Добавить дополнительный контроллер домена вне офиса
Домен, который держится на одном контроллере, останавливается вместе с ним: второй каталог, в другом месте, продолжает проверять учётные записи.
От 16,99 € в месяц
Обзор
Домен Active Directory с единственным контроллером останавливается вместе с ним: нет входа в систему, нет внутреннего разрешения имён, не применяются групповые политики. Добавить дополнительный контроллер домена — значит повысить второй сервер в уже существующем домене и дать репликации перенести туда каталог. На VPS с Windows этот второй контроллер живёт вне вашей серверной — за 16,99 € в месяц с НДС в сборке, которую мы советуем, с выдачей за 10 минут.
Это не то же самое, что первичное создание каталога: здесь домен уже есть, и важна избыточность. Вы получаете машину под Windows с полными правами администратора, отдельным адресом IPv4 и запасной консолью VNC — она бесценна в тот день, когда повышение контроллера перезагружает сервер и обрывает RDP в неподходящий момент. Для этой роли выбирайте Windows Server 2025 или Windows Server 2022: Windows 11 — система для рабочих мест и роль AD DS не несёт.
Три вещи, которые мы предпочитаем написать чёрным по белому. Сетевой канал между VPS и офисной сетью определяет репликацию, и строите его вы: By-Hoster не предоставляет никакой управляемой туннельной услуги. Лицензия Microsoft остаётся на вас: мы ставим систему, но не перепродаём её. И наконец, снимок — это не резервная копия контроллера домена: он нужен прямо перед изменением, а не спустя три недели.
Что машина позволяет и чего она не делает за вас
Повысить дополнительный контроллер
Домен уже есть: вы добавляете роль <strong>AD DS</strong> из диспетчера серверов или командой <code>Install-WindowsFeature AD-Domain-Services</code>, а затем повышаете машину <strong>в существующем домене</strong> через <code>Install-ADDSDomainController</code>, а не создавая новый лес. Дальше репликация переносит учётные записи, группы и политики. Это возможно потому, что учётная запись администратора сервера — ваша, а система стандартная.
Роль DNS идёт вместе с контроллером
Домен Active Directory не работает без <strong>DNS</strong>: именно записи <strong>SRV</strong> позволяют рабочим местам найти контроллер. Мастер повышения ставит роль DNS-сервера, а интегрированные в каталог зоны реплицируются вместе с ним. <strong>Отдельный IPv4</strong> у VPS даёт тогда устойчивый адрес, который вы укажете как дополнительный DNS-сервер на машинах — членах домена.
Сетевой канал остаётся на вас
Репликация предполагает, что VPS и офисная сеть достают друг друга. Построить этот канал — туннель между площадками, VPN, маршрутизацию — дело ваше или вашего подрядчика: <strong>By-Hoster не предлагает управляемой туннельной услуги</strong>. Мы даём машину, её отдельный IPv4 и полные права администратора; топологию сети и открытие потоков решаете и настраиваете вы.
Снимок нужен до, а не после
Контроллеры домена опираются на счётчик репликации — <strong>USN</strong>. Восстановление контроллера из более раннего состояния может рассинхронизировать домен: это так называемый <strong>откат USN</strong>. Снимок, сделанный прямо перед операцией и сразу же возвращённый, если проба не удалась, безопасен. А вот как резервная копия рабочего контроллера — нет: используйте процедуры восстановления, предусмотренные Microsoft.
Когда второй контроллер вне офиса действительно оправдан
Основная площадка легла, а учётные записи ещё отвечают
Отключение электричества, отказ железа, роутер, испустивший дух в понедельник утром: рабочие места, которые ещё достают до VPS, продолжают входить в систему и разрешать доменные имена. Это прямая выгода реплики, размещённой в другом месте.
Удалённые рабочие места и работа из дома
Когда часть машин живёт вне стен, контроллер, доступный извне офисной сети, избавляет от того, чтобы всё зависело от канала до головного офиса. Остаётся решить, каким путём идёт этот трафик: это ваша топология сети, не наша.
Заменить старый офисный сервер
Классический порядок: повысить новый контроллер, дать репликации отработать, передать роли FSMO, затем понизить старый. Домен не начинается заново, а старую машину можно спокойно выключить, когда с неё сняты все роли.
Убрать каталог из технического чулана
У многих небольших компаний единственный контроллер стоит в той же комнате, что и всё прочее: тот же бесперебойник, тот же ввод питания, тот же риск. VPS живёт в нашем центре данных DC-FR_NA(01) в Новой Аквитании, на накопителях SSD и с защитой от DDoS.
Выстроить домен на двух площадках
Как только каталог растягивается на два места, консоль «Active Directory — сайты и службы» служит для объявления подсетей и связей сайтов. Привычный инструментарий Microsoft работает как на физическом сервере, поскольку машина ваша.
Проверить репликацию, прежде чем связывать себя
Поднять канал, повысить, проверить репликацию, измерить, что получается на вашей линии: сервер выдаётся за 10 минут, переустанавливается из личного кабинета, идёт без обязательств и с возвратом денег в течение 48 часов.
Частые вопросы
Линейка Windows начинается с 9,99 € в месяц с НДС на Windows - Core (4 vCore, 8 ГБ памяти, 100 ГБ SSD, 500 Мбит/с) — этого хватает контроллеру домена в одиночку. Как только AD DS делит машину с другими ролями, советуем Windows - Plus за 16,99 € в месяц (8 vCore, 16 ГБ, 250 ГБ) — самую востребованную сборку. Выше: Max за 28,99 € (32 ГБ) и Titan за 54,99 € (64 ГБ, 1000 Мбит/с). Оплата на год снимает 16,7 %. Лицензия Microsoft не включена.
По порядку: сначала поднимите сетевой канал между VPS и сетью, где живёт домен, направьте сервер на DNS существующего контроллера, установите роль AD DS, затем выполните Install-ADDSDomainController с учётными данными администратора домена. Сервер перезагрузится, и репликация начнётся. Затем укажите его как дополнительный DNS-сервер на машинах — членах домена. Консоль VNC остаётся доступной, если RDP после перезагрузки не вернулся.
Между ними нужен сетевой канал в той или иной форме: репликация Active Directory одним портом не обходится, а выставлять контроллер домена прямо в интернет — идея неразумная. Этот канал на вас: By-Hoster не предоставляет управляемой туннельной услуги. Зато у вас полные права администратора, и вы можете сами построить то, чего требует ваша архитектура, в том числе на машине под Windows, отданной под эту роль.
Рабочие места, которые ещё достают до второго контроллера, продолжают проходить проверку подлинности и разрешать доменные имена: в этом весь смысл реплики. Важная оговорка: роли FSMO, которые нёс недоступный контроллер, сами не переезжают. Некоторые операции с каталогом тогда деградируют, а захват роли — ручная операция, которую не делают наспех. Подготовьте и проверьте этот сценарий заранее, до того как он понадобится.
Нет. Реплика точно воспроизводит домен, включая удаления: объект, стёртый по ошибке, исчезает с обеих сторон. Избыточность защищает от отказа, а не от человеческой ошибки. Со стороны By-Hoster описаны только мгновенные снимки — ни автоматической копии, ни внешнего хранения нет, — а на контроллере домена они применяются перед изменением из-за отката USN. Держите собственную стратегию резервного копирования каталога.
Да, и она на вас. By-Hoster ставит операционную систему, но не поставляет и не перепродаёт лицензии Microsoft: второй контроллер домена — это второй экземпляр Windows Server, и покрывать его нужно как таковой. Кстати, полезное напоминание: Windows Server допускает 2 административных сеанса RDP одновременно; сверх этого прикладной доступ по RDP для нескольких пользователей требует лицензий RDS CAL от Microsoft, которых мы тоже не предоставляем.
Наш официальный ориентир: минимум 4 ГБ на лёгкую работу и 8 ГБ, как только добавляется прикладная программа, SQL Server Express или несколько одновременных пользователей. Все наши тарифы с Windows и так начинаются с 8 ГБ, чего хватает контроллеру домена в одиночку: это служба, отвечающая на запросы LDAP и DNS, а не вычислительный движок. Как только AD DS соседствует с другими ролями — файлами, прикладной программой, базой данных, — переходите на 16 ГБ с Windows - Plus.
Нет. Windows 11 — система для рабочих мест, не рассчитанная на службу для многих пользователей, и роль AD DS она не несёт: рабочее место на Windows 11 входит в домен, но не размещает его. Для этой роли берите Windows Server 2025 или Windows Server 2022 — обе предлагаются при заказе без доплаты. Если Windows 11 уже была заказана, переустановка из личного кабинета позволяет сменить систему.
Windows Server 2025 — последняя версия LTSC: обычная поддержка до 13 ноября 2029 года, безопасность до 14 ноября 2034 года. Windows Server 2022 остаётся уместной, если разработчик пока не одобряет 2025: обычная до 13 октября 2026 года, безопасность до 14 октября 2031 года. Обе предлагаются без доплаты. Windows Server 2019 у нас больше не устанавливается. Проверьте со своей стороны, что функциональный уровень вашего домена принимает выбранную версию.
На машине, которую размещаем мы, — в нашем единственном центре данных DC-FR_NA(01) в Новой Аквитании, во Франции, где всем напрямую занимаются инженеры объединения, с виртуализацией KVM через Proxmox. Реплицированные учётные записи, группы и политики остаются там под французской юрисдикцией, в рамках GDPR, без передачи за пределы Европейского союза. Ваши другие контроллеры остаются там, где они есть: мы можем говорить только о том сервере, который обслуживаем сами. By-Hoster — французское объединение по закону 1901 года, созданное в 2023 году (RNA W162005815).