DFS w firmie – jak skonfigurować rozproszony system plików

Czym jest DFS i jaki problem rozwiązuje

DFS to funkcja Windows Server pozwalająca połączyć udziały sieciowe rozproszone na wielu serwerach i w wielu lokalizacjach w jedną, logiczną strukturę folderów widoczną dla użytkownika jako pojedyncza ścieżka, np. \\firma.local\dane. Użytkownik nie musi wiedzieć, na którym fizycznym serwerze znajduje się plik - system sam kieruje go do najbliższej i najszybciej dostępnej kopii danych.

• Firma ma oddziały w kilku miastach i każdy z nich korzysta z lokalnego serwera plików
• Pracownicy zdalni często nie wiedzą, z którego serwera pobrać dokument
• Awaria jednego serwera odcina dostęp do danych, mimo że kopia istnieje gdzie indziej
• Kopiowanie dużych plików między lokalizacjami przez wolne łącze WAN jest uciążliwe

DFS składa się z dwóch komponentów, które zwykle wdraża się razem: DFS Namespace (wirtualna struktura folderów) oraz DFS Replication (silnik synchronizacji danych między serwerami).

Architektura – Namespace i Replication

Zanim przystąpisz do konfiguracji, warto zrozumieć podział ról między dwoma komponentami DFS.

• DFS Namespace (DFSN) - tworzy jedno wspólne drzewo folderów, pod którym ukryte są rzeczywiste udziały sieciowe z różnych serwerów. To warstwa, którą widzi użytkownik
• DFS Replication (DFSR) - odpowiada za fizyczną synchronizację zawartości folderów między serwerami, korzystając z algorytmu RDC (Remote Differential Compression), który przesyła tylko zmienione fragmenty plików, a nie całe pliki

Namespace może działać samodzielnie, bez replikacji - wtedy po prostu ułatwia nawigację po zasobach. Pełną odporność na awarie i szybki dostęp lokalny uzyskuje się dopiero po dołożeniu replikacji między serwerami w różnych lokalizacjach.

Namespace występuje w dwóch trybach: samodzielnym (dane konfiguracyjne trzymane lokalnie na jednym serwerze) oraz opartym na domenie (konfiguracja przechowywana w Active Directory i replikowana automatycznie do wielu serwerów przestrzeni nazw). Dla firmy z więcej niż jedną lokalizacją niemal zawsze wybiera się tryb domenowy.

Konfiguracja DFS Namespace krok po kroku

1. Zainstaluj rolę File Server oraz funkcję DFS Namespaces przez Menedżera serwera lub polecenie PowerShell: Install-WindowsFeature FS-DFS-Namespace -IncludeManagementTools
2. Otwórz konsolę DFS Management i utwórz nową przestrzeń nazw - wybierz tryb oparty na domenie
3. Nadaj przestrzeni nazw czytelną nazwę, np. dane, tak aby ścieżka wyglądała jak \\firma.local\dane
4. Dodaj foldery w przestrzeni nazw (np. Ksiegowosc, Sprzedaz, Projekty) i przypisz do każdego z nich jeden lub więcej rzeczywistych udziałów sieciowych jako foldery docelowe
5. Jeśli ten sam folder ma mieć kopię na dwóch serwerach w różnych lokalizacjach, dodaj oba udziały jako foldery docelowe tego samego folderu w przestrzeni nazw - to właśnie uruchamia kreator konfiguracji replikacji
6. Skonfiguruj referencje (referrals), czyli kolejność, w jakiej klient jest kierowany do poszczególnych serwerów - zwykle ustawia się priorytet na serwer w tej samej lokalizacji co użytkownik, na podstawie kosztów lokalizacji Active Directory

Od strony użytkownika nic się nie zmienia poza jedną rzeczą: mapuje on teraz dysk sieciowy do wspólnej ścieżki DFS zamiast do konkretnego serwera.

Konfiguracja DFS Replication i harmonogramu

Jeśli dodałeś więcej niż jeden folder docelowy dla tej samej ścieżki w przestrzeni nazw, kreator zaproponuje utworzenie grupy replikacji. Warto przejść przez ten proces świadomie.

• Wybierz topologię replikacji - dla dwóch lokalizacji wystarczy topologia full mesh, dla większej liczby oddziałów lepiej sprawdzi się hub and spoke z centralnym serwerem w siedzibie głównej
• Ustal harmonogram i przepustowość replikacji - w godzinach pracy warto ograniczyć wykorzystywane pasmo łącza WAN, np. do 30-50%, a pełną prędkość zostawić na noc
• Wskaż serwer początkowy (primary member), z którego dane zostaną skopiowane jako pierwsze - unikniesz w ten sposób konfliktów przy pierwszej synchronizacji dużego zbioru plików
• Monitoruj stan replikacji poleceniem dfsrdiag replicationstate oraz w podglądzie zdarzeń DFSR, szczególnie po większych zmianach w danych

Warto pamiętać, że DFSR replikuje pliki na poziomie systemu plików, nie bazy danych - nie jest to zamiennik dla plików otwartych stale przez aplikacje bazodanowe czy księgowe, które wymagają blokad na poziomie rekordów.

Uprawnienia i bezpieczeństwo w środowisku DFS

DFS ułatwia nawigację, ale nie zastępuje standardowego zarządzania uprawnieniami NTFS i udostępniania. Kilka zasad, które warto wdrożyć od razu.

• Uprawnienia ustawiaj na poziomie rzeczywistych folderów docelowych (NTFS i udział), a nie na warstwie Namespace - ta ostatnia jedynie pokazuje strukturę, nie kontroluje dostępu
• Zadbaj o identyczne uprawnienia na wszystkich replikowanych kopiach folderu - rozjazd w uprawnieniach między lokalizacjami to częsta przyczyna zgłoszeń do helpdesku
• Ogranicz grupę replikacji do kont maszyn i administratorów - zwykli użytkownicy nie powinni mieć bezpośredniego dostępu do folderu ukrytego DfsrPrivate
• Włącz szyfrowanie transmisji SMB (SMB Encryption) między serwerami, jeśli replikacja odbywa się przez sieć rozległą poza zaufaną siecią lokalną
• Regularnie sprawdzaj logi zdarzeń pod kątem konfliktów replikacji (event ID 4412 i pokrewne) - mogą sygnalizować, że dwóch użytkowników edytowało ten sam plik jednocześnie w różnych lokalizacjach

DFS nie jest też substytutem backupu - to mechanizm dostępności i wydajności, a nie ochrony przed przypadkowym usunięciem czy szyfrowaniem przez ransomware, które równie sprawnie zreplikuje się na wszystkie serwery.