Windows Server — migracja ról serwerowych na nową maszynę

Migracja ról serwerowych na nowy serwer wymaga starannego zaplanowania, żeby przebiegła bez zakłóceń w pracy firmy.

Na czym polega ta usługa

Usługa obejmuje zaplanowanie i przeprowadzenie migracji wybranych ról serwerowych Windows Server na nową maszynę.

Dla kogo ma sens

Usługa jest przydatna dla firm wymieniających serwer, które chcą bezpiecznie przenieść na niego dotychczasowe role.

Ile to trwa

Migracja ról serwerowych mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Zakres ról serwerowych podlegających migracji

Przeniesienie środowiska serwerowego na nową maszynę fizyczną lub do nowej maszyny wirtualnej wymaga indywidualnego podejścia do każdej aktywnej usługi. Poszczególne role systemu Windows Server posiadają własne mechanizmy przechowywania konfiguracji, bazy danych oraz zależności sieciowe, które muszą zostać uwzględnione przed odłączeniem starego urządzenia.

W ramach procedury przenoszone są między innymi następujące role i usługi infrastruktury Windows Server:

Active Directory Domain Services (AD DS) — usługa katalogowa przechowująca informacje o użytkownikach, komputerach i uprawnieniach w domenie. Migracja polega na instalacji roli na nowym serwerze, dołączeniu go jako kolejnego kontrolera domeny, przeprowadzeniu pełnej replikacji bazy danych oraz przeniesieniu unikalnych ról elastycznych operacji pojedynczego wzorca (FSMO — Flexible Single Master Operations).
Domain Name System (DNS) — system rozpoznawania nazw sieciowych powiązany ze strukturą domenową. W przypadku stref zintegrowanych z usługą katalogową Active Directory replikacja następuje w sposób automatyczny, po czym weryfikowane są rekordy wskazujące usługi domeny (rekordy SRV, czyli rekordy lokalizacji usług) oraz konfiguracje serwerów przekazywania zapytań (ang. forwarders).
Dynamic Host Configuration Protocol (DHCP) — usługa automatycznego przydzielania konfiguracji sieciowej i adresów IP urządzeniom w sieci lokalnej. Procedura obejmuje wyeksportowanie aktywnych zakresów adresów (ang. scopes), wykluczeń, rezerwacji powiązanych z adresami fizycznymi MAC oraz opcji serwera, a następnie ich zaimportowanie i autoryzację nowego serwera w usłudze Active Directory.
Usługi plików i pamięci masowej (File and Storage Services) — współdzielone zasoby sieciowe, foldery działowe oraz profile użytkowników. Przenoszenie danych realizowane jest z zachowaniem pełnej struktury uprawnień na poziomie systemu plików (listy kontroli dostępu NTFS ACL) oraz konfiguracji udziałów sieciowych SMB (Server Message Block), a także powiązań w ramach rozproszonego systemu plików (DFS — Distributed File System).
Active Directory Certificate Services (AD CS) — lokalny urząd certyfikacji wystawiający certyfikaty bezpieczeństwa dla komputerów, użytkowników i połączeń szyfrowanych. Przeniesienie wymaga wykonania kopii zapasowej bazy certyfikatów, kluczy prywatnych urzędu oraz odtworzenia szablonów certyfikatów na nowym systemie.
Internet Information Services (IIS) — serwer aplikacji webowych i usług internetowych. Migracja obejmuje przeniesienie stron WWW, konfiguracji pul aplikacji (ang. application pools), certyfikatów SSL służących do szyfrowania połączeń oraz powiązanych modułów uwierzytelniania.
Remote Desktop Services (RDS) — usługi pulpitu zdalnego umożliwiające pracę terminalową wielu użytkowników na jednym serwerze. Przenoszenie obejmuje konfigurację brokera połączeń (Remote Desktop Connection Broker), bramy pulpitu zdalnego oraz transfer serwera licencji terminalowych (RD Licensing).
Usługi drukowania i zarządzania dokumentami (Print Server) — centralny serwer zarządzający drukarkami sieciowymi w firmie. Procedura wykorzystuje narzędzie migracji serwera wydruku w celu przeniesienia kolejek druku, dedykowanych sterowników oraz skonfigurowanych portów TCP/IP.
Hyper-V — rola wirtualizacji pozwalająca na uruchamianie maszyn wirtualnych. Przenoszenie obejmuje migrację maszyn wirtualnych, konfigurację wirtualnych przełączników sieciowych (ang. virtual switches) oraz weryfikację alokacji zasobów procesora i pamięci RAM.

Metodyka i etapy bezpiecznej migracji

Bezpieczne przeniesienie ról pomiędzy serwerami przebiega według ściśle określonego planu technicznego. Pozwala to wyeliminować ryzyko utraty danych, błędów uwierzytelniania na stacjach roboczych oraz przestojów w dostępie do oprogramowania firmowego.

Całość prac dzieli się na następujące etapy:

Audyt i diagnostyka środowiska źródłowego — weryfikacja stanu technicznego obecnego serwera. Sprawdzana jest poprawność replikacji katalogowej za pomocą narzędzi diagnostycznych dcdiag oraz repadmin, spójność stref DNS, stan replikacji folderu współdzielonego Sysvol (zawierającego skrypty i szablony zasad grup) oraz stan kopii zapasowych stanu systemu (System State Backup).
Przygotowanie nowego serwera — instalacja czystego systemu Windows Server na nowej maszynie fizycznej lub maszynie wirtualnej, instalacja aktualizacji bezpieczeństwa, konfiguracja stałych adresów IP oraz nadanie serwerowi właściwej nazwy zgodnej z przyjętą konwencją w przedsiębiorstwie.
Równoległe uruchomienie usług i synchronizacja danych — nowy serwer jest włączany do istniejącej struktury sieciowej obok starej maszyny. Następuje instalacja odpowiednich ról, replikacja baz danych oraz przeniesienie plików i folderów z użyciem narzędzia Robocopy (zaawansowane narzędzie wiersza poleceń do kopiowania danych), co pozwala zachować atrybuty plików, znaczniki czasu oraz uprawnienia bezpieczeństwa.
Transfer ról pojedynczego wzorca i przełączenie usług — przeniesienie ról FSMO (w tym roli emulatora PDC odpowiedzialnego za synchronizację czasu i blokady kont oraz roli mastera RID odpowiedzialnego za pule identyfikatorów bezpieczeństwa) na nowy kontroler. Następuje przełączenie adresów DNS w konfiguracji sieciowej oraz aktywacja nowej bazy DHCP.
Weryfikacja działania środowiska IT — testy logowania użytkowników na stacjach roboczych, weryfikacja aplikowania obiektów zasad grup (GPO — Group Policy Objects), kontrola dostępu do zasobów dyskowych oraz poprawnego działania systemów bazodanowych i programów handlowo-magazynowych.
Prawidłowe wycofanie starego serwera (ang. decommissioning) — degradacja starego serwera (democja kontrolera domeny za pomocą kreatora usuwania ról), usunięcie nieaktualnych wpisów z bazy DNS, wyczyszczenie ewentualnych pozostałości w strukturze Active Directory oraz bezpieczne wyłączenie wysłużonej jednostki.

Błędy popełniane podczas prób samodzielnej migracji

Próby przeprowadzenia migracji ról serwerowych bez odpowiedniego przygotowania technicznego często prowadzą do poważnych problemów z funkcjonowaniem całej sieci firmowej. Do najczęściej spotykanych błędów należą:

Klonowanie dysku całego kontrolera domeny za pomocą narzędzi do tworzenia obrazów dyskowych (ang. disk imaging) i uruchamianie takiego sklonowanego systemu na nowej maszynie. W przypadku kontrolerów usługi Active Directory taka operacja powoduje zduplikowanie identyfikatorów i naruszenie sekwencji numerów aktualizacji (tzw. USN Rollback — wycofanie numeru sekwencji aktualizacji), co skutkuje trwałym uszkodzeniem bazy ntds.dit i całkowitym zablokowaniem replikacji w domenie.

Kopiowanie zasobów dyskowych za pomocą standardowego Eksploratora Windows zamiast dedykowanych narzędzi kopiujących strumienie danych i metadane. Skutkuje to utratą uprawnień NTFS, zerwaniem dziedziczenia praw dostępu i uniemożliwieniem pracownikom otwierania dokumentów firmowych.

Nagłe odłączenie starego serwera od sieci bez wcześniejszego formalnego przeniesienia ról FSMO i przeprowadzenia procesu democji. W bazie katalogowej pozostają wówczas odwołania do nieistniejącego kontrolera, co wydłuża czas logowania stacji roboczych, blokuje tworzenie nowych kont użytkowników i generuje błędy w dziennikach zdarzeń.

Brak weryfikacji mechanizmu replikacji folderu Sysvol. W starszych wersjach systemów Windows Server stosowany był przestarzały mechanizm FRS (File Replication Service — usługa replikacji plików), który nie jest obsługiwany w nowszych wydaniach systemu. Próba dołączenia nowego serwera bez wcześniejszej migracji replikacji na protokół DFSR (Distributed File System Replication — replikacja rozproszonego systemu plików) uniemożliwia prawidłowe propagowanie zasad grup GPO.

Pozostawienie nieaktualnych adresów IP w konfiguracjach kart sieciowych stacji roboczych, drukarek i urządzeń sieciowych. Jeżeli urządzenia wskazują wyłączony serwer jako jedyny serwer DNS, tracą możliwość rozpoznawania nazw w sieci lokalnej oraz dostępu do internetu.

Sytuacje, w których konieczne są dodatkowe działania infrastrukturalne

Sama migracja podstawowych ról serwerowych bywa częścią szerszego procesu modernizacji infrastruktury teleinformatycznej w firmie. W wielu przypadkach niezbędne jest wykonanie prac towarzyszących, które gwarantują pełną zgodność oprogramowania i stabilność sieci.

Przy przejściu z bardzo starych wersji systemu Windows Server na wersje współczesne konieczne jest stopniowe podnoszenie poziomu funkcjonalnego lasu i domeny (FFL i DFL — Forest and Domain Functional Level). Wymaga to wcześniejszej weryfikacji, czy wszystkie podłączone do sieci urządzenia i usługi wspierają nowsze standardy uwierzytelniania, takie jak protokół Kerberos czy nowsze mechanizmy szyfrowania.

Na serwerach firmowych obok ról systemowych bardzo często zainstalowane są silniki baz danych, takie jak Microsoft SQL Server, obsługujące programy finansowo-księgowe, systemy magazynowe oraz systemy planowania zasobów przedsiębiorstwa (ERP). Migracja takich rozwiązań wymaga odrębnej procedury polegającej na bezpiecznym odłączeniu baz danych, przeniesieniu plików danych (pliki MDF) i dzienników transakcyjnych (pliki LDF), odtworzeniu kont logowania serwera SQL oraz skonfigurowaniu odpowiednich uprawnień dostępowych dla użytkowników końcowych.

W przypadku środowisk wykorzystujących wirtualizację serwerów konieczne może być zrekonfigurowanie sieci wirtualnych, macierzy dyskowych i pamięci masowych podłączanych przez protokoły iSCSI (Internet Small Computer System Interface) lub SMB 3.0, aby zapewnić wysoką wydajność operacji wejścia-wyjścia (IOPS — liczba operacji wejścia/wyjścia na sekundę).

Płynne przeprowadzenie prac bez przerw w pracy biura

Wdrożenie nowej maszyny serwerowej w przedsiębiorstwie planowane jest w taki sposób, aby pracownicy nie odczuwali utrudnień podczas wykonywania swoich codziennych obowiązków. Zdecydowana większość procesów technologicznych nie wymaga natychmiastowego wyłączania starej infrastruktury.

Etapy obejmujące instalację systemu, konfigurację ról, wstępną synchronizację katalogu Active Directory oraz wstępne kopiowanie wielogigabajtowych zasobów dyskowych wykonywane są w tle, podczas standardowego dnia roboczego. Użytkownicy nadal korzystają z dotychczasowego serwera, a operacje synchronizacji nie obciążają pasma sieciowego w stopniu odczuwalnym dla stacji roboczych.

Ostateczne przełączenie newralgicznych usług, czyli transfer ról FSMO, ostateczna synchronizacja różnicowa zmodyfikowanych w ciągu dnia plików oraz przepięcie adresacji sieciowej, realizowane są w uzgodnionym oknie serwisowym poza godzinami pracy przedsiębiorstwa. Po zakończeniu przełączenia przeprowadzane są testy weryfikacyjne na stacjach roboczych, dzięki czemu w kolejnym dniu roboczym pracownicy mogą bez przeszkód kontynuować pracę na zmodernizowanym środowisku.

Po zrealizowanej usłudze zapewnione jest wsparcie techniczne trwające do 30 dni, co pozwala na bieżąco reagować na ewentualne specyficzne potrzeby użytkowników oraz optymalizować działanie wdrożonych ról serwerowych.

Pytania i odpowiedzi dotyczące migracji Windows Server

Czy migracja ról serwerowych powoduje konieczność ponownego konfigurowania każdego komputera w firmie?

W prawidłowo zaplanowanym procesie komputery użytkowników nie wymagają żadnej ręcznej rekonfiguracji ani ponownego dołączania do domeny. Ponieważ nowa maszyna dołączana jest do istniejącej struktury domenowej, unikalny identyfikator bezpieczeństwa domeny (Domain SID — Security Identifier) pozostaje bez zmian. Stacje robocze po przełączeniu serwerów automatycznie pobierają bilety uwierzytelniające z nowego kontrolera i zachowują dotychczasowe profile użytkowników oraz skróty do zasobów sieciowych.

Co dzieje się z uprawnieniami do folderów współdzielonych po przeniesieniu na nowy serwer?

Zastosowanie wyspecjalizowanych narzędzi kopiujących dane na poziomie sektorowym i plikowym pozwala przenieść kompletne listy kontroli dostępu (NTFS ACL). Oznacza to, że wszystkie reguły dotyczące tego, który pracownik lub który dział firmy ma dostęp do określonych folderów, pozostają nienaruszone. Dodatkowo przy zachowaniu tej samej nazwy udziału sieciowego lub zastosowaniu przestrzeni nazw DFS ścieżki dostępowe mapowane na komputerach pracowników działają w sposób niezmieniony.

Jakie dane są potrzebne do rozpoczęcia procedury migracji ról serwerowych?

Do przeprowadzenia prac niezbędny jest dostęp do konta z uprawnieniami administratora domeny (Domain Admin) oraz administratora schematu (Schema Admin) na dotychczasowym serwerze. Domyślnie nie prosimy o podawanie haseł personelu ani poufnych danych firmy — logowanie na serwerach i stacjach roboczych odbywa się w obecności wyznaczonej osoby z przedsiębiorstwa lub dane uwierzytelniające są wprowadzane bezpośrednio przez klienta. Na życzenie klienta przed przystąpieniem do jakichkolwiek analiz podpisywana jest umowa o zachowaniu poufności (NDA — Non-Disclosure Agreement).

Czy po migracji kontrolera domeny stary serwer może zostać wykorzystany do innych celów?

Tak, po przeprowadzeniu formalnego procesu democji, czyli pozbawienia jednostki funkcji kontrolera domeny i usunięcia powiązanych ról infrastrukturalnych, stary serwer staje się zwykłym komputerem członkowskim w sieci. Może zostać przeznaczony na lokalne repozytorium kopii zapasowych, serwer testowy lub wyłączony i zutylizowany. Ważne jest, aby nie wyłączać go z sieci przed zakończeniem democji, ponieważ zapobiega to powstawaniu błędów replikacji w usłudze katalogowej.

W jaki sposób realizowana jest usługa na terenie Warszawy i okolicznych powiatów?

Usługa wykonywana jest w modelu bezpośredniego dojazdu specjalisty do siedziby klienta na terenie całej Warszawy oraz siedmiu sąsiadujących powiatów (grodziski, legionowski, otwocki, piaseczyński, pruszkowski, warszawski zachodni, wołomiński). Dojazd na miejsce realizacji prac jest bezpłatny, a diagnostyka wstępna i wycena nie generują dodatkowych kosztów. Prace techniczne realizowane są bezpośrednio na infrastrukturze zamawiającego z zachowaniem najwyższych standardów bezpieczeństwa danych.

Bezpieczna ciągłość działania środowiska Windows Server

Profesjonalnie przeprowadzona migracja ról serwerowych w środowisku Windows Server stanowi fundament stabilności systemów informatycznych w firmie. Prawidłowy transfer usług katalogowych Active Directory, bazy DNS, konfiguracji DHCP, uprawnień plików oraz powiązanych baz danych eliminuje ryzyko awarii, chroni zasoby przed utratą spójności i pozwala w pełni wykorzystać wydajność nowego sprzętu serwerowego. Wykonanie prac w oparciu o sprawdzone procedury diagnostyczne i narzędzia Microsoft gwarantuje bezproblemowe przejście na nową maszynę, a cała usługa objęta jest gwarancją do 12 miesięcy.

22 378 48 09