Windows domena prek routerjev

Pozdrav,

imamo večje omrežje (skoraj 1000 računalnikov) s precejšnjim številom routerjev. Na dolgi rok bi radi vzpostavili windows domeno, pri čemer bi joinali tudi računalnike, ki so za routerji. Zanima me, če ima kdo s tem kake izkušnje. Katere porte je treba forwardirat kam? Nekaj člankov na to temo sem že prebral, vseeno bi se pa priporočal za morebitne izkušnje s takim početjem.

Druga stvar: kako je potem z omrežnim printanjem? Recimo, da je DC tudi print server. Kako printat na dva omrežna tiskalnika, če sta oba za istim routerjem?

Hvala in LP,
D

Domeno postavljam z nule... Omrežje pa je postavljeno in kot tako funkcionira.

Kakšne pa so povezave, kar se tiče pasovne širine in latenc (najeti vodi, simetrične povezave, asimetrične, klicne povezave, ISDN, ...)? Od teh je namreč odvisno koliko strežnikov boš nujno potreboval in koliko jih je smiselno ustvariti. Morda, če boš priložil kakšno približno oblačkasto shemo brez kakršnih koli IP naslovov, bo še lažje predlagati kaj smiselnega.

Kar je pa SasoS povedal, pa kar pozabi. Malo je zamešal AD in običajne skupine, kjer ni ne domene, ne WINS strežnika, hkrati pa je pozabil na osnove delovanja IP omrežja (kaj ima broadcast z routerji?).

@SasoS: Oprosti, verjetno res nisem povedal dovolj jasno: AD domene za delovanje ne potrebujejo nikakršnih broadcastov, kar pomeni, da teh broadcastov tudi ni (razen če boš k njim štel DHCP discover broadcaste). Zakaj pa naj bi bili broadcasti neprijazni usmerjevalnikom, pa tudi ne vem, saj se ti z njimi ne ukvarjajo - od tukaj pa sledi referenca na tvoje nepoznavanje osnov delovanja IP omrežij.

Aha!

Mislim, da sedaj razumem kaj si želel povedati: namesto da imajo usmerjevalniki težave z broadcast paketi, si verjetno želel povedati, da ima domena težave z usmerjevalniki, ker naj bi uporabljala broadcast pakete.

No, naj ti še enkrat zagotovim: AD domena (za razliko od klasične, ki se je uporabljala do vključno NT 4.0) ni bila nikoli odvisna od broadcast paketov. Delovanje je bazirano na DNS, LDAP v3, Kerberos v5, DCE/RPC in CIFS protokolih. Vsak izmed njih igra svojo vlogo, niti en izmed njih pa pri svojem delovanju (na srečo) ne uporablja broadcast paketov.

To, da pa nekdo domene ni eksplicitno opredelil kot AD domene, je pa čisto izgovarjanje. Zakaj točno in kako točno si predstavljaš nameščanje domene z tehnologijo, ki je bila izkoreninjena 2001? 6 let nazaj?

BlueRunner: v podjetjih je še ogromno računalnikov z win98 katerih ne bo noben nikoli updatal, verjemi delam vsak dan z njimi...če ima 1000 mašin so res vsi win2k ali več? Pa linux (ki sicer ima nekaj AD podpore, a je daleč od popolne implementacije)?

@BorD: Če imaš samo usmerjevalnik (router), potem ni nikakršnega problema: vsem udeležencem podeliš IP naslove in nastaviš ustrezne route; na strežniku poženeš dcpromo; nato klientih nastaviš pravilen DNS in jih dodaš vo ravnokar ustvarjeno domeno. Nikakršnih zapletov, "prosto ko pasulj". Če imaš vmes nič ali pa 100 usmerjevalnikov ne igra vloge.

Po korakih bi to šlo nekako takole (v zaprtem "laboratorijskem" omrežju):
1) v testu bom imel dve omrežji: 10.0.0/24 kjer se bo nahajal strežnik in 10.0.1/24, kjer se bodo nahajali odjemalci.
2) omrežji bo povezoval usmerjevalnik, kjer bosta delovala dva vmesnika: en z naslovom 10.0.0.1/24, drugi z naslovom 10.0.1.1/24.
3) v "strežniškem omrežju" (10.0.0/24) namesti Windows 2003 Server in mu dodeli naslov 10.0.0.10/255.255.255.0, prehod (gateway) mu daj 10.0.0.1, za DNS strežnik pa 127.0.0.1, čeprav sam DNS še ni nameščen
4) na strežniku: Start -> Run in vtipkaj dcpromo
5) V čarovniku izberi naslednje možnosti:
5.1) "Domain cotroller for a new domain"
5.2) "Domain in a new forest"
5.3) za "Full DNS name" si ozberi nekaj.internal ali pa nekaj.intranet. NE UPORABLJAL ".local"!
5.4) za "Domain NetBIOS name" pustiš tisto, kar ti je ponujeno
5.5) "Database and Log Folders" pustiš tisto, kar ti je ponujeno
5.6) "Shared System Volume" pustiš tisto, kar ti je ponujeno
5.7) Pri "DNS Registration Diagnostics" izberi "Install and configure DNS server on this computer" - srednja možnost
5.8) pri "Permissions" izberi ustrezno možnost: glede na to, ali uporabljate tudi Windows NT 4.0 strežnike ali ne. Privzeto je, da ne, kar bi moralo biti OK.
5.9) izberi si geslo za "Restore mode". To geslo boš potreboval takrat, kadar boš ta strežnik pognal v Safe mode, ali pa v Directory services restore mode
5.10) na povzetku klikneš še "Next", nato pa se začne vrteti namestitev
6) Ko čarovnik konča s svojim delom, moraš strežnik še restartati, kar tudi storiš ("Restart Now").
7) Ko se strežnik pobere nazaj, lahko začneš z pripravo odjemalcev...
8) Na prvem odjemalcu nastavi IP naslov 10.0.1.10/255.255.255.0, prehod 10.0.1.1, DNS pa 10.0.0.10
9) Preveri povezljivost med odjemalcem in strežnikom (poženi ukazno školjko in v njej napiši "ping 10.0.0.10") Dokler ne dobiš odziva, omrežji nista pravilno povezani, kar pomeni, da ne boš mogel nadaljevati.
10) Odpri Control Panel, odpri System Properties (oprosti, ker nimam slovenske verzije v glavi), nato pa izberi zavihek "Computer Name".
11) Klikni na gumb "Change", na novem oknu pa izberi možnost domene, za ime domene pa vpiši polno ime domene, ki si si ga izbral v koraku 5.3 (nekaj.internal)
12) Čarovnik te bo vprašal za uporabniško ime in geslo uporabnika v AD domeni, ki ima pravico dodajanja novih računalnikov v domeno: najlažje bo, če uporabiš kar "Administrator@nekaj.internal", geslo pa je isto geslo, kot ga je imel ta Administrator na strežniku preden si pognal dcpromo.
13) Pojavil se ti bo okenček, ki te bo pozdravil v novi domeni, nato pa boš moral odjemalca še ponovno zagnati
14) Ponovi korake od 8 do 13 za vsakega odjemalca, ki ga želiš dodati v domeno... samo ne jim dajati istih IP naslovov ;)


Če imaš pa vmes požarne zidove pa moraš paziti, da boš v pravilne smeri spuščal pravilne tipe prometa. Teh je malo več, obstaja pa dokument, kjer so vsi lepo zbrani in zapisani. Ta dokument ti pa lahko na željo, izbrskam in pošljem.

---
@SasoS: Win98: WINS strežnik, Samba od 3.0 naprej (od leta 2002) v AD domenah deluje b.p.. Če hočeš na vsak način polemizirati na to temo, samo zato, da lahko polemiziraš, potem si najdi koga, ki o teh zadevah nima vsega razčiščenega. Morda ti bo še kaj verjel. Jaz bom svoj čas raje posvetil nekomu, ki ga to resnično zanima.

@Dead_Eye: Na pamet je to težko uganiti. Daj preglej kaj se zapisuje v Application in System Event Log-u na klientu. Če boš našel kaj čudnega, pošlji sem, pa bom lahko potem vsi skupaj na podlagi najdenega sklepali kaj bi lahko bilo narobe.

Ok tole je pa res tko cudno, da se ne morem zadrzati:
1000 win racunalnikov, ki niso v domeni?

Stari, jst mislim, da se hecas al pa smo kaj spregledali. Kdo hudica vse to vzdrzuje?!?! In kako?

Poleg tega, ce je tvoj nacrt, da das 1000 PCjev v domeno, potem si najdi nekoga (MS slo), da ti oni naredijo plan, ker se ti bo v nasprotnem primeru cez kako leto vse sesulo.


by Miha

Aja, pa vseh 1000 računalnikov verjetno nikoli ne bo v isti domeni, ampak številka zgolj opravičuje routerje v lokalnem omrežju, ker sicer bi se hitro našel kdo, ki bi se mu pa to zdelo skrajno čudno.

Lp,
D

@BorD: Upam, da med omrežji ne uporabljaš NAT. Uporaba požarnega zidu na DC-jih ni podprta, čeprav se da okna prepričati tudi v takšno stvar, če je to resnično potrebno (kar si tudi že sam ugotovil).

Glede samega pristopa k postavitvi domene pa obstaja še nekaj alternativnih postavitev, za katere bi bil sedaj (poletje) primeren trenutek, da o njih premisliš. Hkrati pa bi bilo dobro upoštevati tudi nefunkcionalne zahteve, saj domene ne boš postavljal v čistem vakumu, kar pomeni da moraš prihodnje integracije upoštevati že sedaj.

Pojmi LAN in WAN pa se mi zdijo nekoliko leseni, saj upoštevajo odnos med samo dvema lokacijama v omrežju. Osnoven diagram celotnega omrežja (nekaj oblačkov in povezav med njimi) bi tukaj še vedno izredno pomagal, saj je ravno takšen digarm osnova za neko smiselen predlog postavitve celotnega sistema.

@Microsoft: Anonimnost na forumih je zlata vredna, še posebej zato, ker delam v številčno majhnem podjetju, ki pa svetuje marsikomu pri marsičemu.