Time Server สามารถช่วยปกป้อง Microsoft Active Directory Infrastructure ให้ทนทานได้อย่างไร?

Microsoft Active Directory นับเป็นหนึ่่งในระบบที่ได้รับความนิยมสูงมากสำหรับระบบเครือข่ายและลูกข่ายระดับองค์กร ด้วยความสามารถในการยืนยันตัวตนและกำหนดสิทธิ์ระดับเครื่องลูกข่าย ทำให้สามารถบริหารจัดการเครื่องลูกข่ายและรักษาความปลอดภัยได้จากศูนย์กลาง แต่รู้หรือไม่ว่าการใช้งาน Microsoft Active Directory อย่างไม่ระวังนั้น ระบบทั้งหมดอาจไม่สามารถทำงานได้เพราะเครื่องลูกข่ายไม่สามารถทำการยืนยันตัวตนได้เลย

Active Directory ใช้งานระบบ Time Synchronization ตอนไหนบ้าง?

โดยทั่วไปแล้ว Active Directory จะใช้เวลาจากระบบ Time Server สำหรับอ้างอิงเป็น Timestamp และนำไปใช้เพื่อป้องกันการเกิด Conflict ในการทำ AD Replication และใช้เป็น Timestamp ในการทำ Kerberos Authentication เพือป้องกันการโจมตีแบบ Replay Attack ปลอมแปลงการยืนยันตัวตนนั่นเอง

การที่เครื่องในระบบ Active Directory เวลาไม่ตรงกันจะส่งผลกระทบอย่างไรบ้าง?

โดยทั่วไป Windows จะกำหนดค่า Default สำหรับ Maximum Time Difference ระหว่างเครื่องลูกข่ายที่มายืนยันตัวตน กับ Domain Controller เอาไว้ที่ 5 นาที ซึ่งถ้าเวลาของทั้งสองเครื่องต่างกันเกินกว่านั้น การยืนยันตัวตนก็จะไม่สำเร็จ เป็นจุดเริ่มต้นที่ทำให้ผู้ใช้งานไม่สามารถเข้าถึงระบบงานใดๆ ได้

นอกจากนี้หากมีการใช้งานระบบ Virtualization ในเครือข่าย การที่เครื่อง Guest Machine มีเวลาไม่ตรงกับ Host Machine ก็อาจะทำให้ไม่สามารถใช้งาน Resource บางส่วนในบางช่วงเวลาได้เช่นกัน

การแก้ปัญหาด้วยระบบ Stratum-1 Time Server หรือ Time Synchronization Appliance

ถึงแม้ว่าบริการ Public NTP จะมีให้ใช้อยู่มากมาย แต่การเลือกใช้ Time Source จากภายนอกเป็นหลักเองก็มีความเสี่ยงที่ไม่สามารถควบคุมความเสี่ยงหรือความเสียหายที่เกิดขึ้นกับระบบ Time Synchronization ได้ รวมถึงไม่รู้พฤติกรรมของระบบ Time Synchronization เมื่อเกิดเหตุการณ์ไม่คาดฝันต่างๆ อาจทำให้ระบบเวลาเดินหน้าเร็วเกินไป หรือย้อนเวลาไป ทำให้ระบบงานขององค์กรที่อ้างอิงกับเวลาเหล่านี้เสียหายได้

การลงทุน Time Server และ Time Synchronization Appliance เป็นการลดความเสี่ยง พร้อมทั้งควบคุมพฤติกรรมกรณีระบบ Time Server ล่มได้ รวมถึงยังออกแบบระดับของการทำ Redundancy เองได้ ทำให้ Uptime ของระบบยาวนานขึ้น เกิดความเสี่ยงที่จะมีปัญหาการ Login ใช้งานเครื่อง PC ทั้งองค์กรไม่ได้พร้อมๆ กัน รวมถึงระบบงานทั้งหมดยังมีเวลาใกล้เคียงกันด้วย Delay และ Latency ของระบบเครือข่ายภายในองค์กรที่มีน้อยกว่า Public Network อีกทั้งยังช่วยแก้ไขปัญหาอื่นๆ ของระบบเครือข่าย เช่น การติดตามข้อมูล Log ได้อีกด้วย

สำหรับผู้ที่สนใจระบบ Time Server หรือ Time Synchronization Appliance สามารถติดต่อตัวแทนจำหน่ายในไทยได้โดยตรงทันที

เกี่ยวกับ Wavify TimeNX

Wavify TimeNX เป็น Unified Time Synchronization Appliance ที่ทำการประสานเวลาจากดาวเทียมผ่านทางเสา GPS ที่ติดตั้งมากับตัว Appliance เพื่อให้บริการ Time Synchronization ที่ความแม่นยำระดับ Stratum-1 ตรงตามกฎหมายพรบ.ความผิดทางคอมพิวเตอร์ของประเทศไทย โดยในการใช้งานระดับองค์กรมักจะถูกใช้เพื่อตอบสนองต่อความต้องการดังต่อไปนี้

• ปรับเวลาของระบบ Log บน Firewall, Switch และ Software ให้ตรงกันทั้งองค์กร เพื่อให้สามารถนำข้อมูล Log มาใช้ร่วมกันระหว่างหลายอุปกรณ์ได้อย่างถูกต้องแม่นยำ และถูกต้องตามกฎหมาย
• ปรับเวลาของเครื่อง Server และ Client ทั้งหมดให้ตรงกัน เพื่อให้ Application ทั้งหมดทำงานอยู่บนฐานเวลาเดียวกัน
• ปรับเวลาของเครื่องจักรในสายการผลิต และแล็บทดลองต่างๆ ให้ตรงกัน เพื่อให้การทำงานร่วมกันของเครื่องจักรเป็นไปได้อย่างถูกต้อง
• ปรับเวลาของอุปกรณ์เครือข่ายในหน่วยงานสาขาต่างๆ ให้ตรงกัน เพื่อให้ระบบงานทำงานข้ามสาขาได้อย่างถูกต้อง

โดย Wavify TimeNX รุ่นที่แนะนำ มีดังนี้

• NX-500: GPS-based Unified Time Synchronization Appliance รองรับการประสานเวลาให้อุปกรณ์อื่นๆ จากสัญญาณเวลา GPS สูงสุด 4,400 อุปกรณ์ต่อวินาที
• NX-300: GPS-based Unified Time Synchronization Appliance รองรับการประสานเวลาให้อุปกรณ์อื่นๆ จากสัญญาณเวลา GPS สูงสุด 2,500 อุปกรณ์ต่อวินาที
• NX-200: Peer-2 Unified Time Synchronization Appliance รองรับการประสานเวลาที่หน่วยงานสาขา จากสัญญาณเวลา NX-500 และ NX-300 สูงสุด 1,000 อุปกรณ์ต่อวินาที

Read More

Promote First Domain Controller

Promote First Domain Controller





สำหรับ IT Admin สาย Windows เป็นไปไม่ได้เลยที่จะไม่รู้จักสิ่งนี้ เพราะคุณเกิดมาเพื่อสิ่งนี้ และต้องทำสิ่งนี้กันเป็นทุกคน นั่นคือการติดตั้ง Domain Controller สำหรับผู้ที่เริ่มต้นเดินทางสายนี้ หรือน้อง ๆ ที่เพิ่งจะเรียนจบแล้วอยากจะเป็น System Admin ก็ควรจะมาทำความรู้จักก่อน

Domain Controller (DC) จะจัดเก็บฐานข้อมูลสำคัญต่าง ๆ ของ Active Directory เพื่อให้บริการแก่ผู้ใช้งานระดับ Client ลองนึกง่าย ๆ ว่า ปกติแล้ว ผู้ใช้งานระดับ User นั้นก็จะเปิดเครื่องคอมพิวเตอร์ขึ้นมา แล้วพิมพ์ Username, Password เพื่อเข้าใช้งาน ซึ่งเราไม่สามารถควบคุมอะไรได้มากนัก เพราะสิ่งเหล่านั้นอยู่ที่เครื่องคอมพิวเตอร์ของผู้ใช้งานคนนั้นคนเดียว แล้วถ้าหากมีเครื่องคอมพิวเตอร์ซัก 100 เครื่องล่ะ เราจะจัดการสิ่งเหล่านั้นอย่างไร แต่ถ้าหากเรามี Active Directory ที่ได้หลังจากการ Promote DC แล้ว เราสามารถจัดการสิ่งเหล่านั้นจาก Server เพียงเครื่องเดียวได้อย่างง่ายดาย
ติดตั้ง Domain Controller เครื่องแรกบน Windows Server 2008 R2

เลือกที่ Start > Run > พิมพ์ dcpromo แล้วกด Enter จะพบกับหน้า Welcome to the Active Directory Domain Services Installation Wizard สำหรับการติดตั้ง Domain Controller ขึ้นมา ให้คลิก Next ไปจนถึง หน้า Choose a Deployment Configuration เลือก Create a new domain in a new forest แล้วคลิก Next.



หน้า Name the Forest Root Domain พิมพ์ domain.local (หรือโดเมนเนมอื่น ๆ ที่ต้องการ หรือเป็นโดเมนเนมที่ใช้ภายในองค์กรของคุณเอง) ลงในช่อง FQDN of the forest root domain แล้วคลิก Next.



หน้า Set Forest Functional Level นี้จะให้เข้าใจง่าย ๆ ก็คือ หลังจากการ Promote DC นี้ การใช้งาน Feature ต่าง ๆ จะสามารถรองรับการทำงานบน Windows Server Version ใดได้บ้าง ตัวอย่างเช่น หากเลือก Forest Functional Level เป็น Windows Server 2003 ก็จะทำให้ Windows 2000 ที่ติดตั้ง DC ที่มีอยู่ใน Forest นี้ สามารถใช้งาน Feature บางอย่างร่วมกันได้ และทำงานร่วมกันได้

แต่ถ้าหากขยับขึ้นมาเลือก Functional Level เป็น 2008 ก็จะทำให้สามารถทำงานร่วมกับ Windows Server 2003 ที่ติดตั้ง DC ที่มีอยู่ใน forest ได้ แต่ก็จะไม่สามารถทำงานร่วมกับ Windows 2000 ได้อีกต่อไป

และถ้าขยับขึ้นมาเลือก Functional Level เป็น 2008 R2 ก็จะสามารถทำงานร่วมกับ Windows Server 2008 ได้ แต่ก็จะไม่รองรับ Windows Server 2003 อีกเช่นกัน

ซึ่งนั่นหมายความว่า หากเลือก Forest Function Level เป็นแบบใด ก็จะสามารถทำงานรองรับกับ Windows Version ที่ต่ำกว่านี้ได้เพียง 1 Version นั่นเอง ส่วน Feature อะไรบ้างที่ทำงานร่วมกันได้ ก็อ่านดูใน Dialog ที่แสดงให้ทราบในขณะติดตั้งได้เลย



หน้า Set Domain functional Level ก็เช่นเดียวกัน แต่มีผลรองลงมาอยู่ในระดับ Domain ไม่ใช่ระดับ Forest



หน้า Additional Domain Controller Options คลิก Next.



Dialog Active Directory Domain Services Installation Wizard คลิก Yes.

ขั้นตอน Additional Domain Controller Options ที่มีให้เลือก DNS server นั้น อธิบายได้ว่า ปกติแล้ว การติดตั้ง DC จะต้องมี DNS server เพื่อทำหน้าที่ค้นหา IP Address ของเครื่อง DC แต่กรณีนี้ไม่ได้มีการติดตั้ง DNS server มาก่อน ระบบจึงจะทำการติดตั้งและตั้งค่าต่าง ๆ ให้พร้อมกันด้วย



หน้า Location for Database, Log Files, and SYSVOL คลิก Next.



หน้า Directory Services Restore Mode Administrator Password ใส่รหัสสำหรับ Restore เหมือนกันทั้ง 2 ช่อง แล้วคลิก Next.



หน้า Summary คลิก Next.



Dialog Active Directory Domain Services Installation Wizard เลือก Reboot on completion.



หลังจาก Reboot เครื่องขึ้นมา ก็พร้อมใช้งานแล้ว

Read More

วิธีการติดตั้ง Windows Server 2016 [Step by Step]

ผมมีโอกาสได้ทดลองติดตั้ง Windows Server 2016 เวอร์ชันเสร็จสมบูรณ์ แต่เป็นตัวที่ไมโครซอฟท์ให้ทดลองใช้งาน 180 วัน จึงนำประสบการณ์มาแบ่งปันกับผู้อ่านครับ

ดาวน์โหลด Windows Server 2016
ไมโครซอฟท์จะออก Windows Server 2016 อย่างเป็นทางการในช่วงกลางเดือนตุลาคม โดยคุณสามารถดาวน์โหลดเวอร์ชันทดลองใช้งาน 180 วัน ได้จากเว็บไซต์ TechNet Evaluation Center (ต้องใช้เตรียมบัญชีไมโครซอฟท์ เช่น Outlook หรือ Hotmail ในการลงชื่อดาวน์โหลด) ให้ดาวน์โหลดเวอร์ชันที่เป็นไฟล์เวอร์ชันอิมเมจไอเอสโอ (ISO image)

ไฟล์อิมเมจไอเอสโอที่ได้สามารถใช้ติดตั้งบนคอมพิวเตอร์เสมือนได้ทันทีแต่ถ้าคุณต้องการใช้ติดตั้งบนเครื่องคอมพิวเตอร์จริง คุณจะต้องทำการ สร้างแฟลชไดรฟ์ USB สำหรับติดตั้ง Windows หรือเบิร์นลงแผ่นดีวีดีก่อน

ความต้องการระบบของ Windows Server 2016
Windows Server 2016 มีความต้องการระบบฮาร์ดแวร์ขั้นต่ำดังนี้
โปรเซสเซอร์: 1 GHz 64-บิต
หน่วยความจำ: หน่วยความจำอย่างน้อย 512 MB
พื้นที่ฮาร์ดดิสก์: พื้นที่ฮาร์ดดิสก์อย่างต่ำ 32 GB

ความต้องการระบบอื่นๆ:
การ์ดเครือข่าย Gigabit 10/100/1000baseT
ไดรฟ์ DVD (ในกรณีต้องการติดตั้งระบบปฏิบัติการจากแผ่นดีวีดี)
จอภาพความละเอียด 1024×768 หรือสูงกว่า
แป้นพิมพ์, เม้าส์ และอินเทอร์เน็ต (ในกรณีที่คุณต้องการเข้าถึงอินเทอร์เน็ต)

การติดตั้ง Windows Server 2016
การติดตั้ง Windows Server 2016 ในครั้งนี้ ผมได้ทดลองติดตั้งทั้งโหมด Server with Desktop Experience และ Server Core

ข้อมูลระบบ
เครื่องที่ใช้ติดตั้ง Windows Server 2016 เป็นคอมพิวเตอร์เสมือน (Virtual Machine) บน Hyper-V
Windows Server 2016 Standard Evaluation

ขั้นตอนการติดตั้ง Windows Server 2016

1. ทำการบูทคอมพิวเตอร์เสมือนด้วยไฟล์ไอเอสโอ Windows Server 2016 จากนั้นจะได้หน้า Windows Setup ดังรูปด้านล่าง บนหน้านี้เป็นการเลือกภาษา ตั้งค่าเวลา และแป้นพิมพ์ โดยผมใช้ค่าเริ่มต้นที่ระบบกำหนดให้ตามรายละเอียดด้านล่าง จากนั้นจึงคลิก Next
Language to install: English
Time and currency format: English (United States)
Keyboard or input method: US

รูปที่ 1

2. บนหน้า Windows Setup ดังรูปด้านล่าง ผมคลิก Install now เพื่อเริ่มการติดตั้ง Windows Server 2016


รูปที่ 2

3. บนหน้า Select the operating system you want to install ดังรูปด้านล่าง ผมเลือกติดตั้ง Windows Server 2016 Standard Evaluation (Desktop Experience) ซึ่งเป็นโหมดที่มีระบบอินเทอร์เฟซแบบกราฟิกเต็มรูปแบบ จากนั้นคลิก Next

สำหรับการติดตั้ง Windows Server 2016 หรือ Server Core ซึ่งเป็นโหมดที่ไม่มีระบบอินเทอร์เฟซแบบกราฟิกนั้น ให้เลือกเป็น Windows Server 2016 Standard จากนั้นคลิก Next


รูปที่ 3

4. บนหน้า Applicable notices and license terms ให้คลิกเช็คบ็อกซ์ I accept the license terms จากนั้นคลิก Next


รูปที่ 4

5. บนหน้า Which type of installation do you want? ดังรูปด้านล่าง ผมเลือกติดตั้งแบบ Custom: Install Windows only (advanced) ซึ่งเป็นการติดตั้ง Windows Server 2016 แบบ Clean Install


รูปที่ 5

6. บนหน้า Where do you want to install Windows? ผมเลือกติดตั้งบน Drive 0 (ถ้าคุณมี Hard Disk หลายตัวหรือหลาย Partition ให้เลือกติดตั้งตามความเหมาะสมครับ) เสร็จแล้วคลิก Next


รูปที่ 6

7. ระบบจะเริ่มทำการติดตั้ง Windows Server 2016 โดยจะดำเนินการขั้นตอนต่างๆ ดังนี้ คือ Copying Windows files, Getting files ready for installation, Installing features, Installing updates และ Finishing up ซึ่งระหว่างการติดตั้งจะมีการเริ่มต้นระบบหลายครั้ง (การทำงานโดยอัตโนมัติ) ขั้นตอนเพียงแค่รอให้การติดตั้งแล้วเสร็จ


รูปที่ 7

8. [กรณีติดตั้ง Windows Server 2016 (Server with Desktop Experience)] หลังจากการติดตั้งแล้วเสร็จ ระบบจะแจ้งให้ทำการตั้งรหัสผ่านของ Administrator ดังรูปที่ 8 จากนั้นผมป้อนรหัสผ่าน 2 ครั้ง ในช่อง Password และ Reenter password (โดยรหัสผ่านจะต้องเป็นไปตามนโยบาย password complexity นะครับ) เสร็จแล้วจึงให้คลิก Finish เพื่อยืนยันการตั้งรหัสผ่าน

สำหรับการติดตั้ง Windows Server 2016 แบบ Server Core ให้ข้ามไปทำข้อที่ 10 ครับ


รูปที่ 8

9. บนหน้าล็อคหน้าจอผมกดแป้นพิมพ์ Ctrl + Alt + Delete เพื่อเข้าสู่หน้าจอลงชื่อเข้า จากนั้นจึงป้อนรหัสผ่านที่กำหนดในขั้นตอนที่ 8 เสร็จแล้วคลิกไอคอนลูกศรหรือกดปุ่ม Enter เพื่อลงชื่อเข้าระบบ

10. [กรณีติดตั้ง Windows Server 2016 (Server Core)] หลังจากการติดตั้งแล้วเสร็จ จะได้หน้าต่าง The user’s password must be changed before signing in. ดังรูปด้านล่าง ให้กดปุ่ม Enter


รูปที่ 9

11. บนหน้า Enter new credentials for Administrator or hit ESC to cancel ให้ทำการป้อนรหัสผ่าน 2 ครั้ง (กดปุ่ม Tab เพื่อขึ้นบรรทัดใหม่) โดยรหัสผ่านจะต้องเป็นไปตามนโยบาย password complexity เสร็จแล้วให้กดปุ่ม Enter


รูปที่ 10

บนหน้า Your password has been changed ให้กดปุ่ม Enter เพื่อลงชื่อเข้า (Sign in) ระบบ


รูปที่ 11

เมื่อลงชื่อเข้าระบบแล้วเสร็จจะได้หน้าต่างพร้อมท์คำสั่งดังรูปด้านล่าง


รูปที่ 12

สำหรับรูปที่ 12 เป็นหน้าต่าง Server Configuration tool (Sconfig.cmd) ซึ่งเป็นเครื่องมือแบบเมนูคำสั่งที่ไมโครซอฟท์จัดเตรียมไว้ให้ผู้ดูแลระบบใช้ตั้งค่าระบบ Windows Server 2016 Server Core โดยเฉพาะ


รูปที่ 13

ทั้งหมดนี้เป็นขั้นตอนการติดตั้ง Windows Server 2016 โหมด Server with Desktop Experience และ Server Core ครับ

Read More

วิธีติดตั้ง Active Directory (AD) In Windows Server 2016

How to setup Active Directory (AD) In Windows Server 2016


Windows Server 2016 is the newest server operating system released by Microsoft in October 12th, 2o16. In this tutorial I will go through step by step on how to install the Active Directory ( AD ) role on Windows Server 2016. If you are setting up the server for production is recommended to set a static IP address on the server before you start the AD installation. Also before you start the AD installation, rename the server now if you need to, once you have installed the AD role on the server, it is not easy to change the name without breaking a lots of things.

Table of contents

Install Active Directory
Setup Domain Controller
Conclusion

Note: You need to have administrator privileges on the server to install AD
Install Active Directory

Login to the server, and click on the Start button, and then click on Server Manager:



On the Server Manager Dashboard, click on Add roles and features:



The Add role and features wizard will come up:



Click on Next. On the following Installation type screen, choose the first option “Role-based or feature-based installation:



Click on Next. On the following screen select a server from the server pool. your local server should be listed:



On the following screen click on Active Directory Domain Services and the Add features window will pop-up:



Click on Add Features and then click on Next. Make sure .NET 4.6 Features are checked on the following screen:



Then click on Next. On the following screen you will get a short overview of what a domain controller does, and the services that get installed. if this is your first domain controller you will be prompted to install the DNS service which is required on a domain controller:



Click on Next. click on Install on the confirmation window:



The Installation will begin:


Setup Domain Controller

Once the AD role has been installed. click on Promote this server to a domain controller:



And the deployment configuration wizard will come up. Select Add new forest and choose your Root domain name:



click on Next. on the next screen choose your Forest functional level and enter the Directory Service Restore Mode password: If this is your first domain controller choose “Windows Server 2016” as the Forest and Domain functional level. make sure the DNS option is checked, and because this is my first server, the Global Catalog ( GC) is already checked. click on Next:



Because we are installing a forest root domain controller that is using Active Directory-integrated DNS, we are not going to worry about this warning message, click on Next:



Choose the NetBIOS domain name (already selected ) and click Next choose the paths for the the AD database, normally the defaults are OK



Review Options:



Click on Next.



Do the Prerequisites check. if all the prerequisites check successfully. click on Install



The Installation should begin. the server will reboot automatically when the installation finishes:



This message will pop-up on your screen when Windows Server 2016 is about reboot:



After your server reboots, you will have the option to login to your newly created network:



after you’re logged using your domain credentials, go to Administrative tools and open Active Directory Users and Computers to make sure your AD is working:



DNS


Conclusion



As you can see, installing Active Directory (AD) in Windows server 2016 is not much different than Installing AD in previous Windows server releases. I hope you found this guide useful. If you have any question please use the comments section below.

Read More