Домен контроллер + pfsense

dvserg

вам нужно компы ввести в общий домен, или авторизацию в OVPN через AD ??
Пишите проблему правильно, экстрасенсов нет.

PS: DC на виртуалках плохая идея. Чревато. Будете потом волосы вырывать на мягком месте.

(оффтоп) А чем DC на виртуалках плохи?

derwin

(оффтоп)
корни проблем начинаются от того, что внутреннее время криво идёт по отношению к реальной тачке. Оттуда проблемы с токенами на авторизацию, керберос бесится, да и SID-ы плавают(приходится тачки выводить-вводить). Это так… верхушка айсберга.

werter

@derwin:

(оффтоп)
корни проблем начинаются от того, что внутреннее время криво идёт по отношению к реальной тачке. Оттуда проблемы с токенами на авторизацию, керберос бесится, да и SID-ы плавают(приходится тачки выводить-вводить). Это так… верхушка айсберга.

За 5 лет на xen, vmware, kvm не было таких проблем.

корни проблем начинаются от того, что внутреннее время криво идёт по отношению к реальной тачке

NTP ?

derwin

sNTP как бы помогает, но не ликвидирует проблему. 1 секунда на виртуалке не равна 1 секунды на виртуалке.
У вас наверное просто объёмы не те, чтобы ловить эти проблемы. Или банально "пронесло".
Вообще, в интернете достаточно много материала по этому поводу.

werter

оффтоп :

NTP - это не как бы. NTP - это обязательно. "Пронести" за пять лет не могло.
Используйте правильные гипервизоры.

P.s. Случаем hyper-v как РОЛЬ win-сервера не используется ли ? Т.е. не чистый core.

derwin

вот у меня лично проблемы с hyper-v и начались. Дублирующий был на VirtualBox. После чего следовали бессонные ночи, зубрёжка форумов и переезд на нормальный реальный сервак.
Но как переехал - испытал только 2 проблемы с уплывшим SID и чёртовой "потери доверия в домене". Раньше были еженедельно.
Я как бы никого не завставляю - на вкус и цвет как говорится… фломастеры разные....

werter

2 derwin

Только один вопрос. Научился ли гипер-в пробрасывать usb (токены etc.) в ВМ? Нет?! Спасибо. И даром не надо.

smils

Только один вопрос. Научился ли гипер-в пробрасывать usb (токены etc.) в ВМ? Нет?! Спасибо. И даром не надо.

Научился 2012 сервер. Через фоновую сессию RDP.

что то аналогичное можно самому сделать на старых версиях
сам не пробовал.

Мне понравилось через USB Redirector.

и да, у меня DC в виртуалке. нет проблем.

проблемы могут быть если есть второй (резервный) DC , который живет на одном хосте с первым.

выход - не делать резервный. по этому поводу есть рекомендации. что резервный делать от 10 000 и выше объектов в AD.

кстати поэтому в филиалах желательно делать RO DC. Быстрее ~~стартует~~ реплицируется PDC.

werter

2 smils

Научился 2012 сервер. Через фоновую сессию RDP.

что то аналогичное можно самому сделать на старых версиях
сам не пробовал.

Мне понравилось через USB Redirector

Т.е. нужно постоянно держать открытой сессию, чтобы тот же токен для 1с пробросить? А так, чтобы просто с хоста в ВМ, не?
KVM, XEN, VMWARE умеют это из-коробки и без стороннего платного ПО хрен знает сколько лет.

и да, у меня DC в виртуалке. нет проблем.

У меня ,не поверите, тоже. На kvm,xen, vmware.

выход - не делать резервный. по этому поводу есть рекомендации. что резервный делать от 10 000 и выше объектов в AD

.

Вы такое только никому, кто занимается админством от 2 лет, не говорите - засмеют.

А что с бэкапами ВМ ?

smils

выход - не делать резервный. по этому поводу есть рекомендации. что резервный делать от 10 000 и выше объектов в AD

Вы такое только никому, кто занимается админством от 2 лет, не говорите - засмеют.

не засмеют, потому что после 2-х лет не веришь слепо всему, а проверяешь сам.

и мой опыт говорит, второй DC в небольшой (500-800 объектов) среде больший вред, чем польза.

Бекап системы, это да.

werter

В кач-ве BDC смотрите в сторону Zentyal (samba). Он как раз в связке с DС на Win в кач-ве RODC и работает.

derwin

@werter:

2 derwin

Только один вопрос. Научился ли гипер-в пробрасывать usb (токены etc.) в ВМ? Нет?! Спасибо. И даром не надо.

токены какие? для чего?
Для 2х факторной авторизации в win2008R2 etocken заводится без проблем через rdp(типа обычный сертификат на смарткарте). Из коробки.
Насчёт ключей для 1Ски не знаю. Слышал что то подобное где то в инете… У меня 1Ска крутится на реальных тачках, стоимостью цифрой с 5 нулями каждая. С деньгами у меня проблем нет :)

werter

Аладдиновские и имел ввиду (1C, Лига etc ).

У меня 1Ска крутится на реальных тачках, стоимостью цифрой с 5 нулями каждая. С деньгами у меня проблем нет

В чем проблема, имея хорошее железо "крутить" 1С на ВМ (да еще и на Linux) ? А уже тем более, если в комплект приличного железа входит SSD.

bill_open

Такой бред в этой ветке почитал!
Домен на большую сеть и без dc2 или rodc!!!???? А как же отказоустойчивость бизнес процессов, будем ждать расклонирования системы и пофиг на всю остальную инфраструктуру???

1. За 10 лет практики, ни разу, начиная от nt server, заканчивая 2012 проблем с двумя DC не наблюдалось, наоборот, спасало и не раз.
2. Имею 2 домена где второй dc в hyper-v 2008, все отлично, время настраивается политиками и никаких проблем нет.
3. Насчет token в виртуалке не знаю, но согласен, что проблемы раньше были.
4. Живем в 21 веке, а оптимизировать расходы так и не научились, как только руководство закрывает глаза на такие затраты как компьютер с 5 нолями. Напоминает мне одного предыдущего работодателя. Пытался я виртуализировать сапр, затраты с учетом окупаемости были на парк в 100пк меньше на 40% чем при покупке ежемесячно по 3пк стоимостью каждого в 200000руб…...

p.s. ппц, не пугайте людей.

werter

3. Насчет token в виртуалке не знаю, но согласен, что проблемы раньше были.

Они не были, они есть до сих пор. Именно у MS Hyper-V.

bill_open

@werter:

3. Насчет token в виртуалке не знаю, но согласен, что проблемы раньше были.

Они не были, они есть до сих пор. Именно у MS Hyper-V.

Не согласен, есть опыт у моих коллег прикручивания token от 1с8 в hyperv c использованием remoteFX

werter

@bill_open:

@werter:

3. Насчет token в виртуалке не знаю, но согласен, что проблемы раньше были.

Они не были, они есть до сих пор. Именно у MS Hyper-V.

Не согласен, есть опыт у моих коллег прикручивания token от 1с8 в hyperv c использованием remoteFX

Точно ? Не путаете ничего ?

http://habrahabr.ru/post/155129/

RemoteFX — Набор возможностей удаленного виртуального рабочего стола, позволяющие виртуализировать серверный видеоадаптер. (Доступна с Windows Server 2008 R2 SP1)

http://social.technet.microsoft.com/Forums/ru-RU/c3c8224f-574d-40c8-b948-82ca62122ef5/remotefx-usb-2008r2-2008r2?forum=ws2008r2ru

похоже RemoteFX немного не для этого. в нем я увижу ключи воткнутые в рабочую станцию с которой я вхожу на удаленный рабочий стол - верно?

http://blogs.technet.com/b/vm/archive/2010/08/19/remotefx-2-usb.aspx

Мы уже говорили о том, как RemoteFX обеспечивает возможности работы с трёхмерной графикой, приложениями DirectX и мультимедиа через протокол «Удалённого рабочего стола» (RDP). Однако кроме этого, RemoteFX имеет ещё одну восхитительную возможность — низкоуровневую поддержку перенаправления любых устройств USB с клиентских рабочих мест в виртуальные машины Hyper-V.

Т.е. для перенаправления usb-ключа мне обязательно необходимо иметь открытой rdp-сессию!

Повторюсь еще раз - на данный момент гипервизор, находящийся на втором месте в квадранте виртуализации так и не научился в полной мере пробрасывать usb, pci, pci-e с хоста в ВМ. Все остальные это умеют делать.

bill_open

@bill_open:

@werter:

3. Насчет token в виртуалке не знаю, но согласен, что проблемы раньше были.

Они не были, они есть до сих пор. Именно у MS Hyper-V.

Не согласен, есть опыт у моих коллег прикручивания token от 1с8 в hyperv c использованием remoteFX

Вот и поговорили werter)))