ابزار RSOP (Resultant Set of Policy)
با اجرای دستور rsop.msc در کادر Run یک سیستم کلاینت، محیطی شبیه به کنسول گروپ پالیسی باز میشود که به ما دقیقاً نشان میدهد چه پالیسیهایی و با چه تنظیماتی در حال حاضر روی این کامپیوتر و یوزر اعمال شدهاند.
ارتباط کند (Slow Link Connection)
یکی از مفاهیم حیاتی در مدیریت پهنای باند کلاینتها، کنترل شرایط در شبکههای ضعیف است:
- نحوه تشخیص: وقتی سرعت ارتباط شبکه بین کلاینت و سرور DC زیر ۵۰۰ کیلوبیت بر ثانیه باشد، ویندوز آن را به عنوان ارتباط کند (Slow Link) شناسایی میکند. سرور با استفاده از مکانیزم پینگ (ICMP) این سرعت را ارزیابی میکند.
- مدیریت از طریق GPO: مقدار پیشفرض ۵۰۰ کیلوبیت، از طریق گروپ پالیسی قابل تغییر است. نکته مهم: اگر این مقدار را روی صفر (0) تنظیم کنیم، سیستم دیگر سرعت شبکه را چک نمیکند و عملاً مکانیزم Slow Link خاموش میشود.
استثنائات در ارتباط کند
برای جلوگیری از قفل شدن کلاینت و اشغال شدن همان پهنای باند محدود، اگر سیستم Slow Link تشخیص داده شود، پالیسیهای سنگینِ زیر اعمال نمیشوند:
Disk Quota (سهمیهبندی دیسک)
Scripts (استارتاپ/لاگین)
Folder Redirection
Software Installation
Wireless Network (802.11)
Wired Network (802.3)
Internet Explorer Maintenance Extension
شخصیسازی و الگوها در GPO
- الگوهای پایه (Starter GPO): استارتر گروپ پالیسی مانند یک قالبِ آماده (Template) عمل میکند. ما مجموعهای از تنظیماتِ مشترک سازمان را در یک Starter GPO تیک زده و ذخیره میکنیم. زمانِ ساخت هر GPO جدید، این استارتر را به عنوان بیس انتخاب میکنیم و فقط تنظیمات مجزا را به آن اضافه میکنیم.
- Active Desktop (بکگراند یکپارچه): با این قابلیت میتوانیم Wallpaper تمام کامپیوترها را یکسانسازی کنیم. علاوه بر عکس، میتوانیم یک فایل HTML قرار دهیم تا کاربر بتواند روی لینکهای روی دسکتاپ کلیک کند.
قانون مهم: فایل عکس یا HTML حتماً باید شیر شده باشد و آدرس آن در GPO به صورت UNC Path وارد شود.
تفاوت WMI Filter و Item-Level Targeting
Item-Level Targeting
شروط را به صورت گرافیکی اعمال میکند اما فقط و فقط در بخش Preferences وجود دارد.
WMI Filter
با زبان کوئرینویسی کار میکند (مثلاً فقط روی ویندوز ۱۰ها) و در تمامی بخشهای گروپ پالیسی قابل استفاده است.
زمانبندی و مدیریت فایلهای ADMX
زمانبندی آپدیت GPO: با فعالسازی پالیسی Set Group Policy Refresh Interval For Computers میتوانیم زمان پیشفرض آپدیت پالیسیها (۹۰ دقیقه) را تغییر دهیم.
هشدار: اگر این زمان روی صفر قرار گیرد، سیستم هر ۷ ثانیه درخواست میفرستد که شبکه را نابود میکند!
کالبدشکافی ADMX چیست و کجاست؟
برای اعمال گروپ پالیسی روی نرمافزارهای غیرمایکروسافتی، فایلهای دارای پسوند .admx را دانلود کرده و دقیقاً در مسیر زیر قرار میدهیم:
SystemRoot\PolicyDefinitions
سپس فایلهای زبان آنها (پسوند .adml یا .adm) را در پوشه زبان (مثلاً en-US) میگذاریم تا تنظیمات در Administrative Templates ظاهر شوند.
معماری Windows Server Core
پیشنهاد مایکروسافت و بهترین رویکرد در شبکههای سازمانی این است که تمامی سرورها به صورت Core (بدون رابط گرافیکی) نصب شوند و تنها یک سرور GUI برای مدیریت داشته باشیم. مزایای این کار: پرفورمنس بسیار بالاتر، مصرف منابع (RAM/CPU) بسیار کمتر و امنیت فوقالعاده بیشتر.
تنظیمات پایه و پیشنیازها
- دستور جادویی Sconfig: در محیط خط فرمان Core، با تایپ دستور sconfig یک منوی متنی و جامع باز میشود که تنظیمات اولیه (نام کامپیوتر، IP، جوین به دامین، آپدیت و Remote Desktop) را فراهم میکند.
- اهمیت NET Framework.: پیشنیازهای نرمافزاری به صورت پیشفرض روی Core نصب نیستند. برای اجرای بسیاری از ابزارها، نصب پکیجهای NET Framework. کاملاً الزامی است.
نصب از سورس و محدودیتهای Core
نصب فیچرها از مسیر SXS
در سرور، فایلهای نصبی برخی فیچرها روی هارد نیستند. در Server Manager باید روی Specify an alternate source path کلیک کرده و مسیر پوشه sxs موجود در فایل ISO ویندوز را بدهیم.
e:\sources\sxs
رولهای پشتیبانینشده در Server Core
با وجود تمام مزایا، سرور Core از این ۴ رول پشتیبانی نمیکند:
1. Fax Server
2. WDS
3. NPAS
4. MultiPoint Services
مدیریت از راه دور و پلتفرم WAC
پلتفرم Windows Admin Center (WAC) مدیریت سرورها را متحول کرده است. پس از نصب WAC، آدرس IP آن سیستم را در مرورگر وارد کرده، با یوزر دامین لاگین میکنیم و سرورهای Core را به کنسول تحت وب اضافه میکنیم.
Core عضو Domain
اگر سرور Core به عضویت دامین درآمده باشد، مدیریت آن با WAC و اضافه کردن آن به پنل بسیار ساده و بدون نیاز به کانفیگ پیچیده است.
Core حالت Stand-Alone
اگر عضو دامین نباشد، مدیریت با Server Manager نیازمند اعمال Group Policyهای دستی است. اما WAC در این سناریو به شدت کار را راحتتر میکند.
نکته فایروال: برای برقراری ارتباطات اولیه مدیریت از راه دور، گاهی لازم است موقتاً با کامند، فایروال سرور Core را غیرفعال کنیم.
کاربرد عملی RSAT (سناریوهای مدیریتی)
سناریوی ۱: مدیریت DHCP روی Core
اگر رول DHCP روی Core نصب است و میخواهیم از روی یک سرور GUI آن را مدیریت کنیم، نباید رول DHCP را روی سرور GUI نصب کنیم!
روش صحیح: در ویزارد Add Roles and Features، به بخش Features رفته و از زیرمجموعه RSAT گزینه DHCP Server Tools را نصب میکنیم. سپس در کنسول مدیریت، IP سرور Core را Add میکنیم.
سناریوی ۲: Help Desk و Delegation
با نصب RSAT روی ویندوز کلاینت (سیستم پشتیبان)، کنسولهایی مثل AD UC به سیستم او اضافه میشود.
با قابلیت Delegate Control، دسترسی محدودی (مثلاً فقط ساخت یوزر) به او میدهیم. در نتیجه، هلپدسک بدون نیاز به لاگین در سرور DC، وظایفش را به صورت کنترلشده از پشت سیستم خودش انجام میدهد.