Windows Server 2012 新特性:IPAM的配置

Windows Server 2012 中的 IPAM 是一个新增的内置框架，用于发现、监视、审核和管理企业网络上使用的 IP 地址空间。IPAM 可以对运行动态主机配置协议 (DHCP) 和域名服务 (DNS) 的服务器进行管理和监视。IPAM 包括的组件可以：

• 自动化 IP 地址基础结构发现：IPAM 可发现所选域中的域控制器、DHCP 服务器和 DNS 服务器。可以通过 IPAM 启用或禁用对这些服务器的管理。
• 自定义 IP 地址空间显示、报告和管理：IP 地址的显示可高度自定义，并且会提供详细的跟踪和利用率数据。IPv4 和 IPv6 地址空间将会组织到 IP 地址区块、IP 地址范围和单独的 IP 地址中。IP 地址是分配的内置或用户定义的字段，可用于进一步将 IP 地址空间组织为分层的逻辑组。
• 对服务器配置更改情况的审核和对 IP 地址使用情况的跟踪：对于 IPAM 服务器和托管的 DHCP 服务器显示可操作事件。通过使用从网络策略服务器 (NPS)、域控制器和 DHCP 服务器中收集的 DHCP 租约事件和用户登录事件，IPAM 还允许 IP 地址跟踪。跟踪可用于 IP 地址、客户端 ID、主机名或用户名。
• 对 DHCP 和 DNS 服务的监视和管理：IPAM 允许对林上的 Microsoft DHCP 和 DNS 服务器的自动服务可用性进行监视。将会显示 DNS 区域运行状况，并通过 IPAM 控制台提供详细的 DHCP 服务器和作用域管理。

IPAM 服务器是一台域成员计算机。无法在 Active Directory 域控制器上安装 IPAM 功能。

一般通过两种方法部署 IPAM 服务器：

1. 分布式：在企业的每个站点上部署一台 IPAM 服务器。
2. 集中式：一台 IPAM 服务器为整个企业提供服务。

以下示例显示分布式 IPAM 部署方法，在公司总部有一台 IPAM 服务器并且每个分支机构办公室都有一台 IPAM 服务器。在企业中不同的 IPAM 服务器之间没有通信或数据库共享。如果部署了多台 IPAM 服务器，您可以自定义每台 IPAM 服务器的发现作用域，或筛选托管服务器的列表。一台 IPAM 服务器可能管理某个特定的域或位置，并且可能具有配置为备份的另一台 IPAM 服务器。

IPAM 将定期尝试查找网络上位于您指定的发现作用域内的域控制器、DNS、DHCP 服务器。你必须选择这些服务器是否由 IPAM 管理。用这种方式，你可以选择不同的服务器组，可以由 IPAM 管理，也可以不由 IPAM 管理。

若要由 IPAM 管理，服务器安全设置以及防火墙端口必须配置为允许 IPAM 服务器访问，以执行所需的监视和配置功能。 你可以手动配置这些设置，也可以使用组策略对象 (GPO) 自动配置。如果您选择自动的方法，则当服务器标记为托管时应用设置，并且当标记为非托管时删除设置。

IPAM 服务器将使用 RPC 或 WMI 接口与托管的服务器通信。IPAM 为了进行 IP 地址跟踪而监视域控制器和 NPS 服务器。除了监视功能之外，还可以通过 IPAM 控制台配置多个 DHCP 服务器和作用域属性。区域状态监视以及有限的配置功能集也可用于 DNS 服务器。

IPAM 服务器发现的作用域仅限一个 Active Directory 林。该林本身可能包含多个信任的以及不信任的域。IPAM 要求 Active Directory 域的成员身份，并且依赖于某个功能网络基础结构环境，以与 AD 林上的其他服务器安装集成。

IPAM 具有以下规范：

1. IPAM 仅支持运行 Windows Server? 2008 及以上版本的 Microsoft 域控制器、DHCP、DNS 和 NPS 服务器。
2. IPAM 仅支持一个 AD 林中的域成员 DHCP、DNS 以及 NPS 服务器。
3. IPAM 不支持对非 Microsoft 网络元素的管理和配置。
4. IPAM 不支持外部数据库。仅支持 Windows 内部数据库。
5. 一台 IPAM 服务器可以支持多达 150 台 DHCP 服务器以及 500 台 DNS 服务器。
6. 经过测试一台 IPAM 服务器可以支持多达 6000 个 DHCP 作用域以及 150 个 DNS 区域。
7. IPAM 可为 Windows 内部数据库中的 10 万位用户存储 3 年的取证数据（IP 地址租约、主机 MAC 地址、用户登录/注销信息）。没有提供数据库清除策略，管理员必须根据需要手动清除数据。
8. 仅对 IPv4 提供 IP 地址利用趋势。
9. 仅对 IPv4 提供 IP 地址回收支持。
10. 对 IPv6 无状态地址自动配置专用扩展不执行任何特殊处理。
11. 对虚拟化技术或虚拟机迁移不提供任何特殊处理。
12. IPAM 不检查 IP 地址是否与路由器和交换机一致。
13. IPAM 不支持非托管计算机上用于跟踪用户的 IPv6 无状态地址自动配置的审核。

Windows Server? 2012 中的 IP 地址管理 (IPAM) 是用于在公司网络上发现、监视、管理和审核 IP 空间的框架。IPAM 提供以下功能：

• 自动 IP 地址基础结构发现
• 可高度自定义 IP 地址空间显示、报告以及管理
• 配置 DHCP 和 IPAM 服务的更改审核
• DHCP 和 DNS 服务的监视和管理
• IP 地址租约跟踪

本实验共涉及到三台安装了Windows  Server 2012的虚拟机，服务器dcsrv，DC，DHCP，域名Hbsycsrsj.com;

服务器IpamSrv和客户机Client加入到域。

以下操作在虚拟机上完成。

前期各计算机的基本配置过程略。

1、在dcsrv安装DHCP。新建IPV4作用域Test_Scope，地址范围192.168.0.1-192.168.0.10/24，以及相关的选项设置。（过程略）

2、在Ipamsrv上启动服务器，添加IPAM功能。（过程略）

配置IPAM：

一、连接到IPAM服务器

在服务器管理器导航窗格中，单击“IPAM”。将会显示“IPAM 概述”页。默认情况下，IPAM 客户端会连接到本地服务器

二、设置IPAM服务器（输入GPO名称前缀）

 

打开任务程序，IPAM下新增了如下图的计划任务

各计划任务的功能如下图：

三、配置服务器发现（选择添加）

四、启动服务器发现

五、选择或添加要管理的服务器并验证 IPAM 访问权限

在“IPAM 概述”中，单击“选择或添加要管理的服务器并验证 IPAM 访问权限”。如果未显示任何服务器，单击通知标志旁边的“刷新 IPv4”图标。服务器的可管理性状态将显示为“未指定”，而 IPAM 访问状态显示为“已阻止”。

在服务器清单出现如下图结果

授予IPAMSRV使用组策略对象 (GPO) 管理 DHCP 和 DC 的权限。

1. 在 IPAMSRV 上，右键单击“Windows PowerShell”，再单击“以管理员身份运行”。
2. 在 Windows PowerShell 命令提示符下，键入以下命令，然后按 Enter 键。

Invoke-IpamGpoProvisioning –Domain Hbsycsrsj.com –GpoPrefixName IPAM –IpamServerFqdn ipamSrv.contoso.com

1. 当系统提示你确认操作时，按 Enter 键。

打开组策略管理控制台（GPMC.MSC），查看下图结果

在DCSRV运行 Gpupdate /Force 更新组策略。

在IpamSrv修改服务器的可管理状态为”已托管“

六、检索托管服务器中的数据

在“IPAM”>“概述”中，单击“检索托管服务器中的数据”。 
单击“通知”标志，然后等待所有任务的完成。

 

 

注意：在虚拟机上操作时，在更改可管理性状态后，可能需要等一段时间，然后刷新 IPAM 控制台视图，让 IPAM 访问状态在托管服务器上进行更新。