После прочтения первой статьи «Останься легальным: как лицензировать Windows», надеюсь, у вас сложилось общее впечатление о процессе лицензирования компьютеров рядовых пользователей и серверов среднего масштаба. В данной статье речь пойдет о достаточно критичных сервисах, а именно о переносе домена (Windows NT 4.0) и почтовой системы Exchange 5.0 на лицензионное ПО на базе Microsoft Windows Small Business Server 2003.
C чем связан такой выбор - думаю понятно. Значительно дешевле купить один продукт, который содержит Windows Server 2003 и Exchange Server 2003 и др. без каких-либо ограничений по функционалу, чем покупать продукты отдельно. Правда работает это все с небольшими сетями (до 75 компьютеров), что является существенным ограничением.
Продукты Microsoft отличаются не только умом, но и сообразительностью. Несмотря на то, что весь процесс переноса был детально описан и протестирован несколько раз на клонированных серверах, процесс переноса «боевого сервера» преподнес немало сюрпризов, в виде новых неизвестно откуда взявшихся ошибок.
Хочется еще раз напомнить о том, что все эксперименты с серверами проводились на клонированных посредством программы Acronis машинах. Поэтому если вы дочитали до этого места и еще не успели убить свой или чей-нибудь сервер, то непременно сделайте резервную копию! Знакомая фраза, не так ли?! 🙂
Перед тем как углубиться в технические детали, мне хотелось бы сделать несколько важных замечаний. Windows NT 4.0 не оснащается службой AD, не выполняет аутентификации по протоколу Kerberos, не совместима с динамической службой DNS и не обеспечивает синхронизацию времени по протоколу Network Time Protocol (NTP). К сожалению все это делает невозможным прямую миграцию с Windows NT на Windows 2003 посредством добавления в сеть добавочного контроллера домена.
Решение: поднятие контроллера домена до 2000 server:
- Прежде всего, следует обновить существующую систему, используя пятый или лучше сразу шестой пакет исправлений для NT 4.0.
- Проверяем и исправляем все ошибки, найденные в диспетчере событий Windows.
- Ставим Windows 2000 Server ENG. Именно английскую версию, т.к. другая просто не будет ставиться.
- В процессе установки может всплыть «синий экран смерти». Если вдруг такое произошло, его следует внимательно изучить. В моем случае причиной стал SCSI драйвер Acronis, который был установлен в системе. Лечение простое. Восстанавливаем домен из резервной копии, удаляем сбойный драйвер, снова выполняем 3 пункт.
- Сам процесс обновления прошел очень гладко. В процессе установки система самостоятельно запросит данные, чтобы создать новое дерево доменов и настроить сервер доменных имен для нашего домена
- Завершает процесс, установка SP4 уже на Windows 2000.
- Снова проверяем и исправляем все ошибки, найденные в диспетчере событий Windows. Проверяем функционал сервера. На данном этапе стоит заметить, что вернуть клиентские компьютеры после присоединения к 2000 серверу назад в NT домен будет достаточно сложно. Причина отсутствие у последней AD. Поэтому от того насколько тщательно вы проверите вновь созданный сервер, зависит работа всей сети в целом.
С главным контроллером домена закончили. В целом новая система работает без сбоев и перезагрузок с момента инсталляции. Клиентские машины автоматически перестроились на новую инфраструктуру, плюс 2000 реализовала те функции, которых мне часто не хватало как администратору в сети с NT 4.0. К тому же установленная система полностью совместима с ранее установленным Exchange 5.5, который перешел по наследству в новую ОС.
Из ошибок можно отметить две стандартные:
1) Exchange 5.5, и контроллер домена Windows 2000 используют порт TCP 389 для предоставления доступа к своим каталогам по протоколу LDAP. При конфликте нужно изменить порт службы LDAP именно на Exchange 5.5, поскольку клиентами Exchange 5.5 этот порт практически никогда не используется, а вот контроллер домена Windows 2000 при отключении порта LDAP, наоборот, вообще перестанет обслуживать клиентов. Необходимо запустить утилиту Microsoft Exchange Administrator, подключиться к почтовой организации Exchange 5.5 и раскрыть объект Site -> Configuration -> Protocols -> LDAP (Directory) Site Defaults. На закладке General необходимо сменить порт LDAP на любой другой
неиспользуемый, например поставить 388 вместо 389. Конфликт портов между Exchange 5.5 и контроллером домена Windows 2000, находящимися на одном компьютере, обычно не приводит ни к каким серьезным последствиям и может пройти незаметно.
2) Ошибка службы времени. Для решения данной проблемой я ограничился синхронизацией с внутренними часами компьютера. Чтобы служба времени использовала в качестве источника времени внутренние часы компьютера, выполните следующие действия.
- Выберите в меню Пуск пункт Выполнить, введите команду regedit и нажмите кнопку ОК.
- Найдите и выделите следующий раздел реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\W32Time\Config\AnnounceFlags - На правой панели щелкните правой кнопкой мыши параметр AnnounceFlags и выберите команду «Изменить».
- В появившемся окне Изменение параметра DWORD в поле Значение введите символ A и нажмите кнопку ОК.
- Закройте редактор реестра.
- Перезапустите службу времени. Для этого введите в командной строке следующую команду и нажмите клавишу ВВОД:
net stop w32time && net start w32time
Более подробную информацию о настройке данной службы можно найти на сайте Майкрософт (http://support.microsoft.com/default.aspx?scid=kb;ru;816042)
Заодно в групповую политику была добавлена информация о наличии сервера времени, после чего все станции в сети стали принудительно синхронизироваться:
- Пуск, выполнить, dsa.msc.
- Выбираем текущий домен, свойства, групповая политика, изменить.
- Конфигурация компьютера, административные шаблоны, система, служба времени.
- Двойной клик по глобальным параметрам конфигурации, ставим точку на «Включить».
После применения групповой полити в сети, компьютеры в сети будут нормально забирать время с контроллера домена. Более подробно можно прочитать здесь (http://support.microsoft.com/kb/929276/).
Установка Microsoft Windows Small Business Server 2003
Параллельно с вышеописанной операцией по поднятию контроллера домена до 2000 server, на другую машину был установлен Microsoft Windows Small Business Server 2003 RUS. Из особенностей стоит отметить отключение службы проверки лицензий на этапе установки системы, что позволяет отключить проверку лицензий и снятие доверительных ограничений. Ниже расписано как это можно сделать, мною был выбран 2 вариант, т.к. на этапе установки он был самым простым.
Вариант 1:
- Грузимся с Live CD или в другой винды...
- Подключаем реестр... (windows\system32\config\system)
- Изменяем раздел (чтобы увидеть содержимое раздела необходимо зайти в разрешения и добавить пользователя Администратор) [HKLM\SYSTEM\CurrentControlSet\Services\SBCore]
"Start" = 4
Вариант 2:
Для снятия ограничений SBS надо в дистрибутиве в файле HIVESYS.INF заменить строчку
HKLM,"SYSTEM\CurrentControlSet\Services\SBCore","Start",0x00010003,2
на строчку
HKLM,"SYSTEM\CurrentControlSet\Services\SBCore","Start",0x00010003,4
В результате никаких ошибок нет и служба SBCore просто не стартует, позже можно удалить записи в реестре и файл SBSCREXE.EXE.
Вариант 3:
- Создаем ярлык на рабочем столе для regedit.exe
- Запускаем regedit через "Запуск от имени...", убираем галочку "Запустить эту программу с ограниченным доступом"
- Изменяем раздел (чтобы увидеть содержимое раздела необходимо зайти в разрешения и добавить пользователя Администратор) [HKLM\SYSTEM\CurrentControlSet\Services\SBCore]
"Start" = 4
Как результат - снимаются ограничения:
- Невозможность для SBS быть не первым (не единственным) контроллером в домене;
- Учет лицензий - можно добавлять хоть сколько пользователей.
Поднятие 2003 до контроллера домена
После установки операционной системы, перезагрузки компьютера и запуска интегрированной программы установки нужно нажать кнопку «Отмена», чтобы завершить работу интегрированной программы установки. Далее готовим службу Active Directory для работы с контроллером домена на базе Windows 2003. Делается это путем успешного выполнения двух команд adprep /forestprep и adprep /domainprep на существующем домене. Утилита adprep есть на установочном диске с Windows.
Установка 2-го сервиспака на 2003 остается на усмотрение системного администратора, поэтому этот процесс подробно описывать не буду.
Далее скачиваем и распечатываем 6-ти листовое руководство «Установка сервера Small Business Server 2003 в существующем домене Active Directory» и смело проделываем с 1 по 12 пункты. Как вариант можно не спешить с переносом ролей на 2003 сервер. Из критичных: 6 и 7 пункт, без DNS ни один домен нормально работать не будет, а «флажок Глобальный каталог» нам очень понадобиться при установке Exchange сервера.
В руководстве 14 пунктов, я рекомендую остановиться для начала на 12-м. Почему-то в Майкрософте считают, что установка добавочного контроллера домена проходит без проблем. К сожалению это не всегда так. Прежде чем продолжить, рекомендуется дать отстоятся обоим серверам в течение нескольких часов, проверить в диспетчере событий Windows события на возможные ошибки и выполнить проверку обоих серверов домена при помощи утилит DCDiag и NetDiag, которые можно найти на установочных компакт дисках, и только потом предпринимать какие-либо дальнейшие действия.
На сегодня все. В следующей статье будет рассмотрена процедура перехода с Exchange 5.0 на Exchange 2003, со всеми вытекающими ошибками, проблемами и особенностями их решения.
