Контроллер домена: роли, порты и установка, коротко и с данными
Конспект страницы: 7 разделов коротко, данные на 19 октября 2026 и ответы на 4 вопроса. Полный разбор с примерами: Контроллер домена: роли, порты и установка.
Коротко
Главная / Домен Windows / Контроллер домена Контроллер домена это сервер Windows с ролью Active Directory: он проверяет вход пользователей и хранит базу учетных записей домена. Контроллеров принято держать не меньше двух, иначе при поломке единственного сервера в сеть никто не войдёт. Контроллер домена это сервер с ролью AD DS: он отвечает на запросы входа и хранит каталог.
Конспект по разделам
Что хранит и делает контроллер домена в сети Windows
Когда пользователь вводит логин и пароль на доменном компьютере, проверку выполняет не сам компьютер, а контроллер домена. Он отвечает за три вещи: проверяет вход по протоколу Kerberos, отвечает на запросы к каталогу по протоколу LDAP и хранит саму базу пользователей, групп и компьютеров в файле ntds.dit. У каждого контроллера есть полная копия данных своего домена, изменения расходятся между серверами автоматически (Microsoft называет это репликацией).
Как узнать контроллер домена и при чём здесь DNS
Компьютер находит контроллер не по списку, а через DNS: в зоне домена лежат служебные SRV-записи, где указано, какие серверы отвечают за вход. Поэтому у доменного компьютера DNS-сервером должен быть сам контроллер (или сервер, который умеет отвечать на запросы домена). Публичный DNS вроде 8.8.8.8 домен не найдёт.
Какие роли FSMO бывают у контроллера домена
Почти все операции в Active Directory можно выполнять на любом контроллере. Исключение составляют пять ролей FSMO (Flexible Single Master Operations): каждая живёт на одном сервере, потому что две копии одновременно привели бы к конфликтам. Первый контроллер нового леса получает все пять сразу.
Какие порты открыть для контроллера домена
Список ниже взят из документации Microsoft по портам Windows Server (проверено 19 октября 2026). Это порты между контроллерами и клиентами внутри вашей сети. Для репликации между серверами используются ещё динамические порты RPC, их диапазон при необходимости ограничивают настройкой.
Как выполнить установку контроллера домена шаг за шагом
До Windows Server 2012 контроллер создавали командой dcpromo. В новых версиях её заменил мастер в Диспетчере серверов, а то же самое делает PowerShell. Отметьте, что уже сделано, и увидите следующий шаг Для лаборатории подойдёт арендованный Windows-сервер, виртуальный или выделенный.
- Подготовьте сервер.
- Установите роль.
- Повысьте сервер.
- Задайте пароль DSRM (режим восстановления служб каталогов): он нужен, чтобы загрузить сервер при поломке базы.
Нужен ли резервный контроллер домена и как они синхронизируются
В Windows NT был основной и резервный контроллер. В Active Directory схема другая: все контроллеры принимают изменения и обмениваются ими, поэтому слово «резервный» теперь значит просто «ещё один контроллер». Для второго сервера используют Install-ADDSDomainController -DomainName corp.example.ru.
Зарегистрируйте домен для сайта
Домен.ru или.рф по акции 200 ₽ за первый год, продление 399 ₽. При оплате хостинга на год домен.ru/.рф бесплатно.
- Более 300 доменных зон
- Скрытие данных в Whois от спама
- Бесплатный SSL Let's Encrypt на домен
- Единая панель: домен, хостинг, почта
Данные
| Роль | Сколько | За что отвечает |
|---|---|---|
| Хозяин схемы | 1 на лес | Изменения схемы: списка типов объектов и их атрибутов |
| Хозяин именования доменов | 1 на лес | Добавление и удаление доменов в лесу |
| Эмулятор PDC | 1 на домен | Точное время, срочная смена паролей, редактирование политик по умолчанию |
| Хозяин RID | 1 на домен | Выдаёт контроллерам блоки идентификаторов для новых объектов |
| Хозяин инфраструктуры | 1 на домен | Следит за ссылками на объекты из других доменов |
| Порт | Протокол | Служба |
|---|---|---|
| 53 | TCP и UDP | DNS |
| 88 | TCP и UDP | Kerberos: проверка входа |
| 135 | TCP | RPC endpoint mapper |
| 389 | TCP и UDP | LDAP: запросы к каталогу |
| 445 | TCP | SMB: SYSVOL и общие папки |
| 464 | TCP и UDP | Смена пароля Kerberos |
| 636 | TCP | LDAP поверх SSL |
| 3268 и 3269 | TCP | Глобальный каталог (3269 с шифрованием) |
Данные на 19 октября 2026.
Вопросы и ответы
Сколько контроллеров домена нужно в сети?
Рекомендация редакции: не меньше двух. Один сервер годится только для лаборатории, где потерю базы можно пережить: при его отказе вход в домен недоступен, пока вы не восстановите сервер из копии.
Какой порт у контроллера домена для LDAP?
Для LDAP это 389 (TCP и UDP), для LDAP поверх SSL 636, для глобального каталога 3268 и 3269. Вход Kerberos идёт на порт 88, DNS на порт 53.
Как узнать контроллер домена с компьютера Windows?
Выполните echo %LOGONSERVER% или nltest /dsgetdc:ваш.домен. Первая команда покажет сервер текущего входа, вторая выберет контроллер для домена.
Можно ли сделать контроллер домена на Linux?
Да, Samba 4 работает контроллером Active Directory. Её настраивают командой samba-tool domain provision, клиенты Windows подключаются к такому домену обычным способом.