Ga naar inhoud

Serverbeheer S2 — Cheatsheet

Deployment, GPO, AD-infrastructuur, filesharing, DHCP/DNS en recovery — 2024–2025

Inhoudstafel

Basisinstallaties

Een integratielab begint met consequente naamgeving, netwerkplan, DNS, tijd en rollen. Windows-domainleden gebruiken de AD-DNS-server. Linux-hosts krijgen een statisch adres of reservation, correcte hostname/FQDN en tijdsynchronisatie.

Test-NetConnection dc01.lab.local -Port 53
Add-Computer -DomainName lab.local -Credential LAB\Administrator -Restart

hostnamectl set-hostname linux01.lab.local
ip address
ip route
resolvectl status
timedatectl

DNS vóór domain join

Veel Kerberos- en joinproblemen zijn DNS-problemen. Test A/AAAA-, SRV- en reverse-resolutie vóór je credentials verdenkt.

PXE-deployment

PXE laat een client via netwerk booten en een image/installatieomgeving ophalen.

client DHCP/PXE discovery
   → IP + bootserver/bootinformatie
   → bootloader via TFTP
   → WinPE
   → installatie-image en unattended configuratie

WDS of een deploymentplatform beheert boot- en installimages. Let op BIOS/UEFI-architectuur, DHCP/PXE-relay, VLANs, TFTP/firewall en driverondersteuning.

Gebruik bij DHCP en PXE op verschillende servers bij voorkeur IP helpers/relayconfiguratie. Vendor options 66/67 blind instellen kan verschillende clientarchitecturen breken.

Group Policy

GPO's bevatten Computer Configuration en User Configuration. Verwerking gebeurt typisch volgens LSDOU: Local → Site → Domain → OU; binnen hetzelfde niveau bepaalt link order de prioriteit.

Mechanisme Effect
Enforced voorkomt overschrijving door lagere OU
Block inheritance blokkeert niet-enforced bovenliggende links
Security filtering past alleen toe voor geselecteerde principals
WMI filter past toe op basis van systeemeigenschap
Loopback user policy volgens computerlocatie (merge/replace) 
gpupdate /force
gpresult /h C:\Temp\gpresult.html
Get-GPResultantSetOfPolicy -ReportType Html -Path C:\Temp\rsop.html

GPO Preferences configureren instellingen maar kunnen door gebruiker/app worden gewijzigd; Policies worden typisch afgedwongen. Zet geen wachtwoorden in Group Policy Preferences.

Global Catalog en FSMO

De Global Catalog bevat een volledige kopie van het eigen domein en een partial attribute set van andere forestdomeinen. Hij ondersteunt forest-wide zoekopdrachten, UPN-logon en universal group membership.

FSMO-rollen

Rol Scope Taak
Schema Master forest schemawijzigingen
Domain Naming Master forest domains toevoegen/verwijderen
RID Master domain RID-pools voor SID's
PDC Emulator domain tijd, wachtwoordprioriteit, legacy/PDC-taken
Infrastructure Master domain cross-domain objectreferenties 
netdom query fsmo
Move-ADDirectoryServerOperationMasterRole -Identity DC02 -OperationMasterRole 0,1,2,3,4

Een transfer gebeurt gecontroleerd met werkende oude DC; seize alleen wanneer de oude rolhouder definitief niet terugkeert.

IAM-hardening

  • Scheid gewone en administratieve accounts.
  • Gebruik least privilege en tiering van beheer.
  • Beperk Domain Admins; gebruik delegated administration.
  • Stel sterke password/account-lockout/Kerberos policies in.
  • Gebruik LAPS voor unieke lokale administratorwachtwoorden.
  • Schakel legacy/probleemprotocollen uit waar mogelijk.
  • Audit privileged group changes en mislukte logins.
Get-ADDefaultDomainPasswordPolicy
Get-ADGroupMember 'Domain Admins'
Search-ADAccount -LockedOut

NTFS en AGDLP

Effectieve toegang combineert share- en NTFS-rechten; via het netwerk geldt de meest beperkende combinatie. NTFS ondersteunt overerving en gedetailleerde ACLs.

Accounts → Global role group → Domain Local resource group → Permissions

Voorbeeld:

Ada → GG_Directie → DL_DirectieShare_RW → Modify op D:\Shares\Directie

icacls D:\Shares\Directie
Get-Acl D:\Shares\Directie | Format-List

Gebruik Modify voor normaal databeheer; Full Control laat ook permissions/eigenaarschap wijzigen. Vermijd individuele ACE's en expliciete deny tenzij werkelijk noodzakelijk.

SMB, DFS en NFS

Windows SMB

New-Item -ItemType Directory D:\Shares\Directie
New-SmbShare -Name Directie -Path D:\Shares\Directie -ChangeAccess LAB\DL_DirectieShare_RW
Get-SmbShareAccess Directie
Get-SmbSession
Get-SmbOpenFile

SMB signing beschermt integriteit/authenticiteit; SMB encryption beschermt ook vertrouwelijkheid. Gebruik geen SMBv1.

DFS

  • DFS Namespace biedt één logisch pad, bv. \\lab.local\Data.
  • DFS Replication synchroniseert folders tussen servers.
  • Een namespace is geen automatische redundantie van data; daarvoor zijn meerdere folder targets en replicatie nodig.

Let op conflicten, staging quota, AD-replicatie, backlog en het feit dat open bestanden niet als databasecluster gerepliceerd worden.

Samba

Samba levert SMB voor Linux en kan standalone of AD-geïntegreerd werken. Filesystemrechten/ACLs en shareconfiguratie moeten beide toegang toestaan.

testparm
smbclient -L //server -U user
systemctl status smb

NFS

# /etc/exports
/srv/data 192.168.10.0/24(rw,sync,root_squash)

exportfs -ra
showmount -e server
mount -t nfs server:/srv/data /mnt/data

NFS gebruikt Unix-identiteiten; consistente UID/GID of centrale identity mapping is cruciaal.

Redundante DHCP

Windows DHCP failover repliceert leases en configuratie tussen twee partners.

Modus Gedrag
Load balance beide servers delen clients
Hot standby actieve server + reserve

MCLT begrenst leaseverlenging tijdens communicatieproblemen. Failover vervangt geen correcte relayconfiguratie of backup van DHCP-configuratie.

Get-DhcpServerv4Failover
Get-DhcpServerv4Scope
Get-DhcpServerv4Lease -ScopeId 192.168.10.0

Bij hybride DHCP kunnen Windows en Linux scopes bedienen, maar voorkom overlappende pools en zorg dat opties, reservations en DNS-updates consistent zijn.

Redundante DNS

AD-integrated zones gebruiken multimaster AD-replicatie en secure dynamic updates. Linux/BIND kan secondary zijn voor een klassieke primary zone via zone transfer, mits expliciet toegestaan.

Zonetype Eigenschap
Primary schrijfbare masterkopie
Secondary read-only kopie via AXFR/IXFR
Stub vooral SOA/NS/glue voor delegatie
AD-integrated schrijfbaar op DC's binnen replicatiescope 
Get-DnsServerZone
Get-DnsServerResourceRecord -ZoneName lab.local
Resolve-DnsName -Server dc02 lab.local -Type SOA

Een client met twee DNS-servers gebruikt de tweede niet als round-robin load balancing, maar bij uitblijvend/ongeldig antwoord volgens resolvergedrag. Beide moeten dezelfde interne namespace correct kennen.

Business continuity, backup en recovery

Begrip Betekenis
RPO maximaal aanvaardbaar dataverlies in tijd
RTO maximaal aanvaardbare hersteltijd
Backup herstelkopie van data/system state
HA uitval beperken door redundantie
DR herstel na grootschalige ramp

3-2-1-regel

3 kopieën → op 2 mediatypes → 1 offsite

Moderne uitbreiding: minstens één offline/immutable kopie en zero errors na verificatie.

Backup Inhoud
Full alle geselecteerde data
Incremental wijziging sinds laatste backup van eender welk type
Differential wijziging sinds laatste full
System State kritieke Windows/AD-configuratie

Restore is de echte test

Een geslaagde backupjob bewijst niet dat RPO/RTO haalbaar zijn. Voer periodieke restoretests uit en documenteer volledige procedure, credentials en afhankelijkheden.

Herstelvolgorde volgt afhankelijkheden: platform/storage → identity/DNS → netwerkservices → applicaties → data → functionele validatie.