DSM 7.0 Wie eine Domain von Windows Server 2016 zu Synology NAS migrieren?

[syn2322]

Hey,
also wir das Problem, dass wir einen existierenden Windows Server (2016) mit einem Synology NAS (FS2500) ersetzen. Wir das System soweit aufgesetzt, nur ist uns nun aufgefallen, dass es nicht möglich zu sein scheint die Domain auf das Synology NAS zu migrieren. Es gibt seit DSM 7 nur die Möglichkeit, das über Synology Direcory Server Windows Server 2008 zu machen. Blöderweise habe ich mich bei dem Kauf vertan und angenommen, dass dies für alle Windows Server Versionen gilt...

Habe mich von dem Artikel etwas irreführen lassen: https://kb.synology.com/en-us/DSM/h...rectoryserver_setup_wizard?version=7#section5

Ich weiß eine Möglichkeit wäre Windows Server als VM auf dem NAS zu installieren, wir würden das aufgrund der Leistungseinbußen aber gerne vermeiden. Hat jemand einen Vorschlag wie man dies lösen könnte? (Ohne den alten Server weiterhin laufen zu lassen, der ist wirklich am Ende).

Ich danke euch!

 

[maxblank]

Servus, schau dir das mal an:
https://gist.github.com/manuelfischer/7fb9f478f17dd5adf44cfd9578aaee67?utm_source=chatgpt.com

Ganz ehrlich, ich würde das in einer produktiven Umgebung nicht versuchen. Was soll auf der FS sonst noch laufen? Wie viele Mitglieder hat die Domäne?

Der einzig gangbare Weg ist in meinen Augen eine VM. Wenn die FS das nicht packt, war es das falsche Gerät.

Grüße
maxblank

 

[syn2322]

Hey,
auf dem NAS läuft nur das dazugehörige Netzwerklaufwerk auf das wir alle zugreifen. Sind ein kleines Büro mit 6 Mitarbeitern...deswegen gibt es eigentlich auch keine Notwendigkeit für einen "echten" Server, ein NAS reicht völlig aus. Die Benutzer über die Domain sind aber blöderweise auf allen 10 PCs/Laptops so angemeldet.

 

[Adama]

Du könntest einen DC auf Basis von Samba aufsetzen. Mit Debian kannst du Samba 4.22.3 nutzen, das kann Forest und Domain Level 2016. Dann joinst du das NAS als Member Server.

Das läuft sogar auf einem simplen Raspberry. Meine drei DCs auf der Basis sind in meiner privaten Umgebung nicht wirklich ausgelastet.

 

[syn2322]

Hey, danke für den Hinweis. Das Ziel wäre aber eigentlich die ganzen Gruppen/Nutzer der bestehenden AD zu übernehmen. Die ganzen PCs im Büro sind nämlich alle über die jeweiligen Nutzer angemeldet. Wenn ich die bestehende AD nun entferne bzw. von die PCs von der Domain entferne und einer neuen hinzufüge, dann habe ich das Problem dass ich die ganzen Nutzer auf den PCs verliere...

 

[Adama]

Das geht ja in dem Fall, du kannst einen Samba-DC in die Domäne joinen. Dann musst du das SysVol kopieren und die FSMO auf den neuen DC kopieren. Danach kann man den alten DC demoten. So als Kurzversion...

Es empfiehlt sich, außerdem immer mehr als einen DC zu haben.

 

[syn2322]

Ich danke dir!

 

[Yippie]

Du könntest einen DC auf Basis von Samba aufsetzen. Mit Debian kannst du Samba 4.22.3 nutzen, das kann Forest und Domain Level 2016. Dann joinst du das NAS als Member Server.

Und wie machst du das im Falle des sysvol Verzeichnisses? Wird das sysvol permanent auf deinen drei DCs synchron gehalten?

 

[Adama]

@Yippie Das ist ist tatsächlich zur Zeit nicht automatisch im Sinne eines Windows-Servers (DFS-R) möglich.

Das kann man aber über mehrere Wege lösen: https://wiki.samba.org/index.php/SysVol_replication_(DFS-R)

Ich hab mich für den ersten entschieden: https://wiki.samba.org/index.php/Rsync_based_SysVol_replication_workaround

Der ist am einfachsten aufzusetzen. Man muss nur drauf achten, dass man die Policies immer auf demselben Server bearbeitet. Meine Quelle ist der DC mit den FSMO. Den kann man auch als Standard im Gruppenrichtlinieneditor einstellen.

 

[plang.pl]

Windows-Profile kann man einfach verschieben / kopieren auf einen anderen User mit dem Tool: https://www.forensit.com/
Dabei kann man auch gleich der neuen Domäne beitreten.

 

[NSFH]

Habe diese Fragestellung schon oft bei verschiedenen Unternehmen gehabt.
DSM, LDAP, AD, was macht Sinn.
Also ganz klar, wenn deine Anwender nicht PC Hopper sind, also immer irgendeinen beliebigen PC zur Anmeldung nutzen und es weniger als 10 Mitarbeiter sind verzichte auf den Overhead eines ADs und verfahre nach der Devise Keep it simple.
Du kannst statt dem AD besser LDAP verwenden. Ist im Grunde genommen ein abgespecktes AD bei gleicher Grundfunktionalität.
Die Einrichtung ist viel unkomplizierter, die Abhängigkeiten vom DNS bestehen auch nicht und die Home-Laufwerke funktionieren ebenfalls.
Die Netzwerlaufwerke könntest du per Script mappen, aber noch einfacher ist es die LDAP Freigaben unter der Netzwerkumgebung zu öffnen und dann die einzelnen, benötigten freigegebenen Ordner per Drag'n drop bei der ersten Anmeldung als Verknüpfung auf den Desktop zu legen (geht immer schneller als auf die langsame Nw-Umgebung zu warten).
Bei LDAP können sich die Nutzer auch an beliebigen PCs anmelden, lediglich der so gut wie nie benötigte enorme Funktionsumfang des AD und die Abhängigkeit des DNS fällt weg, genauso wie die erforderliche Nutzung von RSAT. LDAP nutzt den in DSM eingestellten DNS. Den DNS Dienst der für das AD benötigt wird kannst du deinstallieren.
Das war schon die ganze Installation in der Syno.
Für die PCs: Einrichtung des Windows-Clients (Installation eines LDAP-Client-Dienstes wie OpenLDAP) und Anpassung der lokalen Gruppenrichtlinien (Aktivierung der LDAP-Signierung und Kanalbindung für erhöhte Sicherheit). Liest sich kompliziert ist aber easy, ähnlich dem AD.
Alternativ die Nutzer unter DSM anlegen und die Netzlaufwerke scripten. Hat den Nachteil, dass Windows Pw und NAS Pw der Nutzer immer gleich sein muss und eine beliebige Anmeldung an jedem PC entfällt auch. Das muss dann immer lokal am PC durch den Admin eingeleitet werden.
All in all, LDAP ist bei so wenigen Nutzern die beste Lösung!
Und deine 6 Anwender hast du in 5 Minuten im LDAP angelegt.
Danach richtest du die Freigaben ein.
Ab dem Moment können sich die Anwender mit dem FQDN an der neuen LDAP Domäne testweise anmelden und sehen ihre noch leeren Freigaben.
Nach Feierabend die Daten von alt auf neu kopieren.
Jetzt können sich alle mit den neuen FQDN Credentials anmelden und haben sofort wieder ihre Freigaben mit Daten.
In dem Moment kannst du das alte System abschalten.
Ich würde dann nur noch die alten Anmeldungen am AD aus den PCs löschen.

P.S.: Microsoft AD ist übrigens nichts anderes als ein auf LDAP basierendes, aufgeblähtes System. Warum hier immer vom AD gesprochen wird erschliesst sich mir nicht. Das macht nur Sinn, wenn es Memberserver gibt und man sich in eine bestehende Domäne einklicken muss. Für den Kleinbetrieb mit 10-20 Mitarbeitern ist LDAP voll ausreichend und hält den administrativen Aufwand wirklich klein!

Wenn du es besonders gut machen willst mit 2FA oder sogar passwortlose Anmeldung per Smartphone lohnt sich C2 Identity. Das ist für bis zu 10 User kostenfrei.
Habe das schon in mehreren Kleinbetrieben / Büros am laufen und keiner will es mehr missen. Hohe Sicherheit, einfachste Anmeldung, geile Fernwartung der PCs und das alles unter LDAP. Ist einen Blick wert, und wenn man sowieso gerade das Produktivsystem wechselt, dann aber richtig und nachhaltig!

 

[NSFH]

P.S.: Wenn du C2 Identity nutzt benötigst du kein OpenLDAP Client auf dem PC. Dieser wird durch den Identity Agent ersetzt, der auf jedem PC installiert werden muss.