Несколько контроллеров домена
Как быть в ситуации, если сервер вышел из строя? Как обеспечить отказоустойчивость?
Необходимо установить еще один контроллер в рамках уже созданного домена Active Directory. Настраивая второй контроллер, вы создаете брата близнеца, который также как и первый будет хранить заветный файл ntds.dit и также как и первый контроллер отвечать на запросы клиентов. Вашим клиентам будет абсолютно все равно, какой из контроллеров их обслужил. Второй контроллер как и первый должен иметь службу DNS.
Когда вы создаете пользователя в Active Directory, он создается в базе (ntds.dit) того контроллера, к которому в данный момент подключена оснастка. А если контроллеров несколько возникает ситуация в которой один контроллер знает об изменениях, а второй еще нет. Данные изменения обязаны быть доставлены на остающийся “незнающим” контроллер. Процесс синхронизации баз контроллеров в домене называется репликацией, которая происходит в фоном режиме без оповещения системного администратора.
С выходом Windows Server 2008 появилась технология “Read Only Domain Controller” или контроллер домена только для чтения. Особенность данного контроллера в том, что он работает только на чтение, т.е может обсуживать ваших клиентов, но записать в его базу AD вам ничего не удастся. Репликация в таком случае идет в одну сторону с полноценного контроллера на контроллер домена только для чтения. Используется он в ситуациях когда необходимо установить сервер в месте не обеспечивающего физическую безопасность.
Сайты Active Directory
Один из больших плюсов AD – это то, что AD создавалась для работы в территориально распределённых сетях. Рассмотрим сеть разделённую на 2 сегмента. Каждый сегмент находится в своей подсети, трафик между подсетями маршрутизируется и передается в зашифрованном виде по VPN-туннелю. Для уменьшения расхода трафика необходимо ввести с каждый сегмент по контроллеру домена. Кроме того, необходимо сконфигурировать сайты AD.
Сайт AD не имеет ничего общего с www.ya.ru и.т.д. Это логическое объединение клиентов и контроллеров связанных высокоскоростным соединением. Ваша сеть состоит из двух участков в каждой скорость не меньше ста мегабит, а вот эти участки связанны каналом в два мегабита или того меньше. Получается, что у вас будет два сайта. Cконфигурировав сайты Active Directory вы добьетесь того, что клиенты всегда в первую очередь буду обращаться к тому контроллеру который находится с ними в одном сайте и если уж он не доступен, то запрос будет послан на другой контроллер. Когда вы устанавливали первый контроллер домена сайт с именем “default first site name” был создан автоматически и если вручную настройки не были изменены, Active Directory считает, что все дополнительные контроллеры и все клиенты работают в одном сайте.
После конфигурирования сайтов контроллеры также изменят свое поведение, репликация изменений Active Directory будет основываться на расписании, поскольку теперь AD понимает, что она развернута в территориально распределенной сети, каналы соединяющие участи узки и используются не только для синхронизации контроллеров.
Как клиент понимает, что он принадлежит к тому или иному сайту? Конфигурируя сайт, вы явно задаете подсети которые входят в него. Т.е если вы создали сайт и закрепили за ним подсеть, все клиенты имеющие IP-адрес в данной подсети будут считать себя члена данного сайта.