如何实施域控制器活动目录的备份与恢复

大家应该知道在域构架网络中，域控制器是多么的重要，所以一台域控制器的崩溃对于网络管理员而言，无疑是一场恶梦，那么活动目录应该如何来备份和恢复呢?在这里我将详细的为大家讲一下这个问题，我们一般把活动目录的备份和恢复分成两种情况:

1、 整个网络中有且仅有一台域控制器;

首先，本人并不成赞成网络中存在这种情况，也就是说网络中最好是存在两台或两台以上的域控制器，当然有些朋友可能会说:买服务器你给钱啊?我先声明:我没钱。而且现在的老板都很精哟，一般是能用就行，至于坏了怎么办?那当然是网络管理员来想办法解决了，难道白给你工资啊?所以有些网络中的确存在着只有一台域控制器的现象，那么对于这种情况，备份是必不可少的了，而且建议备份到网络上，别备份到本地计算机上，因为备份在本地的话，万一服务器的硬盘烧毁，那么你的备份也会随之而去，这样的话和没有备份没什么区别。那么，怎么备份?我们要用到Windows 2003自带的备份工具Ntbackup。点击“开始-运行”，输入:“Ntbackup”回车，也可以点击“开始-程序-附件-备份”，其实是一回事，我们就可以看到如下的画面:

点击我用箭头指出的“高级模式”:

再点击用红框标出的“备份向导(高级)”，这时会出现一个备份向导:

在这里请大家注意，直接点“取消”，这样可以进入备份工具控制器，以便有更多的可以自定义的项目:

在这里，需要提醒大家的是，如果你只是想备份活动目录的话，那么你只需要备份一下系统状态就可以了。但本人强烈建议:最好再做一个整个C盘的备份!以防止丢失一些其它的数据。在这里，我为了节省时间，就仅仅备份一下系统数据了:

在上图的左下角，“备份媒体或文件名”里可以选择备份的路径，并且支持网络备份的。

选择好备份文件的存放路径后，就可以点击“开始备份”了:

点击“开始备份”后，会出现如下画面:

在上面的选项中，点击“计划”，系统会提示你“保存当前备份设置”，保存完成后，会出现下面的画面:

在这里要输入正确的具有管理员权限的帐号和密码才可以，输入后点“确定”，就会出现一个“计划的作业选项”:

点击上述画面中的“属性”:

在这里，可以设置计划作业，以方便系统以后自动按照计划进行备份，就不用一次次的手动备份了。设置完成后，就回到了刚刚的画面:

这次点击“高级”:

在这里，可选择一些如数据备份完成后验证其完整性之类的选项，这个大家可以根据需要进行选择，主要向大家简单介绍一下五个备份类型:

正常:备份所有选择的文件夹和文件，不依赖于任何标记，但会清除标记
副本:备份所有选择的文件夹和文件，不依赖于任何标记，但不会清除标记
增量:只备份选择的且有标记的文件夹和文件，但是会清除标记;
差异:只备份选择的且有标记的文件夹和文件，且不清除标记;
每日:以天为单位，每天发生变化的文件都会被备份;

这五种备份类型具体如何应用，如何配合使用，请大家结合自己的实际情况决定。配置好这些备份参数以后，就可以进行备份操作了:

整个备份时间还是比较长的，大约要20分钟左右，当然具体还要根据你的系统中的数据量来决定性的，在我这个实验环境里10分钟不到就OK了。备份完成后，我们可以在备份目录下找到这个备份文件，其大小为:537M。


有人可能会问，一个活动目录至于有这么多的数据吗?其实如果你刚刚注意备份时候显示的信息的话，那么你就会知道，其实这个备份包括了三样东西:BOOT信息、活动目录信息、及System32文件夹下的所有文件，最大的就是那个System32文件夹，所以537M就不足为奇了。OK，备份完成了。那么万一域控制器发生损坏后该如何恢复呢?接下来就看这个了，首先你得重新安装操作系统，在我这里由于用的是虚拟机，所以我只要把前面的更改删除就可以了。嘿嘿，用虚机就是有这种好处，什么时候物理机也可以这样就好了。然后在开机的时候按F8:

在这里，我们要选择，第七项:“目录服务还原模式(只用于Windows域控制器)”，真不知道这句话是微软找谁来翻译的，我觉得括号里的文字应该翻译成:“只用于恢复Windows域控制器”才比较合适，这句话不知道害过多少人，我就见过不少网络管理员是先把服务器提升为域控制器，然后再执行恢复操作，其实大家难道忘记了，我们刚刚备份的文件里有活动目录信息的。

在Windows的登陆窗口，如果你的服务器只是成员服务器，那么请输入本地管理员的密码，如果是域控制器，请输入还原密码。什么?还原密码是什么?看看我的第一篇文章吧。

继续点击“开始-运行”，输入“Ntbackup”，并回车:

这回可别再选择备份向导了，要用“还原向导(高级)”:

点“下一步”，出来如下画面:

在“文件”上击右键:

点击“文件编录”:

输入备份文件所在的位置，然后确定:

然后点击“下一步”:

在上述画面中确认无误的话，就可以点击“完成”了:

在出来的警告窗口上点击“确定”:

这个画面和备份的画面差不多吧?几分种后就可以完成，完成后，系统会要求你重新启动计算机。重启后，你就会发现这台成员服务器已经变成域控制器了，并且和以前的一模一样。

2、 多域控制器环境下的活动目录恢复

可能看到这个标题有人就会问，怎么一上来就讲恢复啊?不用备份吗?是的，如果仅仅是活动目录信息的确是不用备份的。为什么?大家还记得我在前面的文章中提到过，从Windows 2000域开始，采用的是多宿主复制的机构，也就是所有的活动目录修改都会被复制到所有的域控制器上，所以是不需要备份的。只要看一下怎么恢复就可以了。

先来说明一下实验环境:

域名:demo.com

第一台域控制器:

计算机名:server.demo.com

IP:192.168.5.1

子网掩码:255.255.255.0

DNS:192.168.5.1

并且FSMO五种角色及GC全部在第一台域控上。

第二台域控制器:

计算机名:test20031.demo.com

IP:192.168.5.2

子网掩码:255.255.255.0

DNS:192.168.5.2

灾难情况:第一台域控制器由于硬件原因，导致无法启动。

这时我们会发现下面的客户端虽然还可以利用本地缓存进行登陆，但已经无法再利用域资源了，我们的目的就是要让第二台额外域控制器来接替第一台的工作，也就是说把FSMO和GC全部转移到额外域控制器上来。这里要分成两步:

一、首先，要把第一台域控制器的所有信息从活动目录里面删除:

(1)、点击“开始-运行”，输入:“cmd”并回车，在命令提示符下输入:“ntdsutil”，然后回车，如果你不是很清楚“ntdsutil”的使用方法，可以用“?”然后回车的方法来调用使用说明:

在这里我们要选择“Metadata cleanup ----清理不使用的服务器的对象”然后依次输入下面的命令:

然后我们要显示一下Site中的域:

结果找到两个，其中“1”是我建的子域，所以这里要先择“0”:

通过上面的信息，我们可以看到两个服务器，其中SERVER是我们要删除的，因为它已经DOWN机了。所以这里要选择“0”:

选中后，按“q”退出到上一层菜单:


在上图中点击“是”:

然后再按2个“q”退出。

(2)、使用ADSI EDIT工具删除Active Directory users and computers中的Domain controllers中欲删除服务器对象，

ADSI EDIT在SUPPORT TOOLS工具包里，打开后，找到如下位置:

击右键，然后选“删除”就可以了。

(3)、在“管理工具”里，打开“AD站点和服务”，找到如下位置:

把复制连接也删除了:

以上有几个删除几个。

二、把FSMO角色强行夺取过来。这里又要用到“Ntdsutil”了:

我们先要连接到目标服务器上:

连接成功后，按“q”退出到上层菜单，并且看一下帮助信息:

请注意:这里有两种方法分别是Seize和Transfer，如果原来的FSMO角色的拥有者处于离线状态，那么就要用Seize，如果处于联机状态，那么就要用Transfer。在这里由于SERVER已经离线了，所以要用“Seize”:

这里是夺取PDC角色的图示，点“是”，其它角色的也是一样的操作，最后退出。

大家了为安全起见，可以运行一下我上次给转给大家的脚本:

由上图可见，所有的FSMO已经转移到TEST20031服务器上了。最后就是把GC转移过来:

在“管理工具”里，打开“AD站点和服务”，找到如下位置:

在“属性”上单击:

在“全局编录”前打外勾，然后确定退出就可以了。

最后到客户端去修改一下DNS服务器的位置，就可以发现客户端又可以正常登陆了。而且所有的域资源又可以正常使用。最后请大家注意以下几点:

1、 在单域控环境中，请尽量的多备份，以保证备份有效性，最好几种备份类型结合使用。

2、 在多域控环境中，如果用Seize，那么那台坏掉的服务器在重装系统以前请不要回到网络中来，哪怕是已经修好了，也一定要重新安装操作系统，为什么?因为FSMO角色具有唯一性，如果此时回到网络中，那就会出现FSMO角色重复的现象。

3、 在多域控环境中，那台坏域控修复后，重装系统，请尽量不要再使用原来的计算机名，以防止产生一些莫名其妙的问题，就让那台服务器在网络里永远消失吧!

来源：http://www.ixpub.net/thread-744232-1-1.html

使用ISA Server 2004禁止P2P软件（图）【转自www.bitsCN.com】

http://www.bitscn.com/os/windows/200604/138.html

VMware教程

VMware教程--第一部分 现如今有很多人都拥有电脑，但多数人都只有一两台，想组建一个自己的局域网或者是做个小规模的实验一台机器是不够的，最少也要个两三台，可为了这再买电脑就太不值了。好在有许多虚拟机可以帮我们解决这个问题。虚拟机可以在一台电脑上虚拟出很多的主机，只要真实主机的配置足够就可以，我这里和大家说说一个老牌的虚拟机VMware。 VMware workstation是VMware公司设计的专业虚拟机，可以虚拟现有任何操作系统，而且使用简单，容易上手。要知道所有微软员工的机器上都装有一套正版的VMware，足见它在这方面的权威，废话少说，下面我就合大家说说VMware的使用方法，我使用的是最新的VMware4。 这个软件的安装和其他的软件没什么区别，所以安装过程我就不多费口舌了，下面我将把VMware的完整使用过程分为：建立一个新的虚拟机、配置安装好的虚拟机、配置虚拟机的网络这三个部分，向大家从头说来。 一、建立一个新的虚拟机 首先让大家看看VMware的界面 我们来建立一个新的虚拟机 向导 选择普通安装或者是自定义。这里大家选自定义，后面可以自行规划设备，内存和硬盘容量 选择想要虚拟的系统 给虚拟机起个名字，指定它的存放位置 分配内存大小 网络设置模式。这里比较复杂，安装的时候可以先随便选一个，装好后也可以改，但千万不要选最后一个，否则你将无法创建网络了。关于这三者之间的区别和怎样使用虚拟机连接到internet会在后面介绍。 创建一块磁盘。当第一次建立虚拟机时，请选择第一项，第二项适用于建立第二个或更多虚拟机，即使用已经建立好的虚拟机磁盘，这样可以减少虚拟机占用的真实磁盘空间。第三项则允许虚拟机直接读写磁盘空间，比较危险，所以适合熟悉使用磁盘的高级用户，如果操作失误会把真实磁盘里的内容删掉的。 设置虚拟机磁盘容量。第一项可以定义磁盘大小。第二项允许虚拟机无限使用磁盘空间，但需要真实磁盘足够大。第三项则限制了每块虚拟磁盘的最大容量为2G。 这一步是最后一步了，虚拟磁盘即将被创建，advanced里可以更改虚拟磁盘的接口是SCSI或是IDE，当然是SCSI啦… 这时候已经建立完成了一个虚拟机了，点击开始键就可以运行了，可是虚拟机里什么系统都没有，你还要自己装。 下面这个部分我拿一个装好的windows2000 professional给大家做演示，主要讲解一下我们常用的某些功能 开关机怎么使我就不解释了，试一下就知道了。 这个功能比较有意思，是4里新增的，有点像XP的系统还原，如果你在虚拟机上做了什么导致它挂了，用这个可以恢复，但每个虚拟机只能拥有一个snapshot点。 刚刚装完的系统可不会像我的一样这么漂亮，你还没装驱动呢，可是VMware为你想到了，你不必装任何驱动程序，只需要运行图中的那个东西 装好这个以后去看看虚拟机的硬件状态会发现所有的硬件都工作正常了，其实只要你的真实系统里的硬件驱动都安装好了，VMware就会在虚拟机里也安装好的。到此为止，安装虚拟机的工作已经完成，下面进入第二部分。 VMware教程－－第二部分 二、配置安装好的虚拟机 我这里所指的配置，就是对已经装好的虚拟机的内存容量，硬盘大小和数量，网络类型等进行修改，这样可以很方便地“变”出许多需要的 点击后就会出现设备的具体设置，是可以改的。 添加一个设备也含简单，只要add就可以，添加过程就像刚开始配置安装虚拟机过程一样。 需要提一下share folder这个功能，这是VMware4的新功能，是为了在与真实主机共享文件时方便一些设定的，它会在虚拟机理添加一个名为share folder的磁盘，盘符为Z，添加起来很简单，点击那个add，选择一个真是主机的文件夹即可。这个功能在bridge模式下可以用UNC名访问的方式代替，然而在NAT和host only模式下这个功能就显得很有用了，因为在这两种模式下直接使用IP地址变得很困难。最后还要提醒以下，在win98（含以下）的系统不能支持Shared Folder功能 在下一篇文章中，我们将向大家介绍“配置虚拟机的网络” VMware教程--第三部分 三、配置虚拟机的网络 光有虚拟机是不够的，我们需要使用虚拟机和真实主机以及其他的虚拟机进行通讯。通讯分两个部分，一个是局域网内的，另一个是连接到公网的。这一部分是重点，三种不同模式的用途就要揭晓。 （1）桥接模式： 拓扑： 如果你的真实主机在一个以太网中，这种方法是将你的虚拟机接入网络最简单的方法。虚拟机就像一个新增加的、与真实主机有着同等物理地位的一台电脑，桥接模式可以享受所有可用的服务；包括文件服务、打印服务等等，并且在此模式下你将获得最简易的从真实主机获取资源的方法。 Host-only模式用来建立隔离的虚拟机环境，这这种模式下，虚拟机与真实主机通过虚拟私有网络进行连接，只有同为Host-only模式下的且在一个虚拟交换机的连接下才可以互相访问，外界无法访问。host only模式只能使用私有IP，IP,gateway,DNS都由VMnet 1来分配。 （3）NAT模式： 拓扑： NAT（network address translation）模式其实可以理解成为是方便地使虚拟机连接到公网，代价是桥接模式下的其他功能都不能享用。凡是选用NAT结构的虚拟机，均由VMnet 8提供IP,gateway,DNS。 下面讲讲具体操作。 桥接模式： 前面我已经提到，桥接模式是最简单的，使用桥接模式后虚拟机和真实主机的关系就好像两台接在一个hub上的电脑，想让他们俩进行通讯，你需要为双方配置IP地址和子网掩码，从图中可以看出，如果你不配置虚拟机，虚拟机也没有办法得到DHCP分到的IP地址，所以只能使用169.254.这个段。曾经有些朋友试图改在真实主机中安装VM后生成的VMnet1和VMnet8这两块网卡的IP，这种做法是错误的，作为连接底层硬件的驱动程序它们不需要、也不能作修改。 假设真实主机网卡上的IP地址被配置成192.168这个网段，则虚拟机的IP也要配成192.168这个网段，这样虚拟机才能和真实主机进行通讯。如果想在桥接模式下连入internet，方法也很简单，你可以直接在虚拟机上安装一个拨号端，如图所示 拨号成功以后你就可以上internet了，别以为虚拟机是假的拨号就也是假的，这时候你就已经在花网费了！当然如果你想通过ICS、NAT或者是代理上网也可以，做法和在普通电脑上做没区别。 Host only模式： Host only模式和桥接模式的差别并不大，host only模式下会由VMnet 1的DHCP server来提供IP,gateway,DNS。 如果你尝试使用手动分配固定IP，你会发现即使你将IP地址配成和真实主机一个网段，你也无法和真实主机进行联系，这是VMnet 1对你的限制，所以使用VMnet 1给你提供的IP是唯一的选择。 如果想在host only模式下接入internet你只能使用ICS和代理，因为只有这两种方式 可以在使用DHCP的情况下上网。 NAT模式： 首先大家要清楚VMware下的NAT和windows NT里routing and remote access的那个NAT一点关系都没有，它们之间没有任何影响。在VMware下使用NAT模式主要的好处是可以隐藏虚拟机的拓扑和上internet时极为方便。NAT模式由VMnet 8的DHCP server提供IP,gateway,DNS。 和在host only模式下一样，如果你试图使用手动分配固定IP，由于VMnet 8的限制，你仍然无法和真实主机进行通讯。不过在NAT模式下接入internet就非常简单了，你不需要做任何配置，只需要真实主机连接到internet后虚拟机就也可以接入internet了。 VMware的NAT功能还不止这些，它竟然还能做端口映射和TCP、UDP阻断！ 不觉得还缺点儿什么吗？对，有一个重要功能还没有说，之所以留到最后是因为这部分是最复杂的，那就是… 虚拟网络设置 这部分的功能我觉得一般的用户已经用不到了，因为它的作用是使用VM的高度可扩展网络模型组建非常复杂的局域网，我相信这才是新的VMware的精华所在。 这是VMware的一个复杂拓扑的实例，它自定义了VMnet 2和VMnet 3这些都要用到定义每个VMnet的DHCP和NAT，总之是非常复杂了，而且这样做只有在虚拟机群非常庞大的时候才用得到。