Backup Domain Controller

Backup Domain Controller (BDC, резервный контроллер домена) — это сервер под управлением операционной системы Windows NT (до версии Windows 2000), который хранит копию базы данных учётных записей и безопасности домена и может аутентифицировать пользователей в случае недоступности основного контроллера домена (PDC, Primary Domain Controller). BDC является компонентом модели доменов Windows NT, в которой используется одноранговая архитектура с одним главным и несколькими резервными контроллерами.

История и контекст

Модель доменов Windows NT была введена корпорацией Microsoft в 1993 году с выходом Windows NT 3.1. В этой архитектуре домен представлял собой административную группу компьютеров, использующую единую базу данных учётных записей (SAM — Security Account Manager). Для обеспечения отказоустойчивости и распределения нагрузки на аутентификацию был разработан принцип с одним первичным (PDC) и одним или несколькими резервными (BDC) контроллерами домена.

С выходом Windows 2000 модель доменов была кардинально переработана. Вместо схемы PDC/BDC была внедрена многомастерная репликация (Active Directory), где все контроллеры домена равноправны, хотя некоторые из них могут выполнять роли хозяев операций (FSMO). Термин «Backup Domain Controller» официально устарел, но в разговорной речи и технической документации его иногда применяют к контроллерам домена в средах, где используется устаревшая архитектура Windows NT или в контексте обратной совместимости.

Принцип работы

Роль PDC

Основной контроллер домена (PDC) является единственным сервером, который имеет право на запись в базу данных учётных записей домена. Все изменения (создание пользователей, смена паролей, изменение групповых политик) вносятся только на PDC. PDC периодически отправляет копии базы данных на BDC.

Роль BDC

Резервный контроллер домена (BDC) получает копию базы данных от PDC и хранит её в режиме «только для чтения». BDC не может напрямую вносить изменения в учётные записи. Основные функции BDC:

• Аутентификация пользователей: BDC может проверять учётные данные (логин и пароль) при входе пользователя в домен, если PDC недоступен.
• Аутентификация сетевых ресурсов: BDC может авторизовывать доступ к общим папкам и принтерам, если PDC не отвечает.
• Распределение нагрузки: BDC может обслуживать запросы на аутентификацию, снижая нагрузку на PDC в больших доменах.
• Резервное копирование: BDC служит резервной копией базы данных учётных записей. При выходе PDC из строя BDC может быть повышен до роли PDC (с помощью утилиты Server Manager или nltest).

Репликация

Репликация базы данных от PDC к BDC происходит по расписанию (по умолчанию — каждые 5 минут) или по требованию. PDC отправляет BDC полную копию базы данных (для Windows NT 3.x) или только изменения (для Windows NT 4.0). При репликации передаётся не только база учётных записей, но и информация о доверительных отношениях, локальных группах и политиках безопасности.

Классификация и типы

В рамках архитектуры Windows NT существовали следующие типы контроллеров домена:

• Primary Domain Controller (PDC): единственный сервер с правом записи в базу данных домена. В домене может быть только один PDC.
• Backup Domain Controller (BDC): сервер с копией базы данных только для чтения. В домене может быть несколько BDC (рекомендуемое количество — от 1 до 3 на каждый сегмент сети).
• Standalone Server: сервер, не являющийся контроллером домена. Он может быть членом домена (присоединён к домену) или рабочим сервером (не входит в домен).

Устройство и характеристики

База данных SAM

База данных учётных записей (SAM) хранится в реестре Windows NT (раздел HKEY_LOCAL_MACHINE\SAM) и на диске в файле %SystemRoot%\system32\config\SAM. Она содержит записи для всех пользователей, групп и компьютеров домена. BDC хранит локальную копию SAM, которая синхронизируется с PDC.

Протоколы аутентификации

BDC использует те же протоколы аутентификации, что и PDC:

• NTLM (NT LAN Manager): основной протокол для Windows NT. BDC может отвечать на запросы NTLM v1 и v2.
• LM (LAN Manager): устаревший протокол, поддерживаемый для обратной совместимости.

Ограничения

• BDC не может быть повышен до PDC в автоматическом режиме. Для этого требуется ручное вмешательство администратора.
• BDC не может быть понижен до обычного сервера без переустановки операционной системы.
• BDC не поддерживает репликацию в обратном направлении (от BDC к PDC).
• BDC не может быть использован для создания новых доменов или доверительных отношений.

Применение

Отказоустойчивость

Основное применение BDC — обеспечение доступности домена при отказе PDC. Если PDC выходит из строя (аппаратная ошибка, сбой питания, вирусная атака), администратор может повысить один из BDC до роли PDC, и домен продолжит работу. При этом все изменения, сделанные после последней репликации, будут потеряны.

Распределение нагрузки

В крупных доменах (сотни или тысячи пользователей) BDC могут обслуживать запросы на аутентификацию, снижая нагрузку на PDC. Это особенно актуально для филиалов, где BDC может быть установлен локально, чтобы не перегружать медленные каналы связи.

Резервное копирование

BDC является резервной копией базы данных домена. В случае повреждения базы данных на PDC администратор может восстановить её с BDC.

Примеры использования

Корпоративная сеть с одним филиалом

В организации с головным офисом и удалённым филиалом может быть установлен один PDC в головном офисе и один BDC в филиале. BDC будет аутентифицировать пользователей филиала, даже если канал связи с головным офисом временно недоступен.

Сеть с несколькими сегментами

В большой сети, разделённой на несколько сегментов (подсетей), можно установить BDC в каждом сегменте. Это снижает трафик аутентификации через маршрутизаторы и повышает скорость входа в систему.

Критика и недостатки

• Единая точка отказа для записи: PDC является единственным сервером, который может вносить изменения в базу данных. Если PDC выходит из строя, административные операции (создание пользователей, смена паролей) становятся невозможными до его восстановления или повышения BDC.
• Потеря данных при сбое: При отказе PDC все изменения, сделанные после последней репликации, теряются. Это может привести к несогласованности учётных записей.
• Сложность администрирования: Повышение BDC до PDC требует ручного вмешательства и может быть выполнено только администратором с правами на сервере.
• Отсутствие многомастерной репликации: В отличие от Active Directory, где все контроллеры равноправны, модель PDC/BDC не поддерживает распределённое управление.
• Устаревшая архитектура: Модель PDC/BDC была заменена многомастерной репликацией в Windows 2000 и более поздних версиях. Использование BDC в современных средах не рекомендуется из-за ограничений и отсутствия поддержки.

Интересные факты

• В Windows NT 4.0 существовала возможность «повышения» BDC до PDC с помощью утилиты Server Manager. При этом старый PDC автоматически понижался до BDC.
• В некоторых версиях Windows NT (например, 3.51) репликация базы данных была полной, а не инкрементальной, что приводило к значительному трафику в больших доменах.
• Термин «Backup Domain Controller» иногда ошибочно применяется к контроллерам домена в Active Directory, которые не являются хозяевами операций (FSMO). Однако в Active Directory все контроллеры равноправны, и резервных контроллеров в классическом понимании не существует.
• В Windows NT 4.0 Enterprise Edition была возможность иметь несколько PDC в одном домене, но это не было официально поддерживаемой функцией.

Источники

• Microsoft Windows NT 4.0 Resource Kit. Microsoft Press, 1998.
• «Windows NT 4.0 Server: Concepts and Planning». Microsoft Corporation, 1996.
• «Active Directory: Design, Deployment, and Operations». Microsoft TechNet, 2000.
• «Understanding the Windows NT Domain Model». Microsoft Knowledge Base, 1999.
• «Windows NT 4.0 Backup Domain Controller Overview». Microsoft Support, 2001.