مدیریت دسترسی کلاینتها
این بخش بر روی کنترل دسترسی یوزرهای عادی به فرآیندهای حیاتی دامین مثل Join کردن و مدیریت پسورد ادمینهای لوکال تمرکز دارد.
ابزار LAPS (مدیریت متمرکز پسورد لوکال)
زمانی که بخواهیم پسورد حساب Administrator لوکال تمام کلاینتها را به صورت متمرکز ریست و مدیریت کنیم، از LAPS استفاده میکنیم.
این ابزار هم روی سرور (برای ساختار AD) و هم روی کلاینت نصب میشود. LAPS به طور اتوماتیک رمزهای بسیار پیچیده میسازد و آنها را درون Attributeهای امن دیتابیس اکتیودایرکتوری ذخیره میکند تا فقط ادمینهای مجاز بتوانند آن را ببینند.
محدودسازی کامل Join به دامین
به صورت پیشفرض یوزرهای عادی میتوانند کلاینتها را به دامین جوین کنند. برای جلوگیری از این کار و انحصاری کردن آن برای ادمین، دو گام برمیداریم:
-
گروپ پالیسی: در GPO (بهتر است روی
Default Domain Controllers Policy باشد)، پالیسی Add Workstation to domain را کانفیگ کرده و یوزرهای عادی را از آن حذف میکنیم.
-
تغییر سهمیه با ADSI Edit: به طور پیشفرض هر یوزر میتواند ۱۰ سیستم را جوین کند. از طریق ابزار ADSI Edit به دیتابیس DC متصل میشویم و مقدار صفت
ms-DS-MachineAccountQuota را به صفر (یا تعداد دلخواه) تغییر میدهیم.
مدیریت فایلهای کاربران
تفاوت استراتژیک بین Roaming Profile و Folder Redirection در مدیریت پهنای باند و فضای ذخیرهسازی.
تفاوت کلیدی (Redirection در برابر Roaming)
Roaming Profile
در این حالت کل پروفایل کاربر جابجا میشود که میتواند حجم بسیار بالایی داشته باشد و هنگام لاگین/لاگآف شبکه را به شدت کند کند.
Folder Redirection
ما فقط مسیرِ پوشههای خاص (مثل Desktop یا Documents) را به سمت File Server تغییر مسیر (Redirect) میدهیم و سیستم بسیار سبکتر کار میکند.
مکانیزم Sync Center (Offline Files)
در حالت عادی، فایلی که Redirect شده روی هارد لوکال ذخیره نمیشود و مستقیم روی سرور مینشیند. اما...
اگر قابلیت Sync Center در ویندوز فعال باشد، یک کپی (Cache) از آن فایلها روی سیستم لوکال ذخیره میشود تا در صورت قطعی شبکه، کاربر بتواند به کارش ادامه دهد. به محض اتصال، فایلها Sync میشوند. اگر Sync Center خاموش باشد، با قطع شبکه دسترسی کاربر فوراً قطع میشود.
امنیت و ساختار شبکه DHCP
Security مکانیزم DHCP Authorize و Rogue DHCP
اگر یک سرور DHCP مایکروسافتیِ غیرمجاز در شبکه روشن شود، بستهای به نام DHCPINFORM میفرستد. سرورهای مجاز (Authorize شده) جواب میدهند و سرور جدید میفهمد که مجاز نیست و متوقف میشود.
نقص این روش و راهحل قطعی
این روش فقط در برابر سرورهای مایکروسافتی کار میکند! اگر مهاجم با کالیلینوکس یا میکروتیک سرور غیرمجاز (Rogue DHCP) بالا بیاورد، شبکه بهم میریزد. برای امنیت ۱۰۰٪ باید از DHCP Snooping در سوییچهای شبکه (سیسکو) استفاده کرد و فقط پورتِ سرور اصلی را Trust کرد.
DHCP Relay Agent (عبور از روتر)
پیامهای Discover برادکست هستند و از روتر عبور نمیکنند. برای اینکه کلاینتهای یک سابنتِ دیگر از سرور مرکزی آیپی بگیرند:
- روی روتر آن شبکه، قابلیت DHCP Relay Agent (یا ip helper-address در سیسکو) را فعال میکنیم.
- روتر بسته برادکست را میگیرد، تبدیل به Unicast کرده و مستقیم به سرور میفرستد.
- سرور با نگاه به آیپی روتر، میفهمد کلاینت در کدام شبکه است و از اسکوپ مربوطه آیپی میدهد.
قانون: برای هر سابنت فیزیکی فقط و فقط میتوان یک اسکوپ ساخت.
افزونگی و معماری پیشرفته DHCP
بررسی پروتکلهای قدیمی، کلاسترینگ و راهکارهای High Availability.
Searchپروتکل BOOTP چیست؟
پدربزرگ DHCP است! برای کامپیوترهای بدون هارد (Diskless) استفاده میشد تا آیپی و مسیر سیستمعامل را بگیرند. تفاوت اصلی: BOOTP آیپی را برای همیشه به مکآدرس میداد، اما DHCP مفهوم Lease (اجاره زماندار) را معرفی کرد تا آیپیها هدر نروند.
Searchسوپراسکوپ (Superscope) چیست؟
پوشهای منطقی است که چند اسکوپ را درون خود گروهبندی میکند. زمانی کاربرد دارد که ظرفیت آیپیهای یک اسکوپ تمام شده، سابنت قابل تغییر نیست، و شما یک اسکوپ جدید میسازید و هر دو را در یک Superscope قرار میدهید تا به یک شبکه فیزیکی از دو رنجِ مختلف آیپی بدهید (Multinetting).
راهکارهای پایداری (High Availability)
1. Backup & Recovery
روش سنتی. بکآپ از دیتابیس و ریستور روی سرور جدید در زمان خرابی (دارای Downtime).
2. Failover Cluster
تکنولوژی سنگین کلاسترینگ ویندوز نیازمند هارد مشترک (SAN). (دیگر برای DHCP پیشنهاد نمیشود).
3. DHCP Failover (روش مدرن ۲۰۱۲ به بعد)
بدون نیاز به هارد مشترک، دو سرور دیتابیس را سینک میکنند. دو حالت دارد:
- Load Balance: پخش بار (Active/Active). هر کدام درصدی از آیپیها را میدهند.
- Hot Standby: آمادهبهکار (Active/Passive). سرور دوم فقط منتظر خرابی سرور اول است.
Searchاسپلیت اسکوپ (Split Scope)
خرد کردن یک اسکوپ بین دو سرور مجزا (قانون ۸۰/۲۰). ۸۰٪ آیپیها را سرور اصلی و ۲۰٪ را سرور بکآپ میدهد. بهترین روش سنتی برای آپگرید سرور DHCP بدون قطعی (Zero Downtime) است.