi (barcha tarmoq sozlamalarini ish
stantsiyasida o'zingiz ro'yxatdan o'tkazish kifoya), lekin men ushbu protokolni
ushbu qo'llanmaga qo'shishga qaror qildim. faqat umumiy ma'lumot uchun.
Bundan tashqari, bunday "AD controller - DNS server - DHCP server" to'plami
real hayotda juda keng tarqalgan, chunki bu juda qulay xizmatlar to'plami.
Shu bilan birga, DHCP serveri uchun alohida mashina ajratishga arziydimi,
degan savol ochiq qolmoqda. Kichik tarmoqlar uchun, albatta, DNS va DHCP
serverlarini turli xil mashinalarga tarqatish shart emas, lekin katta tarmoqlar uchun
bu haqda o'ylash hali ham mantiqiy bo'lishi mumkin. Bizning kichkina
tarmog'imizda, agar biz DNS server bilan bir xil mashinada DHCP serverini
yoqsak, yo'qotadigan hech narsamiz yo'q.
ISHNI BAJARISH TARTIBI
Rollar va komponentalar ustasini qo'shish
6
Biz uskunalar paneliga qaytamiz (birinchi skrinshot) va “Установка ролей
или компонентов” bandini bosing. Sizni rollar va xususiyatlar qo'shish ustasi
kutib oladi. Birinchi ekran (“Перед началом работы”) o'tkazib yuborilgan, u
mutlaqo qiziq emas, ammo keyingisi "Выбор типа установки" ekrani.
O'rnatish turini tanlash
Biz standart qiymatdan mamnunmiz (“Rollar yoki komponentlarni
o'rnatish”), lekin ikkinchi nuqta ham qiziq - bu Windows Serverning yana bir
xususiyatidan foydalanish imkonini beradi - virtual ish stoli muhiti (Virtual
Desktop Environment - VDI). Ya'ni, a virtual ish joyi foydalanuvchi uchun
yaratilgan bo'lib, u yupqa mijoz orqali ulanishi mumkin.Foydalanuvchi faqat
rasmni ko'radi, ish joyining o'zi esa istalgan joyda to'liq shaffof ishlashi mumkin.
Biroq, VDI texnologiyasi alohida katta mavzu bo'lib, ushbu qo'llanmada siz
AD kontrolleriga e'tibor qaratishingiz kerak, shuning uchun "Keyingi" tugmasini
bosing va biz maqsadli serverni tanlash ekranini ko'ramiz.
Maqsadli serverni tanlash
Rollarni qo'shish ustasi sizga rolni nafaqat joriy mashinada, balki umuman
qo'shilgan har qanday serverda va hatto virtual qattiq diskda o'rnatish imkonini
beradi. Ha, agar sizning Windows Serveringiz virtual mashinada o'rnatilgan bo'lsa
(bu juda keng tarqalgan), unda siz ushbu virtual mashinani ishga tushirmasdan ham
boshqarishingiz mumkin! Bu jarayonni, masalan, bu yerda tomosha qilishingiz
mumkin
Bizga bunday ekzotik narsalar kerak emas, shuning uchun biz faqat mumkin
bo'lgan yagona serverni tanlaymiz (esda tutingki, u endi ADController deb
nomlanadi, tushunarsiz so'zlar joyi), "Keyingi" tugmasini bosing va nihoyat, biz
rollarni tanlash ekraniga o'tamiz. bu qo'shilishi kerak.
Qo'shiladigan rollarni tanlash
Biz yuqorida aytib o'tilgan uchta rolni tanlaymiz va davom etamiz.
7
Komponent tanlash
Endi siz qo'shimcha komponentlarni tanlashingiz kerak. Rol va komponent
o'rtasidagi farq nima, deb so'rashingiz mumkin? Oh, rostini aytsam, bu unchalik
oson savol emas!
Microsoft
mafkurasiga
ko'ra,
rol
-
bu
kompyuterga
tarmoqdagi
foydalanuvchilarga qandaydir funksiyalarni taqdim etish imkonini beruvchi
dasturlar to'plami. Masalan, DNS, DHCP, AD domeni boshqaruvchisi hammasi
rollardir. Boshqa tomondan, komponentlar server rollarining imkoniyatlarini yoki
serverning o'zini yaxshilaydigan dasturlar to'plamidir.
Shu bilan birga, "Komponentlar" ro'yxatiga qarab, ro'yxatdagi ba'zi narsalar
faqat "yordamchi" deb ayta olmaysiz. Masalan, DHCP serveri rol sifatida, WINS
serveri esa komponent sifatida qabul qilinadi. Nima uchun SMTP serveri DNS dan
yomonroq?
Umuman olganda, rol va komponent o'rtasida aniq chiziq yo'q. Shaxsan men
rollarni katta server funksionalligi va komponentlarni kichik qo'shimchalar sifatida
ko'rishni afzal ko'raman.
Har holda, bizga qo'shimcha komponentlar kerak emas, shuning uchun
"Keyingi" tugmasini bosing.
Shundan so'ng, har bir qo'shilgan rol haqida ma'lumotga ega bo'lgan bir
nechta tushuntirish ekranlari mavjud, ammo men bu ma'lumotni allaqachon tahlil
qildim, shuning uchun men yana to'xtamayman.
O'rnatilayatgan rollar va komponentlarni tasdiqlash
Tasdiqlash ekranida biz yana barcha o'rnatilgan rollar va komponentlarni
ko'ramiz va keyin "O'rnatish" tugmasini bosing.
Siz
shunchaki
progress
satrini
to'ldirishni
kutishingiz
va
o'quv
qo'llanmasining keyingi bosqichiga o'tishingiz kerak - AD domen boshqaruvchisini
sozlash.
8
Active Directory domen kontrollerini sozlash
Barcha rollar va komponentalar muvaffaqiyatli qo'shildi, buni quyidagi
ekran tasdiqlaydi:
Ammo serverdagi AD hali ham ishlamayapti - buning uchun uni sozlash
kerak. Buning uchun bizga doimiy ravishda "Ushbu serverning rolini domen
boshqaruvchisi darajasiga ko'tarish" taklif etiladi.
Joylashtirish konfiguratsiyasi
Hammasi bo'lib, voqealarni rivojlantirish uchun 3 ta variant mavjud. To'g'ri
elementni tanlash uchun, keling, avval ushbu elementlar nimani anglatishini
tushunib olaylik. Bu rasm bizga yordam beradi (agar biror narsa bo'lsa, bu erdan
rasm):
9
Active Directory texnologiyasi (masalan, DNS) domenlarga asoslangan
nomlarning ierarxik tuzilishini nazarda tutadi. Domenlar domen daraxtlarida “otaona-bola” munosabatlari tamoyiliga muvofiq joylashtirilishi mumkin. Daraxt ildiz
domeniga asoslangan (yuqoridagi rasmda bular sources.com, xyz.com va
abc.com). Bunday holda, domen siz xohlagancha ko'p avlodga ega bo'lishi
mumkin. Domen ota-onaning nom maydonida joylashgan va uning "subdomaini"
hisoblanadi. Avlod domenining domen nomi ota-onaning domen nomiga nisbatan
qo'shimcha prefiksga ega (rus.abc.com, eng.abc.com). Bitta ildiz domeni o'zining
mustaqil nom maydoniga ega faqat bitta domen daraxtini topadi.
Endi tasavvur qiling-a, bunday mustaqil daraxtlar ko'p bo'lishi mumkin - bu
holda, bu daraxtlar "o'rmon" deb nomlangan tuzilmani tashkil qiladi. Shu bilan
birga, Active Directory'dagi domen daraxtlari "o'z-o'zidan" bo'lolmaydi - ular
o'rmonda bo'lishi kerak (hatto o'rmon faqat bitta domendan iborat bo'lsa ham).
O'rmonga qo'shilgan birinchi domen o'rmon ildiz domeni deb ataladi (yuqoridagi
rasmda sources.com). O'rmon ildiz domeni butun o'rmonni aniqlash uchun
ishlatiladi (ya'ni, ildiz domeni sources.com deb nomlangan bo'lsa, u holda butun
o'rmon sources.com deb nomlanadi).
Endi biz domen nomini sozlash ustasiga qaytamiz. Ushbu bosqichda sehrgar
quyidagi variantlarni taklif qiladi:
1. Mavjud domenga domen boshqaruvchisi qo'shing (domendagi domen
kontrollerlarining zaxira nusxasini yaratish haqida unutmang, to'g'rimi?). Bu
variant biz uchun emas, chunki hali domen yo'q;
10
2. O'rmonga yangi domen qo'shing. Biz ham buni qila olmaymiz, chunki va
bizda ham o'rmon yo'q;
3. Yangi o'rmon qo'shing. Bu variant biz uchun juda mos keladi. Shu bilan
birga, bizga darhol ushbu o'rmon uchun ildiz domenini tanlash taklif etiladi
(o'rmonda yaratiladigan birinchi domen).
Keling, mydomain.com ildiz domeniga nom beramiz va "Keyingi" tugmasini
bosing.
Domen kontroller parametrlari
Keling, mumkin bo'lgan parametrlarni ko'rib chiqaylik:
1.
O'rmon va domen funksional darajasi. Bitta o'rmondagi domenlar
bortdagi Windows Server versiyasiga qarab turli rejimlarda ishlashi mumkin.
O'rmon tarkibidagi "eng qadimgi" domendan yuqori bo'lmagan rejimga ega bo'lishi
kerak.
Chunki
biz
faqat
Windows
Server
2016
dan
foydalanishni
rejalashtirmoqdamiz, keyin biz o'rmon va domen uchun ushbu rejimni qoldiramiz;
2. DNS server. Agar siz ilgari Rollarni qo'shish ustasida DNS server rolini
faollashtirmagan bo'lsangiz, buni hozir qilishingiz mumkin (hatto sizga ushbu
parametr sukut bo'yicha taklif qilinadi);
3.Domen boshqaruvchisi Global Katalog serveri vazifasini bajarishi
kerakmi;
4. Active Directory ma'lumotlar bazasining faqat o'qish rejimini yoqish
kerakmi. RODC texnologiyasi tomonidan amalga oshiriladigan asosiy vazifa - bu
DC roliga ega serverni jismoniy himoya qilish qiyin bo'lgan masofaviy filiallar va
ofislarda o'z domen kontrolleringizni xavfsiz o'rnatish qobiliyati. RODC domen
boshqaruvchisi Active Directory ma'lumotlar bazasining faqat o'qish uchun
mo'ljallangan nusxasini o'z ichiga oladi. Bu shuni anglatadiki, hech kim, hatto
bunday domen boshqaruvchisiga jismoniy kirish huquqiga ega bo'lsa ham, AD
ma'lumotlarini o'zgartira olmaydi (shu jumladan domen ma'muri parolini tiklash)
(ma'lumot shu erdan olingan).
Ammo keling, 3-bandni batafsil ko'rib chiqaylik, bu juda qiziq.
11
Yuqorida aytib o'tganimdek, har bir domen boshqaruvchisi o'z domenidagi
barcha ob'ektlar haqida to'liq va keng qamrovli ma'lumotlarga ega. Agar domenda
bir nechta kontrollerlar mavjud bo'lsa, ular ham domen ob'ektlari bilan ma'lumotlar
bazasining bir nechta yangilangan nusxalarini saqlab, replikatsiya mexanizmida
ishtirok etadilar. Ma'lum bo'lishicha, domendagi ish stantsiyasi ushbu domendagi
istalgan ob'ekt haqida ma'lumotni eng yaqin domen boshqaruvchisidan o'rganishi
mumkin.
Ammo ish stantsiyasi boshqa domendan ob'ekt haqida ma'lumot olishi kerak
bo'lsa-chi? Va bu уerda Active Directory texnologiyasining yana bir muhim
mexanizmi ishga tushadi, bu global katalog deb ataladi.
Umuman olganda, "Global katalog" nima? Microsoft-ga ko'ra, bu
o'rmondagi barcha AD ob'ektlarining qisman ko'rinishini saqlaydigan taqsimlangan
ma'lumotlar do'koni. Ushbu ombor ixtiyoriy Global Katalog Server roliga ega
bo'lgan
domen
kontrollerlarida
joylashgan.
GC
serveri
oddiy
domen
boshqaruvchisidan, birinchi navbatda, o'z domenidagi barcha ob'ektlarning to'liq
nusxasidan
tashqari,
o'rmonning
boshqa
domenlaridagi
barcha
ob'ektlar
to'g'risidagi qisman ma'lumotlarni ham saqlashi bilan farq qiladi.
Bu nimaga erishishga imkon beradi? Tasavvur qilaylik, ish stantsiyasi
boshqa domendan ob'ekt haqida ma'lumot so'ragan. U eng yaqin GC serveriga
ushbu ob'ekt haqida ma'lumot berish so'rovi bilan murojaat qiladi. GC server, o'z
navbatida:
1.Yoki ish stantsiyasiga kerakli ma'lumotlarni darhol bering (agar GCserverda bu ma'lumotlar mavjud bo'lsa);
2. Yoki so'rovni to'g'ri domen nazoratchisiga yo'naltiring, bu ma'lumot,
albatta, qaerda joylashgan bo'ladi. Qaysi domen tekshiruvi so'rovni qayta
yo'naltirishi kerakligini tushunish uchun GC qidiruvi amalga oshiriladi.
Qaysi
atributlar
global
katalogga
o'tishi
haqidagi
ma'lumot
AD
administratori sozlashi mumkin bo'lgan Qisman Atributlar To'plamida (PAS)
aniqlanadi. Misol uchun, agar ma'mur ish stantsiyalari global katalogda mavjud
bo'lmagan atributga tez-tez kirishini tushunsa, u o'sha atributni qo'shishi mumkin.
12
Keyin ushbu atributni o'qishda ish stantsiyalarining so'rovlari ancha tezroq
bajariladi, chunki eng yaqin GC server ularga kerakli barcha ma'lumotlarni taqdim
eta oladi.
Biroq, agar o'rmonda faqat bitta domen bo'lsa (bizda mavjud bo'lgani kabi),
u holda Global katalog domendagi ob'ektlarning to'liq nusxasini o'z ichiga oladi va
tamom.
Xo'sh, Domen xizmatlarini sozlash ustasi biz uchun allaqachon qo'ygan GC
katagiga qayting. Agar siz uni o'chirib qo'ymoqchi bo'lsangiz, uni o'chira
olmasligingizga ishonch hosil qiling. Buning sababi shundaki, ADdagi har bir
domen kamida bitta GC serveriga ega bo'lishi kerak va birinchi kontroller
domenga qo'shilganda, bu kontroller darhol GC serveri sifatida belgilanadi.
Xo'sh, keling, sehrgarning ushbu "tanlovi" bilan rozi bo'laylik va ushbu
skrinshotdagi oxirgi variantga o'tamiz - katalog xizmatlarini tiklash rejimi uchun
parol. Bu administratorga AD ma'lumotlar bazasi bilan ishlash imkonini beruvchi
maxsus Windows Server Secure Boot rejimidir. Ushbu rejim, masalan, quyidagi
hollarda qo'llaniladi:
• Active Directory ma'lumotlar bazasi shikastlangan va uni tuzatish kerak;
• AD ma'lumotlar bazasiga texnik xizmat ko'rsatishni amalga oshirishingiz
kerak (siqishni, xatolarni tahlil qilish);
• siz AD ma'lumotlar bazasining zaxira nusxasini tiklamoqchi bo'lsangiz;
• administrator parolini o'zgartirishingiz kerak.
Ha, ha, siz to'g'ri eshitdingiz. Ma'lumotlar bazasi zahirasini oddiygina tiklash
uchun siz mashinani qayta ishga tushirishingiz va maxsus "xavfsiz" rejimda
yuklashingiz kerak. Bu siz uchun Linux emas.
Fuh, qandaydir tushundim. Keling, DNS delegatsiyasini sozlash taklif
qilingan bosqichga o'tamiz.
DNS delegatsiyasi
DNS delegatsiyasi nima? Ko'pincha, bu ma'lum bir DNS zonasi uchun
javobgarlikni alohida DNS serveriga o'tkazishdir. Bu yirik tarmoqlarda keng
13
tarqalgan amaliyot bo'lib, unda turli serverlar o'rtasida domen zonalari uchun
javobgarlik sohalarini chegaralash talab etiladi. DNS vakolat berilganda, "asosiy"
DNS serveriga "o'sha DNS serveri ushbu DNS zonasi uchun mas'ul, u erga boring"
degan yozuv qilinadi.
Chunki bizda faqat bitta DNS zonasi bor va DNS server ham bitta, keyin biz
bu bosqichni o'tkazib yuborishimiz va NetBIOS nomini tanlashga o'tishimiz kerak.
NetBIOS-nomi
Biz sehrgar darhol bizga domenimiz nomini tanlashni taklif qilganini
ko'ramiz - MYDOMAIN. Ammo siz o'zingizga savol berishingiz mumkin (va
kerak): umuman NetBIOS nomi nima va u nima uchun kerak? Va biz boshida Xost
nomini o'rnatmaganmizmi? Ular sizdan nimani xohlashadi?
NetBIOS (Network Basic Input / Output) tarmoqdagi xost nomlarini hal
qilishning yana bir usuli (DNS dan eskiroq va ibtidoiy). NetBIOS nomlari hech
qanday ierarxiyani nazarda tutmaydi, ularning uzunligi faqat 16 belgi bilan
cheklangan va ular faqat mahalliy tarmoqdagi kompyuterlar nomlarini hal qilish
uchun ishlatiladi. Qo'llanmaning boshida biz ADController tarmoq nomini
tanlaganimizda, aslida server uchun NetBIOS nomini ko'rsatdik. Ammo endi
bizdan yana NetBIOS nomini (va hatto ADContoller-dan boshqasini) tanlashni
so'rashadi. Bitta kompyuter uchun bir nechta NetBIOS nomlari bormi?
Gap shundaki, Microsoft bundan ham uzoqroqqa bordi - va NetBIOS
nomlarining uzunligini 16 belgi bilan emas, balki 15 belgigacha cheklab qo'ydi.
Bunday holda, 16-belgi belgilangan qiymatlarni qabul qilishi mumkin bo'lgan
zahiralangan qo'shimcha hisoblanadi. 16-baytning qiymatiga qarab, NetBIOS
nomlarining turli sinflari olinadi. Masalan, agar qo'shimcha 00 bo'lsa, u holda
NetBIOS nomi ish stantsiyasiga ishora qiladi. Agar qo'shimcha 1C bo'lsa, bu nom
domen nomini anglatadi.
Ya'ni, siz tushunganingizdek, birinchi bosqichda biz Windows Server
kompyuteri uchun NetBIOS nomini o'rnatdik (00 qo'shimchasi bilan). Va endi biz
NetBIOS mydomain.com domen nomini o'rnatdik (1C qo'shimchasi bilan)
14
Aytgancha,
qiziqish
uchun
siz
o'quv
qo'llanmasini
eng
boshiga
qaytarishingiz va avtomatik ravishda yaratilgan "o'qilmaydigan" tarmoq nomi
windows_serverdagi belgilar sonini hisoblashingiz mumkin. Faqat 15 ta belgi
bo'ladi (NetBIOS nomining maksimal uzunligi).
Va nihoyat, shuni aytamanki, siz bu bosqichni o'tkazib yubora olmaysiz.
NetBIOS, eskirgan texnologiya bo'lsa-da, ba'zi eski xizmatlar bilan muvofiqligi
uchun hali ham qo'llaniladi. Active Directory domen boshqaruvchisini NetBIOS
nomisiz sozlay olmaysiz.
Xo'sh, bu ham tartibga solingan. Biz standart NetBIOS nomini qoldiramiz va
AD ma'lumotlar bazasining joylashuvini tanlashga o'tamiz. Siz standart qiymatni
qoldirishingiz mumkin, sharhlash uchun alohida narsa yo'q.
Ma'lumotlar bazasi joylashuvi
Barcha sozlamalaringiz oldindan tekshirilishi kerak:
Dastlabki shartlarni tekshirish
Har bir narsa tayyor bo'lgach, "O'rnatish" tugmasini bosing va siz xavfsiz
choy ichishga o'tishingiz mumkin, chunki o'rnatishdan so'ng juda uzoq vaqt qayta
ishga
tushirish
avtomatik
ravishda
boshlanadi.
Ammo
AD
domeni
boshqaruvchisining konfiguratsiyasi tugallandi, tabriklaymiz!
DHCP serverini sozlash
DHCP serverini sozlashni boshlash vaqti keldi. Global miqyosda sozlash
ikki qismdan iborat:
1.
AD domenidagi DHCP serverining avtorizatsiyasi. Har bir DHCP
serveri AD domenida tarmoq sozlamalarini tarqata olmaydi - faqat ruxsat
berilganlar. Bu boshqa DHCP serverlari domendagi kompyuterlarda noto'g'ri
konfiguratsiyalarga yo'l qo'ymasligi uchun xavfsizlik sabablari;
15
2.Yangi DHCP qamrovini sozlash. Bu DHCP serverining bevosita
konfiguratsiyasi bo'lib, uning davomida tarmoq segmentidagi kompyuterlarga
qaysi tarmoq sozlamalari berilishi aniqlanadi.
DHCP serveriga avtorizatsiya qilish uchun siz asboblar paneliga qaytishingiz
kerak (qayta ishga tushirilgandan keyin u allaqachon sizning oldingizda bo'lishi
kerak), DHCP yorlig'iga (chapda) o'ting va DHCP serverini sozlash taklifini
bosing:
DHCP server avtorizatsiyasini boshlash
Ochilgan DHCP konfiguratsiya ustasida, o'rnatishdan so'ng, birinchi xush
kelibsiz ekranni o'tkazib yuboring va avtorizatsiya ekraniga o'ting.
Domenda DHCP server avtorizatsiyasi
Tanlash uchun uchta variant mavjud:
1. Administrator hisob ma'lumotlaridan foydalaning (standart)
2. Boshqa foydalanuvchining hisob ma'lumotlaridan foydalaning;
3. AD avtorizatsiyasini o'tkazib yuboring.
Odatiy bo'lib, faqat MYDOMAIN \ Administrator foydalanuvchisini o'z
ichiga olgan EnterpriseAdmins guruhi a'zolari domendagi DHCP serveriga
avtorizatsiya qilishlari mumkin. Agar xohlasangiz, ozgina vaqt sarflab, ushbu
imkoniyatni
"kichikroq"
administratorlarga
(mintaqaviy
administratorlarga)
topshirishingiz mumkin, ushbu mavzu bo'yicha batafsil ma'lumotni shu yerdan
olishingiz mumkin.
Shunday qilib, biz standart variantni tanlaymiz va DHCP serverini
sozlashning birinchi bosqichini yakunlaymiz.
DHCP server avtorizatsiyasini tugatish
Endi to'g'ridan-to'g'ri DHCP sozlamalariga o'tamiz. Buni amalga oshirish
uchun asboblar panelida "Asboblar" yorlig'ini bosing va "DHCP" bandini tanlang
16
DHCP sozlamalari bilan ochilgan oynada IPv4-ga o'ng tugmasini bosing,
so'ngra "Hudud yaratish" menyusi bandini bosing. Bu yangi hudud ustasini ochadi.
Yangi hudud ustasini ochish
DHCP doirasi nima? Bu DHCP serveri tarmoqdagi boshqa kompyuterlarga
berishi mumkin bo'lgan IP-manzillarning ma'lum diapazoniga ishora qiladi. Har bir
hudud, IP-manzillar qatoriga qo'shimcha ravishda, boshqa tarmoq sozlamalarini
ham o'z ichiga oladi, biz endi ular bilan tanishamiz.
Keling, DHCP qamrovini SCOPE1 deb nomlaymiz va davom etamiz.
Keyingi ekranda sizdan tarmoqdagi kompyuterlarga beriladigan bir qator
manzillarni tanlashingiz so'raladi. Ilgari men Windows Serverda tarmoq
interfeysini sozladim va unga 192.168.1.1/24 manzilini berdim. Bu statik manzil
va u zahiralangan, uni boshqa kompyuterlarga bera olmaysiz.
17
Ammo 192.168.1.0/24 tarmog'idagi boshqa barcha manzillarni berish uchun
hech kim bezovta qilmaydi - shuning uchun biz 192.168.1.2 dan 192.168.1.254
gacha diapazonni o'rnatdik (192.168.1.255 - ajratilgan translyatsiya manzili, siz
ham uni bera olmaysiz).
Adress diapazonini sozlash
Umuman olganda, hech kim sizni administrator sifatida tarmoq manzillashda
mavjud bo'lgandan kamroq IP-manzillar berishingizga to'sqinlik qilmaydi.
Masalan, avtomatik ravishda chiqarish uchun tarmoqda faqat 100 ta manzilni
ajratish mumkin bo'ladi: 192.168.1.101-192.168.1.200.
Biz davom etamiz va belgilangan manzil oralig'idan istisnolarni tanlash,
shuningdek DHCPOFFER xabarini yuborishda kechikishni sozlash taklifini
ko'ramiz.
Diapazondan istisnolar va DHCPOFFER kechikishi
Istisnolardan tashqari, hamma narsa ko'proq yoki kamroq aniq: agar siz
ilgari belgilangan diapazonda ba'zi manzillarni ko'rsatishni xohlamasangiz, bu
manzillarni istisno sifatida ko'rsatishingiz mumkin. Va bu DHCPOFFER da
qanday kechikish?
Ushbu sozlama allaqachon rivojlangan tarmoq ma'muriyati bilan bog'liq:
agar tarmog'ingizda bir nechta DHCP serverlari bo'lsa, ushbu kechikishdan
foydalanib, ular orasidagi yukni sozlashingiz mumkin (masalan, bu erda ko'proq
o'qishingiz mumkin).
Qanday bo'lmasin, bizda hech qanday istisno yo'q va standart kechikish
bizga mos keladi, shuning uchun biz keyinroq bosing va manzillar uchun ijara
shartlarini ko'rib chiqamiz.
Adresslar uchun ijara vaqtini belgilash
18
DHCP manzillarni faqat ma'lum vaqtga ajratishni o'z zimmasiga oladi,
shundan so'ng kompyuterlar ijarani yangilashlari kerak. Bu erda siz ushbu vaqtni
sozlashingiz mumkin (sukut bo'yicha - 8 kun).
8 kun shaxsan menga juda mos keladi, shuning uchun biz "Далее" tugmasini
bosamiz va biz tarmoqdagi mijozlar tomonidan qabul qilinadigan boshqa
sozlamalarni sozlash taklifini ko'ramiz (IP manzilidan tashqari). Biz rozimiz.
Qo’shimcha parametrlarni sozlash
Mijozlar uchun birinchi tarmoq sozlamalari standart shlyuzdir. Ikki virtual
mashina stendida bu sozlama asosan keraksiz. Lekin siz tasavvur qilishingiz
mumkinki, windows_server tashqi tarmoqqa shlyuz sifatida ishlaydi va standart
shlyuz sifatida 192.168.1.1 ni qo'shadi.
Standard shlyuz
Keyinchalik DNS sozlamalari keladi. Bu yerda siz ota-ona domen nomi va
DNS server manzillarini o'rnatishingiz mumkin. DNS serverlarining manzillari
bilan hamma narsa ko'proq yoki kamroq aniq - bu serverlarning IP manzillari
bo'lib, u erda mijozlar DNS nomlarini hal qilishda yordam so'rashlari kerak. Endi
ushbu ro'yxatda biz standart shlyuz sifatida qo'shgan manzil paydo bo'ladi.
Ammo ota-ona domenining nomini tushunish uchun quyidagi vaziyatni
ko'rib chiqing.
Aytaylik,
sizda
mydomain.com
domeningiz
bor
va
bu
domenda
comp1.mydomain.com va comp2.mydomain.com nomli ikkita kompyuter mavjud.
Agar comp1 comp2 bilan bog'lanmoqchi bo'lsa, u do'stona tarzda quyidagi
buyruqdan foydalanishi kerak (Fully Qualified Domain Name - FQDN bilan
bog'lanish):
ping comp2.mydomain.com
Agar siz boshqa tugunni quyidagi tarzda pinglashga harakat qilsangiz, nima
sodir bo'lishini hech o'ylab ko'rganmisiz?
19
ping comp2
Aslida, bu holatda, butun sehr boshlanadi - ismni hal qilishning juda qiyin
jarayoni (Internetdan olingan rasm).
Tarmoq nomini aniqlash jarayoni
Tarmoq nomini aniqlash algoritmiga ko'ra, comp1 birinchi navbatda
hosts.txt faylida comp2 haqida ma'lumot topishga harakat qiladi. Agar bu ma'lumot
bo'lmasa, DNS orqali tugunni topish jarayoni boshlanadi. Bitta savol - DNS
nomlari qandaydir domenda, to'g'rimi? Pinglashda comp2 ga qanday domen
nomini ulashim kerak?
Bu erda DHCP sozlamasi keladi, bu "ota-ona domen nomi (имя
родительсокго домена)" deb ataladi. Aynan shu qo'shimcha DNS nomini
aniqlashda avtomatik ravishda comp2 ga "o'rnatiladi". Shunday qilib, agar asosiy
domen
nomi
"mydomain.com"
bo'lsa,
ping
comp2
bilvosita
ping
comp2.mydomain.com ga aylantiriladi.
Agar DNS ravshanligi muvaffaqiyatsiz bo'lsa, NetBIOS nomi bilan
allaqachon comp2 topishga urinishlar boshlanadi. WINS nima va u Broadcast-dan
qanday farq qiladi - ma'lumot matnda biroz ko'proq bo'ladi.
Xo'sh, bizning holatlarimizda, ota-ona domen nomi mydomain.com bo'lishi
kerak (standart qiymat) va kerakli DNS server allaqachon ro'yxatda, shuning uchun
biz "Далее" tugmasini bosamiz.
DNS sozlamalari
Endi bizdan WINS server sozlamalarini belgilash so'raladi. WINS (Windows
Internet Name Service) serveri tarmoqdagi NetBIOS nomlarini hal qilishda ishtirok
etadi (xuddi DNS nomlari uchun DNS serveri kabi). Biroq, DNS-dan farqli o'laroq,
NetBIOS nomini aniqlash ishlashi uchun WINS serveri tarmoqda bo'lishi shart
emas. Xo'sh, unda nega kerak?
20
Gap
shundaki,
sukut
bo'yicha
NetBIOS
nomlarining
o'lchamlari
translyatsiya so'rovlari orqali sodir bo'ladi. Bir tomondan, bu juda oddiy mexanizm
(siz buni osonroq deb o'ylay olmaysiz), lekin boshqa tomondan, uning bir nechta
kamchiliklari bor:
1.
Agar tarmoqda ko'p sonli NetBIOS nomlari mavjud bo'lsa,
translyatsiya trafigi kanalni "shovqin" qila boshlashi mumkin;
2.
Eshittirish so'rovlari joriy tarmoqdan tashqariga chiqa olmaydi,
shuning uchun boshqa tarmoqdan NetBIOS nomini shu tarzda topish ishlamaydi.
Demak, WINS serveri ikkala muammoni ham hal qila oladi. Ushbu server
markaziy ravishda kompyuterlarning NetBIOS nomlarini saqlaydi va tarmoqdagi
oddiy tugunlar unga qiziqqan nomning IP manzilini topish uchun murojaat
qilishlari mumkin (DNS uchun). Bunday yondashuv, birinchidan, tarmoqdagi
translyatsiya trafigini keskin kamaytiradi, ikkinchidan, NetBIOS so'rovlarini
nafaqat joriy tarmoqlarga, balki boshqa tarmoqlarga yuborish imkonini beradi.
Bizning kichik tarmog'imizda bizga WINS serveri kerak emas, shuning
uchun biz bu sozlamani o'tkazib yuboramiz va davom etamiz.
WINS-serverlari
Konfiguratsiyaning ohirgi bosqichida sizdan sozlangan maydonni darhol
faollashtirish so'raladi. Biz rozimiz va bu DHCP konfiguratsiyasini yakunlaydi.
Oblast aktivaciyasi
AD domenida yangi foydalanuvchi yaratamiz
Domen tekshiruvi va turli xizmatlarning haqiqiy konfiguratsiyasi amalda
yakunlandi, barcha parametrlar kerak bo'lganda o'rnatiladi. Endi siz shunchaki
yangi foydalanuvchini ro'yxatdan o'tkazishingiz kerak, uning nomidan ish
stantsiyasi domenga kiradi.
21
Buni amalga oshirish uchun asboblar paneliga qayting, "Средства" ni va
keyin " Пользователи и Компьютеры Active Directory" ni bosing
Ochilgan menyuda siz yaratilgan mydomain.com domenini va uning
tarkibini ko'rishingiz mumkin. Ko'rinib turibdiki, foydalanuvchilardan tashqari
domenda Kompyuterlar, Domen Controllers va boshqa ob'ektlar uchun papkalar
yaratilgan. Lekin biz endi foydalanuvchilar bilan qiziqamiz, shuning uchun
Foydalanuvchilar jildini o'ng tugmasini bosing va "Создать" -> "Пользователь" ni
tanlang.
22
Shundan so'ng, yangi foydalanuvchi ma'lumotlarini kiritishingizni so'ragan
dialog oynasi paydo bo'ladi. Qadimgi an'anaga ko'ra, foydalanuvchini Foo Bar deb
ataylik. E'tibor bering, foydalanuvchi boshqa ob'ektlar bilan birga Active
Directoryda faqat " Объект" sifatida paydo bo'ladi.
Yangi ob'ekt – Foydalanuvchi
Endi siz foydalanuvchi uchun parol va qo'shimcha parametrlarni
o'rnatishingiz kerak. Parol standart parol siyosatiga mos kelishi kerak, bu boshqa
narsalar qatori domendagi parollar ancha murakkab bo'lishini ta'minlaydi
(raqamlar, katta va kichik harflar va maxsus belgilardan foydalanish kerak).
Odatda, administrator foydalanuvchi uchun oddiy parol yaratadi, so'ngra
foydalanuvchidan birinchi kirishda uni o'zgartirishni talab qiladi (mavjud variantlar
ro'yxatidagi birinchi katakcha). Xavfsizlik nuqtai nazaridan bu juda yaxshi
amaliyot, chunki bu bilan hatto AD administratori ham foydalanuvchi parolini topa
olmaydi. Parolning yoshini cheklash ham yaxshi amaliyotdir. Ushbu qo'llanmada
23
soddaligi uchun foydalanuvchi tizimga kirishda parolni o'zgartirish talabini olib
tashlaymiz.
Yangi foydalanuvchi parametrlari
Shundan so'ng, faqat yangi foydalanuvchi yaratilishini tasdiqlash qoladi.
Yangi foydalanuvchi yaratilishini tasdiqlash
Shuning bilan ish stantsiyasining domenga kirishini tekshirishgina qoladi.
Ish stantsiyasini domenga kiritish
Biz Windows 7 bilan ishlaydigan ikkinchi ish stantsiyasining mashinasiga
o'tamiz va tizim xususiyatlariga o'tamiz. Endi siz ish stantsiyasining ishchi
guruhida
(domenda
emas)
ekanligini
ko'rishingiz
mumkin.
Aytgancha,
WORKGROUP ham NetBIOS nomidir. Faqat domen nomidan farqli o'laroq, u 1E
qo'shimchasiga ega.
24
Biz " Изменить параметры" tugmasini bosing, keyin paydo bo'lgan oynada
yana " Изменить..." ni bosing.
Kompyuter nomini o'zgartirish oynasida u mydomain.com domeniga tegishli
bo'lishi kerakligini yozing.
Domenga ulanish
Biz nostandart kompyuter nomi haqida ogohlantirishni ko'ramiz (testokompyuterda kirill yozuvi mavjud). Buning sababi, NetBIOS nomlari kirill
yozuvini o'z ichiga olmaydi. Ammo biz DNS serverini o'rnatdik (DNS sozlamalari
DHCP orqali ish stantsiyasiga keldi) va DNS nomini aniqlash mexanizmi, biz
bilganimizdek, NetBOIS-dan ustunlik qiladi. Shunday qilib, bu holda, kirill
alifbosi AD ishlashiga ta'sir qilmaydi. Ammo amalda bu kerak emas!
Nostandart kompyuter nomi
Biz yangi FooBar hisobidan login-parolni kiritamiz va nihoyat " Добро
пожаловать в домен" degan orzu qilingan xabarni ko'ramiz.
Domen avtorizatsiyasi
Domenga kompyuterni kiritganingizdan so'ng, kompyuterni qayta ishga
tushirishingiz kerak, so'ngra AD-ga foydalanuvchining hisob ma'lumotlarini
kiritishingiz kerak.
AD tizimida login
Va ish stoliga muvaffaqiyatli kirishdan so'ng, biz tizim xususiyatlarini ikki
marta tekshiramiz.
Yangi tizim xususiyatlari
Kompyuterning toʻliq nomi testo-PC.mydomain.com ga oʻzgartirildi, yaʼni
biz ish stantsiyasini mydomain.com domeniga muvaffaqiyatli kiritdik.
25
Avtomatlashtirish
Siz sezganingizdek, butun darslik faqat sichqoncha va klaviatura yordamida
bajarilishi mumkin. Bundan tashqari, bizga PowerShell-ni bilishning hojati yo'q
edi, bu bizga skriptlardan foydalangan holda AD domeni boshqaruvchisi
konfiguratsiyasining ko'p qismini bajarishga imkon beradi.
Xo'sh, nima uchun biz qilgan barcha klaviatura va sichqoncha harakatlarini
avtomatlashtirmaysiz? Yo'q, men AutoIT haqida emas, men yaratuvchisi bo'lgan
Testo platformasi haqida gapiryapman. Ushbu platforma virtual mashinalar
yordamida amalga oshirilgan barcha harakatlarni maxsus Testo-lang tilida skriptlar
shaklida yozib olish imkonini beradi. Xo'sh, Testo bu skriptlarni yana harakatlarga
aylantiradi.
Men nima haqida gapirayotganimni tushunishingiz uchun skriptning bir
qismi bilan bitta skrinshot beraman (ha, aniq skrinshot, chunki Habr Testo-lang
skript tilini ta'kidlay olmaydi). Men bu skriptga izoh ham bermayman, chunki
Menimcha, kod o'zi uchun gapiradi.
NAZORAT SAVOLLARI
1. Active Directory nima?
2. Windows Serverning asosiy sozlamalari nimalardan iborat?
3. Windows Serverda tarmoq nomini o'zgartirish qanday amalga oshiriladi?
4. DNS server nima?
5. DHCP server niam?
6. Rollar va komponentalar ustasi nima uchun ishlatiladi?
7. Rollar va komponentalarni o'rnatish boosqichlarini tushintiring.
8. Active Directory domen kontrollerini sozlash qanday amalga oshiriladi?
9. Domen kontroller parametrlari nimalardan iborat?
10. DNS delegatsiyasi nima?
26
11. NetBIOS-nomi nima?
12. DHCP serverini sozlash jarayonini tushhintiring.
13. DHCP server adress diapazoni qanday sozlanadi?
14. AD domenida yangi foydalanuvchi qanday yaratiladi?
15. Ish stantsiyasini (Klient kompyuter) domenga kiritish qanday amalga
oshiriladi?
27