Windows 2008 R2 RODC 安裝設定LAB

在安裝RODC須注意下面的事項

1. 確認樹系功能等級是Windows Server 2003。
2. 執行ADPREP /ForestPrep，擴充Schema。
3. 執行ADPREP /DomainPrep，建立安全群組。
4. 執行ADPREP /RodcPrep，增加唯讀網域控制站所需的屬
性。
5. 在網域中升級一台Windows Server 2008伺服器成為可寫入網
域控制站。
6. 在網域中升級一台Windows Server 2008伺服器成為唯讀網域
控制站。

如果已經在都是windows 2008 以上的網域就可以直接安裝RODC

LAB 環境

網域 : lab.com

HQ :

DC :  lab-dc1  192.168.2.1 (windows 2008 R2)

member server : lab-svr1 192.168.2.2 (windows 2008 R2)

RODC : lab-svr2   192.168.3.5 (windows 2008 R2)

用戶端 : lab-cl2 192.168.3.6 (windows 7)

達成目標 : 將lab-svr2  網域成員主機升級成RODC，提供分公司用戶驗證

升級RODC :

因為環境是windows 2008 DC 故可以直接在lab-svr2主機使用 dcpromo 升級RODC

• 執行dcpromo ，在「出現歡迎使用Active Directory網域服務安裝精靈」點「下一步」
  
• 點「下一步」

  

• 選「現有樹系」，再選「新增現有網域的網域控制站」，點「下一步」

  

• 在「網路認證」頁面中，輸入網域名稱，按「下一步」

  

• 在「選取網域」頁面中，選擇欲加入的網域，按「下一步」
  
• 勾選「唯讀網域控制站」核取方塊，按「下一步」
  
• 「RODC安裝與委派授權」選取一位網域使用者帳號，這一個帳號會被加入到 唯讀網域控制站的本機Administrators群組，按「下一步」(可以不用設定)
  
• DC資料庫 記錄檔存放位置使用預設即可
  
• 設定還原模式密碼
  
• 完成安裝重新開機
  
• 在DC上可以看到RODC 電腦帳號
  

RODC 相關設定

唯讀網域控制站在預設的情形下是不複寫密碼，所以每一次驗證都會將使用者的密碼送往可寫入的網域控制站進行驗證工作，這樣對分公司的是使用者而言，有時可能因為頻寬壅塞，而造成驗證的時間較久，所以可以在唯讀網域控制站上，指定快取分公司的使用者密碼，如此就可以減少廣域網路上的流量。

設定密碼複寫原則

在RODC電腦物件上 按滑鼠右鍵，

選「內容」會看到 密碼複寫原則(password Replication Policy)，此原則是

指定要快取密碼的帳號，不是直接複寫這些帳號的密碼

 

測試1

分公司 USER4登入lab-cl2

(該PC DNS部分設定找RODC 192.168.3.5)

(尚未設定將該USER帳號密碼快取至RODC)

登入該PC

檢查目前快取的密碼 (在password Replication Policy索引頁—> 點選Advanced )

選 Accounts that been authenticated   to this  Rerd-only Domain controller

有USER4 密碼的快取

測試2:

將如果RODC 無法與lab-dc1通聯,則USER4 就無法登入

將DC1 網路停用，RODC ping 不到lab-dc1

因RODC 無法將密碼送至寫入的網域控制站進行驗證(lab-dc1)(即使之前有先登入過)

所以無法登入出現下圖訊息

測試3:

將user4 密碼快取至RODC

在 password Replication Policy索引頁按「add」

選取 Allow passwords for the account to replicate to this RODC

將USER4 加入

馬上檢查

Accounts whose passwords are   stored on this  Rerd-only Domain controller  選項

已經有user4 帳號允許將密碼存至RODC

檢查目前快取

Accounts that been authenticated   to this  Rerd-only Domain controller  選項

目前還沒有user4的密碼快取(因為還沒登入過)

user4 登入PC後

Accounts that been authenticated   to this  Rerd-only Domain controller  選項 就有快取

 

測試4:

RODC 無法與lab-dc1通聯,則USER4 就還是可以登入

將DC1 網路停用，RODC ping 不到lab-dc1

還是可以登入

本篇瀏覽人數: 24431