Групповые политики samba4 dns.

Почему sysvol ищется по адресу: \\domainname , а не по адресу: \\fqdn-of-pdc.domainname ?

Потому что контроллеров домена может быть несколько. И каждый из них должен иметь A запись для @.

Решение: DNS-домен Active Directory отдельно, DNS-домен сайта - отдельно.

Стоит уяснить, что DNS для AD - это часть инфраструктуры, а не самостоятельная служба. Поэтому там всё прибито гвоздями мощно.

Да, у меня было подозрение на:

Потому что контроллеров домена может быть несколько. И каждый из них должен иметь A запись для @.

Но блиннн... Когда, я спрашивал, тут, чем мне грозит: a domainname DC as a domainname of my company, мне сказали, что нет никаких проблем...

То есть у меня имя домена = имени внешнего сайта компании.

Собственно, чего можно придумать в моём случае чтобы не переименовывать домен? И люди могли войти изнутри сети на сайт по-адресу: http://company.ru

Приходит в голову: redirect 301 c http://company.ru на http://www.company.ru , а на www повесить А запись с внешним ip адресом. Но в таком случае мне ssl сертификат придётся покупать на http://www.company.ru. - Это кошерно?

Для прокси сервера настроить split view, и чтобы он возвращал мне внешний ip, при запросе через него.

Может есть более правильные решения?

Вариант с www достаточно кошерен

Ну то есть, я на samba4 pdc поднимаю nginx, и говорю ему: 301 на www? Что в этом случае с сертификатами для сайта? Может подскажешь: что за чудо чудное такое: покупаешь сертификат на domain.ru , а он и действителен для http://www.domain.ru? Как такое возможно?

Наткнулся на такое:

the more reputable SSL certificate issuers will allow BOTH the «www» and non-www versions in the SAME certificate, for no extra charge.

Что в этом случае с сертификатами для сайта?

Подымаешь nginx только по http, делаешь редирект на другую машину с https, сертификат на имя, на которое делаешь редирект.

что за чудо чудное такое: покупаешь сертификат на domain.ru , а он и действителен для http://www.domain.ru? Как такое возможно?

wildcard сертификат(для *.domain.ru) например. Стоит недешево, но работает для всех поддоменов.

the more reputable SSL certificate issuers will allow BOTH the «www» and non-www versions in the SAME certificate, for no extra charge.

А, это не wildcard, это multiple CN. Сертификат для множества доменов, соответственно для domain.ru и для http://www.domain.ru

wildcard сертификат(для *.domain.ru) например.

Это я не рассматриваю. :)

А, это не wildcard, это multiple CN.

И по-дефолту сейчас такие выпускают? Ибо такой строки не видел в прайсах.

И по-дефолту сейчас такие выпускают?

Нет, нужно договариваться с issuer

Приходит в голову: redirect 301 c http://company.ru на http://www.company.ru , а на www повесить А запись с внешним ip адресом.

Или просто nginx как прокси. Но на контроллере домена не очень хорошо…

Это не то, что бы не очень хорошо. - Это мягко говоря фейл... Вот уж не ожидал я такой засады...

а не надо именовать AD именем сайта.

Спасибо КЭП. :) Знал бы о таких граблях, не стал бы так делать... :) Но теперь уже поздно.