Faceți controlerul de domeniu GRATUIT 😳 Synology NAS + Configurare politică de grup!

Aflați ce construiți

Un Synology NAS poate funcționa ca un controler de domeniu real folosind pachetul gratuit Synology Directory Server de la Package Center. Sub capotă se află un controler de domeniu Active Directory bazat pe Samba: vorbește Kerberos, vă păstrează conturile de utilizator și computerele într-o singură bază de date și aplică politica de grup pe computerele Windows - aceleași sarcini zilnice pe care le face un controler de domeniu Windows Server într-un birou mic.

Ceea ce îl face atractiv este ceea ce lipsește: fără licență Windows Server și fără CAL (licențe de acces client). Pachetul este gratuit, NAS-ul pe care îl dețineți deja pentru fișiere devine serverul de conectare și un cont de persoană funcționează pentru computer, folderele partajate și celelalte servicii DSM.

Pregătiți NAS-ul înainte de a începe

Efectuați mai întâi aceste verificări, deoarece două dintre ele sunt permanente. Model compatibil: Directory Server se instalează numai pe lista de modele acceptate de Synology – în general seria Plus și mai sus – deci verificați modelul dvs. exact pe pagina oficială de modele aplicate a Synology înainte de a planifica orice. DSM 7.1 sau o versiune ulterioară și un IP static fix pentru NAS: un controler de domeniu a cărui adresă se modifică este un birou deteriorat.

În continuare, numele de gazdă NAS final — odată ce Directory Server este activat, numele de gazdă NAS nu poate fi schimbat, așa că numiți-l corect acum (de exemplu NAS01), nu mai târziu. Și alegeți un nume de domeniu pe care îl veți păstra, ceva de genul office.local: cel puțin două părți, caractere simple și nu poate fi același cu numele serverului NAS.

Instalați Directory Server și creați domeniul

Deschideți Package Center pe NAS și instalați Synology Directory Server. Funcționează împreună cu pachetul Server DNS, de care domeniul are nevoie pentru rezoluția numelui - instalați și acesta dacă DSM vă solicită. Apoi lansați Directory Server și porniți asistentul de configurare pentru prima dată.

Introduceți numele domeniului (numele grupului de lucru/NetBIOS se completează automat — pentru office.local devine OFFICE) și setați o parolă puternică pentru contul de administrator al domeniului. Stocați această parolă într-un manager de parole - este cheia principală a biroului. Confirmați și faceți clic pe Aplicați: DSM acum creează domeniul și promovează NAS la un controler de domeniu. Lasă-l să se termine fără întrerupere.

Indreptați DNS către NAS și testați-l

Un domeniu funcționează numai dacă computerele îl pot găsi, iar computerele îl găsesc prin DNS. Setați setările DHCP ale routerului (sau fiecare PC manual), astfel încât adresa serverului DNS să fie IP-ul NAS. Testați mai întâi pe un computer — această comandă ar trebui să răspundă cu adresa IP a NAS:

nslookup office.local

Creați o politică privind utilizatorii, grupurile și parolele

Deschide Directory Server pe NAS și creează-ți oamenii: un cont pentru fiecare persoană reală, conturi niciodată partajate. Adăugați grupuri care se potrivesc cu modul în care funcționează biroul — Conturi, Vânzări, Personal de birou — și puneți oamenii în grupuri. Ulterior, permisiunile și politicile de fișiere vor viza grupurile, astfel încât un nou membru este configurat prin adăugarea de membri ai grupului, nu prin reconstruirea setărilor PC cu PC.

Setați politica privind parolele în timp ce vă aflați aici: Directory Server acceptă regulile de putere a parolei (lungime, expirare, istoric) și blocarea contului după parole greșite repetate. Activați blocarea — este apărarea dvs. ieftină împotriva ghicirii parolelor.

Conectați PC-ul Windows la domeniu

Pe computer, confirmați punctele sale DNS către NAS (Pasul 4) și că ceasul PC-ului este corect — Kerberos refuză autentificarea când ceasurile se îndepărtează. Deschideți Proprietățile sistemului cu caseta de dialog Run (Win + R):

sysdm.cpl

Use the Computer Name tab → Change, select Domain and enter office.local, then give the domain administrator credentials when asked. (The same join is available under Settings → System → About → Join a domain.) Restart the PC and log in with a domain user account, then verify the login in Command Prompt:

whoami

It should show the domain name before the username — for example office\anshu — which confirms the PC is on the domain and you are signed in with a domain account.

Setați prima politică de grup cu RSAT

Nu există un editor de politici de grup în interiorul DSM — prin proiectare, gestionați politicile în mod corespunzător Windows, cu RSAT (Instrumente de administrare a serverului la distanță) pe un computer Windows 10/11 Pro alăturat unui domeniu. Instalați-l din Setări → Aplicații → Caracteristici opționale → Adăugați o funcție: adăugați instrumente RSAT: Instrumente de gestionare a politicilor de grup și RSAT: Servicii de domeniu Active Directory. Apoi deschideți Gestionarea politicii de grup:

gpmc.msc

It connects to your Synology domain automatically when the PC is domain-joined. Create a first harmless policy — a mapped network drive to the NAS share, or a standard desktop wallpaper — link it to your users, then apply it on a test PC right away:

gpupdate /force

Confirm the policy applied. Drive mapping, folder redirection and roaming profiles all work through these policies — that is exactly what the video demonstrates end to end.

Cunoașteți limitele oneste

Acesta este un controler de domeniu autentic pentru birouri mici, nu o clonă 100% a Windows Server Active Directory. Cunoașteți marginile: acceptă un domeniu unic; nivelul funcțional este egal cu Windows Server 2008 R2; modulul Active Directory PowerShell nu este acceptat; DFSR nu este acceptat; și nu poate forma trusturi cu un domeniu Windows Server separat. Un al doilea Synology se poate alătura ca controler suplimentar, dar numai pentru un domeniu creat de Synology.

Pentru un birou de 5-30 de persoane care are nevoie de autentificări, politici și conturi centrale, nimic din toate acestea nu blochează sarcina - și ați omis complet licența Windows Server și CAL-urile.