部署RODC和RODNS加強分支辦公處的信息和網絡安全

 

 

 

準備工作

1.        首先在主域控制器DC上，創建一個存放分支辦公處用戶賬號的組織單位FBRODC，然後再OU下創建一個普通用戶和一個管理員用戶，還有一個全局安全組。

2.        然後打開DNS管理器，展開正向區域，展開KG.COM.然後右擊KG.COM。點擊屬性，點擊區域傳送，然後《允許傳送到所有服務器》。

3.        然後輸入在運行裏輸入cmd，打開命令工具，首先輸入adprep /forestprep,更新林信息。

4.        之後輸入adprep /domainprep更新域信息。

5.        之後輸入adprep /rodcprep更新對NDNC分區的權限以便啓用只讀域控制器的複製。

創建應答文件

6.        在域控制器上打開命令工具。輸入以下命令。

Ntdsutil

Activate Instance ntds

Ifm

Create rodc c:\rodc

之後打開一臺成員服務器。這裏以KG-DFS爲例。

7.        首先把在域控制器創建好的活動目錄的數據庫文件複製到成員服務器上。

登陸成員服務器之後，在運行裏輸入dcpromo /adv,然後等待AD域服務安裝嚮導出現，當嚮導出現時。點擊高級安裝模式。

8.        這裏選擇《現有林（向現有域添加域控制器）》，因爲只讀域控制器，是作爲額外域的作用部署在分佈的。

9.        之後輸入域管理員的賬號密碼。進行身份驗證。

10.    這裏只是選擇《只讀域控制器（RODC）》。

11.    添加允許緩存密碼在只讀域控制器的用戶或組，這裏添加之前建好的FBRodcGroup組，

12.    委派一個管理員對只讀域進行管理，這裏添加之前創建好的只讀域的管理員FBRodc manager。

13.    這裏選擇《從下列位置的介質中複製數據》，這裏我們要找到剛纔從域控制器複製過來的數據庫文件。

14.    這裏輸入目錄服務還原模式的管理員密碼。P@ssw0rd

15.    點擊《下一步》之後，不要點擊完成，而是點擊《導出配置》，然後把文件導出到c:盤。

準備只讀域控制器

16.    這裏主要是配置只讀域控制器的ip、dns和主機名。

首先輸入netsh interface ipv4 show interfaces 記下本地連接接口的idx值。

17.    然後配置ip地址和dns地址。

netsh interface ipv4 set address name=idx source=static address=192.168.1.12 mask=255.255.255.0 gateway=192.168.1.1

netsh interface ip set dns idx static 192.168.1.2 primary

18.    之後修改主機名。

netdom renamecomputer %computername% /newname:KG-FBRODC /force /reboot:5

由於過5秒就關機了這裏看不到效果。

重啓之後我們輸入《ipconfig /all》,可以看到只讀域控制器的基本配置已經配置完畢。

安裝只讀域控制器

19.    在只讀域控制器上，輸入以下命令複製安裝所需要的數據。

輸入net use  z: \\kg-dfs\c$      //連接到共享文件夾，生成本地磁盤z

然後輸入copy  z:\kg-rodc c:\    //複製自動應答文件

xcopy z:\rodc c:\rodc /s         

d                            //複製數據庫文件

20.    由於應答文件不能保存密碼。所以我們要打開應答文件輸入密碼。

首先轉到c盤的根目錄，然後輸入應答文件的文件名。

21.    之後修改password=P@ssw0rd
修改safeModeAdminPassword=P@ssw0rd

22.    修改完之後，保存文件，輸入dcpromo /unattend:"kg-rodc.txt"之後就會開始安裝。

23.    安裝重啓之後，我們來到主域控制器，打開AD用戶和計算機。在《Domain Controllers》文件夾下。可以看到我們安裝完的只讀域控制器。

安裝只讀DNS

24.    在只讀域控制器上，輸入start /w ocsetup DNS-Server-Core Role .

25.    將DNS服務器添加到分區複製作用域。

26.    之後再域控制器上開啓Remote Procedure Call (RPC) Locator服務。

27.    之後再在站點中複製數據。

28.    之後我們打開DNS管理器，右擊KG-DC，點擊連接到服務器裏，輸入《KG-FBRODC》,

29.    修改只讀域控制器的ip爲192.168.3.2