HopeDC обслуживает Windows и Linux из единого ядра: LDAP, Kerberos, DNS, DHCP, SMB, центр сертификации и веб‑панель — без внешней СУБД и зоопарка демонов. И мягко замещает действующий Windows‑DC.
Протокольная совместимость с Active Directory — плюс то, чего обычно не хватает: единое управление, лёгкость развёртывания и путь отхода от Windows‑DC.
Ядро на Rust со встроенным движком на WAL. LDAP, Kerberos, DNS, DHCP, SMB, ЦС и панель — без PostgreSQL, OpenLDAP, BIND и JVM.
Групповые политики Windows (GPO) и политики Linux (sudo, файлы, пакеты, cron, sysctl, общие папки SMB) — из одной панели, с разбором ОС компьютеров.
Полноценные групповые политики через SYSVOL: ресурсы NETLOGON и SYSVOL доступны по \hope.local\, клиенты применяют GPO точно так же, как с Microsoft AD. Создание и правка — из Admin Center.
Admin Center на RU/EN: структура домена, GPO, сайты и службы, ЦС, доверия, резервные копии — с RBAC и делегированием по доменам.
Один сервер или кластер HopeDC обслуживает несколько независимых доменов и лесов. Каждый клиент видит только свой домен, поиск и Global Catalog не выходят за его границы, билеты Kerberos в чужой лес — только по доверию. Готовая основа для ИТ‑аутсорсеров, провайдеров и холдингов.
Зеркалирование действующего MS AD, затем «Принять роль KDC» с индикатором готовности по кэшированным ключам. Автономный вход при отказе внешнего DC.
Несколько узлов HopeDC объединяются в кластер с репликацией каталога: отказ или обслуживание одного узла проходит без простоя домена. Создание кластера, статус репликации между узлами и управление — прямо из Admin Center.
Вся база — каталог, хэши паролей, ключи Kerberos, SYSVOL и архивы бэкапов — зашифрована AES‑256‑GCM; мастер‑ключ хранится вне каталога данных и не попадает в бэкап. Подключение к AD идёт только по LDAPS с проверкой сертификата контроллера (цепочка до ЦС леса или закреплённый отпечаток SHA‑256); при подмене DC соединение отклоняется. Смена krbtgt — из панели.
Каждая роль AD‑контроллера реализована внутри hopedc‑core. Данные каталога — во встроенном движке HopeDB, внешняя база не нужна.
| Порт | Служба | Назначение |
|---|---|---|
| 389 / 636 | LDAP / LDAPS | Каталог, bind, mTLS |
| 88 | Kerberos KDC | AES128/256, RC4‑HMAC |
| 53 | DNS | Авторитативные зоны |
| 389/udp | CLDAP | Netlogon, realm discovery |
| 67 | DHCP | Выдача адресов |
| 445 | SMB | SYSVOL и ресурсы |
| 3268 / 3269 | Global Catalog | Поиск по лесу |
| 9443 | Admin API · SSL | Панель и репликация |
Вход локальной или доменной учётной записью (RBAC), управление структурой домена, политиками, сайтами, ЦС, кластером и резервными копиями — из одного окна в браузере.
HopeDC входит в сеть рядом с действующим контроллером и забирает роль постепенно, когда вы к этому готовы.
Подключите существующий домен MS AD. HopeDC зеркалирует объекты каталога в собственное хранилище и обслуживает клиентов как дополнительный узел.
По готовности HopeDC генерирует свой krbtgt и начинает обслуживать Kerberos домена. Индикатор показывает, у скольких пользователей уже кэшированы ключи.
Старый контроллер выводится из эксплуатации. Локальные пароли в HopeDC дают автономный вход даже при отказе внешнего DC.
Samba‑DC, FreeIPA и Microsoft AD — зрелые продукты. Ниже — устойчивые архитектурные различия, а не замена технической проверки под вашу задачу.
| Возможность | HopeDC | Samba‑DC | FreeIPA | MS AD |
|---|---|---|---|---|
| Домен‑джойн Windows как AD‑DC | да | да | через trust | да |
| Нативная идентичность Linux (SSSD/sudo/POSIX) | да | частично | да | доп. средства |
| Встроенный современный веб‑UI | да · RU/EN | нет | да | RSAT/GPMC |
| Один бинарник, без внешней СУБД | да | внутр. LDB | стек демонов | роль Windows |
| Встроенные DNS + DHCP | да | только DNS | только DNS | да |
| GPO + политики Linux из одного UI | да613 шаблонов ФСТЭК/CIS | через RSAT | HBAC/sudo | только GPMC |
| Репликация SYSVOL между контроллерами | давместе с каталогом | вручную, rsync | не AD | да · DFSR |
| Сайты и службы (Sites) из веб‑UI | да | samba‑tool | не AD‑сайты | только RSAT |
| Лес: поддомены и деревья из веб‑UI | да | частично, CLI | не AD‑лес | да |
| Несколько доменов и лесов на сервере | дас изоляцией, как разные леса | нет | нет | нет |
| RODC для филиалов | да | ограниченно | нет | да |
| Замена действующего MS AD | seize KDCс переносом паролей | сложно | через trust | свой лес |
| Установка и обновление DC из панели | дапо SSH, одной кнопкой | вручную | вручную, CLI | вручную |
| Шифрование всей базы и бэкапов | да · AES‑256 | частичносекреты | частичноключи KDC | частичносекреты, BitLocker |
| Журнал безопасности → SIEM | даCEF/JSON, Prometheus, Zabbix | JSON‑аудит | журналы служб | WEF, агенты |
| Второй фактор (MFA) | TOTPпанель и LDAP; в ОС — смарт‑карта | нет | да · OTPв т.ч. вход в ОС | нет |
| Лицензии / CAL Windows | не нужны | не нужны | не нужны | нужны |
| Зрелость и экосистема | новый продуктбыстрые итерации | высокая | высокая | максимальная |
FreeIPA не выступает AD‑контроллером для Windows: интеграция строится через межлесное доверие с AD, а не прямой домен‑джойн.
Ориентировочные минимальные требования на роль контроллера домена. Реальные значения растут с числом объектов — проверяйте под свой масштаб.
HopeDC — часть семейства самодостаточных продуктов на Rust с единым подходом: открытые протоколы, встроенное хранилище, веб‑панель и замещение Microsoft‑инфраструктуры.
AD‑совместимый контроллер домена в одном файле — для Windows и Linux.
Корпоративная почта и календарь — замена Microsoft Exchange и Microsoft 365.
Защищённая почтовая граница перед Hope Mail: антиспам и аутентификация отправителя.
Файловый сервер Windows на Linux: NTFS‑права, «Предыдущие версии» и доменный вход — без Windows Server.
Проверено на Astra Linux SE 1.8 с включёнными МКЦ, МРД и ЗПС: база, журналы и ключ HopeDC держатся под высокой меткой целостности — процесс с низким уровнем изменить их не может.
Строгий режим ЗПС включается, когда сборка HopeDC подписана ключом, заверенным ГК «Астра».
Каждый продукт Hope ставится простыми командами — без сложных развёртываний, внешних СУБД и зоопарка служб. Один бинарник, веб‑панель — и готово.
Разверните ядро на любом Linux‑сервере за несколько минут и войдите в Admin Center. Для сетапа «под ключ» и пресейла — свяжитесь с командой.
Ubuntu 20.04+ · Debian 11+ · RHEL/Alma/Rocky 9+ · Astra Linux SE 1.8+