חוקי רפליקציה בין שרתי DC
פרקי ההרצאה: חוקי רפליקציה בין שרתי DC
תמלול ההרצאה: חוקי רפליקציה בין שרתי DC
הטקסט המלא של הדקות הראשונות בהרצאה «חוקי רפליקציה בין שרתי DC» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים לשיעור על רפליקציה בין שירותי ה-DC. אנחנו נלמד פה חוקי רפליקציה. אנחנו נדבר מה קורה כשיש התנגשות בין שני שירותי ה-DC, מי מנצח.
זה הולך להיות שיעור מעניין, ואנחנו מדברים בעצם על שני DC'ים באותו סייט, באותו דומיין, באותו סייט, מה קורה כשיש התנגשות ביניהם, ומהם חוקי הרפליקציה באופן כללי.
בואו נתחיל מחוקים כלליים שיש לרפליקציה. אז קודם כל מידע מועתק רק על ידי משיכה ורק השדה שעבר את השינוי, שדה זה האטריביוט, ולא כל האובייקט.
הנקודה הזאת היא חשובה להבנה הכללית שלכם. קודם כל מידע מועתק על ידי משיכה זה אומר שאף אחד לא דוחף לך את הסיסמה החדשה של יוזר. אף אחד לא דוחף ל-DC את הטלפון החדש.
מה שקורה ש-DC לבד ניגש ל-DC אחר ואומר לו תביא לי את הטלפון החדש של יוני. ההבדל בין לדחוף למשוך הוא מאוד גדול מבחינת אבטחת מידע כי האקר יוכל להתחזות לשרת DC ולדחוף לך שינוי לא רצוי אז אין דבר כזה שמישהו דוחף שינויים ועדכונים ל-DC
כל דומיין קונטרולר מקבל מדומיין קונטרולר אחר עדכונים על ידי זה שהוא בא ומושך ביוזמתו דבר ראשון, דבר שני, לא מעתיקים את כל האובייקט של יוני אלא רק את הטלפון עצמו, את השדה של הטלפון זה נקרא ברמת אטריביוט ולא ברמת אובייקט כולו.
דבר שני, איך מתבצעת בעצם המשיכה? הרי הותקן טלפון ב-DC הראשון. איך ה-DC השני ידע לבוא ולמשוך את זה ממנו? אז שרת DC ראשון מודיע לשרת DC השני על שינויים שהיו אצלו.
הודעת שינויים יוצאת לאחר 15 שניות בלבד. שימו לב, זה לא במיידי, זה לאחר 15 שניות. למה הוא ממתין 15 שניות? במקרה ויהיו עוד שינויים ואז הוא יעביר את כל השינויים בחבילה אחת.
זה כמו בן אדם שכותב משהו על דף ומבקש ממך ללכת ולשים את זה במגירה בחדר אחר ואתה כבר רואה שהוא לוקח עוד דף. זאת אומרת לו טוב תרשום את שניהם ואחרי זה שאני לא ארוץ פעמיים.
אז גם פה בשביל לחסוך בתקשורת מחכים שיתבספו כמה שינויים ביחד. נניח אתה מריץ קובץ בייץ' ואתה עושה הרבה שינויים במכה.
לאחר השינוי שמתבצע שינוי בדאטאבייס של Active Directory, מופעל שעון סטופר כזה, איך שעוברות 15 שניות הוא מתריע, מודיע ל-DC השני, תבוא לקחת ממני את השינויים, וה-DC השני בא לשרת הראשון ומושך ממנו את העדכונים שהיו לו.
הלאה, שרת DC מודיע על שינוי לא לכל ה-DCים שיש לנו. שימו לב, שרת הראשון היה שינוי והוא מודיע לאחר 15 שניות אבל הוא לא מודיע לכל הדיסים אלא רק לשניים למה למה דבר כזה מאוד חשוב להדגיש כי דיסי כמות הדיסים ברשת יכולה להיות גם 100 גם 200 וגם 1000 זאת אומרת מבחינתה של אקטיב דירקטורי
יכולים להיות אלפי דיסים בדומיין אז כדי למנוע עומס שרת דיסים מודיע על שינוי לא לכל הדיסים אלא רק לשרת dc לשני שרתי dc בלבד והם מתעדכנים בעצמם שני שרתי dc באים מושכים את העדכונים ומתעדכנים ואז הם מודיעים לעוד שני dc וגם זה לאחר עיכוב של 15 שניות זאת אומרת כל dc מודיע לשני dc ושני dc מודיעים לעוד שני dc וכאילו העדכון עובר מה שנקרא מפה לאוזן לאחר 15 שניות
delay וזה נקרא replication partners מי מתרפלק למי מי מי שאחראי על זה, זה נקרא מנגנון KCC, נדבר על זה בהמשך.
הלאה. אם יש הרבה שרתים בחברה, אז זה ייקח המון זמן, ולכן Active Directory רוצה לוודא שזה לא ייקח יותר מדקה.
אז אם יש הרבה שרתים וייקח יותר מדקה להעביר את העדכון, אז שרת DC אחד יוסיף replication partner שלישי. בהתחלה אמרנו שיש רק שניים, אז אם הוא רואה שיש יותר מדי שרתים, למעשה זה יותר משמונה שרתים, הוא יוסיף רפליקיישן פרטנר שלישי.
כך שעדכון תמיד תמיד יגיע לכל שירותי ה-DC תוך דקה בלבד. ואם יהיה צורך, גם יוסיף רפליקיישן פרטנר רביעי וחמישי ושישי.
זאת אומרת שירת DC-1 מתחיל בזה שהוא שם שני רפליקיישן פרטנרס. אבל אם השינוי עד ה-DC הכי רחוק ייקח יותר מדקה, אז הוא יוסיף עוד אחד.
ואם יש צורך עוד אחד. בסופו של דבר זה לא יעבור דקה בין שינוי לזה שהאחרון אחרוני ה-DC ידעו על כך. שימו לב, כל זה נכון בתוך אותו סייט בלבד, על רפליקציה באותו סייט, על רפליקציה בין האתרים הפיזיים בין הסייטים אנחנו קובעים חוקים נפרדים, ועל כך יש לנו סרט נפרד.
מי שמארגן, מי מרפלק למי, נקרא שירות KCC, זאת תוכנה שרצה ברקע וקובעת את כל הדברים האלו. יש מקרים מיוחדים שבהם לא ממתינים 15 שניות, שבהם רפליקציה קורית באופן מיידי, וזה מצבים מיוחדים כמו נעילת חשבון.
נניח יוזר או תוכנת פריצה התבלבלה בסיסמה, ניסתה להציב נניח עשר סיסמאות ברצף לא נכונות והחשבון ננעל, אז שרת DC לא יחכה 15 שניות בשביל להודיע על כך לכל החברים שלו, או דקה, כי זה הרבה מאוד זמן בעולם של אבטחה לחכות דקה, הוא במיידי ישלח את העדכון לכולם.
כאילו, ישלח את העדכון לשניים ושניים אחרים במיידי ישלחו את זה לשניים אחרים וכל העדכונים של נעילת חשבון מתבצעים במיידי אותו דבר לגבי שינוי מדיניות סיסמאות או נעילות בדומיין או שינוי סיסמה של משתמש כאשר משתמש מחליף סיסמה העדכון על סיסמה חדשה נשלח במיידי לשרת pdc כדי שאם משתמש ייגש לשרת אחר שהוא
לא ידחה אותו ולא יגיד לו שהסיסמה החדשה שלו היא לא נכונה אלא תמיד יהיה לו את מי לשאול תמיד pdc יודע את הסיסמה האמיתית של היוזר הכי מעודכנת של היוזר. זה נקרא רפליקציה מיידית שלא ממתינה ל-15 שניות במצבי חירום.
עכשיו אנחנו מתחילים לדבר איתכם מה קורה כשיש שינוי בו זמנית של ערך אחד. בו זמנית שיניתי את הטלפון של יוני בשני דומיין קונטרולרים וטרם עברו 15 שניות.
תחשבו שמנהל רשת אחד נכנס ל-DC1 ושינה שם את השעון, את הטלפון של יוני, ומנהל רשת אחר בו זמנית נכנס לדיסי השני וגם שינה שמה את הטלפון של יוני למשהו אחר לגמרי.
אחרי 15 שניות קורית רפליקציה ואז יש מצב של התנגשות שני דיסים שינו בדיוק אותו דבר אז השאלה מי ינצח. לכן יש לנו פה פוקים שהאקטיב דירקטורי מפעילה אותם כדי לפתור את הקונפליקט הזה.
אז במקרה כזה ששני שרתי דיסי עשו שינוי בדיוק לאותו ערך, מי שינצח, מי שיקבל עדיפות יותר גבוהה, זה מי שעשה הכי הרבה שינויים.
זאת אומרת, אם שרת DC אחד עשה שני עדכונים ברצף, ושרת DC השני עשה רק עדכון אחד של טלפון, זאת אומרת, שרת DC הראשון כתב טלפון חדש, עשה אוקיי, עשה עוד פעם שינוי טלפון, זאת אומרת, היו לו שני עדכונים, הוא ינצח.
כנראה שהנחת היסוד פה בהיגיון שהשינוי הראשון, שניהם עשו בו זמנית אותו דבר, זה שעשה שני שינויים כנראה שהוא מעודכן יותר.
אם שני שרתים עשו בדיוק עדכון אחד או בדיוק שני עדכונים, אותו מספר עדכונים, מי שינצח העדיפות השנייה זה מי שעשה את השינוי האחרון בזמן.
מי שעשה בשנייה יותר מאוחר מהמינימום של שנייה, כן? מי שעשה אחרון בזמן. ואם שני מנהלי הרשת עשו כל אחד שינוי אחד בדיוק באותה שנייה, אז ייבחר שרת אחד בצורה אקראית והוא זה שינצח.
בכל מקרה, אצל יונתן בחשבון יהיה רק טלפון אחד, זה שינצח את הקונפליקט. אנחנו נוכל לעשות הדגמה של זה, אבל יש לנו עוד מצגת ארוכה ויש לנו עוד הרבה לדבר, אז תנסו לעשות את הניסוי הזה בעצמכם, זה נורא פשוט.
אתם לוקחים מכונה וירטואלית, אתם יודעים מה? אנחנו נעשה את הניסוי הזה. אנחנו ניקח מכונה וירטואלית אחת, נראה שהיא בתפקיד של דומיין קונטרולר.
בואו נראה שיש לנו שני דומיין קונטרולרים באמת ברשת שלנו. ניכנס פה לדומיין קונטרולרס אתם רואים יש לנו שני דומיין קונטרולרים ברשת עכשיו אנחנו עושים דבר כזה אנחנו מנתקים פה את הכרטיס רשת כדי שלא יהיו עדכונים שלא נהיה לחוצים על 15 שניות כרטיס רשת מנותק בזמן שכרטיס רשת מנותק אני בא ליוזר של אדמיניסטרטור
ומחליף לו טלפון טלפון ל-123 עכשיו אנחנו ניגש לשרת הראשון וגם פה נחליף את הטלפון של האדמיניסטרטור אתם רואים הרפליקציה זה לא הגיע לפה, שם זה 1, 2, 3, פה יהיה 7, 8, 9. בואו נראה מי ינצח אחרי שנדליק את הכרטיס רשת.
אנחנו מדליקים את הכרטיס רשת בשרת, אתם רואים? חיבינו אותה, חיבינו אותו. עכשיו, זה לא משנה מאיזה סיבה לא הייתה רפליקציה, כרטיס רשת כבוי, לא עברו 15 שניות עדיין, זה לא משנה.
אנחנו עושים עכשיו רפליקציה, באים ל-users and computers, נראה לי שזה פתוח לי בשרת הראשון, כן. ואני אומר לו פה, ב-sites and services, אני בא לשרת, ואומר לו תעשה לי רפליקציה עכשיו, רפליקט נאו, ובא לשרת השני, אומר לו תעשה רפליקציה עכשיו מהראשון.
זה לא משנה מי עושה מול מי רפליקציה. בואו נראה מי ינצח, אנחנו ניכנס לאדמיניסטרטור. 789 ניצח. למה 789 ניצח?
גם, דרך אגב זה גם בשני, כן? אתם מבינים שזה קורה בשני השרתים בו זמנית. יכולים לפתוח MMC, מי שלא מאמין, לעשות Active Directory Users and Computers, שימו לב אני מוסיף את זה פעמיים, כאשר הראשון יסתכל על השרת הראשון והשני יסתכל על השרת השני.
זאת אומרת, אנחנו בקונסולת ניהול אחת רואים את שני השרתים, ופה הטלפון, בואו נבחר עמודה של טלפון. ראיתם מה עשיתי?
אני אמרתי לממשק גרפי להציג לי את העמודה של טלפון, אני מקווה מאוד. איפה הטלפון שלנו? אין לו פה אופציה כזאת? ביזנס, סיטי, קאנטרי, אין? חבל.
אוקיי, אז אנחנו ב-users מציגים פה את הטלפון number 789, וגם פה ב-users, טלפון 789. זה אומר, היה שינוי אחד.
בזמן שכרטיס רשת היה מנותק, היה שינוי אחד בשני הצדדים, ולכן העדיפות עברה לאחרון בזמן. אתם רואים? עדיפות למי שעשה הכי הרבה שינויים, אבל שניהם עשו רק שינוי אחד, שניהם שינו את הטלפון, אבל פעם אחת.
אז עדיפות השנייה למי שעשה את השינוי האחרון בזמן. אז קודם כתבתי 1, 2, 3, אחרי זה הלכתי לשאלת השני וכתבתי 7, 8, 9, ולכן השינוי האחרון ניצח, 789 ניצח.
בואו נעשה עוד שינוי, נעשה עוד ניסוי. ניכנס פה לכרטיס רשת, נסגור אותו, שלא תהיה לנו רפליקציה. יפה. ניכנס לאדמיניסטרטור, נחליף לו פה טלפון ל-abc, נעשה אוקיי.
אחרי זה נעשה עוד פעם, def, נעשה אוקיי. עכשיו נלך לשרת השני, שימו לב, מפה אני כבר לא יכול להגיע לשרת השני, זאת אומרת אני לא יכול להגיע מפה לשרת השני.
Unable to retrieve all user properties, הוא לא מצליח להתחבר לשרת השני. ובשרת השני נעשה טלפון, אני שינוי אחרון. ככה קוראים לטלפון. שימו לב, שינוי אחרון בזמן היה בשרת השני.
מי אתם חושבים שינצח? האחרון בזמן? לא. למה לא? למה לא אחרון בזמן? כי פה היו שני שינויים, נכון?
זוכרים שהיו פה שני שינויים?