Диспетчер сайтов и служб Active Directory

Диспетчер сайтов и служб Active Directory

Основным назначением данного средства является администрирование топологии репликации как внутри сайта (локальная сеть), так и между сайтами (глобальная сеть) в среде предприятия.

Сайты

Сайт – это участок сети, имеющий высокую физическую пропускную способность, который может быть определен с помощью одной или нескольких хорошо связанных IP-подсетей. Как правило, сайт можно представить как области, соединенные с использованием технологий локальной сети.

Назначение сайтов состоит в том, что они определяют топологию выполнения репликации между контроллерами домена в доменах службы каталогов Active Directory. Поскольку сайты управляют выполнением репликации, изменения, произведенные с помощью этого средства, влияют на эффективность топологии репликации.

Две важные концепции, относящиеся к сайтам, состоят в следующем.

1.       Cайт может охватывать более одного домена. Поскольку сайт является просто собранием объектов, существующих в физических местоположениях, логическое распределение объектов может включать столько полных доменов или их частей, сколько присутствует в определении сайта.

2.       Несколько сайтов также могут охватывать домены и даже организационные подразделения. Такая возможность представляется особенно интересной при рассмотрении вопроса о влиянии групповой политики на объекты внутри конкретного домена. Благоразумная предусмотрительность состоит в том, что не стоит ограничивать сайт одним компьютером.

Сайты никак не привязываются к пространству имен службы каталогов Active Directory. Имя объекта каталога не отражает сайт или сайты, в которых хранится этот объект. Сайт может содержать контроллеры домена из нескольких доменов, а контроллеры домена из некоторого домена могут быть представлены на нескольких сайтах. (В службе каталогов Exchange сайты привязаны к пространству имен.)

Определение сайтов

Хотя общего правила для определения правильных границ сайта нет, понимание того, как служба каталогов Active Directory использует сведения сайта, поможет наилучшим способом реализовать сайт. Сведения о сайте используются в службе каталогов Active Directory в следующих четырех случаях.

1)       Когда клиент запрашивает подключение к контроллеру домена (для входа, например), сайты позволяют клиенту, когда это возможно, осуществлять подключение к контроллеру домена внутри того же самого сайта. Это уменьшает задержку в сети и сохраняет ее пропускную способность.

2)       Сайты определяют топологию репликации для контроллеров домена, являющихся членами данного сайта. Проверка непротиворечивости знаний (KCC – Knowledge Consistency Checker) – служба, выполняющаяся на всех контроллерах домена, – также использует сведения, содержащиеся внутри сайта, для автоматического добавления дополнительных серверов к топологии репликации.

3)       Сообщения репликации между контроллерами домена в пределах сайта являются несжатыми, поэтому они используют меньше тактов процессора на контроллерах домена. Сообщения репликации между контроллерами домена в различных сайтах являются сжатыми, поэтому они меньше загружают сеть.

4)       Репликация между контроллерами домена на сайте инициируется поступлением обновлений, что снижает задержку репликации внутри сайта. Репликация между контроллерами домена в различных сайтах выполняется по расписанию, что сохраняет пропускную способность сети. Коэффициент сжатия в таких случаях может достигать 10 к 1.

Предполагается, что репликация между сайтами приводит либо к увеличению финансовых затрат, либо к снижению скорости подключений. Как таковой, механизм для межсайтовой репликации позволяет выбрать альтернативные транспорты и устанавливается созданием связей сайтов и мостов связей сайтов.

Чтобы обеспечить правильность реплицирования службы каталогов Active Directory, на всех контроллерах домена запускается служба, имеющая название «Проверка непротиворечивости знаний» (KCC), которая автоматически устанавливает подключения между всем контроллерами домена в одном и том же сайте. Они называются объектами-подключениями службы каталогов Windows NT. Администратор может установить дополнительные объекты-подключения или удалить объекты-подключения, однако всякий раз, когда репликация внутри сайта становится невозможной или происходит единичный сбой, включается служба KCC, устанавливающая столько новых объектов-подключений, сколько требуется для возобновления репликации службы каталогов Active Directory.

Имя, присваиваемое по умолчанию первому сайту

Первый сайт создается автоматически при установке службы каталогов Active Directory на первом контролере домена предприятия. Это делается при запуске программы DCPromo.exe, а созданный сайт получает имя «Имя_по_умолчанию_первого_сайта» (Default-First-Site-Name). Это имя можно позже изменить или же оставить без изменения.

Рис. 1. Экран завершения работы программы DC Promo, показывающий, что был создан сайт «Имя_по_умолчанию _первого_сайта» (Default-First-Site-Name).

Рис. 2. Отображение результирующих сведений сайта в диспетчере сайтов и служб.

Топология репликации сайтов в сети определяет следующие характеристики.

Где выполняется репликация, например, какие контроллеры домена напрямую связываются с другими контроллерами домена того же самого сайта. Кроме того, эта топология определяет, как сайты связываются друг с другом.

Когда выполняется репликация. Проведение репликации между сайтами может полностью планироваться администратором. Репликация между контроллерами домена внутри одного и того же сайта управляется уведомлениями, которые отправляются в течение 5 минут после выполнения изменения объекта в данном домене.

Все заново активизированные контроллеры домена будут помещаться в тот контейнер сайтов, который определяется для них во время установки. (Например, сервер, предназначенный для Чукотки, мог быть создан и настроен в московском информационном центре, поэтому программа DC Promo поместит этот сервер в московский сайт; позже на Чукотке можно переместить объект-сервер в новый сайт, использовав диспетчер сайтов и служб.)

Раздел «Сайты» диспетчера сайтов и служб можно использовать, чтобы отобразить перечисленные ниже объекты.

Допустимые сайты внутри предприятия. Например, именем сайта может быть «Имя_по_умолчанию_первого_сайта», а также «Москва» или «Центральный_офис». Сайты можно создавать, удалять или переименовывать.

Серверы, входящие в сайт. Серверы можно удалять или перемещать между сайтами.

Приложения, использующие знания сайта. Корень топологии службы каталогов Active Directory содержится в папке Сайты\Имя_по_умолчанию_первого_сайта\Серверы. Здесь содержатся только серверы, участвующие в конкретном сайте, независимо от домена. Чтобы просмотреть подключения для любого данного сервера, следует посмотреть папку Сайты\Имя_по_умолчанию_первого_сайта\Серверы\{имя_сервера}\Настройки NTDS. Для каждого сервера имеются подключения и расписания, управляющие репликацией на другие серверы в этом сайте.

Чтобы два компьютера имели двустороннюю репликацию, должно существовать подключение первого компьютера ко второму, а также дополнительное подключение второго компьютера к первому.

Расписания. Внутри сайта опрашивающая репликация любых новых изменений каталога проводится между серверами примерно каждые 5 минут. Расписания играют важную роль внутри сайта, вызывая принудительную отправку уведомления входящим партнерам в том случае, если у партнера поврежден объект-подключение. Такой тип уведомления отравляется, как правило, каждые 6 часов. Кроме того, расписания играют очень важную роль в управлении опрашивающей репликацией между сайтами (между сайтами отсутствует автоматическая репликация, осуществляемая каждые 5 минут).

Транспорты и связи между сайтами.

Транспорты представляют протоколы, использованные для связи между выбранными сайтами (т. е. IP).

Подсети, позволяющие администратору связывать диапазоны IP-адресов с сайтами.

Как запустить средство «Диспетчер сайтов и служб»

В меню Пуск выберите Программы.

Щелкните Администрирование, затем выберите Диспетчер сайтов и служб Active Directory.

Будет выведена консоль, аналогичная показанной на иллюстрации (степень совпадения зависит от развертываемого узла и имен сайтов и серверов).

В показанной выше консоли выделен компьютер NTDSDC1. Отображаются три подключения. Если эти подключения установлены с помощью службы KCC, их именами являются глобальные уникальные коды (GUID – Globally Unique Ids).

Другие компьютеры также имеют два настроенных подключения, поэтому если представить топологию, отображенную на приведенной выше иллюстрации, в виде схемы, получится следующая картинка:

Добавление сайта

Как добавить новые сайты с помощью диспетчера сайтов и служб

Щелкните правой кнопкой мыши Сайты в левой панели консоли, затем щелкните Создать.

Щелкните Сайт и введите имя для этого нового сайта (например, «New York»).

Если имеется связь сайтов по умолчанию, можно сейчас сопоставить данный сайт со связью сайтов. Объяснение связей сайтов приводится далее в настоящем документе.

Теперь можно перемещать компьютеры из других сайтов в данный сайт (в контейнере «Настройки NTDS»).

Добавление подсети

Как определить подсети для конкретного сайта

В левой панели консоли щелкните правой кнопкой мыши элемент Подсети, который выводится под именем сайта.

В меню Действие укажите Создать, затем щелкните подсеть.

В поле Имя введите номера подсети и маски подсети (например, 200.201.202.0/24).

Если подсеть была введена правильно, она появится в папке «Подсети».

Как связать подсеть с сайтом

Правой кнопкой мыши щелкните нужную подсеть в правой панели консоли, затем щелкните Свойства.

В поле Сайт используйте раскрывающийся список для выбора сайта, связываемого с данной подсетью.

Создание связи сайтов

Чтобы между несколькими сайтами происходила репликация по расписанию, эти сайты должны иметь согласованный транспорт для связи. Наиболее вероятно, что такой транспорт будет основан на протоколе IP.

Чтобы создать связь между двумя сайтами, выполните следующие действия

Из узла «Межсайтовые транспорты» выберите один из применимых транспортов. В бета-версии 3 не задействована репликация с использованием SMTP (основанная на почте).

Если требуется присоединить сайт к существующей связи сайтов, выберите в правой панели требуемую связь, перейдите к свойствам и добавьте нужный сайт.

Альтернативный способ создания новой связи сайтов: выберите «Создать», «Связь сайтов» и заполните поля диалогового окна.

Создание моста связей сайтов

Процесс создания моста связей сайтов идентичен созданию связи сайтов, за исключением того, что вместо указания имен сайтов для связи, вы указываете имена связей сайтов для моста.

Сайты

Сайт связывает набор IP-подсетей. Объект-сайт представляет сайт в Active Directory.

При группировке набора IP-подсетей в сайт считается, что эти подсети «хорошо связаны» между собой. Под выражением «хорошо связаны» подразумевается связь по локальной сети, обладающей высокой пропускной способностью (например, по сети, различные сегменты которой соединяют высокоскоростные маршрутизаторы).

Не существует стандартных правил для объединения двух подсетей в один и тот же сайт. Однако понимание того, как служба каталогов Active Directory использует сведения о сайте, поможет в принятии правильного решения. Сведения о сайте используются в службе каталогов Active Directory в следующих четырех случаях.

Когда клиент запрашивает подключение к контроллеру домена, например для входа, сайты позволяют клиенту, когда это возможно, осуществлять подключение к контроллеру домена внутри того же самого сайта. Это уменьшает задержку в сети и сохраняет ее пропускную способность.

Когда проверка непротиворечивости знаний (KCC) службы Active Directory настраивает подключения репликации между контроллерами домена, KCC создает больше подключений между контроллерами домена в том же сайте, чем между контроллерами домена в других сайтах. В результате достигается меньшая задержка репликации внутри сайта и уменьшается поток данных репликации между сайтами.

Сообщения репликации между контроллерами домена в пределах сайта являются несжатыми, поэтому они используют меньше тактов ЦП на контроллерах домена. Сообщения репликации между контроллерами домена в различных сайтах являются сжатыми, поэтому они меньше загружают сеть.

Репликация между контроллерами домена на сайте инициируется поступлением обновлений, что снижает задержку репликации внутри сайта. Репликация между контроллерами домена в различных сайтах выполняется по расписанию, что сохраняет пропускную способность сети.

Сайты никак не привязываются к пространству имен домена службы каталогов Active Directory. Имя объекта каталога не отражает сайт или сайты, в которых хранится этот объект. Сайт может содержать контроллеры домена из нескольких доменов, а контроллеры одного и того же домена могут быть представлены на нескольких сайтах. (В службе каталогов Exchange сайты привязаны к пространству имен.)

Серверы и настройки NTDS

При запуске программы dcpromo.exe для создания контроллера домена (DC) мастер повышения роли контроллера домена (The DC Promotion Wizard) создает объект-сервер, представляющий компьютер контроллера домена. Объект-сервер отличается от объекта-компьютера, который представляет данный компьютер в качестве участника системы безопасности. В действительности объект-сервер содержит ссылку на сопоставленный ему объект-компьютер.

Объекты-серверы являются дочерними по отношению к объектам-сайтам. Родительский сайт сервера должен содержать подсеть этого сервера. Программа dcpromo не всегда может поместить объект-сервер в то место, которому он принадлежит, например, может отсутствовать требующийся объект-сайт. Чтобы привести сайт сервера в соответствие с его IP-подсетью, потребуется переместить сервер с одного сайта на другой.

Программа dcpromo создает также объект-настройки NTDS, представляющий службу Active Directory, выполняющуюся на новом контроллере домена. Объект-настройки NTDS является дочерним по отношению к объекту-серверу контроллера домена.

Подключения

Объект-подключение представляет подключение репликации с одного контроллера домена на другой. Этот объект-подключение является дочерним по отношению к объекту-настройкам NTDS места назначения репликации и указывает на источник репликации.

Объекты-подключения создаются двумя способами:

при помощи запуска проверки непротиворечивости знаний (KCC) на целевом контроллере домена;

администратором каталога.

Подключение является однонаправленным; двунаправленное подключение репликации представляется в виде двух объектов-подключений под двумя различными объектами-настройками NTDS.

Репликация выполняется между контекстами именования (NC – naming context). Два контроллера домена часто имеют несколько общих контекстов именования. Фактически, они всегда имеют по меньшей мере два общих контекста именования: NC настройки и NC схемы. Если существует подключение от одного контроллера домена к другому, оно будет использоваться для реплицирования требуемого количества контекстов именования. Не требуется создавать несколько подключений, связывающих два тех же самых контроллера домена в одном и том же направлении.

Служба KCC, не требуя ручного вмешательства, создает подключения, сохраняющие подключение данного каталога даже при наличии серьезных сбоев и перерывов в работе. Как правило, создание подключений вручную требуется только тогда, когда автоматически настроенные службой KCC подключения не подключают некоторые контроллеры домена, которые, по вашему мнению, должны быть подключены.

Для уменьшения задержки внутрисайтовой репликации могут быть добавлены подключения внутри сайта. По умолчанию, обновлению требуется, как максимум, три «прыжка» от того места на сайте, где оно возникло, до любого другого контроллера домена сайта. Чтобы уменьшить число прыжков до двух или одного, потребуется добавить дополнительные связи. Цена решения о добавлении подключений по сравнению с настройкой по умолчанию – рост затрат на репликацию, проявляющихся в дополнительных тактах процессора, увеличении обращений к диску и рассылке дополнительных сетевых сообщений.

Для уменьшения задержек, особенно связанных с возможными сбоями, могут быть добавлены подключения между сайтами. (Служба KCC будет создавать новые подключения для обхода сбоев, однако этот адаптивный процесс несколько увеличивает задержку.) И в этом случае цена решения о добавлении подключений по сравнению с настройкой по умолчанию – рост затрат на репликацию, проявляющихся в дополнительных тактах процессора, увеличении обращений к диску и рассылке дополнительных сетевых сообщений.

Подключение содержит расписание репликации. Еще одним соображением в пользу создания подключения вручную является получение такого расписания репликации, которое нельзя создать с помощью службы KCC.

Если созданное подключение совпадает с подключением, обычно создаваемым службой KCC, последняя не будет создавать дополнительное подключение. Кроме того, служба KCC никогда не удаляет созданное вами подключение.

Связи сайтов

Объект-связь сайтов представляет набор сайтов, которые могут осуществлять связь друг с другом по одинаковой цене, используя определенный межсайтовый транспорт. Для IP-транспорта типовая связь сайтов подключает только два сайта и соответствует реальной связи глобальной сети. IP-связь сайтов, подключающая более двух сайтов, может соответствовать опорной сети ATM, соединяющей более двух групп зданий в крупных студенческих городках или несколько офисов, расположенных в крупном городе и соединенных друг с другом при помощи арендованных линий и IP-маршрутизаторов.

При создании объекта-связи сайтов для определенного межсайтового транспорта (обычно IP-транспорта) указываются следующие сведения.

Значение цены. Более высокие цены подразумевают «более дорогие» сообщения. Цены влияют на частоту репликации по подключениям, настроенным с использованием службы KCC. Репликация выполняется каждые 15 минут по связи с ценой [0..1], каждые 30 минут – по связи с ценой (1..2], каждые 45 минут – по связи с ценой (2..3] и т. д.

Два сайта или более.

Расписание. Расписание объявляет периоды времени, в течение которых доступна связь. Например, вы можете сделать связь сайтов недоступной в рабочее время для линий удаленного доступа, когда действуют высокие тарифы на телефонные переговоры.

Например, если создается объект АБВ для IP-связи сайтов, подключающий три сайта, А, Б и В, с ценой равной 5, то определяется, что IP-сообщение может передаваться между всеми парами сайтов (от А к Б, от А к В, от Б к А, от Б к В, от В к А, от В к Б) с ценой 5.

Если сайт является общим для двух связей сайтов, это не означает, что данный сайт будет определять маршрут передачи информации между этими двумя связями. К примеру, если связь сайтов АБ подключает сайты А и Б через IP с ценой 3, а связь сайтов БВ подключает сайты Б и В через IP с ценой 4, это не означает, что можно отправить IP-сообщение из А в В с ценой 7 или с любой другой ценой.

Сайт может быть подключен к другим сайтам любым числом объектов-связей сайтов. Каждый сайт в многосайтовом каталоге должен быть подключен при помощи, по крайней мере, одной связи сайтов. В противном случае он не сможет осуществлять репликацию с контроллерами домена в любом другом сайте, и поэтому такой каталог является отключенным. Следовательно, вы должны настроить связи сайтов в многосайтовом каталоге.

Мосты связей сайтов

Объект-мост связей сайтов представляет набор связей сайтов, все из которых могут осуществлять связь при помощи определенного транспорта. Обычно мост связей сайтов соответствует маршрутизатору (или набору маршрутизаторов) в IP-сети.

При создании объекта-моста связей сайтов для конкретного межсайтового транспорта (обычно, IP-транспорта) указываются следующие сведения.

Две или более связи сайтов для данного межсайтового транспорта.

Чтобы лучше понять, что означает мост связей сайтов, рассмотрим такой пример:

связь сайтов АБ подключает сайты А и Б через IP с ценой 3;

связь сайтов БВ подключает сайты Б и В через IP с ценой 4;

мост связей сайтов АБВ подключает АБ и БВ.

Мост связей сайтов АБВ означает, что можно отправить IP-сообщение из сайта А на сайт В с ценой 3+4=7. Это все, что выполняется данным мостом в этом примере.

Каждая связь сайтов Ц в мосте должна иметь какой-либо общий сайт с другой связью сайтов в этом мосте. В противном случае мост не сможет рассчитать цену связи от сайтов в связи сайтов Ц до сайтов в других связях сайтов этого моста.

Несколько мостов связей сайтов для одного и того же транспорта функционируют совместно, моделируя маршрутизацию с несколькими «прыжками». Добавим к предыдущему примеру следующие объекты:

связь сайтов ГА подключает сайты Г и А через IP с ценой 2;

мост связей сайтов ГАБ подключает ГА и АБ.

Теперь мосты связей сайтов ГАБ и АБВ, взятые вместе, означают, что можно отправить IP-сообщение из сайта Г на сайт В с ценой 2+3+4 = 9.

Любую сеть, которую можно описать с помощью комбинации связей сайтов и мостов связей сайтов, можно описать и с помощью одних только связей сайтов. Однако использование мостов связей сайтов уменьшает размер описания сети и облегчает обслуживание, поскольку при этом не требуется иметь связи сайтов, описывающие все возможные маршруты между парами сайтов.

На основании отзывов пользователей, в бета-версии 3 системы Windows 2000 будут представлены следующие усовершенствования.

§         По умолчанию все связи сайтов будут считаться транзитивными. Это означает, что все связи сайтов для данного транспорта будут в явном виде принадлежать к единственному мосту связей сайтов для этого транспорта. Поэтому в общем случае для полностью маршрутизированной IP-сети не потребуется настраивать никаких мостов связей сайтов. Если IP-сеть не является полностью маршрутизированной, то можно выключить транзитивность связей сайтов для IP-транспорта, и в этом случае все IP-связи сайтов будут считаться нетранзитивными; чтобы смоделировать реальное поведение маршрутизации сети, необходимо будет настроить мосты связей сайтов, как в бета-версии 3.

§         При создании объекта-связи сайтов пользователь получит возможность указать дополнительный параметр: период репликации. Если опустить этот параметр, для данной связи сайтов будет приниматься глобальный стандартный период репликации (значение которого также можно настраивать). Когда служба KCC создает объект-подключение, его период репликации будет максимальным из периодов на пути объектов-связей сайтов от одного конца подключения до другого, имеющем минимальную цену.

В результате данного изменения можно будет управлять топологией и расписанием независимо друг от друга.

§         Управление топологией производится заданием цен для связей сайтов. В обычной ситуации можно задать цену = 1 для связей сайтов, являющихся частью опорной сети, и цену = 100 для связей сайтов, соответствующих медленным подключениям к офисам филиалов компании. Такая настройка цен обеспечивает выполнение репликации данных между филиалом и контроллером домена на сайте, являющемся частью опорной сети, и исключает проведение репликации непосредственно между филиалами. В отличие от бета-версии 3, эти значения цен не оказывают влияния на период репликации.

§         Управление периодом репликации производится заданием периода репликации для связей сайтов. В обычной ситуации можно задать продолжительность глобального стандартного периода репликации в 15 минут, а для связей сайтов, соответствующих медленным подключениям к филиалам, задать более длительный период. Более длительный период позволяет использовать данную связь более эффективно, однако увеличивает задержку репликации.

§         Управление доступностью связей осуществляется использованием расписания для связей сайтов. Для большинства связей можно использовать расписание по умолчанию (доступность равна 100%), однако для связей с некоторыми филиалами можно заблокировать трафик репликации в дневное время, на которое приходится пик нагрузки. При блокировке репликации приоритет отдается трафику другого типа, однако увеличивается задержка репликации.

§         Администратор сможет разрешать объектам-подключениям рассылать уведомление об изменениях. Внутри сайта уведомление об изменениях рассылается и будет рассылаться автоматически. Однако уведомление об изменениях с контроллера домена в одном сайте на контроллер домена в другом сайте будет поступать, если объект-подключение с разрешенным уведомлением об изменениях подключает эти два контроллера домена в правильном направлении. Служба KCC не создает подключения с разрешенным уведомлением об изменениях, тем не менее, это может сделать администратор.

Самые последние сведения об операционной системе Windows 2000 можно найти на нашем веб-узле по адресу: http://www.microsoft.com/ntserver, а также в форуме Windows NT Server Forum сети Microsoft (GO MSNTS).

Самые последние сведения о бета-версии 3 операционной системы Windows 2000 можно найти на нашем веб-узле по адресу http://ntbeta.microsoft.com

Прежде чем обратиться в службу технической поддержки

Обращаем ваше внимание на то, что корпорация Майкрософт не осуществляет поддержку технических описаний. Цель настоящего документа состоит в том, чтобы упростить первое знакомство с возможностями операционной системы Microsoft Windows 2000. По этой причине корпорация Майкрософт не может отвечать на вопросы, которые могли возникнуть по поводу приведенных здесь инструкций и описаний операций.

Как сообщить о возникших проблемах

Отчет о проблемах, возникших при работе с бета-версией 3 Microsoft Windows 2000, следует направлять по соответствующему адресу. Постарайтесь точно описать проблему, чтобы специалисты по тестированию и отладке смогли воспроизвести неполадку и устранить ее. С описанием некоторых уже известных проблем можно ознакомиться в заметках о выпуске, имеющихся на компакт-диске с дистрибутивом бета-версии 3 Windows 2000.