Domeinbenaming W2k-server-domein

[CmdrKeen]

We gaan het serverpark upgraden naar Windows 2000 Server, en ik (sysadmin) ben me aan het oriënteren. Momenteel ben ik bezig de MCSE voor Windows 2000 Server te lezen, alsmede Het Grote Boek over Active Directory.
Nu heb ik een vraagje over hoe ik de domeinbenaming moet regelen.

Er zijn vijf vestigingen (voor het gemak A, B, C, D en E) in bedrijf "Company" die z'n website heeft draaien op www.company.nl. De hoofdvestiging is A. Das allemaal verzonnen, maar het praat wel zo makkelijk. De vestigingen zijn door een derde partij met DLS-lijnen en routers aan elkaar geknoopt, vergelijkbaar met huurlijnen, en alle internetverkeer loopt via vestiging A.

Ten eerste: in de MCSE van W2k Server staat dat de DNS-benamingen overeen moeten komen met de geregistreerde internet-naam, company.nl dus. Is dat zo? In eerdere topics hierover heb ik namelijk gelezen dat dat geen goed idee is, hoewel het mij niet helemaal duidelijk werd waarom. Persoonlijk denk ik dat het wel zo overzichtelijk is voor de gebruikers als je je aan de domeinnaam company houdt.

Ten tweede: hoe moeten de domeinnamen worden? In de MCSE staat het voorbeeld microsoft.com, dev.microsoft.com en product.microsoft.com. Moet ik dan de domeinen company.nl, b.company.nl, c.company.nl, d.company.nl en e.company.nl maken of is het een goed idee om ook a.company.nl te maken?
Vestiging A is namelijk het hoofdkantoor.
Mijn gevoel zegt dat ik het beste voor vestiging A a.company.nl kan maken om het overzichtelijk te houden.

Ten derde: áls ik de geregistreerde internet-naam gebruik voor het bedrijfsnetwerk, gaat dat dan de internet-site www.company.nl in de weg staan of niet? Ik denk van niet, omdat www als een apart subdomein gezien kan worden vanaf het internet.

[Verwijderd]

Op dinsdag 22 januari 2002 18:59 schreef Vilenin het volgende:

Ten eerste: in de MCSE van W2k Server staat dat de DNS-benamingen overeen moeten komen met de geregistreerde internet-naam, company.nl dus. Is dat zo? In eerdere topics hierover heb ik namelijk gelezen dat dat geen goed idee is, hoewel het mij niet helemaal duidelijk werd waarom. Persoonlijk denk ik dat het wel zo overzichtelijk is voor de gebruikers als je je aan de domeinnaam company houdt.

zou ik wel doen. Alleen de mailserver op een andere machine draaien en deze bv de dns servers van je provider meegeven ipv die van je windows 2000 server. Anders heb je kans dat de mail niet aankomt. (mail komt aan bij windows2000 server)

Ten tweede: hoe moeten de domeinnamen worden? In de MCSE staat het voorbeeld microsoft.com, dev.microsoft.com en product.microsoft.com. Moet ik dan de domeinen company.nl, b.company.nl, c.company.nl, d.company.nl en e.company.nl maken of is het een goed idee om ook a.company.nl te maken?
Vestiging A is namelijk het hoofdkantoor.
Mijn gevoel zegt dat ik het beste voor vestiging A a.company.nl kan maken om het overzichtelijk te houden.

Heb je helemaal geljk in.

Ten derde: áls ik de geregistreerde internet-naam gebruik voor het bedrijfsnetwerk, gaat dat dan de internet-site www.company.nl in de weg staan of niet? Ik denk van niet, omdat www als een apart subdomein gezien kan worden vanaf het internet.

heeft u weer gelijk in. (het is wel makkelijk als www.company.nl een statisch IP heeft.)
Ik heb ook een domein, echter met een dynamisch ip. Zodra die hosters van mij het ip weer eens veranderen kan ik de site vanaf mijn lan niet meer bekijken. Moet ik eerst de dns wijzingen doorvoeren.

[Brahiewahiewa]

Om niet met de internet site van company.nl in de knoop te komen, moet je inderdaad een andere domain naam gebruiken; bij voorkeur een die niet op internet voorkomt, bijv: company.local

Verders heb je niet zoveel voordeel bij sub-domains als het om een niet al te groot bedrijf gaat. Het nadeel is dat je clients problemen krijgen mbt name resolving: een machine in dev.company.local gaat niet zomaar een machine in sales.company.local kunnen vinden als hij alleen maar de hostnaam heeft. Dan moe je gaan klooien met DNS-suffixes enzo

Voor de overzichtelijkheid van je administratie kun je beter OU's gebruiken dan sub-domains.

[CmdrKeen]

Martijntje, bedankt voor je antwoord!
Wij hebben een aantal statische IP's en één ervan verwijst naar mail.company.nl. Alle servers, behalve de fileservers voor intern gebruik, krijgen een statisch (extern) IP, dus de domeincontrollers, de mailserver, intranet. Deze IP's zijn ook geregistreerd.

Onze site wordt nu trouwens door een andere club gehost. Kan ik company.nl laten verwijzen naar ons WAN en www.company.nl naar de site? Vast wel toch?

Is het überhaupt mogelijk om één IP-adres te koppelen aan company.nl - d.w.z. zonder subdomein?

[CmdrKeen]

Op dinsdag 22 januari 2002 19:10 schreef Brahiewahiewa het volgende:
Voor de overzichtelijkheid van je administratie kun je beter OU's gebruiken dan sub-domains.

Het probleem is een beetje dat de snelheid van de DSL-lijnen die de vestigingen verbinden wel hoog is, maar niet hoog genoeg om geen lokale fileservers te kunnen gebruiken.
Er moeten dus lokale fileservers komen. Stel dat de fileserver in vestiging B "B" heet, dan wordt de naam van dat ding automatisch b.company.nl. Hmm... dat zou betekenen dat elke aparte computer een subdomein is. Hoe zit dat?

[Verwijderd]

je moet natuurlijk altijd lokale domein controllers /fileservers neerzetten. Deze laat je dan synchroniseren via de huurlijnen. (VPN?)

Het makkelijkste is dus een VPN netwerk te creeeren met class C ip nummers. Als iedere gateway dan de ip ranges van de andere verstigingen weet dan zeveren die pc's (ook de clients) met elkaar. (mits ze een df gw hebben)

Dit is zo omdat je op iedere vestiging een eigen dhcp/DNS server draait waar dus de hostnames/ip nummers van alle pc's bekend zijn. Pingen op hostname/ip nivo werkt dus alle twee.

Company.nl is het "domein" iedere domaincontroller heeft een DNS entry voor company.nl in z'n lijst staan. (Iedere domain controller is dus company.nl) (ik neem aan dat je geen IIS + domaincontroller op een server wil gaan draaien). Ik zou dus een intranet.company.nl domein aanmaken.

Bovenstaande configuratie heb ik draaien in het klein (tussen 2 LAN's die mbv vpn verbonden zijn).

Ieder LAN draait een eigen domain controller, een dns/dhcp /wins server. Alles wordt mooi gesynchroniseerd.

Mooise is dus: Als ik iets op lokatie A verander dan veranderd dit ook op lokatie B. (Is heel makkelijk met onderhoud)

[CmdrKeen]

Ik weet nog niet precies hoe de derde partij de routers in gaat stellen, maar elke router geeft één IP-adres door (aan een server erachter). Er komt geen VPN, want de fileservers annex domain controllers in de vestigingen krijgen allemaal een statisch (ook extern) IP.

Ik weet eigenlijk nog niet hoe ik dat het beste aan kan pakken met DHCP en zo. Momenteel is dat voor elke vestiging apart opgezet, maar de bedoeling is dat men in vestiging B vanaf eender welke client kan pingen naar clients in vestiging D, bijvoorbeeld.

Synchroniseren moet ook gebeuren. Ik wil er zelfs FRS op loslaten met DFS, om maar eens een paar afkortingen te laten vallen. Alle users moeten overal bekend zijn zodat ze overal kunnen inloggen.

Het makkelijkste is dus een VPN netwerk te creeeren met class C ip nummers. Als iedere gateway dan de ip ranges van de andere verstigingen weet dan zeveren die pc's (ook de clients) met elkaar. (mits ze een df gw hebben)

Dit is hoe het momenteel in elkaar zit. Wat bedoel je precies met "zeveren"?

[Verwijderd]

Met zeveren bedoel ik communiceren.

VPN maakt het leven een stuk simpeler. (maarja dat heb je dus niet).

In dat dikke windows 2000 boek staat hoe je servers onderling kunt laten communiceren via smtp. Ikzelf heb me hier nooit zo in verdiept. (ik heb een vpn )

[Verwijderd]

je zegt ook dat alle domain controllers een vast IP hebben. Iedere domain controller zal dus goed geconfigd moeten worden. Met name de security. Ze staan immers allemaal bloot aan internet. (kun je natuurlijk voor een groot deel afvangen met een router)

Dit is ook wel een puntje om even bij stil te staan!

[CmdrKeen]

Op dinsdag 22 januari 2002 19:53 schreef martijntje het volgende:
je zegt ook dat alle domain controllers een vast IP hebben. Iedere domain controller zal dus goed geconfigd moeten worden. Met name de security. Ze staan immers allemaal bloot aan internet. (kun je natuurlijk voor een groot deel afvangen met een router)

Bedankt voor de tip. De servers staan echter niet direct in verbinding met het internet. Het netwerk waarop ze aangesloten worden, is niet verbonden met het internet, alleen vestiging A heeft een internetverbinding, en tussen A en het internet komt een DMZ met twee firewalls. Vestigingen B t/m E internetten via A. Dat zit wel goed dus.

In zekere zin vormen de DSL-lijnen met de routers een VPN.

[Verwijderd]

hmmm.
even voor de duidelijkheid:

Vestiging A--router----huurlijn--+-router- Vestiging B
+-router- Vestiging C
etc etc

Loopt die huurlijn nu via internet? Of is het een echte huurlijn (via de kpn ofzo)
Omdat je zegt dat de andere lokaties niet aan internet zitten maar internetten via vestiging A.

Dan zit het met ip nummers wel goed. Iedere router krijgt een 192.168.x.x adres (of begrijp ik je nu verkeerd)

Je hebt op dat moment dus weer een groot netwerk met als het ware verschillende segmenten die met routers verbonden zijn.

ps: allemaal laten internetten via vestiging A zou ik niet doen. Pietje zet Kazaa open, weg bandbreedte (over de DSL lijn), weg synchonisatie!

[CmdrKeen]

Op dinsdag 22 januari 2002 20:16 schreef martijntje het volgende:
Loopt die huurlijn nu via internet? Of is het een echte huurlijn (via de kpn ofzo)

Versatel. Het zijn nep-huurlijnen, te weten dial-up DSL-verbindingen, maar flat-rate 24/7 en 'beheerd' door routers. De routers verbinden de servers met elkaar in wat eigenlijk een LAN is.

Omdat je zegt dat de andere lokaties niet aan internet zitten maar internetten via vestiging A.

Dan zit het met ip nummers wel goed. Iedere router krijgt een 192.168.x.x adres (of begrijp ik je nu verkeerd)

Moet ik nog eens navragen. Volgens mij krijgen ze namelijk IP's uit de niet-private range, dus gewoon op internet. Maar daar hebben ze dus in deze constructie niets aan!

Je hebt op dat moment dus weer een groot netwerk met als het ware verschillende segmenten die met routers verbonden zijn.

Juist. Verschillende "sites" zoals Microsoft het noemt.

ps: allemaal laten internetten via vestiging A zou ik niet doen. Pietje zet Kazaa open, weg bandbreedte (over de DSL lijn), weg synchonisatie!

Niks KaZaA! Daar ga ik dus wel even voor zorgen he! Nee hoor, het WAN annex LAN gaat alleen voor zakelijke doeleinden gebruikt worden. (KaZaA is voorbehouden aan de sysadmin. ) Dit heeft bovendien als voordeel dat ik maar één firewall (en op den duur DMZ) hoef te beheren.

[Verwijderd]

Op dinsdag 22 januari 2002 19:16 schreef Vilenin het volgende:

[..]
Stel dat de fileserver in vestiging B "B" heet, dan wordt de naam van dat ding automatisch b.company.nl. Hmm... dat zou betekenen dat elke aparte computer een subdomein is. Hoe zit dat?

Als de machine b heet en die staat in subdomain b.company.nl heet hij dus b.b.company.nl. Een computer kan nooit een subdomain zijn: alles tot de eerste punt is hostnaam, alles daarachter is domeinnaam. Vanuit DNS oogpunt bestaat er geen verschil tussen een domein en een subdomein: company.nl is een subdomein van nl, wat weer een subdomein is van '.'

[CmdrKeen]

Dus als ik een W2k-domain controller neerzet (in NT4-termen: een Backup Domain Controller) die "B" heet in het domein company.nl, dan maakt dat niet automagisch dat er een subdomain b.company.nl is?

Das wel beter! Eén domein is makkelijker te beheren dan vijf.

Is dat nog van invloed op de File Replication Service? Ik wil in dat ene domein (als ik 't al zo doe) namelijk wel vijf 'sites' (oftewel verschillende IP-ranges) maken om die FRS soepel te laten verlopen.

[Verwijderd]

Heel dit verhaal geeft maar weer eens te kennen dat het leuk verzonnen is van microsoft maar de plank finaal misslaat. Wat moet een klein miezerig bedrijfje nu met 5 domeinen in een dns systeem wat niet eens 100% internet compatible is. je zult maar MSCE 2000 zijn of bill gates om dit te moeten snappen.

Gewoon NT4 houden of anders overstappen op Novell 6 :-) Geen gezeik meer met client software wat niet werkt...

[Brahiewahiewa]

Op woensdag 23 januari 2002 01:18 schreef sictc het volgende:
Heel dit verhaal geeft maar weer eens te kennen dat het leuk verzonnen is van microsoft maar de plank finaal misslaat. Wat moet een klein miezerig bedrijfje nu met 5 domeinen in een dns systeem wat niet eens 100% internet compatible is. je zult maar MSCE 2000 zijn of bill gates om dit te moeten snappen.

Gewoon NT4 houden of anders overstappen op Novell 6 :-) Geen gezeik meer met client software wat niet werkt...

In ieder geval geef jij aan dat je er niets van begrijpt; of dat aan Bill Gates ligt of aan jou . . .

[Brahiewahiewa]

Op dinsdag 22 januari 2002 21:58 schreef Vilenin het volgende:
Dus als ik een W2k-domain controller neerzet (in NT4-termen: een Backup Domain Controller) die "B" heet in het domein company.nl, dan maakt dat niet automagisch dat er een subdomain b.company.nl is?

Klopt; er is verschil tussen een A-record en een NS-record. Een domain bestaat pas als je er een NS-record voor aanmaakt.

Das wel beter! Eén domein is makkelijker te beheren dan vijf.

Da's geen algemene regel, maar in jouw geval zal dat zo zijn (no flame intended)

Is dat nog van invloed op de File Replication Service? Ik wil in dat ene domein (als ik 't al zo doe) namelijk wel vijf 'sites' (oftewel verschillende IP-ranges) maken om die FRS soepel te laten verlopen.

Sites definieer je op basis van IP-ranges, idd. Eén domain kan meerders sites omspannen. Wat wil je met FRS gaan doen? Alleen policies of ook software distributie?

[CmdrKeen]

FRS (en DFS) Wil ik gaan gebruiken omdat er, zoals gezegd, maar één internettoegang is (das een keuze geweest uit financieel en beheerstechnisch oogpunt, en niet alleen mijn keuze). De mensen uit de verschillende vestigingen willen graag via internet met een beveiliging op het intranet komen, en daar moeten de bestanden van de verschillende fileservers te benaderen zijn.
Ook moet het mogelijk worden voor elke vestiging om via één en dezelfde share bij alle data uit alle vestigingen te komen, het liefst één gemapte drive. Dit omdat de mensen nogal eens bij elkaar 'op bezoek' gaan in de vestigingen, en het is wel zo makkelijk als je dan de weg op het netwerk al weet.

edit:

Sorry voor onderstaande flame.. het slaat op sictc, die mijn bedrijf ten onrechte een "klein miezerig bedrijfje" noemt.

Enne.. opmerkingen als "wat moet een klein bedrijf daar nou mee" -- het is ook nooit goed he... Ik doe al een jaar of drie systeem-/en netwerkbeheer. Het bedrijf is met twee vestigingen begonnen, en is in de loop der tijd groter geworden. De eisen die er aan het netwerk gesteld worden, worden zwaarder. De groei is er ook nog niet uit.
Ik wil het dus gewoon vanaf het begin aanpakken zoals het hoort. Als je mijn vragen had gelezen, had je ook gelezen dat ik mij aan het oriënteren ben. Als je alternatieven hebt, hoor ik die graag. Als ik niet open zou staan voor suggesties, had je me niet hier op GoT gezien.
Als je twijfelt aan mijn professionele capaciteiten, zal ik je uit de droom helpen: de enige professionele capaciteiten die ik heb, berusten op ervaring. Daarom probeer ik nu mijn theoretische kennis bij te schaven, iets dat volgens mij alleen maar goed kan zijn. Als je dat geen goed idee vindt, dan kan ik je alleen maar vragen hoe ik het anders aan moet pakken.
De enige beperkingen zijn dat we het op een MS-OS moeten houden. Dit is een beleidsbeslissing en die kan ik niet veranderen, ook niet als ik dat zou willen.

En nu... over tot de orde van de dag!

Wat is nu in dit geval de beste manier? Eén domein aanhouden of vijf subdomeinen? Of één domein en vier subdomeinen?

[Axel666]

Gewoon lekker 1 domein doen met 5 sites werkt STUKKEN beter dan 5 aparte domeinen aangezien het lekker centraal te beheren is. 5 domeinen zou pas de moeite zijn als je 5 aparte admin clubs had die om veiligheids redenen niet bij elkaar mogen rommelen, of om backward compatible te zijn met nt4.. maar daar heb je allemaal geen last van, dus werkt 1 domein zo veel beter aangezien 5 domeinen 5 * zoveel werk zou zijn voor veel dingen =)

DFS zou voor je file gebeuren volgens mij een goede oplossing zijn.

[Axel666]

Op donderdag 24 januari 2002 10:47 schreef Vilenin het volgende:
Wat is nu in dit geval de beste manier? Eén domein aanhouden of vijf subdomeinen? Of één domein en vier subdomeinen?

erhm je haalt hier wel security domeintjes en dns domein namen door elkaar. laat het je duidelijk zijn dat:

5 subdomeinen het zelfde is als
1 domein met 4 sub domeinen

in beide gevallen heb je 5 w2k domeinen en is het exact het zeldfe behalve dat er 1 anders heet

[Brahiewahiewa]

Op donderdag 24 januari 2002 10:47 schreef Vilenin het volgende:
[..]Wat is nu in dit geval de beste manier? Eén domein aanhouden of vijf subdomeinen? Of één domein en vier subdomeinen?

Twee domeinen is het beste; één domein als forest root, en één domein voor je operationele zaken waarin je vervolgens 5 sites definieert voor de verschillende vestigingen.
Voordeel hiervan is dat je de mogelijkheid open houdt om meerdere sub domeinen te creëren voor het geval dat ooit nodig gaat zijn. Verder heb je je forest root dan veilig gesteld; je kunt van het tweede domein "domain admin privileges" weggeven, zonder dat je daarmee ook Enterprise- of Schema Admin privileges weggeeft.

[Equator]

Vilenin:
Ik neem aan dat ik (De persoon die je ales geleerd heeft ) je ook wel een raad mag geven.
Ik zou voor elke vestiging een OU maken, Een organisational Unit in de Active Directory waarin je de verschillende policies aangeeft, en ook aan welke server deze mensen moeten connecten.
Je kan wel op elke site een w2k server bouwen die deel uitmaakt van je w2k domein in Rotterdam. (oeps sorry..verklap ik nu bedrijfsgeheimen Deze repliceren de accoutns, en is het dus mogelijk dat iedereen overal het zelfde account gebruikt.

Ennuhh.. Nog een goede raad.. Documenteren, en dusdanig inrichten dat je ruimte heb om te groeien.

Ga je overigens naast de bestaande NT 4 situatie draaien, of wil je in 1 keer over in r'dam

gr
CyberJ (aka Erik)

[CmdrKeen]

MeneerErik Hoestermee?
Ik ben nog aan het bedenken hoe ik het allemaal moet gaan doen, maar ik denk dat ik probeer om binnen een maand alles over te zetten. Die maand gaat trouwens nog wel even op zich laten wachten, want ik wil het eerst echt heel erg goed in m'n vingers hebben. Eerst ga ik de situatie dus compleet nabootsen voordat ik aan de bedrijfskritische servers begin!

Het is jammer dat het nog onduidelijk is welke IP-adressering de routers gaan doen. Als die routers nou voor het WAN compleet onzichtbaar zijn, dus als de servers denken dat ze in een LAN zitten, dan is het makkelijk.

Ter zake: zou je wat dieper willen ingaan op OU's? Das namelijk nogal een breed begrip. NIW bedankt voor je reactie (hands down).

Btw, Idefix maakt het goed..

Op donderdag 24 januari 2002 14:49 schreef CyberJ het volgende:
Ennuhh.. Nog een goede raad.. Documenteren, en dusdanig inrichten dat je ruimte heb om te groeien.

Kijk das nou een raad waar ik wat aan heb. Das trouwens ook iets wat je niet uit een MCSE-boek leert - das meer zoiets dat als je dat niet weet dat je dan beter alvast in de goot kan gaan liggen . (No flame intended hoor - alleen dit is wat we noemen: gezond verstand. Ik ben volgens mij gezegend met meer gezond verstand van relevante technische kennis, en nu mag je zelf uitmaken wat dat zegt over mijn relevante technische kennis en over mijn gezond verstand.. )

[Flyduck]

Wat een leuk werk hebben we eigenlijk he?

[CmdrKeen]

Quote 4GuysFromRolla: "...All this and it counts as work!"

[Verwijderd]

Vilenin,

persoonlijk zou ik in uw situatie kiezen voor 1 domein en 5 OU (voor elke vestiging 1). Dan zou ik ook het gebruik van 5 sites instellen, ook voor elke vestiging, met daaraan telkens een apart subnet voorzien (wat normaal wel het geval is). DFS lijkt me voor uw fileserver toegang ook een interessante oplossing. Ik ga wel er wel van uit dat je over voldoende bandbreedte beschikt.

Als domeinnaam zou ik dan kiezen voor company.nl . Zorg dat op de dns server van je provider enkel de namen naar je servers in de dmz zones staan en dan zal je met die naam geen problemen hebben. De naamgeving is in ieder geval een stuk interessanter.

Als je het boek over "Directory Services Design" (MCSE) eens bekijkt, dan zou het ook zo aangeraden worden. Uiteraard ken ik uw bedrijf niet en moet je dit zelf uitmaken. Ik ben er gewoon van uitgegaan dat het bedrijf 1 groot geheel is, en niet uit fusiebedrijven bestaat, die onderling verschillend werken.

Bart