Главная/Домен Windows/Контроллер домена
Контроллер домена: роли, порты и установка
Контроллер домена это сервер Windows с ролью Active Directory: он проверяет вход пользователей и хранит базу учетных записей домена. Контроллеров принято держать не меньше двух, иначе при поломке единственного сервера в сеть никто не войдёт.
Ответ за 30 секунд
Контроллер домена это сервер с ролью AD DS: он отвечает на запросы входа и хранит каталог. Ставьте минимум два контроллера, они равноправны и копируют друг у друга изменения, а «основного и резервного» в смысле старых версий Windows уже нет.
Контроллер домена разворачивают на отдельном Windows-сервере, а сайту компании нужно своё имя в интернете: .ru у Таймвеб по акции стоит 200 ₽ за первый год, продление 399 ₽.
Как выполнить установку контроллера домена шаг за шагом5ролей FSMO в лесу и домене
389порт LDAP на контроллере
2+контроллера в одном домене
01 · 1 мин
Что хранит и делает контроллер домена в сети Windows#
Когда пользователь вводит логин и пароль на доменном компьютере, проверку выполняет не сам компьютер, а контроллер домена. Он отвечает за три вещи: проверяет вход по протоколу Kerberos, отвечает на запросы к каталогу по протоколу LDAP и хранит саму базу пользователей, групп и компьютеров в файле ntds.dit.
У каждого контроллера есть полная копия данных своего домена, изменения расходятся между серверами автоматически (Microsoft называет это репликацией). Рядом лежит папка SYSVOL: в ней хранятся файлы групповых политик и сценарии входа. Общую картину каталога объясняет страница про Active Directory.
02 · 1 мин
Как узнать контроллер домена и при чём здесь DNS#
Компьютер находит контроллер не по списку, а через DNS: в зоне домена лежат служебные SRV-записи, где указано, какие серверы отвечают за вход. Поэтому у доменного компьютера DNS-сервером должен быть сам контроллер (или сервер, который умеет отвечать на запросы домена). Публичный DNS вроде 8.8.8.8 домен не найдёт. Про устройство самой системы имён: что такое DNS.
Чтобы узнать, какой контроллер сейчас обслуживает компьютер, выполните в командной строке:
echo %LOGONSERVER%
nltest /dsgetdc:corp.example.ru
nslookup -type=SRV _ldap._tcp.dc._msdcs.corp.example.ruПервая команда назовёт сервер, который проводил вход в текущей сессии, вторая покажет выбранный контроллер домена, третья выведет все серверы из SRV-записей. Если третья команда не находит записей, первым делом проверьте, какой DNS-сервер указан на клиенте.
03 · 1 мин
Какие роли FSMO бывают у контроллера домена#
Почти все операции в Active Directory можно выполнять на любом контроллере. Исключение составляют пять ролей FSMO (Flexible Single Master Operations): каждая живёт на одном сервере, потому что две копии одновременно привели бы к конфликтам. Первый контроллер нового леса получает все пять сразу.
| Роль | Сколько | За что отвечает |
|---|---|---|
| Хозяин схемы | 1 на лес | Изменения схемы: списка типов объектов и их атрибутов |
| Хозяин именования доменов | 1 на лес | Добавление и удаление доменов в лесу |
| Эмулятор PDC | 1 на домен | Точное время, срочная смена паролей, редактирование политик по умолчанию |
| Хозяин RID | 1 на домен | Выдаёт контроллерам блоки идентификаторов для новых объектов |
| Хозяин инфраструктуры | 1 на домен | Следит за ссылками на объекты из других доменов |
Отдельно от FSMO существует роль сервера глобального каталога (он знает объекты всего леса) и контроллер только для чтения, RODC: его ставят в филиалах, где не хочется держать полную копию паролей. Как устроены лес и домены: доменная сеть.
04 · 1 мин
Какие порты открыть для контроллера домена#
Список ниже взят из документации Microsoft по портам Windows Server (проверено 19 октября 2026). Это порты между контроллерами и клиентами внутри вашей сети.
| Порт | Протокол | Служба |
|---|---|---|
| 53 | TCP и UDP | DNS |
| 88 | TCP и UDP | Kerberos: проверка входа |
| 135 | TCP | RPC endpoint mapper |
| 389 | TCP и UDP | LDAP: запросы к каталогу |
| 445 | TCP | SMB: SYSVOL и общие папки |
| 464 | TCP и UDP | Смена пароля Kerberos |
| 636 | TCP | LDAP поверх SSL |
| 3268 и 3269 | TCP | Глобальный каталог (3269 с шифрованием) |
Для репликации между серверами используются ещё динамические порты RPC, их диапазон при необходимости ограничивают настройкой.
Не публикуйте контроллер в интернет
Если контроллер стоит на арендованном сервере с публичным адресом, межсетевой экран должен пускать эти порты только с адресов вашей сети. Открытые LDAP и SMB на публичном IP быстро находят сканеры.
Инструмент · 1 мин
Как выполнить установку контроллера домена шаг за шагом#
До Windows Server 2012 контроллер создавали командой dcpromo. В новых версиях её заменил мастер в Диспетчере серверов, а то же самое делает PowerShell.
- Подготовьте сервер. Задайте статический IP и постоянное имя: после повышения до контроллера переименовать сервер сложнее.
- Установите роль. Диспетчер серверов, «Управление», «Добавить роли и компоненты», роль «Доменные службы Active Directory». В PowerShell:
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools. - Повысьте сервер. В Диспетчере серверов нажмите флажок с предупреждением и выберите «Повысить роль этого сервера до уровня контроллера домена», затем «Добавить новый лес» и введите имя домена. Команда:
Install-ADDSForest -DomainName corp.example.ru. - Задайте пароль DSRM (режим восстановления служб каталогов): он нужен, чтобы загрузить сервер при поломке базы.
- Дождитесь перезагрузки и проверьте командой
dcdiag.
Готов ли сервер к повышению до контроллера домена
Отметьте, что уже сделано, и увидите следующий шаг
Для лаборатории подойдёт арендованный Windows-сервер, виртуальный или выделенный. Ориентир редакции для небольшой сети: 2 vCPU, 4 ГБ памяти и 60 ГБ диска, это не замер. Дальше компьютеры подключают по инструкции как ввести компьютер в домен.
06 · 1 мин
Нужен ли резервный контроллер домена и как они синхронизируются#
В Windows NT был основной и резервный контроллер. В Active Directory схема другая: все контроллеры принимают изменения и обмениваются ими, поэтому слово «резервный» теперь значит просто «ещё один контроллер». Для второго сервера используют Install-ADDSDomainController -DomainName corp.example.ru.
Состояние синхронизации проверяют командой repadmin /replsummary: она покажет ошибки обмена между контроллерами. Контроллер можно поднять и без Windows: пакет Samba 4 умеет работать контроллером домена на Linux, команда начала настройки samba-tool domain provision. Но Windows-клиентам привычнее родной вариант.
07 · 1 мин
Вопросы о контроллере домена#
Сколько контроллеров домена нужно в сети?
Рекомендация редакции: не меньше двух. Один сервер годится только для лаборатории, где потерю базы можно пережить: при его отказе вход в домен недоступен, пока вы не восстановите сервер из копии.
Какой порт у контроллера домена для LDAP?
Для LDAP это 389 (TCP и UDP), для LDAP поверх SSL 636, для глобального каталога 3268 и 3269. Вход Kerberos идёт на порт 88, DNS на порт 53.
Как узнать контроллер домена с компьютера Windows?
Выполните echo %LOGONSERVER% или nltest /dsgetdc:ваш.домен. Первая команда покажет сервер текущего входа, вторая выберет контроллер для домена.
Можно ли сделать контроллер домена на Linux?
Да, Samba 4 работает контроллером Active Directory. Её настраивают командой samba-tool domain provision, клиенты Windows подключаются к такому домену обычным способом.
Почему этому можно верить
Как мы проверяли
Источники цифр на этой странице: Регистрация доменов Таймвеб, timeweb.com/ru/services/domains, проверено 19 октября 2026; Whois Таймвеб, timeweb.com/ru/services/domains/whois, проверено 19 октября 2026; SSL Таймвеб, timeweb.com/ru/services/domains/ssl, проверено 19 октября 2026; DNS Таймвеб, timeweb.com/ru/services/hosting/dns, проверено 19 октября 2026; Microsoft Learn: обзор доменных служб Active Directory, learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview, проверено 19 октября 2026; Microsoft Learn: службы и сетевые порты Windows Server, learn.microsoft.com/en-us/troubleshoot/windows-server/networking/service-overview-and-network-port-requirements, проверено 19 октября 2026.
Зарегистрируйте домен для сайта
Домен .ru или .рф по акции 200 ₽ за первый год, продление 399 ₽. При оплате хостинга на год домен .ru/.рф бесплатно.
- Более 300 доменных зон
- Скрытие данных в Whois от спама
- Бесплатный SSL Let's Encrypt на домен
- Единая панель: домен, хостинг, почта