子域部署Exchange服務(wù)器完全攻略及故障剖析 最近在論壇發(fā)現(xiàn)有些朋友在子域部署Exchange服務(wù)器時遇到了一些問題，看了一下發(fā)現(xiàn)導(dǎo)致問題的原因很多。索性趁著今天有時間，用一個實驗演示一下在子域部署Exchange服務(wù)器的全過程，希望能給這些朋友一些參考。實驗拓?fù)淙缦聢D所示，test.com是父域，Florence是父域的域控制器。Shanghai.test.com是子域，Firenze是子域的域控制器，Berlin是子域的成員服務(wù)器，我們準(zhǔn)備把Exchange2003部署在Berlin上。域樹中的三臺計算機(jī)都使用192.168.11.1作為DNS服務(wù)器。為了演示得更徹底，我們搭建這個實驗環(huán)境從部署AD開始，因為我發(fā)現(xiàn)有不少朋友部署Exchange時出現(xiàn)的錯誤其實源于AD。
我部署AD的習(xí)慣是用單獨(dú)的DNS服務(wù)器為AD提供解析服務(wù)，而不是將DNS安裝在域控制器上。這些做的好處是DNS非常容易維護(hù)，只要把引導(dǎo)文件，區(qū)域數(shù)據(jù)文件復(fù)制出來就完成了備份，重建DNS服務(wù)器只需要幾分鐘時間。而且這種拓?fù)鋵Τ鯇W(xué)者來說很容易把握，只要把所有的計算機(jī)都指向同一個DNS就可以了。免得很多管理員在域樹環(huán)境下很是困惑父域的計算機(jī)應(yīng)該使用哪個DNS服務(wù)器，子域的計算機(jī)又該使用哪個DNS服務(wù)器。如果你使用虛擬機(jī)搭建實驗環(huán)境，可以考慮象我這樣把DNS搭建在物理計算機(jī)上。好了，我們不過多討論DNS和AD的關(guān)系，現(xiàn)在開始具體的部署工作。我們需要在創(chuàng)建AD之前先在DNS服務(wù)器中創(chuàng)建出相關(guān)區(qū)域，然后允許區(qū)域進(jìn)行動態(tài)更新。
在DNS服務(wù)器上打開DNS管理器，如下圖所示，右鍵點擊正向查找區(qū)域，選擇“新建區(qū)域”。
出現(xiàn)新建區(qū)域向?qū)Вc擊下一步繼續(xù)。
區(qū)域類型應(yīng)該選擇“主要區(qū)域”。
區(qū)域名稱為Test.com，和AD使用的域名完全相同。
Test.com區(qū)域的數(shù)據(jù)存儲在Windows\System32\DNS\Test.com.dns文件中，我們只要保存好這個文件就能輕松實現(xiàn)DNS服務(wù)器的重建。
注意，區(qū)域必須允許動態(tài)更新，因為在創(chuàng)建AD的過程中需要向這個區(qū)域?qū)懭?/span>A，Cname和SRV記錄。
點擊完成結(jié)束DNS區(qū)域的創(chuàng)建。
區(qū)域創(chuàng)建完畢之后，如下圖所示，我們看到區(qū)域中已經(jīng)有了一條NS記錄和SOA記錄，從邏輯上來說，這兩條記錄對一個區(qū)域來說是不可或缺的。NS記錄說明這個區(qū)域有哪些DNS服務(wù)器可以解析，SOA記錄則進(jìn)一步說明這些DNS服務(wù)器中的哪一個是主服務(wù)器。我們不能掉以輕心，要看看系統(tǒng)創(chuàng)建的NS和SOA記錄是否正確。
如下圖所示，我們發(fā)現(xiàn)NS記錄不正確，因為Server6.并不是一個可以解析的完全合格域名，這樣會導(dǎo)致DNS的客戶機(jī)無法得知這個區(qū)域的解析服務(wù)器到底是誰。因此我們要對NS記錄進(jìn)行修改，只要你讓修改后的完全合格域名能解析為192.168.11.1，這個修改就是成立的。
如下圖所示，我把NS記錄改為了server6.home.com.，DNS服務(wù)器可以把這個域名解析為192.168.11.1。再次強(qiáng)調(diào)，NS記錄對應(yīng)的域名可以是任意的，只要這個域名能解析為DNS服務(wù)器的IP即可。
如下圖所示，SOA記錄也要如法炮制地修改一番，主要是修改主服務(wù)器，這是關(guān)鍵參數(shù)。至此，我們完成了AD創(chuàng)建前的DNS準(zhǔn)備工作。
DNS區(qū)域準(zhǔn)備好之后，我們就可以創(chuàng)建域樹中的父域了。在Florence上運(yùn)行Dcpromo，如下圖所示，出現(xiàn)Active Direcotry安裝向?qū)?，點擊下一步繼續(xù)。
兼容性提示告訴我們Win2003創(chuàng)建的Active Directory無法和早期的一些操作系統(tǒng)兼容，點擊下一步繼續(xù)。
選擇創(chuàng)建新域的域控制器。
選擇創(chuàng)建一個新的域林。
輸入域的DNS名稱，這個域名應(yīng)該和DNS服務(wù)器中預(yù)先創(chuàng)建的區(qū)域名稱相同。
域的Netbios名稱是TEST。
由于是測試環(huán)境，因此我們選擇把Active Directory數(shù)據(jù)庫保存到默認(rèn)路徑下。
Sysvol文件夾的路徑也使用默認(rèn)設(shè)置。
如下圖所示，我們先前創(chuàng)建的DNS區(qū)域發(fā)揮了作用，Active Directory的安裝程序測試出當(dāng)前使用的DNS服務(wù)器完全能滿足Active Directory的需求。
選擇Active Directory的兼容模式，選擇僅兼容Win2000之后的操作系統(tǒng)。
輸入目錄恢復(fù)還原模式的管理員口令，將來從備份還原Active Directory時用得著。
檢查配置無誤，點擊下一步開始Active Directory的創(chuàng)建。
如下圖所示，Active Directory開始創(chuàng)建，創(chuàng)建完畢后需要重啟計算機(jī)。
父域創(chuàng)建完畢后，我們在DNS區(qū)域中發(fā)現(xiàn)Active Direcotry所需要的A，Cname和SRV記錄都已經(jīng)被自動生成了，至此，父域創(chuàng)建完畢。
創(chuàng)建完父域后，接下來我們來創(chuàng)建子域，在Firenze上運(yùn)行Dcpromo，在Active Directory創(chuàng)建向?qū)У闹敢麻_始子域創(chuàng)建，如下圖所示，我們選擇創(chuàng)建新域的域控制器。
選擇創(chuàng)建現(xiàn)有域樹中的子域。
輸入父域的管理員賬號進(jìn)行權(quán)限驗證。
輸入父域和子域的域名，點擊下一步繼續(xù)。
顯示子域的Netbios名稱，點擊下一步繼續(xù)。
Active Directory數(shù)據(jù)庫存儲在默認(rèn)路徑下。
Sysvol文件夾的路徑也使用默認(rèn)設(shè)置。
如下圖所示，Active Directory安裝向?qū)z測現(xiàn)有的DNS服務(wù)器可以滿足子域的安裝需求。
接下來的安裝過程和父域相同，在此不再贅述，子域安裝完畢后我們檢查DNS服務(wù)器，如下圖所示，我們發(fā)現(xiàn)子域的相關(guān)記錄也已經(jīng)被自動創(chuàng)建了，這可以作為域創(chuàng)建成功的衡量標(biāo)準(zhǔn)之一。
現(xiàn)在我們已經(jīng)有了一棵域樹，但不要著急進(jìn)行Exchange的安裝，先觀察一下父域的DC和子域的DC復(fù)制是否正常。在Florence上打開Active Directory站點和服務(wù)，如下圖所示，我們嘗試讓Florence從Firenze進(jìn)行Active Directory的復(fù)制。
如果測試結(jié)果如下圖所示，而且Firenze從Florence復(fù)制也是正常的，那我們就可以進(jìn)行后續(xù)操作了。記住，如果DC間的復(fù)制不正常或DNS的區(qū)域數(shù)據(jù)有問題，你就不應(yīng)該向下進(jìn)行Exchange的安裝，而是應(yīng)該致力于排除現(xiàn)有問題。
我們知道Exchange2003的安裝分為林準(zhǔn)備，域準(zhǔn)備和Exchange安裝三部分，而林準(zhǔn)備就是擴(kuò)展域林的Active Directory架構(gòu)，我們首先在父域的域控制器上進(jìn)行林準(zhǔn)備。林準(zhǔn)備需要操作主機(jī)中的架構(gòu)主機(jī)在線，而且進(jìn)行林準(zhǔn)備操作的用戶必須是Schema Admins組的成員。我們在Florence上以父域管理員的身份登錄，放入Exchange的安裝光盤，如下圖所示，運(yùn)行Setup /Forestprep。
出現(xiàn)Exchange安裝向?qū)?，點擊下一步繼續(xù)。
同意許可協(xié)議，點擊下一步繼續(xù)。
如下圖所示，確定要進(jìn)行的操作是Forestprep，點擊下一步繼續(xù)。
由于Exchange安裝在子域的成員服務(wù)器上，因此我們賦予子域管理員Exchange的完全控制權(quán)限。
如下圖所示，Active Directory的架構(gòu)擴(kuò)展開始了。
架構(gòu)擴(kuò)展結(jié)束之后，我們應(yīng)該花上幾分鐘時間，等父域和子域的域控制器復(fù)制結(jié)束后再進(jìn)行后續(xù)的Exchange安裝操作。
林準(zhǔn)備結(jié)束后，我們就可以進(jìn)行域準(zhǔn)備了。雖然Exchange服務(wù)器部署在子域的成員服務(wù)器上，但Exchange可以為Active Directory中的所有用戶提供郵件服務(wù)。因此我們希望父域和子域的用戶都可以利用Exchange創(chuàng)建郵箱，我們就應(yīng)該在父域和子域都進(jìn)行域準(zhǔn)備。由于域準(zhǔn)備的過程是一樣的，我們以在子域進(jìn)行域準(zhǔn)備為例，在Firenze上放入Exchange2003的安裝光盤，如下圖所示，運(yùn)行 setup /domainprep。
出現(xiàn)Exchange安裝向?qū)?，點擊下一步繼續(xù)。
同意軟件許可協(xié)議，點擊下一步繼續(xù)。
確定準(zhǔn)備進(jìn)行的操作是Domainprep，點擊下一步開始安裝。
如下圖所示，子域的域準(zhǔn)備順利完成，接下來我們?nèi)绶ㄅ谥圃诟赣蛞策M(jìn)行域準(zhǔn)備即可。
接下來就是最后的Exchange部署工作了，我們在Berlin上先裝上SMTP，NNTP，Web，ASP.NET等Exchange安裝的必需組件。然后放入Exchange2003的安裝光盤，如下圖所示，運(yùn)行D:\setup\i386\setup.exe。
出現(xiàn)Exchange安裝向?qū)Вc擊下一步繼續(xù)。
同意軟件許可協(xié)議，點擊下一步繼續(xù)。
選擇Exchange的典型安裝即可。
由于沒有現(xiàn)成的組織，我們選擇新建Exchange組織。
為新創(chuàng)建的組織取名為First。
同意最終用戶許可協(xié)議，點擊下一步繼續(xù)。
為Exchange的管理組取名 為MAIL。
確認(rèn)Exchange的安裝組件，點擊下一步開始Exchange的安裝。
如下圖所示，順利完成Exchange2003在子域的部署。
部署完畢后重啟Berlin發(fā)現(xiàn)大事不妙，Exchange的存儲服務(wù)和MTA服務(wù)居然不能啟動，再次重啟仍然是濤聲依舊。從事件查看器的提示看似乎是無法從Active Directory檢索到Exchange信息！怎么辦？別擔(dān)心，微軟解釋過這個問題，如果Exchange服務(wù)器安裝在子域，那么默認(rèn)情況下Exchange服務(wù)器只向本域內(nèi)的域控制器和全局編錄服務(wù)器進(jìn)行AD對象查詢，但由于域樹的全局編錄服務(wù)器默認(rèn)由父域的域控制器承擔(dān)，因此Exchange服務(wù)器在子域內(nèi)檢索不到Active Direcotry中關(guān)于Exchange的登記信息。解決方法也很簡單，如下圖所示，在Exchange服務(wù)器的高級TCP/IP屬性中定義附加的DNS后綴，把Test.com和Shanghai.test.com都定義上，這樣Berlin就會從父域的全局編錄服務(wù)器或域控制器檢索Exchange數(shù)據(jù)了。重啟Berlin后一切正常！或者可以考慮把子域的域控制器也作為全局編錄服務(wù)器。
在子域中為用戶創(chuàng)建一個郵箱，如下圖所示，郵箱創(chuàng)建成功！至此，Exchange在子域部署成功完成！
至此，Exchange在子域部署完畢，對常見問題總結(jié)如下：
1 注意DNS問題，對一個不熟悉DNS原理的管理員來說，最簡單的辦法就是所有的計算機(jī)都使用同一個DNS服務(wù)器。DNS最好是獨(dú)立的計算機(jī)，如果不行，把DNS放在父域的控制器上也可以接受。有些管理員選擇了父域和子域的計算機(jī)分別使用本域的域控制器作為DNS服務(wù)器，如果這樣的話，需要在父域進(jìn)行子域委派。除非你的網(wǎng)絡(luò)環(huán)境確實有這個需求，否則我認(rèn)為是多此一舉。 2 注意Active Directory的健康狀態(tài)。Exchange和AD結(jié)合得非常緊密，確保AD狀態(tài)正常是安裝Exchange之前的必修課。我們可以考慮域控制器復(fù)制是否正常，操作主機(jī)角色是否正常，GC的角色由誰承擔(dān)，DNS的相關(guān)記錄是否有誤等等。用Dcdiag測試一下也是不錯的選擇。 3 如果擴(kuò)展架構(gòu)時出現(xiàn)問題，應(yīng)考慮架構(gòu)主機(jī)是否在線，執(zhí)行用戶是否屬于Schema Admins組。最保險的辦法是在父域的域控制器上以父域管理員的身份執(zhí)行擴(kuò)展架構(gòu)的操作，因為默認(rèn)情況下父域的域控制器承擔(dān)架構(gòu)主機(jī)的角色，而父域管理員也隸屬Schema Admins組。還有一點要注意，如果希望在子域進(jìn)行Exchange部署，那么擴(kuò)展架構(gòu)時一定要把Exchange的完全控制權(quán)限分配給子域的管理員。 4 如果希望部署在子域的Exchange服務(wù)器可以為Active Directory的所有用戶提供郵件支持，那在父域和子域都應(yīng)該進(jìn)行域準(zhǔn)備。如果只需要讓Exchange在子域發(fā)揮作用，那僅僅在子域進(jìn)行域準(zhǔn)備就可以了。 本文出自 “岳雷的微軟網(wǎng)絡(luò)課堂” 博客，請務(wù)必保留此出處http://yuelei.blog.51cto.com/202879/95414
