Búsqueda de sitios web

Agregar un controlador de dominio adicional a un dominio AD existente

Para crear una infraestructura de Active Directory tolerante a fallos y equilibrar la carga de las solicitudes de los clientes, necesita al menos dos controladores de dominio. También se recomienda crear controladores de dominio adicionales en sitios remotos. En este artículo, veremos cómo agregar un controlador de dominio adicional (secundario, tercero, etc.) a un dominio AD existente.

Preparación de Windows Server para la implementación del controlador de dominio

Implemente un nuevo host (físico o virtual) que ejecute Windows Server. Se recomienda utilizar las mismas versiones de Windows Server en todos los controladores de dominio de Active Directory. Este es Windows Server 2019 en mi ejemplo.

Comience con la configuración inicial del nuevo host de Windows Server.

Utilice el Administrador del servidor o un comando de PowerShell para configurar el nombre del controlador de dominio que corresponde a su infraestructura (por ejemplo, mun-dc02):

Rename-Computer -NewName mun-dc02

Establezca una dirección IP estática para el servidor y proporcione la configuración de DNS. Como servidor DNS preferido, escriba

127.0.0.1

(para que sus consultas DNS se ejecuten más rápido). Luego ingrese la dirección IP del controlador de dominio más cercano en el mismo sitio AD que el DNS alternativo. Puede usar PowerShell para configurar la configuración de IP y DNS en Windows:

Get-NetAdapter
New-NetIPAddress -IPAddress 192.168.13.14 -DefaultGateway 192.168.13.1 -PrefixLength 24 -InterfaceIndex 6
Set-DNSClientServerAddress -InterfaceIndex 6 -ServerAddresses ("127.0.0.1","192.168.10.14")

Configure la zona horaria y asegúrese de que se haya configurado la hora correcta en el servidor.

Instale las últimas actualizaciones de seguridad (puede instalar actualizaciones desde un servidor WSUS local o Windows Update). Otra forma de instalar actualizaciones de Windows es mediante el módulo PSWindowsUpdate PowerShell.

Luego habilite el acceso a Escritorio remoto (RDP), una su computadora con Windows Server a un dominio de Active Directory y reinicie Windows:

Add-Computer -DomainName a-d.loc
Restart-Computer -force

Si está implementando un controlador de dominio para un nuevo sitio remoto, abra la consola de Sitios y servicios de Active Directory (

dssite.msc

), cree un nuevo sitio y vincule a él las subredes del cliente IP que su DC atenderá.

Instale la función de Servicios de dominio de Active Directory (ADDS) en Windows Server

Puede instalar la función de Servicios de dominio de Active Directory (ADDS) en su servidor Windows una vez que lo haya preparado. Abra el Administrador del servidor, vaya a Administrar -> Agregar funciones y características -> Funciones del servidor -> y marque Servicios de dominio de Active Directory.

También puedes instalar el rol ADDS con PowerShell:

Install-WindowsFeature AD-Domain-Services -IncludeManagementTools -Verbose

Asegúrese de que se haya instalado la función de Servicios de dominio de AD:

Get-WindowsFeature -Name *AD-Domain*

Agregar un nuevo controlador de dominio a un dominio de Active Directory existente

Después de instalar la función ADDS, puede promover su host de Windows Server de un servidor miembro a un controlador de dominio.

En la consola del Administrador del servidor, haga clic en Promover este servidor a controlador de dominio.

Luego seleccione Agregar un controlador de dominio a un dominio existente.

Seleccione que desea instalar un servidor DNS en este servidor y habilite la función Catálogo global.

Luego configure la contraseña para el Modo de restauración de servicios de directorio (DRSM).

En modo DSRM, puede restaurar un controlador de dominio AD a partir de una copia de seguridad.

Habilite la opción si planea implementar un controlador de dominio de solo lectura. En este caso, no usaremos esta opción porque necesitamos implementar un DC normal (lectura/escritura, RW).

Seleccione el sitio AD donde le gustaría colocar el nuevo DC (en nuestro ejemplo, hemos seleccionado el sitio MUN que acabamos de crear).

Omita el paso de delegación del servidor DNS.

Luego puede seleccionar el controlador de dominio más cercano para usar para replicar la base de datos de AD en su nuevo DC. En caso de que tenga todos los DC cerca y conectados mediante enlaces rápidos, seleccione Cualquier controlador de dominio. Tenga en cuenta que la replicación inicial del directorio y SYSVOL al nuevo DC puede causar una carga excesiva en los enlaces WAN.

Al implementar un nuevo controlador de dominio en un sitio remoto con una conexión deficiente o inestable, puede utilizar el modo IFM (instalar desde medios). Esto requiere que tome una instantánea de la partición del dominio y SYSVOL en un DC existente, la copie en un medio físico y la pase a la sucursal para que se implemente el nuevo DC.

Luego proporcione rutas a la base de datos ADDS (ntds.dit) y a los directorios sysvol. Las rutas predeterminadas funcionarán bien en la mayoría de los casos:

  • C:\Windows\NTDS
  • C:\Windows\SYSVOL

Aquí es cuando debería comenzar el procedimiento de verificación. El siguiente mensaje debería aparecer si ha cumplido todos los requisitos previos:

All prerequisite checks passed successfully.

Todo lo que queda por hacer ahora es hacer clic en Instalar y promocionar su servidor a DC.

También puede utilizar PowerShell para implementar un nuevo controlador de dominio. Así, todos los ajustes descritos anteriormente se pueden configurar con un solo comando:

Import-Module ADDSDeployment
Install-ADDSDomainController -NoGlobalCatalog:$false -CreateDnsDelegation:$false -CriticalReplicationOnly:$false -DatabasePath "C:\Windows\NTDS" -DomainName "a-d.loc" -InstallDns:$true -LogPath "C:\Windows\NTDS" -NoRebootOnCompletion:$false -SiteName "MUN" -SysvolPath "C:\Windows\SYSVOL" -Force:$true

Cuando se complete la instalación, el servidor se reiniciará automáticamente.

Cómo comprobar el estado del nuevo controlador de dominio

Después de la instalación de un nuevo DC, deberá verificar su estado y la exactitud de la replicación en Active Directory.

Primero, verifique que el nuevo controlador de dominio aparezca en el contenedor Controladores de dominio en la consola ADUC.

También puede utilizar un módulo AD PowerShell para obtener información sobre su nuevo DC:

Get-ADDomainController -Identity MUN-DC02

Así es como puede verificar el estado de la replicación entre los controladores de dominio:

repadmin /showrepl *
repadmin /replsummary

Y obtenga detalles sobre los socios de replicación para un DC en particular:

repadmin /replsummary mun-dc02

En mi caso, el valor delta más grande era desconocido. Generalmente esto se debe a que la replicación aún no se ha completado. Puede forzar la replicación mediante la consola de Sitios y servicios de Active Directory. Para hacer esto, expanda su sitio, seleccione su DC, expanda Configuración de NTDS, luego haga clic en el enlace y seleccione Replicar todo.

Además, puedes iniciar una replicación completa con el comando:

repadmin /syncall

Compruebe que no haya errores de replicación.

Puede utilizar el script en el enlace para verificar el estado de los controladores de dominio y la replicación de AD.

Su nuevo DC ahora está listo para atender clientes y actuar como servidor de inicio de sesión para computadoras desde subredes/sitios IP conectados a él.

Finalmente, les dejo algunos enlaces más a artículos que los administradores de AD encontrarán útiles:

  • Cómo mover/aprovechar roles FSMO

  • Cómo degradar (eliminar) un controlador de dominio

  • Administrar GPO en Active Directory

  • Cambiar el nombre del dominio de Active Directory

  • Restablecer la contraseña del administrador del dominio AD

Artículos relacionados