Настройка политик терминальных пользователей или особенность замыкания групповых политик

Обычно, при использовании терминальный решений от Microsoft или на их основе возникает необходимость в использовании из-под терминала групповых политик, отличных от тех, что применяются к пользователям во всех остальных местах. Например, выключить хранитель экрана с парольным выходом, в случае работы из-под терминала. Это раздражает пользователей, т.к. в случае их отсутствия они получают два хранителя экрана вместо одного. Как же это реализовать?

Специально для этого предусмотрен решим замыкания (loopback). В случае его включения, политика применяется на основе членства компьютера, а не пользователя. Для этого нужно включить это свойство в

Доверительные отношения между доменами и firewall

Я недавно интересовался настройкой доверительных отношений между доменами или лесами. В случае туннеля все несколько проще, в остальных случаях использование файрволла обязательно, а для этого нужно знать что открывать.

Чтобы межсетевой экран не препятствовал установлению безопасных каналов и доверительных отношений между доменами, на нем должны быть открыты перечисленные ниже порты. Поскольку по обе стороны межсетевого экрана могут находиться компьютеры, одновременно являющиеся как клиентом, так и сервером, необходимо, чтобы соответствующие порты были открыты в обе стороны.

Windows NT

Порты клиентов	Порт сервера	Служба
1024-65535/TCP	135/TCP	RPC *
137/UDP	137/UDP	Служба имен NetBIOS
138/UDP	138/UDP	Вход в сеть и обзор сети NetBIOS
1024-65535/TCP	139/TCP	Сеанс NetBIOS
1024-65535/TCP	42/TCP	Репликация WINS

Надежное удаление файлов средствами Windows

Недавно столкнулся с тем, что нужно надежно очистить носитель от файлов. Собственно, саму задачу я описывал в своей предыдущей записи, о смене прошивки на SAN.

Итак, как же надежно удалить все наши файлы так, чтобы восстановить их было невозможно, по крайней мере без привлечения спецсредств. Конечно же, существуют и еще более надежные средства, но они диски насмерть убивают, а это диски чужие и стоят они очень уж дорого :-)

И оказалось, что эту операцию можно сделать средствами Windows. Есть такая команда cipher, так вот ее нужно применить к нужному диску, например

cipher /w:C:

с ее помощью все свободное место на разделе последовательно записывается вначале 0x00, затем 0xFF, ну и на последок случайным числом. Т.о. сами фалы нужно вначале удалить, ну а потом применить эту команду к разделу на котором они лежали. Если удалить нужно все, как в моем случае, то быстрее всего отформатировать диск заново с использованием quick format, ну а затем уже пройтись этой командой.

Все быстро и вполне надежно.

Смена прошивки на SAN от IBM и Windows Server 2008 или танец с бубном

Не прошло и двух лет, как у нас, наконец-то, закончилась эпопея с нашим SAN.

Итак, дело в следующем. Три с половиной года назад мы приобрели комплект оборудования от IBM. Туда входили: SAN DS4700, Blade H с набором лезвий и ленточная библиотека TS3200.

На тот момент весь парк серверов у нас работал на Windows Server 2003 R2 и кое-где у нас стояли Windows 2000 Server. На SAN стояла прошивка 6.хх и использовался Storage Manager 9.x, который обеспечивал RDAC (multipath) драйверами Windows 2003.

Через какое-то время появился Windows 2008, который я решил попробовать и обнаружил, что RDAC драйверов от IBM для этой системы нет, и что самое интересное – и не планируется. Что для этой системы уже используется другой тип архитектуры драйверов, для которой нужен IBM Storage Manager 10.x, который, в свою очередь, требует прошивки 7.х. Когда я пошел качать эту самую прошивку, то получил предупреждение, смысл которого сводился к тому, что переводить систему с данными с 6.х на 7.х должен кто-нибудь из представителей IBM и никак иначе. Я, конечно же, связался с теми, кто нам ее продавал и … и получил ответ, который сводился к тому, что обновить-то ее могут, но вот гарантировать то, что данные останутся после прошивки никак не могут, максимум, что возможно – гарантия того, что “железо” оживет.

Что нужно не забыть сделать после перехода на домен Windows 2008 R2

обновлено 06.07.2010

Эта запись не претендует на полноту. В общем-то, как и многие другие мои сообщения здесь, она сделана для себя. Просто чтобы при повторе не забыть что делать и куда смотреть :-)

Итак:

• Настроить синхронизацию времени на DC с ролью PDC эмулятора с внешним источником.
  Я как-то уже делал инструкцию Настройка точного времени в домене Windows 2003 / 2008 / 2008 R2, правда тогда еще для 2003 сервера. Вчера потратил весь день на 2008 R2 сервере в попытках настроить, ничего не получалось. А уже вечером выяснилось, что наш сетевой инженер еще на выходных перепрошил циску, которая у нас служит источником точного времени и на вчера этот сервис просто не работал :-(. Но есть и плюсы, я отшлифовал поиск проблем при настройке этого сервиса и обновил инструкцию :-)

Как отключить создание коротких имен для файлов?

Когда-то, в далекие времена DOS все файлы назывались в формате 8.3, т.е. 8 символов отводилось под само имя, а 3 использовались для расширения. И все программы, работавшие и работающие в таком режиме используют именно такое наименование. Затем появился Windows. Если честно, то я не помню, появились ли “длинные” имена в Windows 3.11 или уже в Windows 95 … Факт в том, что появилась возможность называть файлы более длинными и понятными именами и расширениями. Но оставались и старые программы, которые такие имена не понимали. И именно для них генерировалось еще одно имя, в формате 8.3

В настоящий момент необходимости в таких именах нету, или практически нету, а вот система по прежнему генерирует “старое” имя для совместимости, что немного замедляет работу с файлами.

Итак, как же можно включать и отключать генерацию коротких имен?

BE2010 и Microsoft Exchange 2007 SCC кластер

Вчера, наконец-то, перенесли файловый сервер и сервер бэкапирования с Windows Server 2003 R2 на Windows Server 2008 R2. Перенос файлового сервера прошел достаточно гладко – переключили разделы на SAN и перезагрузили сервера. После этого раздал разделам те же буквы и с помощью командных файлов пересоздал share. Как оказалось, пару синтаксических ошибок я таки не заметил, но это, в общем-то, была мелочь. После этого изменил пути в DFS и все заработало. File Screens и Storage Reports еще нужно перенастраивать, но это, в общем-то, не самая большая проблема.

Проблема подкралась при запуске Backup Exec. Как оказалось, Backup Exec 2010, в случае использования родного агента, не видит Exchange Information Store, если пытаться подключиться к Exchange Server 2007, использующий Mailbox Cluster. В общем-то, Symantec утверждает, что это касается только CCR кластера, но у меня-то SCC (Single Copy Cluster) и на нем тот же эффект. Решения пока нету, но есть обходной путь, который заключается в том, чтобы установить на Exchange агента от Backup Exec версии 12.5, причем обязательно с Hotfix 337202.

Я попробовал и таки да, работает. Пишет предупреждение, но работает. Так что теперь нужно ждать от них патча, который устранит эту проблему.

Настройка точного времени в домене Windows 2003 / 2008 / 2008 R2

обновлено 30.03.2010

Все хотят видеть на компьютере точное время, кроме того, это очень важно для нормального функционирования домена Windows и AD. Казалось бы, чего проще, настраиваешь PDC эмулятор на синхронизацию с каким-нибудь ntp и все становится на места само собой … Но нет, уже несколько раз, наблюдалась рассинхронизация контроллеров домена между собой и жалобы пользователей на то, что наше время отличается от точного на пару минут.

Казалось бы, смешная проблема – пару минут, но для некоторой работы и пара минут важно. Особенно, если это редактора новостной ленты www.korrespondent.net. Правда были еще и шуточные жалобы, что они из-за этой проблемы целых 2, 3 или 5 минут перерабатывают :-)

Стандартные “танцы с бубнами”, которые делал я, а потом и наш сетевой инженер, по руководству от Microsoft помогали, но не долго. Т.е. время сходится, ошибки из лога исчезают, а через пару часов, или, через сутки все начинается заново. А потом, через пару-тройку недель, или месяц-другой, ошибка снова достигает размера более 2-х минут и все заново.

Как починить WSUS agent на клиентской машине

Обновлено 12.03.2010 – добавлен скрипт для восстановление доступов к реестру и системным папкам

Ранее, я уже писал, как сверить список компьютеров, которые есть в AD с теми, которые есть во WSUS. Если эти списки не совпадают, то у вас проблема и часть компьютеров не обновляется.

В самом простом случае, вы забыли сделать групповую политику, которая настраивает клиентские компьютеры и серверы на обновление со WSUS, или сконфигурировали ее так, что она не применяется. Ручная настройка параметров через gpedit.msc тоже допустима, но только для тех компьютеров, которые не входят в домен.

Итак, политика применяется, но все равно компьютер не обновляется. Что делать и как лечить?

Для простоты, выкладываю все эти скрипты в уже готовом виде: Wsus-fix

1. Первый скрипт самый простой, и, на самом деле, даже не для лечения используется, а для того, чтобы принудительно запустить проверку на обновление, ну и, заодно, чистит папку, в которой накапливаются дистрибутивы уже установленных обновлений:

wsus_detect_manual.cmd

net stop wuauserv && net stop bits && net stop cryptsvc

del /f /s /q %windir%\SoftwareDistribution\download\*.*

net start wuauserv && net start bits && net start cryptsvc

wuauclt.exe /detectnow

exit

2. Второй скрипт нужен для того, чтобы “оживить” неработающий сервис WSUS. В нем идет чистка от старых обновлений, после чего папки SoftwareDistribution и Catroot2 переименовываются, что при перезапуске сервиса приведет к их пересозданию. Затем системные dll библиотеки перерегистрируются.

fix_wsus_service.cmd

net stop bits
net stop wuauserv
net stop cryptsvc

del /f /s /q %windir%\SoftwareDistribution\download\*.*

ren %systemroot%\System32\Catroot2 Catroot2.old
ren %systemroot%\SoftwareDistribution SoftwareDistribution.old

REM del /f /s /q %windir%\SoftwareDistribution\*.*

del /f /s /q %windir%\windowsupdate.log

%windir%\system32\regsvr32.exe /U /s %windir%\system32\vbscript.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\mshtml.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\msjava.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\msxml.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\actxprxy.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\shdocvw.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\Mssip32.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wintrust.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\initpki.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\dssenh.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\rsaenh.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\gpkcsp.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\sccbase.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\slbcsp.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\cryptdlg.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\Urlmon.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\Oleaut32.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\msxml2.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\Browseui.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\shell32.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\Mssip32.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\atl.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\jscript.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\msxml3.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\softpub.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wuapi.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wuaueng.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wuaueng1.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wucltui.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wups.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wups2.dll
%windir%\system32\regsvr32.exe /U /s %windir%\system32\wuweb.dll

%windir%\system32\regsvr32.exe /s %windir%\system32\vbscript.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\mshtml.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\msjava.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\msxml.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\actxprxy.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\shdocvw.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\Mssip32.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wintrust.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\initpki.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\dssenh.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\rsaenh.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\gpkcsp.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\sccbase.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\slbcsp.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\cryptdlg.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\Urlmon.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\Oleaut32.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\msxml2.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\Browseui.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\shell32.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\Mssip32.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\atl.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\jscript.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\msxml3.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\softpub.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wuapi.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wuaueng.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wuaueng1.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wucltui.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wups.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wups2.dll
%windir%\system32\regsvr32.exe /s %windir%\system32\wuweb.dll

net start bits
net start wuauserv
net start cryptsvc

wuauclt /detectnow

exit

3. Этот скрипт применяется в тех случаях, когда компьютер был недавно клонирован, или в тех, когда регистрации в WSUS у компьютера так и не произошло. Он отличается от предыдущего только предпоследней строчкой, в которой производится обнуление авторизации с перегенерацией идентификатора. Приведу только эту строчку:

wsus_resetaut_detect_manual.cmd

wuauclt.exe /resetauthorization /detectnow

4. Если нужно просто обнулить авторизацию, то можно воспользоваться конструкцией из предыдущего скрипта. Практика показала, что еще лучше удалять лишние ключи из реестра, для чего мы используем следующий скрипт

AU_Clean_SID.cmd

@echo on
net stop wuauserv
REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v AccountDomainSid /f
REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v PingID /f
REG DELETE "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientId /f
net start wuauserv
wuauclt /resetauthorization /detectnow

5. Иногда, для того, чтобы все заработало нужно переустановить агента WSUS. Вначале нужно скачать latest Windows Update Agent, ну а затем установить соответствующую редакцию

для x32 версий Windows

windowsupdateagent30-x86.exe /wuforce

для x64 версий Windows

windowsupdateagent30-x64.exe  /wuforce

Если вы счастливый обладатель Itanium – догадаетесь сами :-)

После установки агента нужно обязательно перезагрузиться.

6. Для “лечения” ошибок 0x80070005, т.е. ошибок доступа может пригодиться нижеприведенный скрипт. Он восстанавливает доступы для администраторов и системы к реестру и системным папкам.

Для выполнения этого скрипта понадобится майкрософтовская утилита subinacl.exe. Она входит в resource kit для Windows Server 2003, но пользоваться той версией, что входит туда не стоит, т.к. там неприятные ошибки. Следует скачать subinacl.exe версии 5.2.3790.1180.

Restore_registry_and_system_permission.cmd

@echo off
REM Применять при ошибках 0x80070005 Windows Update
subinacl /subkeyreg HKEY_LOCAL_MACHINE /grant=administrators=f
subinacl /subkeyreg HKEY_CURRENT_USER /grant=administrators=f
subinacl /subkeyreg HKEY_CLASSES_ROOT /grant=administrators=f
subinacl /subdirectories %SystemDrive% /grant=administrators=f
subinacl /subkeyreg HKEY_LOCAL_MACHINE /grant=system=f
subinacl /subkeyreg HKEY_CURRENT_USER /grant=system=f
subinacl /subkeyreg HKEY_CLASSES_ROOT /grant=system=f
subinacl /subdirectories %SystemDrive% /grant=system=f

Скрипт был найден в статье базы знаний Microsoft

 

Все эти скрипты можно выполнять практически автоматически, в случае возникновения проблем. Если в результате проблема таки не решена, то приходится разбираться уже плотнее. И тут нам пригодится тот самый windowsupdate.log, который лежит в корне папки Windows. Если компьютер проблемный, то файл этот большого размера. Для простоты, желательно его удалить перед тем как запускать скрипты. Почти во всех скриптах предусмотрена команда его удаления, но не все так просто. Не смотря на остановку сервиса wuauserv, обычно, его продолжают держать открытые IE и т.п. Поэтому, есть хитрый способ. Запускаю

notepad.exe %windir%\windowsupdate.log

Выделяю весь текст, удаляю его и сохраняю вместо старого файла (не забыть в диалоге сохранения поменять тип файла на *.*, а то по умолчанию – *.txt)

Итак, вернемся к логу, коды ошибок WSUS 3 могут помочь в разбирательстве.

Одна из распространенных проблем со wsus клиентом на серверах может заключаться в том, что сам сервис может подключаться к WSUS через прокси, а этого не нужно и наоборот. Манипулировать этим поведением можно с помощью команды proxycfg

Доступ без прокси: proxycfg –d 
Доступ через прокси с опциональным указанием байпас листа: proxycfg –d
Проимпортировать пользовательские настройки: proxycfg –u

Стоит заметить, что есть случаи, когда заставить клиента обновляться со wsus так и не получается. У меня есть прецеденты с парочкой Windows Server 2003 R2, которые мне побороть так и не удалось. Поэтому я их обновляю через интернет :-)

Свежие операционные системы типа Windows 7, Windows 2008 иногда “заводятся” с трудом. Для таких случаев, эмпирическим путем, был найден алгоритм типа:
1. Обновляемся первый раз с сайта microsoft с обновлением агента
2. Потом обновляем агента уже локально
3. А потом все начинает работать

Надеюсь, что плоды наших трудов кому-нибудь помогут.

Для простоты, выкладываю все эти скрипты в уже готовом виде: Wsus-fix

Backup Exec 2010 - продолжение

Сегодня, наконец-то, произошли подвижки в моей борьбе с Backup Exec 2010. Как я писал ранее, основная проблема заключалась в том, что после запуска задачи внутренней задачи Maintance падал сервис BE. За это время было отослана куча писем и проведено несколько сеансов удаленного доступа и я забрался уже на 3-ю или 4-ю линию поддержки.

Сегодня я получил письмо, в котором они написали, что проблема существует, создана страница с ее описанием в их базе данных. Решения пока нету, но есть обходной путь, который заключается в том, что следует сделать одинаковыми настройки локализации как на странице с форматов, так и на странице параметров для не юникод программ, а затем следует скопировать эти установки для системного аккаунта.

Как временное решение – подойдет, но буду ждать патча.

Не очень большая стирка или убираем мусор на файловых ресурсах

В компании любого размера есть сетевые файловые ресурсы. Они могут быть как просто папкой общего доступа (шарой :-) на чьем-то компьютере, так и деревом или деревьями DFS и располагаться на специальных файловых серверах.

Если заглянуть вовнутрь, то можно увидеть, что бардак царит не только среди файлов, но и с доступами на них. Особенно это касается ресурсов общего доступа, они же файловые папки пользователей. В первую очередь это вызвано тем, что, по умолчанию, все папки имеют наследуемые права для такого замечательного пользователя как Creator Owner. Как результат, файлы и папки имеют SID удаленных пользователей. Да и вообще, по моему мнению, в большинстве случаев, Creator Owner в правах на папки в общих файловых ресурсах лишний.

Итак, как же избавиться от Creator Owner там где он есть, и как почистить ресурсы от SID удаленных аккаунтов. Все на самом деле просто. Для этого вам нужна замечательная программа subinacl.exe Она входит в Windows Server 2003 Resource Kit, но, в той версии есть серьезные ошибки и ей пользоваться не стоит. Нужно скачать subinacl версии 5.2.3790.1180 с сайта и ей пользоваться. Скачанный файл стоит положить в папку system32. Кстати под Vista/Windows 2008/Windows 7 она тоже работает.

Убираем Creator Owner

subinacl /outputlog=.\creator_owner_logfile.txt /errorlog=.\creator_owner_error_logfile.txt /subdirectories path_to_folder\*.* /suppresssid="Creator Owner"

Убираем “мертвые” SID

subinacl /outputlog=.\badsid_logfile.txt /errorlog=.\badsid_errorlog.txt /subdirectories path_to_folder\*.* /cleandeletedsidsfrom=domain_name

Вышел BackupExec 2010

Только я решил перенести Backup Exec 12.5 с Windows Server 2003 R2 на Windows Server 2008 R2, как Symantec решил выпустить Symantec Backup Exec 2010.

В общем-то, не очень хорошо ставить новый продукт, лучше ждать пока другие наступят на грабли. Но сейчас я так делать не буду. Причины на то две: во первых, именно версия 2010 нормально совместима с Windows 2008 R2, ну а во вторых, это лучше чем ставить 12.5, а затем, все равно, поверху, ставить на него версию 2010.

Самое печальное в том, что, Symantec не поддерживает переход на систему с другой битностью. По крайней мере, я не нашел инструкций по этому поводу.

WMI фильтры в групповой политике

Ни для кого не секрет, что групповые политики являются одной из самых полезных технологий Microsoft Active Directory. Если у вас компьютеров более 10 штук, то Active Directory и групповые политики помогут вам сэкономить массу сил и позволят избежать кучи ошибок.

Но, при все при этом,  параметры этих политик для разных операционных систем у Microsoft  могут сильно отличаться, кроме того, у вас может быть необходимость назначать эти параметры по разному. “На поверхности” лежит способ с отдельными контейнерами. Он прост, но не совсем удобен, кроме того, он слабо подходит для пользовательских политик.

Есть несколько решений этой задачи. Из новых, достаточно удобных решений – это Group Policy Preferences. У item-level targeting есть и такие параметры как операционная система, разрядность и т.д. Но, к сожалению, такой функционал есть только в разделе Preferences, а других разделов групповой политики это не касается.

Кроме того, есть такая чудная вещь, как WMI filtering. Что особенно удобно, фильтры готовятся заранее, а затем только выбираются в свойствах нужной вам политики.

Как именно это делается? Запускаю Group Policy Management, на панели навигации выбираю WMI Filters, там правая кнопка мышки и New. В поле Name набираю Windows 7 и нажимаю Add. В поле Query набираю:

select * from Win32_OperatingSystem where Version like "6.1" and ProductType = "1"

После этого нажимаю Ok, а затем Save.

Возможные значения для OperatingSystem и ProductType:

1. Windows Server 2008 R2 или Windows 7 - 6.1%
2. Windows Server 2008 или Windows Vista - 6.0%
3. Windows Server 2003 - 5.2%
4. Windows XP - 5.1%
5. Windows 2000 - 5.0%

1. Клиентские версии Windows – 1
2. Серверные версии Windows, выступающие в роли контроллера домена – 2
3. Серверные версии Windows, не выступающие в роли контроллера домена (отдельные серверы) - 3

Кстати, если есть желание отобрать Vista и Windows 7, то можно записать правило отбора так:

select * from Win32_OperatingSystem where Version like "6.%" and ProductType = "1"

Есть еще одно свойство, которое может выступать в качестве параметра отбора, это Caption. Ранее я использовал именно его, но, к сожалению, у меня с новыми версиями OS, почему-то, есть проблемы с его считыванием. Но его, по прежнему можно использовать с более ранними версиями:

Select * from Win32_OperatingSystem where Caption = "Microsoft Windows XP Professional"

Возможные значения:

1. Microsoft Windows 2000 Professional
2. Microsoft Windows 2000 Server
3. Microsoft(R) Windows(R) Server 2003 Enterprise x64 Edition
4. Microsoft(R) Windows(R) Server 2003, Standard Edition
5. Microsoft(R) Windows(R) Server 2003 Standard x64 Edition
6. Microsoft® Windows Server® 2008 Standard without Hyper-V
7. Microsoft® Windows Vista™ Business
8. Microsoft Windows XP Professional

Кстати, из этого списка видно, что при этом способе выборка может быть более подробной, т.к. в этом случае можно отобрать еще и разные редакции и разрядность операционной системы.

Установка DC на Windows Server 2008 R2 – новые сюрпризы

После того, как оказалось, что контроллер домена на Windows Server 2008 R2 не поддерживает Network Team меня поджидал и второй, куда более странный сюрприз. После установки контроллера домена и перезагрузки оказалось, что не запускаются несколько служб: Intersite Messaging, DNS Server и WINS. Если стартовать вручную, то все работало. Я, понятное дело, такое поведение списывал на то, что у меня был network team. DC я снова понизил до рядового сервера, снес team, отключил одну из сетевых и снова повысил до DC. Но проблема не исчезла! По прежнему, эти сервисы сами не стартуют!

Ситуацию спасает замена для этих сервисов замена параметра Startup Type с Automatic на Automatic (Delayed Start)

Почему всегда работавший automatic не работает, и почему они сами не смогли этого сделать – непонятно. Факт в том, что после смены этого параметра проблем пока нету.

Windows 2008 R2 DC & network Team

Сегодня получил сюрприз от Microsoft. Оказывается, Domain Controller на Windows 2008 R2 не будет работать, если сетевые карты там объединены в Network Team …

Причем, все это выглядит очень оригинально, повышаю уже существующий сервер до контроллера домена, все проходит нормально. Затем вижу, что есть ошибки и не стартовал Wins, DNS и еще пару служб. Стартую их вручную – они запускаются. Но в event log ошибки.

Запускаю

dcdiag /test:dns

от результата просто офигеваю:

Starting test: Connectivity
      Message 0x621 not found.
      Got error while checking LDAP and RPC connectivity. Please check your
      firewall settings.
      ......................... dc02 failed test Connectivity

отключаю firewall – не помогает. При этом, те сервисы, которые запускаются вручную – после перезагрузки – снова не работают, ошибки в event log по прежнему идут.

Начинаю искать причины и обнаруживаю, что единственная рекомендация – снести network team! Офигеть, т.е. теперь у меня контроллеры домена будут без горячего резерва по подключению к сети. Т.е. это позиция от Microsoft – Windows Server 2008 R2 – не поддерживает конфигурации с балансировкой сетевой нагрузки или сетевой отказоустойчивостью, если она реализована средствами драйверов сетевой карты!

В общем-то, еще с Windows Server 2003 тоже были свои интересные проблемы, но уже другого характера. Дело в том, что установка network team предполагает, что программа вначале удаляет обе сетевые, а затем добавляет, но уже три, одна из которых виртуальная. Ну а контроллер домена не может ни на секунду оставаться без сетевой :-) Т.о. сделать network team можно только до того, как сервер повышен до контроллера домена.