Настройка клиента глобального каталога

Клиентская часть функциональности глобального каталога (Global Catalog, GC) на контроллере домена Эллес (GC-клиент) обеспечивает взаимодействие с серверами глобального каталога при работе в многодоменном лесу.

Описываемые в разделе настройки GC-клиента актуальны при отсутствии на сервере роли GC.

В текущей версии пакета inno-samba для корректного функционирования служб Netlogon и Kerberos при использовании GС-клиента в многодоменном лесу должны быть заданы следующие параметры в разделе [global] конфигурационного файла smb.conf на контроллере домене Эллес:

  • ntlm:gc, ntlm:gc{0,1,2,3,4} — полное доменное имя (FQDN) или IP-адрес и порт сервера глобального каталога под управлением ОC Windows Server в текущем домене, к которому локальный контроллер домена будет обращаться с помощью GC-клиента в операциях аутентификации Netlogon и Kerberos;

    При попытке установить соединение осуществляется перебор серверов от ntlm:gc до ntlm:gc4 до первого успешного соединения с учетом заданного времени ожидания.

    Рекомендуется указывать FQDN-имя сервера глобального каталога, которое успешно разрешается с настраиваемого контроллера.

  • ntlm:gc_timeout — время ожидания в секундах при установлении соединения GC-клиентом (если 0, параметр игнорируется).

Пример задания параметров:

[global
    ntlm:gc = ldap://10.6.32.18:3268
    ntlm:gc0 = ldap://10.6.32.19:3268
    ntlm:gc_timeout = 1

Также для целей тестирования работы контроллера домена Эллес в многодоменном лесу может использоваться конфигурационный параметр gcclient:disabled.

В условиях обычной эксплуатации он не должен быть задан или должен иметь значение false.

При возникновении ошибок в работе Netlogon или Kerberos использование GC-клиента может быть отключено для проведения дополнительных проверок. Для этого в раздел [global] в smb.conf может быть добавлен параметр:

[global
    gcclient:disabled = true

В этом случае необходимо собрать информацию об ошибках в соответствии с инструкциями в разделе «Сбор и предоставление диагностической информации» и предоставить ее ГК «Иннотех».

При работе в однодоменном лесу данные параметры игнорируются.