Dicas para gerenciar múltiplos computadores fora do domínio?

Question

Meu escritório doméstico usa um domínio do Windows que hospeda cerca de 25 nós. Existem 17 locais no campo (70% do Windows XP, 30% do Windows 7) com entre 4 e 10 computadores que não fazem parte desse domínio e não existem em um domínio. Decidimos desde o início que o custo para criar e gerenciar a infraestrutura para entrar no nosso escritório doméstico não era suficiente para justificar o pouco que precisávamos (todos eles se conectam ao nosso aplicativo da Web para fazer seu trabalho de qualquer maneira.)

No entanto, isso cria um grande problema para o nosso (muito pequeno) departamento de TI sempre que precisamos fazer qualquer tipo de manutenção nas máquinas de campo. Eu adoraria ver-nos economizar algum tempo com uma ferramenta ou conjunto de práticas que nos permitirão gerenciar melhor esses sistemas remotamente, mesmo que seja algo tão simples quanto gerenciar atualizações, executar comandos ou enviar o Firefox para todos.

Quais são algumas boas ferramentas / práticas para gerenciar esse problema em cerca de 150 nós remotos, sem domínio? Quaisquer soluções de software devem ser recomendadas, sabendo que somos uma pequena empresa com um orçamento de TI restrito.

    

Answer 1

Eu pessoalmente gosto do AD, mas você já disse que decidiu contra isso. Então ...

• Conexões VPN para conectá-las ao escritório. (Roteamento e Acesso Remoto / OpenVPN / Cisco AnyConnect / O que veio com seu roteador / etc.)
• LogMeIn ou algo semelhante nos clientes.
• Você pode executar o WSUS fora de um domínio. Há chaves de registro para ajudá-lo com isso, e eles podem baixar suas atualizações da Microsoft através da VPN. Isso também fornecerá relatórios sobre a conformidade do patch. Você pode enviar essas chaves de uma das formas abaixo. (Tenha cuidado com o SusClientID e o PingID - eles não podem ser idênticos em todas as máquinas. Além disso, o WinXP usa essas teclas como uma bonequinha, mas você pode precisar segurar um pouco.) Por outro lado, você pode impingir uma política de atualização clientes que envolvem ir diretamente para a Microsoft e terminar com isso.

O que nos deixa com instalações / atualizações de software. O dinheiro e o tempo gasto serão inversamente proporcionais, na minha experiência, mas a sua quilometragem pode variar.

1. Software de gerenciamento como Altiris Deployment Solution, LANdesk, etc. Prós: Criado para isso e eles são muito mais gerenciáveis. Seus clientes aparecem no console quando estão conectados à VPN, embora a conexão possa ser fedorenta. Contras: Custa dinheiro, embora eu acredite que a maioria deles seja cobrada pelo cliente.
2. Scripts e PSexec , embora eu nunca tenha testado a execução deles em uma VPN e você provavelmente teria problemas para encontrar estações de trabalho individuais. Prós: grátis. Contras: Você provavelmente teria que LogMeIn para uma máquina remota e executar o PSexec nas máquinas locais dessa maneira.

É por isso que Grant é a favor do Active Directory para instalações de software. Honestamente, eu estava absurdamente feliz quando um ex-empregador finalmente conseguiu o AD e finalmente pude parar de usar chaves de registro via software de gerenciamento.

Há também (muito poucos) lugares que fazem desktops remotos como um serviço (Desktone, Molten, Citrix, Amazon tem um beta). Você pode ser um candidato para isso. É definitivamente vale a pena investigar no seu caso, IMHO.

O que eu recomendaria é:

• Descubra quanto custaria para conectar os sites remotos ao seu domínio existente, incluindo hardware, software e alguém para gerenciá-lo.
• Avalie vários pacotes de software (Altiris, LANdesk), incluindo hardware, software e alguém para gerenciá-lo.
• Preço contratando outra tecnologia ou duas.
• Avalie os vários fornecedores de desktops como prestadores de serviços e veja se eles se parecem com um bom ajuste.

Espero que, nesse ponto, algo comece a parecer certo para você. Boa sorte!

    

Answer 2

Diretório ativo.

We had decided early on the cost to create and manage the infrastructure to hook into our home office domain was not enough to justify what little we needed it for...

Na época, isso pode ter sido verdade. No entanto, agora, você está chegando ao ponto em que, sem um domínio, é incontrolável em tempo não polinomial.

Portanto, é hora de rever essa decisão, comprar alguns servidores (sim, servidores adequados) e instalar o Windows Server 2012 R2. Não é mais tão cara assim.

Dessa forma, você poderá implantar software e atualizações com o WSUS, ter maior controle sobre quem faz o quê com os GPOs. Você pode até implantar novos sistemas para bare metal com WDS.

Sério. 150 nós. Você precisa de um domínio. Se você não acha, está errado.

    

Answer 3

Existem algumas maneiras de gerenciá-lo:

• Windows intune
• System Center Configuration Manager (acredito que possa funcionar remotamente com um pouco de esforço extra)
• Logmein ou similar em todas as máquinas remotas
• Conexões VPN de site para site para trazê-las ao domínio.
• VPN em cada PC para trazê-los para o domínio. O construído em windows 7 permite que você se conecte a partir da tela de login para que você ainda possa fazer o login. O Win XP pode precisar de um cliente de terceiros.

Eu recomendaria as opções de VPN. Os serviços da microsoft vpn não são muito caros. E o OpenVPN pode ser feito gratuitamente (mais o custo do seu tempo).

Ter todos os PCs no domínio significa que você pode usar GPOs, assistência remota etc. para gerenciá-los com muita facilidade. E você não precisa gerenciar credenciais separadas em cada máquina. Compare o custo no tempo de TI agora de gerenciar as máquinas remotas versus as conectadas ao domínio e você provavelmente achará trazê-las para o domínio para ser bastante rentável e trazer melhor segurança ao mesmo tempo.

    

Answer 4

Se os dois sistemas tiverem credenciais que correspondam (mesmo nome de usuário / senha para o usuário do AD no domínio e usuário local no host remoto), o usuário do domínio deverá ser capaz de autenticar perfeitamente para o host remoto.

Você precisará configurar o firewall nas máquinas remotas para permitir o acesso à porta 445 de sua rede de domínio e bloqueá-la para todas as outras.

Depois disso, qualquer processo executado como o usuário do domínio poderá se autenticar de forma cruzada na máquina remota como o usuário local correspondente, sem um prompt de logon.