Заказчик поручил мне разработать рабочий дизайн Active Directory для сценария со следующими требованиями (упрощенно, на самом деле они намного хуже):
Излишне говорить, что это не очень хорошо сочетается с тем, как Active Directory использует DNS для обнаружения контроллеров домена; любой возможный подход приведет к одному из следующих сценариев:
Конечно, эти требования совершенно безумны, и все они не могут быть удовлетворены одновременно, если только не использовать сумасшедшие решения, такие как разделение службы DNS на две сети и заполнение ее записей SRV вручную (argh) или поиск серверов Контроллеры домена, использующие DNS, и клиенты обнаруживают контроллеры домена с помощью WINS (двойной аргумент).
Решение, которое я придумал, заключается в наличии двух контроллеров домена в сети «серверов» и двух контроллеров домена в сети «клиентов», определяющих два сайта AD и пересекающих границу между двумя сетями только с трафиком репликации контроллера домена. Это будет по-прежнему требует некоторого изменения DNS, потому что каждый сервер по-прежнему иметь две сетевые карты (помимо двух серверных контроллеров домена и чисто внутренних серверов), но у него есть хоть какие-то шансы на работу.
Есть какой-нибудь совет, кроме как бежать как можно быстрее?
Позвольте мне начать с того, что я согласен со многими другими - либо убедите клиента в обратном, либо бегите.
Однако, учитывая ваши перечисленные требования (их много не указано), я могу придумать (и частично протестировать), по крайней мере, основу для того, чтобы это произошло.
Необходимо учитывать несколько конкретных аспектов.
Один и два имеют много общего - в общем, мы находимся в прихоти Microsoft в отношении этого и должны работать в рамках процессов Microsoft AD DS.
Номер три, у нас есть немного места для работы. Мы можем выбрать метки, используемые для доступа к службам (файлы, экземпляры базы данных и т. Д.).
Вот что я предлагаю:
Создайте свои контроллеры домена (DC)
Правильная настройка сайтов и служб AD
Настройка дополнительной зоны в AD DS Integrated DNS
Настройте второй сетевой адаптер на вашем DC
Настройка сетевых адаптеров рядового сервера
Настроить поведение преобразователя DNS [заглушки] на сайтах
Настройте сопоставления / ресурсы соответствующим образом
О чем я говорю?
Я не тестировал это полностью, потому что это довольно нелепо. Однако цель этого (вау, длинного) ответа - начать оценивать, возможно ли это, а не следует ли это делать.
@Комментарии
@Massimo 1/2 Не путайте несколько сайтов AD DS в зоне acme.local и, следовательно, записи SRV, заполненные контроллерами домена на этих сайтах в зоне acme.local, с необходимыми записями SRV в зоне clt.acme.local. Основной DNS-суффикс клиента (и домен Windows, к которому он присоединен) по-прежнему будет acme.local. Клиент / рабочие станции имеют только одну сетевую карту с основным DNS-суффиксом, вероятно, полученным из DHCP, установленным на acme.local.
Зоне clt.acme.local не нужны записи SRV, так как она не будет использоваться в процессе локатора DC. Он используется только клиентами / рабочими станциями для подключения к службам рядовых серверов, не относящихся к AD DS, с использованием IP-адресов рядовых серверов в сети clt. Процессы, связанные с AD DS (локатор DC), будут использовать не зону clt.acme.local, а сайты (и подсети) AD DS в зоне acme.local.
@Massimo 3
Записи SRV будут для сайтов AD DS clt и srv - просто они будут существовать в зоне acme.local - см. Примечание выше. Зоне clt.acme.local не требуются SRV-записи, связанные с постоянным током.
Клиенты смогут найти штраф DC. Клиентские DNS-серверы указывают на clt IP-адреса контроллеров домена.
Когда запускается процесс локатора DC на клиенте
@Massimo 4
Ух, хороший улов. На мой взгляд, эту проблему можно обойти двумя способами.
или
В общем, ничего красивого в этом нет, но это не обязательно конечная цель. Может быть, клиент просто проверяет ваши технические навыки. Шлепните его на стол для переговоров и скажите им «Здесь это сработает, но я взимаю с вас 4-кратную плату за ее настройку и поддержку. Вы можете снизить ее до 1,5-кратной моей обычной ставки - 0,5-кратного заряда PITA, выполнив [правильное решение]».
Как отмечалось ранее, я рекомендую убеждать в обратном или бежать. Но это определенно забавное маленькое упражнение в смешном. :)
В конце концов, я выбрал решение для двух сайтов:
Конечно, это означает включение трафика репликации между двумя сетями; контроллеры домена в сети «клиентов» будут по-прежнему иметь сетевой адаптер в сети «серверов», но поскольку он не будет зарегистрирован в DNS, контроллеры домена в этой сети будут связываться с ними, используя их IP-адреса на стороне клиента; так что сетевая карта фактически будет совершенно бесполезной, и необходимо будет открыть некоторые порты межсетевого экрана. Единственный другой вариант - это исказить контроллеры домена. hosts файлы, но будем надеяться, что этого можно избежать.
Что ж, я думаю, что это лучшее, что можно было сделать, чтобы выполнить как можно больше (сумасшедших) требований.
Спасибо за все советы :-)
Прежде всего, когда мы обслуживаем наших клиентов, мы должны задаться вопросом, каковы их требования. Дать возможность клиенту понять, что его уровень сложности не нужен.
Используя ПОЦЕЛУЙ Метод - создание двух виртуальных локальных сетей «SVR» и «CLT» с включением SSL / TLS и вызовом дня ....