Windows Server 2003专贴

jaffas1101

问题1：Windows server 2003 相比Windows 2000，有哪些新功能？
解答： Windows Server 2003 是在可靠的 Windows 2000 Server 系列的基础上生成的，它集成了功能强大的应用程序环境以开发全新的 XML Web 服务和改进的应用程序，这些程序将会显著提高进程效率。下面这些主要的新增功能和改进是为考虑从 Windows 2000 Server 升级到 Windows Server 2003 的单位提供的。相比Windows 2000 ，Windows server 2003的新功能主要有以下10点：

1. Active Directory 改进
在 Windows 2000 引入的 Microsoft Active Directory®服务简化了复杂网络目录的管理，并使用户即使在最大的网络上也能够很容易地查找资源。此企业级目录服务是可扩展的，完全是基于 Internet 标准技术创建的，并与 Windows .NET Server 2003 标准版、Windows .NET Server 2003 企业版和 Windows .NET Server 2003 Datacenter 版中的操作系统完全集成。

Windows Server 2003 为 Active Directory 提供许多简捷易用的改进和新增功能，包括跨森林信任、重命名域的功能以及使架构中的属性和类别禁用，以便能够更改其定义的功能。

2. 组策略管理控制台
管理员可以使用组策略定义设置以及允许用户和计算机执行的操作。与本地策略相比，企业用户可以使用组策略在 Active Directory 中设置应用于指定站点、域或组织单位的策略。基于策略的管理简化了系统更新操作、应用程序安装、用户配置文件和桌面系统锁定等任务。

组策略管理控制台 (GPMC) 预计可作为 Windows Server 2003 的附加程序组件使用，它为管理组策略提供了新的框架。有了 GPMC，组策略使用起来将更简单，此优势将使更多的企业用户能够更好地使用 Active Directory 并利用其强大的管理功能。

3. 策略结果集
策略结果集 (RSoP) 工具允许管理员查看目标用户或计算机上的组策略效果。有了 RSoP，企业用户将具有强大灵活的基本工具来计划、监控组策略和解决组策略问题。

RSoP 是以一组 Microsoft 管理控制台 (MMC) 管理单元的形式提供的结构。这些管理单元让管理员以两种模式确定并分析当前的策略集：登录模式和计划模式。在登录模式中，管理员可以访问已应用到特定目标的信息。在计划模式中，管理员可以看到策略将如何应用到目标，然后在部署组策略的更改之前进行检查其结果。

4. 卷影子副本恢复
作为卷影子副本服务的一部分，此功能使管理员能够在不中断服务的情况下配置关键数据卷的即时点副本。然后可使用这些副本进行服务还原或存档。用户可以检索他们文档的存档版本，服务器上保存的这些版本是不可见的。

5. Internet Information Services 6.0
Internet Information Services (IIS) 6.0 是启用了 Web 应用程序和 XML Web 服务的全功能的 Web 服务器。IIS 6.0 是使用新的容错进程模型完全重新搭建的，此模型很大程度上提高了 Web 站点和应用程序的可靠性。

现在，IIS 可以将单个的 Web 应用程序或多个站点分隔到一个独立的进程（称为应用程序池）中，该进程与操作系统内核直接通信。当在服务器上提供更多的活动空间时，此功能将增加吞吐量和应用程序的容量，从而有效地降低硬件需求。这些独立的应用程序池将阻止某个应用程序或站点破坏服务器上的 XML Web 服务或其他 Web 应用程序。

IIS 还提供状态监视功能以发现、恢复和防止 Web 应用程序故障。在 Windows Server 2003 上，Microsoft ASP.NET 本地使用新的 IIS 进程模型。这些高级应用程序状态和检测功能也可用于现有的在 Internet Information Server 4.0 和 IIS 5.0 下运行的应用程序，其中大多数应用程序不需要任何修改。

6. 集成的 .NET 框架
Microsoft .NET 框架是用于生成、部署和运行 Web 应用程序、智能客户应用程序和 XML Web 服务的 Microsoft .NET 连接的软件和技术的编程模型，这些应用程序和服务使用标准协议（例如 SOAP、XML 和 HTTP）在网络上以编程的方式公开它们的功能。

.NET 框架为将现有的投资与新一代应用程序和服务集成起来而提供了高效率的基于标准的环境。 另外，它帮助企业用户解决部署和操作 Internet 范围的应用程序所遇到的问题。

有了完全集成在 Windows Server 2003 操作系统内的 .NET 框架，开发人员可以从编写“管道”代码中解放出来，从而可以将他们的精力集中在实现真正的商业价值方面。.NET 框架兼顾了集成和管理细节，降低了编码复杂性并增加了一致性。

7. 命令行管理
Windows Server 2003 系列的命令行结构得到了显著增强，使管理员无须使用图形用户界面就能执行绝大多数的管理任务。最重要的是通过使用 Windows 管理规范 (WMI) 启用的信息存储来执行大多数任务的功能。此 WMI 命令行 (WMIC) 功能提供简单的命令行界面，与现有的外壳程序和实用工具命令交互操作，并可以很容易地被脚本或其他面向管理的应用程序扩展。

总之，Windows Server 2003 系列中更强大的命令行功能与现成的脚本相结合，可与其他通常具有更高所有权成本的操作系统的功能相抗衡。习惯使用命令行管理 UNIX 或 Linux 系统的管理员可以继续从 Windows Server 2003 系列中的命令行进行管理。

8.集群（8 节点支持）
此服务仅用于 Windows Server 2003 企业版和 Windows Server 2003 Datacenter 版，它为任务关键型应用程序（例如数据库、消息系统以及文件和打印服务）提供高可用性和伸缩性。通过启用多服务器（节点）集中工作从而保持一致通讯。如果由于错误或维修使得集群中的某个节点不可用，另一个节点将立即开始提供服务，此过程称为故障转移。正在访问该服务的用户将继续他们的活动，而不会察觉到该服务现在是由另一台服务器（节点）提供。

Windows Server 2003 企业版和 Windows Server 2003 Datacenter 版都支持多达 8 个节点的服务器集群配置。

9. 安全的无线 LAN (802.1X)
根据 Windows Server 2003 系列对 802.1X 的支持，公司可以寻求一种安全模型，该模型将确保所有物理访问都是已授权和加密的。使用基于 802.1X 的无线访问点或选项，公司可以确保只有受信任的系统才能与受保护的网络连接并交换数据包。因为是由 802.1X 决定动态密钥，因此通过解决与有线设备隐私 (WEP)（由 IEEE 802.11 网络使用）相关联的许多已知问题将会显著改善 802.1X 无线网络加密。

此功能为无线局域网 (LAN) 提供了安全和性能方面的改进，如访问 LAN 之前的自动密钥管理、用户身份验证和授权。当有线以太网在公共场所使用时，它还提供对以太网络的访问控制。

10. 紧急管理服务： 无外设服务器支持
“无外设服务器”功能使 IT 管理员在没有监视器、VGA 显示适配器、键盘或鼠标的情况下也能安装和管理计算机。紧急管理服务是一种新增功能，它使 IT 管理员在无法使用服务器时通过网络或其他标准的远程管理工具和机制，执行远程管理和系统恢复任务。

问题：群集服务器是什么概念，能简单介绍一下吗？

解答：
群集服务器是一组独立的服务器，运行群集服务，并象单个系统一样运作。通过将运行着Windows 2003 Server或Windows 2000 Server的服务器编组，可组成群集服务器，从而对资源和应用程序提供了高可靠性的、可扩展性和可管理性。

群集服务器的目的是，在出故障或断电的情况下，保证客户对应用程序和资源的访问。如果群集里的某服务器由于故障或维护的缘故不可用，资源和应用程序将移到其它可用的群集节点上。

对于群集系统，常使用高可用性，而不是容错性，这是由于容错技术提供了高度的恢复能力。容错服务器通常使用高度的硬件冗余，加上特定的软件，对任意单个的硬件或软件故障，提供了近于即时的恢复功能。这些解决方案的成本大大高于群集解决方案。这是因为前者要提供多余的硬件，并处于空闲状态，等待故障的出现。容错服务器主要用于支持高品质、高速处理的场合，如票据交换所、自动柜员机（ATM）或股票交易。

群集服务不保证不停顿的操作，它为大多数执行关键任务应用程序提供了足够的可靠性。群集服务可监视应用程序和资源，并自动将多数故障状态识别和恢复出来。使用群集，可以为管理工作负荷提供更大的柔性，并提高整个系统的可用性。

jaffas1101

问题：怎样把额外域控制器升级为主域控制器。
解答：
怎样把额外域控制器升级为主域控制器.请您仔细参考下面的步骤:

首先, 我们需要在额外域控制器上重新安装DNS服务(安装时选择”与AD集成并允许动态更新). 安装完成后设置GC, 然后重新启动服务器, 您应该可以看到下面的结果.

接着, 我们要获取FSMO角色, 具体步骤请您仔细参考下面的文章:

使用 Ntdsutil.exe 从域控制器获取或向其传送 FSMO 角色
http://support.microsoft.com/?id=255504

为了保证系统安全, 我建议您先不要急于降级您原来的主域控制器. 您可以先把原来的主域控制器离线(把网线拔掉即可), 观察系统一段时间, 确认工作正常后再做下一步的动作.

另外, 请您在日常工作中要做好备份.

在Windows 2000和Windows 2003中可以使用系统自带的ntbackup工具很方便的备份和还原域控制器的状态（也就是活动目录中的信息）。

对于您目前的单域控制器环境(只有一个域并且只有一个域控制器)，备份和还原过程都是比较简单的，主要需注意以下几点：

1、  在进行备份时要选中“系统状态”（System State），这样备份文件中会包含将来进行活动目录恢复时所需的所有系统信息。

2、  活动目录的备份要定期进行，时间间隔最好不要超过一周，这样如果遇到故障需要进行系统恢复时损失的数据不会太多。另外，备份文件最好放置在与系统盘不同的物理磁盘上。

3、  一旦这台域控制器出现严重故障需要使用备份文件进行恢复时，首先要重新安装Windows 2003操作系统（重装时的系统文件夹所在的驱动器号必须与原来的文件夹的驱动器号相同），然后重新启动计算机并按F8键进入目录服务恢复模式，此后您还需要输入在升级该域控制器的时候所提供的目录服务恢复模式的凭据（密码），最后使用ntbackup工具从以前的备份文件中恢复系统状态即可。

4、  如果您现在已经忘记了当初将这台服务器升级为域控制器时所提供的目录服务恢复模式的凭据（密码）的话，可以使用以下办法重设该密码：
在命令行方式下输入ntdsutil
看到“ntdsutil: ”的提示后，输入set dsrm password
看到“重置 DSRM 管理员密码：”的提示后，输入reset password on server server_name （注意：请用您的服务器名称替换server_name）
看到“请键入 DS 还原模式管理员账户的密码：”的提示后，输入新的密码，并再次输入确认。
看到“重置 DSRM 管理员密码：”的提示后，输入quit
看到“ntdsutil: ”的提示后，输入quit
这样目录服务恢复模式的凭据就重设完成了。

[ 本帖最后由 jaffas1101 于 2006-7-27 16:31 编辑 ]

Cayman

哇哇,开始了....继续努力.支持ING....

jaffas1101

呵呵 课程还没有开始呢 这个帖子里面的内容是在工作中帮助客户解答的经典问题，贴出来和大家分享！

[ 本帖最后由 jaffas1101 于 2006-7-28 10:17 编辑 ]

steven_lai

感谢分享！！

jaffas1101

本文档列出了一些核对事项，用以验证在部署 Windows 2000 Active Directory 服务时域名服务 (Domain Name Service, DNS) 基本结构是否有充分的资源。另外，您还可使用 dcdiag 命令行工具自动验证您是否具有本文档中描述的配置。

Active Directory 将 DNS 用作域控制器定位机制，使计算机能找到域控制器的 IP 地址。为查找特定域或目录林中的域控制器，客户端向 DNS 查询相应的服务位置 (service location , SRV) 和地址 (address , A) 资源记录。这些 DNS 资源记录提供域控制器的名称和 IP 地址。

因此，用于支持 Active Directory 部署的 DNS 服务器必须支持 SRV 记录。而且，Microsoft 极力推荐这些 DNS 服务器也支持动态更新。域控制器动态注册域控制器定位机制成功运行所必需的 DNS 记录。

核对事项：运行“Active Directory 安装向导”在新目录林中创建第一个域控制器
要在新目录林中创建第一个域控制器，必须执行以下几个步骤：

1.         验证服务器上的 DNS 解析器配置。
检查该服务器的网络连接中是否配有该服务器向其发送查询的 DNS 服务器。如果没有，则为其配置一个或多个 DNS 服务器的 IP 地址。如果网络上没有 DNS 服务器，也可使用 DNS 服务器的 IP 地址（即使 DNS 服务器还未安装），用该服务器本身的 IP 地址对网络连接进行配置。Active Directory 安装向导将在管理员确认后自动安装和配置 DNS 服务器。
要配置一个 DNS 服务器网络连接，供计算机向该服务器发送查询，请参见下节：“使用首选的和备用的 DNS 服务器配置 DNS 客户端”。

2.         验证域控制器要注册的 DNS 资源记录的权威 DNS 区域允许动态更新
如果网络上无 DNS 服务器，则无需任何验证。
否则，查找该 DC 要注册的资源记录的权威 DNS 区域。域控制器注册的记录在 http://www.microsoft.com/windows ... tworking/w2kdns.asp中“Windows 2000 DNS”白皮书的“The Domain Locator”一节中有介绍。
注意：因为域控制器注册的资源记录的所有名称都以（Active Directory 域的）DNS 名结尾，所以这些记录的权威 DNS 区域通常都与 Active Directory 域 DNS 名同名或作为它一个父 DNS 域。
例如，如果 Active Directory 域名是“example.reskit.com.”，则权威区域可以是“example.reskit.com.”、“reskit.com.”、“com.”或根区域（如果网络包含专用的“com.”或根区域）。

支持 SRV 和动态更新
验证寄存该区域的 DNS 服务器是否同时支持 SRV 资源记录（根据 RFC 2782）和动态更新（根据 RFC 2136）并且该区域配置为允许动态更新。Windows 2000 DNS 服务器支持必需的标准。要验证区域配置，请参见下节：“将 DNS 区域配置为允许动态更新”。

使用其它 DNS 服务器
如果您使用的不是基于 Windows 2000 的 DNS 服务器，请与 DNS 管理员或相应的 DNS 服务器供应商联系，查明您的服务器是否支持必需的标准。如果服务器不支持必需的标准或区域不能配置为允许动态更新，则您必须修改现有的 DNS 基本结构。有关备选方案，请参见 Windows 2000 Server 资源工具包中第 6 章第 364-370 和/或 429-433 页中的“TCP/IP Core Networking Guide”。

有关 Active Directory 名称空间与现有的 DNS 基本结构和 DNS 配置集成的最常见的方案，请参见这些部署实验室方案。

核对事项：运行“Active Directory 安装向导”在现有的目录林中创建域控制器



要在现有的目录林中创建域控制器，必须执行以下几个步骤：

1.         验证服务器上的 DNS 解析器配置。
检查该服务器的网络连接中是否配有该服务器向其发送 DNS 查询的 DNS 服务器。如果没有，您就需要进行配置。
要配置一个 DNS 服务器网络连接，供计算机向该服务器发送查询，请参见下节：“使用首选的和备用的 DNS 服务器配置 DNS 客户端”。

2.         验证在 DNS 中存在域控制器升级时所必需的记录
理想情况下，如果该目录林中以前升级的所有 DC 都成功注册了 DC 定位程序 DNS 记录，则不需要这个步骤。您可跳过这个步骤，如果 Active Directory 安装向导找不到现有的 Active Directory 域则可返回到该步。
以下记录在 DNS 中必须存在，且在该服务器根据该服务器需要升级到的角色发送 DNS 查询时必须返回到该服务器中：

l         现有域中的副本域控制器查询 _ldap._tcp.dc._msdc 的 SRV 记录。（Active Directory 域 DNS 名）

l         新子域中的第一个域控制器查询 _ldap._tcp.dc._msdcs 的 SRV 记录。（父 Active Directory 域 DNS 名）

l         新目录树中的第一个域控制器查询 _ldap._tcp.dc._msdcs 的 SRV 记录。（目录林根域 DNS 名）
验证 DNS 中的记录
在以前所有的方案下，验证 DNS 是否也包含在相应 SRV 记录的数据字段中指定的 DC 名的地址记录。
要验证 DNS 包含所需的记录，您可使用 DNS 控制台或命令行工具“nslookup”。
有关如何使用 DNS 控制台的详细信息，请参见下节：“使用 DNS 控制台枚举某个区域中的记录”。
有关使用 nslookup 工具的详细信息，请参见 Windows 2000 Server 资源工具包的第 6 章第 450-454 页中的“TCP/IP Core Networking Guide”。
要确定名称解析失败的原因，您可在要升级为域控制器的服务器上运行“dcdiag”命令行工具，用“DcPromo”测试进行诊断。您可 点击此处，下载该工具。
注册记录
如果您发现应该注册的记录尚未注册，则需要解决导致动态注册失败的问题或手动注册所需的记录。域控制器应注册的记录列表存储在域控制器上的 %SystemRoot%\System32\Config\Netlogon.dns 文件中。
要找出域控制器未动态注册 DNS 记录的原因，可在这样的域控制器上运行“dcdiag”命令行工具，使用“RegisterInDNS”测试。您可点击此处，下载该工具。下一步中列出了允许域控制器动态注册 DNS 记录所必需的条件。

3.         验证域控制器要注册的 DNS 资源记录的权威 DNS 区域是否允许动态更新
查找该 DC 要注册的资源记录的权威 DNS 区域。要检查域控制器注册的记录，请参见http://www.microsoft.com/windows ... tworking/w2kdns.asp 中“Windows 2000 DNS”白皮书的“The Domain Locator”一节。
注意：因为域控制器注册的资源记录的所有名称都以（Active Directory 域）的 DNS 名结尾，所以这些记录的权威 DNS 区域通常都与 Active Directory 域 DNS 名同名或作为它的某个父 DNS 域。例如，如果 Active Directory 域名是“example.reskit.com.”，则权威区域可以是“example.reskit.com.”、“reskit.com.”、“com.”或根区域（如果网络包含专用的“com.”或根区域）。

支持 SRV 和动态更新

验证寄存该区域的 DNS 服务器支持 SRV 资源记录（根据 RFC 2782）和动态更新（根据 RFC 2136）并且该区域配置为允许动态更新。Windows 2000 DNS 服务器支持必需的标准。要验证区域配置，请参见下节：“将 DNS 区域配置为允许动态更新”。

使用其它 DNS 服务器

如果您使用的不是基于 Windows 2000 的 DNS 服务器，请与 DNS 管理员或相应的 DNS 服务器供应商联系，查明您的服务器是否支持必需的标准。如果服务器不支持必需的标准或区域不能配置为允许动态更新，则您必须修改现有的 DNS 基本结构。有关备选方案，请参见 Windows 2000 Server 资源工具包中第 6 章第 364-370 和/或 429-433 页中的“TCP/IP Core Networking Guide”。

有关 Active Directory 名称空间与现有的 DNS 基本结构和 DNS 配置集成的最常见的方案，请参见这些部署实验室方案。

一般操作

使用首选的和备用的 DNS 服务器配置 DNS 客户端：

1.         依次单击开始、设置和控制面板。

2.         双击网络和拨号连接。

3.         右键单击本地连接，然后单击属性。

4.         选择 Internet 协议 (TCP/IP)，然后单击属性。

5.         选择使用下面的 DNS 服务器地址。

6.         在“首选 DNS 服务器”文本框中指定该计算机向其发送 DNS 查询的 DNS 服务器的 IP 地址。这通常是同一站点内的 DNS 服务器。如果该计算机向其发送查询的 DNS 服务器位于该计算机上，则指定该计算机的 IP 地址。而如果首选 DNS 服务器未响应，可在“备用 DNS 服务器”文本框中指定另一台计算机应向其发送查询的 DNS 服务器的 IP 地址。

7.         如果 DNS 服务器正在（或将要）在该计算机上运行，则最好用静态 IP 地址配置计算机。具体操作是：选择使用下面的 IP 地址单选按钮，然后在 IP 地址、子网掩码和默认网关文本框中分别指定静态 IP 地址、子网掩码和默认网关。

8.         单击确定关闭“高级 TCP/IP 设置”属性。

9.         单击确定接受对 TCP/IP 配置进行的更改。

10.     单击确定关闭“本地连接”属性。

将 DNS 区域配置为允许动态更新：

1.         依次单击开始、程序、管理工具和 DNS。

2.         在 DNS 控制台上，展开包含权威区域的 DNS 服务器。展开正向搜索区域文件夹。

3.         右键单击感兴趣的区域，然后单击属性。

4.         在“常规”选项卡上，单击选择只保证安全（推荐）或是允许动态更新？菜单，然后单击确定接受更改。

使用 DNS 控制台枚举某个区域中的记录：

1.         依次单击开始、程序、管理工具和 DNS。

2.         在 DNS 控制台上，展开包含要查看的区域的 DNS 服务器。展开正向搜索区域文件夹。

3.         展开感兴趣的区域。右窗格中包含名称为 DNS 区域名的直接子域的区域记录。例如，“child.reskit.com”是 reskit.com 区域的直接子域，而“grandchild.child.reskit.com”则不是。

4.         如果您要查找的记录不是该区域的一个直接子域，则展开其名称与该区域名后面的记录名的标签相匹配的文件夹。在上例中，文件夹的名称应该为“child”。继续展开与记录名后面的标签相对应的文件夹，直到找到该记录或发现该记录并不存在。

常见问题

1.         问：我的 DNS 服务器包含所需的记录，但是其它计算机仍找不到域控制器。为什么？
答：这很可能是您的父区域不包含子区域的委派。例如，您在运行于域控制器的 DNS 服务器上创建了区域“ActiveDirectory.reskit.com.”，但是另一台 DNS 服务器上装载的区域“reskit.com.”并不包含该委派[即，名称服务器 (NS) 和地址 (A) 资源记录]。

2.         问：我在域控制器上安装了 DNS 服务器并用与 Active Directory 域名（如“ActiveDirectory.reskit.com”）相对应的区域对其进行配置，但是域控制器仍无法动态注册 DNS 记录。为什么？
答：如果用本地 DNS 服务器以外的 DNS 服务器配置域控制器的网络连接，则很有可能是该父区域不包含子区域的委派。例如，您在运行于域控制器的 DNS 服务器上创建了区域“ActiveDirectory.reskit.com.”，但是另一台 DNS 服务器上装载的区域“reskit.com.”并不包含该委派[即，名称服务器 (NS) 和地址 (A) 资源记录]。

3.         问：我是否一定要使用 Microsoft DNS 服务器？
答：否，您可以使用运行于任何 OS 上的任何支持 SRV 记录的 DNS 服务器。我们极力推荐您使用支持动态更新（按照 RFC 2136）的 DNS 服务器。Windows 2000 DNS 服务器可同时支持 SRV 记录和动态更新。