Windows Server
Turnusmäßig findet ab dem 03. Dezember 2012 an der VHS Braunschweig ein "Windows Server"-Seminar aus der PC-Systembetreuer-Reihe statt.
In einem praxisorientiertem Seminar wollen wir die Verwaltung einer "Firmen-Domäne" mit den aktuellen Windows Server 2008 R2 Server-Betriebssystemen aus dem Hause Microsoft kennen lernen.
Hier die Rahmendaten unseres Seminars:
Ort: VHS Braunschweig, Heydenstraße 2, Raum 2.03
Zeiten: Mo, 03.12. - Fr, 07.12.2012; jeweils 08.30 - 16.00 Uhr
Status Erstkorrektur: erledigt - 15.12.2012 - alle 6 TN haben bestanden; ich gratuliere herzlichst!
Termin: Mittwoch, 12.12.2012, 18.30 Uhr in Raum 2.03 (Kursnummer BWP04)
Ich werde unser Seminar an dieser Stelle - wie mittlerweile gewohnt - durch ein ausführliches tägliches Protokoll begleiten...
Ihr Trainer Joe Brandes
Entwurf der BU-Domäne
Montag, 03.12.2012, 08.30 - 16.00 Uhr
- Orientierungsphase, Pausenzeiten, freiwillige Prüfung (aktuell 4/11 TN)
Hinweis Cobra Shop (Link), Unterichtsmaterialien, Skripte - Server-Editionen: (nur als 64-Bit verfügbare 2008 R2)
Web, Standard, Enterprise, Datacenter, HPC (High Perfomance) - Entwurf der Netzwerkumgebung
Hinweis: Server mit statischen Konfigurationen verwenden - Entwurf der Domainen
1 Hauptdomäne mit 3 Sub-Domänen - Dokumentation für Domänenmodell und Netzwerk erstellt: siehe Bild rechts
Vergabe der Hostnames, Adressen, Hierarchien - Installation der Server- und Client-Betriebssysteme
Begriffe: Image-basierte Installationen, Partitionen, System-Reservierte Partition, Tool: diskpart
später werden alle TN Zugriff auf die Domaincontroller (DC) haben - Einrichten und Konfigurieren Netzwerk
Tool: ipconfig /all - Server-Manager
Rollen, Features - Installation DHCP-Service (Rolle) auf DC-00
Konfiguration eines Bereichs (scope): 10.0.0.100 - .150; Subnetmask: 255.0.0.0;
Primärer DNS-Server 10.0.0.1 für LAN/Domains und Secondary DNS-Server 192.168.3.1 für WAN/Internet
Standard-Gateway (Router): 10.0.0.1 - NAT-Routing
Rolle für "Netzwerkrichtlinien- und Zugriffsdienste - Routing und RAS" hinzugefügt; jetzt Weiterleitung (und Rückleitung) von Paketen zwischen NICs LAN <-> WAN
DC vom Dozi verhält sich jetzt wie Ihr "Router" zu Hause - Fachbegriffe für Domain-Einrichtungen:
Funktionsebenen, Gesamtstruktur (Forest), Domänenstruktur / Domänenstamm (Tree) und Domäne (Domain)
Symbol für Domäne: Dreieck; wichtig: ohne DNS gibt es kein Active Director (AD) - Domains vs. P2P
Zentrale Verwaltung vs. lokale Verwaltungen einer Arbeitsgruppe
aktuell alles lokal, was auch ein Blick in die Computerverwaltung (compmgmt.msc) der Server-Installationen zeigt: Lokale Benutzer- und Gruppenverwaltung
Benutzer ist Mitglied von ...
Dienstag, 04.12.2012, 08.30 - 16.00 Uhr
- Rekapitulation, TN-Fragen, Prüfung organisieren (Termin, Anmeldungen)
Frage: zu Domain-Namen und Standorten (Sites - hier sind Subnetze wichtig) - Domain bu.lokal
Installation der Rolle AD-Domänendienste; danach dcpromo durchgeführt, wir erhalten neue Gesamtstruktur mit neuer Domäne
Stichworte: DNS (Verfügbarkeit, Delegierung, Installation), Funktionsebenen (Function Level FL), Globaler Katalog, RODC (Read Only Domain Controller)
Assistent zum Heraufstufen begleitet und kommentiert - DHCP autorisieren
der DHCP-Service ist nach dcpromo deaktiviert/ausgeschaltet! Grund: DHCP soll erst gecheckt werden, ob es zum gedachten restlichen DNS/Domain-Entwurf passt und DHCP und DNS sollen zusammenarbeiten (DDNS - Dynamic DNS, DHCP liefert IP-Konfiguration aus und "meldet" dann an DNS - Drei "Arbeitsdomains" für TN
Konstruktion als Sub-Domains zwecks "Vereinfachung" der nötigen DNS-Dienste für die vier Domains unserer Testumgebung
Wichtig: vorher DNS auf den Sub-Dom-Controllern testen, damit 10.0.0.1 für bu.lokal verfügbar ist!
Aber: Domänen-Admin von bu.lokal hat keine Rechte in Subdomains! - DNS checkennslookup
eigene Shell/Eingabeaufforderung; verlassen mit exit
Test für Domainauflösungs-Funktion: einfach Name der Domain (hier: bu.lokal) eingeben
eigenen gewünschten DNS-Server festlegen: server 10.0.0.1
Anm.: mehr Erläuterungen im Seminar Netze - Clients in Domäne aufnehmen
Entweder in AD-Verwaltung oder (besser) auf dem Client über die Systemeigenschaften - Hostname - Domäne
Anmeldungen für AD-Benutzer getestet; Anmeldenamen beachten: BU\Administrator - OU - AD-Benutzer (1. Übung)
Organisationseinheit (OU) DOM-BU-Admins erstellen für TN (Mitgliedschaften Domänen-Admins hinzufügen!) - Remote-Zugriffe auf DC/AD
a) RSAT (Remoteserver Administration Tools) für Windows 7 (Downloadlink); installiert neue Funktionen für das Windows 7 System, die man dann über die Systemsteuerung - Programme und Funktionen aktivieren kann; bei den Windows Server 2008 R2 "Clients" muss man nur das gewünschte Feature hinzufügen
b) RDP - Remote Desktop Protocol; die eigentlichen Terminal Services (TS); als Client Remotedesktop-Verbindung (mstsc - MS Terminal Service Client); nur noch zwei gleichzeitige Verbindungen/Konsolen möglich; Aktivierung der Rolle Remotedesktop-Dienste schafft hier für das Seminar abhilfe
c) VPN - Virtual Private Network; die sichere Lösung über öffentliche Netze - Benutzer analysiert (führt zu AGDLP)
Mitgliedschaften im AD analysiert und auf den Clients!; auf den Domänen-Clients sind die Globalen Gruppen "Domänen-Benutzer" und "Domänen-Admins" jeweils in den Lokalen Gruppen "Benutzer" und "Administratoren" als Mitglied verdrahtet
dcpromo (01)
dcpromo (02)
dcpromo (03)
dcpromo (04)
Gruppenrichtlinien
Mittwoch, 05.12.12, 08.30 - 16.00 Uhr
- Rekap, TN-Fragen, ...
- AD-Benutzer-Verwaltung mittels AGDLP
Benutzer (Accounts) sind Mitglieder von
Globalen Gruppen (Global groups) die wiederum Mitglieder sind von
Domain-lokalen Gruppen (Domain Local groups) wodurch die Benutzer letztendlich die
Berechtigungen (Permissions) auf der genutzten Maschine erhalten!
SID - Security Identifier repräsentiert das Benutzerkonto über eindeutigen Schlüssel (S-1-5-...; Wikipedia-Artikel), der beim Löschen verloren geht! Besser: Konten deaktivieren und bei Bedarf die lokalen Benutzerprofile auf den Client-Rechnern löschen (siehe Systemeingenschaften)
Mitgliedschaften auf DCs und Clients getestet und kontrolliert
Wichtig: Benutzer-Berechtigungen / -Mitgliedschaften werden immer nur bei Authentifizierung (Anmeldung!) aktualisiert! - Übung zu Bemutzern und Gruppen
Gruppentyp: Sicherheitsgruppe / Verteilung
Gruppenbereich: Lokal (in Domäne) / Global / Universal - Einführung in Gruppenrichtlinien (Group Policies)
Erstes Beispiel: (hier früher direkte Änderungen möglich für Kennworte)
Verwaltung - lokale Sicherheitsrichlinie - Kennwortrichtlinien -> alles GRAU!
Einstallungen ändern mittels Gruppenrichtlinienverwaltungs-Konsole (GPMC Group Policy Man. Console):
Default Domain Policy - Computerkonfiguration - Richtlinien - Windows Einstellungen - Sicherheitseinstellungen - Kontorichtlinien - Kennwortrichtlinien
Übung: Ändern der "Default Domain Policy" und testen (sperren) von Usern bei der 3. falschen Kennworteingabe - Gruppenrichtlinienobjekt (Group Policy Objects - GPO)
sind in Management Konsole unter Gruppenrichtlinienobjekte zentral organisiert und dann als Verknüpfungen den jeweiligen Objekten zugewiesen;
Zielobjekte für GPOs: Gesamtstruktur, Domäne, DCs, Standorte, OUs
GPO-Optionen: nicht konfiguriert, aktiviert, nicht aktiviert - Optionen geben dann mit Vererbung über die Hierarchien Sinn (z.B. verschachtelte OUs)
auf HD des DC: C:\Windows\SYSVOL\sysvol\bu.lokal\policies - Tool: mklink
kann die Symbolischen Verknüpfungen zu Verzeichnissen (symlinkd) oder Verbindungen (junctions) erstellen
siehe Befehlszeile (cmd) Hauptverzeichnis C: für "Dokumente und Einstellungen"; Analyse mit dir /a - Standardfreigaben
NETLOGON: Freigabepfad zu C:\Windows\SYSVOL\sysvol\bu.lokal\scripts (die klassischen Anmeldeskripte seit NT)
SYSVOL: Freigabepfad zu C:\Windows\SYSVOL\sysvol (eine Freigabe über die dann auch die GPO mit Ordner policies erreichbar sind)
C$, Admin$: Administrative Freigaben mit angehängtem $ (das $ am Ende versteckt die Freigabe im Netz)
Übersicht mit net share in der Befehlszeile - Übung zu GPO
Beispiel: Anzeige deaktivieren - Datenträgermanagement
Snap-In Console: diskmgmt.msc; Partitionierung von Daten-Laufwerk E:
Kurz-Rekapitulation zu Booten mit Extra-Partition seit Win7/2008R2 "system-reserviert" 100 MB Partition mit bootmgr und /boot/bcd (Boot Code Configuration), Fachbegriffe: MBR, Basisdatenträger vs. Dynamische Datenträger (z.B. für Software RAID mit Windows Server), GPT (GUID Partition Table) Volumes
Roaming mit GP
Donnerstag, 06.12.2012, 08.30 - 16.00 Uhr
- Rekap, TN-Fragen
- AD-Verwaltung / Tools
gpupdate /force (Erzwingen der Richtlinienaktualiserung für Computer und Benutzer)
dcgpofix (Wiederherstellen von Default Domain und/oder Default Domain Controllers Policy)
Snap-In-Consoles (*.msc): diskmgmt.msc (Datenträgerverwaltung), eventvwr.msc (Ereignisanzeige), dsa.msc (AD-Benutzer und Computer), gpmc.msc (Gruppenrichtlinienverwaltung)
Active Directory-Verwaltungscenter (neu seit R2); Anm.: hier sind mehr Container im AD zu sehen - diese lassen sich in der Active Directory Benutzer und Computer Console mittels Ansicht - Erweiterte Features ein/ausblenden - Booten
BIOS (moderne Alt. UEFI-BIOS mit GPT-HDs >2,2 TB), MBR (alt. GUID Partition Table - GPT),
primäre aktive Partition, Bootsektor, bootmgr + /Boot/BCD (Boot Configuration Data) - Erweiterte Startoptionen (F8)
Sytem reparieren, Verzeichnisdienstwiederherstellung (Stichwort: autorisierende Wiederherstellung; Kennwort von DC-Promotion!)
Tools für die Reparatur: diskpart, bootrec (/? , /FixMbr, /FixBoot, /ScanOs) - WAIK
Windows Automated Installation Kit (Toolbox: z.B. ImageX, ... - Microsoft Link) - Lizenzen
Wiederholung zu Editionen: Web, Standard, Enterprise, Datacenter; Leistungsvergleich (RAM, CPU-Sockel, Techniken)
Serverlizenz Windows Server 2008 R2 Standard: Preis recherchiert; 5 CAL
CAL - Client Access Licenses; Lizenzen modellieren nach Gerät (Device) oder Benutzern (User), kein Einsatz eines Lizensierungsservices im DC (anders als bei den Terminal Services TS/RD und den TS-CALs) - UNC (Universal Naming Convention)
Netzwerkpfad aus \\servername\freigabename\ordner\unterordner\datei.ext - Freigaben
Berechtigungen ohne Freigabe-Assistent einstellen (Organisieren - Ordner- und Suchoptionen - Register Ansicht - Freigabe-Assisten deaktivieren)
Jeder / Lesen - hier ist wieder "Jeder Berechtigte" gefragt, also meine AD-Benutzerkonten plus den Domänenbenutzern, denen meine Domäne vertraut
Freigabenamen mit $ am Ende sind "versteckt"; administrative Freigaben C$, E$; Erinnerung an net share - Vertrauensstellungen
Active Directory-Domänen und -Vertrauensstellungen zeigt transitive, eingehende und ausgehende Vertrauensstellungen zwischen bu.lokal und den jeweiligen sub0x.bu.lokal (x = 1, 2, 3), durch die transitiven Vertrauensstellungen vertrauen sich dann auch sub01 und sub02, ... - Übung: Anmeldeskripte (klassisch)
Nutzung der Freigabe NETLOGON mit Skript für Benutzer / Benutzergruppe "ProjektX"
Einrichtungen der Freigaben / NTFS (Berechtigungen), Anlegen der Benutzer und Gruppen
Skript zum LW-Mapping: net use p: \\dc-00\projektx; als Skript projekt-lw-p.cmd in scripts-Ordner platzieren und die Nutzer über ihr Kontenblatt Profil den Namen des Skripts übergeben! - NTFS (Zugriffsschutz auf Benutzerebene)
bitte Berechtigungen wiederholen; NTFS-Rechte vererben; Besitz übernehmen, Effektive Berechtigungen - Große Übung: Roaming Ordner (am Beispiel Documents)
Gruppenrichtlinie für Ordnerumleitungen (hier: Eigene Dokumente - C:\Users\Fred\Documents)
auf Server:
neue OU donnerstag mit neuem Benutzer joedonnerstag
Daten-LW-Freigabe: E:\roaming freigeben mit Freigabename roaming und Freigabe-Berechtigung: Domänen-Benutzer / Vollzugriff
NTFS-Berechtigung für E:\roaming mit Domänen-Benutzer / Ändern
Neues GPO donnerstag-roaming-documents erstellen und bearbeiten
GP-Editor: Benutzerkonfiguration - Windows Einstellungen - Ordnerumleitungen - Dokumente - Rechte Maustaste - Konfigurationen vornehmen
GPO-Objekte mit OU donnerstag verknüpfen (nicht vergessen!)
Gruppenrichtlinien aktualisieren: gpupdate /force
auf Client:
neuen User anmelden - hier jetzt im Profil kein Ordner Documents mehr!
Speichern mittels Bibliotheken - Dokumente
Übung Roaming
Freitag, 07.12.2012, 08.30 - 16.00 Uhr
- Forts. Große Übung zu "Roaming Profile Ordner"
Wiederholung/Forts. der Techniken zu den "Roaming Documents" (Ordnerumleitung): Freigabe, NTFS, UNC-Pfad, GPO (Richtlinie editieren, verknüpfen, aktualisieren), OU und User erstellen - TN-Fragen
- Druckserver
technischer Vergleich mit Netzwerkdrucker - alles wie immer: bei Server (oder eigentlich Client/Server-Technik) sind hier die Treiber zentral auf Server, während Netzwerkdrucker (zwar auch im Netz verbunden sind) die Treiber jeweils auf den nutzenden Clients hätten!
Druckeranschlüsse: USB, Lpt, TCP/IP, HP JetDirect, IPP, LPR (Line Printer Deamon für Unix)
Treiber beim Druckserver nicht nur für den 2008 R2 Server sondern auch für die Clients nötig (XP 32-Bit, Win7 32-Bit/64-Bit)
Spooling mit Spoolordner: C:\Windows\system32\spool/PRINTERS (Ordner besser auf Datenlaufwerk oder Speziallaufwerk) untergebracht - Rollen und Features
eine kurze Übersicht durch den Server-Manager, bitte auch die Tools für die Übersichten über das System wiederholen: Task-Manager, Ressourcenmonitor, ... (siehe auch PC-Systemsupport-Seminare) - Hyper-V (Virtualisierung)
eigentlich Hyper-V2 beim 2008 R2 (Vorgänger Hyper-V bei Windows Server 2008); Virtuelle HDs: *.vhd (bzw. *.vhdx)
alternative Virtualsierungen: VMware (*.vmdk), VirtualBox (*.vdi - jetzt von Oracle)
geeignete CPU beachten - RAID - Redundant Array of Inexpensive/Independent Disks
Versuch der Optimierung von Geschwindigkeit und Redundanz/Ausfallsicherheit, Software- vs. Hardware-RAID (Vor- / Nachteile),
RAID-Level; Server-SW-RAID-Level: 0 (Striping), 1 (Mirroring - Empfehlung für Serverinstallations-Volume), 5 (Striping mit Parität) - Server-Sicherung
Backupstrategien und Konzepte ("W-Fragen?"; siehe auch PC-Systemsupport-Infos)
Einrichtung der Windows Server-Sicherungsfeatures über Server Manager - Features - Feature hinzufügen
Sicherung konfiguriert / eingerichtet; Tool: wbadmin - OpenBook von Galileo
der 1400-Seiten-Wälzer von Ulrich B. Boddenberg als OpenBook (Download/ Offline-Webseite)
Link zur gedruckten Version des Buchs - TN-Unterlagen, Hinweis auf Musterprüfung/Musterlösung und LZK/BWR zum Modul Windows Server (Prüfungsvorbereitung, Downloadlink s. u.), TN-Bescheinigungen, Feedback, letzte Fragen, Hinweis auf "Server Workshop" Bildungsurlaub ab 04.02.2013 (Aufbauseminar, TN-Themen im Vorfeld abstimmbar)
Vielen Dank für Ihre freundlichen Feedbackbögen und Ihr "lautes" Klopfen am Seminarende - Danke!
Ihr Trainer
Joe Brandes
