Репликация Hyper-V без домена

Саму установку роли гипервизора в этой статье рассматривать я не буду, так как делается это довольно просто, а вот репликация без домена не совсем тривиальная задача.
Репликация виртуальных машин в Hyper-V на базе Windows Server 2016 и Windows Server 2019 без контроллера домена доступна только с использованием сертификатов. Вот и рассмотрим, как создать самоподписанный сертификат и подключить его в Hyper-V.
В workgroup наиболее распространенным способом создания сертификатов для узлов Hyper-V было использование утилиты makecert, но эта утилита устарела и вместо нее в Windows Server 2016 появился новый командлет в powershell New-SelfSignedCertificate.
Как вы уже знаете, существует два типа проверки подлинности в Hyper-V: сертификаты Kerberos и HTTPS. Учитывая, что Kerberos доступен только в доменных средах, у нас нет другого выбора, кроме как использовать аутентификацию на основе сертификатов. Необходимые условия для этого типа аутентификации довольно просты: поле субъекта сертификата должно быть установлено в Hyper-V server name (либо первичный сервер, либо сервер-реплика), а расширенное использование ключа должно быть аутентификацией клиента и сервера.
Конечно, трафик https должен быть разрешен на брандмауэрах сервера (я отключил брандмауэры на своих серверах хоста, поэтому я не буду публиковать соответствующие скриншоты).

Репликация виртуальных машин в Hyper-V на базе Windows Server 2016 и Windows Server 2019 без контроллера домена доступна только с использованием сертификатов. Вот и рассмотрим, как создать самоподписанный сертификат и подключить его в Hyper-V.
В workgroup наиболее распространенным способом создания сертификатов для узлов Hyper-V было использование утилиты makecert, но эта утилита устарела и вместо нее в Windows Server 2016 появился новый командлет в powershell New-SelfSignedCertificate.
Как вы уже знаете, существует два типа проверки подлинности в Hyper-V: сертификаты Kerberos и HTTPS. Учитывая, что Kerberos доступен только в доменных средах, у нас нет другого выбора, кроме как использовать аутентификацию на основе сертификатов. Необходимые условия для этого типа аутентификации довольно просты: поле субъекта сертификата должно быть установлено в Hyper-V server name (либо первичный сервер, либо сервер-реплика), а расширенное использование ключа должно быть аутентификацией клиента и сервера.
Конечно, трафик https должен быть разрешен на брандмауэрах сервера (я отключил брандмауэры на своих серверах хоста, поэтому я не буду публиковать соответствующие скриншоты).

Еще одно замечание: виртуальная машина для репликации не должна иметь никаких контрольных точек – для репликации должен быть доступен только один файл vhdx.

1. Заходим на сервер с виртуальной машиной которую будем реплицировать и указываем основной DNS суффикс
   • Мой компьютер\Свойства\Дополнительные параметры системы\Имя компьютера\Изменить\Дополнительно
   • После чего перезагружаем сервер
   • То же самое проделываем с сервером репликаций
2. После изменения DNS суффиксов и перезагрузки сервером можем приступать к созданию сертификатов.
   • New-SelfSignedCertificate -DnsName “srv-hv1.Test.ru”
     -CertStoreLocation “cert:\LocalMachine\My” -TestRoot
   • New-SelfSignedCertificate -DnsName “srv-hv2.Test2.ru”
     -CertStoreLocation “cert:\LocalMachine\My” -TestRoot
3. В результате будут созданы три сертификата: один для каждого сервера с ключом расширенного использования, установленным на проверку подлинности клиента и сервера, хоть это явно и не указано, и тестовый корневой сертификат CA — Certreq Test Root – который по умолчанию будет помещен в промежуточные центры сертификации.
4. Поскольку корневой сертификат CertReq не находится в доверенных корневых центрах сертификации эти сертификаты будут ненадежными.
5. Поэтому переместим сертификат в группу Доверенные корневые центры сертификации.
6. Экспортируем сертификат корневой сертификат и для сервера репликаций
7. Заходим на сервер репликаций
8. В оснастке mmc импортируем два сертификата на сервер репликаций
9. Включаем сервер для приема реплик виртуальных машин в свойствах Hyper-V
10. Далее на сервере с виртуальной машиной уже создаем реплику
    • Для тех, кто не знает, нажимаем правую кнопку мыши на виртуальной машине и выбираем пункт включить репликацию
    • После чего жмем далее, выбираем сертификат и необходимые настройки и все.

Репликация Hyper-V без домена : 4 комментария

Отлично, только не сказано что надо отключить проверку отзывов. Иначе сертификат не принимает.

Только работать это все не будет, т.к. при первой же проверке выскочит ошибка проверки сертификата на сервере репликаций.
Нужно добавить в реестр соответствующий ключ:
reg add “HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization\Replication” /v DisableCertRevocationCheck /d 1 /t REG_DWORD /f

Здравствуйте, Сергей.
Благодарю за полезную статью.
К сожалению, включение репликации на ВМ заканчивается ошибкой:
«Hyper-V получен недействительный цифровой сертификат с сервера-реплики «хххх.ххххх.ru». Ошибка: Указанный сертификат подписан самовольно. (0x80092007).»
Вы могли бы прокомментировать данную ошибку и предложить способы устранения?
Спасибо.

Здравствуйте, попробуйте добавить в реестр соответствующий ключ:
reg add “HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization\Replication” /v DisableCertRevocationCheck /d 1 /t REG_DWORD /f

Как настроить Distributed File System (DFS) и Replication в Active Directory

В инструкции описан процесс настройки распределенной файловой системы и репликации данных в домене Active Directory на серверах под управлением Windows Server.

Виртуальный сервер на базе Windows

• Лицензия включена в стоимость
• Тестирование 3-5 дней
• Безлимитный трафик

Что это такое?

Наличие общих каталогов для доступа к определенным документам и файлам является важной проблемой в бизнес-среде. Системным администраторам необходимо найти удобное решение для обмена общими данными.

Distributed File System (DFS) (Распределенная файловая система) — это продукт Microsoft для упрощенного доступа пользователей к географически распределенным файлам. DFS позволяет создавать деревья виртуальных каталогов, объединяющих общие папки по всей сети.

Существует два типа DFS:

1. Namespace DFS (Пространство имен DFS) — виртуальное дерево, объединяющее общие папки из всей сети. Возможно настроить несколько пространств имен DFS.
2. Replication DFS (Репликация DFS) — создает реплицированную общую папку и отслеживает изменения в файлах.

Установка

В нашем случае установка производится на контроллер домена.

Откройте панель управления сервером Windows и найдите Add roles and features (Добавить роли и компоненты).

В качестве типа установки укажите Role-based or feature-based installation (Установка ролей и компонентов).

Выберите ваш сервер из пула серверов.

В следующем окне отметьте DFS Namespaces и DFS Replication.

Затем установите выбранные компоненты.

Настройка пространства имен DFS

Прежде, чем перейти к добавлению пространства имен, необходимо создать хотя бы одну сетевую директорию на любом из серверов, добавленных в домен. В данном примере используется созданная на том же контроллере домена папка с общим доступом.

Для предоставления общего доступа к папке достаточно выбрать опцию Общий Доступ (Give access to) при нажатии на папку правой кнопкой мыши и выбрав доменного пользователя или группу пользователей, которым будет предоставлен доступ. В результате будет отображен путь до сетевой папки вида \\MachineName\Folder.

Теперь можно приступить непосредственно к добавлению пространства имен DFS.

В меню Start выберите Windows Administrative Tools -> DFS Managment.

Или в поиске введите команду dfsmgmt.msc.

Для создания нового пространства имен выберите в правой части экрана New Namespace.

Введите имя сервера, на которым установлена роль DFS.

Введите любое удобное для вас название. Нажмите кнопку Edit Settings.

В открывшемся окне необходимо настроить права доступа к пространству имен для пользователей сети. Чтобы предоставить полный доступ, нажмите кнопку Customize.

Выберите полный контроль с помощью галочек и нажмите Apply -> Ok.

На следующем шаге выберите Domain-based namespace, т.к. используются доменные службы Active Directory (AD DS).

• Domain-based namespace — обладает преимуществами, позволяет обеспечить доступность пространства имен с помощью нескольких серверов пространств имен, скрывает имя сервера пространства имен от пользователей, упрощает замену сервера пространства имен или перенос пространства имен на другой сервер.
• Stand-alone namespace — позволяет создать распределенную файловую систему не используя доменные службы Active Directory (AD DS), увеличивает доступность namespace с помощью отказоустойчивого кластера.

Проверьте конфигурацию и нажмите Create.

В результате вы увидите сообщение об успешном создании пространства имен.

Добавление нового каталога в существующее пространство имен DFS

Чтобы создать каталог в созданном namespace, откройте DFS Management, выберите нужное пространство и справа в вертикальном меню нажмите New Folder.

Введите удобное имя каталога и нажмите Add, для того чтобы связать каталог DFS и созданную ранее сетевую папку на сервере-участнике домена.

Введите имя сетевого каталога и кликнете OK.

Нажмите OK для сохранения изменений.

Подключиться к данному пространству с другого сервера можно набрав в проводнике следующий адрес:

Настройка DFS-репликации на Windows Server

Чтобы настроить репликацию данных, необходимо установить роль DFS Replication на втором добавленном в домен сервере.

Теперь создадим на втором сервере сетевую папку, в которую будут реплицироваться данные из директории, добавленной ранее на контроллер домена.

На сервере пространства имен (в данном случае на Контроллере Домена)откройте DFS Management, выберете нужное пространство и справа в вертикальном меню кликните Add Folder Target.

Введите имя добавленного в домен сервера и созданного на предыдущем шаге сетевого каталога.OK.

Откроется окно с вопросом о создании новой группы репликаций. Нажмите Yes.

Откроется настройщик Replication DFS. Проверьте имя группы репликации и каталога, который вы собираетесь реплицировать.

На следующем шаге проверьте пути сетевых директорий.

Выберите основной узел, с которого данные будут реплицироваться в другие директории, являющиеся частью пространства имен DFS.

В качестве типа топологии выбираем Full mesh — чтобы изменения на одном узле, сразу же появлялись и на остальных.

На последнем шаге необходимо настроить расписания реплицирования данных. В первом случае репликация производится моментально, во втором можно настроить удобное расписание.

Проверьте настройки и нажмите Create.

В результате вы увидите сообщение об успешном создании группы репликаций.

На данное системное сообщение кликните OK левой кнопкой мыши.

Откройте каталог, в который будет происходить первоначальная репликация данных и нажмите Continue. Произойдет первоначальная репликация данных.

На этом настройка распределенной файловой системы и репликации данных в ней закончена.