Как построить супер лес Active Directory?

Question

[Shegan93]

Коллеги, добрый день!

Обращаюсь к вам за советом.

Дано: распределённая сеть филиалов компании по всей стране (около 50), в каждом филиале по 5-10 человек. Два равноправных центра: Москва и Санкт-Петербург. В Питере 250 человек, в Москве - 450. Внешних сотрудников компании - 400.

Задача: построить отказоустойчивую доменную структуру таким образом, чтобы центры могли обеспечивать работу организации самостоятельно.

Мы думаем сделать 2 домена: один для внутренних сотрудников, один для внешних.

Помогите пожалуйста советом как правильно это сделать? Какое количество доменов нужно? Контроллеров домена? Количество сайтов? Как правильно физически разместить сервера?

Comments

[Сергей]

Давно видел этот топ, все ждал что умные дядьки скажут :) Решился спросить: что с управлением? Москва и Питер развнозначны? Тех отделы общие или разные? кто управлять будет? Кто управляет городами? Какой обмен между центрами?

[Shegan93]

Москва и Питер равнозначны. Управляется одной IT командой. Полоса пропускания между центрами 400-500 Гб/с.

Answer 1

[aeowka]

Тут сложно однозначно сказать... Очень много вопросов надо рассмотреть. Начиная от того, кто будет управлять инфраструктурой, как все эти офисы-филиалы между собой будут взаимодействовать, где какой интернет и т.д.

Можно хоть один домен сделать, а можно и два и trust между ними... Можно филиалы на тонкие клиенты посадить, а может и нет, может им нужен DC на месте...

В общем тут никто точно не ответит, типа делайте именно так! Лучше всего наверное позвать какого-то интегратора, который разберется в нуждах бизнеса и предложит оптимальный вариант.

Answer 2

[Дмитрий]

Один домен, два сайта, по два контроллера домена в каждом центре.
Отдельный домен для внешних пользователей делать не обязательно.
Между филиалами VPN.
Все документы в DFS.
Всю инфраструктуру лучше виртуализовать и поддерживать реплики в центрах.
Это минимум. Действительно необходимо больше данных (Какими приложениями будете пользоваться Exchange, SharePoint или что-то другое).

Comments

[Денис Подыниглазов]

Azure active directory

[Дмитрий]

Денис Подыниглазов: Хорошее решение, но надо иметь опыт работы с ним прежде чем строить сеть крупного предприятия.

[Денис Подыниглазов]

Дмитрий: При всем уважении к Вам, возражу: самый безотказный центр авторизации - облачный контроллер домена. Один на все предприятие. В большие филиалы можно по одному в режиме readonly поставить.

[Дмитрий]

Важно помнить, что readonly контроллер домена не может авторизовывать пользователей Exchange (Если таковой имеется).

Answer 3

[1qaz2wsx3edc]

>>Задача: построить отказоустойчивую доменную структуру таким образом, чтобы центры могли обеспечивать работу организации самостоятельно.

Т.е в случае падения vpn филиалы должны продолжить работу? Какая там инфраструктура ?

В головных офисах есть разделение сети на Internal \ dmz ? Есть ли в организации ИБ? Что она думает \ какие требования предъявляет к службе каталогов?

Comments

[Shegan93]

DMZ есть. ИБ - это мы :)
Требования есть, собираем информацию о лучших практиках.