![如何使域控制器比同一网络上的另一个域控制器更多地用于登录?](https://linux22.com/image/599410/%E5%A6%82%E4%BD%95%E4%BD%BF%E5%9F%9F%E6%8E%A7%E5%88%B6%E5%99%A8%E6%AF%94%E5%90%8C%E4%B8%80%E7%BD%91%E7%BB%9C%E4%B8%8A%E7%9A%84%E5%8F%A6%E4%B8%80%E4%B8%AA%E5%9F%9F%E6%8E%A7%E5%88%B6%E5%99%A8%E6%9B%B4%E5%A4%9A%E5%9C%B0%E7%94%A8%E4%BA%8E%E7%99%BB%E5%BD%95%EF%BC%9F.png)
我目前正在一个环境中工作,其中有 2 个 DC 正在运行,另一个 DC 是备份,但当前也在运行,因此,如果其他 2 个 DC 出现故障,备份 DC 具有成功运行所需的一切。
我目前遇到的问题(其实不是太大的问题,只是客户希望它以某种方式运行)是,当某些用户登录时,他们会从灾难恢复 DC 获取组策略。发生这种情况的原因是它们都在同一个网络上,具有相同的子网掩码等。
我的问题是,有没有一种方法,当用户登录时,计算机更倾向于转到 2 个主 DC 而不是灾难恢复 DC?
这是否与路由指标有关,或者服务器的某个部分是否可以打开并使其成为更“主导”的服务器。
服务器是作为 VM 运行的 Windows 2k8 服务器。如需更多信息,我可以提供。
谢谢!
答案1
您的客户做错了。根本没有所谓的“灾难恢复”DC。就所有意图和目的而言,所有 DC 都是平等的。您让客户缺乏理解来驱动这种情况,而您本应该教育他们。不去讨论 FSMO 角色持有者、全局目录、AD 身份验证和授权、站点覆盖、复制等的变化,以及 AD 功能和操作的所有其他细节,我只想说,您不需要“灾难恢复”DC;“灾难恢复 DC”这个术语对于了解 AD 工作原理的人来说是诅咒;您应该立即停止并了解 Active Directory 的细节,然后再继续进行任何修改。
答案2
如果您确实将第二个 DC 用作“灾难恢复”DC,则应将其移动到 AD 站点和服务中的第二个站点。这将导致客户端向“最近”的 DC 进行身份验证。我通常设置两个 DC 用于灾难恢复,但我允许客户端同时使用它们。
如果您从 DR 服务器提取不同的 GPO,则您的设置存在严重问题。GPO 应在更改后几分钟内在所有服务器上同步。
答案3
您可以更改 _msdcs.yourdomain.com 中条目的权重,使灾难恢复 DC 的优先级降低。默认情况下,它们将具有相同的权重,客户端将在它们之间进行循环。
但是,我不建议手动摆弄域控制器 DNS 条目。将 DR DC 移动到 ADSS 中的单独站点会更干净。