部署RODC和RODNS加强分支办公处的信息和网络安全

 

 

 

准备工作

1.        首先在主域控制器DC上，创建一个存放分支办公处用户账号的组织单位FBRODC，然后再OU下创建一个普通用户和一个管理员用户，还有一个全局安全组。

2.        然后打开DNS管理器，展开正向区域，展开KG.COM.然后右击KG.COM。点击属性，点击区域传送，然后《允许传送到所有服务器》。

3.        然后输入在运行里输入cmd，打开命令工具，首先输入adprep /forestprep,更新林信息。

4.        之后输入adprep /domainprep更新域信息。

5.        之后输入adprep /rodcprep更新对NDNC分区的权限以便启用只读域控制器的复制。

创建应答文件

6.        在域控制器上打开命令工具。输入以下命令。

Ntdsutil

Activate Instance ntds

Ifm

Create rodc c:\rodc

之后打开一台成员服务器。这里以KG-DFS为例。

7.        首先把在域控制器创建好的活动目录的数据库文件复制到成员服务器上。

登陆成员服务器之后，在运行里输入dcpromo /adv,然后等待AD域服务安装向导出现，当向导出现时。点击高级安装模式。

8.        这里选择《现有林（向现有域添加域控制器）》，因为只读域控制器，是作为额外域的作用部署在分布的。

9.        之后输入域管理员的账号密码。进行身份验证。

10.    这里只是选择《只读域控制器（RODC）》。

11.    添加允许缓存密码在只读域控制器的用户或组，这里添加之前建好的FBRodcGroup组，

12.    委派一个管理员对只读域进行管理，这里添加之前创建好的只读域的管理员FBRodc manager。

13.    这里选择《从下列位置的介质中复制数据》，这里我们要找到刚才从域控制器复制过来的数据库文件。

14.    这里输入目录服务还原模式的管理员密码。P@ssw0rd

15.    点击《下一步》之后，不要点击完成，而是点击《导出配置》，然后把文件导出到c:盘。

准备只读域控制器

16.    这里主要是配置只读域控制器的ip、dns和主机名。

首先输入netsh interface ipv4 show interfaces 记下本地连接接口的idx值。

17.    然后配置ip地址和dns地址。

netsh interface ipv4 set address name=idx source=static address=192.168.1.12 mask=255.255.255.0 gateway=192.168.1.1

netsh interface ip set dns idx static 192.168.1.2 primary

18.    之后修改主机名。

netdom renamecomputer %computername% /newname:KG-FBRODC /force /reboot:5

由于过5秒就关机了这里看不到效果。

重启之后我们输入《ipconfig /all》,可以看到只读域控制器的基本配置已经配置完毕。

安装只读域控制器

19.    在只读域控制器上，输入以下命令复制安装所需要的数据。

输入net use  z: \\kg-dfs\c$      //连接到共享文件夹，生成本地磁盘z

然后输入copy  z:\kg-rodc c:\    //复制自动应答文件

xcopy z:\rodc c:\rodc /s         

d                            //复制数据库文件

20.    由于应答文件不能保存密码。所以我们要打开应答文件输入密码。

首先转到c盘的根目录，然后输入应答文件的文件名。

21.    之后修改password=P@ssw0rd
修改safeModeAdminPassword=P@ssw0rd

22.    修改完之后，保存文件，输入dcpromo /unattend:"kg-rodc.txt"之后就会开始安装。

23.    安装重启之后，我们来到主域控制器，打开AD用户和计算机。在《Domain Controllers》文件夹下。可以看到我们安装完的只读域控制器。

安装只读DNS

24.    在只读域控制器上，输入start /w ocsetup DNS-Server-Core Role .

25.    将DNS服务器添加到分区复制作用域。

26.    之后再域控制器上开启Remote Procedure Call (RPC) Locator服务。

27.    之后再在站点中复制数据。

28.    之后我们打开DNS管理器，右击KG-DC，点击连接到服务器里，输入《KG-FBRODC》,

29.    修改只读域控制器的ip为192.168.3.2