Gör domänkontrollern GRATIS 😳 Synology NAS + gruppolicyinställning!

Vet vad du bygger

En Synology NAS kan fungera som en riktig domänkontrollant med det kostnadsfria paketet Synology Directory Server från Package Center. Under huven är det en Samba-baserad Active Directory-domänkontrollant: den talar Kerberos, håller dina användarkonton och datorer i en databas och tillämpar gruppolicy på Windows-datorer – samma dagliga jobb som en Windows Server-domänkontrollant gör på ett litet kontor.

Det som gör det attraktivt är det som saknas: ingen Windows Server-licens och inga CAL:er (Client Access Licences). Paketet är gratis, den NAS du redan äger för filer blir inloggningsservern och ett konto per person fungerar för PC:n, de delade mapparna och de andra DSM-tjänsterna.

Förbered NAS:en innan du börjar

Gör dessa kontroller först, eftersom två av dem är permanenta. Kompatibel modell: Katalogserver installeras bara på Synologys modelllista som stöds – vanligtvis Plus-serien och högre – så kontrollera din exakta modell på Synologys officiella sida med tillämpade modeller innan du planerar något. DSM 7.1 eller senare och en fast statisk IP för NAS:en: en domänkontrollant vars adressändringar är ett trasigt kontor.

Nästa, det slutliga NAS-värdnamnet — när Directory Server har aktiverats kan NAS-värdnamnet inte ändras, så namnge det ordentligt nu (till exempel NAS01), inte senare. Och välj ett domännamn som du kommer att behålla, något som office.local: minst två delar, enkla tecken, och det kan inte vara detsamma som NAS-serverns namn.

Installera katalogserver och skapa domänen

Öppna Package Center på NAS:en och installera Synology Directory Server. Det fungerar tillsammans med DNS Server-paketet, som domänen behöver för namnupplösning – installera det också om DSM frågar. Starta sedan Directory Server och starta installationsguiden för första gången.

Ange domännamnet (arbetsgruppen / NetBIOS-namnet fylls i automatiskt — för office.local blir det OFFICE) och ange ett starkt lösenord för domänadministratörskontot. Lagra detta lösenord i en lösenordshanterare - det är huvudnyckeln på kontoret. Bekräfta och klicka på Använd: DSM skapar nu domänen och marknadsför NAS till en domänkontrollant. Låt det avslutas utan avbrott.

Rikta DNS mot NAS:n och testa den

En domän fungerar bara om datorer kan hitta den och datorer hittar den via DNS. Ställ in routerns DHCP-inställningar (eller varje dator manuellt) så att DNS-serveradressen är NAS:s IP. Testa på en PC först — det här kommandot ska svara med NAS:s IP-adress:

nslookup office.local

Skapa användare, grupper och lösenordspolicy

Öppna Directory Server på NAS:en och skapa dina personer: ett konto per riktig person, aldrig delade konton. Lägg till grupper som matchar hur kontoret fungerar — konton, försäljning, kontorspersonal — och placera personer i grupper. Senare kommer filbehörigheter och policyer att riktas mot grupperna, så en ny medlem skapas genom att lägga till gruppmedlemskap, inte genom att bygga om inställningarna PC för PC.

Ställ in lösenordspolicyn när du är här: Directory Server stöder regler för lösenordsstyrka (längd, utgång, historik) och kontolåsning efter upprepade felaktiga lösenord. Aktivera lockout – det är ditt billiga försvar mot lösenordsgissning.

Gå med Windows-datorn till domänen

På datorn, bekräfta att dess DNS-punkter går till NAS:en (steg 4) och att PC-klockan är korrekt — Kerberos vägrar inloggning när klockorna går isär. Öppna systemegenskaper med dialogrutan Kör (Win + R):

Ställ in din första gruppolicy med RSAT

Det finns ingen grupprincipredigerare inuti DSM – genom design hanterar du policyer på rätt Windows-sätt, med RSAT (Remote Server Administration Tools) på en domänansluten Windows 10/11 Pro PC. Installera det från Inställningar → Appar → Valfria funktioner → Lägg till en funktion: lägg till RSAT: Verktyg för gruppolicyhantering och RSAT: Active Directory Domain Services. Öppna sedan Group Policy Management:

Känn de ärliga gränserna

Detta är en äkta domänkontrollant för små kontor, inte en 100 % klon av Windows Server Active Directory. Känna till kanterna: den stöder en enskild domän; funktionsnivån är lika med Windows Server 2008 R2; Active Directory PowerShell-modulen stöds inte; DFSR stöds inte; och det kan inte bilda förtroende med en separat Windows Server-domän. En andra Synology kan gå med som en extra kontroller, men bara för en domän som Synology skapade.

För ett kontor med 5–30 personer som behöver inloggningar, policyer och centrala konton blockerar inget av detta jobbet – och du hoppade över Windows Server-licensen och CAL:erna helt.