Besoin d'un autre contrôleur de domaine

J'ai deux contrôleurs de domaine (Windows 2003) sur un seul site où réside la plupart des services que je soutiens. Il y a un autre bâtiment (sur un autre site) où réside également mon service, mais ils n'ont pas de DC.

Il s'agit probablement d'une question classique de savoir s'il faut installer un contrôleur de domaine supplémentaire lorsqu'une entreprise est répartie sur plusieurs sites.

Nous avons rencontré divers problèmes tels que les scripts de connexion ne mappant pas les lecteurs et les utilisateurs ne se connectant pas plusieurs fois avant d'être autorisés (même s'ils tapent le bon mot de passe).

Je reçois des erreurs différentes sur les clients. Certains d'entre eux sont :

Netlogon, 5719 , Cet ordinateur n'a pas pu configurer une session sécurisée avec un contrôleur de domaine dans le domaine domain.com en raison des éléments suivants: Il n'y a actuellement aucun serveur d'ouverture de session disponible pour traiter la demande d'ouverture de session. Cela peut entraîner des problèmes d'authentification. Assurez-vous que cet ordinateur est connecté au réseau. Si le problème persiste, veuillez contacter votre administrateur de domaine.

GroupPolicy, 1055, Le traitement de la stratégie de groupe a échoué. Windows n'a pas pu résoudre le nom de l'ordinateur. Cela peut être dû à l'un des éléments suivants: a) Échec de la résolution de noms sur le contrôleur de domaine actuel. b) Latence de réplication Active Directory (un compte créé sur un autre contrôleur de domaine n'a pas été répliqué sur le contrôleur de domaine actuel).

Sur les serveurs, je reçois toujours ces erreurs:

Netlogon, 5722, La configuration de la session à partir de l'ordinateur SOMEPCNAME n'a pas pu s'authentifier. Le nom du ou des comptes référencés dans la base de données de sécurité est SOMEPCNAME $. L'erreur suivante s'est produite: l'accès est refusé.

* (cette erreur ci-dessus se répète pour le même ordinateur. Il suffit probablement de l'ajouter à nouveau au domaine.) *

Réplication NTDS, 1864, Il s'agit de l'état de réplication de la partition d'annuaire suivante sur le contrôleur de domaine local. Partition d'annuaire: CN = schéma, CN = configuration, DC = domaine, DC = com

Ce dernier semble avoir à voir avec un DC qui n'a pas été complètement supprimé. Lorsque j'ai exécuté dcdiag, cela a montré que nous essayons de répliquer avec un serveur qui n'existe plus. Je ne pense pas que cela nous causerait cependant tous ces problèmes de connexion.

Je me demande si nous devrions installer un autre DC ou essayer autre chose. Nos clients utilisent principalement Windows 7, mais il existe également des clients XP et Vista.

La bande passante semble être de 37,4 Mo entre les PC des différents sites (vient d'être vérifiée avec cet utilitaire iperf).

Toute aide est appréciée.

@gWaldo a une bonne idée en termes d'augmentation de la fiabilité et de mise à jour de votre DC obsolète, mais c'est une "supposition" pour savoir si cela résoudra le problème. @ Chris-S a raison de dire que la bande passante (à première vue) ne semble pas non plus être le problème.

Vous devez d'abord vous assurer que la connexion WAN est fiable, sans perte de paquets et avec une large bande passante disponible tout au long de la journée.

De plus, un contrôleur de domaine non disponible n'empêchera pas une connexion client Windows (en supposant que les objets de stratégie de groupe par défaut) parce que les informations d'identification du cache sur un domaine vous permettent d'entrer. Cela aiderait si vous publiez les erreurs réelles que les utilisateurs obtiennent.

Pour les lecteurs mappés, s'ils sont effectués par un script de connexion, vous avez peu ou pas de possibilité de voir les journaux sur ces informations, mais je les déplacerais fonctionnellement dans les préférences de stratégie de groupe qui vous permettront de mapper les lecteurs, de les rendre persistants et de journaliser également dans les journaux des événements client sur tous les problèmes. Vos problèmes de mappage pourraient être soit qu'ils ne peuvent pas obtenir le script, soit qu'ils ne peuvent pas accéder au lecteur ... mais difficile à dire sans se connecter.

Encore une fois, garder DC à jour et en avoir un sur un site distant est "mieux" mais jette simplement des fléchettes sur le mur de ce problème spécifique. J'ai eu 70 à 100 sites distants sur des vitesses WAN beaucoup plus faibles sans aucun acte de DC distant, tant que la connexion était fiable et avait une bande passante disponible.

Il y a beaucoup de place dans votre question pour que d'autres problèmes causent des problèmes, mais en surface (si vous êtes assez certain que tout le reste fonctionne comme prévu), vous semblez être un bon cas pour un domaine en lecture seule Contrôleur (RODC) .

Cela nécessiterait une mise à niveau vers Server 2008 pour vos contrôleurs de domaine (ce qui est une bonne idée, de toute façon; 2003 approche de la fin de la vie), et un peu de soin lors de la configuration du contrôleur de domaine en lecture seule, mais cela pourrait bien résoudre vos problèmes.

Oui, vous pouvez simplement configurer un autre contrôleur de domaine 2003 dans le bureau distant, mais il semble qu'il n'y ait pas de présence informatique là-bas, donc un RODC peut être «plus sûr». Les RODC sont bons lorsque vous n'avez pas de personnel informatique, surtout si vous ne disposez pas d'un espace sûr et sécurisé pour le serveur (pas de salle de serveurs / racks verrouillables, quartier ombragé, etc.)

Gardez également à l'esprit que le mappage des disques sur le réseau va consommer de la bande passante et pourrait en soi être une cause majeure de vos problèmes. Il peut être utile d'étudier une implémentation locale d'une solution de stockage (comme les serveurs DFS ou CIFS).

Si vous ne l'avez pas déjà fait, la séparation de votre organisation en fonction de l'emplacement (que ce soit par sites ou uniquement par unités d'organisation) pourrait également vous aider à gérer le trafic et l'expérience utilisateur.

Je mettrais certainement un autre CC sur le site distant pour fournir une certaine redondance en cas d'échec de la connexion entre les sites.