Etki Alanı Denetleyicisindeki IP Adresini Değiştirme

Bu yazıda, bir etki alanı denetleyicisindeki IP adresinin nasıl değiştirileceğini göstereceğim.

IP adresini değiştirmeden önce bir kontrol listesini gözden geçirmeniz çok önemlidir. Etki alanı denetleyicisinde yapılacak herhangi bir değişiklik hizmetleri kesintiye uğratabilir ve iş operasyonlarını etkileyebilir. Aşağıdaki kontrol listeme bakın.

Bu gösteri için aşağıdaki ayarlara sahibim.

DC1, IP Adresi 192.168.100.10
DC2, IP Adresi 192.168.100.11
DC3, IP Adresi 192.168.100.12

DC2'deki IP'yi 192.168.100.15 olarak değiştireceğim. Farklı bir alt ağa geçiş yapıyorsanız, kontrol listesinde gözden geçireceğim ek hususlar vardır.

Değişiklik Öncesi Kontrol Listesi

Değişiklik yapmadan önce bu kontrol listesindeki her bir öğeyi gözden geçirmenizi öneririm. Birçok etki alanı denetleyicisini küçük ağlardan büyük ağlara taşıdım ve bu adımlar hayat kurtardı. Bunu sık sık yaparsanız muhtemelen kendi kontrol listenizi oluşturacaksınız.

Birden Fazla Etki Alanı Denetleyiciniz mi Var?

Felaket kurtarma nedenleriyle birden fazla etki alanı denetleyicisine sahip olmak ve Active Directory'yi yedeklemek en iyi uygulamadır. Tek bir etki alanı denetleyiciniz varsa, etki alanı denetleyicilerinde büyük değişiklikler yapmanızı önermiyorum. Birden fazla DC'niz varsa ve değişiklik sunucuyu bozarsa, yine de ikincil bir DC'den işlem yapabilirsiniz.

Bu komutla etki alanınızdaki tüm etki alanı denetleyicilerinin bir listesini alabilirsiniz:

Get-ADDomainController -filter * | select hostname, domain, forest

FSMO Rollerini Kontrol Edin

DC'nin herhangi bir FSMO rolü var mı? Bu komutla kolayca kontrol edin:

netdom query fsmo

Aşağıda tüm FSMO rollerimin DC1'de olduğunu görebilirsiniz.

Kimlik doğrulama hizmetlerinin kesintiye uğramasını önlemek için FSMO rollerini aynı sitedeki başka bir etki alanı denetleyicisine taşıyabilirsiniz. Manuel olarak yapılandırılmış tüm hizmetleri sunucuya taşımanız gerekeceğini unutmayın.

Üzerinde hiçbir FSMO rolünün çalışmadığı DC2'de değişiklikler yapıyorum.

Yüklü Rolleri ve Özellikleri Kontrol Edin

Sunucuda hangi hizmetlerin çalıştığını kontrol etmenizi öneririm, IP'yi değiştirip ardından bir DHCP sunucusu veya web sunucusu olduğunu bilmediğiniz için bir şeyin kesintiye uğramasını istemezsiniz.

Yüklü yazılım için kontrol panelini kontrol edin
Yüklü rolleri ve özellikleri kontrol edin

Bu komutla yüklü rolleri ve özellikleri hızlı bir şekilde kontrol edebilirsiniz:

Get-WindowsFeature | Where-Object {$_. installstate -eq "installed"}

Aşağıda DC2 sunucumun üzerinde DHCP ve DNS dahil olmak üzere bazı kritik hizmetlerin çalıştığını görebilirsiniz. IP adreslerini değiştirirken bunu dikkate almam gerekecek.

Wireshark ile Etki Alanı Denetleyicisine İşaret Eden Cihazları Bulma

Wireshark, DNS, DHCP ve benzeri çeşitli hizmetler için hangi sistemlerin etki alanı denetleyicinize işaret ettiğini belirlemenize yardımcı olabilir. Bu, değişim öncesi en önemli adım olabilir.

Yararlı Wireshark filtreleri:

DNS
dhcp
ldap
DCERPC

İşte bir örnek:

Paket yakalama, 192.168.100.22 sisteminin DNS için DC2 kullandığını gösteriyor. Daha önce büyük bir etki alanı denetleyicisi geçişi yapmıştım ve hâlâ eski etki alanı denetleyicilerini işaret eden sistemleri tanımlamaya yardımcı olması için Wireshark'ı kullandım. Deneyimlerinize göre DCS'nize kaç sistemin sabit kodlandığına muhtemelen şaşıracaksınız.

Etki Alanı Denetleyicisi Sağlığını Kontrol Edin

Değişikliği yapmadan önce etki alanı denetleyicinizin sağlıklı olup olmadığını kontrol etmeniz gerekir. Herhangi bir sorun çoğaltma sorunlarına, DNS sorunlarına vb. neden olabilir. DCdiag'ın nasıl kullanılacağına dair eksiksiz bir rehberim var, kullanımı gerçekten çok kolay. Sunucunuzdaki komut istemini açmanız ve komutu çalıştırmanız yeterlidir.

dcdiag

DNS'nin Sağlığını Kontrol Edin

Varsayılan olarak dcdiag DNS'yi test etmez. DNS üzerinde tam bir test çalıştırmak için bu komutu kullanın.

dcdiag /test:dns /v

Sunucunun tüm testleri geçtiğinden ve ad çözümlemesi SRV kaydının kaydedildiğinden emin olun.

En İyi Uygulama Analiz Aracını Çalıştırın

En iyi uygulama çözümleyicisi, yapılandırma sorunlarını Microsoft'un en iyi uygulamalarına göre bulabilir. BPA aracı her zaman doğru sonuç vermeyebilir, dolayısıyla bulgularını tekrar kontrol etmeniz gerekir. Ayrıca herhangi bir hata veya uyarı olması, geçişinizin başarısız olacağı anlamına gelmez. Microsoft'un en iyi uygulamalarına göre önemli yanlış yapılandırmaları bulmanıza yardımcı olabilir.

İşte DC2'mden bir tarama.

Geridöngü adresinin Ethernet bağdaştırıcısı ayarlarına dahil edilmediğine dair bir uyarı aldım. En iyi uygulama, tercih edilen DNS sunucusunu başka bir DNS sunucusuna (kendisine değil) yönlendirmektir.

İşte nasıl yapılandırılması gerektiğine dair bir örnek:

DC2 IP adresim 192.168.100.11. Tercih edilen DNS'yi başka bir etki alanı denetleyicisine (DC1) ayarladığımı ve alternatifin geri döngü adresine ayarlandığını görebilirsiniz. Bu Microsoft'un en iyi uygulamasıdır.

Yine, en iyi uygulama analizcisinin bulduğu herhangi bir uyarı veya hata, geçişinizin başarısız olacağı anlamına gelmez. Ancak olası geçiş sorunlarından kaçınmaya yardımcı olmak için bu aracı çalıştırmanızı ve tarama sonuçlarını incelemenizi öneririm. Farkında olmadığınız bazı sorunları bile çözebilir.

Alt Ağları mı Değiştiriyorsunuz?

Yeni bir alt ağa geçiş yapacaksanız aşağıdakileri göz önünde bulundurun:

Sunucu aynı zamanda DHCP çalıştırıyorsa, anahtarınızdaki veya güvenlik duvarınızdaki yardımcı adresini güncellemeniz gerekecektir.
Yeni alt ağı Active Directory sitelerine ve hizmetlerine ekleyin.

Güvenlik Duvarı Kurallarını Kontrol Edin

Güncellenmesi gereken herhangi bir güvenlik duvarı kuralı var mı? Bu, ağ güvenlik duvarınız ve Windows tabanlı güvenlik duvarlarınız olabilir. Genellikle ağ güvenlik duvarında, etki alanı denetleyicileri gibi kritik sunucular için ağ erişimini sınırlayan kurallarım vardır. Yeni DC IP'ye giden trafiğe izin vermek için güvenlik duvarı kurallarını güncellemem gerekecek.

IP Değişikliğini Planlayın ve Programlayın

Bu tür değişiklikleri bakım pencereniz sırasında yapmanızı öneririm. Değişikliklere ne kadar hazırlıklı olursanız olun, her zaman bir şeylerin ters gitme potansiyeli vardır. Sorunların çözülmesine zaman tanımak için bir bakım aralığına sahip olmanız gerekir. Bu değişiklikleri ekibinize önceden bildirmeyi unutmayın.

Bir Etki Alanı Denetleyicisinin IP Adresi Nasıl Değiştirilir:

Etki alanı denetleyicisindeki IP Adresini değiştirme adımları aşağıda verilmiştir.

Sunucuda yerel olarak oturum açın (konsol erişimi, RDP kullanmayın veya uzaktan erişim kullanmayın).
NIC TCP/IP ayarlarını değiştirme
1. IP Adresini Değiştir
2. Alt ağ maskesini değiştirin (gerekiyorsa)
3. Varsayılan ağ geçidini değiştirin (gerekiyorsa)
4. Tercih edilen DNS sunucusu (aynı sitedeki başka bir DC'ye işaret etmelidir)
5. Alternatif DNS sunucusu (geridöngü adresi 127.0.0.1 olmalıdır)
IP'yi değiştirdikten sonra yerel önbelleği kaldırmak için ipconfig /flushdns komutunu çalıştırın
Yeni IP'nin DNS sunucusu tarafından kaydedildiğinden emin olmak için ipconfig /registerdns komutunu çalıştırın
Hizmet kayıtlarının kaydedildiğinden emin olmak için dcdiag /fix komutunu çalıştırın.

Video öğretici

Tamamlamak. İyi iş!

Değişiklik Sonrası Kontrol Listesi:

DC sunucusu aynı zamanda DNS sunucusuysa DHCP ayarlarını güncelleyin
Alt ağ adresi değiştiyse AD Sitelerinin ve hizmetlerinin güncellendiğinden emin olun
Statik IP adresi kullanan istemcileri güncelleyin
Diğer DC'lerin güzel ayarlarını güncelleyin (gerekirse)
Sorunları kontrol etmek için dcdiag ve dcdiag /test:dns /v komutlarını çalıştırın.
DNS'nin çalıştığını doğrulayın, bunu nslookup ile yapabilirsiniz.
DC'de kimlik doğrulamayı test edin. Bunu, istemci IP DNS ayarlarını DC'nin IP'sine manuel olarak ayarlayarak veya PowerShell kullanarak ve kimlik doğrulama sunucusunu belirterek yapabilirsiniz.
Eski IP'yi Wireshark ile izlemeye devam edin - Bu, bir yayılma bağlantı noktasıyla yapılabilir veya DC'nin eski IP'sini, Wireshark'ın yüklü olduğu bir bilgisayara atayabilir. Bu, hâlâ DC'nin eski IP'sini kullanan sistemlerin bulunmasına yardımcı olmak açısından kullanışlıdır.
Gerekirse güvenlik duvarı kurallarını güncelleyin.
İstemci sisteminde sorun yaşanıyorsa yerel DNS önbelleğini ipconfig /flushdns komutuyla temizlemeyi deneyin
DC'deki IP adresinin değiştirilmesi, DNS güncellendiği sürece sunucudaki hiçbir paylaşımı etkilememelidir.

Umarım bu makaleyi faydalı bulmuşsunuzdur. Ayrıca Active Directory durum denetimi çalıştırmayla ilgili rehberime de göz atmak isteyebilirsiniz.