MAC Authentication และ Dynamic VLAN บน HPE Aruba Switch ด้วย Windows Server 2019

มีลูกค้าต้องการป้องกัน user เอา Hardware จากภายนอกมาใช้งาน จะทำ Mac Authentication บน Switch เลยลองใช้ Windows Server เป็น Radius เพื่อให้ลูกค้าจัดการได้ง่าย หลังจากลองกับ HPE Procurve Switch ก็ใช้งานได้ไม่มีปัญหาอะไร เลยลองทำ Dynamic VLAN ทำให้ VLAN ของแต่ละ Port จะเปลี่ยนไปตาม MAC Address ที่ของเครื่องที่ต่อเข้ามา

ขั้นตอน

  1. เพิ่ม user โดยใช้ Mac Address เป็นทั้ง Username และ Password
  2. สร้างกลุ่มขึ้นมาตาม VLAN แล้วเพิ่ม Mac Address เข้าไปให้ตรงกับ VLAN ที่ต้องการ
  3. สร้าง Policy ใน NPS ทุก VLAN
  4. เพิ่ม Mac Authentication ใน Switch
คำสั่งบน Switch HPE Aruba Procurve

aaa authentication port-access eap-radius
aaa accounting network start-stop radius
radius-server host 192.168.7.10 acct-port 1813 key "radius"
aaa authorization commands radius
aaa port-access authenticator active
aaa port-access mac-based 10
  • บน Windows มี Security Logs ว่า Login สำเร็จ
  • ปกติ Port 10 เป็น VLAN 1
  • เมื่อมี MAC ที่ระบุว่าอยู่ VLAN 20 เข้ามา Port 10 ก็เปลี่ยนเป็น VLAN 20

วิธีคิด Licensed ของ Windows Server 2016/2019 บน VMware vMotion

หลายคนสับสนกับการคิด Licensed ของ Windows Server อยู่แล้ว แถมมาเจอกรณีที่ใช้ vMotion เข้าไปอีก เท่าที่ผมนั่งอ่านเอกสารจาก Microsoft พอสรุปได้ว่า

  1. Physical Server 1 เครื่องอย่างน้อยต้องมี 16 Core Licensed (ถ้าเครื่องมีน้อยกว่า 16 Core ก็ต้องซื้อ 16 ถ้ามีมากกว่า 16 Core ก็ต้องซื้อเพิ่มให้ครบตามจำนวน Core รวมทั้งหมด)
  2. Licensed บน 1 Physical Server ที่ต้องซื้ออย่างน้อย 16 Core ใช้ได้ไม่เกิน 2 CPU และถ้าจำนวน Core ทั้ง 2 CPU รวมกันเกิน 16 Core ก็ต้องซื้อเพิ่มให้ครบเท่ากับจำนวน Core รวมทั้งหมด
  3. ถ้ามี Physical Server มีมากกว่า 2 CPU ต้องซื้อ Licensed เพิ่มสำหรับ CPU อย่างน้อย CPU ละ 8 Core และต้องซื้อเพิ่มให้ครบเท่ากับจำนวน Core รวมทั้งหมด
  4. ยกตัวอย่าง
    1. มี 1 CPU 8 Core ต้องซื้อ Licensed 16 Core
    2. มี 1 CPU 20 Core ต้องซื้อ Licensed 16+4 Core
    3. มี 2 CPU 4+4 Core ต้องซื้อ Licensed 16 Core
    4. มี 2 CPU 20+20 Core ต้องซื้อ Licensed 16+4+20 Core
    5. มี 4 CPU 4+4+4+4 Core ต้องซื้อ Licensed 16+8+8 Core
    6. มี 4 CPU 20+20+20+20 Core ต้องซื้อ Licensed 16+4+20+20+20 Core

บน Physical Server มีแค่นี้จะใช้ Datacenter หรือ Standard ก็ขึ้นอยู่กับ Feature ที่จะใช้งาน

การคิด Licensed บน VMware ซึ่งเป็นเรื่องที่หลายคนไม่เข้าใจ

  1. ถ้าคุณซื้อ Datacenter ให้ซื้อเท่ากับจำนวน Server ที่ติดตั้ง ESXi โดยคิดจำนวน Licensed แบบ Physical Server เลย ไม่นับว่าคุณจะมี VM ใช้งานอยู่เท่าไหร่
  2. ถ้า ESXi คุณมี 1 CPU 16 Core ซื้อ Standard 16 Core ใช้ได้ 2 VM บน Physical Server เดียวกันเท่านั้น ถ้ามี 4 VM ก็ต้องซื้อ 32 Core, 6 VM ต้องซื้อ 48 Core เป็นต้น
  3. ยกตัวอย่าง ESXi แต่ละเครื่องมี 1 CPU 16 Core ตามข้างล่างนี้ คุณต้องซื้อ Licensed 144 Core
    1. ESXi1 มี 5 VM ใช้ Licensed 48 Core (ใช้ได้สูงสุด 6 VM)
    2. ESXi2 มี 7 VM ใช้ Licensed 64 Core (ใช้ได้สูงสุด 8 VM)
    3. ESXi3 มี 3 VM ใช้ Licensed 32 Core (ใช้ได้สูงสุด 4 VM)
  4. ถ้าคุณใช้ vMotion แต่ละ Physical Server จะต้องมี Licensed เท่ากับจำนวน VM มากที่สุดที่จะมาใช้งานบน Physical Server เครื่องนั้น เพราะ Licensed ของ Windows Server ไม่ได้ติดอยู่กับ VM แต่ติดอยู่ที่ Physical Server
  5. ยกตัวอย่างจากข้อที่ 3 ถ้าคุณต้องการเผื่อ Licensed ไว้กรณีจะย้าย VM ออกจาก ESXi เพื่อ Maintenance ก็ต้องดูเครื่องที่มี VM มากที่สุดคือ ESXi2 ต้องซื้อ Licensed เพิ่มให้ ESXi อีกเครื่องละ 16+0+32 Core เพื่อมี Licensed ไว้รองรับกรณีที่ต้อง Shutdown เครื่องใดเครื่องหนึ่ง และต้องระวังไม่ให้ VM ที่อยู่ในแต่ละ ESXi เกิน Licensed ที่รองรับ คุณต้องซื้อ Licensed 192 Core
    1. ESXi1 มี 5 VM ใช้ Licensed 64 Core (ใช้ได้สูงสุด 8 VM)
    2. ESXi2 มี 7 VM ใช้ Licensed 64 Core (ใช้ได้สูงสุด 8 VM)
    3. ESXi3 มี 3 VM ใช้ Licensed 64 Core (ใช้ได้สูงสุด 8 VM)
  6. บางที่อาจจะซื้อโดยเอาจำนวน VM ทั้งหมด หาร 2 และคูณจำนวน ESXi เลยเพื่อป้องกันความผิดพลาด อย่างกรณีตัวอย่างจากข้อ 3 คือมี 15 VM คุณต้องซื้อ Licensed 348 Core (16/2x16x3) ต้องคิด 16 เพื่อหาร 2 ลงตัว

สำหรับกรณีที่ ESXi แต่ละเครื่องมีมากกว่า 1 CPU หรือ CPU มีมากกว่า 16 Core

  1. ESXi มี 1 CPU 20 Core คุณจะต้องซื้อ Licensed 20 Core ต่อ 2 VM (10 VM ต้องซื้อ 100 Core)
  2. ESXi มี 2 CPU แต่ละ CPU มี 16 Core คุณจะต้องซื้อ Licensed 32 Core ต่อ 2 VM (10 VM ต้องซื้อ 160 Core)
  3. ESXi มี 4 CPU แต่ละ CPU มี 20 Core คุณจะต้องซื้อ Licensed 80 Core ต่อ 2 VM (10 VM ต้องซื้อ 400 Core)

กรณีที่มี SA แล้วย้าย Licensed ได้ แต่สำหรับ Server จะทำได้แค่ 90 วันต่อ 1 ครั้งเท่านั้นครับ

การซื้อ Client Access Licenses (CAL)
สำหรับการเข้าใช้งาน Windows Server จากเครื่อง Client จะต้องมี CAL สำหรับทุกเครื่องหรือทุก User ที่เข้ามาใช้งาน โดย CAL ที่มีจะเข้าใช้งาน Server ได้ทั้งหมดในองค์กรที่ Version เท่ากันหรือต่ำกว่า CAL เช่นถ้ามี CAL Windows Server 2019 ก็ใช้งาน Windows Server 2019 ลงไปได้ทั้งหมด โดย CAL มี 2 แบบให้เลือกใช้ควรเลือกซื้อแบบที่จำนวนน้อยกว่า

  1. User CAL ให้ใช้แบบนี้กรณีที่ User มีมากกว่า 1 Device เช่น User 1 คนมี PC, Smart Phone, Notebook
  2. Device CAL ใช้กรณีที่มี Device มากกว่า User เช่นห้องเรียนที่มีคนหมุนเวียนมาใช้, การทำงานเป็นกะ, ห้องฝึกอบรม เป็นต้น

ที่มา

http://download.microsoft.com/download/3/D/4/3D42BDC2-6725-4B29-B75A-A5B04179958B/WindowsServer2016VirtualTech_VLBrief.pdf

https://download.microsoft.com/download/7/C/E/7CED6910-C7B2-4196-8C55-208EE0B427E2/Windows_Server_2019_licensing_datasheet_EN_US.pdf

https://www.lenovosalesportal.com/windows-server-2019-core-licensing-calculator.aspx

ทำไมต้อง Sysprep ใน VM Template

เรามักจะสร้าง Template สำหรับแต่ละ OS แทนที่จะติดตั้ง OS ตรงๆ สิ่งหนึ่งที่ต้องทำคือ Sysprep ก่อนที่จะ Convert เป็น Template สาเหตุหลักๆ เลยคือต้องการเปลี่ยน SID เครื่อง เพราะถ้า SID ของ Domain Controller ชนกับ Server เครื่องไหนก็ตาม เครื่องนั้นจะ Join Domain ไม่ได้

Sysprep อยู่ที่ C:\Windows\System32\Sysprep

  • หลังจากตั้งค่าต่างๆ เสร็จเลือก Shutdown เพราะต้องการทำ Template
  • เมื่อ Clone ขึ้นมาเสร็จก็กรอกข้อมูลต่างๆ
  • ผมแก้ Remote Desktop, Time zone, IE Enhance, Firewall ไม่มีอะไรโดนรีเซ็ตใหม่
  • มี IPV6 ที่ต้องเอาออกอีกครั้ง

*IPV6 มีปัญหากับบาง Solution ถ้าไม่ได้ใช้ผมจะเอาออก

รูปตัวอย่างเป็น Windows 2016 ที่ต้องลง OS เก่าเพรากำลังทดสอบ Convert Exchange 2010 ไป Exchange 2016 เพราะว่า Upgrade ไป Exchange 2019 ตรงๆ ไม่ได้ ส่วนหน้าตา Sysprep Windows 2019 ก็เหมือนบน Windows 2016 ครับ

พรีวิวการใช้งาน Windows Remote Service 2019

ผมทำวีดีโอนี้ขึ้นมาเพื่อให้เห็นการใช้งานทั้งในฝั่ง User และ Admin ว่าใช้งานยังไง เพื่อเป็นไอเดียว่าจะนำไปปรับใช้ในองค์การได้หรือเปล่า

ข้อดีของการใช้ Remote Desktop Service ร่วมกับ Thin Client คือช่วยลดงานของ Admin ในการเตรียมเครื่องให้ User และลดปัญหาที่เกิดจาก Software บน Client รวมทั้งเรื่องไวรัสด้วย นอกจากนี้ในส่วนของ Hardware จะมีความทำทานมากกว่า PC ทั่วไป