[Active Directory] SITE Topology

* 서브넷

 - 서브넷은 논리 IP 주소 집합을 할당하는 TCP/IP 네트워크의 세그먼트이다.

 - 네트워크에서 물리적 근접을 식별하는 방식으로 컴퓨터를 그룹화한다.

 - AD DS의 서브넷 개체는 사이트에 컴퓨터를 매핑하는데 사용되는 네트워크 주소를 식별한다.

 

* 사이트

 - AD 사이트는 빠르고 안정적인 네트워크 연결이 된 DC간을 표시하는 네트워크로 구분(Subnet으로 구별됨)한다.

 - 실제 세계의 엔터티를 참조하는 사용자, 컴퓨터, 그룹과 같은 개체의 큰 데이터베이스가 AD라는 것을 기억하자. AD에서 사용자 개체를 생성할 때 사람을 만드는 것이 아니라 사용자를 나타내는 개체를 생성하는 것이다.

* 엔터티(Entity) : ex) 학생이라는 엔터티는 학번, 이름, 학점, 등록일자, 생일, 전공 등의 속성으로 특정지어질 수 있음

 - 비슷하게 AD 사이트 및 서비스에서 사이트를 생성하면 물리적 위치를 생성하는 것이 아니라 물리적 위치와 물리적 사이트를 참조하는 개체를 생성하는 것이다.

192.168.1.0/24대역과 192.168.2.0/24의 대역을 나눔

 

* 사이트 링크(SITE LINK)

 - 사이트 링크는 AD 복제에 대한 연결을 설정하는데 KCC에서 사용하는 논리적 경로를 나타내는 AD 개체이다. 

 - 사이트 링크를 사용하여 사이트를 다른 사이트에 수동으로 연결해야 한 사이트의 DC가 다른 사이트의 DC에서 디렉터리 변경 내용을 복제할 수 있다. 

사이트 링크

 

* 사이트 링크 브리지

 - 사이트 링크 브리지는 사이트 링크 집합을 나타내는 개체이다.

 - 사이트 링크 브리지를 사용하면 통신 링크를 통해 직접 연결되지 않은 DC를 서로 복제할 수 있다. 일반적으로 사이트 링크 브리지는 IP의 라우터(또는 라우터 집합)에 해당한다.

사이트 링크 브리지

 

* 사이트의 이점

 - 사이트 토폴로지를 디자인하면 클라이언트 쿼리와 Active Directory 복제 트래픽을 효율적으로 라우팅 하는 데 도움이 된다.

 - 잘 설계된 사이트 토폴로지는 조직이 다음과 같은 이점을 얻을 수 있도록 도와준다.

  ① IP Subnet과 연동

  ② 복제 트래픽 관리

  ③ Client 로그온 트래픽 관리

  ④ DFS(분산 파일 시스템) 혹은 Exchange Server와 같은 사이트 사용, 응용 프로그램에서 활용

  ⑤ 회사 위치별 모든 사용자나 컴퓨터에 그룹 정책을 할당할 때 사용

  사이트별로 그룹 정책 할당

 

* 사이트 토폴로지

 - 디렉터리 서비스 사이트 토폴로지는 물리적 네트워크의 논리적 표현이다.

 - AD DS에 대한 사이트 토폴로지 디자인에는 도메인 컨트롤러 배치 계획과 쿼리 및 복제 트래픽의 효율적인 라우팅을 보장하기 위한 사이트, 서브넷, 사이트 링크 및 사이트 링크 브리지 디자인이 포함된다.

 

* 장애조치 기능

 - 사이트는 네트워크 오류 및 오프라인 DC에 대해 복제가 라우팅 되는지 확인한다.

 - KCC는 지정된 간격으로 실행되어 새 DC를 추가하고, 새 사이트를 만들 때와 같이 AD DS에 발생하는 변경 내용에 대한 복제 토폴로지를 조정한다.

 - 실패한 DC때문에 연결이 작동하지 않는 경우 KCC는 다른 복제 파트너(사용 가능한 경우)에 대한 임시 연결을 자동으로 빌드하여 복제가 수행되도록 한다.

 - 사이트의 모든 DC를 사용할 수 없는 경우 KCC는 다른 사이트의 DC 간에 복제 연결을 자동으로 만든다.

 

* 연결 개체

 - 연결 개체는 원본 도메인 컨트롤러에서 대상 도메인 컨트롤러로의 복제 연결을 나타내는 AD 개체이다.

 - 도메인 컨트롤러는 단일 사이트의 구성원이고 사이트에서 AD DS의 서버 개체로 표시된다.

 - 각 서버 개체에는 사이트의 복제 도메인 컨트롤러를 나타내는 자식 NTDS 설정 개체가 있다.

LEFT 사이트의 NTDS 설정 개체

 

* KCC

 - KCC는 모든 DC에서 실행되고 AD 포리스트에 대해 복제 토폴로지를 생성하는 기본 제공 프로세스이다.

 - 사이트 또는 사이트 간에서 복제가 발생하는지 여부에 따라 별도의 복제 토폴로지를 만든다.

 - 새 DC를 추가하고, 기존 DC를 제거하고, 사이트에서 DC를 이동하고, 비용과 일정을 변경하고, 일시적으로 사용할 수 없거나 오류 상태에 있는 DC를 추가하는 것을 수용할 수 있도록 토폴로지를 동적으로 조정한다. 

 - 동일한 사이트에 있는 DC의 경우 KCC는 관리 개입 없이 자동으로 연결 개체를 만든다. 사이트가 둘 이상 있는 경우 사이트 간의 사이트 링크를 구성하고 각 사이트의 단일 KCC는 사이트 간 연결을 자동으로 만든다.

 

* 복제

AD Replication은 AD에 가해지는 모든 추가, 제거, 변경의 복제다. 사용자 계정이 추가되거나 사용자가 자신의 암호를 변경하면 이러한 변경은 AD에 복제될 필요가 있다. 사이트 내에서는 이 복제가 매우 빨리 일어나고 알림 프로세스를 사용한다.

 

인트라사이트 복제 토폴로지

만약 DC1에 사용자 계정이 추가되면 DC1은 DC2와 DC3에게 변경을 알린다. DC2와 DC3는 변경 정보를 갖고 있지 않기 때문에 이것을 요청하고 3대는 최신의 정보로 업데이트 된다. 그런 다음 DC2와 DC3는 DC4에게 이 변화에 대한 알림 메시지를 보낸다. DC4는 두 DC에게 요청하는 것이 아니라 먼저 알림 메시지를 받은 곳에 변화를 요청한다.

 

DC2로부터 알림 메시지를 먼저 받았다고 가정해보자. DC4는 DC2로부터 변경을 요청하고, 이후 DC3으로부터 알림 메시지를 받게 되면 이미 변경됐기 때문에 이 알림은 무시된다. 이 알림 프로세스는 ‘propagation dampening’이라고 부르며, 서로 간에 무한 반복되어 변경되는 것을 방지한다.

 

DC들은 다른 DC들을 통해 통신하는 것이 좀 더 바람직하지만 같은 사이트에 있는 DC가 삼 홉 이상 떨어져 있다면 정보 일관성 검사기(KCC)는 그 DC와 직접 연결을 생성한다. KCC는 사이트 간 복제 토폴로지를 생성하고 관리하는 책임이 있다. 이것은 AD를 15분마다 확인해 포리스트 전체에 연결 개체를 생성하고 삭제한다.

 

* 사이트 간 복제

사이트 간 복제는 알림 메커니즘의 생략과 복제 데이터의 압축으로 최적화되어 있다.

 

사이트 간 알림 생략 사이트 간 복제는 스케줄 기반으로 일어난다. 마지막 복제 이후 수집된 모든 복제 데이터는 알림 프로세스 없이 보내진다.

 

사이트 간 복제 압축 복제될 데이터는 복제되기 전에 압축된다. 잘 연결된 사이트의 경우 압축은 필요가 없지만 WAN 링크의 대역폭이 낮을 때 압축은 매우 유용하다.  

 

* SYSVOL 복제

 - SYSVOL 폴더는 각 도메인 컨트롤러에 복제되는 도메인의 공용 파일을 저장한다.

 - GPO(그룹 정책 개체), 시작 및 종료 스크립트, 로그온 및 로그오프 스크립트를 포함하여 도메인 전체에서 복제해야 하는 파일에 대한 기본 AD 위치를 제공한다. (Policies와 scripts 파일이 생성됨)

%SystemRoot%\SYSVOL\sysvol\도메인 이름\

 - FRS(파일 복제 서비스) 또는 DFSR(분산 파일 시스템 복제)을 사용하여 한 도메인 컨트롤러에서 다른 도메인 컨트롤러로 SYSVOL 폴더의 변경 사항을 복제할 수 있다.