Gawing LIBRE ang Domain Controller 😳 Synology NAS + Group Policy Setup!

Alamin Kung Ano ang Iyong Ginagawa

Ang Synology NAS ay maaaring gumana bilang isang tunay na domain controller gamit ang libreng Synology Directory Server na package mula sa Package Center. Sa ilalim ng hood ito ay isang Samba-based Active Directory domain controller: nagsasalita ito ng Kerberos, hawak ang iyong mga user account at computer sa isang database, at nagpapatupad ng Group Policy sa mga Windows PC — ang parehong araw-araw na trabaho ng Windows Server domain controller sa isang maliit na opisina.

Ang nakakaakit dito ay kung ano ang nawawala: walang lisensya ng Windows Server at walang CAL (Mga Lisensya sa Pag-access ng Kliyente). Libre ang package, ang NAS na pagmamay-ari mo na para sa mga file ay nagiging server sa pag-log in, at gumagana ang isang account bawat tao para sa PC, sa mga nakabahaging folder at sa iba pang serbisyo ng DSM.

Ihanda ang NAS Bago Ka Magsimula

Gawin muna ang mga pagsusuring ito, dahil ang dalawa sa mga ito ay permanente. Katugmang modelo: Ang Directory Server ay nag-i-install lamang sa listahan ng sinusuportahang modelo ng Synology — sa pangkalahatan ay ang Plus series at mas mataas — kaya tingnan ang iyong eksaktong modelo sa opisyal na pahina ng mga inilapat na modelo ng Synology bago magplano ng anuman. DSM 7.1 o mas bago at isang nakapirming static na IP para sa NAS: isang domain controller na ang address ay nagbabago ay isang sirang opisina.

Susunod, ang panghuling NAS hostname — kapag na-activate na ang Directory Server, hindi na mababago ang NAS hostname, kaya pangalanan ito nang maayos ngayon (halimbawa NAS01), hindi mamaya. At pumili ng isang domain name na pananatilihin mo, tulad ng office.local: kahit man lang dalawang bahagi, simpleng character, at hindi ito maaaring pareho sa pangalan ng server ng NAS.

I-install ang Server ng Direktoryo at Lumikha ng Domain

Buksan ang Package Center sa NAS at i-install ang Synology Directory Server. Gumagana ito kasama ng DNS Server package, na kailangan ng domain para sa paglutas ng pangalan — i-install din iyon kung hihilingin ng DSM. Pagkatapos ay ilunsad ang Directory Server at simulan ang unang beses na setup wizard.

Ilagay ang domain name (awtomatikong mapupunan ang pangalan ng workgroup / NetBIOS — para sa office.local ito ay magiging OFFICE), at magtakda ng malakas na password para sa domain administrator account. Itago ang password na ito sa isang password manager — ito ang master key ng opisina. Kumpirmahin at i-click ang Ilapat: Ginagawa na ngayon ng DSM ang domain at pino-promote ang NAS sa isang domain controller. Hayaan itong matapos nang walang pagkaantala.

Ituro ang DNS sa NAS at Subukan Ito

Gumagana lang ang isang domain kung mahahanap ito ng mga PC, at mahahanap ito ng mga PC sa pamamagitan ng DNS. Itakda ang mga setting ng DHCP ng router (o ang bawat PC nang manu-mano) upang ang DNS server address ay ang IP ng NAS. Subukan muna sa isang PC — dapat sumagot ang command na ito gamit ang IP address ng NAS:

nslookup office.local

Lumikha ng Mga User, Grupo at Patakaran sa Password

Buksan ang Directory Server sa NAS at likhain ang iyong mga tao: isang account sa bawat totoong tao, hindi kailanman nakabahaging mga account. Magdagdag ng mga pangkat na tumutugma sa kung paano gumagana ang opisina — Mga Account, Sales, Staff ng Opisina — at ilagay ang mga tao sa mga grupo. Sa ibang pagkakataon, ita-target ng mga pahintulot at patakaran ng file ang mga grupo, kaya ang isang bagong joiner ay naka-set up sa pamamagitan ng pagdaragdag ng mga membership ng grupo, hindi sa pamamagitan ng muling pagbuo ng mga setting ng PC sa pamamagitan ng PC.

Itakda ang patakaran sa password habang narito ka: Sinusuportahan ng Directory Server ang mga panuntunan sa lakas ng password (haba, expiry, history) at lockout ng account pagkatapos ng paulit-ulit na mga maling password. I-on ang lockout — ito ang iyong murang depensa laban sa paghula ng password.

Sumali sa Windows PC sa Domain

Sa PC, kumpirmahin ang mga DNS point nito sa NAS (Hakbang 4) at na ang PC clock ay tama — Tinatanggihan ni Kerberos ang mga pag-login kapag naghiwalay ang mga orasan. Buksan ang System Properties gamit ang Run dialog (Win + R):

sysdm.cpl

Use the Computer Name tab → Change, select Domain and enter office.local, then give the domain administrator credentials when asked. (The same join is available under Settings → System → About → Join a domain.) Restart the PC and log in with a domain user account, then verify the login in Command Prompt:

whoami

It should show the domain name before the username — for example office\anshu — which confirms the PC is on the domain and you are signed in with a domain account.

Itakda ang Iyong Unang Patakaran sa Grupo gamit ang RSAT

Walang editor ng Group Policy sa loob ng DSM — ayon sa disenyo, pinamamahalaan mo ang mga patakaran sa wastong paraan ng Windows, gamit ang RSAT (Remote Server Administration Tools) sa isang Windows 10/11 Pro PC na sumali sa domain. I-install ito mula sa Mga Setting → Apps → Mga opsyonal na feature → Magdagdag ng feature: magdagdag ng RSAT: Group Policy Management Tools at RSAT: Active Directory Domain Services na mga tool. Pagkatapos ay buksan ang Group Policy Management:

gpmc.msc

It connects to your Synology domain automatically when the PC is domain-joined. Create a first harmless policy — a mapped network drive to the NAS share, or a standard desktop wallpaper — link it to your users, then apply it on a test PC right away:

gpupdate /force

Confirm the policy applied. Drive mapping, folder redirection and roaming profiles all work through these policies — that is exactly what the video demonstrates end to end.

Alamin ang Mga Matapat na Limitasyon

Ito ay isang tunay na domain controller para sa maliliit na opisina, hindi isang 100% clone ng Windows Server Active Directory. Alamin ang mga gilid: sinusuportahan nito ang isang iisang domain; ang antas ng pagganap ay katumbas ng Windows Server 2008 R2; ang Active Directory PowerShell module ay hindi suportado; Hindi sinusuportahan ang DFSR; at hindi ito makakabuo ng mga trust na may hiwalay na domain ng Windows Server. Maaaring sumali ang pangalawang Synology bilang karagdagang controller, ngunit para lang sa isang domain na ginawa ng Synology.

Para sa isang 5–30 tao na opisina na nangangailangan ng mga pag-login, mga patakaran at mga sentral na account, wala sa mga ito ang humaharang sa trabaho — at nilaktawan mo ang lisensya ng Windows Server at ang mga CAL nang buo.