Развертывание небольшой инфраструктуры компании N
Структура выглядит следующим образом:
- 2 Контроллера домена с репликацией
- 2 Файловых сервера с дедупликацией и репликацией
- 1 Бэкап сервер с Veeam Backup & Replication
- 1 Терминал в гордой, но одинокой коллекции
- 1 Zabbix 7.0LTS Сервер на Ubuntu 22.04
- 1 Локальный Сервер BPMSoft (На данный момент в процессе развертки bpmsoft.ru)
Подготовка Контроллеров Домена
В первую очередь установка обновлений, драйверов и задача понятного имени серверу, после этого установа необходимых ролей:
DNS-сервер, Доменные службы Active Directory и на будущее Пространство имен DFS.
После успешной установки ролей и компонентов, настройки домена и перезагрузки сервера, в оснастке создали корневую OU в ней еще OU:
После того как OU были подготовлены: создали нескольких администраторов, двух тестовых пользователей(чтобы проверять работу GPO), переместили сервера магическим образом добавленные в домен в соотвествующие подразделения, и три группы пользователей в соответсвующее подразделение:
GPO
Первым делом направляемся в OU "servers" и создаем политику "c-download-windows-update" в конфигурации
компьютера включаем политику автоматического обновления со значением 3, что обозначает
автоматическую загрузку и уведомление об установке, включаем политику
"Не выполнять автоматическую перезагрузку при автоматической установке обновлений если в системе работают пользователи".
После направляемся в подразделение "terminals", где первым делом создаем политику "c-GPO" и включаем параметр конфигурации компьютера "Настройка обработки режима обработки замыкания пользовательской групповой политики" в режиме замены.
Следующая политика - "c-ts" в которой в конфигурации компьютера запрещаем перенаправление дисков и принтеров.
После делаем политику применяемую ко всем пользователям "u-ts" направляем на группу TS-USERS и тут мы:
"u-rdp-clipboard-enable" разрешает определенной группе пользователей использовать буфер обмена во время сеансов RDP.
"u-rdp-allow-internet" разрешает определенной группе пользователей выход в интернет, реализовано это так:
Internet allow
Правилами файрвола все пакеты уходящие за роутер дропаються, но пакеты с меткой DSCP=63 могут уходить за роутер.
Также в корне домена есть политика c-all, которая подключает всем и вся общий общую папку настроенную в DFS пространстве имён
После успешной установки ролей и компонентов, настройки домена и перезагрузки сервера, в оснастке создали корневую OU в ней еще OU:
- computers
-
servers
- backup servers
- file servers
- terminals
- groups
- users
После того как OU были подготовлены: создали нескольких администраторов, двух тестовых пользователей(чтобы проверять работу GPO), переместили сервера магическим образом добавленные в домен в соотвествующие подразделения, и три группы пользователей в соответсвующее подразделение:
- TS-USERS (Кому можно будет на терминал)
- TS-RDP-user-interner (Кому можно гуглить)
- TS-RDP-user-clipboard (Кому можно будет использовать буфер обмена на терминале)
После направляемся в подразделение "terminals", где первым делом создаем политику "c-GPO" и включаем параметр конфигурации компьютера "Настройка обработки режима обработки замыкания пользовательской групповой политики" в режиме замены.
Следующая политика - "c-ts" в которой в конфигурации компьютера запрещаем перенаправление дисков и принтеров.
После делаем политику применяемую ко всем пользователям "u-ts" направляем на группу TS-USERS и тут мы:
- Скрываем системные диски
- По умолчанию запрещаем использование буфера обмена
- Удаляем не нужные пользователям вкладки в проводнике
- И в параметрах безопасности запрещаем запускать программное обеспечение из не нужных папок (оставляя %WINDIR%, %PROGRAMFILES%)
"u-rdp-clipboard-enable" разрешает определенной группе пользователей использовать буфер обмена во время сеансов RDP.
"u-rdp-allow-internet" разрешает определенной группе пользователей выход в интернет, реализовано это так:
Также в корне домена есть политика c-all, которая подключает всем и вся общий общую папку настроенную в DFS пространстве имён
Подготовка файлового сервера
После этих невероятных действий направляемся на контроллер домена, где будет происходить настройка пространства имён DFS.
Подготовка сервера резервного копирования
Первым делом устанавливаем всея Veeam B&R, на котором выполняем 3 задачи:
File server backup
По скольку до этого мы подключали в veeam файловый сервер, настройка резервного копирования крайне проста,
и работает таким образом что можно точечно восстанавливать файлы (если кто-то вдруг что-то удалит)
- Создаём новое храналище на диске который определили как диск для резеврных копий (пердварительно отфармотировав его в ReFS с кластерами по 64Кб), и открывам к нему доступ из вне, для необходимых учетных записей.
- Добавляем в инфрастуктуру один из файловых серверов
- Настраиваем резервное копирование нашего диска с общими ресурсами
Подготовка терминального сервера
Подготовка zabbix
