Servers en computers aan een Active Directory toevoegen

Tijdens de installatie en configuratie van Windows Active Directory Domain Services (AD DS) geef je bij het promoten van een Domain Controller (DC) een domein op. Dit domein kun je zien als de naam voor het netwerk waar je gebruikers, groepen en computers aan toevoegt.

In deze handleiding laten we zien hoe je computers of servers toevoegt aan een (AD) domein. De procedure hiervoor verschilt enigszins afhankelijk van of de computer/server zich op hetzelfde LAN-netwerk (hier je private network) bevindt als je DC of niet. Beide opties worden besproken in deze handleiding.

Een server op het LAN van de DC aan een Windows Domein toevoegen

Stap 1

Verbind met de VPS die je aan het domein wil toevoegen via Remote Desktop of de VPS-console.

Stap 2

In deze en de eerstvolgende stappen stel je je DC op de VPS die je aan je Windows Domein wil koppelen in als DNS-server. Deze stap is noodzakelijk voor je server om de DC te kunnen vinden. Gebruik je een publiek domein (bijv. transip.nl) en geen lokaal domein (bijv. transip.local)? Ga dan direct verder met stap 8.

Klik op de Windows Start-knop en daarna op het instellingen-icoon om je controle paneel te openen.

Stap 3 

Klik op 'Network & Internet'.

Stap 4

Klik in het midden op 'Change adapter options'.

Stap 5

Je ziet nu een overzicht van je netwerkadapters. Klik met de rechter muisknop op de netwerkadapter van je private network (Ethernet 2) en klik op 'Properties'.

Stap 6

Klik op 'Internet Protocol Version 4 (TCP / IPv4)' gevolgd door 'Properties'. 

Stap 7

• Stel het IP-adres van je private network statisch in.
• Als je een pfSense-firewall gebruikt, verwijs dan de default gateway naar het LAN-adres van de pfSense-firewall. Gebruik je (nog) geen pfSense-firewall? Laat dan de default gateway optie leeg.
• Geef onder 'Use the following DNS server address' het private network IP-adres op van je Domain Controller / DNS server.
• Klik tot slot op 'OK' om de wijzigingen te verwerken.

Stap 8

Klik op de Windows Start-knop, zoek op 'sysdm.cpl' en klik op het resultaat. Dit brengt je direct bij de system properties.

Stap 9

Geef je server een duidelijke omschrijving (verwijs bijvoorbeeld naar de role in de naam, e.g. RDP host 01) en klik op 'Change'.

Stap 10

• Verander de naam van je server zodat die eenvoudig te herkennen is. Zeker bij grotere hoeveelheden servers/computers binnen een AD helpt een duidelijke naam om je AD overzichtelijk te houden.
• Selecteer onder 'Member of' de optie 'Domain' en geef de naam op van je AD domein (hetzelfde domein dat je hebt ingesteld bij het promoten van een Domain Controller).

Stap 11

Je krijgt nu een pop-up te zien. Geef hier de naam en het wachtwoord op van een AD-gebruiker dat voldoende rechten heeft om deze server aan het domein toe te voegen.

Krijg je hier een foutmelding? Dit ligt zeer waarschijnlijk niet aan jou maar zit hem in de prioriteit die je lokale DNS-server krijgt ten opzichte van je publieke internetverbinding. Neem om dit probleem op te lossen een kijkje in de paragraaf 'Troubleshooting'.

In deze handleiding gebruiken we het domein transip.local. De gebruikersnaam voluit wordt dan transip.local\Administrator. Na het toevoegen word je server vriendelijk verwelkomt binnen het domein met de onderstaande melding.

Voortaan verbind je met deze server/computer met een gebruikersnaam die binnen het AD bestaat, bijvoorbeeld transip.local\Username.

Een server buiten het LAN van de DC aan een Windows Domein toevoegen

Als je onze handleiding voor de configuratie van een Active Directory hebt gevolgd, maak je gebruik van een lokaal Windows Domein (bijv. transip.local). De DNS-records van een lokaal domein zijn enkel op te vragen via het (lokale/private) netwerk waar de Domain Controller (DC) zich op bevindt.

Een gevolg hiervan is dat als je bijvoorbeeld een laptop die je thuis of op kantoor hebt liggen wil toevoegen aan je Windows Domein, dan moet die laptop een verbinding kunnen maken met het private network waarop ook jouw DC zich bevindt. Het is anders niet mogelijk voor je laptop om je DC te bereiken.

Om verbinding te kunnen maken met je DC van buiten je private network, kun je gebruik maken van een VPN-server. In deze handleiding maken we daarvoor gebruik van een VPS met pfSense en configureren die als OpenVPN-server.

Heb je al een pfSense-firewall in hetzelfde private network als je DC, pfSense als OpenVPN-server ingericht met behulp van onze handleidingen? Ga dan gelijk naar stap 5.

Stap 1

Bestel een VPS met pfSense, voeg die aan je private network toe en doorloop de initiële configuratie van pfSense.

Stap 2

Richt je pfSense-firewall in als OpenVPN-server met behulp van deze handleiding.

Stap 3

Maak twee OpenVPN-gebruikers aan (gebruik de LDAP-instructie), één voor de gebruiker van de laptop en één voor de DC.

Stap 4

Mocht je dat nog niet gedaan hebben, stel dan op alle servers in het private network waar je pfSense-firewall in is opgenomen op de LAN adapter de default gateway in op het LAN IP-adres van je pfSense-firewall. In stap 7 van de eerste paragraaf zie je een voorbeeld hiervan.

Stap 5

Verbind de laptop met je VPN-server door een VPN client te gebruiken (bijvoorbeeld de client die je OpenVPN-server aanbiedt). Ga vanaf dit punt verder met stap 2 van de eerste paragraaf met twee kleine verschillen:

• Selecteer bij stap 5 je VPN-adapter (bijv 'OpenVPN TAP-Windows').
• Bij stap 7 laat je in het bovenste deel de optie op 'Obtain an IP address automatically' staan (geef wel een DNS-server op).

Troubleshooting

Het toevoegen van een server/computer aan een domein, zeker op afstand, is niet altijd het meest stabiele proces. Je kunt dan ook tegen een scala aan problemen aanlopen die niet aan jou liggen. Gelukkig zijn dergelijke issues doorgaans goed te verhelpen door een aantal stappen te doorlopen:

Stap 1

Voor troubleshooting is het kunnen pingen van je Domain Controller (DC) handig. Schakel in de Windows Defender Firewall with Advanced Security de opties voor 'File and Printer Sharing (Echo Request - ICMPv4-In)' in.

Om te voorkomen dat het gehele internet je DC kan pingen is het raadzaam om de scope (dubbelklik de regels > scope) van deze regels te beperken tot de IP-ranges van je private network en VPN-verbinding.

Stap 2

Start de command prompt als administrator (cmd in Windows) op de server/computer die niet aan het domein kan worden toegevoegd en ping het LAN IP-adres van de Domain Controller, bijvoorbeeld:

ping 192.168.0.1

Krijg je een timeout? Controleer dan de volgende zaken:

• Op de DC je firewall-instellingen en op alle betrokken servers de private network-instellingen.
• Schakel IPv6 uit op je netwerkadapters.
• Gebruik je een OpenVPN-server, bijvoorbeeld op een pfSense-firewall? Controleer dan of op de VPN-server de optie 'Interclient Communication' aan staat.

Stap 3

Controleer (in CMD) of je DNS-records voor je Windows-domein (bijvoorbeeld transip.local) en het bijbehorende LDAP-record kunt opvragen, bijvoorbeeld:

nslookup transip.local
nslookup _ldap._tcp.dc._msdcs.transip.local

Krijg je geen resultaat? Dit komt meestal doordat de DNS-server die je publieke internetverbinding gebruikt voorrang krijgt over je LAN/VPN-adapter. Dit kun je oplossen door in stap 7 van de eerste paragraaf bij je LAN/VPN-adapter op 'Advanced' te klikken. Vink de optie 'Automatic metric' uit en geef de metric een lage waarde, bijvoorbeeld 6. Hoe lager de waarde, hoe hoger de prioriteit. Je publieke verbinding krijgt automatisch een waarde van +- 10-15 toegewezen.

Stap 4

Op dit punt kun je waarschijnlijk je DC bereiken. Krijg je toch nog een foutmelding als je probeert je server/computer aan het domein toe te voegen? Verbindt dan (alleen voor de troubleshoot) de DC via de VPN client.

Ping je DC en probeer een nslookup commando (stap 2 en 3) vanaf de server/computer die je aan het domein probeert toe te voegen. Lukt dat en zie je bij het nslookup commando het IP-adres van de VPN-, publieke- en LAN-verbinding? (zoals hieronder)? Verbreek dan nu de VPN-verbinding op je DC en voeg de server/computer toe aan je Windows-domein.

c:\Users\Administrator>nslookup transip.local
Server: Unknown
Address: 192.168.0.1

Name: transip.local
Addresses:  10.0.0.2
          149.xxx.xxx.xxx
          192.168.0.1

Daarmee zijn we aan het eind gekomen van deze handleiding over het toevoegen van servers en computers aan een Windows (AD) domein.

Mocht je aan de hand van dit artikel nog vragen hebben, aarzel dan niet om onze supportafdeling te benaderen. Je kunt hen bereiken via de knop 'Neem contact op' onderaan deze pagina.