Вчера, к нам в студию, поступило письмо от нашего постоянного читателя Андрея, с вопросом:
С удовольствием читаю ваш блог, много полезного для себя узнал, хотел узнать ваше мнение по поводу имени домена Active Directory, многие пишут что называть стоит его *организация*.local, а кто-то пишет что стоит назвать так-же как и домен.
Давайте кратко разберемся какое же лучше использовать имя при наименовании домена внутри организации.
Как показывает практика выбор имени домена может поставить в ступор даже опытного системного администратора. При первом запуске утилиты dcpromo имя домена будет сгенерировано автоматически и случайным образом, если уже на этом этапе не привести имя домена в соответствие необходимым правилам, то в будущем изменить имя домена будет сложнее. Давайте рассмотрим возможные варианты в порядке их популярности.
1. Домен с именем example.local
Лидером нашего хит-парада является именование домена с окончанием на local. Существуют и другие вариации на эту тему, например test , firma , factory , nn , loc , и так далее. Сейчас даже уже и не вспомнишь откуда пошла такая любовь, во всех своих книгах компания Microsoft всегда использует свои именование вида contoso.com , где мы четко видим формат именования домена . Однако на протяжении почти 10 лет домен .local занимал лидирующие позиции. Ситуация стала выравниваться с приходом сервисов использующих в своей работе SSL сертификаты . Где использование доменов «пофиг и так сойдет» становится не возможным. Смотрите, предположим, что ваша компания использует внутри организации Exchange server , которому необходим ssl сертификат для шифрования клиентских подключений. Согласно вашему сценарию для реализации этой задачи вам необходим сертификат внешнего центра сертификации , в котором необходимо указать все имена серверов используемых для внешнего подключения. Казалось бы что такого, записываем все имена серверов и подаем заявку на выпуск сертификатов, но есть одно но. С именем такого домена вы не сможете пройти валидацию , так как домен «пофиг и так сойдет» не существует и на попытку объяснить внешнему центру сертификации, что вам в SAN нужно засунуть FQDN имя не существующего домена получите мягкий отказ:
It’s not possible, we issue only certificates for real domain names.
Но существует еще одна неприятность. Использование доменного имени не принадлежащего вам в имени домена может привести к плачевным последствиям. Представьте ситуацию если зона local будет иметь статус публичной. Как зона com или ru . Дальше я думаю продолжать не стоит 🙂
2. Имя домена совпадает с внешним именем домена
Второе место нашего хит-парада. Не смотря на то, что такой сценарий является менее популярным, он все же имеет право на жизнь. Кроме того, что в ближайшем будущем вы все же получите некоторые неудобства при обслуживании сети, больше вам ничего не угрожает. Основной проблемой в этом сценарии будет то, что вам придется поддерживать два DNS сервера: внутренний и внешний . При таком условии компьютеры находящиеся внутри сети будут использовать для разрешения имен внутренний DNS сервер, а компьютера за периметром компании внешний. Предположим ваш домен носит гордое название example.com . В DMZ зоне у вас находится сайт компании с именем example.com . В описанном сценарии выше компьютеры находящиеся внутри организации не смогут получить к нему доступ ввиду того что для них example.com это имя домена и при вводе этого адреса в браузере они будут попадать на контроллер домена . Как я уже отметил выше кроме неудобства это ни к чему не приведет. Вы всегда можете использовать костыли, которые будут перебрасывать вас на внешний сайт, но согласитесь это не нужная двойная работа, либо внутри сети использовать имя сайта начинающееся с www , либо снаружи.
3. Имя домена из одного слова
Пожалуй самый не правильный вариант из приведенных выше. Одноуровневые домены: Single-label domain — это домен, который содержит только одну составляющую . По всей видимости их начали использовать во времена NT, когда компания Microsoft переняла удачный опыт компании Novell. Так сложилось, что изначально я был администратором FreeBSD и большого парка серверов NetWare начиная с версии 4.11, так вот в те стародавние времена NetWare использовала в своей работе Bindery, которая как раз имена схему одноуровнего домена , которую потом и переняла компания Microsoft.
Best practices
Пора подвести итог. Какое же именование домена использовать? Только домен третьего уровня в домене которым вы владеете . Не стоит использовать чужие более красивые доменные имена:-). Пример такого домена вы можете увидеть ниже.
Данная процедура гораздо сложнее, чем переименование рядового сервера, являющегося обычным членом домена. Для этой задачи нам понадобится утилита "NETDOM ", которая начиная с Windows 2008 входит в состав ОС , а для Windows 2003 понадобится установить "Support Tools ".
Для переименования контроллера домена действуем следующим образом:
1. Сначала убеждаемся в том, что функциональный уровень домена не ниже Windows 2003
и проверяем наличие прав "Domain Admins
" ("Администраторы домена
").
2. Открываем командную строку с повышенными привилегиями и добавляем для контроллера дополнительное имя, в которое мы собираемся переименовать (в нашем примере SRV-DC1-OLD.TEST.LOCAL
переименовываем в SRV-DC1.TEST.LOCAL
):
NETDOM computername SRV-DC1-OLD.TEST.LOCAL /add:SRV-DC1.TEST.LOCAL
3. С помощью редактора "ADSIEDIT.msc
" убеждаемся, что имя добавлено корректно. В редакторе находим объект контроллера домена и проверяем значение свойства "msDS-AdditionalDnsHostName
", которое должно быть равно "SRV-DC1.TEST.LOCAL
".
4. Теперь необходимо убедиться, что обновленные SPN атрибуты успели полностью реплицироваться на остальные контроллеры домена в лесу. В этом нам поможет утилита "REPADMIN " или "REPLMON " для Windows 2003 .
Для ускорения процесса репликацию можно форсировать в оснастке "DSSITE.msc ". Просто кликните правой кнопкой мыши на подключении и выберите "Реплицировать сейчас ".
5. Теперь делаем первичным новое имя контроллера домена:
NETDOM computername SRV-DC1-OLD.TEST.LOCAL /makeprimary:SRV-DC1.TEST.LOCAL
6. Перегружаем сервер.
7. Снова проверяем, что обновлённые SPN атрибуты и записи в DNS успели полностью реплицироваться на остальные контроллеры домена и сервера DNS в лесу, а значение свойства "msDS-AdditionalDnsHostName " теперь равно старому имени сервера.
При острой нехватке времени можно снова форсировать репликацию и перегрузить зоны DNS на других контроллерах, если они отображают предыдущее имя нашего сервера.
8. Теперь удаляем старое имя контроллера, которое сейчас является дополнительным:
NETDOM computername SRV-DC1.TEST.LOCAL /remove:SRV-DC1-OLD.TEST.LOCAL
9. Форсируем или дожидаемся полной репликации, и в завершении перегружаем и проверяем прямые и обратные доменные зоны DNS на наличие записей со старым именем. Если находим таковые - удаляем или исправляем при необходимости на новое имя. Также стоит ещё раз проверить значение атрибута "msDS-AdditionalDnsHostName ", которое должно быть пустым.
В конце процедуры, когда вышеописанные шаги пройдены, внимательно проверяем логи Active Directory на всех контроллерах домена на наличие ошибок и с помощью утилиты "DCDIAG " убеждаемся в корректности работы леса.
На дворе 2015 год, интернет получил массовое распространение, у каждой уважающей себя компании давно есть свой веб-сайт. Не нужно далеко ходить — даже у каждой городской больницы есть свои веб-ресурсы. Но тем не менее все равно сисадмины не научились создавать нормальные имена для своих доменов.
Стоимость домена второго уровня (например, bissquit.com) составляет чуть больше 500 рублей в год. Это очень мало даже для обычных граждан, как мы с вами, и это сущие копейки для компаний тем более. Свой домен я приобрел ещё задолго до того, как появилась идея «запилить» этот бложик. Это просто удобно. Возьмем даже удаленное подключение по rdp — я ввожу имя своего домена, вместо унылого ip-адреса.
В интернете на запрос «active directory domain best practices» почти на каждом сайте написаны исчерпывающие рекомендации по именованию доменов AD и даны объяснения почему нужно сделать именно так. Давайте рассмотрим подробнее о каких рекомендациях идет речь:
- Для именования домена AD используйте поддомен вашего официально зарегистрированного домена организации.
Вы все поняли правильно, только один совет. Это все! Можно много рассуждать о деталях и мелких нюансах, но 80-90% рассуждений сводятся к одному единственному совету, озвученному выше. Все проблемы исходят из того, что человек знает, что так нужно делать, но не понимает почему нельзя или крайне не рекомендуется делать по-другому. С этого момента подробнее.
1. Почему нельзя использовать внутренние, неразрешаемые снаружи имена типа.local, .corp, .lan?
Можно. Ещё как можно. Большинство именно их и используют. У меня есть примеры среди знакомых, у которых в организациях 2000+ человек и используется домен.local. Все трудности начнутся, если вдруг станет нужен реальный домен AD. Такое может случиться при использовании гибридных облачных развертываний (яркий тому пример Exchange + Office365). «Почему бы просто не переименовать домен, ведь с определенной версии AD это вполне возможно?» — спросите вы. Да в принципе можно, однако вам предстоит столкнуться со сложностями миграции доменнозависимых сервисов. Среди них все тот же Exchange и др., но тут и одного Exchange более чем достаточно.
2. «Ок, покупаем реальное внешнее имя — my-company.com, также назовем и домен AD» — тоже не вариант. Возникнут проблемы с разрешением других ресурсов, расположенных на адресе my-company.com, например, веб-сайт компании. Да и к тому же ваши DNS-серверы не будут являться авторитативными для этого домена, хотя будут считать себя таковыми. Это тоже вызовет проблемы.
Есть и другие соображения касательно именований доменов, среди них создание аналогичного реальному домена но в другом TLD. Но мне кажется большого смысла так делать нет, ведь часть проблем все равно остается, а явных преимуществ в сравнении с использованием домена corp.my-company.com (имя взято для примера) просто нет.
Для любителей сделать все по-своему с недавнего времени добавятся ещё и проблемы с сертификатами, поэтому смысла использовать внутренние имена сейчас вообще нет.
Вопрос выбора имени домена технически упирается в строчку, в которой вы пропишите имя при создании домена AD и ни во что более. Однако последствия, которые повлечет за собой неправильный выбор имени, в будущем доставят вам немало проблем и потому на этапе планирования очень важно все сделать качественно. Лишний раз неплохо почитать статьи бывалых админов
В редких случаях перед администратором доменных служб может встать задача, связанная с переименованием текущего домена. Причины могут быть разными, однако такая ситуация вполне возможна. Несмотря на то что эту задачу нельзя назвать тривиальной, но изредка приходится с ней сталкиваться, крайне важно сделать все правильно, так как в противном случае исход событий может быть критически опасным, вплоть до полностью нерабочей корпоративной инфраструктуры. Итак, далее в этой статье вы узнаете о предварительных требованиях для выполнения этой операции, о некоторых ограничениях, а также о том, как можно переименовать свой домен. Прежде чем начнем, настоятельная просьба: не выполняйте этих действий в производственной среде до тех пор, пока вы не переименуете удачно свой тестовый домен в лабораторной среде. Начнем.
Предварительные требования
Перед тем как начать переименовывать свой домен обязательно примите во внимание следующие сведения:
- Функциональный уровень леса Active Directory . Выполнять задачи по переименованию доменов можно лишь в том случае, если все домены в лесу оснащены как минимум операционной системой Windows Server 2003 (в этом случае по редакциям нет никаких ограничений). Более того, функциональный уровень должен быть повышен по меньшей мере до уровня Windows Server 2003. То есть, если у вас в лесу выбран функциональный уровень Windows Server 2000, то выполнение следующей операции попросту станет невозможным;
- Расположение домена . В лесу Active Directory может быть разный уровень доменов. То есть, могут быть либо отдельный домен, либо лес может включать дочерние домены. В том случае если вы будете менять расположение контроллера домена внутри леса, вам придется создать доверительные отношения;
- Зона DNS . Еще до выполнения операции переименования домена вам необходимо создать новую зону DNS;
- Административные учетные данные . Для выполнения операции переименования домена вы должны выполнить вход в систему под административной учетной записью, которая является членом группы администраторов предприятия (Enterprise Admins);
- Серверы распределенной файловой системы (DFS) . Если в вашей корпоративной среде развернуты службы DFS или настроены перемещаемые профили, то обратите внимание на то, что корневые DFS-серверы должны работать, как минимум, под управлением операционной системы Windows Server 2000 с пакетом обновления 3 или под более современными версиями операционных системам;
- Несовместимость с серверами Microsoft Exchange . Самый неприятный момент заключается в том, что если в вашем лесу Active Directory развернут почтовый сервер Microsoft Exchange Server 2003 Service Pack 1, то переименование домена будет выполнено без каких-либо проблем, но учетная запись пользователя, под которой будет выполняться сам процесс переименование домена должна быть членом группы Full Exchange Administrator. Все более современные почтовые серверы (включая Exchange Server 2016) несовместимы с операциями переименования доменов.
Также обратите внимание на тот факт, что на время переименования домена вы должны заморозить все предстоящие операции по конфигурации леса Active Directory. Другими словами, вы должны удостовериться в том, что конфигурация вашего леса не изменится до тех пор, пока операция по переименованию домена не будет полностью завершена (подробную информацию о выполнении этого действия вы увидите ниже). К таким операциям можно отнести: создание или удаление доменов внутри вашего леса Active Directory, создание или удаление разделов каталога приложений, добавление или удаление контроллеров домена в лесу, создание или удаление установленного напрямую доверия, а также добавление или удаление атрибутов, которые будут реплицированы в глобальный каталог.
На всякий случай я бы еще вам посоветовал сделать полную резервную копию состояния системы на каждом контроллере домена в лесу Active Directory. В случае выполнения этой задачи, данная предосторожность точно не будет лишней.
В том случае, если ваша инфраструктура соответствует выше упомянутым требованиям и сделаны все требуемые резервные копии, вы можете приступать к процессу переименования домена.
Процесс переименования домена Active Directory
Для начала, для того чтобы проверить первоначальное имя вашего домена, вы можете открыть окно свойств системы. Как видно на соответствующей иллюстрации, мой домен называется «Biopharmaceutic.local»:
Рис. 1. Проверка изначального имени домена Active Directory
Теперь следует создать новую зону DNS «biopharm.local» для того чтобы после успешного выполнения переименования домена ваши рядовые серверы и клиенты могли без проблем присоединиться к новому доменному имени. Для этого откройте «Диспетчер DNS » (DNS Manager ) и находясь в «Зоне прямого просмотра » (Forward Lookup Zone ) выберите опцию оп созданию новой зоны. По сути, зона создается как обычно: на первой странице мастера создания новой зоны следует прочитать вступительную информацию и перейти ко второй странице. На странице типа зоны выберите основную зону (Primary Zone ) и обратите внимание на то, чтобы была активирована опция сохранения зоны в Active Directory. На странице области репликации зоны следует оставить опцию, выбранную по умолчанию – «Для всех DNS-серверов, работающих на контроллерах домена в этом домене: Biopharmaceutic.local » (To all DNS servers running on domain controllers in this domain: Biopharmaceutic.local ). На странице имени зоны следует указать новое имя домена (biopharm.local), а на странице динамического обновления также оставьте опцию «Разрешить только безопасные динамические обновления (рекоменд. для Active Directory) » (Allow only secure dynamic updates (recommended for Active Directory) ), которая выбрана по умолчанию. Несколько этапов создания новой зоны вы можете увидеть ниже:
Рис. 2. Создание новой зоны DNS
Следующим этапом переименования домена будет генерация описания текущего состояния леса. По сути, это первая операция по переименованию домена, в которой будет использоваться утилита командной строки Rendom
. При помощи этой утилиты будет сгенерировано текстовое описания вашей текущей структуры леса в виде XML-файла с именем Domainlist.xml. Этот файл содержит список всех разделов каталога домена, а также разделов каталога приложений, которые находятся в вашем лесу Active Directory. Каждая запись для каждого раздела каталога домена и приложения ограничена тегами XML
Для создания такого файла следует под соответствующей учетной записью открыть командную строку и в ней выполнить команду «random /list ». Сгенерированный файл будет сохранен в корневом каталоге учетной записи вашего пользователя. Далее вам нужно будет открыть этот файл при помощи любого текстового редактора.
Внутри этого файла вам нужно изменить имя домена внутри секции, которая ограничена тегами
На следующей иллюстрации вы увидите процесс выполнения вышеупомянутой команды, расположение файла Domainlist.xml и изменения для первой секции этого файла. В моем случае имя домена в этом конфигурационном будет изменено 4 раза:
Рис. 3. Генерация и изменение файла Domainlist.xml
Для того чтобы удостовериться в том, что вы внесли в соответствующий файл требуемые изменения, вы можете выполнить команду «rendom /showforest ». Как видите на следующей иллюстрации, у меня все записи изменились на «Bopharm»:
Рис. 4. Просмотр потенциальных изменений
При выполнении следующей команды (rendom /upload ) утилита Rendom переводит новую структуру леса, указанную в отредактированном файле, в последовательность инструкций по обновлению каталога, которые будут запускаться локально и удаленно на каждом контроллере домена в лесу. Если говорить в общих чертах, то на этом этапе в разделе каталога конфигурации мастера именования доменов будут внесены изменения для переименования домена Active Directory. Помимо этого, будет создан файл Dclist.xml, который используется для отслеживания прогресса и состояния каждого контроллера домена в лесу для операции переименования домена. Между прочим, в этот момент утилита Rendom замораживает ваш лес Active Directory от внесения любых изменений в его конфигурацию. Процесс выполнения этой команды виден ниже:
Рис. 5. Выполнение команды rendom /upload
Следующая команда выполняется для проверки готовности контроллеров домена перед операцией по переименованию домена. Во время выполнения этого этапа вы должны запустить команду подготовительной проверки на каждом контроллере домена в лесу . Это необходимо для того, чтобы быть уверенным, что база данных Active Directory на каждом контроллере домена в лесу находится в правильном состоянии и готова выполнить изменения, которые позволят переименовать ваш домен. Следовательно, выполните команду «rendom /prepare », как это сделано на следующей иллюстрации:
Рис. 6. Подготовка домена к переименованию
Самый ответственный момент. Выполнение команды «rendom /execute ». Во время выполнения этой команды на домене выполняются инструкции по переименованию домена. По сути, в этот самый момент выполняется обращение к каждому контроллеру домена в лесу индивидуально, что заставляет каждый контроллер домена выполнять инструкции по переименованию домена. По выполнению этой операции каждый контроллер домена будет перезагружен. Процесс выполнения переименования домена смотрите на следующей иллюстрации:
Рис. 7. Процесс переименования домена
Но это еще не все. Несмотря на то, что ваш домен, по сути, уже переименован, вам еще предстоит задача по исправлению объектов групповой политики и их ссылок после завершения операции переименования домена. Для восстановления объектов групповой политики, а также ссылок GPO в каждом переименованном домене используется утилита командной строки Gpfixup.exe . Нельзя пренебрегать этой процедурой ввиду того, что без ее использования, после завершения операции переименования домена в новом лесу, групповые политики попросту не буду правильно функционировать. Учтите, что эта команда должна быть запущена единожды в каждом переименованном домене. Следовательно, один раз выполните команду gpfixup с параметрами /olddns:Biopharmaceutic.local (старое имя переименованного вами домена) и /newdns:Biopharm.local (новое имя переименованного домена), а затем команду gpfixup с параметрами /oldnb:Biopharmaceutic и /newnb:Biopharm (соответственно, старое и новое NETBIOS-имя вашего домена). Эта процедура видна ниже:
Рис. 8. Исправление объектов групповой политики
Осталось выполнить лишь две команды: команду «rendom /clean », которая позволяет удалить все ссылки на старые имена домена внутри вашей Active Directory, а также команду «rendom /end », по сути, размораживающую лес Active Directory от внесения изменений в его конфигурацию. Процесс выполнения этих команд вы можете увидеть на следующей иллюстрации:
Рис. 9. Завершение переименования домена Active Directory
Чтобы изменения применились на рядовые серверы и на конечных клиентов, вам придется дважды перезагрузить их компьютеры. Однако контроллеры домена вам придется переименовать вручную. Как видно на следующей иллюстрации, имя моего контроллера домена осталось старым.
Выбор имени домена задача несложная, но как показывает жизнь достаточно часто после запуска dcpromo имя домена генерируется случайным образом. Вроде и ничего страшного, домен работает, принтеры печатают, 1С открывается. Но увы есть ряд ситуаций, когда генерация случайным образом имени, если не выйдет вам боком, то хлопот однозначно добавит. В этой небольшой заметке я попытаюсь рассказать о том, как не стоит именовать ваши домены и почему. Информация хоть и известная, но реальная жизнь показывает, что ошибки в именовании просто повальные. А поскольку процедура переименования домена это ит-шное садо-мазо, лучше все делать изначально правильно.
1. Ситуация первая. Имя домена – domainname.local
Наверно самый распространенный вариант это использование окончания.local или любого другого домена первого уровня, не используемого IANA. (а-ля.msk или.test или.loc и.т.д) Откуда это пошло сейчас трудно сказать, есть несколько вариантов. Один говорит о том, что в 2000-м когда AD появилась на конференции в демонстрации докладчик сделал такой домен.
Ну и народ воспринял это как призыв к действию. Вторая гипотеза, впрочем не исключающая первую склоняется к тому, что скорее всего MSFT сама написала явно рекомендацию в литературе, после чего.local и ушел в народ. Чем же плох такой вариант?
Сценариев несколько, но я расскажу и наболевшем. Допустим вы устанавливаете внутри организации Exchange Server, которому необходим сертификат для шифрования клиентских подключений. Сертификат хочется от коммерческого центра, все как у людей. Естественно в сертификате должны быть указаны все имена сервера по которым сервер будет доступен. И если внешний домен принадлежит нам и легко пройдет валидацию, то внутренний домен а-ля super-firma.moscow не существует и при попытке объяснить центрам сертификации, что вам в SAN нужно запихнуть FQDN – exchange.super-firma.moscow получите ответ:
It’s not possible, we issue only certificates for real domain names.
На текущий момент запихивать в SAN сертификата всякие неприличные слова разрешает Comodo Certificate Authority, что значительно сужает выбор поставщика сертификатов, да и гарантии, что они будут разрешать это и дальше нет.
2. Ситуация вторая. Имя домена AD совпадает с внешним интернет именем домена.
Тоже нередкий вариант, но при нем проблемы с сертификатами не будет. Зато возникают проблемы с разрешением имен. Получается ситуация, когда внешние и внутренние DNS сервера не связаны между собой, но при этом обслуживают несвязанные зоны с одинаковыми именами. В такой ситуации каждый внутренний сервер логично считает себя авторитативным для зоны и при незнании о каком либо хосте авторитетно заявляет – НЕТ! Поскольку вы имеете какие то внешние ресурсы, самое банальное веб-сайты, естественно записи типа А добавляются в зону на внешнем DNS сервере. Теперь когда внутренний клиент попытается разрешить имя внешнего ресурса, его запрос попадет на внутренний DNS сервер, (естественно, это же доменный клиент) а тот в ответ “не знаю, нет такого и можешь не искать”, т.к видит, что он авторитативный для этой зоны сервер.
Для решения этой проблемы вам придется прописывать внешние записи в двух зонах, а это неизбежно приведен к путанице и дополнительной рутине. Если вас это не пугает, то попробуйте при таком сценарии разрешить внутренним пользователям открывать корпоративный сайт без префикса www. В общем плохой вариант и не надо его использовать.
Особый привет тем администраторам, которые назвали свои внутренние домены именами чужих знаменитых публичных доменов. Думаю какой геморрой в таком случае вам обеспечен объяснять не нужно.
3. Ситуация третья. Плоское имя домена состоящее из одного слова.
Если первые два варианта еще можно пережить, то за плоские имена доменов пора ввести административное наказание. Single-label domain (одноуровневый домен, SLD) – это домен, содержащий только одну именную составляющую. Откуда пошла мания их использовать, я не знаю, но уже давно официально признано, что SLD домены не должны использоваться при построении ИТ-инфраструктур.
При этом данная информация такой канадский баян, что остается только удивляться откуда SLD домены берутся. http://support.microsoft.com/kb/300684 .
Чем грозит? Отсутствием поддержки со стороны продуктов Microsoft такой конфигурации. Из свежего. Попытайтесь установить Exchange 2010 SP1 в домене с плоским именем, получите сообщение о том, что такая конфигурация больше не поддерживается.
Как же правильно именовать домен?
Ответ прост. Делать согласованное пространство имен. Т.е имея домен сайт в реальном мире, домен Active Directory делать суб-доменом типа corp.сайт. При таком раскладе все проблемы отпадают. И совсем не обязательно делать делегирование DNS суб-домена на внешнем DNS сервере. Хотя если вы это сделаете, можно добиться разрешения имен в обе стороны. (из внутренней сети внешних имен, из Internet внутренних имен)
Для тех, кто не подумал изначально есть “хорошая” ссылка: http://technet.microsoft.com/en-us/library/cc738208(v=ws.10).aspx Приятных Вам вечером за чтением данного произведения.
MCP/MCT Илья Рудь
