Blog of Khlebalin Dmitriy

(Дорогу осилит идущий…)

WSUS Windows Updates Failed Error 0x80244022 (part 2).

Недавно писал про ошибку WSUS: https://khlebalin.wordpress.com/2017/06/21/wsus-windows-updates-failed-error-0x80244022/

На днях столкнулись с неприятной ситуацией, стали сами по себе «отваливаться» VPN туннели в филиалы. Настроили мониторинг пакетов в разные стороны-пакеты теряются.

Обратились к провайдерам, они у себя проблемы не подтвердили. Начали смотреть мониторинг и сопоставлять факты. В ходе детального анализа выявили неприятный момент: оказалось канал кладет WSUS.

А кладет он его не просто так:

  • Запускаем сервер WSUS некоторое время он благополучно работает.
  • Далее, как оказалось, служба WsusPool  через некоторое время останавливается и WSUS банально перестает рассылать обновления.
  • Когда сей факт становится очевидным, перезапускаем службу, она снова работает определенное время и снова сама по себе останавливается и более ничего не происходит.
  • На прошлой неделе было много дел и было не до WSUS, по факту обнаружили, что он снова в стопе и принудительно запустили службу, началась интенсивная работа, сервак  стал интенсивно закачивать одобренные обновления и интенсивно рассылать их, тем самым за короткое время покачал 90 гиг обновлений, одновременно положив 100 мегабитный канал.

Для того, чтобы такого не происходило и служба не останавливалась, вот тут коллеги рекомендуют поправить параметры памяти:

IIS->Application pool->WSUSPool->Advanced settings->Recycling=>Private Memory Limit

Мы установили следующее значение

Второй день, полет нормальный: WSUS не останавливается, а соответственно равномерно льет обновления…

Всем хорошей работы!!!

24.04.2018 Posted by | ms windows 2016 | Комментарии к записи WSUS Windows Updates Failed Error 0x80244022 (part 2). отключены

Новый DC на Windows 2016. Переносим DHCP сервер.

Итак, роли FSMO переданы… Пришло время перейти к следующему этапу, переносу сервера DHCP.

Сейчас у нас есть единственный сервер DHCP на контроллере DC1 под  Windows 2008R2. Задача, создать отказоустойчивый DHCP сервер, соответственно теперь на серверах DC2, DC3.

Поднимаем роли DHCP на  DC2, DC3 (ранее где-то здесь об этом уже писал, не буду заострять на этом внимание).

Авторизуем все DHCP сервера:

Далее необходимо смигрировать все настройки DHCP с DC1 на DC2, DC3, в этом случае, это с Windows 2008R2 на Windows 2016. Вроде никаких приключений быть не должно.

Для понимания процесса можно прочесть вот этот пост: http://winitpro.ru/index.php/2013/02/05/migraciya-dhcp-servera-na-windows-server-2012/

Но они возникли…

При попытке набрать команду через PowerShell:  Export-DhcpServer

вдруг обнаружили, что такой команды нет, почему, пока непонятно (если есть версии, прошу написать в комментарий?)

Пришлось прибегнуть вот к такому варианту переноса: http://www.itprotoday.com/business-resources/migrating-dhcp-server-2003-server-2012-r2

Все благополучно выгрузилось, а вот загрузилось на новые сервера, не так благополучно, как бы нам этого хотелось…

Загрузилось все, кроме основных параметров сервера и параметров областей:

Все их пришлось пробежаться и добавить руками-это несколько расстроило.

«Тушим» DHCP на DC1  и запускаем на DC2, DC3.

Далее осталось настроить DHCP failover, как это сделать можно посмотреть например здесь: https://fromreallife.wordpress.com/2012/07/22/dhcp/

Репликация проходит успешно. Пробуем потушить один из DHCP серверов, на клиентской машине проверяем, что адреса благополучно раздаются вторым-это то, что нужно.

На коммутаторе не забываем  прописать IP addres helper.

команда ip helper-address x.x.x.x заставляет пересылать широковещательные UDP сообщения не только протокола DHCP, по умолчанию будут пересылаться также следующие запросы:

  • Time (udp 37)
  • TACACS (udp 49)
  • DNS (udp 53)
  • TFTP (udp 69)
  • NetBIOS name service (udp 137)
  • NetBIOS datagram service (udp 138)

conf t

interface Vlan22

ip helper-address 192.168.10.2

ip helper-address 192.168.10.3

вешаем на нужные нам VLANы

На ASA (у нас ASA, а так на любом другом фаерволе), не забываем изменить правила DHCP (если такие есть) и DHCP Relay на новые сервера:

На этом перенос сервера DHCP закончен. На DC1 у нас еще остался сервер сертификации, о его переносе надо еще подумать…

Всем хорошей работы!!!

10.04.2018 Posted by | ms windows 2016 | Комментарии к записи Новый DC на Windows 2016. Переносим DHCP сервер. отключены

Новый DC на Windows 2016. Передаем роли FSMO.

Итак, контроллер (в моем случае DС3), установлен, об этом здесь, далее имеет смысл приступить к переносу ролей с DC1 на DC3. Сначала сами роли FSMO, ну а потом, все дополнительные роли, которые выполнял сам сервер DC1.

Не часто, в последнее время, приходится сталкиваться с переносами, многие вещи с тех пор уже забыты или вспоминаются, но смутно. Поэтому раз от разу приходится почитывать мануалы. Соответственно коротко о ролях FSMO (по англицки Flexible Single Master Operations)…

У нас две роли на уровне леса и три роли на уровне домена (в текущем случае и лес и домен один).

1. Schema Master (Хозяин схемы) / Лес / Содержит в себе схему леса.
2. Domain Namiпg Master (Хозяин именования доменов) / Лес / Управляет именами доменов.
3. lnfrastructure Master Домен (Хозяин инфраструктуры) / Домен / Обеспечивает меж-доменные ссылки на объекты.
4. PDC Emulator (Эмулятор основного контроллера домена) / Домен / Отвечает за время в лесу.
Обрабатывает изменения паролей, Является точкой подключения для управления объектами GPO, Блокирует учетные записи.
5. RID Master (Хозяин относительных идентификаторов (RID)) / Домен /  Управляет и пополняет пулы RID (relative identifier — относительный идентификатор).

Для начала убеждаемся, что учетка, под которой передаем роли, входит во все админские группы, иначе передать их просто не получится.

В моем случае роли уже передали, поэтому я просто напишу уже постфактум, какие действия были выполнены.

Смотрим список имеющихся контроллеров домена:  dsquery server -forest

Проверим, кто является владельцем ролей FSMO: netdom query fsmo

Здесь видно, что все роли уже на DC3 (это уже новый контроллер), так как я пишу постфактум, соответственно первоначально все эти роли принадлежали контроллеру DC1

Роли можно переносить через GUI, а можно при помощи утилиты NTDSUTIL (инструмент управления и обслуживания каталога Active Directory). Для этого сначала надо зарегистрировать библиотеку управления схемой Active Directory (schmmgmt.dll), иначе роль Schema перенести не удастся.

regsvr32 schmmgmt.dll

Библиотека подключена, переносим роли:

ntdsutil

Выбираем сервер которому хотим передать роли:

roles

connections

connect to server DC3

q

Получаем приглашение к управлению ролями:

transfer naming master

transfer infrastructure master

transfer rid master

transfer schema master

transfer pdc

q

Подтверждаем передачу каждой роли.

На тоже самое можно взглянуть и через графический интерфейс:

Итак, роли переданы, так как сменился PDC (был DC1, стал DC3), отвечающий за время, и являющийся в нашем случае, основным NTP сервером, имеет смысл выполнить следующую рекомендацию:

-На бывшем PDC Emulator (DC1), выполним:

w32tm /config /syncfromflags:domhier /reliable:no /update

net stop w32time
net start w32time

-Передали роль PDC Emulator на новый контроллер домена (DC3).

-На новом PDC Emulator (DC3), выполним:

w32tm /config /manualpeerlist:PEERS /syncfromflags:manual /reliable:yes /update

где PEERS будут серверами- источниками точного времени,параметр может принимать значение
DNS имени либо IP адреса.Если источников больше одного, между ними необходимо ввести пробел, и кавычки: «microsoft.domain.com microsoft1.domain.com».

Возможно в процессе выловятся еще какие-то «баги», я дополню этот пост в процессе их возникновения.
Всем хорошей работы!!!

05.04.2018 Posted by | ms windows 2016 | 1 комментарий