RAID 6 か RAID 10 か、ファイルサーバはどちらにする？

ファイルサーバにはどんなRAIDが適切か

ファイルサーバを構築するにあたってストレージをどうするかという点について考察てみたいと思います。

HCI を当たり前のように組める中堅企業以上であればいざ知らず、小規模から中小企業あたりであればファイルサーバにRAIDコントローラーを挿してHDD複数台でRAID運用、というケースが割と多いのではないかと思います。

故障や復旧の手間、コストなど全体的なバランスから最近ではRAID 6もしくはRAID 10あたりが良く使われているようです。

RAIDについては素晴らしい解説がされているブログなどもあり、ここでは細かいところに踏み込みませんが、今回自社に導入するにあたりかなり悩んだためその経過をメモしておこうかと。

そもそもなんでRAIDにするかといえば

「ディスクの故障を前提とした耐障害性」＋「パフォーマンス向上」

を意図しているわけで。

RAIDが世に出た当初の目的からすれば、あまり高価でないディスクでも耐障害性を高めたいということなので、特に前者を意識してしまうのですが、数十人以上が同時アクセスするファイルサーバですからパフォーマンスもアップしたいところです。

RAID 6 はパリティ生成による書き込みパフォーマンスの低下が指摘されてる一方で、ストライピングによる読み込みパフォーマンスの向上が期待されるため、どちらかというと読み込みが多いシーンでは有利です。耐障害性も計算上ではRAID 10より高いですが、リビルド負荷が大きいのでリビルド中は全体のパフォーマンスが下がってしまうなど、ふだんはいいけれど復旧時が大変という印象。

RAID 10は書き込みはシンプルなためランダムアクセスでも速度が低下しにくく、というかむしろディスクを増やすごとにストライピングのメリットも効いてくるためRAID 6より有利です。逆にディスク台数が6台くらいまでであれば4台でストライピングされるRAID 6のほうが3台でストライピングされるRAID 10より読み込みが有利なのではないかということは理解できます。


ファイルサーバにどちらを採用するかという点で非常に悩みました。
今回使っている DELL PERCH730 は意外とRAID 6が速いという情報もあり、もともと容量小さいSASディスクを有効活用しようとするとRAID 6に気持ちが揺れます。

一方でファイルサーバとして複数が同時アクセスし続けるハードウエアのため、少しでもパフォーマンスが高いほうがありがたいというのもあります。それほど大きくないExcelファイルなどへのアクセスがほとんどで、ランダムRead、ランダムWriteがほとんどであると考えるとRAID 10のほうが実用環境で有利な感じがします。

故障時のディスク交換、リビルドに関してもRAID 10のほうがリビルド中の負荷が少なく、ホットスワップのメリットが活かしやすい。

思い悩んだ結論としては、やっぱりRAID 10かなと。
容量についてはあまりアクセス頻度が高くないデータはアーカイブ中心の別ファイルサーバに逃がすとして、比較的頻度が高いデータに絞れば数TBでも足りそうです。
（動画や巨大な画像等は使わない業種のため）

耐障害性としては同じグループのドライブ（3台）が同時にすべて故障するというかなりのレアケースでない限りはデータロスすることは無いので、実運用上問題なさそうです。リビルド負荷も低そうですし。

アーカイブ中心のファイルは別途SATAの大容量ディスクでRAID 1を組んだサーバに入れておきます。こちらはアクセス負荷が少ないのでパフォーマンスはあまり意識しなくても良いのでWesterm Digital の RED といった回転数抑え目ディスクで十分です。


今回のファイルサーバ構成
・起動用ドライブ HDD 2台の RAID 1 構成
・データ用ドライブ HDD 6台の RAID 10 構成
の2仮想ドライブにしてみました。

ついでにアーカイブを中心としたファイルサーバを併用しました。
アーカイブ用ファイルサーバの構成
・ドライブは SATA HDD 2 台の RAID 1 構成
・OSドライブとデータドライブはパーティションを分けて運用
といった1仮想をソフトウエアRAIDで組みます。

RAID を運用するにあたって

RAID 運用をしている多くの人は故障時のことをあまり意識していないと思います。
まぁ、通常のリース期間ではRAID1以上を組んでいると意外とデータロスする確率が低いのでしょうが...

結局HDDが故障しても気が付かなくて、RAIDの冗長性が無くなった後にもう一台壊れて気づくなんてことであれば、初めからRAIDを組まなかったケースと比べて単にオシャカになるまでの時間が伸びただけです。（それはそれでメリットありますが）

RAIDを運用し始めたら故障時の交換を意識して運用すべきだと強く思います。
できれば運用開始前に一度意図的に1つディスクを引っこ抜いて、違うディスクで正常にリビルドできるかくらいを確かめたいところです。

HDDの故障だけを想定して4時間対応などの高い保守に入るくらいであれば、1本余計にディスクを買っておくのもありです。
SAS 2.5インチの容量大き目（1TB以上）あたりだとなかなか入手が困難だったりもしますので、多少高めでもメーカー純正品を手配しておくか、ディスク構成を見直してホットスペアにしておくことも要検討です。

私はいまのところ毎晩差分バックアップを取っておいて、障害発生時にはいったん直近の差分データを取ったうえでメーカー保守待ちという体制です。
当日午前1時に取得したバックアップからの差分だけであればそれほど時間がかからないので、メーカーの保守要員が到着するまではこれを頻繁に取得してデータロスを防ぎます。
RAIDディスク交換中にやらかしがあってもいいように、どちらにしてもバックアップを取ることになりますし。

この辺、大規模になってそんなこと現実的に無理な場合はやっぱり保守をがっちり入るのと、そもそものハードウエアをきちんと冗長化（HCIやら外部のバケモノディスクなどを使って）しておけば良いのでしょうね。

Windows 2016 でサーバ構築

Windows 2016 がやってきた

社内で Windows 2016 のサーバを購入することになったので、その構築メモ。
今回の全体像はこんな感じです。

1. Windows Server 2008、Windows Server 2012 R2 で乱立しているサーバを整理
2. Active Directory の刷新
3. BCPを想定した二重化

1. Windows Server の役割見直し

今回の導入にあたり、まず最初に着手したことが、既存のサーバ群の役割整理です。
ドメインコントローラー、ファイルサーバはともかく、各種アプリケーションがいろいろなサーバ上で乱立して動いています。今後は仮想化サーバーで集約する予定のため、継ぎ足しで構築されてきた環境を整理して、安定した運用を見据えて再設計します。

2. Active Directory の刷新

現行の AD は会社がそれほど大きくなかった時点で設計したので、細かな ACL よりは使い勝手を優先しています。
利用者は増える一方、クライアントからのセキュリティ要件が厳しくなる一方なので、その背景に見合ったグループポリシー管理を行うため、Active Directory を再設計します。

3. BCP を想定した二重化

現行のシステムは遠隔地拠点との間で Active Directory のバックアップ運用だけは行っています。また、各種データはクラウド上へバックアップを取っています。
しかし、現状では障害発生時の復旧に時間がかかることが予想されますし、そもそも手順が多すぎます。
もっとユーザレベルでの意識もなく、罹災時にも迅速な復旧ができることを想定して構築する必要性が高まっていました。

今回の構築要件

• なるべく社内のリソースと技術力で構成する
• 想定ユーザ数は最大200名前後（平均的には100名以内）
• 社内LAN内に設置（オンプレミス）
• メインとバックアップはそれぞれ別拠点でVPN接続
• 19インチラックマウント型
• ADサーバは耐障害性をある程度担保、ファイルサーバはスピードと耐障害性をできる限り両立する。

今回のサーバ構成

1. ドメインコントローラー

ドメインコントローラーは Windows 2016 で刷新します。ドメインコントローラーに障害が発生すると社内ネットワークへ一切のアクセスができなくなることもあるため、最低の2台構成です。
ハードウエア自体はデータが消えてしまうと困るのですが、二重化していますし、他の役割を兼務させないので予算との兼ね合いで最低限のスペックで構築します。
今回は DELL PowerEdge R230 を選びました。
電源の冗長性が無いので故障時に停止する必要がありますが、その時は二重化されたドメインコントローラー側にアクセスされるので、どちらかというとコスト重視です。

メイン側は 10,000RPM の SAS HDD で PERC H330 による RAID 1+1（RAID 1の2セット）、サブ側は SATA 1TB で PERC S130 のソフトウエアRAID1です。
予算があればメインとサブは同じ構成がいいと思いますが、今回は検証用でも使ったハードウエアをそのまま本番運用に昇格します。

おおむね200名程度であれば1CPU程度のサーバであれば十分なパフォーマンスが得られるといわれています。

個人的にはうちのような小規模企業レベルであれば、ドメインコントローラーは本社にオンプレミスでサーバ機を1台、バックアップ用として既存の適当なサーバ上で Hyper-V を動かして1台、または余っているPCを専用に流用して1台でも良いかなと。

ふだんアクセスさせないのであればあまりパフォーマンスを意識する必要がありません。PC流用の場合は電源等の信頼性を考慮して夜間は電源切っておいたほうが良いですが、そんな運用ができるのであれば、無理してサーバ機を2台そろえる必要もないのかなと。
（あくまでもバックアップ用途なので、クライアント側からはアクセスさせない。メイン機が完全に故障したときのみアクセスさせる程度で考えています）

2. ファイルサーバー

ファイルサーバはスピードと安定性、コストの兼ね合いから 10K RPM の SAS ドライブで構築します。15K RPMやSSDは魅力ですがまだまだ容量と価格のバランスが（小規模企業には）厳しいので。スピードと容量、安全性を考慮して、今回はディスク6つをRAID 6で運用します。比較的アクセス頻度の高いものをこちらに集約し、アクセス頻度の低いものや部門単独で利用するものは別サーバに分けます。

ディスクの信頼性やスピードについては一般的には SAS > SATA であるといわれていますが、運用の仕方次第でその差を低くできます。
SAS 15K RPM の RAID 1 より、SATA 5400RPM を10台使った RAID10 のほうが（コントローラ等がまともであれば）早いですし、重要なデータを運用するサーバでホットスペア無しで RAID 5 なんて怖いですし。

逆にファイルサーバではメモリやCPUのスペックについてはそれほど不要という意見がありますが、余裕のあるメモリはキャッシュに使われるということもあり、32GB程度積んでおきます。メモリは予算内で詰めるだけ積んでおいたほうがいいですね。
購入や長期リースの場合は、近い将来にファイルサーバを増強・入替なんかが生じた際に、別の用途に流用できる可能性もありますので。
大規模企業や官公庁であれば途中で計画が変わることはほぼ無いと思うのですが、小規模から中小企業レベルであれば3年先に同じサーバで十分な状況は望ましくないですから。

また、集中してアクセスされるサーバであることから、将来性も考慮してネットワークアダプタをインテル 10Gbps のものを増強します。（当面は 1Gbps で運用）

3. ファイルバックアップサーバ

ファイルサーバのバックアップ側です。
予算があればメインと同一の構成にしてミラーしておけば良いですが、コストの問題もあるので、こちらは SATA のディスク中心に構築しています。

故障時には一時的にではあってもメインに格上げされるサーバなので、メインのサーバよりちょっと下のスペックくらいにしておくと万全です。
今回は予算の関係もあり、こちらもテストで使っていたサーバのディスクを入れ替えて流用することにします。

運用イメージとしては本当に最低限の運用ができるように、という感じです。



おおむね上記のような構成で社内ネットワークを作っていきます。

DELL PERC H330 で RAID 設定変更

DELL Poweredge についている PERC H330 の設定を変更したのでメモ。

DELL のオンラインサイトでは、HDD 4台に対して RAID 10 もしくは RAID 5 のような1グループ構成しか選択できない。

個人的にはRAID 5は一つでもディスクが壊れると急に冗長性が無くなるし、次のディスクが壊れてしまうとほぼ修復不能になるので好きではない。
だったらRAID10のほうが良い気もしないでもない。（詳しいパフォーマンス差はよくわからない）

また、PERC H330はキャッシュがないため、そもそもRAID 5には向かないため、これをRAID1 の2グループ構成に変更する。

今回はサーバーをドメインコントローラーにするため、ntds ディレクトリに指定したディスクはキャッシュが効かなくなるため、RAID 10にするよりRAID 1の2ペア構成にしたほうがパフォーマンスがよさそう、という理由。

PREC H330 は BIOS 経由で設定ツールに入ると細かく設定できるのだけれど、今回はサーバの Lifecycle Controller から設定してみる。

※RAID構成を変更すると過去のデータが消えるので、最初にバックアップを取っておく。
※またRAID構成を変更すると出荷時と状態が変わるので保証がややこしくなるため、問題解決に自信がない場合や、ハードウエアの保守を完全に外注化しているような環境だとやらないほうが良いかもしれない。

Lifecycle Controller から RAID メニューを起動

起動時にF10キーを押して、Lifecycle Contoller を起動する。
初期画面の左メニュー一番下の「システムセットアップ」を選択。

右のペインから「ハードウエア詳細設定」を選択。
次の画面では「デバイス設定」を選択。

「RAID Contoller in Slot1: Dell PERC <PERC H330 Adapter> 設定ユーティリティ」を起動。

既存の設定のクリア

「設定管理」ー「設定のクリア」を選択。

設定をクリアしますか？という表示の下に「確認」のチェックボックスがあるので、チェックを入れてから「はい」を選択。

操作が正常に実行されましたという画面が出たら成功。OKを選択。

1つめの仮想ディスクの作成

メインメニューに戻り再度「設定管理」を選択。
「仮想ディスクの作成」を選択。

RAIDレベルの選択では「RAID 1」を選択し、その下の「物理ディスクの選択」をクリック。
リストの上から2つのディスクにチェックを入れる。
（RAID 1 なので 2 つディスクを選べばよい）
「変更の適用」をクリック

操作が正常に実行されました。と表示されるので、OKを選択。

再度元の画面（仮想ディスクの作成）に戻るので、仮想ディスクの名前を適当につけてから、画面下部にある「仮想ディスクの作成」を選択。

※仮想ディスクの名前は必須ではないが、何かつけておくと後でわかりやすい。

仮想ディスクを作成する確認になるので「確認」にチェックを入れ「はい」を選択。

操作が正常に実行されました。と表示されたらOKを選択。

2つめの仮想ディスクの作成

仮想ディスクの作成画面に戻るので、もう一つのグループを作成する。
今回は残りのディスクが2つなので、RAID0かRAID1かどちらかしか選択できない状態になっているので、RAID 1 を選択。

先ほどと同様に「物理ディスクの選択」からディスクを選ぶ。
残りの二つのディスクが表示されているので、両方にチェックを入れ「変更の適用」を選択。

あとは1つめと同様に仮想ディスクの名前を適当につけて進めていく。

すべての登録が終わったら、メインメニューから「ディスクグループのプロパティの表示」を選択して、ディスクグループが二つ（ディスクグループ #0とディスクグループ #1）が表示されていれば完了。

Windowsの再インストール

ディスクグループが変更になったので、Windows を再インストールする。
Windows のインストール場所を選ぶ画面（インストールするパーティションを選ぶ画面）では、以前の設定が残っていることがある。いったんすべてのパーティションを削除して
「ドライブ0の割り当てられていない領域」
にインストールしなおす。

Windowsではインストールしたディスクしか初期化してくれないので、インストールが終わったら、サーバーマネージャーからもう一つのグループを初期化しておく。


これで、デフォルトの RAID 5 から RAID1 を 2 つに変更できました。

DELL iDRAC 8 でリモートアクセス

iDRAC 8 で HTML5 を利用したリモートアクセス。

iDRAC 8のウェブからアクセスするためには iDRAC 8 Enterprise 以上が必要。
Enterprise 以外では帯域外の管理ができない（と思う）ので、サーバルームにサーバをおいておいて、外部から管理する必要がある実運用サーバには必須かと。

仮想コンソールへのリモートアクセスは、デフォルトで java を使うようになっていますが、いまさら JRE をクライアントに入れるのもなんですし、HTML 5でアクセスできるんだから、それでつなごうというわけです。

HTML 5でのアクセスは java プラグインを使ったアクセスに比べて低機能な印象を受けますが、たいていのことは iDRAC 8のウェブからも実行できるので、まぁ日々のメンテナンスなどには十分です。


設定の変更

1. iDRAC 8にログイン
2. 左のメニュー「概要」－「サーバー」を選択
3. 右上あたりの「仮想コンソールプレビュー」の「設定」を選択
4. プラグインの種類を「HTML 5」、キーボード/マウスの連結状態を「自動連結」
5. 右下の適用ボタンをクリックして前の画面に戻る
6. 「仮想コンソールプレビュー」の「起動」をクリック
7. 証明書エラーが出てもそのまま続行
8. リモート接続完了


再起動時にメモリがコケたり、起動順序が間違えていてCDトレイに残したディスクからブートしてしまったなんて時にはこの iDRAC はなかなか便利です。
操作性は java プラグインのほうがまだまだ良い感じではありますが、今後 iDRAC 9 以降ではその差も減ってくるのでしょう。

DELL PowerEdge 14th Generation Servers

Intel がいうところの「ここ10年で最大の進化」である Xeon Scalable Family の発表を受けて、DELL から14世代の PowerEdge が正式発表となりました。

早速 DELL EMC のUSサイトで情報見てみましたが、やっぱりいいですね。
いまのトレンドを全部押さえましたって感じで。

今回いちばん気になったのが、2ソケット1Uサーバの PowerEdge R640。
これまでも PowerEdge シリーズはこの 6x0 シリーズが 1U 最高スペックで、Wave1としてリリースされていたので、今回も予想通りの展開です。

メモリはうちくらいの規模の企業だとそれほど積まないのですが、単体で1.5TBまで詰めるみたいです。高密度サーバなのでメモリどんどん積んでオールフラッシュ、仮想化で詰め込むサーバという感じです。
数百人くらいの規模だと、クラウドも活用したら本社のデータセンターは全部で24Uでいけちゃうんじゃないかと思えてきます。

ドライブは単体で2.5"を12ドライブ（前面10、背面2）、起動ドライブとしてM.2 SSDをRAID構成で組めます。
RAIDコントローラはなぜか従来と同じ H330、H730p が用意されていますが、追加として H740P（8GBキャッシュ。最後の「P」が資料によって大文字だったり小文字だったり、正式名称が良くわからない。）が追加されています。そもそもハードウエアのRAIDコントローラが今後いるのかどうかはあるにしても、RAID 6 あたりが組みやすくなるかもしれません。

オールフラッシュの流れもあり SAS SSD がプッシュされている感じがしますね。
仮想化ホストをたくさん動かすこと考えると、ランダムアクセス性能が圧倒的に高い SSD 中心に組みたくなります。まぁ、全部 SSD だと社内稟議が通らないほど膨大なコストになるため、個人的にはお値段考えて今年の段階では SAS HDD を中心に考えています。
R640は仮想化ホスト前提の作りなので、M.2ドライブやNVMeドライブも結構詰めます。

iDRAC9はまだ実物見てないので何とも。
前評判高いみたいなので、機会を見て DELL のショールームで見てみようかと。
この手の帯域外管理システムは一度使うと戻れません。うちでは新規で購入するサーバは iDRAC Enterprise 以上、PCならば vPro 搭載以外は考えられません。
Windows Update のため遠隔から再起動するときなんて、これらの帯域外管理ができないと、たまたまメモリエラーで起動ストップなんてことになると目も当てられません。
（過去に何度か経験ある）

ネットワークはドーターカード形式なので、Intel 標準にできるのが良いですね。サーバーとして半端ないトラフィックを受け付けるとなると、いまだインテルに一日の長があるように感じています。（感じるだけかも）
5年使う前提で 10GbE 前提の X550 QP でいくか、現実解として X550 DP + I350 DP のコンビにするか。PCI 使わなくても Quad Port までいけます。
仮想化中心であれば、ドーターカードはホストアクセスのために使い、仮想化ゲストは PCIe Gen3 に NIC ばんばん挿してそちらを使えばよいのかと。
10GbE はまだまだスイッチが高いので、1GbE の QP でリンクアグリゲーションして負荷分散というのが小規模企業の現実的なところでしょうか。

VDIの利用が考慮されているのか、NVIDIA NVS310をビルトインすることもできます。
もうこの辺りになってくると Active Directory を導入してフォルダリダイレクトしているようなケースだと、事務職レベルの負荷だと手元にPC要るのかって話です。



超ざっくりですが、Xeon Silver か Gold で 2S 構成にして、メモリ64GB以下、SAS HDD 中心で組んで、OSは Windows Server Standard 構成にすると 120万円～150万円くらいっぽいです。
もう少しメモリ積んで Windows Server を Datacenter にしても250万円でおつり来るくらいなので、5年リースで月額5万円以下。乱立しているアプリケーションサーバを集約するにはいいですね。Windows 10 と RDS のライセンス入れておうちからVPNアクセスのVDIサーバとしてもいいかな。


年末に向けて R440 なども予定されているみたいですし、AMD のアナウンスによれば、EPYC搭載の PowerEdge 出るそうなので、今年後半から来年度にかけては技術交代が目覚ましいことが予想されます。
R3x0/R2x0シリーズはついこの前に Kaby Lake ベースに変わったばかりだから、もう少し後ですかね。この辺も Xeon Bronze もしくは Xeon Silver を中心とした構成になるのでしょうか。個人的にはこのゾーンは逆に AMD が総ナメしてくれても面白いなぁと。


枯れた技術を中心にサーバを構築するならば、現行の 13G サーバはなかなかのお値段で手に入れることができるようです。
Skylake-SP は未知数なところもありますから現行の E5 v4 を買い納めしておくのもいいかもしれません。まぁ、Skylake-SP が安定するころには次の Cascade Lake が見えてきちゃったりしそうなので、やっぱり会社の基本サイクルに忠実に従って、その時点でやや枯れた技術にするほうが安心です。

年末から来年にかけての調達のころには今回の 14th Generation も評価が定まってくることを期待します。

次期ネットワークでは何とか vSAN とか入れたいのですが、もう少し価格下がらないかな。いまのところ3ノードでシステム全体1,500万円前後では手が出ませんが...
（3ノードだとHDDでいうところのRAID5だから、1ノードに障害でたら復旧するまで気が気でなくなってしまう。最低4ノードいるとなると、さすがに厳しい）


HPEさんの10Gサーバはどう出てくるか。

YAMAHAのレイヤ3スイッチとエッジルータ

先月の Interop Tokyo 2017 で参考展示されていた YAMAHA の RTX810 後継ルータの X17（仮称）とレイヤ3スイッチの X18-R。発売がいつになるのか気になりますね。

私が勤める会社では、ルータは主に YAMAHA 製品を使っています。
安定した稼働、日本語サポート、そこそこ多い情報とマニアックな YAMAHA さんのホームページなど中小企業レベルだと十分な感じです。

Azure への接続他、クラウドサービスの接続関連となると、cisco社に一日の長がある感じも受けていますが（AWSについては最近YAMAHAは頑張っている印象）、まぁ、オンプレミス中心に国内複数拠点でVPN組むなんて使い道にはとてもいい感じです。


これまで YAMAHA ではレイヤ3スイッチが無かったため、基幹ネットワークをオールヤマハとしようとするとやたらルータが増える感じでしたが、今後はメーカー統一の運用ができるので期待しています。


また、小規模事業所の真打ルータともいえる RTX810 がバージョンアップされるのは期待度大です。
どうも RTX810 はVPNのスループットが弱かったり、YAMAHA以外のルータと接続する際の接続が不安定になることがあったり、VPN ルータとしてはパフォーマンス的にいまいちな印象があります。

今回 RTX1210 と同じように CPU が PowerPC になったりしたら、ほぼこれで拠点レベルのルータとしては完璧なのではないかと。
個人的にはLANの口が前面に移ったのもありがたい。

YAMAHA のラックマウントキットを使ってルータをラックに収容した場合、差込口が背面にあると指が届かなくて意外と扱いにくい。
前面だと、ケーブルの取り回し設計も楽ですし、抜き差しもしやすいのでこれは改善点ですね。


次回は FWX120 を更新してくれないかなぁ。
社内の内部ルータとしてなかなか使い勝手が良いので、リンクアグリゲーション対応してくれると、ボトルネックを懸念して配置できないところにも道が開けるので。


ここ5年以内くらいに出てくる YAMAHA さんの製品はなかなかツボを押さえていると個人的には思っているので、今回の参考展示が早く発売されないかなぁと思うのでした。

DELL PowerEdge R230 に Windows Server 2016 評価版をインストール（その4：Active Directory ドメインコントローラー）

Windows Server 2016 でドメインコントローラーのセットアップを行います。

前回はドメインコントローラーのセットアップの前に準備することについて説明しました。

今回は

• ドメイン名： CORPNET.example.net
• IPアドレス： 192.168.195.11
• サーバ名： SRV011

という前提でセットアップしてみます。

セットアップ自体はいろいろなサイトで画面付きで細かく説明されているのでここでは簡単にメモを残しておきます。

ドメインコントローラーのセットアップ

Active Directory ドメインサービスのインストール

サーバーマネージャーから「２役割と機能の追加を選択」すると、「役割と機能の追加ウィザード」が開始されます。
「開始する前に」では「次へ」

「インストールの種類の選択」では「役割ベースまたは機能ベースのインストール」を選択し「次へ」

「対象サーバーの選択」ではサーバープールからサーバを選択にチェックが入っていて SRV11 が選択されていることを確認し「次へ」

「サーバーの役割の選択」では「Active Directory ドメイン サービス」にチェックをつけます。

「Active Directory ドメイン サービス に必要な機能を追加しますか？」というウインドウが表示されるので、「機能の追加」をクリック。

もとの画面に戻るので「Active Directory ドメイン サービス」にチェックがついていることを念のため確認して「次へ」

「機能の選択」では何も変更せずそのまま「次へ」

「Active Directory ドメイン サービス」では「次へ」

「インストール オプションの確認」では「必要に応じて対象サーバーを自動的に再起動する」にチェックをつけます。

「自動的に再起動しますか？」という確認画面が出るので「はい」をクリック。
もとの画面に戻ったら「インストール」をクリック。

ドメインコントローラーへの昇格

インストールが終了すると画面の白い部分に「このサーバーをドメイン コントローラーに昇格する」という青文字が出ているので、クリックします。

「配置構成」では「新しいフォレストを追加する」にチェックをつけて、ルートドメイン名を入力する。（今回は CORTPNET.example.net）。入力したら「次へ」

※過去の資料では .local ドメインの利用が例示されてますが、このドメインは MacOS や Office 365 でも内部的に使われていることもあるので、会社のドメインをベースに作成することが現在 Microsoft でも推奨されています。

「ドメイン コントローラー オプション」では
フォレストの機能レベル、ドメインの機能レベルともに「Windows Server 2016」を選択。

※今回は新規のドメインを設定する前提なので Windows Server 2016 を選んでいますが、既存のハードウエアを遠隔拠点のドメインコントローラに追加設定する予定がある場合などは、いちばん古いOSのレベルに合わせます。
例えば、メインのドメインコントローラは Windows Server 2016 だが、バックアップ用のドメインコントローラを既存のハードウエアで後々追加する場合、既存のハードウエアのOSが Windows Server 2012 であれば、フォレストの機能レベル、ドメインの機能レベルは Windows Server 2012 にしておきます。

ドメインコントローラーの機能は「ドメイン ネーム システム (DNS) サーバー」にチェック （グローバルカタログ（GC）は最初からチェックがついている）
ディレクトリサービス復元モードのパスワードは任意（今回はサーバのAdministratorと同じ）
入力したら「次へ」

「DNS オプション」の画面では警告が表示されるが無視して「次へ」

※この警告は今回のDNSが外部から参照される場合は、親のゾーンに関する委任の設定が必要とのこと。Active Directory の構築時にはほかの環境との連動を気にする必要はないので警告は無視しても問題ありません。

「追加オプション」ではActive Directoryのドメイン名に対応するNetBIOS名が表示されるので、そのまま「次へ」

※このNetBIOS名は、先ほど作成したドメイン名の最初のカタマリ（今回でいえば CORPNET）が表示されます。

「パス」の画面ではデフォルトを選択

※Active Directory に関連するファイルの保存場所です。このディレクトリがあるディスクは書き込みキャッシュが無効になるので、他の用途で使っているディスク（例えば共有フォルダとか）を指定しないほうが良いです。
Active Directory のドメインコントローラに使うハードウエアは原則としてほかの用途と共有しないことが原則なので、Cドライブでよいと思います。

インストール前の確認画面が出るので、先ほどまでの内容と違わないか一応確認。

前提条件は▲マークだけでインストールボタンが出ていれば特に問題ないのでそのまま進めます。


正常に構成された場合、自動的に再起動されます。
再起動後、ログインして完了です。

DELL PowerEdge R230 に Windows Server 2016 評価版をインストール（その3：Active Directory インストール前に）

前回はサーバの基本的な設定を行いました。
いよいよサーバ機に Active Directory ドメインサービスをインストールしてみたいと思います。

この Active Directory ドメインサービスをインストールするサーバ機を「ドメインコントローラー」と呼びます。なので、これからの作業は「ドメインコントローラーの準備」ということになります。

Active Directory ドメインサービスのインストールと初期セットアップ方法については、いろいろなサイトで紹介されつくしている感もあるので、実運用に即した部分を中心に書いてみようと思います。

最初に準備すること

サーバ機も用意した！
初期設定も終わった！

となると、どうしても今すぐに Active Directory を入れてみたくなるものですが、Active Directory をインストールする前に考えておいたほうが良いことがいくつかあります。

ものの本にはやれ組織設計がどうだとか、ハードウエアの物理的配置がどうだとかいろいろあるのですが、中小企業というか小企業レベルではあまり重要度が高くない話だったりします。

システム屋さんでは当たり前に考えてしまう部分が、意外と中小企業では大切だったりするのです。このあたり、適当に始めてしまうと後々修正が大変だったりするので、まずはあらかじめ社内で検討しておいたほうが良いことをまとめました。

1. ドメイン名

Active Directory は「ドメイン」という単位で管理を行います。
そのために「ドメイン名」という Active Directory における管理名を決める必要があります。

「ドメイン名」はインターネットで使われている yourcompany.co.jp のようなものと同じで、組織を指し示すラベルです。

ものの本には Active Directory では yourcompany.local のような名前を付ける（言い換えれば co.jp とかにしない）ことが例示されていますが、いまはこのような名前は当の Microsoft 社も推奨していません。

Selecting the Forest Root Domain : Microsoft Windows IT Center
https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/plan/selecting-the-forest-root-domain
（赤色背景のところに "we do not recommend using unregistered suffixes, such as .local." と書いてある）

ドメイン名は  COMPANYNET.yourcompany.co.jp のような、自社で所有しているインターネットのドメインに文字を加えたサブドメイン型か、新たにドメインを用意（yourcompany.net など）してそれを Active Directory 専用に使うということも考えられます。
お名前.com のようなレジストラ（ドメイン登録業者）から購入したドメインは、他の組織とは重複することがないので、今後の運用上望ましいとされています。

Active Directory のドメイン名は一度決定すると変えるのが非常に面倒なので、この大文字で書いた COMPANYNET の部分についてはあらかじめ社内で了承をとっておいたほうが良いと思われます。

なお、後程会社が合併などをしてほかの会社の Active Directory にあるドメインと統合しようとしたときに、COMPANYNET の部分が重複しているとうまくいかないことになります。このため COMPANYNET の部分はあまり重複であろうと思われるものにしておくべきです。

例）
TOKYO.yourcompany.co.jp
みたいなドメイン名だと、

TOKYO.othercompany.com
というドメイン名を持つ企業と合併し、システムを統合しようとするときに面倒なことになる。

2. 管理者およびパスワード

Active Directory を構築すると、すべての社内リソースを管理したくなります。（でないと導入の意味があまりない）

言い換えると、社内の情報が一か所に集約されます。社内の情報が集約され、誰かがそのシステムを管理するということになるので、まずその管理者が必要になります。Active Directory の世界では Administrator ユーザーのパスワードを知っている管理者は神と同じ存在です。

会社のすべての情報を握ることができる管理者ですが、その人に万が一のことがあると誰もそのシステムを管理できなくなってしまいます。なので、インストールする人だけではなく、サブのバックアップ管理者が必要になります。

パスワードについては、わかる人なら覚えやすいが、類推することが難しようなものにしておくのがいちばんです。日本語をアルファベット化したものを混ぜると海外の辞書攻撃に強くなるでしょうし、代表電話番号をさかさまにしたものを付け加えたりとその会社の人だとヒントがあればわかるけれど、その会社を知らない人であれば思いつきもしないというのも一つの例です。

どうしてもほかの管理者が用意できない場合はパスワードを書いたメモを最高権限者である社長に渡し、必要に応じて使ってもらうという体制が良いでしょう。
その際に、どれだけそのパスワードが重要かを説明して、会社の実印レベル以上で管理をしてもらうことをお願いすることを忘れなく。

Windows Server では既定のタイミングでパスワードが変わりますので、そのタイミングで周知やメモの更新を行う必要があります。

3.  IPアドレス

IPアドレスについては前回設定していますが、もう一度そのアドレス体系でよいのか熟考です。

Active Directory ドメインサービスをインストールしたサーバー（ドメインコントローラー）は DNS を兼ねるため、そう簡単にIPアドレスを変更できなくなります。

安易にルータの初期値であるネットワーク（例えば192.168.100.0/24）を使って 192.168.100.5 なんてのにしてしまうと、後で後悔することになるかもしれません。

すでに業者さんが入っていて、管理契約上変えられないということならば仕方がありませんが、せめて 192.168.167.0/24 などのおおよそ他人は使いそうもないネットワーク体系に変更ができないかを考えておいたほうが良いかもしれません。

また、そのネットワーク内でのサーバのIPアドレス（末尾1つの決め方）についても、ルータが 192.168.167.1 だから次に空いている番号の 192.168.167.2 にするよりも、今後のサーバ台数の増加も想定して 192.168.167.11 から初めて、順次増やしたら 12、13 にしていくとか、ある程度の今後の見通しで番号を決めるべきです。

4. サーバ名

こちらも前回設定したことの再考です。
サーバ名はドメイン内で重複しなければなんでも良いですが、1つのサーバ（正確にいうとIPアドレス）に対して複数の別名を付けることもできるので、Active Directory ドメインサービスをインストールするサーバについてはサーバ名をわかりやすくしておきます。

例えば...

役割で決めるのであれば
AD01 ・・・ 1台目のドメインコントローラー
AD02 ・・・ 2台目のドメインコントローラー

IPアドレスをもとに決めるのであれば
SRV11 ・・・ IPアドレスが 192.168.167.11 のサーバー

といったようになんでも良いですが、今後の管理がしやすくなる名前が良いです。
古き良きインターネットの時代は
kisuge
といった任意の名前をサーバにつけていたこともありますが、結果的に管理がしづらくなってきます。（以前はサーバ機が高級品であったこともあり、品のある名前や思い入れのある名前を機械につけていた）

5. 物理的な設置場所

ドメインコントローラーがストップしてしまうと保管されたデータにアクセスできないといった障害が発生します。

なので、ドメインコントローラーは安全で風通しの良い（できれば温度の低い）場所に保管されている必要があります。

サーバールームがあればいいですが、それが準備できない場合でも、社内で比較的温度が低く、ほこりが少なく、他人の目に触れにくい場所に設置します。

ラックマウントサーバをサーバラックに収容するのがいちばんですが、結構音がうるさいので事務所内設置であればラックマウント型よりタワー型のほうがいいですね。設置の際にはワイヤーロックを忘れずに。

こちらも一度 Active Directory のサービスを開始したらできる限り物理的に移動させたくないので、あらかじめ場所を決めてからセットアップしたほうが良いのかなと思います。



次回はいい加減にドメインコントローラーのセットアップに入ろうかと...

DELL PowerEdge R230 に Windows Server 2016 評価版をインストール（その2：Windows の初期設定）

前回は DELL PowerEdge R230 のファームウエアをアップデートして、Windows Server 2016 のインストールまでを行いました。

動作が確認できましたので基本的な設定を進めます。

リモートログインの設定

まず初めにリモートデスクトップで作業ができるようにします。
これをやらないと、作業のたびにサーバ機の前にいかなくてはならないので面倒ですし。

1. IPアドレスの変更

コントロールパネルからIPアドレスを変更しておきます。

2. リモート接続の許可

「コントロールパネル」－「システムとセキュリティ」－「システム」から、左のメニュー「リモートの設定」を開き
・このコンピュータへのリモート接続を許可する(L)
にチェックを入れる

3. サーバ名の変更

「コントロールパネル」－「システムとセキュリティ」－「システム」からコンピュータ名を変更します。
再起動が促されるので再起動します。

ネットワークの設定（NICチーミング）

今回は NIC が二つあるので、せっかくなので NIC チーミングを使います。
なお、この作業はリモートで設定すると接続できなくなる可能性がありますので、ローカルコンソールから作業をするほうが良いと思います。

NIC チーミングとはリンクアグリゲーションと呼ばれるものとほぼ同じ（だと思う）です。2つ以上のネットワークインターフェイス（NIC）を束ねて一つのIPアドレスを割り当てて、負荷分散と障害対策を行います。

NIC チーミングは NIC を束ねるので、1Gbps の NIC が2枚ある場合は合計2GBの帯域を使うことができます。
ただ、2本のLANケーブルが太い1本になるわけではなく、あくまでも2本とも同じIPアドレスを割り当てるだけなので、個別のデータ転送は最大1Gbpsであることには変わりがありません。大きなサイズのファイルを短時間で転送するという効果はあまり見込めません。
一方でたくさんの人がアクセスするようなサーバであれば、AさんとBさんが別のルート（ケーブル）で同時に通信できるので、組織全体ではレスポンスの向上を期待できます。

NICチーミングを使うためにはリンクアグリゲーションに対応したルータが必要になります。ここでは YAMAHA の SWX2300 シリーズを使うことにします。

スイッチの設定

始めに YAMAHA SWX2300 で NIC チーミングの設定をしておきます。
（詳しくは後で書こうと思いますが、いったんはYAMAHAのサイトへのリンクを貼ります。

SWX2300シリーズ 技術資料
http://www.rtpro.yamaha.co.jp/SW/docs/swx2300/index.html

Windows Server 2016 側で LACP モードを選ぶと Active 状態になるため、SWX2300 側では LACP 論理インターフェースの設定で Passive 状態にします。
（Active 設定をするとつながらない）

私はまず Web インターフェースでスイッチの IP アドレスだけを変更して、後は Telnet によってリングアグリゲーションの設定だけを行いました。
今回はポート3と4を束ねます。

L2SW(config)#interface ge3
L2SW(config-if)#channel-group 10 mode passive

L2SW(config-if)#interface ge4

L2SW(config-if)#channel-group 10 mode passive

L2SW(config-if)#exit

L2SW(config)#interface po10
L2SW(config-if)#port-channel load-balance src-dst-ip
L2SW(config-if)#no shutdown

あたりで動きました。

Windows Server 2016 側の設定

「サーバーマネージャー」－「ローカルサーバー」から NIC チーミングを有効にします。

NIC チーミングのウインドウでは左下「チーム」の「タスク▼」から「チームの新規作成」を選びます。

チームの新規作成では
・チーム名を適当につけます（なんでもよいですが私は「（サーバ名）NIC」にしています。
・メンバーアダプターから「NIC1」「NIC2」にチェックを入れます。
・追加のプロパティをクリックしてチーミングモードを「LACP」負荷分散モードを「動的」にします。
・OKをクリックします。

「ネットワークと共有センター」から「アダプターの設定」を選ぶと、見慣れないアイコンのある NIC チーミングアイコンができているはずです。

これを通常のネットワークインターフェイスと同じように右クリックのプロパティで IP アドレスを設定します。

問題が無ければ NIC チーミングのウインドウで緑色丸印付きで「OK」が表示されます。
リモートデスクトップからアクセスできれば設定終了です。

Windows Update

Windows Update の設定をします。
Windows の設定から「更新とセキュリティ」ー「詳細オプション」を選択します。サーバー用途であるので、意図しない大型アップデートを防ぐため
・機能の更新を延期するにチェックを入れます。

終わったらいったん Windows Update をするために前の画面に戻って「更新プログラムのチェック」を行います。

Microsoft Defender

Windows Server 2016 からはついにウイルス対策ソフトウエアが標準装備されました。
このソフトの能力については「それほどでもない」という意見も見られますが、天下の Microsoft 謹製ソフトウエアですので、クラウド上でのパターンマッチングなど、Windows 7 時代の Security Essential からどんどん進化してきています。

中小企業ではコーポレート版のウイルス対策ソフトでサーバを保護しているケースが意外と少なかったりもしますが、Windows Server 2016 からはその点は最低限の保護が出てきたことには大きな意味があると思っています。

「Windows の設定」－「Windows Defender」から「Windows Defender を開く」をクリックすると、初回のみ「Windows Defender の新機能」ウインドウが開きます。画面左下の「有効にする」をクリックしてから閉じます。



ここまで終われば次は Active Directory の設定をします。

DELL PowerEdge R230 に Windows Server 2016 評価版をインストール（その1：Lifecycle Controller の更新）

今回のサーバ構築にあたり、いろいろと実現してみたいことがあります。
そのテスト環境として手元で空いている開発用のサーバを使って Windows Server 2016 評価版を使って実験することにしました。

私の勤める会社では年間のスポット業務のためのサーバがあり、プロジェクト期間以外はテストや開発に使われていたり、一部は使われていなかったりもするので、今回はこれらのサーバを使ってテストします。

実験環境のサーバ構成

1. ドメインコントローラー

ドメインコントローラは200名程度までであればあまりスペックにこだわる必要もないのかなと思います。
実環境ではハードウエアRAID（DELLのH330あたり）を想定しますが、テスト機は標準のソフトウエアRAIDを使います。
（というか、開発テスト機には RAID コントローラーをつけていないので）

【サーバ本体】DELL PowerEdge R230
【シャーシ】 3.5" HDD 2台
【CPU】 Intel Xon E3-1220 v5 3.0GHz 8M 4C/4T
【メモリ】 2133MT/s UDIMMs 8GB
【RAID】 RAID1、PERC S130
【HDD】 2TB SATA, 3.5", 7.2K RPM, 6Gbps *2
【ネットワーク】 オンボード LOM 1GBE
【OS】 Windows 2016 Standard（評価版RS1を使用）

2. ファイルサーバー

ファイルサーバも開発用を使っているのでほぼ同じ構成です。
ふだんは Linux のテスト環境に使っているサーバです。

【サーバ本体】DELL PowerEdge R230
【シャーシ】 3.5" HDD 2台
【CPU】 Intel Xon E3-1220 v5 3.0GHz 8M 4C/4T
【メモリ】 2133MT/s UDIMMs 8GB
【RAID】 RAID1、PERC S130
【HDD】 4TB SATA, 3.5", 7.2K RPM, 6Gbps *2
【ネットワーク】 オンボード LOM 1GBE
【OS】 Windows 2016 Standard（評価版RS1を使用）


とりあえずこの2台を使って仮のサーバ構築を行います。
Windows Server 2016 評価版では Datacenter エディションを使うこともできます。
今回は今後構築する実環境に合わせて、Standard エディションで構築・テストします。

ドライバパックの更新

DELL の PowerEdge への OS インストールは Lifecycle Controller を使います。
今回のハードウエアは購入時期の関係でそのままでは Windows Server 2016 をインストールできません。（Lifecycle Controller でインストール OS リストに表示されない）

このため、まず初めに Lifecycle Contoroller （ドライバパック含む）を更新することにします。

DELL EMC Server Update Utility のダウンロード

DELLのサポートから PowerEdge R230 のドライバダウンロードページに行き、必要なソフトウエアをダウンロードします。
ダウンロードしたデータはいったんローカルの PC に保存しておきます。

DELL PowerEdge R230のサポートページ
http://www.dell.com/support/home/jp/ja/jpbsd1/product-support/product/poweredge-r230/drivers

次のファイルをダウンロードします。
・DELL EMC Server Update Utility, Windows 64 bit Format, v.XX.XX.XX
（XX.XX.XX はバージョン番号、この記事時点では v.17.04.00）

・DELL EMC Driver Pack For Windows OS, v.XX.XX.XX
（XX.XX.XX はバージョン番号、この記事時点では v.17.04.00）

ダウンロードした ISO ファイルの内容を USB メモリに保存します。

Windows 10 であれば ISO をダブルクリックすると ISO ファイルの内容が参照できますので（zipファイルみたいな感じ）、それを USB メモリにコピーします。

Windows Server の ISO ファイル入手

インストールに必要な ISO ファイルは Microsoft TechNet Evaluation Center からダウンロードできます。

今回は PowerEdge R230 で当初からサポートされている Windows Server 2016 の最新版 ISO をダウンロードします。
こちらもいったんローカルの PC などに保存します。

Windows TechNet Evaluation Center - Windows
https://www.microsoft.com/ja-jp/evalcenter/evaluate-windows-server-2016

こちらは ISO ファイルを右クリック「ディスクイメージの書き込み」機能を使って DVD に焼いておきます。

ファイルサイズが大きいため、今回は DVD+R DL（二層）8.5GB のディスクに焼いています。

ファームウエアのアップデート

あらかじめ先に作成した DELL Driver Pack の USB メモリを背面の USB ポートに挿しておきます。

起動時 F10 キーで Lifecycle Contorller を起動します。
初回起動の場合は Initial Setup Wizerd が起動します。

〇Step 1 of 5: Language and Keyboard Selection
  Langage は「日本語」
  Keyboard Type は「Japanese」
  「Next」をクリック

※この設定以降は表示が日本語に変わります。

〇手順 5 の 2:製品 概要
そのまま「次へ」

〇手順 5 の 3:Lifecycle Controller のネットワーク設定
・NIC カード：デフォルトの Broadcom NetXtreme Gigabit Ethernet (Embedded NIC 1)
・IPv4 ネットワーク設定
（デフォルトのまま）「設定なし」
・IPv6 ネットワーク設定
（デフォルトのまま）「設定なし」
「次へ」をクリック

※「IPv4ネットワーク設定を保存できません」というエラーは無視する（「OK」をクリック）
※「IPv6ネットワーク設定を保存できません」というエラーは無視する（「OK」をクリック）

〇手順 5 の 4:iDRAC ネットワークおよび資格情報の設定
・IPv4 設定
（デフォルトのまま）
資格情報
・アカウントユーザー名： root
・パスワード： 任意のパスワードを設定します。
「次へ」をクリック
警告ウインドウの「設定変更を保存しますか」は「はい」

〇手順 5 の 5:概要
表示されている内容を確認して（といっても何もすることがない）「終了」をクリック


再度 Lifecycle Controller 画面に戻ります。

左のメニューから「ファームウエアアップデート」を選択
まずは「現行バージョンの表示」をして内容を控えます。
・BIOS
・Broadcon Gigabit Ethernet BCM5720
・Broadcon Gigabit Ethernet BCM5720
・Dell 32 Bit uEFI Diagnostics
・Dell OS Driver Pack
・Integrated Dell Remote Access Controller
・Lifecycle Controller
・OS COLLECTOR
・System CPLD

前の画面に戻り「ファームウエアアップデートの起動」を選択
〇手順 3 の 1:アップデートリポジトリの選択では「ローカルドライブ (CD/DVD/USB)
「次へ」をクリック

〇手順 3 の 2:アクセス詳細の入力
・ローカルドライブから USB を選択（あらかじめ挿しておいた USB が認識される）
「次へ」をクリック
ディスクのイメージ検証が行われます。

〇手順 3 の 3:アップデートの選択
使用可能なシステムアップデートでダウンロードした ISO ファイルのバージョン番号が表示されていることを確認して「適用」をクリック

Lifecycle Controller の画面に戻るので再度「ファームウエアアップデート」の画面から Dell OS Driver Pack が新しいバージョンに更新されているかを確認します。


次いで、USB メモリ を DELL EMC Server Update Utility に差し替えて再度「ファームエアアップデート」を選択します。

同じような感じで進みますので、「手順 3 の 3:アップデートの選択」で次のものにチェックをつけて進みます。
コンポーネント
・Dell 32 Bit uEFI Diagnostics, version
・BIOS
・Integrated Dell Remote Access Controller
「適用」をクリック

これでファームウエアのアップデートは完了です。

Windows Server 2016 のインストール

DELL のサーバでの Lifecycle Controller を使ったインストール方法は DELL のサイトに詳細が載っています。

DELL Knowledge Base - 第13世代のPowerEdgeシリーズにおけるOSインストール手順
http://www.dell.com/support/article/us/en/19/SLN299524/第13世代のpoweredgeシリーズにおけるosインストール手順?lang=JA

今回、なぜかインストール DVD を認識されず進みませんでした。
しかたがないので再起動して「F11」キーで Lifecycle Controller を使わずに直接 DVD から起動してインストールを試みました。

途中、S130 のドライバがないためインストール先のディスクが表示されませんでしたが、DELL のサポートサイトにある
・・Windows Server 2016 64bit driver for PERC S130 Controller
をダウンロードして強制的にインストールしてみたところ何とか Windows Server 2016 が入りました。

ちなみに、この S130 のドライバは
管理者権限のあるPCでダウンロードしたファイルをダブルクリック し、「Extract」をクリック（間違って「Install」をクリックしない）
任意のフォルダ（私は C:\temp\PERCS130を作成）に展開しておきます。
インストールプロセスで「ドライバーの読み込み」ー「参照」で USB ドライブ（たぶん C:）ー PERCS130\payload\win2016 を選択して「OK」でインストールできます。


実はこの後もう一度 Lifecycle Controller でインストールを再度最初から試みたら今度は DVD が認識されちゃったんです... なんでだろう？


Windows の CD が起動した後は

1. インストールする言語の選択画面
デフォルトで進めます。

2. 「今すぐインストール」を選択

3. エディションの選択では「Windows Server 2016 Standard Evaluation (デスクトップ エクスペリエンス)」

4. ライセンス条項は「同意します」にチェック

5. インストールの種類を選んでくださいでは「カスタム：Windows のみをインストールする（詳細設定）」

6. ※重要※既存のシステムと共存の場合はこのオプションは注意してください。あくまでもデータがないハードウエアもしくは、すべてのデータが消えても良いハードウエアである前提です。
Windowsのインストール場所を選んでくださいではいったんすべてのドライブを「削除」して、「ドライブ 1 の割り当てられていない領域」だけにしてから「次へ」

7. Windows Server のインストールが始まります。

8. インストール中に再起動が行われ、初回起動します。

9. 管理者（Administrator）パスワードの設定
ユーザー名 Administrator のパスワードを設定します。複雑かつ忘れないものを入れます。

10. サインイン
Windows 10 にそっくりの画面が表示されるので、先ほど設定したパスワードでサインインします。


以上でインストール自体は完了です。
運用系のサーバであれば細かな設定をしていきますが、今回は PowerEdge R230 の Lifecycle Controller 周りを更新するためだけなのでとりあえず開いたウインドウはそのまま閉じるかデフォルト値で設定しておきます。

長くなったので続きは次回。

中小企業の社内ネットワーク構築（ルーター設定編）

まず初めにルータを設定してインターネット回線を開通します。

用意するもの
・YAMAHA RTX1210
・OCNプロバイダ契約（ビジネス用途ならできればIP 1固定が望ましい）
・LANの接続口があるノートPC


ルータは安心のYAMAHA製です。
ビジネス向けのルータと言ったらCiscoが最鉄板、YAMAHAが中小企業最強といったところです。
マニアを目指すなら古川電工のFITELnetとかNECのUNIVERGEあたりもパフォーマンス的に申し分ない感じではありますが、いかんせん情報量が少ないので中小企業の担当者が自前で構築するのは骨が折れるだけです。
周りにこのルータのベテランがいたり、取引先の関係で手厚いサポートが受けられるということでなければYAMAHAを第一に選択することをお勧めします。


プロバイダに関しては正直どこでもよいと思っています。
取引先で契約できるところで決めればよいのかなと。
業務用であれば固定IPアドレスの契約を推奨します。アクセス制限などいまだIPアドレス制限をかけているところは多いですし、VPN接続の設定も容易です。
私の勤める会社ではOCNを使っています。


設定にはノートPCを使います。
こちらも正直なんでもよいです。
RTX1210はウェブインターフェイスを持っているので、とりあえずブラウザがあれば基本的な設定ができますし、ウェブインターフェイスからコマンドを入力することもできるので扱いやすいです。真の上級者であればシリアルコンソールからコマンドをたたくほうが早いし直観的だと思います。一方でルータマニアではない人にとってはウェブからサクッと設定して、足りないところはウェブのコマンド入力画面で追加するといった使い方のほうが手間いらずです。
YAMAHAのルータはダッシュボード機能もなかなか使い勝手がよいので、コマンドライン型の人もウェブアクセス画面を見てみるのもよいかもしれません。


★ルータの初期設定

まず初めにルータを設置します。
Flet's 光契約をすると、ONUと呼ばれる白か黒の機械がNTTより設置されます。この機械のLANの口と、RTX1210のLAN2をケーブルで接続すると準備完了です。

接続が終わったらマニュアルに従ってプロバイダの設定、と行きたいところですが、最初にLAN周りを設定します。

LAN設定→プロバイダ設定の順に行わないとIPフィルタの設定がうまくいかない感じなので、まずはLAN周りから始めまることが鉄則です。

設定の順番としては（すべてWeb画面：初期値は http://192.168.100.1/）

1. 「かんたん設定」の「基本設定」ー「日付と時刻」にある「■日時の同期」から設定を行います。
・同期日時を「毎日」「03:04:05」、問合せ先NTPサーバーは ntp.nict.jp にします。
同期の時刻はなんでもよいのですが、夜間などネットワーク負荷が低い時間が良いと思います。秒数も適当にすることで負荷の少ない時間を狙っています。

2. 「かんたん設定：－「基本設定」－「管理パスワード」
初期値ではパスワードがないので、適当なパスワードに設定します。「パスワードの暗号化」は「暗号化する」にチェックを入れてください。

3. 「詳細設定」－「LAN」からLAN1の設定をします。
○プライマリーIPアドレス
　手動設定にチェックを入れ「10.231.1.1/255.255.255.0」にします。
　IPアドレスの変更に合わせて、その他の～」にチェックがついていることを確認します。
○セカンダリーIPアドレス
　手動設定にチェックを入れ「10.231.5.1/255.255.255.0」にします。
　IPアドレスの変更に合わせて、その他の～」にチェックがついていることを確認します。（ついていてもいなくても結果は一緒だが、つけても不都合はないので）

IPアドレスを変更した後は、一度ノートPC側のLANケーブルを引っこ抜いて再度差しなおすと新しいIPアドレスに再割り当てされますので、インターネットエクスプローラーを一度閉じてから開きなおしてアクセスしなおします（http://10.231.1.1）

キモはセカンダリーIPアドレスを設定することです。

この設定をすると、ルータのLAN1と書いてある8つのポートが 10.231.1.2～254、10.231.5.2～254の二つのサブネットをひとつのグループとして扱うことができます。

YAMAHAのルータでは VLAN と呼ばれる仕組みで分割することもできますが、細かな制限を意図していない段階ではセカンダリーIPアドレスとして設定するほうが楽です。

4. 「詳細設定」－「DHCPサーバー」から「DHCPによるアドレス割り当ての一覧」で「設定」を選びます。

IPアドレスの範囲を 10.231.1.2 ～ 10.231.1.254 に変更します。

（最後の末尾を254までにする）

5. 「かんたん設定」－「プロバイダー接続」を選びます。

ここはマニュアルを参照してください。

基本はデフォルトのまま進めても問題ありません。

ここまで終わったらインターネット接続ができているかを確認します。

　

中小企業の社内ネットワーク構築（基本設計編）

企業のネットワークを構築する際に、最初に考えなくてはならないことが「社内ネットワークの設計」です。

ここは意外と意識されていないことが多く、IPアドレスなどはデフォルト値をそのまま使っているケースも多いです。
1社1拠点で運用している限りはあまり意識しなくても問題は起きにくいのですが、拠点間運用を始めたり、外部との接続が必要になってくると問題になってくるケースが出てきます。
一度運用が始まってしまうとなかなか変えにくい部分なので、「なぜここを考慮したほうが良いのか」という点を踏まえて設計してみたいと思います。


今回のネットワーク設計変更でいちばん実現したかったのが

「社内のネットワークから 192.168.1.0/24 をなくす」

というテーマでした。

のっけから専門的な記載をしていますが、この部分はとても大切なところだと思うので少し細かく説明します。

市販されているルータを使ってインターネットに接続するとき、内部アドレス（ローカルアドレスとも呼ばれる）を設定する項目があります。

一般的には

・192.168.100.0/24 （YAMAHAルータの初期値：192.168.100.1から192.168.100.254）
・192.168.10.0/24 （NECルータの初期値：192.168.10.1から192.168.10.254）
・192.168.12.0/24 （Buffaloルータの初期値：192.168.12.1から192.168.12.254）

あたりがあらかじめ設定されています。

ここで「/24」というのはピリオドで区切られた最後のカタマリの数字が1から254を指す置き換え表現だと思ってください。

※厳密には0から255なのですが、0と255は特殊な用途で使われて表には出てこないのでここでは1から254としています。


インターネットに接続するためには、それぞれの機器にIPアドレスを割り振る必要があります。電話における電話番号のようなものです。
お互いの機器が正しく通信するためには、それぞれの機器でIPアドレスが重複しないように割り当てなければなりません。

電話番号のようにあるところから重複していないことが確実な番号が割り当てられれば良いのですが、バラバラな番号を割り当てられても不便ですし、インターネットに接続する機器が爆発的に増えている現状では数が足りなくなってきました。このため単純に販売する1つのハードウエアごとに番号をあらかじめ割り当てるのは難しいのです。


そのため、一般的にインタネットに接続するためには、ルータと呼ばれる機械を使ってこの問題を解決しています。（厳密にはルータが提供するNATまたはIPマスカレードという機能を使って）

ルータはプロバイダから割り当てられた1つ（以上）のIPアドレス（これをグローバルIPアドレスと呼びます）と、複数からなるローカルアドレスというものを変換しています。

社内間では内線番号が通知されますが、社外にかけるときは相手に内線番号ではなく外線番号が通知される交換機と同じようなことをしています。

ローカルアドレスとは電話の内線番号みたいなものです。内線番号なのでローカルアドレスは次のものから好きなものを選んでつけることができます。

・10.0.0.0から10.255.255.255.255
・172.16.0.0から172.31.255.255
・192.168.0.0から192.168.255.255

つまり、10.5.12.0/24 とか、172.30.18.0/24 とか好きなものを選べます。

このあたりは深く追及するといろいろあるのですが、とりあえず「.」で区切られた最初の3つがひとカタマリで、最後の1つのカタマリが1から254まで割り当てることができるくらいに考えてください。200名位までの中小企業であれば、この考えで構築するのがシンプルですし、慣れて来る頃にはネットワーク体系の付与の仕方が徐々にわかるようになります。

つまるところ、上記の中から、最初の3つのカタマリをひとつのグループとして、最後のひとカタマリをそれぞれの機器で重複しないように割り当てるということになります。

そういうことなので、YAMAHAは 192.168.100 を、NECは192.168.10 を、Buffaloは192.168.12 を選んでいます。


で、ここで「所詮内線なのだから何を選んでもよいじゃないか、初期値でも何か問題あるのかな？」と思うことは自然です。

大半のケースでは初期値を使っても問題になることはありません。
大規模なネットワークを作ったり、VPNで複数個所とつなぐような場合は相手先と重複するものが存在してしまうと何かと不都合なので、ローカルアドレスはできる限り重複しにくいものを計画的に付与したほうが良いのです。


一般的にルータの初期値は 192.168.XXX という状態なので、10から始まる体系か172から始まる体系にしておくほうが他の人が選んだものと重複しにくいと考えられます。

私の勤める会社では一時的にお客様先とVPN接続をすることがあるのですが、お客様先で192.168.1.0/24 が使われていることがあったりすると、通信がうまくできないことがあり、とても面倒です。

お客様が何を選んでいるかを先に知ることはできないので、あらかじめ重複する確率が低いIPアドレス体系を選んでおいたほうが何かと無難です。


今回はルータが属するゲートウェイサブネット、サーバ群が属するサブネットA、社内のPCが属するサブネットBに分けました。
（ここでの説明では「サブネット」とはさいしょの3つのカタマリが同じグループ」と考えてください）

小規模だとネットワークを分けずに1本でもよいでしょうが、後々アドレスが足りなくなることもありますので（1から254までの合計254個しか使えない）、用途別に分けておいてもよいと思います。

今回の構成（例）

・本社のメインネットワークには 10.231.1.0/24
・本社のサーバ系ネットワークには 10.231.5.0/24
・本社のPC系ネットワークには 10.231.11.0/24
・支店のメインネットワークには 10.232.1.0/24
・支店のPC系ネットワークには 10.232.11.0/24

ここで注目すべきは2つ目の塊の数字です。
今回は本社に231、支店に232を割り当てています。
最初の塊が10から始まるものは2つ目の塊に0から255までの好きな数字を割り振ることができます。

ここでは本社と支店という物理的なエリアがわかるように数字を分けています。
231という数字にはあまり意味がありません。
10.1.0.0/24とか、10.20.30.0/24とかいう数字だと何となくほかの人も使いそうですので、あえて使われることがなさそうな後半の適当な番号を選んでいます。

また、3つ目の塊でそのネットワークに接続されている機器が大体何かをわかるようにしています。1なら通信の関連機器、5ならサーバ関連、11ならPCと。
10.231.11.100 というIPアドレスを見るだけで、本社にあるPCだということがわかります。
また、サーバ系とPC系のネットワークを分けておくと最初の設定はちょっとだけ面倒になりますが後々制限をかけたり緩めたりするのに便利です。

上記の構成をとろうとすると、本社で3つのサブネット、支店で2つのサブネットが必要になります。

※実際には、既存のネットワークを移行する期間もあり、私の勤める会社では移行期間限定で 192.168.1.0/24 のネットワークを残しています。
（当初の目的が達成されていないじゃん、という声も聞こえそうですが、動いているシステムを変更する際にはいろいろ調整があるので、将来を想定したネットワークを作り、徐々に変更するのも一つの方法です）
このためネットワークがやや複雑になっているのですが、ユーザーに影響を与えないための移行って案外面倒なのです。
なので、最初からよくよく考えられたネットワークを構築するということはとても重要なことなのです。

今回は、この移行期間のネットワーク部分は無視して説明を書こうと思います。


採用したハードウエアと割り振ったIPアドレス
本社メインネットワーク
Gateway Subnet （10.231.1.1 - 10.231.1.254）
・外部接続ルータ（YAMAHA RTX1210 LAN1 Primary） 10.231.1.1
・外部ー内部のファイアウォール（YAMAHA FWX120 LAN2） 10.231.1.11

サーバ群ネットワーク（10.231.5.1 - 10.231.5.254）
・外部接続ルータ（YAMAHA RTX1210 LAN1 Secondary） 10.231.5.1
・Active Directory サーバ 10.231.5.11
・ファイルサーバ 10.231.5.12
・セキュリティサーバ 10.231.5.13

本社PCネットワーク (10.231.11.1 - 10.231.11.254）
・内部ーゲートウエイファイアウォール（YAMAHA FWX120 LAN1） 10.231.11.1
・ローカルPC01 10.231.11.101
・ローカルPC02 10.231.11.102

みたいなレイアウトで構築していきます。

中小企業の社内ネットワーク構築（はじめに）

業務でPCやインターネットをあたりまえに使うようになった現在でも、中小企業が社内でネットワークを一から構築するというのはまだまだ難しい気がしています。

・インターネットは付属ドキュメントの設定例に従ってほぼデフォルトのまま。
・サーバの導入ではなく、PCの共有ファイルを使っている。

なんてケースはしばしばみられます。

経営上余裕があればこの辺りは外注でばっちり固めることができますが、ルータの設定で10万円とか、Active Directory を入れてファイルサーバ構築なんてなると設定日だけで軽く100万円超とか、街の頑張る中小企業にとってはなかなかの負担です。

私が勤務する会社でも、「万が一を考えて、基本的な設定は外部にやってもらおう」なんて方針がある時期に出たので、本社－拠点間のVPN接続を業者さんにお願いしました。技術的にどのような設定をするのかとても興味を持っていましたが、結果テンプレ的な設定がされていて、ルータのWEB画面から設定したのと大差がありませんでした。

たまたま依頼した業者さんの方針が最小限の設定で動かすということだったのだと思います。あまりガチに固めてしまうと、ちょっと何かをやろうとしたときに「つながらない」なんてことが頻発しますので。

ユーザー側が詳しくない場合は、そのあたりの指示をしっかりできないと思うので結構な費用を払ってアセスメントとアドバイスをしてくれるようなスゴ腕インテグレータでないとリスク回避ができないかもしれません。

自社設定における万が一の時の状況を担保するのであれば、パスワードを会社の金庫にでも入れておいて、あとは詳細な設定メモとコンフィグファイルを置いておけばよいのかなと。
設定メモがあれば業者さんは理解できるでしょうし、コンフィグ取っておけば、ハードウエア故障があっても似たもの作れますし。


で、お金があれば何とでもなるとはいえ、たいていの企業ではIT予算なんてIT屋さんが考える基準の1/3位しかありませんし、できる範囲を社内で頑張ってやらざるを得ない状況が多いと思います。


今回、私が勤める会社でネットワークの見直しがありましたので、自分の忘備録と勉強を兼ねて、中小企業の社内ネットワーク構築についてまとめてみようと思います。


ちなみに私は10代の頃にISPでのアルバイトを皮切りに、20代前半まではITインフラ系企業、現在では従業員50名くらいの企業のいちおうIT責任者をやっています。「いちおう」というのは、現在はITセクションがメインではなくて、他セクションとの兼務であり、時間的にも全体の3割くらいしか使っていません。

なので、技術を日々磨いているプロの皆さんには程遠く、スキル的には中小企業レベルで最低限必要としている機能、くらいしか使っていないと思われます。
真のITプロフェッショナルからすると「その程度？」というものもあるかもしれませんし、新しい技術に取って変わられているものもあるかもしれません。そのあたりを念頭に見てもらえればうれしいです。

IT部門としてはハードウエアの二重化やBCP対策といったネットワーク周りの強化に加え、OSやミドルウエアの新機能対応、クラウド化への対応と移行など様々なテーマがてんこ盛りです。
それを他業務と兼任の私、インフラ初心者の若手社員、開発のスペシャルパートの3名で運用しています。


そんな環境でネットワーク周りの更新を試行錯誤しながら奮闘した記録を書いていきたいと思っています。


今回手を入れたテーマは

・将来的な拡張性を考えて、社内ネットワーク設計を一から見直しました。
・サーバを新調し、Active Directory を一から構築しなおしました。
・拠点間VPNによる本社－営業所間での接続を見直しました。
・バックアップ体制を見直し、クラウドと拠点間の両方でとるようにしました。

あたりです。


先にも書きましたが、私の勤める会社では従業員50名くらいですが、季節的にアルバイトが結構な数入ることもあり、また将来的な成長も考慮して200名から500名くらいでも使うことができる程度の範囲を考えています。

機材はリースが基本ですので、4年もしくは5年を基準に考えています。
このサイクルは一般的な企業よりやや短めだと思っています。ITの進化スピードはなかなか速いと考えており、購入時から3年も経つと、購入時点では想定していなかったことが当たり前に使われていたりします。

総額100万円の資産を5年リース（60回）だと17,000円/月程度（金利による）、4年リース21,000円強くらいなので、月額5,000円も変わらないと思います。
月額5,000円を減額して最新の技術を1年待つのか、それとも新しい技術や安全性を活かすために5,000円払うのかという感じです。

もちろん、システムを頻回入れ替えるとその構築費用が掛かります。このためそこも含めて考えると長期との差額が広がっていきます。


個人的には設定関連を自前で行う自社運用ならば、設定費用の一部は固定費の範囲内である程度見込めるため4年、社外に依頼するのであれば構築費用を均すのに5年から6年で組むのが良いかなとみています。

自社運用の4年は、導入までの数か月やリース終了後の返却対応も含めると実質3年ちょっとになります。繁忙期が決まっている企業では入れ替えるタイミングが限定されてきますから、どちらにしても二重コストが発生します。

中小企業であればサーバ台数も少ないので、入れ替えにかかる手続き自体はそれほど多くありません。入れ替えの時は慎重を期することからも、4年リースで組んで、実質3年運用というのが今のところの私のスタイルです。


次回からぼちぼち構築について書いてみたいと思います。