Active directory master-standby slave

[Verwijderd]

Hallo,

We hebben ontdekt dat als onze huidige server het begeeft heel wat services niet of zeer moeilijk bereikbaar zijn, omdat de meeste via ldap op onze active directory verbonden zijn.

Daarom hadden we graag volgende strategie uitgewerkt:

We zouden graag onze huidige active directoy (fysieke machine) ondersteunen dmv een standby slave (virtuele machine op een andere computer).

Het idee is simpel AD, DHCP settings en DNS syncen met een slave, fysiek machine gaat down, we passen het ip aan van de virtuele machine naar dat van de fysieke en alles werkt terug.

AD replication kan volgens mij niet omdat de AD kunnen corrupt raken als de tijd tussen 2 replications te lang duurt.

Bedankt voor de moeite.

[ralpje]

En wat is je vraag precies?

[Paul]

Waarom zou je hem uit zetten? Gewoon aan laten staan, live replication, je kunt er één rebooten bij updates terwijl de ander doorgaat etc.

Juist als je hem uitzet (maar het wel een DC is) gaat de server zijn eventlog ondersneeuwen dat hij zijn replicationpartner niet kan vinden etc etc... Daarnaast heb je dus niks aan de slave als je die weer aan zet; computeraccounts zijn verlopen, DNS is stale, nieuwe gebruikers bestaan niet, oude gebruikers zijn er nog etc etc.

Gewoon die 2e server (virtueel of fysiek) gewoon aan laten staan, mee laten doen en gebruiken. Clients 2 DNS-servers meegeven, DHCP instellen op split scope (met delay op één van de servers, sinds 2008 R2) en het gebruiken zoals de fabrikant het bedoeld heeft

Wat zijn je redenen om de slave op die (rare) manier aan te sluiten ipv normaal?

[DinX]

Ik vermoed dat hij maar 1 LDAP server kan ingeven op zijn andere servers. Als dat IP dan niet meer bereikbaar is, dan mag er al LDAP draaien op de 2de DC, hij probeert dan nog te verbinden op de oude LDAP.

We hebben dit hier vroeger ook gehad. Ligt eerder aan matige serversoftware van derden (die maar 1 LDAP server ondersteunt).

[Paul]

Dat is nog op te vangen met DNS: 2 DC's, beiden live, en alle software waar je één LDAP-server in kwijt kunt geef je als server ldap.contoso.local.

Als de server waar dat DNS-record naar wijst onderuit gaat pas je de DNS-entry aan en zodra de TTL-verlopen is (of je helpt het een handje) connect de software weer naar 'een' server.

[Joenino]

Ik zou ze beide tegelijk laten draaien. Dus beide global catalog maken zodat alles tussen elkaar gesynct wordt. Beide ook DNS laten doen. Voor DHCP kan je eventueel nog kiezen om er een aparte server van te maken. De kans dat alles er dan uitligt is wel heel erg klein. (Valt 1 DC uit neemt de andere het automatisch over)

En zolang de mensen ingelogd zitten is er bij uitval van 1 van de DC's geen problemen. Bij uitval van je DHCP krijg je alleen geen nieuwe adressen, pc's die al een lease hebben zullen altijd blijven werken tenzij je de kabel eruit rukt zodat hij opnieuw een dhcp verzoek gaat doen.

Dus 2 DC met global catalog. Beide DNS en eventueel DHCP op 1 van de DC's of aparte server. Of het mogelijk is om op 2 servers in hetzelfde vlan/netwerk een dhcp server te hebben weet ik niet, dat kan misschien iemand anders beantwoorden.

[Paul]

Ja, kan Als één van de 2 Small Business Server is dan zit er een check in die de DHCP-server stopt als er een andere in het netwerk gevonden wordt, de 'normale' versies hebben hier geen last van.

Je kunt sinds 2008 R2 zelfs opgeven hoe lang de DHCP-server moet wachten met zijn DHCP Offer na een DHCP Request om zo wel redundancy te hebben maar toch de ene server meer werk te laten doen dan de andere. Het liefst krijgen de werkstations namelijk steeds van dezelfde server het antwoord zodat ze hun ip-adres behouden.

[PeterPan]

Paul schreef op dinsdag 26 juni 2012 @ 14:14:
Dat is nog op te vangen met DNS: 2 DC's, beiden live, en alle software waar je één LDAP-server in kwijt kunt geef je als server ldap.contoso.local.

Als de server waar dat DNS-record naar wijst onderuit gaat pas je de DNS-entry aan en zodra de TTL-verlopen is (of je helpt het een handje) connect de software weer naar 'een' server.

Je kunt ldap.contoso.local ook nog eens round robin DNS maken en naar beide AD servers laten wijzen, dan hoef je helemaal niets meer te vogelen.

[ Voor 3% gewijzigd door PeterPan op 26-06-2012 19:36 ]

[Koffie]

Move PNS > WSS

Mijn tip: als je niet weet wat je met AD aan het doen bent, blijf er dan alsjeblieft vanaf!

[Paul]

PeterPan schreef op dinsdag 26 juni 2012 @ 19:35:
round robin DNS

Dan moet je bij uitval nog steeds in je DNS 'vogelen' anders kan je software de helft van de tijd niet connecten