[[Vorlage(Archiviert)]] [[Vorlage(Fortgeschritten)]] {{{#!vorlage Warnung Die Verwendung dieses Howto geschieht wie üblich auf eigene Gefahr. Bei Problemen mit der Anleitung melde dies bitte in der dazugehörigen Diskussion und wende dich zusätzlich an den Verfasser des Howtos. }}} {{{#!vorlage Hinweis Diese Howto-Anleitung wurde zuletzt von [user:luftpumpe:] am 28.03.2015 unter Xubuntu 14.04 erfolgreich getestet. }}} {{{#!vorlage Wissen [:Pakete installieren: Installation von Programmen] [:Programme_starten: Starten von Programmen] [:Terminal: Ein Terminal öffnen] [:sudo: Root-Rechte] [:Samba:] (Übersichtsartikel) [:Samba Server:] [:Archiv/Kerberos:] [:Dnsmasq:] }}} [[Inhaltsverzeichnis(2)]] =Grundlagen= [[Bild (Samba_Server/samba-logo.png, align=left)]] Ab Samba Version 4.x kann man Samba im Microsoft-kompatiblen Modus "Active-Directory Domain-Controller" (kurz AD DC) laufen lassen. Dieser Artikel beschreibt die Grundinstallation von zwei Samba-Servern als DC für eine Windows Domäne. Zwei Server, um die Ausfallsicherheit der Domäne zu verbessern, und weil die Installation des zweiten (und weiterer) DCs anders verläuft als beim ersten DC. Natürlich funktioniert der Betrieb auch nur mit einem DC. Die Installation basiert auf einem frisch installierten Xubuntu 14.04.02 LTS, benutzt nur offizielle Pakete aus dem Ubuntu-Repo und orientiert sich weitgehend am Artikel im offiziellen Samba-Wiki. Sie berücksichtigt aber die Besonderheiten bei Ubuntu. Offizielles Samba-HowTo - https://wiki.samba.org/index.php/Samba_AD_DC_HOWTO {en} Sämtliche Eingaben setzen voraus, dass man derzeit im root-Modus ist. ("sudo -s") {{{#!vorlage Hinweis WICHTIGER HINWEIS: Dieser Artikel ist nur für den erfahrenen Ubuntu-Benutzer geeignet, der weiß was ein Domaincontroller ist. }}} =Voraussetzungen= * Ubuntu 14.04 LTS * root-Rechte * Dateisystem ext4 * feste IP-Adresse für die Server * dnsmasq deaktivieren * samba Version >= V4.1.6 * optionale zweite Maschine für die Einrichtung eines zweiten Servers ==Daten des Testkonfiguration== technische Parameter auf die in dieser Beispielinstallation Bezug genommen wird: {{{ Name der Domäne: test.dom NETBIOS-Name der Domäne: TEST Hostname: dc1 IP-Adresse: 192.168.1.199 Gateway: 192.168.1.1 (ist auch gleichzeitig DNS-Server fürs Internet) Name des ersten Domain-Controllers: DC1 Samba-Admin: administrator Hostname: dc2 IP-Adresse: 192.168.1.198 Gateway: 192.168.1.1 (ist auch gleichzeitig DNS-Server fürs Internet) Name des ersten Domain-Controllers: DC2 Samba-Admin: administrator }}} =Administrationstools= ==samba-tool== Endlich gibt´s ein zentrales Boardmittel auf Kommandozeile um alle Funktionen eines Samba-Servers im Active-Directory-Modus zu administrieren. Es wird bei der Installation von Samba mit installiert. {{{ samba-tool --help }}} ==RSAT für Windows-Client== (falls vorhanden, und wenn von dort administriert werden soll) Installiere RSAT (Remote Server Administration Tool) auf einem Windows-Client, siehe https://wiki.samba.org/index.php/Installing_RSAT_on_Windows_for_AD_Management Für die Administration sollte der Windows-Client in die spätere Samba-Domäne als Mitglied aufgenommen werden, und auch deren DNS-Server benutzen. HINWEIS: Dieser Artikel erklärt nicht die Administration von einem Windows-Client aus. =Installation des 1. DCs= Samba kann direkt aus den Quellen installiert werden. Es müssen keine fremden Quellen angezapft werden, es muss nichts compiliert werden. ==Feste IP-Adresse einstellen== Es gibt wenig Sinn einen Domain-Controller mit einer dynamischen IP-Adresse zu betreiben. Deswegen muss man der Maschine erst eine feste manuelle Netzwerkkonfiguration geben. Dies kann über die graphische Oberfläche in den Netzwerkverbindungen angepasst werden. In unserem Beispiel sind es folgende Angaben: {{{ Methode: manuell IPV4-Adresse: 192.168.1.199 Netzmaske: 255.255.255.0 Gateway: 192.168.1.1 DNS-Server: 192.168.1.1 (ist nur temporär, wird später noch geändert) Suchdomänen: bleibt erst mal leer }}} ==NTP-Dienst einrichten== Damit eine Domäne korrekt funktioniert, speziell Kerberos, wird auf allen Servern und Clients die gleiche "Zeit" benötigt. Deswegen wird mit der Installation eines NTP-Server auf dem späteren Domaincontroller begonnen. siehe auch ntpd - https://wiki.samba.org/index.php/Time_Synchronisation Installation von ntpd: {{{ apt-get install ntp }}} (er wird dann auch automatisch gestartet) ntp-Daemon testen: (jetzt muss der UDP-Port 123 offen sein; dies kann per "netstat -tulpn" gecheckt werden. Dort müssen Zeilen mit dem Text ":123" auftauchen.) Eingabe zum überprüfen der ntp-Funktion: {{{ ntpdate -q 127.0.0.1 }}} korrekte Beispiel-Ausgabe: {{{ server 127.0.0.1, stratum 3, offset 2.154217, delay 0.03343 }}} Falls Probleme auftauchen, dann zur ersten Analyse folgendes mit einem öffentlichen NTP-Server testen: {{{ ntpdate -u de.pool.ntp.org ntpdate -u 0.ubuntu.pool.ntp.org }}} ==Anpassung in der fstab== Parameter für die Root-Partition in der Datei /etc/fstab anpassen damit ACLs funktionieren: {{{ nano /etc/fstab }}} hier eine Beispiel für die erforderlichen Parameter, Text hinter "ext4": {{{ UUID=951801e7-c4bc-464b-9071-6f5b6d065c92 / ext4 user_xattr,acl,errors=remount-ro,barrier=1 0 1 }}} ==Samba-Version überprüfen== Falls Samba schon installiert ist, kann mit folgenden Befehlen die Version überprüft werden: {{{ samba -V smbclient -V }}} ==Samba installieren== (falls es noch fehlt) {{{ apt-get install samba smbclient }}} Hinweis: Der Samba Server wird direkt nach der Installation direkt im Standalone-Modus gestartet. Deswegen den Samba Server erst mal wieder beenden mit folgenden Befehlen: {{{ service smbd stop service nmbd stop service samba status }}} Und dann die vorhandene smb.conf sichern oder löschen: {{{ mv /etc/samba/smb.conf /etc/samba/smb.conf.vorher }}} HINWEIS: Wenn man das nicht macht, scheitert später die korrekte Einrichtung des Domain-Controllers. ==DNS-Service konfigurieren== Überprüfen ob Port 53 (DNS) schon belegt ist, und bei frei räumen. {{{ netstat -tlpn }}} Unter anderem taucht dort folgende Zeile auf: {{{ tcp 0 0 127.0.1.1:53 0.0.0.0:* LISTEN 1241/dnsmasq }}} Daran sieht man, dass TCP-Port 53 durch die Anwendung "dnsmasq" belegt ist. Dies verhindert, dass der später intallierte Samba-Server korrekt starten kann, weil er auch den Port 53 belegen will. Lösung: Ubuntu nutzt den "network-manager" für seine Netzwerkverbindungen. Dieser nutzt wiederrum "dnsmasq" (welcher Port 53 belegt) für die DNS-Namensauflösung des Computers. dnsmasq kann man in der Datei "/etc/NetworkManager/NetworkManager.conf" deaktivieren: {{{ nano /etc/NetworkManager/NetworkManager.conf }}} deswegen in der Datei folgende Zeile auskommentieren: {{{ # dns=dnsmasq }}} Und danach den network manager neu starten und den alten dnsmasq killen, oder komplettes System neu booten: {{{ /etc/init.d/networking restart killall dnsmasq }}} HINWEIS: Wenn man diesen Arbeitsschritt vergisst, dann kommt beim Start von Sambe folgender Fehlertext. (gut zu sehen wenn man Samba im interaktiven Modus gestartet hat "samba -i") {{{ Failed to bind to 0.0.0.0:53 - NT_STATUS_ADDRESS_ALREADY_ASSOCIATED }}} WICHTIG: Sobald man dnsmasq deaktiviert hat, kann der PC keine DNS-Namen mehr auflösen, wenn man vergessen hat in den Netzwerkeinstellungen manuell einen DNS-Server (z.b. die IP seines Routers) einzurichten. ==Samba-Server provisionieren== Jetzt kann mit der sogenannten Provisionierung des Domaincontrollers begonnen werden. Dies ist die Erstellung der Active-Directory Domäne. Bei Windows-Servern bekannt als "dcpromo". {{{ samba-tool domain provision --use-rfc2307 --interactive --use-ntvfs }}} Hinweise: * Parameter "-use-rfc2307" für NIS-Servcie (yellowpages) inkl. Schemaerweiterung im AD. Wird nicht zwingend benötigt, aber später eventl. hilfreich für Linux-Clients. siehe auch: https://wiki.samba.org/index.php/Using_RFC2307_on_a_Samba_DC#Administer_Unix_Attributes_in_Active_Directory * Parameter "-use-ntvfs" für Ext4-Dateisysteme angeben, weil ohne Angabe des Parameters sonst ein Fehler kommt Folgende Parameter werden dann im interaktiven Dialog abgefragt: * REALM: Der REALM ist der vollständige Domänenname, er wird auch auch als DNS-Domainname verwendet. Wie im Internet sind die einzelen Wörter durch einen Punkt getrennt. In unserem Beispiel lautet der REALM "test.dom" * Domain: Ist quasi die Kurzform des Domänennamens ohne Punkte und wird für NetBIOS benötigt. Deswegen wird der Parameter auch NETBIOS-Name genannt. Dies ist sinnvollerweise der erste Teil des kompletten REALMs. In unserem Beispiel lautet der NETBIOS-Name "test" * Server Role: Samba kann in ganz unterschiedlichen Modi laufen. In unserem Beispiel ist "dc" anzugeben. * DNS backend: Wer soll die Namensauflösung für den Samba-Server machen. Samba4 beinhaltet auch einen eigenen DNS-Server. Für den bestmöglichen Betrieb der Samba-Domäne ist genau dieser zu verwenden! Somit hier "SAMBA_INTERNAL" bestätigen. * DNS forwarder: Im späteren Betrieb sollten alle Clients der Domäne den/die Samba Server als DNS-Server verwenden. Sollen aber auch DNS-Namen außerhalb der Domäne aufgelöst werden (z.B. Internet DNS-Namen), so muss dem DNS-Server im Samba-Server gesagt werden, welchen anderen DNS-Server er verwenden soll, um diese Namen aufzulösen. Das ist der DNS-Forwarder. In unserem Beispiel wird der heimische Router = 192.168.1.1 angegeben. Er wiederum löst die DNS-Namen über den DNS-Server des Providers auf. * Administrator passwort: Dies ist der mächtigste Account in der Windows-Domäne. Danmit kann man später die Domäne verwalten. HINWEIS: Das Passwort muss der Passwort-Policy entsprechen, 3 aus 4 Komponenten (Kleinschrift, Großschrift, Ziffern, Sonderzeichen) Erfolgreiche Beispiel-Ausgabe: {{{ Looking up IPv4 addresses Looking up IPv6 addresses No IPv6 address will be assigned Setting up secrets.ldb Setting up the registry Setting up the privileges database Setting up idmap db Setting up SAM db Setting up sam.ldb partitions and settings Setting up sam.ldb rootDSE Pre-loading the Samba 4 and AD schema Adding DomainDN: DC=test,DC=dom Adding configuration container Setting up sam.ldb schema Setting up sam.ldb configuration data Setting up display specifiers Modifying display specifiers Adding users container Modifying users container Adding computers container Modifying computers container Setting up sam.ldb data Setting up well known security principals Setting up sam.ldb users and groups Setting up self join Adding DNS accounts Creating CN=MicrosoftDNS,CN=System,DC=test,DC=dom Creating DomainDnsZones and ForestDnsZones partitions Populating DomainDnsZones and ForestDnsZones partitions Setting up sam.ldb rootDSE marking as synchronized Fixing provision GUIDs A Kerberos configuration suitable for Samba 4 has been generated at /var/lib/samba/private/krb5.conf Setting up fake yp server settings Once the above files are installed, your Samba4 server will be ready to use Server Role: active directory domain controller Hostname: VM1 NetBIOS Domain: TEST DNS Domain: test.dom DOMAIN SID: S-1-5-21-4250222487-2521097371-810615148 }}} Tipp: Wenn irgendwas schief geht, dann kann man die /etc/samba/smb.conf löschen, und neu versuchen: {{{ rm /etc/samba/smb.conf }}} Samba-Server versuchen interaktiv zu starten: (kann man mit Strg-c abbrechen) {{{ samba -i }}} Dies sollte mit keiner besonderen Fehlermeldung abbrechen. Wenn die Routine nicht abbricht, ist dies ein gutes Zeichen. Dann manuell abbrechen. ==Kerberos installieren== dazu fehlt noch ein Instalations-Paket, nachinstallieren: {{{ apt-get install krb5-user }}} Erforderliche Parameter-Eingaben: {{{ Kerberos-Realm: TEST.DOM Kerberos-Server für Ihren Realm: localhost Administrations-Server für IhrenKerberos-Realm: localhost }}} HINWEIS: Jetzt ist ein guter Zeitpunkt um den Server neu zu booten! =Funktionstests des Servers= ==Netzwerkports überprüfen== Wenn Samba korrekt läuft, sollten etliche zusätzliche Netzwerkports belegt sein. "netstat -tlpen" sollte folgende Ausgabe bringen (im Beispiel ist IPV6 deaktiviert): {{{ root@DC1:~# netstat -tlpen Aktive Internetverbindungen (Nur Server) Proto Recv-Q Send-Q Local Address Foreign Address State User Inode PID/Program name tcp 0 0 0.0.0.0:3268 0.0.0.0:* LISTEN 0 28962 5394/samba tcp 0 0 0.0.0.0:3269 0.0.0.0:* LISTEN 0 28963 5394/samba tcp 0 0 0.0.0.0:389 0.0.0.0:* LISTEN 0 28960 5394/samba tcp 0 0 0.0.0.0:135 0.0.0.0:* LISTEN 0 28932 5391/samba tcp 0 0 0.0.0.0:139 0.0.0.0:* LISTEN 0 28936 5403/samba tcp 0 0 0.0.0.0:464 0.0.0.0:* LISTEN 0 28919 5396/samba tcp 0 0 0.0.0.0:53 0.0.0.0:* LISTEN 0 28947 5402/samba tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN 0 8369 463/cupsd tcp 0 0 0.0.0.0:88 0.0.0.0:* LISTEN 0 28917 5396/samba tcp 0 0 0.0.0.0:636 0.0.0.0:* LISTEN 0 28961 5394/samba tcp 0 0 0.0.0.0:445 0.0.0.0:* LISTEN 0 28935 5403/samba tcp 0 0 0.0.0.0:1024 0.0.0.0:* LISTEN 0 28926 5391/samba }}} Aufgaben der Netzwerk-Ports, siehe auch https://wiki.samba.org/index.php/Samba_port_usage * 53 - DNS * 88 - Kerberos * 135 - End Point Mapper (DCE/RPC Locator Service) * 139 - NetBIOS Session * 389 - LDAP * 445 - SMB over TCP / CIFS * 464 - Kerberos Passwort * 636 - LDAPS (only if "tls enabled = yes") * 1024-5000 dynamische RPC-Ports * 3268 - globaler Katalog * 3269 - globaler Katalog SSL ==Samba-Konfiguration überprüfen== Ausgabe dieses Befehls überprüfen (ersetzt das klassische "testparm", bitte dieses nicht mehr benutzen) {{{ samba-tool testparm }}} Beispielausgabe: {{{ Press enter to see a dump of your service definitions (Return drücken) # Global parameters [global] workgroup = TEST realm = TEST.DOM netbios name = DC1 server role = active directory domain controller dns forwarder = 192.168.1.1 server services = rpc, nbt, wrepl, ldap, cldap, kdc, drepl, winbind, ntp_signd, kcc, dnsupdate, dns, smb dcerpc endpoint servers = epmapper, wkssvc, rpcecho, samr, netlogon, lsarpc, spoolss, drsuapi, dssetup, unixinfo, browser, eventlog6, backupkey, dnsserver, winreg, srvsvc idmap_ldb:use rfc2307 = yes [netlogon] path = /var/lib/samba/sysvol/test.dom/scripts read only = No [sysvol] path = /var/lib/samba/sysvol read only = No }}} WICHTIG: Die Zeile "dns forwarder" muss vorhanden sein, sonst scheitert die Namensauflösung für Internet-Domains, und man kann keine Pakete mehr installieren! ==Alle Shares auflisten== {{{ smbclient -L localhost -U% }}} Jetzt sollten die drei Shares netlogon, sysvol und IPC$ angezeigt werden. ==Authentifizierung testen== {{{ smbclient //localhost/netlogon -UAdministrator -c 'ls' }}} Hier muss man das Passwort des Domänen-Administrators eingeben. Die Ausgabe sollte keine Fehlermeldung enthalten. ==DNS testen== Dazu muss man jetzt zuvor die DNS-Einstellung des Network-Managers in der graphischen Oberfläche des Rechners geändert werden. Passende Netzwerkschnittstelle auswählen. Dort IPv4-Einstellungen, Feld DNS-Server, und folgendes eintragen: {{{ nameserver 127.0.0.1 }}} Wenn der DNS-Server richtig eingestellt ist, muss ein Ping auf den REALM funktionieren: {{{ ping test.dom }}} Eingabe: {{{ host -t SRV _ldap._tcp.test.dom }}} Ausgabe: {{{ _ldap._tcp.test.dom has SRV record 0 100 389 dc1.test.dom. }}} Eingabe: {{{ host -t SRV _kerberos._udp.test.dom }}} Ausgabe: {{{ _kerberos._udp.test.dom has SRV record 0 100 88 dc1.test.dom. }}} Eingabe: {{{ host -t A test.dom }}} Ausgabe: {{{ test.dom has address 192.168.1.199 }}} Eingabe: {{{ host -t A dc1.test.dom }}} Ausgabe: {{{ dc1.test.dom has address 192.168.1.199 }}} Falls hier Fehler kommen, dann bitte das systemlog überprüfen. ==Kerberos testen== Eingabe: {{{ kinit administrator }}} erfolgreiche Ausgabe: {{{ Password for administrator@TEST.DOM: Warning: Your password will expire in 41 days on Fr 24 Apr 2015 20:31:30 CEST }}} Eingabe um eigene Kerberos-Tickets zu überprüfen: {{{ klist }}} erfolgreiche Ausgabe: {{{ Ticket cache: FILE:/tmp/krb5cc_0 Default principal: administrator@TEST.DOM Valid starting Expires Service principal 14.03.2015 09:23:12 14.03.2015 19:23:12 krbtgt/TEST.DOM@TEST.DOM renew until 15.03.2015 09:23:08 }}} Wenn all diese Tests erfolgreich ausgegangen sind, dann läuft der erste Domaincontroller korrekt. =Installation des 2. DCs= Die Installation des zweiten DCs geht genauso wie beim ersten DC. Bis zum Punkt der Provisionierung des Samba-Servers - ab da wird anders, dies beschreibt dieser Abschnitt. ==Vorarbeiten und Tests== WICHTIG: Für diesen Schritt muss der erste Domaincontroller laufen und netzwerktechnisch erreichbar sein. DNS-Server anpassen: Der zweite DC muss die Domäne namenstechnisch auflösen können. Deswegen muss zuerst der DNS-Server über die graphische Oberfläche via Network-Manager angepasst werden. Passende Netzwerkschnittstelle auswählen. Dort IPv4-Einstellungen, Feld DNS-Server, und folgendes eintragen: Man muss im Feld DNS-Server die DNS-IP-Adresse des ersten Samba-Servers eintragen. In unserem Beispiel: {{{ 192.168.1.199 }}} DNS-Auflösung testen: Die folgenden zwei Befehle dürfen keine Fehler ausgeben: {{{ ping test.dom ping dc1.test.dom nslookup test.dom }}} ==Samba-Server provisionieren== siehe auch https://wiki.samba.org/index.php/Samba4/HOWTO/Join_a_domain_as_a_DC {{{ samba-tool domain join test.dom DC --username=administrator --use-ntvfs }}} Beispiel-Ausgabe: {{{ Finding a writeable DC for domain 'test.dom' Found DC dc1.test.dom Password for [TEST\administrator]: (Bemerkung: hier muss Passwort vom ersten DC eingetragen werden) workgroup is TEST realm is test.dom checking sAMAccountName Adding CN=DC2,OU=Domain Controllers,DC=test,DC=dom Adding CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=dom Adding CN=NTDS Settings,CN=DC2,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=test,DC=dom Adding SPNs to CN=DC2,OU=Domain Controllers,DC=test,DC=dom Setting account password for DC2$ Enabling account Calling bare provision No IPv6 address will be assigned Provision OK for domain DN DC=test,DC=dom Starting replication Schema-DN[CN=Schema,CN=Configuration,DC=test,DC=dom] objects[402/1550] linked_values[0/0] Schema-DN[CN=Schema,CN=Configuration,DC=test,DC=dom] objects[804/1550] linked_values[0/0] Schema-DN[CN=Schema,CN=Configuration,DC=test,DC=dom] objects[1206/1550] linked_values[0/0] Schema-DN[CN=Schema,CN=Configuration,DC=test,DC=dom] objects[1550/1550] linked_values[0/0] Analyze and apply schema objects Partition[CN=Configuration,DC=test,DC=dom] objects[402/1620] linked_values[0/0] Partition[CN=Configuration,DC=test,DC=dom] objects[804/1620] linked_values[0/0] Partition[CN=Configuration,DC=test,DC=dom] objects[1206/1620] linked_values[0/0] Partition[CN=Configuration,DC=test,DC=dom] objects[1608/1620] linked_values[0/0] Partition[CN=Configuration,DC=test,DC=dom] objects[1620/1620] linked_values[28/0] Replicating critical objects from the base DN of the domain Partition[DC=test,DC=dom] objects[97/97] linked_values[23/0] Partition[DC=test,DC=dom] objects[365/268] linked_values[23/0] Done with always replicated NC (base, config, schema) Replicating DC=DomainDnsZones,DC=test,DC=dom Partition[DC=DomainDnsZones,DC=test,DC=dom] objects[41/41] linked_values[0/0] Replicating DC=ForestDnsZones,DC=test,DC=dom Partition[DC=ForestDnsZones,DC=test,DC=dom] objects[18/18] linked_values[0/0] Partition[DC=ForestDnsZones,DC=test,DC=dom] objects[36/18] linked_values[0/0] Committing SAM database Sending DsReplicateUpdateRefs for all the replicated partitions Setting isSynchronized and dsServiceName Setting up secrets database Joined domain TEST (SID S-1-5-21-2617678509-903244012-2886946009) as a DC }}} Damit ist dann der zweite DC grundsätzlich der Domäne beigetreten. ==Test der Samba-Konfiguration== Wenn die Provisionierung korrekt verlaufen ist, sollte man die Konfig testen. Im Prinzip stehen in der "/etc/samba/smb.conf" die gleichen Inhalte wie im ersten DC drin, bis auf die Zeile "netbios name" des Servers. Eingabe zum überprüfen: {{{ samba-tool testparm }}} WICHTIG: Vergleiche die Ausgabe beider DCs, oder vergleiche die Inhalte der jeweiligen "/etc/samba/smb.conf". Wenn hier was fehlt, dann läuft der zweite DC nicht korrekt!!! ==Anpassen der DNS-Einstellung== Die beiden Domaincontroller sollten sich gegenseitig als primären DNS-Server eingetragen haben, und als sekundären Server sich selbst. Dazu muss man jetzt die DNS-Einstellung des Network-Managers in der graphischen Oberfläche beider Server ändern. Passende Netzwerkschnittstelle auswählen. Dort IPv4-Einstellungen, Feld DNS-Server, und folgendes eintragen: Desweiteren gibt es Sinn die Suchdomäne auf "test.dom" anzupassen. Denn damit muss man dann zur Erreichbarkeit anderer Maschinen in der Domäne nicht immer den vollqualifizierten Namen (Beispiel: client23.test.dom) angeben, sondern es langt der Hostname (Beispiel: client23) zur Namensauflösung. Dies sollte über die graphische Oberfläche beider DCs angepasst werden. Nach Reboot beider Server sollten in der "resolv.conf" folgende Inhalte drin stehen: passende Einstellung für DC2: {{{ nameserver 192.168.1.199 # Bemerkung: IP des ersten DCs nameserver 127.0.0.1 search test.dom }}} passende Einstellung für DC1: {{{ nameserver 192.168.1.198 # Bemerkung: IP des zweiten DCs nameserver 127.0.0.1 search test.dom }}} ==DNS-Einträge überprüfen== Die IP und DNS-Konfiguration jedes DNS-Severs ist mit folgendem Befehl anzeigbar: {{{ nm-tool }}} Beispielausgabe: {{{ NetworkManager Tool State: connected (global) - Device: eth0 [Kabelnetzwerkverbindung 1] ------------------------------------ Type: Wired Driver: r8169 State: connected Default: yes HW Address: 70:81:AC:AD:53:00 Capabilities: Carrier Detect: yes Speed: 1000 Mb/s Wired Properties Carrier: on IPv4 Settings: Address: 192.168.1.199 Prefix: 24 (255.255.255.0) Gateway: 192.168.1.1 DNS: 192.168.1.198, 127.0.0.1 }}} Die einzelnen DC-Einträge kann man für die DNS-Server getrennt so überprüfen: {{{ dig dc1 @192.168.1.199 dig dc1 @192.168.1.198 dig dc1.test.dom @192.168.1.199 dig dc1.test.dom @192.168.1.198 }}} In der Beispielausgabe müssen unter anderem folgende Zeilen erscheinen, und auf jeden Fall hinter dem "A" die richtige IP-Adresse stehen: {{{ ;; ANSWER SECTION: dc1. 9 IN A 192.168.1.199 oder dc1.test.dom 900 IN A 192.168.1.199 }}} Das gleiche muss man auch für den "DC2"-Eintrag testen: {{{ dig dc2 @192.168.1.199 dig dc2 @192.168.1.198 dig dc2.test.dom @192.168.1.199 dig dc2.test.dom @192.168.1.198 }}} Auch dort sollten in den Ausgaben alle 4 Tests folgende Zeilen beinhalten, auf jeden Fall muss hinter dem "A" die richtige IP-Adresse stehen: {{{ ;; ANSWER SECTION: dc2. 9 IN A 192.168.1.198 oder dc2.test.dom 900 IN A 192.168.1.198 }}} Wenn die Namen nicht korrekt aufgelöst werden, kann es ein Fehler in der DNS-Config sein, oder es kann dieser Bug hier sein: https://wiki.samba.org/index.php/Check_and_fix_DNS_entries_on_DC_joins {en} Dann müssen die DNS-Einträge manuell im DNS angelegt werden. ==Directory Replikation überprüfen== Die Directory-Replikation synchronisiert ständig alle Inhalte des Active Directory (User, Gruppen, Computerobjekte, sowie Passwortänderungen) zwischen den Domain-Controllern. Siehe auch https://wiki.samba.org/index.php/Samba4/HOWTO/Join_a_domain_as_a_DC#Directory_replication Wenige Minuten nach Start des zweiten DCs beginnt die Directory Replikation automatisch. Geduldig sein! Befehl zum Überrüfen der Replikation: {{{ samba-tool drs showrepl }}} Hinweis zur Warnung: "Warning: No NC replicated for Connection!“ in der letzten Zeile. Diese Meldung kann ignoriert werden. Ansonsten sollte kein Fehler ersichtlich sein. Falls die Replikation auch nach Minuten noch nicht beginnt, so kann man sie auch manuell anwerfen: {{{ samba-tool drs replicate DC1 DC2 dc=test,dc=dom }}} Ausgabe: {{{ Replicate from DC2 to DC1 was successful. }}} Bemerkung: Wenn die Replikation nicht klappt, ist es sehr wahrscheinlich ein DNS-Problem. Dann kommt vermutlich dieser Fehler: "DsReplicaSync failed" (8440, 'WERR_DS_DRA_BAD_NC') ==manuelle Replikationstests== Einfach ein User-Objekt auf dem einen DC anlegen, und danach schauen, ob es weniges Sekunden später auf dem anderen DC angekommen ist. Entweder mit dem samba-tool, oder mit der Windows Active-Directory User & Gruppen-Verwaltung (RSAT) Beispieleingabe am ersten DC: (Passwort für User muss 3 aus 4 Komponenten enthalten) {{{ samba-tool user add testuser555 }}} Ausgabe: {{{ User 'testuser555' created successfully }}} Überprüfen nach wenigen Sekunden am zweiten DC: {{{ samba-tool user list }}} In der Ausgabe muss dann unter anderem der neue Useraccount angezeigt werden. ==SYSVOL-Replikation== Dies geschieht derzeit noch nicht automatisch! Wenn man eine Änderung in den Logonscripten oder den GPOs vorgenommen hat, so muss man SYSVOL manuell synchronisieren. Oder man muss sich eine rsync-Routine bauen, welche die Replikation ab nimmt. Details hier: https://wiki.samba.org/index.php/SysVol_Replication {en} #tag: Howto, Netzwerk, Samba, Server, Domain Controller