Windows Server 2012 RC: тестируем IPAM - встроенное управление IP без сторонних инструментов

RC - это уже не бета. Это сборка, в которой Microsoft говорит: «фичи заморожены, мы доводим до блеска». Для нас это сигнал переходить от случайных экспериментов к нормальному тестированию на стенде, приближенном к реальной инфраструктуре. Что и сделали.

Hyper-V в 2012 мы уже щупали в майских тестах бета-версии, Storage Spaces - ещё с январского анонса. На этот раз сосредоточились на том, что в бете было сырым и практически неработающим: IPAM - IP Address Management.

Что такое IPAM и почему нас это интересует

Если кратко: встроенный в Windows Server инструмент для централизованного управления IP-адресным пространством, DHCP-серверами и DNS-зонами в домене. Звучит как то, что должно было появиться лет пять назад.

До сих пор задача «знать, какие адреса выданы, на каких серверах, кому и до каких пор» решалась у наших клиентов по-разному: у кого-то - Excel-таблица, обновляемая по настроению, у кого-то - платный продукт типа SolarWinds IPAM, у кого-то - самописный скрипт, который раз в сутки дёргает DHCP-лог и складывает в базу. Всё это работало с разной степенью надёжности и с разной степенью боли при аудите.

Встроенный IPAM в Windows Server 2012 - это попытка Microsoft закрыть эту нишу штатными средствами для сред, построенных на их стеке.

Как устроено в RC

Роль IPAM Server ставится на отдельный сервер в домене (не рекомендуют ставить на DC или DHCP-серверы - и это разумно). Дальше IPAM через GPO получает доступ к аудиту DHCP и DNS, забирает данные с серверов через RPC и складывает в локальную базу на основе SQL Server Express.

Управление через Server Manager или PowerShell. Интерфейс IPAM Manager в Server Manager показывает:

• Инвентарь адресного пространства. Диапазоны, области видимости, использованные и свободные адреса - всё в одном месте, с реальными данными с DHCP-серверов.
• Отслеживание адресов. По IP-адресу можно поднять историю: какой MAC, когда, с какого хоста в домене - это берётся из DHCP-аудита.
• Мониторинг DHCP и DNS серверов. Статус зон, состояние scopes, предупреждения об исчерпании адресного пространства.

Работает это через агентский механизм - никаких дополнительных сервисов на управляемых серверах, только GPO с нужными правами.

Что проверили на стенде

Подняли стенд: два DHCP-сервера с 2008 R2 в режиме failover (точнее, пока просто с отдельными scopes - failover для DHCP появится только в 2012), один DNS с AD-интегрированными зонами, один сервер с ролью IPAM на базе RC-сборки.

Первое обнаружение DHCP-серверов прошло нормально - IPAM нашёл их через домен, запросил аудит, через несколько минут в консоли появился список scopes с процентом занятости. Это впечатляет по сравнению с «посмотреть в MMC на каждом сервере отдельно».

Трекинг адресов. Берём произвольный IP из одного из scopes, смотрим историю - IPAM выдаёт цепочку DHCP-событий: Discover, Offer, Request, Acknowledge с временными метками, MAC-адресом и именем хоста, если оно передавалось при аренде. Для аудита и разбора инцидентов это полезно.

Управление scopes из единого интерфейса. Создать scope на конкретном DHCP-сервере можно прямо из IPAM Manager - без захода в MMC целевого сервера. Работает. Но немного медленнее, чем хотелось бы: консоль подвисает на секунды при операциях, которые идут напрямую на удалённый DHCP-сервер.

Ограничения, которые бросились в глаза.

• IPAM управляет только Windows DHCP и Windows DNS. Если в инфраструктуре есть ISC DHCP на Linux или BIND - IPAM их не видит. Это не проблема для чистого Microsoft-стека, но у ряда клиентов картина смешанная.
• Репортинг базовый. Выгрузка в CSV есть, но фильтрация и кастомные отчёты - это уже PowerShell. Людям, привыкшим к SolarWinds с его дашбордами, будет непривычно.
• IPAM Server - это единая точка. Резервирование роли штатными средствами не предусмотрено, репликация базы - вручную.

Реалистично ли уйти от сторонних инструментов

Для клиентов с чисто Windows-инфраструктурой, у которых управление IP сейчас ведётся в Excel или самописными скриптами - да, IPAM в 2012 выглядит как нормальная замена. Не богатый продукт, но честный: ставишь роль, настраиваешь GPO, получаешь единый инвентарь и историю аренды. Это лучше, чем ничего, и не требует лицензий на сторонний продукт.

Для сред, где уже есть SolarWinds IPAM или InfoBlox - смысла мигрировать меньше. Эти продукты умеют значительно больше: работа с multi-vendor сетевым оборудованием, интеграция с CMDB, богатый аудит.

Где сейчас

RC ведёт себя стабильно - за неделю тестирования никаких крешей и неожиданных перезагрузок. Microsoft объявила финальный релиз на сентябрь, и по состоянию RC в это верится.

Для клиентов на управляемой инфраструктуре начинаем готовить чеклист миграции DHCP и DNS с 2008 R2: там есть нюансы с аудитом, с переключением зон, с failover для DHCP (это новая фича 2012, которой не было в 2008 R2). Не торопимся ставить RC в продакшн, но тестовый стенд теперь максимально близок к тому, что будет после релиза.