# Zweiter LDAP-Server als Backup und Entlastung **URL:** \ **Category:** Server\ **Tags:** ldap, v7\ **Created:** [30. Dezember 2022 um 09:45 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653 "2022-12-30T09:45:17Z")\ **Posts on this page:** 18\ **Page:** 1
**Author:** ![FelixK](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/felixk/32/53_2.png) [@FelixK](https://ask.linuxmuster.net/u/FelixK)\ **Post date:** [30. Dezember 2022 um 09:45 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/1 "2022-12-30T09:45:18Z")
Hallo Forum, ich habe seit längerem neben unserem 6.2er-Server einen extern angemieteten (simpelsten) Server auf dem ein ldap-Dienst läuft. Entsprechend dem [Eintrag aus dem Wiki](https://wiki.linuxmuster.net/community/anwenderwiki:erweiterungen:ldap-replikation) und [diesem Forumsbeitrag](https://ask.linuxmuster.net/t/quick-dirty-ldap-provisiorium-draussen/5069) wird mehrmals täglich die LDAP-Datenbank auf den externen Server geschoben, so dass er stets synchron ist und für Moodle, Webuntis, Nextcloud und Co als zweiter (oder sogar einziger) LDAP-Server eingetragen ist. Super praktisch! Momentan stellen wir auf LMN7.1 um und ich wollte das Skript übernehmen und habe auch schon einen neuen externen Server hochgefahren. Allerdings finde ich auf dem LMN7-Server keine LDAP Konfigurationen mehr: Das Verzeichnis `/etc/ldap/` ist bis auf eine dummy-Datei leer. 😬 Auch z.B. der erste Befehl aus Thomas [Skript](https://ask.linuxmuster.net/t/quick-dirty-ldap-provisiorium-draussen/5069/3) (die Basis des Mechanismus) geht nicht mehr: ```auto echo "* erzeuge ldap-dump" /usr/sbin/slapcat -l /root/ldap.ldif ``` An der Schulkonsole kann man sich anmelden - wir haben Schüler und Lehrer drin - was hat sich denn von 6.2 → 7.1 hierzu geändert? Der Dienst sladp ist scheinbar auch nicht aktiv… (`dkpg -s slapd` meldet "nicht installiert) Hat jemand einen Tipp für mich, wo ich schauen kann / wie ich das lösen kann? Vielen Dank und Grüße, Felix ---
**Author:** ![carsten](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/carsten/32/6047_2.png) [@carsten](https://ask.linuxmuster.net/u/carsten)\ **Post date:** [30. Dezember 2022 um 10:42 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/2 "2022-12-30T10:42:57Z")
Hallo Felix, mit LMN7 ist auf das LDAP vom Samba 4 gesetzt wurden. Mit Änderung der Dienste sind die Konfigs und Werkzeuge ebenfalls geändert. ---
**Author:** ![FelixK](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/felixk/32/53_2.png) [@FelixK](https://ask.linuxmuster.net/u/FelixK)\ **Post date:** [30. Dezember 2022 um 11:17 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/3 "2022-12-30T11:17:56Z")
Hallo Carsten, Danke dir! Gibt es dort auch eine Möglichkeit einen LDAP-Dump zu machen? Am besten so, dass es ein normaler LDAP-Dienst „schluckt“? Oder **muss** ich einen zweiten Samba ins Netz stellen und diesen synchronisieren? Habe von Samba quasi Null Ahnung und würde das auch gerne so belassen 😉 VG, Felix PS: Oder ist es fast einfacher einen zweiten LMN-Server extern aufzusetzen und ihn regelmäßig mit dem Vampire-Skript zu füttern? ---
**Author:** ![baumhof](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/baumhof/32/1504_2.png) [@baumhof](https://ask.linuxmuster.net/u/baumhof)\ **Post date:** [30. Dezember 2022 um 12:00 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/4 "2022-12-30T12:00:38Z")
Hallo Felix, eine kurze Suche ergab: > [@LDAP-Replikation - Verbindung nicht möglich (lmn6.x)](https://ask.linuxmuster.net/t/ldap-replikation-verbindung-nicht-moeglich/7667/1): > > Hallo, ich versuche gerade eine LDAP-Replikation aufzusetzen, wie in diesem Wikiartikel beschrieben [anwenderwiki:erweiterungen:ldap-replikation [CommunityWiki]](https://wiki.linuxmuster.net/community/anwenderwiki:erweiterungen:ldap-replikation) Der Consumer ist dabei unsere Root-Server auf dem auch Moodle und Nextcloud installiert sind, und ist vom lmn-Server über das Internet erreichbar. Ich kann auf dem Consumer via ldapsearch -x -b "dc=meineschule,dc=lokal" -H ldaps://ldaps.meineschule-meinestadt.de:636 Einträge aus dem LDAP abrufen. Auch Moodle und nextcloud machen Ihre… und > [@Openldap Replikation geht nicht: Passwörter fehlen](https://ask.linuxmuster.net/t/openldap-replikation-geht-nicht-passwoerter-fehlen/6118/1): > > Vorgeschichte Um den Umstieg von 6.2 -\> 7 vorzubereiten, ist unser Mailserver ausgezogen und wohnt jetzt als die hier beschriebene Dockerlösung im Internet. Das funktioniert gut. Der hausinterne LDAP ist mit einem autossh-tunnel an die Dockerlösung angebunden und funktioniert auch stabil. Jetzt benötige ich einen replizierten OpenLDAP: Alle 24h kappt die Telekom die DSL-Leitung. Das ist doof: kommt in diesem Moment eine Mail, ist der Ldap nicht erreichbar und die Mail wird von Postfix als „Use… vielleicht hilft das. LG Holger ---
**Author:** ![carsten](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/carsten/32/6047_2.png) [@carsten](https://ask.linuxmuster.net/u/carsten)\ **Post date:** [30. Dezember 2022 um 12:51 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/5 "2022-12-30T12:51:38Z")
Lieber Felix, gleichwohl ich Dir Deine Frage nicht konkret beantworten kann, so laß Dir sagen, Deine Gedanken gefallen mir! Seit vielen Jahren bin ich mit freier Software unterwegs und natürlich auch sehr an freien Schulserverlösungen interessiert. Jedoch bin ich kein Entwickler von LMN. Ich betrachte das eher akademisch, vergleichend, gesellschaftlich, bewundernd… Mit Aufkommen von NT-Domänen betrieb ich einst ein bewährtes Samba für Datei-/Druckdienste und parallel ein extra Samba nur als Windows-NT-4-Domain-Controller. Ich hätte auch heute gern kleine übersichtliche Dienste/ Pakete statt der großen monolithischen Ungetüme. Statt LDAP über Samba 4 umzusetzen wäre mir eine bewährte Lösung mittels OpenLDAP lieber. Toll wäre aus meiner Sicht, wenn die Nutzer und Rechte in einer PostgreSQL-Datenbank gespeichert wären (Anregung [https://ogris.de/samba](https://ogris.de/samba)). Mittels einer Prozedur könnten größere Änderung wie beispielsweise beim Ein-/ Ausschalten des Klassenarbeitsmodus auch in großen Datenbeständen in kurzer Zeit bewältigt werden (das empfinde ich in MNN7 als ungünstig). Womöglich läßt sich auch das obsolete (?) Windows ebenso anders einbinden (Anregung [http://pgina.org/](http://pgina.org/)). Vielleicht kommt das in LMN8? Meine Welt käme auch ohne systemd und Docker aus 😉 Grüße Carsten ---
**Author:** ![FelixK](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/felixk/32/53_2.png) [@FelixK](https://ask.linuxmuster.net/u/FelixK)\ **Post date:** [30. Dezember 2022 um 21:46 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/6 "2022-12-30T21:46:44Z")
Hallo Carsten, das freut mich 🙂 Mir geht es ganz ähnlich, denn ich mag auch die Philosophie von Linux für jedes Problem ein passendes Tool zu haben - und dieses dann ganz direkt auf Dateiebene konfigurieren zu können… daher hätte ich mich auch über weiterhin OpenLDAP gefreut, aber ich bin auch kein Entwickler und habe auch nicht den Überblick über die Vorteile, die solche Vereinheitlichungen mit sich bringen… daher muss ich wohl nun einen anderen Weg finden… Viele Grüße, Felix PS: Docker finde ich schon beeindruckend, wie schnell man da Dinge an den Start bringen kann, aber in meiner Welt bräuchte es AppImages, Flatpack, Snap und Co nicht (da fühle ich mich wie bei Windows 😱), aber das führt wirklich weit vom Thema ab… und auch hier gibt es bestimmt auf der Entwicklerseite Vorteile, daher will ich auch gar nicht zu arg meckern 😉 PPS: Frohes Neues! 🎆 ---
**Author:** ![FelixK](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/felixk/32/53_2.png) [@FelixK](https://ask.linuxmuster.net/u/FelixK)\ **Post date:** [30. Dezember 2022 um 21:57 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/7 "2022-12-30T21:57:15Z")
Hallo Holger, danke dir - habe ich beide schon gelesen, aber wenn ich es richtig sehe, gehen beide noch von OpenLDAP aus und nicht von Samba :-/ Was wohl mein Problem lösen würde ist der Thread von Dorian: > [@Externer LDAP/AD Mirror lmn 7.x](https://ask.linuxmuster.net/t/externer-ldap-mirror/8077): > > Hi zusammen, Ich würde gerne einen externen Mirror unseres ADs erstellen. Der Grund ist ganz einfach: Wir haben in letzter Zeit öfter Internetausfälle, was unsere gesamte Kommunikation lahmlegt. Deshalb ziehe ich unser rocket.chat vermutlich demnächst auf einen gemieteten Server um. Da muss dann aber eben auch ein LDAP Mirror her, sonst funktioniert die Anmeldung natürlich nicht, wenn unser Hauptserver mal nicht erreichbar ist. Ich meine mich zu erinnern, dass das hier schonmal jemand gemacht … Das wirkt mir aber mächtig kompliziert und ich suche daher _noch_ nach einer einfachen Lösung, da ich ja „_nur_“ LDAP nach außen replizieren möchte… nicht das ganze AD… Danke aber für’s Mitdenken und viele Grüße, Felix PS - Und dir auch ein Frohes Neues 🙂🎆 ---
**Author:** ![jochen](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/jochen/32/121_2.png) [@jochen](https://ask.linuxmuster.net/u/jochen)\ **Post date:** [31. Dezember 2022 um 09:42 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/8 "2022-12-31T09:42:05Z")
Hallo zusammen, so weit ich weiß, kommt die Möglichkeit einer LDAP/AD-Replika mit LMN 7.2, die aktuell entwickelt wird. Da warte ich auch sehnsüchtig drauf, da mittlerweile wie schon erwähnt, viele - auch externe - Dienste eben auf die Authentifizierung mit dem LDAP angewiesen sind. Viele Grüße, Jochen ---
**Author:** ![dorian](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/dorian/32/5289_2.png) [@dorian](https://ask.linuxmuster.net/u/dorian)\ **Post date:** [31. Dezember 2022 um 10:06 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/9 "2022-12-31T10:06:38Z")
Hi, die Replikation hat eigentlich nichts mit der 7.2 zutun. Man muss eben einen zweiten DomainController mit Samba aufsetzen, das wird bei der 7.2 genau gleich bleiben. VG, Dorian ---
**Author:** ![jochen](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/jochen/32/121_2.png) [@jochen](https://ask.linuxmuster.net/u/jochen)\ **Post date:** [31. Dezember 2022 um 22:17 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/10 "2022-12-31T22:17:58Z")
Hi Dorian, ich meinte irgendwo in Ask gelesen zu haben, dass das erst mit der dann neuen Samba-Version von LMN7.2 funktionieren soll? Viele Grüße, Jochen ---
**Author:** ![FelixK](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/felixk/32/53_2.png) [@FelixK](https://ask.linuxmuster.net/u/FelixK)\ **Post date:** [1. Januar 2023 um 16:27 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/11 "2023-01-01T16:27:23Z")
Hallo Jochen, ja, das hast du hier gelesen: > [@Externer LDAP/AD Mirror lmn 7.x](https://ask.linuxmuster.net/t/externer-ldap-mirror/8077/52): > > Der limitierende Faktor ist die SAMBA Version der Lösung. Erst wenn man von 4.7.6 auf höhere Releases geht. Ursprünglich geplant war der Wechsel für 7.2. Ob jemand was in der Entwicklerversion bereits getestet hat? Viele Grüße Thomas @dorian : dein im obigen Thread erwähnter Ansatz ist ja offenbar per VPN o.ä. permanent mit dem LMN-Server verbunden. Funktioniert das auch, wenn die Schule offline ist? (Das ist ja der Zweck der Geschichte…) Als Idee: Auf einem gemieteten Server ein LMN7.1-Setup durchlaufen lassen und regelmäßig die Konfigs rüberkopieren - könnte das auch gehen? Ich will von extern ja nur LDAP benutzen… Viele Grüße, Felix ---
**Author:** ![dorian](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/dorian/32/5289_2.png) [@dorian](https://ask.linuxmuster.net/u/dorian)\ **Post date:** [1. Januar 2023 um 17:18 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/12 "2023-01-01T17:18:15Z")
Hi, > [@jochen](#): > > ich meinte irgendwo in Ask gelesen zu haben, dass das erst mit der dann neuen Samba-Version von LMN7.2 funktionieren soll Das ist Quatsch. Ich habe das seit einem Jahr ohne Probleme mit LMN7.0 und jetzt mit 7.1 im Einsatz. Das Einzige was nicht geht ist ein RODC. Es ist nur wochtig, dass die Versionen übereinstimmen. Also muss der externe Server auch auf Ubuntu 18.04 laufen. Ich hab das Ganze in einem Docker Container. > [@FelixK](#): > > Funktioniert das auch, wenn die Schule offline ist? ( Ja! Ich habe den externen server per WireGuard an unser internes Netz angeschlossen. Dann muss man nur den Samba als zweiten Domaincontroller joinen und er spiegelt alles. Damit ist auch die Authentifizierung gegen diesen zweiten Samba Server möglich. Das mache ich zum Beispiel für unseren Matrix Server, damit die Kommunikation auch noch funktioniert, wenn vor Ort der Strom oder das Internet ausfällt. Wie gesagt, das funktioniert wunderbar seit einem Jahr… Ich muss aber dazusagen, dass ich mich nich mega gut damit auskenne und es einfach durch lesen der Dokumentation und ein bisschen trail and error hinbekommen habe. Es kann sein, dass das unerwünschte Seiteneffekte hat, von denen ich nichts weiß. VG, Dorian ---
**Author:** ![Buster](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/b/41988e/32.png) [@Buster](https://ask.linuxmuster.net/u/Buster)\ **Post date:** [2. Januar 2023 um 08:29 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/13 "2023-01-02T08:29:51Z")
Hallo, > [@dorian](#): > > Dann muss man nur den Samba als zweiten Domaincontroller joinen und er spiegelt alles. Muss oder sollte man dann noch eine Konfiguration vornehmen, damit sich die Clients nicht alle versuchen am entfernten DC im externen Rechenzentrum anzumelden? Zumindest die Windows-Clients wählen den Anmeldeserver durch ein Verfahren aus, dass (in einer reinen Windows-Umgebung) über eine Kombination aus DNS-Abfrage, Gruppenrichtlinieneinstellung und AD-Konfiguration (Zuordnung zu einer Site) steuerbar ist. MfG Buster ---
**Author:** ![dorian](https://ask.linuxmuster.net/user_avatar/ask.linuxmuster.net/dorian/32/5289_2.png) [@dorian](https://ask.linuxmuster.net/u/dorian)\ **Post date:** [2. Januar 2023 um 18:00 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/14 "2023-01-02T18:00:15Z")
Hi Buster, gute Frage. Wäre sicher gut, das zu konfigurieren, ich weiß allerdings nicht wie. Bisher hatte ich keine Probleme mit Clients, die versucht hätten, den falschen Server anzusprechen. VG, Dorian ---
**Author:** ![Blair](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/b/c37758/32.png) [@Blair](https://ask.linuxmuster.net/u/Blair)\ **Post date:** [4. Januar 2023 um 20:14 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/15 "2023-01-04T20:14:21Z")
Hallo, im Grunde hast du das bereits konfiguriert. Wenn du den Windows-Clients den 2. Samba nicht per DHCP als 2. DNS-Server eingetragen hast, dann wird der 2. Samba auch nicht als Logon-Server von den Clients verwendet. Viele Grüße Christian ---
**Author:** ![Buster](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/b/41988e/32.png) [@Buster](https://ask.linuxmuster.net/u/Buster)\ **Post date:** [5. Januar 2023 um 17:14 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/16 "2023-01-05T17:14:55Z")
Hallo Blair/Christian, bist du dir da sicher? DNS-Server und Logonserver sind zwei getrennte Einstellungen. Ein Windows-Client wird seine zugewiesenen DNS-Server (egal wieviele konfiguriert sind) nach der IP zu den DNS-Einträgen _\_ldap.\_tcp.ADSitename.\_sites.dc.\_msdcs.domain.tld_ und _\_ldap.\_tcp.dc.\_msdcs.domain.tld_ fragen. Die Antwort nimmt er als Anmeldeserver. Da kommt es auf den Inhalt der DNS-Antwort an und nicht darauf, ob ein 2. DNS-Server konfiguriert ist. Wenn nun zwei Samba-Server als DC in die Domäne aufgenommen wurden, sollte zumindest die DNS-Antwort für _\_ldap.\_tcp.dc.\_msdcs.domain.tld_ standardmäßig alle IPs aller DC enthalten. Will man die Anmeldung an bestimmte DC präferieren/beschränken, muss man DC und Clients derselben AD-Site zuweisen. (Ich gehe davon aus, dass das mit einem Samba-Server als DC statt Windows-Server nicht anders funktioniert, sonst wäre es nicht kompatibel.) MfG Buster ---
**Author:** ![Blair](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/b/c37758/32.png) [@Blair](https://ask.linuxmuster.net/u/Blair)\ **Post date:** [10. Januar 2023 um 18:00 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/17 "2023-01-10T18:00:06Z")
Hallo Buster, der Beitrag bezieht sich nur auf das Setting von Dorian. Bei seiner Konfiguration und seinem Aufbau sollte der 2. Samba eigentlich nie von einem Client als Anmeldeserver genutzt werden, selbst bei einem Ausfall des 1. Samba nicht. Edit: Hab jetzt verstanden, was du meinst. Wenn man den DNS Server angibt, dann wird der nicht automatisch als Anmeldeserver ausgewählt. Ohne weitere Konfiguration nimmt der Client den nahegelegensten Anmeldeserver. Dorian könnte als DNS Server seinen 2. Samba angeben, die Clients würden als Anmeldeserver trotzdem den 1. Samba nehmen, da der im gleichen Subnet liegt und damit näher ist. Außer, wenn der 1. Samba ausfällt, dann würde in dem Fall eben der 2. Samba benutzt. Danke für den Hinweis. Hatte ich oben unglücklich formuliert. Viele Grüße Christian ---
**Author:** ![Buster](https://ask.linuxmuster.net/letter_avatar_proxy/v4/letter/b/41988e/32.png) [@Buster](https://ask.linuxmuster.net/u/Buster)\ **Post date:** [11. Januar 2023 um 09:32 UTC](https://ask.linuxmuster.net/t/zweiter-ldap-server-als-backup-und-entlastung/9653/18 "2023-01-11T09:32:41Z")
> [@Blair](#): > > Ohne weitere Konfiguration nimmt der Client den nahegelegensten Anmeldeserver Ja, und was nahegelegen ist, bestimmt die Konfiguration des Site-Objektes im ActiveDirectory. Standardmäßig (bei Erstinstallation eines AD) gibt es erstmal nur eine Site und der erste Domänencontroller und sein IP-Netz sind dieser zugeordnet. > [@Blair](#): > > die Clients würden als Anmeldeserver trotzdem den 1. Samba nehmen, da der im gleichen Subnet liegt Nein, die Clients wählen irgendeinen DC, der in der selben AD-Site ist, wie der Client. Das kann dasselbe IP-Subnetz sein, muss es aber nicht. > [@dorian](#): > > Dann muss man nur den Samba als zweiten Domaincontroller joinen und er spiegelt alles. Und hier gehe ich mal davon aus, dass danach keine weitere Konfiguration der Site-Objekte und zugehöriger IP-Netze im AD gemacht wurde (weil man nun mal nicht täglich DCs in Domänen aufnimmt). Damit ist der zweite DC in die erste/einzige Site im AD gejoint und aus Sicht des AD und Windows-Clients gleicht weit entfernt. Ob und wieviel Kommunikation es zu dem externen DC gibt, könnte man ja leicht ermitteln, indem eine Firewallregel nur protokolliert was an Pakete zu den Ports für LDAP und Kerberos zum externen DC läuft. MfG Buster P.S.: Zu den Hintergründen: - Wie der Client den zuständigen DC ermittelt: [Standortfunktionen | Microsoft Learn](https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/plan/site-functions#client-affinity) - Wie man seine Netzwerkstruktur im AD abbildet: [Entwerfen der Standorttopologie | Microsoft Learn](https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/plan/designing-the-site-topology)