Зробіть контролер домену БЕЗКОШТОВНИМ 😳 Synology NAS + налаштування групової політики!

Знайте, що ви будуєте

Synology NAS може працювати як справжній контролер домену за допомогою безкоштовного пакета Synology Directory Server із Package Center. Під капотом це контролер домену Active Directory на основі Samba: він розмовляє Kerberos, зберігає ваші облікові записи користувачів і комп’ютери в одній базі даних і забезпечує застосування групової політики на комп’ютерах Windows — ті самі щоденні завдання, які виконує контролер домену Windows Server у невеликому офісі.

Що робить його привабливим, так це те, чого не вистачає: жодної ліцензії Windows Server і жодних ліцензій CAL (ліцензій клієнтського доступу). Пакет безкоштовний, NAS, яким ви вже володієте для файлів, стає сервером входу, і один обліковий запис на особу працює для ПК, спільних папок та інших служб DSM.

Підготуйте NAS перед початком

Спочатку виконайте ці перевірки, оскільки дві з них є постійними. Сумісна модель: Directory Server встановлюється лише зі списку підтримуваних моделей Synology — як правило, серії Plus і вище — тому перевірте свою точну модель на офіційній сторінці прикладних моделей Synology, перш ніж щось планувати. DSM 7.1 або новішої версії та фіксовану статичну IP-адресу для NAS: контролер домену, адреса якого змінюється, є несправним офісом.

Далі остаточне ім’я хосту NAS — після активації сервера каталогів ім’я хоста NAS не можна змінити, тому назвіть його належним чином зараз (наприклад, NAS01), а не пізніше. Виберіть ім’я домену, яке ви збережете, щось на зразок office.local: принаймні дві частини, прості символи, і воно не може збігатися з ім’ям сервера NAS.

Установіть сервер каталогів і створіть домен

Відкрийте Package Center на NAS і встановіть Synology Directory Server. Він працює разом із пакетом DNS-сервера, який потрібен домену для розпізнавання імен — також установіть його, якщо DSM запитає. Потім запустіть сервер каталогів і запустіть майстер початкового налаштування.

Введіть ім’я домену (ім’я робочої групи/NetBIOS заповнюється автоматично — для office.local воно стає OFFICE) і встановіть надійний пароль для облікового запису адміністратора домену. Зберігайте цей пароль у менеджері паролів — це головний ключ офісу. Підтвердьте та натисніть Застосувати: тепер DSM створює домен і перетворює NAS на контролер домену. Нехай це закінчиться без перерви.

Направте DNS на NAS і перевірте його

Домен працює, лише якщо комп’ютери можуть його знайти, а комп’ютери знаходять його через DNS. Встановіть параметри DHCP маршрутизатора (або кожного ПК вручну), щоб адреса сервера DNS була IP-адресою NAS. Спочатку перевірте на одному комп’ютері — ця команда має відповісти IP-адресою NAS:

nslookup office.local

Створити політику користувачів, груп і паролів

Відкрийте сервер каталогів на NAS і створіть своїх людей: один обліковий запис на реальну особу, ніколи спільних облікових записів. Додайте групи, які відповідають принципам роботи офісу — облікові записи, продажі, офісний персонал — і об’єднайте людей у ​​групи. Пізніше дозволи та політики щодо файлів будуть націлені на групи, тому нове приєднання налаштовується шляхом додавання членства в групах, а не шляхом перебудови налаштувань ПК за ПК.

Установіть політику паролів, коли ви тут: сервер каталогів підтримує правила надійності пароля (довжина, термін дії, історія) і блокування облікового запису після повторного введення неправильних паролів. Увімкніть блокування — це ваш дешевий захист від вгадування пароля.

Приєднайте ПК з Windows до домену

На ПК переконайтеся, що його DNS вказує на NAS (крок 4) і що годинник ПК правильний — Kerberos відмовляється входити, коли годинники розходяться. Відкрийте властивості системи за допомогою діалогового вікна «Виконати» (Win + R):

sysdm.cpl

Use the Computer Name tab → Change, select Domain and enter office.local, then give the domain administrator credentials when asked. (The same join is available under Settings → System → About → Join a domain.) Restart the PC and log in with a domain user account, then verify the login in Command Prompt:

whoami

It should show the domain name before the username — for example office\anshu — which confirms the PC is on the domain and you are signed in with a domain account.

Налаштуйте першу групову політику за допомогою RSAT

У DSM немає редактора групової політики — за задумом ви керуєте політиками належним чином для Windows за допомогою RSAT (інструментів віддаленого адміністрування сервера) на комп’ютері з Windows 10/11 Pro, підключеному до домену. Установіть його з Налаштування → Програми → Додаткові функції → Додати функцію: додайте інструменти RSAT: інструменти керування груповою політикою та RSAT: служби домену Active Directory. Потім відкрийте керування груповою політикою:

gpmc.msc

It connects to your Synology domain automatically when the PC is domain-joined. Create a first harmless policy — a mapped network drive to the NAS share, or a standard desktop wallpaper — link it to your users, then apply it on a test PC right away:

gpupdate /force

Confirm the policy applied. Drive mapping, folder redirection and roaming profiles all work through these policies — that is exactly what the video demonstrates end to end.

Знайте межі чесності

Це справжній контролер домену для малих офісів, а не 100% клон Windows Server Active Directory. Знайте переваги: ​​він підтримує один домен; функціональний рівень дорівнює Windows Server 2008 R2; модуль PowerShell Active Directory не підтримується; DFSR не підтримується; і він не може створювати довіри з окремим доменом Windows Server. Другий Synology може приєднатися як додатковий контролер, але лише для домену, створеного Synology.

Для офісу з 5–30 осіб, якому потрібні логіни, політики та центральні облікові записи, нічого з цього не блокує роботу — і ви повністю пропустили ліцензію Windows Server і клієнтські ліцензії.