Поднятие PDC на Samba 3 с деревом доменов (возможно ли это вообще?)

[enderold]

Есть сетка чуть больше 150 машин под WinXP почти все. Сеть одноранговая настроенна с рабочими группами всего 7 груп.
Встал вопрос безопастности данных и централизованного контроля в сети за пользователями.
Используется только "лицензия" поэтому мелкомягкие это дорого (очень). Принял решение ковырять Linux. Перепробовал Мандриву Сусю и Ubuntu.
Пока остановился на последней. Самбу я завёл и машина даже откликаетяс как PDC и регестрирует пользователей и прописывает машины в домене это плюс, но до этого я настраивал несколько раз домены под форточками и там есть такая вешщь ка дерево доменов, как сдесь реализовать такое и создать в замен 7 груп 7 доменов с дилигированием и перекрёстными правами? Пока за 2 недели поисков ненашёл ни книг ни человека который бы такое реально делал

Знающие люди помогите как это провернуть и желательно с минимальными затратами на железо(желательно 1 сервак,ну в крайнем случаи 2 PDC и BDC но неболее мне просто их ставить негде )

С уважением и заранее благодарен откликнувшимся

[kaa]

Вам сюда. Сам не пробовал. Но по ссылке есть что-то про domain trust.
http://us4.samba.org/samba/docs/man/Samba-HOWTO-Collection/
Если получится, отпишитесь пожалуйста, самому интереснос стало.

[VPF]

Есть сетка чуть больше 150 машин под WinXP почти все. Сеть одноранговая настроенна с рабочими группами всего 7 груп.
Встал вопрос безопастности данных и централизованного контроля в сети за пользователями.
Используется только "лицензия" поэтому мелкомягкие это дорого (очень). Принял решение ковырять Linux. Перепробовал Мандриву Сусю и Ubuntu.
Пока остановился на последней. Самбу я завёл и машина даже откликаетяс как PDC и регестрирует пользователей и прописывает машины в домене это плюс, но до этого я настраивал несколько раз домены под форточками и там есть такая вешщь ка дерево доменов, как сдесь реализовать такое и создать в замен 7 груп 7 доменов с дилигированием и перекрёстными правами? Пока за 2 недели поисков ненашёл ни книг ни человека который бы такое реально делал

Знающие люди помогите как это провернуть и желательно с минимальными затратами на железо(желательно 1 сервак,ну в крайнем случаи 2 PDC и BDC но неболее мне просто их ставить негде )

На Linux + Samba можно организовать только поддержку одной рабочей группы.
Никакого подобия дерева доменов не получится.

Альтернативное решение предлагает Novell, но оно тоже стоит приличных денег.

Вопрос в том, а зачем нужны 7 рабочих групп (доменов)?
Вы привыкли расшаривать ресурсы на рабочих ПК?
От этого надо отказаться и запустить общедоступные и личные ресурсы на сервере Linux + Samba + FTP.

Если хотите готовый специализированный дистрибутив, то ознакомьтесь с решениями от ClarkConnect (Канадский дистрибутив) и ALT (Российский дистрибутив). Оба дистрибутива обладают схожим функционалом и по стоимости очень экономны.

[kaa]

я полагаю, что один из плюсов подобного дерева - это присутствие в корне каждого поддомена только компов этого поддомена, а не всех компов домена вобще.
Я сейчас обозреваю домен с 200 компами, постепенно число дорастет до 500-600. Тогда, наверное, бедет страшновато заходить в вендовое сетевое окружение.

[VPF]

я полагаю, что один из плюсов подобного дерева - это присутствие в корне каждого поддомена только компов этого поддомена, а не всех компов домена вобще.
Я сейчас обозреваю домен с 200 компами, постепенно число дорастет до 500-600. Тогда, наверное, бедет страшновато заходить в вендовое сетевое окружение.

У меня нет опыта администрирования больших сетей, но я предполагаю, что лучше физически разделять большие группы. На каждую группу устанавливать свой сервер на Linux. В группе - 50-100 машин (оптимально).
А все сервера заводить уже на единый шлюз с выходом во внешний мир.

Одним словом, при развитии сети необходимо планировать определённое кол-во серверов.

[enderold]

огромное спасибо за информацию
недумал что так быстро народ отреагирует
в принципе уважаемый VPF прав стоит планировать развитие сети сразу, но есть нюанс я пришол в эту сеть месяц назат.
До этого админил только Виндовые домены там всё проще както да же не всмысле интерфейса а в смысле там всё "нагляднее"
а тут мало того что инфа вся на аглицком это пол беды так я ещё и немогу найти живого человека который похожее делал это уже совсем плохо.

Вообщем вывод следующий понятия леса домен в самбе непредусмотрено как я понял
можно только для каждой группы поставить сервак а серваки подружить какбы отдельно?

Ладно будем ковырять дальше. Ещё раз большое спасибо.

Есть ещё Samba 4 хочу сегодня попробывать её поставить посмотреть вроди как она почти полная копия AD от мелкомягких.

[VPF]

Вообщем вывод следующий понятия леса домен в самбе непредусмотрено как я понял
можно только для каждой группы поставить сервак а серваки подружить какбы отдельно?

Вопрос в том, что считать дружбой?
Если нужен единый список пользователей, то существует 2 варианта:
1) на всех серверах зарегистрировать полный список всех пользователей;
2) на одном из серверов запустить LDAP, а Samba настраивать на взаимодействие с ним.

Но сам такую схему на практике не применял.
Так что придётся экспериментировать вам самостоятельно.

[NiKoLa_N]

Вообщем вывод следующий понятия леса домен в самбе непредусмотрено как я понял
можно только для каждой группы поставить сервак а серваки подружить какбы отдельно?

http://samba.org/samba/docs/man/Samba-HOWT...mainTrusts.html

Samba-3 supports NT4-style domain trust relationships. This is a feature that many sites will want to use if they migrate to Samba-3 from an NT4-style domain and do not want to adopt Active Directory or an LDAP-based authentication backend. This chapter explains some background information regarding trust relationships and how to create them. It is now possible for Samba-3 to trust NT4 (and vice versa), as well as to create Samba-to-Samba trusts.

2) на одном из серверов запустить LDAP, а Samba настраивать на взаимодействие с ним.

Это получится централизованная аутентификация. У меня закомые вроде так пробовали. Поднимали LDAP, для каждого домена делали отдельную ветку в базе и на каждом DC указывали самбе откуда брать список пользователей.
Геморно достаточно, имхо...


Проще, опять же, по-моему, сделать 1 домен, а компы назвать так, чтоб они при просмотре сет. окружения строились по алфавиту по отделам.

[kirkir]

VPF
eDirectory от Novell насколько я знаю можно устанавливать бесплатно, а вот поддержка стоит что-то около 1$ за пользователя.

[VPF]

VPF
eDirectory от Novell насколько я знаю можно устанавливать бесплатно, а вот поддержка стоит что-то около 1$ за пользователя.

Loky в своей теме разъяснял, что отдельно eDirectory не является аналогом домена Win2003.
Полноценным решением является OES, который стоит 110 $ для каждого клиента.
Для 150 клиентов получается приличная сумма (дороже чем Win2003).

[enderold]

VPF
eDirectory от Novell насколько я знаю можно устанавливать бесплатно, а вот поддержка стоит что-то около 1$ за пользователя.

да Win2003 и 150 машин в домене по моим расчётом будут стоить около 3500 вечно зелёных
а Novell это что полностью сервер должен быть под Novell или как?

[VPF]

да Win2003 и 150 машин в домене по моим расчётом будут стоить около 3500 вечно зелёных
а Novell это что полностью сервер должен быть под Novell или как?

Для Win2003 это будет стоить 20 т.р. (лицензия на сервер) + 150 х 1 т.р. (лицензия на каждого сетевого клиента) = примерно 170 т.р.

По OES лучше задайте вопрос более знающему специалисту в этой области. Его тема здесь

[mczim]

может вас VLAN на коммутаторе выручит?

[enderold]

поясните пожалуиста подробнее?
вы предлогаете создать несколько виртуальных сетей?
и как это может меня выручить ?
или дайте ссылочку где почитать?

с уважением.

[mczim]

я так понимаю что главной задачей является то что нужно большое количество пользовательских компов разделить на подсети/группы, ну так вот VLAN'ом можно их рассодить в разные подсети причем так что они никогда друг друга не увидят! А для общего доступа к серверам помогут маршруты все в том же комутаторе!

[NiKoLa_N]

Знающие люди помогите как это провернуть и желательно с минимальными затратами на железо(желательно 1 сервак,ну в крайнем случаи 2 PDC и BDC но неболее мне просто их ставить негде )

С уважением и заранее благодарен откликнувшимся

На одном компе без виртуалки и под форточками такого не реализуешь.
На нескольких же можно все-таки попробовать samba+ldap.

[HAW]

виртуальные машины отменили?

[nakshi]

Здравствуйте.

У нас возникла абсолютно такая же проблема. Только уже есть в наличии вин-домены.
Возможно ли все таки как то перевести это на лин?

[Indarien]

Сеть большая? Опишите подробнее ее устройство, какие сервисы используются.

[nakshi]

Собственно есть внутренний (без выхода в Инет) домен main.upk
В нем есть три поддомена dom1.main.upk, dom2.main.upk, dom3.main.upk
Все это дело организовано на вин2003, т.е. на AD.
Можно ли всю эту канитель организовать на лине?
Например, пользователь из одного домена должен иметь доступ к некой папке на файловом сервере другого домена.

[Ленивая Бестолочь]

теоретически трастинг работать будет (на практике - не скажу), но, на всякий случай сразу предупрежу, что вытащить пароли из w2k3 вам скорее всего не удастся. то есть придётся так или иначе заводить юзеров заново.

[nakshi]

Я пока не представляю себе как вся эта схема будет выглядеть на практике. Ведь samba3 не дает возможности создавать иерархию доменов, т.е. будут домены NT4.
Или я в чем то ошибаюсь?

[Ленивая Бестолочь]

да красивую иерархию сделать не удастся. удастся сделать три домена с трастингом.
http://www.samba.org/samba/docs/man/Samba-....html#id2620508

[alex_suse]

Сначала надо ответить на вопрос, а зачем вообще необходимо разделение на поддомены. Пока не увидел ни одного внятного обяснения, только потому-что так было?

[nakshi]

Чтобы сохранить для вышестоящей конторы свою иерархию.
Или все равно с их АД придется полностью рвать?
Я то прекрасно понимаю, что можно и без поддоменов обойтись, но сверху (пусть пока и неназойливо) сидит поклонник Билли...

Что посоветуете, ребят?