Thuisnetwerk herinrichten: domain of workgroup?

[Edmin]

Onlangs ben ik verhuisd en dat gaf reden om mijn thuisnetwerk weer eens onder handen te nemen. Initieel ging dat vooral om het aanleggen van de fysieke verbindingen en het WiFi bereik, maar nu dat achter de rug is, ben ik toch aan het kijken naar de manier waarop ik het netwerk ga beheren. Hierbij popte uiteindelijk de vraag op of het niet beter was om van de ad hoc workgroup over te stappen op een domain controller.
Ik zit in huis met een niet-opvoedbare ( ) vriendin en twee dochters die net de digitale leeftijd bereikt hebben (9 jaar). Ieder heeft een eigen laptop en uiteraard wordt er regelmatig bij elkaar leentjebuur gespeeld. Zo wordt mijn Surface Book veelal in mijn afwezigheid gebruikt om filmpjes op te kijken, omdat het kan. Daarnaast delen we een printer en NAS en staan er twee vaste pc's in huis. Een plaatje:


De Synology DS918+ wordt ondersteund door https://www.synology.com/.../feature/active_directory. Hiermee hoop ik de security buiten en binnen het netwerk te verbeteren. Het draaien van updates en virusscanners e.d. is niet aan de rest van de gezinsleden besteed en zo wil ik ook voorkomen dat er bij misbruik van mijn laptop 'per ongeluk' de financiële administratie op de NAS overhoop wordt gehaald.

Aan de andere kant levert het wel een hoop werk en vragen op. Hoe houd ik de AD devices gescheiden van de rest? En kan je dan nog wel vanaf een tablet foto's kijken op de NAS?

Wat zijn jullie ervaringen met een domain controller in je thuisnetwerk? En wie heeft ervaring met de AD server app van Synology?

[FreakNL]

Ik heb zelf ook een DC draaien (3 zelfs, 2 op mijn lokatie en 1 bij mijn ouders, 1 AD forest met site-to-site VPN).

Het biedt talloze voordelen met login scriptjes, policies, etc etc..

Als je het leuk vind om mee te spelen en je ook wat wilt leren zou ik het zeker doen, zeker als je al iets van een hypervisor hebt draaien.

Veel werk valt reuze mee hoor. Af en toe moet je windows ff updaten, voor de rest loopt het wel.

[MAX3400]

FreakNL schreef op vrijdag 20 oktober 2017 @ 15:10:
Ik heb zelf ook een DC draaien (3 zelfs, 2 op mijn lokatie en 1 bij mijn ouders, 1 AD forest met site-to-site VPN).

Veel werk valt reuze mee hoor. Af en toe moet je windows ff updaten, voor de rest loopt het wel.

Of ik lees niet goed of jij leest niet goed; ik denk dat @Edmin de AD-tooling van Synology wil gaan inzetten om daarmee het netwerk een beetje in de klauwen te krijgen?

Anyhow, ik persoonlijk zou een SPOF niet inzetten hiervoor. Als morgen de Syno uitfikt en daarmee ook alle AD-functies, ben je best heeeeel ver van huis. Wat @FreakNL dan heeft staan is mogelijk handiger; een "echte" machine met ADDS erop zodat je daadwerkelijk roles / features / services van een volledige Windows Domain Controller kan inzetten.

[Edmin]

Het klopt inderdaad dat ik de Synology AD (SAD) wil gebruiken. Deze is gebaseerd op Samba4.
De Syno tooling lijkt me behoorlijk compleet, als ik het zo lees:
https://forum.synology.co...d637a090f26a58c7e23f5bb84. Ik deel wel je idee van een SPOF. Daar moet ik nog dieper induiken. Ik heb wel mogelijke fall back opties in gedachten, maar weet nog niet hoe SAD dit ondersteunt.

[MAX3400]

Out of the box denken; als je nou op je Windows 10 machine (aan de Netgear) een RODC VM inricht? Ervanuitgaande dat SAD dit snapt, heb je in ieder geval nog een DC die het netwerk kan serveren als de Synology eruit klapt. Neemt niet weg dat je in ieder geval op zoek moet naar een backup/restore-mogelijkheid voor SAD.

Andere vraag: hoe ver wil je gaan met je AD, policies etc? Want ik kan me voorstellen dat de 4 laptops soms wel eens buiten huis werken of moeten connecten; dan is het wel essentieel dat de gebruiker enige administrative rights heeft om dat voor elkaar te krijgen. En daarmee zit je meteen met het probleem waar je mee begon (gedeeltelijk); men kan/doet teveel op het eigen netwerk

[Edmin]

RODC lijkt hem niet te gaan worden, als ik de documentatie zo lees. Maar een backup/restore functie moet ik zeker verder onderzoeken.
Aan de andere kant, wil ik er misschien toch ook een workgroup naast hebben voor de niet-AD devices. DAt kan natuurlijk als tijdelijke back-up dienen als de Syno eruit klat.

De laptops worden voorlopig niet buitenshuis gebruikt, maar ik zie daar de issues niet echt. Domain credentials worden toch gecached voor gebruik buiten het netwerk?

[Brahiewahiewa]

Edmin schreef op zaterdag 21 oktober 2017 @ 00:07:
... Domain credentials worden toch gecached voor gebruik buiten het netwerk?

Klopt, maar als een van je dochters d'r laptop meeneemt naar school en daar iets wil uitprinten, dan lukt dat niet omdat ze de printerdriver niet geïnstalleerd krijgt. Op zich is dat wel op te lossen, maar zo zijn er honderden problemen waar je op zult moeten anticiperen, daar krijgt je gezin - jijzelf incluis - op een gegeven moment genoeg van. M'n zoontje van 13 heeft daarom z'n laptop uit 't domain gehaald ;o)