член на DC и Интернет(проблем с DNS)

Здравейте имам следния проблем.
Поддържам една мрежа състояща се от NT 4 Сървър като домейн контролер и около 10 XPта членове на домейна. Тази мрежа е част от по-голяма мрежа от където автоматично(DHCP) всички от моята мрежа получават реални IPта и DNS(имат достъп до интернет). NT 4 Server се ползва (освен за удобствата с централизираното управление на акаунтите) за MS SQL 7.0.

Дотук всичко е ОК но в един момент
потребителите на моята мрежа се ъпграйдват към win2k3 и SQL2005 и искат да се запази архитектурата да се логват в домейна на win2k3 и да си ползват интернет.
От тук започват проблемите ми(нямам голям опит с AD и DNS ). Доколкото ми е опита до сега след като направя win2k3 DC трябва да сложа на XPтата неговия DNS и интернета изчезва или пък обратното ако е DNSa подаден от по-голямата мрежа то членството в DC на XPтата започва да накуцва уж всичко е ОК но от време на време има проблеми с мрежата а и Event viewer постоянно рапортува грешки. Ако сложа и 2та DNS в резултат се оказва че има значение само първия в списъка. След разни ровения и четения стана ясно че един вариант е да слагам на членовете на домейна DNSа на DC, и него да го настройвам да прави forwarding към DNS подадени от по-голямата мрежа и в първия момент това като че ли реши проблема но се оказа че win2k3 server се спира макар и рядко и XPтата остават без интернет( няма кой да прави forward) и този вариант отпадна. Отделно, че често заради SQL заявките w2k3 servera e доста натоварен за да се занимава и с DNS forwarding
И така си остана проблема как хем да XPтата да се логват в DC хем интерната им да не зависи от DC .

За форвардъри и автоматични зони да си чувал нещо?
Вземи прочети как се имплементира ДНС при АД, защо АД иска ДНС на ДК да е самия той и как освен АД зоната можеш през него да резолваш външни зони.


Welcome to the real world!

1-ви вариант - Втори Домейн контролер (добър вариант)
2-ри Вариант - Не АД интегриран ДНС за домейна на отделна машина (лош вариант).

Една малка водка е полезна във всякакви количества!

На клиентските машини:

ДНС-1 - домейн контролера, който има и ДНС сървър, за да поддържа АД и който е настроен да форуърдва към ДНС сървъра на "голямата" мрежа.

ДНС-2 - ДНС сървъра на "голямата" мрежа

=> когато домей контролера е недостъпен, клиента използва ДНС-2

Благодаря за идеята. Поради хардуерни проблеми не мога да я пробвам веднага.
Допълнително ще трябва да се тества при натоварен SQL server как DNS
ще смогва да прави forward.

тук ше се случват големи бози и ще има да се веселим следващите няколко дни, ако не седмици



/

USER ERROR: replace user and press any key to continue.

Да и аз си мислех за тези варианти особено по 1-ви вариант да запазим
НТ 4 домейна и ако може да направя w2k3 също член на този домейн( не знам дали няма някакъв проблем w2k3 да е член на НТ 4 домейн).
Лошото е, че трябва да се поддържа още една машина макар и никак непретенциозна.
А да ги карам да закупуват още един w2k3 няма да стане.

Не ми стана ясно кое е ТУК, конкретното предложение на Hi или цялостната концепция да се опитвам да търся решения на въпроса при което DNS и SQL са на машината на DC.

струва ми се доста странно да се опитваш да изграждаш безотказен Интернет ДНС резолвинг и кеш при положение че нямаш безотказност на АД и SQL...

Пък и колко често ще ти се налага да рестартираш домейн контролера в работно време освен ако не е 24hx7дни седмица ... моите не са рестартирани от около месец а можеше и да е повече ако не се налагаше заради майкрософт ъпдейти изискващи рестарт...

Една малка водка е полезна във всякакви количества!

мамка му всичко сте казали по въпроса, което се сетих на първи прочит, аз няма какво мъдро да изтърся та да се чуе и моята тежка дума


P.S. освен дето ако са му 10 клиентските машини и хардуера на сървъра е адекватно избран (ето това е нещо, което питащия не е споделил), не очаквам да не се справи с натоварването на SQL заявките и DNS.

това тук е точно тоя форум в който сме се смяли, плакали и веселили...


не си казал тоя ДК дали е ПДС или БДС

ако предположим, както повечето тук са приели, че е ПДС ми е интересно дали има trust relationships с други домейни.

след като получаваш ИП-та от външен ДХЦП сървър, ще ти се наложи да минеш на ръчно слагане на ДНС по машините щото направо не вярвам някой да се занимава да ти прави отделен scope. ако все пак се навият да имаш отделен scope, по-добре пусни свой ДХЦП.

не се притенявай за ДНС-а, ще се справи без проблеми на ква да е машина, стига да не е П1 100МХц. в интерес на истината АД с ДНС и ДХЦП можеш да сложиш на сякакво желязо над 400-500 МХц и поне 256 РАМ

трябва да намериш някаква машина поне като гореспоменатата за да имаш втори ДК. на който му е падал единствения ДК на АД знае за какво става дума

вече са ти казали как да настроиш ДНС-а

ето тук има около 150 страници кое как и защо:

[линк]

ако си с ПДС не пропускай да пуснеш едно ново БДС НТ4 за в случай на провал при мигрирането, че ако стане беля ти заминава домейна.


Успех!




/

USER ERROR: replace user and press any key to continue.

"ако си с ПДС не пропускай да пуснеш едно ново БДС НТ4 за в случай на провал при мигрирането, че ако стане беля ти заминава домейна. "

Да добавя -> и да го спреш това БДС докато правиш миграцията и да не го пускаш докато не се убедиш че всичко е наред (или въобще да не го пускаш).

Всъщност въобще не става ясно дали ще мигрира НТ4 към АД2003 или просто ще направи чисто нов домейн с нови акаунти и въобще какви са връзките с по-голямата мрежа, т.е. дали новия домейн ще бъде част от вече съществуващи дърво/гора.

да ти кажа не му писах какво да прави с това БДС щото очаквам да знае, макар че знае ли се... ;)

то че не става ясно какъв трябва да е резултата е ясно... не знам що ми се струва че пича е правил вече нещо и не е станало като хората и сега пита кво да прави



/

USER ERROR: replace user and press any key to continue.

Бях 2 дена в командировка и не можех да пиша.
Изглежда по-добре да отговоря в един постинг на всички поставени въпроси.

Говорим за ПДЦ. Няма трастинг. Не се предвиждат дървета и гори.

Налага се да направя едно уточнение. Маниера на работа на хората работещи във "малката" мрежа(за която говорим) е такъв, че компютрите работят само през работно време включително и ПДЦ. Ето един неприемлив сценарий. Хората които имат право да пускат ПДЦ се забавят за работа или си тръгват по-рано и останалите нямат интернет.
Ще разводня много темата ако започна да обяснявам защо гасят компютрите извън работно време........

Положението с БДЦ също е малко странно. работните станции винаги лапаха новите машини, а старите издъхваха и нищо не оставаше за БДЦ и затова на подходящия човек с подходящата машина сложих като 2ра ОС НТ4 Сървър за БДЦ и го карам от време на време да влиза в нея за да се "чуят" с ПДЦ, допълнително е сложен и 2ри ДБ( имам предвид SQL server) и има подръка последни Backup на базата.... До сега важното винаги е било да може при нужда да се направи справка от ДБ а не токова наличието на ДЦ, който вървеше като много полезна екстра към ДБ сървъра( да отбележа, че други услуги освен ДЦ и ДБ не се ползват).

Стана на въпрос за моя опит. Както писах в началото с АД имам малко опит. Освен тази мрежа поддържам и друга подобна която(преди няколко години) премина от НТ4 към ДЦ2000, но там няма интернет (само за една машина член на ДЦ която достига един ФТП сайт по ИП или чрез редакция в локалхост файла) и не съм имал проблеми. Тогава забелязах този проблем с ДНС и интернета. По-късно си правих тестови постановки от собствен интерес за да видя как се решава проблема и от там ми е опита с форвардинга, но не съм дълбал много това си беше само тестова постановка за кратко време. Всъщност новата сървърна машина ще пристигне идната седмица и аз говоря с опита от тестовете ми с вин2000сервер (предполагам че за моята ситуация няма драстична разлика с вин2003)

И навремето( ДЦ2000) и сега смятам да направя нов домейн(но след предварителни тестове че всичко е ОК). Смятам, че няма много да ме затрудни вкарването на десетина машини в новия домейн.
Ще прегледам предложения ми линк за миграция може и да се размисля.

За сега виждам няколко варианта( с оглед и на вашите съвети):

1.Идеален(както би трябвало да бъде, но поради липса на 2ра машина за ДЦ...) с постоянно включени две машини
-Сървър1: ПДЦ +ДБ
-Сървър2: допълнителен ДЦ(към горния ДЦ) +ДБ
-Репликация от единия на ДБ на другия
- Клиентски ХПта ДНС настройки: Сервер1ДНС,Сервер2ДНС,ИнтернетДНС и ДНСите на сърверите форурдинг към Интернет ДНС
Нямам опит и не съм наясно дали е необходимо още някакво специално конфигуриране на ДНСте на 2та сървера.

2.Реално изпълним(не ясно дали ще е работи)
- Сървър1: ПДЦ +ДБ (машината работи само през работно време вечер се гаси)
- Сървър2: заделям на подходяща машина място за 2ра ОС(както е досега ) и слагам допълнителен ДЦ(към горния ДЦ) +ДБ, при нужда се ресторват ДБ-бекъпа(от време на време се включва този допълнителен ДЦ), ХПтата по същия начин като вариант 1.
За разлика от НТ4, където този вариант с БДЦ като 2ра ОС не създаде никакви проблеми(даже направо ни спасяваше) при АД2003 си нямам идея дали ще стане с периодични включване 2рия ДЦ(ще се синхронизират ли както трябва, налага ли се и нещо ръчно да се пипа при периодичното му пускане...знам че ви изглежда странно но това е реалността)

3. Запазвам НТ4 домейна и вкарвам новия сървър в него.Трябва да търся и дублиране на ДБто.

аааааааа......
докато го изчета луднах
момчета, Морфиус, може ли поне термините да са на латиница...

Настройките на мрежата на XP-tata, членове на домейна, трябва да сочат само AD DNS сървъри. В противен случай ще имат проблем с автентикацията.

AD DNS сървърите форуърдват само към Интернет DNS сървър. В идеалния случай е изолиран вътрешен DNS кеш сървър който пък форуърдва навън.

В AD DNS сървърите е хубаво да има вторични зони за всички зони в интранет мрежата ти (ако има такива), а не да форуърдват към други вътрешни ДНС сървъри с първични зони.


Има препоръки да не се изключват домейн контролери за повече от 3-4 дена, въпреки че майкрософт доколкото си спомням някъде пишеха че може да липсват DC-та за време от порядъка на 3 месеца. Опасявам се че с това изключване на втория DC ще си навлечеш големи главоболия.

И в твоя случай бих ти препоръчал с един 2003 DC с "корави" бекъпи и един NT 4 DC и да го караш с NT4 съвместим режим на AD докато се появи от някъде втора машина за втори DC.

при 2000/2003 няма PDC/BDC, има мастър роли и емулация на PDC за съвместимост с NT4

Една малка водка е полезна във всякакви количества!

Термините и съкращенията на английски си се пишат на английски (на латиница съответно).
На Български се пише на кирилица.


Welcome to the real world!

Доколкото разбирам хората са чувствителни да имат интернет независимо дали някоя MS боза изисква рестарт на DC. Аз бих заложил в този случай на DHCP & DNS на отделна машина с линукс например (BIND 9) и съответни ресолвове към AD DNS и Интернет (външен) DNS. Така поне имаш AD, нямаш AD, ще имаш ИНет и ще губиш security & sharings, но доколкото разбирам това ги устройва повече.

...ще береш ядове.
И в 3-те случая които си извел.
Вариант да разкараш АД-то (10 РС-та е поносима бройка за да минеш централен мениджмънт)?
btw какво е основното предназначение на твоята АД? Ако е само заради файловият сървър има и други варианти...

Не вытащишь без труда, если сунул не туда.

Сървъра е ОСНОВНО за MS SQL( на него не се държат никакви файлове за общо ползуване или други услуги) и понеже има възможност за DC(при НТ4 беше лесно и просто), което беше като екстра която им хареса и свикнаха и затова се опитвам да им я запазя.
Та DC( освен SQL) е за централизирано управление на акаунтите с всичко произтичащо от това и за нищо друго на този етап.

От дадените ми напътствия ту се опитвам освен софтуерно и организационно
да се "ъпгрейднат" нещата( това не зависи от мен но...)
Възможно е да се намери вариант за постоянно пуснат сървър.
За сега остава проблема с 2рия DC(backup) има вариант да направя на подходящ човек машината на която си работи да играе тази роля т.е. почти всеки ден ще е включен(нямам предвид като 2ра ОС на дадената машина, а направо човека да си работи на 2риа DC...малко български вариант ама какво да направя)

Разбира се има и "0" вариант да не правя домейн ще работят с SQL верификация и толкоз, но да знам, че съм опитал и не съм открил подходящ вариант.