Comment Windows arrive à localiser un contrôleur de domaine le plus proche

Dans une architecture AD multi-site, Il est recommandé de bien configurer les sites et le sous-réseau depuis la console  sites and services Active directory pour forcer les  serveurs et les ordinateurs  membres du domaine de contacter le contrôleur de domaine le plus proche afin d’éviter l’impact de la lenteur du réseau sur l’authentification.

Si un sous-réseau est ajouté dans la liste des sous-réseaux d’un site active directory, tous les serveurs et les ordinateurs Windows sont capables de localiser un contrôleur de domaine appartenant à ce site en utilisant le processus DCLocator.

Le DCLocator est capable grâce à des requêtes DNS de trouver un contrôleur de domaine quelconque pour lui demander le site le plus proche se basant sur l’adresse IP du serveur ou ordinateur et la configuration sites et sous réseaux active directory.

Une fois que le serveur ou l’ordinateur reçoit le nom de son site, cette information sera enregistrée dans la clé de registre  suivant :

HKLM\System\CurrentControlSet\Services\Netlogon\Parameters\DynamicSiteName

La figure ci-dessous résume  les échanges entre un ordinateur membre du domaine lab.lan, un serveur DNS et un contrôleur de domaine pour identifier le site AD :

Une fois que le site AD est bien identifié, le serveur ou ordinateur, vont toujours chercher contacter un des contrôleurs de domaine qui appartient à ce site.

La figure ci-dessous présente le reste de la communication entre un ordinateur membre d’un domaine lab.lan un serveur DNS pour trouver un contrôleur de domaine le plus proche:

Les sous-réseaux non déclarés dans la console Sites et servives active directory :

Si  le sous-réseau n'appartient pas à aucun site active directory, l'ordinateur ou le serveur membre du domaine va choisir dans ce cas un contrôleur de domaine de la liste fournie par le serveur DNS suite à sa  première requête SRV  _ldap._tcp.dc._msdcs.lab.lan.

Pour personnaliser cette liste afin de supprimer les contrôleurs de domaine qui rencontrent des problèmes de performance réseau ou/et système, sur le DC en question on ajoute la clé de registre suivant sous HKLM\System\CurrentControlSet\Services\Netlogon\Parameters\:

Nom	DnsAvoidRegisterRecords
Type	REG_MULTI_SZ
Data	LdapIpAddress Ldap DcByGuid kdc Dc Rfc1510kdc Rfc1510Udpkdc Rfc1510Kpwd Rfc1510UdpKpwd Gc GcIpAddress GenericGc

Le sous-réseau est bien ajouté à un site active directory mais aucun contrôleur de domaine de ce site disponible pour traiter les demandes des clients :

Dans ce cas il y a deux mécanisme qui peut aider le client pour trouver un active directory disponible en fonction de la configuration des liaisons de site:

• ·Automatic Site Coverage : permet aux sites sans contrôleur de domaine d'être couvert par le contrôleur de domaine le plus proche ( en fonction du cout des liaison des sites). Veullez consulter ce lien pour avoir plus des détails : Automatic Site Coverage
  
•      Si le site n'a aucune liaison de site ,le client va contacter l'un des contrôleure e domaine fournie par le DNS comme expliqué ci-dessous: _ldap._tcp.dc._msdcs.lab.lan