Bonjour,
 
J'ai mis en place une 30aine de NAS Synology répartis dans des agences en France, tout est relié en MPLS (OBS)
Les serveurs AD sont sur 2 sites.
Les NAS en agence sont intégrés au domaine et les droits NTFS s'appliquent sur les serveurs de fichiers hébergés sur les NAS.
Le problème, lors d'une coupure WAN, les serveurs de fichiers n'ont plus de lien vers l'AD et donc les users d'agence ne peuvent pas accéder à leurs données situées en local (essentiel car les fichiers sont volumineux)
La solution a été de doubler le lien MPLS avec une liaison de secours (Always-on chez OBS) mais ça ne fonctionne pas très bien, d'autant que lorsqu'il y a des travaux de voirie il n'est pas rare que le nominal et le secours soient down.
Les coupures wan sont donc un véritable fléau et l'idée est de bénéficier d'un cache qui conserve en mémoire les information d'identification AD afin que les users puissent continuer à produire.
 
J'ai trouvé une solution sur un forum (https://forum.synology.com/enu/view [...] 17#p328617) qui parle de modifier la config du smb (nouvelle localisation sur DSM6 trouvée ici https://forum.synology.com/enu/view [...] 91#p426291) et du pam_winbind, ce que j'ai fait à la lettre mais ça ne fonctionnait pas j'ai supprimé tout le documenté ce qui me parait plus clair et moins propice à l'erreur (ici j'ai remplacé des infos par ***), avec en gras les modifs :
 
SMB :

 
pam_winbind :
 

 
Je voulais savoir si déjà quelqu'un s'y connait dans la syntaxe de ces fichiers de conf et si ce que j'ai renseigné était bon, ne maîtrisant pas du tout l'environnement LINUX...
Merci à vous

Avant d'attaquer la bête, as-tu contacté le support Synology ?
Tes NAS, c'est quel modèle ?

Oui j'ai contacté le support hier mais pas eu de retour pour le moment
Les NAS sont tous des 716+II ou RS816 en DSM 6.1 dernière update

Je viens de recevoir la réponse du support :
- Ils ne font pas de support sur les modifications de fichier système
- Ils préconisent de passer sur leur Synology Directory Server pour ne plus avoir le problème, logique mais je souhaite conserver un AD Windows  
 
Un peu rageant cette réponse car je sais qu'ils savent comment faire

Tu déploies des RODC sur les sites ? Ou tu centralises ton infrastructure filer

J'ai supprimé les RODC pour ne pas avoir d'infra à gérer sur les sites distants hormis les NAS.
 
Impossible de centraliser les fichiers, certains pèsent 30 à 50 Go, l'accès doit se faire uniquement en local
 
J'ai bien peur de ne pas avoir de solution

Lorsqu'il y a coupure "WAN", cela veut dire accès internet plus lien MPLS ?
Il y a plein de possibilités mais tout dépend du budget encore une fois.. Même avec des fichiers de 50Go, ceux-ci peut-être centralisé quelque part et cela peut poser aucun problème avec des appliance Riverbed etc..
 
Si la solution de dépannage en local n'est pas possible (RODC, compte secondaire etc..). la partie réseau ne peut elle pas être améliorée ?
lien primaire MPLS, secondaire via internet (IPSEC),etc. ?
 
Je ne connais pas vraiment l'infra, alors je ne fais que suggérer des choses qui j'espère peuvent aider?

Le lien MPLS fait lien internet également, le pare-feu est en cœur de réseau.
Nous avons testé des boitiers Riverbed, le problème c'est que le cache n'est que de 20 Go et ça ne suffit pas, et les users manipulent non pas 1 mais plusieurs fichiers en même temps (On est sur de la maquette numérique, avec des références comme les tableaux imbriqués dans Excel, mais là les fichiers font 10 à 15 Go et au moins 3 à 4 références par maquette). Ok ça compresse aussi mais ça n'est pas suffisant.
J'ai testé la solution du compte local sur le synology qui servirait à s'y connecter quand le wan est HS ça fonctionne bien ça va être la solution. Une gpo par agence qui déploie le script sur le bureau et hop

Je ne sais pas quel est ton budget mais je pense que la meilleure solution serait de mettre des "petits" contrôleur de domaine RODC comme proposé plus haut.
 
Tu conservera ton authentification unique, et tu n'auras pas besoin de créer et gérer des comptes locaux sur chaque NAS.

C'est horrible les RODC

Moi j'ai quand même du mal à comprendre.
 
C'est si courant que ça les coupures réseaux ?

 
Un DC marche aussi bien.

Même avec Winbind, tu n'auras plus accès aux shares.
Il te faut un rodc/ad sur site.

Et tu les as supprimé avant d'évaluer l'impact de cette modification ?
 
Il n'y a pas 36 solutions, soit tu vas au bout de ta logique et tu centralizes tout, soit tu repars sur in modèle décentralisé.

Tu as tant de coupure que ça ?  
 
Je suis quand même surpris sur un lien MPLS OBS, j'ai géré des connexion ADSL et Numericâble en abonnement perso pour des entreprises et c'était rare d'avoir des coupures et les plus longues duraient une journée.

 
Oui bien sûr, j'ai supprimé les DC sans anticiper les impacts    
La mise en place des liens de secours a été mise en place avant cette suppression. Cette solution permet de centraliser l'infra AD.
Quel rapport entre centraliser les DC et les Data ? Les DC sont sur des machines Windows plus complexes à administrer que nos NAS , je souhaitais simplifier l'infra en mettant les données sur des NAS plutôt que sur un RODC qui a un rôle serveur de fichier, d'autant qu'avec les NAS la sauvegarde local eet distante est tellement plus simple à mettre en oeuvre..
 

 
Sur 22 sites oui quand même c'est genre 1 à 2 fois par mois sur l'ensemble.
Mais le vrai problème c'est qu'à la moindre coupure plus personne ne peut travailler donc même 1 journée c'est hors de question, même 15 minutes, sinon le DG commence à appeler en direct et je ne veux plus supporter ça.
 

 
Merci pour ta confirmation.
 
J'ai trouvé une parade qui fonctionne et c'était tout con. Les données essentielles sont accessibles via un compte local du Synology.
En cas de coupure, l'utilisateur double clic sur son script qui mappe le lecteur réseau avec ce compte.

mais si tu as accès, le réseau se coupe, l'accès reste ou pas ? parce que c'est pas normal si ça coupe.

Dès qu'on ferme l'explorateur Windows. On perd l'accès si on souhaite retourner sur le lecteur réseau.
Je pense qu'à chaque demande d'accès le nas contrôle auprès de l'ad si l'user a le droit d'y aller et plus après, ou après un certain laps de temps qui m'est inconnu.

Bonjour,
 
alors :
 
1/ Comme d'autres, je ne comprends pas comment tu peux avoir autant de coupures sur des liens MPLS OBS "secourus". Tu ne vas pas me dire que t'as une ou 2 fois par mois des pelles mécaniques qui te coupent les 2 liens d'un coup ? Un secours sur une autre techno (4G, satellite ...) n'est-il pas envisageable ?
 
2/ Ton scripts me paraitrait une solution acceptable si ça ne concernait qu'un site "foireux", mais déployer ça sur 22 sites ...
En plus, le jour où ça va merder dans 6 mois ou un an, je paris que personne ne se souviendra de cette histoire de scripts et ils t’appelleront tous quand même ... A l'inverse, d'autres vont surement lancer le script à tout bout de champ dès qu'ils auront qq chose qui ne fonctionne pas comme ils le voudraient sur leurs PC.
 
3/ Enfin, une fois qu'ils sont sur ce compte local, tu ne sais plus qui fait quoi, n'y a t-il aucune gestion de droit d'accès dans ces partages ?  
Si tout est partagé à tout le monde, il est peut être préférable de fonctionner tout le temps sur un (ou des) comptes locaux sur les Syno, non
 
A+

Hello,
 
Pour te répondre aux questions :
 
1/ On a des sites sur des chantiers (qui changent tous les 18 mois +/-), car on fait du suivi de travaux. Je t'assure que ça coupe régulièrement à cause des pelles et là Orange n'y peut rien.
Aussi, dernièrement j'ai eu 2 coupures à cause d'une mise à jour de routeur lié à un changement de pare-feu. Responsabilité Orange, GTR de 4h => Résultat, ça gueule car 4h c'est juste pas possible.
Après voilà, ce sont des problèmes qui arrivent, je sais que je serais ailleurs que chez Orange ce serait bien pire..  
La solution du secours en 4G existe et qui est en cours d'étude, mais le temps de déployer il peut encore se passer des semaines / mois.
 
2/ J'ai la même logique d'un site à l'autre, il n'y a que le sous-réseau de l'agence qui change. C'est pas un problème à déployer ça..
Pour le côté procédure on a des référents qualité, on est certifié ISO, ça ne pose pas de problème de faire rentrer une procédure de + en cas de coupure réseau, ça va leur donner du boulot à la Qualité et c'est très bien il faut les occuper.
 
3/ 95% des documents de travail sont dans un répertoire restreint à un groupe global de l'AD. Les autres répertoires plus sensibles sont soit au siège mais il y a un AD local, soit ça peut attendre que le WAN revienne.
J'ai réfléchi à cette solution mais on a des gens d'une agence A qui peuvent aller sur le serveur de l'agence B chercher un doc. Le compte local d'un syno à l'autre n'est pas le même car le nom du NAS est différent, donc tout de suite ça devient compliqué côté users pour se connecter à d'autres agences et c'est pas le but.

 
OK, je comprends mieux.
 

 
Pour être clair : je ne voulais pas dire que ce serait un problème technique de déployer cette solution, je voulais juste dire que ça me semble un peu
du "bricolage" et que je ne me verrais pas déployer du "bricolage" à cette échelle (et encore moins le faire intégrer dans des procédures qualité).
 

 
OK.
 

 
Est ce que "l'inter-agence" ne pourrait pas être géré au niveau de l'AD et le local avec un compte local Syno (lecteurs réseaux différents ...) ?
De toutes façons, l'inter-agence ne marchera pas sans lien MPLS ...
 
A+
 
 
 

Je n'aime pas non plus bricoler mais là je n'ai pas vraiment le choix !
Il me faut apporter à la Direction une réponse simple, rapide à mettre en oeuvre et facilement comprise par les utilisateurs.

c'était quoi exactement le problème des RODC/DC sur les sites ?
le matériel ?
 
si oui, tu as peut être la solution de faire un RODC samba directement sur les synology
https://www.synology.com/fr-fr/dsm/ [...] _directory
 
du coup, tu conservera un AD sur chaque site et tu pourras conserver ton authentification Windows.

ta pas plus dégueulasse ?
En plus avec la super faille de samba qui vient de sortir, c'est pas le bon moment de proposer ce genre d'immondices.

 
Tu peux développer, le "plus dégueulasse" ?  

si tu veux on reparle du temps qu'a mis M$ a "patcher" SMBv1
 
je n'ai jamais dit que c'était LA solution, mais que ça peut en être une.
a tester

il a jamais testé, il sait pas de quoi il parle

On est d'accord.

Personnellement je serais parti sur du lxc/docker pour créer des rodc sur chaque site. Tout cela déployer avec du ansible. Comme cela, le Nas s'occupe de la partie serveur de fichiers et pour le container la partie authentification.

Par contre, le backup 4G serait primordial.

Bah un RODC c'est déjà qqch à se débarrasser un maximum, ensuite un DC samba dans un domaine windows c'est le summum du crade et te sort de la supportabilité de plein de produits MS.

 
Ah en effet je pensais pas qu'on puisse proposer qqch d'encore plus dégueu mais tu viens de le faire.
Penses-tu sérieusement qu'un container soit qqch d'adapté à un contrôleur de domaine ?

 
Tu peux me dire ce que tu as en alternative au RODC ?  
 
On parle de RODC, le truc que tu peux supprimer sans soucis, qui n'a aucun impacte sur ta prod.
 

 
Je crois que tu connais mal le monde de l'open source.  

Tu te débrouilles pour que Kerberos fonctionne comme il devrait en utilisant le ticket pour la durée qu'il est censé être valide (10h par défaut).
Un user déjà authentifié sur un service n'a pas besoin de se reauth à chaque accès.
 
Un RODC a des impacts sur ta prod, c'est une invention qui s'est avérée n'être qu'une plaie vu sa gestion par nombre de logiciels clients et serveurs.
 
Et je connais très bien le monde de l'open source, pour y contribuer quotidiennement

Pour répondre quand même sur un point sujet à débat, on ne peut pas intégrer le Synology Directory Server sur un AD Windows, je sais j'ai essayé de faire de la merde    
Le compte local c'est pas si mal, j'ai pas envie de monter des usines à gaz les mecs, je suis seul admin de tout ce bronx déjà   et effectivement, les RODC moins on en a mieux on se porte, même les AD, sur 2 sites ça suffit largement

Il me semble cependant que Synology a un paquet qui peut faire office de DC pour un AD existant.

D'autant que Syno a deja patché la faille smb il me semble.

Et pour info une infra ad mixte windows / samba ca marche bien si c'est bien fait.

Mais tu trolles là ce n'est pas possible

 
Ca marchouille en restant sur des fonctionnalités d'il y a 10 ans ouais
Et tu n'es plus supporté par MS. Je vois pas du tout l'intérêt.

Et pourtant non.

Ça marche bien en prod sur 90 sites.  

 
A quoi sert le backup 4G si primordial alors que tu peux t'auth en local ?
 
Ca fait usine à gaz quand même ton système, il y a plus simple, sauf si vous êtes trop à l'IT et qu'il faut vous occuper.

Quand je dis backup 4G c'est pour l'accès à internet hein !

Des RODC sur du Docker ? Si c'est le championnat du monde de l'infra la plus crade tu es bien placé dans ce cas.