如何使域控制器比同一网络上的另一个域控制器更能用于登录？

Question

我目前在一个环境中工作，其中有 2 个 DC 正在运行，另一个 DC 作为备份但当前也在运行，因此如果其他 2 个失败，备份拥有成功运行所需的一切。

我目前遇到的问题（真的不是太大的问题，只是客户端希望它以某种方式运行）是当一些用户登录时，他们从灾难恢复 DC 获取他们的组策略。发生这种情况的原因是因为它们都在具有相同子网掩码等的同一网络上。

我的问题是，有没有办法让用户登录时，计算机更倾向于转到 2 个主 DC 而不是灾难恢复 DC？

是与路由的指标有关，还是服务器的某个部分可以打开并使其成为更“主导”的服务器。

服务器是作为 VM 运行的 Windows 2k8 服务器。我可以得到更多需要的信息。

谢谢！

Answer 1

你的客户做错了。没有“灾难恢复”DC 之类的东西。出于所有意图和目的，所有 DC 都是平等的。当您应该教育他们时，您却允许您的客户缺乏理解来推动这种情况。在不涉及 FSMO 角色持有者、全局目录、AD 身份验证和授权、站点覆盖、复制等以及 AD 功能和操作的所有其他细节的情况下，我只想说你不知道需要一个“灾难恢复”DC；“灾难恢复 DC”这个词对于了解 AD 工作原理的人来说是一种诅咒；并且在继续进行任何修改之前，您应该立即停止并自学 Active Directory 的精髓。

Answer 2

如果您确实将第二个 DC 用作“灾难恢复”DC，那么您应该将其移动到 AD 站点和服务中的第二个站点。这将导致客户端向“最近”的 DC 进行身份验证。我通常设置两个 DC 用于灾难恢复，但我允许客户端同时使用它们。

如果您从 DR 服务器中提取不同的 GPO，则说明您的设置有问题。GPO 应在更改后的几分钟内在所有服务器之间同步。