AD Sites and Services ile Site, Subnet ve Site Link Yapılandırması

Merkez ve şube ofisi için AD site'ları oluşturuyor, subnet'leri site'lara bağlıyor, site link maliyeti ve replikasyon aralığını ayarlıyor, istemcinin doğru DC'yi bulduğunu test ediyoruz.

Önceki yazıda FSMO rollerini görüntülemiş, taşımış ve seize etmeyi öğrenmiştik. Şu ana kadar firma.local tek bir lokasyonda çalışıyordu. Peki şirket yeni bir şube açtığında ne olacak? Şubedeki bir bilgisayarın oturum açmak için WAN hattı üzerinden merkezdeki DC'ye gitmesi hem yavaş hem de gereksiz trafik demektir. AD Sites and Services, Active Directory'ye ağınızın fiziksel yapısını anlatmanızı sağlar. Bu yazıda merkez ve şube için site'lar, subnet'ler ve site link oluşturacağız.

Site, Subnet ve Site Link Nedir?

• Site: Yüksek hızlı bağlantıyla birbirine bağlı ağların mantıksal grubudur. Genellikle bir fiziksel lokasyonu temsil eder.
• Subnet: Bir IP aralığıdır ve tam olarak bir site'a bağlanır. İstemciler hangi site'da olduklarını IP adreslerine göre bu eşleşmeden öğrenir.
• Site Link: İki veya daha fazla site arasındaki WAN bağlantısını temsil eder. Replikasyonun maliyetini, sıklığını ve zamanlamasını belirler.

Site yapısı iki şeyi doğrudan etkiler: istemcilerin hangi DC'de oturum açacağı (DC locator) ve DC'ler arasındaki replikasyon trafiği. Aynı site içindeki DC'ler değişiklikleri yaklaşık 15 saniye içinde birbirine bildirir; site'lar arası replikasyon ise site link'te tanımlanan aralıkla ve sıkıştırılarak yapılır.

Laboratuvar Senaryosu

• Merkez: 192.168.1.0/24, DC01 ve DC02 burada
• Sube: 192.168.2.0/24, ilerleyen yazılarda buraya SUBE-RODC01 adında bir RODC kuracağız

Mevcut DC'leri ve site'ları görmek için:

Get-ADReplicationSite -Filter * | Select-Object Name
Get-ADDomainController -Filter * | Select-Object Name, Site

Domain kurulduğunda tüm DC'ler Default-First-Site-Name adlı varsayılan site'a yerleşir.

Varsayılan Site'ı Yeniden Adlandırmak

Yeni bir site oluşturmak yerine varsayılan site'a anlamlı bir isim vermek en temiz yöntemdir. DC'ler ve ayarlar olduğu gibi kalır:

Rename-ADObject -Identity "CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=firma,DC=local" -NewName "Merkez"

Aynı işlemi dssite.msc konsolunda site'a sağ tıklayıp Rename diyerek de yapabilirsiniz.

Şube Site'ını ve Subnet'leri Oluşturmak

Şube için yeni bir site oluşturun:

New-ADReplicationSite -Name "Sube" -Description "Sube ofisi"

Şimdi subnet'leri tanımlayıp site'lara bağlayın. Bu adım çoğu zaman unutulur ve site yapısının tamamını işlevsiz bırakır:

New-ADReplicationSubnet -Name "192.168.1.0/24" -Site "Merkez" -Location "Istanbul/Merkez"
New-ADReplicationSubnet -Name "192.168.2.0/24" -Site "Sube" -Location "Ankara/Sube"

Get-ADReplicationSubnet -Filter * | Select-Object Name, Site, Location

VPN kullanıcıları veya sunucu VLAN'ları gibi ağınızdaki tüm IP aralıklarını bir site'a bağladığınızdan emin olun. Hiçbir subnet'e uymayan bir istemci, rastgele bir DC'ye yönlenebilir.

Site Link Oluşturmak

Domain kurulumunda DEFAULTIPSITELINK adında bir site link otomatik oluşturulur ve ilk site buna eklenir. dssite.msc ile oluşturduğunuz siteler için sihirbaz bir site link seçmenizi ister; New-ADReplicationSite ile oluşturulan siteler ise hiçbir site link'e eklenmez. Bu yüzden şube için kendi site link'inizi oluşturmanız şarttır:

New-ADReplicationSiteLink -Name "Merkez-Sube" -SitesIncluded "Merkez", "Sube" `
    -Cost 100 -ReplicationFrequencyInMinutes 30 -InterSiteTransportProtocol IP

• Cost: Birden fazla yol olduğunda KCC'nin en düşük maliyetli yolu seçmesini sağlar. Hızlı hatlara düşük, yedek hatlara yüksek değer verin.
• ReplicationFrequencyInMinutes: Site'lar arası replikasyon sıklığıdır. Varsayılan 180 dakikadır; en düşük değer 15 dakikadır.

Sube site'ını PowerShell ile oluşturduğumuz için DEFAULTIPSITELINK'e eklenmedi; tek bağlantısı yeni oluşturduğumuz Merkez-Sube link'idir. Site'ı GUI'den oluşturup DEFAULTIPSITELINK'e eklediyseniz şu komutla çıkarabilirsiniz:

Set-ADReplicationSiteLink -Identity "DEFAULTIPSITELINK" -SitesIncluded @{Remove = "Sube"}
Get-ADReplicationSiteLink -Filter * | Select-Object Name, Cost, ReplicationFrequencyInMinutes, SitesIncluded

Değişiklik Bildirimini Açmak

Site'lar arası replikasyon varsayılan olarak zamanlamaya bağlıdır; şubede yapılan bir parola sıfırlaması merkeze 30 dakika sonra ulaşabilir. WAN hattınız yeterince hızlıysa site link'te change notification özelliğini açarak site içi gibi hızlı replikasyon elde edebilirsiniz:

Set-ADReplicationSiteLink -Identity "Merkez-Sube" -Replace @{options = 1}

Bu ayar sıkıştırmayı kapatmaz ama trafiği artırır. Düşük bant genişliğine sahip hatlarda kullanmayın.

DC'yi Bir Site'a Taşımak

Bir DC'yi yanlış site'a kurduysanız veya sunucuyu fiziksel olarak başka lokasyona taşıdıysanız, sunucu nesnesini de taşımanız gerekir:

Move-ADDirectoryServer -Identity "DC02" -Site "Merkez"

Yeni bir DC kurarken IP adresi şube subnet'ine düşüyorsa, kurulum sihirbazı DC'yi otomatik olarak doğru site'a yerleştirir. İsterseniz Install-ADDSDomainController komutunda -SiteName "Sube" ile site'ı açıkça da belirtebilirsiniz.

Replikasyon Topolojisini Kontrol Etmek

Site ve site link'ler tanımlandığında KCC (Knowledge Consistency Checker) replikasyon bağlantılarını her 15 dakikada bir otomatik olarak yeniden hesaplar. Beklemeden yeniden hesaplatmak için:

repadmin /kcc *
repadmin /showrepl * /csv > C:\Temp\replikasyon.csv

Oluşan bağlantı nesnelerini ve site'lar arası topolojiden sorumlu DC'yi (ISTG) görmek için:

Get-ADReplicationConnection -Filter * | Select-Object Name, ReplicateFromDirectoryServer, ReplicateToDirectoryServer
Get-ADReplicationSite -Identity "Merkez" -Properties InterSiteTopologyGenerator | Select-Object Name, InterSiteTopologyGenerator

Bağlantı nesnelerini elle oluşturmaktan kaçının. KCC'nin oluşturduğu bağlantılar arıza durumunda otomatik olarak yeniden düzenlenir, elle oluşturulanlar ise düzenlenmez.

İstemci Tarafında Test

PC01 veya şubedeki bir istemcide, bilgisayarın hangi site'da olduğunu ve hangi DC'yi kullandığını kontrol edin:

nltest /dsgetsite
nltest /dsgetdc:firma.local
echo %LOGONSERVER%

nltest /dsgetdc çıktısındaki Our Site Name istemcinin site'ını, Dc Site Name ise bulunan DC'nin site'ını gösterir. Şubede henüz DC yokken istemcinin merkezdeki bir DC'yi bulması normaldir. Bu duruma site coverage denir ve en düşük maliyetli site link üzerinden sağlanır.

Site Link Bridge ve Site Bazlı GPO'lar

Varsayılan olarak Bridge all site links seçeneği açıktır. Bu, site link'lerin geçişli (transitive) olduğu anlamına gelir: A-B ve B-C bağlantıları varsa KCC gerektiğinde A ile C arasında da replikasyon kurabilir. Ağınız tam bağlantılı (full mesh) değilse ve bazı site'lar birbirine fiziksel olarak ulaşamıyorsa, bu seçeneği Inter-Site Transports > IP özelliklerinden kapatıp ihtiyaç duyduğunuz yerlerde elle site link bridge oluşturabilirsiniz. İki veya üç site'lı ortamlarda varsayılan ayara dokunmanıza gerek yoktur.

Site'lar yalnızca replikasyon için değildir. GPO yazısında gördüğümüz LSDOU sırasındaki "S" harfi site'ları temsil eder; yani bir GPO'yu doğrudan bir site'a bağlayabilirsiniz. Örneğin şubedeki bilgisayarlara yerel bir yazıcı veya proxy ayarı dağıtmak için site bazlı bir GPO kullanabilirsiniz. Site'a bağlı GPO'lar forest genelinde geçerli olduğu için bu yöntemi dikkatli ve belgelenmiş şekilde kullanın.

Sık Karşılaşılan Hatalar

• Subnet tanımlamamak: Site'ı olmayan istemciler DC'lerin C:\Windows\debug\netlogon.log dosyasına NO_CLIENT_SITE olarak yazılır ve Event ID 5807 üretilir. Bu dosyadaki IP'lerin subnet'lerini ekleyin.
• Yanlış subnet maskesi: 192.168.2.0/16 gibi geniş bir tanım başka lokasyonları da kapsayabilir. Subnet'leri gerçek ağ planına göre girin.
• Site'ı hiçbir site link'e bağlamamak: O site'taki DC hiçbir yerden replikasyon alamaz. Her site en az bir site link'te bulunmalıdır.
• Elle bridgehead seçmek: Seçilen bridgehead sunucu kapanırsa site'lar arası replikasyon tamamen durur. Bunu KCC'ye bırakın.
• Replikasyon aralığını çok kısa tutmak: Yavaş WAN hatlarında 15 dakikalık aralık gereksiz yük oluşturur. Hat kapasitesine göre karar verin.

Bir sonraki yazıda AD DNS'i ele alacak; forward ve reverse zone'ları, conditional forwarder'ları ve scavenging yapılandırmasını göreceğiz.