Si tengo PC con Windows que están unidas a un dominio y el controlador de dominio se desconecta, ¿qué tipo de comportamiento puedo esperar de los clientes (suponiendo que no haya un segundo DC?)
¿Podrán los usuarios iniciar sesión? O quizás una mejor pregunta: ¿cómo cambia la funcionalidad de inicio de sesión, si es que cambia?
Obviamente, los archivos compartidos en el DC no funcionarán, pero ¿qué pasa con los archivos compartidos entre clientes o entre ellos y un servidor miembro?
Una vez que el DC se ha recuperado, ¿es necesario que los clientes reinicien, cierren o inicien sesión? ¿Hay consecuencias a largo plazo por estar desconectado del DC?
En definitiva me interesaqué quejas debo esperar recibir de los usuarios si el DC está fuera de línea. No dude en mencionar cualquier otra información importante que no haya cubierto.
Respuesta1
Sucederán bastantes cosas sin un DC disponible:
Si el controlador de dominio es el único servidor DNS, la primera queja que recibirá es que Internet no funciona porque los clientes no tienen DNS.
Dado que los DC generalmente también ejecutan DHCP, las computadoras no podrán conectarse a la red en absoluto. Las computadoras que ya están conectadas seguirán funcionando por un tiempo.
Los archivos compartidos a los que ya están conectados funcionarán bien durante un tiempo (probablemente unas horas), hasta que expire su sesión. Cuando el servidor de archivos valide sus credenciales, no podrá comunicarse con el DC y no permitirá que nadie se conecte más.
Cualquier otra cosa que dependa de la autenticación del directorio activo (como sitios IIS o servidores VPN, etc.) no permitirá que las personas inicien sesión. Dependiendo de la configuración, es posible que las personas abandonen inmediatamente o que se mantengan las sesiones existentes y simplemente no se permitan nuevas.
Para las computadoras mismas, las personas que hayan usado la computadora recientemente aún podrán iniciar sesión. Las personas que no hayan usado la máquina antes, o que la hayan usado hace mucho tiempo, no tendrán contraseñas almacenadas en caché, por lo que no podrán iniciar sesión hasta que se restablezca la conexión al DC.
La desconexión del DC tiene consecuencias a largo plazo: eventualmente, nadie podrá iniciar sesión con una cuenta de dominio, porque todas las contraseñas almacenadas en caché habrán caducado. Si no puede volver a conectarse al DC y no tiene ninguna cuenta local habilitada, puede terminar en una situación en la que necesite usar utilidades como NTPasswd para habilitar la cuenta de administrador local.
La mejor práctica para los controladores de dominio es tener al menos dos. Tanto en una red de Windows depende del directorio activo que necesita redundancia. Para una organización más pequeña, puede compartir roles con servidores de archivos, aunque evite que un controlador de dominio comparta un servidor con cosas como sharepoint e exchange (hace que restaurarlos y actualizarlos sea muy complicado de hacer correctamente).
Con dos controladores de dominio, si uno muere, puede simplemente reinstalar el servidor de Windows, configurarlo como un nuevo controlador de dominio en un dominio existente y listo. Sin ningún tiempo de inactividad. Con un único controlador de dominio, la restauración puede ser complicada. Y mientras estás restaurando, tienes gente molesta porque no pueden hacer nada.
Respuesta2
Depende de la duración. Una vez que eliminas un servicio de la red, todo se vuelvefaltónpero puede que no se rompa. Si solo desea reiniciar un DC, entonces la autenticación/autorización no debería interrumpirse. Las personas iniciarán sesión con credenciales almacenadas en caché, los cuadros que ya se están comunicando seguirán haciéndolo con sus tickets Kerberos existentes, etc.
Para que las personas puedan iniciar sesión en sus PC con cuentas almacenadas en caché. No pueden cambiar contraseñas, etc.
Por un corto tiempo (horas pero no días), todos deberían poder acceder a archivos compartidos no en el DC también, pero eventualmente eso dejará de funcionar.
Las cosas deberían recuperarse automáticamente una vez que el DC vuelva a funcionar.
Sin embargo, aquí hay una gran advertencia. Si está utilizando su DC para DNS tan pronto como se desconecte, la mayoría de las cosas dejarán de funcionar porque los clientes no podrán encontrar sus servidores. Incluso las cosas que no dependen de AD dependen de la resolución de nombres.
Lo mejor que puede hacer es crear un segundo DC con DNS de respaldo para que los clientes puedan realizar la conmutación por error. La parte AD se realizará automáticamente, la parte DNS deberá configurarla en los clientes como un servidor DNS secundario, ya sea en el cliente o mediante DHCP, etc.