第一章 Windows Server 2016概述

        Windows Server 2016可以帮助信息部门的IT人员来搭建功能强大的网站、应用程序服务器与高度虚拟化的云环境。大、中、小型的企业网络都可以利用Windows Server 2016的强大管理功能与安全措施来简化网站与服务器的管理、改善资源的可用性、减少成本支出、保护企业应用程序与数据，让IT人员更轻松有效地管理网站、应用程序服务器与云环境。

• Windows Server 2016版本
• Windows网络架构
• TCP/IP通信协议简介

1.1、Windows Server 2016版本

        Windows Server 2016可以提供高经济效益与高度虚拟化的环境，它分为以下三个版本:

• Datacenter Edition：适用于高度虚拟化和软件定义数据中心环境。
• Standard Edition：适用于低密度或非虚拟化的环境。
• Essentials Edition：适用于最多25个用户，最多50台设备的小型企业。

【注意】

Windows Server 2012 R2中所提供的Foundation版本，在Windows Server 2016中已不再提供。表1-1-1中列出Datacenter与Standard版的主要特点。

1.2、Windows网络架构

        您可以利用Windows系统来搭建网络，以便将资源共享给网络上的用户。Windows的网络架构大致可分为工作组架构(workgroup)、域架构(domain)与包含前两者的混合架构。您也可以将域架构的目录服务Active Directory与云端的Azure Active Directory整合在一起。

        工作组架构是一种分布式的管理模式，适用于小型网络;域架构是集中式的管理模式，适用于中大型网络。下面针对工作组架构与域架构的差异来加以说明。

1.2.1、工作组架构的网络

        工作组是由多台通过网络连接在一起的计算机所组成的(参见图1-2-1)，它们可以将计算机内的文件、打印机等资源共享出来供网络用户来访问。

        工作组网络也被称为对等式(peer-to-peer)网络，因为网络上每一台计算机的地位都是平等的，它们的资源与管理是分散在各个计算机上的。它的特性为:

• 每一台Windows计算机都有一个本机安全账户数据库，称为SecurityAccountsManager(SAM)。用户如果需要访问每一台计算机内的资源，系统管理员便需要在每一台计算机的SAM数据库内建立用户账户。例如，用户Peter需要访问每一台计算机内的资源，则需要在每一台计算机的SAM数据库内建立Peter账户，并设置这些账户的权限。这种架构的账户与权限管理工作比较麻烦，例如当用户需要更改其账号密码时，就需要将该用户在每一台计算机内的账号密码都进行修改。

图 1-2-1

• 工作组内可以不要服务器等级的计算机(例如Windows Server 2016)，也就是说即使只有Windows 10、Windows 8.1等客户端等级的计算机，也可以搭建工作组架构的网络。
• 如果企业内部计算机数量不多，例如10台或20台计算机，就可以采用工作组架构的网络。

1.2.2、域架构的网络

        域也是由多台通过网络连接在一起的计算机所组成的(参见图1-2-2)，它们可将计算机内的文件、打印机等资源共享出来供网络用户来访问。与工作组架构不同的是:域内所有计算机共享一个集中式的目录数据库(directorydatabase)，该目录数据库包含着整个域内所有用户的账户等相关数据。在域内提供目录服务(directoryservice)的组件为ActiveDirectory域服务(Active Directory Domain Services，ADDS)，它负责目录数据库的添加、删除、修改与查询等工作。

        在域架构的网络内，这个目录数据库是存储在域控制器(domaincontroller)内的，而只有服务器等级的计算机才可以扮演域控制器的角色。

图 1-2-2

1.2.3、域中计算机的种类

        域内的计算机成员可以是：

• 域控制器(domaincontroller)：需服务器等级的计算机才可扮演域控制器的角色，例如Windows Server 2016 Datacenter、Windows Server 2012 R2 Datacenter等，但并非所有服务器等级的计算机都可扮演域控制器，例如Windows Web Server 2008 R2便无法成为域控制器。
• 一个域内可以有多台域控制器，而在大部分情况下，每台域控制器的地位都是平等的，它们各自存储着一份几乎完全相同的AD DS数据库(目录数据库)。当您在其中一台域控制器内新增了一个用户账户后，此账户是被建立在这台域控制器的AD DS数据库中的，之后这份数据会自动被复制到其他域控制器的ADDS数据库内。这个复制动作可确保所有域控制器内的ADDS数据库都能够同步(synchronize)，也就是拥有相同数据。
• 当用户在域内某台计算机登录时，会由其中一台域控制器根据其AD DS数据库内的账户数据来审核用户所输入的账户与密码是否正确，如果是正确的，用户就可以成功登录，反之将被拒绝登录。
• 多台域控制器还可提供容错功能，例如其中一台域控制器故障了，此时仍然能够由其他域控制器来继续提供服务。它也可改善用户登录效率，因为多台域控制器可分担审核用户登录身份(账户名称与密码)的工作。
• 成员服务器(member server)：当服务器等级的计算机加入域后，用户就可以在这些计算机上利用Active Directory内的用户账户来登录，否则只能够利用本地用户账户登录。这些加入域的服务器被称为成员服务器，成员服务器中没有Active Directory数据，它们也不负责审核域用户的账户名称与密码。成员服务器可以是：
  • Windows Server 2016 Datacenter/Standard/Essentials
  • Windows Server 2012(R2)Datacenter/Standard
  • Windows Server 2008(R2)Datacenter/Enterprise/Standard
  • 若上述服务器并没有被加入域，则它们被称为独立服务器(stand-alone server)或工作组服务器(workgroupserver)。不论是独立服务器还是成员服务器，它们都有一个本地安全账户数据库(SAM)，系统可以用它来审核本地用户(非域用户)的身份。
• 其他目前较常用的Windows计算机，例如:
  • Windows 10 Enterprise/Pro/Education
  • Windows 8.1(8)Enterprise/Pro
  • Windows 7 Ultimate/Enterprise/Professional
  • Windows Vista Ultimate/Enterprise/Business
  • 当上述客户端计算机加入域以后，用户就可以在这些计算机上利用Active Directory内的账户来登录，否则只能够利用本地账户来登录。

【注意】

1.  较低的版本，例如Windows10 Home无法加入域，因此只能够利用本地用户账户来登录。
2. 若Windows 10客户端有加入云端Azure Active Directory域，则可以利用Azure Active Directory内的账户来登录。

        您可以将Windows Server 2016、Windows Server 2012R2等独立服务器或成员服务器升级为域控制器，也可以将域控制器降级为独立服务器或成员服务器。