Администрирование сетей Windows

Краткое знакомство со службой каталогов Windows 2000

Служба каталогов используется для уникальной идентификации пользователей и ресурсов в сети. Для работы службы каталогов Win­dows 2000 применяет Active Directory. Важно понимать основную цель Active Directory и ее ключевые возможности.

Что такое служба каталогов

Каталог (Directory) - сохраненный набор информации об объектах, связанных друг с другом некоторым способом. Например, в телефон­ном справочнике хранятся имена объектов и соответствующие им телефонные номера. Телефонный справочник также может содержать адрес или другую информацию об объекте.

В распределенных компьютерных системах или глобальных сетях типа Интернета существует множество объектов, например файловые серверы, принтеры, службы факсов, приложения, базы данных и пользователи, которые находят и используют эти объекты.

Необхо­димо, чтобы администраторы имели возможность управлять этими объектами. Служба каталогов централизованно хранит всю информа­цию, требуемую для использования и управления этими объектами, упрощая процесс поиска и управления данными ресурсами.

В данном курсе термины каталог и служба каталогов относятся к каталогам, расположенным в глобальных и частных сетях.

Каталог предоставляет средство хранения информации, относящейся к сете­вым ресурсам, облегчая их поиск и управление ими.

Служба каталогов - сетевая служба, которая идентифицирует все ресурсы сети и де­лает их доступными пользователям. Служба каталогов отличается от каталога тем, что хотя они оба являются источниками информации, служба делает ее доступной для пользователей.

Служба каталогов работает как главный коммутатор сетевой ОС. Она управляет идентификацией и отношениями между распределен­ными ресурсами и позволяет им работать вместе. Ввиду поддержки службой каталогов этих фундаментальных функций ОС, они должны быть тесно связаны с механизмами управления и безопасности ОС для обеспечения целостности и защищенности сети. Они также не­обходимы для определения и поддержания инфраструктуры сети организации, администрирования системы и контроля активности пользователей информационной службы компании.

Назначение службы каталогов

Служба каталога предоставляет средства организации и упрощения доступа к ресурсам сетевой компьютерной системы. Пользователи и администраторы могут не знать точное название необходимых им объектов. Им достаточно знать один или несколько атрибутов рас­сматриваемых объектов. Пользователи обращаются к службе катало­гов для запроса списка объектов, отвечающих известным атрибутам. Например, в ответ на запрос «Найти все цветные принте­ры на третьем этаже» каталог выдаст сведения обо всех объектах цвет­ных принтеров с атрибутами «цветной» и «третий этаж» (или у кото­рых атрибут местоположения равен «третий этаж»). Служба каталогов позволяет искать объект по одному или нескольким его атрибутам.

Служба каталогов выполняет и другие функции:

Назначение безопасности для защиты объектов БД от внешних вторжений или внутренних пользователей, не имеющих доступа к данным объектам;

Распространение каталога на множество компьютеров сети;

Дублирование каталога для предоставления доступа большему ко­личеству пользователей и отказоустойчивости;

Деление каталога на несколько хранилищ, расположенных на раз­ных компьютерах сети. Это увеличивает доступное для каталога пространство в целом и позволяет хранить больше объектов.

Служба каталогов является как инструментом администрирова­ния, так и инструментом пользователя. При расширении сети прихо­дится управлять все большим количеством объектов ресурсов, и на­личие службы каталога становится насущной необходимостью.

Возможности службы каталогов Windows 2000

Active Directory - это служба каталогов в Windows 2000 Server . Active Directory содержит каталог, в котором хранится информация о сете­вых ресурсах и службы, предоставляющие доступ к этой информации. Ресурсы, хранящиеся в каталоге, такие, как данные, сведения о прин­терах, серверах, базах данных, группах, службах, компьютерах, поли­тике безопасности, - называются объектами (object).

Active Directory встроена в Windows 2000 Server и обеспечивает:

Упрощенное администрирование;

Масштабируемость;

Поддержку открытых стандартов;

Поддержку стандартных форматов имен.

Упрощенное администрирование

Active Directory иерархически упорядочивает ресурсы в домене (domain) - логическом объединении серверов и других сетевых ресурсов в единое имя домена. Домен является основной единицей репликации и безопасности в сети Windows 2000.

Каждый домен включает один или несколько контроллеров домена. Контроллер домена (domain controller) - компьютер под управлением Windows 2000 Server, обеспечивающий доступ пользователей в сеть: вход в систему, проверку подлинности и доступ к каталогу и общим ресурсам. Для простоты администрирования все контроллеры домена равнозначны. Изменения, сделанные на любом из них, реплицируются на остальные контроллеры в домене.

Active Directory дополнительно упрощает администрирование, предоставляя единую точку администрирования всех объектов сети. Благодаря этому администратор может, войдя в систему на одном компьютере, управлять объектами, расположенными на любом компьютере в сети.

Масштабируемость

В Active Directory каталог помещает информацию в разделы, позво­ляющие хранить множество объектов. В результате каталог расширя­ется с ростом организации. Это позволяет переходить от небольших установок с несколькими сотнями объектов к большим с миллиона­ми объектов.

Поддержка открытых стандартов

Active Directory соответствует концепции пространства имен Интер­нета в части службы каталогов Windows 2000. Это позволяет унифи­цировать и управлять множеством пространств имен, существующих в настоящее время в разнородном программном и аппаратном окру­жении корпоративных сетей. В качестве системы именования Active Directory использует DNS и способен обмениваться информацией с любым приложением или каталогом, использующим LDAP или про­токол передачи гипертекста (HTTP).

DNS

Поскольку Active Directory для доменного именования и службы по­иска использует DNS, имена доменов Windows 2000 также являются именами DNS. Windows 2000 Server применяет динамическую DNS (DDNS), позволяющую клиентам с динамически назначенными ад­ресами напрямую регистрироваться на сервере с работающей служ­бой DNS и динамически обновлять таблицу DNS. В однородной среде DDNS устраняет потребность в других службах именования Ин­тернета, например в службе имен Интернета для Windows (Windows Internet Name Service, WINS).

Поддержка LDАР и HTTP

Active Directory отвечает стандартам Интернета и напрямую поддер­живает LDAP и HTTP. LDAP - версия протокола доступа к каталогу Х.500, разработан в качестве упрощенной альтернативы протокола доступа к каталогам (Directory Access Protocol, DAP). Active Directory поддерживает обе версии LDAP: 2 и 3. HTTP является стандартным протоколом для отображения страниц во всемирной сети Интернет. Пользователи могут просматривать каждый объект в Active Directory, как HTML-страницу в обозревателе Web, пользуясь при запросах и просмотре объектов Active Directory всеми преимуществами знакомой модели обозревателя Web.

Для обмена информацией между каталогами и прило­жениями Active Directory использует LDAP.

Active Directory поддерживает несколько общих форматов имен, сле­довательно, для обращения к Active Directory пользователи могут выб­рать наиболее привычный формат.

Active Directory работает в безопасной подсистеме в пользовательском режиме. Тесная взаимосвязь службы каталога и подсистемы безопасности является основой для работы распределенных систем Windows 2000. Доступ к любому объекту каталога требует сначала удостоверения личности (проверки подлинности), а затем и проверки разрешений Доступа (авторизации), которая выполняется компонентами подсистемы безопасности вместе с эталонным монитором безопасности.

Архитектура Active Directory

Функциональную структуру Active Directory можно представить в виде многоуровневой архитектуры, в которой уровни являются процесса­ми, предоставляющими клиентским приложениям доступ к службе каталога. Active Directory состоит из трех уровней служб и нескольких интерфейсов и протоколов, совместно работающих для предоставления доступа к службе каталога. Три уровня служб охватывают различные типы информации, необходимой для поиска записей в БД каталога. Выше уровней служб в этой архитектуре находятся протоколы и API-интерфейсы, осуществляющие связь между клиентами и службой каталога.

На рис. изображены уровни службы Active Directory и соответствующие им интерфейсы и протоколы. Стрелки показывают, как различные клиенты получают при помощи интерфейсов доступ к Active Directory.

· Системный агент каталога (Directory System Agent, DSA). Выстраивает иерархию родительско-дочерних отношений, хранящихся в каталоге. Предоставляет API-интерфейсы для вызовов доступа к каталогу.

· Уровень БД. Предоставляет уровень абстрагирования между приложениями и БД. Вызовы из приложений никогда не выполняют­ся напрямую к БД, а только через уровень БД.

· Расширяемое ядро хранения. Напрямую взаимодействует с конк­ретными записями в хранилище каталога на основе атрибута от­носительного составного имени объекта.

· Хранилище данных (файл БД NTDS.DIT). Управляется при помо­щи расширяемого механизма хранения БД, расположенного в пап­ке WinntNTDS на контроллере домена.

· Клиенты получают доступ к Active Directory, используя механиз­мы, поддерживаемые DSA.

· LDAP/ADSI. Клиенты, поддерживающие LDAP, используют его для связи с DSA. Active Directory поддерживает LDAP версии 2 (описан в RFC 1777). Клиенты Windows 2000, Windows 98 и Win­dows 95 с установленными клиентскими компонентами Active Directory для связи с DSA используют LDAP версии 3.

· API- интерфейс обмена сообщениями (Messaging API, MAPI, Messaging Application Programming Interface ). Традиционные клиенты MAPI, например Microsoft Outlook, подключаются к DSA, используя интерфейс поставщика адресной книги MAPI RPC(Remote Procedure Call)

· Диспетчер учетных записей безопасности (Security Accounts Manager, SAM). Клиенты Windows NT версии 4.0 или более ран­ней используют интерфейс SAM для связи с DSA. Репликация с резервных контроллеров в домене смешанного режима также вы­полняется через интерфейс SAM.

· Репликация (REPL). При репликации каталога, агенты DSA взаимодействуют друг с другом, используя патентованный интерфейс RPC.

Active Directory

Средства Active Directory позволят вам спроектировать структуру каталога так, как это нужно вашей организации.

Объекты Active Directory

Active Directory хранит информацию о сетевых ресурсах. Как уже было сказано эти ресурсы, например данные пользователей, описания принтеров, серверов, баз данных, групп, компьютеров и политик безопасности, и называются объектами (object).

Объект - это отдельный именованный набор атрибутов, которыми представлен сетевой ресурс. Атрибуты (attribute) объекта являются его характеристиками в каталоге. Например, атрибуты учетной записи пользователя (user account) могут включать в себя его имя и фамилию, отдел, а также адрес электронной почты

В Active Directory объекты могут быть организованы в классы, то есть в логические группы. Примером класса является объединение объектов, представляющих учетные записи пользователей, группы, компьютеры, домены или организационные подразделения (ОП).

Примечание Объекты, которые способны содержать другие объекты, называются контейнерами (container). Например, домен - это контейнерный объект, который может содержать пользователей, компьютеры и другие объекты.

Какие именно объекты могут храниться в Active Directory, определяется ее схемой.

Схема Active Directory

Схема Active Directory - это список определений (definitions), задающих виды объектов, которые могут храниться в Active Directory, и типы сведений о них. Сами эти определения также хранятся в виде объектов, так что Active Directory управляем ими посредством тех же операций, которые используются и для остальных объектов в Active Directory.

В схеме существуют два типа определений : атрибуты и классы . Также они называются объектами схемы (schema objects) или мета­данными (metadata).

Атрибуты определяются отдельно от классов. Каждый атрибут оп­ределяется только один раз, при этом его разрешается применять в нескольких классах. Например, атрибут Description используется во многих классах, однако определен он в схеме только однажды, что обеспечивает ее целостность.

Классы , также называемые классами объектов (object classes), опи­сывают, какие объекты Active Directory можно создавать. Каждый класс является совокупностью атрибутов. При создании объекта ат­рибуты сохраняют описывающую его информацию. Например, в чис­ло атрибутов класса User входят Network Address, Home Directory и пр. Каждый объект в Active Directory - это экземпляр класса объектов.

В Windows 2000 Server встроен набор базовых классов и атрибутов.

Определяя новые классы и новые атрибуты для уже существующих классов, опытные разработчики и сетевые администраторы могут динамически расширить схему. Например, если Вам нужно хранить информацию о пользователях, не определенную в схеме, можно расширить схему для класса Users. Однако такое расширение схемы - достаточно сложная операция с возможными серьезными последствиями.

Компоненты Active Directory

Active Directory использует компоненты для построения структуры каталога, отвечающей требованиям вашей организации. Логическую структуру организации представляют домены, организационные подразделения, деревья, леса. Физическая структура организации представлена узлами (физически­ми подсетями) и контроллерами доменов. В Active Directory логическая структура полностью отделена от физической.

Логическая структура

В Active Directory ресурсы организованы в логическую структуру, от­ражающую структуру вашей организации. Это позволяет находить ресурс по его имени, а не физическому расположению. Благодаря логическому объединению ресурсов в Active Directory физическая 1 структура сети не важна для пользователей.

Домен

Основным элементом логической структуры в Active Directory являет­ся домен, способный содержать миллионы объектов. В домене хранят­ся объекты, которые считаются «интересными» для сети. «Интересные» объекты - это то, в чем члены сетевого сообщества нуждаются для сво­ей работы: принтеры, документы, адреса электронной почты, базы дан­ных, пользователи, распределенные компоненты и прочие ресурсы. Active Directory может состоять из одного или более доменов.

Объединение объектов в один или более доменов позволяет отра­зить в сети организационную структуру компании. Общие характе­ристики доменов таковы:

Все сетевые объекты существуют в пределах домена, а каждый до­мен хранит информацию только о тех объектах, которые содер­жит. Теоретически каталог домена может содержать до 10 милли­онов объектов, но фактически - это около 1 миллиона объектов на домен;

Домен обеспечивает безопасность. В списках управления доступом(access control lists, ACL) определяется доступ к объектам домена. В них заданы разрешения для пользователей, которые могут полу­чить доступ к объекту, и указан тип этого доступа. В Windows 2000 объекты включают файлы, папки, общие ресурсы, принтеры и другие объекты Active Directory. В разных доменах никакие пара­метры безопасности, например административные права, полити­ки безопасности, списки управления доступом, не пересекаются между собой. Администратор домена имеет абсолютное право ус­танавливать политики только внутри данного домена.

Организационное подразделение (ОП) - это контейнер, используе­мый для объединения объектов домена в логические административ­ные группы, отражающие деятельность или бизнес-структуру органи­зации. Организационное подразделение (ОП) может содержать объек­ты, например учетные записи пользователей, группы, компьютеры, принтеры, приложения, совместно используемые файловые ресурсы, а также другие ОП из того же домена. Иерархия ОП одного домена не зависит от иерархической структуры другого домена, а каждый домен может иметь свою собственную структуру ОП.

ОП представляют собой средства выполнения административных задач, поскольку являются объектами наименьшего масштаба, которым разрешается делегировать административные полномочия, то есть администрирование пользователей и ресурсов.

Дерево (tree) - это группа, или иерархически упорядоченная сово­купность из одного или более доменов Windows 2000, созданная пу­тем добавления одного или более дочерних доменов к уже существу­ющему родительскому домену. Все домены в дереве используют свя­занное пространство имен и иерархическую структуру именования.

Харак­теристики деревьев таковы:

Согласно стандартам доменной системы имен (Domain Name System, DNS), доменным именем дочернего домена будет объединение его относительного имени и имени родительского домена.

Все домены в пределах одного дерева совместно используют об­щую схему, которая служит формальным определением всех ти­пов объектов, находящихся в Вашем распоряжении при разверты­вании Active Directory;

Все домены в пределах одного дерева совместно используют об­щий глобальный каталог, который служит центральным хранили­щем информации об объектах в дереве.

Лес (forest) - это группа, или иерархически упорядоченная совокуп­ность, из одного или более отдельных и полностью независимых до­менных деревьев. Деревья обладают следующими характеристиками:

У всех деревьев в лесе общая схема;

У всех деревьев в лесе разные структуры именования, соответствующие своим доменам;

Все домены в лесе используют общий глобальный каталог;

Домены в лесе функционируют независимо друг от друга, однако лес допускает обмен данными в масштабе всей организации;

Между доменами и деревьями доменов существуют двусторонние доверительные отношения.

Физическая структура

Физические компоненты Active Directory - это узлы и контроллеры домена. Эти компоненты применяются для разработки структуры ка­талога, отражающей физическую структуру вашей организации.

Сайт

Сайт (site) - это объединение одной или более подсетей IP для со­здания максимально возможного ограничения сетевого трафика, вы­соконадежным каналом связи с высокой пропускной способностью. Как правило, границы узла совпадают с границами ЛВС. Когда Вы группируете подсети, следует объединять только те из них, которые между собой связаны быстрыми, дешевыми и надежными сетевыми соединениями. В Active Directory сайты не являются частью пространства имен. Просматривая логическое пространство имен, вы увидите, что компьютеры и пользователи сгруппированы в домены и ОП, а не в сайты. Сайты содержат лишь объекты компьютеров и соединений, нужные для настройки межсайтовой репликации.

Контроллеры домена

Контроллер домена - это компьютер с Windows 2000 Server, хранящий реплику каталога домена (локальную БД домена). Поскольку в домене может быть несколько контроллеров домена, все они хранят полную копию той части каталога, которая относится к их домену.

Концепции работы Active Directory

Вместе с Active Directory введено несколько новых понятий, например, глобальный каталог, репликация, доверительные отношения, пространство имен DNS и правила наименования. Важно понимать их значение применительно к Active Directory.

Глобальный каталог (global catalog) - это центральное хранилище ин­формации об объектах в дереве или лесе (рис. 2-6). По умолчанию глобальный каталог автоматически создается на первом контроллере домена в лесе, и этот контроллер становится сервером глобального каталога (global catalog server). Он хранит полную реплику атрибутов всех объектов в своем домене, а также частичную реплику атрибутов всех объектов для каждого домена в лесе. Эта частичная реплика хранит те атрибуты, которые чаще других нужны при поиске (например, по имени или фамилии пользователя, по регистрационному имени пользователя и т. д.). Атрибуты объекта в глобальном каталоге наследуют исходные разрешения доступа из тех доменов, откуда они были реплицированы, и таким образом, в глобальном каталоге обеспечивается безопасность данных.

Глобальный каталог выполняет две важные функции: 1.обеспечивает регистрацию в сети, предоставляя контроллеру домена информацию о членстве в группах;

2.обеспечивает поиск информации в каталоге независимо от расположения данных.

Когда пользователь регистрируется в сети, глобальный каталог предоставляет контроллеру домена, который обрабатывает информацию о процессе регистрации в сети, полные данные о членстве учетной записи в группах. Если в домене только один контроллер, сервер глобального каталога и контроллер домена - это один и тот же сер­вер. Если же в сети несколько контроллеров домена, то глобальный каталог располагается на том из них, который сконфигурирован для этой роли. Если при попытке регистрации в сети глобальный каталог недоступен, то пользователю разрешается зарегистрироваться, лишь на локальном компьютере.

Глобальный каталог позволяет максимально быстро и с минимальным сетевым трафиком отвечать на запросы программ и пользователей об объектах, расположенных в любом месте леса или дерева доменов. Глобальный каталог может разрешить запрос в том же домене, в котором этот запрос был инициирован, так как информация обо всех объектах всех доменов в лесе содержится в едином глобальном каталоге. Поэтому поиск информации в каталоге не вызывает лишнего трафика между доменами.

В качестве сервера глобального каталога вы можете по своему выбору настроить любой контроллер домена либо дополнительно назначить на эту роль другие контроллеры домена. Выбирая сервер глобального каталога, надо учесть, справится ли сеть с трафиком репликации и запросов. Впрочем, дополнительные серверы позволят ускорить время отклика на запросы пользователей. Рекомендуется, чтобы каждый крупный сайт предприятия имел собственный сервер глобального каталога.

Репликация

Необходимо, чтобы с любого компьютера в дереве доменов или лесе пользователи и службы могли все время получать доступ к информации в каталоге. Репликация позволяет отражать изменения в одном контроллере домена на остальных контроллерах в домене. Информация каталога реплицируется на контроллеры домена как в пределах узлов, так и между ними.

Виды реплицируемой информации

Хранимая в каталоге информация делится на три категории, которые называются разделами каталога (directory partition). Раздел каталога служит объектом репликации. В каждом каталоге содержится следующая информация:

информация о схеме - определяет, какие объекты разрешается создавать в каталоге и какие у них могут быть атрибуты;

информация о конфигурации - описывает логическую структуру развернутой сети, например структуру домена или топологию репликации. Эта информация является общей для всех доменов в де­реве или лесе;

данные домена - описывают все объекты в домене. Эти данные относятся только к одному определенному домену. Подмножество свойств всех объектов во всех доменах хранится в глобальном каталоге для поиска информации в дереве доменов или лесе.

Схема и конфигурация реплицируются на все контроллеры домена в дереве или лесе. Все данные определенного домена реплицируются на каждый контроллер именно этого домена. Все объекты каждого домена, а также часть свойств всех объектов в лесе реплицируются в глобальный каталог.

Контроллер домена хранит и реплицирует: информацию о схеме дерева доменов или леса; информацию о конфигурации всех доменов в дереве или лесе; все объекты и их свойства для своего домена. Эти данные реплицируются на все дополнительные контроллеры в домене. Часть всех свойств объектов домена реплицируется в глобальный ката­лог для организации поиска информации. Глобальный каталог хранит и реплицирует:

Информацию о схеме в лесе;

Информацию о конфигурации всех доменов в лесе;

Часть свойств всех объектов каталога в лесе (реплицируется только между серверами глобального каталога);

Все объекты каталога и все их свойства для того домена, в котором расположен глобальный каталог.

Внимание! Из-за полной синхронизации всех данных в домене расширение схемы может пагубно влиять на большие сети.

Как работает репликация

Active Directory реплицирует информацию в пределах сайта чаще, чем между сайтами, сопоставляя необходимость в обновленной информации каталога с ограничениями по пропускной способности сети.

В пределах сайта Active Directory автоматически создает топологию репликации между контроллерами одного домена с использованием кольцевой структуры. Топология определяет путь передачи обновлений каталога между контроллерами домена до тех пор, пока обновле­ния не будут переданы на все контроллеры домена.

Кольцевая структура обеспечивает существование минимум двух путей репликации от одного контроллера домена до другого, и если один контроллер домена временно становится недоступен, то репликация на остальные контроллеры домена все равно продолжится.

Дабы убедиться, что топология репликации все еще эффективна, Active Directory периодически ее анализирует. Если вы добавите или уберете контроллер домена из сети или узла, то Active Directory соответственно изменит топологию.

Репликация между сайтами

Для обеспечения репликации между узлами нужно представить сетевые соединения в виде связей сайтов (site link). Active Directory использует информацию о сетевых соединениях для создания объектов-соединений, что обеспечивает эффективную репликацию и отказоустойчивость.

Вы должны предоставить информацию о применяемом для репликации протоколе, стоимости связи сайтов, о времени доступности связи и о том, как часто она будет использоваться. Исходя из этого, Active Directory определит, как связать сайты для репликации. Лучше выполнять репликацию в то время, когда сетевой трафик минимален.

Доверительные отношения

Доверительное отношение (trust realtionship) - это такая связь между двумя доменами, при которой доверяющий домен признает регистрацию в сети в доверяемом домене. Active Directory поддерживает две формы доверительных отношений.

Неявные двусторонние транзитивные доверительные отношения (implicit two-way transitive trust). Это отношения между родительским и дочерним доменами в дереве и между доменами верхнего Уровня в лесе. Они определены по умолчанию, то есть доверительные отношения между доменами в дереве устанавливаются и поддерживаются неявно (автоматически). Транзитивные доверительные отношения - это функция протокола идентификации Кегberos, по которому в Windows 2000 проводится авторизация и ре­гистрация в сети.

Как показано на рис. 2-8, транзитивные доверительные отношения означают следующее: если Домен А доверяет Домену В, а До­мен В доверяет Домену С, то Домен А доверяет Домену С. В результате присоединенный к дереву домен устанавливает доверительные отношения с каждым доменом в дереве. Эти доверитель­ные отношения делают все объекты в доменах дерева доступными Для всех других доменов в дереве.

Транзитивные доверительные отношения между доменами устраняют необходимость в междоменных доверительных учетных записях. Домены одного дерева автоматически устанавливают с родительским доменом двусторонние транзитивные доверительные отношения. Благодаря этому пользователи из одного домена могут получить доступ к ресурсам любого другого домена в дереве (при условии, что им разрешен доступ к этим ресурсам).

Явные односторонние нетранзитивные доверительные отношения (explicit one-way nontransitive trust). Это отношения между доменами, которые не являются частью одного дерева. Нетранзитивные доверительные отношения ограничены отношениями двух доменов и не распространяются ни на какие другие домены в лесе. В большинстве случаев вы сами можете явно (вручную) создать нетранзитивные доверительные отношения. Так, на рис. 2-8 показаны односторонние транзитивные доверительные отношения, в ко­торых Домен С доверяет Домену 1, так что пользователи в Домене 1 могут получить доступ к ресурсам в Домене С. Явные односторон­ние нетранзитивные доверительные отношения - это единственно возможные отношения между:

Доменом Windows 2000 и доменом Windows NT;

Доменом Windows 2000 в одном лесе и доменом Windows 2000 в другом лесе;

Доменом Windows 2000 и сферой (realm) MIT Kerberos V5, что позволяет клиентам из сферы Kerberos регистрироваться в домене Active Directory для получения доступа к сетевым ресурсам.

Современные корпоративные информационные системы по своей природе всегда являются распределенными системами. Рабочие станции пользователей, серверы приложений, серверы баз данных и прочие сетевые узлы распределены по большой территории. В крупной компании офисы и площадки соединены различными видами коммуникаций, использующих различные технологии и сетевые устройства. Главная задача сетевого администратора - обеспечить надежную, бесперебойную, производительную и безопасную работу всей этой сложной системы.

Будем рассматривать сеть как совокупность программных, аппаратных и коммуникационных средств, обеспечивающих эффективное распределение вычислительных ресурсов. Все сети можно условно разделить на 3 категории:

• локальные сети (LAN, Local Area Network);
• глобальные сети (WAN, Wide Area Network);
• городские сети (MAN, Metropolitan Area Network ).

Глобальные сети позволяют организовать взаимодействие между абонентами на больших расстояниях. Эти сети работают на относительно низких скоростях и могут вносить значительные задержки в передачу информации. Протяженность глобальных сетей может составлять тысячи километров. Поэтому они так или иначе интегрированы с сетями масштаба страны.

Городские сети позволяют взаимодействовать на территориальных образованиях меньших размеров и работают на скоростях от средних до высоких. Они меньше замедляют передачу данных, чем глобальные, но не могут обеспечить высокоскоростное взаимодействие на больших расстояниях. Протяженность городских сетей находится в пределах от нескольких километров до десятков и сотен километров.

Локальные сети обеспечивают наивысшую скорость обмена информацией между компьютерами. Типичная локальная сеть занимает пространство в одно здание. Протяженность локальных сетей составляет около одного километра. Их основное назначение состоит в объединении пользователей (как правило, одной компании или организации) для совместной работы.

Механизмы передачи данных в локальных и глобальных сетях существенно отличаются. Глобальные сети ориентированы на соединение - до начала передачи данных между абонентами устанавливается соединение ( сеанс ). В локальных сетях используются методы, не требующие предварительной установки соединения, - пакет с данными посылается без подтверждения готовности получателя к обмену.

Кроме разницы в скорости передачи данных, между этими категориями сетей существуют и другие отличия. В локальных сетях каждый компьютер имеет сетевой адаптер , который соединяет его со средой передачи. Городские сети содержат активные коммутирующие устройства, а глобальные сети обычно состоят из групп мощных маршрутизаторов пакетов, объединенных каналами связи. Кроме того, сети могут быть частными или сетями общего пользования.

Сетевая инфраструктура строится из различных компонентов, которые условно можно разнести по следующим уровням:

• кабельная система и средства коммуникаций;
• активное сетевое оборудование;
• сетевые протоколы;
• сетевые службы;
• сетевые приложения.

Каждый из этих уровней может состоять из различных подуровней и компонентов. Например, кабельные системы могут быть построены на основе коаксиального кабеля ("толстого" или тонкого"), витой пары (экранированной и неэкранированной), оптоволокна. Активное сетевое оборудование включает в себя такие виды устройств, как повторители ( репитеры ), мосты, концентраторы , коммутаторы, маршрутизаторы. В корпоративной сети может быть использован богатый набор сетевых протоколов: TCP/IP , SPX/IPX, NetBEUI, AppleTalk и др.

Основу работы сети составляют так называемые сетевые службы (или сервисы). Базовый набор сетевых служб любой корпоративной сети состоит из следующих служб:

1. службы сетевой инфраструктуры DNS, DHCP, WINS;
2. службы файлов и печати;
3. службы каталогов (например, Novell NDS , MS Active Directory);
4. службы обмена сообщениями;
5. службы доступа к базам данных.

Самый верхний уровень функционирования сети - сетевые приложения .

Сеть позволяет легко взаимодействовать друг с другом самым различным видам компьютерных систем благодаря стандартизованным методам передачи данных , которые позволяют скрыть от пользователя все многообразие сетей и машин.

Все устройства, работающие в одной сети, должны общаться на одном языке – передавать данные в соответствии с общеизвестным алгоритмом в формате, который будет понят другими устройствами. Стандарты – ключевой фактор при объединении сетей.

Для более строгого описания работы сети разработаны специальные модели. В настоящее время общепринятыми моделями являются модель OSI ( Open System Interconnection ) и модель TCP/IP (или модель DARPA ). Обе модели будут рассмотрены в данном разделе ниже.

Прежде чем определить задачи сетевого администрирования в сложной распределенной корпоративной сети, сформулируем определение термина " корпоративная сеть " (КС). Слово " корпорация " означает объединение предприятий, работающих под централизованным управлением и решающих общие задачи. Корпорация является сложной, многопрофильной структурой и вследствие этого имеет распределенную иерархическую систему управления. Кроме того, предприятия, отделения и административные офисы, входящие в корпорацию, как правило, расположены на достаточном удалении друг от друга. Для централизованного управления таким объединением предприятий используется корпоративная сеть .

Основная задача КС заключается в обеспечении передачи информации между различными приложениями, используемыми в организации. Под приложением понимается программное обеспечение , которое непосредственно нужно пользователю, например, бухгалтерская программа , программа обработки текстов, электронная почта и т.д. Корпоративная сеть позволяет взаимодействовать приложениям, зачастую расположенным в географически различных областях, и обеспечивает доступ к ним удаленных пользователей. На рис. 1.1 показана обобщенная функциональная схема корпоративной сети.

Обязательным компонентом корпоративной сети являются локальные сети , связанные между собой.

В общем случае КС состоит из различных отделений, объединенных сетями связи. Они могут быть глобальными ( WAN ) или городскими ( MAN ).

Рис. 1.1.

Итак, сформулируем задачи сетевого администрирования в сложной распределенной КС :

1. Планирование сети.

   Несмотря на то, что планированием и монтажом больших сетей обычно занимаются специализированные компании-интеграторы, сетевому администратору часто приходится планировать определенные изменения в структуре сети - добавление новых рабочих мест, добавление или удаление сетевых протоколов, добавление или удаление сетевых служб, установка серверов, разбиение сети на сегменты и т.д. Данные работы должны быть тщательно спланированы, чтобы новые устройства, узлы или протоколы включались в сеть или исключались из нее без нарушения целостности сети, без снижения производительности, без нарушения инфраструктуры сетевых протоколов, служб и приложений.

2. Установка и настройка сетевых узлов (устройств активного сетевого оборудования, персональных компьютеров, серверов, средств коммуникаций).

   Данные работы могут включать в себя - замену сетевого адаптера в ПК с соответствующими настройками компьютера, перенос сетевого узла (ПК, сервера, активного оборудования) в другую подсеть с соответствующим изменениями сетевых параметров узла, добавление или замена сетевого принтера с соответствующей настройкой рабочих мест.

3. Установка и настройка сетевых протоколов.

   Данная задача включает в себя выполнение таких работ - планирование и настройка базовых сетевых протоколов корпоративной сети, тестирование работы сетевых протоколов, определение оптимальных конфигураций протоколов.

4. Установка и настройка сетевых служб.

   Корпоративная сеть может содержать большой набор сетевых служб. Кратко перечислим основные задачи администрирования сетевых служб:

   • установка и настройка служб сетевой инфраструктуры (службы DNS, DHCP, WINS, службы маршрутизации, удаленного доступа и виртуальных частных сетей);
   • установка и настройка служб файлов и печати, которые в настоящее время составляют значительную часть всех сетевых служб;
   • администрирование служб каталогов (Novell NDS , Microsoft Active Directory), составляющих основу корпоративной системы безопасности и управления доступом к сетевым ресурсам;
   • администрирование служб обмена сообщениями (системы электронной почты);
   • администрирование служб доступа к базам данных.
5. Поиск неисправностей.

   Сетевой администратор должен уметь обнаруживать широкий спектр неисправностей - от неисправного сетевого адаптера на рабочей станции пользователя до сбоев отдельных портов коммутаторов и маршрутизаторов, а также неправильные настройки сетевых протоколов и служб.

6. Поиск узких мест сети и повышения эффективности работы сети.

   В задачу сетевого администрирования входит анализ работы сети и определение наиболее узких мест, требующих либо замены сетевого оборудования, либо модернизации рабочих мест, либо изменения конфигурации отдельных сегментов сети.

7. Мониторинг сетевых узлов.

   Мониторинг сетевых узлов включает в себя наблюдение за функционированием сетевых узлов и корректностью выполнения возложенных на данные узлы функций.

8. Мониторинг сетевого трафика.

   Мониторинг сетевого трафика позволяет обнаружить и ликвидировать различные виды проблем: высокую загруженность отдельных сетевых сегментов, чрезмерную загруженность отдельных сетевых устройств, сбои в работе сетевых адаптеров или портов сетевых устройств, нежелательную активность или атаки злоумышленников (распространение вирусов, атаки хакеров и др.).

9. Обеспечение защиты данных.

   Защита данных включает в себя большой набор различных задач: резервное копирование и восстановление данных, разработка и осуществление политик безопасности учетных записей пользователей и сетевых служб (требования к сложности паролей, частота смены паролей), построение защищенных коммуникаций (применение протокола IPSec, построение виртуальных частных сетей, защита беспроводных сетей), планирование, внедрение и обслуживание инфраструктуры открытых ключей (PKI).

Что такое администрирование компьютерных сетей? Какие важные задачи выполняет администрирование? Материал о функциях администрирования сетей и его функционале.

Успешный бизнес сегодня невозможен без использования функционала компьютерных сетей, и именно администрированию компьютерных сетей отводится важное место в работе любой компании или предприятия. В современных условиях стало недостаточно иметь постоянный доступ в Интернет и непрерывный обмен информацией между отдельными структурами или отделами компании, важно быть уверенным в конфиденциальности информации. Компьютерные сети позволяют экономить время и ресурсы, избавляют от бумажной волокиты и являются современным способом совершенствования любого бизнеса.

Что такое администрирование сетей?

Если компьютерные сети являются способом развития бизнеса, то администрирование компьютерных сетей – процесс, обеспечивающий поддержание сетей в работоспособном состоянии. В рамках администрирования компьютерных сетей решаются многочисленные задачи, основными из которых являются:

• Регулярная диагностика сетевого оборудования и его ремонт;
• Поиск и устранение текущих неполадок и отказов;
• Наладка сетей, связанная с необходимостью изменения конфигурации сетевых протоколов;
• Разрешение или запрет доступа к информации сотрудников;
• Поиск способов повышения эффективности работы сети;
• Настройка таблиц маршрутизации;
• Обеспечение защиты и конфиденциальности информации.

Таким образом, администрирование сетей – это большой объем работ, необходимых для эффективного функционирования бизнеса. Все эти задачи выполняет системный администратор.

Как организовать администрирование сетей?

Конечно, можно организовать внутри компании структурное подразделение, администрирования локально вычислительных сетей, однако такое решение проблемы связано со значительными финансовыми затратами на содержание штатных специалистов. В условиях кризиса это под силу далеко не каждой компании, однако необходимость администрирования сетей понятна каждому современному руководителю.

ООО «Ланфикс» предлагает простое и выгодное решение вопроса удаленного администрирования локальных сетей, исключающее необходимость ежемесячно выплачивать зарплату штатным сотрудникам. Мы предлагаем качественное администрирование сетей с использованием услуги « ». В компании ООО «Ланфикс» работают опытные специалисты, которые смогут обеспечить ваш бизнес без перебоев функционирующими компьютерными сетями. Наши цены приемлемы, а условия сотрудничества – самые выгодные. Администрирование компьютерных сетей – это необходимое условие для процветания и развития вашего бизнеса.

В самом начале своего появления компьютеры были автономными и работали независимо друг от друга. С ростом числа компьютеров возникла потребность в их совместной работе. В определенном смысле это связано с деятельностью самих пользователей, которая проходила в рамках одного документа. Для решения данной проблемы стали создавать, а затем и использовать локальные и глобальные сети, создание которых привело к необходимости управления данным процессом и выполнения всевозможных задач. Эти обязанности возложило на себя администрирование сетей.

Главные функции администрирования сетей

В соответствии с международными стандартами администрирование сети выполняет следующие функции:

• управляет отказами (поиском, правильным определением, кроме этого устранением неполадок и сбоев в работе конкретной сети);
• управляет конфигурацией (конфигурацией компонентов системы, в том числе их локацией, сетевыми адресами, настройкой параметров сетевых операционных систем и пр.);
• учитывает работу сети (регистрация и контроль за используемыми ресурсами и устройствами сети);
• управляет производительностью (предоставляет статистические данные о работе сети за конкретный промежуток времени);
• управляет безопасностью (выполняет контроль доступа и сохранение целостности всех данных).

Замечание 1

Разные комбинации перечисленных функций воплощены в продуктах производителей сетевых средств. Управление же производительностью осуществляется с целью снижения затрат ресурсов, энергии, а также с целью планирования ресурсов для потребностей в дальнейшем.

Обязанности системного администратора

Администрирование компьютерных сетей ведется под контролем и руководством системного администратора, выполняющего следующие задачи:

• проверку работоспособность баз данных;
• контролирование бесперебойной работы локальной сети;
• обеспечение защиты данных и их целостности;
• обеспечение защиты сети от несанкционированного доступа;
• осуществление регулирования прав доступа пользователей к ресурсам сети;
• выполнение резервного копирования данных;
• использование оптимальных способов программирования для использования доступных средств, а также ресурсов сети в полном объеме;
• заполнение специальных журналов, фиксирующих работу сети;
• проведение обучающих занятий для пользователей локальной сети;
• контролирование используемого программного обеспечения;
• контролирование усовершенствования локальной сети;
• разработка прав доступа к сети;
• приостановка незаконного усовершенствования программного обеспечения для сети.

Замечание 2

Помимо всего этого, на системного администратора возложена ответственность за доведение до работников конкретного предприятия (организации) информации о слабых местах системы администрирования сетей и вероятных способах противозаконного доступа к ней.

Программы для удаленного администрирования

Когда необходимо контролировать систему вне организации, применяют удаленное администрирование сетей. Для этого используют специальное программное обеспечение, контролирующее систему и удаленный доступ с применением сети Интернет в реальном времени. Эти программы дают возможность полностью контролировать удаленные компоненты локальной сети и каждый взятый отдельно компьютер.

Что позволяет осуществлять удаленно управление рабочим столом каждого компьютера в сети, проводить копирование или удаление различных файлов, работать с программами и приложениями и пр. В настоящее время известно множество программ удаленного доступа. Все они различаются своим протоколом и интерфейсом. Последний может иметь консольный или визуальный характер. Особую популярность и известность приобрели следующие программы: Windows Remote Desktop, UltraVNC, Apple Remote Desktop, Remote Office Manager и др.

Категории сетей

Сеть представляет собой совокупность всевозможных аппаратных, программных и коммуникационных средств, которые несут ответственность за эффективное распределение информационных ресурсов. Все сети условно делят на 3 категории:

• локальные;
• глобальные;
• городские.

Глобальные сети способствуют обеспечению взаимодействием, а также обменом информацией пользователей, удаленно расположенных друг от друга. При функционировании подобных сетей могут возникать незначительные задержки в передаче информации. Причиной этого является относительно низкая скорость этого процесса. Протяжность глобальных компьютерных сетей достигает тысяч километров. Городские же сети работают на гораздо меньшем расстоянии, поэтому обеспечивают передачу информации на средних и высоких скоростях.

Они немного замедляют данные, как глобальные, но не способны передавать их на большие расстояния. Протяженность данного типа компьютерных сетей ограничена и составляет от нескольких километров до нескольких сотен километров. Локальной же сетью гарантируется очень высокая скорость передачи данных. Такая сеть, как правило, размещена внутри одного или нескольких зданий. Ее протяженность составляет не более 1 км. Очень часто локальную сеть предусматривают для одной конкретной организации или предприятия.

Механизмы передачи данных в различных сетях

Механизмы передачи данных в глобальных и локальных сетях различаются между собой. Глобальные компьютерные сети предусматривают соединение. В локальных компьютерных сетях используются другие способы, не нуждающиеся в предварительной установке связи. В этом случае данные бывают отправлены адресату без получения подтверждения о его готовности. Кроме различной скорости между определенными категориями сетей имеются и другие различия. В локальных сетях каждое устройство снабжено собственным сетевым адаптером, соединяющим его с другими компьютерами. Для этих же целей в городских сетях применяют специальные коммутирующие аппараты. В глобальных же сетях задействованы маршрутизаторы высокой мощности, которые связаны между собой каналами связи.

Сетевая инфраструктура

В компьютерную сеть входят компоненты, которые легко совмещаются в отдельные группы. К этим компонентам относят:

1. Активное сетевое оборудование.
2. Коммуникационные средства.
3. Кабельную систему.
4. Сетевые приложения.
5. Сетевые службы.
6. Сетевые протоколы.

Замечание 3

Каждая из названных групп имеет собственные подгруппы и дополнительные компоненты. Все устройства, которые подключены к определенной сети, передают данные в соответствии с алгоритмом, который должен быть понятным для других устройств, включенных в систему.

Задачи сетевого администрирования

Администрирование сети осуществляет работу с определенной системой на самых разных уровнях. Так в сложных корпоративных сетях администрирование решает следующие задачи:

• осуществляет планирование сети (сетевому администратору часто приходится переустанавливать систему, удалять или добавлять в нее отдельные элементы);
• производит настройку сетевых служб;
• выполняет настройки сетевых узлов (например, сетевой принтер);
• проводит установку сетевых протоколов;
• осуществляет поиск неполадок (проблемы с маршрутизатором, а также сбои в настройках сетевых протоколов и служб);
• выполняет поиск способов повышения эффективности работы сети;
• обеспечивает защиту данных.
• проводит мониторинг сетевых узлов, а также сетевого трафика.

Все вышеназванные задачи выполняются параллельно и комплексно.

Администрирование средств безопасности

Администрирование средств безопасности осуществляет работу одновременно в нескольких направлениях, к которым относятся:

1. Распространение актуальной информации, необходимой для работы средств безопасности.
2. Сбор и анализ информации о работе механизмов безопасности.

При этом перед администратором ставятся следующие задачи:

• настройка и управление доступом к сети;
• генерация и перераспределение ключей;
• настройка и управление трафиком и маршрутизацией;
• управление шифрованием с использованием соответствующих криптопараметров.

А также системный администратор обязан распространять информацию среди пользователей, которая нужна для обеспечения успешной аутентификации. К подобным данным относятся пароли, ключи и пр.

Защита системы от вирусов и вредоносных программ

Администратор сети осуществляет выполнение дополнительных задач, целью которых является обеспечение безопасности компьютерной сети от вирусов и вредоносных программ. Вот основные задачи:

• установка запретов при записи данных на съемные диски;
• осуществление доступа к компьютеру с использованием всевозможных ID устройств;
• шифрование съемных носителей информации и пр.

Посредством администрирования сети осуществляются действия, направленные на обеспечение политики безопасности, надежности, а также доступности информационных ресурсов сети. С данной целью применяют соответствующее программное и аппаратное обеспечение.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Размещено на http://www.allbest.ru/

Технологии администрирования и контроля в компьютерных сетях

• Введение
• Основная часть
• 1. Администрирование сетей на основе Microsoft Windows NT/2000/XP
• 1.1 Домены и рабочие группы
• 1.2 Пользователи и группы пользователей домена
• 1.3 Многодоменные сети
• 1.4 Служба Active Directory в Windows 2000/XP
• 1.5 Служба DNS в Windows NT/2000/XP
• 2. Конфигурация рабочих станций
• 2.1 Размещение приложений и данных
• 2.2 Контроль реестра рабочей станции
• 3. Управление пользователями в Microsoft Windows NT/2000/XP
• 3.1 Состав бюджета пользователя
• 3.2 Управление профилями пользователей
• 3.3 Типы прав пользователей
• 3.4 Встроенные группы пользователей и их права
• 3.5 Назначение разрешений на доступ к файлам и каталогам
• Заключение
• Глоссарий
• Список использованных источников

Введение

Выпускная квалификационная работа является важнейшим итогом обучения на соответствующей стадии образования, в связи с этим содержание выпускной работы и уровень ее защиты должны учитываться как основной критерий при оценке уровня подготовки выпускника и оценке качества реализации образовательной программы в академии. В ходе выполнения выпускной квалификационной работы решается задача необходимости администрирования и контроля в компьютерных сетях.

Администрирование информационных систем включает следующие цели:

· Установка и настройка сети;

· Поддержка её дальнейшей работоспособности;

· Установка базового программного обеспечения;

· Мониторинг сети.

В связи с этим администратор сети должен выполнять следующие задачи:

· Планирование системы;

· Установка и конфигурация аппаратных устройств;

· Установка программного обеспечения;

· Установка сети;

· Архивирование (резервное копирование) информации;

· Создание и управление пользователями;

· Установка и контроль защиты;

· Мониторинг производительности.

Обеспечение работоспособности системы требует и осуществления профилактических мероприятий. Администратор должен обеспечивать удовлетворение санкционированных запросов пользователей. Очевидно, что эффективно выполнять все эти функции и задачи, особенно в сложных крупных компьютерных сетях, человеку весьма затруднительно, а порой и невозможно. Успешное администрирование, особенно сложными компьютерными сетями, реализуется путём применения новейших средств и систем автоматизации этих процессов.

Компьютерная сеть - это соединение двух или более компьютеров для решения следующих задач:

· обмен информацией;

· общее использование программного обеспечения;

· общее использование оборудования (принтеры, модемы, диски и т.п.).

Пакеты. Вся работа компьютеров в сети, независимо от назначения и размеров сети, сводится только к одному: обмену информацией. Каждый компьютер имеет встроенный сетевой адаптер, который в свою очередь подключается к кабельной системе. Перед передачей по сети информация формируется в пакеты. Сетевые адаптеры общаются между собой, передавая и принимая пакеты с информацией. Каждый пакет состоит из двух основных частей: Заголовок и Данные. Заголовок содержит адрес компьютера-отправителя и адрес компьютера-получателя. Раздел данных содержит передаваемую информацию. Иногда пакет называют кадром (Frame).

Протоколы. Для стандартизации передаваемой по сети информации, разработаны так называемые сетевые протоколы. Протокол представляет собой набор правил и соглашений для оформления и передачи информации по компьютерной сети. Пакет, созданный по выбранному сетевому протоколу, имеет строго определенный формат. Если на компьютерах сети установлен одинаковый сетевой протокол, то они смогут "понимать" друг друга, т.е. читать пакеты. Компьютеры с разными протоколами имеют разный формат пакетов и соответственно друг друга не поймут, также как люди, сидящие в одной комнате, но говорящие на разных языках. Есть три наиболее распространенных протокола, используемых в компьютерных сетях Microsoft - NetBEUI, TCP/IP, IPX/SPX.

Классификация локальных сетей. Каждый компьютер в сети может иметь один из двух статусов:

· Сервер;

· Рабочая станция.

Серверы предоставляют свои ресурсы (диски, папки с файлами, принтеры, устройство для чтения CD/DVD и т.п.) другим компьютерам сети. Как правило, это специально выделенный высокопроизводительный компьютер, оснащенный специальной серверной операционной системой (Windows Server 2003), центрально управляющий сетью.

Рабочая станция (клиентский компьютер) - это компьютер рядового пользователя, получающий доступ к ресурсам серверов.

По типу организации работы компьютеров в сети различают:

· Одноранговые сети;

· Сети с выделенным сервером.

Выбор типа локальной сети в большей степени зависит от требований к безопасности работы с информацией и уровня подготовки администратора сети.

Одноранговые сети. В одноранговой сети все компьютеры имеют одинаковый приоритет и независимое администрирование.

Сети с выделенным сервером. В сети с выделенным сервером управление ресурсами сервера и рабочих станций централизовано и осуществляется с сервера. Отпадает необходимость обходить все компьютеры сети и настраивать доступ к разделяемым ресурсам. Включение новых компьютеров и пользователей в сеть также упрощается. Повышается безопасность использования информации в сети. Это удобно для сетей, в которых работают различные категории пользователей и много разделяемых ресурсов.

Актуальность данной темы заключается в том, что постоянно растет число пользователей персональных компьютеров, желающих объединится в компьютерную сеть.

Объектом исследования данной выпускной квалификационной работы является администрирование операционных систем Windows.

Предметом исследования является анализ возможности администрирования операционных систем Windows.

Цель выполнения данной выпускной квалификационной работы является рассмотрение перспектив развития администрирования операционных систем Windows.

Для достижения поставленных целей необходимо выполнение следующих задач:

· Рассмотрение понятия рабочих групп и доменов;

· Исследование службы Active Directory;

· Исследование службы DNS;

· Исследование конфигураций рабочих станций;

· Изучение управления пользователями в компьютерных сетях.

Несмотря на то, что корпоративные сети обычно используют множество операционных систем, особенно на серверах, на большинстве пользовательских рабочих станций установлена какая-либо из версий Windows.

Независимо от того, согласны ли вы с тем, что интерфейс Windows является интуитивным и дружественным пользователю или не согласны, нет никаких сомнений в том, что администрирование сотен или тысяч рабочих станций Windows представляет собой крайне масштабную задачу. Операционные системы Windows 95, Windows 98, Windows NT Workstation, Windows 2000 Professional и Windows XP включают различные инструменты, которые администраторы сетей могут применять для облегчения процессов установки, управления и обслуживания операционных систем большого числа рабочих станций

1. Администрирование сетей на основе Microsoft Windows NT/2000/XP

1.1 Домены и рабочие группы

Компьютеры, входящие в сети, логически объединяют в группы или иерархии. Домены и рабочие группы. Рабочие группы объединяют компьютеры для более удобной работы с сетевыми сервисами. Каждый сервер в рабочей группе должен вести собственную независимую БД пользователей. Домены логически группируют серверы и рабочие станции; в каждом домене ведется одна БД учетных записей, действительная для всех серверов домена. Эта БД хранится на главном контроллере домена (PDC), на остальных серверах ведется копия центральной БД реплицируемая (5 мин) с PDC. Запрос на вход в систему может проверить любой сервер. Для доступа пользователя к любому из серверов домена нужна только одна учетная запись и единственная процедура подключения. Доверительные отношения между доменами позволяют получать доступ к нескольким доменам, не дублируя учетные записи. Домен - это понятие, определяющее централизованно управляемый набор ресурсов общего пользования (файл-серверов и серверов приложений, принтеров, модемов и других устройств). Доступ к ресурсам, входящим в домен, предоставляется только пользователям, подключившимся (log on) к домену, и, кроме того, обладающим необходимыми допусками (permission). Ресурсы обычно объединяют в домены по географическому или функциональному признаку ("Киевский филиал", "Отдел продаж").

1.2 Пользователи и группы пользователей домена

Учетные записи пользователей. Учетная запись содержит идентификатор безопасности (SID), пользовательские права и права доступа. При подключении (logon), диспетчер безопасности (SAM) сверяет регистрационную информацию с данными из БД с тем, чтобы аутентифицировать вход в систему. После того, как доступ предоставлен, распорядитель локальной безопасности (LSA) создает для этого пользователя маркер безопасности (security access token).

Учетная запись глобального пользователя (global user account): обычная учетная запись; таковы все записи на NT Workstation, и на NT Server - не контроллерах. Аутентифицируются PDC или BDC в домене, или через доверительные отношения.

Учетная запись локального пользователя (local user account): пользователь доступный только через удаленный вход в систему, аутентифицируется на локальном компьютере, обрабатывающем подключение. Невозможно аутентифицировать через доверительные отношения.

При инсталляции Windows NT создаются три учетные записи:

· Administrator (может все; если забыт пароль - можно воспользоваться диском Emergency Repair или переисталлировать систему);

· Guest (ограниченный доступ, например может только посылать документы на принтер).

Группы пользователей. Удобно организовать пользователей с одинаковыми административными требованиями в группы пользователей, что упрощает администрирование, группе можно присвоить общий скрипт, права доступа к файлам, разрешения и профиль пользователя. Группы могут быть локальными и глобальными.

Глобальная группа - это набор пользовательских учетных записей из одного домена. Такая группа может содержать только учетные записи пользователей из того домена, в котором она сама создана (не может содержать другие группы и чужих пользователей). Другие домены могут назначать чужим глобальным группам (из доменов, оторым они доверяют) допуски к своим ресурсам.

Локальная группа - это набор пользовательских учетных записей и/или учетных записей глобальных групп, которой могут быть назначены допуски к ресурсам только в том домене, где она создана. Локальные группы удобно использовать, когда нужно предоставить допуски к ресурсам пользователям из других доменов.

Аутентификация пользователей:

1. Обнаружение (Discovery);

2. Установление безопасного канала (Secure channel setup);

3. Сквозная (pass-through) аутентификация (при необходимости).

При недоступности всех контроллеров при интерактивном входе в систему может использоваться кэшированная информация (Default - 10 users).

1.3 Многодоменные сети

Доверительные взаимоотношения между доменами. Связь между двумя доменами, позволяющая пользователям, имеющих учетную запись в одном домене (доверяемом), получать доступ к ресурсам другого (доверяющего) без заведения дополнительной учетной записи. Домен, с которым устанавливаются доверительные отношения (доверяемый) позволяет использовать свои учетные записи в домене, который устанавливает доверительные отношения (доверяющем). При установлении доверительных отношений, в SAM доверяемого домена создается невидимая учетная запись междоменных доверительных отношений (с флагом USER_INTERDOMAIN_TRUST_ACCOUNT и случайным паролем). Доверительные отношения - односторонние (несимметричные), не транзитивные.

Модели доменов:

· Одиночный домен - <10000 (NT3.5) или 26000 (NT4) пользователей, взаимное доверие между подразделениями; вариант: множество одиночных доменов;

· Главный домен - <10000 (NT3.5) или 26000 (NT4) пользователей,: один домен является доверяемым для всех остальных, сам не доверяет никому, несет все пользовательские учетные записи; остальные домены могут доверять другдругу по необходимости.

Множественные главные домены: крупные организации; несколько главных доменов, каждый из которых доверяет всем остальным главным доменам, все главные домены являются доверяемыми для всех остальных, а сами не доверяет ни одному из субдоменов; хорошо масштабируема. Множественные доверительные отношения; каждый домен доверяет всем остальным; хорошо масштабируема.

1.4 Служба Active Directory в Windows 2000/XP

Active Directory ("Активные директории", AD) -- LDAP-совместимая реализация службы каталогов корпорации Microsoft для операционных систем семейства Windows NT. Active Directory позволяет администраторам использовать групповые политики для обеспечения единообразия настройки пользовательской рабочей среды, развёртывать программное обеспечение на множестве компьютеров через групповые политики или посредством System Center Configuration Manager (ранее Microsoft Systems Management Server), устанавливать обновления операционной системы, прикладного и серверного программного обеспечения на всех компьютерах в сети, используя Службу обновления Windows Server Active Directory хранит данные и настройки среды в централизованной базе данных. Сети Active Directory могут быть различного размера: от нескольких сотен до нескольких миллионов объектов.

Представление Active Directory состоялось в 1999 году, продукт был впервые выпущен с Windows 2000 Server, а затем был модифицирован и улучшен при выпуске Windows Server 2003. Впоследствии Active Directory был улучшен в Windows Server 2003 R2, Windows Server 2008 и Windows Server 2008 R2 и переименован в Active Directory Domain Services. Ранее служба каталогов называлась NT Directory Service (NTDS), это название до сих пор можно встретить в некоторых исполняемых файлах.

В отличие от версий Windows до Windows 2000, которые использовали в основном протокол NetBIOS для сетевого взаимодействия, служба Active Directory интегрирована с DNS и TCP/IP. Для аутентификации по умолчанию используется протокол Kerberos. Если клиент или приложение не поддерживает аутентификацию Kerberos, используется протокол NTLM

Устройство. Объекты. Active Directory имеет иерархическую структуру, состоящую из объектов. Объекты разделяются на три основные категории: ресурсы (например, принтеры), службы (например, электронная почта) и люди (учётные записи пользователей и групп пользователей). Active Directory предоставляет информацию об объектах, позволяет организовывать объекты, управлять доступом к ним, а также устанавливает правила безопасности.

Объекты могут быть вместилищами для других объектов. Объект уникально определяется своим именем и имеет набор атрибутов -- характеристик и данных, которые он может содержать; последние, в свою очередь, зависят от типа объекта. Атрибуты являются составляющей базой структуры объекта и определяются в схеме. Схема определяет, какие типы объектов могут существовать.

Сама схема состоит из двух типов объектов: объекты классов схемы и объекты атрибутов схемы. Один объект класса схемы определяет один тип объекта Active Directory (например, объект "Пользователь"), а один объект атрибута схемы определяет атрибут, который объект может иметь.

Каждый объект атрибута может быть использован в нескольких разных объектах классов схемы. Эти объекты называются объектами схемы (или метаданными) и позволяют изменять и дополнять схему, когда это необходимо. Однако каждый объект схемы является частью определений объектов Active Directory, поэтому отключение или изменение этих объектов могут иметь серьёзные последствия, так как в результате этих действий будет изменена структура Active Directory. Изменение объекта схемы автоматически распространяется в Active Directory. Будучи однажды созданным, объект схемы не может быть удалён, он может быть только отключён. Обычно все изменения схемы тщательно планируются.

Контейнер аналогичен объекту в том смысле, что он также имеет атрибуты и принадлежит пространству имён, но, в отличие от объекта, контейнер не обозначает ничего конкретного: он может содержать группу объектов или другие контейнеры.

Структура. Верхним уровнем структуры является лес -- совокупность всех объектов, атрибутов и правил (синтаксиса атрибутов) в Active Directory. Лес содержит одно или несколько деревьев, связанных транзитивными отношениями доверия. Дерево содержит один или несколько доменов, также связанных в иерархию транзитивными отношениями доверия. Домены идентифицируются своими структурами имён DNS -- пространствами имён.

Объекты в домене могут быть сгруппированы в контейнеры -- подразделения. Подразделения позволяют создавать иерархию внутри домена, упрощают его администрирование и позволяют моделировать организационную и/или географическую структуры компании в Active Directory. Подразделения могут содержать другие подразделения. Корпорация Microsoft рекомендует использовать как можно меньше доменов в Active Directory, а для структурирования и политик использовать подразделения. Часто групповые политики применяются именно к подразделениям. Групповые политики сами являются объектами. Подразделение является самым низким уровнем, на котором могут делегироваться административные полномочия.

Другим способом деления Active Directory являются сайты, которые являются способом физической (а не логической) группировки на основе маски подсети. Сайты подразделяются на имеющие подключения по низкоскоростным каналам (например по каналам глобальных сетей, с помощью виртуальных частных сетей) и по высокоскоростным каналам (например через локальную сеть). Сайт может содержать один или несколько доменов, а домен может содержать один или несколько сайтов. При проектировании Active Directory важно учитывать сетевой трафик, создающийся при синхронизации данных между сайтами.

Ключевым решением при проектировании Active Directory является решение о разделении информационной инфраструктуры на иерархические домены и подразделения верхнего уровня. Типичными моделями, используемыми для такого разделения, являются модели разделения по функциональным подразделениям компании, по географическому положению и по ролям в информационной инфраструктуре компании. Часто используются комбинации этих моделей.

Физическая структура и репликация. Физически информация хранится на одном или нескольких равнозначных контроллерах доменов, заменивших использовавшиеся в Windows NT основной и резервные контроллеры домена, хотя для выполнения некоторых операций сохраняется и так называемый сервер "операций с одним главным сервером", который может эмулировать главный контроллер домена. Каждый контроллер домена хранит копию данных, предназначенную для чтения и записи. Изменения, сделанные на одном контроллере, синхронизируются на все контроллеры домена при репликации. Серверы, на которых сама служба Active Directory не установлена, но которые при этом входят в домен Active Directory, называются рядовыми серверами.

Репликация Active Directory выполняется по запросу. Служба Knowledge Consistency Checker создаёт топологию репликации, которая использует сайты, определённые в системе, для управления трафиком. Внутрисайтовая репликация выполняется часто и автоматически с помощью средства проверки согласованности (уведомлением партнёров по репликации об изменениях). Репликация между сайтами может быть настроена для каждого канала сайта (в зависимости от качества канала) -- различная "оценка" (или "стоимость") может быть назначена каждому каналу (например DS3, T1, ISDN и т. д.), и трафик репликации будет ограничен, передаваться по расписанию и маршрутизироваться в соответствии с назначенной оценкой канала. Данные репликации могут транзитивно передаваться через несколько сайтов через мосты связи сайтов, если "оценка" низка, хотя AD автоматически назначает более низкую оценку для связей "сайт-сайт", чем для транзитивных соединений. Репликация сайт-сайт выполняется серверами-плацдармами в каждом сайте, которые затем реплицируют изменения на каждый контроллер домена своего сайта. Внутридоменная репликация проходит по протоколу RPC по протоколу IP, междоменная -- может использовать также протокол SMTP.

Если структура Active Directory содержит несколько доменов, для решения задачи поиска объектов используется глобальный каталог: контроллер домена, содержащий все объекты леса, но с ограниченным набором атрибутов (неполная реплика). Каталог хранится на указанных серверах глобального каталога и обслуживает междоменные запросы.

Возможность операций с одним главным компьютером позволяет обрабатывать запросы, когда репликация с несколькими главными компьютерами недопустима. Есть пять типов таких операций: эмуляция главного контроллера домена (PDC-эмулятор), главный компьютер относительного идентификатора (мастер относительных идентификаторов или RID-мастер), главный компьютер инфраструктуры (мастер инфраструктуры), главный компьютер схемы (мастер схемы) и главный компьютер именования домена (мастер именования доменов). Первые три роли уникальны в рамках домена, последние две -- уникальны в рамках всего леса.

Базу Active Directory можно разделить на три логические хранилища или "раздела". Схема является шаблоном для Active Directory и определяет все типы объектов, их классы и атрибуты, синтаксис атрибутов (все деревья находятся в одном лесу, потому что у них одна схема). Конфигурация является структурой леса и деревьев Active Directory. Домен хранит всю информацию об объектах, созданных в этом домене. Первые два хранилища реплицируются на все контроллеры доменов в лесу, третий раздел полностью реплицируется между репликами контроллеров в рамках каждого домена и частично -- на сервера глобального каталога.

База данных (хранилище каталогов) в Windows 2000 использует расширяемую подсистему хранения Microsoft Jet Blue (англ.), которая позволяет для каждого контроллера домена иметь базу размером до 16 терабайт и 1 миллиард объектов (теоретическое ограничение, практические тесты выполнялись только с приблизительно 100 миллионами объектов). Файл базы называется NTDS.DIT и имеет две основные таблицы -- таблицу данных и таблицу связей. В Windows Server 2003 добавлена ещё одна таблица для обеспечения уникальности экземпляров дескрипторов безопасности. Именование. Active Directory поддерживает следующие форматы именования объектов: универсальные имена типа UNC, URL и LDAP URL. Версия LDAP формата именования X.500 используется внутри Active Directory.

Каждый объект имеет различающееся имя (англ. distinguished name, DN). Например, объект принтера с именем HPLaser3 в подразделении "Маркетинг" и в домене foo.org будет иметь следующее различающееся имя: CN=HPLaser3,OU=Маркетинг,DC=foo,DC=org, где CN -- это общее имя, OU -- раздел, DC -- класс объекта домена. Различающиеся имена могут иметь намного больше частей, чем четыре части в этом примере. У объектов также есть канонические имена. Это различающиеся имена, записанные в обратном порядке, без идентификаторов и с использованием косых черт в качестве разделителей: foo.org/Маркетинг/HPLaser3. Чтобы определить объект внутри его контейнера, используется относительное различающееся имя: CN=HPLaser3. У каждого объекта также есть глобально уникальный идентификатор (GUID) -- уникальная и неизменная 128-битная строка, которая используется в Active Directory для поиска и репликации. Определённые объекты также имеют имя участника-пользователя (UPN, в соответствии с RFC 822) в формате объект@домен.

1.5 Служба DNS в Windows NT/2000/XP

DNS (англ. Domain Name System -- система доменных имён) -- компьютерная распределённая система для получения информации о доменах. Чаще всего используется для получения IP-адреса по имени хоста (компьютера или устройства), получения информации о маршрутизации почты, обслуживающих узлах для протоколов в домене (SRV-запись).

Распределённая база данных DNS поддерживается с помощью иерархии DNS-серверов, взаимодействующих по определённому протоколу.

Основой DNS является представление об иерархической структуре доменного имени и зонах. Каждый сервер, отвечающий за имя, может делегировать ответственность за дальнейшую часть домена другому серверу (с административной точки зрения -- другой организации или человеку), что позволяет возложить ответственность за актуальность информации на серверы различных организаций (людей), отвечающих только за "свою" часть доменного имени. Начиная с 2010 года, в систему DNS внедряются средства проверки целостности передаваемых данных, называемые DNS Security Extensions (DNSSEC). Передаваемые данные не шифруются, но их достоверность проверяется криптографическими способами.

Ключевые характеристики DNS. DNS обладает следующими характеристиками:

· Распределённость администрирования, ответственность за разные части иерархической структуры несут разные люди или организации;

· Распределённость хранения информации. Каждый узел сети в обязательном порядке должен хранить только те данные, которые входят в его зону ответственности и (возможно) адреса корневых DNS-серверов;

· Кеширование информации. Узел может хранить некоторое количество данных не из своей зоны ответственности для уменьшения нагрузки на сеть;

· Иерархическая структура, в которой все узлы объединены в дерево, и каждый узел может или самостоятельно определять работу нижестоящих узлов, или делегировать (передавать) их другим узлам;

· Резервирование. За хранение и обслуживание своих узлов (зон) отвечают (обычно) несколько серверов, разделённые как физически, так и логически, что обеспечивает сохранность данных и продолжение работы даже в случае сбоя одного из узлов.

DNS важна для работы Интернета, так как для соединения с узлом необходима информация о его IP-адресе, а для людей проще запоминать буквенные (обычно осмысленные) адреса, чем последовательность цифр IP-адреса. В некоторых случаях это позволяет использовать виртуальные серверы, например, HTTP-серверы, различая их по имени запроса. Первоначально преобразование между доменными и IP-адресами производилось с использованием специального текстового файла hosts, который составлялся централизованно и автоматически рассылался на каждую из машин в своей локальной сети. С ростом Сети возникла необходимость в эффективном, автоматизированном механизме, которым и стала DNS.

DNS была разработана Полом Мокапетрисом в 1983 году; оригинальное описание механизмов работы содержится в RFC 882 и RFC 883. В 1987 публикация RFC 1034 и RFC 1035 изменила спецификацию DNS и отменила RFC 882 и RFC 883 как устаревшие.

Дополнительные возможности

· поддержка динамических обновлений;

· защита данных (DNSSEC) и транзакций (TSIG);

· поддержка различных типов информации (SRV-записи)

Терминология и принципы работы. Ключевыми понятиями DNS являются:

· Домемн (англ. domain -- область) -- узел в дереве имён, вместе со всеми подчинёнными ему узлами (если таковые имеются), то есть именованная ветвь или поддерево в дереве имен. Структура доменного имени отражает порядок следования узлов в иерархии; доменное имя читается слева направо от младших доменов к доменам высшего уровня (в порядке повышения значимости), корневым доменом всей системы является точка ("."), ниже идут домены первого уровня (географические или тематические), затем -- домены второго уровня, третьего и т. д. (например, для адреса ru.wikipedia.org домен первого уровня -- org, второго wikipedia, третьего ru). На практике точку в конце имени часто опускают, но она бывает важна в случаях разделения между относительными доменами и FQDN (англ. Fully Qualifed Domain Name, полностью определённое имя домена);

· Поддомен (англ. subdomain) -- подчинённый домен (например, wikipedia.org -- поддомен домена org, а ru.wikipedia.org -- домена wikipedia.org). Теоретически такое деление может достигать глубины 127 уровней, а каждая метка может содержать до 63 символов, пока общая длина вместе с точками не достигнет 254 символов. Но на практике регистраторы доменных имён используют более строгие ограничения. Например, если у вас есть домен вида mydomain.ru, вы можете создать для него различные поддомены вида mysite1.mydomain.ru, mysite2.mydomain.ru и т. Д;

· Ресурсная запись -- единица хранения и передачи информации в DNS. Каждая ресурсная запись имеет имя (то есть привязана к определенному Доменному имени, узлу в дереве имен), тип и поле данных, формат и содержание которого зависит от типа;

· Зона -- часть дерева доменных имен (включая ресурсные записи), размещаемая как единое целое на некотором сервере доменных имен (DNS-сервере, см. ниже), а чаще -- одновременно на нескольких серверах (см. ниже). Целью выделения части дерева в отдельную зону является передача ответственности (см. ниже) за соответствующий Домен другому лицу или организации, так называемое Делегирование (см. ниже). Как связная часть дерева, зона внутри тоже представляет собой дерево. Если рассматривать пространство имен DNS как структуру из зон, а не отдельных узлов/имен, тоже получается дерево; оправданно говорить о родительских и дочерних зонах, о старших и подчиненных. На практике, большинство зон 0-го и 1-го уровня (".", ru, com, …) состоят из единственного узла, которому непосредственно подчиняются дочерние зоны. В больших корпоративных доменах (2-го и более уровней) иногда встречается образование дополнительных подчиненных уровней без выделения их в дочерние зоны;

· Делегирование -- операция передачи ответственности за часть дерева доменных имен другому лицу или организации. За счет делегирования в DNS обеспечивается распределенность администрирования и хранения. Технически делегирование выражается в выделении этой части дерева в отдельную зону, и размещении этой зоны на DNS-сервере (см. ниже), управляемом этим лицом или организацией. При этом в родительскую зону включаются "склеивающие" ресурсные записи (NS и А), содержащие указатели на DNS-сервера дочерней зоны, а вся остальная информация, относящаяся к дочерней зоне, хранится уже на DNS-серверах дочерней зоны;

· DNS-сервер -- специализированное ПО для обслуживания DNS, а также компьютер, на котором это ПО выполняется. DNS-сервер может быть ответственным за некоторые зоны и/или может перенаправлять запросы вышестоящим серверам;

· DNS-клиент -- специализированная библиотека (или программа) для работы с DNS. В ряде случаев DNS-сервер выступает в роли DNS-клиента;

· Авторитетность (англ. authoritative) -- признак размещения зоны на DNS-сервере. Ответы DNS-сервера могут быть двух типов: авторитетные (когда сервер заявляет, что сам отвечает за зону) и неавторитетные (англ. Non-authoritative), когда сервер обрабатывает запрос, и возвращает ответ других серверов. В некоторых случаях вместо передачи запроса дальше DNS-сервер может вернуть уже известное ему (по запросам ранее) значение (режим кеширования);

· DNS-запрос (англ. DNS query) -- запрос от клиента (или сервера) серверу. Запрос может быть рекурсивным или нерекурсивным (см. Рекурсия).

Система DNS содержит иерархию DNS-серверов, соответствующую иерархии зон. Каждая зона поддерживается как минимум одним авторитетным сервером DNS (от англ. authoritative -- авторитетный), на котором расположена информация о домене.

Имя и IP-адрес не тождественны -- один IP-адрес может иметь множество имён, что позволяет поддерживать на одном компьютере множество веб-сайтов (это называется виртуальный хостинг). Обратное тоже справедливо -- одному имени может быть сопоставлено множество IP-адресов: это позволяет создавать балансировку нагрузки.

Для повышения устойчивости системы используется множество серверов, содержащих идентичную информацию, а в протоколе есть средства, позволяющие поддерживать синхронность информации, расположенной на разных серверах. Существует 13 корневых серверов, их адреса практически не изменяются.

Протокол DNS использует для работы TCP- или UDP-порт 53 для ответов на запросы. Традиционно запросы и ответы отправляются в виде одной UDP датаграммы. TCP используется для AXFR-запросов.

Рекурсия. Термином Рекурсия в DNS обозначают алгоритм поведения DNS-сервера, при котором сервер выполняет от имени клиента полный поиск нужной информации во всей системе DNS, при необходимости обращаясь к другим DNS-серверам. DNS-запрос может быть рекурсивным -- требующим полного поиска, -- и нерекурсивным -- не требующим полного поиска.

Аналогично, DNS-сервер может быть рекурсивным (умеющим выполнять полный поиск) и нерекурсивным (не умеющим выполнять полный поиск). Некоторые программы DNS-серверов, например, BIND, можно сконфигурировать так, чтобы запросы одних клиентов выполнялись рекурсивно, а запросы других -- нерекурсивно.

При ответе на нерекурсивный запрос, а также -- при неумении или запрете выполнять рекурсивные запросы, -- DNS-сервер либо возвращает данные о зоне, за которую он ответствен, либо возвращает адреса серверов, которые обладают большим объёмом информации о запрошенной зоне, чем отвечающий сервер, чаще всего -- адреса корневых серверов.

В случае рекурсивного запроса DNS-сервер опрашивает серверы (в порядке убывания уровня зон в имени), пока не найдёт ответ или не обнаружит, что домен не существует. (На практике поиск начинается с наиболее близких к искомому DNS-серверов, если информация о них есть в кеше и не устарела, сервер может не запрашивать другие DNS-серверы.)

Обратный DNS-запрос. DNS используется в первую очередь для преобразования символьных имён в IP-адреса, но он также может выполнять обратный процесс. Для этого используются уже имеющиеся средства DNS. Дело в том, что с записью DNS могут быть сопоставлены различные данные, в том числе и какое-либо символьное имя. Существует специальный домен in-addr.arpa, записи в котором используются для преобразования IP-адресов в символьные имена. Например, для получения DNS-имени для адреса 11.22.33.44 можно запросить у DNS-сервера запись 44.33.22.11.in-addr.arpa, и тот вернёт соответствующее символьное имя. Обратный порядок записи частей IP-адреса объясняется тем, что в IP-адресах старшие биты расположены в начале, а в символьных DNS-именах старшие (находящиеся ближе к корню) части расположены в конце.

Ресурсные записи DNS. Записи DNS, или Ресурсные записи (англ. Resource Records, RR) -- единицы хранения и передачи информации в DNS. Каждая ресурсная запись состоит из следующих полей:

· имя (NAME) -- доменное имя, к которому привязана или которому "принадлежит" данная ресурсная запись;

· TTL (Time To Live) -- допустимое время хранения данной ресурсной записи в кэше неответственного DNS-сервера;

· тип (TYPE) ресурсной записи -- определяет формат и назначение данной ресурсной записи;

· класс (CLASS) ресурсной записи; теоретически считается, что DNS может использоваться не только с TCP/IP, но и с другими типами сетей, код в поле класс определяет тип сети;

· длина поля данных (RDLEN);

· поле данных (RDATA), формат и содержание которого зависит от типа записи.

Наиболее важные типы DNS-записей:

· Запись A (address record) или запись адреса связывает имя хоста с адресом IP. Например, запрос A-записи на имя referrals.icann.org вернет его IP адрес -- 192.0.34.164;

· Запись AAAA (IPv6 address record) связывает имя хоста с адресом протокола IPv6. Например, запрос AAAA-записи на имя K.ROOT-SERVERS.NET вернет его IPv6 адрес -- 2001:7fd::1;

· Запись CNAME (canonical name record) или каноническая запись имени (псевдоним) используется для перенаправления на другое имя;

· Запись MX (mail exchange) или почтовый обменник указывает сервер(ы) обмена почтой для данного домена;

· Запись NS (name server) указывает на DNS-сервер для данного домена;

· Запись PTR (pointer) или запись указателя связывает IP хоста с его каноническим именем. Запрос в домене in-addr.arpa на IP хоста в reverse форме вернёт имя (FQDN) данного хоста (см. Обратный DNS-запрос). Например, (на момент написания), для IP адреса 192.0.34.164: запрос записи PTR 164.34.0.192.in-addr.arpa вернет его каноническое имя referrals.icann.org. В целях уменьшения объёма нежелательной корреспонденции (спама) многие серверы-получатели электронной почты могут проверять наличие PTR записи для хоста, с которого происходит отправка. В этом случае PTR запись для IP адреса должна соответствовать имени отправляющего почтового сервера, которым он представляется в процессе SMTP сессии;

· Запись SOA (Start of Authority) или начальная запись зоны указывает, на каком сервере хранится эталонная информация о данном домене, содержит контактную информацию лица, ответственного за данную зону, тайминги (параметры времени) кеширования зонной информации и взаимодействия DNS-серверов;

· SRV-запись (server selection) указывает на серверы для сервисов, используется, в частности, для Jabber и Active Directory.

Зарезервированные доменные имена. Документ RFC 2606 (Reserved Top Level DNS Names -- Зарезервированные имена доменов верхнего уровня) определяет названия доменов, которые следует использовать в качестве примеров (например, в документации), а также для тестирования. Кроме example.com, example.org и example.net, в эту группу также входят test, invalid и др.

Интернациональные доменные имена. Доменное имя может состоять только из ограниченного набора ASCII символов, позволяя набрать адрес домена независимо от языка пользователя. ICANN утвердил основанную на Punycode систему IDNA, преобразующую любую строку в кодировке Unicode в допустимый DNS набор символов.

Программное обеспечение DNS. Серверы имен:

· BIND (Berkeley Internet Name Domain);

· djbdns (Daniel J. Bernstein"s DNS);

· MaraDNS;

· NSD (Name Server Daemon);

· PowerDNS;

· OpenDNS

· Microsoft DNS Server (в серверных версиях операционных систем Windows NT);

· MyDNS;

2 . Конфигураци я рабочих станций

Одной из первичных задач любого администратора сети должно стать создание конфигураций рабочих станций, которые были бы постоянными и едиными. В таком случае, если возникнут какие-либо проблемы, обслуживающий персонал сети будет располагать полной информацией о рабочей конфигурации пользователя. Невозможность сделать это обычно приводит к существенному увеличению времени и затрат, необходимых для устранения неисправностей, и повышает стоимость эксплуатации машины. К несчастью, пользователи имеют тенденцию экспериментировать со своими рабочими станциями, изменяя настройки конфигурации или устанавливая нелицензионное программное обеспечение. Это может привести к тому, что система будет работать нестабильно, а также затруднять процессы обслуживания и отладки. Поэтому администраторам настоятельно рекомендуется предпринимать ряд ограничительных мер по отношению к рабочим станциям сети, чтобы предотвратить эти неавторизованные эксперименты. Такие возможности, как создание профилей пользователей и правил системной политики, являются базовыми инструментами, которые можно использовать в системах Windows для выполнения указанных задач независимо от предполагаемого уровня ограничительных мер для пользователей сети. Применяя эти инструменты, можно ограничить набор программ, разрешенных для запуска в данной системе, запретить доступ к отдельным элементам операционной системы, а также контролировать использование сетевых ресурсов. Эти инструменты, как и некоторые другие, являются частью того, что фирма Microsoft называет Zero Administration Initiative (ZAI, инициатива нулевого администрирования). Сущность ZAI неправильно понимается многими людьми, которые склонны считать, что ее цель заключается в создании рабочей станции, не требующей вообще никакого обслуживания и административного вмешательства любого рода. На самом же деле, ZAI была разработана для того, чтобы не допускать проведения пользователями мероприятий по системному администрированию, для которых они не имеют соответствующей квалификации. С помощью настройки тщательно спланированной и протестированной конфигурации и последующего запрещения любых ее изменений пользователями можно значительно уменьшить стоимость обслуживания рабочих станций. Проведение ограничительной политики и уменьшение количества пользователей, имеющих доступ к рабочим станциям, способно привести к серьезным последствиям, поэтому администраторы всегда должны учитывать возможности пользователей сети, прежде чем принимать подобные решения. Неопытные пользователи компьютеров могут счесть очень удобным и даже приветствовать ограниченную конфигурацию, изолирующую их от сложных и непонятных элементов операционной системы. Однако пользователи с более высоким уровнем навыков в сфере применения компьютеров вполне могут негативно воспринять ограничение доступа лишь небольшой частью возможностей компьютера, из-за чего в свою очередь может упасть эффективность их работы.

2.1 Размещение приложений и данных

Одной из главных задач любого администратора сети является принятие решения о том, в каком именно месте сети будут храниться определенные данные. Рабочим станциям сети требуется доступ к файлам операционной системы, приложениям и рабочим файлам, поэтому определение мест расположения этих элементов представляет собой важнейшую часть процесса создания стабильной и безопасной сети. Некоторые администраторы вообще не контролируют, где пользователи хранят свои рабочие файлы. К счастью, большинство приложений, работающих в среде Windows, устанавливаются по умолчанию в каталог C:\Program Files локального диска, и это уже обеспечивает некоторую меру последовательности, если нет ничего более существенного. Некоторые приложения даже создают рабочие каталоги по умолчанию на локальном диске, однако оставлять пользователей наедине с их собственными устройствами, когда речь идет о хранении файлов данных, обычно представляет собой крайне опасную практику. Многие пользователи не имеют вообще никаких или имеют очень мало знаний о структуре каталогов своих компьютеров, а также не обладают опытом в управлении файлами. Это может привести к тому, что файлы для разных приложений окажутся беспорядочно "свалены" в один общий каталог и оставлены без всякой защиты от случайного повреждения или удаления.

Размещение операционной системы на сервере. На заре Windows запуск операционной системы с диска сервера являлся практической альтернативой установки ОС на каждую рабочую станцию. Хранение файлов операционной системы на сервере позволяло администратору не только предотвратить их повреждение или случайное удаление, но и обновлять версию ОС для всех рабочих станций одновременно. Подобное решение также помогает экономить дисковое пространство локальной машины. Однако с годами емкость диска средней рабочей станции возросла неимоверно, а размер самой операционной системы Windows превысил все мыслимые пределы.

В настоящее время простая установка стандартной операционной системы на отображенный диск сервера уже не может считаться практичной. Рабочая станция, использующая операционную систему Windows 95/98 или Windows NT/2000, Windows XP должна загрузить многие мегабайты информации только для запуска системы. Если умножить эту цифру на общее количество рабочих станций сети, исчисляемое сотнями, можно легко представить, что общий объем сетевого трафика, генерируемого при этом, будет способен лечь тяжким грузом даже на самую быструю сеть. Кроме того, недостаток дискового пространства более не является проблемой, когда самые обыкновенные рабочие станции оснащаются жесткими дисками, способными хранить от 80 до 750 Гбайт информации и даже больше. Установка операционной системы на локальный диск представляется в большинстве случаев более очевидным решением. С другой стороны, в настоящее время появился целый ряд новых технологий, позволяющих снова сделать практичной исполнение операционной системы Windows с сервера. Однако в нынешнем варианте рабочие станции не загружают операционную систему целиком с диска сервера. Вместо этого, рабочие станции функционируют в качестве клиентов-терминалов, которые соединяются с сервером терминалов. Операционная система и приложения рабочей станции фактически исполняются сервером, в то время как функции терминала исчерпываются исключительно вводом/выводом. В результате, рабочие станции требуют минимального количества ресурсов, так как сервер берет на себя львиную долю нагрузки.

При использовании подобной схемы терминалы могут быть относительно слабыми компьютерами, исполняющими программу эмуляции терминала, или же специализированными терминалами Windows, разработанными для запуска исключительно клиентского программного обеспечения. В любом случае, стоимость подобной рабочей станции даже близко нельзя сравнивать с ценой нового персонального компьютера, чье аппаратное обеспечение достаточно для исполнения индивидуальной копии Windows NT/2000 или Windows XP. Операционная система Windows NT 4.0 имеет специальную версию, поддерживающую данную технологию, которая носит название Windows NT Server Terminal Server Edition, a операционная система Windows 2000 и Windows XP уже включает возможность сервера терминалов в основной набор. Существуют также продукты независимых разработчиков, обеспечивающие аналогичные возможности, наиболее известным из которых является WinFrame от Citrix Systems.

Эксплуатация сети Windows, основанной на терминалах, коренным образом отличается от обслуживания стандартной ЛВС, и данный вариант нельзя назвать альтернативой для тех сетей, что уже используют полные версии операционных систем Windows на своих рабочих станциях. Однако, если формируется новая сеть или проводится масштабное расширение, использование терминалов Windows может стать одним из тех вариантов решения, которые следует рассмотреть.

Размещение приложений на сервере. Запуск приложений с диска сервера вместо диска рабочей станции представляет собой еще один способ обеспечения стабильной рабочей конфигурации для пользователей и сведения к минимуму нагрузки по администрированию сети. В простейшей форме процесс сводится к установке приложения обычным образом с указанием каталога сетевого диска, вместо локального каталога, в качестве места расположения файлов программы. Однако приложения Windows никогда не отличались простотой, поэтому в реальности этот процесс выглядит намного сложнее. Запуск приложений с диска сервера имеет как достоинства, так и недостатки. Положительным фактором, как и в случае с размещением на сервере операционной системы, можно назвать экономию пространства локальных дисков, защиту файлов приложений от повреждения или удаления, а также возможность улучшения и обслуживания единственной копии приложения, а не индивидуальных копий на каждой рабочей станции. Среди недостатков на первый план выступает тот факт, что приложения, размещенные на сервере, обычно работают сравнительно медленнее, чем их локальные аналоги, а также генерируют существенный объем сетевого трафика и не могут функционировать, если сервер неисправен или недоступен по иным причинам. Во времена DOS приложения были самодостаточными и обычно состояли не более чем из одного программного каталога, который содержал все файлы данного приложения. Тогда можно было установить приложение на сервер и позволить другим системам использовать его, просто запуская исполняемый файл. Сегодняшние приложения Windows намного сложнее, и программа их инсталляции не исчерпывается простым копированием файлов.

Кроме программных файлов приложение Windows обычно включает определенные установки системного реестра, наличие некоторых DLL-файлов Windows, которые должны присутствовать на локальном диске, а также процедуру создания строк в меню кнопки Start (Пуск) и пиктограмм, необходимых для запуска приложения. Если есть желание совместно использовать несколькими рабочими станциями приложение, размещенное на сервере, то, как правило, по-прежнему придется провести его полную установку на каждой машине. Это делается для того, чтобы быть уверенным, что каждая рабочая станция имеет соответствующие файлы Windows, установки реестра и пиктограммы, необходимые для работы приложения. Один из способов практической реализации приложения, размещенного на сервере, заключается в проведении полной инсталляции программы на каждую рабочую станцию, с указанием имени одного и того же каталога сервера в качестве места расположения файлов программы в каждом отдельном случае. Таким образом, каждая рабочая станция получит все необходимые файлы и модификации, а на сервере останется всего одна копия файлов приложения.

Другой важной проблемой является способность поддерживать индивидуальные параметры конфигурации для каждой рабочей станции, получающей доступ к приложению. Например, если один из пользователей модифицирует интерфейс совместно используемого приложения, весьма нежелательно, чтобы эти изменения отражались на других пользователях. В результате, каждый из пользователей приложения должен поддерживать собственную копию параметров конфигурации данного приложения. Является это простой или сложной задачей и выполнимо ли вообще, целиком и полностью зависит от того, где именно данное приложение хранит свои конфигурационные установки. Если, например, установки сохраняются в системном реестре или INI-файле Windows, в процессе инсталляции будет создана отдельная конфигурация для каждой рабочей станции. Однако, если по умолчанию установки конфигурации приложения размещаются вместе с файлами программы на сервере, то следует предпринять ряд шагов, направленных на то, чтобы не допустить ситуации, когда изменения, вносимые одним пользователем, аннулируют изменения других пользователей.

В некоторых случаях существует возможность конфигурирования приложения для хранения установок конфигурации в альтернативном месте, что позволяет переместить их на локальный диск каждой из рабочих станций или в индивидуальный каталог каждого пользователя на сервере. Если такой возможности нет, данное приложение нельзя считать подходящим для совместного использования в сети. Во многих случаях наиболее практичным способом исполнения приложений, размещенных на сервере, является применение приложения, которое имеет свои собственные сетевые возможности. Например, Microsoft Office позволяет создавать на сервере точку управляемой инсталляции (administrative installation point), которую можно затем использовать для установки приложения на рабочие станции. Проводя каждую инсталляцию, можно выбирать, будут ли файлы приложения копироваться на локальный диск, запускаться с диска сервера или распределяться между сервером и рабочей станцией.

Хранение рабочих файлов. В большинстве современных сетей Windows как операционная система, так и файлы приложений устанавливаются на локальных дисках рабочих станций. Однако по-прежнему только от администратора сети зависит принятие решения о том, где именно будут храниться файлы данных, создаваемые и изменяемые пользователями. При решении данного вопроса следует обращать особое внимание на некоторые принципиальные моменты, а именно, доступность этих файлов для пользователей и их безопасность. Естественно, пользователи должны получать доступ к своим файлам данных, но существуют также файлы, которые должны совместно использоваться многими пользователями. Важные файлы данных также должны быть защищены от модификации и удаления неавторизованным персоналом и к тому же дублироваться на альтернативном носителе в целях страховки от непредвиденных обстоятельств, например, выхода диска из строя или пожара. Рабочие файлы могут иметь различный формат, что не может не отражаться на том, каким способом их надлежит хранить. Например, документы индивидуальных пользователей, созданные с помощью текстовых редакторов или электронных таблиц, предназначены для использования одним человеком в каждый момент времени, в то время как базы данных поддерживают одновременный доступ нескольких пользователей. В большинстве случаев файлы баз данных хранятся на компьютерах, исполняющих приложения серверов баз данных, поэтому администраторы могут регулировать доступ к ним с помощью разрешений файловой системы и защищать регулярным резервным копированием. Другие типы файлов могут требовать дополнительного планирования. Так как операционные системы Windows 95/98 и Windows NT/2000 Windows XP все относятся к одноранговым сетевым операционным системам, можно разрешить пользователям хранить свои документы как на локальных дисках, так и на дисках сервера, и по-прежнему иметь возможность их совместного использования с другими пользователями сети. Однако есть несколько достаточно веских причин, по которым более правильным решением представляется хранение всех рабочих файлов на жестких дисках сервера. Первая и наиболее важная из этих причин заключается в том, что так намного проще защищать файлы от потери из-за сбоя диска рабочей станции. Серверы с большей вероятностью оснащены всевозможными защитными механизмами, такими как, например, RAID-массивы или зеркальные тома. Кроме того, серверам проще использовать резервное копирование. В конце концов, серверы позволяют сделать данные доступными в любое время, тогда как рабочая станция может быть выключена при отсутствии пользователя. Вторая причина относится к управлению доступом. Несмотря на то, что и серверы, и рабочие станции Windows имеют сходные возможности по предоставлению определенных прав конкретным пользователям, сами пользователи крайне редко обладают достаточным уровнем навыков или желанием для того, чтобы эффективно защитить свои собственные файлы. Поэтому администраторам сети намного проще управлять правами на одном сервере, чем на множестве рабочих станций. Еще одна немаловажная причина состоит в том, что присутствие дисков совместного использования у каждой рабочей станции делает крайне трудным обнаружение конкретной информации в сети. Если только бегло взглянуть на домен Windows NT/2000 или Windows XP и увидеть там десятки или сотни компьютеров, каждый из которых имеет собственные ресурсы совместного использования, можно легко понять, насколько сложной будет задача по определению местоположения конкретного файла. Ограничение ресурсов совместного использования рамками относительно небольшого числа серверов способно упростить подобный процесс. В результате наилучшей стратегией для большинства сетей Windows представляется установка операционной системы и всех приложений на локальные диски рабочих станций в сочетании с хранением всех рабочих файлов на серверах сети. Наиболее распространенная практика заключается в создании на сервере индивидуального каталога для каждого пользователя, причем пользователю предоставляется полный контроль над собственным каталогом. Затем следует сконфигурировать все приложения для хранения рабочих файлов в этом каталоге по умолчанию, чтобы никакой ценной информации не оставалось на локальном диске. В зависимости от нужд пользователей сети вы можете сделать домашние каталоги частными (private), чтобы только данный пользователь имел доступ к своему каталогу, или же разрешить всем пользователям доступ типа "только чтение" к индивидуальным каталогам других пользователей. Это позволит каждому пользователю совместно использовать любой рабочий файл с другим пользователем, просто сообщив ему имя и место расположения этого файла.

Подобные документы

Применение службы каталога Active Directory для решения задач управления ресурсами в сетях под управлением Windows. Обеспечение доступа к базе данных, в которой хранится информация об объектах сети. Логическая и физическая структура Active Directory.

презентация , добавлен 10.09.2013


Контроллер домена в компьютерных сетях. Настройка контроллера домена. Создание пользователя для службы RMS. Действия, которые необходимо выполнить на клиенте. Установка Report Viewer, Windows Server Update Services. Поиск и одобрение обновлений WSUS.

дипломная работа , добавлен 11.09.2012


Роль службы каталога Active Directory при выполнении задач сетевого администрирования. Планирование структуры каталога. Критерии выбора доменной структуры. Планирование структуры организационных подразделений. Учетные записи, самые важные атрибуты.

презентация , добавлен 10.09.2013


Понятия доменной архитектуры. Модели управления безопасностью. Реализации службы каталогов. Возможности Active Directory. Установка контроллеров домена. Поиск объектов в глобальном каталоге. Использование сайтов, упрощение процессов Active Directory.

презентация , добавлен 05.12.2013


Принципы организации компьютерной сети, предъявляемые к ней требования, используемые устройства и технологии. Методы и средства администрирования сетей. Администрирование Active Directory, этапы и направления данного процесса, оценка результата.

дипломная работа , добавлен 13.05.2014


История развития операционных систем семейства Windows и основные понятия системного администрирования. Определение востребованности операционных систем Windows, сравнительная характеристика их функции и возможностей, особенности применения на практике.

курсовая работа , добавлен 08.05.2011


Изучение базовых понятий и общих сведений о компьютерных и корпоративных сетях с последующим комплексным изучением способов и методов защиты информации в них. Классификация данных видов сетей. Существующие службы безопасности доступа. Профиль защиты.

контрольная работа , добавлен 24.01.2009


История развития вычислительных сетей. Понятия рабочих групп и доменов. Подключение к Интернет через прокси-сервер локальной сети. Возможности администрирования операционных систем Windows. Организация локальной вычислительной сети в компьютерном классе.

курсовая работа , добавлен 23.05.2013


Управление доступом и распространение электронных документов в компьютерных сетях, обеспечение контроля информационных потоков в организации при помощи системы электронного документооборота. Обзор современных СЭД по соотношению цены и функциональности.

презентация , добавлен 27.11.2013


Изучение понятия локальной вычислительной сети, назначения и классификации компьютерных сетей. Исследование процесса передачи данных, способов передачи цифровой информации. Анализ основных форм взаимодействия абонентских ЭВМ, управления звеньями данных.