Translate

тест скорости интернета

пятница, 25 апреля 2014 г.

Замена домена

Получая не мало вопросов по плавному переносу данных в другой домен, я решил написать краткую инструкцию. Опишу свой опыт переноса данных из одного домена в другой с сохранением работоспособности пользователей и сети.

Итак, вводная...
Было это уже лет 5 назад.
Был у нас домен... Хороший был... На базе Windows 2003 Std Rus.
В один прекрасный момент к нам в сеть пролез вирус (который антивирус стал ловить чуть позже, чем мы поймали) (Антивирус не называю специально, поскольку антивирус хороший и антирекламу ему устраивать не собираюсь).
Была резервная копия системного раздела, сделанная средствами Windows... Нам она не помогла...
Итогом этой атаки явилось следующее: на контроллере домена (единственный) полетел антивирус (не восстанавливался и не удалялся никак, а сервер грузил как взрослый), слетели разрешения на папки SysVol, некоторые ветки системного реестра и консоли (все консоли mmc были не доступны). Было довольно грустно. Радовало только одно - несмотря на недоступность консолей, была доступна командная строка и доступ к данным получить можно было, так же контроллер домена исправно исполнял свои функции.
Я пытался создать дополнительный контроллер домена в старом домене, но было тоже грустно - консоли так же были не доступны. Попытки восстановления разрешений не дали нужного результата.
В итоге было принято решение создать новый домен и перенести всё туда... Переезжать решили на Windows 2008R2.

Задача свелась к следующему:

  1. Создать новый домен на новом контроллере (старый контроллер домена был уже не молод).
  2. Создать там структуру OU, GPO и т. д.
  3. Перенастроить разрешения на сетевые папки.
  4. Обеспечить плавность перехода, чтобы пользователи могли работать (к тому времени у нас их было >100, кстати, компьютеров тоже).
Итак, я приступил...
  1. Создал на новом сервере новый домен (серверу назначил адрес, который уже не предполагалось менять).
  2. Установил все самые последние обновления для системы.
  3. На сервере создал структуру OU.
  4. Создал учетные записи пользователей (попутно полностью их актуализировал - не создавал учетные записи уволенных сотрудников, а в тех, которые создавал, указывал подробную информацию о пользователях - в общем, использовал момент с пользой для дела)
  5. Создал необходимые GPO.
  6. Подготовил DHCP-сервер - область и все параметры.
  7. Поскольку в сети на тот момент уже работал DHCP на старом контроллере домена, DHCP на новом контроллере домена активировать не стал, только перенес резервации, созданные для сетевых устройств (принтеры, сканеры).
  8. Создал доверительные отношения со старым доменом (этим я обеспечил работоспособность пользователей из нового домена с ресурсами старого и наоборот).
  9. Для исключения ошибок в работе (наблюдались иногда проблемы на станциях с Windows XP), я создал в новом домене GPO, где указал параметры DNS - серверы, домен и т. д.
  10. Файловые серверы перевели в новый домен и создали разрешения для пользователей нового домена.
  11. Все ресурсы файловых серверов я сразу размещал в DFS.
  12. Самым трудоемким и противным оказалось переносить профили пользователей на их рабочих станциях в новы домен - пришлось побегать и попереносить вручную. Тут пригодилась утилитка http://www.forensit.com/domain-migration.html
  13. После завершения всех манипуляций была сделана полная резервная копия системного раздела контроллера домена.
В общем как-то так.
Благодаря этой ситуации мы решили не мало проблем, попутно с решением основных - оптимизировали учетные записи пользователей, оптимизировали разрешения на сетевых ресурсах и т. п.

Эта статья написана в дополнение к статье http://inkvizitor-windows.blogspot.ru/2012/07/blog-post_5658.html?showComment=1398435260790#c67089564925609487
Автор: на
Ярлыки: , , ,

4 комментария:

  1. Анонимный28 апреля 2014 г. в 17:03

    Александр перенеси плиз сюда последние 4-5 коментариев из соседней статьи.
    Из последнего комментария не понял вот это - "В соседней подсети (например, 10.10.11.x/24) создать область для нового домена" мне нельзя менять подсеть, новый домен обязательно тоже должен быть в этой же подсети 10.10.10.
    Короче план действий такой:
    1. устанавить 2008R2
    2. назначить стат IP, поднять DC, AD, DNS(тож вопрос, подсеть то одна со старым???)
    3. настроить доверительные отношения со старым доменом (я так понял это нужно для общих шар пока я не перенесу все на новый домен?).
    4. Заполнить ручками новых пользователей в AD.
    5. Уплотнить IP пространство на старом домене, как это лучше сделать:
    а) ограничить аренду адресов DHCP, наверное долго ждать мертвых душ.
    б) какае-нить срипты для 2003srv DHCP, чтобы убил давно не используемые ip.
    в) пройти по пользователям и назначить ручками стат ip, не хочется.
    6. Зарезервировать неиспользуемые ip в старом домене.
    7. Поднять DHCP, в новом домене и назначить пул адресов из зарезервированных в старом.
    или НЕ поднимать DHCP на новом домене, а ручками подключать каждого пользователя к новому домену (все равно это придеться делать) и назначать им стат ip из неиспользуемых в старом. А после переподключения всех пользователей поднять DHCP.
    На данный момент головная боль, как по быстрому очистить не большой деапазон адресов в старом DHCP, остальное в теории понятно. Бум пробовать на практике.
    Еще раз спасибо.

    ОтветитьУдалить
    Ответы
    1. Александр28 апреля 2014 г. в 17:54

      Перенести комментарии не могу - система не дает подобное делать.
      Подсеть можно и не менять. Тогда, перед уплотнением надо сделать необходимые исключения - для нового контроллера и того, что еще нужно.
      По плану:
      1. Да
      2. Не проблема (см. выше)
      3. Да.
      4. Да.
      5. Через GPO раскидать на все машины скрипт VBS (предварительно ограничив срок резервации и проведя подготовку - см. выше):
      strComputer = "."
      Set objWMIService = GetObject("winmgmts:" _
      & "{impersonationLevel=impersonate}!\\" & strComputer & "\root\cimv2")
      Set colNetAdapters = objWMIService.ExecQuery _
      ("Select * from Win32_NetworkAdapterConfiguration where IPEnabled=TRUE")
      For Each objNetAdapter In colNetAdapters
      errEnable = objNetAdapter.EnableDHCP()
      Next
      Могут нарушиться какие-то параметры сети (если не для всех сетевых принтеров определена резервация или есть компьютеры, где необходима статика), поэтому, прежде чем применять, надо поискать узкие места и GPO четко нацелить.
      6. Не зарезервировать, а исключить из раздачи.
      7. DHCP поднять, подготовить, но не активировать - активировать тогда, когда все основное будет сделано и можно будет физически адреса перетаскивать на обслуживание в новый домен.
      В DHCP можно удалить все адреса, но данные там будут обновляться в соответствии со сроками аренды, поэтому будут проблемы с конфликтами адресов - сервер будет выдавать занятые адреса и ситуацию придется решать вручную. Решение см. выше. Главное не спешить и делать обдуманно.

      Удалить
  2. Анонимный28 апреля 2014 г. в 18:21

    Большущее спасибо. Все таки по 5-ому пункту установлю аренду DHCP в 2-3 дня, за 2-е недельки мот и освобожу пул в 50-60 ip их исключу из раздачи и из них создам пул для раздачи в новом домене. GPO на старом домене не использовался. Честно говоря и у меня особо опыта не было, кроме как, добавть шары, убрать-добавить ярлыки или ограничить доступ к ПК.Впереди праздники и выходные, время на подготовку будет.

    ОтветитьУдалить
    Ответы
    1. Александр28 апреля 2014 г. в 19:46

      Пожалуйста.
      Для обновления DHCP можно использовать команды ipconfig /release, ipconfig /renew.
      Скрипты можно вешать в GPO в секцию Logon или Logoff. Это надо использовать как временную меру для оптимизации и одномоментного переезда (когда все остальное будет подготовлено).
      С переездом могут возникнуть проблемы, если не использовать в новом домене GPO с параметрами DNS.
      Вообще, самое важное - спланировать объем работ и порядок их выполнения, тогда можно исключить бОльшую часть неожиданностей - делать все на ходу (особенно без опыта) - не лучший вариант - велика вероятность, вместо оптимизации и стабилизации, сделать себе такую занозу, которая проблемы будет доставлять довольно долго.

      Удалить

Подписаться на: Комментарии к сообщению (Atom)