Gjør domenekontrolleren GRATIS 😳 Synology NAS + Group Policy Setup!

Know What You Are Building

En Synology NAS kan fungere som en ekte domenekontroller ved å bruke den gratis pakken Synology Directory Server fra Package Center. Under the hood it is a Samba-based Active Directory domain controller: it speaks Kerberos, holds your user accounts and computers in one database, and enforces Group Policy on Windows PCs — the same daily jobs a Windows Server domain controller does in a small office.

Det som gjør det attraktivt er det som mangler: ingen Windows Server-lisens og ingen CAL-er (klienttilgangslisenser). The package is free, the NAS you already own for files becomes the login server, and one account per person works for the PC, the shared folders and the other DSM services.

Prepare the NAS Before You Start

Gjør disse kontrollene først, fordi to av dem er permanente. Kompatibel modell: Directory Server installeres bare på Synologys støttede modellliste – vanligvis Plus-serien og over – så sjekk din eksakte modell på Synologys offisielle side for brukte modeller før du planlegger noe. DSM 7.1 eller nyere og en fast statisk IP for NAS-en: en domenekontroller hvis adresseendringer er et ødelagt kontor.

Deretter, det endelige NAS-vertsnavnet — når Directory Server er aktivert, kan ikke NAS-vertsnavnet endres, så navngi det riktig nå (for eksempel NAS01), ikke senere. And pick a domain name you will keep, something like office.local: at least two parts, simple characters, and it cannot be the same as the NAS server name.

Installer katalogserver og opprett domenet

Åpne Package Center på NAS-en og installer Synology Directory Server. Den fungerer sammen med DNS Server-pakken, som domenet trenger for navneløsning – installer det også hvis DSM spør. Start deretter Directory Server og start oppsettsveiviseren for første gang.

Skriv inn domenenavnet (arbeidsgruppen / NetBIOS-navnet fylles ut automatisk – for office.local blir det OFFICE), og angi et sterkt passord for domeneadministratorkontoen. Lagre dette passordet i en passordbehandling - det er hovednøkkelen til kontoret. Bekreft og klikk Bruk: DSM oppretter nå domenet og promoterer NAS-en til en domenekontroller. Let it finish without interruption.

Point DNS at the NAS and Test It

Et domene fungerer bare hvis PC-er kan finne det, og PC-er finner det gjennom DNS. Angi ruterens DHCP-innstillinger (eller hver PC manuelt) slik at DNS-serveradressen er NAS-ens IP. Test først på én PC – denne kommandoen skal svare med NAS-ens IP-adresse:

nslookup office.local

Opprett retningslinjer for brukere, grupper og passord

Åpne Directory Server på NAS-en og lag folkene dine: én konto per ekte person, aldri delte kontoer. Legg til grupper som samsvarer med hvordan kontoret fungerer – kontoer, salg, kontorpersonale – og sett folk i grupper. Senere vil filtillatelser og policyer målrettes mot gruppene, så en ny medlem settes opp ved å legge til gruppemedlemskap, ikke ved å gjenoppbygge innstillinger PC for PC.

Angi passordpolicyen mens du er her: Directory Server støtter passordstyrkeregler (lengde, utløp, historikk) og kontolåsing etter gjentatte feil passord. Slå på lockout – det er ditt billige forsvar mot gjetting av passord.

Join the Windows PC to the Domain

På PC-en, bekreft DNS-punktene til NAS-en (trinn 4) og at PC-klokken er riktig — Kerberos nekter pålogging når klokkene går fra hverandre. Åpne Systemegenskaper med Kjør-dialogen (Win + R):

Set Your First Group Policy with RSAT

Det er ingen gruppepolicyredigerer i DSM – ved design administrerer du policyer på riktig måte i Windows, med RSAT (Remote Server Administration Tools) på en domenekoblet Windows 10/11 Pro PC. Installer den fra Innstillinger → Apper → Valgfrie funksjoner → Legg til en funksjon: legg til RSAT: Group Policy Management Tools og RSAT: Active Directory Domain Services-verktøy. Then open Group Policy Management:

Kjenn de ærlige grensene

Dette er en ekte domenekontroller for små kontorer, ikke en 100 % klone av Windows Server Active Directory. Kjenn kantene: den støtter et enkelt domene; funksjonsnivået tilsvarer Windows Server 2008 R2; Active Directory PowerShell-modulen støttes ikke; DFSR støttes ikke; og den kan ikke danne tilliter med et separat Windows Server-domene. En annen Synology kan bli med som en ekstra kontroller, men bare for et domene Synology opprettet.

For et kontor på 5–30 personer som trenger pålogginger, policyer og sentrale kontoer, blokkerer ingenting av dette jobben – og du hoppet over Windows Server-lisensen og CAL-ene.