Установка и настройка DHCP-сервера в группе

В этой статье описывается установка и настройка DHCP-сервера в группе.

Исходная версия продукта: Windows Server 2012 R2
Исходный номер КБ: 323416

Аннотация

В этой пошаговой статье описывается настройка нового DHCP-сервера на основе Windows Server 2003 на отдельном сервере, который может обеспечить централизованное управление IP-адресами и другими настройками конфигурации TCP/IP для клиентских компьютеров в сети.

Установка службы DHCP

Перед настройкой службы DHCP необходимо установить ее на сервер. DHCP не устанавливается по умолчанию во время обычной установки Windows Standard Server 2003 или Windows Enterprise Server 2003. DHCP можно установить во время начальной установки Windows Server 2003 или после завершения начальной установки.

Установка службы DHCP на существующем сервере

1. Нажмите кнопку «Начните», выберите пункт «Панель управления» и выберите пункт «Добавить или удалить программы».
2. В диалоговом окне «Добавление и удаление программ» нажмите кнопку «Добавить или удалить компоненты Windows».
3. В мастере компонентов Windows выберите «Сетевые службы» в списке «Компоненты», а затем щелкните «Сведения».
4. В диалоговом окне «Сетевые службы» щелкните, чтобы выбрать этот протокол, а затем нажмите кнопку «ОК».
5. В мастере компонентов Windows нажмите кнопку «Далее», чтобы запустить установку. Вставьте компакт-диск Windows Server 2003 в компакт-диск компьютера или DVD-дисков, если это будет предложено сделать. Программа установки копирует DHCP-сервер и файлы инструментов на компьютер.
6. После завершения установки нажмите кнопку «Готово».

Настройка службы DHCP

После установки службы DHCP и ее начала необходимо создать область. Областью является диапазон действительных IP-адресов, доступных для аренды клиентских компьютеров DHCP в сети. Корпорация Майкрософт рекомендует, чтобы каждый DHCP-сервер в вашей среде имеет по крайней мере одну область, которая не перекрывается с любой другой областью DHCP-сервера в вашей среде. В Windows Server 2003 DHCP-серверы в домене на основе Active Directory должны быть авторизданы для предотвращения сетевого перенаступа DHCP-серверов. Любой DHCP-сервер Windows Server 2003, который определяет себя как неавторизованный, не будет управлять клиентами.

Создание новой области

1. Нажмите кнопку » Start», «Программы», «Администрирование» и «DHCP».
2. В дереве консоли щелкните правой кнопкой мыши DHCP-сервер, на котором нужно создать новую область DHCP, и выберите «Создать область».
3. В мастере новой области нажмите кнопку «Далее», а затем введите имя и описание области. Имя может быть любым, но оно должно быть достаточно описательным, чтобы можно было определить назначение области в сети (например, можно использовать имя, например «Administration Building Client Addresses»). Нажмите кнопку «Далее».
4. Введите диапазон адресов, которые могут быть арендованы в рамках этой области. Например, используйте диапазон IP-адресов от начального IP-адреса 192.168.100.1 до конечного адреса 192.168.100.100. Так как эти адреса даются клиентам, они все должны быть действительными адресами для вашей сети и в настоящее время не используются. Если вы хотите использовать другую маску подсети, введите новую маску подсети. Нажмите кнопку «Далее».
5. Введите любые IP-адреса, которые необходимо исключить из введенного диапазона. Эти адреса включают любой адрес в диапазоне, описанного в шаге 4, который может быть уже статически назначен различным компьютерам в организации. Обычно контроллерам домена, веб-серверам, DHCP-серверам, DNS-серверам и другим серверам статически назначены IP-адреса. Нажмите кнопку «Далее».
6. Введите количество дней, часов и минут до истечения срока аренды IP-адреса из этой области. Он определяет, как долго клиент может удерживать арендованный адрес, не продлевая его. Нажмите кнопку «Далее», а затем нажмите кнопку «Да», чтобы настроить эти параметры, чтобы расширить мастер, включив параметры для наиболее распространенных параметров DHCP. Нажмите кнопку «Далее».
7. Введите IP-адрес шлюза по умолчанию, который должен использоваться клиентами, которые получают IP-адрес из этой области. Нажмите кнопку «Добавить», чтобы добавить в список адрес шлюза по умолчанию, а затем нажмите кнопку «Далее».
8. При использовании DNS-серверов в сети введите доменное имя организации в поле «Родительский домен». Введите имя DNS-сервера и нажмите кнопку «Разрешить», чтобы убедиться, что DHCP-сервер может связаться с DNS-сервером и определить его адрес. Нажмите кнопку «Добавить», чтобы включить этот сервер в список DNS-серверов, которые назначены DHCP-клиентам. Нажмите кнопку «Далее», а затем выполните те же действия. Если вы используете сервер службы windows Internet Naming Service (WINS), добавив его имя и IP-адрес, нажмите кнопку «Далее».
9. Нажмите кнопку «Да». Я хочу активировать эту область сейчас, чтобы активировать область и разрешить клиентам получать от нее аренду, а затем нажмите кнопку «Далее».
10. Нажмите кнопку «Готово».
11. В дереве консоли щелкните имя сервера и выберите «Авторизировать» в меню действий.

Устранение неполадок

В следующих разделах объясняется, как устранить некоторые проблемы, которые могут возникнуть при попытке установить и настроить DHCP-сервер на основе Windows Server 2003 в группе.

Клиенты не могут получить IP-адрес

Если У клиента DHCP нет настроенного IP-адреса, обычно это означает, что клиенту не удалось связаться с DHCP-сервером. Эта проблема может быть вызвана сетевой проблемой или недоступной DHCP-сервером. Когда DHCP-сервер запущен и другие клиенты могут получить допустимые адреса, убедитесь, что клиент имеет допустимые сетевые подключения и что все связанные клиентские аппаратные устройства (включая кабели и сетевые адаптеры) работают правильно.

DHCP-сервер недоступен

Если DHCP-сервер не предоставляет клиентам арендованные адреса, это часто происходит из-за того, что служба DHCP не запускалась. В этом случае серверу может быть не разрешено работать в сети. Если ранее можно было запустить службу DHCP, используйте просмотр событий, чтобы проверить системный журнал на все записи. В этих журналах объясняется, почему нельзя запустить службу DHCP.

Чтобы перезапустить службу DHCP:

1. Нажмите кнопку Пуск и выберите пункт Выполнить.
2. Введите cmd и нажмите ввод.
3. Введите net start dhcpserver и нажмите ввод.

1. Нажмите кнопку «Начните», выберите пункт «Панель управления», «Администрирование» и «Управление компьютером».
2. Разйдите службы и приложения, а затем щелкните «Службы».
3. Найдите и дважды щелкните DHCP-сервер.
4. Убедитесь, что для запуска установлено автоматическое и что для состояния службы установлено состояние «Запущено». Если нет, нажмите кнопку «Начните».
5. Нажмите кнопку «ОК», а затем закроем окно «Управление компьютером».

Ссылки

Для получения дополнительных сведений о DHCP в Windows Server 2003 щелкните следующий номер статьи, чтобы просмотреть статью в базе знаний Майкрософт:
Основные принципы DHCP 169289 (протокол динамической конфигурации хоста)
Клиенту DHCP 167014 может не удается получить DHCP-Assigned IP-адрес
133490 Устранение конфликтов дублирующихся IP-адресов в сети DHCP

Служба dhcp сервер windows

Добрый день! Уважаемые читатели и гости IT блога Pyatilistnik.org. Ранее мы с вами говорили про принципы работы DHCP протокола и разбирали его поэтапно. В сегодняшней заметке, мне бы хотелось осветить вопрос по защите и безопасности DHCP сервера, и речь пойдет, о авторизации и решения проблем с ней. Ситуаций в жизни бывает много, так что как говорится прокачаем свой навык траблшутинга. Уверен, что мой скромный опыт будет кому-то полезен.

Что такое авторизованный DHCP

Когда вы устанавливаете Active Directory в своей компании, то у вас появляется тройка ролей, которые очень часто идут вместе, я говорю про AD, DNS и DHCP. Эта тройка позволяет системному администратору получить все прелести и преимущества доменной структуры. Очень важным аспектом любой современной IT инфраструктуры, является аспекты безопасности и в случае DHCP, это очень актуально. Небольшое воспоминание из практики. Когда я еще только начинал свой путь инженера, то я плохо разбирался в сетевых протоколах и технологиях, знал так сказать азы. Я знал, что у нас в окружении установлен Windows DHCP сервер и, что он сам раздает ip-адреса. В один из рабочих дней мне позвонил менеджер и сказал, что у него пропал интернет и доступ к сетевым шарам.

Когда я к нему подошел, то стал проводить сетевую диагностику, где одним из этапов было вычисление полученного ip-адреса. Какого же было мое удивление, когда я за место диапазона 192.168.100.0 увидел диапазон адресов 192.168.1.0. Я точно знал, что на моем DHCP сервере такой области нет. В итоге оказалось, что один из программистов принес WIFI роутер в то время, это было диковинкой, а так как мозги данного устройства работали на Linux платформе, то его DHCP сервер отрабатывал быстрее, чем в Windows сервере, что в итоге вело к выдаче адресов из другой области. Вот для предотвращения таких вещей и есть авторизация DHCP сервера.

У каждого вендора своя технология авторизация данного сервиса, например в Cisco оборудовании есть технология DHCP snooping, которая делит порты на которых работает служба на да типа, на которых, это можно делать и на которых нельзя. Там где нельзя, все пакеты с DHCP сервиса будут дропаться. В Windows среде есть авторизация сервера в инфраструктуре Active Directory. Вся соль в том, чтобы если в сети появится Windows DHCP сервер и он не будет авторизован в Active Directory, то его скоупы просто не заработают и выдачи ip-адресов не будет.

Требования к серверу перед авторизацией

Авторизация DHCP сервера является обязательной процедурой и требует соблюдения некоторых вещей:

• Ваш сервер DHCP должен быть членом Active Directory
• У вас должны быть права на авторизацию его в AD, администратор предприятия или делегированная группа.
• Не должно быть проблем с созданием и редактированием атрибутов и классов в схеме Active Directory

Интересные моменты

• Сервер DHCP проверяет свою авторизацию в AD DS каждый час. Он использует протокол LDAP [MS-ADTS] для связи с Active Directory и проверки, авторизован ли он для обслуживания IP-адресов.
• При установке в среде с несколькими лесами DHCP-серверы запрашивают авторизацию изнутри. После авторизации серверы DHCP в среде с несколькими лесами сдают в аренду IP-адреса всем доступным клиентам.
• Если вы устанавливаете роль DHCP на контроллере домена, сервер автоматически авторизуется. Если вы устанавливаете его на рядовой сервер, вам нужно будет вручную выполнить процесс авторизации одним из следующих способов.
• Если в сети появится DHCP сервер, отличный от Windows платформы, то он сможет раздавать IP-адреса и авторизация ему не потребуется. Чтобы этого избежать нужны технологии на подобии DHCP snooping и системы анализа трафика.

Методы авторизации DHCP в Active Directory

Давайте теперь поговорим, о методах которые смогут добавить ваш DHCP сервер, как доверенный в раздел конфигурации базы данных Active Directory.

• Авторизация после установки из оснастки в мастере
• Из оснастки, после всех настроек
• Авторизация после установки роли, через PowerShell
• Авторизация сервиса после установки роли через командную строку и утилиту netsh

Первый метод авторизации DHCP

Я покажу его на примере Windows Server 2019, когда вы установили роль DHCP, вас попросят закончить настройку. В итоге у вас откроется окно мастера, где вас попросят авторизовать в Active Directory, обращаю внимание, что вы на этом этапе можете ее пропустить. Напоминаю, что права должны быть минимум администратора домена или аналогично делегированные.

Второй метод авторизации DHCP

Вторым методом я могу выделить возможность, произвести авторизацию сервиса в AD в самой оснастке, после настройки области IPV4 или IPV6. Для этого нажмите в оснастке по самому корню правым кликом и выберите в контекстном меню пункт «Авторизовать».

Так же в данной оснастке можно авторизовать и удаленный сервер, для этого щелкните правым кликом по корню и выберите пункт «Список авторизованных серверов».

В окне «Список авторизованных серверов» нажмите кнопку «Авторизовать». У вас откроется дополнительное окно, где можно указать DNS имя или IP-адрес. Я впишу мой второй дополнительный сервер с ip-адресом 192.168.31.3.

Произойдет поиск роли DHCP на данном сервере. Если она там есть то появится дополнительное окно, где нужно нажать «ОК».

Все сервер у вас должен появится в списке авторизованных.

Авторизовать DHCP-сервер с помощью Netsh

Откройте командную строку с правами администратора и введите следующую команду для авторизации DHCP-сервера.

Команда показывает мои текущие авторизованные серверы в домене, как видим у меня он один dc01/root/pyatilistnik.org. В окне «Управление авторизованными серверами» его видно. Далее авторизуем новый сервер svt2019s01.root.pyatilistnik.org с ip-адресом 192.168.31.3

После этого я сделал вывод списка авторизованных DHCP и вижу, что их теперь два.

Авторизовать DHCP-сервер с помощью PowerShell

Естественно я не могу обойти стороной любимый язык PowerShell, так как он с поставленной задачей справляется на 5+. Откройте свой PowerShell в режиме администратора и выведите для начала список текущих DHCP адресов в домене.

Вижу, что в данный момент он один.

Теперь, чтобы добавить второй сервер, выполните команду:

Как деактивировать DHCP сервер

Логично предположить, что методов деактивации тоже четыре.

• Из оснастки DHCP сервера, для этого правым кликом по названию сервера и из контекстного меню выбираем пункт «Запретить».

• Второй метод деактивации — это из окна «Управление авторизованными серверами», выбираем нужный и нажимаем кнопку «Запретить»

• Третий метод запретить конкретный сервис, это утилита командной строки netsh.

• Последний метод деактивации, это в PowerShell

Где прописывается DHCP в конфигурации Active Directory

Теперь хочу вам показать, где в классах и с какими атрибутами прописываются записи авторизованных DHCP серверов. Откройте редактор атрибутов AD и зайдите в раздел конфигурации. Перейдите по пути: CN=Services,CN=Configuration,DC=root,DC=pyatilistnik,DC=org. В данном контейнере вы увидите записи ваших авторизованных DHCP сервисов и очень важную запись CN=DhcpRoot, если ее нет, то это плохо.

Когда вы успешно авторизовываете ваш сервис в Active Directory, то он должен создать запись класса dHCPClass в CN должно быть его имя и различающееся имя (distinguished name). Если зайти в свойства любой записи сервиса, то вы обнаружите атрибут dhcpServer, тут должен быть прописан ip-адрес и его DNS-имя.

Во времена Windows 2000, атрибут dhcpServer должен был заполняться у записи CN=DhcpRoot в соответстующем атрибуте, с Windows Server 2003, перестало записываться (https://blogs.technet.microsoft.com/askpfeplat/2015/06/22/windows-server-dhcp-server-migration-two-issues-from-the-field/). Так же записи из контейнера CN=Services AD — сайты и службы (Active Directory Site and Service)вы можете посмотреть и из оснастки. Единственное, вам нужно включить опцию «Показать узел служб»

В итоге у вас появится контейнер «Services», далее «NetServices», в котором вы увидите весь список.

Из-за не правильной деактивации DHCP или восстановлении сервера из резервной копии приличной давности, он у вас может не запускать и при попытке пройти авторизацию написать «Параметр задан неверно»

В таких случаях вам нужно проверять наличие CN=Services,CN=Configuration,DC=root,DC=pyatilistnik,DC=org записи вашего сервера. Если ее нет, то придется создать ее с нуля. Через правый клик создаем новый объект AD.

Выбираем класс объекта dhcpServer.

Прописываем Common-name вашего сервера.

dhcp-Unique-key ставим 0.

dhcp-type ставим 1.

В dhcp-identification прописываем distinguished name сервера.

После создания записи, попробуйте перезапустить DHCP на нужно сервере. Если не поможет, то удаляете данную запись, и заново пробуете его авторизовать, бывает помогает.

Как дать права на авторизацию DHCP сервера

На сколько мне известно, чтобы у вас была возможность авторизовывать серверы DHCP, то вы должны быть администратором предприятия (Enterprise Admin). Понятно, что в данной группе должно быть минимум людей. Вы можете делегировать данные права, любой группе или пользователю. Для этого, в оснастке Active Directory — сайты и службы с включенной опцией «Показать узел служб» вы нажимаете правым кликом по контейнеру NetServices и выбираете пункт делегирование управления.

На первом шаге, вам необходимо указать пользователя или группу, для которой будут выданы права на управление DHCP авторизацией.

Выбираем создание особой задачи для делегирования.

Оставляем пункт «Этой папкой, существующими в ней объектами и созданием новых объектов в этой папке»

На следующем шаге, даем полные права. После этого у нужной группы появится возможность авторизовывать сервера DHCP в вашем домене Active Directory.