Einstieg in die Leistungsverbesserung von Domänencontrollern – Teil 2 So konfigurieren Sie Domänen­con­troller richtig

Im zweiten Teil unserer Reihe zum Verbessern der Leistung von Domänencontrollern, zeigen wir weitere Tipps, wie bspw. die richtige Positionierung des globalen Katalogs und die Verbesserung der LDAP-Anbindung.

In einigen Netzwerken neigen Verantwortliche dazu auf Domänencontrollern zusätzliche Serverdienste zu installieren, da die Server nach eigener Meinung sonst nicht viel zu tun haben. Das ist in jedem Fall keine gute Idee, da dadurch nicht nur die Sicherheit von Active Directory kompromittiert werden kann, sondern auch die Leistung leidet. Genau das Gegenteil dieser Maßnahme wäre daher sinnvoll.

Domänencontroller entlasten

Auf Domänencontrollern sollten generell keine weiteren Dienste installiert sein – mit Ausnahme von DNS. Reicht die Leistung des Servers aus, kann zwar durchaus auch DHCP auf einem DC installiert werden, allerdings sollte schon das mit Sorgfalt erfolgen.

Bildergalerie

Bei bereits ausgelasteten Domänencontrollern sollte DHCP selbstverständlich auf anderen Servern betrieben werden. Nutzten Unternehmen die Active-Directory-Integration von DNS, ist es sinnvoll, den Dienst auch auf Domänencontrollern zu betreiben.

In jedem Fall sollten auf einem Domänencontroller aber keine AD-fremden Programme zum Einsatz kommen. Auch der Betrieb einer Active-Directory-Zertifizierungsstelle ist generell auf einem anderen Server sinnvoll.

Schnelle Netzwerkverbindung sicherstellen

Selbstverständlich muss ein Domänencontroller über eine leistungsstarke Verbindung zum Netzwerk verfügen. Das muss beim Konfigurieren einer VM ebenfalls Berücksichtigung finden. Hier kann es auch bei virtuellen Domänencontrollern sinnvoll sein, dedizierte Netzwerkverbindungen zur Verfügung zu stellen. Domänencontroller sollten mindestens mit 1 Gbit/s angebunden sein.

Globalen Katalog richtig einsetzen

Der globale Katalog (Global Catalog, GC) ist ein wichtiger Bestandteil in Active Directory. Er enthält umfassende Informationen zu Active Directory und kann daher Anfragen schnell beantworten. Allerdings muss ein GC dazu auch mehr Daten speichern.

Es ist durchaus sinnvoll, an jedem Active-Directory-Standort mindestens einen GC zu positionieren. Es ist aber selten sinnvoll, zu viele Domänencontroller als GC zu konfigurieren. Denn durch diese Konfiguration müssen sehr viele Daten zwischen den Servern repliziert werden. Das erhöht die Auslastung der Ressourcen der beteiligten Server und auch des Netzwerks.

Globalen Katalog nach Microsoft-Empfehlungen planen

Microsoft empfiehlt beim Einsatz einer einzelnen Domäne an einem einzelnen Standort die Konfiguration aller DCs zum globalen Katalog (Quelle: Planning Global Catalog Server Placement). Da ohnehin alle Authentifizierungen in einem Single-Domain-Forest von jedem Domänencontroller abgewickelt werden können, erhöhen sich Speicher und Replikationsbedarf hier nicht, wenn mehrere GCs zum Einsatz kommen.

Die Planung der globalen Kataloge spielt vor allem eine wichtige Rolle, wenn es mehrere Domänen und Active-Directory-Standorte gibt. In einer solchen Infrastruktur müssen Domänencontroller Authentifizierungsanfragen für andere Domänen in der Gesamtstruktur über globale Kataloge leiten. Daher spielt hier die strukturelle Aufteilung eine wichtige Rolle.

Globale Kataloge konfigurieren

Die Konfiguration eines Servers zum globalen Katalog findet in „Active Directory- Standorte und -Dienste“ (dssite.msc) statt. Unterhalb jedes Standorts ist der Ordner „Servers“ mit den Domänencontrollern zu finden. Unterhalb jedes Domänencontrollers gibt es den Menüpunkt „NTDS Settings“ In den Eigenschaften dieses Eintrags können Domänencontroller zum globalen Katalog konfiguriert werden.

Domänencontroller mit der Infrastrukturmaster-Rolle sollten nicht zum globalen Katalog konfiguriert werden. Die beiden Rollen sind nicht kompatibel miteinander, außer alle Domänencontroller sind GCs und es ist nur eine Domäne im Einsatz.

Falsche Konfiguration führen hier zu Problemen bei der Zuordnung von Benutzerkonten zu Gruppen in verschiedenen Domänen, was wiederum in einem Ausbremsen der Zugriffe resultiert.

Zwischenspeichern von Mitgliedschaften universeller Gruppen aktivieren

Wenn in Active Directory mehrere Standorte konfiguriert sind und mit „Universellen Gruppen“ in Active Directory gearbeitet wird, sollte für jeden Standort die Zwischenspeicherung der Gruppen erfolgen. Universelle Gruppen sind in allen Domänen der Gesamtstruktur verfügbar und können Mitglieder aus allen Domänen enthalten. Sind solche Gruppen Grundlage in einer Berechtigungsstruktur, sollten die Gruppenmitglieder schnell auflösbar sein. Das ist auf globalen Katalog-Servern kein Problem, da hier die Mitgliedschaften der universellen Gruppen gespeichert sind.

Wenn aber ein Standort mit einer langsamen WAN-Verbindung angebunden ist, kann es sinnvoll sein hier auf die Konfiguration eines GCs zu verzichten und stattdessen für den Domänencontroller an diesem Standort die Zwischenspeicherung der globalen Gruppen zu aktivieren. Auch diese Konfiguration steht in „Active Directory- Standorte und -Dienste“ (dssite.msc) zur Verfügung.

Durch das Anklicken eines AD-Standortes ist in der Mitte des Fensters der Menüpunkt „NTDS Site Settings“ zu sehen. In dessen Eigenschaften kann die Option „Zwischenspeichern der universellen Gruppenmitgliedschaft aktivieren“ gesetzt werden. Die Option „Cache aktualisieren“ muss nicht angepasst werden. Der Server findet den nächsten GC zur Aktualisierung von sich aus.

Fehler vor Leistungsverbesserung beheben

Für ein leistungsstarkes Active Directory ist es natürlich auch wichtig, dass sich die Domänencontroller miteinander synchronisieren können und dass keine Fehler auf den Domänencontroller vorliegen. Dazu stehen in der Befehlszeile Tools wie dcdiag, repadmin und nltest zur Verfügung. Die wichtigsten Optionen sind hier dcdiag /v für ausführliche Diagnosen, repadmin /showreps für das Überwachten der Replikation und nltest /dclist <Name der Domäne> für das Anzeigen aller Domänencontroller einer Active Directory-Domäne.

Vor Leistungsverbesserungen sollte daher immer eine Analyse stehen, mit der alle Fehler ausgeschlossen werden. Gefundene Fehler sind in den meisten Fällen über eine Suchmaschine schnell aufzulösen und zu beheben oder zumindest einzugrenzen. Optimierungen in AD machen erst dann Sinn, wenn das Active Directory auch fehlerfrei funktioniert.

LdapSrvWeight und LdapSrvPriority: LDAP-Gewichtung anpassen

Domänencontroller lassen sich in Active Directory gewichten. Mit der Gewichtung wird die Wahrscheinlichkeit gesteuert, in der Clients einen bestimmten Domänencontroller anfragen. Schnellere Server können dadurch höher gewichtet werden, was langsamere Server entlastet und gleichzeitig die Geschwindigkeit von Active Directory beschleunigen kann.

Gewichtung von Domänencontrollern anpassen

Die Konfiguration der Gewichtung findet in der Registry auf den Domänencontrollern durch die Anpassung des Werts „LdapSrvWeight“ im Pfad „HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters“ statt. Clients kontaktieren die Domänencontroller mit niedrigen Werten vor Domänencontrollern mit höheren Werten. Niedrige Werte bedeuten also eine hohe Gewichtung Bei gleichen Werten nutzen die Clients eine statistische Berechnung.

Ein sinnvoller Einsatz des Wertes ist dann gegeben, wenn zum Beispiel der PDC-Emulator einer Domäne besonders häufig zum Einsatz kommt und daher mehr belastet ist als andere Server. Ist das an der Auslastung des Domänencontrollers zu sehen, kann es sinnvoll sein, andere Server höher zu gewichten. Die Dienste, die den PDC-Emulator benötigen, nutzen diesen weiter, aber andere Clients verbinden sich dann eher mit einem anderen, höher gewichteten Domänencontroller.

Auch wenn im Netzwerk Domänencontroller mit verschiedener Hardware zum Einsatz kommen, ist es sinnvoll besser ausgestattete Domänencontroller höher zu gewichten.

Die Vorgehensweise bei der Gewichtung zeigt Microsoft bei „When to Tune LDAP Weights“ auf der Seite „Capacity Planning for Active Directory Domain Services“.

Priorität von Domänencontrollern anpassen

Ein weiterer Wert zur Anpassung der Gewichtung und Priorität von Domänencontrollern ist „LdapSrvPriority“, ebenfalls im Pfad „HKLM\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters“. Die Priorisierung arbeitet mit „LdapSrvWeight“ zusammen. Wenn Domänencontroller denselben Prioritätswert haben, wird ihre Prioritätsgewichtung verwendet, wie im Wert von „LdapSrvWeight“ angegeben. Domänencontroller mit der höchsten Gewichtung (LdapSrvPriority) und dem niedrigsten Prioritätswert (LdapSrvWeight) werden zuerst angesprochen. Standardmäßig hat jeder DC eine Priorität von 0 und eine Gewichtung von 100.

Aufteilen externer Zugriffe auf mehrere Domänencontroller

In zahlreichen Serverdiensten ist es möglich spezielle Domänencontroller für den Zugriff auf Active Directory zu konfigurieren. In vielen Fällen sind hier sogar speziell einzelne Domänencontroller eingetragen.

Oft findet hier keine richtige Gewichtung statt, sondern Administratoren oder Anwender tragen häufig die gleichen DCs ein oder verteilen die Zugriffe nicht richtig. Hier ist es daher sinnvoll zu überprüfen von welchen Serverdiensten und Netzwerkgeräten, übrigens auch von Linux, Unix oder macOS aus, Zugriff auf Active Directory erfolgt und welche Domänencontroller zum Einsatz kommen. Grundsätzlich sollten solche Dienste auch dokumentiert sein, damit eine Änderung der Domänencontroller problemlos möglich ist. Auch dadurch lassen sich Domänencontroller entlasten, da Anfragen von externen Systemen zu anderen DCs umgeleitet werden.

Hier finden Sie Teil 1 dieser Beitrags-Miniserie:

Einstieg in die Leistungsverbesserung von Domänencontrollern – Teil 1

So beschleunigen Sie Ihre Domänen­con­troller

Definition

Was ist Active Directory?