Cross-Forest-AD-Migration im selben IP-Netz?

[Landschaftsgest 10]

Hallo Gemeinde,

 

ist es möglich, bei einer Cross-Forest-AD-Migration (Heraustrennen einer Abteilung aus dem Unternehmen) das selbe IP-Netz für die neue Struktur zu nutzen, wie die Quell-Struktur? Habe da "Bedenken" beim Thema DNS. Wenn ein PC migriert wurde, bekommt er ja noch die IP/DNS-Informationen vom "alten" DHCP-Server. Da für das Vorhaben eine DNS-Weiterleitung konfiguriert werden muss, frage ich mich, ob diese dann auch für die migrierten PC´s/Systeme funktioniert?

 

Für alle hilfreichen Antworten bin ich dankbar.

 

Gruß

L

[Nobbyaushb 1.475]

Zwei Domänen im gleich IP-Bereich?

 

Ganz schlechte Idee.

 

Du kannst im gleichen physischen Netz bleiben (....) aber mit anderen IP-Adressen.

 

Wenn das (Quell) LAN z.B. 192.168.1.0/24 ist, würde ich auf z.B. 172.16.100.0/24 gehen.

 

Aber da kommen bestimmt noch mehr Vorschläge.

[Landschaftsgest 10]

Hm, ich dachte mir sowas, daher der Fred hier. Na ja, schaun wir mal, was da noch so an "Meinungen" kommt... 

 

THX

 

[NorbertFe 2.061]

vor 2 Stunden schrieb Nobbyaushb:

Zwei Domänen im gleich IP-Bereich?

 

Ganz schlechte Idee.

Warum?

[DocData 85]

Gaaanz schlechte Idee. Besser eigenes VLAN, eigenes Subnetz. Fertig.

[NilsK 2.957]

Moin,

 

naja ... das würde ich differenziert sehen.

 

Solange es sich um eine kleine bis mittelgroße Umgebung handelt und "selbes IP-Netz" einfach nur das IP-Segment bezeichnet, sehe ich überhaupt kein Problem. Etwas Sorgfalt muss natürlich sein, aber sonst interessiert sich das AD nicht besonders für andere Systeme im selben Subnet.

 

In einer größeren Umgebung mag das etwas anders aussehen, aber da sehe ich auch nur operative Gründe für eine Subnet-Trennung, keine technischen.

 

DNS und alle anderen Infrastrukturdienste kann und muss man natürlich sorgfältig planen, einrichten und betreiben. Aber das gilt für getrennte Subnets genauso wie für ein gemeinsames. Besonders die DNS-Auflösung muss während der Koexistenz ja auch domänenübergreifend funktionieren, das ist in der Praxis eher der Knackpunkt. Da man bei einer Domänenmigration für eine funktionierende Netzwerkkommunikation sorgen muss, kann eine zusätzliche IP- und VLAN-Aufteilung erheblichen Zusatzaufwand bedeuten, das würde ich schon gegeneinander abwägen.

 

Gruß, Nils

 

[Landschaftsgest 10]

Wenn ich - theoretisch - die Systeme in der neuen Umgebung manuell konfiguriere (IP), ist es sicherlich kein Problem. Aber da es sich auch um PC´s mit automatischer IP-Konfiguration (DHCP) handelt, wird dies sicherlich nicht ganz einfach werden. Die migrierten PC´s bekommen ja immer noch die DHCP-Settings der alten Umgebung. Theoretisch sollten sie ja die neue Umgebung (DC und was sonst alles noch migriert wurde) per DNS-Weiterleitung finden. Aber ich habe aktuell keine Möglichkeit, das mal eben in einem Lab zu testen.

 

Dass das nicht gerade die beste Idee ist, war mir klar. Aber die vorhandenen Netzwerkstrukturen sollen weiter benutzt werden - wenn es geht...

 

Edit: Es geht um eine eher kleine Umgebung mit max. 200 Systemen/Accounts

bearbeitet 10. April 2018 von Landschaftsgest

[NilsK 2.957]

Moin,

 

ja, DHCP kann ein Grund für eine Trennung sein. Die muss dann aber physisch sein (eigenes Netz, mindestens eigenes VLAN), ein separater IP-Kreis reicht dann nicht. (Ich sehe gerade, dass DHCP schon in der Eröffnung erwähnt wurde, das hatte ich erst übersehen.)

 

Ein zwingender Grund ist das allerdings auch nicht. Durch passendes Design bekommt man auch das hin, solange man per DHCP keine Sonderlocken verteilt.

 

Gruß, Nils

 

[Landschaftsgest 10]

Das "passende Design" interessiert mich nun aber doch... 

Vom Prinzip her dürfte es "nur" die DNS-Weiterleitung sein. Wenn die bei einem migrierten System so funktioniert, dass dieses System die neue Welt findet, dann sollte es technisch keine Hürde darstellen. Allerdings kann ich aktuell nicht beurteilen, was "Sonderlocken" im DHCP sind... 

[NilsK 2.957]

Moin,

 

ja, im Wesentlichen musst du sicherstellen, dass alle Clients alle Namen richtig auflösen können. In der Koexistenzphase bedeutet das ohnehin alle Namen aus der alten und der neuen Domäne. Ob man das per Forwarding macht, per Stub-Zone, per Secondary oder wie auch immer, ist aus der Sicht nebensächlich. Natürlich müssen auch die IP-Grundinformationen stimmen, das Gateway etwa. Dann ist es während der Migration egal, welchen DNS-Server die Clients fragen, das könnte durchaus der "alte" sein. Irgendwann ändert man das im DHCP und gut.

 

Mit "Sonderlocken" meinte ich sowas wie WINS-Server, Domänennamen oder so, halt die (wenigen) Sachen, die man Windows per DHCP so mitgeben kann. Das müsste man dann rausnehmen, falls es bisher vorhanden war.

 

Alles Weitere kann man nur beurteilen, wenn man sich genau mit der Umgebung beschäftigt. Das kann gar nichts sein oder eine ganze Menge ...

 

Gruß, Nils

 

[Landschaftsgest 10]

Hi Nils,

 

besten Dank für die aufklärenden Worte. Im DHCP ist "leider" Option 015 - DNS Domain Name gesetzt. Das kann ich dann raus nehmen. Den Rest werde ich dann sehen, wenn es an die Testphase geht.

 

Vielen Dank an alle Beteiligten.

 

Gruß

L

[NilsK 2.957]

Moin,

 

ja, nimm die 015 raus. Das braucht man nicht, und es führt im Zweifel nur zu Problemen - so etwa in deinem Szenario.

 

Gruß, Nils