PDC server VPN

Bonsoir,
Non, il n'est pas "multi homed", mais c'est sur un plan sécurité que c'est
TRES moyen, et puis au niveau de la charge du server.

Cécile

"Alni" <nospam@nowhere.com> a écrit dans le message de
news:btplem$tvf$1@news-reader1.wanadoo.fr...

Bonjour,

Y a t'il une contre indication à ce qu'un Win2000 server devienne
controleur de domaine principal s'il est aussi le serveur pour les
connexions VPN entrantes ?

J'ai lu dans la KB ou ds l'aide du 2000 qu'un PDC ne devrait pas être
"multi-homed"
Doit ton considérer un serveur RAS VPN dont les adresses IP fournies aux
clients sont ds le même subnet que le LAN comme une machine multi-homed
?

J'ai lu dans la KB ou ds l'aide du 2000 qu'un PDC ne devrait pas être
"multi-homed"

Ce n'est pas du multi-résident, le multi-résident c'est plusieurs adresses
pour un même interface. A chaque lien VPN pous avez une nouvelle
adresse sur une interface different VPN-1 VPN-2 et ausi de suite.

Doit ton considérer un serveur RAS VPN dont les adresses IP fournies
aux clients sont ds le même subnet que le LAN comme une machine
multi-homed ?

Non.
--
Cordialement.
GG. [MVP]
http://gilisa.assysm.com
Le savoir vivre sur les news Microsoft
http://minilien.com/?0KfnHmgAde

Bonjour,

J'ai lu dans la KB ou ds l'aide du 2000 qu'un PDC ne devrait pas être
"multi-homed"

Ce n'est pas du multi-résident, le multi-résident c'est plusieurs
adresses pour un même interface. A chaque lien VPN pous avez une
nouvelle
adresse sur une interface different VPN-1 VPN-2 et ausi de suite.

Cette machine a 2 adresses.
Son adresse principale sur le LAN disons 192.168.0.253 liée à la carte
ethernet
et il obtient une adresse 192.168.0.201 (vu que j'ai spécifié la plage
192.168.0.201-210 pour le VPN).
C'est aussi lui le serveur WINS (de toutes façons c'est le seul
serveur), et c'est un bazard pas possible dans la table WINS.
le ._MSBROWSE__. est attribué au hasard sur son adresse eth ou celle du
VPN, voire d'une station qui se connecte par le VPN et le groupe de
travail est quasiment retenu en permanence par la seule station WIN98.
Station sur laquelle pourtant j'ai désactivé le browsemaster, comme sur
toutes les autres stations suites aux remarques de la semaine dernière.
Evidement, quand cette station est éteinte, le parcour réseau ne renvoi
rien d'autre que la station sur laquelle on se trouve.

J'ai donc l'impression que c'est pire, l'accès au voisinage réseau peut
prendre plus de 2-3mn et l'accès direct à une ressource connue sous la
forme \serverressource prends pas loin de 10s

Donc je me disais qu'en passant en AD ça faciliterait peut être le
fonctionnement de ce voisinage réseau....

Pour la charge du serveur, je ne suis pas trop inquiet, 1 semaine
d'observation montre une charge CPU moyenne de 5-10%.

Y a t'il une contre indication à ce qu'un Win2000 server devienne
controleur de domaine principal s'il est aussi le serveur pour les
connexions VPN entrantes ?

J'ai lu dans la KB ou ds l'aide du 2000 qu'un PDC ne devrait pas être
"multi-homed"
Doit ton considérer un serveur RAS VPN dont les adresses IP fournies aux
clients sont ds le même subnet que le LAN comme une machine multi-homed ?

---- Réponse ----

J'ai personnellment mis en oeuvre ce type de configuration avec énormément
de problèmes.
Certains d'entre-eux ne sont toujours pas résolus : problème de réplication
AD et de
création des partages SYSVOL et NETLOGON. Je précise toutefois que je n'ais
confié aucun rôle de FSMO à cette machine et notamment le rôle d'émulateur
de CPD.

J'ai tenté en vain d'appliquer les recommandations de l'article Q258296
relatif à la résolution des
problème des contrôleurs de domaine possédant plusieurs cartes réseau. La
solution préconisée
par Microsoft consistait à placer en premier la carte interne du serveur,
c'est à dire celle sur
laquelle devrait normalement s'effectuer la réplication AD.

Je vais certainement essayer de dégrader ce serveur en "serveur membre" la
semaine
prochaine afin de résoudre une partie des difficultés... Ceci ne pourra
qu'avoir qu'un effet
bénéfique sur ses performances.

PS AMA un serveur de VPN même s'il est contrôleur de domaine n'est pas
"multi-homed". Au sens
strict, il n'est pas "à cheval sur plusieurs domaines W2K" mais "à cheval
sur plusieurs
plages d'adresses IP".

Cordialement,
Maurice POLARD

J'ai personnellment mis en oeuvre ce type de configuration avec
énormément de problèmes.

je ne dois pas avoir de chance cela fonctionne tout seul chez moi
et ailleurs ;-)

Certains d'entre-eux ne sont toujours pas résolus : problème de
réplication AD et de
création des partages SYSVOL et NETLOGON.

Cha alors, cela fonctionne très si on sait ce que l'on fait. Il faut
peut-être aussi avant tout établir une relation entre les DNS et
cela fonctionne. Mettez au plus "moche" les DNS dans hosts et
cela doit fonctionner.

Je vais certainement essayer de dégrader ce serveur en "serveur
membre" la semaine
prochaine afin de résoudre une partie des difficultés... Ceci ne
pourra qu'avoir qu'un effet
bénéfique sur ses performances.

PS AMA un serveur de VPN même s'il est contrôleur de domaine n'est pas
"multi-homed". Au sens
strict, il n'est pas "à cheval sur plusieurs domaines W2K" mais "à
cheval sur plusieurs
plages d'adresses IP".

Non ce n'est pas simplement pas le même interface.
--
Cordialement.
GG. [MVP]
http://gilisa.assysm.com
Le savoir vivre sur les news Microsoft
http://minilien.com/?0KfnHmgAde

Cette machine a 2 adresses.
Son adresse principale sur le LAN disons 192.168.0.253 liée à la carte
ethernet
et il obtient une adresse 192.168.0.201 (vu que j'ai spécifié la plage
192.168.0.201-210 pour le VPN).

Ce n'est pas du multi-résident, faites simplement un IP config /all
et vous verrez que avec un lien VPN ipconfig vous enumere bien
deux interfaces réseau et que la deuxieme adresse asignée n'est
pas assignée sur votre interface reseau local.
Alors que si vous allez dans les propriétés de votre interface reseau
local et que vous lui assigné une deuxieme adresse elle sera listée
sur le même interface. C'est ca du multi-homing ou multi-résident.

--
Cordialement.
GG. [MVP]
http://gilisa.assysm.com
Le savoir vivre sur les news Microsoft
http://minilien.com/?0KfnHmgAde

Bonsoir M. GG

Cha alors, cela fonctionne très si on sait ce que l'on fait. Il faut
peut-être aussi avant tout établir une relation entre les DNS et
cela fonctionne. Mettez au plus "moche" les DNS dans hosts et
cela doit fonctionner.

Je n'ai jamais dit le contraire. Mon serveur de VPN fonctionnement
parfaitement. Il en va de même de la résolution DNS et NetBIOS (via un
serveur WINS). L'attribution des adresses IP via un serveur DHCP fonctionne
également parfaitement.
J'ai simplement un problème de réplication AD. Celui-ci n'est pas du à un
problème de paramétrage des serveurs DNS. Eh oui, ça arrive ! La résolution
des FQDN fonctionne parfaitement depuis tous les contrôleurs de domaines et
depuis tous les domaines...

Outre la non création des partages SYSVOL et NETLOGON sur le serveur de VPN,
le problème se traduit simplement pas l'apparition chaque jour du message
d'erreur 13508 dans le journal FRS :

"...les informations de topologie d'AD pour ce réplica n'ont pas été
répliqués à tous les contrôleurs de domaine..."

Ce qui est bizarre c'est que les informations d'annuaire sont quand même
répliquées. J'ai pu le vérifier en mettant à "5" la clef :

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesNtFrsParametersDebug
Log Files


Ce problème, comme je l'expliquai dans mon post, semble être du au fait que
ce serveur, comme tout serveur de VPN, possède plusieurs cartes réseau (3
dans mon cas...) et celà semble poser des problèmes lors de la réplication
AD. Il me semble d'ailleurs que ce problème est connu de Microsoft puisqu'un
patch du service FRS a apporté une solution partielle à ce bug.

Je vais certainement essayer de dégrader ce serveur en "serveur
membre" la semaine prochaine afin de résoudre une partie des
difficultés... Ceci ne

pourra qu'avoir qu'un effet bénéfique sur ses performances.

PS AMA un serveur de VPN même s'il est contrôleur de domaine n'est pas
"multi-homed". Au sens strict, il n'est pas "à cheval sur plusieurs
domaines W2K" mais "à

cheval sur plusieurs plages d'adresses IP".

Non ce n'est pas simplement pas la même interface.

Encore une fois c'est exactement ce que je dis... Je ne vois pas comment il
serait possible de configurer un serveur de VPN, donc un routeur, avec une
seule carte réseau même si on lui assigne plusieurs adresses IP...

--
Cordialement.
GG. [MVP]
http://gilisa.assysm.com
Le savoir vivre sur les news Microsoft
http://minilien.com/?0KfnHmgAde

Il me semble qu'il serait utile d'ajouter une nouvelle règle aux règle de
savoir vivre sur le news de Microsoft : la réponse doit être d'un quelconque
secours à l'auteur de la question ainsi qu'à la communauté.

Ma réponse, si vous la relisez, répond à la question posée : un serveur de
VPN doit-il être nécessairement contrôleur de domaine ?

Réponse :

Non, ça nuit aux performances de la machine et ça pose des problème de
réplication AD...

Très cordialement,
Maurice POLARD

Ce problème, comme je l'expliquai dans mon post, semble être du au fait
que

ce serveur, comme tout serveur de VPN, possède plusieurs cartes réseau (3
dans mon cas...) et celà semble poser des problèmes lors de la réplication
AD. Il me semble d'ailleurs que ce problème est connu de Microsoft
puisqu'un

patch du service FRS a apporté une solution partielle à ce bug.

Je vais certainement essayer de dégrader ce serveur en "serveur
membre" la semaine prochaine afin de résoudre une partie des
difficultés... Ceci ne pourra qu'avoir qu'un effet bénéfique sur ses
performances.

--- Suite ---

Dégradation en serveur membre effectuée aujourdhui... Tout est rentré dans
l'ordre...

Cordialement,
Maurice POLARD