Вкратце ситуация: босс на днях сказал, что в плане на 1,5 года расширение локальной сети до 150 штыков/голов/посадочных мест. Сейчас всего 50 пользователей + 1 сервер + 1 шлюз интернета, домена нет и вроде пока было и не надо. Но на 150 - уже стоит задуматься. Вопрос такой: на примерно 50-80 машин нужен контроллер домена на Windows 2000. Профили будут неперемещаемые, дополнительных функций у DC не будет. Хватит ли для этого компьютера HP NetServer E800 (2xP-III 866, 256RAM PC-133, 18gb SCSI 10000rpm, 10/100 LAN)? В какой момент его перестанет хватать (на 80-90-100-120 машинах)?

Спасибо, обнадежили. Насколько я понял, в целом более чем хватит, если не вешать допсервисы (и не буду, под это основной сервер есть). С памятью напряг, т.к. он (комп) сильно породистый и память только свою от НР принимает.
Раз NT4 под 266 сотню юзеров тащил, то уж на 50-80 точно Р-3 866 хватит? Тогда я один процессор с него сниму :)

Один из основных стереотипов, связанных с сетями без домена - это то, что они требуют обильной тупой работы. На самом деле при правильной организации процесса домен нужен имхо только при парке более 70 машин на одного админа. Обосную:
1) антивирусная защита: на интернет-шлюзе по расписанию запускается обновлялка. Папка с антивирусом расшарена на чтение. На всех остальных машинах путь обновления задан на эту папку на шлюзе. В результате достаточно 5 т.р. в месяц на полноценную защиту всей локальной сети при отсутствии телодвижений со стороны админа.
2) пароли (очевидно, имеется в виду выполнение графика смены паролей) - пользую утилиту, которая проверяет, может ли сменить пароль локально, затем смотрит, может ли сменить его на заданном сервере. Потом смотрит, соответствует ли новый пароль требованиям сложности, и если да, то меняет тут и там, отсылает зашифрованную копию пароля мне, после чего делает логофф. Каждые полгода рассылаю по почте приглашение сменить пароль. Если забывают, ставлю пароль такой длины, что второй раз уже не забывают :)
3) скрипты: на каждой машине в автозапуске сидит моя программа. На старте она выпоняет набор операций, записанных в зашифрованной инструкции на сервере. Слушает на заданном порту и позволяет при получении заданной последовательности символов на этот порт выполнить другой набор операций (тоже записанных в файл на сервере). Попутно кидает с заданным интервалом скриншоты в каталог "только запись", запускает и настраивает RAdmin'a.
4) надоедливые вводы пароля: обходится RAdmin'ом (который тоже я руками не ставлю). Можно от пользователя, можно от системы.
5) До недавнего времени напрягала почта (хотелось collaboration). Решилось SCS. Но пока не используется, ибо не надо пока. С локальными паролями почты напряг у всех, у когостоит Bat! вне зависимости от наличия домена.
6) резервное копирование: каждый час той же утилитой в памяти. "Моидокументы" и "Рабочий стол".
7) установка софта unattended: решается с пом. VMWare + Veritas. На виртуалке с помощью Veritas создается сопоставление "до и после", из чего она делает msi-пакет. Дальше тупо до предела. Хотя пока и ручками не напряг.
И т.д. (включая политики). Все это только кажется сложным, на самом деле пара вечеров за домашней машиной в RAD-среде.
Но у этого есть минус (он же плюс): нестандартность.
А теперь почему надо домен: в резюме надо пунктик - раз, требования от MS-софта - два. На 150 машин уже нужен другой сетевой софт :( Да и вообще - мэйнстрим :) Но это точно заблуждение, что без домена - не жизнь. Иногда даже наоборот.
Мне трудно доказать шефу,что нужен домен, если он видит, что и так все работает :) Так что не то что комп - память не дадут :) Пока не припрет, разумеется :) А я хочу малость (на полгода-год) упредить.

rrrrrrrrrrВ результате достаточно 5 т.р. в месяц - виноват, в год (подписка на год от 3,5 до 5 т.р.)

Biz© rrrrrrrrrrНо у этого есть минус (он же плюс): нестандартность.

а теперь представим, што вы ушли из конторы ...
впрочем это не вам минус, а тупость вашего начальства ... Которой я пользуюсь :) Админ - сам себе фирма. Но упрек корректен, сам чувствую. Отсюда здоровое стремление к домену... Харакири.
Всем большое спасибо, узнал все, что хотел. Теперь медленно и не торопясь двинусь к мэйнстриму... "Тихими стопами-с" :)

Anatoly PodgoretskyЧто такое "+ 1 сервер"? Ну, т.е. есть один ПК высокой мощности, на котором все шары, почтовый сервис, Interbase, файл-серверный БЭСТ и т.п., включая бэкапы. Кроме него есть только интернет-шлюз, остальные чистые клиенты, за шары и сервисы на рабочей станции юзер получает по ушам.
На этот сервер я бы не против повесить DC, но 1) мне нельзя прерывать рабочий процесс (сервер должен быть в работе с утра и до вечера, если я его dcpromo, то всем придется ждать, пока я их в домен втяну). Т.е. я как планирую: делаю DC, затем одного за другим втаскиваю компы (юзер на обед пошел - я его комп в домен), так в течение месяца-полутора. Последним втаскиваю в домен сервер сети. В результате в идеале никто ничего и не почувствует :)

Разом и быстро в любом случае не буду, благо время не давит... Если хоть один профиль посею - греха не оберешься :)

Сейчас дилемма:
а) использовать NetServer P-III 866/256/18SCSI c возможностью добавить второй проц, но без возможности добавить память.
б) использовать самосбор на ASUS TUSL2, но P-III 866/512/80 UDMA IDE
Других вариантов нет и не будет :) Что посоветуете из двух?
Объяснять шефу, как обходиться без оккультно работающего сисадмина не буду :)

Ого!
Не, у меня под рукой только предыдущее поколение, новое не дадут, т.к. сейчас под отдел конструкторов полбюджета уйдет. НетСервер покупали в 2001г. (меня там тогда не было), странный он какой-то. У него один из встроенных на мамку контроллеров SCSI не работает, первый раз такое вижу. Диски IDE не принимает больше 8гб (т.е. принимает, но только PIO и тормоза страшные), БИОС-update'а нет и не будет.
Думаю сделать на самосборке, если возражений еще не напишут, и как с основным сервером: на 1-ю 80-ку систему, на вторую Акронисом бэкап по планировщику.

Контроллер, насколько я знаю от предшественника, отвалился на ходу. Т.е. начал сильно тормозить файл-сервис, а потом при ребуте просто отказался грузиться. Потом загрузился, но не давал писать на диск, потом снова не грузился :)
А насчет БИОСа - так все просто, старые модели hp поддерживает очень неохотно. Так что уж где-где, а на hp.com к нему обновления нет

Я обновлял. С версии от 2000г. на версию от 2001 :) Перестал зависать (на пару секунд при обращении к большому IDE), но все равно - тормоза и PIO.

В общем, практически все закончил. Втянул 50 машин, профили копировал так:

1) ввод машины в домен, перезагрузка
2) вход под именем соответствующего доменного пользователя, затем сразу логофф.
3) вход под доменным админом, запуск compmgmt.msc, внесение доменного юзера в группу локальных админов + отключение учетки локального юзера, затем свойства компьютера, "Дополнительно", "Профили", копирование локального на путь доменного с заданием разрешений. Логофф.
4) вход под доменным пользователем, все настройки локального пользователя оказываются перенесены на доменного. ACAD, Inventor, etc. работают без проблем.
5) при необходимости - вывод пользователя из локальных админов.
6) ждем некоторое время, если все в норме и снос DC не предвидится, то снос старых профилей.

Какие были неприятные моменты:
1) иногда копирование профиля не отрабатывалось. Причиной обычно был недостаток места на диске. Причиной был обычно размер папки документов и рабочего стола. Решал перемещением всех документов с раб. стола и папки документов в папку вне профиля (C:\Мои документы"). Потом обычно отрабатывало в норме, иногда требовался ребут. Потом прописывал новые пути или перемещал в папку с профилем. В случае с рабочим столом ярлыки перепутываются. Вообще, эту схему использовал со всеми, у кого много гигов-мегов в профиле (перемещение файла за пределы профиля).
2) все, больше проблем не было. Default User имхо не нужен вовсе, хватает стандартных средств.

Вообще, понравилась реакция юзеров: пришел админ, покрутился у экрана 5-15 минут, потом свалил. Ничего не изменилось. "А что ты сделал?"
Задергались пользователи внутреннего чата (у них там эротическая переписка была), ибо чат участников показывает по раб.группе, а все, кого в домен втянул, становятся невидимы для тех, кого еще не втянул. У них легкая паника: "босс просек, велел душить". Эксгибиционисты, блин.

Да, перед мероприятием с доменом на вский случай ввел DHCP, причем напоролся на то, что при раздаче ip из двух разных скоупов (192.168.0.0/24 и 192.168.1.1/24) на разделенные только логически подсети не срабатывают резервирования по МАС-адресу (честно, я не знал). Так что объединил обе логические подсети в одну (192.168.1.1/24). Тогда все как по маслу, адрес ДС как ДНС-сервера раздал уже по DHCP. Хорошая команда - netsh interface ip reset name=C:\result.txt (у меня статическая раздача была).

Первым делом полез в политики, ввел запрет на ввод в домен всем, кроме админа, затем долго парился с тупой работой по смене шаровых и NTFS-разрешений. Сегодня удалил всех недоменных юзеров кроме встроенного админа с основного сервера сети. Всех недоменных пользователей на рабочих станциях временно задисаблил (пусть народ привыкнет).

ДС собрал на базе ASUS TUSL2C/P-III 866 (определился почему-то как 1ГГц)/512/2x80gb HDD. С винтами - для WSUSа и бэкапов. Win2003 Std., DNS интегрированная в АД.

Всем большое спасибо за поддержку и консультации.
:)

Нет, все-таки был еще один нюанс: сборки Inventora и ACADa используют абсолютные пути, так что кое-где пришлось сохранять папки документов в старом профиле, чтобы пользователь не тратил время на перебивание путей :(

А они и так у меня локальными админами были :)

ALex_hha авторНет, все-таки был еще один нюанс: сборки Inventora и ACADa
угу, сам столкнулся с этим, а еще очень плохо переносится mechanics, а точнее вообще не переносится :(. MechaniCS подцепился нормально, сборки открывает. Только вот если когда-нибудь в другую папку их переносить - ума не приложу, как сделать. Пока те, кто обменивается файлами Механикса, держат идентичную структуру каталогов :) Ну, или линки перебивают в сборках.