NTドメインから2003ドメインへの移行

質問

稚拙な質問で申し訳ありません。

NTドメインから2003ドメインへの移行を計画しています。
ドメイン構築作業の経験がなく、経験豊富な方の意見をお聞きしたくて投稿しました。

現在の構成は以下の通りです。
　・NTサーバ2台→ドメインコントローラとDBサーバー
　・インターネットには未接続。
　・IPアドレスは固定で運用。

やりたい事は以下の通りです。
　・全てのPC（サーバー含む）をインターネット接続可能とする（ルーター使用）。
　・IPアドレスをDHCPで振り分ける。
　・新しく買った2003サーバ1台をメンバサーバとして追加(DBサーバーとして使用)。
　・NTサーバ1台をWindows2003サーバにインストールし直し、ドメインコントローラとして稼動させる。
　・残ったNTサーバ1台は廃棄処分。
　・XPクライアントを新規で追加する。

そこで質問があります。
　(1)IPアドレスを振り分けるのは、ルーターとサーバーのどちらのサービスを使用すれば良いのでしょうか？
　(2)コンピュータ名だけで接続させたいのですが、DCとして稼動するサーバーはどのような設定をすれば良いのでしょうか？

いろいろ経験されている方、よろしければ教えて下さい。

回答No.15

pppstation · ベストアンサー

こんばんわ
とりあえず何とかうまく動く形になってよかったですね！
かくいう私も、この週末サーバー34台の入れ替え作業に立ち会っていたため
ろくにレスもできませんでした
Toshi0230さんがしている回答を見て私も学ぶべきものがありました
他人に自分のいいたいことがうまく伝えられてこそ「知っている」ってことなんだなと思いました

＞しかしチェックボックスがグレーになってて入力できなかったので、一旦消して一から再度登録しました。
おそらく、そのサーバーはフォレストルートのサーバーであったのではないかと推測されます
フォレストルートサーバーであったサーバーがなくなり、
フォレストにフォレストルートサーバーがいなくなったとき
実際どういった不具合が出てくるのかわかりませんが、
（実際その不具合を見たことがないので）
もしかしたらサブドメインでのエラーがそのあたりに関係しているかもしれません
（audiaudiさんの予想されることが原因とも考えられますが）

＞ルータのDNSにはプライマリが社内DNS-SVのアドレスで、セカンダリがISPのアドレスを入れました
ルーターのDNSアドレスのプライマリに社内のDNSにする必要はないかと思います
ルーターが社内のドメインに属しているわけでもありませんから・・・
ISPのアドレスだけでよいかと思います
クライアントがインターネットを見る際には
PC＞社内DNS-SV＞ルーター（ルーター内のDNSは見ない）＞ISP
といった形でパケットが出て行くはずです
PCがインターネットアドレスを問い合わせに行く際、
まず最初に社内DNS-SVを参照しますが、
DNS-SVではインターネットのアドレスを持っていないため、
フォワーダで設定されているISPのアドレスを見に行きます
が、当然ISPのアドレスは社内のセグメントとは異なるセグメントのため
デフォルトゲートウェイに設定されているルーターに問い合わせに行きます
そのルーターが、目的のIPを知っている（と思われる）ISPのサーバーへ問い合わせに行く
といった動作を取ります
（ISPのサーバーも知らなければそこからまた別のDNSサーバーに問い合わせて目的のアドレスを取得します）

とまぁ、こんなところでしょうか
私はこの際との管理者ではないので私が言うことではないのかもしれませんが、
audiaudiさんの疑問もとりあえず一通りの解決を迎えたわけですので、
今後はこの質問にレスを入れるのではなくて、
疑問が発生した際、新たにスレをたてられるほうがよいかと思います
その際質問の中に、この「教えて」のアドレスを参照してもらい環境を把握していただくようにしたほうがよいと思います
もともとの質問者はcube0919さんですし・・・
差し出がましいことを言いまして申し訳ないのですが・・・
（別にaudiaudiさんを攻めているわけではありませんので誤解なさらぬようお願いいたします）

お礼

お礼が遅れて申し訳ありません。インフエンザで寝込んでまして、今日から復帰しました。
audiaudiさんとの質疑応答で大分疑問が解けてきました。これを参考にしてサーバーを構築してみます。
何かまた分からない事がありましたら、質問させて頂くかもしれませんが、その時は懲りずに宜しくお願い致します。

回答No.14

audiaudi

Toshi0230さん、早速の回答ありがとうございます。
DNSナットクしました(笑)
おっしゃってた意味が良く分かりました。
DNS-SVの設定でフォワーダの入力をしてなかったんです。
しかしチェックボックスがグレーになってて入力できなかったので、一旦消して一から再度登録しました。
そしたらnslookupでバイブル通りにSV名が出て来ました(笑)
更に起動時にやたらと時間の掛かってたFile-SVがスピードログオンできるようになりました。
DNSの名前解決が出来てない為にイベントビューアでエラーを出していたようです。

結局、DNS-SVの設定でフォワーダにISPのDNSアドレスを入れ、
DNS-SVのIPアドレスで設定するDNSには自信のアドレスを入れ、
ルータのDNSにはプライマリが社内DNS-SVのアドレスで、セカンダリがISPのアドレスを入れました。

でも・・・どこかで更に一つ誤りがあるようです・・・
何かの操作時に「sv01.sv01.hogehoge.local」とサブドメイン(？)が同じ名前で二つ出てきます。
コンピュータ名(ホスト名？)に使ったのでそうなったのでしょうか？
機能上は問題無いのでしょうか？
と言ってもタイムアップなので、このまま強行突破せざるをえませんが。。。

>それじゃあDNSの意味がない（笑）
(笑)そうなんですか？(笑)
今回の作業が終わったらキチント勉強致します。

Toshi0230さん、pppstationさん、お陰で何とか形になりました。
お二方のアドバイスが無いとたぶん立ち上がらなかったでしょう。
とても感謝しております。
(心より)ありがとうございます。<(_ _)>

でも、まだ疑問も出そうなので、
cube0919さん、このスレは残しておいて下さい(笑)
宜しくお願いいたします。m(_ _)m

回答No.13

Toshi0230

> 私の考えでは、社内LAN内のクライアントは社内のDNS-SVに見に行き、
> その中に無ければルータ経由で外に出て行けば良いのかな？と思ってました

社内LANのクライアントPCは、社内DNS-SVを見に行かせるようにし、DNS-SVが何とかしてクライアントにIPアドレスを返してやるように設定すべきです。

具体的には、以下の2通りがあります。
(1) DNS-SVのDNSに、Forward先としてISPのDNSを設定してやる
(2) DNS-SVのDNSが、ルートDNSから再帰検索ができるように設定してやる

お勧めは(1) です。

尚、ここで言う、「DNS-SVのDNS」ってのはDNS-SV上で動作しているDNSサービスの事です(MS-DNS?)。念のため。
# あーややこしい

DNS-SVのOSに設定するDNSサーバのIPアドレスは、自分自身のIP（セカンダリがあるならそちらも）を指定します。

> もしかして、その為にWINS-SVが必要だったりして
それじゃあDNSの意味がない（笑）

一度、DNSがどのように名前解決を行うのかを勉強すると、どうすればよいか判ってくるのではないでしょうか。

回答No.12

audiaudi

回答ありがとうございました。
早速確認しましたが、どうやらルータのDNSサーバーを見に行ってて、社内のDNS-SVへは向いてないようです(泣)

社内DNS-SVのDNS設定をISPのDNSアドレスにして(DF-GWはルータ)、
ルータのDNSは自分とISPのDNSアドレスになってます。
ややこしくて分からなくなってきました・・・(泣)

すいませんが、もう少しこの辺の設定方法を教えて頂けますか？
私の考えでは、社内LAN内のクライアントは社内のDNS-SVに見に行き、
その中に無ければルータ経由で外に出て行けば良いのかな？と思ってました。
もしかして、その為にWINS-SVが必要だったりして(笑)

お手数ですが宜しくお願いいたします。

回答No.11

Toshi0230

>どうしたらDNS-SVが正常に稼動してるか分かるのでしょうか？

コマンドプロンプトの画面から、
nslookup <host name> [DNS-sv IP]
としてみてください。
ホスト名が正しく登録されていれば、以下の例のように応答があります。
----------
C:\>nslookup foo.example.com 192.168.1.1
Server: dns.example.com
Address: 192.168.1.1

Name: foo.example.com
Address: 192.168.1.2
----------

> DCとは別のWin2k-SVのサービスを見るとDHCPサーバが起動していました。

意図して（設計して）立ち上げたものでなければ、停止してください。トラブルの元です。
（DHCPクライアントからは、サーバを選べないのです）

> 3.WINS
> 　そこまで聞くと立てたくなるのも本音です(笑)
> 　簡単に設定できるのでしょうか？
> 　その際はDHCPとセットでしょうか？
細かい設定にこらなければ（普通はそんな必要ないですが）それほど難しくありません。
WINSサーバを２つ以上構築したときに、相互にデータをpush/pullする設定を追加するようにさえ設定しておけば、あとは特に何もしなくて良いです。
またDHCP環境／固定IP環境関係なく使用可能です。

回答No.10

audiaudi

おはようございます。
すいませんが教えて頂けますか？
1.DNS
　どうしたらDNS-SVが正常に稼動してるか分かるのでしょうか？
　サービスが起動してるのは確認してますが、実際に機能してるかどうかをどう見たら良いか分かりません。

2.DHCP
　DCとは別のWin2k-SVのサービスを見るとDHCPサーバが起動していました。
　Compaqのサーバ設定用のCDでセットアップしたせいでしょうか？・・・
　このマシンはDCでは無いので問題無いのでしょうか？

3.WINS
　そこまで聞くと立てたくなるのも本音です(笑)
　簡単に設定できるのでしょうか？
　その際はDHCPとセットでしょうか？

お手数ですがご教授願います。
宜しくお願いいたします。

回答No.9

Toshi0230

前回投稿してから思い出したのですが、Windowsの名前解決については、「日本sambaユーザ会」のページに良い資料があります。（主にNTまでですけど）
http://www.samba.gr.jp/doc/browsing/fig_2.html

…ってこれ見ると前回の私の投稿、嘘がありましたね（恥）
ちなみに私の経験上、TCP/IPを使用可能にしているWindows端末は、大抵このページのH-nodeになります。

> ADを構築しているサーバー上でDNSは生命線といえると私は認識しております
> （あくまで個人の主観ですが）

全く同感ですね。
もう少し正確に言えば、「名前解決の仕組み」ですが。
ネットワークの規模が大きくなればなるほどこれが重要な要素になってきます。
インターネット接続が可能な環境であれば、なおさらDNSは重要になります。最低でも２つは用意すべきですね。
# それでも不安な私はさらにWINSをたててるわけですが

> ＞SVは一箇所で管理すべきですね(笑)
> 確かに（笑）私もそう思います・・・が
> そうそううまくいかなかった事例もありまして・・・

この辺はケースバイケースですよね。
ネットワークの帯域、ユーザのスキルや思惑、設置場所の問題（空調、電源、床の強度、etc）など色々な要素が絡みますから一概にはとても言えないです。
まぁ、条件が許せば１箇所に集めた方がよいのはその通りなんですけども（笑）

参考URL：

http://www.samba.gr.jp/doc/browsing/fig_2.html

回答No.8

pppstation

こんばんわ
＞Toshi0230さん
補足ありがとうございました。
私の中でも混乱している部分なので、
非常に助かりました。
ドメインに参加していない場合の名前解決の優先順位の件ですが
「lmhosts > hosts > WINS > DNS > ブロードキャスト」
この辺は知り合いにさらに詳しい専門家がいますので
そちらに聞いて確認することにします（M$のSEさんなので）
私のアドバイスに間違いがございましたら、
指摘していただけると私としてもありがたいです
よろしくお願いいたします

・DNSの件
きちんとまともに稼動しています（笑）
このあたりは実際に不具合を目にして見ないと実感が出ないものです
一番顕著に出てくるのがログオン認証での不具合なのですが
ブロードキャストなどでのレスポンスが非常によい場合、
その現象が発生しない場合があります
また、
クライアントがXPの場合ログオンキャッシュが働き
あたかもログオンしたかのように見えている場合もあります
ADを構築しているサーバー上でDNSは生命線といえると私は認識しております
（あくまで個人の主観ですが）
Toshi0230さんもおっしゃってますが、まずDNS、そして何かあったときのWINS
という感じで考えています

・WINSに関して
audiaudiさんにはWINSの部分の設定に関して思惑があるような感じですが
私的にラクだなーと思われる設定をひとつ
各サーバーにLMHOSTSを持たせるのには変わりはないのですが、
それをWINSサーバーに読み込ませてそれらをお互いに複製する形にしておくとよいのではないか
と思いました
そうすれば各クライアントにHOSTSやLMHOSTSを置かなくても
同一サーバーのセグメントを参照するのみで事足りる形ができると思います

＞SVは一箇所で管理すべきですね(笑)
確かに（笑）私もそう思います・・・が
そうそううまくいかなかった事例もありまして・・・
「ウチの部署のサーバーはウチの部署におく！！」とかで
サーバーがばらばらのところもあります
そこの会社さんはたまたま管理者の方のPCがXPProでしたので
サーバー上にターミナルサービス（管理者用のもの。2Userまでであれば無料）
を起動しておき、ターミナルサービスはadministratorのみのログインを許すといった感じにしました
今その会社では障害が起こるたびに、管理者さんのPCからリモートデスクトップでサーバーにログインしてます
まぁ、これはWin2000Server以降でしかできないですけどね
（わざわざそのためにNT4TerminalServerEditionを入れる意味もありませんし）

＞pppstationさんのようなスペシャリスト
私はスペシャリストなどではないですよ（汗）
まだまだ経験不足の若造です
こうして偉そう気に回答をしてはおりますが、
まだまだ経験不足は否めません
（Toshi0230さんにも指摘をいただきましたし）
こんな私の回答が少しでもお役に立てば幸いです

回答No.7

Toshi0230

細かいところですがpppstationさんの補足など……
> HOSTSとDNSはどっちが優先されるか覚えてないです
HOSTS > DNS
です。
原則、PC内部のファイル(hosts, lmhosts)が優先されます。
hostsとlmhostsのどちらが優先されるかは覚えてません

> ちなみにドメインに参加していない場合の名前解決の順位は
> HOSTS＞WINS＞ブロードキャスト＞DNSだったと思います

WinNTまでは、
lmhosts > hosts > WINS > DNS > ブロードキャスト
だったと記憶しています。
Windows2000の場合は覚えていませんが、dnsが優先されていたよーな（自信なし）

Windows2000以降は、DNSだけで名前解決が出来るはずなんですが、念のためにWINSもたてておいた方が良いでしょう（私はそうしています）

回答No.6

audiaudi

pppstationさん、こんばんは。
回答ありがとうございました。大変参考になっております。
pppstationさんのような方と会って見たいものですが、その様なスキルの方は私らのような世界とは無縁だったりしますよね(笑)
今年は秋のテクニカル(NW)を再挑戦しようと思ってますので頑張ります！(笑)

・DHCPサーバーの件
LAN用にADでDNSを設定しますよね？あれって実際にはまともに稼動してるのですか？
今回も固定IPクライアントは全てルータに向けましたが・・・
この辺を再度勉強しておかないと駄目なようです(笑)
前回の書き込みを見て、設定を考えましたが、残り時間と作業内容を考えた結果、
時間が余って余って仕方無い時に実施しようと思いました(笑)
ルータ越えのセグメントにあるSVへファイル転送する都合上で
SV達にはlmhostsを持たせてるので、WINSなども今度別のNWを作ってテストしたいと思います。

・FileSVへのAD
大変分かり易い回答で今まで見てた本の意味が分かりました(笑)
メンバSVってこの事だったんですね。
私があの前回の書き込みをした時は目が見えてなく(視力が裸眼で0.01、コンタクト入れても0.5程度なのですが)
最近の疲れのせいでもっと見えなかったらしくユーザIDの入力に誤りがあり、一新して打ち直そうと30cm先で画面を見てて誤りに気が付きまして、
その後の修正で無事にログインできましたが、当初はADを構築しないと駄目なのかな？とまで思ってしまいました。
やっぱり行き詰ると真因が見えなくなり色んな事を考えていたようです。途中で珈琲を飲むなどの息抜きが必要です(笑)
ユーザは同一セグメント内に40台程度、VPN越しに10台程度ですので殆ど負荷が掛からないと思います。
(設したSVはCel2.53GHz,512MB,OS側が80GB-RAID1(CTR)が160GB-RAID1(SoftRAID)です。
DATAはDVDメディアにBackUpがあるのですが、頻繁に参照したいとの事で急きょSVへ置く事になりました。)
よって1つのADで構築し、MMXの旧SVを潰す前に色々とテストして遊んでみたいと思います(笑)(遊んでる暇が無いかも知れませんが・・・(笑))

今日は1階と3階にあるDC+PDC(NT-SV)の信頼関係で何回も往復して分かりましたが、SVは一箇所で管理すべきですね(笑)
どこにあってもしてる事は一緒なので別ける意味がありません。
今まで面倒を見てなったSVですが、折角なのでこれからは面倒を見ようと思います。

VPN越しのNT-SV(PDC)との信頼関係が今の所は月曜日の悩みです。
それまでにlmhostsの書き換え方などの作業方法を全てマニュアル化し送りたいと思います。
SVの無いクライアントの拠点はFR越しにテストしてますが、今の所はこちらから見えてますので再起動後にどうなるか？ですね。

明日はFileSVのアクセス権を設定し、主要クライアントからのテストと、
PrintSVが10年前以上の物でWin2k-SVでは面倒が見れないらしく、
別のNT-SVに面倒を見てもらうように設定してもらう作業をしようと思ってます。

ここまで苦労するならプロに頼めば良かった・・・って思いますが、
その反面で、プロでは手の届かないNW作りを自分でしてみたいと言う気持ちがあるので、残り2日で頑張りたいと思います。
「プロでは手の届かない」とはDHCPサーバを立てるような物で、プロにとっては簡単(当たり前)だけど、
それが分からない(何を質問して良いか分からない)スキルの人間が分かるNWと言う意味です。

cube0919さん、私的な話題も入ってしまい、申し訳有りません。
横スレかも知れませんが、DCの移行ってNWの分からない人間では行き詰る物です。
今回つくづく分かりました。
ましてSVですからピッタリ自社に合ったバイブルもありません。
pppstationさんのようなスペシャリストと現実を見ながら相談出来たら話は別ですが、不可能に近いと思います。

頭が爆発寸前なのですが・・・
もしも可能ならこのスレはもう少し残してもらえますか？
3日間で一段落させたいので、その結果も参考にしてもらえたらと思います。
宜しくお願い致します。おやすみなさい。。。

回答No.5

pppstation

こんばんわ
＞大変失礼致しました
失礼なんてとんでもないです
逆に恐縮してしまいます
NWとサーバーやってる人って少ないのですね・・・
私の周りにそういう人がいっぱいいるので考えたこともありませんでした
御気になさらずにお願いいたします

・DHCPサーバーの件
DNSを設定可能なルーターであればそれを用いてもよいかと思います
（私が今までBBルーターの類でDNSを設定できるものをあまり見ませんでしたのであのような回答をしました）
スキルに応じた考え方とおっしゃっておられますが
確かに、ルーターのほうが簡単ですよね
ルーターでできるのであればそれにこしたことはないかと思います
あとWINSの構築は必須ではありません
ただ、ドメイン環境にしていた場合、
名前解決の優先順位というのがあり
DNS＞WINS＞ブロードキャストといった順になっています。
（HOSTSとDNSはどっちが優先されるか覚えてないです、申し訳ないです）
特にブロードキャストなどはネットワークに一時的ですが負荷をかける形になります
DNSの機能に何か不具合が生じた場合のために、
WINSを構築するようにしています（私の場合ですが）
細かい設定までしていると面倒なので、
設定はデフォルトで構築してます
まぁ、DNSサービスが落ちたときが怖いので、
私が構築したサーバーを見るときには必ずDNSをチェックするようにしています
ちなみにドメインに参加していない場合の名前解決の順位は
HOSTS＞WINS＞ブロードキャスト＞DNSだったと思います
（これは確証がないので間違ってたらすいません）

・FileSVにDC
特に「必須」というわけではありません
ドメインユーザーにてフォルダ等へのアクセス管理を行うというだけであれば
メンバーサーバーで十分ではないかと思います
ただ、接続クライアントが異様に多い等で、
ログオン認証サーバーを意図的に2つに分けておきたい
ということでしたら
FileSVにもADをインストールし、グローバルカタログにチェックを入れてから、
クライアントのDNS設定にて、○○部はFileSVをプライマリ、もうひとつをセカンダリ
××部はその逆といった感じで分けてやることも可能です
そのほか、DCをマルチマスタ構成にしたい場合などはADをインストールするべきでしょう
そこまでする必要があるかどうか？という事に関しては
audiaudiさんが管理されているNW次第という感じですね
そんなところでしょうか・・・

＞DCに参加してるCADマシンを平気でadminのままエンドユーザに渡したりするなど
恐ろしいですね・・・
CADマシンそのものに対してadmin権限を与えることはしますが
（そうしないと動かないCADが多いと聞きますので）
ドメインのadminはさすがにしないですね・・・
まぁ、そのあたりはユーザーの要望に沿った形にしてます
（構築前にヒアリングをします）
そういう業者には思い切り突っ込むといいですよ
（そうされると結構ひるむものです）

おせっかいではありますが補足を
VPN環境で使用ということですがサーバーと別のセグメント上にあるクライアント
（VPNを介した先にあるクライアント）
からもログオン認証をさせる場合、
ログオンがうまくできないといった現象が発生する場合があります
その原因が下記URLに記されております
http://support.microsoft.com/default.aspx?scid=kb;ja;292788
要するにUDPを使ってるのが問題ってことです
じゃあ、TCP使うようにすればいいではないか！ってことでの解決策が
http://support.microsoft.com/default.aspx?scid=kb;ja;244474
になります
もしVPNを介した先のクライアントもドメインに・・・
ということでしたら参考にしてください
さらに補足が必要でしたらよろしくお願いいたします