Как превратить Windows Home Server в контроллер домена

Быстрые ссылки

• Установка Windows Home Server

• Присвоение роли контроллера домена

• Настройки после установки

Active Directory позволяет централизованно управлять пользователями, компьютерами, принтерами и правами в сети. Это удобно дома для тестовой лаборатории, виртуальных машин или централизованного управления несколькими устройствами. Если у вас нет бюджета на полноценную Windows Server, можно попробовать продвинуть Windows Home Server до контроллера домена. Имейте в виду ограничения и последствия — описаны ниже.

Важно: прежде чем продолжать, сделайте полную резервную копию сервера. Лучше выполнять процедуру на отдельной тестовой машине, а не на сервере с важными данными.

Предупреждения и последствия

• После промоушна вы не сможете добавлять компьютеры через WHS Connector. Для добавления в домен нужны версии Windows Pro/Enterprise/Business.
• В WHS будут удалены пользовательские учётные записи; останутся только системные (например, Administrator, Guest).
• Веб-интерфейс WHS, вероятно, перестанет работать. Его можно восстановить установкой альтернативного веб-сервера (Apache и т.п.), но это потребует дополнительных настроек.

Если вы не готовы пожертвовать функционалом WHS, рассмотрите альтернативы в разделе “Альтернативные подходы”.

Требования и подготовка

1. Полная резервная копия всех данных сервера.
2. Доступ по удалённому рабочему столу к WHS (включён через консоль WHS).
3. Отдельные диски или разделы для NTDS и SYSVOL. Active Directory использует папки NTDS и SYSVOL; при размещении их на общем диске возможны заметные замедления.
4. DNS и статический IP: контроллер требует локального DNS и фиксированного адреса. Вы можете настроить их в процессе.
5. Установочный диск Windows или набор файлов установки — dcpromo может запросить их во время установки.

Шаг 1. Подготовка ОС

• Включите удалённый рабочий стол (если ещё не включён).
• Убедитесь, что у вас есть права администратора на WHS.
• Подготовьте отдельный диск/раздел для базы AD (рекомендуется).

Шаг 2. Запуск dcpromo

Подключитесь к серверу по RDP. Откройте диалог Выполнить и запустите:

dcpromo.exe

Следуйте мастеру. На первом шаге выберите создание нового контроллера для нового домена.

Выберите создание нового леса доменов.

Рекомендую установить DNS на локальной машине — это самый простой путь. Отключите встроенный DNS вашего роутера или перенаправьте запросы к новому серверу. Если роутер продолжит выдавать DHCP, нужно в настройках роутера указать IP вашего нового DNS-сервера (см. инструкции к роутеру).

Выберите имя нового домена. Если у вас есть публичный веб-домен, не используйте его имя для внутреннего домена, чтобы избежать конфликтов с разрешением имён, если вы не запускаете соответствующие веб-сервисы и динамический DNS на том же сервере. Частая практика — использовать домен .local или другой локальный суффикс.

Присвойте NETBIOS-имя (обычно предлагается по умолчанию).

Укажите, где хранить базу данных, журналы и общие публичные файлы (SYSVOL). Очень желательно разместить эти папки на отдельном диске.

Если в сети есть устаревшие системы (pre-Windows 2000), включите совместимость, иначе пропустите.

Задайте пароль для администратора домена (она будет отдельной учётной записью от локального администратора WHS).

Просмотрите сводку изменений и начните установку.

Процесс промоушна начнётся.

В ходе установки может потребоваться установочный CD или файлы установки. Подготовьте их заранее.

Мастер, скорее всего, запросит перевод IP с динамического на статический. Подтвердите и установите подходящий статический адрес.

После завершения нажмите “Finish” и перезагрузите систему. Первый запуск займет больше времени, так как запускаются новые службы.

После перезагрузки на экране входа появится опция входа в новый домен.

Шаг 3. Настройки после установки

Включение служб SSDP и UPnP

Если при старте вы увидите ошибку сервиса, исправьте это через services.msc.

1. Start -> Run -> services.msc

2. Найдите службы “SSDP Discovery Service” и “Universal Plug and Play Device Host”. Установите тип запуска «Автоматически» и запустите их вручную.

Права на временные папки

1. Откройте C:\Windows\Temp. Клик правой кнопкой -> Свойства -> Безопасность -> Добавить.
2. Введите Network Service и нажмите “Проверить имена”, затем OK. Дайте необходимый набор прав.

Повторите для каталога C:\Windows\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files.

Настройка брандмауэра Windows

Не рекомендуется полностью отключать брандмауэр. Вместо этого добавьте исключения для необходимых служб и портов.

1. На вкладке Exceptions добавьте программу dns.exe из C:\Windows\System32. После добавления измените область (Change scope) на “My network (subnet) only” — чтобы разрешить запросы только из локальной подсети.

2. Добавьте DHCP-сервер (C:\WINDOWS\system32\tcpsvcs.exe). Для DHCP не ограничивайте область — иначе клиентам не будет назначаться адрес.

3. Добавьте порты (Exceptions -> Add Port):

• LDAP TCP 389 (Scope: local subnet)
• LDAP UDP 389 (Scope: local subnet)
• LDAPS TCP 636 (Scope: local subnet)
• Global Catalog TCP 3268 (Scope: local subnet)
• Kerberos TCP/UDP 88 (Scope: local subnet)

После этого ваш контроллер будет доступен для присоединения компьютеров к домену и управления ими через Active Directory.

Альтернативные подходы

1. Использовать бесплатные или открытые реализации LDAP/FreeIPA для лабораторных задач. Это безопаснее с точки зрения лицензионных ограничений.
2. Развернуть полноценную Windows Server в виртуальной машине на той же физической машине и приобрести лицензию для легальной эксплуатации.
3. Для домашней синхронизации и простого управления пользователями можно использовать облачные решения (например, Azure AD для студентов/разработчиков с доступом к тестовым программам).
4. Если нужна только централизованная авторизация для тестов, можно настроить Samba4 на Linux — он предоставляет контроллер домена совместимый с AD.

Когда этот метод не подходит

• Если у вас рабочая среда с важными данными и уязвимостью в лицензировании — не используйте WHS для AD в продакшене.
• Если ваши клиенты — Windows Home (Home, Home Premium), они не смогут присоединиться к домену.
• Если вы не готовы к полному переустройству WHS и возможной потере функций веб-интерфейса.

Мини‑методология: безопасный план миграции

1. Подготовка тестовой среды: создайте копию WHS в VM.
2. Резервирование данных и экспорт конфигураций.
3. Настройка отдельного диска для NTDS/SYSVOL.
4. Выполнение dcpromo и базовая проверка работоспособности AD.
5. Настройка DNS и DHCP (по необходимости).
6. Поэтапное подключение тестовых клиентов.
7. Перенос пользователей и данных.
8. Мониторинг и откат при проблемах.

Роль‑ориентированные чек‑листы

Администратор WHS (до промоушна):

• Сделать полную резервную копию.
• Задокументировать текущие учётные записи и права.
• Подготовить диск для NTDS/SYSVOL.
• Иметь под рукой установочные файлы Windows.

Системный администратор AD (во время промоушна):

• Запустить dcpromo.exe и выбрать новый лес.
• Установить DNS на локальную машину.
• Установить статический IP.
• Записать новый пароль администратора домена.

После установки:

• Установить автоматический запуск SSDP и UPnP.
• Настроить права доступа к C:\Windows\Temp и Temporary ASP.NET Files.
• Настроить исключения брандмауэра и открыть нужные порты.
• Перезагрузить и проверить вход в домен.

Критерии приёмки

• Сервер успешно перезагружается и отображает опцию входа в домен.
• Службы Active Directory и DNS запущены без ошибок.
• Клиент Windows Pro успешно присоединяется к домену и получает политику.
• Нет критических сообщений в логах Event Viewer в течение 24 часов после установки.

Отладка и распространённые проблемы

• Ошибка запуска службы после перезагрузки — проверьте SSDP и UPnP, и права на временные директории.
• Клиенты не видят контроллер — проверьте настройки DNS, статический IP, правила брандмауэра и маршрутизацию.
• DHCP не выдаёт адреса — убедитесь, что в вашей сети нет другого активного DHCP-сервера, и что вы добавили tcpsvcs.exe, если используете встроенный DHCP.

Decision tree для выбора подхода

flowchart TD
  A[Нужен контроллер домена в домашней сети?] --> B{Есть бюджет на Windows Server?}
  B -- Да --> C[Развернуть Windows Server в VM или физически]
  B -- Нет --> D{Это тестовая/лабораторная среда?}
  D -- Да --> E[Продвинуть WHS в контроллер домена 'см. инструкцию']
  D -- Нет --> F[Использовать Samba4/FreeIPA или облачные AD]
  C --> G[Легальный и поддерживаемый вариант]
  E --> H[Неофициально, возможны ограничения WHS]
  F --> I[Альтернатива без лицензионных рисков]

Короткие заметки по безопасности и приватности

• Размещайте SYSVOL/NTDS на диске с резервированием и, при возможности, шифруйте доступ к бэкапам.
• Отключайте публичный доступ к DNS: в брандмауэре ограничьте область запросов до локальной подсети.
• Храните пароли администратора домена в безопасном хранилище.

Глоссарий (1‑строчные определения)

• Active Directory: служба каталогов Microsoft для централизованного управления ресурсами сети.
• NTDS: база данных Active Directory.
• SYSVOL: общая папка для политик и скриптов домена.
• dcpromo.exe: утилита для продвижения сервера в контроллер домена.

Шаблон быстрого плана миграции (SOP)

1. Создать копию WHS в виртуальной среде.
2. Проверить доступность установочных файлов Windows.
3. Обеспечить отдельный диск для NTDS/SYSVOL и статический IP.
4. Запустить dcpromo, следовать мастеру, включить DNS на локальной машине.
5. Настроить брандмауэр и права папок.
6. Присоединить тестовую машину и проверить политики.
7. Мигрировать пользователей и службы по графику.

Куда посмотреть дальше

• Документация по работе с DNS для вашего роутера (руководство производителя).
• Руководства по настройке DHCP и сетевой инфраструктуры.

we got served wiki

Итог

Преобразование Windows Home Server в контроллер домена возможно и полезно для лабораторий и домашних сетей. Процесс требует подготовки: резервного копирования, отдельного диска для AD, статического IP и настройки DNS/брандмауэра. В продакшене лучше использовать официально лицензированные решения или альтернативы (Samba4, FreeIPA). Если вы продолжаете, следуйте чек‑листам и критериям приёмки, чтобы минимизировать риск потери данных.