Secondary DC.

[kyvoip]

Chẳng là cơ quan mình sử dụng hệ thống mạng DC với 1 con Server dùng Win2003, trên đó dùng làm AD, DHCP, DNS, ISA. Do vừa rồi con server này gặt sự cố nên hệ thống mạng bị tê liệt( không có dự phòng, cty mình cũng mới đưa mô hình này vào hoạt động). Bây giờ mình muốn thêm 1 con server làm BDC, thì mình phải lầm thế nào?khi PDC down vì mình cài ISA trên đó thì hệ thống mạng của mình có down không? mình đang phân vân ở chỗ cái ISA ý. Mong các bạn giúp mình

[tranmyphuc]

Chào !!!

http://www.quantrimang.com/pop_print.asp?news_id=21229

Chúc bạn vui !!!

[daigiasaigon]

Vấn đề DC

Chẳng là cơ quan mình sử dụng hệ thống mạng DC với 1 con Server dùng Win2003, trên đó dùng làm AD, DHCP, DNS, ISA. Do vừa rồi con server này gặt sự cố nên hệ thống mạng bị tê liệt( không có dự phòng, cty mình cũng mới đưa mô hình này vào hoạt động). Bây giờ mình muốn thêm 1 con server làm BDC, thì mình phải lầm thế nào?khi PDC down vì mình cài ISA trên đó thì hệ thống mạng của mình có down không? mình đang phân vân ở chỗ cái ISA ý. Mong các bạn giúp mình

Dear Ban,

Theo như bạn nói thì thật sự mình khuyên bạn nên đề nghị sếp đầu tư thêm 01 máy tính cấu hình mạnh 1 chút (đây là mức tối thiểu). ISA Server nên chạy riêng biệt hẳn, không nên chạy chung với DC.

Còn vấn đề domain thì ngoài con DC, bạn phải cài thêm 01 Secondary DC nữa đề phòng rủi ra xảy ra giữa 01 trong 02 con DC này.

Recall: BPD chỉ là khái niệm thời WinNT 4.0, ở thời win 2000 trở về sau thì không còn khái niệm này. Các DC có quyền bình đẳng như nhau.

Thân mến

[vnpro-it]

Dear Ban,

Theo như bạn nói thì thật sự mình khuyên bạn nên đề nghị sếp đầu tư thêm 01 máy tính cấu hình mạnh 1 chút (đây là mức tối thiểu). ISA Server nên chạy riêng biệt hẳn, không nên chạy chung với DC.

Còn vấn đề domain thì ngoài con DC, bạn phải cài thêm 01 Secondary DC nữa đề phòng rủi ra xảy ra giữa 01 trong 02 con DC này.

Recall: BPD chỉ là khái niệm thời WinNT 4.0, ở thời win 2000 trở về sau thì không còn khái niệm này. Các DC có quyền bình đẳng như nhau.

Thân mến

Cái này mấy hôm nay Euro người ta gọi là Lỗi nhận định khi trọng tài thổi sai ... thấy anh này đi đâu cũng có 1 câu : không nên cài ISA trên DC ... xin anh cho em cái tài liệu của MS nói như thế xem ... hic hic biết thì thốt không dựa cột đọc tài liệu MS đi, rồi kể cả BDC và cái thời winnt .. sai bét mà phát biểu.:-SS:-SS:-SS

[daigiasaigon]

Cái này mấy hôm nay Euro người ta gọi là Lỗi nhận định khi trọng tài thổi sai ... thấy anh này đi đâu cũng có 1 câu : không nên cài ISA trên DC ... xin anh cho em cái tài liệu của MS nói như thế xem ... hic hic biết thì thốt không dựa cột đọc tài liệu MS đi, rồi kể cả BDC và cái thời winnt .. sai bét mà phát biểu.:-SS:-SS:-SS

ah àh!

Chú này không biết tài nghệ chuyên môn đến mức nào mà phát biểu kiểu Pháo Đại quá nhỉ! hãy làm điều này thực tế trước khi phát biểu linh tinh nhe chú. 1 câu đơn giản mà người lớn hay hỏi trẻ con nhé!? chú có bao giờ thấy cái sơ đồ mạng nào mà firewall nằm chung voi DC ko?nếu có chắc chỉ có sơ đồ do chính chú nghĩ ra!!! hoặc Firewall nằm chung với file server, Application server gì đó không!. Nếu thấy có thì post len forum cho mọi người xem chơi cái đi.

Còn cái vụ BDC gì gì đó mà chú nói, chính chú hãy xem lại đi. Hoặc dành chút tiền ra nhà sách Minh Khai mua mấy cuốn Win 2003 tiếng việt (nếu cảm thấy tiếng Anh chuối wá, không thể đọc nổi) về nhà lóc tóc mở ra xem từng trang rồi mới hãy phát ngôn chửi người khác nhá.

Để tôi phân tích sơ bộ cho chú xem. Xét về tính dự phòng, nếu máy tính chạy ISA va DC đó fail thì hoá ra cả 2 đều chết!!!đó là chưa nói gì hết về kỹ thuật hay chuyên môn nhá. Còn chú cài thử thực tế 2 chức năng trong 1 máy đi rồi sẽ thấy hiện tượng thế nào nhá. Sau khi làm điều đó rồi gửi mail thẳng đến Mr.Bill hỏi tại sao nó lại thế này...Hi vọng Mr.Bill được giải xì-trét sau thời gian làm việc căng thẳng ở Microsoft.

Àh! nhân tiện, cài thử WinNT 4.0 vô rồi chạy thử xem nó khác với win 2000 va 2003 điểm nào há.

Hãy uốn lưỡi bảy mươi lần bảy trước khi nói nhé, có nổ kiểu Pháo Đại thì chọn đúng nơi đúng chỗ mà nổ, trên forum rất nhiều IT thứ thiệt đọc topic này kẻo người ta nhịn cười không nổi đó.

[camaptrang]

Tui thấy chính chú daigiasaigon nên xem kỹ trước hơn là nói, vậy CMT hỏi chú 1 câu thế này :
Khi trên mạng có 1 Primary DC và 1 Secondary DC , nếu con Primary DC chết thì chuyện gì sẽ sãy ra ? <= chú về làm cái LAB này đi rồi vào tranh luận tiếp (chắc chắn bạn chưa có kinh nghiệm thực tế chuyện này, nếu có rồi chắc đã không nhận định như vậy), còn không vui lòng xem qua cái topic của VNPRO và của Nhất Nghệ nói về vấn đề này :
http://vnpro.org/forum/showthread.php?t=432 (trong topic này chú ý bài post của Netaid)
http://nhatnghe.com/forum/showthread.php?t=16044 (xem câu trả lời của Kabivn)
Nếu Primary DC cũng chẳng khác gì hơn Secondary DC thì chắc chắc không gọi thế mà gọi là First DC và Second DC ... tiếng Anh không phải cái cái chính yếu của vấn đề kỹ thuật, mà là khả năng tư duy kỹ thuật mới là điều quan trọng, bạn có đọc 1 ngàn cuốn sách tiếng anh vầ network mà bạn không có tư duy về nó thì chả thành gì đâu.
----o0o-----
Còn vấn đề ISA thì chắc là mình không tranh luận vì ca'i này phụ thuộc quan điểm của người quản trị hệ thống, ISA cài trên DC thì không có vấn đề gì về mặt thiết kế kỹ thuật, cái quan trọng là bạn build nó như thế nào , vì nó và DC không có ảnh hưởng qua lại, mà nó chỉ là 1 Services của System.
chính trong các tài liệu của MS thì việc diễn giải build 1 ISA nó đều trên 1 DC.

[trainingit]

Dear Ban,

Theo như bạn nói thì thật sự mình khuyên bạn nên đề nghị sếp đầu tư thêm 01 máy tính cấu hình mạnh 1 chút (đây là mức tối thiểu). ISA Server nên chạy riêng biệt hẳn, không nên chạy chung với DC.

Còn vấn đề domain thì ngoài con DC, bạn phải cài thêm 01 Secondary DC nữa đề phòng rủi ra xảy ra giữa 01 trong 02 con DC này.

Recall: BPD chỉ là khái niệm thời WinNT 4.0, ở thời win 2000 trở về sau thì không còn khái niệm này. Các DC có quyền bình đẳng như nhau.

Thân mến

có lẽ bạn cũng cần đọc thêm tài liệu về Windows 2000 server, Windows 2003 server (NT 4thì đã quá lỗi thời rồi), trong 2000, 2003 vẫn dùng khái niệm BPC (backup domain controller),

secondary: hiểu theo một cách nào đó, chính là backup (hoặc dự phòng), bạn cũng cần phải test nhiều hơn trong môi trường mạng thì mới biết được là build ISA như thế nào, còn phụ thuộc vào hệ thống mạng sẵn có nữa, chỉ có 1 PDC hay có cả BDC, cài ISA trên PDC tốt, hay BDC tốt, hay lại thêm 1 server riêng nữa chỉ chạy ISA không, ISA server đó có cần join vào domain hay không, hay chỉ cần ở group khi nó là server độc lập, bạn cứ thử build ISA server theo ba mô hình sau

+ ISA server chạy trên PDC
+ ISA server trên BDC
+ ISA server trên server riêng
(cả ba cái mô hình này phụ thuộc mô hình mạng có sẵn, hoặc có thể có thêm server), sau khi chạy thử từng cái thì sẽ thấy cái nào là hiệu quả hơn,
ISA server hoàn toàn có thể cài chung trên PDC, có nhiều cty chỉ có mỗi một domain controller thôi, và vì nhiều lý do, họ không muốn có thêm server nữa (vì số lượng user không quá nhiều)

[daigiasaigon]

hết biết luôn

Trời!!!!

Hết biết mấy chú này luôn!!!!:106: Phải nói là......IT như mấy chú này thì CNTT VN tương lai sẽ như thế nào @-) :(

[trainingit]

hehe,

BPC hay Secondary cũng là cách gọi tên thôi,

nếu như trên windows 2000, 2003, BDC có quyền như PDC, sao ko có quyền tạo user từ trên BPC, mà BDC phải sao chép từ PDC sang :))

[camaptrang]

hehe,

BPC hay Secondary cũng là cách gọi tên thôi,

nếu như trên windows 2000, 2003, BDC có quyền như PDC, sao ko có quyền tạo user từ trên BPC, mà BDC phải sao chép từ PDC sang :))

Giải thích nhiều chi chú ơi, nói chung là đã như vậy thì cho như vậy luôn ... nói dân dã thì thế này : Nhà thì chỉ có 1 nóc => do đó Network cũng vậy .

[camaptrang]

Trên nguyên tắc thì tất cả các DC trong một forest Win2K3 đều bình đẳng (nên mới có nhiều chú nhóng lên cải, không những chỉ cãi ở 4rum này mà còn qua các 4rum khác cãi nữa) , nhưng thực tế một số DC lại có nhiều quyền hơn các DC khác, Ví dụ cái vnpro forum về lý thuyết thì tất cả thành viên đều bình đẳng như nhau, nhưng thực tế thì vẫn có 3 người member có quyền xóa bài viết của các member khác (Kha kha kha), hoặc thậm chí xóa hay đóng mà chẳng cần note. Các DC đó đảm nhiệm một số vai trò (role) tạm gọi là operations master, hoặc Flexible Single Master of Operations (FSMO). FSMO là cụm từ mà MS đã sử dụng trong hầu hết quá trình xây dựng và phát triển Win2000, nhưng đến khi ban 2K beta test MS lại đổi FSMO thành operations master, và cái tên này được giữ luôn cho đến WinS2K3. Thực tế, hai cách gọi này được dùng tương đươg nhau trong các tài liệu về Win2K/WinS2K3 cũng như ngay trong GUI của các hệ điều hành đó.

Có năm Roles FSMO trong Active Directory (AD) của Win2K hoặc WinS2K3:

+ Schema FSMO (hoặc Schema Master): có chức năng kiểm soát tất cả những cập nhật và sửa đổi đối với schema (cấu trúc tổ chức) của AD. Mỗi forest chỉ được có độc một DC giữ vai trò Schema FSMO (bởi vì toàn bộ một forest chỉ có một schema chung). Theo mặc định, AD đặt vai trò Schema FSMO trên máy DC đầu tiên trong domain đầu tiên của forest. Muốn chuyển (transfer) hoặc giật (seize) được vai trò Schema FSMO của một forest nào đó, bạn phải là Schema Administrator (hoặc thuộc nhóm Schema Admins) của forest đó.

+ Domain-naming FSMO (hoặc Domain-naming Master): có chức năng kiểm soát sự thêm hay bớt các domain trong forest. Cũng chỉ có độc một Domain-naming FSMO trong toàn bộ một forest. Mặc định, AD cũng đặt vai trò Domain-naming FSMO trên máy DC đầu tiên của domain đầu tiên của forest. Muốn chuyển hoặc giật được vai trò Domain-naming FSMO của một forest nào đó, ít nhất bạn phải là Enterprise Administrator (hoặc thuộc nhóm Enterprise Admins) của forest đó.

+ Infrastructure FSMO (hoặc Infrastructure Master): chịu trách nhiệm cập nhật những thông tin tham chiếu về các object trong domain của nó đến các object trong các domain khác. Tại mỗi thời điểm, trong mỗi domain chỉ có thể có độc một DC đóng vai trò Infrastructure FSMO mà thôi, và mặc định thì AD đặt vai trò đó trên máy DC đầu tiên của domain đó. Muốn chuyển hoặc giật được vai trò Infrastructure FSMO của một domain, ít nhất bạn phải là Domain Administrator (hoặc thuộc nhóm Domain Admins) của domain đó.

+ RID pool FSMO (gọi tắt là RID FSMO hoặc RID Master): chịu trách nhiệm cấp phát các bộ quỹ RID (RID pool) của domain cho các máy DC có yêu cầu trong cùng domain. (RID là dạng viết tắt của Relative ID, tức mã nhận diện tương đối). RID là một phần của SID (Security ID, mã nhận diện bảo mật của mỗi object trong domain), và là phần giúp phân biệt object này với object khác. RID FSMO cấp phát các RID cho các DC có yêu cầu dưới dạng các bộ quỹ RID, mỗi bộ gồm 500 RIDs. Tại mỗi thời điểm, trong mỗi domain chỉ có độc một DC đóng vai trò RID FSMO mà thôi, và mặc định thì AD đặt vai trò RID FSMO trên máy DC đầu tiên của domain đó. Muốn chuyển hoặc giật được vai trò RID FSMO của một domain, ít nhất bạn phải là Domain Administrator (hoặc thuộc nhóm Domain Admins) của domain đó.

+ PDC Emulator FSMO (gọi tắt là PDC FSMO hoặc PDC Master): là DC tự quảng cáo nó là PDC đối với các máy trạm, các máy member server, và các DC nào đang chạy những phiên bản Windows đời cũ (NT4 hoặc Windows 9x/Me). Ví dụ, nếu domain của bạn ở Mixed mode, tức là có những máy không phải đang chạy WinXP Pro hoặc Win2K, hoặc có các máy BDC chạy WinNT, thì máy PDC FSMO sẽ đóng vai trò PDC WinNT đối với các máy đó. Mặc định nó cũng là máy đảm nhiệm vai trò Master Browser của domain chứa nó, là máy chứa file config.pol (chứa các chính sách hệ thống) cho các máy Windows 95 trong domain đó, và là máy đứng ra thương lượng các trust giữa domain đó với các domain NT4. Đối với domain Win2K/WinS2K3 chạy ở Native mode, thì PDC FSMO là máy chịu trách nhiệm xử lý những sự bất nhất về password nếu có, và là máy giữ vai trò then chốt trong việc đồng bộ hóa giờ giấc cho các máy trong domain (cho nên còn được gọi là Time Server của domain đó). Máy PDC FSMO của domain đầu tiên của một forest là máy chịu trách nhiệm tối hậu về việc đồng bộ hóa giờ giấc cho toàn forest (nó được gọi là Master Time Server Dude). Tại mỗi thời điểm, mỗi domain chỉ có độc một DC đóng vai trò PDC FSMO mà thôi, và mặc định thì AD đặt vai trò PDC FSMO trên máy DC đầu tiên của domain đó. Muốn chuyển hoặc giật vai trò PDC FSMO của một domain, bạn phải là Domain Administrator (hoặc thuộc nhóm Domain Admins) của domain đó.

Chúng ta có thể chuyển các vai trò FSMO bằng cách dùng tiện ích dòng lệnh Ntdsutil.exe, hoặc bằng cách dùng một công cụ MMC snap-in thích hợp, nhưng với điều kiện là máy vốn giữ vai trò đó còn đang hiện diện trên mạng. Tùy theo vai trò FSMO nào chúng ta muốn chuyển, chúng ta có thể dùng ba công cụ MMC snap-in sau đây:
_ Active Directory Schema (ADS) để chuyển vai trò Schema FSMO (nhưng trước hết phải đăng ký schmmgmt.dll với hệ thống);
_ Active Directory Domains and Trusts (ADDT) để chuyển vai trò Domain-naming FSMO;
_ Active Directory Users and Computers (ADUC) để chuyển vai trò RID FSMO, Infrastructure FSMO, và PDC FSMO.
Muốn biết cụ thể cách chuyển FSMO như thế nào có thể tham khảo bài viết KB324801 trên Microsoft Knowledge Base.

Nếu máy đang giữ vai trò FSMO đó không còn trên mạng nữa thì chúng ta không chuyển vai trò đó được, mà phải dành giật (seize) lấy nó. Muốn se một FSMO, theo KB324801 thì chỉ có cách dùng tiện ích Ntdsutil.exe đối với cả 5 FSMO đó, nhưng đối với PDC FSMO và Infrastructure FSMO chúng ta cũng có thể giật bằng cách dùng ADUC.

Cách chuyển hoặc giật các vai trò FSMO bằng Ntdsutil.exe theo như trong Help của Win2K/WinS2K3:
1. Nhắp Start --> Run, gõ vào cmd, rồi nhắp OK.
2. gõ ntdsutil rồi <Enter>.
3. Tại dấu nhắc lệnh ntdsutil, gõ roles rồi <Enter>. NTDSUTIL sẽ hồi đáp bằng cách thay đổi dấu nhắc thành fsmo maintenance:.
4. Tại dấu nhắc fsmo maintenance:, gõ connections rồi <Enter> để chuẩn bị nối kết với DC bạn muốn chuyển vai trò FSMO đến. NTDSUTIL sẽ hồi đáp bằng cách thay đổi dấu nhắc thành server connections:.
5. Tại dấu nhắc server connections:, gõ connect to server servername, trong đó servername là tên của DC mà bạn muốn chuyển hoặc giật vai trò FSMO cần thiết đến đó, rồi <Enter>.
6. Gõ quit rồi <Enter> để quay trở lại dấu nhắc fsmo maintenance:
7. Gõ transfer fsmotype master rồi <Enter>, trong đó fsmotype là kiểu vai trò FSMO muốn chuyển. chúng ta sẽ nhận được một yêu cầu xác nhận nếu NTDSUTIL thấy rằng nó không liên hệ được với máy giữ vai trò FSMO hiện tại để được sự chấp thuận của máy đó. chúng ta hãy xác nhận rằng bạn muốn cưỡng bách một cuộc chuyển vai trò.
8. Nếu như thế có tác dụng _ tức nếu không có thông báo lỗi nào hiện ra cả _ thì chúng ta làm xong rồi đấy. Nhưng nếu việc chuyển vai trò đó thất bại, thì chúng ta hãy gõ lệnh seize fsmotype master rồi <Enter>. Quyết liệt hơn rõ ràng, và cách này luôn luôn có tác dụng.
9. Gõ quit rồi <Enter> hai lần, thế là xong.

---o0o----

Rồi xong còn có ai muốn phản biện gì vụ này nữa không, nếu muốn nữa thì chạy về công ty format cái Primary DC xong rồi tự khắc thấy.

[vtbk]

hehe,

BPC hay Secondary cũng là cách gọi tên thôi,

nếu như trên windows 2000, 2003, BDC có quyền như PDC, sao ko có quyền tạo user từ trên BPC, mà BDC phải sao chép từ PDC sang :))

Nếu Primary DC và Secondary DC cùng online, thì ta có thể tạo user trên Secondary DC. Nhưng nếu Primary DC chết, thì ta không thể tạo user trên Secondary DC.

[trainingit]

thanks bác CMT đã giải thích kỹ.

đúng là từ windows 2000, 2003, microsoft đã không còn dùng khái niệm BDC nữa, vì khái niệm "domain (miền)" đã được thay thế bằng "forest (rừng)", nhưng nó vẫn dùng PDC Emulator (giống như role của PDC trong NT), có thể có nhiều Secondary DC (server thứ cấp), và server này có thể trở thành PDC bằng cách dùng tiện ích dcpromo, => Secondary có thể trở thành Primary khi primary có sự cố

trong WinNT 4 server, khi PDC bị lỗi, BDC vẫn đóng vai trò backup cho PDC, nhưng nó không thể trở thành PDC được (trừ khi setup lại)

[nhatpc]

Nếu Primary DC và Secondary DC cùng online, thì ta có thể tạo user trên Secondary DC. Nhưng nếu Primary DC chết, thì ta không thể tạo user trên Secondary DC.

Tại config sai nên không tạo được thôi, keke.

[nhatpc]

Nếu máy đang giữ vai trò FSMO đó không còn trên mạng nữa thì chúng ta không chuyển vai trò đó được, mà phải dành giật (seize) lấy nó. Muốn se một FSMO, theo KB324801 thì chỉ có cách dùng tiện ích Ntdsutil.exe đối với cả 5 FSMO đó, nhưng đối với PDC FSMO và Infrastructure FSMO chúng ta cũng có thể giật bằng cách dùng ADUC.

Cách chuyển hoặc giật các vai trò FSMO bằng Ntdsutil.exe theo như trong Help của Win2K/WinS2K3:
1. Nhắp Start --> Run, gõ vào cmd, rồi nhắp OK.
2. gõ ntdsutil rồi <Enter>.
3. Tại dấu nhắc lệnh ntdsutil, gõ roles rồi <Enter>. NTDSUTIL sẽ hồi đáp bằng cách thay đổi dấu nhắc thành fsmo maintenance:.
4. Tại dấu nhắc fsmo maintenance:, gõ connections rồi <Enter> để chuẩn bị nối kết với DC bạn muốn chuyển vai trò FSMO đến. NTDSUTIL sẽ hồi đáp bằng cách thay đổi dấu nhắc thành server connections:.
5. Tại dấu nhắc server connections:, gõ connect to server servername, trong đó servername là tên của DC mà bạn muốn chuyển hoặc giật vai trò FSMO cần thiết đến đó, rồi <Enter>.
6. Gõ quit rồi <Enter> để quay trở lại dấu nhắc fsmo maintenance:
7. Gõ transfer fsmotype master rồi <Enter>, trong đó fsmotype là kiểu vai trò FSMO muốn chuyển. chúng ta sẽ nhận được một yêu cầu xác nhận nếu NTDSUTIL thấy rằng nó không liên hệ được với máy giữ vai trò FSMO hiện tại để được sự chấp thuận của máy đó. chúng ta hãy xác nhận rằng bạn muốn cưỡng bách một cuộc chuyển vai trò.
8. Nếu như thế có tác dụng _ tức nếu không có thông báo lỗi nào hiện ra cả _ thì chúng ta làm xong rồi đấy. Nhưng nếu việc chuyển vai trò đó thất bại, thì chúng ta hãy gõ lệnh seize fsmotype master rồi <Enter>. Quyết liệt hơn rõ ràng, và cách này luôn luôn có tác dụng.
9. Gõ quit rồi <Enter> hai lần, thế là xong.

---o0o----

Rồi xong còn có ai muốn phản biện gì vụ này nữa không, nếu muốn nữa thì chạy về công ty format cái Primary DC xong rồi tự khắc thấy.

Có, tớ phản biện. Tớ khuyến cáo là khi đã problem hư đến FSMO thì nên dùng lệnh để giựt 5 cái rules này. Sau đó còn phải đi dọn rác do cái DC ngỏm cù đèo kia gây ra nữa, hehe.

Tại sao phải dùng lệnh thì hỏi bác camaptrang nhé các bạn :)