[решено] DNS, DHCP, AD и роутер-как лучше сделать?

[santey007]

в общем есть сеть, обычная, равноправная. есть роутер, который дает нам интернет и является DNS и DHCP сервером(zyxel kennektic 4g)
теперь есть новый сервер на 2008р2, чистый. на нем необходимо сделать DNS и DHCP и естественно AD+ что бы шел через него трафик, в дальнейшем (как все это будет сделано), поставлю на него еще например трафик инспектор.
посоветуйте поэтапно и как правильно все это реализовать?

какие шаги сделал я:
1- поднял DNS
2- поднял DHCP
вроде бы работает, но как то вот коряво: часто исчезает вторичный DNS, которым является роутер и инет естественно пропадает, он стоит 003. автоматом выставляется опять на основной ДНС
если все это сделал правильно, то как действовать дальше, что бы потом по 10 раз не переделывать. так же там будет и VPN сервер висеть, по мимо всего перечисленного выше?
я думаю наверно стоит роутер посадить напрямую на вторую сетевуху, что бы трафик шел через него? или можно вообще роутер убрать? сделать например так, что бы сам сервер поднимал сессию интернета?

[exo]

AD »
контроллер домена 2008 R2 (http://www.exonix.ru/?9pdi3vyrjkgv0ootds2uiv4.htm). Рекомендую настраивать в указанном порядке.
поднял DHCP »
настройка DHCP 2008 R2 (http://www.exonix.ru/?f7kpcq16na4pomyrzh4nyyg.htm)

он стоит 003 »
003 - это шлюз по умолчанию. 006 - это ДНС.

поставлю на него еще например трафик инспектор »
не рекомендую ставить что-либо на контроллер домена, кроме некоторых встроенных служб.

Итоговая цель какая ?

[HellFire_MZ]

Вы немного путаете понятия DNS. Вторичный DNS это вовсе не роутер. Роутер это шлюз, указывать его вторичным ДНС не нужно.
Обратите внимание, когда будете поднимать домен: не делайте его похожим на какой-либо сайт в интернете: domain.ru плохой домен, domain.local хороший домен.
или можно вообще роутер убрать? сделать например так, что бы сам сервер поднимал сессию интернета? »
У вашего провайдера PPPoE? тот же траффик инспектор умеет всё это делать.
Кстати, для справки, а для чего вам DNS, AD, DHCP?

[santey007]

начнем:
HellFire_MZ
1- DNS и DHCP необходимы мне, для того, что бы по сети адекватно раздавались ИП адреса и адекватно все работало не по ИП адресам а по имени ресурсов, что является стабильной работой сети- может я что не так сказал, если что меня поправьте, могу наверно и ошибаться
2- да у провайдера ППОЕ
3- AD нужно не только мне, но и его хочет начальство. что бы мои документы и раб стол хранились на сервере + замечательная авторизация в домене- им это нравиться. мне нужен АД для нормального и быстрого разруливания прав по сети к ресурсам и т.п.
exo
подумав уже понял, что проксю конечно лучше сделать отдельно.
Итоговую цель я уже наверно выше написал: сервер AD, DNS, DHCP
прокси сервер, основанный на трафик инспекторе- думаю как на счет роутера, оставлять его или нет, если оставлять, то как это стабильно реализовать. проксик нужен для распределения трафика, для разрешения\запрета ресурсов, ведения логов посещаемости этих ресурсов и траты трафика. так же для проброса портов-тут уже думаю лучше выбросить роутер, т.к. с роутером это будет сделать трудновато наверно

[HellFire_MZ]

santey007, вы не указали объем компьютеров в вашей организации и бюджет.
Можно шлюз сделать на обычном компьютере с Windows 7 Professional + TI. Роутер уберете. Еще дешевле, используйте шлюз на linux, если владеете необходимыми знаниями, если нет, то Windows 7 + TI. TI умеет поднимать PPPoE, только нужно, чтобы компьютер автоматически делал вход в систему.
что касается DNS, DHCP и AD - по ссылкам выше. Надеюсь, вы помните, что клиентские машины домена не должны быть с операционными системами Home. Только Windows XP Pro, Windows 7 Pro, Ultimate.

[exo]

сервер AD, DNS, DHCP »
ссылки по настройке я вам дал.
так же для проброса портов-тут уже думаю лучше выбросить роутер, т.к. с роутером это будет сделать трудновато наверно »
самое оно для роутера. Я стараюсь любые Windows компьютеры в интернет напрямую не выставлять. Тем более с АД.
проксик нужен для распределения трафика, для разрешения\запрета ресурсов, ведения логов посещаемости этих ресурсов и траты трафика »
если нет отдельной машины, то можно настроить прокси сервер на виртуальной машине на том же сервере. Например Linux+Squid+AD (http://www.exonix.ru/?ud213wwh1as8nv1tgbxuaeu.htm).

[santey007]

в офисе 30 ПК + будет пополняться парк. я в курсе что хоум не поддерживает домен. 2 сервера с СКЛ базами +1 сервер поднял для АД, ДНС и ДШСП. еще 1ПК для проксика я найду конечно же.
мой роутер отлично пробрасывает порты, но с трудом сделал что бы пробросил пакет гре для ВПН, даже в службе поддержки зухеля сказали, что данная прошивка не поддерживает столь тонкую настройку, поддерживает супер-пупер новая прошивка,НО в этой новой прошивки нет УРЛ фильтра, который есть в старой. этим фильтром я режу доступ к соц сетям, поэтому пока не могу отказаться от этой прошивки. ну а по большому счету проксик нужен для распределения трафика, запреты ресурсов и мониторинга посещаемости ресурсов- хотелка начальсва

exo, спасибо за ссылки, буду внимательно изучать.сверю свои настройки по вашим ссылкам

[santey007]

вроде бы настроил... пока только один ПК загнал в домен, буду постепенно вгонять
возникли еще вопросы:
1-возможно новому пользователю домена, перенести все что было у него до домена: настройки ПО(аськи, скайп...) и т.п.? т.к. если вгонять в домен, то каждому юзеру придется глобально все переносить вручную(((
2-юзерам права давать "пользователь домена"?
3- сервера вгонять под одной и тойже учеткой администратор? опять же как перетащить все настройки?
4- впн сервер так же создаю на контроллере домена, никаких проблем не будет?

[exo]

1-возможно новому пользователю домена, перенести все что было у него до домена: настройки ПО(аськи, скайп...) и т.п.? т.к. если вгонять в домен, то каждому юзеру придется глобально все переносить вручную((( »
да, используя программу миграции профилей (http://www.forensit.com/domain-migration.html).
2-юзерам права давать "пользователь домена"? »
они уже буду автоматически.
3- сервера вгонять под одной и тойже учеткой администратор? опять же как перетащить все настройки? »
всё вводится в домен под учётными записями, имеющие права на это. по умолчанию - пользователи в группе "администраторы домена".
см пункт 1.
4- впн сервер так же создаю на контроллере домена, никаких проблем не будет? »
можно и на контроллере. но лично я предпочитаю ВПН настраивать на роутерах.

[santey007]

1- не подскажете как ей пользоваться?) можно было бы выложить такую статью на вашем сайте- кстати мне очень понравился стиль описания, все очень понятно
2- я понял что они юзерам автоматом даются, я имею ввиду им этого достаточно будет-для установки ПО например?
3-я имею ввиду все сервера будут работать под одной и тойже учеткой админа. т.е. 3 сервера и все они логинятся под одной учеткой: домен\админ, это главная учетка домена (с помощью ее загоняю в домен)
4- на моем роутере к сожалению нельзя сделать ВПН сервер, поэтому буду делать на контроллере домена -тут так же есть пару вопросов, например, я буду задавать пул адресов, они должны входить в пул адресов домена? или можно например так: пул домена х.х.х.10-х.х.х.50, а для впн х.х.х.60-х.х.х.100?
5- куда будут сохраняться профиля юзеров по дефолту или как настроить сохранения профилей по дефолту в определенную папку?
6-как сделать так, что бы к каждому юзеру примапивалась общая папка?

[exo]

можно было бы выложить такую статью на вашем сайте »
хорошо, я скоро сделаю эту статью. сам не сразу разобрался с этой программой. если время не ждёт - можете пока сами протестировать на виртуальной машине.
2- я понял что они юзерам автоматом даются, я имею ввиду им этого достаточно будет-для установки ПО например? »
нет. группа Domain Users имеет права простого локального пользователя, но не административные.
4- на моем роутере к сожалению нельзя сделать ВПН сервер »
по этому компания покупает роутер с нужным ей функционалом. по Windows ВПН не расскажу, т.к. не практикую.
5- куда будут сохраняться профиля юзеров по дефолту или как настроить сохранения профилей по дефолту в определенную папку? »
по дефолту - на локальном компьютере. для изменения читайте про "перенаправляемые папки" и "перемещаемый профиль".
6-как сделать так, что бы к каждому юзеру примапивалась общая папка? »
в групповой политике можно это настроить:
http://www.exonix.ru/foto/disk3.png
http://www.exonix.ru/foto/disk4.png

[santey007]

т.е. кликаем по подразделению создать общий ресурс и показываем путь через сетку?
а вот про групповые политики непонял- это где открывать?
так же читал про профиля и т.д., видать конец рабочего дня,бошка уже не варит
и как с АД удалить подразделения, которые защищены от случайного удаления?

[exo]

т.е. кликаем по подразделению создать общий ресурс и показываем путь через сетку? »
только вроде ресурс уже должен быть расшарен.
а вот про групповые политики не понял- это где открывать? »
GPMC - все политики управляются от туда.
и как с АД удалить подразделения, которые защищены от случайного удаления? »
зайти в свойства и убрать галочку, которая защищает от удаления и перемещения.

не подскажете как ей пользоваться?) можно было бы выложить такую статью на вашем сайте »
по просьбам трудящихся (http://www.exonix.ru/?riohdemywqf6hwmqzhofugh.htm).

[astomper7]

exo, да, Profwiz - действительно лаконично и четко работает. Проверено неоднократно.

[santey007]

exo огромное спасибо за мануал! сегодня правда небыло времени испытывать, т.к. полдня проторчал в МРЭО, машину продавал. на праздники собираюсь в москву за машиной
в свойствах нет галочек никаких, я уже везде обыскался:
http://forum.oszone.net/attachment.php?attachmentid=97997&stc=1&d=1366806740
http://forum.oszone.net/attachment.php?attachmentid=97998&stc=1&d=1366806738
http://forum.oszone.net/attachment.php?attachmentid=97999&stc=1&d=1366806738

[exo]

AD UC - View - Advanced Features после включения этого будут.

и в корне АД я рекомендую вам создать ОЮ "Фирма" - ОЮ "город" (если есть филиалы) - и только потом ОЮ BUH и другие.
вроде этого:
http://www.exonix.ru/resource/image/2008R2/19.png

[santey007]

общи диск никак не мапится к пользователю. игрался игрался с настройками-ни в какую. когда настраиваю общий ресурс в политике, на нем появляется желтый треугольник. нет ли точнее настройки? и по политикам настройки сохранения профилей и мои документы, есть какие то темы пошаговые?
еще раз извиняюсь)

exo кстати по вашей программке по переносу профилей, один раз попробовал по вашему мануалу, вроде бы получилось. надо еще попробовать. огромное спасибо за помощь! чем дальше продвигаюсь тем больше вопросов)))

[exo]

и по политикам настройки сохранения профилей и мои документы, есть какие то темы пошаговые? »
в поиске наберите "перенаправление папок", "перемещаемые профили". в интернете много описаний.
общи диск никак не мапится к пользователю .. когда настраиваю общий ресурс в политике, на нем появляется желтый треугольник»
смотрите логи, почему не мапится. а треугольник - это из-за того что стоит update. это нормально )

[santey007]

1-какие логи и где их смотреть?
2-по поводу профилей смотрел, нигде нет подробной инструкции, прочитал эту статью (http://www.oszone.net/14008), прописал вроде путь, но при созданий пользователя он так и не прописывает путь профиля. и все никак не могу найти про мои документы, что бы они хранились только на сервере,а не на ПК пользователя. еще пытался покапаться с общим ресурсом, нет не получается никак примапить диск(((
3-еще вопрос по правам. прописываю вручную путь к профилю, он создает,все ок. НО я немогу просмотреть содержимое профиля на сервере, говорит отказано в доступе. помогает только смена владельца. после смены, он не синхронизирует профиль. если дать полные права на профиль, то синхронизация профиля проходит по 20 мин, т.е. выкл машину, он что то там думает около 20 мин, и так же при вкл -машина с новой виндой, она пустая вообще. профиль весит 30МБ. без этих маркитаний все происходит быстро. итак вопросы:
а- какие права дать на папку с профилями, что бы они нормально синхр-ись, но что бы по сети никто не смог ничего грохнуть или посмотреть?
б- как сделать так, что бы и синхронизация проходила быстро и я мог посмотреть\изменить содержимое профиля любого юзера?

[exo]

1-какие логи и где их смотреть? »
просмотр событий - приложения (Application)
нигде нет подробной инструкции »
ладно, сегодня накатаю у себя в картинках... по проще чтобы было.
3-еще вопрос по правам. прописываю вручную путь к профилю, он создает,все ок. НО я немогу просмотреть содержимое профиля на сервере, говорит отказано в доступе »
всё правильно. надо вроде правильно настраивать разрешения. я посмотрю как у меня.