DHCP与AD详细专项方案.docx

DHCP概述
什么是DHCP：
DHCP是用于简化IP配置管理ICP/IP标准，对用户机 动态分配ICP/IP信息。第一次开启DHCP用户机时，该用户机将在网络中请求IP地址，当DHCP服务器收到IP地址请求后，它将从数据库定义地址中选择IP地址提供给DHCP用户机。
2.使用DHCP理由：
减小管理员工作量
减小输入错误可能
避免IP冲突
当网络更改IP地址段时，不需要重新配置每台计算机IP地址
计算机移动无须重新配置IP地址
提升了IP地址利用率
DHCP服务工作过程
用户机出了能够从DHCP服务器取得IP地址外，还能够取得子网掩码、默认网关地址、DNS服务器地址等信息，以上这个过程又称为DHCP租约过程。
DHCP租约过程：
租约过程分为4个步骤：用户机请求IP地址、服务器响应、用户机选择IP地址、服务器确定租约。
用户机请求IP租约
DHCP用户机在网络中广播一个DHCPiscover包以请求IP地址，所以此过程也称为DHCPiscover。
服务器响应
当DHCP服务器接收到用户机请求IP地址信息时，就在自己IP地址库中查找是否有正当IP地址提供给用户机，假如有，DHCP服务器就将此IP地址做上标识，广播一个DHCPOffer包。DHCPOffer包中包含信息有：
DHCP用户机MAC地址，用来正确标识用户机

DHCP服务器提供正当IP地址
子网掩码
租约期限
服务器标识符（DHCP提供服务器IP地址）
用户机选择IP地址
DHCP用户机从接收到第一个DHCPOffer包中选择IP地址，并将DHCPRequest包广播到全部DHCP服务器，表明它接收提供内容（此过程也称为DHCPRequest）。DHCPRequest包信息包含为该用户机提供IP配置服务器服务标识符（IP地址）。
服务器确定IP租约
DHCP租约过程中第四步也是最终一步为服务器确定IP租约，也称为DHCPACK/DHCPNCK。DHCP服务器接收到DHCPRequest后，以DHCPACK（DHCPAcknowledge）消息形式向用户机广播成功确实定，该消息包含IP地址有效租约和其它可能配置信息。
假如用户机DHCPRequest不成功，DHCP服务器将广播否定确定消息DHCPACK包。当用户机接收到不成功确实定时，她将重新开始DHCP租约过程。
IP租约更新
当用户机重新开启或租期达50%时，就需要重新更新租约，用户机直接向提供租约服务器发送DHCPRequest包，要求更新现有地址租约。假如DHCP服务器收到请求，它将发送DHCP确定信息给用户机，更新用户机租约。假如用户机无法和提供租约服务器取得联络，则用户机一直等到租期达87.5%时，进入重新申请状态，它向网络上全部服务器广播DHCPiscover包以更新现有地址租约。假如服务器响应用户机请求，那么用户机使用该服务器提供地址信息更新现在租约。假如租约终止或无法和其它服务器通信，用户机将无法使用现有地址租约。
在用户机上使用ipconfig /renew命令能够向DHCP服务器发送DHCPRequest包，以接收更新选项和租约时间。假如DHCP服务器没有响应，用户机将继续使用目前DHCP配置选项。
在用户机上使用ipconfig /release命令使DHCP用户机向DHCP服务器发送DHCPRequest包并释放其租约。
配置DHCP服务器要求
应该有静态IP地址、子网掩码和其它TCP/IP参数

要安装DHCP服务
使用活动目录服务授权DHCP服务器
建立作用域（作用域实际上是一段IP地址范围）并激活
在安装DHCP服务器之前，需要计划以下信息
确定DHCP服务器应分发给用户端IP地址范围和子网掩码
确定DHCP服务器不应向用户端分发所以IP地址
决定IP地址租用期限。默认值为8天
是否给用户端配置默认网关、首选DNS服务器等TCP/IP参数
DHCP布署
绍兴越城物流企业使用IP地址段为172.16.0.0/16，服务器使用静态172.16.0.1----172.16.0.7网段，其它地址段有DHCP服务器自动分发给用户机使用。
安装DHCP服务
安装DHCP服务能够有两种方法：经过“添加/删除Windows组件”或经过“管理您服务器”选项来安装。
打开“开始”菜单，选择“控制面板”—“添加或删除程序”命令
在弹出窗口中单击“添加/删除Windows组件”
在组件向导列表框中选中“网络服务”复选框，单击“具体信息”按钮
在出现网络服务窗口中选中“动态主机配置协议（DHCP）”复选框，单击“确定”按钮，系统开始安装DHCP服务。
系统安装完成后，单击对话框中“完成”按钮，打开“开始”菜单中所以程序就能够看到DHCP了。
授权DHCP服务器
授权是一个安全预防方法，它可确保只有经过授权DHCP服务器才能在网络中运行。单击“开始菜单---所以程序—DNS，打开后右击服务器名在弹出快捷菜单中选择“管理授权服务器命令”，此时出现“管理授权服务器”对话框，单击授权在弹出窗口中输人DHCP服务器IP地址点确定就行了。
配置作用域
在授权DHCP服务器以后，首要任务便是创建作用域及配置作用域。作用域实际就是一段IP地址范围，当DHCP用户机请求IP地址时，DHCP服务器将以后段范围中选择一个还未出租IP地址，将其分配给DHCP用户机。
每一个DHCP服务器中最少有一个作用域，为一个网段分配IP地址。假如要为多个网段分配IP地址，就需要在DHCP服务器上创建多个作用域。
新建作用域
右击DHCP服务器名，在弹出快捷菜单中选择“新建作用域”命令。此时出现“新建作用域向导”界面，单击“下一步”按钮，按提醒输入对应东西就能够了。
激活作用域
新建作用域以后，作用域前面有红色向下箭头，表明作用域状态不活动，此时用户端不能从该作用域取得IP地址。要使作用域生效，需要右击作用域，在弹出快捷菜单中选择“激活”命令。
配置作用域选项
创建DHCP作用域后，就能够为DHCP用户机配置选项，配置选项中能够为用户端分发网关、DNS等信息。
配置用户端保留
用户端保留能够确保让某台计算机总是取得同一IP地址
DHCP中继代理
DHCP中继代理工作原理：
DHCP用户机申请IP租约，发送DHCPiscover包
中继代理收到该包，并转发给另一个网段DHCP服务器
DHCP服务器收到该包，将DHCPOffer包发送给中继代理
中继代理将地址租约（DHCPOffer）转发给DHCP用户端
接下来过程，DHCPRequest包从用户机经过中继代理转发到DHCP服务器，DHCPACK消息从服务器经过中继代理转发到用户机。
配置DHCP中继代理
打开“管理工具”----“路由和远程访问”窗口，根据提醒完成即可。
AD概述
在Windows 中，多种网络服务以服务器角色出现，方便了用户对网络资源进行分配和管理。应用服务器角色对网络进行管理，均需要有活动目录服务、域名系统服务、动态主机配置协议服务、Windows Internet命名服务配合和支持。本文将向你关键讲解上述活动目录服务务实现方法和技巧。
什么是活动目录
活动目录(Active Directory)是用于Windows 目录服务。它存放着网络上多种对象相关信息，并使该信息易于管理员和用户查找及使用。活动目录服务使用结构化数据存放作为目录信息逻辑层次结构基础。
活动目录含有信息安全性、基于策略管理、可扩展性、可伸缩性、信息复制、和DNS集成、和其它目录服务互操作性、灵活查询等优点。
活动目录优点
1.集中管理
活动目录集中组织和管理网络中资源信息。活动目录好比一个图书馆图书目录，图书目录存放了这个图书馆图书信息，便于管理。
2.便捷网络资源访问
活动目录许可用户一次登录网络就能够访问网络中所以该用户有权限访问资源。而且，用户访问网络资源时无须要知道资源所在地理位置。活动目录许可快速、方便地查询网络资源。如：用户帐户、组、共享文件夹、打印机等。
3.可扩展性
活动目录含有强大可扩展性。目录能够伴随企业或组织增加而一同扩展，许可从一个网络对象较少小型网络环境发展成大型网络环境。
DNS和活动目录
因为活动目录和DNS(Domain Name System，域名系统)集成，共享相同名称空间结构，所以注意二者之间差异很关键：
1.DNS是一个名称解析服务
DNS用户机向配置DNS服务器发送DNS名称查询。DNS服务器接收名称查询，然后经过当地存放文件解析名称查询，或查询其它DNS服务器进行名称解析。DNS不需要活动目录就能运行。
2.活动目录是一个目录服务
活动目录提供信息存放库和让用户和应用程序访问信息服务。活动目录用户使用“轻量级目录访问协议(Lightweight Directory Access Protocol，LDAP)”向活动目录服务器发送查询。要定位活动目录服务器，活动目录用户机将查询DNS。活动目录需要DNS才能工作。
即活动目录用于组织资源，而DNS用于查找资源；只有它们共同工作才能为用户或其它请求类似信息过程返回信息。DNS是活动目录关键组件，假如没有DNS，活动目录就无法将用户请求解析成资源IP地址，所以在安装和配置活动目录之前，我们必需对DNS有深入了解。
计划活动目录
在安装活动目录之前，我们首先要对活动目录结构进行细致计划设计，让用户和管理员在使用时更为方便。
1.计划DNS
假如用户准备使用活动目录，则需要首先计划名称空间。当DNS域名称空间可在Windows 中正确实施之前，需要有可用活动目录结构。所以，从活动目录设计着手并用合适DNS名称空间支持它。
在Windows 中，用DNS名称命名活动目录域。选择DNS名称用于活动目录域时，以保留在Internet上使用已注册DNS域名后缀开始(如)，并将该名称和单位中使用地理(部门)名称结合起来，组成活动目录域全名。比如，microsoftsales组可能称她们域为“”。这种命名方法确保每个活动目录域名是全球唯一。而且，这种命名方法一旦被采取，使用现有名称作为创建其它子域父名称和深入增大名称空间以供单位中新部门使用过程将变得很简单。
2.计划用户域结构
最轻易管理域结构就是单域。计划时，用户应从单域开始，而且只有在单域模式不能满足用户要求时，才增加其它域。单域可跨越多个地理站点，而且单个站点可包含属于多个域用户和计算机。在一个域中，能够使用组织单元(OU，Organizational Units)来实现这个目标。然后，能够指定组策略设置并将用户、组和计算机放在组织单元中。
3.计划用户委派模式
用户能够将权限下派给单位中最底层部门，方法是在每个域中创建组织单元树，并将部分组织单元子树权限委派给其它用户或组。经过委派管理权限，用户不再需要那些定时登录到特定账户人员，这些账户含有对整个域管理权。尽管用户还拥有带整个域管理授权管理员账户和域管理员器组，能够仍保留这些账户以备少数管理员偶然使用。
安装活动目录服务
运行活动目录安装向导将Windows 计算机升级为域控制器会创建一个新域或向现有域添加其它域控制器。
1.安装前准备工作
首先，也是最关键一点，就是你必需有安装活动目录管理员权限，不然无法安装。在安装活动目录之前，要确保系统盘为NTFS分区。同时，已做好了DNS服务器解析，如。
2.安装域控制器
在安装活动目录前首先确定DNS服务正常工作，下面我们来安装根域为域控制器。
(1)依次单击“开始→设置→控制面板”菜单项，在“控制面板”对话框中双击“管理工具”项，然后在出现对话框中双击“管理你服务器向导”选项，开启配置向导。单击“添加或删除角色”选项，单击“下一步”按钮。
(2)在“配置选项”对话框中，选择“自定义配置”选项。单击“下一步”按钮。
(3)在“服务器角色”对话框中，选择“域控制器(Active Directory)”选项，单击“下一步”按钮，将开启活动目录安装向导。单击“下一步”按钮。
注意：你也能够运行在C:\Windows\system32目录下dcpromo.exe文件，开启活动目录安装向导。
(4)因为用户所建立是域中第一台域控制器所以在“域控制器类型”对话框中选择“新域域控制器”选项。单击“下一步”按钮。
(5)在“创建一个新域”对话框中选择“在新林中域”选项。单击“下一步”按钮。
(6)在“新域名”对话框中“新域DNS全名”框中输入需要创建域名，这里是。单击“下一步”按钮。
(7)在“NetBIOS名”对话框中，更改NetBIOS名称。运行非Windows操作系统用户端将使用NetBIOS域名。可保持默认设置，单击“下一步”按钮。
(8)在“数据库和日志文件文件夹”对话框中，将显示数据库、日志文件保留位置，通常不作修改。单击“下一步”按钮。
(9)在“共享系统卷”对话框中，指定作为系统卷共享文件夹。Sysvol文件夹存放域公用文件服务器副本。Sysvol广播内容被复制到域中全部域控制器，其文件夹位置通常不作修改。单击“下一步”按钮。
(10)在“配置DNS”对话框中，单击“下一步”按钮。(假如在安装活动目录之前未配置DNS服务器，可在此让安装向导配置DNS，推荐使用这种方法。)
(11)在“权限”对话框中为用户和组选择默认权限，考虑到现在大多数网络环境中仍然需要使用Windows 以前操作系统，所以选择“和Windows 之前服务器操作系统兼容权限”选项，单击“下一步”按钮。
(12)在“目录服务恢复模式管理员密码”对话框中输入以目录恢复模式下管理员密码。单击“下一步”按钮。
此时，安装向导将显示安装摘要信息。单击“下一步”按钮即可开始安装，安装完成以后，重新开启计算机即可。
3.删除活动目录
运行dcpromo.exe文件，依据向导提醒即可删除活动目录。
备份和恢复活动目录
在Windows 中，备份和恢复活动目录是一项很关键工作。你不能单独备份活动目录，因为Windows 将活动目录作为系统状态数据一部分进行备份。系统状态数据包含注册表、系统开启文件、类注册数据库、证书服务数据、文件复制服务、集群服务、域名服务和活动目录等8部分，通常情况下只有前3部分。这8部分全部不能单独进行备份，必需作为系统状态数据一部分进行备份。
1.备份活动目录
假如一个域内存在不止一台域控制器，当重新安装其中一台域控制器时，备份活动目录并不是必需，你只需要将其中一台域控制器从域中删除，重新安装，并使之回到域中，那么另外域控制器自然会将数据复制到这台域控制器上。假如一个域内只有一台域控制器，那就有必需对活动目录进行备份。
(1)单击“开始→程序→附件→系统工具→备份”菜单项，以开启备份或还原向导。单击“高级模式”选项，打开“备份工具”对话框单击“备份向导”按钮。单击“下一步”按钮。
(2)在“要备份内容”对话框中，选择“只备份系统状态数据”选项。单击“下一步”按钮。
(3)在“备份类型、目标和名称”对话框中，输入备份数据文件名，单击“下一步”按钮，完成备份向导。
2.活动目录恢复
有两种措施能够恢复活动目录。
第一个方法是从域其它域控制器上恢复数据，前提是域内必需还有一台域控制器是可用，这时当损坏域控制器重新安装并加入到它原来域时，域控制器之间会自动进行数据复制，活动目录也会随之恢复。　
另一个方法就是从备份介质进行恢复。通常情况下，整个网络环境中只有一台域控制器，所以从介质恢复活动目录是常常碰到事情。
从备份介质进行活动目录恢复有两种方法能够选择：验证方法(Authoritative Restore)和非验证方法(Nonauthoritative Restore)。
3.非验证方法恢复
通常情况下，Windows 使用非验证方法恢复。活动目录从备份介质中恢复以后，域内其它域控制器会在复制过程中使用新数据覆盖旧数据。
要实现非验证恢复，目录服务必需处于离线状态。同时，你必需使域服务器处于“目录服务恢复模式”。重新开启服务器，按下F8键展开系统开启高级菜单，选择其中“目录服务恢复模式”选项。当Windows 出现用户登录窗口时，输入当地管理员账户和密码，登录成功后，就能够进行恢复操作了。
注意：这里并不是在活动目录中管理员账号和密码。
(1)单击“开始→程序→附件→系统工具→备份”菜单项，以开启备份或还原向导。单击“高级模式”选项，打开“备份工具”对话框，单击“还原向导”按钮。单击“下一步”按钮。
(2)在“还原项目”对话框中，选择对应备份文件，单击“下一步”按钮，完成数据恢复，重新开启机器即可。
注意：通常情况下，你不能恢复60天以前备份活动目录数据。
4.验证方法恢复
验证模会将从备份介质恢复过来数据强行复制到域内全部域控制器上，不管从备份以后数据是否发生了改变。验证模式恢复活动目录通常见于活动目录在域内某台域控制器上发生了严重错误，而且这种错误经过复制扩散到了域内其它域控制器上。
为实现验证方法恢复，你必需首先实现非验证方法恢复，然后使用NTDSUTIL命令行工具实现验证式恢复。
重新开启服务器，按下F8键展开系统开启高级菜单，选择其中“目录服务恢复模式”选项。当Windows 出现用户登录窗口时，输入当地管理员账户和密码，登录成功后，就能够进行恢复操作了。
1.单击“开始→运行”菜单项，在出现对话框中输入“ntdsutil”，开启命令行工具。　
恢复整个活动目录数据库，可使用下列命令：
authoritative restore
restore database
2.恢复部分活动目录数据，使用下列命令：
authoritative restore
restore subtree ou=works,dc=lanyi,dc=com
第二行命令需要依据实际情况确定，比如你域名字是，要恢复OU是Works，即为上式中：restore subtree ou=works,dc=lanyi,dc=com，依这类推。
最终使用quit命令退出，重新开启机器即可