SE の雑記

検証環境のインフラ整備をそろそろしないといけないと思い、まずは AD の移行から着手してみました。
私の検証環境の AD は 2008 SP2 で構築してあるのですが、これを 2008 R2 に移行してみます。

ワークグループ環境の DNS として設定しているものもあるため、移行の方針としては

1. コンピュータ名は新規のもの
2. IP アドレスは最終的に現行の AD のアドレスに変更

で作業したいと思います。

[フォレストとドメインの準備]

2008 R2 を 2008 ドメインのドメインコントローラーとして追加するために、フォレストとドメインの準備をします。
下の画像は、フォレストの準備をする前 / 後 スキーマのバージョンになります。
# 左がコマンド実行前、右がコマンド実行後です。
[objectVersion] が [44] から [47] に変更されています。
?

1. 2008 のドメインコントローラーに Windows Server 2008 R2 のインストールメディアを挿入します。
2. 以下のコマンドを実行します。
   RODCPREP は以前実行していたか覚えていなかったので改めて実行しています。
   
   

   >DVD ドライブ >cd supportadprep >adprep.exe /forestprep >adprep.exe /domainprep /gpprep > adprep.exe /rodcprep 実行例) >D: >cd supportadrep >adprep.exe /forestprep ADPREP の警告: adprep を実行する前に、フォレスト内のすべての Windows 2000 Active Directory ドメイン コントローラーを Windows 2000 Service Pack 4 (SP4) 以降にアップグレードする必要があります。 [ユーザーによる操作] 既存の Windows 2000 Active Directory ドメイン コントローラーのすべてがこの要件を満たす場合は、C キーを押してから Enter キーを押して続行してください。中止するには、その他のキーを押してから Enter キーを押してください。 c xxxxxx への接続を開始しました SSPI 結合に成功しました 現在のスキーマのバージョン 44 スキーマをバージョン 47 にアップグレードしています ファイルの署名を検証しています "xxxxxx" に接続しています SSPI を使って現在のユーザーとしてログインしています ファイル "C:Windowssystem32sch45.ldf" からディレクトリをインポートしています エントリを読み込んでいます………………………………………………………… 66 個のエントリを正しく修正しました。 コマンドが正しく完了しました ファイルの署名を検証しています "xxxxxxx" に接続しています SSPI を使って現在のユーザーとしてログインしています ファイル "C:Windowssystem32sch46.ldf" からディレクトリをインポートしています エントリを読み込んでいます…. 3 個のエントリを正しく修正しました。 コマンドが正しく完了しました ファイルの署名を検証しています "xxxxxx" に接続しています SSPI を使って現在のユーザーとしてログインしています ファイル "C:Windowssystem32sch47.ldf" からディレクトリをインポートしています エントリを読み込んでいます….. 4 個のエントリを正しく修正しました。 コマンドが正しく完了しました "xxxxxx" に接続しています SSPI を使って現在のユーザーとしてログインしています ファイル "C:Windowssystem32PAS.ldf" からディレクトリをインポートしています エントリを読み込んでいます………….. 13 個のエントリを正しく修正しました。 コマンドが正しく完了しました ……………………………………………………………………. Adprep はフォレスト全体の情報を正しく更新しました。 >adprep.exe /domainprep /gpprep Domainprep を実行中… Adprep はドメイン全体の情報を正しく更新しました。 更新が必要なグループ ポリシー オブジェクト (GPO) はありません。または、GPO 情報は既に更新されています。 [状態/結果] Adprep はこの操作を再試行しませんでした。 >adprep.exe /rodcprep Adprep はドメイン FSMO に接続しました: xxxxxx。 Adprep は、パーティション DC=ForestDnsZones,DC=xxxxxx,DC=xxxxxに対して操作が実行されたことを検出しました。スキップして、次のパーティションに進みます。 =========================================================== Adprep は、パーティション DC=DomainDnsZones,DC=xxxxxx,DC=xxxxxx に対して操作が実行されたことを検出しました。スキップして、次のパーティションに進みます。 =========================================================== =========================================================== Adprep はパーティション DC=xxxx,DC=xxxx を検出しました。アクセス許可を更新しようとしています。 Adprep はインフラストラクチャ FSMO に接続しました: xxxxxx。 パーティション DC=xxxxx,DC=xxxxxx に対する操作は成功しました。 ====================================================== Adprep は問題なく完了しました。すべてのパーティションが更新されました。詳細については、C:Windowsdebugadpreplogs20091031130646 ディレクトリの ADPrep.log を確認してください。

[固定 IP と DNS の設定]

まずは、追加のドメインコントローラとして設定するために、既存の AD を参照先 DNS として設定して、
固定 IP を割り当てます。

最終的に、現行の AD の IP アドレスに変更するつもりですので、設定している IP は仮の IP になりますね。

では次に追加のドメインコントローラーとして設定します。

[ドメインコントローラーの追加]

1. [ファイル名を指定して実行] から [dcpromo] を実行します。
   
   サーバーマネージャで事前に、役割を追加していなくても dcpromo 実行時に自動でインストールをしてくれます。
   
2. [詳細モード インストールを使用する] を有効にして、[次へ] をクリックします。
   詳細モードは必ず有効にする必要があるわけではないですが、設定を確認したかったので今回は有効にしています。
   
3. [次へ] をクリックします。
   
4. [既存のフォレスト] [既存のドメインにドメイン コントローラーを追加する] を選択し、[次へ] をクリックします。
   
5. ドメイン名と追加のドメインコントローラーに設定するために使用するドメインアカウントの情報を入力し、
   [次へ] をクリックします。
   今回はワークグループの状態からドメインコントローラーとして追加しています。
   
6. 追加するドメインを選択し、[次へ] をクリックします。
   
7. 追加するサイトを選択して [次へ] をクリックします。
   
8. DNS と GC はデフォルトで有効になっているようです。
   今回は置き換えを目的としているので両方必要となります。
   デフォルト状態で [次へ] をクリックします。
   
9. [はい] をクリックします。
   
10. [次へ] をクリックします。
    
11. [次へ] をクリックします。
    
12. [次へ] をクリックします。
    
13. ディレクトリ復元モードのパスワードを設定し、[次へ] をクリックします。
    
14. [次へ] をクリックします。
    
15. [完了時に再起動する] を有効にしてインストールが完了するまで待ちます。
    

これでドメインコントローラーと DNS の追加が完了しました。

[FSMO の移行]

追加したドメインコントローラーに FSMO を移行します。
作業は追加したドメインコントローラー上で実行しています。

1. ドメイン名前付けマスターの移行
   1. [Active Directory ドメインと信頼関係] を実行します。
      
   2. [Active Directory ドメインと信頼関係] を右クリックして、[Active Directory ドメイン コントローラーの変更] を
      クリックします。
      
   3. 追加したドメインコントローラーを選択します。
      
   4. 再度右クリックして、[操作マスター] をクリックします。
   5. [変更] をクリックします。
      
   6. [はい] をクリックします。
      
   7. [OK] をクリックします。
      
   8. [閉じる] をクリックします。
2. RID / PDC / インフラストラクチャマスターの移行
   1. [Active Directory ユーザーとコンピューター] を実行します。
      
   2. ドメイン名を右クリックして、[操作マスター] をクリックします。
      
   3. [RID] タブを選択して、[変更] をクリックします。
      
   4. [はい] をクリックします。
      
   5. [OK] をクリックします。
      
   6. [PDC] タブを選択して、[変更] をクリックします。
      
   7. [はい] をクリックします。
   8. [OK] をクリックします。
   9. [インフラストラクチャ] を選択して、[変更] をクリックします。
      
   10. [はい] をクリックします。
   11. [OK] をクリックします。
3. スキーママスタの移行
   
   1. [ファイル名を指定して実行] で [regsvr32 schmmgmt.dll] を実行して、[OK] をクリックします。
      
   2. [mmc] を実行します。
   3. [ファイル] → [スナップインの追加と削除] をクリックします。
      
   4. [Active Directory スキーマ] を選択して、[追加] をクリックし、[OK] をクリックします。
      ?
   5. 右クリックして、 [Active Directory ドメイン コントローラーの変更] をクリックします。
      
   6. 追加したドメインコントローラーを選択して、[OK] をクリックします。
      
   7. [OK] をクリックします。
   8. [Active Directory スキーマ] を展開してから右クリックして、[操作マスター] をクリックします。
      
   9. [変更] をクリックします。
      
   10. [はい] をクリックします。
   11. [OK] をクリックします。
   12. [閉じる] をクリックします。

以上で FSMO の移行は完了です。

[IP アドレスの変更]

最初の AD の IP を変更して、追加した AD に割り当てられるようにしてみました。

1. 現行の AD の IP アドレスを変更します。
2. 現行の AD の 参照先 DNS を上で設定した IP に変更します。
3. 代替 DNS に変更前の IP を設定します。
   # このあと、追加した AD に変更前の IP を設定するため。
4. コマンドプロンプトで [ipconfig /registerdns] を実行します。

続いて追加した AD の IP を変更します。

1. 追加した AD の IP アドレスを、現行の AD の IP アドレスに変更します。
2. 追加
   した AD の参照先 DNS を上で設定した IP に変更します。

3. 代替 DNS に現行の AD の IP を設定します。
4. コマンドプロンプトで [ipconfig /registerdns] を実行します。

再起動後も AD DS のサービスは正常に動いているので、ひとまず変更は完了のようです。

TMG 2010 RC のインストールをまとめてみたいと思います。
今回は Windows Server 2008 R2 + TMG 2010 RC の環境を構築しています。

インストーラーで役割までインストールできるのでかなり簡単に導入できます。

ISA 2006 は CSS をインストールしてから、ISA をインストールするパターンで構築しましたが、
今回は両方を一度にインストールする方法でインストールしてみたいと思います。

[役割 / 機能のインストール]

サーバーマネージャで必要となる役割をインストールしなくても、インストーラーから必要なものを
一括でインストールすることができます。

1. インストーラーを起動します。
2. [Run Preparation Tool] をクリックします。
   
3. [次へ] をクリックします。
   
4. [I accept the terms of the License Agreements] を有効にして、[次へ] をクリックします。
   
5. [Forefront TMG services and Management] を選択し、[次へ] をクリックします。
   
6. 必要となる役割 / 機能がインストールされます。
   
7. [完了] をクリックします。
   ?

これでインストール前の準備は完了です。

役割は

• Active Directory ライトウェイト ディレクトリサービス
• ネットワーク ポリシーとアクセスサービス

機能は

• .NET Framework 3.5.1
• ネットワーク負荷分散
• AD LDS スナップインおよびコマンドライン ツール
• Windows PowerShell の Active Directory モジュール
• ネットワーク負荷分散ツール

がインストールされます。

[TMG 2010 のインストール]

[Launch Forefront TMG Installation Wizard] を有効にした状態で、[完了] をクリックすると
自動的にインストールウィザードが起動されます。
有効にしていなかった場合は、インストーラーの [Run Installation Wizard] をクリックします。

1. [Next] をクリックします。
   
2. [I accept the terms in the license agreement] を選択し、[Next] をクリックします。
   
3. [Next] をクリックします。
   
4. [Next] をクリックします。
   
5. [Add] をクリックして、内部ネットワークを追加し、[Next] をクリックします。
   ?
6. [Next] をクリックします。
   
7. [Install] をクリックします。
   
   
8. [Finish] をクリックします。
   ?

これでインストールは完了です。

次は冗長構成のためにサーバーを追加してみたいと思います。

ISA 2006 SP1 をインストールするとイベントビューアのアプリケーションに以下の警告が表示されることがあります。

SNP が有効になっていると警告が表示されるみたいですね。
SNP を無効にする方法は説明に表示されている KB948496 に記載されています。

Windows Server 2003 ベースおよび Small Business Server 2003 ベースの既定の SNP 機能をオフにする更新プログラム

KB948496 の更新プログラムを適用するかレジストリ変更により、SNP を無効にできます。

直接レジストリを変更する場合は以下のコマンドを実行すると楽かも。

?

Windows Server 2008 で SNP を無効にする場合は、以下の KB が参考になります。

Windows Server 2008 で TCP Chimney オフロード、受信側のスケーリング、およびダイレクト メモリ アクセスのネットワーク機能に関する情報

TMG 2010 では特に警告は表示されないみたいですね。
SNP が有効になっているとたまに障害が発生することがあるので、無効にしておいた方がよいのでしょうか？？

Windows Server 2008 R2 では NetDMA も netsh コマンドで変更できますので、レジストリ操作はせずに
コマンドだけで SNP が無効にできそうです。
# netdma というパラメータが使用できます。

ISA 2006 には Windows Update 用のルールがデフォルトで作成されていますが、現在の Windows Update で
必要となるドメイン名セットがいくつか入っていません。
# 投稿を書く前に設定をしてしまったので、具体的にどのドメイン名が抜けていたのかが記載できません…。

必要となるドメイン名は以下の KB に記載されています。

ISA Server を実行するサーバーを経由して Windows Update Version 6 の Web サイトにアクセスするときにエラーが発生する

Windows Update の設定ですが、既定のポリシーでは設定されている個所が 2 個所ありそうです。

1. システム ポリシーの許可サイト
2. Microsoft Update ドメイン名

[システム ポリシーの許可サイト] は ISA サーバー自身のアクセスが許可されるドメイン名が定義されています。
# Enterprise Edition の場合はエンタープライズのポリシーとして設定されています。
ISA サーバーが Windows Update に接続できない場合はこのポリシーにドメイン名を設定します。

[Microsoft Update ドメイン名] はアレイにデフォルトで作成されている Windows Update ドメイン名です。
Web プロキシを使用する場合は、許可する宛先としてこのドメイン名セットを指定してルールを作成します。

Windows Update ができない場合は、上記ポリシーの内容を変更して、許可するドメインを増やしていきます。

手動で Windows Update をした場合、 [go.microsoft.com] 経由でアクセスされることがありますので、
KB の記載以外に [go.microsoft.com] または、[*.microsoft.com] の定義も追加が必要かもしれません。
# Windows Update → Microsoft Update への切り替えで必要だったみたいです。

ドメイン名セットだけでアクセスできない場合は、[65.55.0.0 / 16] のセグメントや [202.232.140.15] への
アクセスが拒否されて実行できていないこともあるようです。
アクセス拒否のログを確認していたところ、上記 IP アドレスへのアクセスが拒否となって Windows Update が
できなかったことがありました。

65.55 のセグメントは Microsoft が使用しているもののようですね。202.～ は akamai のようです。
65.55 はサブネットでは開けたくないのですが、Windows Update 用にいくつか IP があるみたいなんですよね。

サーバーで Windows Update を実行するのであれば、この辺の設定を構築段階で確認しておいた方が良さそうです。

TMG でも IP を設定しておかないと手動で Windows Update できませんでした。
私の環境特有の問題なのでしょうか？？DNS の逆引きがうまくいっていないのかな…。

ちなみに TMG になると KB のドメイン名はデフォルトで設定されていました。
# [forefrontdl.microsoft.com] が増えているようですね。

ドメイン名セットを確認したくて TMG をインストールしてみたのですがインストーラーに
適切な役割を追加する機能が付いていてかなり簡単にインストールできました。
TMG は x64 専用なんですね。はじめて知りました。

ISA 2006 EE ではサーバー ファームの機能があります。

サーバー ファームは ISA 2006 を経由して公開する Web サーバーの負荷分散を Web サーバーで NLB を
組むのではなく、ISA 側で実装する機能です。

絵に描くと下図の形になります。

青が ISA で設定する個所になります。
緑が Web サーバーで NLB を設定する個所です。

サーバー ファームで負荷分散する場合は、どの Web サーバーを負荷分散させるのかの設定までをISA で設定します。
NLB ではないので Web サーバーで仮想 IP は付与しません。

NLB で負荷分散構成を行う場合は、ISA からの転送先は Web サーバー側で設定した仮想 IP になりますので
通常のリバースプロキシと同じですね。

それでは実際の設定です。

[サーバー ファームの作成]

まずは負荷分散をする Web サーバーをファームとしてまとめる必要があります。

1. [ISA Server の管理] を実行します。
2. 設定をするアレイを展開し、[ファイアウォール ポリシー] を選択します。
   
3. [ツールボックス] から [ネットワーク オブジェクト]? を選択し、[新規作成] → [サーバー ファーム] をクリックします。
   
4. [サーバー ファーム名] を入力して、[次へ] をクリックします。
   
5. [追加] をクリックして、ファームに登録するサーバーを設定します。
   
   今回は、Windows Server 2003 のサーバーを 2 台用意してありますので、追加をして [次へ] をクリックします。
   
6. サーバーの死活監視方法を設定し、[次へ] をクリックします。
   
7. [完了] をクリックします。
   ?
8. [適用] をクリックします。
   
9. [OK] をクリックします。
   

これでファームの設定は完了です。

あとはこのファームを宛先として、Web サイトの公開ルールを作成します。

[サーバー ファームを使用した公開ルールの作成]

1. [タスク] から [Web サイトの公開] をクリックします。
   
2. ルール名を入力して、[次へ] をクリックします。
   
3. [許可] を選択して、[次へ] をクリックします。
   
4. [負荷分散 Web サーバーのサーバー ファームを公開する] を選択して、[次へ] をクリックします。
   
5. HTTP / HTTPS のどちらで公開するかを
   選択して、[次へ] をクリックします。
   今回は HTTP で公開します。
   
6. 内部サイト名を入力して、[次へ] をクリックします。
   NLB を使っていない場合は、ホストヘッダーを使っている場合以外に利用することってあるのでしょうか？？
   ?
7. 特定のディレクトリの公開設定をする場合はパスを入力して、[次へ] をクリックします。
   今回は特にディレクトリを限定しないので省略しています。
   
8. 負荷分散に使用するファームと負荷分散方法を選択して、[次へ] をクリックします。
   
9. パブリック名を入力して、[次へ] をクリックします。
   こちらの名称は外部からのアクセスで使用される名称ですね。
   
10. 要求を受け付けるリスナーを選択して、[次へ] をクリックします。
    
11. 認証の委任方法を選択して、[次へ] をクリックします。
    
12. アクセスの許可対象を選択して、[次へ] をクリックします。
    
13. [完了] をクリックします。
    ?
14. [適用] をクリックします。
15. [OK] をクリックします。

これでファームを使用した負荷分散構成の設定は完了です。
HTTP の GET 要求で負荷分散をしてくれますので、サーバーは動いているが IIS が落ちているという状態だと、
IIS が動いているサーバーに要求が行くようになるので便利そうです。
# NLB はポートや要求の死活監視はしていなかった気がします。
　 IIS が落ちてもサーバーが動いてると負荷分散対象として収束されたままだったかと。

Application Center Server がなくなってから、ポート単位での負荷分散はどのようにやればいいのかと
思っていたのですが、ISA のサーバー ファームを使うことで対応できるかも。

今回の投稿で ISA をいろいろと調べることができたので、次期バージョンの TMG を使用したリバースプロキシも
検証してみたいと思います。
Forefront Threat Management Gateway