La restauración de datos replicados en un entorno de directorio activo plantea un serio problema de coordinación. Todos los controladores de dominio deben tener su información replicada entre ellos, de forma que sea consistente. Una restauración puede insertar cambios que produzcan más daños que beneficios a la hora de ser replicados a otros sistemas, e incluso puede que se pierda más información que la ganada con la restauración. Para controlar el proceso existen tres métodos para restaurar datos que serán replicados.
Respaldar los datos
Lo más rápido, es programar una tarea en el controlador que realice una copia de seguridad de los datos del registro, del Directorio Activo y de su SYSVOL.
NTBACKUP backup systemstate /F “z:\Respaldo\DC1_SysState_ 2009-08-01.bkf”
Cuando ocurra un desastre, estas copias serán necesarias… ¿cómo usarlas?
Métodos para la restauración de datos replicados
Los tres métodos (en realidad dos) para restaurar datos que serán replicados son:
* Autoritativa
* No Autoritativa
* Primaria
La restauración primaria es en realidad un caso concreto de “autoriativa”. En el caso de que sea el primer controlador el restaurado, la estauración sería “restauración primaria” y el resto (si los hay) no autoritativos.
Restauración de Active Directory en modo no autoritativo
Los datos de esta restauración pueden estar desfasados, y serán sincronizados con la información de otros controladores que existan en el dominio. O sea, los datos de controladores de sistema que estén activos se propagarán a este nuevo sistema restaurado. Proporciona un punto de partida más avanzado a la hora de empezar de nuevo en un sistema del que existen réplicas. Se supone que el sistema que se ha mantenido en pie (el que no estamos restaurando) contendrá la información más actualizada, y sólo lo que haya sido modificado desde que se hizo la copia de seguridad será transferido y replicado de uno a otro. En realidad no recupera información, sino que ayuda a la instauración de un controlador de dominio cuando todavía existen otros funcionando.
Lo primero es conseguir que la base de datos de direcciones no esté operativa para poder restaurarla. Esto se consigue iniciando el sistema en modo seguro, pulsando F8 durante el arranque y eligiendo “Modo de restauración de SD”. Se debe arrancar la utilidad ntbackup y restaurar de forma normal el estado del sistema.
Una vez realizada esta restauración con éxito, es necesario elegir si se necesitará una restauración autoritativa o no. En caso afirmativo, NO se debe reiniciar la máquina en modo normal, pues se necesitará otro paso. Si la restauración es no autoritativa, el proceso ha terminado.
Restauración de Active Directory en modo autoritativo
Es un tipo de restauración más “agresiva” y provoca que los datos restaurados se repliquen al resto de sistemas que pudiesen existir. Hace que la red entera vuelva al estado en el que se encuentran los datos que van a ser restaurados.
El proceso es idéntico al anterior, pero ANTES de arrancar en modo normal, se debe ejecutar ntdsutil. Esta herramienta permitirá marcar los objetos como autoritativos. Ntdsutil es una herramienta muy completa, compleja y potente. Permite múltiples acciones a bajo nivel y es mejor tener que enfrentarse con ellos.
Por ejemplo si se ha borrado una OU por error este sistema permite también marcar sólo este objeto como autoritativo y para replicación al resto de controladores. Si el nombre de la OU es “usuarios” y el dominio hispasec.com.
Desde una consola se ejecuta Ntdsutil y una vez en su contexto:
authoritative restore
En el prompt que aparece (que indica que estamos en el contexto adecuado) ejecutar
restore subtree OU=Usuarios, DC=Hispasec,DC=Com
El mensaje debería ser que la restauración se ha completado con éxito. Si en lugar de una rama se quiere especificar que toda la base de datos del AD es la copia debe replicarse al resto (la autoritativa), entonces se podría escribir:
restore database
Solo queda reiniciar.
Restauración de SYSVOL
SYSVOL contiene datos replicados en todos los controladores, como las políticas y scripts de inicio.
La restauración de SYSVOL en modo Restauración no autoritativa es una simple restauración del estado del sistema a través de la utilidad ntbackup.
La restauración de SYSVOL en modo Restauración primaria: Cuando se necesita recuperar un dominio desde el principio, se debe utilizar esta técnica. Se debe arrancar ntbackp y restaurar el estado del sistema, pero en la casilla de opciones avanzadas de restauración, se debe señalar “marcar los datos restaurados como datos primarios” para todas las réplicas cuando se restauren datos replicados.
Restauración de SYSVOL en modo Restauración autoritativa: Si se ha borrado un dato importante de SYSVOL y ya han sido replicados los cambios, entonces es necesario realizar este tipo de restauración. Se debe arrancar ntbackup para restaurar el estado del sistema a un lugar alternativo. De esta forma se consigue una carpeta con la información y esta no es sobreescrita en la base de datos de AD. Se debe ahora reiniciar el sistema en modo normal y permitir que SYSVOL se replique. Luego, copiar el SYSVOL restaurado sobre el que ahora existe. Se recomienda utilizar el método anterior cuando se realice una restauración en modo autoritativo del controlador de dominio, puesto que esto es necesario para mantener SYSVOL y el Directorio Activo sincronizados.
ssantos@hispasec.com
Deja un comentario