1476
30.03.2006, aktualisiert am 04.04.2006
9977
7
0
Linux als PDC Ersatz zur ADS für eine reine Windows Clientumgebung?
Linux als WS2k3 ersatz tauglich? "fake" ADS?
Hallo,
bevor ich auf meine Frage direkt eingehe vorher das Grundlegende Szenario:
NT4 Domäne mit BDC und ca 150 WinXP Clients
Mailserver: OpenExchange auf SLES 9.3
FW: Astaro Security Linux
File und Druckserver: Suse Linux 9.3 mit konfiguriertem Samba und Cups
MS W2k SQL Server
MS W2k Server mit Citrix Metaframe
So ich habe folgendes vor: Ich würde gerne alles was mit der Verwaltung der Domäne zu tun hat auf einem Linux PDC abbilden.
Sprich: Ich möchte eine Linux PDC für Windows Clients mit möglichst vielen ADS Features (Ich weiß Samba4 soll einen großen Schritt machen, kann das aber aus Erfahrung nicht selbst sagen)
Jetzt die Frage wie sinnvoll ist das?
Ob das so sinnvoll ist weiß ich nicht, aber das ist meine Vorgabe. Ich persönlich hätte einen 2003er hochgezogen und nur die Verwaltungsarbeiten der Domäne über den 2003er laufen lassen. Ihn rein nur als PDC benutzt. DHCP, DNS etc wird oder kann schon auf anderen Linux Machinen eingesetzt.
Grundlegend würde mich intressieren: Gibt es jemanden der einen Linux PDC mit mehr als 100 2k/XP clients laufen hat und darüber berichten kann. Sollte ich lieber doch auf 2k3 gehen und dann soviel wie möglich über meine anderen Linuxmachninen laufen lassen?
Ist ein Linux PDC mit den gleichen Funktionen eines 2k3 mit ADS aufsetzbar u nd funktioniert das auch.
grüße
Hallo,
bevor ich auf meine Frage direkt eingehe vorher das Grundlegende Szenario:
NT4 Domäne mit BDC und ca 150 WinXP Clients
Mailserver: OpenExchange auf SLES 9.3
FW: Astaro Security Linux
File und Druckserver: Suse Linux 9.3 mit konfiguriertem Samba und Cups
MS W2k SQL Server
MS W2k Server mit Citrix Metaframe
So ich habe folgendes vor: Ich würde gerne alles was mit der Verwaltung der Domäne zu tun hat auf einem Linux PDC abbilden.
Sprich: Ich möchte eine Linux PDC für Windows Clients mit möglichst vielen ADS Features (Ich weiß Samba4 soll einen großen Schritt machen, kann das aber aus Erfahrung nicht selbst sagen)
Jetzt die Frage wie sinnvoll ist das?
Ob das so sinnvoll ist weiß ich nicht, aber das ist meine Vorgabe. Ich persönlich hätte einen 2003er hochgezogen und nur die Verwaltungsarbeiten der Domäne über den 2003er laufen lassen. Ihn rein nur als PDC benutzt. DHCP, DNS etc wird oder kann schon auf anderen Linux Machinen eingesetzt.
Grundlegend würde mich intressieren: Gibt es jemanden der einen Linux PDC mit mehr als 100 2k/XP clients laufen hat und darüber berichten kann. Sollte ich lieber doch auf 2k3 gehen und dann soviel wie möglich über meine anderen Linuxmachninen laufen lassen?
Ist ein Linux PDC mit den gleichen Funktionen eines 2k3 mit ADS aufsetzbar u nd funktioniert das auch.
grüße
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 29341
Url: https://administrator.de/contentid/29341
Ausgedruckt am: 14.11.2024 um 21:11 Uhr
7 Kommentare
Neuester Kommentar
Mit Samba kannst Du zunächst nur die frühere NT-Domäne ersetzen (sowohl PDC als auch eingeschränkt BDC's)
Sofern Du nur eine einzige Domäne hast geht das mit Samba Bordmitteln, wenn Du mehr möchtest geht das mit LDAP, welches so ähnlich funktioniert wie der "Forest" unter ADS.
Ein vollwertiger Ersatz für Active Directory ist LDAP allerdings nicht, da MS zwar auf LDAP aufbaut, aber da einiges proprietäres mit hineingewurschtelt hat. Die ADS Gruppenrichtlinien werden derzeit nicht unterstützt.
Von der Verwaltungsseite ist LDAP mit den entsprechenden Werkzeugen (z.b. LAM) über Webfrontend gut und bequem zu verwalten. Wir haben etwa 200 - 250 Maschinen (davon ca. 40 Server) und 100 User darin und es läuft performant. Außerdem ist die Authentifizierung für weitere Software recht simpel realisierbar (z.B. in Typo3, OTRS, Apache ..). Vor allem aber kann man verstehen was da wie abgeht. Einfach ist das aber nicht, wir haben fast 2 Jahre gebraucht um jetzt endlich den Baum richtig zu strukturieren, sodass in den Filialen auch alles klappt. Eine ordentliche Schulung ist da sicherlich vonnöten - hier haben wir wohl zu wenig gemacht.
Samba4 wird wohl sehr viel in Sachen ADS Unterstützung bringen. Da MS die Protokolle jedoch unter Verschluss hält rechne ich mit einigen Kinderkrankheiten bis das wirklich rund läuft. Nach meiner persönlichen Einschätzung wird es noch bis gegen Ende des Jahres dauern, bis Samba4 dann auch so dokumentiert und ausgereift ist dass es in größeren Umgebungen sauber genutzt werden kann.
Sofern Du nur eine einzige Domäne hast geht das mit Samba Bordmitteln, wenn Du mehr möchtest geht das mit LDAP, welches so ähnlich funktioniert wie der "Forest" unter ADS.
Ein vollwertiger Ersatz für Active Directory ist LDAP allerdings nicht, da MS zwar auf LDAP aufbaut, aber da einiges proprietäres mit hineingewurschtelt hat. Die ADS Gruppenrichtlinien werden derzeit nicht unterstützt.
Von der Verwaltungsseite ist LDAP mit den entsprechenden Werkzeugen (z.b. LAM) über Webfrontend gut und bequem zu verwalten. Wir haben etwa 200 - 250 Maschinen (davon ca. 40 Server) und 100 User darin und es läuft performant. Außerdem ist die Authentifizierung für weitere Software recht simpel realisierbar (z.B. in Typo3, OTRS, Apache ..). Vor allem aber kann man verstehen was da wie abgeht. Einfach ist das aber nicht, wir haben fast 2 Jahre gebraucht um jetzt endlich den Baum richtig zu strukturieren, sodass in den Filialen auch alles klappt. Eine ordentliche Schulung ist da sicherlich vonnöten - hier haben wir wohl zu wenig gemacht.
Samba4 wird wohl sehr viel in Sachen ADS Unterstützung bringen. Da MS die Protokolle jedoch unter Verschluss hält rechne ich mit einigen Kinderkrankheiten bis das wirklich rund läuft. Nach meiner persönlichen Einschätzung wird es noch bis gegen Ende des Jahres dauern, bis Samba4 dann auch so dokumentiert und ausgereift ist dass es in größeren Umgebungen sauber genutzt werden kann.
Hi,
unabhängig von eurem Budget und meiner Favorisierung von Microsoft.
ADS geht mit Samba 3 überhaupt nur, wenn du Policies anlegs, also händisch, dafür gäbe es MS Tools auf www.gruppenrichtlinien.de
Ansonsten, was kostet denn eine 2003er Lizens für eine Firma? Erst mal einiges, aber rechnet man die investiert Arbeit, dann sollte er wieder gut dastehen. Backups und Rücksicherung mit Linux, hat mir zumindestens, Schwierigkeit verursacht. Support bekommst du in dem Sinne auch nicht, da OPEN SOURCE.
Ich hatte z.B. das Prob, das seit XP SP2 nach dem Login am Samba, Windows gecrashed ist. Warum, weiss ich nicht.
Eigentlich reicht auch ein Windows2000 Server, aber hier gibt es keine Lizensen mehr, denke ich.
mfg
Thomas
unabhängig von eurem Budget und meiner Favorisierung von Microsoft.
ADS geht mit Samba 3 überhaupt nur, wenn du Policies anlegs, also händisch, dafür gäbe es MS Tools auf www.gruppenrichtlinien.de
Ansonsten, was kostet denn eine 2003er Lizens für eine Firma? Erst mal einiges, aber rechnet man die investiert Arbeit, dann sollte er wieder gut dastehen. Backups und Rücksicherung mit Linux, hat mir zumindestens, Schwierigkeit verursacht. Support bekommst du in dem Sinne auch nicht, da OPEN SOURCE.
Ich hatte z.B. das Prob, das seit XP SP2 nach dem Login am Samba, Windows gecrashed ist. Warum, weiss ich nicht.
Eigentlich reicht auch ein Windows2000 Server, aber hier gibt es keine Lizensen mehr, denke ich.
mfg
Thomas
Na da wirds aber lustig. Backup unter Linux Schwierig ?
Du hast Recht - wie schon bemerkt kann Samba derzeit keine ADS Emulation (hatte ich schon erwähnt). Für ein vernünftiges (heterogenes) Netz ist ADS auch bei Gott nicht erste Wahl. Microsoft ist heute da, wo Novell vor etwa 6 Jahren mit den NDS (heute eDirectory) war oder Apple mit Netinfo. Mit dem kleinen Unterschied das Microsoft eigentlich nur Microsoft so richtig kann, während andere Systeme da wesentlich offener sind. Insbesondere Open LDAP funktioniert mit praktisch allen Systemen, egal ob Apple, Solaris, HPUX, Windows.
Dem Argument Backup und Restore wäre unter Linux/Unix schwer, kann ich nicht folgen
Das ist seit jeher ein absolutes Pro von Linux.
Ein beliebiges Linux System und tar -cz /dev/nst0 - das wars auch schon.
Auch die Sicherung der LDAP Datenbank ist wesentlich einfacher und vor allem verständlicher als unter Windows.
Mit Windows musst Du erstmal etwas kaufen. Dann versuchst Du einen SCSI-Streamer zum laufen zu bekommen (garantiert erwischst Du die falschen Beta-Treiber, da die stabilen in Deiner Version nicht laufen). Ancshließens stellst Du fest (nach einem halben Jahr) , dass die Hälfte Deiner Daten gar nicht oder fehlerhaft gesichert wurden, weil Windows keinen Zugriff auf diese Dateien zugelassen hat oder diese ganz toll versteckt hat (Ich sag nur Alternate Data Streams und Registry).
Als nächstes kämpfst Du mit der Lizenzproblematik. Neben den Serverlizenzen musst Du dich um die korrekte Lizenzierung der Clients kümmern (CAL) und diese Lizenzen alle 3-4 Jahre nach Gusto von Microsoft austauschen. Völlig im unklaren läßt dich Microsoft wie du eine virtuelle Maschine oder eine Maschine mit mehren OS darauf lizenzieren sollst - Irgendwie schlafe ich seit unserere LDAP Umstellung erheblich besser!
Zugegeben, manche Backup Software läuft auch unter Windows ganz passabel (wie z.B. Netvault) . Es ist aber auch extrem viel Schrott darunter (wie z.B. Arcserve) und die gut 20.000 Euro zzgl. Wartung die ich für meine Umgebung bräuchte, (ca. 50 Server in 6 Netzwerkzonen) investiere ich lieber in eine vernünftige Ausbildung.
Noch ein Beispiel: Ich habe einen Server mit etwa 550 GB an Daten. Mit Windows würde mir diese Sicherung ca. 30 Stunden benötigen (ging also nur noch am Wochenende) und benötigte Bänder ohne Ende. Unter Linux gibts rsync. Damit mache ich täglich eine Sicherung auf eine externe Plattenbox - dauer ca. 3-4 Stunden, benötigter Plattenplatz für 20 Generationen der Sicherung etwa 650 GB. Eine zusätzliche Sicherung auf Band erfolgt einmal pro Monat - gut dann brauche ich wieder den Sack an Bändern.
So, und nun probier dass mal unter reinem Windows (ohne cygwin).
Nochmals zusammengefasst:
Für eine einfache Domäne wie Chavez beschrieben (offenbar ohne Filialstruktur) würde ich noch nicht mal LDAP einsetzen, sondern einfach eine Linuxrechner mit Samba3 als PDC konfigurieren. Samba läuft in dieser Hinsicht extrem stabil und benötigt auch keine zweiwöchentlichen Reboots für kritische Sicherheitslücken. (Im schlimmsten Fall ist der Rechner zum einspielen eines Updates in weniger als 10 Sekunden wieder bereit).
Die Einrichtung einer derartigen Domäne beherrscht bei uns der Azubi im 2. Lehrjahr.
Wenn es etwas mehr sein soll kann LDAP zum Einsatz kommen. In einer einfachen Umgebung (sprich ein einzelner Baum) wie Beschrieben ist das auch noch kein Hexenwerk. Etwas schwieriger ist die Migration bei Übernahme der Maschinen Passwörter ins LDAP (d.h. wenn die Rechner nicht manuell zur neuen Domäne hinzugefügt werden sollen) - aber auch das ist machbar.
Wenn Group Policies eingesetzt werden sollen muss derzeit noch Windows ran. Ich vermute auch Samba4 wird das anfänglich noch nicht können. Auch verteilte Bäume sind IMHO unter Windows schon einfacher zu konfigurieren. Den damit einhergehenden Verlust an Leistung auf den Servern (ADS kostet nach meiner Erfahrung richtig Leistung) und Clients solltest Du berücksichtigen und evtl. eigene Maschinen dafür beschaffen.
Gruß
Christian
Du hast Recht - wie schon bemerkt kann Samba derzeit keine ADS Emulation (hatte ich schon erwähnt). Für ein vernünftiges (heterogenes) Netz ist ADS auch bei Gott nicht erste Wahl. Microsoft ist heute da, wo Novell vor etwa 6 Jahren mit den NDS (heute eDirectory) war oder Apple mit Netinfo. Mit dem kleinen Unterschied das Microsoft eigentlich nur Microsoft so richtig kann, während andere Systeme da wesentlich offener sind. Insbesondere Open LDAP funktioniert mit praktisch allen Systemen, egal ob Apple, Solaris, HPUX, Windows.
Dem Argument Backup und Restore wäre unter Linux/Unix schwer, kann ich nicht folgen
Das ist seit jeher ein absolutes Pro von Linux.
Ein beliebiges Linux System und tar -cz /dev/nst0 - das wars auch schon.
Auch die Sicherung der LDAP Datenbank ist wesentlich einfacher und vor allem verständlicher als unter Windows.
Mit Windows musst Du erstmal etwas kaufen. Dann versuchst Du einen SCSI-Streamer zum laufen zu bekommen (garantiert erwischst Du die falschen Beta-Treiber, da die stabilen in Deiner Version nicht laufen). Ancshließens stellst Du fest (nach einem halben Jahr) , dass die Hälfte Deiner Daten gar nicht oder fehlerhaft gesichert wurden, weil Windows keinen Zugriff auf diese Dateien zugelassen hat oder diese ganz toll versteckt hat (Ich sag nur Alternate Data Streams und Registry).
Als nächstes kämpfst Du mit der Lizenzproblematik. Neben den Serverlizenzen musst Du dich um die korrekte Lizenzierung der Clients kümmern (CAL) und diese Lizenzen alle 3-4 Jahre nach Gusto von Microsoft austauschen. Völlig im unklaren läßt dich Microsoft wie du eine virtuelle Maschine oder eine Maschine mit mehren OS darauf lizenzieren sollst - Irgendwie schlafe ich seit unserere LDAP Umstellung erheblich besser!
Zugegeben, manche Backup Software läuft auch unter Windows ganz passabel (wie z.B. Netvault) . Es ist aber auch extrem viel Schrott darunter (wie z.B. Arcserve) und die gut 20.000 Euro zzgl. Wartung die ich für meine Umgebung bräuchte, (ca. 50 Server in 6 Netzwerkzonen) investiere ich lieber in eine vernünftige Ausbildung.
Noch ein Beispiel: Ich habe einen Server mit etwa 550 GB an Daten. Mit Windows würde mir diese Sicherung ca. 30 Stunden benötigen (ging also nur noch am Wochenende) und benötigte Bänder ohne Ende. Unter Linux gibts rsync. Damit mache ich täglich eine Sicherung auf eine externe Plattenbox - dauer ca. 3-4 Stunden, benötigter Plattenplatz für 20 Generationen der Sicherung etwa 650 GB. Eine zusätzliche Sicherung auf Band erfolgt einmal pro Monat - gut dann brauche ich wieder den Sack an Bändern.
So, und nun probier dass mal unter reinem Windows (ohne cygwin).
Nochmals zusammengefasst:
Für eine einfache Domäne wie Chavez beschrieben (offenbar ohne Filialstruktur) würde ich noch nicht mal LDAP einsetzen, sondern einfach eine Linuxrechner mit Samba3 als PDC konfigurieren. Samba läuft in dieser Hinsicht extrem stabil und benötigt auch keine zweiwöchentlichen Reboots für kritische Sicherheitslücken. (Im schlimmsten Fall ist der Rechner zum einspielen eines Updates in weniger als 10 Sekunden wieder bereit).
Die Einrichtung einer derartigen Domäne beherrscht bei uns der Azubi im 2. Lehrjahr.
Wenn es etwas mehr sein soll kann LDAP zum Einsatz kommen. In einer einfachen Umgebung (sprich ein einzelner Baum) wie Beschrieben ist das auch noch kein Hexenwerk. Etwas schwieriger ist die Migration bei Übernahme der Maschinen Passwörter ins LDAP (d.h. wenn die Rechner nicht manuell zur neuen Domäne hinzugefügt werden sollen) - aber auch das ist machbar.
Wenn Group Policies eingesetzt werden sollen muss derzeit noch Windows ran. Ich vermute auch Samba4 wird das anfänglich noch nicht können. Auch verteilte Bäume sind IMHO unter Windows schon einfacher zu konfigurieren. Den damit einhergehenden Verlust an Leistung auf den Servern (ADS kostet nach meiner Erfahrung richtig Leistung) und Clients solltest Du berücksichtigen und evtl. eigene Maschinen dafür beschaffen.
Gruß
Christian
Hallo,
interessante Diskussion. Ich hatte von 2004-2005 die Gelegenheit eine Breite Linuxumstellung in unserem Unternehmen durchzuführen. Ziel war es, ca. 50 Server von MS auf Linux zu migrieren und etwa 200 Workstations. Wir haben bis heute ca. 45 Server umgestellt und bei ca 3/4 aller Clients Schluß gemacht. Warum? Weil, sich jedes kleinste Problem potenziert. Manchmal ist es einfacher irgendwelche alten Kamellen weiterlaufenzulassen.
Unsere Erfahrungen:
- LDAP und Samba als ADS-Ersatz lohnt, aber man geht zumindest in der Administration einige Schritte zurück, PHPLDAP ist eine Möglichkeit zur Administration, Gosa die bessere. Außerdem kann man bei der Gelegenheit auch Exchange durch z.B. einen Imapserver, wie Postfix/Cyrus ablösen.
- Der Umstieg ist aus der heutigen Sicht besser abzuwarten, um zu sehen, was Samba 4 letztendlich bringt.
- So ein Umstieg erfodert immer viel Planung, Koordination und letztendlich auch Arbeit, aber man macht sich nicht so abhängig von einem Hersteller, wie MS.
Grüße
Roman
interessante Diskussion. Ich hatte von 2004-2005 die Gelegenheit eine Breite Linuxumstellung in unserem Unternehmen durchzuführen. Ziel war es, ca. 50 Server von MS auf Linux zu migrieren und etwa 200 Workstations. Wir haben bis heute ca. 45 Server umgestellt und bei ca 3/4 aller Clients Schluß gemacht. Warum? Weil, sich jedes kleinste Problem potenziert. Manchmal ist es einfacher irgendwelche alten Kamellen weiterlaufenzulassen.
Unsere Erfahrungen:
- LDAP und Samba als ADS-Ersatz lohnt, aber man geht zumindest in der Administration einige Schritte zurück, PHPLDAP ist eine Möglichkeit zur Administration, Gosa die bessere. Außerdem kann man bei der Gelegenheit auch Exchange durch z.B. einen Imapserver, wie Postfix/Cyrus ablösen.
- Der Umstieg ist aus der heutigen Sicht besser abzuwarten, um zu sehen, was Samba 4 letztendlich bringt.
- So ein Umstieg erfodert immer viel Planung, Koordination und letztendlich auch Arbeit, aber man macht sich nicht so abhängig von einem Hersteller, wie MS.
Grüße
Roman
@ all
also das was ihr hier schreibt find ich absolut super, ich habe folgendes problem und zwar habe ich einen uralten nt server der wirklich sein geld verdient hat und ausgetauscht werden muß (fängt an zu spinnen und ihr kennt das sicherlich ).
ich habe mir nun gedacht kaufst dir einen neuen und machst linux drauf ! ich habe mir 2 platinum 100 gekauft und los gings mit der installation.
und es funktionierte die installation ohne probleme -> die kommen dann (weil keinen plan )
also hier als gast eingeloggt gelesen und los gings prima 2 Tage ohne jeglichen plan und läuft mit samba 3 usw, bis auf die drucker im lokalen netz.
find ich auch noch raus.
nun meine frage bin echt am überlegen total umzusteigen ich brauch unterschiedliche sql und oracel umgebung zum testen (gibt es alles im netz ) und ich habe ein schweine geld für wind....f bezahlt . habt ihr in eurer netzumgebung erfahrung mit den datenbanken ? mysql läuft problemlos mit meiner software
was ich auch nicht anders erwartet habe. lohnt sich eine profi version (z. b. Novell) den sicherheit ist mir sehr wichtig und auch der support sollte ok sein.
also kurz zusammengefasst - > nt server ablösen -> datenbank und fileserver eventuell ftp server (kunden).
und ps
gibt es irgenwo eine beschreibung über die konfiguration des internen raid von diesem maxdata server, ich habe noch keine doku und im netz gefunden und wie verhällt sich dieser unter linux ?
also das was ihr hier schreibt find ich absolut super, ich habe folgendes problem und zwar habe ich einen uralten nt server der wirklich sein geld verdient hat und ausgetauscht werden muß (fängt an zu spinnen und ihr kennt das sicherlich ).
ich habe mir nun gedacht kaufst dir einen neuen und machst linux drauf ! ich habe mir 2 platinum 100 gekauft und los gings mit der installation.
und es funktionierte die installation ohne probleme -> die kommen dann (weil keinen plan )
also hier als gast eingeloggt gelesen und los gings prima 2 Tage ohne jeglichen plan und läuft mit samba 3 usw, bis auf die drucker im lokalen netz.
find ich auch noch raus.
nun meine frage bin echt am überlegen total umzusteigen ich brauch unterschiedliche sql und oracel umgebung zum testen (gibt es alles im netz ) und ich habe ein schweine geld für wind....f bezahlt . habt ihr in eurer netzumgebung erfahrung mit den datenbanken ? mysql läuft problemlos mit meiner software
was ich auch nicht anders erwartet habe. lohnt sich eine profi version (z. b. Novell) den sicherheit ist mir sehr wichtig und auch der support sollte ok sein.
also kurz zusammengefasst - > nt server ablösen -> datenbank und fileserver eventuell ftp server (kunden).
und ps
gibt es irgenwo eine beschreibung über die konfiguration des internen raid von diesem maxdata server, ich habe noch keine doku und im netz gefunden und wie verhällt sich dieser unter linux ?