双网卡服务器配置心得，IIS服务器升级域内额外域控制器和配置辅助DNS经验

from http://hi.baidu.com/mybb911/blog/item/3e4502a14574d29b471064d8.html

2010-11-19 14:29

公司有三台服务器，WEB主服务器，WEB备服务器，域控制+DNS服务器

两台WEB服务器连双WAN口路由器，网段是：192.168.10.0

域控制+DNS服务器及公司局域网的网段是：192.168.1.0

因为有双网卡，现在把WEB备服务器加入到域中来配置成额外域控制器和辅助DNS服务器来做备份，详细操作如下：

首先解决网卡配置，也就是IP,网关，DNS配置问题

网卡1：IP：192.168.10.20 MASK:255.255.255.0 GATEWAY:192.168.10.1 DNS:NULL
网卡2：IP：192.168.1.100 MASK:255.255.255.0   GATEWAY:192.168.1.1 DNS：192.168.1.90(域内主DNS)

配置这台服务器的路由，需要手动配置，如下，可以复制并另存为一个BAT文件来执行
route delete 0.0.0.0
route delete 192.168.1.0
route add -p 0.0.0.0 mask 0.0.0.0 192.168.10.1 (把所有IP都默认从192.168.10.1网关走)
route add -p 192.168.1.0 mask 255.255.255.0 192.168.1.1 (把所有内网IP都默认从192.168.1.1网关走)

配置好后，把这台服务器先加入到域中来，操作方法见以下链接
hi.baidu.com/mybb911/blog/item/dcbf3a8be4837adefd1f1095.html

重新启动服务器，并登陆到域，运行“dcpromo”，按提示操作，并选择“现有域的额外域控制器”，输入当前域管理员的账号和密码，点击下一步操作直到结束。
注意：升级到额外域控制器的过程会删除所有本地账户，包括管理员账户，以后所有管理操作可以用域管理员身份进行。

升级成功后重新启动服务器，原服务器上的IIS相关的两个账户“IUSR_***”和“IWAM_***”会出现在ActiveDirectory用户和计算机->USERS中，建议把IUSR_***的密码改成很复杂的，增加安全性，改完后，在WEB备份服务器上(也就是现在的额外域控制器上)打开IIS管理，找到你的网站点击右键->属性->目录安全性->编辑“身份验证和访问控制”->启用匿名访问处点击浏览->选中刚刚改过密码的的IUSR_****，一直确定，最后填上刚才修改的密码就可以了。

另外网站所在目录的权限也要看一下，删除原来的“Internet来宾账户”，添加上面配置的那个“IUSR_***”并给“读取”权限就可以了，在需要修改的地方如上传目录及数据库目录给修改权限。

辅助DNS配置
登陆到主DNS服务器上，打开“DNS管理”，在“正向查找区域”中找到你的域，点击右键->属性->区域复制->勾选允许区域复制，并根据你的情况选择或填写下面的表单(我选的只允许到下面服务器，填上WEB备份那台机子的IP)，再点击右下角的“通知”，进行一样的操作就可以了。
再点击“反向查找域”，操作和正向查找是一样的

进入到备份DNS服务器，也就是原来的WEB备份服务器，现在的AD额外域控制器，安装DNS服务，装好后运行“DNS管理”，右键点击“正向查找”->新建区域->下一步选择“辅助区域”，根据要求填上主DNS也就是你要复制的DNS服务器的IP地址，最后完成，建立“反向查找”的方式和上面是一样的。最后建立DNS转发，也就是域是你这台DNS解析不了的域名可以转发到其它IP上进行解析，一般情况下转发的DNS的IP地址都是ISP提供的那个DNS的IP，打开“DNS管理”->这台服务器->右键->转发器，填上ISP提供的DNS的IP地址，点击添加，可以添加N个，把解析速度最快的那个排到最前面。

操作完成后，域内的客户机不管DNS是设成192.168.1.90(主DNS服务器)还是192.168.1.100(上面刚设的备用DNS服务器)，都可以正常登陆到域和访问外网了。