---
# System prepended metadata

title: Занятие 4. Инфраструктурные сервисы в домене

---

# Занятие 4. Инфраструктурные сервисы в домене
## Практическая работа №4.1 DNS
### Часть 1. DNS
Перед началом проверим, что на микротике настроено перенаправление запросов:
![](https://i.imgur.com/ucqx4y0.png)
Зайдём в оснастку DNS dc1 сервера и просмотрим текущие DNS записи:
![](https://i.imgur.com/KdWRHBp.png)
Настроим форвард. Перейдём в настройки сервера DNS:
![](https://i.imgur.com/vODUNR0.png)
Зайдём в пункт "edit" и введём адрес mikrotik, который будет перенаправлять DNS запросы на внешние сервера:
![](https://i.imgur.com/6x64wK4.png)
Применим настройки:
![](https://i.imgur.com/sxk7OSG.png)
Настроим зону обратного просмотра. Откроется меню создания зоны:
![](https://i.imgur.com/lUSL7wO.png)
Оставляем пункт "primary zone":
![](https://i.imgur.com/Fnf97A7.png)
Оставляем по умолчанию параметры репликации:
![](https://i.imgur.com/kkXOpwl.png)
Настроим IPv4 зону:
![](https://i.imgur.com/PCnKTIe.png)
Введём идентификатор зоны без последнего ip октета- идентификатора хоста. Это наша сеть, для которой будет создана зона обратного просмотра:
![](https://i.imgur.com/Sq46hrP.png)
Оставим пункт по умолчанию для динамического обновления зоны:
![](https://i.imgur.com/MoopMlh.png)
Сверимся с итоговыми настройками и завершим конфигурацию:
![](https://i.imgur.com/oem3VqK.png)
Теперь мы видим созданную обратную зону:
![](https://i.imgur.com/J2yUPD2.png)
## Практическая работа №4.2,3 DHCP
### Часть 2. DHCP
Откроем оснастку DHCP, развернём меню DHCP и выделим IPv4:
![](https://i.imgur.com/ZG5HuK8.png)
Создадим новую область DHCP:
![](https://i.imgur.com/84DwL66.png)
Введём имя области pool1:
![](https://i.imgur.com/ObfOQC8.png)
Укажем диапазон выдаваемых адресов:
![](https://i.imgur.com/iu6HI4s.png)
Не будем указывать исключения из диапазона:
![](https://i.imgur.com/Ti9MbS8.png)
Оставим время аренды по умолчанию:
![](https://i.imgur.com/SUmDsCb.png)
Сконфигурируем область сейчас:
![](https://i.imgur.com/awnFfnM.png)
Добавим адрес роутера:
![](https://i.imgur.com/goTiuB5.png)
Добавим адрес резервного контроллера домена, он же будет резервным DNS:
![](https://i.imgur.com/bUHwhmj.png)
Пропускаем настройку WINS серверов:
![](https://i.imgur.com/AtU0BWp.png)
Активируем область сейчас:
![](https://i.imgur.com/ZNvjtJS.png)
Завершим работу Визарда:
![](https://i.imgur.com/EQXzTJh.png)
Новая область появилась в меню, мы видим её параметры:
![](https://i.imgur.com/ZxlkHUX.png)
Настроим Win10 на автоматическое получение параметров сети по DHCP:
![](https://i.imgur.com/3aBjYgc.png)
Настроим Kali Linux на автоматическое получение параметров сети по DHCP:
![](https://i.imgur.com/k6vd3PM.png)
Информация об аренде на dc1 видна в меню "address leases":
![](https://i.imgur.com/znHg4Nq.png)
### Часть 3. Отказоустойчивый DHCP
Настроим резервирование по технологии Hot Standby:
![](https://i.imgur.com/RJFVSIK.png)
Выберем ip пулы для резервирования.
Добавим сервер-партнёр dc2:
![](https://i.imgur.com/dNq0Ds1.png)
![](https://i.imgur.com/4fzq1w0.png)
Настроим failover:
![](https://i.imgur.com/GYHcnn1.png)
Подтвердим настройки:
![](https://i.imgur.com/J7oyKLk.png)
Вывод успешного создания кластера:
![](https://i.imgur.com/Tqi8HOv.png)
Перейдём в dc2 в оснастку dhcp и просмотрим свойства области, которая там появилась:
![](https://i.imgur.com/VeqTIkc.png)
Перейдём в меню "отработка отказа":
![](https://i.imgur.com/fX9qBVo.png)
Все настройки применились корректно.
## Практическая работа №4.4 GPO
### Часть 4. Групповые политики
#### Политика аудита
Зайдём в Group policy management, развернём вложенные меню, увидим две базовые политики в папке "Group policy object" и ссылки на них в OU, куда они были применены:
![](https://i.imgur.com/fNb9AYI.png)
Отредактируем политику контроллеров домена. Настроим политику компьютера Object Access:
![](https://i.imgur.com/XwKKvSF.png)
Включим аудит сетевых папок:
![](https://i.imgur.com/v4535NX.png)
Включим аудит файловой системы:
![](https://i.imgur.com/wAmbaaS.png)
#### Политики защиты от mimikatz
#### Запрет Debug
Создадим новую политику в папке GPO mimikatz_block_debug:
![](https://i.imgur.com/lHzexeV.png)
Найдём политику debug mimikatz_block_debug:
![](https://i.imgur.com/Izcfecm.png)
Настроим политику так, чтобы только у администратора и ADMPetr были права отладки:
![](https://i.imgur.com/0OlTbM3.png)
Применим политику к домену, чтобы она сработала на всех ПК домена:
![](https://i.imgur.com/YWMNr6e.png)
Пункт для проверки:
![](https://i.imgur.com/nfrZANZ.png)
С включенным защитником виндовс уже не работает:
![](https://i.imgur.com/NGulG9F.png)
#### Отключение WDigest
Редактируем существующую политику mimikatz_block_debug:
![](https://i.imgur.com/Bt4gg5l.png)
Создаем новый элемент реестра:
![](https://i.imgur.com/x0CiaTz.png)
Применяем:
![](https://i.imgur.com/bVok6Hi.png)
#### Защита LSA от подключения сторонних модулей
Добавим в политику mimikatz_block_debug новый параметр реестра и настроим параметр, активирущий защиту LSA:
![](https://i.imgur.com/umeiI4Z.png)
#### Включение аудита командной строки и powershell
Создадим политику аудита audit_services_cmd_posh:
![](https://i.imgur.com/jOcrrJg.png)
Перейдём в ветку "Административные шаблоны"/"Система"/"Аудит создания процессов":
![](https://i.imgur.com/DYktzlm.png)
Активируем параметр "Включить командную строку в события создания процессов":
![](https://i.imgur.com/OHHWLZ7.png)
Перейдём в ветку "Административные шаблоны"/"Компоненты Windows"/"Windows PowerShell" и выберем пункт "Включить ведение журнала и модулей":
![](https://i.imgur.com/wpAS1hK.png)
Включим этот параметр для содержимого:
![](https://i.imgur.com/0xIVVvj.png)
Применим политику на домен:
![](https://i.imgur.com/nvcJad0.png)
#### Активация журналирования контроллерах домена 
Отредактируем политику контроллеров домена. Создадим новый объект правки реестра:
![](https://i.imgur.com/XLEpXTv.png)
Изменим значение на 5:
![](https://i.imgur.com/40aaq4m.png)
Создадим 2 новых параметра реестра:
![](https://i.imgur.com/Vj8HsGk.png)
![](https://i.imgur.com/yOHnngy.png)
Настроим параметр для контроллеров домена, разрешающий только определенным пользователям выгружать членов доменных групп:
![](https://i.imgur.com/sNQA0UB.png)
Дадим доступ на выгрузку для группы пользователей Administrators и пользователю ADMPetr:
![](https://i.imgur.com/6pTObUE.png)
Настроим журналирование попыток выгрузки, добавим ещё один параметр в реестр:
![](https://i.imgur.com/Wj5WcZj.png)
