![Фотография](https://vse.kz/uploads/av-447.jpg?_r=0)
Active directory (AD)домены, леса, репликации, групповые политики и др. вопросы
#321
Отправлено 27.08.2014, 22:16:22
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
#323
Отправлено 28.08.2014, 11:14:51
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
Cправка для полезности.
1. Проверить ntfs разрешения на диск
2. Проверить проверить share разрешения на папки/диски
3. Проверить, не запрещено ли в GPO доступ к диску/папкам
4. Выставить правильные разрешения.
Вопрос: служба File$Print services стоит на сервере? Если нет - поставьте, управлять доступам к папкам будет много легче. И не давайте папкам имена с пробелами
#324
Отправлено 28.08.2014, 17:18:24
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
1 Вот тут как раз и вылезает указанная мной несуразность с членством и доступом
2 Проверено
3 Подчистил проблемы с NTLM, точнее с правильностью выставленных разрешений, в остальном никаких политик пока не назначалось, что подтверждает и gpresult
4 Не понятно. 1 и 2 это и так подразумевают.
На серверах установлена роль файлового сервера (для работы с DFS, которая будет настроена в позже). Служба диспетчера печати (если я правильно понял подразумеваемое) установлен на одном из серверов по причине необходимости подключения удалённых принтеров. На втором - без надобности.
В общем, на данный момент, добавив группу admins в разрешения на диск напрямую, доступ к папке имеем, в том числе и по сети, с обоих серверов на windows server 2008. Доступ с клиентов на WinXP, членов домена - есть, не членов домена - нету. В принципе, не критично - всё равно всех в домен вгоню. Так что проблема, можно сказать, решена, хотя первоначальный вопрос так и остался - членство в доменной группе Администраторы не даёт прав на доступ к диску. Для других учётных записей, с ограниченными правами, доступ так же отсутствует. Пришлось опять ставить костыль в виде предоставления разрешения на траверс папок для других групп, которые будут пользоваться общими ресурсами этого диска
Сообщение отредактировал borec_za_istinu: 28.08.2014, 18:49:24
#326
Отправлено 08.09.2014, 11:46:36
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
Сначала настройте выдачу адресов DHCP-сервером, чтобы каждому компьютеру в каждом отделе автоматически выдавался IP из числа назначенных его отделу (по MAC-адресу ПК). Разделяйте на OU по отделам, настраивайте политики безопасности для брандмауэров, в которых для компьютеров каждого OU прописывайте запрет на трафик по портам UDP - 137, 138, TCP - 139 на IP, не входящие в его отдел (из числа IP вашей подсетки).
Сообщение отредактировал borec_za_istinu: 08.09.2014, 12:21:44
#327
Отправлено 08.09.2014, 12:09:21
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
Сначала настройте выдачу адресов DHCP-сервером, чтобы каждому компьютеру в каждом отделе автоматически выдавался IP из числа назначенных его отделу (по MAC-адресу ПК). Разделяйте на OU по отделам, настраивайте политики безопасности для брандмауэров, в которых для компьютеров каждого OU прописывайте запрет на трафик по портам UDP - 137, 138, TCP - 139 на IP, не входящие в его отдел (из числа IP вашей подсетки).
Это ж сколько нужно ручками маков прописывать для 10 отделов. ))
Разделяйте на оu - политики безопасности.
А проще всего - сеть разбить на влан.
#331
Отправлено 08.09.2014, 16:16:17
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
Давайте по порядку:
1. сколько отделов
2. домен есть или нет
3. сколько машин
4. что в качестве сетевого оборудования стоит (управляемые, неуправляемые)
5. что в качестве маршуртизатора
6. какой канал интернет (как подается - адсл, езернет)
7. есть ли статика в интернет (белый ип)
#332
Отправлено 08.09.2014, 16:49:00
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
Можно ещё попробовать поприменять предпочтения групповых политик - правда, на 2008-м их отображение ещё включить нужно. Предпочтения основывать на именах ПК (вроде бы это возможно). В общем, сначала нужно решить, какой способ однозначного отождествления вы можете применить к компьютерам каждого отдела. DHCP было бы проще всего. Да, работы много, но зато всё будет однозначно и систематизировано.
#333
Отправлено 08.09.2014, 21:10:03
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
Давайте по порядку:
1. сколько отделов
2. домен есть или нет
3. сколько машин
4. что в качестве сетевого оборудования стоит (управляемые, неуправляемые)
5. что в качестве маршуртизатора
6. какой канал интернет (как подается - адсл, езернет)
7. есть ли статика в интернет (белый ип)
Можно ещё попробовать поприменять предпочтения групповых политик - правда, на 2008-м их отображение ещё включить нужно. Предпочтения основывать на именах ПК (вроде бы это возможно). В общем, сначала нужно решить, какой способ однозначного отождествления вы можете применить к компьютерам каждого отдела. DHCP было бы проще всего. Да, работы много, но зато всё будет однозначно и систематизировано.
Без интернета для примера.
Есть 10 отделов. У каждого свой кабинет в каждом кабинете стоит свичь от них все идет в серверную там стоит еще один свичь. Обычная топология звезда . В серверной стоит контроллер домена 2008.
Я хотел бы так чтобы все отделы видели контроллер домена и были в домене, а друг друга не видели.
#335
Отправлено 08.09.2014, 21:46:20
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
#338
Отправлено 08.09.2014, 22:24:47
![](https://vse.kz/public/style_images/osnovnoi34/post_offline.png)
1. на сервере - для сетевой карты назначаете адреса, какие хотите для сетки прописать.
например -
а). 192.168.1.1 (условно - не знаю какой адрес у сервера)
б). 192.168.2.1
в). 192.168.3.1
2. на компьютере ручками пишите
192.168.1.2/255.255.255.0/192.168.1.1 (адрес\маска\шлюз)
192.168.2.2/255.255.255.0/192.168.2.1
192.168.3.2/255.255.255.0/192.168.3.1
cоответственно для каждой "подсетки".
Это будет работать если нет в сети управляемых коммутаторов. Если же есть - ответ был выше - вилан.
Правда, делать так с моей точки зрения - это уродство - и красивей было бы сделать так, как писали выше (групповые политики для оu).
Количество пользователей, читающих эту тему: 1
пользователей: 0, неизвестных прохожих: 1, скрытых пользователей: 0