AD sichern

[A+S 10]

Hallo,

 

wir möchten hier im Betrieb ein AD aufsetzen. So weit so gut. Allerdings suchen wir noch nach einer Möglichkeit das ganze zu sichern. Ich habe bis jetzt 2 Möglichgkeiten ausgetestet, welche auch funktionieren.

 

1. SystemState sichern und wieder neu aufsetzen

2. 2 Domänencontroller, die sich replizieren

 

Die 2. Variante ist wohl die gängige und wohl auch die effektivere. Allerdings müssen wir auch 2 DCs in Betrieb haben was nicht all zu schlimm wäre. Wir haben für das AD aber einen neuen DELL-Server gekauft, der mächtig Dampf hat. Er soll der 1. DC werden. Als Backup haben wir einen Standard-Server, der einer Workstation ähnelt (mit nicht so viel Dampf).

Am liebsten wäre es mir, wenn sich Clients nur an dem Dell-Server anmelden können und gar nicht die Möglichkeit haben sich an dem Backup-Server anzumelden. Also ähnlich dem alten NT-Server Prinzip. Auf das Backup-System soll also nur repliziert werden und nur im Notfall soll er den Betrieb übernehmen. Ist das überhaupt möglich mit W2003?

 

Danke schon mal im voraus!

 

MfG

Kai

[blub 115]

Hallo,

um wieviel User dreht sichs bei dir?

Ansich kannst du mit mässig moderner HW (z.b. dualproz >1 GHz, 2 GB RAM) pro DC ein paar tausend User bedienen.

Zwei günstige Server als dedizierte DCs zur Redundanz, sind schon empfehlenswert. Sonderkonstrukte, dass ein DC alle Anmeldungen abgekommt, der andere fast nichts, sind über DNS schon möglich, verkomplizieren deine Umgebung allerdings um einiges.

 

Um die Sicherung des Systemstates + Restorekonzept kommst du auf keinen Fall drumherum. Ein Bedienfehler, Virenangriff etc. schrottet dir auch beide DCs.

cu

blub

[A+S 10]

Erstmal Danke für die schnelle Antwort.

Es dreht sich eigentlich nur um wenige User. Ca. 150. Also hardwaretechnisch ist das kein Problem. Es gibt also in W2003 keine dafür vorgesehene Funktion, richtig?

Ich möchte auch nicht vom der sinnvollsten Konfiguration abweichen. Mir persönlich ist die 2. Methode ganz recht. Ich recherchiere nur gerade nach ein paar Alternativen für meinen Chef.

 

Welcher DC übernimmt denn eigentlich die Anmeldung an der Domäne? Übernimmt das der, der als erster die Anfrage erhält, oder wie ist das geregelt?

 

MfG

Kai

[woiza 10]

Was hast du davon, wenn sich alle an einer Kiste anmelden? Das tut doch keinem weh, wenn ein paar auf dem anderen landen?

 

Ansonsten geht das schon. Erstelle für den 2. DC einfach ne neue Site und weise alle Subnetze der ersten Site zu.

 

Abgesehen davon ist die Replikation auf nen 2. DC kein Ersatz für ein Backup. Der hilft dir nämlich nur, wenn die Kiste abraucht, aber was machst du, wenn die Daten korrupt sind oder ein Mitarbeiter mal schnell ne OU weggekickt hat.

 

Das AD als solches funktioniert ja noch und wird die fehlerhaften/gelöschten Daten auch auf die andere Kiste replizieren. in dem Fall hilft dir nur das Backup des Systemstate, das ja weder sonderlich viel Platz, noch Performance braucht.

 

Gruß

 

woiza

[ducke 11]

...Welcher DC übernimmt denn eigentlich die Anmeldung an der Domäne? Übernimmt das der, der als erster die Anfrage erhält, oder wie ist das geregelt?

 

Siehe dazu http://www.mcseboard.de/windows-forum-ms-backoffice-31/welcher-dc-authentifizierung-122420.html

[Daim 12]

Servus,

 

Welcher DC übernimmt denn eigentlich die Anmeldung an der Domäne? Übernimmt das der, der als erster die Anfrage erhält, oder wie ist das geregelt?

 

genau so ist es. Ganz nach dem Motto: Wer zuerst kommt, malt zuerst. Ähnlich wie beim Round Robin Prinzip. Das ist ja gerade der Vorteil von zwei DCs, dass man sich eben darüber keine Gedanken machen muss, wer welche Anmeldung übernimmt.

Neben der künstlichen Trennung die woiza mit dem Standort erwähnt hat, könnte man auch im DNS an der Gewichtung sowie Priorität drehen, aber warum?

 

Die Hardware wickelt die Benutzeranmeldung - die im übrigen etwa 4 kb beträgt - locker ab. Worauf geachtet werden sollte ist, dass auf jedem DC auch das DNS installiert und sich die FLZ im AD befindet.

[woiza 10]

Neben der künstlichen Trennung die woiza mit dem Standort erwähnt hat, könnte man auch im DNS an der Gewichtung sowie Priorität drehen, aber warum?

 

 

Klar, man könnte das auch über DNSAvoidRegisterRecords für die srv-Records lösen oder so, aber die Sitegeschichte finde ich am elegantesten.

 

Trotz allem würde die Anmeldung einfach so lassen, wie sie ist.

 

 

Gruß

 

woiza

[blub 115]

Erstmal Danke für die schnelle Antwort.

Ich möchte auch nicht vom der sinnvollsten Konfiguration abweichen. Mir persönlich ist die 2. Methode ganz recht. Ich recherchiere nur gerade nach ein paar Alternativen für meinen Chef.

 

Wie die anderen Kollegen bereits geschrieben haben, stellt sich in einer produktiven Umgebung nicht die Frage, ob 1.-te oder 2.-te Methode. HW-Redundanz durch mehrere Domancontroller ist sehr empfehlenswert und ein Backup/ Restorekonzept ist Pflicht.

 

Generell solltet ihr erstmal sauber planen, bevor ihr losrennt und schon "Dell-Server mit mächtig Dampf für AD" kauft. Das war z.B. schon ein Fehlgriff, da bei 150 Usern für AD zwei Server mit weniger Leistung billiger und für euch passender gewesen wären.

 

 

cu

blub

[A+S 10]

Guten Morgen,

 

Danke für die vielen Antworten.

Dass wir den SystemState sichern müssen, das war mir schon klar. Es ging eigentlich eher darum, zu schauen wie man das AD nur mit dem Dell betreibt und wie man ihn im Notfall am Besten wiederherstellt. Nach den ganzen Antworten hier werde ich die Methode mit 2 DCs wärmstens empfehlen. Ich selber fand sie auch am effektivsten. Irgendwelche speziellen Sonderlösungen wollen wir hier gar nicht anwenden. Mir ging es eigentlich nur darum, ob eine Funktion wie ich sie beschrieben habe in W2003 überhaupt vorgesehen ist.

Der 'Dell mit mächtig viel Dampf' ist auch nicht nur für das AD. Wie ihr gesehen habt haben wir hier nicht sonderlich viele User, also auch nicht sonderlich viel Serverpower. Er soll nebenbei auch noch andere Aufgaben übernehmen, wie z.B. unseren alten CAD-Server abzulösen.

 

PS: Wo legt man am günstigsten die Userprofile ab? Also falls der Server mit den Profilen ausfällt sollten Sie ja wenn möglich noch irgendwie erreichbar sein. Ist es überhaupt möglich einen alternativen Speicherplatz anzugeben?

 

Noch mal Danke.

 

MfG

Kai