¿Cómo se comportan los clientes de dominio de Windows si el controlador de dominio está fuera de línea?

Si tengo PC con Windows que están unidas a un dominio y el controlador de dominio se desconecta, ¿qué tipo de comportamiento puedo esperar en los clientes (suponiendo que no haya un segundo DC)?

• ¿Los usuarios podrán iniciar sesión? O tal vez una mejor pregunta, ¿cómo cambia la funcionalidad de inicio de sesión, si es que lo hace?

• Obviamente, los archivos compartidos en el DC no funcionarán, pero ¿qué pasa con los recursos compartidos entre clientes, o entre ellos y un servidor miembro?

• Una vez que DC se ha recuperado, ¿los clientes deben reiniciar, cerrar sesión / iniciar sesión? ¿Hay consecuencias a largo plazo por estar desconectado del DC?

En última instancia, estoy interesado en las quejas que debería recibir de los usuarios si DC está desconectado . No dude en mencionar cualquier otra información importante que no haya cubierto.

Sucederán varias cosas sin DC disponible:

• Si el controlador de dominio es el único servidor DNS, la primera queja que recibirá es que Internet está roto, porque los clientes no tienen DNS.

• Dado que los DC generalmente también ejecutan DHCP, las computadoras no podrán conectarse a la red en absoluto. Las computadoras que ya están conectadas seguirán funcionando por un tiempo.

• Los archivos compartidos a los que ya están conectados funcionarán bien por un tiempo (probablemente unas pocas horas), hasta que expire su sesión. Cuando el servidor de archivos valide sus credenciales, no podrá hablar con el DC y no permitirá que nadie se conecte más.

• Cualquier otra cosa que se base en la autenticación de directorio activo (como sitios IIS o servidores VPN, etc.) no permitirá que las personas inicien sesión. Dependiendo de la configuración, podría expulsar inmediatamente a las personas, o podría mantener las sesiones existentes y simplemente no permitir otras nuevas.

• Para las computadoras en sí, las personas que han usado la computadora recientemente aún podrán iniciar sesión. Las personas que no han usado la máquina antes, o la usaron hace mucho tiempo, no tendrán contraseñas almacenadas en caché, por lo que no podrán iniciar sesión hasta que se restablezca la conexión al DC.

• La desconexión del DC tiene consecuencias a largo plazo: eventualmente nadie podrá iniciar sesión con una cuenta de dominio, porque todas las contraseñas almacenadas en caché habrán caducado. Si no puede volver a conectarse al DC y no tiene ninguna cuenta local habilitada, puede terminar en una situación en la que necesita utilizar utilidades como NTPasswd para habilitar la cuenta de administrador local.

La mejor práctica para los controladores de dominio es tener al menos dos si es así. Tanto en una red de Windows se basa en el directorio activo que necesita la redundancia. Para una organización más pequeña, puede compartir roles con servidores de archivos, aunque evite que un controlador de dominio comparta un servidor con cosas como sharepoint e intercambio (hace que restaurarlos y actualizarlos sea muy difícil de hacer correctamente)

Con dos controladores de dominio, si uno muere, puede volver a instalar el servidor de Windows, configurarlo como un nuevo controlador de dominio en un dominio existente y listo. No hay tiempo de inactividad en absoluto. Con un único controlador de dominio, la restauración puede ser complicada. Y mientras restaura, tiene a la gente molesta porque no puede hacer nada.

Depende de la duración. Una vez que eliminas un servicio de la red, las cosas se vuelven poco confiables pero no se rompen. Si solo desea reiniciar un DC, la autenticación / autorización realmente no debería interrumpirse. Las personas iniciarán sesión con credenciales almacenadas en caché, los cuadros que ya se están comunicando seguirán haciéndolo con sus tickets Kerberos existentes, etc.

Para que las personas puedan iniciar sesión en sus PC con cuentas en caché. No pueden cambiar las contraseñas, etc.

Por un corto tiempo (horas pero no días) mientras todos deberían poder acceder a recursos compartidos de archivos que no están en el DC también, pero eventualmente dejarán de funcionar.

Las cosas deberían recuperarse automáticamente una vez que el DC esté de nuevo.

Sin embargo, hay una gran advertencia aquí. Si está utilizando su DC para DNS tan pronto como se desconecte, la mayoría de las cosas dejarán de funcionar porque los clientes no podrán encontrar sus servidores. Incluso las cosas que no dependen de AD dependen de la resolución de nombres.

Lo mejor que puede hacer es construir un segundo DC con DNS de respaldo para que los clientes puedan fallar. La parte AD sucederá automáticamente, la parte DNS que deberá configurar en los clientes como un servidor DNS secundario en el cliente o mediante DHCP, etc.