Ficha 02 · DNS, DHCP, GPO e continuidade
- Configurar DNS/DHCP
- Aplicar GPO
- Planear backup
- Recuperar AD
Parte I · DNS
Exercício 1 · DNS e AD (10 pts)
a) Porque é o DNS crítico para o Active Directory? (5 pts)
b) Que tipo de registo localiza os serviços do AD? (5 pts)
a) Os clientes e DCs localizam serviços do AD (autenticação Kerberos, LDAP, catálogo global) via DNS. Sem DNS correto, o login de domínio, a replicação e a aplicação de GPO falham.
b) Registos SRV (Service records) — indicam onde estão os serviços (ex.: _ldap._tcp.dc._msdcs.escola.local). Zonas integradas no AD facilitam a sua gestão e replicação.
Exercício 2 · Forwarders (10 pts)
O DC resolve nomes internos mas os utilizadores não abrem sites externos. O que falta configurar no DNS e como?
Faltam reencaminhadores (forwarders): o servidor DNS interno resolve a zona escola.local mas não sabe resolver domínios da Internet.
Configurar forwarders para DNS públicos fiáveis (ex.: 1.1.1.1, 8.8.8.8) na consola DNS → propriedades do servidor → Forwarders. Assim, pedidos externos são reencaminhados e resolvidos.
Parte II · DHCP
Exercício 3 · Configurar âmbito (15 pts)
Escreve os comandos PowerShell para instalar o DHCP, criar um âmbito 192.168.20.100–200/24, definir gateway 192.168.20.1 e DNS 192.168.20.10, e autorizar o servidor no AD.
Install-WindowsFeature DHCP -IncludeManagementTools
Add-DhcpServerv4Scope -Name "LAN" `
-StartRange 192.168.20.100 -EndRange 192.168.20.200 `
-SubnetMask 255.255.255.0
Set-DhcpServerv4OptionValue -ScopeId 192.168.20.0 `
-Router 192.168.20.1 -DnsServer 192.168.20.10 `
-DnsDomain "escola.local"
Add-DhcpServerInDC # autorizar no Active Directory
Exercício 4 · Reservas (10 pts)
A impressora da sala dos professores tem de ter sempre o mesmo IP. Como garantir isso via DHCP (sem configurar IP estático na impressora)?
Criar uma reserva DHCP: associar o endereço MAC da impressora a um IP fixo dentro (ou fora) do âmbito. O DHCP entrega sempre esse IP àquela MAC.
Vantagem sobre IP estático manual: gestão centralizada no servidor (sem tocar na impressora), evita conflitos, fácil de documentar.
Add-DhcpServerv4Reservation -ScopeId 192.168.20.0 `
-IPAddress 192.168.20.50 -ClientId "AA-BB-CC-DD-EE-FF" `
-Name "Impressora-Profs"
Parte III · GPO
Exercício 5 · Aplicar política (15 pts)
A escola quer: senhas mínimas de 12 caracteres no domínio + unidade de rede P: mapeada para professores.
a) Onde se define a política de senhas do domínio? (5 pts)
b) Como aplicar o mapeamento só aos professores? (10 pts)
a) Na Default Domain Policy (ou GPO ligada à raiz do domínio): Computer Configuration → Policies → Windows Settings → Security Settings → Account Policies → Password Policy → "Minimum password length" = 12. A política de senhas do domínio aplica-se ao nível do domínio (uma por domínio; PSO para exceções).
b) Criar uma GPO com Drive Map (User Configuration → Preferences → Windows Settings → Drive Maps), P: → \\srv\professores, e ligá-la à OU "Professores" (onde estão as contas dos professores). Só esses utilizadores recebem o mapeamento. gpupdate /force para aplicar; gpresult /r para verificar.
Exercício 6 · Ordem LSDOU (10 pts)
Explica a ordem de aplicação das GPO e qual prevalece em caso de conflito.
Ordem LSDOU: Local → Site → Domínio → OU (e sub-OUs, da mais geral para a mais específica).
Em caso de conflito, a última aplicada vence — normalmente a GPO da OU mais específica sobrepõe-se às de nível superior. Exceções: GPO marcada como Enforced (não pode ser sobreposta) e Block Inheritance numa OU (ignora heranças, salvo Enforced).
Parte IV · Continuidade
Exercício 7 · Backup e recuperação do AD (20 pts)
a) Que componente é imprescindível incluir no backup de um controlador de domínio? (5 pts)
b) Diferença entre restauro autoritativo e não-autoritativo do AD? (10 pts)
c) Porque deve existir mais do que um DC? (5 pts)
a) O System State — inclui a base de dados do AD (NTDS.dit), SYSVOL, registo, ficheiros de arranque. Sem ele não se recupera o domínio.
b) - Não-autoritativo: o DC restaurado recupera o System State e depois sincroniza as alterações mais recentes a partir dos outros DCs (volta a ser um membro normal). Usa-se quando se substitui/recupera um DC numa floresta saudável. - Autoritativo: força a versão restaurada de determinados objetos a prevalecer e a replicar para os outros DCs. Usa-se para recuperar objetos apagados (ex.: uma OU eliminada por engano) — marca-se esses objetos como autoritativos no DSRM.
c) Redundância e disponibilidade: se um DC falhar, os outros continuam a autenticar e a aplicar políticas. Também distribui carga e permite recuperação não-autoritativa. Recomenda-se pelo menos 2 DCs por domínio.