AD Sites and Services ile Çok Şubeli Holding Replikasyon Topolojisi ve ISTG Köprüsü

Bir holding yapısında farklı şehirlerde onlarca şube ve otel lokasyonunuz olduğunda, tüm bilgisayarların ve sunucuların Active Directory replikasyonunu rastgele yapmasına izin veremezsiniz. Eğer Active Directory Sites and Services düzgün yapılandırılmamışsa; Antalya'daki bir otel resepsiyonundaki bilgisayar oturum açarken Antalya'daki yerel Domain Controller varken İstanbul merkezdeki sunucuya gitmeye çalışır! Bu durum WAN hattını tıkar, oturum açılışlarını 5 dakikaya uzatır ve replikasyon kuyruklarını kilitler.

1. Alt Ağların (Subnets) Sitelerle Eşleştirilmesi

Active Directory bir istemcinin nerede olduğunu IP adresinden anlar. İlk kural: Etki alanındaki her IP bloğu bir Site'a atanmalıdır!

Topoloji Örneği:
- Site 1: IST-MERKEZ      -> Subnet: 10.10.0.0/16   (DC: DC01, DC02)
- Site 2: KAPADOKYA-OTEL  -> Subnet: 10.20.0.0/16   (DC: DC-KAPADOKYA)
- Site 3: ANTALYA-SUBE    -> Subnet: 10.30.0.0/16   (DC: DC-ANTALYA)

2. Site Link Maliyetleri (Cost) ve Replikasyon Zamanlaması

Siteler arasındaki Site Link'ler fiziksel WAN hatlarının hızına göre maliyetlendirilir:

Site Link: DEFAULTIPSITELINK silinir! Yerine:
1. LINK_IST_KAPADOKYA:
   - Cost: 50 (Metro Ethernet - Hızlı)
   - Replicate every: 15 Dakika
2. LINK_IST_ANTALYA:
   - Cost: 100 (VDSL / Yedekli)
   - Replicate every: 30 Dakika

Maliyet mantığı: Active Directory en ucuz maliyetli yoldan replike olur. Eğer İstanbul-Kapadokya hattı koparsa, maliyet kuralları üzerinden alternatif rota aranır.

3. KCC (Knowledge Consistency Checker) ve ISTG Rolü

Active Directory üzerinde replikasyon halkasını (Ring Topology) oluşturan otonom zeka KCC (Knowledge Consistency Checker)'dır.

• Siteler arası replikasyonu yöneten ve bağlantı nesnelerini (Connection Objects) üreten özel sunucuya ISTG (Inter-Site Topology Generator) denir.
• Sistem yöneticileri manuel bağlantı nesneleri oluşturmamalıdır; KCC'nin ürettiği otomatik bağlantılara sadık kalınmalıdır.

# Replikasyon topolojisini anında denetleme ve zorlama
repadmin /kcc
repadmin /showrepl * /csv > replikasyon_durumu.csv

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• Tanımsız Alt Ağlar (Subnets): C:\Windows\debug\netlogon.log dosyası incelendiğinde NO_CLIENT_SITE hataları görüyorsanız, ağa yeni eklenen bir şube IP bloğu Sites and Services altına tanımlanmamıştır demektir. Bu istemciler en yakın DC yerine rastgele bir DC'ye gider.
• Bridgehead Sunucu Kilitlenmesi: Siteler arası trafiği taşıyan "Bridgehead Server" çökerse siteler arası replikasyon durabilir. Windows Server modern sürümlerinde Bridgehead seçimini manuel kilitlemeyin; bırakın KCC en sağlıklı DC'yi dinamik olarak seçsin.

Mühendis Notu

Şubelerde Domain Controller konumlandırırken mutlaka RODC (Read-Only Domain Controller) seçeneğini değerlendirin. Fiziksel güvenliği zayıf bir mağaza veya otelde sunucu çalınsa dahi RODC üzerindeki şifreler salt okunur olduğu için merkez şifreleri ele geçirilemez.