Dotaz: dhcp - jedna síť, dvě domény

[Milan Uhrák]

Zdravím. Již jsem to tady dříve naťukával, do naši podnikové sítě vkládám druhý AD-DC.

Starý umírá a nevhodné jméno domény (.local) mi neumožňuje prostě do domény vložit jiný DC a starý vypnout.

Nový DC, bude vytvářet doménu s jiným názvem ( asi jp.firma - je to vhodné ? ), a tudíž budu muset všechny stanice obejít a přetáhnout je do nové domény ( tak to zatím vidím). A teď otázka : dá se nakonfigurovat jeden DHCP server tak, aby na jedné fyzické síti obsluhoval dvě domény ?

Co tím myslím ?

subnet 192.168.0.0 netmask 255.255.255.0 {
    option domain-name          "jp.local";
    range                       192.168.0.150 192.168.0.200;
    option routers              192.168.0.231;

každé PC je síce nasaveno na DHCP, ale zároveň má každé PC záznam v dhcpd.conf, aby mělo "pevnou" adresu.

    host spravce {
        hardware ethernet  d8:cb:8a:a1:d2:a2;
        fixed-address      192.168.0.1;
        ddns-hostname      "spravce";
    }

Čili, ne stejné subnet ( nebo na jiné subnet ve sejném rozsahu ) definovat

option domain-name          "jp.firma";

Tedy, nejsem si jist, zda option-domain name bude mít nějaký význam při přiřazení do domény. Ptám se vlastně i na toto.

DNS tam samozřejmě pojede taky, bude mít dvě zóny na stejné síti ( toto řešení jsem už někde zahlíd, takže je asi schůdné ).

Jde mi o to, provést přechod na nový AD-DC co nejplynuleji a bez zmatků.

Díky za každé rozumné popostrčení.

---

---

Odpovědi

[Milan Uhrák]

Tohle říká man pro dhcp, v gentoo net-misc/dhcp-4.4.1 ...

Options
       DHCP  (and  also BOOTP with Vendor Extensions) provide a mechanism whereby the server can provide 
             the client with information about how to configure its
       network interface (e.g., subnet mask), and also how the client can access various network services 
             (e.g., DNS, IP routers, and so on).

       These options can be specified on a per-subnet basis, and, for BOOTP clients, also on a per-client basis.  
             In the event that a BOOTP client  declaration
       specifies options that are also specified in its subnet declaration, the options specified in the client 
             declaration take precedence.  A reasonably com‐
       plete DHCP configuration might look something like this:

            subnet 239.252.197.0 netmask 255.255.255.0 {
              range 239.252.197.10 239.252.197.250;
              default-lease-time 600;
              max-lease-time 7200;
              option subnet-mask 255.255.255.0;
              option broadcast-address 239.252.197.255;
              option routers 239.252.197.1;
              option domain-name-servers 239.252.197.2, 239.252.197.3;
              option domain-name "isc.org";
            }

       A bootp host on that subnet that needs to be in a different domain and use 
                 a different name server might be declared as follows:

            host haagen {
              hardware ethernet 08:00:2b:4c:59:23;
              fixed-address 239.252.197.9;
              filename "/tftpboot/haagen.boot";
              option domain-name-servers 192.5.5.1;
              option domain-name "example.com";
            }

       A more complete description of the dhcpd.conf file syntax is provided in dhcpd.conf(5).

Takže je tam a) obecná deklarace a b) definice pro nové stroje.
(A na odpověď ohledně AD si taky počkám).

[Milan Uhrák]

Super, toto mně ani nenapadlo, děkuji.

[Milan Uhrák]

Já se ptal na AD ? nebo co máte na mysli ?

[vencour]

Microsoftí AD řeší nejen IP adresy a DNS ale i třeba SSO (single sign on), tj. ověření v rámci "firmy a aplikace", měl jsem dojem, že se ptáte na tohle.
A pokud se nepletu, přidělení v rámci dhcp je "tak nějak obecné", podle MAC nebo podle options.

[Milan Uhrák]

Zdravím. Nový AD bude Zentyal, takže moje otázky vedou jen na problémy spojené s ( nedostatečnou obeznámeností s ) linuxovým proostředím.

I nyní (doposud) je AD jen AD.

DHCP, Primární DNS, brána, firewall, share, mail - to vše tu už v době nasazení Server2003 fungovalo na (v té době myslím Ubuntu, dnes na opravdu zašlém openSuse ( 11 tuším) ) Linuxu, AD dostal jen úlohu sekundárního DNS.

[Milan Uhrák]

oprava : DC (řadič domény ) namísto AD .. jsem u toho asi spal ..

[rastos]

DHCP = Dynamic Host Configuration Protocol. Cez DHCP môžeš nakonfigurovať IP adresu, DNS konfiguráciu, NTP server, routovanie a čojaviemčoešte. Ale pokiaľ viem, tak nemôžeš povedať, že stroj XY patrí do nejakej Windows NT domény. Tiež preto, že ten konfigurovaný stroj musí mať vyrobené konto na Domain Controller-i. Keby to tak nebolo, tak by som si vyrobil malý DHCP server, ktorý by môjmu stroju povedal, že patrí do Windows domény FIRMA a to by bol jeden z najľahších hack-ov, ako sa nabúrať do Windows NT domény.

To, čo sa hovorí v "option domain-name", je DNS doména. Windowsy tomu hovoria tuším "DNS suffix". Je to reťazec, ktorý sa použije na vytvorenie FQDN (Fully Qualified Domain Name) keď resolver na klientovi dostane len holé meno stroja bez domény. Príklad: domain-name je "firma.cz", urobíš "ping mail", ping potrebuje "mail" preložiť na IP, tak z toho urobí FQDN "mail.firma.cz" a to sa spýta DNS servera. Neviem či to ubuntu/systemd nerieši nejako inak, ale tá doména sa zvykla písať do /etc/resolv.conf za keyword "search". Buď ručne, alebo ju tam dal DHCP client.

Na druhej strane Domain Controller Windows NT domény sa snaží byť aj DHCP server, aj DNS server aj čojaviemčo ešte. Skrátka chce riešiť všetko sám. Kedysi som sa pokúšal vyrobiť systém s ISC DHCP serverom, Bind DNS serverom (ktoré som už historicky mal rozbehané a mal som v nich vyriešené kadejaké triky) a Sambu ako DC serverom, ale nepodarilo sa mi to dotiahnuť do úspešného konca .

[j]

" asi jp.firma - je to vhodné ?"

Ne, pouziva se standardni domena, predevsim takova, kterou firma vazne drzi. Pokud to z ni chces nejak oddelit, tak subdomenou 3ti urovne.

A jinak pri trose guugleni najdes i postup jak previst domenu na jiny nazev, protoze zakladat novou a vse nastavovat znova je uplne nehorsi ze vsech moznych reseni. AD totiz nejsou jen pocitace, ale taky uzivatele, a klidne tisice ruznych nastaveni, ktery nemuzes jen tak vzit a nejak je skopirovat.

Uvedom si, ze uplne vsechno v AD je navazany na vsemozny UUID, a ty se ti zalozenim jiny zmenej. Takze se useri nebudou moct prihlasit kam maji, pocitace se nedostanou ke zdrojum ktery maji nakonfiguraovany atd atd atd. Pokud mas i jen trochu vetsi sitku (desitky stroju a uzovatelu) tak to znamena klidne i nekolik mesicu, kdy nebude prakticky nic fungovat.

[j]

Edit: A to vubec nemluvim o tom, ze i v takovy pidisitce muzou byt desitky dalsich krabek, ktery maji svoje konfigurace, a v nich pouzivaji co jinyho nez to .local. Nez je vsechny najdes (i fyzicky) a prekonfigurujes, tak to mas na dalsich par mesicu. Casto se zjisti ze neco nefunguje i po vic nez roce, proste proto, ze danou vec nekdo resi 1x rocne.