1.htm

Содержание

  • Предисловие
  • Введение

ЧАСТЬ I. ИНСТАЛЛЯЦИЯ и НАСТРОЙКА СИСТЕМЫ

  • Планирование и установка системы
  • Поддержка оборудования
  • Загрузка операционной системы
  • Файловые системы, диски и тома
  • Конфигурирование системы и встроенные приложения

ЧАСТЬ II. УПРАВЛЕНИЕ РЕСУРСАМИ СЕРВЕРА

  • Средства управления системой
  • Средства мониторинга и оптимизации
  • Работа с дисковыми ресурсами
  • Службы печати

ЧАСТЬ III. АДМИНИСТРИРОВАНИЕ СЕРВЕРА

  • Типовые задачи администрирования
  • Управление системами Windows в корпоративной среде

ЧАСТЬ IV. СЕТЕВЫЕ РЕСУРСЫ

  • Базовые сетевые понятия и концепции в Windows Server 2003
  • Серверы DHCP, DNS и WINS
  • Коммуникационные службы
  • Маршрутизация
  • Службы Интернета
  • Дополнительные сетевые службы

ЧАСТЬ V. ДОМЕНЫ и ACTIVE DIRECTORY

  • Основные концепции Active Directory
  • Проектирование доменов и развертывание Active Directory
  • Администрирование доменов
  • Использование групповых политик

ЧАСТЬ VI. ЗАЩИТА СИСТЕМЫ и ДАННЫХ

  • Средства безопасности Windows Server 2003
  • Восстановление системы
  • Работа с системным реестром
  • Сообщения системы и отладчик


Планирование и установка системы

  • Планирование и установка системы
  • Подготовка процесса инсталляции
    • Требования к аппаратным ресурсам
    • Новая копия или обновление системы?
    • Перенос файлов и настроек из существующей системы
      • Использование Мастера переноса файлов и параметров
      • Использование средства миграции пользовательских настроек
    • Выбор способа установки Windows Server 2003
    • Информация, необходимая для установки, и предварительные операции
      • Конфигурирование разделов на жестком диске
      • Выбор файловой системы
  • Интерактивная установка Windows Server 2003
    • Запуск программы установки
      • Установка с загрузочного компакт-диска
      • Установка с использованием загрузочной дискеты
      • Установка с помощью имеющейся системы
    • Начало процесса установки системы
      • Сбор информации, необходимой для установки
      • Динамическое обновление дистрибутивных файлов (Dynamic Update)
      • Подготовка инсталляции
    • Текстовая фаза процедуры установки
    • Графическая фаза процедуры установки
    • Постинсталляционные задачи
      • Первая регистрация в системе
      • Восстановление файлов и настроек
  • Организация систем с двойной загрузкой
  • Устранение проблем, возникающих при установке Windows Server
  • Автоматизация установки систем на множество компьютеров
    • Автоматическая установка Windows Server 2003

Планирование и установка системы

Данная глава содержит информацию об установке операционной системы (ОС) Windows Server 2003, краткие рекомендации по выбору метода инсталляции, а также сведения об организации систем с двойной загрузкой и устранении возможных неполадок во время установки. Материалы, изложенные здесь, адресованы в первую очередь системным и сетевым администраторам, специалистам из групп технической поддержки и опытным пользователям. Тем не менее, приведенные в данной главе сведения будут полезны и тем новичкам, которые не желают долго оставаться в этом разряде пользователей.

Подготовка процесса инсталляции

Вряд ли вас приведет в восторг ситуация, когда, приступив к установке системы и выполнив большую часть работы, вы вдруг обнаружите, что все усилия были предприняты зря, т. к. одно из решений, принятых на начальных этапах, было неправильным. По этой причине не следует пренебрегать изучением излагаемого в этом разделе предварительного материала, который не только даст вам возможность предвидеть последствия того или иного решения, но и поможет лучше понять ход процесса инсталляции. Приняв решение об установке Windows Server 2003, необходимо в первую очередь определить, соответствует ли аппаратная конфигурация компьютера минимальным требованиям операционной системы, а также определить тип и метод установки. Такой подход позволит собрать достаточное количество информации, необходимой для проведения установки, и позволит быстро выполнить все требуемые для этого процедуры.

Требования к аппаратным ресурсам

Основная задача, которую необходимо решить перед тем, как приступать к установке Windows Server 2003, заключается в том, чтобы определить, будет ли оборудование компьютера, на который вы собираетесь произвести установку, работать с данной операционной системой. -Принять это принципиальное решение помогают два документа.

  • Требования к минимальной аппаратной конфигурации.
  • Список совместимых аппаратных средств (Hardware Compatibility List, HCL).

В первую очередь необходимо ознакомиться со списком требований, которые Windows Server 2003 предъявляет к оборудованию. Во Введении была дана сравнительная таблица основных требований к различным версиям Windows Server 2003. Для Windows Server 2003, Standard Edition более подробная минимально необходимая аппаратная конфигурация представлена в табл. 1.1. Для полноценной работы с системой следует ориентироваться не на минимальные, а на рекомендуемые параметры.

Таблица 1.1. Требования к минимальной конфигурации, необходимой для установки Windows Server 2003, Standard Edition

Аппаратный компонент
 Требования к конфигурации
Процессор
 Один или несколько процессоров (рекомендуются процессоры из семейств Intel Pentium/Celeron, AMD K6/Athlon/Duron или совместимые) с тактовой частотой не ниже 133 МГц. Для обеспечения нормальной производительности рекомендуется выбирать процессоры с тактовой частотой 550 МГц или выше. Максимально поддерживается 4 процессора
Оперативная память
 Необходимый объем RAM составляет не менее 128 Мбайт. Рекомендованный объем составляет 256 Мбайт или более (максимально поддерживается 4 Гбайт)
Монитор
 VGA или монитор с более высоким разрешением. Рекомендуется монитор Super VGA с экранным разрешением 800x600 или выше
Жесткие диски
 Раздел на жестком диске с объемом свободного пространства, достаточным для проведения инсталляции (примерно от 1,25 до 2 Гбайт). Следует учитывать, что необходимый объем свободного пространства зависит от устанавливаемых дополнительных компонентов, используемой файловой системы (на разделах FAT или FAT32 обычно требуется на 1 00-200 Мбайт больше, чем на разделах NTFS) и от метода инсталляции (при установке через сеть дополнительно потребуется еще от 100 до 200 Мбайт). Кроме того, если вы выполняете обновление версии операционной системы на контроллере домена Windows NT 4.0, следует иметь в виду, что существующая база данных пользовательских учетных записей может увеличиться в объеме в 10 раз и более, поскольку в процессе установки Windows Server 2003 будет производиться добавление функциональных возможностей Active Directory
Наконец, фактический объем свободного дискового пространства, требующийся для обеспечения необходимой гибкости при настройке операционной системы и последующей комфортной работы, будет выше, чем объем, требующийся для успешного завершения установки. Это связано с тем, что дисковое пространство требуется для файла подкачки (paging file), который, как правило, составляет примерно 1 ,5 от объема RAM для каждого из устанавливаемых дополнительных компонентов и приложений, а также для базы данных пользовательских учетных записей и другой информации Active Directory (для контроллеров домена)
Клавиатура
 Стандартная
Мышь
 Стандартная мышь или другое совместимое координатное устройство
CD-ROM
 Устройство CD-ROM или DVD-ROM (рекомендуется 1 2-скоростное или более быстрое устройство)
Сетевой адаптер
 Один или более сетевых адаптеров, совместимых с семейством Windows Server 2003 (весьма желательна поддержка технологии Wake On LAN). Если установка операционной системы будет производиться через сеть, то необходимо выделить один из серверов вашей локальной сети, который будет предоставлять доступ к дистрибутивным файлам, и убедиться в том, что вы можете получать доступ к разделяемой папке, содержащей дистрибутивный комплект

Помимо соответствия минимальной аппаратной конфигурации, рекомендуется, чтобы ваш компьютер обеспечивал поддержку спецификации ACPI (Advanced Configuration and Power Interface). Необходимую информацию по данному вопросу можно найти в сопроводительной документации к материнской плате вашего компьютера. Если поддержка ACPI не обеспечивается, то, возможно, потребуется обновить системную BIOS до новейшей версии, совместимой с Windows Server 2003 (за инструкциями по обновлению рекомендуется обратиться к производителю BIOS вашего компьютера).

Примечание

Более подробная информация о поддержке аппаратных устройств и спецификации ACPI будет приведена в главе 2 "Поддержка оборудования". Здесь же отметим, что отсутствие полноценной поддержки ACPI не помешает установке Windows Server 2003 на ваш компьютер. Однако после установки ваша система не будет в полном объеме поддерживать функциональные возможности по управлению питанием и энергосберегающими режимами (что, впрочем, может быть не очень актуальным для серверной платформы). Для активизации этих возможностей после установки вам потребуется обновить BIOS, а затем выполнить обновление (upgrade) установленной копии Windows Server 2003.

Следует также учесть, что приведенные выше требования являются именно требованиями к минимальной аппаратной конфигурации. Если вам требуются дополнительные функциональные возможности, реализуемые аппаратно (например, поддержка звука), то необходимо иметь соответствующее оборудование, совместимое с семейством Windows Server 2003. Наконец, чтобы в полной мере использовать все преимущества и новые возможности, предоставляемые Windows Server 2003, вам потребуется еще целый ряд аппаратных компонентов, наличие которых не обязательно, но весьма желательно. К числу таких устройств относятся, в частности, источники бесперебойного питания (UPS), устройства резервного копирования данных (ленточные устройства, устройства CD-R или CD-RW, магнитооптические накопители), порты USB и IEEE-1394 ("Firewire"), и т. д.
Внимательно изучите Список совместимых аппаратных средств (Hardware Compatibility List, HCL) и убедитесь, что все компоненты вашей системы присутствуют в этом списке. HCL представляет собой перечень аппаратных устройств, официально тестировавшихся на совместимость с Windows Server 2003.

Примечание

Работоспособность устройств, не перечисленных в HCL, под управлением Windows Server 2003 не гарантируется. Если в вашей системе присутствует одно из таких устройств, то попытка установки Windows Server 2003 может завершиться неудачей. Кроме того, возможны ситуации, когда несовместимое устройство не препятствует завершению инсталляции, но вызывает проблему уже после установки ОС (в лучшем случае устройство просто не работает, в худшем — периодически приводит к краху системы). Разумеется, так бывает не всегда, и в ряде случаев можно использовать с Windows Server 2003 и такие устройства, которые не перечислены в HCL (за счет того, что эти устройства могут эмулировать другие модели, присутствующие в этом списке и ставшие стандартом). Таким образом, если имеющееся в вашем распоряжении устройство не упомянуто в HCL, проверьте, эмулирует ли оно другое аналогичное устройство, указанное в HCL. Если ваше устройство использует 16-разрядный драйвер, то ситуацию может исправить установка 32-разрядного драйвера, совместимого с Windows Server 2003 (как правило, такой драйвер можно найти на веб-сайте фирмы — производителя устройства). Если такая возможность отсутствует, проконсультируйтесь со специалистами фирмы, оказывающей вам техническую поддержку, относительно приобретения нового устройства.

Новая копия или обновление системы?

Итак, принципиальное решение об установке Windows Server 2003 на ваш компьютер принято, и вы убедились в том, что система удовлетворяет требованиям к минимальной аппаратной конфигурации. Теперь, прежде чем приступать к установке, вам требуется определиться с ответами на следующие принципиальные вопросы:

  • будете ли вы устанавливать новую копию Windows Server 2003 или предпочитаете выполнить обновление версии операционной системы, уже установленной на вашем компьютере?
  • нужна ли вам возможность выбора операционной системы при загрузке компьютера (конфигурация с двойной загрузкой)?

Ответы на эти вопросы во многом определяются существующей конфигурацией вашей системы и вашими потребностями. После установки новой копии вам потребуется переустановить все необходимые для работы приложения, а также заново сконфигурировать индивидуальные параметры настройки системы. В отличие от установки новой копии, при обновлении (upgrade) установка операционной системы автоматически производится в тот же каталог, в котором находится существующая операционная система. При этом будут сохранены все существующие параметры настройки системы, учетные записи пользователей (user accounts), пользовательские группы (user groups), права доступа к файлам и назначенные пользователям и группам полномочия (permissions), а также индивидуальные пользовательские параметры и установленные приложения.
В табл. 1.2 перечислены операционные системы, которые можно обновить до Windows Server 2003, Standard Edition или Windows Server 2003, Enterprise Edition. Следует отметить, что обновление до Windows Server 2003, Standard Edition поддерживается только для компьютеров Windows 2000 Server с количеством процессоров не более двух. Версии Windows NT, более ранние, чем Windows NT 4.0, прямого обновления до Windows Server 2003 не поддерживают. Поэтому, если нужно обновить одну из таких операционных систем, следует сначала выполнить ее обновление до Windows NT 4.0, а затем установить Service Pack 5 или более поздний.

Таблица 1.2. Обновляемые операционные системы

 | Windows Server 2003, Standard Edition | Windows Server 2003, Enterprise Edition
Windows NT 4.0 Server (SP 5.0 и выше) | Да | —
Windows NT 4.0, Terminal Server Edition (SP 5.0 и выше) | Да | —
Windows NT 4.0 Server, Enterprise Edition (SP 5.0 и выше) | — | Да
Windows 2000 Server | Да | Если на Windows 2000 Server используется Remote Storage, то обновление необходимо выполнять до Windows Server 2003, Enterprise Edition
Windows 2000 Advanced Server | — | Да
Windows Server 2003, Standard Edition | — | Да

Общие рекомендации по выбору между установкой новой копии операционной системы или обновлением существующей сводятся к следующему.

  • Опцию установки новой копии Windows Server 2003 следует выбирать в следующих случаях:
    • если на компьютере нет ни одной операционной системы. В этом случае программа Setup просто не предоставит вам других возможностей, кроме установки новой копии операционной системы. При этом, поскольку дистрибутивный компакт-диск Windows Server 2003 является загрузочным, самым простым и быстрым методом запуска программы Setup будет загрузка компьютера с дистрибутивного компакт-диска;
    • если используемая на данный момент копия операционной системы не поддерживает обновления до Windows Server 2003, Standard Edition или Enterprise Edition;
    • если для устанавливаемого сервера важно обеспечить высокую доступность и повышенную надежность, то установка новой копии операционной системы является предпочтительной. Системы, установленные как обновление одной из предыдущих версий, проигрывают системам, установленным как новая копия, по надежности, доступности и управляемости, и это особенно справедливо для систем, полученных в результате серии обновлений;
    • если вам нужна мультизагрузочная конфигурация.

  • Опцию обновления существующей версии операционной системы можно выбрать, если текущая версия допускает обновление до Windows Server 2003, и вам требуется перенести в Windows Server 2003 все существующие настройки, а также сохранить все установленные приложения. При этом программа Setup должна быть запущена под управлением той операционной системы, которая должна быть обновлена.

Несмотря на то, что процедура обновления более проста, нежели установка новой копии ОС, перед началом процедуры обновления следует провести некоторое дополнительное планирование и тестирование программного обеспечения на совместимость с Windows Server 2003. Причина, по которой дается эта рекомендация, заключается в различиях структуры системного реестра Windows Server 2003 и более ранних версий операционной системы, проблемах с совместимостью установленного в системе программного обеспечения, а также в том, что процедура обновления не переносит в Windows Server 2003 старые драйверы устройств, поддержка которых более не обеспечивается. Дистрибутивный компакт-диск Windows Server 2003 содержит большое количество драйверов распространенных устройств. Однако в некоторых случаях возможны ситуации, когда отсутствует один из драйверов устройств, необходимый для продолжения установки. В этом случае программа Setup остановит обновление версии до тех пор, пока нужный драйвер не будет получен.
По этой причине перед выполнением обновления версии текущей операционной системы до Windows Server 2003 всегда рекомендуется предварительно выполнить проверку совместимости в так называемом режиме Check Upgrade. Дело в том, что некоторые драйверы устройств третьих фирм, хорошо работавшие в вашей текущей операционной системе (например, в Windows NT 4.0), могут требовать обновления для работы в Windows Server 2003. Запустить тест на проверку аппаратной и программной совместимости можно непосредственно с дистрибутивного компакт-диска. Обратите внимание на тот факт, что этот тест не требует фактически начинать инсталляцию или обновление.
Чтобы протестировать компьютер на совместимость, выполните следующие операции:
1. Запустите компьютер под управлением операционной системы, которую вы хотите обновить до Windows Server 2003. Вставьте дистрибутивный компакт-диск в устройство CD-ROM. Программа Windows Server 2003 Setup Wizard запустится автоматически. Если этого не произойдет, вручную запустите файл Setup.exe, находящийся в корневом каталоге дистрибутивного компакт-диска.

Примечание

Тест на совместимость можно запустить и из командной строки. Для этого вставьте дистрибутивный компакт-диск в устройство CD-ROM, откройте сеанс работы с командной строкой и введите следующую команду:
<CD-drive-letter>:\1386\winnt32 /checkupgradeonly
где <co-drive-letter> — буквенное обозначение вашего устройства CD-ROM (например, d:).

2. В появившемся окне Microsoft Windows Server 2003 family (рис. 1.1) выберите опцию Check system compatibility (Проверка системы на совместимость), а в следующем раскрывшемся окне — опцию Check my system automatically (Проверить систему автоматически). Во время проверки вам будет предложено автоматически загрузить последние обновления установочных файлов с сайта Windows Update (рис. 1.2). Если вы имеете быстрый канал доступа к Интернету, то рекомендуется воспользоваться этой опцией.

Рис. 1.1. Окно Microsoft Windows Server 2003 family, появляющееся при автоматическом запуске инсталляционного компакт-диска

Как правило, тестирование системы на совместимость с Windows Server 2003 позволит выявить все факторы, которые могут помешать успешному обновлению операционной системы, а также все несовместимые компоненты (как аппаратные, так и программные), которые могут вызвать сбой в процессе установки или вызывать проблемы уже после ее завершения.
На рис. 1.3 приведен пример отчета о результатах тестирования в режиме Check Upgrade для компьютера, работающего под управлением Windows XP Professional. В данном случае ответ прост и однозначен — обновление до Windows Server 2003 невозможно, поскольку Windows XP Professional не принадлежит к списку операционных систем, поддерживающих обновление до Windows Server 2003. Аналогичный результат даст и тестирование для любой другой операционной системы, не принадлежащей к списку ОС, поддерживающих обновление до Windows Server 2003.

Рис. 1.2. В ходе проведения теста совместимости программа Microsoft Windows Upgrade Advisor предлагает загрузить последние обновления установочных файлов с сайта Windows Update

Для сравнения на рис. 1.4 показан аналогичный отчет, полученный для контроллера домена Windows 2000, где было обнаружено два несовместимых программных компонента, а также присутствует указание на необходимость подготовки домена и леса Active Directory к процедуре обновления (более подробно вопросы подготовки доменов и лесов к миграции или обновлению будут рассмотрены в главе 19 "Проектирование доменов и развертывание Active Directory").
Описанные примеры наглядно иллюстрируют приведенное выше утверждение о настоятельной необходимости предварительного анализа, тестирования и планирования при выполнении обновления существующей версии операционной системы до Windows Server 2003. Получив такой отчет, не следует спешить с обновлением версии операционной системы. Чтобы исключить возможную потерю данных, а также обеспечить успешное и гладкое выполнение процесса установки, следует ликвидировать все факторы, препятствующие обновлению, и провести дополнительное исследование каждого из несовместимых компонентов.

Рис. 1.3. Результаты тестирования в режиме Check Upgrade, проведенного для компьютера, работающего под управлением Windows XP Professional

Рис. 1.4. Результаты тестирования в режиме Check Upgrade, проведенные для контроллера домена, работающего под управлением Windows 2000 Server

Рис. 1.5. Мастер тестирования в режиме Check Upgrade отображает достаточно подробное описание каждой из обнаруженных проблем и детальные инструкции по их устранению

Рис. 1.6. Данная система может быть беспрепятственно обновлена до Windows Server 2003

Для получения дополнительной информации следует выделить из списка интересующий вас элемент и нажать кнопку Details (Подробно). После этого на экране появится окно, содержащее достаточно подробное описание обнаруженной проблемы и пошаговые инструкции по ее устранению (рис. 1.5).
Большинство проблем, выявленных при таком тестировании, не являются непреодолимыми, хотя, конечно, некоторые системы могут потребовать большего объема предварительной работы. В любом случае, выполнять обновление следует только тогда, когда все обнаруженные проблемы ликвидированы, и отчет о проверке совместимости выглядит, как показано на рис. 1.6.

Перенос файлов и настроек из существующей системы

Нередко при установке новой копии системы у пользователей возникает желание перенести свои данные и настройки из "старой" системы (предыдущей версии или просто с другого компьютера) в новую среду. Системы Windows XP и Windows Server 2003 предлагают для этой цели специальные, очень удобные средства. Эти средства предоставляют быстрый и удобный способ переноса пользовательских файлов, документов, а также параметров настройки из системы в систему и с компьютера на компьютер (например, при покупке нового компьютера) или в других случаях, если обновление операционной системы, с которой вы работаете на текущий момент, не поддерживается или представляется проблематичным.

Примечание

Авторам не удалось найти официальной информации о том, поддерживает ли эти средства миграции системы Windows Server 2003 (как исходную и целевую платформы), но неоднократные проверки (особенно мастера Files and Settings Transfer Wizard) показывают отсутствие проблем в новой среде.

Использование Мастера переноса файлов и параметров

Наиболее простым и удобным для пользователя является программа, имеющаяся в составе Windows XP, — мастер Files and Settings Transfer Wizard (Мастер переноса файлов и параметров). Что особенно удобно, работа мастера осуществляется в два этапа: сначала происходит сбор конфигурационной информации и пользовательских файлов (state collection) и сохранение всей информации в виде образа системы на промежуточном носителе (в том числе и на том же жестком диске, куда будет ставиться новая система); затем выполняется восстановление этих данных (state application). При этом первый раз мастер запускается на старом компьютере (так называемый исходный компьютер) или под управлением старой операционной системы для сбора информации, подлежащей переносу. В число поддерживаемых операционных систем входят Windows 95, Windows 98, Windows NT 4.0, Windows Millennium Edition, Windows 2000, а также Windows XP и Windows Server 2003. После того как необходимая информация будет собрана, мастер запускается во второй раз после успешной инсталляции новой системы на целевом компьютере.

Примечание

Мастер Files and Settings Transfer Wizard (файл FastWiz.exe) можно запустить из программы установки Windows XP (ссылка Perform additional tasks | Transfer files and settings) или из папки \SUPPORTYTOOLS на дистрибутивном компакт-диске.
Языковые версии операционных систем на исходном и целевом компьютерах должны совпадать!

Использование средства миграции пользовательских настроек

В дополнение к мастеру Files and Settings Transfer Wizard операционная система Windows XP предоставляет еще одно средство миграции пользовательских файлов и настроек — User State Migration Tool (USMT). Это средство имеется и в Windows Server 2003. (Обратите только внимание на то, что в Windows Server 2003 более поздняя версия программы, имеющая дополнительные возможности!)
В отличие от мастера Files and Settings Transfer Wizard, представляющего собой утилиту с графическим интерфейсом и ориентированного на конечных пользователей, работающих в домашних условиях или в сравнительно небольших локальных сетях малых и средних предприятий, средство User State Migration Tool в первую очередь предназначено для системных администраторов и специалистов из групп технической поддержки, выполняющих массовый переход на операционные системы Windows XP и Windows Server 2003 в крупных корпоративных сетях. В дополнение к набору функциональных возможностей, предоставляемых мастером Files and Settings Transfer Wizard, USMT позволяет системным администраторам выполнять полный перенос уникальных пользовательских параметров, включая модификации, внесенные в системный реестр.

Примечание

Средство миграции пользовательских файлов и настроек User State Migration Tool можно найти на дистрибутивном компакт-диске Windows XP или Windows Server 2003 в каталоге \VALUEADD\MSFT\USMT. Следует особо подчеркнуть, что для использования USMT необходимо, чтобы клиентский компьютер, с которого производится перенос пользовательских данных, принимал участие в работе домена Windows. Если это требование не соблюдено, то программа завершит работу выдачей кода ошибки. Таким образом, конечные пользователи компьютеров, не подключенных к сети или являющихся членами рабочих групп (такая ситуация типична для небольших одноранговых локальных сетей), для переноса индивидуальных параметров и файлов должны использовать мастер Files and Settings Transfer Wizard.

USMT представляет собой приложение, запускаемое из командной строки, и включает в свой состав следующие исполняемые файлы:

  • ScanState.exe — модуль, предназначенный для сбора информации, подлежащей переносу в среду Windows XP или Windows Server 2003;
  • LoadState.exe — модуль, выполняющий загрузку мигрированных данных во вновь установленную систему Windows XP или Windows Server 2003.

Перед использованием средства миграции пользовательских файлов и настроек (USMT) необходимо убедиться в том, что соблюдены следующие требования:

  • клиентский компьютер, с которого будет выполняться миграция пользовательских файлов и настроек, работает под управлением одной из операционных систем Windows, подключен к сети и является членом домена Windows. Перенос данных возможен только на компьютер, работающий под управлением Windows XP или Windows Server 2003;
  • наличие доступа к промежуточному носителю (intermediate store), на который будет выполняться запись мигрированных данных и последующее чтение этой информации. В роли промежуточного носителя должен выступать разделяемый каталог на сервере, путь к которому задается в формате UNC (например, \\Serverl\Migration\Olga). Разумеется, на промежуточном носителе необходимо иметь достаточный объем свободного дискового пространства (как правило, не менее 50 Мбайт на каждого пользователя, причем в некоторых случаях могут потребоваться и большие объемы).

Работой исполняемых модулей ScanState.exe и LoadState.exe управляют обязательные INF-файлы, задающие правила переноса информации — Migapp.inf, Migsys.inf, Miguser.inf и Sysfiles.inf. При использовании параметров по умолчанию, заданных стандартным набором миграционных INF-файлов, USMT перенесет в новую среду следующие данные:

  • параметры настройки Internet Explorer;
  • параметры настройки и данные Outlook Express;
  • параметры настройки модемов;
  • существующие соединения по коммутируемым каналам (Dial-Up connections);
  • параметры настройки рабочего стола и пользовательского интерфейса, включая параметры настройки панели задач, выбор экранной заставки, содержимое папок My Documents (Мои документы), My Pictures (Мои рисунки), Favotites (Избранное) и т. д.;
  • шрифты;
  • параметры настройки клавиатуры и мыши;
  • региональные параметры;
  • параметры настройки Microsoft Office;
  • содержимое папки Cookies.

Примечание

Стандартный набор INF-файлов, задающих правила миграции, имеется на дистрибутивном компакт-диске Windows XP или Windows Server 2003 в каталоге \VALUEADD\MSFT\USMT. При выполнении масштабного перехода на новую систему системные администраторы, как правило, редактируют эти файлы в соответствии с конкретными требованиями. Помимо редактирования стандартного набора миграционных INF-файлов, можно создавать собственные INF-файлы, указывающие индивидуальные параметры переноса пользовательских настроек и файлов. Подробная информация о формате INF-файлов, проиллюстрированная практическими примерами, приводится в файле USMTINFCOMMANDS.DOC или в статье User State Migration in Windows XP. Заинтересованный читатель сможет найти эту статью в Интернете по следующему адресу: http://www.microsoft.com/technet/treeview/default.asp?url= /TechNet /prodtechnol/winxppro/deploy/usermigr.asp.

Примечание

Поскольку исполняемые файлы ScanState.exe и LoadState.exe представляют собой средства, запускаемые из командной строки, они могут быть использованы в пакетных файлах, что позволяет существенно ускорить эту процедуру при выполнении массовой миграции.

Выбор способа установки Windows Server 2003

Следующий вопрос, на который вам предстоит ответить, заключается в выборе способа установки. Система Windows Server 2003 поставляется на компакт-диске, и компания Microsoft предлагает несколько вариантов инсталляции, из которых пользователь может выбрать наиболее подходящий. В целом, способы установки Windows Server 2003 можно классифицировать следующим образом.

  • По отношению к существующей операционной системе. Как уже говорилось ранее, в этом случае на выбор пользователя предоставляются следующие варианты:
    • установка новой копии Windows Server 2003 (включая организацию системы с двойной загрузкой);
    • обновление существующей операционной системы до Windows Server 2003.

  • По режиму установки:
    • ручная установка в интерактивном режиме, требующая вмешательства пользователя и ответов на запросы системы;
    • полуавтоматическая установка (с минимальным вмешательством со стороны пользователя);
    • полностью автоматическая установка.

  • По типу используемого носителя дистрибутивных файлов. Здесь можно выделить следующие варианты:
    • установка с использованием только дистрибутивного компакт-диска;
    • установка с локального жесткого диска;
    • установка через сеть.

Итак, существует большое количество способов установки Windows Server 2003. Каждый из них имеет свои преимущества и недостатки, поэтому ваша задача заключается в том, чтобы определить, какой из способов будет для вас предпочтительным.
Например, если операционную систему требуется установить только на одном компьютере, то метод установки с компакт-диска практически наверняка окажется самым быстрым. С другой стороны, если установку требуется произвести на нескольких компьютерах, то более удобным будет метод инсталляции через сеть (хотя, если установка Windows Server 2003 на всех компьютерах выполняется одновременно, а сервер сильно перегружен, эта операция может занять много времени). Если же вам требуется выполнить установку Windows Server 2003 на большом количестве компьютеров в сжатые сроки, то, возможно, стоит подумать об автоматической инсталляции.
В некоторых случаях выбираемый способ установки диктуется аппаратной конфигурацией устанавливаемого компьютера, который может удовлетворять минимальной аппаратной конфигурации, но не иметь устройства, необходимого для проведения того или иного способа инсталляции (например, устройства CD-ROM или сетевого адаптера).

Информация, необходимая для установки, и предварительные операции

Определив аппаратную конфигурацию компьютера, необходимо подготовить компьютер к инсталляции. Шаги, которые следует выполнить для этой цели, перечислены ниже.
1. Задокументируйте всю информацию о компьютере.
Тщательно зарегистрируйте всю информацию о компьютере, на который будет производиться установка (желательно завести для этой цели специальный журнал и документировать в нем все изменения, вносимые в аппаратную и программную конфигурации компьютера). Если на компьютере уже имеется операционная система, тщательно проанализируйте файлы журналов на предмет повторяющихся сообщений об ошибках (особенно аппаратных), поскольку эти ошибки могут вызвать проблемы в ходе инсталляции.
2. Если на компьютере уже имеется установленная операционная система, то независимо от того, планируете ли вы обновить эту систему до Windows Server 2003 или выполнить установку новой копии ОС, выполните полное резервное копирование всех своих данных (для этой цели можно применить программу Microsoft Backup, встроенную в состав операционных систем семейства Windows или специализированное программное обеспечение сторонних фирм).

Примечание

Печально, но факт: огромное количество пользователей резервным копированием пренебрегают. Еще печальнее то, что спохватываются они только после того, как данные уже потеряны, причем, скорее всего, безвозвратно. Не будьте злейшим врагом самому себе— выполните резервное копирование, а затем убедитесь, что оно было выполнено успешно. Обратите особое внимание на то, что резервное копирование должно выполняться перед установкой пакетов обновления (Service Pack).

3. Если вы планируете выполнять обновление существующей операционной системы до Windows Server 2003, то на данном этапе следует выполнить еще целый ряд подготовительных операций. В частности, сетевые администраторы должны уделить внимание планированию ролей серверов и порядку их обновления. Список наиболее общих рекомендаций приведен ниже (более подробная информация и пошаговые инструкции по выполнению каждой операции будут приведены в главе 19 "Проектирование доменов и развертывание Active Directory").

  • Если нужно выполнить обновление контроллеров домена Windows 2000 или же добавить в состав этого домена контроллер, работающий под управлением одной из операционных систем из семейства Windows Server 2003, то в первую очередь необходимо подготовить домен и лес, в состав которого входит данный домен. Эта процедура выполнятся с помощью утилиты Adprep.exe, которую можно найти на дистрибутивном компакт-диске Windows Server 2003 (более подробная информация по данному вопросу будет приведена в главе 19 "Проектирование доменов и развертывание Active Directory"). На необходимость выполнения этой операции указывает и тест аппаратной и программной совместимости (см. рис. 1.5). Перед тем как приступать к этой процедуре, следует установить Service Pack 2 на все контроллеры домена Windows 2000.
  • Если обновление выполняется в составе "смешанного" (mixed mode) домена (т. е. домена, где имеются контроллеры, работающие под управлением Windows 2000, и контроллеры, работающие под управлением Windows NT 4.0), то рекомендуется как можно скорее выполнить обновление всех контроллеров, работающих под управлением Windows NT. Это позволит ликвидировать различия в версиях, упростить процедуры управления сетью и устранения возможных неполадок, а также усилит защищенность сети.
  • При обновлении контроллеров в составе домена Windows NT 4.0 главный контроллер домена (PDC) должен обновляться первым. Перед тем как начинать обновление Windows NT 4.0, необходимо, как минимум, установить Service Pack 5. Кроме того, если в локальной сети имеются серверы или клиентские компьютеры, работающие под управлением Windows NT 3.51, то для них настоятельно рекомендуется выполнить обновление ОС до версии не ниже Windows NT 4.0.

Примечание

После подготовки домена и леса процедура обновления контроллеров протекает в два этапа. На первом этапе производится обновление собственно операционной системы. Затем, после того как ОС Windows Server 2003 будет успешно установлена, автоматически запускается программа Active Directory Installation Wizard.

4. He пытайтесь установить Windows Server 2003 на тома, сжатые с помощью методов, отличных от алгоритма сжатия, применяемого файловой системой NTFS. Если при работе с предыдущими версиями Windows вы использовали сжатие дисков при помощи DriveSpace или DoubleSpace, то перед тем, как приступать к установке Windows Server 2003 или обновлению предыдущей версии операционной системы, необходимо выполнить декомпрессию всех таких томов.
5. Если компьютер, на который производится установка Windows Server 2003, защищен при помощи источника бесперебойного питания (UPS), то на время установки UPS следует отключить. Данная рекомендация вызвана тем, что программа Setup автоматически пытается распознать устройства, подключенные к последовательным портам, и UPS может вызвать проблемы на стадии определения аппаратной конфигурации компьютера.
6. Временно удалите все антивирусное программное обеспечение, а также сетевые сервисы и клиентское программное обеспечение третьих фирм.
7. Если на компьютере Windows NT 4.0 используется набор томов (volume set), зеркальный набор дисков (mirror set), чередующийся набор дисков (stripe set) или чередующийся набор с контролем четности (stripe set with parity), то перед подготовкой к инсталляции или обновлению следует выполнить подготовку отказоустойчивых томов к переносу в Windows Server 2003. Причина этого заключается в том, что с появлением Windows 2000 была введена технология динамических дисков (dynamic disk technology), расширяющая эти функциональные возможности. Windows Server 2003 больше не поддерживает отказоустойчивые тома, созданные в Windows NT 4.0 (в то время как Windows 2000 предоставляет их ограниченную поддержку). По этой причине, если вы хотите выполнить миграцию таких томов при установке Windows Server 2003, то необходимо проделать следующее:

  • если на компьютере Windows NT 4.0 использовался зеркальный набор дисков, то в первую очередь необходимо выполнить полное резервное копирование всех данных, находящихся на таком томе (поскольку после разбиения зеркального набора данные будут стерты), а затем разбить зеркальный набор;
  • если на компьютере Windows NT 4.0 использовался набор томов, чередующийся набор или чередующийся набор с контролем четности, то необходимо выполнить резервное копирование всех данных, а затем удалить набор томов;
  • после успешной установки Windows Server 2003 вы можете преобразовать диск в динамический диск (dynamic disk), создать отказоустойчивую конфигурацию в соответствии с вашими требованиями, а затем восстановить данные с предварительно созданной резервной копии.

Примечание

Описанные выше методы официально рекомендованы Microsoft для переноса отказоустойчивых дисковых конфигураций в Windows Server 2003. Однако, если вы не хотите поступать таким образом и хотите получать доступ к таким томам после установки Windows Server 2003, то не удаляйте отказоустойчивые конфигурации. Вместо этого, после установки Windows Server 2003, воспользуйтесь утилитой Ftonline.exe, которую можно найти на дистрибутивном компакт-диске Windows Server 2003. Эта утилита командной строки позволяет смонтировать отказоустойчивые дисковые конфигурации, созданные в Windows NT 4.0. Правда, диски, смонтированные таким образом, будут защищены от записи (readonly) и такое монтирование не будет постоянным (т. е., после перезагрузки они не будут повторно смонтированы). Тем не менее, это позволит вам скопировать данные, а затем воссоздать отказоустойчивую конфигурацию и восстановить данные с использованием резервной копии.

8. Убедитесь в том, что можете получить доступ к дистрибутивным файлам Windows Server 2003 (особенно при установке через сеть).
В процессе интерактивной установки Windows Server 2003 программа Setup предложит вам выбрать раздел жесткого диска, на который будет установлена операционная система, а также файловую систему, которая будет на этом разделе использоваться. Весьма желательно, чтобы вы сразу же уделили этим вопросам должное внимание; поэтому в нескольких последующих разделах приводятся краткие рекомендации по конфигурированию разделов на жестком диске и выбору файловой системы. Кроме того, эти разделы содержат необходимый минимум технической информации, которая требуется для принятия правильного решения.

Конфигурирование разделов на жестком диске

В процессе установки новой копии Windows Server 2003 программа Setup предлагает пользователю выбрать раздел жесткого диска для установки системы.

Примечание

Программа Setup предоставляет опции по управлению разделами на жестком диске только в том случае, когда установка новой копии Windows Server 2003 производится на базовый диск (basic disk). Дисковые тома и файловые системы будут подробно рассмотрены в главе 4 "Дисковые тома и файловые системы", здесь же отметим, что большинство дисков являются базовыми, и эта конфигурация была общепринятой до появления динамических дисков в Windows 2000. Все динамические диски тоже изначально были базовыми, но затем были преобразованы в динамические с помощью систем Windows 2000, Windows XP или одного из продуктов из семейства Windows Server 2003. При установке Windows Server 2003 на динамические диски программа Setup не предоставляет возможностей по созданию разделов.

Конфигурирование разделов на базовых дисках
Создавать разделы на жестком диске можно следующими способами.

  • Если на компьютере уже установлена система Windows NT/2000/XP, то разделы на жестком диске можно создать с помощью административных средств самой операционной системы. В Windows NT 4.0 это — утилита Disk Administrator (для ее вызова следует в меню Start выбрать команду Programs | Administrative Tools (Common) | Disk Administrator). B Windows 2000/XP та же задача выполняется с помощью оснастки Disk Management (сначала запустите оснастку Computer Management — Start | Control Panel | Administrative Tools, в ее окне выберите узел Storage | Disk Management).
  • Если на компьютере нет ни одной установленной операционной системы, но в вашем распоряжении имеется загрузочная дискета MS-DOS, на которой содержится программа fdisk, то разделы на жестком диске можно создать с помощью этой программы.
  • Наконец, программа Setup также позволит вам создать новый раздел для Windows Server 2003 (при условии, что на диске имеется свободное пространство).

Когда на жестком диске создается первый, основной, раздел, программа, используемая для этой цели, создает главную загрузочную запись (Master Boot Record, MBR) и записывает ее в первый сектор на жестком диске (цилиндр 0, головка 0, сектор 1). Главная загрузочная запись содержит таблицу разделов (partition table), в которой хранится информация обо всех разделах, определенных на диске. При внесении изменений в разделы, существующие на жестком диске (например, при их создании, удалении или форматировании), программа, используемая для этой цели, вносит изменения в таблицу разделов.
Главная загрузочная запись содержит таблицу разделов диска и небольшой объем исполняемого кода. На компьютерах на базе процессоров Intel исполняемый код читает таблицу разделов и определяет системный раздел, находит его начало и загружает в память загрузочный сектор раздела (Partition Boot Sector). Главная загрузочная запись обычно не зависит от операционной системы (например, на платформах Intel она используется для запуска любой из операционных систем). Что касается загрузочного сектора раздела, то он зависит как от операционной системы, так и от применяемой на данном томе файловой системы.

Примечание

Существует большое количество вирусов, поражающих главную загрузочную запись, которая является одной из самых важных структур данных, имеющихся на диске. Поскольку код, содержащийся в главной загрузочной записи, исполняется до запуска какой бы то ни было операционной системы, в случае повреждения главной загрузочной записи загрузка компьютера с жесткого диска становится невозможной. Восстановить главную загрузочную запись можно с помощью консоли восстановления Recovery Console (см. главу 23 "Восстановление системы").

Планированию разделов на жестком диске следует уделить особо пристальное внимание, если вашей целью является создание системы с двойной загрузкой, где кроме Windows Server 2003 требуется загружать еще одну или несколько операционных систем. Компания Microsoft настоятельно рекомендует устанавливать системы в отдельный раздел жесткого диска. Установка Windows Server 2003 в один раздел с другой операционной системой принципиально возможна, но делать это не рекомендуется.
Раздел жесткого диска, на который выполняется установка файлов Windows Server 2003, должен иметь объем свободного пространства, достаточный для размещения всех файлов. В системных требованиях, приведенных ранее в этой главе, указан объем дискового пространства, которым необходимо располагать для того, чтобы установка операционной системы Windows Server 2003 прошла успешно (от 1,25 до 2 Гбайт). Однако, как уже отмечалось, при планировании разделов на жестком диске рекомендуется предусмотреть дисковое пространство, не просто достаточное для установки ОС, но и существенно превышающее указанные минимальные требования. Распространенной практикой является создание разделов объемом от 4 до 10 Гбайт (для масштабных инсталляций рекомендуется даже больший объем), что позволяет выделять достаточно пространства для установки дополнительных программных компонентов, хранения информации Active Directory, файла подкачки, системных журналов, а также предоставляет некоторый резерв для последующей установки пакетов Service Pack.

Примечание

Программы Winnt.exe и Wjnnt32.exe представляют собой исполняемые инсталляционные файлы. Как и программа Microsoft Windows Upgrade Advisor, они выведут сообщение об ошибке, если ни на одном диске не окажется достаточного объема свободного пространства или если диск, указанный при помощи ключей /t или /tempdrive, не имеет достаточного объема свободного пространства. В случае, если происходит такая ошибка, необходимо освободить на одном из дисков пространство, достаточное для проведения инсталляции, и повторно запустить программы Winnt или Winnt32.

Системным разделом (system partition) называется раздел жесткого диска, на котором располагаются файлы, необходимые для загрузки и инициализации Windows (включая Windows NT 4.0, Windows 2000, Windows XP и продукты из семейства Windows Server 2003). В качестве системного раздела может использоваться только основной (primary) раздел.

Примечание

Некоторые программы, в том числе программа fdisk из состава MS-DOS, программа Windows NT 4.0 Disk Administrator и оснастка Disk Management используют для обозначения системного раздела термин "активный раздел" (active partition). В то же время повсеместно в литературе (в том числе и в сопроводительной документации к программному продукту Resource Kit) основной раздел (или том), который содержит зависящие от аппаратной платформы файлы, необходимые для загрузки операционной системы, называется "системным разделом" (system partition) (или томом, volume). Разумеется, при этом очень часто возникает путаница. Какой из этих терминов будете применять вы, является вопросом личных предпочтений — лишь бы вы хорошо понимали смысл этого термина, а именно: системным (активным) разделом является тот раздел, для которого установлено поле Boot Indicator в таблице разделов. Фактически любая программа, выполняющая установку системного раздела с помощью команд типа Mark Partition Active, просто устанавливает поле Boot Indicator для основного раздела, помечаемого активным, и сбрасывает это поле для раздела, помеченного как активный ранее. То же самое делает и программа Setup — она помечает активным раздел, в который копируются загрузчик и другие файлы, необходимые для запуска операционной системы.

Последовательность событий, происходящих при запуске, будет подробно рассматриваться в главе 3 "Загрузка операционной системы". Загрузочный раздел (boot partition) — это раздел, который содержит системные файлы Windows Server 2003 (имеется в виду папка %SystemRoot%), и этот раздел может как совпадать, так и не совпадать с системным.
Программа Setup и динамические диски
Как уже говорилось ранее в этой главе, программа Setup работает с динамическими дисками несколько иначе, чем с базовыми. Основные факты, которые следует иметь в виду, выполняя установку Windows Server 2003 на компьютер, где имеются динамические диски, вкратце перечислены ниже.

  • Каждый динамический диск может содержать только одну операционную систему (Windows 2000, Windows XP или одна из операционных систем семейства Windows Server 2003). Ни одна другая операционная система не может стартовать с динамического диска. На этот фактор следует обратить особое внимание, если вы планируете организовать мультизагрузочную систему.
  • Установить новую копию Windows Server 2003 на динамический том можно только в том случае, если этот динамический том был получен путем преобразования базового диска, содержащего загрузочный или системный разделы. Это ограничение связано с тем, что программа Windows Server 2003 Setup распознает только те динамические тома, которые указаны в таблице разделов.
  • Следующее ограничение вытекает непосредственно из предыдущего — если динамический диск был получен с помощью средств Windows 2000 или Windows XP путем преобразования базового диска, не содержащего ни одного раздела, то на такой том установить Windows Server 2003 нельзя. Если вы хотите выполнить установку ОС на такой диск, то перед запуском программы Setup необходимо выполнить обратное преобразование этого диска к базовому. Для этой цели можно воспользоваться возможностями Windows 2000/XP. Помимо этого, программа Setup также предоставляет минимально необходимый набор опций по конфигурированию разделов. Чтобы воспользоваться возможностями программы Setup, дождитесь, когда на экране появится список доступных разделов, найдите в списке динамический том и удалите его. После удаления динамического тома диск станет базовым, и программа Setup даст вам возможность создавать новые разделы на этом диске.

Выбор файловой системы

Данный раздел содержит некоторые общие рекомендации относительно выбора файловых систем: FAT, FAT32 или NTFS. Подробно свойства этих систем рассматриваются в главе 4 "Дисковые тома и файловые системы" (рекомендуется предварительно ознакомиться с этой главой, если вы не уверены в своем выборе).
На компьютере, работающем под управлением Windows 2000, Windows XP или одной из операционных систем семейства Windows Server 2003, можно применять любую из упомянутых выше файловых систем. Кроме того, разные файловые системы можно использовать одновременно на разных дисках или в разных разделах. На выбор файловой системы оказывают влияние следующие факторы:

  • цель, для которой предполагается использовать компьютер (роль компьютера);
  • аппаратная платформа;
  • количество жестких дисков и их объем;
  • требования к безопасности.

NTFS по сравнению с FAT предоставляет целый ряд преимуществ. Однако, если вашей целью является создание системы с двойной загрузкой, необходимо помнить о том, что доступ к файлам, расположенным в разделах NTFS, можно будет получить только из Windows Server 2003, Windows 2000 или Windows XP; для доступа из других систем необходимо использовать специальные драйверы. Поэтому, если вам требуется обеспечить двойную загрузку компьютера с использованием таких операционных систем, как Windows 9x/Millennium Edition (ME), то и системный раздел, и раздел, на котором установлена альтернативная операционная система, должны использовать файловую систему FAT (или FAT32) (иначе эта операционная система просто не сможет загрузиться).
В целом, рекомендации по выбору файловой системы для раздела, на который будет выполняться установка Windows Server 2003, сводятся к следующему.

  • Файловую систему FAT следует выбирать, если объем используемого раздела жесткого диска не превышает 2 Гбайт, и при этом требуется обеспечить возможности доступа к файлам на этом разделе при загрузке компьютера под управлением таких операционных систем, как MS-DOS, Windows 3.x, Windows 95 и OS/2.
  • Систему FAT следует выбирать и в том случае, когда необходимо обеспечить двойную загрузку компьютера с использованием таких операционных систем, как Windows 95 версии OSR2, Windows 98 или Windows ME, и при этом размер диска превышает 2 Гбайт. В этом случае диск будет отформатирован под файловую систему FAT32.
  • Для семейства Windows Server 2003 файловая система NTFS является предпочтительной, и ее рекомендуется использовать на всех разделах для всех серверов. Это связано с тем, что NTFS позволяет в полной мере воспользоваться преимуществами, предоставляемыми системой безопасности Windows 2000/XP/Windows Server 2003, в то время как FAT и FAT32 лишены многих функциональных возможностей по обеспечению безопасности. При выборе файловой системы NTFS программа Setup отформатирует жесткий диск с использованием NTFS 5.0. Контроллеры домена могут устанавливаться только в разделы NTFS.

Примечание

Выполнить преобразование файловой системы из формата FAT в формат NTFS можно в любое время после загрузки с помощью утилиты conveitexe. Однако, если требуется произвести обратное преобразование (раздел NTFS преобразовать в раздел FAT), то необходимо выполнить резервное копирование всех файлов, отформатировать раздел заново (в результате чего все файлы будут уничтожены) и восстановить нужные файлы из резервной копии.

Интерактивная установка Windows Server 2003

Итак, все подготовительные операции выполнены, и вы готовы приступить к установке Windows Server 2003. Если вы устанавливаете ОС на совместимое оборудование и выполнили все рекомендации, приведенные ранее в этой главе, то, как правило, процесс инсталляции протекает быстро и гладко. Сложности, с которыми можно столкнуться в процессе установки, чаще всего являются результатом недостаточного планирования и отсутствия всякой подготовки. Поэтому, если вы не собрали минимального объема информации, необходимого для успешной установки, вернитесь к предыдущим разделам этой главы, прочтите их и выполните все нужные подготовительные операции.

Запуск программы установки

В этом разделе будут описаны шаги, которые требуется предпринять для запуска программы Windows Server 2003 Setup при использовании различных способов установки.

Установка с загрузочного компакт-диска

Если в вашем распоряжении имеется дистрибутивный компакт-диск Windows Server 2003, и компьютер оснащен устройством CD-ROM или DVD-ROM, с которого возможна загрузка операционной системы, то установку Windows Server 2003 можно выполнить с использованием одного этого компакт-диска, не прибегая к копированию дистрибутивных файлов на жесткий диск. Если загрузка с компакт-диска невозможна, то следует создать загрузочную дискету (см. следующий раздел).
Как же определить, является ли устройство, установленное на компьютере, загрузочным? Простейшим методом является попытка загрузить компьютер с компакт-диска. Если при этом программа Windows Server 2003 Setup запустится автоматически, то устройство CD-ROM является загрузочным. В этом случае процедуру установки можно продолжать, следуя инструкциям, появляющимся на экране.

Установка с использованием загрузочной дискеты

Если загрузка компьютера с компакт-диска невозможна, и при этом вам требуется установить Windows Server 2003 в качестве первой операционной системы на пустой жесткий диск, то поступить можно следующим образом:
1. Подготовьте загрузочную дискету Windows 98 или Windows ME. В дополнение к файлам, автоматически записываемым на эту дискету в процессе ее изготовления, скопируйте на нее файлы SmartDrive.exe (необходим для ускорения процесса установки) и Fdisk.exe.
2. Загрузите компьютер с этой дискеты, не активизируя поддержку CD-ROM. При появлении командной строки воспользуйтесь командой fdisk и создайте один или несколько разделов на жестком диске. Активизируйте раздел, который будет использоваться для загрузки компьютера.
3. Перезагрузите компьютер с загрузочной дискеты Windows 98/ME, на этот раз — с поддержкой CD-ROM. Отформатируйте из командной строки по крайней мере один из разделов (обычно — диск С:).
4. После завершения форматирования дайте команду SYS C: \.
5. Запустите из командной строки утилиту SmartDrive, затем перейдите на компакт-диск в каталог \I386 и запустите из командной строки утилиту Winnt.exe. Процедура установки Windows Server 2003 начнется.

Установка с помощью имеющейся системы

Если же на компьютере уже имеется одна из операционных систем Microsoft (или при загрузке с дискеты), то для запуска программы установки можно воспользоваться этой системой. Загрузите компьютер под управлением имеющейся ОС и запустите утилиту Winnt.exe или Winnt32.exe. Используемый тип утилиты (Winnt или Winnt32) определяется той операционной системой, под управлением которой работает компьютер на момент запуска программы установки Windows Server 2003.

  • Winnt.exe представляет собой 16-разрядную версию программы Setup, которая может использоваться для запуска инсталляции Windows Server 2003 с компакт-диска или через сеть, если компьютер работает под управлением MS-DOS. Эта утилита не может использоваться, если компьютер работает под управлением Windows 9x или любой из версий Windows NT/2000/XP.
  • Winnt32.exe — это 32-разрядная версия программы установки, которая может использоваться для инсталляции или обновления версии. Данная утилита может быть запущена под управлением Windows 9x или любой из версий Windows NT/2000/XP. Явное преимущество этой программы по сравнению с 16-разрядной версией заключается в том, что она работает быстрее, имеет интуитивно понятный графический интерфейс, и, помимо этого, во время ее работы можно продолжать работу с другими программами.

Описание параметров команд Winnt и Winnt32 легко получить, запустив их из командной строки со знаком вопроса, например, winnt /?. Зная синтаксис команд, вы с легкостью сможете запустить программу инсталляции Windows Server 2003. Дистрибутивные файлы при этом могут находиться на компакт-диске, их можно скопировать на локальный жесткий диск или в общий сетевой каталог.

Начало процесса установки системы

Каким бы образом вы ни запустили программу установки, процедура инсталляции может быть разбита на определенные этапы. Ниже перечислены и кратко описаны основные действия, выполняемые в процессе установки Windows Server 2003.

Сбор информации, необходимой для установки

Если установка производится в среде имеющейся операционной системы (запущена программа Winnt32.exe), то на данном этапе пользователь имеет возможность указать следующую информацию:
1. Указать тип инсталляции, выбрав между обновлением существующей версии или новой инсталляцией (рис. 1.7).

Рис. 1.7. При запуске программы Setup в интерактивном режиме пользователю в первую очередь предлагается указать тип инсталляции

Примечание

Чтобы запустить программу Setup в режиме обновления существующей версии ОС до Windows Server 2003, необходимо быть членом группы Administrators на локальном компьютере. Кроме того, если сервер является членом домена, эта операция будет также доступна членам группы Domain Admins. В Windows 2000/ХР, если вы зарегистрированы в системе от имени пользователя, не принадлежащего к этим группам, то для запуска программы Setup вам нет необходимости выходить из системы и повторно регистрироваться от имени пользователя с административными правами. Вместо этого вы можете воспользоваться командой Run as... и запустить программу Windows Server 2003 Setup с использованием контекста безопасности пользователя Administrator либо члена групп Administrators или Domain Admins. С точки зрения безопасности, такой подход является наилучшим и официально рекомендованным.

2. Прочесть и принять лицензионное соглашение.
3. Ввести ключ продукта (product key).
4. Указать дополнительные опции установки — например, такие, как параметры языковой настройки (рис. 1.8). Чтобы указать программе Setup на необходимость предоставить вам возможность выбора диска, на который будет устанавливаться система, инсталляционной папки и других опций установки, нажмите кнопку Advanced Options. Откроется окно Advanced Options (рис. 1.9). В частности, если дистрибутивные файлы могут стать недоступными в процессе установки, рекомендуется; установить в этом окне флажок Copy all installation files from the Setup CD.
Далее, в случае обновления существующей системы, программа Setup предложит вам указать, следует ли преобразовать к формату файловой системы NTFS разделы жесткого диска, на который будет выполняться установка Windows Server 2003 (рис. 1.10).

Рис. 1.8. Программа Setup позволяет указать дополнительные опции установки

Рис. 1.9. Диалоговое окно Advanced Options

Рис. 1.10. Программа Setup предложит выбрать, следует ли преобразовать существующий раздел, на который будет устанавливаться Windows Server 2003, в формат NTFS

Примечание

Опцию NTFS следует выбирать, если требуется в полной мере воспользоваться преимуществами, предоставляемыми системой безопасности Windows Server 2003 и файловой системы NTFS. Однако, если вашей целью является построение системы с двойной загрузкой, где в качестве альтернативной операционной системы используется, например, Windows 98 или Windows ME, то не следует преобразовывать системный раздел к формату NTFS, т. к. это сделает невозможной загрузку Windows 98/ME. Кроме того, следует учесть, что разделы NTFS будут недоступны при работе под управлением Windows 98/ME. Выполнить преобразование файловой системы из формата FAT в формат NTFS можно в любое время после загрузки с помощью утилиты convert. Однако, если требуется выполнить обратное преобразование (раздел NTFS преобразовать в раздел FAT), то необходимо выполнить резервное копирование всех файлов, отформатировать раздел заново (в результате чего все файлы будут уничтожены) и восстановить нужные файлы по резервной копии.

Динамическое обновление дистрибутивных файлов (Dynamic Update)

Механизм динамических обновлений Dynamic Update представляет собой новую функциональную возможность, которая была впервые введена с появлением Windows XP, а также присутствует и в Windows Server 2003. При ее использовании программа Setup устанавливает соединение с веб-сайтом Microsoft Windows Update и загружает с него последние обновления дистрибутивных файлов, не вошедшие в состав имеющейся в вашем распоряжении дистрибутивной копии. Для использования функции Dynamic Update необходимо соблюдение следующих условий:

  • наличие соединения с Интернетом;
  • присутствие в системе корректных версий файлов wininet.dll и urlmon.dll. Если эти файлы отсутствуют, то программа Setup пропустит динамическое обновление.

Программа Setup предложит вам на выбор две возможности — воспользоваться функцией Dynamic Update отказаться от нее и продолжить процесс установки (см. рис. 1.2).
Функция динамического обновления особенно полезна, если в вашей системе имеются аппаратные устройства, драйверы которых отсутствуют на дистрибутивном компакт-диске, но необходимы для успешного завершения установки. Каждый раз, когда в один из установочных файлов вносится важное изменение, Microsoft публикует эти обновления на сайте Windows Update. Функциональные возможности Dynamic Update были тщательно протестированы на надежность и удобство использования. Следует отметить, что при использовании этой функции в ходе инсталляции программа Setup производит загрузку только тех файлов, которые содержат действительно важные обновления и могут оказать серьезное влияние на ход процесса установки. Поскольку функция Dynamic Update загружает только те файлы, которые необходимы для установки Windows Server 2003 на конкретном компьютере, она производит распознавание установленных аппаратных средств (сохранения собранной информации не производится). Единственной целью этой процедуры является определение списка файлов, которые необходимо загрузить с сайта Windows Update.

Примечание

Операция Dynamic Update может быть выполнена в ходе проверки программной и аппаратной совместимости во время подготовки к инсталляции, которая была описана ранее в данной главе.

Подготовка инсталляции

На данном этапе программа Setup выполняет следующее:
1. Копирует дистрибутивные файлы на жесткий диск.
2. Предоставляет опции, позволяющие выполнить автоматическое восстановление поврежденной системы (Automated System Recovery, ASR) и восстановление системы с помощью Recovery Console. Подробную информацию об использовании этих опций можно найти в главе 23 "Восстановление системы".
3. Позволяет указать раздел для установки Windows Server 2003 и отформатировать его при необходимости.
4. Перезагружает компьютер.

Примечание

Удалить или переформатировать главный раздел можно только в том случае, если программа Setup запущена с CD-ROM.

Текстовая фаза процедуры установки

Ниже кратко описаны шаги по непосредственной установке системы, выполняющиеся в текстовом режиме:
1. Чтобы начать установку Windows Server 2003, программа Setup в первую очередь загружает саму операционную систему с дистрибутивного компакт-диска. Windows Server 2003 принимает управление и выполняет распознавание установленных на компьютере аппаратных средств. О том, что система начала загружаться с компакт-диска, свидетельствует появление на экране следующего сообщения: Setup is inspecting your computer's hardware configuration ...
2. Последующие экраны, выводимые программой Setup, напоминают работу в текстовом режиме MS-DOS. Однако пусть это внешнее сходство не вводит вас в заблуждение, поскольку уже эта часть процесса установки выполняется под управлением ядра Windows Server 2003, хотя и в текстовом режиме. Что касается пользовательского интерфейса данной программы, то он чрезвычайно прост: чтобы выделить нужную опцию из списка предлагаемых, пользуйтесь клавишами перемещения курсора; для выбора необходимой опции используется клавиша <Enter>, а для завершения работы программы Setup без установки Windows Server 2003 — клавиша <F3>.

Примечание

Уже на этих ранних этапах текстовой фазы инсталляции программа Windows Server 2003 Setup может отображать сообщения об ошибках. В частности, такие ситуации возникают при использовании нестандартного оборудования. Например, если на вашем компьютере установлен нестандартный SCSI- или RAID-контроллер, то программа Setup может отобразить сообщение об ошибке (по disk devices can be found). В этом случае вам следует убедиться в том, что установленный контроллер является совместимым с продуктами из семейства Windows Server 2003. Если это так, то необходимо получить драйвер, разработанный фирмой-производителем, и скопировать его на дискету перед запуском программы Setup. Сделав это, запустите программу Setup и дождитесь, когда в нижней части экрана (рис. 1.11) появится строка:
Press F6 to install a third-party SCSI or RAID driver... Нажмите клавишу <F6> и, когда программа Setup предложит вам вставить в дисковод дискету с драйвером, выполните эту операцию и далее следуйте инструкциям, появляющимся на экране.
Похожим образом следует действовать и в том случае, когда производитель вашего компьютера предоставляет нестандартную версию уровня аппаратных абстракций (Hardware Abstraction Layer, HAL). Как правило, производитель поставляет такие файлы на дискетах или других носителях вместе с компьютером. На ранних этапах установки дождитесь, когда в нижней части экрана появится строка с предложением нажать клавишу <F6> для установки нестандартного драйвера SCSI или RAID. Однако, в данном случае, для установки нестандартной версии HAL следует нажать клавишу <F5>. После этого программа Setup отобразит экран, показанный на рис. 1.12. Выберите из списка нужную опцию, вставьте дискету с драйвером, когда будет предложено, и далее следуйте инструкциям, выводимым программой Setup.

Рис. 1.11. Для установки нестандартного драйвера SCSI или RAID нажмите клавишу <F6> и далее следуйте инструкциям, появляющимся на экране

Рис. 1.12. Установка нестандартной версии HAL

3.Программа Setup отображает на экране лицензионное соглашение (License Agreement), которое пользователь должен прочесть. В случае несогласия с условиями лицензионного соглашения пользователь может нажать клавишу <Esc>, и программа Setup завершит работу без установки Windows Server 2003.
4. Далее программа Setup выполняет поиск уже существующих на компьютере инсталляций Windows Server 2003 (рис. 1.13). Если такие версии будут обнаружены, программа Setup предложит пользователю следующие варианты действий: восстановить существующую инсталляцию (если она повреждена), выполнить новую инсталляцию или завершить работу без установки Windows Server 2003. Сразу же заметим, что варианты использования программы Setup для восстановления поврежденной системы подробно рассмотрены в главе 23 "Восстановление системы".

Рис. 1.13. Программа Setup предлагает пользователю восстановить существующую инсталляцию (если она повреждена), выполнить новую инсталляцию или завершить работу без установки Windows Server 2003

5. Если установленные версии Windows Server 2003 на компьютере не обнаружены или пользователь выбрал опцию новой инсталляции, то программа Setup отобразит список разделов, уже имеющихся на жестком диске (рис. 1.14). Пользователю будет предложено выбрать раздел для инсталляции из числа уже существующих, удалить один из имеющихся разделов, чтобы создать новые разделы на основе освободившегося пространства, или (при наличии достаточного объема свободного пространства, не принадлежащего ни одному разделу) создать новый раздел. Если выбран один из существующих разделов, программа установки предложит на выбор пользователя следующие варианты:

  • отформатировать раздел с использованием файловой системы FAT;
  • отформатировать раздел с использованием файловой системы NTFS;
  • преобразовать существующую файловую систему к формату NTFS;
  • оставить существующую файловую систему без изменений.

Рис. 1.14. Программа Setup предоставляет необходимый минимум опций по оперированию с разделами на жестком диске

6. Вновь создаваемые разделы подлежат обязательному форматированию, и в этом случае пользователь имеет возможность выбора файловой системы. Если выбрана опция преобразования раздела к формату NTFS, то фактическое преобразование будет выполнено при следующей перезагрузке системы. Необходимо отметить, что конфигурированию разделов на жестком диске следует уделить внимание заранее.
7. Далее программа Setup выполняет проверку имеющихся в системе дисков, что, как правило, не занимает много времени. По завершении проверки дисков программа Setup копирует на жесткий диск остальные файлы, которые потребуются для завершающей, графической фазы инсталляции. Этот этап достаточно продолжителен во времени. Копирование файлов производится выборочно, в соответствии с данными, полученными при распознавании аппаратных средств компьютера. Завершив копирование, Setup инициализирует конфигурацию и перезагружает компьютер.
После перезагрузки начнется графическая фаза программы установки, которая подробнее будет рассмотрена в следующем разделе.

Графическая фаза процедуры установки

После перезагрузки компьютера начинается графическая фаза инсталляции (GUI phase). Обратите внимание, что на данном этапе вы уже имеете установленную, но еще не сконфигурированную копию Windows Server 2003. После завершения этой фазы на компьютере будет установлена полнофункциональная версия операционной системы. Компьютер загружается под управлением Windows Server 2003 (последовательность загрузки и все происходящие при этом процессы подробно рассмотрены в главе 3 "Загрузка операционной системы"), и начинается работа программы с графическим интерфейсом программы-мастера Windows Server 2003 Setup Wizard.
Работа мастера Setup Wizard продолжается довольно долго. Пользователю предлагается подождать, пока программа Setup выполняет конфигурирование устройств и системы (рис. 1.15).

Рис. 1.15. Графическая фаза инсталляции Windows Server 2003 представляет собой достаточно длительный процесс

На данном этапе программа Setup выполняет следующие задачи:
1. Устанавливает и конфигурирует устройства. Следует обратить внимание читателя на тот факт, что благодаря улучшенной поддержке стандарта Plug and Play процедура инсталляции Windows Server 2003 существенно упростилась по сравнению с предыдущими версиями. Установка и конфигурирование устройств происходят в автоматическом режиме, и Windows Server 2003 Setup Wizard предпринимает попытки распознать все аппаратные компоненты, имеющиеся на компьютере, включая СОМ-порты, последовательные порты, джойстик, клавиатуру, мышь и т. д.
2. Устанавливает опции языка и позволяет задать раскладку клавиатуры (рис. 1.16).

Рис. 1.16. Программа Setup позволяет выбрать опции языковой поддержки и задать раскладку клавиатуры

3. Предлагает пользователю ввести свое имя и название организации.
4. Требует ввести серийный номер продукта.
5. Позволяет выбрать режим лицензирования (рис. 1.17). Продукты из семейства Windows Server 2003 поддерживают два режима лицензирования — Per server (на сервер), при котором отдельная лиценция клиентского доступа (Client Access License) требуется для каждого конкурирующего соединения с сервером, и Per seat (на рабочее место), при котором каждый компьютер, с которого осуществляется пользовательский доступ к серверу, требует отдельной лицензии. Если вы не уверены в том, какой режим вам требуется, выберите опцию Per server, поскольку после установки вы при необходимости сможете один раз изменить режим лицензирования.

Рис. 1.17. Выбор режима лицензирования

6. Предлагает указать имя компьютера. Максимальная длина имени компьютера составляет 63 байта. На практике, однако, рекомендуется указывать имена, длина которых не превышает 15 символов, и использовать только цифры от 0 до 9, заглавные и строчные буквы латинского алфавита от А до Z, а также дефис (-). Кроме того, имейте в виду, что имена компьютеров не могут состоять только из цифр. Несоблюдение этих рекомендаций может привести к проблемам совместимости программного обеспечения в вашей сети. Так, например, если в сети имеются компьютеры Windows NT, то они будут распознавать только первые 15 символов имени компьютера. Использование в именах компьютеров символов Unicode принципиально допускается (если в сети используется DNS), но при этом возможны проблемы взаимодействия с операционными системами прикладным программным обеспечением третьих фирм.

Примечание

Если компьютер является членом домена, то его имя должно быть уникальным в пределах этого домена. Кроме того, если вы создаете мультизагрузочную систему, и компьютер является членом домена, то следует использовать уникальные имена компьютера для каждой из инсталлированных операционных систем.

7. Предлагает задать пароль для встроенной учетной записи администратора (Administrator) и подтвердить введенный пароль. Эта учетная запись создается автоматически. По умолчанию пользователь Administrator наделяется всеми правами и полномочиями, необходимыми для управле-ния конфигурацией локальной системы.

Примечание

Пароль может представлять собой строку длиной до 127 символов. Для обеспечения безопасности рекомендуется задавать пароль длиной не менее 8 символов, используя цифры, строчные и заглавные буквы, а также нестандартные символы (например, $, ?, *, & и т. д.). Никогда не оставляйте учетную запись администратора без пароля и не используйте паролей, которые легко могут быть подобраны.

8. Предлагает задать дату, время и часовой пояс.
9. Производит установку сетевых компонентов (рис. 1.18). На этом шаге вам предлагается либо согласиться с установкой стандартной сетевой конфигурации, либо внести необходимые изменения в соответствии с реальными параметрами вашей сети. Стандартная конфигурация включает в свой состав следующие компоненты: сетевой клиент Microsoft (Client for Microsoft Networks), совместный доступ к файлам и принтерам в сетях Microsoft (File and Print Sharing for Microsoft Networks), а также протокол TCP/IP со стандартными настройками (автоматическое назначение IP-адреса). Если вы не знаете точную конфигурацию вашей сети, можно согласиться с параметрами, предложенными по умолчанию, поскольку сконфигурировать сеть вы сможете в любое время после завершения установки.
10. Предлагает сделать выбор, будет ли компьютер членом рабочей группы или домена. Если вы не уверены в своем выборе, то следует согласиться с опциями, предложенными по умолчанию (рис. 1.19), поскольку присоединиться к другой рабочей группе или домену можно в любое время после завершения установки. Компьютер обязательно должен быть членом некоторой группы, в противном случае программа установки не сможет продолжить работу! Для присоединения к рабочей группе не требуется никаких специальных прав доступа, поэтому вы можете ввести имя новой рабочей группы, присоединиться к одной из существующих рабочих групп или согласиться с именем группы, предложенным программой Setup по умолчанию. В случае подключения к домену необходимо предварительно обратиться к администратору сети с просьбой создать для вашего компьютера новую учетную запись в составе домена или переустановить существующую. В отличие от подключения к рабочей группе, подключение к домену требует, чтобы сетевой администратор предоставил вам соответствующее право. Для успешного подключения к домену в процессе установки необходимо, чтобы контроллер домена мог идентифицировать ваш компьютер по его учетной записи, которая должна быть создана до начала процедуры установки.

Рис. 1.18. Настройка конфигурации сети

Наконец, после завершения всех операций, перечисленных выше, программа Setup завершает конфигурирование системы и копирование файлов, создает элементы меню Start и выполняет регистрацию компонентов.
На данном этапе программа Setup выполняет следующее:
1. Сохраняет конфигурацию.
2. Удаляет временные файлы, использовавшиеся во время установки.
3. Перезагружает компьютер.

Рис. 1.19. Выбор между членством в рабочей группе или домене

Постинсталляционные задачи

Первая регистрация в системе

Сразу же после завершения установки, при первом запуске Windows Server 2003, после того, как вы зарегистрируетесь в системе от имени пользователя Administrator, автоматически запускается программа Manage Your Server (рис. 1.20). Обратите внимание на то, что эту программу также можно запустить в любое время, выбрав команду Manage Your Server (Конфигурирование сервера) из меню Start | Administrative Tools (Пуск | Администрирование).

Примечание

Если вы впервые установили операционную систему из семейства Windows Server 2003, но имеете предварительный опыт работы с серверными операционными системами Windows NT/2000, то простейшим способом войти в курс дела является запуск справочной системы (для этой цели выберите опцию Help and Support в первом окне мастера Manage Your Server и просмотрите тему справки, озаглавленную "New ways to do familiar tasks"). Если вы всерьез озабочены безопасностью вашего сервера, то одной из первоочередных задач, которые необходимо выполнить сразу же после установки, является переименование встроенной учетной записи Administrator и задание для нее крипто-стойкого пароля, состоящего из строчных и заглавных букв, а также специальных симолов.

Рис. 1.20. Окно утилиты Manage Your Server

С помощью мастера Configue Your Server Wizard администратор может установить и сконфигурировать роли для вновь установленного сервера. Для выполнения данной задачи достаточно выбрать опцию Add or remove a role. После этого мастер предложит вам выполнить ряд подготовительных операций, а затем предоставит на выбор варианты конфигурации сервера (рис. 1.21). При выборе типичной конфигурации первого сервера (опция Typical configuration for a first server) мастер установит службу Active Directory, сервер DNS и сервер DHCP (при необходимости). Выбрав опцию Custom configuration, вы можете выполнить индивидуальную настройку вновь установленного сервера, добавляя новые роли (файл-сервер, сервер печати, веб-сервер) или удаляя роли, ставшие ненужными (рис. 1.22).
Список стандартных ролей, для выполнения которых можно сконфигурировать сервер, с краткими описаниями приведен в табл. 1.3.

Рис. 1.21. Опции конфигурации, предлагаемые мастером Configue Your Server Wizard

Рис. 1.22. Роли сервера, конфигурируемые с помощью мастера Configue Your Server Wizard

Таблица 1.3. Типичные роли сервера

Роль сервера | Краткое описание
File server (Файл-сервер) | Роль файл-сервера является достаточно традиционной, и, как правило, назначается серверу в том случае, когда вы планируете использовать дисковое пространство этого сервера для хранения совместно используемой информации, включая файлы и приложения. При назначении серверу этой роли вы можете указать, бу дет ли использоваться на данном сервере служба индексации (Indexing Service). Кроме того, при назначении этой роли производится установка оснастки управления файл-сервером (File Server Management) и запуск мастера создания общих папок (Share a Folder Wizard)
Print server (Сервер печати) | Серверы печати предназначены для управления пользовательским доступом к принтерам. После конфигурирования сервера для выполнения этой роли вам будут доступны следующие возможности: упрощенная процедура установки и конфигурирования большинства сетевых принтеров, управление принтерами с помощью Windows Management Instrumentation (WMI), доступ к принтерам и управление ими с помощью веб-интерфейса (при наличии установленных служб IIS), установка драйверов принтеров непосредственно с веб-сайта и т. д.
Application server (Сервер приложений) | В результате назначения серверу этой роли вы получите среду для разработки, построения, развертывания и управления веб-приложениями. Эту роль следует назначать серверу в том случае, если вы планируете создать защищенный и легко управляемый веб- или FTP-сайт. При конфигурировании сервера для выполнения этой роли производится установка Internet Information Services (IIS), ASP.NET и СОМ+. Примечание He следует конфигурировать для выполнения этой роли серверы, которые планируются как контроллеры домена, поскольку это вызовет проблемы с производительностью. Кроме того, добавление пользовательских учетных записей в группы, наделенные правом локальной регистрации, ослабит безопасность контроллера домена
Mail server (Почтовый сервер) | Сервер, сконфигурированный для выполнения этой роли, предоставляет пользователям полнофункциональный сервис по доставке и управлению почтой. Устанавливаемый компонент POPS Service реализует стандартный протокол РОРЗ и интегрируется с сервисом SMTP, обеспечивая извлечение и доставку электронной почты
Terminal server (Сервер службы терминалов) | Сервер службы терминалов предоставляет удаленным клиентам возможность доступа к приложениям Windows, работающим под управлением Windows Server 2003, Standard Edition, Windows Server 2003, Enterprise Edition или Windows Server 2003, Datacenter Edition
Remote access /VPN server (Сервер удаленного доступа или сервер VPN) | Серверы удаленного доступа или серверы VPN позволяют удаленным клиентам входить в сеть с использованием коммутируемой (dial-up) линии или защищенного подключения к виртуальной частной сети (Virtual Private Network). При конфигурировании сервера для выполнения этой роли осуществляется установка службы маршрутизации и удаленного доступа (Routing and Remote Access Service, RRAS), представляющая собой полнофункциональный программный маршрутизатор, обеспечивающий возможности межсетевого взаимодействия, трансляцию сетевых адресов (Network Address Translation, NAT) и возможности маршрутизации в локальных, глобальных и виртуальных частных сетях
Domain Controller (Active Directory) (Контроллер домена) | Контроллеры домена хранят информацию службы каталога, управляют коммуникациями между пользователями и доменами, процессами регистрации пользователей, аутентификацией и процессами поиска по каталогу. Как уже упоминалось ранее, в целях обеспечения надлежащей безопасности и во избежание проблем с производительностью не следует совмещать роли контроллера домена и веб-сервера
DNS server (Сервер DNS) | Служба DNS (Domain Name System) реализует стандарт Интернета по распознаванию доменных имен, использующихся для поиска и доступа к ресурсам, предоставляемым другими компьютерами (как в локальной сети, так и за ее пределами, например, в Интернете). Более подробно вопросы, связанные с конфигурированием DNS, будут рассмотрены в главе 13 "Серверы DNS, DHCP и WINS"
DHCP server (Сервер DHCP) | Динамический протокол конфигурирования хостов (Dynamic Host Configuration Protocol, DHCP) представляет собой стандарт, разработанный для упрощения управления адресами IP в пределах сети. Если вы планируете использовать в сети динамическое выделение IP-адресов, то в составе сети необходимо иметь хотя бы один сервер DHCP. Более подробно вопросы, связанные с конфигурированием сервера DHCP будут рассмотрены в главе 13
Streaming media server (Сервер мультимедийной информации) | Конфигурировать сервер для выполнения этой роли следует в том случае, если вы хотите обеспечить доступ к мультимедийной информации (контенту) в режиме реального времени через интранет или Интернет. В процессе конфигурирования мастер Configure Your Server Wizard установит службу Windows Media Services (см. главу 16 "Службы Интернета")
WINS server (Сервер WINS) | Служба WINS управляет распределенной базой данных, используемой для динамической регистрации и распознавания имен NetBIOS в локальной сети. Более подробная информация о конфигурировании сервера WINS будет приведена в главе 13

Восстановление файлов и настроек

Если вы сохраняли свои файлы и настройки старой системы с помощью мастера Files and Settings Transfer Wizard (Мастер переноса файлов и параметров) или средства миграции пользовательских настроек User Settings Migration Tool, USMT, обсуждавшихся ранее в этой главе, то после первой загрузки — самое время восстановить их. После этого можно начинать обычную работу с системой.

Примечание

Многие пользователи, решившие применить средства миграции файлов и настроек из прежней операционной системы, часто задают вопрос о том, почему некоторые индивидуальные настройки и предпочтения не входят в силу после восстановления сохраненной миграционной информации. В частности, это относится к программам, требующим пароля (после восстановления индивидуальных настроек такие программы могут не работать совсем) и параметрам настройки дисплея (экранное разрешение). Следует сразу же указать, что такие особенности не являются следствием ошибки, а наоборот, представляют собой внутренние свойства операционной системы, заложенные в нее разработчиками. Так, например, переноса паролей при миграции не происходит, поскольку это противоречит внутренней логике системы безопасности Windows Server 2003. Проще говоря, система таким образом защищает ваши пароли. Чтобы обойти это ограничение, следует повторно задать пароли после миграции приложений, которые требуют их ввода. Что касается разрешения экрана монитора, то оно также не переносится в новую систему, поскольку этот параметр является аппаратным (hardware-specific). Чтобы обойти это ограничение, разрешение экрана следует установить вручную после переноса пользовательских файлов и параметров.

Организация систем с двойной загрузкой

При установке Windows Server 2003 вы можете сконфигурировать компьютер как систему с двойной загрузкой, при которой вы можете иметь две установленные операционные системы одновременно и выбирать рабочую операционную систему при запуске компьютера. Однако, прежде чем принимать решение об организации такой конфигурации, следует оценить все ее плюсы и минусы, а также рассмотреть проблемы совместимости файловых систем. Стоит также отметить, что если в Windows NT установка параллельной копии операционной системы была одним из дополнительных средств обеспечения надежности и отказоустойчивости, то после выпуска Windows 2000, необходимость в такой мере отпала с появлением новых, более прогрессивных средств обеспечения отказоустойчивости системы.
Тем не менее, возможности двойной загрузки являются весьма ценными, и наверняка многие опытные пользователи захотят сконфигурировать себе систему даже не с двойной, а с множественной загрузкой. Основные факты, которые при этом следует учитывать, перечислены ниже.

  • Установка нескольких операционных систем на один раздел принципиально возможна, однако официально не поддерживается. Устанавливайте каждую операционную систему на отдельный раздел или логический диск, т. к. таким способом вы сможете гарантировать, что файлы, жизненно важные для одной из операционных систем, не будут переписаны другой операционной системой.
  • Динамические диски, введенные в Windows 2000, не поддерживаются более ранними операционными системами, и ни одна другая система не может быть запущена с такого диска. Кроме того, каждый динамический диск может содержать только по одной копии операционной системы (Windows 2000, Windows XP или Windows Server 2003), т. е. один динамический диск — одна система.
  • Более ранние ОС следует устанавливать первыми. Например, если требуется создать конфигурацию с двойной загрузкой, при которой компьютер может работать под управлением MS-DOS и Windows Server 2003, Standard Edition, необходимо сначала установить операционную систему MS-DOS. Причина этого заключается в том, что если устанавливать MS-DOS после Windows Server 2003, загрузочный сектор жесткого диска может быть переписан, что сделает невозможной загрузку Windows Server 2003. Кроме того, системы Windows NT 4.0 и Windows 2000 при установке записывают в системный раздел свою версию файла ntldr, которая не позволит загрузить более старшую систему.
  • Для восстановления загрузочного сектора Windows Server 2003 можно воспользоваться консолью восстановления (Recovery Console). Файл ntldr можно скопировать в системный раздел с дистрибутивного компакт-диска из папки \I386. Подробную информацию по данному вопросу можно найти в главе 23 "Восстановление системы". По аналогии с вышесказанным, если требуется создать систему с двойной загрузкой (например, Windows NT 4.0 и Windows XP), то следует сначала установить Windows NT 4.0 и только затем — Windows XP. Несмотря на сказанное, не будет большой проблемой на компьютер с Windows 2000/XP или Windows Server 2003 поставить в отдельный раздел системы Windows 95OSR2/98/ME, т. к. они не перезаписывают загрузочный сектор раздела, если имеется уже установленная система.
  • Если компьютер работает к сети и подключен к домену, не забывайте о том, что для каждой установленной операционной системы (или для множества копий одной и той же операционной системы) необходимо использовать уникальное имя компьютера. Это связано с тем, что при подключении компьютера к домену между компьютером и контроллером домена устанавливается безопасный канал (secure channel), защищаемый паролем (machine password), который связан с учетной записью компьютера в домене. Если имя компьютера не изменить, то новая установленная система будет пытаться связаться с уже существующей учетной записью компьютера. Из-за несоответствия старого и нового паролей возникнут проблемы аутентификации компьютера в домене!
  • Если создается система с двойной загрузкой, и при этом в качестве второй операционной системы будет использоваться MS-DOS, убедитесь в том, что системный раздел (диск С:) отформатирован как FAT (если в качестве второй операционной системы будут применяться Windows 95 OSR2 или Windows 98, то убедитесь, что системный раздел отформатирован для использования FAT32). Файлы Windows 2000/XP/Server 2003 можно установить на любой несжатый раздел, на котором достаточно свободного пространства.
  • Чтобы использовать преимущества NTFS и одновременно с этим сохранить возможность использования другой операционной системы, необходимо иметь не менее двух разделов на жестком диске. Диск С: следует отформатировать с использованием файловой системы, поддерживаемой как Windows 2000/XP/Server 2003, так и другой операционной системой — например, наиболее распространенным вариантом является форматирование этого раздела с применением файловой системы FAT. Другой раздел жесткого диска следует отформатировать для файловой системы NTFS.

Попытка установки Windows 2000/XP/Server 2003^ на сжатый том, созданный при помощи любой утилиты сжатия, отличной от сжатия NTFS, неизбежно закончится неудачей.

Примечание

Принципы создания систем с двойной загрузкой применимы и к процессу конфигурирования системы с множественной загрузкой — т. е. такой системы, в которой операционных систем может быть 3, 4 и более. Например, на компьютер можно одновременно установить (нужно лишь использовать разные разделы) Windows 9х/МЕ, Windows NT 4.0 (Workstation и/или Server), UNIX (Linux), Windows 2000 Professional (и/или Server) и т. д. При этом системы будут работать, практически "не видя" друг друга. "Соседство" одних систем обеспечить легче, для других сочетаний задача обеспечения одновременного существования нескольких систем может оказаться сложнее, но все равно разрешимой. Впрочем, такие нестандартные конфигурации могут понадобиться не обычным пользователям, а администраторам и разработчикам, которые — без сомнений! — справятся с подобной проблемой.

Устранение проблем, возникающих при установке Windows Server 2003

В данном разделе будут рассмотрены проблемы, наиболее часто встречающиеся в процессе установки Windows Server 2003, а также даны рекомендации по их устранению.

  • Если в процессе установки вы получаете сообщение Not enough disk space for installation, просмотрите еще раз требования к минимальной аппаратной конфигурации, приведенные в начале данной главы. Для устранения этой проблемы вам потребуется освободить достаточный объем свободного дискового пространства на разделе, планируемом для установки Windows Server 2003, или создать новые разделы нужного объема.
  • Если программа Setup не распознает ваше устройство CD-ROM, то проверьте, включено ли ваше устройство в список совместимых аппаратных средств (HCL), и убедитесь в его работоспособности. Возможно, проблему поможет решить переустановка драйверов. Если на вашем компьютере установлены операционные системы Windows 9x/ME или Windows NT/2000, и программа установки запускается под управлением этих систем, а ошибка чтения происходит после перезагрузки, то перезапустите программу Winnt32 с опцией /makelocalsource, при которой дистрибутивные файлы будут скопированы на жесткий диск. Можно также попробовать применить другой метод инсталляции (например, через сеть).
  • Во время установки происходит ошибка STOP ("синий экран"). Внимательно изучите информацию, отображенную на экране сообщения STOP (более подробная информация по данному вопросу будет приведена в главе 25 "Сообщения системы и отладчик"). Убедитесь, что все аппаратные компоненты, установленные в вашей системе, присутствуют в HCL. Постарайтесь максимально упростить аппаратную конфигурацию, удалив все устройства, не являющиеся критически важными для работы системы.
  • Программа Setup останавливается на начальных этапах (текстовый режим). Если в вашей системе присутствуют старые устройства (legacy devices), то войдите в BIOS Setup и для всех таких устройств установите IRQ на Reserved for ISA. Если ваша система не поддерживает ACPI, то блокируйте в BIOS параметр Plug and Play operating system.
  • Если Setup останавливается на графическом этапе, то перезагрузите компьютер, и программа Setup попытается возобновить работу с того этапа, на котором произошел сбой.

Автоматизация установки систем на множество компьютеров

Компания Microsoft уделяет самое пристальное внимание стратегии и принципам развертывания своих операционных систем в организациях и на предприятиях. Автоматизация процесса инсталляции играет ключевую роль в снижении затрат на переход к использованию новой операционной системы. Метод автоматизации процесса установки будет зависеть от существующей инфраструктуры сети, количества и разнообразия конфигураций компьютеров, для которых будет выполняться обновление операционной системы, расписания процесса развертывания и других факторов. Основываясь на этих критериях, вы сможете легко и быстро осуществить развертывание Windows Server 2003. Для этого имеются следующие возможности.

  • Группа утилит, называемая Microsoft Windows Corporate Deployment Tools (Средства корпоративного развертывания Windows). Эти утилиты предназначены для индивидуальной настройки процесса автоматизированной установки и для развертывания прединсталлированных операционных систем из следующего списка:
    • Windows XP Home Edition, Service Pack 1
    • Windows XP Professional, Service Pack 1
    • Windows XP 64-Bit Edition, Service Pack 1
    • Windows Server 2003, Standard Edition
    • Windows Server 2003, Enterprise Edition
    • Windows Server 2003, Datacenter Edition
    • Windows Server 2003 Web Server

В число этих утилит входят такие средства, как Setup Manager (Setupmgr.exe), System Preparation Tool (Sysprep.exe), а также руководства Microsoft Windows Corporate Deployment Tools User's Guide (deploy.chm) и Microsoft Windows Preinstallation Reference (ref.chm). С помощью этих утилит можно выполнить автоматизированную установку операционных систем на большом количестве компьютеров. Средства развертывания и сопроводительная документация находятся в папке \Support\Tools в файле Deploy.cab. Чтобы выполнить их установку, раскройте файл Deploy.cab с помощью Проводника (Windows Explorer) и скопируйте все файлы на локальный диск.

  • Специализированное программное обеспечение по управлению системами (пример — Microsoft Systems Management Server, SMS). Специализированное программное обеспечение по управлению системами позволяет запускать процедуру инсталляции с сервера и проводить весь процесс централизованно, даже не подходя к клиентским компьютерам. За счет этого небольшая группа администраторов сможет справиться с установкой операционных систем из приведенного выше списка на большом количестве компьютеров в масштабах корпорации за сравнительно короткий промежуток времени. Кроме того, при использовании этого метода требуется минимум усилий от конечных пользователей, что позволит им не отвлекаться от своей основной работы. Наконец, освобождение от инсталляции новой операционной системы конечных пользователей ограничивает количество потенциальных ошибок инсталляции.
  • Службы удаленной установки (Remote Installation Services, RIS). RIS представляет собой средство, впервые появившееся в операционной системе Windows 2000 Server. RIS позволяет выполнять множественные инсталляции Windows XP Professional, Windows Server 2003, а также любых версий Windows 2000 (за исключением Windows 2000 Datacenter Server). Использование этого средства позволяет выполнять одновременную инсталляцию операционной системы на множество клиентских компьютеров, территориально распределенных по разным филиалам крупного предприятия или организации. Принцип работы RIS предполагает начальную загрузку клиентского компьютера с дискеты или сетевой карты. Системный администратор может использовать RIS для создания и хранение одного или нескольких образов операционной системы на сервере RIS. Клиентские компьютеры, поддерживающие технологию РХЕ (Pre-Boot execution Environment), загружают эти образы через сеть. После этого инсталляция загруженного образа RIS может проходить в полностью автоматическом или полуавтоматическом режиме. Для компьютеров, которые не поддерживают РХЕ, в состав сервисов RIS включено специальное средство, называемое Remote Boot Floppy Generator (Rbfg.exe), позволяющее создать диск удаленной .загрузки для использования с RIS. Следует сразу же отметить, что для использования RIS необходимо иметь развернутую и сконфигурированную службу Active Directory.

Автоматическая установка Windows Server 2003

Любой, кто уже успел провести установку Windows Server 2003 хотя бы на один из компьютеров, наверняка уже убедился, что процедура существенно упростилась даже по сравнению с Windows 2000. Тем не менее, процесс все же занимает около часа, и если он проходит в интерактивном режиме, то пользователь, производящий установку, в течение этого времени должен отвечать на запросы системы и вводить разнообразные данные (например, ключи от продукта, наименование предприятия или организации, пароль администратора и т. д.). Разумеется, вам хотелось бы упростить и автоматизировать этот процесс. Однако средства автоматизации развертывания, такие как SMS и RIS, не всегда применимы, да и предназначены они в основном для крупных предприятий и организаций.
Что касается небольших локальных сетей и домашних пользователей, то в данном случае оптимальным является использование утилиты Setup Manager (Setupmgr.exe), которую можно найти на дистрибутивном компакт-диске в файле Deploy.cab. Эта утилита позволяет вам подготовить инсталляционный сценарий (installation script), содержащий предопределенные ответы на все вопросы, задаваемые в процессе инсталляции таких операционных систем, как Windows 2000, Windows XP и Windows Server 2003. Если один и тот же процесс требуется повторить более 5 раз, то такое решение является удачным.

Примечание

Чтобы запустить программу Setup Manager, необходимо работать под управлением Windows 2000 или Windows XP. Подробная информация об использовании этой утилиты, форматах создаваемых ею файлов ответов, а также различиях в автоматизированной установке Windows XP и продуктов из семейства Windows Server 2003 содержится в файле справочной системы с именем Deploy.chm, который можно найти на дистрибутивном компакт-диске в каталоге \Support\Tools в файле Deploy.cab.

При использовании утилиты Setup Manager следует планировать автоматические инсталляции еще на этапе определения и тестирования эталонной конфигурации. Тщательно документируйте каждую особенность и каждую модификацию. Это позволит впоследствии установить автоматический выбор соответствующих опций в ходе инсталляции.

Примечание

Не стоит использовать этот метод, если вам требуется организовать систему с двойной или множественной загрузкой, т. к. автоматическая процедура инсталляции, как правило, стирает другие ОС. Если вам нужна система с двойной загрузкой, проводите инсталляцию Windows Server 2003 в интерактивном режиме.


Типовые задачи администрирования

  • Типовые задачи администрирования
  • Вход в систему
    • Сохранение и восстановление паролей пользователей
  • Использование команды RunAs
    • Запуск утилит из контекстного меню
    • Запуск утилит из командной строки
  • Управление учетными записями
    • Оснастка Local Users and Groups
      • Папка Users
      • Папка Groups
    • Создание пользовательской учетной записи
    • Управление локальными группами
      • Создание локальной группы
      • Изменение членства в локальной группе
    • Изменение и удаление учетных записей
  • Удаленный доступ к рабочему столу (Remote Desktop)
    • Разрешение удаленного доступа
    • Запуск и конфигурирование сеанса удаленного доступа
    • Выход из сеанса
    • Удаленный доступ через Интернет
  • Удаленный помощник (Remote Assistance)
    • Запрос с использованием программы Windows Messenger
    • Отправка запроса по электронной почте
    • Сессия удаленного доступа
  • Управление рабочей средой пользователя
    • Профили пользователей
      • Настройки, хранящиеся в профиле пользователя
      • Структура нового профиля пользователя
      • Структура профиля пользователя
      • Папка All Users
    • Создание локального профиля пользователя
    • Перемещаемые профили пользователей
  • Настройка рабочей среды пользователя при помощи сценариев
    • Создание сценариев входа
    • Изменение системных и пользовательских переменных среды
  • Сервер сценариев Windows (WSH)
    • Назначение сервера сценариев
    • Запуск сервера сценариев из командной строки
    • Запуск сценариев в среде Windows
    • Настройка индивидуальных свойств сценария. Файл с расширением wsh
  • Аудит локальной системы
    • Активизация аудита
    • Настройка и просмотр параметров аудита для папок и файлов
    • Область действия настроек аудита
    • Отключение аудита файлов и папок
  • Выполнение заданий по расписанию (Task Scheduler)
  • Административные утилиты
    • Пакет Windows Server 2003 Support Tools
  • Служба Windows Time
    • Синхронизация с внешним источником времени
    • Параметры службы Windows Time
    • Получение информации о службе Windows Time

Типовые задачи администрирования

В этой главе мы рассмотрим стандартные задачи, которые администратор может выполнять в системе: конфигурирование учетных записей, настройка рабочей среды пользователя, аудит системных событий, планирование автоматического запуска задач и т. д. Кроме того, описываются два новых по сравнению с Windows 2000, весьма эффективных средства удаленного администрирования — Remote Desktop и Remote Assistance.

Вход в систему

После загрузки системы Windows Server 2003 появляется обычный экран регистрации в системе — традиционный способ входа в Windows NT и Windows 2000 (рис. 10.1, сверху). Системы Windows Server 2003 не поддерживают имеющиеся в Windows XP средства входа в систему: экран приветствия Welcome screen и сервис Fast User Switching (Быстрое переключение пользователей).
Для входа в систему требуется одновременно нажать клавиши <Ctd>+ +<Alt>+<Delete> и в окне Log On to Windows (рис. 10.1, снизу) ввести имя учетной записи и пароль. Если компьютер подключен к домену, в списке Log on to можно выбрать домен. Если для регистрации указывается основное имя пользователя (user principal name), например, Aieksey@net.dom, то домен не указывается.
Для блокировки компьютера можно использовать быстрые клавиши <Win>+<L>: при этом все рабочие окна закрываются (текущее состояние системы и программ не меняется) и на рабочем столе появляется окно Computer Locked.

Рис. 10.1. Окно входа в системы Windows Server 2003

Сохранение и восстановление паролей пользователей

По требованиям безопасности локальные учетные записи системы должны защищаться паролями, что уменьшает вероятность того, что посторонний пользователь получит доступ к компьютеру. Однако в этом случае пользователи системы сами рискуют потерять доступ к системе, если забудут свой пароль. Кроме того, при принудительном изменении пароля можно потерять персональные настройки конфигурации компьютера. Системы Windows ХР и Windows Server 2003 предоставляют возможность создания так называемой "дискеты восстановления пароля" (Password Reset Disk), с помощью которой пользователь может установить новый пароль в случае утраты старого. Однажды созданная дискета позволяет войти в систему, даже если после этого текущий пароль менялся неоднократно.

Внимание

Дискета Password Reset Disk фактически является ключом к компьютеру, поэтому необходимо обеспечить сохранность этой дискеты, равно как и ее недоступность для посторонних. Такие дискеты создаются индивидуально для каждой учетной записи.

Посмотрим, как создать Password Reset Disk для локальной учетной записи на автономном компьютере или компьютере, входящем в рабочую группу.
1. Зарегистрируйтесь в системе и, нажав клавиши <Ctrl>+<Alt>+<Del>, откройте окно Windows Security.
2. Нажмите кнопку Change Password (Изменить пароль).
3. После нажатия в окне Change Password кнопки Backup запустится мастер Forgotten Password Wizard. Следуйте его указаниям.
4. Вставьте дискету, на которую мастер запишет файл userk.ey.psw, содержащий в зашифрованном виде пароль текущей учетной записи.
5. Введите текущий пароль учетной записи. Когда мастер закончит работу (100% готовности), нажмите кнопки Next и Finish (Готово).
6. Закройте все открытые окна и сохраните дискету в надежном месте.
Теперь предположим, что вы забыли или ввели неправильно пароль для своего имени. Система предложит вам воспользоваться дискетой восстановления (рис. 10.2). Нажмите кнопку Reset (Сброс). Запустится мастер Password Reset Wizard, для работы которого, собственно говоря, и нужна дискета Password Reset Disk.

Рис. 10.2. Если вы забыли свой пароль, воспользуйтесь дискетой Password Reset Disk

Мастер попросит вставить дискету Password Reset Disk и (если дискета опознана успешно) установить произвольный новый пароль (рис. 10.З). После этого вы вернетесь в окно Log On to Windows и сможете войти в систему, пользуясь вновь созданным паролем.

Рис. 10.3. В этом окне можно установить новый пароль для своей учетной записи

Аналогичные операции можно выполнить и на компьютерах, являющихся членами домена. Помните, однако, что пароли доменных учетных записей хранятся централизованно на контроллерах домена, и для них дискеты восстановления не создаются.

Использование команды RunAs

Как правило, большинство системных инструментов требует наличия у запускающего их пользователя административных привилегий. Таким образом, чтобы иметь возможность выполнения операций по управлению системой, администратор должен зарегистрироваться в системе под учетной записью, обладающей соответствующими правами. Однако правила безопасности требуют от администратора не пользоваться для постоянной работы в системе подобными учетными записями.
Команда RunAs позволяет администратору выполнять всю работу по управлению системой, зарегистрировавшись в ней с использованием учетной записи рядового пользователя с весьма ограниченными правами. При помощи данной команды администратор может запускать любые утилиты от имени "уполномоченного" пользователя (при этом может быть задействована либо учетная запись администратора, либо учетная запись пользователя, обладающего необходимыми правами).

Внимание

Для работы команды RunAs необходимо, чтобы была запущена служба Secondary Logon. Поэтому, в случае возникновения проблем с работой данной команды необходимо в первую очередь убедиться в том, что указанная служба действительно запущена. Чтобы убедиться в этом, можно использовать оснастку Services.

Команда RunAs может быть использована для установки и проверки пользовательских разрешений на доступ к файлам или объектам Active Directory. Для задания пользователю разрешений необходимо запустить соответствующую утилиту с административными привилегиями. Одновременно можно запустить требуемое приложение в контексте полномочий рассматриваемого пользователя и проверить результирующие разрешения. Таким образом, задача может быть решена (и, что главное, проверена) без необходимости повторных регистрации в системе под разными учетными записями.
Команда RunAs может использоваться в двух режимах.

  • Запуск утилит из контекстного меню. Запуск утилиты или оснастки с необходимыми полномочиями происходит путем использования контекстного меню. Администратор выбирает соответствующий пункт меню и предоставляет информацию о своих полномочиях. Данный режим идеально подходит для запуска графических утилит.
  • Запуск утилит из командной строки. В режиме командной строки администратор вводит команду со всеми необходимыми параметрами. Этот режим может использоваться для запуска утилит командной строки. Другим преимуществом этого режима является возможность отображения сведений о результатах процесса запуска (в том числе информация о возникающих ошибках).

Рассмотрим особенности использования каждого из режимов более подробно.

Запуск утилит из контекстного меню

Администратор может запускать утилиты и оснастки любым способом — из главного меню, с рабочего стола, из программы Windows Explorer. При этом механизм административных утилит не требует, чтобы утилита запускалась на контроллере домена. Более того, чтобы не снижать производительность контроллера домена, рекомендуется использовать для управления системой специально выделенную рабочую станцию. Чтобы иметь на этой рабочей станции возможность осуществлять управление сетью, администратор должен предварительно установить на нее необходимые административные утилиты (как из набора Windows Server 2003 Administrative Pack, так и из вспомогательных пакетов Windows Server 2003 Support Tools и Resource Kit).
В случае если речь идет об установке определенных утилит для пользователей, которым делегированы полномочия на выполнение определенных операций, нет необходимости устанавливать весь пакет утилит. Можно установить на рабочую станцию только одну или несколько утилит из пакета Windows Server 2003 Administrative Tools. Для этого следует скопировать необходимые оснастки (файлы с расширением msc) и связанные с ними DLL-библиотеки из папки %SystemRoot%\system32 контроллера домена в любую папку на рабочей станции. Перейдя в указанную папку на рабочей станции, требуется зарегистрировать скопированные DLL-библиотеки. Для этого в режиме командной строки необходимо выполнить: regsvr32 <имя_DLL-библиотеки>
В табл. 10.1 приведены имена DLL-библиотек для некоторых, наиболее важных административных утилит.

Таблица 10.1. DDL-библиотеки, необходимые для работы некоторых административных утилит

Оснастка | Имя файла оснастки | Имя DLL-библиотеки
Active Directory Domain and Trusts | domain, msc | domadmin.dll
Active Directory Users and Computers | dsa.msc | dsadmin.dll
Active Directory Sites and Services | dssite.msc | dsadmin.dll
Active Directory Schema | - | schmmgmt.dll

Примечание

Оснастка Active Directory Schema не инсталлируется автоматически. После того как файл schmmgmt.dll скопирован на рабочую станцию и зарегистрирован, пользователь должен добавить оснастку в управляющую консоль (ММС) и сохранить под некоторым именем.

Чтобы при помощи команды RunAs запустить утилиту с необходимыми полномочиями, вызовите контекстное меню утилиты, щелкнув по ее имени или пиктограмме правой кнопкой мыши. В меню выберите пункт Run as (Запустить как). В открывшемся окне (рис. 10.4) надо определить способ запуска утилиты — либо с полномочиями текущего пользователя (переключатель Current user), либо с полномочиями другого пользователя (переключатель The following user). В последнем случае необходимо предоставить сведения об имени учетной записи и сопоставленном ей пароле. Следует также указывать имя домена, к которому принадлежит учетная запись.

Рис. 10.4. Запуск программы с полномочиями другого пользователя

Примечание

Запуская утилиту в контексте текущего пользователя, можно защитить систему (прежде всего данные) от несанкционированных действий со стороны запущенного приложения. Подобные действия могут иметь место в случае, если приложение заражено компьютерным вирусом или является своего рода "троянским конем". Для этого необходимо установить флажок Run this program with restricted access.
В контекстном меню отдельных утилит имеется пункт Author, выбор которого позволяет запустить оснастку в авторском режиме. Авторский режим дает возможность модифицировать параметры оснастки.

Если утилита должна всегда запускаться в рамках полномочий другого пользователя, необходимо соответствующим образом сконфигурировать ярлык утилиты. Вызвав окно свойств ярлыка утилиты, на вкладке Shortcut (Ярлык) нужно щелкнуть по кнопке Advanced (Дополнительно). В открывшемся окне установите флажок Run with different credentials (Запускать с другими полномочиями).

Запуск утилит из командной строки

При-помощи команды RunAs можно запускать из командной строки любые исполняемые файлы (имеющие расширение exe, com, cmd, bat, msc), ярлыки (lnk), а также элементы панели управления (cpl).

Внимание

Существуют приложения и элементы, с которыми команда RunAs не может быть использована. Например, программа Windows Explorer, папка Printers и элементы рабочего стола.

Для запуска из командной строки утилит из пакета Windows Server 2003 Administrative Tools необходимо знать имена оснасток. В табл. 10.2 приводятся имена оснасток для наиболее часто используемых утилит из этого пакета.

Таблица 10.2. Имена оснасток для некоторых утилит пакета Windows Server 2003 Administrative Tools

Утилита | Имя оснастки
Active Directory Domains and Trusts | domain. msc
Active Directory Schema | должна быть создана администратором вручную
Active Directory Sites and Services | dssite.msc
Active Directory Users and Computers | dsa.msc
Computer Management | compmgmt.msc
Distributed File System | dfsgui.msc
DNS | dnsmgmt.msc
Domain Controller Security Settings | dcpol.msc
Domain Security Settings | dompol.msc
Group Policy | gpedit.msc
Local Security Settings | secpol.msc
Routing and Remote Access | rrasmgmt.msc
Services | services, msc
Device Manager* | devmgmt.msc
Disk Management* | diskmgmt.msc
Local Users and Groups* | lusrmgr.msc
Shared Folders* | fsmgmt.msc

*Оснастки, не отображаемые в меню Administrative Tools. Однако их можно найти в папке %SystemRoot%\system32
Команда RunAs имеет следующий формат:

runas [ [/noprofile | /profile] [/env] [/savecred | /netonly]]
/user:<имя_пользователя> приложение

Ключевые слова имеют следующий смысл:

  • /noprofile — в процессе запуска утилиты не будет осуществляться загрузка профиля пользователя. Благодаря этому приложения запускаются быстрее. Однако приложения, использующие информацию, размещенную в профиле пользователя, могут не работать;
  • /profile — загружается профиль пользователя. Данный режим выбирается по умолчанию;
  • /env — использовать текущее окружение, вместо того, чтобы создавать окружение, характерное для конкретного пользователя;
  • /savecred — использовать полномочия предыдущего пользователя;
  • /netonly — использовать полномочия исключительно для доступа к удаленным ресурсам;
  • /user — учетная запись пользователя.

Ниже приводится пример запуска оснастки Active Directory Users and Computers с полномочиями пользователя lex: c:\runas /user:lex@khsu.ru "mmc domain.msc"
В приведенном примере утилита запускается для управления доменом, к которому принадлежит текущий пользователь. Если необходимо запустить утилиту с полномочиями пользователя, принадлежащего к другому домену, используется другой формат команды. Ниже приводится пример запуска оснастки Active Directory Users and Computers с полномочиями пользователя kaizer, принадлежащего к домену kit.khsu.ru (NetBIOS-имя домена — KIT): c:\runas /netonly /user:KIT\kaizer "mmc domain.msc"
В приведенном примере используется формат NetBIOS для предоставления информации о домене, к которому принадлежит пользователь (домен\ пользователь). Однако допускается и использование основных имен пользователя (UPN).

Управление учетными записями

Создание учетных записей и групп занимает важное место в обеспечении безопасности Windows Server 2003, поскольку, назначая им права доступа и привилегии, администратор получает возможность ограничить пользователей в доступе к конфиденциальной информации компьютерной сети, разрешить или запретить им выполнение в сети определенного действия, например архивацию данных или завершение работы компьютера.
Для работы с локальными учетными записями используется оснастка Local Users and Groups. Управление доменными учетными записями ведется централизованно на контроллерах домена, при этом используется оснастка Active Directory Users and Computers (см. главу 20 "Администрирование доменов"). Управление локальными учетными записями на контроллерах домена невозможно.

Оснастка Local Users and Groups

Оснастка Local Users and Groups (Локальные пользователи и группы) — это инструмент ММС, с помощью которого выполняется управление локальными учетными записями пользователей и групп — как на локальном, так и на удаленном компьютере. Запускать оснастку может любой пользователь. Выполнять администрирование учетных записей могут только администраторы и члены группы Power Users (Опытные пользователи).
Пример окна оснастки Local Users and Groups приведен на рис. 10.5.

Рис. 10.5. Окно оснастки Local Users and Groups в составе оснастки Computer Management

Папка Users

Сразу после установки системы Windows Server 2003 папка Users (Пользователи) содержит три автоматически создаваемые встроенные учетные записи, перечисленные ниже. Две первые записи имелись и в системах Windows 2000, третья появилась в Windows XP.

  • Administrator (Администратор) — эту учетную запись используют при установке и настройке рабочей станции или сервера, являющегося членом домена. Она не может быть уничтожена, блокирована или удалена из группы Administrators (Администраторы), ее можно только переименовать.
  • Guest (Гость) — эта учетная запись применяется для регистрации в компьютере без использования специально созданной учетной записи. Учетная запись Guest не требует ввода пароля и по умолчанию заблокирована. (Обычно пользователь, учетная запись которого блокирована, но не удалена, при регистрации получает предупреждение, и входить в систему не может.) Она является членом группы Guests (Гости). Ей можно предоставить права доступа к ресурсам системы точно так же, как любой другой учетной записи.
  • SUPPORT_388945a0 — компания Microsoft зарезервировала эту запись за собой для поддержки справочной службы Help and Support Service; запись является заблокированной.

Примечание

Учетная запись HelpAssistant, использующаяся в системах Windows XP при работе средства удаленной помощи Remote Assistance; в Windows Server 2003 отсутствует.

Кроме того, могут появиться и другие пользовательские учетные записи, например, после установки служб Интернета — Internet Information Services.
Для работы с локальными пользователями можно использовать утилиту командной строки net user.
Команда net user <имяПользователя> /times позволяет определять день и время, когда пользователь может входить в данную систему.

Папка Groups

В системах Windows 2000 (на рабочей станции или сервере, являющимся членом домена) папка Groups (Группы) содержит шесть встроенных групп. Они создаются автоматически при установке системы. Ниже описаны свойства этих групп.

  • Administrators (Администраторы) — ее члены обладают полным доступом ко всем ресурсам системы. Это единственная встроенная группа, автоматически предоставляющая своим членам весь набор встроенных прав. По умолчанию содержит встроенную учетную запись Administrator. Если компьютер подключен к домену, эта группа также содержит группу Domain Admins.
  • Backup Operators (Операторы архива) — члены этой группы могут архивировать и восстанавливать файлы в системе независимо от того, какими правами эти файлы защищены. Кроме того, операторы архива могут входить в систему и завершать ее работу, но они не имеют права изменять настройки безопасности. По умолчанию пуста.
  • Guests (Гости) — эта группа позволяет выполнить регистрацию пользователя с помощью учетной записи Guest и получить ограниченные права на доступ к ресурсам системы. Члены этой группы могут завершать работу системы. По умолчанию содержит пользователя Guest.
  • Power Users (Опытные пользователи) — члены этой группы могут создавать учетные записи пользователей, но они имеют право модифицировать настройки безопасности только для созданных ими учетных записей. Кроме того, они могут создавать локальные группы и модифицировать состав членов созданных ими групп. То же самое они могут делать с группами Users, Guests и Power Users. Члены группы Power Users не могут модифицировать членство в группах Administrators и Backup Operators. Они не могут быть владельцами файлов, архивировать или восстанавливать каталоги, загружать и выгружать драйверы устройств и модифицировать настройки безопасности и журнал событий. По умолчанию пуста.
  • Replicator (Репликатор) — членом группы Replicator должна быть только учетная запись, с помощью которой можно зарегистрироваться в службе репликации контроллера домена. Ее членами не следует делать рабочие учетные записи. По умолчанию пуста.
  • Users (Пользователи) — члены этой группы могут выполнять большинство пользовательских функций, например, запускать приложения, пользоваться локальным или сетевым принтером, завершать работу системы или блокировать рабочую станцию. Они также могут создавать локальные группы и регулировать состав их членов. Они не могут получить доступ к общему каталогу или создать локальный принтер. По умолчанию содержит служебные учетные записи NT AUTHORITY\Authenticated Users (S-1-5-11) и NT AUTHORITY\INTERACTIVE (S-1-5-4). Если компьютер подключен к домену, эта группа также содержит группу Domain Users.

В системах Windows XP появились еще три группы.

  • Network Configuration Operators (Операторы настройки сети) — группа, члены которой имеют некоторые права по настройке сетевых служб и параметров. По умолчанию пуста.
  • Remote Desktop Users (Удаленные пользователи рабочего стола) — эта группа содержит имена пользователей, которым явно разрешен удаленный доступ к рабочему столу.
  • HelpSenicesGroup (Группа служб поддержки) — группа для поддержки справочной службы Help and Support Service. По умолчанию содержит учетную запись SUPPORT_388945aO.

Еще четыре группы появились в системах Windows Server 2003.

  • Performance Log Users — члены этой группы могут удаленно запускать журналы регистрации. По умолчанию содержит служебную учетную запись NT AUTHORITY\NETWORK SERVICE (S-l-5-20).
  • Performance Monitor Users — группа, члены которой могут выполнять мониторинг производительности компьютера. По умолчанию пуста.
  • Print Operators — члены этой группы могут администрировать принтеры в домене. По умолчанию пуста.
  • TelnetClients — группа, члены которой имеют доступ к службе Telnet Server на данном компьютере. По умолчанию пуста.

Для работы с локальными пользователями можно использовать утилиту командной строки net localgroup.

Создание пользовательской учетной записи

Для создания учетных записей пользователей:
1. В оснастке Local Users and Groups установите указатель мыши на папку Users и нажмите правую кнопку. В контекстном меню выберите команду New User (Новый пользователь). Появится диалоговое окно New User (рис. 10.6).

Рис. 10.6. Создание новой локальной учетной записи

2. В поле User name (Пользователь) введите имя создаваемого пользователя, которое будет использоваться для регистрации в системе. В поле Full name (Полное имя) введите полное имя создаваемого пользователя; это имя будет отображаться в меню Start. В поле Description (Описание) можно ввести описание создаваемой учетной записи. В поле Password (Пароль) введите пароль пользователя и в поле Confirm password (Подтверждение) подтвердите его правильность вторичным вводом.
3. Установите или снимите флажки User must change password at next logon (Потребовать смену пароля при следующем входе в систему), User cannot change password (Запретить смену пароля пользователем), Password never expires (Срок действия пароля не ограничен) и Account is disabled (Отключить учетную запись).
4. Нажмите кнопку Create (Создать). Чтобы создать еще одного пользователя, повторите шаги 2 и 3. Для завершения работы нажмите кнопку Close (Закрыть).
Созданный пользователь автоматически включается в локальную группу Users; вы можете открыть вновь созданную учетную запись и изменить членство пользователя в группах.

Рис. 10.7. Окно свойств локальной учетной записи пользователя

Имя пользователя должно быть уникальным для компьютера. Имя пользователя не может состоять целиком из точек и пробелов. Оно может содержать до 20 символов верхнего и нижнего регистра. Ниже приведены символы, применение которых в имени пользователя недопустимо: " / \ [ ]:; | =, + *?<>
Обратите внимание на то, что в окне свойств учетной записи пользователя (рис. 10.7) имеется множество вкладок, на которых можно устанавливать различные параметры, определяющие возможности этой учетной записи при работе в различных режимах (например, вкладки Remote control и Sessions), а также конфигурацию пользовательской среды (например, вкладки Profile и Environment).

Управление локальными группами

Создание локальной группы

Для создания локальной группы:
1. В окне оснастки Local Users and Groups установите указатель мыши на папке Groups и нажмите правую кнопку. В появившемся контекстном меню выберите команду New Group (Новая группа). Откроется окно New Group (рис. 10.8).

Рис. 10.8. Создание локальной группы

2. В поле Group name (Имя группы) введите имя новой группы.
3. В поле Description (Описание) можно ввести описание новой группы.
4. В поле Members (Члены группы) можно сразу же добавить пользователей и группы, которые войдут в данную группу: для этого нужно нажать кнопку Add (Добавить) и указать члена группы в окне Select Users (Выбор Пользователей). Окно Select Users позволяет непосредственно ввести имя пользователя (и проверить его правильность, если будет нажата кнопка Check names). Нажав кнопку Advanced (Дополнительно), можно выполнить поиск всех учетных записей на компьютере и выбрать нужную запись из полученного списка. Если компьютер подключен к домену, то при наличии достаточных полномочий можно выполнять поиск в каталоге Active Directory и выбирать доменных пользователей и группы.
5. Для завершения нажмите кнопку Create и затем — Close.
Имя локальной группы должно быть уникальным в пределах компьютера. Оно может содержать до 256 символов в верхнем и нижнем регистрах. В имени группы запрещено применение символа обратной наклонной черты (\).

Изменение членства в локальной группе

Чтобы добавить или удалить учетную запись пользователя из группы:
1. Выберите модифицируемую группу в окне оснастки Local Users and Groups и нажмите правую кнопку. В появившемся контекстном меню выберите команду Add to Group (Добавить в группу) или Properties (Свойства).
2. Для того чтобы добавить новые учетные записи в группу, нажмите кнопку Add. Далее следуйте указаниям диалогового окна Select Users.
3. Для того чтобы удалить из группы некоторых пользователей, в поле Members (Члены группы) окна свойств группы выберите одну или несколько учетных записей и нажмите кнопку Remove (Удалить).
На компьютерах — членах домена в локальную группу можно добавлять как локальных пользователей, созданных на компьютере, так и пользователей и глобальные группы, созданные в домене, к которому принадлежит компьютер, или в доверяемых доменах.

Примечание

Встроенные группы не могут быть удалены. Удаленные группы не могут быть восстановлены. Удаление группы не отражается на учетных записях входящих в нее пользователей.

Изменение и удаление учетных записей

Изменять, переименовывать и удалять локальные учетные записи пользователей и групп можно с помощью контекстного меню, вызываемого щелчком правой кнопки мыши на имени пользователя, либо посредством меню Action (Действие) на панели меню оснастки Local Users and Groups (при этом в правом подокне оснастки должна быть выбрана модифицируемая или удаляемая учетная запись пользователя).
Поскольку переименованная учетная запись сохраняет идентификатор безопасности (Security Identifier, SID), она сохраняет и все свои свойства, например: описание, полное имя, пароль, членство в группах и т. д. Поскольку S1D уникален, нельзя после удаления пользователя или группы создать новую учетную запись со "старыми" свойствами. Поэтому иногда учетные записи пользователей просто временно блокируют.

Удаленный доступ к рабочему столу (Remote Desktop)

В предыдущих серверных версиях Windows для удаленного управления сервером администратор должен был использовать службы терминалов. Минусом подобного решения являлась необходимость развертывания службы терминалов даже в том случае, когда администратору требовалось только одно удаленное подключение с целью выполнения рутинных административных задач. В системах Windows XP и Windows Server 2003 имеется стандартный механизм Remote Desktop for Administration, или просто Remote Desktop, который позволяет подключаться удаленно и выполнять необходимые операции по управлению сервером. Этот механизм в своей основе использует службы терминалов и поддерживает два одновременных удаленных подключения (в Windows XP — одно). Администратор может с любого рабочего места администрировать все серверы, находящиеся под управлением Windows Server 2003, подключаясь к ним удаленно.

Примечание

Механизм Remote Desktop for Administration no своей сути аналогичен режиму Remote Administration, который поддерживали службы терминалов Windows 2000. В Windows Server 2003 задача удаленного администрирования балы отделена от служб терминалов и реализована в рамках отдельного механизма. Отделение механизма удаленного администрирования от служб терминалов позволило свести нагрузку на сервер к минимуму в ситуации, когда необходимо только управление сервером с другого компьютера.

В системах Windows XP и Windows Server 2003 имеется также функция Remote Assistance, позволяющая пользователю инициировать доступ к своему компьютеру и получить помощь в сложных ситуациях (см. след, раздел).

Примечание

По умолчанию функции Remote Desktop и Remote Assistance отключены.

Кроме этого, если на некотором компьютере под управлением Windows XP или Windows Server 2003 установлен веб-сервер в составе служб Internet Information Services (IIS), то через этот компьютер можно осуществлять удаленный доступ к любой системе Windows XP или Windows Server 2003, находящейся в той же локальной сети, из веб-браузера (Internet Explorer 4.0 и выше), работающего в любой операционной системе. Такая возможность позволяет, например, на маломощном компьютере под управлением Windows 95 запустить браузер и, введя имя удаленной системы Windows Server 2003 на базе какого-нибудь мощнейшего процессора, работать на ней в полноэкранном режиме.
Все сессии удаленного доступа шифруются, чтобы исключить несанкционированный доступ к данным и системам: протокол RDP, использующийся при этом, шифруется с помощью алгоритма RC4.

Разрешение удаленного доступа

Для управления режимом удаленного доступа (не путайте его с удаленным доступом через коммутируемое подключение!) используется вкладка Remote (Удаленное использование) окна свойств системы System Properties (рис. 10.9). (Для быстрого доступа к этому окну можно использовать клавиши <Win>+<Break>.)
Чтобы пользователи могли с других компьютеров обратиться к вашей системе, установите флажок Allow users to connect remotely to this computer. Нажав кнопку Select Remote Users, вы можете явно указать, каким пользователям разрешен удаленный доступ (рис. 10.10): эти пользователи будут включены в локальную группу Remote Desktop Users. По умолчанию только администраторы имеют удаленный доступ к компьютеру.
Использовать учетные записи без пароля для удаленного доступа нельзя. Если на компьютере имеются такие записи, то при установке флажка Allow users to connect remotely to this computer появится предупреждение, показанное на рис. 10.11.

Рис. 10.9. Окно управления функциями Remote Desktop и Remote Assistance

Рис. 10.10. Пользователям, указанным в данном окне, будет разрешен удаленный доступ к рабочему столу компьютера

Рис. 10.11. Напоминание о том, что учетные записи без пароля нельзя использовать для удаленного доступа к компьютеру

Запуск и конфигурирование сеанса удаленного доступа

Для инициализации сеанса удаленного доступа служит утилита Remote Desktop Connection (она запускается из подменю Start | All Programs | Accessories | Communications или же при помощи команды mstsc из командной строки). Введите имя или IP-адрес удаленного компьютера и нажмите кнопку Connect (рис. 10.12) — и через несколько мгновений вы увидите окно, приглашающее зарегистрироваться в удаленной системе!

Рис. 10.12. Из этого окна можно инициировать сеанс работы с удаленным компьютером

Внимание

В системах Windows XP при входе в систему с помощью Remote Desktop текущий пользователь "выталкивается" из системы, при этом текущий сеанс не закрывается. Если удаленный пользователь входит с именем уже зарегистрированного пользователя, то он получает рабочую среду— открытые окна, запущенные программы — этого пользователя, который в свою очередь может снова войти в систему и вытолкнуть "пришельца". Только при использовании Remote Assistance возможна одновременная работа двух пользователей в одном сеансе. В Windows Server 2003 такого не происходит, поскольку в них для удаленного администрирования разрешены две сессии. Однако, если использовать команду mstsc /console, можно получить такой же режим работы, как и в Windows XP — т. е. с "выталкиванием".

В окне Remote Desktop Connection нажмите кнопку Options и внимательно просмотрите все вкладки, на которых определяются параметры удаленного подключения. Можно, например, устанавливать размер экрана, глубину цвета (до 24 бит), скорость подключения и пр. Обратите внимание на вкладку Local Resources (рис. 10.13).

Рис. 10.13. Вкладка, управляющая переназначением локальных устройств

По умолчанию звук с удаленного компьютера переназначается на локальный компьютер, и, работая на удаленном компьютере, можно выполнять печать на локальном принтере. Если установить флажок Disk drives, то можно одновременно пользоваться дисками обеих систем. Это очень удобно, например, для копирования файлов: "легким движением руки" в окне программы Windows Explorer (где будут отображаться диски обоих компьютеров) вы можете переписать любую информацию с удаленного компьютера на свой локальный диск.
Вкладка Experience (рис. 10.14) позволяет адаптировать сессию удаленного доступа к параметрам соединения: можно отключать некоторые возможности графики для низкоскоростных каналов и включать все возможности при соединении по локальной сети.

Рис. 10.14. Настройка параметров удаленного доступа в зависимости от скорости коммуникационного канала

Параметры текущего подключения можно сохранить в файле и использовать в дальнейшей работе для быстрой настройки подключений.

Совет

Для переключения окна сессии из полноэкранного режима в экран фиксированного размера и наоборот используются клавиши <Ctrl>+<Alt>+<Pause/Break>.

В системах Windows Server 2003 для работы со службами терминалов используется оснастка Remote Desktops. Она может использоваться и для удаленного доступа к компьютерам. На рис. 10.15 для примера показано одновременное подключение к двум удаленным компьютерам (Remote Server и Domain Controller). Каждый сеанс предварительно создается и конфигурируется (см. корень оснастки и дерево сеансов удаленного доступа), после чего его можно легко инициировать, указав курсором в списке. Так же легко можно и переключаться между различными сеансами.

Рис. 10.15. Окно оснастки Remote Desktops с двумя одновременными сеансами удаленного доступа

Выход из сеанса

При работе в сеансе удаленного доступа к компьютеру администратор имеет три возможности завершения сеанса (в любом случае он должен открыть меню Start (Пуск) и нажать кнопку Shut Down (Конец работы)):

  • можно выключить компьютер, выбрав в окне Shut Down Windows опцию Shut down;
  • можно выйти из системы, выбрав опцию Log off;
  • можно прервать текущий сеанс, выбрав опцию Disconnect — при этом при повторном подключении к этому компьютеру с ранее использованным именем администратор получит ту же рабочую среду (открытые окна и запущенные программы), которую он "оставил" при отключении от сеанса.

Удаленный доступ через Интернет

Чтобы обратиться к компьютеру через Интернет, в поле адреса браузера введите http://<имя_cepвepa>/TSWeb, где имя_сервера — DNS-имя веб- сервера (компьютера с установленными службами IIS) или его IP-адрес.

Рис. 10.16. Окно интернет-подключения к удаленному компьютеру

После соединения с сервером появится веб-страница "Remote Desktop Web Connection" (Интернет-подключение к удаленному рабочему столу) (рис. 10.16), где в поле Server (Сервер) вы должны указать имя или адрес того компьютера, к которому хотите подключиться, после чего нажмите кнопку Connect (Подключить). Обратите внимание на то, что имена веб-сервера и целевого компьютера могут различаться: т. е. вы "входите" в сеть через один компьютер, а подключаетесь к любому другому.

Внимание

Чтобы описанный режим работал, в составе службы WWW (World Wide Web Service) на сервере должен быть установлен компонент Remote Desktop Web Connection (Интернет-подключение к удаленному рабочему столу).

При первом выполнении описанной процедуры с сервера загрузится компонент ActiveX, который нужно установить на локальном компьютере. Его окно показано на рис. 10.17. Нажмите кнопку Yes (Да).

Рис. 10.17. Предупреждение об установке ActiveX-компонента на локальном компьютере

После этого выполняется подключение к выбранному (целевому) компьютеру и появляется традиционное окно регистрации. На рис. 10.18 для примера показано окно браузера Internet Explorer, в котором отображается сессия работы на удаленном компьютере. Обратите внимание, что в окне адреса указан IP-адрес одного компьютера (через который мы вошли в сеть), а подключение выполнено к другому компьютеру — его адрес указан в нижней части экрана. Напомним, что такую картинку можно получить в любой операционной системе, где установлен Internet Explorer версии 4.0 и выше. В полноэкранном режиме работы панели браузера не отображаются совсем, и мы увидим только рабочий стол удаленного компьютера.

Рис. 10.18. Окно сессии удаленного доступа к рабочему столу Windows Server 2003 через Интернет

Удаленный помощник (Remote Assistance)

Средство Remote Assistance (Удаленный помощник) по сути реализовано так же, как и описанная в предыдущем разделе функция Remote Desktop.
Для использования Remote Assistance обе системы должны работать под управлением Windows ХР или Windows Server 2003. Включить/выключить это средство можно на вкладке Remote (Удаленное использование) (см. рис. 10.9) (по умолчанию оно выключено). Нажав на этой вкладке кнопку Advanced (Подробнее), можно настроить некоторые параметры удаленного помощника (рис. 10.19). Обратите внимание на то, что при включении Remote Assistance по умолчанию разрешено и удаленное управление компьютером. Это не должно вас пугать, поскольку для управления компьютером всегда требуется дополнительное, явное разрешение с вашей стороны во время сеанса работы удаленного помощника. Если вы не измените срок действия запроса (по умолчанию 30 дней), то в течение этого времени ваше приглашение будет действительным, т. е. помощник сможет запрашивать доступ к вашему компьютеру. Всякий раз при этом от вас потребуется отдельное разрешение на его подключение.

Рис. 10.19. Окно настройки параметров сервиса Remote Assistance

Работа с удаленным помощником не вызывает затруднений (поскольку осуществляется с помощью программы-мастера), поэтому мы опишем процедуру инициализации сеанса совместной работы в целом.
1. Откройте окно Help and Support Center (Центр справки и поддержки) и в группе ссылок Support Tasks (Поддержка) щелкните по ссылке Remote assistance (Приглашение на подключение для Удаленного помощника).
2. В следующем окне щелкните по ссылке Invite someone to help you (Отправить приглашение); здесь же вы можете просматривать состояние своих запросов и управлять ими — для этого выберите ссылку View invitation status (Показать состояние отправленных приглашений).
Передать запрос можно с помощью встроенной программы Windows Messenger (самый простой и оперативный вариант!) или посредством электронной почты (оба варианты могут быть реализованы даже в локальной сети). Поэтому рассмотрим каждый вариант отдельно.

Запрос с использованием программы Windows Messenger

В данном случае вы должны предварительно выполнить вход в систему мгновенных сообщений. Если программа Windows Messenger запущена и вход выполнен, то вы получите экран, аналогичный показанному на рис. 10.20. Выберите доступного собеседника и щелкните по ссылке Invite this person (Пригласить этого человека).

Рис. 10.20. В этом окне можно выбрать доступного удаленного помощника и послать ему приглашение

После процедуры передачи запроса и его подтверждения выбранным собеседником нужно разрешить его доступ (рис. 10.21) — только в этом случае начнется процесс подключения удаленного пользователя к вашему компьютеру. В противном случае приглашение считается аннулированным.

Рис. 10.21. Если вы действительно посылали запрос указанному человеку, нажмите кнопку Yes

Возможно, еще проще отправить запрос непосредственно из окна программы Windows Messenger — в этом случае не нужно открывать окно Help and Support Center. Выполните вход в программе Windows Messenger, выберите доступного собеседника и в контекстном меню выполните команду Ask for Remote Assistance (Обратиться к удаленному помощнику). У выбранного собеседника откроется диалоговое окно, в котором он может обменяться с вами предварительной информацией и принять запрос.

Отправка запроса по электронной почте

Если вы решили воспользоваться электронной почтой, введите адрес вашего коллеги (см. рис. 10.20) и щелкните по ссылке Continue. В следующем окне программы-мастера можно ввести произвольный текст, сопровождающий запрос (например, описание вашей проблемы). Далее, определите время действия приглашения и задайте пароль, если вы каким-то "безопасным" образом можете сообщить его вашему коллеге. Это весьма критичные параметры. Если вы оставите срок действия приглашения равным одному часу, а письмо будет получено через 2—3... часа, то рассчитывать на успех вам не придется. Пароль дополнительно защищает ваш запрос. После нажатия кнопки Create E-mail Invitation (Отправить приглашение) будет выполнено формирование и отправка почтового запроса.
Если вы послали просьбу о помощи по почте, ваш адресат получит письмо с заголовком YOU HAVE RECEIVED A REMOTE ASSISTANCE INVITATION (Приглашение с запросом об удаленной помощи), содержащее интернет-ссылку1. Он должен щелкнуть по этой ссылке, если согласен на диалог. (Браузер адресата должен быть настроен соответствующим образом, для чего на запрашиваемой веб-странице имеются соответствующие инструкции. У адресата должен также быть загружен и установлен элемент Remote Assistance Server Control, обеспечивающий удаленный доступ.) Теперь общение будет происходить в "реальном времени": начинается подключение к компьютеру — источнику запроса. С этого момента, когда появится запрос, показанный на рис. 10.21, все последующие действия партнеров одинаковы и не зависят от способа получения запроса на удаленную помощь. Отправитель должен разрешить вход на свой компьютер — в этом случае начнется сессия удаленного доступа.

Сессия удаленного доступа

После того как пользователь, отправивший запрос к удаленному помощнику, подтвердил свой запрос, у помощника (в диалоговых окнах он называется Expert) открывается окно Remote Assistance, в котором он может видеть экран собеседника и вести с ним обмен сообщениями (рис. 10.22). При этом Expert может только наблюдать за экраном компьютера пользователя. Программа Remote Assistance запускается и у пользователя, только ее окно выглядит и иначе. (На рис. 10.22 можно видеть два окна Remote Assistance: "большое" отображается на компьютере помощника, и "маленькое", в центре рисунка — на компьютере пользователя.) При наличии соответствующей аппаратуры можно установить голосовую связь (кнопка Start Talking (Начать разговор)).
При необходимости Expert может запросить доступ к компьютеру, возможность управлять им (кнопка Take Control (Взять управление)). У пользователя при этом появится специальное сообщение, и он должен дать отдельное разрешение на управление своим компьютером — в этом случае рабочий стол становится доступным одновременно и для пользователя, и для помощника, у которого при получении разрешения тоже появляется предупреждение. В любой момент дистанционное управление компьютером может быть разорвано с любой стороны путем нажатия клавиши <Esc> или комбинации клавиш, включающих <Esc>.
При совместном управлении компьютером требуется согласовывать действия сторон и не пользоваться мышью и клавиатурой одновременно.
1 В системах Windows XP письмо содержало файл, который получатель должен был запустить на выполнение, подтверждая свое желание ответить на запрос. При этом не требовалось подключение к Интернету взаимодействующих сторон.

Рис. 10.22. Окно программы Remote Assistance позволяет видеть экран пользователя, запросившего помощь, и вести обмен текстовыми сообщениями

Управление рабочей средой пользователя

Рабочая среда пользователя состоит из настроек рабочего стола, например, цвета экрана, настроек мыши, размера и расположения окон, из настроек процесса обмена информацией по сети и с устройством печати, переменных среды, параметров реестра и набора доступных приложений.
Для управления средой пользователя предназначены следующие средства систем Windows 2000/XP и Windows Server 2003.

  • Профили пользователей. В профиле пользователя хранятся все настройки рабочей среды системы, определенные самим пользователем. Это могут быть, например, настройки экрана и соединения с сетью. Все настройки, выполняемые самим пользователем, автоматически сохраняются в папке, имя которой для вновь установленной системы выглядит следующим образом: %SystemDrive%\Documents and 8е11т£5\<имя_полъзователя>.
  • Сценарий входа в систему (сценарий регистрации) представляет собой командный файл, имеющий расширение bat или cmd, исполняемый файл с расширением ехе или сценарий VBScript, который запускается при каждой регистрации пользователя в системе или выходе из нее. Сценарий может содержать команды операционной системы, предназначенные, например, для создания соединения с сетью или для запуска приложения. Кроме того, с помощью сценария можно устанавливать значения переменных среды, указывающих пути поиска, каталоги для временных файлов и другую подобную информацию.
  • Сервер сценариев Windows (Windows Scripting Host, WSH). Сервер сценариев независим от языка и предназначен для работы на 32-разрядных платформах Windows. Он включает в себя как ядро сценариев Visual Basic Scripting Edition (VBScript), так и JScript. Сервер сценариев Windows предназначен для выполнения сценариев прямо на рабочем столе Windows или в окне консоли команд. При этом сценарии не нужно встраивать в документ HTML.

Профили пользователей

На изолированном компьютере с Windows Server 2003 локальные профили пользователей создаются автоматически. Информация локальных профилей необходима для поддержки настроек рабочего стола локального компьютера, характерных для конкретного пользователя. Профиль создается для каждого пользователя в процессе его первой регистрации в компьютере.
Профиль пользователя обладает следующими преимуществами:

  • при регистрации пользователя в системе рабочий стол получает те же настройки, какие существовали в момент предыдущего выхода пользователя из системы;
  • несколько пользователей могут работать на одном и том же компьютере в . индивидуальных средах (нельзя только иметь собственные параметры разрешения экрана и частоты развертки; здесь нужно применять профили оборудования);
  • при работе компьютера в домене профили пользователей могут быть сохранены на сервере. В этом случае пользователь получает возможность работать со своим профилем при регистрации на любом компьютере сети. Такие профили называются перемещаемыми (roaming profile). Разновидностью перемещаемых профилей являются обязательные профили (mandatory profiles). Такой профиль пользователь не может изменять, и все изменения, сделанные в настройках системы, теряются при выходе из нее. В Windows XP и Windows Server 2003 обязательные профили поддерживаются только для совместимости, вместо них рекомендуется применять групповые политики.

Не все настройки локального профиля пользователя входят (копируются) в его перемещаемый профиль!
Пользовательские профили можно применять различным образом:

  • создать несколько типов профилей и назначить их определенным группам пользователей. Это позволит получить несколько типов рабочих сред, соответствующих различным задачам, решаемым пользователями;
  • назначать общие групповые настройки всем пользователям;
  • назначать обязательные профили, какие-либо настройки которых пользователи изменять не могут.

Настройки, хранящиеся в профиле пользователя

Профиль пользователя хранит настройки конфигурации и параметры, индивидуально назначаемые каждому пользователю и полностью определяющие его рабочую среду (табл. 10.3).

Таблица 10.3. Настройки профиля пользователя

Объект | Соответствующие ему параметры
Windows Explorer | Все настройки, определяемые самим пользователем, касающиеся программы Windows Explorer
Панель задач | Все персональные группы программ и их свойства, все программные объекты и их свойства, все настройки панели задач
Настройки принтера | Сетевые соединения принтера
Панель управления | Все настройки, определенные самим пользователем, касающиеся панели управления
Стандартные | Настройки всех стандартных приложений, запускаемых для конкретного пользователя
Приложения, работающие в операционной системе Windows Server 2003 | Любое приложение, специально созданное для работы в среде Windows Server 2003, может обладать средствами отслеживания своих настроек относительно каждого пользователя. Если такая инсрормация существует, она хранится в профиле пользователя
Электронная подсказка | Любые закладки, установленные в справочной системе Windows Server 2003
Консоль управления Microsoft | Индивидуальный файл конфигурации и текущего состояния консоли управления

Структура нового профиля пользователя

Профиль пользователя создается на основе профиля, назначаемого по умолчанию. Он хранится на каждом компьютере, где работает Windows Server 2003. Файл NTUSER.DAT, находящийся в папке Default User, содержит настройки конфигурации, хранящиеся в реестре Windows Server 2003. Кроме того, каждый профиль пользователя использует общие программные группы, находящиеся в папке All Users.

Структура профиля пользователя

Как уже говорилось, при создании профиля пользователя используется профиль, назначаемый по умолчанию, находящийся в папке Default User. Папка Default User, папки профилей индивидуальных пользователей, а также папки All Users, LocalService и NetworkService находятся в папке Documents and Settings корневого каталога на загрузочном томе. В папке каждого пользователя находятся файл NTUSER.DAT и список ссылок на объекты рабочего стола. На рис. 10.23 показана структура папок локального профиля пользователя. В этих папках, в частности, хранятся ссылки на различные объекты рабочего стола. Файл ntuser.dat.LOG представляет собой журнал транзакций, фиксирующий изменения профиля и позволяющий восстановить его в случае, когда происходит повреждение файла NTUSER.DAT.

Рис. 10.23. Структура подпапок профиля пользователя

В табл. 10.4 перечислены подпапки, находящиеся внутри папки локального профиля пользователя, и описано их содержимое. Некоторые из этих подпапок являются скрытыми и могут быть не видны при обычном просмотре. Все указанные папки, кроме папки Local Settings, входят в перемещаемый профиль пользователя (при работе компьютера в составе домена). При использовании обычного профиля локальные папки Application Data, Desktop, My Documents, My Pictures и Start Menu можно переназначать на общие сетевые диски при помощи оснастки-расширения Folder Redirection (Перенаправление папки), входящей в оснастку Group Policy Object Editor (Групповая политика).

Таблица 10.4. Содержимое папки локального профиля пользователя

Подпапка | Содержимое
Application Data | Данные, относящиеся к конкретным приложениям, например, индивидуальный словарь. Разработчики приложений сами принимают решение, какие данные должны быть сохранены в папке профиля пользователя
Cookies | Служебные файлы, получаемые с просматриваемых вебсерверов
Desktop (Рабочий стол) | Объекты рабочего стола, включая файлы и ярлыки
Favorites (Избранное) | Ярлыки часто используемых программ и папок
Local Settings | Данные о локальных настройках, влияющих на работу программного обеспечения компьютера
My Documents (Мои документы) | Данные о документах и графических файлах, используемых пользователем
My Recent Documents (Недавно использовавшиеся документы) | Данные о документах и графических файлах, открытых пользователем в течение последнего времени
NetHood | Ярлыки обьектов сетевого окружения
PrintHood | Ярлыки обьектов папки принтера
Recent | Ярлыки недавно используемых объектов
SendTo | Ярлыки объектов, куда могут посылаться документы
Start Menu (Главное меню) | Ярлыки программ
Templates (Шаблоны) | Ярлыки шаблонов
UserData | Служебная информация

Для управления пользовательскими профилями имеется более десятка групповых политик, которые доступны в окне оснастки Group Policy Object Editor в папках Computer Configuration | Administrative Templates | System | User Profiles (Конфигурация компьютера | Административные шаблоны | Система | Профили пользователей) и User Configuration | Administrative Templates | System | User Profiles (Конфигурация пользователя | Административные шаблоны | Система | Профили пользователей).

Папка All Users

Настройки, находящиеся в папке All Users, не копируются в папки профиля пользователя, но используются для его создания. Платформы Windows NT поддерживают два типа программных групп.

  • Общие программные группы. Они всегда доступны на компьютере, независимо от того, кто зарегистрирован на нем в данный момент. Только администратор может добавлять объекты к этим группам, удалять или модифицировать их.
  • Персональные программные группы. Они доступны только создавшему их пользователю.

Общие программные группы хранятся в папке All Users, находящейся в папке Documents and Settings. Папка All Users также содержит настройки для рабочего стола и меню Start. Группы этого типа на компьютерах, где работает Windows Server 2003, могут создавать только члены группы Administrators.

Создание локального профиля пользователя

Локальный профиль пользователя хранится на компьютере в папке, имя которой совпадает с именем данного пользователя, находящейся в папке Documents and Settings на загрузочном томе. Если для данного пользователя не существует сконфигурированный перемещаемый (находящийся на сервере) профиль, то при первой регистрации пользователя в компьютере для него создается индивидуальный профиль. Содержимое папки Default User копируется в папку нового профиля пользователя. Информация профиля, вместе с содержимым папки All Users, используется при конфигурации рабочей среды пользователя. При завершении пользователем работы на компьютере все сделанные им изменения настроек рабочей среды, выбираемых по умолчанию, записываются в его профиль. Содержимое папки Default User остается неизменным.
Если пользователь имеет отдельную учетную запись на локальном компьютере и в домене, для каждой из них создается свой профиль пользователя, поскольку регистрация на компьютере происходит с помощью различных учетных записей. При завершении работы все сделанные изменения также записываются в соответствующий данной учетной записи профиль.

Перемещаемые профили пользователей

Перемещаемый профиль по своей структуре идентичен локальному профилю, за исключением того, что в нем отсутствует папка Local Settings. Перемещаемый профиль определяется на уровне доменной учетной записи пользователя. Чтобы определить перемещаемый профиль, откройте вкладку Profile (Профиль) окна свойств объекта, ассоциированного с учетной записью пользователя (рис. 10.24). В поле Profile path необходимо указать путь к перемещаемому профилю пользователя.

Рис. 10.24. Назначение перемещаемого профиля

Путь к профилю пользователя задается в следующем формате: \\<сервер>\<общая_папка>\<имя_профиля>
Для размещения профилей можно использовать любую общую папку с полным доступом для группы Everyone (Все). Имя профиля может быть произвольным. Однако традиционно имя профиля совпадает с именем учетной записи пользователя.
Непосредственно создание профиля может быть осуществлено двумя способами. Первый способ предполагает автоматическое создание профиля в указанной папке при выходе пользователя из системы. Второй способ предполагает копирование в указанную папку приготовленного заранее профиля (например, можно скопировать один из локальных профилей пользователей).
Каждый раз, когда пользователь выходит из системы, текущие настройки рабочей среды сохраняются в локальном и перемещаемом профиле. В ходе регистрации пользователя в системе копия локального профиля сравнивается с копией перемещаемого профиля. Если копии различаются, используется более свежий профиль. Локальный профиль пользователя будет использован также в ситуациях, когда перемещаемый профиль окажется по каким-либо причинам недоступен (например, в случае отказа сервера, на котором он расположен). При этом по завершении работы пользователя система не будет предпринимать попыток сохранения изменений профиля на сервере.
Для придания перемещаемому профилю статуса обязательного необходимо переименовать файл NTUSER.DAT в файл NTUSER.MAN.

Настройка рабочей среды пользователя при помощи сценариев

Сценарии входа выполняются автоматически в процессе каждой регистрации пользователя на компьютере, работающем под управлением систем Windows 2000/XP или Windows Server 2003; подобным образом сценарии могут выполняться при выходе из системы. Также сценарии могут запускаться при загрузке системы и по окончании работы. Хотя сценарии входа чаще используются в доменах, их можно применять и на компьютерах — членах рабочей группы (а любой автономный компьютер также является членом группы). Для назначения сценариев используется оснастка Group Policy Object Editor (см. разд. "Сценарии"главы 21 "Использование групповых политик").
Хотя чаще всего сценарий входа представляет собой командный файл с расширением bat или cmd, в качестве сценария входа может быть использован сценарий VBScript/JScript или исполняемый файл (*.ехе).
Сценарии входа не являются обязательными. Они могут применяться для настройки рабочей среды пользователя, создания сетевых соединений или запуска приложений. Сценарии входа очень удобны, если необходимо изменить некоторые параметры рабочей среды пользователя без выполнения ее полной настройки.

Примечание

Профили пользователя могут в процессе регистрации восстанавливать существовавшие ранее соединения с сетью, но они не могут быть использованы для создания новых соединений.

Создание сценариев входа

Для создания сценариев входа может быть использован обыкновенный текстовый редактор. Затем с помощью оснастки Group Policy Object Editor сценарии входа назначаются соответствующему пользователю, компьютеру или объекту каталога Active Directory, если компьютер входит в домен. Поскольку действия групповых политик могут распространяться на группы объектов каталога, один сценарий может выполняться несколькими пользователями или компьютерами. В табл. 10.5 приведены примеры параметров, значения которых можно устанавливать с помощью сценария входа, и их описание.

Таблица 10.5. Параметры, устанавливаемые с помощью сценария входа

Параметр | Описание
%HOMEDRIVE% | Имя устройства локального компьютера, связанного с домашним каталогом пользователя
%НОМЕРАТН% | Полный путь к домашнему каталогу пользователя
%HOMESHARE% | Имя общего ресурса, где находится домашний каталог пользователя
%OS% | Операционная система компьютера пользователя
%PROCESSOR ARCHITECTURE% | Тип процессора (например, Pentium) компьютера пользователя
%PROCESSOR_LEVEL% | Уровень процессора компьютера пользователя
%USERDOMAIN% | Домен, в котором находится учетная запись пользователя
%USERNAME% | Имя пользователя

Изменение системных и пользовательских переменных среды

Для конфигурирования, поиска, выделения памяти определенным программам и управления приложениями операционная система Windows Server 2003 и прикладные программы требуют определенной информации, называемой переменными среды (environment variables) системы и пользователя. Их можно просмотреть на вкладке Advanced (Дополнительно) окна свойств системы (System Properties), нажав кнопку Environment Variables (Переменные среды) (рис. 10.25). Эти переменные похожи на переменные, которые устанавливались в операционной системе MS-DOS, например PATH и TEMP.

Рис. 10.25. Окно настроек переменных среды для пользователя и системы

Системные переменные среды определяются в Windows Server 2003 независимо от того, кто зарегистрировался на компьютере. Если вы зарегистрировались как член группы Administrators, то можете добавить новые переменные или изменить их значения.
Переменные среды пользователя устанавливаются индивидуально для каждого пользователя одного и того же компьютера. Сюда включаются любые переменные среды, которые вы хотите определить, или переменные, определенные вашим приложением, например путь к файлам приложения.
После изменения переменных среды их новые величины сохранятся в реестре, после чего они становятся доступны ("видны") при закрытии окна Environment Variables.
Если между переменными среды возникает конфликт, он разрешается следующим способом:
1. Устанавливаются системные переменные среды.
2. Устанавливаются переменные, определенные в файле Autoexec.bat (за исключением переменных PATH). Они перезаписывают системные переменные.
3. Устанавливаются переменные среды пользователя, определенные в окне Environment Variables. Они перезаписывают как системные переменные, так и переменные файла Autoexec.bat.
4. Устанавливаются переменные PATH файла Autoexec.bat.

Примечание

Настройки пути (PATH), в отличие от других переменных среды, кумулятивны. Полный путь (который вы видите как результат выполнения в командной строке команды path) создается присоединением путей, устанавливаемых в файле Autoexec.bat, к путям, определенным в окне Environment Variables.

Сервер сценариев Windows (WSH)

Сервер сценариев Windows (Windows Script Host, WSH) не зависит от языка сценария и устанавливается в системах Windows 98/ME, Windows 2000/XP и Windows Server 2003 как стандартное средство. Также его можно установить в системах Windows 95 и Windows NT 4.0. Компания Microsoft разработала и поддерживает ядро сценариев как для Visual Basic, так и для JavaScript. В составе Windows XP и Windows Server 2003 поставляется WSH версии 5.6.

Назначение сервера сценариев

Сервер сценариев позволяет применять в операционных системах Windows простые мощные и гибкие сценарии. Раньше единственным языком сценариев, поддерживаемым операционной системой Windows, был язык команд MS-DOS (командный файл). Хотя это быстрый и компактный язык в сравнении с языками VBScript и JScript, он обладает весьма ограниченными возможностями. В настоящее время архитектура сценариев ActiveX позволяет в полной мере использовать все средства таких языков сценариев, как VBScript и JScript, одновременно сохраняя совместимость с набором команд MS-DOS.

Примечание

Использование сценариев для выполнения административных задач также рассматривается в главе 11 "Управление системами Windows в корпоративной среде".

Компания Microsoft поставляет три среды, предназначенных для выполнения языков сценариев на платформах Windows:

  • Internet Explorer;
  • Internet Information Server или WWW Server в составе служб Internet Information Services;
  • Windows Scripting Host.

Internet Explorer позволяет выполнять сценарии на машинах клиентов внутри HTML-страниц.
Internet Information Server поддерживает работу со страницами ASP, позволяющими выполнять сценарии на веб-сервере. Другими словами, выполнение сценариев на сервере становится возможным в сетях Интернет и интранет.
Сервер сценариев Windows позволяет выполнять сценарии прямо на рабочем столе операционной системы Windows или в окне командной консоли, для этого не нужно встраивать их в документ HTML. В процессе работы сервер сценариев чрезвычайно экономно использует память, что очень удобно для выполнения неинтерактивных сценариев, например сценария входа в сеть, административного сценария, и автоматизации операций, выполняемых на машине.

Запуск сервера сценариев из командной строки

Для запуска сервера сценариев из командной строки используйте утилиту Cscript.exe в соответствии со следующим синтаксисом: cscript имя_сценария [параметры_сервера_сценариев] [параметры_сценария], где

  • имя_сценария — это имя файла сценария с расширением, например, Chart.vbs;
  • параметры_сервера_сценариев — включают и отключают различные средства сервера сценариев. Они всегда предваряются двумя слэшами (//);
  • параметры_сценария — передаются в сценарий. Они всегда предваряются одним слэшем (/).

Ни один из параметров не является обязательным. Однако нельзя указать параметры сценария без самого сценария. Если вы не указываете ни одного параметра, Cscript.exe выдает на экран синтаксис своего запуска и допустимые параметры сервера сценариев (табл. 10.6).

Таблица 10.6. Параметры сервера сценариев, поддерживаемые Cscript.exe

Параметр | Описание
//B | Пакетный режим. Не отображает на экране сообщений об ошибках и приглашения пользователей
//D | Активизирует функцию отладки
//E=engine | Задает ядро, используемое для выполнения сценария
//H:Cscript или Wscript | Устанавливает Cscript.exe или Wscript.exe в качестве приложения, выбираемого по умолчанию для выполнения сценариев. По умолчанию установлен Wscript.exe
//I | Интерактивный режим (выбирается по умолчанию; режим, обратный задаваемому параметром / /в)
//Job: xxx | Выполняет задание WSF
//Logo | Отображает на экране заставку (выбирается по умолчанию; режим, обратный задаваемому параметром //NoLogo)
//NoLogo | Запрещает вывод заставки
//S | Сохраняет текущие параметры командной строки для этого пользователя
//T:nn | Время ожидания в секундах. Максимальное время, в течение которого может выполняться сценарий. (По умолчанию ограничение не устанавливается.)
 | Этот параметр используется для предотвращения слишком длительного выполнения сценариев. Устанавливается специальный таймер. Когда время выполнения превышает установленное значение, CSCRIPT прерывает работу ядра сценариев и завершает процесс
//X | Задает выполнение сценария в среде отладчика
//U | Использует кодировку Unicode для перенаправленного консольного ввода/вывода
//? | Показывает параметры и синтаксис команды Cscript.exe

Примеры простых сценариев можно скачать в виде пакета Sample Scripts no адресу http://msdn.microsoft.com/scripting/default.htm7/scripting/windowshost.
Например, для того чтобы запустить сценарий Chart.vbs:
1. В меню Start (Пуск) выберите команду Run (Выполнить).
2. В командной строке выполните следующие команды: cscript "устройство:"\"/Саталог"\chart.vbs //logo или cscript "устройство:"\"Каталог"\chart.vbs //nologo
В системах Windows XP и Windows Server 2003 не обязательно указывать расширение сценариев: можно просто набрать с клавиатуры имя сценария или щелкнуть по нему мышью в окне программы Windows Explorer.

Запуск сценариев в среде Windows

Сценарий в среде Windows можно запустить тремя способами.

  • Дважды щелкните на файле сценария или на соответствующем значке в окне My Computer (Мой компьютер), в окне программы Windows Explorer или в окне результатов команды Search (Поиск).
  • В окне Run (Выполнить) введите с клавиатуры полное имя (включающее путь и расширение) выполняемого сценария и нажмите кнопку ОК.
  • В окне Run (Выполнить) введите wscript.exe с указанием полного имени сценария и необходимых параметров сервера и сценария.

При запуске сценария с помощью WSH можно указать, какое приложение следует использовать — Cscript.Exe или Wscript.Exe. Приложение сервера, выбираемое по умолчанию, может быть установлено с помощью команды cscript //H:имя_сервера_сценариев.
Например, если вы устанавливаете в качестве приложения, выбираемого по умолчанию, Wscript.exe и выполняете сценарий с именем Chart.vbs, то Wscript.exe будет выбираться по умолчанию для всех файлов сценариев, имеющих расширение vbs.
Страница свойств сервера сценариев Windows позволяет устанавливать параметры, приведенные в табл. 10.7.

Таблица 70.7. Свойства сервера сценариев

Свойство | Применение | Эквивалент параметра команды cscript
Stop scripts after specified number of seconds (Останавливать сценарий после указанного числа секунд) | Максимальное количество секунд, в течение которых можно выполнять сценарий. (По умолчанию ограничение не устанавливается.) | //T:nn
Display logo when scripts executed in command console (Отображать на консоли сведения о программе во время выполнения сценария) | Отображать заставку. (Обратное параметру //nologo. Устанавливается по умолчанию.) | //logo или //nologo

Настройка индивидуальных свойств сценария. Файл с расширением wsh

С помощью страницы свойств модуля Wscript.exe можно установить глобальные параметры, касающиеся сразу всех сценариев, выполняемых на локальной машине. Однако также можно настроить индивидуальные параметры отдельно взятого сценария, позволяющие осуществлять жесткий контроль его выполнения. Свойства конкретного сценария сохраняются в файле с расширением wsh. Для его создания просто установите указатель мыши на файле сценария в окне программы Windows Explorer и нажмите правую кнопку. В появившемся контекстном меню выберите команду Properties (Свойства). На вкладке Script (Сценарий) измените стандартные свойства сценария, например максимальное время исполнения, и нажмите кнопку ОК. В результате в каталоге, где находится сценарий, будет создан файл с расширением wsh, имя которого совпадает с именем сценария. Он содержит индивидуальные настройки сценариев для WSH. Функции этого файла сходны с функциями файла PIF 16-разрядных приложений.
Чтобы запустить сценарий, для которого создан файл с расширением wsh, следует дважды щелкнуть мышью на файле *.wsh в окне программы Windows Explorer или использовать этот файл в качестве параметра для программы Wscript.exe или Cscript.exe в командной строке. Например: С:\>cscript Myscript.wsh
Поскольку в файле с расширением wsh хранятся значения параметров, используемых сценарием при выполнении, системный администратор может создать несколько версий файла с параметрами, ориентированных на различные группы пользователей внутри организации. Набор файлов с расширением wsh, относящийся к одному сценарию, может быть использован следующим образом.

  • Администратор может создать отдельный файл *.wsh для определенной группы пользователей внутри организации. Это позволит осуществлять индивидуальный контроль определенных сценариев, выполняющихся в течение дня.
  • Администратор может создать индивидуальные файлы *.wsh для конкретных пользователей внутри организации. Это позволяет осуществлять полный контроль ряда сценариев, используемых внутри организации.
  • Индивидуальные файлы с расширением wsh могут быть созданы для сценариев входа пользователей в систему. Это позволяет администратору осуществлять индивидуальный контроль над рядом свойств сценариев, выполняемых на клиентских машинах при регистрации пользователя в системе.

Файл с расширением wsh представляет собой простой текстовый файл, формат которого сходен с форматом файла с расширением inf. Ниже приведен пример содержимого файла *.wsh.

[ScriptFile]

Path=C: \WINNT\ Samples \WSH\ showprop. vbs

[Options]
Timeout=0
DisplayLogo=l
BatchMode=0

Параметр Path в разделе [ScriptFile] определяет местоположение файла сценария, с которым связан данный файл *.wsh. Параметры, значения которых устанавливаются в разделе [Options], соответствуют настройкам вкладки Script (Сценарий) окна Properties (Свойства).
После двойного щелчка мышью на файле с расширением wsh или выполнения его в командной строке программа Cscript.exe или Wscript.exe считывает его и определяет специфические параметры, которые следует использовать при выполнении соответствующего сценария. В результате сценарий будет выполняться с необходимыми параметрами, заданными в файле *.wsh. Обратите внимание, что при запуске файла с расширением wsh требуется присутствие соответствующего ему сценария. Если выполнение сценария посредством файла *.wsh закончилось неудачно, проверьте запись path=. Она должна указывать на тот сценарий, который вы хотите выполнить.
WSH 5.6 позволяет также использовать файлы Windows script files (*.wsf), содержащие код на языке Extensible Markup Language (XML). Эти файлы просты, очень эффективны и значительно расширяют возможности применения сценариев в среде Windows XP. За более подробной информацией рекомендуем обратиться к веб-документу "Using Windows Script Files (.wsf)" по адресу:
http://msdn.microsoft.com/library/default.asp?url=/library/ en-us/script56/html/wsadvantagesoftvs.asp?frame=true.

Аудит локальной системы

Аудит — это процесс, позволяющий фиксировать события, происходящие в операционной системе и имеющие отношение к безопасности: например, регистрация в системе или попытки создания объекта файловой системы, получения к нему доступа или удаления. Информация о подобных событиях заносится в файл журнала событий операционной системы.
После включения аудита операционная система начинает отслеживать события, связанные с безопасностью. Полученную в результате информацию (журнал Security) можно просмотреть с помощью оснастки Event Viewer (Просмотр событий). В процессе настройки аудита необходимо указать, какие события должны быть отслежены. Информация о них помещается в журнал событий. Каждая запись журнала хранит данные о типе выполненного действия, пользователе, выполнившем его, а также о дате и моменте времени выполнения данного действия. Аудит позволяет отслеживать как успешные, так и неудачные попытки выполнения определенного действия, поэтому при просмотре журнала событий можно выяснить, кто предпринял попытку выполнения неразрешенного ему действия.
Настройка аудита может выполняться как в один, так и в два приема:
1. Сначала его следует активизировать с помощью оснастки Local Security Settings (Локальная политика безопасности) или Group Policy Object Editor (Редактор объектов групповой политики). При этом необходимо определить набор (тип) отслеживаемых событий. Это могут быть, например, вход и выход из системы, попытки получить доступ к объектам файловой системы и т. д. Для многих системных событий этой операции достаточно, и их регистрация начинается немедленно.
2. Затем следует указать, какие конкретно объекты необходимо подвергнуть аудиту, и для каких групп или пользователей он будет осуществляться. Эта операция выполняется с помощью Редактора списков управления доступом (ACL). Для разных объектов — файлов, реестра или объектов каталога Active Directory — используемый при этом пользовательский интерфейс будет непринципиально различаться.

Примечание

Для того чтобы иметь возможность настраивать аудит, необходимо иметь права администратора.

В автономных системах Windows Server 2003 по умолчанию включен аудит событий регистрации в системе (logon events). На контроллерах домена под управлением Windows Server 2003 по умолчанию включен аудит большинства системных событий, за исключением доступа к объектам и процессам, а также событий использования привилегий.

Активизация аудита

Процедура активизации аудита одинакова для любых систем. На контроллерах домена нужно пользоваться оснасткой Domain Controller Security Policy. Для активизации аудита на изолированном компьютере:
1. Запустите оснастку Local Security Settings. Можно также воспользоваться оснасткой Group Policy Object Editor (введите в командной строке gpedit .msc).
2. В окне структуры откройте узел Local Policies | Audit Policy (Локальные политики | Политика аудита) (рис. 10.26).

Рис. 10.26. Настройка аудита на локальном компьютере

3. На правой панели появится список политик аудита. По умолчанию большинство из них имеет значение No auditing (Нет аудита). Для включения аудита следует изменить значения нужных параметров. Выполните двойной щелчок на устанавливаемой политике аудита. Появится диалоговое окно, с помощью которого можно разрешить аудит (см. рис. 10.26). В группе Audit these attempts (Вести аудит следующих попыток доступа) установите флажки Success (Успех) или Failure (Отказ), или оба.
4. Нажмите кнопку ОК.
Подобную операцию следует повторить для тех политик аудита, которые вы хотите активизировать. Для того чтобы отключить аудит, флажки Success и Failure следует снять.

Настройка и просмотр параметров аудита для папок и файлов

Чтобы настроить, просмотреть или изменить параметры аудита файлов и папок:
1. В окне программы Windows Explorer установите указатель мыши на файл или папку, для которой следует выполнить аудит, и нажмите правую кнопку. В появившемся контекстном меню выберите команду Properties (Свойства). В окне свойств папки или файла перейдите на вкладку Security (Безопасность).

Внимание

Напомним, что аудит возможен только на томах NTFS.

2. На вкладке Security нажмите кнопку Advanced (Дополнительно) и затем перейдите на вкладку Auditing (Аудит) (рис. 10.27).

Рис. 10.27. В этом окне можно настроить параметры аудита для выбранной папки

3. Если вы хотите проводить аудит для пользователя или группы, на вкладке Auditing нажмите кнопку Add (Добавить). Появится диалоговое окно Select Users, Computers, or Groups (см. рис. 4.6). Выберите имя нужного пользователя или группы и нажмите кнопку ОК. Откроется окно Auditing Entry (Элемент аудита) (рис. 10.28).

Рис. 10.28. В этом окне задаются события, аудит которых будет вестись для выбранного пользователя или группы

Здесь вы сможете установить все требуемые параметры аудита. В списке Apply onto (Применять) укажите, где следует выполнять аудит (этот список доступен только для папок). В окне Access (Доступ) необходимо указать, какие события нужно отслеживать: окончившиеся успешно (Successful!, Успех), неудачно (Failed, Отказ) или оба типа событий. Флажок Apply these auditing entries to objects and/or containers within this container only (Применять этот аудит к объектам и контейнерам только внутри этого контейнера) определяет, распространяются ли введенные вами настройки аудита на файлы и папки, находящиеся только в выбранной папке (по умолчанию флажок не установлен). В противном случае установите этот флажок (или выберите в списке Apply onto опцию This folder only (Только для этой папки)). Это позволит не выполнять аудит для тех дочерних объектов файловой системы, которые не представляют интереса. После завершения настройки аудита для папки или файла нажмите несколько раз кнопку ОК, чтобы закрыть все диалоговые окна.
4. Если вы хотите просмотреть или изменить настройки аудита для уже существующего пользователя или группы, нажмите кнопку Edit (Изменить). Опять появится окно Auditing Entry. Здесь вы сможете выполнить все необходимые изменения параметров аудита для выбранного вами пользователя или группы. По окончании внесения изменений закройте все окна свойств.

Область действия настроек аудита

Аудит, установленный для родительской папки, автоматически наследуется всеми дочерними папками и файлами. Это поведение можно изменять. Если на вкладке Auditing (Аудит) какая-нибудь строка в поле Auditing entries (Записи аудита) имеет значение, отличное от <not inherited> (не унаследовано), в столбце Inherited From (Наследовано от) и кнопка Remove (Удалить) недоступна, это значит, что данные настройки аудита унаследованы. В этом случае вы можете:

  • изменить настройки аудита родительской папки, и они будут наследоваться всеми дочерними объектами;
  • запретить наследование, сняв флажок Allow inheritable auditing entries from the parent to propagate to this object and all child objects (Переносить наследуемый от родительского объекта аудит на дочерние объекты);
  • добавить другие записи аудита для выбранного объекта, нажав кнопку Add. Эти настройки аудита могут, в свою очередь, наследоваться дочерними объектами этого объекта. В поле Auditing entries новые записи будут иметь значение <not ingerited> (не унаследовано) в столбце Inherited From.

Область действия аудита настраивается в окне Auditing Entry, где в раскрывающемся списке Apply onto можно выбрать "глубину" распространения настроек аудита. Результирующее действие значения, введенного в этом поле, зависит также от того, установлен или нет флажок Apply these auditing entries to objects and/or containers within this container only. По умолчанию этот флажок снят. В табл. 10.8 и 10.9 показано, как настройки аудита действуют в случае, когда данный флажок соответственно снят и установлен. Как можно видеть, его состояние определяет значения последних двух столбцов этих таблиц: при установленном флажке никакие проверки не распространяются на содержимое вложенных папок.

Таблица 10.8. Действие настроек аудита при снятом флажке Apply these auditing entries to objects and/or containers within this container only

Значения в списке Apply onto | Выполняется аудит текущей папки | Выполняется аудит дочерних папок текущей папки | Выполняется аудит файлов в текущей папке | Выполняется аудит всех дочерних папок | Выполняется аудит файлов во всех дочерних папках
This folder only (Только для этой папки) | + |  |  |  |
The folder, subfolders and files (Для этой папки, ее подпапок и файлов) | + | + | + | + | +
This folder and subfolders (Для этой папки и ее подпапок) | + | + |  | + |
This folder and files (Для этой папки и ее файлов) | + |  | + |  | +
Subfolders and files only (Только для подпапок и файлов) |  | + | + | + | +
Subfolders only (Только для подпапок) |  | + |  | + |
Files only (Только для файлов) |  |  | + |  | +

Таблица 10.9. Действие настроек аудита при установленном флажке Apply these auditing entries to objects and/or containers within this container only

Значения в списке Apply onto | Выполняется аудит текущей папки | Выполняется аудит дочерних папок текущей папки | Выполняется аудит файлов в текущей папке | Выполняется аудит всех дочерних папок | Выполняется аудит файлов во всех дочерних папках
This folder only (Только для этой папки) | + |  |  |  |
The folder, subfolders and files (Для этой папки, ее подпапок и файлов) | + | + | + |  |
This folder and subfolders (Для этой папки и ее подпапок) | + | + |  |  |
This folder and files (Для этой папки и ее файлов) | о |  | + |  |
Subfolders and files only (Только для подпапок и файлов) |  | + | + |  |
Subfolders only (Только для подпапок) |  | + |  |  |
Files only (Только для файлов) |  |  | + |  |

Отключение аудита файлов и папок

Для отключения аудита для некоторого файла или папки:
1. Откройте вкладку Auditing (Аудит) для требуемого файла или папки.
2. В окне Auditing entries (Элементы аудита) выберите нужную запись и нажмите кнопку Remove (Удалить). Аудит для соответствующего пользователя или группы вестись не будет. Если в этом поле не остается ни одной записи, это означает, что аудит данного файла или папки отключен полностью.

Примечание

Если кнопка Remove (Удалить) недоступна, это значит, что настройки аудита наследуются от родительской папки.

Выполнение заданий по расписанию (Task Scheduler)

В дополнение к командам AT системы Windows XP и Windows Server 2003 располагают новым средством — планировщиком заданий (Task Scheduler). (Присутствует также новая утилита командной строки — Schtasks.exe, имеющая значительно больше функциональных возможностей по сравнению с AT.) С помощью планировщика заданий можно составить расписание запуска командных файлов, документов, обычных приложений или различных утилит для обслуживания системы. Программы могут запускаться однократно, ежедневно, еженедельно или ежемесячно в заданные дни, при загрузке системы или регистрации в ней, а также при бездействии системы (idle state). Планировщик позволяет задавать достаточно сложное расписание для выполнения заданий, в котором определяются продолжительность задания, время его окончания, количество повторов, зависимость от состояния источника питания (работа от сети или от батарей) и т. п.
Задание сохраняется как файл с расширением job, что позволяет перемещать его с одного компьютера на другой. Администраторы могут создавать файлы заданий для обслуживания систем и переносить их в нужное место. К папке заданий можно обращаться удаленно, кроме того, задания можно пересылать по электронной почте.
Служба Task Scheduler (имя Schedule) инсталлируется вместе с системой и автоматически запускается при ее загрузке. Управление этой службой может осуществляться интерактивно из окна Scheduled Tasks (Назначенные задания), которое доступно из панели управления или по команде Start | АН Programs | Accessories | System Tools | Scheduled Tasks. При помощи меню Advanced (Дополнительно) в окне планировщика заданий можно приостанавливать или запускать снова эту службу. Данное меню позволяет также обращаться к журналу регистрации запланированных и выполненных заданий (команда View Log (Просмотр журнала)), в котором также фиксируются все ошибки, возникшие при запуске заданий.
Среди особенностей планировщика можно отметить:

  • удобный графический пользовательский интерфейс;
  • возможность программного доступа ко всем возможностям планировщика, включая страницы свойств;
  • создание новых заданий при помощи операции перетаскивания (drag-and-drop) или мастера Scheduled Task Wizard (Мастер планирования заданий);
  • средства безопасности.

Графический интерфейс планировщика заданий (рис. 10.29) не требует знания ключей и параметров программы (как это нужно для использования команды AT), он интегрирован в операционную систему и доступен из панели управления. Кроме того, упрощается отладка заданий, поскольку их легко проверить, запустив в любой момент непосредственно из папки заданий (команда Run (Выполнить) в контекстном меню выбранного задания). В главном окне планировщика выводится основная информация о заданиях: расписание, время следующего и предыдущего запуска, состояние, результат выполнения задания, имя создателя задания.

Рис. 10.29. Пример окна планировщика заданий с разными типами запуска

Мастер Scheduled Task Wizard (запускаемый при выборе команды Add Scheduled Task (Добавить задание)) позволяет легко и быстро в интерактивном режиме указать все параметры для запуска запланированного задания. Задания могут иметь несколько расписаний, принципиально отличающихся друг от друга. Например, некоторая программа может запускаться ежедневно в одно время, еженедельно — в другое время и однократно — в заданное время указанного дня. На рис. 10.30 приведен пример расписания для программы Outlook Express, запускающейся по рабочим дням, 3 раза в день. Установив флажок Show multiple schedules (Показывать несколько расписаний), можно задать несколько расписаний для запуска любой программы.

Рис. 10.30. Вкладка Schedule для запланированной задачи запуска программы Outlook Express

Благодаря наличию набора интерфейсов API (планировщик задач позволяет использовать все достоинства моделей СОМ и DCOM) разработчики могут встраивать службы планирования заданий в свои приложения, не заботясь о поддержке и надежности этих служб. Возможность доступа к страницам свойств задачи (см. например, рис. 10.30) позволяет создавать в приложениях специфические диалоговые окна, а затем вызывать стандартные страницы планировщика.
В среде Windows Server 2003 запланированные задания создаются и выполняются с учетом стандартных разрешений системы безопасности. На файлы заданий распространяются правила использования списков управления доступом (ACL) файловой системы NTFS, определяющие круг лиц, которым разрешено просматривать, удалять, модифицировать и выполнять задания (обратите внимание на наличие вкладки Security (Безопасность), рис. 10.30).

Примечание

При перемещении файла *.job в другую систему необходимо восстановить разрешения на его использование, поскольку эти полномочия хранятся в системе безопасности Windows.

При создании задания требуется указывать имя и пароль пользователя, определяющие контекст безопасности, в котором выполняется задание. Это позволяет запускать на одном компьютере несколько заданий с различными правами в отношении безопасности, т. е. несколько пользователей могут одновременно иметь индивидуальные, независимые расписания запланированных заданий.

Административные утилиты

Системы Windows Server 2003 содержат множество утилит командной строки: одни из них выполняют те же действия, что и различные административные оснастки, только позволяют работать в окне консоли или создавать командные файлы, автоматизирующие типовые операции; другие утилиты могут оказаться незаменимым инструментом администратора при выполнении специфических задач по управлению компьютерами, пользователями и сетями.
Администраторы сетей, где используются системы Windows XP и Windows Server 2003, обязательно должны познакомиться с разделом справочной системы "Command-line reference A-Z" (об этом уже говорилось в разд. "Служебные программы" главы 5 "Конфигурирование системы и встроенные приложения"). Многие утилиты, ранее входившие в состав пакета Windows 2000 Resource Kit, теперь являются стандартными элементами этих систем — мы еще раз обращаем на них внимание администраторов.
Назовем лишь некоторые из утилит командной строки (частично они упоминаются в других главах книги):

  • Defrag.exe — выполняет дефрагментацию дисковых томов;
  • Diskpart.exe — позволяет управлять дисками и томами;
  • Eventcreate.exe — позволяет администратору создавать события в системных журналах;
  • Eventtriggers.exe — настраивает триггеры событий, т. е. определенных действий, выполняемых на компьютере;
  • Fsutil.exe — позволяет управлять дисковыми системами (например, управлять квотами);
  • Gpupdate.exe — обновляет установки групповых политик, применяемые к компьютеру и пользователю;
  • Openfiles.exe — отображает открытые файлы;
  • Schtasks.exe — планировщик задач, значительно более мощный, чем команда AT;
  • Shutdown.exe — выключение и перезагрузка локального или удаленного компьютера;
  • Systeminfo.exe — полезная информация о системе, которую иначе искать довольно долго;
  • Tasklist.exe — отображает список выполняющихся приложений, служб и процессов;
  • Taskkill.exe — завершает задачи или процессы;
  • Typeperf.exe — записывает значения счетчиков производительности в окно консоли или в журнал.

Пакет Windows Server 2003 Support Tools

На дистрибутивных Дисках систем Windows Server 2003 имеется пакет чрезвычайно полезных утилит, которые в значительной мере облегчают поиск неисправностей в сетях и доменах на базе Windows 2000 Server и Windows Server 2003. (Многие их этих утилит упоминались в разных главах данной книги.)
Этот пакет называется Windows Server 2003 Support Tools и должен устанавливаться отдельно от самой системы. Для его установки нужно запустить файл Suptools.msi, находящийся в дистрибутиве в папке \SUPPORT\TOOLS. Кроме того, дистрибутив содержит мощнейшее средство миграции между доменами — Active Directory Migration Tool version 2.0 (ADMT), которое устанавливается из папки \I386\ADMT.
В табл. 10.10 перечислены основные административные утилиты и указаны области их применения.

Таблица 10.10. Назначение утилит из пакета Windows Server 2003 Support Tools

Административная задача | Используемые инструменты
Просмотр и редактирование объектов Active Directory | ADSIEdit.msc, Ldp.exe, DsMod.exe, DsMove.exe, DsRm.exe, AdsVw.exe, ModifyUsers.vbs
Запросы к каталогу Active Directory | DsQuery.exe, DsGet.exe, Ldp.exe, Search.vbs, UserAccount.vbs, EnumProp.exe
Миграция и реструктуризация; работа с объектами Active Directory | ADMT, MoveTree.exe, NetDom.exe, ClonePrincipal, DsAdd.exe, AddUsers.exe, GrpCpy.exe
Экспорт/импорт, пакетные операции | CSVDE.exe, LDIFDE.exe, AddUsers.exe, CreateUsers.vbs
Диагностика и обслуживание базы данных Active Directory | NTDSutil.exe
Диагностика сети | NetDiag.exe, NSIookup.exe, DCdiag.exe, NLtest.exe, DNSCmd.exe, RPCPing
Репликация каталога Active Directory | RepAdmin.exe, ReplMon.exe, DsaStat.exe, NTFRSutl.exe
Безопасность Active Directory | ACLDiag.exe, DsACLs.exe, SDCheck.exe, KerbTray.exe, KList.exe
Безопасность системных объектов (файлов, общих ресурсов, реестра и т. д.) | SIDWalker, SublnACL.exe, ADMT
Групповые политики | GPOTool.exe, GPResult.exe, Group Policy Management Console (GPMC)

Служба Windows Time

Использующийся в доменах Active Directory протокол Kerberos включает в аутентификаторы специальные временные метки, чтобы исключить возможность их перехвата. Эта мера имеет одно важное последствие. Чтобы механизм аутентификации успешно работал, необходимо, чтобы системные часы всех компьютеров находились в синхронизированном состоянии. Действительно, получая аутентификатор, подсистема аутентификации сравнивает время его создания с показаниями собственных часов. Если разница составляет больше пяти минут, аутентификатор будет отклонен.
Синхронизация системных часов компьютера осуществляется службой Windows Time. Принцип работы этой службы следующий. Клиентские компьютеры автоматически синхронизируют свои часы с контроллером домена, являющегося исполнителем специализированной роли эмулятора PDC (PDC Emulator). РОС Emulator синхронизирует показания своих системных часов с показаниями часов контроллера родительского домена (или корневого домена леса). Контроллер корневого домена леса может синхронизировать показания своих часов с некоторым внешним источником (например, службой точного времени). Как вариант возможна ситуация, когда синхронизация часов контроллера корневого домена не выполняется. В этом случае показания системных часов данного контроллера домена считаются эталонными.

Примечание

Служба синхронизации времени реализована во всех операционных системах, использующих протокол аутентификации Kerberos — Windows 2000/XP и Windows Server 2003.

Синхронизация с внешним источником времени

В спецификациях стека протоколов TCP/IP предусмотрен специальный протокол NTP (Network Time Protocol, RFC 1119). Этот протокол позволяет выполнять синхронизацию системных часов компьютеров, соединенных через сеть TCP/IP. Клиент протокола NTP синхронизирует показания своих часов с показаниями часов службы сервера NTP. Администратор может синхронизировать системные часы компьютера с внешним источником при помощи двух утилит командной строки. В первом случае необходимо использовать утилиту командной строки net time: net time /SETSNTP:<имя_cepвepa_ntp>
Если вы имеете дело с клиентом Windows XP или Windows Server 2003, вы можете прибегнуть ко второму способу, заключающемуся в использовании утилиты w32tm: w32tm /config /manualpeerlist:<имя_сервера_ntp> /update

Внимание

Следует заметить, что утилита w32tm, поставляемая в составе Windows 2000, отличается от одноименной утилиты, имеющейся в Windows XP и Windows Server 2003.

В качестве сервера NTP в обоих случаях может выступать некоторый контроллер домена. В случае контроллера корневого домена леса речь может идти о внешнем источнике синхронизации. По умолчанию клиенты, находящиеся под управлением операционных систем Windows XP и Windows Server 2003, синхронизируют свои системные часы с узлом Интернета time.windows.com.

Параметры службы Windows Time

Настройки службы синхронизации времени хранятся в ключе реестра HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\W32Time. Перечислим некоторые наиболее важные параметры.
По умолчанию служба Windows Time функционирует в режиме синхронизации с внешним источником. При этом параметр Parameters\type имеет значение NTP. В случае подключения к домену этот параметр изменяет свое значение на Ntsos. To же самое происходит в случае повышения одиночного сервера Windows Server 2003 до контроллера домена.
Значение параметра Parameters \NtpServer определяет сервер NTP, с которым происходит синхронизация времени.
Чтобы запретить синхронизацию времени с внешним источником, можно очистить значение параметра Parameters\NtpServer и присвоить параметру parameters\Type значение NoSync. Если эту операцию выполнить на контролере — эмуляторе РОС корневого домена леса, все компьютеры этого леса будут, в конце концов, синхронизированы по часам этого контроллера.

Получение информации о службе Windows Time

На компьютере, находящемся под управлением Windows XP или Windows Server 2003, администратор может получить информацию о функционировании службы синхронизации времени в домене при помощи команды, приведенной ниже.

C:\>w32tm /monitor /domain:khsu.ru root.khsu.ru *** PDC *** [192.168.1.1]:

ICMP: Oms delay. NTP: +0.0000000s offset from root.khsu.ru RefID: 'LOCI' [76.79.67.76]

store.khsu.ru [192.168.1.2]:

ICMP: Oms delay. NTP: -0.0100835s offset from root.khsu.ru

RefID: root.khsu.ru [192.168.1.1]


Управление системами Windows в корпоративной среде

  • Управление системами Windows в корпоративной среде
  • Технологии IntelliMirror
    • Управление пользовательскими данными
    • Инсталляция и сопровождение программ
    • Управление установками пользователей и компьютеров
  • Службы удаленной установки (RIS)
    • Архитектура службы удаленной установки
      • Принцип функционирования
      • Технологии, лежащие в основе службы удаленной установки
      • Структура службы удаленной установки
    • Развертывание службы удаленной установки
      • Конфигурирование RIS-сервера
    • Конфигурирование служб RIS
      • Определение параметров групповой политики
      • Определение схемы обработки запросов клиентов
    • Управление образами инсталляции
      • Создание CD-образа инсталляции
      • Применение мастера Remote Installation Preparation Wizard для создания образов инсталляции
  • Microsoft Systems Management Server 2.0
  • Инструментальные средства управления Windows (WMI)
    • Использование WMI в LDAP-запросах
  • Active Directory Service Interfaces (ADSI)

Управление системами Windows в корпоративной среде

Эффективное управление рабочей средой настольных систем — главная и наиболее трудоемкая задача администратора сети или специалиста по информационным технологиям. Средства администрирования призваны помочь техническому персоналу планировать, размещать, эффективно поддерживать и централизованно управлять распределенной вычислительной средой.
В этой главе рассматриваются некоторые общие соображения, без понимания которых не всегда можно разобраться в механизмах функционирования и взаимодействия модулей, утилит, служб и т. п., имеющихся в Windows Server 2003, а также рационально использовать средства управления и конфигурирования систем и сетевой среды. При решении тех или иных административных задач (таких как настройка рабочего стола пользовательского компьютера, ограничение доступа к файлам и папкам, обеспечение отказоустойчивости и т. п.) важно знать, какие инструменты и приемы нужно использовать — т. е. понимать общую стратегию управления системой (сетевой средой); при этом недостаточно формального знакомства с интерфейсом административных оснасток и умения выполнять с их помощью элементарные задачи (например, создать учетную запись пользователя или инсталлировать приложение на сервере).
Мы рассмотрим в целом технологии и программные решения, применяемые для управления корпоративными сетями, а также возможности спецификации Windows Management Instrumentation (WMI) и программных интерфейсов Active Directory Service Interfaces (ADSI), которые администраторы систем могут использовать для создания административных сценариев и приложений, максимально адаптированных к конкретным конфигурациям и выполняемым задачам.

Технологии IntelliMirror

Компания Microsoft объединяет все технологии управления, появившиеся в системах Windows 2000 и нашедшие свое развитие в Windows XP и Windows Server 2003, под общим маркетинговым названием — IntelliMirror. В табл. 11.1 перечислены стандартные средства систем Windows 2000/XP и Windows Server 2003, обеспечивающие централизованное решение задач по управлению распределенной вычислительной средой. В зависимости от конкретных условий и потребностей администраторы могут использовать все указанные средства или некоторые из них. Далее решаемые задачи будут рассмотрены подробнее.

Таблица 11.1. Технологии управления ресурсами, реализованные в серверных версиях систем Windows 2000 и Windows Server 2003

Решаемая задача | Краткое описание возможностей | Используемые технологии (средства)
Управление пользовательскими данными | Зеркальное дублирование по сети пользовательских данных и локальное кэширование выбранных данных из сети. Лозунг— "Мои данные следуют за мной!" | Active Directory; групповые политики (Group Policy); автономные папки (Offline Folders); Диспетчер синхронизации (Synchronization Manager); дисковые квоты и перемещаемые профили пользователей (Roaming Profiles)
Инсталляция и сопровождение программ | Централизованная, надежная и оперативная инсталляция программных средств (приложений, сервисных пакетов и обновлений операционной системы), восстановление, обновление и удаление. Лозунг — "Мои приложения следуют за мной!" | Active Directory; групповые политики; Windows Installer
Управление установками пользователей и компьютеров | Централизованное управление установками рабочей среды для пользователей и компьютеров. Зеркальное отображение пользовательских настроек в сети. Лозунг — "Мои настройки следуют за мной!" | Active Directory; групповые политики; перемещаемые профили пользователей
Удаленная инсталляция систем | Инсталляция операционной системы с сетевых серверов, конфигурирование новых или замененных компьютеров | Active Directory; групповые политики; службы удаленной установки (Remote Installation Services)

Технологии IntelliMirror позволяют администраторам настольных систем снизить общую стоимость владения (Total Costs of Ownership, TCO) при решении следующих типовых задач.

  • Управление настольной (клиентской) системой. Можно описать стандартную рабочую среду для каждой из групп пользователей и обеспечивать ее автоматическое сопровождение при помощи политик безопасности.
  • Развертывание приложений. Технология позволяет избежать конфликта версий (например, несовместимости DLL-библиотек) при обновлении программных продуктов.
  • Поддержка мобильных пользователей. Пользователям, перемещающимся с одного компьютера на другой или из одной географической точки в другую, обеспечивается доступ к их данным, приложениям и привычной конфигурации рабочего стола независимо от местоположения пользователя.
  • Замена компьютеров. Для уменьшения времени простоя компьютеров (в случае отказа или замены) администраторы могут быстро восстановить его конфигурацию, включая инсталлированные приложения и пользовательские данные.

Управление пользовательскими данными

Средства Управления пользовательскими данными гарантируют доступность пользовательских данных (личных файлов и документов) и их защиту — независимо от режима (автономного или online) и компьютера сети, на котором работает клиент. Это обеспечивается путем отображения личных данных в сети (на надежных серверах, где выполняется резервное копирование) и локального кэширования выбранных сетевых данных. Например, пользователи могут переопределять путь к некоторой папке и задавать ее новое местоположение на локальном компьютере или на общем сетевом ресурсе. Таким образом, пользователи могут работать с общими документами, хранящимися на защищенном сервере, с сохранением видимости того, что эти документы находятся на локальном диске.
В случае отказа сети работу пользователей с общими документами обеспечивают автономные папки (offline folders). Если пользователь разрешает автономную работу с некоторым файлом или папкой, то копия этого общего файла или папки хранится на локальном компьютере. Если этот компьютер не может обращаться к сети, пользователь может редактировать локальную версию кэшированного документа. После восстановления доступа к сети модифицированный документ копируется обратно на общий сетевой ресурс.
Нужно отметить, что данные "следуют" за пользователем только тогда, когда они расположены в соответствующей папке (например, My Documents), настроенной для такого режима работы.

Инсталляция и сопровождение программ

Средства Инсталляции и сопровождения программ обеспечивают надежную, быструю установку программных продуктов и их автоматическое восстановление для групп пользователей и компьютеров. С помощью этих средств администраторы могут обновлять развернутые приложения, удалять устаревшие программы и устанавливать сервисные пакеты и обновления операционной системы.
Для этих целей используются групповые политики, которые могут описываться в Active Directory для сайтов, доменов и подразделений (организационных единиц). При каждом включении компьютера запрашивается соответствующая политика инсталляции программ, с помощью которой конфигурируется компьютер. Для каждого зарегистрированного в системе клиента запрашивается пользовательская политика инсталляции программ, и система обновляется, делая доступными нужные приложения.
Ключевым инструментом для оперативной инсталляции программ является служба Windows Installer. Для того чтобы программный продукт смог воспользоваться средствами Windows Installer, он должен быть авторизован и записан в дистрибутивный пакет (файл с расширением msi). Служба Windows Installer полностью автоматизирует процесс инсталляции и конфигурирования программ.
Используя групповую политику и средства Инсталляции и сопровождения программ, администраторы могут публиковать (publish) или назначать (assign) приложения для групп пользователей и компьютеров.
Опубликованные приложения становятся доступными для пользователей по запросу (по мере необходимости). Администраторы могут определить, какие приложения нужны пользователям, учитывая практические, технические и географические требования каждой группы. Пользователи могут при желании инсталлировать опубликованные для них приложения с помощью значка Add or Remove Programs (Установка и удаление программ) на панели управления, выбирая приложения из списка. Пользователи могут также открыть файл или документ, требующий опубликованного приложения, после чего требуемое приложение автоматически инсталлируется и запустится, а файл будет открыт в нем.
Когда администраторы назначают приложения пользователям и компьютерам, они явно указывают, какие программы должны быть установлены. Программы, назначенные компьютеру, обычно инсталлируются при следующей перезагрузке компьютера. Такая возможность полезна для развертывания сервисных пакетов, обновлений драйверов и т. п. Когда администратор назначает некоторое приложение конечному пользователю, соответствующий значок появляется на рабочем столе этого пользователя (например, в меню Start (Пуск), в виде ярлыка рабочего стола и т. д.; при этом значок "следует" за пользователем, даже если тот перемещается на другой компьютер в сети) при его следующей регистрации в системе. Инсталлируется это приложение при первом обращении к нему со стороны пользователя или при попытке открытия документа, связанного с назначенным приложением.
Приложения, инсталлированные с помощью Windows Installer, защищены от случайного удаления файлов приложения или необходимых для него ресурсов. При каждом запуске такого приложения служба Windows Installer проверяет наличие необходимых файлов и компонентов. При их отсутствии служба копирует и инсталлирует недостающие компоненты из указанного узла дистрибуции на локальный компьютер, либо на сетевой ресурс, например в каталог распределенной файловой системы DFS.

Управление установками пользователей и компьютеров

Достоинством средств Управления установками пользователей и компьютеров является то, что администраторы могут централизованно управлять рабочей средой для групп пользователей и компьютеров, и эти пользователи и компьютеры автоматически получат правильно сконфигурированную среду. Администраторы могут добавлять новых пользователей и компьютеры, описывать установки для различных групп и распространять изменения конфигураций. Более того, с помощью средств IntelliMirror можно восстановить установки пользователя при отказе его компьютера и гарантировать, что установки рабочей среды будут "следовать" за пользователем при его перемещении на другой компьютер.
Установки пользователей могут, к примеру, храниться в "перемещаемых" профилях (roaming profile), которые позволяют им перемещаться в пределах корпоративной сети и работать на различных компьютерах. При наличии такого профиля пользователь может поработать на одном компьютере — войти в систему, запускать приложения, редактировать документы и выйти из системы. После этого профиль пользователя будет скопирован на сервер.
Если пользователь захочет поработать на другом компьютере, то вся информация о профиле, включая настройки меню Start и содержимое папки My Documents, будет скопирована на второй компьютер.
При описании установок для групп пользователей и компьютеров используется групповая политика. Эти установки включают: значения ключей реестра клиентского компьютера (для компонентов операционной системы и приложений), сценарии (выполняемые при включении/выключении компьютера или при регистрации пользователя), опции инсталлированных приложений (доступных для пользователей и тех, которые появляются на рабочем столе) и установки безопасности (локальной, доменной или сетевой).

Службы удаленной установки (RIS)

Службы удаленной установки (Remote Installation Service, RIS) представляют собой механизм централизованного управления процессом установки операционной системы на клиентах. Автоматизация процесса установки предполагает сведение к минимуму участие пользователя и администратора. Службы RIS в сочетании с механизмом групповых политик предоставляют администратору возможность создания стандартного окружения пользователей на всех вновь подключаемых к сети рабочих станциях. На каждой подключаемой рабочей станции будет устанавливаться стандартный набор компонентов и приложений.
Службы RIS на базе Windows Server 2003 позволяют выполнять установку следующих операционных систем:

  • Windows 2000 (Professional, Server и Advanced Server);
  • Windows XP;
  • Windows Server 2003 (Standard Edition и Enterprise Edition).

Архитектура службы удаленной установки

Функционирование службы удаленной установки напрямую связано с работой ряда других служб Windows Server 2003.

  • Служба каталога Active Directory. Служба каталога играет важнейшую роль в функционировании службы удаленной установки. Прежде всего, каталог используется для размещения информации о серверах службы удаленной установки (или, как их еще называют, RIS-серверах). Кроме того, в каталоге же размещается информация об учетных записях клиентов службы удаленной установки. Возможна ситуация, когда процедура удаленной установки инициируется только для тех клиентов, для которых предварительно в каталоге были созданы соответствующие объекты.
  • Служба доменных имен (Domain Name Service, DNS). Служба доменных имен используется клиентами для обнаружения ближайшего контроллера домена. Контроллеры домена используются впоследствии для взаимодействия со службой каталога.
  • Служба DHCP-сервера. Протокол DHCP используется в качестве средства организации взаимодействия между RIS-сервером и клиентами. Чтобы иметь возможность взаимодействия с сетевыми устройствами, клиент должен иметь действительный IP-адрес. Выделение клиенту этого адреса осуществляется DHCP-сервером. Наличие IP-адреса является обязательным условием инициации процедуры удаленной установки операционной системы.

Для функционирования службы удаленной установки совершенно необязательно использование DNS- и DHCP-серверов, реализованных на базе Windows Server 2003. Может быть использована любая реализация этих серверов, удовлетворяющих требованиям службы Active Directory.

Принцип функционирования

Идея службы удаленной установки сводится к следующему. Приступая к развертыванию службы удаленной установки, администратор создает несколько образов инсталляции (installation image). Образ инсталляции включает в себя всю необходимую для установки операционной системы информацию: дистрибутивные файлы операционной системы, сведения о ее конфигурации, а также дистрибутивные файлы устанавливаемых приложений. Более подробно образы инсталляции, а также методика их создания будут рассмотрены позднее в этой главе. Пока же заметим, что все созданные образы инсталляции размещаются в специальном хранилище службы удаленной установки.

Внимание

Перед выполнением установки в каталоге должен быть создан объект, ассоциированный с учетной записью компьютера.

Когда необходимо, пользователь может запустить процедуру удаленной установки операционной системы, используя доступные образы инсталляции. При этом от пользователя и администратора требуется минимальное участие. От пользователя требуется инициировать процесс установки, а от администратора — сконфигурировать сервер удаленной установки и создать образы инсталляции.

Технологии, лежащие в основе службы удаленной установки

Служба удаленной установки базируется на использовании ряда технологий. Одной из таких технологий является технология Remote OS Installation (Удаленная установка операционной системы), представляющая собой технологию массового развертывания в корпоративной среде операционных систем Windows 2000/XP Professional, а также представителей семейства Windows Server 2003. Данная технология позволяет выполнять на рабочих станциях удаленную установку операционной системы.
Технология Remote OS Installation напрямую связана с технологией Preboot Execution Environment (РХЕ). Благодаря указанной технологии в процессе включения компьютера начальный загрузчик будет передавать управление программе, размещенной в специальной микросхеме памяти (ПЗУ). Подобная микросхема может входить в состав различных аппаратных компонентов: сетевого адаптера или непосредственно материнской платы. Основное назначение программы, зашитой в микросхеме, заключается в инициализации сетевого соединения с DHCP-сервером (например, с целью получения IP-адреса). Дальнейшее развитие событий зависит от конфигурации DHCP-сервера. Для решения обсуждаемой задачи DHCP-сервер снабжает РХЕ-клиента адресом ближайшего RIS-сервера. При этом клиент запрашивает у RIS-сервера некоторый образ установки. Начинается процесс установки операционной системы. Другим допустимым вариантом может быть загрузка операционной системы через сеть. Этот вариант особенно распространен для бездисковых рабочих станций.
Любое взаимодействие РХЕ-клиента с различными серверами является открытым (не защищенным посредством каких-либо механизмов шифрования или контроля целостности). Учитывая, что в ходе взаимодействия по сети передаются преимущественно файлы, необходимые для установки операционной системы (т. е. не являющиеся конфиденциальными), опасность их перехвата не представляется существенной. Более важным является тот факт, что организация взаимодействия не предусматривает каких-либо механизмов, гарантирующих подлинность и целостность данных, получаемых клиентом от сервера.
В случае, если рабочая станция не имеет поддержки РХЕ-технологии, удаленная установка операционной системы все равно может быть выполнена. Для инициации процедуры удаленной установки используются специальные загрузочные дискеты. Загрузочная дискета эмулирует РХЕ-клиента. При этом требуется, чтобы на рабочей станции был установлен сетевой адаптер с PCI-интерфейсом, поддерживаемый службой удаленной установки.
Для создания дискеты необходимо использовать утилиту Microsoft -Windows Remote Boot Disk Generator (Rbfg.exe). Утилита Rbfg.exe располагается на каждом RIS-сервере в общей папке REMINST в подкаталоге \Admin\i386. Эта утилита входит в состав пакета утилит администрирования Windows Server 2003 Administrative Pack.

Примечание

Запустив утилиту Rbfg и щелкнув по кнопке Adapter List (Список адаптеров), можно получить информацию о сетевых адаптерах, поддерживаемых службой удаленной установки.

Структура службы удаленной установки

В структуре службы удаленной установки выделяются компоненты, перечисленные ниже.

  • Уровень обмена загрузочной информацией (Boot Information Negotiation Layer, BINL) — механизм, функционирующий на RIS-сервере, выполняющий обработку запросов от РХЕ-клиентов. Получив от клиента запрос, механизм выполняет аутентификацию пользователя, в контексте которого выполняется установка. В случае отсутствия у пользователя полномочий, необходимых для выполнения удаленной установки операционной системы, запрос отклоняется. В случае успешной авторизации механизм санкционирует процесс передачи клиенту необходимых для удаленной установки системы файлов.
  • Демон протокола тривиальной передачи файлов (Trivial File Transfer Protocol Daemon, TFTPD). Протокол тривиальной передаии файлов используется службой RIS как транспортный механизм, посредством которого клиенту передаются необходимые для инициации процесса удаленной установки файлы. В рассматриваемом случае демон TFTP активизируется на RIS-сервере.
  • Хранилище файлов в единственном экземпляре (Single Instance Store, SIS) — механизм хранения образов инсталляции. Образ инсталляции представляет собой дистрибутивные файлы, необходимые для установки операционной системы. Вследствие этого образы инсталляции отличаются друг от друга незначительно (как правило, различия сводятся к составу устанавливаемых приложений и конфигурации системы). Предотвращение дублирования файлов в различных образах инсталляции позволяет уменьшить объем дискового пространства, необходимого для размещения образов инсталляции.
  • Мастер установки клиента (Client Installation Wizard — OSChooser) — программа, скачиваемая РХЕ-клиентом с RIS-сервера на этапе инициализации процесса удаленной установки. Данный мастер позволяет пользователю на стороне клиента выбрать требуемый образ инсталляции.

Отдельно следует сказать о мастере Remote Installation Preparation Wizard. Этот мастер используется для создания образов инсталляции, которые впоследствии могут быть задействованы в процедуре удаленной установки.

Развертывание службы удаленной установки

Приступая к развертыванию службы удаленной установки, администратор должен убедиться в том, что в сети уже установлены и сконфигурированы службы DHCP- и DNS-серверов. Служба DHCP-сервера рассматривается клиентами как средство получения IP-адреса, необходимого для активизации сетевых компонентов, а также как точка подключения к RIS-серверу. При этом все используемые DHCP-серверы должны быть авторизованы администратором.

Внимание

Получение IP-адреса и подключение к RIS-серверу осуществляются клиентом в рамках одной операции. Однако подключение к RIS-серверу и инициация процедуры удаленной установки, происходит только после того, как клиент получил IP-адрес.

К серверу, на котором планируется развертывание службы удаленной установки, предъявляются следующие требования:

  • на сервере должна быть установлена операционная система Windows Server 2003 (Соответственно, аппаратная конфигурация сервера должна удовлетворять минимальным требованиям для установки данной операционной системы.);
  • сервер должен иметь минимум 4 Гбайт свободного дискового пространства, которое будет использоваться для создания хранилища образов инсталляции. Запрещается размещать хранилище образов инсталляции в системном или загрузочном разделах. Рекомендуется использовать для этих целей, отдельный диск. Диск, предназначенный для размещения хранилища образов инсталляции, должен быть отформатирован с использованием файловой системы NTFS. При этом выбранный диск не должен являться частью распределенной файловой системы (Distributed File System, DPS) либо быть защищен при помощи шифрующей файловой системы (Encrypted File System, EPS).

Операция развертывания сервера удаленной установки выполняется администратором в два этапа:

  • установка RIS-сервера;
  • конфигурирование RIS-сервера.

Установка RIS-сервера подразумевает копирование необходимых системных файлов. Для этого, запустив на панели управления утилиту Add or Remove Programs, администратор должен нажать кнопку Add/Remove Windows Components. В списке предлагаемых для установки компонентов необходимо выбрать пункт Remote Installation Services. По окончании процесса установки требуется перезагрузить компьютер.

Конфигурирование RIS-сервера

По окончании процесса перезагрузки администратору необходимо выполнить конфигурирование RIS-сервера. Для этого в режиме командной строки следует выполнить команду Risetup.exe. Это приведет к запуску мастера Remote Installation Services Setup Wizard.
Администратор должен определить местоположение папки, которая будет использоваться хранилищем образов инсталляции. Затем нужно указать, должен ли сервер обрабатывать запросы клиентов сразу по окончании работы мастера или администратор должен будет разрешить обработку запросов клиентов позднее. Если установить флажок Respond to client computers requesting service, RIS-сервер будет отвечать на запросы клиентов сразу по окончании работы мастера. Если требуется, чтобы RIS-сервер отвечал на запросы только тех клиентов, для которых предварительно в каталоге были созданы объекты, ассоциированные с учетными записями компьютеров, необходимо установить флажок Do not respond to unknown client computers (He отвечать на запросы неизвестных клиентов).
На следующем этапе следует указать место расположения дистрибутивных файлов операционной системы, которые будут использованы для создания образа инсталляции. Перейдя к следующему окну, администратору необходимо определить имя папки, в которой будет размещен созданный мастером образ инсталляции.
На заключительном этапе в поле Friendly Descriptions (Дружественное описание) надо дать описание создаваемому образу инсталляции. Это описание будет предлагаться пользователям мастером Client Installation Wizard в процессе инициации удаленной установки операционной системы. Кроме того, администратор может указать в поле Help text (Текст справки) дополнительную справочную информацию, позволяющую клиенту получить более подробные сведения о конкретном образе инсталляции.

Конфигурирование служб RIS

Установленный RIS-сервер зачастую нуждается в дополнительном конфигурировании. Если на этапе развертывания служб удаленной установки не была определена схема обработки пользовательских запросов, администратор должен решить: будет ли RIS-сервер отвечать на запросы всех клиентов или только на запросы тех клиентов, с которыми в каталоге ассоциированы соответствующие объекты. Кроме того, используя механизм групповой политики, администратор должен определить для различных групп пользователей параметры удаленной установки. Фактически речь идет о том, чтобы разрешить пользователям выполнять процедуру удаленной установки и определить ее параметры.

Определение параметров групповой политики

Механизм групповой политики позволяет администратору определять для различных категорий пользователей возможности участия в процедуре удаленной установки операционной системы.
Для этого, открыв в оснастке Group Policy Object Editor для редактирования нужный объект групповой политики (например, привязанный к домену или к некоторому подразделению), администратор должен выбрать узел User Configuration | Windows Settings | Remote Installation Services. В панели результатов для данного узла будет находиться объект Choice options (Выбор параметров). Откройте окно свойств этого объекта, выбрав в его контекстном меню пункт Properties (Свойства). В окне Choice Options Properties необходимо определить доступные определенным категориям пользователей режимы установки.

  • Automatic Setup (Автоматическая установка). В данном режиме выполнение установки операционной системы выполняется в полностью автоматическом режиме. От пользователя требуется минимальное участие. В ситуации, когда удаленная установка должна выполняться неквалифицированными пользователями, использование данного режима установки является самым оптимальным вариантом.
  • Custom Setup (Пользовательская установка). Данный режим предоставляет пользователю возможность определять некоторые параметры установки (прежде всего имя учетной записи компьютера). Благодаря этому один пользователь может выполнить установку операционной системы на нескольких компьютерах. Возможность работы с данным режимом можно предоставить опытным пользователям (например, администраторам организационных единиц).
  • Restart Setup (Возобновление предыдущей неудачной установки). Данный режим позволяет продолжить операцию удаленной установки операционной системы в ситуации, когда предыдущая попытка закончилась неудачно еще на начальном этапе. В случае выбора рассматриваемого режима система будет использовать информацию, собранную ранее, в ходе первой попытки установки.
  • Tools (Инструментарий). В данном режиме пользователю разрешается использовать специализированный инструментарий, позволяющий выполнить диагностику проблем, связанных с установкой операционной системы.

Каждый из перечисленных параметров может быть установлен администратором в одно из трех значений:

  • Enabled (Активизировать). Выбор данного значения активизирует выбранный параметр групповой политики. Применительно к рассматриваемому параметру значение явно разрешает использование выбранного режима установки пользователям, подпадающим под действие конфигурируемого объекта групповой политики;
  • Disabled (Отключить), Выбор данного значения отключает указанный параметр групповой политики. Применительно к рассматриваемому параметру значение явно запрещает использование выбранного режима установки пользователям, подпадающим под действие конфигурируемого объекта групповой политики;
  • Not Configured (He определено). Данное значение оставляет неопределенным возможность использования пользователем выбранного режима в рамках рассматриваемого объекта групповой политики. Фактически доступность выбранного режима удаленной установки ставится в зависимость от значения аналогичного параметра групповой политики, определенного на вышестоящем уровне.

Определение схемы обработки запросов клиентов

Если на этапе установки не было определено, какие категории клиентов будут обслуживаться RIS-сервером, администратор может это сделать позже, используя оснастку Active Directory Users and Computers. Открыв окно свойств объекта, ассоциированного с учетной записью компьютера, на котором установлен RIS-сервер, необходимо перейти на вкладку Remote Install (Удаленная установка). Установите флажки Respond to client computers requesting service (Сервер отвечает на все поступающие запросы) и Do not respond unknown client computers (He отвечать на запросы неизвестных компьютеров) в соответствии с имеющимися требованиями.

Управление образами инсталляции

В заключение разговора о службе удаленной установки надо рассказать о методике создания образов инсталляции. Образ инсталляции (installation image) представляет собой набор файлов, необходимых для выполнения удаленной установки операционной системы. В образ инсталляции включается также информация, нужная для конфигурирования устанавливаемой системы. Кроме того, в определенных ситуациях образ инсталляции может также содержать дистрибутивные и конфигурационные файлы для установки приложений.
Образ инсталляции, размещенный в хранилище, может быть использован для установки операционной системы на неограниченном количестве рабочих станций. Единственным ограничивающим фактором в данной ситуации является наличие у предприятия соответствующего числа лицензий на устанавливаемую операционную систему. При необходимости можно создать множество образов инсталляций с различными настройками и предустановленными приложениями.
Служба удаленной установки на базе Windows Server 2003 позволяет создавать образы инсталляции двух типов:

  • образы инсталляции, представляющие собой слепки с компакт-диска (CD-образ);
  • образы инсталляции, подготовленные при помощи мастера Remote Installation Preparation Wizard.

Создание CD-образа инсталляции

Процесс создания CD-образа фактически представляет собой создание копии дистрибутива компакт-диска в хранилище образов инсталляции. При этом для создания образа инсталляции не требуется наличия эталонной рабочей станции. При этом автоматизация процесса установки операционной системы достигается за счет использования специальных настроечных файлов (answer file). В настроечном файле содержатся значения параметров, необходимых для выполнения установки и конфигурирования операционной системы. Процедура установки операционной системы автоматически использует эти значения, что избавляет от необходимости участия пользователя. Для одного CD-образа администратор может определить несколько настроечных файлов, каждый из которых будет использоваться в соответствующей ситуации.
В качестве недостатка архитектуры CD-образов можно отметить невозможность развертывания необходимого набора приложений непосредственно в процессе установки операционной системы.

Применение мастера Remote Installation Preparation Wizard для создания образов инсталляции

Другой способ создания образов инсталляции заключается в применении мастера Remote Installation Preparation Wizard (RIPrep.exe). Этот мастер позволяет создать образ инсталляции, используя который, администратор может установить на рабочей станции не только операционную систему, но и весь необходимый набор стандартных приложений. Особенность архитектуры службы установки позволяет установить на рабочих станциях включенные в образ инсталляции приложения непосредственно в ходе установки операционной системы.

Внимание

Мастер Remote Installation Preparation Wizard (RIPrep.exe) располагается в подкаталоге \Admin\i386 общей папки REMINST на любом RIS-сервере.

Мастер Remote Installation Preparation Wizard создает образ инсталляции на основе уже существующей инсталляции. При этом администратор выбирает некоторую рабочую станцию в качестве эталона для создания образа. На этой рабочей станции операционная система должна быть сконфигурирована в соответствии с предъявляемыми требованиями. При необходимости на рабочую станцию администратор может также установить интересующий набор приложений.
После этого на эталонной рабочей станции администратор запускает мастер Remote Installation Preparation Wizard, который, в свою очередь, создает образ инсталляции и помещает его в хранилище образов на RIS-сервере. По окончании работа мастера созданный образ инсталляции готов для использования клиентами.
Образ инсталляции может быть создан только для загрузочного раздела эталонной рабочей станции. Необходимо учитывать этот факт в процессе установки приложений (на этапе подготовки эталонной станции). При этом рабочие станции, на которые будет устанавливаться операционная система с использованием создаваемого образа инсталляции, должны обладать дисковым разделом аналогичного или большего объема, нежели загрузочный раздел жесткого диска эталонной рабочей станции.

Microsoft Systems Management Server 2.0

Microsoft Systems Management Server (текущая версия 2.0 с пакетом обновлений Service Pack 5) представляет собой интегрированный набор инструментов, позволяющих выполнять инвентаризацию аппаратных и программных средств, инсталлировать и распространять приложения, профилировать приложения, диагностировать и находить неисправности. SMS 2.0 можно использовать как дополнение и расширение встроенных средств систем Windows 2000 Server и Windows Server 2003. Он позволяет работать и с предыдущими версиями Windows: всеми 16- и 32-разрядными настольными системами, начиная с Windows 3.1 и заканчивая Windows 2000. При этом SMS 2.0 может функционировать в сетях Windows NT, NetWare 3.1 или NetWare NDS.
Основные возможности Systems Management Server 2.0 перечислены ниже.

  • Инвентаризация аппаратных и программных средств. SMS использует спецификацию Windows Management Instrumentation (WMI) и новые программные сканеры ресурсов, с помощью которых подробная информация об аппаратных и программных средствах загружается в хранилище на базе SQL Server. Администраторы получают оперативную и исчерпывающую информацию обо всех приложениях и обо всех компьютерах. Кроме того, имеется средство для анализа собранных данных.
  • Инсталляция и распространение приложений. С помощью- SMS 2.0 можно размещать приложения для указанных компьютеров, пользователей и групп. Теперь при распространении приложений можно задавать критерии, по которым автоматически оценивается получатель приложений. Сервер сначала обращается к каталогу программных продуктов, к получателям приложений, а затем "раздает" приложения получателям в соответствии с установленными администратором правилами.

Например, если в группе появляется новый пользователь, в соответствии с групповой политикой ему автоматически пересылается программное обеспечение. С помощью SMS 2.0 администраторы могут распространить приложение сразу же, как только возникла необходимость в нем, и "забрать" его назад, т. е. автоматически удалить приложение, когда пользователь перешел в другую группу.

  • Профилирование приложений. Зачастую администраторам нужны средства, позволяющие оценить использование программных продуктов пользователями, группами и клиентскими компьютерами, задать квоты времени или установить лицензии. SMS 2.0 может отображать, анализировать и, при необходимости, контролировать процесс использования приложений на серверах и рабочих станциях. Администраторы могут задавать различные реакции в критических ситуациях — от простых предупредительных сообщений до блокировки приложений.
  • Диагностика и поиск неисправностей. Помимо мониторинга рабочих станций и серверов и удаленного управления, SMS 2.0 имеет многочисленные средства диагностики: например, сетевой монитор с возможностью работы в реальном времени и анализа перехваченных данных для оценки работоспособности и производительности сети, или серверное средство HealthMon, позволяющее определять критические моменты (узкие места) в работе серверных системах Windows и приложений семейства BackOffice.

Инструментальные средства управления Windows (WMI)

Начиная с Windows NT, в системах этой линейки — Windows 2000, Windows ХР и Windows Server 2003 — широко используется технология Windows Management Instrumentation (WMI, Инструментальные средства управления Windows), которая обеспечивает унификацию средств администрирования аппаратных и программных средств. Компания Microsoft разработала WMI на основе требований, входящих в спецификацию Web-based Enterprise Management (WBEM).
Web-based Enterprise Management (WBEM) (можно перевести как веб-ориентированное управление предприятием) — это инициатива, поддержанная многими ведущими производителями программного и аппаратного обеспечения (Microsoft, Compaq, BMC, Cisco и Intel) и направленная на решение проблемы сбора и использования диагностической и управляющей информации в корпоративных сетях, включающих оборудование от различных поставщиков и использующих многочисленные разнообразные протоколы, операционные системы и распределенные прикладные системы.
Традиционно в управлении сложными сетями используются различные протоколы и интерфейсы: например, протокол Simple Network Management Protocol (SNMP) применяется для управления сетевыми ресурсами (концентраторами, маршрутизаторами и т. д.), а для управления настольными системами может использоваться Desktop Management Interface (DMI). Технология WBEM предполагает создание открытой среды для средств администрирования, позволяющей им свободно взаимодействовать друг с другом и со всеми объектами управления, а также максимальное использование уже существующих технологий и стандартов. Поставленная цель сравнима с задачей, решаемой сетью World Wide Web: связать воедино поставщиков и потребителей информации, ничего не "знающих" о том, как работают конкретные системы на другом конце цепочки передачи этой информации. Перспектива использования веб-технологий для более традиционных инструментов администрирования и определила появление в названии новой инициативы слов Web-based.
Компания Microsoft разрабатывает технологии Windows Management Instrumentation (WMI), начиная с 1996 г. WMI — это ключевой компонент для административных служб Windows, к числу которых относятся, например, службы поиска и политик Active Directory, службы визуализации, входящие в Microsoft Management Console (MMC), и средства автоматизации (automation) сервера сценариев Microsoft Script Host (WSH).
Можно перечислить следующие особенности и возможности WMI:

  • функционально полная модель для конфигурирования операционной системы и отображения ее состояния;
  • интерфейс программирования COM API, обеспечивающий единый доступ ко всей информации, касающейся администрирования;
  • возможность взаимодействия с административными службами операционной системы, что позволяет разработчикам создавать интегрированные приложения для управления системами;
  • гибкая информационная модель, которую можно расширять для поддержки новых устройств и приложений, создавать соответствующие программные модули (WMI-провайдеры);
  • развитая событийная архитектура, обеспечивающая распознавание и обработку изменений в состоянии объектов управления и передачу этой информации локальным или удаленным административным программам;
  • сложный язык запросов для получения данных из информационной модели;
  • API сценариев, позволяющий разработчикам управляющих приложений использовать Visual Basic или Windows Script Host (WSH).

Методы WMI можно использовать в сценариях и приложениях (поскольку, помимо интерфейсов COM, WMI поддерживает автоматизацию, automation). Имеется поддержка для следующих языков:

  • Visual Basic
  • Visual Basic for Applications
  • Visual Basic, Scripting Edition
  • Microsoft JScript
  • Perl

Использование WMI в LDAP-запросах

Windows Management Instrumentation (WMI) содержит специальный, интерфейс — WMIExtension, который позволяет использовать методы WMI для управления компьютерами, имена которых получаются из каталога Active Directory при помощи LDAP-запросов. Администратор получает возможность сочетать в своих сценариях гибкие и развитые возможности поиска в каталоге (с использованием интерфейсов ADSI) и методы WMI, которые позволяют обращаться ко многим системным параметрам и компонентам (например, выполняющимся сервисам, файловой системе, журналам событий, характеристикам операционной системы и т. д.).
Чтобы проиллюстрировать богатые возможности сценариев, использующих WMI и, в частности, интерфейс WMI ADSI Extension, расширяющий базовые функции ADSI, давайте, следуя хорошей поговорке "Лучше один раз увидеть, чем сто раз услышать.", рассмотрим демонстрационную программу на Basic, которая состоит из отдельных фрагментов кода, позволяющих получить ту или иную информацию о компьютерах домена. Эта программа также иллюстрирует использование интерфейсов ADSI для обращения к объектам Active Directory.

Листинг 11.1. Использование программного интерфейса WMI ADSI Extension

Option Explicit

Sub Main () Dim objAD As lADsContainer

Dim obj As IADs Dim ADSObject As WMIExtension

Dim WMIServices As SWbemServices

Dim WMIObject As SWbemObject

Dim recSet As SWbemObjectSet

Dim LogFile As SWbemObject

Dim i As Integer 'Получить список компьютеров и опросить каждый: Set objAD = GetObject("LDAP://CN=Computers,DC=net,DC=dom") objAD.Filter = Array("computer") i = 1 For Each obj In objAD Debug.Print "#"; i;obj.Name; " ("; obj.ADsPath;")" 'Получение ссылки на объект типа computer из пространства имен LDAP: Set ADSObject = GetObject(obj.ADsPath) Debug.Print "WMI Object Path: " + ADSObject.WMIObjectPath Set WMIObject = ADSObject.GetWMIQbject Debug.Print vbCrLf 'Теперь можно использовать любые свойства или методы объекта WMI. 'Перечень свойств содержится в описании WMI-класса 'Win32_ComputerSystem. 'Вывод некоторой информации о выбранном компьютере: Debug.Print "Состояние = " + WMIObject.Status Debug.Print "Статус загрузки = " + WMIObject.BootUpState Debug.Print "Имя компьютера = " + WMIObj ect.Caption Debug.Print "Роль в домене = " + CStr(WMIObject.DomainRole) Debug.Print "Всего памяти (байт) = " + WMIObject.TotalPhysicalMemory Debug.Print "Зарегистрированный пользователь = " + WMIObject.UserNaroe Debug.Print vbCrLf 'Получить объект служб WMI из пространства имен "root\cimv2":

Set WMIServices = ADSObject.GetWMIServices 'Определение установленной системы:

Set recSet = WMIServices.ExecQuery_ ("select * from Win32_OperatingSystem") 'Использование интерфейса GetWMIObject для выбора WMI-объекта:

For Each WMIObject In recSet

Debug.Print WMIObject.Name

Next

Debug.Print vbCrLf 'Список всех работающих служб: Set recSet = WMIServices.ExecQuery _ ("select * from Win32_Service where Stateo'Stopped'")

' Следующий оператор перечисляет службы, которые не смогли

' запуститься на выбранном компьютере: ' Set recSet = WMIServices.ExecQuery("select * from Win32_Service

' -> where State='Stopped1 and StartMode='Auto'")

Debug.Print "Службы (ВСЕГО)"; recSet.Count

For Each WMIObject In recSet

Debug.Print WMIObject.Name

Next

Debug.Print vbCrLf ' Список всех процессов, выполняющихся на целевом компьютере:

Set recSet = WMIServices.ExecQuery("select*from Win32_Process")

Debug.Print "Процессы (ВСЕГО)"; recSet.Count

For Each WMIObject In recSet

Debug.Print WMIObject.Name

Next

Debug.Print vbCrLf 'Список журналов системных событий:

Set recSet = WMIServices.ExecQuery_ ("select * from Win32_NTEventLogFile")

Debug.Print "Журналов событий (ВСЕГО)";

recSet.Count For Each LogFile In recSet Debug.Print LogFile.Name 'Следующий оператор сохраняет журнал в файле 'на целевом компьютере; 'необходимо лишь сформировать уникальное имя файла: 'LogFile.BackupEventlog ("C:\net.evt") Next Debug.Print vbCrLf
' Отображение всех событий в указанном журнале (Application, ' Security, System и т. д.): Set recSet =• WMIServices.ExecQuery_ ("select * from Win32_NTLogEvent WHERE LogFile='Security'") Debug.Print "Событий (ВСЕГО)"; recSet.Count For Each LogFile In recSet ' Последнее по времени событие выводится первым. ' Список свойств содержится в описании WMI-класса Win32_NTEventlog ' Эту информацию можно направить в файл, расположенный на локальном ' компьютере (где выполняется программа): Debug.Print LogFile.Category-String, LogFile.SourceName, _ LogFile.EventCode, LogFile.LogFile, LogFile.TimeGenerated Next Debug.Print vbCrLf ' Go to the next computer i = i + 1 Next Set objAD = Nothing Set obj = Nothing Set ADSObject = Nothing Set WMIServices = Nothing Set WMIObject = Nothing Set recSet = Nothing Set LogFile = Nothing End Sub

Примечание

Для формирования запросов с целью получения сведений о WMI-объектах используется язык WMI Query Language (WQL). WMI-фильтры, написанные на WQL, применяются также для фильтрации объектов групповых политик (Group Policy Objects, GPO). Для получения дополнительной информации в окне Help and Support Center выполните поиск строки "WQL".

Active Directory Service Interfaces (ADSI)

Два программных продукта, выпускаемых компанией Microsoft, а именно Active Directory Service Interfaces (ADSI) и Windows Script Host (WSH — сервер сценариев Windows), позволяют реализовать единый подход к управлению различными платформами и программными продуктами. Для администраторов интерфейсы ADSI являются весьма ценным инструментальным средством, поскольку они достаточно просты в изучении и использовании и могут значительно облегчить выполнение объемных или типовых (часто повторяемых) операций. Например, с помощью ADSI вы можете создать программу экспорта/импорта, максимально соответствующую требованиям вашей доменной конфигурации, или специализированную утилиту миграции данных между различными каталогами.
С точки зрения администратора, интерфейсы ADSI имеют два важных достоинства:

  • ADSI взаимодействуют со множеством платформ и продуктов, включая следующие:
    • LDAP-совместимые серверы, такие как серверы Active Directory (на базе Windows 2000 Server и Windows Server 2003) и Exchange 5.r,
    • основные и вспомогательные контроллеры доменов Windows NT 4.0 (PDC и BDC);
    • службы Интернета (Internet Information Services, IIS);
    • серверы Novell Directory Services (NDS) (версий 4.x и выше);
    • серверы Novell NetWare (версий 3.x);

  • ADSI позволяют использовать многие языки, поддерживающие автоматизацию (automation), такие как Visual Basic, VBScript, JScript и Perl; также можно применять такие "полноценные" языки, как C/C++, используя при этом ту же самую объектную модель компонентов (СОМ). Языки сценариев не требуют много времени на изучение; вы можете объединять и/или модифицировать существующие сценарии и быстро создавать работоспособные инструменты для выполнения конкретных задач.

Примечание

Интерфейсы ADSI являются стандартным компонентом систем Windows 2000/ХР и Windows Server 2003 и могут также устанавливаться на системах Windows 9х/МЕ и Windows NT 4.0.

При работе с ADSI очень полезно (даже необходимо) иметь под рукой некоторые административные утилиты, такие как Ldp.exe и AdsVw.exe, а также оснастки ADSI Edit и Active Directory Schema. Эти инструменты позволят вам проверять результаты выполнения создаваемых сценариев или приложений, следить за состоянием Active Directory и значениями атрибутов объектов каталога, а также выполнять еще множество операций, нужных для эффективного программирования.
На веб-сайте Microsoft имеется множество примеров административных сценариев, которые легко можно адаптировать к своим условиям и задачам. Эти примеры могут быть основой для "быстрого старта" при изучении интерфейсов ADSI и способов их применения. При этом на начальных этапах не требуется предварительное изучение программистской документации и обширных спецификаций интерфейсов и классов ADSI.


Базовые сетевые понятия и концепции в Windows Server 2003

  • Базовые сетевые понятия и концепции в Windows Server 2003
  • Первое знакомство с сетевыми подключениями
    • Типы сетевых подключений
    • Управление сетевыми подключениями
  • Установка дополнительных сетевых компонентов
  • Сетевые протоколы
    • Обзор доступных транспортных стеков протоколов
      • Стек протоколов TCP/IP
      • Стек протоколов NWLink
      • Стек протоколов AppleTalk
    • Обзор протоколов удаленного доступа
      • Протокол РРР
      • Протокол SLIP
    • Порядок привязки протоколов
  • Создание сетевых подключений
    • Подключение к локальной вычислительной сети
    • Подключения удаленного доступа
      • Методы удаленного доступа
      • Подключение по телефонной линии
      • Подключение к Интернету
      • Подключение к ISDN-линии
      • Подключение к сети Х.25
      • Прямое подключение
    • Подключение к виртуальной частной сети
    • Входящие подключения
      • Настройка стека протоколов TCP/IP для входящих подключений
  • Общий доступ к подключению Интернета (Internet Connection Sharing)
    • Настройка механизма ICS
    • Настройка клиентов для работы с компьютером, имеющим общее интернет-подключение
  • Сетевой мост (Network Bridge)
  • Брандмауэр подключения к Интернету (Internet Connection Firewall)
  • Использование диспетчера подключений
    • Служебные профили
    • Создание служебных профилей
      • Установка мастера Connection Manager Administration Kit Wizard
      • Работа с мастером Connection Manager Administration Kit Wizard
    • Использование служебных профилей
      • Требования, предъявляемые к клиентам удаленного доступа
      • Развертывание профиля
  • Интеграция с сетями Novell NetWare
  • Сетевой монитор
    • Краткий обзор возможностей сетевого монитора
    • Сетевой монитор и безопасность
    • Поддерживаемые парсеры протоколов
    • Перехват кадров из сети
      • Настройка параметров буфера сбора данных
      • Формирование базы данных адресов
    • Фильтры сбора данных
    • Сохранение записанных данных
    • Просмотр собранных данных

Базовые сетевые понятия и концепции в Windows Server 2003

-В настоящее время любая операционная система, ориентированная на корпоративный рынок, должна включать в себя компоненты, обеспечивающие возможность ее функционирования в рамках вычислительной сети. Не является исключением и Windows Server 2003. Более того, данная операционная система позиционируется разработчиками, как основа для реализации основных сетевых сервисов в корпоративной вычислительной сети.
В данной главе мы рассмотрим способы подключения Windows Server 2003 к сети, поддерживаемые операционной системой сетевые протоколы, а также некоторые средства, обеспечивающие работу системы в корпоративных и домашних сетях.

Первое знакомство с сетевыми подключениями

Под сетевым подключением (network connection) в Windows Server 2003 понимается точка соединения компьютера с сетью (независимо от способа — подключение к локальной сети, серверу удаленного доступа или соединение двух компьютеров посредством нуль-модемного кабеля). Если говорить о том, какая сторона из участников обмена данными инициирует связь, сетевые подключения можно разделить на два вида: исходящие (outgoing connections) и входящие (incoming connections). Исходящие подключения используются для соединения компьютера с вычислительной сетью или сервером удаленного доступа. Входящие подключения используются для поддержки подключений, инициализируемых другими компьютерами. В этом случае компьютер, на котором созданы входящие подключения, рассматривается в качестве сервера удаленного доступа (remote access server).
Каждое сетевое подключение рассматривается самостоятельно и независимо от других подключений. Это означает, что каждое сетевое подключение имеет индивидуальную конфигурацию. Перечень параметров, подлежащих настройке, зависит от того, к какому типу относится сетевое подключение.

Типы сетевых подключений

Типы сетевых подключений, поддерживаемых Windows Server 2003, перечислены в табл. 12.1.

Таблица 12.1. Типы сетевых подключений

Тип подключения | Технология связи | Пример
Подключение к локальной сети (Local area connection) | Ethernet, xDSL, FDDI, IP no ATM, системы беспроводной связи, Е1/Т1 и т. п. | Типичный корпоративный пользователь
Телефонное, или коммутируемое, подключение (Dial-up connection) | Модем, ISDN, X.25 | Соединение с корпоративной сетью или Интернетом с использованием модемного подключения
Подключение в рамках виртуальной частной сети (Virtual Private Network connection) | Виртуальные частные сети по протоколам РРТР или L2TP, объединяющие или Подключающие к корпоративным сетям через Интернет или другую сеть общего пользования (public network) | Защищенное соединение удаленных филиалов корпорации через Интернет
Прямое подключение (Direct Connection) | Соединение нуль-модемным кабелем через последовательный порт (СОМ-порт), инфракрасная связь, параллельный кабель (DirectParallel) | Соединение двух ноутбуков через интерфейсы инфракрасной связи
Входящее подключение (Incoming connection) | Коммутируемая связь, VPN или прямое подключение | Подключение к удаленному компьютеру или корпоративному серверу удаленного доступа

Следует заметить, что из всех перечисленных в таблице типов только подключение к локальной сети создается системой автоматически. В процессе загрузки Windows Server 2003 автоматически обнаруживает установленные сетевые адаптеры и для каждого сетевого адаптера создает соответствующее сетевое подключение. В случае если на компьютере установлено более одного сетевого адаптера, администратор может устранить возможный беспорядок в именах подключений, переименовав каждое локальное подключение в соответствии с функциональным назначением или расположением сети, с которой это соединение связывает компьютер.

Управление сетевыми подключениями

Все операции по конфигурированию сетевых средств осуществляются в папке Network Connections (Сетевые подключения) (рис. 12.1). В этой папке создаются все поддерживаемые операционной системой подключения. Папка располагается на панели управления или может быть выведена непосредственно в меню Start (Пуск).

Рис. 12.1. Окно Network Connections

Вне зависимости от того, является ли связь локальной (ЛВС) или удаленной (телефонная линия, ISDN и т. п.), подключения можно настроить так, чтобы они могли полноценно выполнять все требуемые функции. Например, используя сетевое подключение любого типа, пользователь может распечатывать документы на сетевых принтерах, получать доступ к сетевым дискам и файлам, просматривать другие сети или получать доступ к Интернету (разумеется, если в рамках подключения используются соответствующие протоколы).

Примечание

Для обозначения состояния и типа сетевого подключения используются различные значки (icons). В частности, если подключение находится в отключенном состоянии (disabled), ассоциированный с ним значок становится полупрозрачным.

Все службы и методы связи настраиваются непосредственно в окне свойств сетевого подключения. Поэтому для конфигурирования параметров подключения не требуется обращаться к внешним инструментам управления. Например, параметры телефонного подключения при помощи модема включают те, которые нужно использовать до, в течение и после создания подключения: тип модема для связи, используемая при соединении схема аутентификации, а также используемые для передачи данных протоколы.
Для получения информации о состоянии интересующего подключения (продолжительность и эффективность использования) необходимо дважды щелкнуть на соответствующем подключении или в его контекстном меню выбрать пункт Status (Состояние). Информация о состоянии подключения приводится на вкладке General (Общие) открывшегося окна (рис. 12.2). Чтобы перейти к настройке выбранного подключения, достаточно щелкнуть на кнопке Properties (Свойства) (процесс настройки будет рассматриваться позднее в этой главе).

Рис. 12.2. Получение информации о состоянии подключения

Для получения дополнительной информации о подключении необходимо перейти на вкладку Support (Поддержка) (рис. 12.3). На этой вкладке приводится информация о настройке стека протоколов TCP/IP для данного подключения: IP-адрес и способ его назначения, а также маска подсети и шлюз по умолчанию. Нажав кнопку Details (Подробности), можно также получить информацию о физическом адресе (МАС-адресе), используемом подключением, DNS- и WINS-серверах.

Рис. 12.3. Получение вспомогательной информации о соединении

Установка дополнительных сетевых компонентов

В процессе развертывания операционной системы администратор может установить базовый набор сетевых компонентов, предоставляющих возможность создания сетевых подключений. В составе Windows Server 2003 поставляется значительное число дополнительных сетевых компонентов, расширяющих функциональность операционной системы (табл. 12.2). Эти компоненты организованы в три группы:

  • Management and Monitoring Tools. В этой группе представлены компоненты, ориентированные на решение задач мониторинга сети и управления ею;
  • Networking Services. Данная группа объединяет компоненты, осуществляющие установку основных сетевых служб, реализованных в рамках стека протоколов TCP/IP;
  • Other Network File and Print Services. Компоненты этой группы позволяют предоставить возможность доступа к файлам и принтерам пользователям, работающим в других средах (Macintosh и UNIX).

Эти компоненты не устанавливаются автоматически непосредственно в ходе развертывания операционной системы. В случае необходимости администратор должен установить нужные сетевые компоненты вручную.

Таблица 12.2. Сетевые компоненты Windows Server 2003

Компонент | Группа компонентов | Описание компонента
Connection Manager Administration Kit | Management and Monitoring Tools | Компонент позволяет установить на сервере мастер Connection Manager Administration Kit Wizard
Connection Point Services | Management and Monitoring Tools | Данный компонент используется в процессе развертывания диспетчера соединений (Connection Manager) для публикации телефонных книг (phone book)
Network Monitor Tools | Management and Monitoring Tools | Компонент, позволяющий осуществлять анализ сетевого трафика
Simple Network Management Protocol | Management and Monitoring Tools | Компонент, обеспечивающий функционирование на сервере протокола SNMP
WMI SNMP Provider | Management and Monitoring Tools | Компонент, позволяющий приложениям осуществлять доступ к информации SNMP посредством технологии WMI (Windows Management Information)
Domain Name System (DNS) | Networking Services | Компонент устанавливает службу разрешения доменных имен в IP-адреса (DNS)
Dynamic Host Configuration Protocol (DHCP) | Networking Services | Компонент устанавливает службу, осуществляющую динамическое выделение IP-адресов (DHCP)
Internet Authentication Service | Networking Services | Служба аутентификации через Интернет. Включает в себя поддержку протокола аутентификации удаленных пользователей RADIUS
RPC over HTTP Proxy | Networking Services | Компонент, позволяющий осуществлять вызовы RPC/DCOM поверх протокола HTTP, используя службы Internet Information Services (IIS)
Simple TCP/IP Services .' | Networking Services | Устанавливаются дополнительные службы TCP/IP
Windows Internet Name Service (WINS) | Networking Services | Устанавливает службу разрешения NetBIOS-имен в IP-адреса (WINS)
File Services for Macintosh | Other Network File and Print Services | Служба, позволяющая пользователям Macintosh получить доступ к ресурсам на Windows-сервере
Print Services for Macintosh | Other Network File and Print Services | Служба, позволяющая пользователям Macintosh отправлять задания на печать на принтеры, подключенные к Windows-серверу
Print Services for Unix | Other Network File and Print Services | Служба, позволяющая пользователям UNIX отправлять задания на печать на принтеры, подключенные к Windows-серверу

Совет

Рекомендуется устанавливать только действительно необходимые компоненты. Для обслуживания каждого компонента система затрачивает определенную часть системных ресурсов (память, процессорное время, дисковое пространство) и пропускной способности сети (для передачи служебного трафика сетевых компонентов).

Рис. 12.4. Выбор сетевых компонентов для установки

Для установки дополнительных сетевых компонентов в меню Advanced (Дополнительно) окна Network Connections (Сетевые подключения) необходимо выбрать пункт Optional Networking Components (Дополнительные сетевые компоненты). В открывшемся окне (рис. 12.4) система предлагает выбрать для установки требуемые группы сетевых компонентов. Установка флажка напротив названия группы предписывает установку всех компонентов данной группы. Для установки только отдельных компонентов некоторой группы необходимо выбрать группу и щелкнуть на кнопке Details (Подробности). При этом система предложит список компонентов, входящих в состав выбранной группы.

Сетевые протоколы

Набор соглашений и правил, регламентирующих порядок взаимодействия отдельных компонентов сети, называется протоколом. Протокол представляет собой согласованный способ обмена информацией между хостами. При этом под хостом понимается любое сетевое устройство (не только компьютер), способное выступать источником или получателем данных. Выделяют протоколы аппаратные и программные. Аппаратные протоколы регламентируют правила функционирования сетевых устройств. Программные протоколы регламентируют порядок взаимодействия компонентов сетевого программного обеспечения.
Работая совместно, протоколы реализуют уровень или уровни модели OSI. Каждый протокол обрабатывает свою часть процесса сетевого взаимодействия, имеет собственные правила и требования. В этом случае набор протоколов, функционирующих как единое целое на всех уровнях модели OSI, называется стеками протоколов.
В зависимости от задач, на решение которых ориентирован тот или иной протокол, он может быть отнесен к одной из множества категорий. Перечислим некоторые категории протоколов.

  • Транспортные протоколы. Протоколы, регламентирующие порядок передачи данных между сетевыми устройствами. Эти протоколы образуют "каркас" сети, реализуя транспортный механизм. К данной категории можно отнести протоколы: IP, TCP, IPX, SPX, X.25.
  • Протоколы аутентификации. Протоколы этой категории позволяют организовать процесс аутентификации пользователей и устройств, участвующих в сетевом взаимодействии. К этой категории относятся протоколы Kerberos, RADIUS.
  • Протоколы маршрутизации. Для реализации межсетевого взаимодействия используются устройства, получившие название маршрутизаторов. Для принятия решения о доставке пакета, маршрутизатор использует специальные таблицы маршрутизации. Протоколы маршрутизации используются маршрутизаторами для построения подобных таблиц (протоколы RIP, OSPF, IS-IS, ВОР).
  • Протоколы обеспечения безопасности передачи данных. К этой группе относятся протоколы туннелирования и протоколы шифрования данных: например, SSL, PPTP, L2TP.
  • Вспомогательные протоколы. Эта группа протоколов реализует вспомогательные сетевые сервисы — DHCP, HTTP, FTP.

Соответственно, проводить обзор сетевых протоколов имеет смысл только в рамках определенной задачи. В данной главе мы в первую очередь рассмотрим транспортные протоколы и протоколы удаленного доступа.

Обзор доступных транспортных стеков протоколов

В рамках Windows Server 2003 реализована поддержка следующих стеков протоколов:

  • TCP/IP;
  • NWLink (IPX/SPX-совместимый стек протоколов);
  • AppleTalk.

Эти стеки протоколов могут быть использованы для организации взаимодействия Windows Server 2003 с другими компьютерами в сети.

Примечание

Следует заметить, что в Windows Server 2003 отсутствует протокол NetBEUI. Поддержка этого протокола присутствует во всех ранних версиях Windows. В системе Windows XP протокол NetBEUI не устанавливается на диск по умолчанию, но его можно установить с дистрибутивного компакт-диска. В дистрибутиве Windows Server 2003 протокол NetBEUI отсутствует совсем. Поэтому, если в вашей сети используется NetBEUI, при переходе на Windows Server 2003 администратору необходимо будет выполнить переход на другой транспортный протокол.

Стек протоколов TCP/IP

Стек протоколов TCP/IP (Transmission Control Protocol/Internet Protocol) является основой глобальной сети Интернет, что обеспечило ему широкую популярность. Его гибкость и возможности маршрутизации трафика позволяют использовать его в сетях различного масштаба (начиная небольшой локальной сетью и заканчивая глобальной корпоративной сетью).
Стек протоколов TCP/IP представляет собой набор сетевых протоколов, регламентирующих все стороны процесса взаимодействия сетевых устройств. Этот стек протоколов основан на открытых спецификациях. Благодаря этому реализации данного стека протокола различными производителями совместимы между собой. В частности, реализация TCP/IP, предложенная Microsoft в рамках семейства операционных систем Windows, позволяет осуществлять взаимодействие с системами, находящимися под управлением ОС, созданных не фирмой Microsoft (например, UNIX).
Можно выделить следующие достоинства стека протоколов TCP/IP:

  • в рамках стека реализована стандартизованная схема маршрутизации, являющаяся наиболее полным и доступным общепринятым механизмом маршрутизации сетевого трафика. Практически все современные операционные системы поддерживают TCP/IP (даже Novell признала первенство стека протоколов TCP/IP и реализовала его поддержку в своем семействе операционных систем NetWare). Практически все корпоративные сети строятся с использованием стека TCP/IP;
  • технология объединения разнородных систем. В рамках стека TCP/IP доступно множество стандартных утилит для организации взаимодействия и передачи данных между разнородными системами, включая протокол передачи файлов FTP и протокол эмуляции терминала (Telnet). Некоторые стандартные утилиты поставляются непосредственно с Windows Server 2003;
  • технология, позволяющая подключать сеть или одиночный компьютер к глобальной сети Интернет. Поскольку Интернет функционирует на базе стека протоколов TCP/IP, поддержка компьютером этого стека является одним из обязательных требований при подключении его к этой сети. Реализованный в рамках стека протокол РРР, протокол туннелирования РРТР и архитектура Windows Sockets обеспечивают необходимую основу для организации подключения к Интернету и использования всех его служб;
  • основа для организации устойчивого, масштабируемого, межплатформенного, клиент-серверного взаимодействия. В TCP/IP поддерживается интерфейс Windows Sockets, который является реализацией в среде Windows широко распространенного интерфейса Berkeley Sockets, используемого для создания сетевых приложений.

Реализация стека протоколов TCP/IP в Windows Server 2003
В Windows Server 2003 реализована поддержка основных протоколов стека TCP/IP, включая протокол управления передачей (TCP), протокол Интернета (IP), протокол пользовательских датаграмм (UDP), протокол разрешения адресов (ARP), протокол управляющих сообщений Интернета (1СМР), а также протокол управлениями группами Интернет (IGMP). Реализация стека протоколов TCP/IP включает в себя базовые утилиты TCP/IP, в том числе Finger, Ftp, Lpr, Rep, Rexec, Rsh, Telnet и Tftp. Эти утилиты позволяют пользователям, работающим в Windows Server 2003, использовать ресурсы и взаимодействовать с компьютерами под управлением операционных систем сторонних производителей (например, операционные системы семейства UNIX). В распоряжении администратора имеется также целый ряд диагностических утилит TCP/IP, включая Arp, Hostname, Ipconfig, Lpq, Nbtstat, Netstat, Ping, Route и Tracert. Системные администраторы могут использовать эти утилиты, чтобы обнаружить и решить проблемы работы с сетями TCP/IP.

Внимание

В Windows Server 2003 протокол TCP/IP устанавливается по умолчанию и не может быть удален или переустановлен. Если возникает необходимость сбросить установки TCP/IP, то следует использовать утилиту командной строки Netsh.exe.

Следует заметить, что разработанные в ходе развития стека TCP/IP спецификации охватывают различные стороны сетевого взаимодействия. Не все они реализованы в рамках стека протоколов TCP/IP, предложенного Microsoft в Windows Server 2003. Реализация стека протоколов TCP/IP в Windows Server 2003 имеет следующие характерные особенности:

  • поддержка окна передачи большого размера. Эта возможность улучшает производительность TCP/IP в случае, когда передается большое количество данных или не требуется передача подтверждения при связи между двумя компьютерами в течение длительного периода времени. В случае взаимодействия на базе протокола TCP окно (максимальное число пакетов, переданных в виде непрерывного потока до первого пакета подтверждения) обычно имеет фиксированный размер и устанавливается в начале сеанса связи между принимающим и передающим компьютерами. С поддержкой больших окон фактический размер окна может быть динамически вычислен повторно и соответственно увеличен в течение более длинных сеансов. Это позволяет передать большее количество пакетов данных за один раз и увеличивает эффективную полосу пропускания;
  • размер окна передачи устанавливается локальным сетевым адаптером. Данная возможность позволяет устанавливать размер окна передачи сетевым адаптером в соответствии с имеющейся пропускной способностью сети. Например, в ситуации, когда компьютер подключен к Интернету посредством модемного соединения, размер окна передачи будет значительно меньше, чем в случае соединения с локальной вычислительной сетью. Применительно к серверу удаленного доступа описываемая возможность позволяет уменьшить размер очереди пакетов и, как следствие, увеличить эффективность устанавливаемых соединений;
  • выборочные подтверждения. Эта возможность позволяет сетям быстро восстанавливать свою работоспособность после возникновения сетевых конфликтов или временного сбоя в физической среде. Получатель может выборочно подтверждать или требовать повторную передачу у отправителя только для тех пакетов, которые были опущены или повреждены во время передачи данных. В предыдущих реализациях TCP/IP, если компьютер-получатель не смог получить одиночный TCP-пакет, отправитель был вынужден повторно передавать не только поврежденный или отсутствующий пакет, но и всю последовательность пакетов, идущую после неподтвержденного пакета. С новой возможностью будут повторно посланы только действительно поврежденные или пропущенные пакеты. Это приводит к передаче меньшего количества пакетов, т. е. к лучшему использованию сети;
  • лучшая оценка времени кругового пути (Round Trip Time, RTF). Эта возможность повышает эффективность стека протоколов TCP/IP, позволяя точно оценивать время, затрачиваемое на путешествие пакета туда и обратно (RTT) между двумя хостами сети. (RTT — количество времени, которое требуется для кругового прохождения пакета между отправителем и получателем по установленному TCP-соединению.) Повышение точности оценки RTT позволяет установить более точное значение тайм-аута, до истечения которого компьютеры не будут перезапрашивать пакет. Лучшая синхронизация приводит к повышению эффективности работы в сетях с большими значениями RTT (например, в глобальных сетях), покрывающих большие расстояния (нередко целые континенты), или при использовании TCP/IP в беспроводных или спутниковых каналах;
  • поддержка протокола IPv6. Протокол IPv6 представляет собой новую версию протокола IP (старая версия протокола получила название IPv4). Новая версия протокола позволяет преодолеть ограничения и недостатки, характерные для протокола IPv4;
  • поддержка механизмов маршрутизации. Реализация стека протоколов TCP/IP в Windows Server 2003 включает в себя механизмы маршрутизации. Благодаря этому компьютер под управлением Windows Server 2003 может выступать в качестве маршрутизатора, соединяя между собой две или более подсетей;
  • возможность назначения одного IP-адреса нескольким сетевым адаптерам (создание так называемого подключения типа "сетевой мост", network media bridge). Например, компьютер может иметь два сетевых подключения (одно посредством модема с телефонной линией, а второе посредством сетевого адаптера к беспроводной сети). При этом другие компьютеры, подключаясь по телефонной линии к данному компьютеру, могут через мост осуществлять взаимодействие с компьютерами, подключенными к беспроводной сети;
  • встроенный брандмауэр. Непосредственно на уровне операционной системы реализован простейший брандмауэр подключений к Интернету (Internet Connection Firewall, ICF). Встроенный брандмауэр представляет собой службу, осуществляющую фильтрацию информации, поступающей
  • из глобальной сети Интернет. Служба пропускает только разрешенные администратором типы пакетов и отбрасывает все остальные;
  • поддержка служб просмотра сети (browser service), позволяющая осуществлять поиск ресурсов в сложных IP-сетях.

Помимо транспортных протоколов, задача которых сводится исключительно к организации сетевого взаимодействия, в Windows Sewer 2003 реализован целый ряд служб, без которых на сегодняшний день трудно представить сетевую инфраструктуру современного предприятия:

  • службы Интернета (Internet Information Services, IIS);
  • служба DHCP для автоматического конфигурирования TCP/IP;
  • служба WINS (Windows Internet Name Service) для разрешения NetBIOS-имен в IP-адреса;
  • служба доменных имен (Domain Name Service, DNS) для разрешения доменных имен в IP-адреса;
  • службы печати для доступа через TCP/IP к принтерам, подключенным к UNIX-системам, или к принтерам, подключенным непосредственно к сети;
  • агент простого протокола управления сетью (Simple Network Management Protocol, SNMP). Протокол SNMP был разработан как средство реализации централизованного управления разнообразными сетевыми устройствами посредством специализированного программного обеспечения (например, Sun Net Manager или HP Open View);
  • серверное программное обеспечение для простых сетевых протоколов, включая генератор символов (Chargen), Daytime, Discard, Echo и Quote of The Day. Эти протоколы позволяют компьютеру под управлением Windows Server 2003 отвечать на запросы других систем, поддерживающих эти протоколы.

Примечание

Реализация стека протоколов TCP/IP в Windows Server 2003 не включает полный набор утилит TCP/IP или серверных служб (которые традиционно называются демонами, daemons). Тем не менее, существует множество прикладных программ и утилит такого рода, совместимых с реализацией TCP/IP производства Microsoft из состава Windows Server 2003, — как свободно распространяемых, так и сторонних производителей.

Архитектура стека протоколов TCP/IP в Windows Server 2003
Рис. 12.5 позволяет получить представление об архитектуре стека протоколов. TCP/IP, реализованного в рамках операционной системы Windows Server 2003. Условно можно выделить четыре уровня данной реализации.

  • Уровень приложений. На этом уровне функционируют приложения, нуждающиеся в доступе к сети. При этом приложения для обращений к сети могут использовать любой из поддерживаемых системой прикладных интерфейсов.

Рис. 12.5. Архитектура стека протоколов TCP/IP в Windows Server 2003

  • Уровень прикладных интерфейсов. Прикладные интерфейсы представляют собой стандартизированные точки доступа к сетевым компонентам операционной системы. Операционной системой Windows Sewer 2003 поддерживается целый ряд разнообразных прикладных интерфейсов (NetBIOS, WNET/WinNET, Windows Socket, RFC). Прикладные интерфейсы взаимодействуют с транспортными протоколами через интерфейс транспортного драйвера (Transport Driver Interface, TDI).
  • Реализация транспортных механизмов. На этом уровне функционируют транспортные протоколы, отвечающие за упаковку сетевых запросов к приложениям в соответствующие форматы и отправку этих запросов на соответствующий сетевой адаптер посредством интерфейса сетевых драйверов (Network Driver Interface Specifications, NDIS).
  • Интерфейс сетевых драйверов. Интерфейс сетевых драйверов позволяет использовать несколько сетевых протоколов поверх разнообразных типов сред и сетевых адаптеров. Благодаря этому интерфейсу множество протоколов могут совместно использовать один сетевой адаптер.

В Windows Server 2003 реализована спецификация NDIS 5.1. Ниже перечислены характерные особенности данной версии этого интерфейса.

  • Поддержка данных, передаваемых вне полосы пропускания (используется в широкополосной передаче).
  • Расширение для средств Wireless WAN.
  • Высокоскоростные передача и прием пакетов (что приводит к значительному повышению производительности).
  • Расширение для средств высокоскоростных портов инфракрасной передачи IrDA.
  • Автоматическое определение среды (это требуется для получения эмблемы "Разработано для Windows" в соответствии с руководством по построению аппаратных средств спецификации РС'98).
  • Фильтрация пакетов (предотвращает монопольный захват процессора утилитой Сетевой монитор (Network Monitor)).
  • Многочисленные новые системные функции интерфейса NDIS (требуются для двоичной совместимости мини-порта Windows 95 и Windows NT).
  • Управление питанием NDIS (требуется для сетевого управления питанием и включения компьютера через сеть).
  • Поддержка технологии Plug and Play.
  • Поддержка инструментария управления Windows (Windows Management Instrumentation, WMI), что обеспечивает создание совместимых с WBEM (Управление предприятием на основе технологии Web) средств управления аппаратурой мини-портов ND1S и связанных с ними адаптеров.
  • Поддержка единого формата INF для всех операционных систем Windows. Новый формат INF основан на формате 1NF, принятом в Windows 95.
  • Механизмы разгрузки процессора для служебных процессов типа расчета контрольной суммы пакетов протоколов TCP и UDP, а также для быстрой пересылки пакетов.
  • Расширение для средств широковещания (необходимо для широковещательных служб в Windows).
  • Поддержка механизмов установления логического соединения (требуется для сетей ATM и ADSL, а также для работы WDM-CSA (Windows Driver Model-Connection Streaming Architecture) — модели драйвера потоковой архитектуры соединения для Windows поверх всех сред с установлением логического соединения).
  • Поддержка для реализации служб качества обслуживания (Quality of Service, QoS).
  • Поддержка промежуточных драйверов (требуется для широковещания PC, виртуальных ЛВС, планирования пакетов для QoS и для поддержки сетевых устройств IEEE-1394).

Интерфейс Windows Socket 2
Интерфейс Windows Socket 2 (достаточно часто можно встретить другое название — WinSock 2) представляет собой реализованный в Windows интерфейс сокетов, разработанный в Университете Беркли. Данный интерфейс выступает в качестве связующего звена между приложениями и транспортным механизмом. Формат сокета зависит от протокола. Применительно к TCP/IP сокет представляет собой комбинацию информации об адресе хоста и номере порта. Для каждого сокета эта комбинация является уникальной.
Обеспечивая полную совместимость с предыдущей версией, Windows Socket 2 расширяет первоначальную реализацию интерфейса. Его характеризуют:

  • улучшенная эффективность работы;
  • дополнительная поддержка разрешения имен;
  • параллельный доступ к нескольким сетевым транспортам;
  • поддержка процедур управления качеством обслуживания (QoS);
  • поддержка многоточечного и многоадресного вещания.

В дополнение к поддержке доступа к нескольким сетевым транспортам и механизмам разрешения имен, по сравнению со спецификацией WinSock 1.1, изменилась и архитектура Windows Sockets 2, которая теперь включает два основных уровня: уровень динамических библиотек (DLL), обеспечивающих интерфейс Windows Sockets API, и уровень поставщиков услуг, располагающихся ниже библиотек API и взаимодействующих с ними через интерфейс поставщика услуг (Service Provider Interface, SPI). Описание Windows Sockets 2 включает три отдельных спецификации: описание Windows Sockets 2 API, описание Windows Sockets 2 SPI и приложение (Appendix), определяющие особенности протокола транспортного уровня.
DLL-библиотека Windows Sockets 2 (WS2-32.DLL) включает все API, используемые разработчиками приложений. Она включает существующий Windows Sockets 1.1 API, а также новый API для расширенных средств обмена данными и API обобщенной службы имен. Многие поставщики теперь предлагают параллельный доступ к их собственным транспортам, создавая DLL-библиотеку поставщика услуг, соответствующую спецификации Windows Sockets 2 SPI. Это означает, что можно разработать приложение, обращающееся через новый прикладной интерфейс, например, к TCP/IP и IPX/SPX одновременно.
Интерфейс поставщика услуг позволяет обращаться к нескольким службам разрешения имен (Name Resolution Services) через единый API. Поскольку производители поставляют программные модули уровня поставщика услуг для DNS, для службы каталогов NetWare (NDS) и Х.500 все их функции разрешения имен будут доступны через API пространства имен Windows Sockets 2.
Протокол IPv6
Начальная версия протокола IP (ее принято называть IPv4) разрабатывалась несколько десятилетий назад. Хотя при разработке этого протокола исходили из возможного развития сетевой инфраструктуры в будущем, протоколу IPv4 свойственен ряд ограничений.

  • Ограниченное адресное пространство. Стремительный рост Интернета выявил одно из самых ощутимых ограничений — нехватку IP-адресов. По оценкам специалистов, заложенное в рамках архитектуры протокола IPv4 количество IP-адресов приблизительно равно количеству хостов Интернета. Уже в ближайшем будущем все доступные IP-адреса будут задействованы. Для дальнейшего развития Интернета необходимо предложить и задействовать новый способ адресации хостов.
  • Сложность конфигурации. Версия протокола IPv4 предусматривает только два способа определения конфигурации протокола: ручная настройка либо использование службы автоматической конфигурации хостов DHCP. В случае большого количества хостов возникает потребность в механизме конфигурации хостов, требующем минимального участия со стороны администратора.
  • Недостаточная защищенность. При взаимодействии хостов через открытые сети (какой является, например, Интернет) данные передаются в открытом виде. Существуют различные механизмы защиты сетевого трафика на разных уровнях OSI модели. Специалистами был разработан протокол шифрования данных на сетевом уровне, получивший название протокола IP Security (IPSec). Однако использование этого протокола носит опциональный характер.
  • Отсутствие механизмов управления качеством обслуживания (Quality of Service, QoS). Развитие информационных технологий предъявляет жесткие требования к сетевому транспорту (особенно при передаче потоковых данных — таких, например, как голос и изображение). Хотя имеются механизмы, позволяющие управлять качеством обслуживания и в рамках протокола IPv4, существующий формат заголовка IP-пакета имеет ограниченную функциональность.

Указанные ограничения удалось преодолеть в новой версии протокола IP, получившего название IPv6. Для этого протокола сетевого уровня можно выделить характерные особенности, перечисленные ниже.

  • Новый формат заголовка IP-пакета. В новой версии протокола IP существенным образом был переработан формат заголовка пакета с целью повышения эффективности его обработки сетевыми устройствами. Следует заметить, что заголовок 1Ру6-пакета не совместим обратно с заголовком IРv4-пакета. Поэтому в случае использования в сети обеих версий протоколов сетевое устройство (такое, например, как маршрутизатор) должно поддерживать обе версии протокола.
  • Увеличенное адресное пространство. Протокол IPv4 использует 32-битные адреса. В протоколе IPv6 используются 128-битные IP-адреса (что составляет 2128 возможных адресов). Имеющееся количество IP-адресов достаточно как для построения открытых сетей, так и для реализации корпоративных сетей. Благодаря этому, в частности, отпадает необходимость в механизмах трансляции адресов (NAT).
  • Иерархическая инфраструктура адресации и маршрутизации. Схема адресации, используемая в IPv6, позволяет упростить процесс построения таблиц маршрутиазции, используемых маршрутизаторами для определения пути доставки пакета.
  • Новый механизм конфигурации хостов. Протокол IPv6 поддерживает как традиционные способы конфигурации хостов (ручной и с использованием DHCP), так и новые способы конфигурации, не требующие участия DHCP-сервера. В последнем случае хост может определить собственную конфигурацию, основываясь на информации о настройках ближайшего маршрутизатора, либо использовать конфигурацию по умолчанию.
  • Встроенный механизм обеспечения безопасности. Поддержка протокола IPSec является одним из обязательных условий функционирования протокола IPv6.
  • Улучшенная поддержка механизмов управления качеством сервиса. Новый формат заголовка изначально ориентирован на работу механизмов управления качеством обслуживания (QoS).
  • Новый протокол взаимодействия с соседними хостами. Протокол обнаружения соседних хостов (Neighbor Discovery Protocol) представляет собой набор ICMP-сообщений, который регламентирует процесс взаимодействия хоста с его соседями. Этот протокол соответственно заменяет протоколы ARP, ICMPv4 Router Protocol и ICMPv4 Redirect.

Применительно к реализации IPv6 в Windows Server 2003 следует заметить, что данная версия протокола поддерживается разнообразными службами TCP/IP. В частности, служба DNS может быть использована для регистрации хостами своих доменных имен и, в последующем, для разрешения этих имен в соответствующие 1Ру6-адреса.
Протокол IP Security
Протокол IP Security (или как его еще называют — IPSec) разработан с целью реализации защищенного обмена данными по протоколу IP. При этом протокол IPSec позволяет администратору решить следующие задачи обеспечения безопасности:

  • обеспечение конфиденциальности передаваемых данных;
  • контроль доступа;
  • обеспечение целостности передаваемых данных;
  • защита от повторения;
  • подтверждение подлинности данных.

Протокол IPSec функционирует на сетевом уровне модели OSI. Принцип работы протокола сводится к созданию защищенного туннеля между двумя хостами, осуществляющими обмен данными через открытые сети. Поскольку процесс шифрования требует привлечения значительных вычислительных ресурсов, в структуре протокола IPSec выделяют два уровня обеспечения безопасности передаваемых данных.

  • Создание защищенного заголовка IP-пакета (Authentication Header, АН). Данный уровень предполагает защиту заголовка передаваемого пакета. В случае использования только этого уровня собственно данные пакета передаются в открытом, незащищенном виде. Тем не менее, данный уровень наиболее оптимален в ситуации, когда конфиденциальность передаваемых данных не является критически важной. Уровень обеспечения безопасности АН позволяет гарантировать целостность данных, подтверждение подлинности их происхождения, а также защиту от повторений.
  • Инкапсуляция содержимого пакета (Encapsulated Security Payload, ESP). На этом уровне реализуется защита содержимого пакета путем его шифрования. На уровне обеспечения безопасности ESP гарантируется конфиденциальность передаваемых данных, их целостность, подлинность их происхождения, а также защита от повторения.

В основе работы этого протокола лежит сразу несколько криптографических алгоритмов:

  • системы шифрования с симметричным ключом шифрования (алгоритм DES);
  • системы шифрования с открытым ключом;
  • алгоритм открытого распределения ключей;
  • алгоритмы хэширования (MD5).

Рекомендации по настройке стека протоколов TCP/IP
Дадим несколько общих рекомендаций касательно настройки хоста, работающего в сетях на базе стека протоколов TCP/IP. Настройка хоста сводится к определению следующих параметров.

  • IP-адрес хоста. Каждый хост в среде TCP/IP должен иметь уникальный IP-адрес. Если хост имеет несколько сетевых соединений, для каждого из них (в том числе и использующих телефонные линии и подключенных к серверу удаленного доступа) должен быть выделен свой IP-адрес. Этот адрес может быть статически назначен администратором или выделен динамически службой DHCP.
  • Определение метода разрешения символических имен. Windows Server 2003 поддерживает четыре способа разрешения символических имен в IP-адреса: службу доменных имен (Domain Name System, DNS), службу интернет-имен Windows (Windows Internet Name System, WINS), широковещательное разрешение имен и разрешение имен с помощью файлов HOSTS и LMHOSTS.

Отдельно следует рассмотреть методы разрешения имен в. ситуации, когда клиент подключается к серверу удаленного доступа. В этом случае клиент может использовать для разрешения имен те же серверы имен WINS и DNS, что назначены серверу удаленного доступа. Разумеется, параметры стека протоколов TCP/IP и телефонного подключения хоста могут отменить эти настройки по умолчанию.
В небольших сетях, где IP-адреса изменяются крайне редко или не изменяются вообще, сетевые подключения могут использовать файлы HOSTS или LMHOSTS для разрешения имен. Поскольку эти файлы размещены на локальном диске, не требуется передавать запрос на разрешение имен серверу WINS или серверу DNS и ждать ответ на этот запрос через телефонное подключение. Как следствие, сокращается время, необходимое для подключения к требуемому ресурсу.

Стек протоколов NWLink

Стек протоколов IPX/SPX (Internetwork Packet Exchange/Sequenced Packet Exchange) представляет собой фирменный стек протоколов, разработанный корпорацией Novell специально для операционной системы NetWare. Поскольку данный стек протоколов является патентованным, корпорация Microsoft разработала собственный стек протоколов, совместимый с IPX/SPX. Созданный Microsoft стек протоколов получил название NWLink (на него часто также ссылаются как на IPX/SPX-совместимый стек протоколов).
Хотя NWLink является IPX/SPX-совместимым протоколом, он построен в соответствии с архитектурой Windows. Оригинальный стек протоколов IPX/SPX базируется на продвигаемом компанией Novell открытом сетевом интерфейсе, обеспечивающем возможность привязывать к сетевой карте более одного протокола, — Open Data-Link Interface (ODI). В семействе операционных систем Windows Microsoft реализовала собственный стандарт интерфейса сетевых драйверов (Network Driver Interface Specifications, NDIS). Архитектура стека протоколов NWLink предполагает взаимодействие с интерфейсом NDIS.

Внимание

В отличие от Windows 2000 Server, системы Windows Server 2003 не поддерживают маршрутизацию протокола IPX (т. е. пересылку трафика IPX, использование Routing Information Protocol (RIP) for IPX, поддержку Service Advertising Protocol (SAP) в качестве агента маршрутизации и рассылку широковещательных пакетов "NetBIOS over IPX") и его использование для входящих подключений; в Windows Server 2003 также отсутствует служба Gateway Service for NetWare. Протокол IPX можно выбирать только для исходящих подключений в папке Network Connections.

Использование стека протоколов NWLink в среде Windows Server 2003 имеет свои особенности. Прежде всего, следует заметить, что для доступа к ресурсам операционной системы Novell NetWare одного стека протоколов NWLink. На компьютере, находящемся под управлением Windows Server 2003, должен быть также установлен редиректор (redirector) для сетей NetWare — Служба клиента для сетей NetWare (Client Service for NetWare, CSNW).
Если администратору необходимо организовать доступ к ресурсам NetWare без установки протокола NWLink, необходимо использовать специальную Службу шлюза для сетей NetWare (Gateway Service for NetWare, GSNW), поставляемую в составе Windows 2000 Server; в Windows Server 2003 эта служба отсутствует.

Стек протоколов AppleTalk

Специально для поддержки клиентов Apple Macintosh в Windows Server 2003 реализован стек протоколов AppleTalk. Используя стек протоколов AppleTalk, приложения и процессы могут передавать данные и обмениваться информацией, а также совместно использовать ресурсы, например принтеры и файловые серверы. Удаленный доступ к Windows Server 2003 по протоколу AppleTalk реализуется посредством протоколов ARAP (AppleTalk Remote Access Protocol) и АТСР (AppleTalk Control Protocol).
Протокол AppleTalk устанавливается автоматически вместе со службами File Services for Macintosh и Print Services for Macintosh.
Протокол ARAP представляет собой протокол коммутируемого соединения для компьютеров Apple Macintosh. Пользователи Macintosh с помощью ARAP могут удаленно подключаться к компьютеру с поддержкой AppleTalk под управлением Windows Server 2003 и получать доступ к файловым томам Macintosh и принтерам AppleTalk. Поддерживаются клиенты удаленного доступа AppleTalk (AppleTalk Remote Access client) версий 1.0, 2.x и 3.x.
При помощи АТСР клиенты Macintosh могут работать с сетевым протоколом AppleTalk поверх РРР, а удаленный пользователь может получить доступ к веб-серверам поверх TCP/IP, печатать документы на принтерах AppleTalk, а также соединяться с файловым сервером Macintosh (по TCP/IP или AppleTalk) по коммутируемому РРР-соединению.

Обзор протоколов удаленного доступа

Для установки соединения с сервером удаленного доступа клиент должен использовать специальный протокол. Эти протоколы получили название протоколов удаленного доступа. Windows Server 2003 поддерживает два протокола удаленного доступа:

  • Протокол РРР
  • Протокол SLIP

Необходимо понимать, что протокол удаленного доступа регламентирует исключительно порядок взаимодействия с сервером удаленного доступа. Он функционирует на уровне канала данных OSI-модели, осуществляя упаковку пакетов протоколов верхних уровней (таких, например, как протоколы стека TCP/IP) в соответствующие фреймы.

Протокол РРР

Протокол РРР (Point-to-Point Protocol) рассматривается как стандартный способ организации взаимодействия клиентов с сервером удаленного доступа в среде Windows Server 2003. Реализация протокола РРР в Windows Server 2003 характеризуется следующими особенностями:

  • протокол РРР в среде Windows Server 2003 поддерживается как на стороне клиента, так и на стороне сервера. Фактически РРР является единственным протоколом удаленного доступа, поддерживаемым сервером удаленного доступа под управлением Windows Server 2003;
  • структура протокола РРР позволяет осуществлять настройку параметров транспортного протокола. Например, после установки соединения сервер удаленного доступа может выдать клиенту IP-адрес;
  • протокол РРР поддерживает несколько методов аутентификации (РАР, SPAP, CHAP, MS-CHAP, MS-CHAP v2 и ЕАР), а также сжатие и шифрование данных. Большинство реализаций РРР позволяет полностью автоматизировать последовательность входа в систему.

Поскольку протокол РРР является открытым стандартом, он может служить основой для организации удаленного доступа к корпоративной сети любых клиентов, использующих этот протокол.
Протокол РРР применяется в Windows Server 2003 по умолчанию. Сервер удаленного доступа Windows Server'2003, сконфигурированный на обслуживание входящих подключений, не требует каких-либо специальных настроек для поддержки входящих подключений с использованием протокола РРР. Если подключение сконфигурировано должным образом, запрос на подключение по протоколу РРР будет автоматически обработан сервером удаленного доступа. При использовании протокола РРР для подключения Windows Server 2003 к некоторому серверу удаленного доступа в большинстве случаев достаточно настроек по умолчанию и дополнительное конфигурирование не требуется. При необходимости администратор может по своему усмотрению настроить параметры протокола РРР как для исходящего, так и для входящего подключения.
Реализация протокола РРР, предложенная Microsoft, придерживается стандарта, определенного в RFC 1661. Рассмотрим последовательность установки соединения РРР. После начального соединения с удаленным сервером РРР производится следующий обмен информацией, необходимой для установки РРР-соединения:

  • Установка параметров соединения. На этой стадии стороны определяют конфигурацию устанавливаемого соединения (максимальный размер окна передачи, параметры компрессии передаваемых данных). Также стороны договариваются о выборе протокола, который будет использоваться позднее для аутентификации удаленного пользователя. Эта стадия осуществляется посредством специальных протоколов управления связью (Link Control Protocols, LCP). Протоколы управления связью (Link Control Protocols, LCP) устанавливают и настраивают кадрирование (framing) РРР. Кадрирование РРР определяет, как формируются данные перед передачей по глобальной сети. Стандарт кадрирования РРР гарантирует, что программное обеспечение удаленного доступа любых производителей может передавать и распознавать пакеты данных от любого программного обеспечения удаленного доступа, которое твердо придерживается стандартов РРР. Протокол РРР в Windows Server 2003 использует модификацию кадрирования HDLC (Высокоуровневое управление каналом передачи данных, High-level Data Link Control) для последовательного доступа или ISDN;
  • Аутентификация пользователя. Процесс аутентификации является одним из неотъемлемых этапов в процессе установки сетевого соединения, обусловленный требованиями безопасности. В случае удаленного доступа к сети требования к безопасности являются более жесткими, нежели в случае локального доступа. В Windows Server 2003 реализована поддержка целого ряда протоколов аутентификации, от передачи пароля пользователя в незашифрованном виде до аутентификации посредством специальных смарт-карт;
  • Обратный звонок (callback). Обратный звонок является необязательным этапом в процессе установки соединения посредством протокола РРР. Этот этап позволяет гарантировать подлинность клиента, устанавливающего подключение к серверу удаленного доступа, и может быть обусловлен требованиями безопасности. Сущность этого этапа заключается в следующем. Клиент обрывает соединение и ожидает звонка сервера удаленного доступа. Сервер удаленного доступа самостоятельно дозванивается до клиента и процесс установки соединения продолжается. Следует заметить, что для удаленного пользователя должен быть разрешен этап обратного звонка;
  • Установка параметров сетевых протоколов. Эта стадия реализуется посредством специальных протоколов управления сетью (Network Control Protocols, NCP). Протоколы NCP (табл. 12.3) служат для установления и настройки различных параметров сетевых протоколов (IP, IPX и AppleTalk) (параметры сжатия заголовков протокола и протоколы управления сжатием).

Таблица 12.3. Протоколы NCP

Протоколы | Описание
IP Control Protocol (Протокол управления IP, IPC) | Служит для конфигурирования, разрешения и запрещения модулей IP на обоих концах соединения
IPX Control Protocol (Протокол управления IPX, IPXCP) | Служит для конфигурирования, разрешения и запрещения модулей IPX на обоих концах соединения
AppleTalk Control Protocol (Протокол управления AppleTalk, ATCP) | Служит для конфигурирования, разрешения и запрещения модулей AppleTalk на обоих концах соединения

Установленное в результате соединение будет оставаться активным до его разрыва по одной из следующих причин:

  • для соединения истек период простоя;
  • соединение было принудительно разорвано администратором;
  • произошла неустранимая ошибка связи.

Протокол SLIP

Межсетевой протокол для последовательного канала (Serial Line Internet Protocol, SLIP) представляет собой один из первых стандартов для удаленного доступа к сети, разработанный для подключения к серверам UNIX. Протокол SLIP может использоваться только клиентами удаленного доступа на базе Windows Server 2003 для подключения к UNIX-серверам. Сервер удаленного доступа под управлением Windows Server 2003 не поддерживает входящих подключений по протоколу SLIP. Фактически протокол SLIP в Windows Server 2003 реализован исключительно как средство обеспечения совместимости со старыми версиями UNIX-серверов.
Использование протокола SLIP связано с одним существенным ограничением. Данный протокол поддерживает работу только со стеком протоколов TCP/IP. Другими словами, клиенты, использующие стек протоколов NWLink (IPX/SPX) или AppleTalk, не могут использовать протокол SLIP для подключения к серверу удаленного доступа.

Порядок привязки протоколов

Как уже говорилось ранее, интерфейс сетевых драйверов NDIS позволяет использовать несколько сетевых протоколов поверх разнообразных типов сред и сетевых адаптеров. Это становится возможным благодаря механизму "привязки" (binding) протоколов к имеющимся сетевым адаптерам. Привязка протокола к сетевому адаптеру фактически означает то, что данный протокол будет прослушиваться системой на указанном сетевом адаптере. В ситуации, когда к одному сетевому адаптеру привязано несколько протоколов, значимым является порядок их привязки. Так, для достижения наилучшей производительности первым в списке должен идти наиболее часто используемый протокол. Windows Server 2003 позволяет администратору управлять порядком привязки протоколов на уровне сетевых соединений.

Примечание

Поскольку на прослушивание каждого стека протоколов затрачивается некоторая часть системных ресурсов, рекомендуется устанавливать на компьютер только те сетевые протоколы, что действительно необходимы для работы.

Для изменения порядка привязки протоколов необходимо в меню Advanced (Дополнительно) выбрать пункт Advanced Settings (Дополнительные параметры). На вкладке Adapters and Bindings (Адаптеры и привязки) (рис. 12.6) необходимо выбрать конфигурируемое подключение и в окне Binding for... (Привязка для...) указать протокол, который требуется переместить в списке выше или ниже, и щелкнуть на кнопке со стрелкой вверх или вниз.
Дополнительно администратор может определить порядок, в соответствии с которым сетевые службы будут получать доступ к сети. Для этого необходимо перейти на вкладку Provider Order (Порядок поставщиков) (рис. 12.7). Службы будут использоваться в порядке их перечисления в поле Network provider (Сетевые поставщики). Выбрав поставщика, которого требуется переместить в списке выше или ниже, необходимо щелкнуть на кнопке со стрелкой вверх или вниз.

Рис. 12.6. Управление порядком привязки протоколов

Рис. 12.7. Управление порядком использования поставщиков

Примечание

Для изменения порядка привязки протоколов необходимы полномочия локального администратора.

Для примера рассмотрим следующую ситуацию. Допустим, для некоторого сетевого подключения установлены служба клиента сети Novell NetWare и служба клиента сети Microsoft Windows, использующих соответственно стеки протоколов IPX/SPX и TCP/IP. Допустим также, что рассматриваемое соединение наиболее часто используется для взаимодействия с сетью Microsoft Windows посредством стека протоколов TCP/IP. В этом случае службу клиента сети Microsoft (Microsoft Windows Network) необходимо поместить в начало списка служб. Необходимо также переместить в начало списка и привязку стека протоколов TCP/IP для компонента File and Printer Sharing for Microsoft Networks (Служба доступа к файлам и принтерам сетей Microsoft).

Создание сетевых подключений

После того как нами были рассмотрены основные поддерживаемые протоколы, мы можем перейти к более подробному разговору о процессе создания различных типов сетевых подключений.

Подключение к локальной вычислительной сети

Подключение компьютера к локальной вычислительной сети является стандартным способом организации доступа к ресурсам корпоративной сети для большинства компаний. При этом могут быть использованы различные типы сетевых адаптеров (например, предполагающие беспроводной доступ или специальные кабельные модемы), предполагающие работу в сетях различной архитектуры — Ethernet, Token Ring, кабельные модемы, xDSL, FDDI, IP no ATM, IrDA (инфракрасная связь), радио- и эмулированные ЛВС на базе ATM. Эмулированные локальные сети используют драйверы виртуальных адаптеров, например, драйверы, поддерживающие протокол LANE (LAN Emulation, эмуляция ЛВС).
Как было замечено ранее, в процессе загрузки операционная система автоматически обнаруживает все установленные сетевые адаптеры и создает для них соответствующие подключения в папке Network Connections (Сетевые подключения). По умолчанию подключение к локальной сети всегда активно. Подключение к локальной сети — единственный тип подключения, которое автоматически становится активным после загрузки системы. Операционная система может "прослушивать" среды передачи и автоматически изменять состояние подключения в случае нарушения связи. Например, если пользователь извлекает соединительный кабель из сетевого адаптера (или из коммутатора), система автоматически определяет исчезновение среды передачи и переводит подключение в разъединенное состояние (disconnected). При появлении среды передачи система автоматически переведет подключение в активное состояние.
Для настройки устройства, с которым ассоциировано подключение, а также связанных с ним клиентов, служб и протоколов используется пункт Properties (Свойства) контекстного меню выбранного подключения. На вкладке General (Общие) окна свойств подключения локальной вычислительной сети (рис. 12.8) перечисляются сетевые компоненты, установленные для данного подключения. Флажок, установленный напротив компонента, указывает на то, что этот компонент в данный момент активизирован. Чтобы перейти непосредственно к настройке отдельного компонента, необходимо выбрать его из списка и нажать кнопку Properties (Свойства).

Рис. 12.8. Вкладка General окна свойств подключения

Чтобы установить новый компонент, необходимо щелкнуть на кнопке Install (Установить). Для установки предлагается три типа компонентов:

  • Client (Клиент). Выбор клиентского программного обеспечения определяет схему доступа через рассматриваемое подключение к ресурсам корпоративной сети (например, к совместно используемым принтерам и папкам). Скажем, для работы в сетях Novell и Microsoft используются различные клиенты;
  • Service (Служба). Службы активизируют различные функциональные возможности в рамках данного подключения;
  • Protocol (Протокол). Протоколы определяют способ взаимодействия компьютера с другими сетевыми компонентами в контексте рассматриваемого подключения. В сети может использоваться несколько протоколов. Соответственно для одного подключения может быть установлено более одного протокола. Однако необходимо помнить о том, что обслуживание каждого из протоколов требует дополнительных вычислительных ресурсов компьютера. Поэтому необходимо устанавливать только те протоколы, которые реально необходимы для работы компьютера.

Подключения удаленного доступа

Концепция удаленного доступа предоставляет удаленным или мобильным пользователям возможность подключения к корпоративной вычислительной сети с целью получения доступа к ее ресурсам. Удаленный доступ используется всегда, когда отсутствует возможность соединения двух или более компьютеров через локальную сеть.

Методы удаленного доступа

Системы Windows Server 2003 поддерживают четыре метода удаленного доступа.

  • Подключение по телефонной линии. Данный метод подключения предполагает использование обычных телефонных линий в качестве передающей среды. Этот способ подключения называется также коммутируемым.
  • Подключение к ISDN-линиям. Данный тип подключения позволяет использовать цифровые линии ISDN для соединения клиентов с корпоративной сетью.
  • Подключение к сети Х.25. Компании могут использовать существующую инфраструктуру Х.25-сетей для организации удаленного доступа пользователей.
  • Прямое подключение. Этот метод является самым простым способом соединения двух компьютеров.

Далее мы рассмотрим каждый из этих методов более подробно.

Подключение по телефонной линии

Поскольку телефонные линии доступны практически повсеместно, данный способ подключения клиентов к корпоративной вычислительной сети считается одним из наиболее простых и дешевых. Основным недостатком данного способа соединения является крайне низкая пропускная способность коммутируемого телефонного подключения (максимум 56 Кбит/с). Для преобразования сигнала из цифрового формата в аналоговый и обратно используют модемы. По этой причине данный тип подключения часто называют модемным подключением.
На каждом компьютере можно создать несколько модемных подключений (их количество ограничивается исключительно производительностью компьютера и, в первую очередь, наличием свободных коммуникационных портов для подключения модемов). В большинстве ситуаций пользователю достаточно иметь одно или два модемных подключения (например, с Интернетом и с корпоративной сетью).
Архитектура Windows Server 2003 позволяет автоматически обнаруживать модемы и определять их модель. Это особенно удобно в ситуации, когда пользователь не располагает информацией о модеме (например, если это внутренний модем'). В большинстве случаев для работы с модемом можно использовать драйверы к стандартным моделям модемов.

Примечание

С системой Windows Server 2003 совместимы сотни разнообразных моделей модемов, соответствующих промышленным стандартам. Администратор может столкнуться с проблемами в процессе обнаружения и идентификации модемов с помощью стандартных средств Windows. Проверить совместимость устанавливаемого модема можно по списку аппаратной совместимости (Hardware Compatibility List) на сайте Microsoft (http://www.microsoft.com/hcl).

Рассмотрим процесс создания подключения к корпоративной сети по телефонной линии. При этом предполагается, что модем уже установлен и проверен.
1. В папке Network Connections (Сетевые подключения) запустите мастер новых подключений, выбрав задачу Create a new connection (Создание нового подключения) или выполнив команду File | New Connection (Файл | Новое подключение). На странице Network Connection Type (Тип сетевого подключения) мастера выберите переключатель Connect to the network at my workplace (Подключиться к сети на рабочем месте) (рис. 12.9).
2. В следующем окне (рис. 12.10) выберите тип подключения: Dial-up connection (Подключение удаленного доступа) или Virtual Private Network connection (Подключение к виртуальной частной сети). В рассматриваемом случае необходимо выбрать коммутируемое подключение.
3. В случае если к компьютеру подключено несколько модемов, мастер предложит выбрать конкретный модем, который будет использоваться для данного подключения. Если к компьютеру подключен только один модем, мастер пропустит этот шаг. В последующих окнах необходимо дать имя создаваемому подключению и определить номер телефона, по которому будет производиться подключение к серверу удаленного доступа (рис. 12.11 и 12.12).

Рис. 12.9. Данное окно позволяет начать создание подключения любого типа

Рис. 12.10. Выбор способа подключения к сети

Рис. 12.11. Определение имени создаваемого сетевого подключения

Рис. 12.12. Определение номера телефона, который необходимо использовать для подключения к серверу удаленного доступа

Далее необходимо определить, будет ли создаваемое подключение использоваться всеми пользователями данного компьютера или только текущим пользователем. В последнем окне необходимо щелкнуть на Finish (Готово), чтобы подключение было создано.

Подключение к Интернету

Отдельно рассмотрим ситуацию с использованием коммутируемого (телефонного) подключение для соединения компьютера с глобальной сетью Интернет. Перед созданием подключения требуется узнать у провайдера (поставщика) услуг Интернета необходимость настройки параметров подключения (таких, как выделенный IP-адрес компьютера, адрес DNS-сервера и др.). Запустив мастер создания подключений, на странице Network Connection Туре (см. рис. 12.9) необходимо выбрать переключатель Connect to the Internet (Подключить к Интернету). В следующем окне мастер предложит определить способ подключения к сети Интернет (рис. 12.13). Необходимо выбрать переключатель Connect using a dial-up modem (Через обычный модем).

Рис. 12.13. Выбор способа подключения к Интернету

В последующих окнах мастер предложит указать имя компании-провайдера (фактически в этом окне вы определяете имя создаваемого подключения) и телефон интернет-провайдера. Кроме того, потребуется указать, будет ли создаваемое подключение доступно всем пользователям компьютера или только текущему пользователю.
В следующем окне (рис. 12.14) нужно ввести имя пользователя и пароль, полученные от интернет-провайдера, а также указать, как именно будет использоваться данное подключение. По умолчанию указанные сведения о пользователе будут задействованы для всех подключений данного компьютера к интернет-провайдерам. Если этого не требуется, необходимо снять флажок Use this account name and password when anyone connects to the Internet from this computer (Использовать следующие имя пользователя и пароль при подключении любого пользователя).

Рис. 12.14. Определение информации, необходимой для подключения к интернет-провайдеру

Обратите также внимание на то, что по умолчанию система не включает брандмауэр на новом подключении. Более подробно внутренний брандмауэр будет рассмотрен позднее в этой главе.
В последнем окне мастера проверьте введенную информацию и нажмите кнопку Finish (Готово). На этом создание подключения завершено, можно его проверить. Обычно для подключения к Интернету больше ничего не требуется, т. к. остальные параметры либо установлены по умолчанию, либо поступают от провайдера.
Тем не менее, нередко бывает необходимо произвести дополнительную настройку модема, для использования его с созданным подключением, либо сконфигурировать непосредственно само подключение. Рассмотрим этот процесс подробнее. Выберите интересующее подключение из списка и в контекстном меню щелкните на кнопке Properties (Свойства).
Окно свойств коммутируемого подключения содержит пять вкладок. На вкладке Genera] (Общие) указывается используемый выбранным подключением модем, а также телефонный номер, через который осуществляется подключение к удаленной сети (рис. 12.15).

Рис. 12.15. Вкладка General окна свойств модемного подключения

Щелкнув по кнопке Configure (Настроить), администратор может выполнить настройку выбранного модема. Все необходимые для этого параметры перечислены в открывшемся окне (рис. 12.16). В поле Maximum speed (Наибольшая скорость) указывается максимально допустимая скорость передачи данных между выбранным портом и модемом.
Группа параметров Hardware features (Протокол модема) позволяет активизировать некоторые из аппаратных функций модема (аппаратное управление потоком, обработка ошибок модемом или сжатие данных модемом). Для этого достаточно установить флажок напротив соответствующего параметра.
Чтобы гарантировать совместимость, желательно использовать тот же тип модема, что и на сервере удаленного доступа, выбрать ту же начальную скорость и разрешить те же функциональные возможности оборудования. Если используется другая модель модема, то, по крайней мере, необходимо выбрать модем с поддержкой тех же стандартов ITU-T, что поддерживаются модемом на сервере.

Рис.12.16. Окно настройки модема

Примечание

Разрешение функциональных возможностей, не поддерживаемых модемом, не влияет на его работу.

Перейдя к вкладке Options (Параметры) (рис. 12.17), администратор может выполнить более точную настройку процесса установки коммутируемого подключения. В этом окне имеется две группы параметров. Группа параметров Dialing options (Параметры дозвона) определяет характеристики дозвона. Установленный флажок Prompt for name and password, certificate, etc (Подсказка для имени и пароля, сертификата и т. п.) означает, что перед установкой соединения пользователю будет предложено ввести информацию об имени учетной записи и соответствующем ей пароле. Если перед установкой соединения также необходимо изменить номер телефона, установите флажок Prompt for phone number (Запрашивать номер телефона).
Группа параметров Redialing options (Параметры повторного дозвона) позволяет задать количество повторных попыток установить подключение (параметр Redial attempts), а также временные интервалы между этими попытками (параметр Time between redial attempts). Если необходимо, чтобы система предпринимала повторные попытки дозвона в ситуации, когда происходит сбой в линии, необходимо установить флажок Redial if line is dropped (Повторно дозваниваться в ситуации, когда линия сбрасывается).

Рис. 12.17. Настройка параметров дозвона

На вкладке Security (Безопасность) можно также установить флажок Show terminal window (Отображать окно терминала) для отображения окна терминала. Если администратор хочет, чтобы при установке соединения выполнялся некоторый сценарий, необходимо установить флажок Run Script (Запускать сценарий) и указать путь к файлу, содержащему необходимый сценарий.

Подключение к ISDN-линии

Технология ISDN (Integrated Services Digital Network) пришла на смену коммутируемым телефонным подключениям. В отличие от коммутируемых подключений, в ISDN для передачи данных используется не аналоговый, а цифровой сигнал. По одной и той же цифровой линии могут передаваться данные различных типов (видеоизображение, голосовая информация, факсимильные сообщения, цифровые данные). Использование ISDN-линий позволяет существенно повысить быстродействие подключения в рамках удаленного доступа. Стандартные телефонные линии обычно позволяют осуществлять обмен со скоростями до 56 Кбит/с, по линии ISDN можно достичь скоростей 64 и даже 128 Кбит/с.
Для подключения компьютера к сети ISDN необходимо использовать специальные адаптеры, преобразующие сигнал, поступающий от компьютера, в необходимый для передачи по сети ISDN формат. Затраты на оборудование и линии ISDN могут быть выше, чем на установку стандартных модемов и прокладку телефонных линий. Однако быстродействие связи уменьшает время подключения, что сокращает денежные затраты.
Линия ISDN состоит из двух так называемых В-каналов, передающих данные со скоростью 64 Кбит/с, и одного D-канала для передачи управляющих сигналов со скоростью 16 Кбит/с. Можно конфигурировать каждый В-канал, чтобы он работал как отдельный порт. При помощи некоторых драйверов ISDN-устройств можно объединять эти каналы для передачи одного потока данных. Это означает, что можно получить большую ширину полосы пропускания, настроив работу обоих В-каналов в качестве единственного порта. При конфигурации такого рода скорость линии увеличивается до 128 Кбит/с.
Функция многоканальной связи (multilink) в Windows Server 2003 логически объединяет части канала ISDN. Многоканальная связь объединяет несколько физических линий в логическую совокупность с увеличенной шириной полосы пропускания. Кроме того, можно распределять многоканальную связь динамически, используя линии только тогда, когда они реально требуются. Эта функция устраняет избыточность ширины полосы пропускания, представляя существенное преимущество для пользователей.
Настройка параметров соединения по ISDN-линии во многом аналогична рассмотренному выше коммутируемому подключению. Различие заключается в процессе конфигурирования ISDN-адаптера. Открыв свойства подключения, необходимо щелкнуть на кнопке Configure (Настроить). В открывшемся диалоговом окне ISDN Configure (Настройка ISDN) следует выполнить одно или оба действия:

  • в списке Line type (Тип линии) необходимо выбрать используемый тип линии. Линии более высокого качества указаны ближе к началу списка;
  • если требуется установить подключение с выбранным типом линии, а затем повторно установить подключение с более низким качеством в зависимости от состояния линии, необходимо установить флажок Negotiate line type (Согласование типа линии).

В зависимости от типа используемого ISDN-адаптера дополнительно может появиться окно настройки параметров модема.

Подключение к сети Х.25

Протокол Х.25 представляет собой протокол коммутации пакетов, функционирующий на сетевом уровне OSI-модели. Все коммуникации между двумя участниками взаимодействия согласно спецификации Х.25 представляются в виде соединенных друг с другом узлов пересылки пакетов. Протокол Х.25 регламентирует процесс передачи пакетов от одного узла к другому. Существующие коммуникации различаются по качеству и надежности, поэтому в структуру протокола встроены механизмы, обеспечивающие контроль ошибок. Протокол Х.25 реализует постоянные или коммутируемые виртуальные каналы, подразумевающие надежное обслуживание и сквозное управление потоком.
Механизм удаленного доступа к сети поддерживают сетевые подключения через протокол Х.25, используя сборщик/разборщик пакетов (Packet Assembler/Disassembler, PAD) и смарт-карты Х.25. Можно также использовать модем и специальный коммутируемый доступ к Х.25 (например, SprintNet или InfoNet) вместо PAD или смарт-карты Х.25.
Для установки подключения клиент удаленного доступа Windows Server 2003 может использовать смарт-карту Х.25 или производить телефонное подключение к Х.25 PAD. Чтобы принимать входящие подключения с использованием Х.25 на компьютере под управлением Windows Server 2003, необходимо использовать смарт-карту Х.25.

Рис. 12.18. Настройка подключения по Х.25

Создание коммутируемого подключения с использованием протокола Х.25 выполняется тем же способом, что и обычное коммутируемое подключение. Открыв окно свойств созданного подключения, необходимо перейти на вкладку Options (Параметры) и нажать кнопку Х.25.
Из раскрывающегося списка Network (Сеть) (рис. 12.18) необходимо выбрать своего провайдера услуг Х.25. В поле Х.121 address (Адрес Х.121) требуется указать Х.121-адрес, выступающий в рамках протокола Х.25 в качестве эквивалента телефонного номера, используемого для подключения к удаленному серверу. В поле User data (Данные пользователя) можно указать дополнительную информацию о подключении. В поле Facilities (Услуги) необходимо ввести информацию о дополнительных параметрах услуг, которые будут запрашиваться у провайдера сети Х.25.

Прямое подключение

При наличии физического соединения с другим компьютером через последовательный кабель или кабель прямого параллельного подключения (DirectParallel) можно создать так называемое прямое подключение (direct connection). Используя механизм прямых подключений, можно, например, объединить две (или более) физически не связанные сети, находящиеся в одном здании.
Самый простой способ соединения двух компьютеров заключается в использовании подключений по нуль-модемному кабелю RS-232C (кабель длиной до 15 м) через последовательный порт. Подключив кабель RS-232C к СОМ-портам сервера удаленного доступа и клиентского компьютера, можно предоставить последнему доступ к сети. Подобный сценарий вполне оправдан в ситуации, когда клиентский компьютер не имеет сетевого адаптера или встроенного модема.
Драйвер прямого параллельного порта также поддерживает соединения "компьютер-компьютер", используя стандартные и расширенные параллельные порты, соединенные параллельными кабелями разного типа.
Прямые подключения могут обходиться без аутентификации (для этого нужно настроить входящее подключение на ведомом компьютере). Это полезно для устройств, подобных palmtop-компьютерам.
Если пользователь имеет в системе полномочия администратора, то при создании прямого подключения ему будет предоставлен список устройств для выбора, включая параллельные порты данного компьютера, установленные и разрешенные порты инфракрасной связи и последовательные порты. Если пользователь вошел в систему как обычный пользователь, то при создании прямого подключения список устройств будет включать параллельные порты, установленные и разрешенные порты инфракрасной связи и только те последовательные порты, которые администратор сконфигурировал для использования с нуль-модемом. Если для прямого подключения требуется СОМ-порт, попросите администратора настроить один из коммуникационных портов на этом компьютере на работу с нуль-модемом, используя значок Phone and Modem Options (Телефон и модем) на панели управления (для этого нужно выбрать опцию ручного определения модема и указать тип кабеля, соединяющего компьютеры).
Чтобы создать прямое сетевое подключение, делающее компьютер ведомым (host), нужно иметь полномочия администратора. Ведущее (guest) прямое сетевое подключение не требует полномочий администратора.

Подключение к виртуальной частной сети

Для создания сетевого подключения к частной (private) сети пользователи могут использовать общедоступную (public) сеть. Совокупность подобных подключений принято называть виртуальной частной сетью (Virtual Private Network, VPN). Технология виртуальных частных сетей ориентирована на создание защищенного туннеля для передачи данных через открытые сети. Все данные, передаваемые в рамках VPN-подключения, шифруются. Виртуальная частная сеть предполагает организацию защищенного точечного взаимодействия между двумя хостами сети. Для организации защищенного канала передачи данных (туннеля) используются специальные протоколы туннелирования. В рамках Windows Server 2003 реализована поддержка двух протоколов туннелирования: РРТР (Point-to-Point Tunneling Protocol) и L2TP (Layer Two Tunneling Protocol). Эти протоколы устанавливаются в Windows Server 2003 по умолчанию и могут быть использованы для организации виртуальной частной сети как через Интернет, так и через корпоративную сеть. Рассмотрим процесс создания сетевого подключения к виртуальной частной сети.
Имеется два способа организации подключения к виртуальной частной сети (далее VPN-подключение).

  • Клиентский компьютер сначала устанавливает соединение с хостом-посредником по протоколу РРР (в качестве хоста-посредника, например, может выступать РРР-сервер интернет-провайдера) (рис. 12.19, а). В свою очередь, сервер-посредник использует некоторый протокол туннелирования (протокол L2TP или РРТР) для установки соединения с требуемым сервером удаленного доступа. При этом после установки подключения между хостом-посредником и сервером удаленного доступа создается защищенный канал передачи данных. Данный способ организации VPN-подключения позволяет перенести все обязанности по реализации виртуальной частной сети на сервер удаленного доступа.
  • Клиент использует протоколы туннелирования, чтобы напрямую установить VPN-подключение с сервером удаленного доступа (рис. 12.19, б).

Все операции по организации защищенного туннеля выполняются непосредственно клиентским компьютером.

Рис. 12.19. Организация VPN-подключения через сервер-посредник (а) и напрямую (б)

Клиент, находящийся под управлением Windows Server 2003, может использоваться для организации VPN-подключения любым из указанных способов. Для создания подключений к виртуальной частной сети используется мастер новых подключений (New Connection Wizard). На соответствующих страницах мастера необходимо последовательно выбрать опции Connect to the network at my workplace (Подключить к сети на рабочем месте) и Virtual Private Network connection (Подключение к виртуальной частной сети) (см. рис. 12.9 и 12.10). После этого потребуется определить имя для создаваемого подключения. В следующем окне необходимо определить, нужно ли предварительно устанавливать коммутируемое подключение (рис. 12.20) и при необходимости выбрать его из списка.
Перейдя к следующему окну мастера, необходимо указать IP-адрес компьютера, который будет выступать в качестве конечной точки создаваемого защищенного канала (туннеля). Фактически это адрес сервера VPN (рис. 12.21).

Примечание

Если для реализации VPN-подключения используется коммутируемое подключение, необходимо помнить о том, что для подключения к виртуальной частной сети необходимо сначала установить это коммутируемое подключение.

Рис. 12.20. Выбор способа подключения к виртуальной частной сети

Рис. 12.21. Определение адреса VPN-сервера

Входящие подключения

Компьютер, под управлением Windows Server 2003, может выступать в качестве сервера удаленного доступа. В этом случае все подключения клиентов к серверу удаленного доступа рассматриваются как входящие подключения (incoming connections). Более подробно процесс организации и настройки сервера удаленного доступа будет рассматриваться в главе 14, "Коммуникационные службы".
Для настройки нескольких модемов или адаптеров ISDN на работу со входящими телефонными подключениями можно использовать возможности многоканальной связи (multilink).
При создании подключения определяются пользователи, которые могут соединяться с данным входящим подключением, и сетевые протоколы, по которым они могут работать. Для каждого пользователя, работающего по входящему подключению, должна существовать локальная учетная запись.
Клиенты, поддерживаемые сервером удаленного доступа Windows Server 2003, перечислены в табл. 12.4.

Таблица 12.4. Клиенты удаленного доступа, поддерживаемые Windows Server 2003

Клиент | Описание
Windows 2000/Windows XP/Windows Server 2003 | Данный тип клиентов предоставляет пользователю максимальную функциональность при работе с сервером удаленного доступа Windows Server 2003. Поддерживаются все функциональные возможности
Windows NT 4.0 (SP 4 и выше) | Клиенты этого типа используют все возможности входящего подключения, кроме динамического распределения многоканального соединения (ВАР) и расширяемого протокола аутентификации (ЕАР)
Windows NT 3.5x | Этот тип клиентов позволяет использовать те же возможности входящего подключения, что и клиенты Windows NT 4.0, кроме возможностей организации многоканального соединения и поддержки MS-CHAP v2
Windows Millennium Edition, Windows 98 | Клиенты этого типа используют все возможности входящего подключения, кроме динамического распределения многоканального соединения (ВАР) и расширяемого протокола аутентификации (ЕАР)
Windows 95 | Для данных клиентов доступны все возможности входящего подключения, кроме многоканального соединения, динамического распределения многоканального соединения (ВАР), протокола MS-CHAP v2 и расширяемого протокола аутентификации (ЕАР)
Macintosh | Этот тип клиентов может обращаться к файловым томам и принтерам Macintosh и AppleTalk, используя протокол удаленного доступа AppleTalk (ARAP). Поддерживаются клиенты удаленного доступа AppleTalk 1.0, 2.x и 3.x
РРР-клиенты | Клиенты РРР под управлением ОС сторонних производителей, использующие стеки протоколов TCP/IP или AppleTalk, могут устанавливать входящее соединение с сервером удаленного доступа Windows Server 2003. Входящее подключение автоматически аутентифициру-ет клиентов РРР; специальные настройки РРР для таких клиентов не требуются

Создание входящего подключения, так же как и другие типы подключений, осуществляется посредством мастера новых подключений. На странице Network Connection Type (Тип сетевого соединения) мастера необходимо выбрать значение Set up an advanced connection (Другие подключения) (см. рис. 12.9). Перейдя к следующему окну, установите переключатель Accept incoming connections (Принимать входящие подключения) (рис. 12.22).

Рис. 12.22. Разрешение входящих подключений

В следующем окне нужно выбрать модем или порт, который будет использоваться входящими подключениями (рис. 12.23). Если ни одно из указанных устройств не отмечено, все входящие подключения будут приниматься по локальной сети.

Рис. 12.23. Назначение устройств, используемых для входящих подключений

Далее необходимо указать, будут ли разрешены входящие VPN-подключения (рис. 12.24). Если администратор планирует обслуживать входящие VPN-подключения, необходимо выбрать опцию Allow virtual private connections (Разрешить виртуальные частные подключения). В противном случае следует выбрать опцию Do not allow virtual private connections (He разрешать виртуальные частные подключения).
В последующих окнах мастера необходимо определить, каким пользователям разрешается устанавливать входящие подключения, а также указать перечень сетевых компонентов, доступных в рамках этого подключения (протоколы, службы и клиенты).

Примечание

Если при создании входящего сетевого подключения мастер новых подключений используется повторно, то изменяются настройки уже существующего входящего сетевого подключения. Таким образом, если используется мастер, то входящее подключение удаленного доступа (Incoming Connections) всегда одно. Если же нужно создать несколько входящих подключений, то следует использовать мастер Routing and Remote Access Server Setup Wizard (см. главу 14 "Коммуникационные службы").

Рис. 12.24. Разрешение входящих VPN-подключений

Если входящее подключение и служба Microsoft Fax некорректно работают совместно, например звонки не принимаются через модем, разрешенный для приема факсов, может оказаться, что модем не поддерживает адаптивный ответ. Изучите документацию модема, чтобы проверить возможность адаптивного ответа. Возможно, для корректной работы со входящим соединением придется запретить работу с факсом.
После того как входящее подключение создано, администратор может выполнить его настройку. Для этого необходимо открыть окно свойств входящего подключения, выбрав в его контекстном меню пункт Properties (Свойства). Вкладка General (Общие) позволяет администратору определить устройства, которые могут быть задействованы для создания входящих подключений (рис. 12.25). Если выбрано несколько устройств и требуется разрешить многоканальную связь, необходимо установить флажок Enable mulitlink (Многоканальное подключение). Установите флажок Allow others to make private connections to my computer by tunneling through the Internet or other network (Разрешить другим пользователям устанавливать частные подключения к моему компьютеру с помощью туннеля через Интернет или другую сеть) в ситуации, если входящие подключения могут быть реализованы в рамках виртуальной частной сети.

Рис. 12.25. Вкладка General окна свойств входящего подключения

Вкладка Users (Пользователи) позволяет администратору управлять разрешениями на использование входящих подключений (рис. 12.26). Чтобы запретить некоторому пользователю подключение к конфигурируемому компьютеру, необходимо снять флажок напротив его имени. Чтобы изменить имя пользователя, пароль и разрешение ответного вызова сервера, нажмите кнопку Properties (Свойства). В открывшемся окне можно также активизировать режим обратного звонка (callback).
Если входящее подключение осуществляется через прямое подключение, аутентификация как правило не требуется. В этом случае можно установить флажок Always allow directly connected devices such as palmtop computers to connect without providing a password (Всегда разрешать подключение без пароля устройствам с прямым соединением, таким как карманные компьютеры).

Примечание

Если на вкладке Users (Пользователи) доступ к входящему подключению разрешен, то теоретически не дать пользователю установить входящее подключение могут другие факторы: учетная запись пользователя может быть запрещена или заблокирована, попытка подключения произведена вне дозволенного времени и т. п.

Рис. 12.26. Вкладка Users окна свойств входящего подключения

Вкладка Networking (Сеть) позволяет сконфигурировать сетевые компоненты (клиенты, службы и протоколы), доступные для входящих подключений. Процесс настройки этих компонентов для входящих подключений выполняется во многом так же как и для остальных сетевых подключений. Отличие имеется только в случае настройки стеков протоколов TCP/IP и NWLink.

Настройка стека протоколов TCP/IP для входящих подключений

Для настройки протокола откройте окно свойств входящего подключения и перейдите на вкладку Networking (Сеть). Затем, выбрав в списке компонент Internet Protocol (Протокол Интернета), нажмите кнопку Properties (Свойства). Если требуется, чтобы пользователи, работающие в рамках входящего подключения, могли обращаться к ресурсам локальной сети, к которой относится конфигурируемый компьютер, в окне Incoming IP Properties (Свойства IP входящих подключений) (рис. 12.27) необходимо установить флажок Allow callers to access my local area network (Разрешить звонящим доступ к локальной сети).

Рис. 12.27. Настройка стека протоколов TCP/IP для входящих подключений

Требуется определить, каким способом клиенты, подключающиеся в рамках входящего подключения, будут получать IP-адрес, необходимый клиенту для работы в сети. Имеются три возможности:

  • адрес может быть выдан клиенту DHCP-сервером. Этот режим задается выбором переключателя Assign IP addresses automatically using DHCP (Назначать IP-адреса автоматически по DHCP);
  • клиенту может быть назначен IP-адрес из определенного администратором диапазона адресов. Этот режим задается выбором переключателя Specify IP addresses (Указать IP-адреса явным образом). При этом поля From (с) и То (по) определяют соответственно начало и коней диапазона IP-адресов;
  • клиент может использовать собственные настройки стека протоколов TCP/IP. Для этого необходимо установить флажок Allow calling computer to specify its own IP address (Разрешить звонящему клиенту использовать свой IP-адрес).

Общий доступ к подключению Интернета (Internet Connection Sharing)

Механизм общего доступа к подключению Интернета (Internet Connection Sharing, ICS) позволяет компьютерам, подключенным к локальной сети, совместно использовать имеющиеся сетевые интернет-соединения. Строго говоря, этот механизм может использоваться для организации простого взаимодействия небольшой сети (Small Office/Home Office, SOHO) с некоторой внешней сетью, а не только для организации доступа в Интернет. В крупных корпоративных сетях эта задача решается при помощи специального серверного программного обеспечения (прокси-сервера или шлюза приложений). Однако в небольшой сети приобретение специализированного программного обеспечения может быть экономически нецелесообразно. Механизм ICS позволяет организовать простейший интернет-шлюз непосредственно средствами операционной системы, без необходимости приобретения дорогостоящих специализированных приложений. Однако необходимо понимать, что механизм ICS не должен восприниматься как полнофункциональная альтернатива корпоративным прокси-серверам.
Согласно концепции Microsoft механизм ICS работает с двумя подключениями: одним открытым (public) и одним закрытым (private). Под открытым подключением в данном случае понимается подключением к Интернету, которое собственно и предлагается для совместного доступа. В этом качестве, как правило, выступают различные модемные соединения. Закрытое подключение (как правило, это подключение к локальной сети) соединяет шлюз с вычислительной сетью, в которой находятся компьютеры, нуждающиеся в доступе через открытое подключение.
Компьютер, на котором активизировано общее интернет-подключение, берет на себя обязанности по распределению IP-адресов среди локальных сетевых клиентов. Кроме того, он выполняет функции DNS-прокси, осуществляя разрешение внешних доменных имен в IP-адреса. Считается, что в этой сети данный компьютер — единственное подключение к Интернету, единственный шлюз в Интернет, и что только он назначает все сетевые адреса. Если же в сети имеются внутренние DNS- и DHCP-серверы или развернута служба каталогов (т. е. установлены контроллеры домена), то вместо механизма общего доступа к интернет-подключению необходимо воспользоваться механизмом трансляции сетевых адресов (NAT).
Можно указать, какие приложения и службы локальной сети будут доступны через Интернет. Например, если пользователи домашней сети хотят получить доступ к ресурсам SQL Server корпоративной сети, можно настроить приложение SQL Server для подключения, которому разрешено совместное использование. Услуги, предоставляемые домашней сетью, можно настроить так, чтобы к ним могли получить доступ пользователи Интернета. Например, если в домашней сети есть веб-сервер, то, чтобы пользователи Интернета могли соединяться с ним, нужно на совместно используемом подключении настроить службу WWW.
Когда разрешается совместное использование подключения, сетевой адаптер, связанный с домашней или малой офисной сетью, получает новый статический IP-адрес. Существующие подключения, использующие TCP/IP на компьютере с ICS, будут потеряны и должны быть восстановлены вручную.

Настройка механизма ICS

При разрешении совместного использования подключения некоторые протоколы, службы, интерфейсы и маршруты будут сконфигурированы автоматически (табл. 12.5). Эти настройки изменить нельзя. Если такая конфигурация вас не устраивает, используйте для доступа к Интернету механизм трансляции сетевых адресов (Network Address Translation, NAT), более подробно рассмотренный в главе 14 "Коммуникационные службы".

Таблица 12.5. Настройки совместного использования интернет-подключения

Сконфигурированные элементы | Состояние
IP-адрес =192. 168.0.1 | Настроен с маской подсети 255.255.255.0 на адаптере ЛВС, который связан с домашней сетью или сетью малого офиса
Возможность автоматического вызова (AutoDial) | Разрешена
Статический IP-маршрут по умолчанию | Создается, когда производится телефонное подключение
Служба совместного использования | Запущена
Служба распределения DHCP (DHCP allocator) | Разрешена с заданным по умолчанию диапазоном адресов 192.168.0.0 и маской подсети 255.255.255.0. Клиентам частной локальной сети назначаются адреса в диапазоне от 192.168.0.2 до 192.168.0.254
Посредник DNS (DNS proxy) | Разрешен

По умолчанию механизм ICS отключен. Чтобы его активизировать, необходимо в окне свойств коммутируемого сетевого подключения перейти на вкладку Advanced (Дополнительно) (рис. 12.28). Для конфигурирования механизма общего доступа к подключению Интернета используется группа параметров Internet Connection Sharing. Для активизации указанного механизма администратор должен установить флажок Allow other network users to connect through this computer's Internet connection (Разрешить другим сетевым пользователям подключаться через интернет-подключение данного компьютера).

Рис. 12.28. Активизация разделяемого интернет-подключения

Примечание

Чтобы настраивать совместное использование интернет-подключения, необходимо иметь полномочия администратора.

Если имя учетной записи и сопоставленный ей пароль, необходимые для установки интернет-подключения, не были сохранены при последнем подключении, то система не сможет автоматически установить данное соединение (рис. 12.29). Как следствие, общее подключение Интернета будет доступно для сетевых пользователей только в том случае, если оно было предварительно установлено администратором шлюза вручную. В случае, когда эта информация сохранена, интернет-подключение может автоматически устанавливаться сетевыми пользователями. Чтобы активизировать эту функциональную возможность, необходимо установить флажок Establish a dial-up connection whenever a computer on my network attempts to access the Internet (Устанавливать коммутируемое подключение, когда сетевые компьютеры запрашивают доступ к Интернету).

Рис. 12.29. Для активизации режима автоматической установки интернет-подключения необходимо сохранить информацию об имени пользователя и сопоставленном ему пароле

Внимание

Механизм общего доступа к подключению Интернета (ICS) доступен только в Windows Server 2003, Standard Edition и Windows Server 2003, Enterprise Edition. Этот механизм недоступен в Windows Server 2003, Web Edition и Windows Server 2003, Datacenter Edition, а также в 64-разрядных редакциях Windows Server 2003.

Настройка клиентов для работы с компьютером, имеющим общее интернет-подключение

Механизм общего доступа к интернет-подключению (ICS) обеспечивает работу клиентов следующих типов:

  • Windows Server 2003, Standard Edition и Windows Server 2003 Enterprise Server. Чтобы использовать общее подключение, клиент должен входить в ту же рабочую группу, что и компьютер, на котором оно активизировано;
  • Windows XP. Для подключения к общему подключению на этом типе клиента необходимо запустить специальный мастер Windows XP Network Setup Wizard;
  • Windows 98, Windows 98 Second Edition и Windows Millennium Edition. Данный тип клиентов требует дополнительного конфигурирования. В составе дистрибутивного диска Windows Server 2003 (папка \SUPPORT\TOOLS) поставляется специальная утилита Netsetup.exe. Эта утилита должна быть запущена на каждом сетевом клиенте данного типа.

Сетевой мост (Network Bridge)

В Windows Server 2003 непосредственно на уровне операционной системы реализован механизм сетевого моста (network bridge). Наличие этого механизма устраняет необходимость в использовании специального аппаратного обеспечения. Сетевой мост позволяет рассматривать несколько физических сетевых сегментов как одну логическую IP-подсеть. Он позволяет объединить в единую логическую подсеть даже сетевые сегменты, использующие различные сетевые архитектуры (например, Ethernet и FDDI). В предыдущих версиях Windows единственной возможностью связать воедино несколько сетевых сегментов, и реализовать их взаимодействие была организация маршрутизации между ними. Однако маршрутизация предполагает помещение каждого сетевого сегмента в отдельную логическую IP-подсеть, что может быть нежелательно. В качестве другого варианта администратор может использовать для соединения сетевых сегментов специальный аппаратный мост.
Сетевой мост Windows Server 2003 упрощает процесс объединения отдельных сегментов сети. В приведенном на рис. 12.30 примере, сетевой мост объединяет два физических сегмента — сегмент "А" и "В".

Рис. 12.30. Использование сетевого моста

Следует понимать, что механизм сетевого моста реализован в Windows Sewer 2003 на программном уровне. Как следствие, он проигрывает в производительности специализированным аппаратным реализациям. Сетевой мост Windows Server 2003 может рассматриваться как альтернатива аппаратным мостам и маршрутизаторам в небольших сетях, насчитывающих несколько хостов. В крупных сетях с большим количеством хостов и подсетей, интенсивно взаимодействующих между собой, целесообразнее использовать аппаратный мост (или маршрутизатор).
Существует одно важное ограничение, связанное с механизмом сетевого моста. На одном компьютере может быть активизирован только один сетевой мост. При этом данный мост может связывать воедино любое количество сетевых подключений, активизированных на данном компьютере. Невозможно создать на одном компьютере два разных моста, работающих независимо друг от друга.

Внимание

Сетевой мост, активизированный для беспроводных подключений или IEEE-1394 соединений, допускает использование только протокола IPv4.

В случае, когда на компьютере активизирован механизм общего доступа к подключению Интернет (ICS), следует соблюдать осторожность в использовании сетевого моста. Допускается активизация сетевого моста для закрытой (private) части общего подключения. Если мост активизировать для открытой (public) части общего подключения, корпоративная сеть окажется абсолютно незащищенной от любых вторжений извне.
Для активизации сетевого моста в окне Network Connections необходимо выбрать интересующие подключения и, вызвав контекстное меню, выбрать пункт Bridge Connections (Связать подключения). Совершенно очевидно, что для создания моста должны быть выбраны как минимум два сетевых подключения. По окончании процесса создания моста в списке сетевых подключений появится значок, обозначающий мост (рис. 12.31).

Рис. 12.31. Сетевой мост

Внимание

Интерфейсы, для которых необходимо создать сетевой мост, не должны быть задействованы в работе механизмов Internet Connection Sharing и Internet Connection Firewall. Кроме того, запрещается использовать для создания сетевого моста интерфейсы, задействованные в работе механизма NAT.

После того как мост создан, настройки всех входящих в него подключений сбрасываются. При этом все сетевые подключения, образующие мост, рассматриваются как принадлежащие к одной подсети. Большинство свойств подключения конфигурируется однообразно через свойства моста. Задать эти свойства администратор может, открыв окно свойств моста. Список подключений, связываемых мостом, перечисляется в поле Adapters (Адаптеры) на вкладке General (Общие) окна свойств (рис. 12.32).

Рис. 12.32. Окно свойств моста

При необходимости администратор может отключить мост. Для этого нужно в контекстном меню моста выбрать пункт Disable (Отключить). Чтобы снова активизировать мост, необходимо в контекстном меню выбрать значение Enable (Включить).

Внимание

Механизм сетевого моста доступен только в Windows Server 2003, Standard Edition и Windows Server 2003, Enterprise Edition. Этот механизм недоступен в Windows Server 2003, Web Edition и Windows Server 2003, Datacenter Edition, a также в 64-разрядных редакциях Windows Server 2003.

Брандмауэр подключения к Интернету (Internet Connection Firewall)

С целью обеспечения безопасной работы при работе в открытых сетях (такими, например, как Интернет) непосредственно в составе Windows Server 2003 реализован встроенный брандмауэр подключения к Интернету (Internet Connection Firewall, ICF). Брандмауэр представляет собой службу, осуществляющую фильтрацию пакетов, поступающих через сетевые подключения. Служба пропускает только разрешенные TCP/IP-пакеты и отбрасывает все остальные. Это позволяет оградить компьютер от несанкционированного доступа или различного рода атак из открытых сетей, сохраняя при этом для пользователей возможность работы с требуемой информацией.
Как правило, целесообразно активизировать встроенный брандмауэр для подключения к некоторой открытой сети. Например, его можно активизировать на компьютере, реализующем общий доступ к подключению Интернета (Internet Connection Sharing, ICS). Если корпоративная сеть соединена с открытой сетью через корпоративный брандмауэр, активизация встроенного брандмауэра Windows Server 2003 может оказаться излишней.
Для активизации встроенного брандмауэра необходимо вызвать окно свойств интересующего сетевого подключения. Перейдя на вкладку Advanced (Дополнительно), требуется установить флажок Protect my computer and network by limiting or preventing access to this computer from the Internet (Защитить мой компьютер и сеть, ограничив или предотвратив доступ к этому компьютеру из Интернета) (рис. 12.33).
Нажав кнопку Settings (Параметры), администратор может выполнить настройку встроенного брандмауэра. На вкладке Services (Службы) необходимо определить службы локальной сети, доступ к которым будет разрешен для внешних пользователей (рис. 12.34). По умолчанию администратору предлагается список из 12 служб, описание которых приводится в табл. 12.6. При желании администратор может добавить к списку другие службы, используемые в сети. Чтобы разрешить некоторую службу, необходимо установить флажок перед ее названием. Например, если в локальной сети имеется FTP- или WWW-сервер, доступ к которым необходимо предоставить внешним пользователям, администратор должен установить флажки напротив этих служб. По умолчанию доступ ко всем перечисленным службам запрещен.

Рис. 12.33. Активизация встроенного брандмауэра

Таблица 12.6. Сетевые службы, работающие через встроенный брандмауэр

Название службы | Описание параметра
FTP Server | Используется для разрешения доступа внешних пользователей к корпоративному FTP-серверу, (протокол FTP позволяет в среде TCP/IP осуществлять обмен файлами)
Incoming Connection VPN (L2TP) | Используется для разрешения входящих подключений, защищенных посредством протокола туннелирования L2TP
Incoming Connection VPN (PPTP) | Используется для разрешения входящих подключений, защищенных посредством протокола туннелирования РРТР
Internet Mail Access Protocol Version 3 ' (IMAP3) | Разрешает внешним пользователям доступ к корпоративному почтовому серверу посредством протокола IMAP3 (протокол IMAP3 используется для манипулирования почтовыми сообщениями на стороне сервера)
Internet Mail Access Protocol Version 4 (IMAP4) | Разрешает внешним пользователям доступ к корпоративному почтовому серверу посредством протокола IMAP4 (протокол IMAP4 используется для манипулирования почтовыми сообщениями на стороне сервера)
Internet Mail Server (SMTP) | Разрешает доступ к корпоративному почтовому серверу посредством протокола SMTP (протокол SMTP используется как транспортный механизм для обмена сообщениями)
IP Security (IKE) | Разрешает защищенный сетевой трафик, шифрованный посредством протокола IP Security
Post-Office Protocol Version 3 (POPS) | Разрешает внешним пользователям доступ к корпоративному почтовому серверу посредством протокола РОРЗ (протокол РОРЗ используется для манипулирования почтовыми сообщениями)
Remote Desktop | Разрешает внешним пользователям доступ к службе Remote Desktop, которая используется для удаленного управления системой
Secure Web Server (HTTPS) | Разрешает доступ к корпоративному веб-серверу по протоколу HTTPS, который обеспечивает защищенный доступ к данным
Telnet Server | Разрешает внешним пользователям доступ к службе Telnet, которая используется для удаленного управления системой
Web Server (HTTP) | Разрешает доступ к корпоративному веб-серверу по протоколу HTTP

Рис. 12.34. Разрешение служб, доступных через встроенный брандмауэр

Выбрав некоторую службу и нажав кнопку Edit (Изменить), администратор может выполнить настройку параметров службы. В открывшемся окне (рис. 12.35) администратор может указать адрес компьютера, на котором данная служба развернута, а также номера портов TCP/IP, используемых этой службой.

Рис. 12.35. Определение параметров сетевой службы

Внимание

Не рекомендуется активизировать брандмауэр на локальных и VPN-подключениях, поскольку подобный шаг может привести к нарушению процесса доступа к общим ресурсам.

Вкладка Security Logging (Ведение журнала безопасности) используется для задания параметров ведения журналов, в которых будут регистрироваться события, связанные с процессом доступа внешних пользователей к службам локальной сети.
Особого внимания заслуживает трафик, передающийся по протоколу Internet Control Message Protocol (ICMP). Напомним, что ICMP-пакеты используются для передачи управляющей информации в сети TCP/IP. В частности, именно через протокол ICMP работает такая диагностическая утилита, как ping. По умолчанию весь ICMP-трафик блокируется встроенным брандмауэром. Это означает, что, например, ping-запросы к вашему компьютеру будут безрезультатными. Иногда блокировка ICMP может привести к разрыву связи с интернет-провайдером. При необходимости на вкладке ICMP (рис. 12.36) можно разрешить некоторые виды ICMP-сообщений. Необходимую информацию об используемых запросах следует получить у провайдера. В крайнем случае можно разрешить все запросы и посмотреть, повлияло ли это на устойчивость связи.

Рис. 12.36. Управление ICMP-трафиком через брандмауэр

Использование диспетчера подключений

Использование мастера New Connection Wizard является стандартным способом, создания сетевых подключений в среде Windows Server 2003. В других версиях Windows имеются аналогичные утилиты, позволяющие пользователю создать сетевое подключение в соответствии со стоящими перед ним задачами. Тем не менее, процесс создания сетевых подключений требует от пользователя определенных знаний и четкого понимания определяемых параметров.
В составе Windows Server 2003 поставляется специальный мастер Connection Manager Administration Kit Wizard, позволяющий администратору создавать предварительно определенные конфигурации клиентов удаленного доступа, которые могут впоследствии использоваться совместно с утилитой Connection Manager. При этом реализуется следующая схема. Администратор при помощи мастера создает специальные инсталляционные пакеты, в которых определяется конфигурация доступных сетевых соединений для клиента. Эти пакеты получили название служебного профиля (service profile) клиента удаленного доступа. Профиль содержит всю информацию, требуемую для создания и настройки на клиенте удаленного доступа всех необходимых сетевых подключений. Клиент использует служебный профиль для того, чтобы сконфигурировать собственные сетевые компоненты и установить подключение с корпоративной сетью.

Служебные профили

Преимущество использования служебных профилей, созданных при помощи мастера Connection Manager Administration Kit Wizard, заключается в том, что от пользователя требуется минимальное участие в процессе подключения к корпоративной сети. Весь процесс создания и настройки подключения выполняется диспетчером автоматически. При этом администратор может конфигурировать диспетчер по своему усмотрению, предоставлять или запрещать пользователям определенные функциональные возможности. Администратор может обязать пользователя использовать определенные механизмы обеспечения безопасности, а также автоматизировать некоторые процессы, связанные с ее обеспечением (в первую очередь это касается централизованного изменения разделяемых ключей).
Механизм служебных профилей представляет собой мощное средство централизованного управления настройками клиентов удаленного пользователя. Особенно этот механизм эффективен в ситуации, когда администратору необходимо иметь дело с большим количеством пользователей, не обладающих квалификацией достаточной для того, чтобы выполнить настройку сетевых подключений самостоятельно. Используя механизм служебных профилей, администратор может быть уверен в том, что клиент удаленного доступа у таких пользователей будет настроен корректно и в точном соответствии с корпоративной политикой безопасности.

Создание служебных профилей

Для создания служебного профиля используется специальный мастер Connection Manager Administration Kit Wizard. Этот мастер не устанавливается по умолчанию. Если администратор планирует использовать в сети утилиту Connection Manager, он должен самостоятельно установить этот компонент на одном из серверов. Мастер Connection Manager Administration Kit Wizard следует рассматривать как инструмент для создания служебных профилей. Поэтому не имеет значения, на каком конкретно сервере этот мастер будет установлен.

Установка мастера Connection Manager Administration Kit Wizard

Для установки мастера следуйте процедурам, описанным выше в разд. "Установка дополнительных сетевых компонентов". После установки администратор может вызвать мастер из меню Administrative Tools (Администрирование).

Работа с мастером Connection Manager Administration Kit Wizard

После запуска мастер Connection Manager Administration Kit Wizard предлагает администратору создать новый служебный профиль или отредактировать уже существующий. В случае создания нового профиля администратору потребуется ответить на ряд вопросов, определяющих конфигурацию клиента удаленного доступа. Не все параметры должны быть обязательно определены в служебном профиле. Администратор может задать только необходимые параметры, оставив для остальных значения по умолчанию или неопределенные значения.
В табл. 12.7 перечислены группы параметров, определяемые в процессе работы мастера.

Таблица 12.7. Параметры, определяемые с помощью мастера Connection Manager Administration Kit Wizard

Параметры | Описание
Поддержка VPN | Администратор может разрешить на стороне клиента поддержку VPN-подключений. При этом требуется определить способ выбора VPN-сервера - будет ли осуществляться подключение всегда к одному серверу или пользователю будет разрешено выбирать сервер по своему усмотрению. Кроме того, администратор может определить настройки VPN-подключения
Телефонная книга | Администратор определяет местоположение файла телефонной книги. Телефонная книга должна содержать записи о серверах удаленного доступа, которые клиент может использовать для подключения к корпоративной сети. Администратор может настроить автоматическое получение обновлений телефонной книги. В этом случае потребуется указать адрес, по которому клиент сможет получать эти обновления
Настройки коммутируемого подключения | Администратор может определить настройки коммутируемого подключения
Обновление таблицы маршрутизации | При необходимости администратор может внести изменения в таблицу маршрутизации клиента удаленного доступа
Автоматическое конфигурирование настроек прокси-сервера | Если в корпоративной сети для доступа к Интернету используется прокси-сервер, администратор может включить в профиль файл автоматического конфигурирования прокси-сервера
Обработчики событий | Администратор может включить обработку определенных событий, возникающих в процессе удаленного подключения. В качестве обработчиков событий могут быть использованы любые исполняемые файлы
Корпоративная'симво-лика | Администратор может заменить стандартные заставки и значки утилиты Connection Manager фирменными логотипами
Файл справки | Администратор может включить в состав профиля специально подготовленный файл справки
Дополнительные файлы | В состав профиля могут быть включены дополнительные файлы (например, необходимые для работы обработчиков событий)
Инсталляционные файлы Connection Manager | Если на клиенте отсутствует программное обеспечение Connection Manager, имеет смысл включить в состав профиля его инсталляционные файлы. При этом администратор может включить в состав профиля файл, содержащий специальное лицензионное соглашение

Примечание

При необходимости администратор может выполнить расширенную настройку профиля, отредактировав содержимое файла <Имя_профиля>.cms при помощи любого текстового редактора. Следует заметить, что выполнение этой операции требует от администратора определенной квалификации.

Использование служебных профилей

Профиль создается мастером в папке %SystemRoot%\Pmgram Files\CMAK\ Profiles. По окончании процедуры создания профиля администратор должен принять решение о том, каким образом профили будут доставляться пользователям. Пользователи могут скачивать профили с корпоративного веб-сайта или с сетевого ресурса. Кроме того, администратор может распространять профили на компакт-дисках или дискетах. Критичным в данном случае является размер профиля.

Требования, предъявляемые к клиентам удаленного доступа

Созданные служебные профили могут использоваться для конфигурирования клиентов удаленного доступа, находящихся под управлением любых операционных систем семейства Windows. На клиенте должен быть установлен браузер Internet Explorer версии не ниже 4.01. Утилита использует для своей работы стек протоколов TCP/IP, а также протоколы туннелирования. В операционных системах Windows 2000/XP и Windows Server 2003 все необходимое программное обеспечение будет установлено автоматически, в процессе развертывания утилиты Connection Manager. Однако для более ранних версий Windows работы по установке необходимого программного обеспечения должны быть проделаны пользователем (или администратором) вручную. Так, для Windows NT-клиентов вручную должен быть установлен протокол туннелирования РРТР. Для операционных систем Windows 9x/NT/ME необходимо также установить специальный клиент Microsoft L2TP/ IPSec VPN Client, который можно скачать с веб-сайта Microsoft (http://www.microsoft.com/windows2000/ server/evaluation/news/bulletins/12tpclie nt.asp). Наконец, для Windows 9x/МЕ-клиентов необходимо установить самую свежую версию утилиты Dial-Up Networking, которую также можно получить с веб-сайта Microsoft.

Развертывание профиля

После получения профиля пользователь должен выполнить его развертывание, запустив исполняемый файл, содержащийся в профиле. Вся процедура развертывания требует минимального участия пользователя. По ее окончании в список доступных сетевых подключений пользователя будет добавлен новый элемент. При двойном щелчке на этом объекте будет запущена утилита Connection Manager. Точный вид окна определяется настройками профиля.

Рис. 12.37. Подключение, создаваемое с помощью утилиты Connection Manager

Если администратор включил в содержимое профиля информацию о полномочиях пользователя, последнему потребуется только нажать кнопку Connect для того, чтобы установить соединение с сервером (рис. 12.37). В противном случае пользователь должен предварительно указать имя своей учетной записи и сопоставленный ей пароль.

Интеграция с сетями Novell NetWare

В Windows Server 2003 реализованы службы, позволяющие компьютерам под управлением Windows сосуществовать и функционировать совместно с сетями и серверами на базе Novell NetWare. Для этого в состав Windows Server 2003 включены следующие средства:

  • NWLink IPX/SPX/NetBIOS-совместимый транспортный протокол (NWLink IPX/SPX/NetBIOS Compatible Transport Protocol), являющийся реализацией протокола IPX/SPX в Windows. NWLink поддерживает взаимодействие компьютеров под управлением Windows и компьютеров под управлением NetWare, а также других совместимых систем. NWLink может использоваться и как протокол, объединяющий несколько компьютеров под управлением различных версий Windows;
  • Служба клиента для NetWare (Client Service for NetWare, CSNW) включена в состав Windows Server 2003 и позволяет клиентским компьютерам устанавливать непосредственные соединения с файловыми ресурсами и принтерами на серверах под управлением NetWare версий 2.x и выше. CSNW поддерживает серверы NetWare 4.x или выше, на которых функционирует или Bindery, или NDS. Также в CSNW включена поддержка сценария входа в сеть.

Примечание

В отличие от Windows 2000, в состав Windows Server 2003 не включена Служба шлюза для сетей NetWare (Gateway Service for NetWare). Кроме того, компьютеры под управлением Windows Server 2003 не могут осуществлять маршрутизацию IPX-трафика.

Сетевой монитор

Сетевые администраторы могут использовать утилиту Network Monitor (Сетевой монитор) для перехвата и отображения кадров (также называемых пакетами или фреймами) при обнаружении и решении проблем в локальных сетях. Например, с помощью сетевого монитора можно диагностировать аппаратные и программные проблемы в случае, если два (или более) компьютера не могут связаться друг с другом. Можно также зафиксировать (перехватить) сетевой трафик, а затем файл с полученными данными послать специалистам по сетям или организации, занимающейся поддержкой сети. Разработчики сетевых приложений могут использовать сетевой монитор для того, чтобы контролировать и отлаживать сетевые приложения во время разработки.
В Windows Server 2003 возможности сетевого монитора не изменились по сравнению с Windows 2000. Для установки монитора используются процедуры, описанные выше в разд. "Установка дополнительных сетевых компонентов". Для запуска монитора служит команда Network Monitor в меню Administrative Tools (Администрирование).

Краткий обзор возможностей сетевого монитора

Сетевой монитор контролирует сетевой поток данных, т. е. всю информацию, передаваемую по сети в любой заданный момент времени. До передачи эта информация разделяется сетевым программным обеспечением на меньшие части (пакеты, кадры или фреймы). Каждый кадр содержит следующую информацию:

  • адрес компьютера, пославшего кадр;
  • адрес компьютера, получившего кадр;
  • заголовки каждого протокола, используемого для пересылки данного кадра;
  • данные или их часть.

Чтобы гарантировать безопасность сети, сетевой монитор показывает только те кадры, которые посланы на(с) компьютер(а) пользователя, широковещательные кадры и кадры группового (multicast) вещания.
Сетевой монитор может перехватить и запомнить только тот объем информации, который сможет поместиться в доступной памяти компьютера. Обычно не требуется фиксировать большой объем информации, нужно только записать небольшое подмножество кадров, передаваемых в сети. Чтобы выделить подмножество кадров, можно разработать фильтр сбора данных, функционирующий подобно запросу базы данных. Возможна фильтрация на основе адресов источника и адресата, протоколов, свойств протокола или по образцу смещения.
Для того чтобы способ сбора данных отвечал событиям, происходящим в сети, как только они будут обнаружены, разрабатывают триггер сбора данных, который выполняет определенное действие (например, запускает исполняемый файл), когда сетевой монитор обнаруживает в сети набор условий, соответствующий триггеру. Сетевой монитор поддерживает множество популярных протоколов, включая IPX, SPX и большую часть протоколов из набора TCP/IP.
После того как данные зафиксированы (и факультативно сохранены в файле сбора данных), их можно просмотреть. Сетевой монитор проделает большую часть работы по анализу данных, формируя из необработанных собранных данных кадр согласно его логической структуре.
Основные функциональные возможности сетевого монитора, описанные в этой главе, поддерживаются службами поддержки продуктов Microsoft (Microsoft Product Support Services, MPSS). Службы поддержки не решают задачи, зависящие от конкретной сети, такие как интерпретация данных, которые перехватываются и сохраняются в сети.

Сетевой монитор и безопасность

Из соображений безопасности сетевой монитор в Windows Server 2003 перехватывает только те кадры (включая широковещательные кадры и кадры группового вещания), которые посланы с локального компьютера или адресованы ему. Сетевой монитор также отображает полную сетевую статистику сегмента для широковещательных кадров, кадров многоадресного вещания, коэффициент использования сети, общее число байтов, полученных за секунду, и общее число кадров, полученных за секунду.
Утилита Network Monitor использует функциональные возможности спецификации NDIS для копирования всех обнаруженных кадров в буфер сбора данных (область памяти переменной длины, предназначенная для хранения данных). Процесс, в ходе которого сетевой монитор копирует кадры, называется фиксацией (перехватом).
Чтобы защитить сеть от несанкционированного использования инсталлированного сетевого монитора, сетевой монитор обеспечивает:

  • защиту с использованием пароля;
  • возможность обнаружить другие инсталляции сетевого монитора в локальном сегменте сети.

В некоторых случаях архитектура сети может подавить обнаружение одной установленной копии сетевого монитора другой. Например, если установленная копия сетевого монитора отделяется от второй копии маршрутизатором, который не пропускает многоадресные посылки, то вторая копия сетевого монитора не сможет обнаружить первую.

Поддерживаемые парсеры протоколов

Так называемый парсер, т. е. синтаксический анализатор протокола, представляет собой динамическую библиотеку (DLL), которая идентифицирует протоколы передачи кадров по сети. Информацию об этих протоколах можно увидеть, просматривая перехваченные кадры в окне просмотра кадров. Для каждого протокола, который поддерживается сетевым монитором, имеется соответствующий парсер. Их список достаточно велик (несколько десятков протоколов) и проводится в справке по сетевому монитору.

Перехват кадров из сети

Как уже упоминалось, фиксация происходит тогда, когда сетевая плата передает подмножество кадров в сеть, и они одновременно поступают в сетевой монитор. Сетевой монитор сохраняет эти кадры в буфере сбора данных — специально выделяемой области памяти. Если происходит переполнение буфера сбора данных, самый новый кадр, добавленный в буфер, заменяет самый старый кадр. Для предотвращения переполнения буфера сбора данных и для того, чтобы сделать анализ кадров проще, используют фильтры сбора данных, применяемые для фиксирования только кадров, соответствующих определенным критериям. Чтобы собирать данные в соответствии с событиями, происходящими в сети, разрабатывают триггер сбора данных.

  • Окно сбора данных сетевого монитора. Поскольку кадры собираются из сети, статистика о кадрах отображается в окне сбора данных сетевого монитора (рис. 12.38).

Рис. 12.38. Окно сбора данных сетевого монитора

  • Перехват и просмотр кадров. Кадры, перехваченные в сети, копируются в буфер сбора данных (зарезервированную область памяти). Информация об этих кадрах появляется по мере их получения в окне Capture Window (окно сбора данных сетевого монитора). Для управления состоянием сбора данных выберите команду Start (Запустить), Stop (Остановить), Stop and capture (Остановить и просмотреть), Pause (Приостановить) или Resume (Продолжить) меню Capture (Запись).

Сетевой монитор отображает статистику сеанса по первым 100 уникальным сетевым сеансам, которые он обнаруживает. Для сброса статистики и просмотра информации по следующим 100 обнаруженным сетевым сеансам используйте команду Clear Statistics (Очистить статистику) из меню Capture (Запись).

Настройка параметров буфера сбора данных

Перехваченные кадры сохраняются в буфере сбора данных. Когда происходит переполнение буфера сбора данных, каждый новый кадр заменяет самый старый кадр в буфере. На быстроту заполнения буфера, кроме интенсивности сетевого трафика и сложности используемых фильтров, влияют следующие факторы:

  • размер буфера сбора данных. Буфер сбора данных хранится в памяти, а не на диске. Хотя сетевой монитор может использовать виртуальную память, чтобы сохранить буфер сбора данных, лучше использовать достаточно большой буфер для гарантии того, что критические кадры не будут потеряны. Однако он должен быть не слишком большим, чтобы предотвратить подкачку части буфера сбора данных с диска и на диск;
  • размер кадра. Хотя изменять размер кадра нельзя, можно сохранять только часть кадра для экономии места в буфере сбора данных. Например, если нужны только данные из заголовка кадра, надо установить размер сохраняемого кадра (в байтах) равным размеру заголовка кадра.

Формирование базы данных адресов

Иногда нужно перехватывать только кадры, приходящие с определенных компьютеров. Для этого нужно знать сетевой адрес компьютера. Сетевой монитор может сопоставить шестнадцатеричный адрес компьютера более привычному имени. После того как это соответствие установлено, можно сохранить имя в базе данных адресов (файл *.adr), которую потом использовать для разработки фильтров сбора данных и фильтров отображения.
В дополнение к выбору достаточного размера буфера и созданию фильтра сбора данных можно перевести сетевой монитор в специализированный режим сбора данных, в котором окно сбора данных с динамически изменяющейся статистикой сетевого монитора заменено сокращенным диалоговым окном.
Если на компьютере функционирует несколько сетевых адаптеров, то можно при помощи сетевого монитора получать данные со всех сетевых адаптеров, переключаясь между адаптерами или запустив несколько экземпляров сетевого монитора.

Фильтры сбора данных

Функции фильтра сбора данных подобны функциям запросов к базе данных. Их можно использовать для определения типа отслеживаемой информации о сети. Например, чтобы видеть только заданное подмножество компьютеров или протоколов, можно создать базу данных адресов, добавить адреса из базы данных в фильтр, а затем сохранить фильтр в файле. Фильтрация кадров экономит ресурсы буфера сбора данных и время. Позже, при необходимости, можно загрузить файл фильтра сбора данных и использовать фильтр снова.

  • Проектирование фильтров сбора данных. Для разработки фильтра сбора данных нужно определить инструкции принятия решения в диалоговом окне Capture Filter (Фильтр записи) (рис. 12.39). В диалоговом окне Capture Filter (Фильтр записи) отображается дерево принятия решения фильтра, графически представляющее логику фильтра. При включении или исключении информации из определения фильтра сбора данных дерево принятия решения отражает такого рода изменения.

Рис. 12.39. Диалоговое окно фильтра записи

  • Фильтрация в соответствии с протоколом. Чтобы перехватывать кадры, посланные с использованием специфического протокола, надо задать этот протокол в фильтре SAP/ETYPE = "хххх". Например, чтобы собирать только IP-пакеты, нужно запретить все протоколы и затем разрешить перехват IP ETYPE 0x800 и SAP IP 0x6. По умолчанию разрешены все протоколы, поддерживаемые сетевым монитором.
  • Фильтрация по адресу. Чтобы сохранять кадры, переданные между заданными компьютерами сети, нужно определить одну или более пар адресов в фильтре сбора данных, при этом можно задать до четырех пар адресов одновременно.
  • Фильтрация по образцу данных. Когда выполняется фильтрация трафика в соответствии с образцом, необходимо задать положение образца в кадре (количество байтов с начала или с конца). Задавая соответствие образцу в фильтре сбора данных, можно:
    • ограничить сбор данных только теми кадрами, которые содержат образец данных, заданный кодом ASCII или в шестнадцатеричном виде;
    • задать число байтов в кадре (смещение), которые должны быть просмотрены на соответствие образцу.

  • Триггер сбора данных. Под триггером понимается набор условий, при выполнении которых инициируется некоторое действие. Например, перед использованием сетевого монитора при сборе данных в сети можно установить триггер, который остановит процесс сбора данных или запустит некоторую программу, или выполнит командный файл.

Сохранение записанных данных

Перехваченные данные из буфера сбора данных записываются для сохранения в файл перехвата данных (с расширением cap). Необходимо сохранять собранные данные в следующих случаях:

  • перед запуском другого процесса сбора данных (чтобы предотвратить потерю собранных данных);
  • когда данные будут проанализированы позже;
  • когда требуется задокументировать использование сети или возникшей проблемы.

Просмотр собранных данных

Сетевой монитор упрощает анализ данных, интерпретируя исходные данные, собранные в течение сеанса сбора данных, и отображая их в окне просмотра кадров (рис. 12.40).

Рис. 12.40. Окно просмотра кадров

  • Использование фильтра отображения. Как и фильтр сбора данных, фильтр отображения работает подобно запросу к базе данных, позволяя выделять информацию заданного типа. Поскольку фильтр отображения использует уже собранные данные, он не воздействует на содержимое буфера сбора данных сетевого монитора.
  • Фильтрация в соответствии с протоколом. При отображении собранных данных вся доступная информация о перехваченных кадрах появляется в окне просмотра кадров (Frame Viewer). Для отображения только кадров, представляющих какой-то специфический протокол, надо отредактировать строчку, задающую протокол, в диалоговом окне Display Filter (Фильтр отображения) (команда Display | Filter (Просмотр | Фильтр)).
  • Фильтрация по свойствам протокола. Свойства протокола — информационные элементы, которые определяют цель протокола. Поскольку цели протоколов различны, свойства меняются от одного протокола к другому.
  • Фильтрация по адресам компьютеров. При отображении сохраненных данных все адреса, информация от которых была перехвачена, появляются в окне просмотра кадров. Чтобы отобразить только кадры, отправленные с конкретного компьютера, надо отредактировать строчку Аnу<-->Аnу в диалоговом окне фильтра отображения.


Серверы DHCP, DNS и WINS

  • Серверы DHCP, DNS и WINS
  • Служба DNS
    • Возможности DNS-сервера в Windows Server 2003
    • Возможности DNS-клиентов
    • Структура DNS
      • Пространство имен DNS
      • Схемы запросов
      • Зоны
      • Ресурсные записи
      • Передача зоны
      • Методы хранения зоны
    • Упрощенные зоны
    • Выборочное перенаправление запросов
    • Динамическая регистрация имен
    • Безопасная регистрация доменных имен
    • Развертывание DNS
      • Планирование
      • Установка DNS-сервера
      • Настройка сервера
    • Установка первого DNS-сервера
    • Установка дополнительных DNS-серверов
    • Конфигурирование зон
      • Изменение типа зоны
      • Изменение области репликации
      • Установка режима динамического обновления
    • Проверка работоспособности DNS-сервера
      • Использование утилиты DnsCmd
      • Использование утилиты Nslookup
    • Управление клиентами
    • Мониторинг и оптимизация
  • Служба DHCP
    • Обзор DHCP
    • Как работает DHCP
      • Понятие области действия
      • Суперобласти
      • Понятие опций
      • Агент-ретранслятор DHCP/BOOTP
    • Установка и настройка DHCP-сервера
      • Авторизация DHCP-сервера
      • Создание области действия
      • Настройка механизма динамической регистрации доменных имен
      • Мониторинг DHCP-сервера
  • Служба WINS
    • Посредник WINS
    • Репликация WINS
    • Механизм постоянных соединений
    • Установка и настройка сервера WINS
      • Настройка репликации между WINS-серверами
      • Настройка статического отображения
    • Управление базой данных WINS
    • Переход от WINS к DNS

Серверы DHCP, DNS и WINS

Службы DNS и DHCP являются ключевыми сетевыми службами в любой корпоративной сети, построенной на базе стека протоколов TCP/IP. Более того, в среде Windows Server 2003 наличие службы DNS является одним из обязательных условий развертывания службы каталога Active Directory. Служба DNS осуществляет разрешение символических доменных имен в соответствующие им IP-адреса. Удобным дополнением к службе DNS в среде Windows Server 2003 является служба DHCP, упрощающая процесс конфигурации сетевых хостов (в том числе выделение хосту IP-адреса). Кроме того, в среде Windows многими администраторами традиционно используется служба WINS, осуществляющая разрешение символических NetBIOS-имен в соответствующие IP-адреса. Хотя роль этой службы в Windows Server 2003 была значительно уменьшена за счет реализации механизма динамической регистрации доменных имен, служба WINS может по-прежнему использоваться для организации процесса разрешения имен (например, в процессе перехода с Windows NT на Windows Server 2003).
Данная глава посвящена рассмотрению практических вопросов развертывания и настройки трех основных сетевых служб: DNS, DHCP и WINS. В рамках Windows Server 2003 указанные службы могут работать в тесном взаимодействии, обеспечивая простой и эффективный способ конфигурации хостов, а также разрешения символических имен в IP-адреса. Начнем же наш разговор со службы DNS.

Служба DNS

Служба доменных имен, Domain Name System, DNS, является одним из важнейших компонентов сетевой инфраструктуры Windows Server 2003. Служба доменных имен осуществляет разрешение, или преобразование, символьных имен в IP-адреса. Клиенты доменов на базе Active Directory используют службу DNS для обнаружения контроллеров домена.
Доменная структура каталога отображается на пространство имен DNS. Поэтому процесс проектирования доменной структуры каталога должен происходить одновременно с формированием пространства имен DNS. Ошибки, допущенные при проектировании пространства имен DNS, могут стать причиной недостаточной производительности сети и, возможно, даже привести к ее отказу.

Возможности DNS-сервера в Windows Server 2003

Служба DNS в Windows 2000 Server и Windows Server 2003 обладает общими функциональными возможностями, перечисленными ниже.

  • DNS-сервер, полностью соответствующий стандартам RFC. Служба DNS базируется на открытых протоколах и полностью соответствует промышленным стандартам (RFC).
  • Способность взаимодействия с другими реализациями DNS-серверов. Поскольку служба DNS построена на основе существующих стандартов, она успешно взаимодействует совместно с большинством других реализаций DNS, например, использующих программное обеспечение Berkeley Internet Name Domain (BIND).
  • Поддержка Active Directory. Как уже упоминаюсь ранее, служба DNS является обязательным условием развертывания Active Directory. Служба DNS используется как основной механизм обнаружения ресурсов в Active Directory-доменах. В свою очередь, DNS-серверы могут использовать каталог Active Directory для размещения баз данных зон. При этом процесс репликации зон осуществляется непосредственно средствами Active Directory.
  • Интеграция с другими сетевыми службами Microsoft. Служба DNS обеспечивает интеграцию с другими службами Windows и содержит функции, не описанные в RFC. Это касается интеграции со службами WINS и DHCP.
  • Улучшенные административные инструменты. Для управления DNS-серверами администратор может использовать специальную оснастку с улучшенным графическим интерфейсом. Кроме того, в составе операционной системы имеется целый ряд мастеров конфигурации, позволяющих выполнять повседневные задачи по администрированию сервера. Также имеется ряд дополнительных утилит, помогающих управлять и поддерживать серверы DNS и клиентов в сети.
  • Поддержка протокола динамического обновления в соответствии с RFC. Служба DNS позволяет клиентам динамически обновлять ресурсные записи при помощи динамического протокола обновления DNS (стандарт RFC 2136). Это облегчает администрирование DNS, избавляя от необходимости вносить эти записи вручную. Компьютеры под управлением Windows 2000, Windows XP и Windows Server 2003 могут динамически регистрировать свои доменные имена.
  • Поддержка инкрементных передач зоны между серверами. Передача зоны осуществляется между DNS-серверами в качестве средства синхронизации отдельных экземпляров базы данных зоны. Стандартная процедура передачи зоны предполагает копирование всей базы данных зоны с одного сервера на другой. Инкрементная передача зоны позволяет копировать только сведения об изменениях.
  • Поддержка новых типов ресурсных записей. Служба DNS обеспечивает поддержку нескольких новых типов ресурсных записей (RR): записи SRV (расположение службы) и АТМА (адрес ATM), что значительно расширяет возможности использования DNS в глобальных сетях.

Кроме того, реализация службы DNS в Windows Server 2003 имеет несколько новых функциональных возможностей, отличающих ее от реализации в предыдущих версиях Windows (в частности Windows 2000).

  • Выборочное перенаправление запросов (Conditional forwarding). Данный механизм позволяет осуществлять перенаправление запросов клиентов на различные DNS-серверы, основываясь на информации о доменном имени, содержащемся в запросе. Механизм выборочного перенаправления может быть использован как средство организации взаимодействия двух лесов доменов, реализующих собственные пространства имен DNS.
  • Упрощенные зоны (Stub Zones). Упрощенная зона представляет собой фрагмент зоны, содержащий только те ресурсные записи, что необходимы для нахождения DNS-серверов, являющихся носителями полной версии зоны. Основное назначение упрощенной зоны — идентификация DNS-серверов, которые способны выполнить разрешение доменных имен, принадлежащих к этой зоне.
  • Новые способы хранения базы данных зоны в каталоге Active Directory. В случае, когда DNS-сервер установлен на контроллере домена, для размещения содержимого зоны могут использоваться специальные разделы при/южений (application partitions). При этом указанные разделы приложений могут размещаться только на тех контроллерах домена, которые являются DNS-серверами.
  • Улучшенные механизмы обеспечения безопасности службы DNS. Система доменных имен (DNS) разрабатывалась как открытый протокол, что делает ее достаточно чувствительной к разнообразным атакам. В связи с этим в Windows Server 2003 разработчиками в реализацию службы DNS был добавлен целый ряд функциональных возможностей, направленных на защиту этой службы от различных атак (в том числе и от атак типа "отказ в обслуживании" — Denial of Services, DoS).
  • Расширенные возможности протоколирования событий, связанных с функционированием DNS-сервера. В Windows Server 2003 администратор может получить в свое распоряжение более подробную аналитическую информацию о функционировании DNS-сервера. Эти сведения позволят ему, с одной стороны, получить информацию о режиме работы сервера, а с другой стороны, выявить причины неполадок в случае их возникновения.
  • Поддержка протокола DNSSEC (DNS Security Extensions). Протокол DNSSEC определен в стандарте RFC 2535. Реализованная в Windows Server 2003 поддержка этого протокола позволяет DNS-серверам выступать в качестве дополнительных носителей DNSSEC-совместимых защищенных зон. Поддерживаются ресурсные записи типа KEY, SIG и NXT. Поддержка подписанных зон или ресурсных записей в Windows Server 2003 не реализована.
  • Поддержка механизма EDNSO (Extension Mechanisms for DNS). Механизм EDNSO позволяет использовать UDP-пакеты размером больше 512 октетов.
  • Управление процессом автоматической регистрации серверов имен в базе данных зоны. В Windows Server 2003 администратор может запретить автоматическую регистрацию серверов имен (что фактически равносильно запрещению автоматического создания ресурсных записей NS-типа) в базе данных зоны.
  • Новые групповые политики для управления настройками DNS на клиентских компьютерах и контроллерах домена.

Возможности DNS-клиентов

В составе Windows Server 2003 имеется служба DNS-клиента. DNS-клиент осуществляет взаимодействие с DNS-сервером с целью разрешения доменных имен в IP-адреса. При этом реализация DNS-клиента в Windows Server 2003 характеризуется следующими возможностями:

  • клиентское кэширование. Ресурсные записи (RR), полученные как ответы на запросы, добавляются в клиентский кэш. Эта информация хранится в течение заданного времени и может использоваться для ответа на последующие запросы;
  • кэширование отрицательных ответов. В дополнение к кэшированию положительных ответов на запросы от серверов DNS, служба DNS также кэширует отрицательные ответы на запросы. Отрицательный ответ приходит, если ресурсная запись с запрошенным именем не существует. Кэширование отрицательных ответов предотвращает повторные запросы для несуществующих имен, снижающие производительность клиентской службы;
  • блокировка неотвечающих серверов DNS. Клиентская служба DNS использует список поиска серверов, упорядоченных по предпочтению. Этот список включает все серверы DNS, настроенные для каждого из активных сетевых подключений в системе. Система способна перестраивать этот список, основываясь на следующих критериях: предпочтительные серверы DNS имеют высший приоритет, а остальные серверы DNS чередуются. Неотвечающие серверы временно удаляются из списка.

Структура DNS

Для правильного формирования пространства имен DNS администратор должен ясно понимать структуру службы DNS, ее основные компоненты и механизмы. Для начала определимся с используемой терминологией. Службой DNS называется служба, выполняющая преобразование символических доменных имен в IP-адреса в ответ на запросы клиентов. Компьютер, на котором функционирует экземпляр службы DNS, называется DNS-сервером. Компьютер, обращающийся к DNS-серверу с запросом на разрешение имени, называется DNS-клиентом. Клиент DNS функционирует на уровне прикладного программного интерфейса (API), осуществляя разрешение доменных имен прозрачно для пользователей и приложений. Основная задача DNS-клиента заключается в передаче запроса на разрешение доменного имени DNS-серверу. В ответ на свой запрос клиент должен получить либо IP-адрес, либо сообщение о невозможности разрешить предоставленное серверу доменное имя. Клиент DNS передает полученный IP-адрес приложению, инициировавшему процесс разрешения имени.
Рассмотрим более подробно структуру службы DNS. Четкое понимание назначения всех ее компонентов и возможностей позволит администратору выполнить грамотное развертывание этой службы в корпоративной сети.

Пространство имен DNS

Основным компонентом пространства имен DNS являются домены (domain). Домен рассматривается как группа сетевых хостов, объединенных по некоторому логическому признаку. Домены соединяются друг с другом при помощи отношений "родитель-потомок", образуя тем самым некоторую иерархию. Положение домена в этой иерархии определяет уровень домена.
В основании иерархического пространства имен DNS лежит домен, который называется корневым доменом (root domain) (рис. 13.1). Корневой домен является формальным элементом, символизирующим иерархичность пространства доменных имен, выступая в качестве родительского контейнера для всех доменов первого уровня.
Если домены выступают в роли контейнеров или узлов рассматриваемой иерархической структуры, то в качестве листьев выступают сведения о ресурсах этих доменов. Служба DNS определена в рамках стека протоколов TCP/IP, в котором для обозначения любого объекта сети используется понятие хост (host).

Рис. 13.1. Пространство имен DNS

Любой объект пространства имен DNS, будь это домен или хост, имеет имя, уникальное в пределах родительского контейнера. Это имя может быть образовано из символов латинского алфавита, цифр и знака тире ("—"). Некоторые версии DNS (включая реализацию DNS в Windows Server 2003) допускают использование в именах объектов символа подчеркивания ("_"), а также символов в формате UTF-8.

Примечание

Хотелось бы отметить, что непосредственно к имени хоста в пространстве имен DNS не предъявляется требования уникальности в рамках всего пространства имен. Требуется, чтобы это имя было уникально только в рамках родительского контейнера.

Однако непосредственно имена объектов редко используются для их идентификации. Точно идентифицировать объект можно только при помощи его полного доменного имени (Fully Qualified Domain Name, FQDN). Полное доменное имя объекта образуется из имени объекта и суффикса DNS. Суффикс DNS представляет собой перечисление имен всех контейнеров (фактически доменов), находящихся между объектом и корнем пространства имен.

Внимание

Единственным объектом пространства имен DNS, не имеющим имени, является корневой домен. Для ссылки на него используют точку ("."). В записи полного доменного имени завершающая точка, обозначающая корневой домен, обычно опускается.

В табл. 13.1 перечислены все элементы, образующие пространство имен DNS.

Таблица 13.1.Элементы пространства имен DNS

Элемент пространства имен | Описание | Пример
Корневой домен | Корень — самый высокий уровень доменной иерархии; домен без имени. При использовании в полном доменном имени указывается точкой в конце | Точка (.) или точка, стоящая в конце имени, например, "sample.mydomain.org."
Домен первого уровня (Тор-Level Domain, TLD) | Имя, состоящее из двух или трех символов, обычно указывающее страну (Россия — ш, Нидерланды — nl, Украина — иа и т. п.) или тип организации, использующей имя (com — коммерческая, mil — военная и т. д.) | Суффикс ".com" означает, что имя зарегистрировано фирмой или другой организацией для коммерческого использования в Интернете
Домен второго уровня (Second-Level Domain, SLD) | Имя произвольной (ограниченной) длины, зарегистрированное частным лицом или организацией для использования в Интернете. Такие имена всегда основаны на домене верхнего уровня, в зависимости от типа организации или географического местоположения | "mydomain.org." или просто "mydomain.org"— имя домена второго уровня (вымышленное)
Дочерние домены | Дополнительные домены, которые организация может создавать в пределах домена второго уровня. Применяются для отражения структурной иерархии различных подразделений больших организаций | "sample.mydomain.org." — дочерний домен домена второго уровня "mydomain. org."
Имя хоста или ресурса | Листья дерева имен DNS, задают определенный ресурс или хост | "host.sample.mydomain.org.", где host — имя хоста или какого-либо ресурса в сети

Схемы запросов

Рассмотрим процесс разрешения доменных имен в IP-адреса, определенный в рамках спецификации службы DNS (RFC 1034 и RFC 1035). Процесс разрешения доменного имени предполагает строго регламентированное взаимодействие DNS-клиента и цепочки DNS-серверов. Взаимодействие начинается с момента, когда пользователь или приложение используют доменное имя для ссылки на некоторый хост. Соединение с любым хостом осуществляется только на уровне IP-адресов. Поэтому DNS-клиент должен выполнить разрешение доменного имени.
Всю работу по разрешению доменного имени выполняет DNS-сервер. В зависимости от обстоятельств, в процесс разрешения имени может быть вовлечен один сервер или несколько DNS-серверов.

Примечание

Изначально для разрешения доменных имен использовался специальный текстовый файл, в котором перечислялись IP-адреса и соответствующие им имена компьютеров. Этот файл, получивший название HOSTS (хосты), помещается на сервере. Каждый клиент копировал этот файл и использовал его для разрешения имен. При необходимости разрешения имени клиент просматривает файл HOSTS с целью обнаружения интересующего имени. Подобная схема разрешения имен подходит для небольших статичных сетей. В большой динамичной сети поддержание файла HOSTS в актуальном состоянии на всех клиентах представляет собой трудно решаемую проблему. Служба DNS явилась альтернативой механизму разрешения имен посредством файла HOSTS.

Информация об объектах пространства имен DNS может быть распределена между множеством DNS-серверов. В этом случае DNS-серверы образуют иерархию, подобную иерархии пространства имен (рис. 13.2). В самом простом случае иерархия DNS-серверов может полностью повторять иерархию доменных имен. Каждый DNS-сервер хранит информацию только о части общего пространства имен. Это значит, что сервер самостоятельно способен разрешить только некоторую часть доменных имен. Если сервер не способен разрешить доменное имя самостоятельно, он передает этот запрос дальше, вверх по иерархии.
Каждый DNS-сервер имеет собственный кэш, в который помещаются сведения обо всех доменных именах, разрешенных данным сервером в результате выполнения обращений к другим DNS-серверам. К этому кэшу DNS-сервер обращается всякий раз, когда он не в состоянии выполнить разрешение доменного имени самостоятельно. Только если информация о доменном имени не будет обнаружена в кэше, сервер направит запрос выше по иерархии. Использование кэша позволяет повысить эффективность разрешения имен и снизить нагрузку на коммуникационные линии.
Допускается ситуация, когда DNS-сервер вообще не используется для хранения информации о доменном пространстве имен. Однако он включен в иерархию DNS-серверов. Для разрешения доменных имен этот сервер применяет собственный кэш и запросы к вышестоящим DNS-серверам. Подобный тип DNS-серверов принято называть кэширующими DNS-серверами (caching DNS servers).

Рис. 13.2. Иерархия DNS-серверов

Существует две схемы запросов, которые могут использоваться для разрешения доменного имени: рекурсивные и итерационные (итеративные) запросы. Рассмотрим каждую из схем в отдельности.
В ответ на рекурсивный запрос (recursive query) клиента DNS-сервер должен возвратить либо IP-адрес, соответствующий запрашиваемому доменному имени, либо сообщение об ошибке, если это имя не может быть разрешено. В процессе разрешения запроса DNS-сервер рекурсивно предпринимает попытки обнаружить так называемые "ближайшие" серверы ("closest known" name servers). "Ближайшим" считается сервер, являющийся носителем зоны, в которой размещается домен, близкий к запрашиваемому. При этом поиск начинается от корневого сервера имен. Корневой сервер имен предоставляет ссылку на другой сервер имен, который, по его мнению, должен располагать сведениями о запрашиваемом хосте (или домене). Тот, в свою очередь, может предоставить ссылку на другой сервер имен и т. д. В конечном итоге будет найден сервер имен, располагающий сведениями о требуемом доменном имени.
Для пояснения рассмотрим пример (рис. 13.3). Допустим, сервер должен выполнить разрешение доменного имени www.ayan.ru. Первоначально DNS-сервер пытается обнаружить в собственной базе данных сведения о домене ауаn. ru. В случае если сведения о данном домене отсутствуют, DNS-сервер пытается обнаружить серверы имен для данного домена (при этом поиск осуществляется как в собственной базе данных, так и в кэше имен). Если соответствующие серверы имен не могут быть обнаружены, предпринимается аналогичная попытка для домена ru. В определенный момент DNS-сервер обратится к серверам корневого домена. Серверы имен корневого домена не располагают информацией о запрашиваемом домене. Но поскольку запрашиваемый домен располагается внутри домена ru, будет возвращена ссылка на серверы имен домена ru. Обращение к DNS-серверам домена ru даст информацию о серверах имен домена ayan.ru. Обратившись к серверу имен домена ayan.ru, DNS-сервер получит информацию об IP-адресе хоста www.ауаn.ru.

Рис. 13.3. Рекурсивный метод разрешения запросов

В случае получения итерационного запроса (iterative query) DNS-сервер просматривает собственную базу данных и кэш, пытаясь обнаружить в них сведения о запрашиваемом доменном имени. Если доменное имя не может быть разрешено DNS-сервером самостоятельно, клиенту будет возвращена ссылка на вышестоящий DNS-сервер. Клиент должен повторно отправить запрос указанному серверу имен. Тот, в свою очередь, просматривает собственную базу данных и возвращает либо адрес требуемого хоста, либо ссылается на другой сервер имен. На определенном этапе клиент свяжется с сервером имен, который располагает сведениями о запрашиваемом доменном имени. В этом сценарии основная нагрузка по разрешению имени возлагается на DNS-клиента.

Примечание

Итерационные запросы могут использоваться в ситуации, когда или DNS-сервер, или DNS-клиент не поддерживают рекурсивные запросы (например, администратор может запретить на уровне DNS-сервера применение рекурсивных запросов).

На рис. 13.4 показан пример итерационного разрешения доменного имени. Допустим хост store.khsu.ru должен установить соединение с хостом movies.yahoo.com.

Рис. 13.4.Итерационный метод разрешения запросов

Для разрешения указанного доменного имени клиент предпринимает следующие шаги:
1. Клиент обращается к серверу имен, обслуживающему домен khsu.ru. Этот сервер имен не обладает информацией о запрашиваемом имени и возвращает клиенту ссылку на вышестоящий сервер имен (обслуживающий домен ru).
2. Клиент обращается к серверу имен, обслуживающему домен ru. Этот сервер имен не обладает информацией о запрашиваемом имени и возвращает клиенту ссылку на корневой сервер имен (домен ".").
3. Клиент обращается к корневому серверу имен. Корневой сервер имен обнаруживает, что запрашиваемое доменное имя принадлежит к домену com. Клиенту возвращается ссылка на сервер имен, обслуживающий домен com.
4. Клиент обращается к серверу имен, обслуживающему домен com. Данный сервер имен находит в своей базе данных записи о сервере имен, обслуживающем домен yahoo.com. Ссылка на этот сервер имен возвращается клиенту.
5. Клиент обращается к серверу имен, обслуживающему домен yahoo.com. Сервер имен находит в своей базе данных запись о хосте movies.yahoo.com. Соответствующий этому имени IP-адрес возвращается клиенту.

Зоны

Деление доменного пространства имен между DNS-серверами осуществляется посредством механизма зон (zone). Зона представляет собой базу данных, в которой содержатся записи о соответствии некоторого множества доменных имен IP-адресам. Каждая зона представляет собой фрагмент доменного пространства имен. Следует рассматривать зоны как основной административный элемент, на уровне которого происходит как управление пространством имен в целом, так и управление процессом разрешения имен. Зоны, используемые для размещения содержимого обратных доменов, называются зонами обратного просмотра (reverse lookup zone).
Границы зоны не определяются доменной структурой. Одна зона может включать в себя несколько доменов, в то время как объекты, принадлежащие к одному домену, могут быть размещены в нескольких зонах. Осуществляя разделение доменного пространства имен на зоны, необходимо исходить, в первую очередь, из удобства администрирования.
Зону можно разместить на нескольких серверах. На каждом из вовлеченных DNS-серверов размещается отдельная копия зоны. Для поддержания этих копий в согласованном состоянии используется модель репликации с одним основным участником (single-master replication). Один из DNS-серверов выступает в качестве основного носителя зоны (primary zone). Только основной носитель зоны обладает возможностью вносить изменения в ее содержимое (другими словами, имеет право на запись).
Остальные DNS-серверы располагают копией зоны, доступной только для чтения. Эти серверы называются дополнительными носителями зоны (secondary zone). Изменения, произведенные в копии зоны основным носителем, реплицируются на дополнительные носители. Использование нескольких носителей зоны позволяет, с одной стороны, распределить нагрузку между несколькими серверами, а с другой стороны, реализовать некоторый уровень отказоустойчивости. В случае выхода из строя одного из носителей зоны разрешение имен будет осуществляться остальными носителями зоны.
На каждом DNS-сервере может быть размещено несколько зон. В этом случае каждая зона конфигурируется отдельно. Один и тот же сервер может выступать как основным, так и дополнительным носителем для различных зон.

Ресурсные записи

Зона рассматривается как база данных, содержащая сведения об элементах пространства имен DNS. База данных состоит из записей, которые, согласно терминологии DNS, называются ресурсными записями (resource records). Каждая ресурсная запись имеет следующий синтаксис: owner TTL class type RDATA
Характеристика полей ресурсной записи приводится в табл. 13.2.

Таблица 13.2. Поля ресурсной записи

Имя поля | Описание
owner | Имя хоста или домена, к которому принадлежит ресурсная запись
TTL | 32-разрядное число, определяющее интервал времени, в течение которого данная запись будет храниться в кэше DNS-сервера или DNS-клиента, до тех пор пока не будет удалена. Данное поле является необязательным. Если поле не определено, используется значение, определенное на уровне зоны (в записи SOA)
class | Определяет класс ресурсной записи. В настоящее время в данном поле всегда указывается IN
type | Указывает тип ресурсной записи. Существующие типы будут перечислены далее
RDATA | Данные ресурсной записи. Конкретное значение данного поля определяется типом ресурсной записи

Существует порядка двадцати типов ресурсных записей. Отдельного разговора заслуживает запись типа SOA (Start of Authority). Каждая зона имеет одну запись этого типа. Запись формируется непосредственно в момент создания зоны и определяет все ее параметры, в том числе и те, что регламентируют процесс распространения произведенных изменений между всеми ее носителями. Рассмотрим эти параметры.
Одним из важнейших параметров является номер версии (serial number) зоны. Номер версии позволят обнаружить факт изменения содержимого зоны. Дополнительные носители зоны периодически сверяют номер версии собственной копии с номером версии зоны основного носителя. Поэтому от номера версии требуется, чтобы он последовательно увеличивался с каждым изменением. Критическим является тот факт, что значение номера версии после изменения больше, чем до изменения. Величина разброса между номерами версии не имеет никакого значения.
Ниже приводится пример записи SOA для домена ayan. ru:

ayan.ru. IN SOA root.ayan.ru. administrator.ayan.ru.(

2002082000 ; номер версии

86400 ; интервал обновления (1 день) 86400 ; интервал повторения (1 день) 604800 ; истечение срока действия (7 дней) 86400 ); время жизни записей (1 день)

В этом примере запись SOA начинается с имени определяемого домена — ayan.ru. Доменное имя после ключевого слова SOA определяет основной сервер имен для данного домена root.ayan.ru. Следующее доменное имя (administrator.ayan.ru) определяет адрес электронной почты человека, отвечающего за администрирование зоны. В случае возникновения ошибок в работе DNS-сервера и процессе разрешения имен будет отправлено соответствующее сообщение по указанному адресу. Обратите внимание, что при записи адреса электронной почты не используется символ "@".

Внимание

Обратите внимание на точку, которой оканчивается каждое доменное имя. Эта точка обозначает корневой домен пространства имен DNS. В данном случае использование этой точки обязательно.

Передача зоны

Процесс синхронизации всех копий зоны, распределенных между множеством носителей, называется передачей зоны (transfer zone). Поскольку изменения могут вноситься только в копии основного носителя, передача зоны всегда осуществляется по направлению от основного носителя к дополнительному. Основной носитель зоны последовательно передает измененную копию зоны каждому дополнительному носителю по отдельности. Хотелось бы заметить, что базовым считается режим передачи, когда передается вся измененная зона целиком.
Время от времени дополнительные носители зоны обращаются к основному носителю зоны, сравнивая номера версий и выявляя факт изменения зоны. Периодичность этих обращений определяется интервалом обновления (refresh interval). С другой стороны, дополнительные носители могут быть извещены (notify) основным носителем о факте изменения зоны.
После того как обнаружен факт изменения, носители запрашивают передачу зоны. Если передача по каким-либо причинам не начинается, носители повторяют свой запрос через определенные промежутки времени, называемые интервалами повторения (retry interval). Если зона не была обновлена в течение периода, называемого интервалом истечения срока действия (expire interval), зона считается устаревшей и не может быть использована для разрешения имен. Интервал обновления, интервал повторения и интервал истечения срока действия определяются на уровне всей зоны посредством соответствующих параметров записи SOA.
Передача зоны инициируется при следующих обстоятельствах:

  • истекает интервал обновления зоны;
  • основной носитель извещает дополнительный носитель о факте изменения зоны;
  • для зоны определяется новый дополнительный носитель. В этом случае необходимо создать на этом дополнительном носителе копию зоны;
  • администратор вручную инициирует процесс передачи зоны, используя соответствующий административный инструмент.

Служба DNS, реализованная в Windows Server 2003, позволяет осуществлять передачу не всей зоны целиком, а частично — только произведенные изменения. Этот режим синхронизации получил название инкрементной передани зоны. Использование режима инкрементной передачи зоны позволяет снизить сетевой трафик вызванной репликацией между DNS серверами, поскольку в большинстве случаев изменения сводятся к добавлению или удалению из базы данных зоны одной-двух записей. В этой ситуации нет смысла передавать всю зону.
Использование режима инкрементной передачи зоны возможно только в том случае, если все носители зоны поддерживают его. Если хотя бы один из носителей зоны не поддерживает режим инкрементной передачи, он не сможет получить сведения об изменениях. Как следствие, актуальность данных на этих серверах очень скоро будет утрачена.

Методы хранения зоны

Реализация службы DNS в Windows Server 2003 предлагает три метода хранения содержимого зоны:

  • хранение зоны в отдельном файле;
  • хранение зоны в доменном разделе каталога;
  • хранение зоны в разделах приложений.

Хранение зоны в файле
Этот метод хранения является традиционным и единственным, описанным в спецификации службы DNS. Вся информация о содержимом зоны хранится в специальном текстовом файле. Имя файла образуется из названия зоны, к которому добавляется расширение dns. На DNS-сервере может быть размещено несколько зон. В этом случае каждая зона будет храниться в отдельном файле.

Внимание

Именно такой метод хранения зоны используется подавляющим большинством реализаций DNS-серверов (в том числе и Windows NT DNS).

Метод хранения содержимого зоны в файле является достаточно простым и эффективным. Администратор может изменять этот файл при помощи любого текстового редактора. В случае необходимости администратор всегда сможет перенести зону на любой другой DNS-сервер, в том числе работающий не на платформе Windows.

Примечание

Для размещения всех файлов, с которыми работает служба DNS (в том числе файлы зоны), используется каталог %SystemRoot%\system32\dns.

Хранение зоны в доменном разделе каталога
В результате интеграции службы DNS со службой каталога стало возможным размещение содержимого зоны в Active Directory. В этом случае зона представляется в виде объекта каталога контейнерного типа, внутри которого размещаются объекты, ассоциированные с ресурсными записями. Зона, содержимое которой хранится в каталоге, получила название зоны, интегрированной в Active Directory (Active Directory-integrated zone). Подобная схема хранения зоны может быть использована только в том случае, если служба DNS устанавливается на контроллере домена.
Для размещения содержимого зоны используется доменный раздел каталога. Совокупность объектов, ассоциированных с зонами DNS, размешается в объекте контейнерного типа MicrosoftDNS в дереве объектов того домена, к которому принадлежит сервер. Для размещения зоны используется класс объектов каталога dnszone, а для ресурсных записей — класс dnsNode.
Размещение зоны в каталоге позволяет задействовать множество механизмов службы каталога и, в первую очередь, подсистему репликации изменений. Поскольку зона и ресурсные записи рассматриваются в виде объектов, любое их изменение в одной из копий приводит к распространению этих изменений на все остальные копии. Это означает, что изменение зоны может производиться в контексте любого контроллера домена. Другими словами, любой DNS-сервер, установленный на контроллере домена, может выступать в качестве основного носителя для зоны, размещенной в каталоге. Администратор может создать столько носителей зоны, сколько имеется контроллеров домена.
Размещение зоны в доменном разделе каталога имеет один существенный недостаток. Поскольку информация о зоне размещается в доменном контексте каталога, она реплицируется только в пределах домена. Это делает невозможным размещение зоны на DNS-серверах, расположенных в других доменах. Следует также отметить и тот факт, что поскольку зона размещается в доменном разделе, она реплицируется на все контроллеры домена, согласно параметрам по умолчанию. Вы не можете указать, на каких именно контроллерах домена необходима информация о зоне.
От указанных недостатков свободен метод размещения зоны в каталоге в разделах приложений.
Хранение зоны в разделах приложений
Этот метод хранения зоны впервые реализован в Windows Server 2003. Соответственно, он может быть использован только на контроллерах домена, работающих под управлением только этой операционной системы.
Для размещения содержимого зоны могут использоваться разделы приложений (application partitions). (Подробнее разделы приложений описаны в главе 18 "Основные концепции Active Directory".) По умолчанию для размещения содержимого зон в каталоге создаются два раздела приложений: ForestDnsZones.<имя_DNS_леса> и DomainDnsZones.<имя_DNS_леса>. Однако администратор может создать и другие разделы приложений, которые и будут использоваться для хранения зон. В табл. 13.3 кратко описан каждый из этих разделов.

Таблица 13.3. Разделы приложений, по умолчанию используемые для размещения зоны

Раздел приложения | Описание
ForestDnsZon.es . <имя DNS леса> | Раздел приложений, доступный DNS-серверам в рамках всего леса доменов. Реплика раздела автоматически создается при установке DNS-сервера на любом контроллере в лесу. Соответственно, любой такой DNS-сервер будет выступать носителем зоны, размещенной в подобном разделе приложений
DomainDnsZones . <имя DNS леса> | Раздел приложений, доступный DNS-серверам в рамках домена. Реплика раздела автоматически создается при установке DNS-сервера на любом контроллере этого домена

Отличительной особенностью данного метода хранения зоны является также избирательный характер размещения раздела приложений. Администратор может размешать раздел приложений только на тех контроллерах домена, что являются DNS-серверами. На прочих контроллерах домена реплика подобных разделов не создается.

Упрощенные зоны

Упрощенная зона (stub zone) представляет собой копию зоны, содержащую только те ресурсные записи, которые необходимы для локализации DNS-серверов, являющихся носителями полной версии зоны. Основное назначение упрощенной зоны — идентификация DNS-серверов, которые способны выполнить разрешение доменных имен, принадлежащих к этой зоне.
Любая упрощенная зона состоит из следующих элементов:

  • записи типа SOA, определяющей параметры зоны;
  • записей типа NS, указывающих доменные имена DNS-серверов, выступающих носителями полной версии зоны;
  • записей типа А, определяющих адреса DNS-серверов.

Упрощенные зоны позволяют облегчить и сократить процесс разрешения доменного имени. Рассмотрим пример. Допустим, на DNS-сервере, обслуживающем домен ayan.ru, содержится упрощенная зона для домена khsu.ru. В этом случае при поступлении запроса на разрешение имени www.khsu.ru DNS-сервер не будет использовать рекурсивный запрос на разрешение этого имени. Вместо этого запрос будет напрямую отправлен некоторому серверу имен домена khsu.ru, адрес которого будет извлечен из упрощенной зоны. Разрешение имени посредством рекурсивных запросов потребовало бы больше шагов, чем в случае использования упрощенной зоны. Следует обратить внимание на то, что в процесс разрешения доменного имени не вовлекаются корневые серверы DNS. Это имеет одно очень важное и полезное следствие.
Упрощенные зоны можно использовать для организации взаимодействия двух лесов доменов, реализующих собственные пространства имен DNS. В этом сценарии в каждом из лесов имеются собственные корневые серверы. Посредством упрощенных зон администратор может создавать ссылки на домены, расположенные в другом пространстве имен DNS.

Внимание

С упрощенными зонами связано одно ограничение. Упрощенная зона не может располагаться на DNS-сервере, который одновременно выступает в качестве носителя полной версии зоны.

Поддержание упрощенной зоны в актуальном состоянии осуществляется тем же методом что и для обычной зоны. Периодически один из носителей зоны выполняет обновление упрощенной зоны, передавая DNS-серверу, на котором она размещается, требуемое подмножество ресурсных записей. Конфигурация процесса передачи упрощенной зоны определяется параметрами записи SOA этой зоны.

Выборочное перенаправление запросов

Механизм выборочного перенаправления запросов (conditional forwarding) позволяет осуществлять перенаправление пользовательских запросов на другие DNS-серверы, основываясь на информации о доменном имени, включенном в запрос. Обычный режим перенаправления (forwarding) предполагает перенаправление всех запросов на определенный DNS-сервер или группу серверов. Фактически механизм выборочного перенаправления позволяет выполнять на DNS-сервере сортировку запросов. Некоторую часть запросов сервер способен разрешить сам, другая часть будет перенаправлена различным серверам имен.
Выборочное перенаправление позволяет повысить эффективность разрешения запросов за счет сокращения количества операций. Так же, как и механизм упрощенных зон, выборочное перенаправление может быть использовано как средство организации взаимодействия двух лесов доменов, реализующих собственные пространства имен DNS.
Поскольку механизм выборочного перенаправления способен решать те же задачи, что и упрощенные зоны, очень трудно увидеть различия между ними. Какой из двух механизмов выбрать в той или иной ситуации? Механизм выборочного перенаправления позволяет перенаправить запросы пользователей по разрешению определенного доменного имени на конкретный DNS-сервер. Использование же упрощенных зон для разрешения определенного доменного имени дает ссылку на некоторый набор DNS-серверов, способных выполнить это разрешение. Поэтому, если администратору необходимо контролировать процесс обращения пользователей к корпоративным DNS-серверам (например, с целью управления нагрузкой на серверы или для сокращения нагрузки на линии связи с ограниченной пропускной способностью), он должен использовать механизм выборочного перенаправления.
С другой стороны, использование механизма упрощенных зон позволяет реализовать большую гибкость в управлении DNS-серверами. Изменение списка DNS-серверов, выступающих в качестве носителей полноценной копии зоны (а соответственно, способных выполнить разрешение определенного множества доменных имен), приводит к автоматическому обновлению упрошенной зоны на всех ее носителях. В случае же использования механизма выборочного перенаправления администратору придется вручную изменить конфигурацию всех вовлеченных DNS-серверов.

Динамическая регистрация имен

Стандартный механизм сопровождения зоны предполагает создание администратором вручную статических ресурсных записей. Любое произведенное изменение доменного имени хоста или его IP-адреса администратор должен синхронизировать с базой данных службы DNS, вручную изменяя соответствующие записи. Подобная схема изменения содержимого зоны делает практически невозможным использование в корпоративной сети службы динамического выделения адресов (DHCP).
В спецификации службы DNS определена возможность использования механизма динамической регистрации хостами своих доменных имен. В процессе динамической регистрации клиенты могут создавать и изменять ресурсные записи типа А и PTR. Контроллеры домена могут также динамически регистрировать ресурсные записи типа SRV.
Механизм динамической регистрации доменных имен предполагает тесную интеграцию служб DNS и DHCP. Динамическая регистрация доменных имен может быть осуществлена либо DHCP-клиентом, либо службой сервера DHCP. Такое решение легко объяснимо, учитывая, что в большинстве случаев изменение IP-адреса клиента связано со службой DHCP.
Если клиент находится под управлением операционных систем Windows 2000/XP или Windows Server 2003, он может самостоятельно зарегистрировать свое имя в базе данных DNS-сервера. В этом случае регистрация осуществляется службой клиента DHCP компьютера. Остальные версии Windows (Windows 9.X/NT/ME) не способны динамически зарегистрировать свое доменное имя. В этой ситуации задача регистрации имени может быть возложена на службу сервера DHCP. Служба сервера DHCP, реализованная в Windows Server 2003, может зарегистрировать доменное имя одновременно с выделением в аренду IP-адреса. В этом случае, регистрация доменного имени происходит без участия клиента и незаметно для них.
Клиент предпринимает попытку зарегистрировать доменное имя в базе данных DNS-сервера в следующих ситуациях:

  • происходит изменение IP-адреса. Операция динамической регистрации инициируется при любом изменении списка адресов хоста (добавление нового адреса, удаление или модификация существующего);
  • выполнение утилиты командной строки Ipconfig с ключом /renew. В этом случае инициируется процесс выделения хосту в аренду нового IP-адреса (или набора адресов, если компьютер имеет несколько сетевых адаптеров);
  • в процессе загрузки системы. Каждый раз при включении компьютера и загрузки системы происходит регистрация доменного имени в базе данных соответствующей зоны;
  • выполнение утилиты командной строки Ipconfig с ключом /registerdns. В результате происходит принудительное обновление доменного имени клиента в базе данных DNS-сервера.

Механизм динамической регистрации подразумевает не только регистрацию доменных имен, но и их освобождение. При завершении работы системы ассоциированные с ней ресурсные записи автоматически удаляются из зоны. Если работа системы была завершена некорректно, например, в результате сбоя или зависания компьютера, ресурсные записи могут оставаться в базе данных. Подобные записи называются фантомами. Наличие фантомов в базе данных зоны нежелательно, поскольку клиенты получают в ответ на свои запросы неактуальную информацию.
Параллельно с механизмом динамической регистрацией имен DNS-сервер активизирует механизм очистки (scavenging) базы данных от устаревших ресурсных записей. Рассмотрим, каким образом процесс очистки позволяет удалить фантомы из базы данных записей.
С каждой ресурсной записью ассоциируется временная метка (timestamp), определяющая время ее создания. Ресурсная запись считается актуальной в течение определенного периода времени, называемого периодом стабильности (no-refresh interval). Обновление сведений о ресурсной записи в течение этого периода приводит к обновлению значения временной метки. Временная метка обновляется каждый раз, когда клиент обновляет ресурсную запись. Система ожидает обновления ресурсной записи в течение периода, который называется периодом обновления (refresh interval). Если для ресурсной записи истек период обновления, а она не была обновлена, запись помечается как устаревшая (aging). Все устаревшие ресурсные записи удаляются в процессе очистки базы. Этот процесс автоматически инициируется системой через определенные промежутки времени.

Безопасная регистрация доменных имен

Для зон, интегрированных в Active Directory, каждая ресурсная запись представляет собой объект каталога. Для таких зон можно задействовать механизм безопасной динамической регистрации (secure dynamic update). Этот механизм позволяет администратору управлять доступом к объектам, ассоциированным с ресурсными записями. Администратор может определить пользователей, которым разрешено изменять отдельные ресурсные записи. Например, администратор может определить группы пользователей, которым разрешено производить какие-либо изменения ресурсных записей.

Развертывание DNS

В данном разделе мы кратко рассмотрим процесс установки и настройки DNS-серверов в корпоративной сети. Этот процесс включает в себя следующие стадии:

  • планирование;
  • установка программного обеспечения DNS-сервера;
  • настройка DNS;
  • мониторинг и оптимизация.

Планирование

Перед использованием DNS в сети необходимо тщательно спланировать пространство имен DNS. При этом нужно определить, как будет применяться служба DNS и какие цели должны быть достигнуты в ходе ее развертывания. Вот вопросы, которые необходимо решить до установки службы.

  • Выбор и предварительная регистрация имени домена, используемого в Интернете.
  • В какой сети будут установлены серверы DNS — в частной сети или в Интернете.
  • Нужно ли использовать DNS для поддержки работы Active Directory?
  • Требования к выбору доменных имен для компьютеров.

Установка DNS-сервера

Для установки сервера DNS нужно воспользоваться процедурами, описанными в разд. "Установка дополнительных сетевых компонентов" главы 12.
Можно также воспользоваться Мастером установки компонентов Windows'. для этого необходимо открыть панель управления, запустить утилиту Add/Remove Programs (Добавить/удалить приложения) и нажать кнопку Add/Remove Windows Component (Добавить/удалить компоненты Windows). В окне мастера (рис. 13.5) следует выбрать компоненты Windows для установки. Администратор может одновременно установить множество компонентов, для этого достаточно установить соответствующие флажки.

Рис. 13.5. Выбор компонентов Windows для установки

Выберите в списке пункт Networking Services (Сетевые службы) и нажмите кнопку Details (Подробнее). В открывшемся окне (рис. 13.6) установите флажок около компонента Domain Name System (DNS). Вернитесь в окно выбора устанавливаемых компонентов и щелкните на кнопке Next (Далее), чтобы приступить к установке. В процессе установки потребуется доступ к дистрибутивным файлам Windows Server 2003.
По окончании работы мастера служба DNS будет установлена на выбранный компьютер. Требуемые файлы будут скопированы на жесткий диск, программное обеспечение сервера можно использовать после перезапуска системы. В группе программ Administrative Tools (Средства администрирования) появится новый инструмент: оснастка DNS. Однако мастер производит установку на сервер только системных файлов. Чтобы служба DNS-сервера начала выполнять свои функции, необходимо должным образом ее сконфигурировать.

Рис. 13.6. Выбор сетевых компонентов для установки

Примечание

Установив сервер DNS, необходимо решить, как будут управляться сервер и файлы зон базы данных DNS. Хотя изменения в файлах базы данных можно вносить и при помощи текстового редактора, этот метод не рекомендуется. Лучше обслуживать сервер DNS и файлы зон базы данных средствами оснастки DNS.

Настройка сервера

После того как программное обеспечение DNS-сервера было установлено на компьютер, необходимо выполнить его настройку. Фактически процедура начальной настройки DNS-сервера сводится к созданию необходимых зон, которые будут использоваться для хранения ресурсных записей. Если вы устанавливаете DNS-сервер одновременно с созданием первого контроллера домена в корпоративной сети, все операции по конфигурированию соответствующей DNS зоны будут выполнены непосредственно мастером установки Active Directory (Active Directory Installation Wizard). Разумеется, данный метод создания зоны является наиболее предпочтительным. В качестве альтернативы администратор может создать зону самостоятельно.

Примечание

Необходимо помнить о том, что мастер установки Active Directory не создает на DNS-сервере зон обратного просмотра (reverse domain zone). Поэтому по окончании работы мастера администратор должен создать и настроить эту зону вручную. В Windows Server 2003 создание корневого домена леса не приводит к автоматическому созданию корневого домена в пространстве имен DNS. Таким образом, администратор всегда может сконфигурировать первый установленный DNS-сервер для перенаправления запросов к внешнему пространству имен. Информация о вышестоящих серверах указывается на вкладке Forwarders (Перенаправление) окна свойств DNS-сервера. Например, администратор может указать на этой вкладке информацию о DNS-сервере Интернета.

После того как зона создана, администратор может менять следующие общие свойства зоны:

  • запрещать или разрешать использование зоны;
  • изменять способ хранения зоны;
  • разрешать динамическое обновление зоны.

Также можно настраивать начальные записи зоны (Start Of Authority, SOA), ресурсные записи, делегирование зон, списки оповещения, использование просмотра WINS, а также управлять зонами обратного просмотра (reverse zone).
Все операции по настройке DNS-сервера могут быть выполнены любым из двух инструментов.

  • Оснастка DNS (DnsMgmt.msc) (рис. 13.7). Эта утилита предоставляет администратору графический интерфейс для управления DNS-серверами; она располагается в меню Administrative Tools (Администрирование).
  • Утилита командной строки DnsCmd.exe. Утилита поставляется в составе Windows Server 2003. Утилита может быть использована, например, при создании пакетных файлов сценариев, а также в ситуации, когда администратор конфигурирует DNS-серверы через коммуникационные линии с ограниченной пропускной способностью.

Последующее изменение конфигурации DNS-сервера может понадобиться по разным причинам, например:

  • при изменении имени компьютера-сервера;
  • при изменении имени домена для компьютера-сервера;
  • при изменении IP-адреса компьютера-сервера;
  • при удалении сервера DNS из сети;
  • при изменении основного сервера (primary server) зоны.

Рис. 13.7. Окно оснастки DNS

Установка первого DNS-сервера

Приступая к развертыванию службы DNS в корпоративной сети, администратор должен принять решение о том, будет ли служба DNS создана до установки Active Directory, либо развертывание обеих этих служб будет проходить одновременно. В первом случае необходимо помнить, что до тех пор, пока не установлена служба каталога, вы сможете использовать только один метод хранения содержимого зоны — в виде текстового файла. Как следствие, часть функциональных возможностей будет недоступна. Поэтому рекомендуется осуществлять развертывание службы DNS и службы каталога Active Directory одновременно.
Если вы устанавливаете DNS-сервер одновременно с созданием первого контроллера домена в корпоративной сети, все операции по настройке DNS зоны будут выполнены мастером установки Active Directory (Active Directory Installation Wizard). Этот мастер будет подробно описан в главе 19 "Проектирование доменов и развертывание Active Directory". Если на момент запуска мастера DNS-сервер уже существует, администратору сначала придется вручную создать зону и произвести ее конфигурирование.
Рассматриваемый мастер автоматически создает в пространстве имен DNS все дочерние домены, потребность в которых возникает при создании доменов Active Directory. Однако перед созданием в лесу доменов нового дерева доменов администратор должен вручную создать на DNS-сервере соответствующую зону.

Внимание

Мастер установки Active Directory не создает на DNS-сервере зон обратного просмотра (reverse domain zone). По окончании работы мастера администратору необходимо вручную создать эту зону и сконфигурировать ее. После этого, администратор должен выполнить регистрацию адресов и имен хостов в этой зоне (либо вручную, либо используя на хостах утилиту Ipconfig с ключом /registerdns).

В Windows 2000 при создании корневого домена леса Active Directory на автоматически устанавливаемом и конфигурируемом DNS-сервере создается зона "" корневого домена пространства имен DNS. Таким образом, создается изолированное пространство имен DNS, т. к. все запросы клиентов замыкаются на корневом DNS-сервере. Другими словами, клиенты не могут, используя этот DNS-сервер, разрешить запросы ко внешним пространствам имен (например, к Интернету).
В Windows Server 2003 зона корневого домена "." автоматически не создается. Таким образом, все запросы к Интернету могут разрешаться через корневые серверы, указанные на вкладке Root Hints (Корневые ссылки) в окне свойств DNS-сервера. Более того, администратор всегда может сконфигурировать первый установленный DNS-сервер для перенаправления запросов к внешнему пространству имен. Информация о вышестоящих серверах указывается на вкладке Forwarders (Перенаправление) окна свойств DNS-сервера. Например, администратор может указать на этой вкладке информацию о DNS-сервере Интернета (рис. 13.8). Позднее мы еще вернемся к рассмотрению этого вопроса.
В ходе создания корневого домена леса мастер установки Active Directory создает на DNS-сервере две зоны: зона для корневого домена леса и зона _msdcs. <имя_DNS_леса>. Обе создаваемые зоны по умолчанию являются интегрированными в Active Directory. Первая зона размещается в разделе приложений DomainDnsZones.<имя_DNS_леса>, а вторая в разделе приложении ForestDnszones.<HMH_DNS_лeca>. Таким образом, информация о первой зоне может реплицироваться на все DNS-серверы в домене, в то время как информация о второй зоне может реплицироваться на все DNS-серверы в лесе. Для примера на рис. 13.9 показано содержимое DNS-сервера после создания корневого домена леса khsu.ru.

Рис. 13.8. Конфигурирование механизма перенаправления запросов

Рис. 13.9. Две зоны создаются на DNS-сервере в процессе создания корневого леса доменов

Установка дополнительных DNS-серверов

Установка дополнительных DNS-серверов позволяет повысить надежность корпоративной сети и гарантировать разрешение пользовательских запросов даже в том случае, когда один из DNS-серверов выйдет из строя. Если вы устанавливаете DNS-сервер на контроллере домена, вы можете использовать его в качестве носителя зон, интегрированных в Active Directory. В противном случае сервер может использоваться в качестве дополнительного носителя.
Отдельно следует сказать о конфигурировании DNS-серверов в качестве носителя зон, интегрированных в Active Directory. Для размещения содержимого зоны по умолчанию используется раздел приложений. Реплики раздела приложений создаются администратором на контроллере домена вручную при помощи утилиты Ntdsutil.exe.

Конфигурирование зон

Администратор может изменить конфигурацию зоны по своему усмотрению в любой момент. Для выполнения изменений необходимо вызвать окно свойств зоны, выбрав в контекстном меню объекта, ассоциированного с зоной, пункт Properties (Свойства).

Рис. 13.10. Окно свойств зоны DNS, интегрированной в Active Directory

Окно свойств (рис. 13.10) обычной зоны состоит из пяти вкладок. В случае зоны, интегрированной в Active Directory, появляется шестая вкладка Security (Безопасность), на которой администратор может ограничить доступ к зоне и ее содержимому.

Изменение типа зоны

На вкладке General (Общие) в поле Туре (Тип) отображается тип зоны. Администратор может в любой момент изменить его, нажав кнопку Change (Изменить). В открывшемся окне (рис. 13.11) администратор должен выбрать новый тип зоны. Обратите внимание, что установленный флажок Store the zone in Active Directory (Хранить зону в Active Directory) свидетельствует о том, что зона интегрирована в Active Directory. Поскольку этот способ хранения не допускает использование дополнительных носителей зон, выбор переключателя Secondary zone (Дополнительная зона) в качестве типа зоны приводит к тому, что данный флажок автоматически снимается и становится недоступным для изменения.

Рис. 13.11. Выбор типа зоны

Если зона хранится в Active Directory, администратор может регламентировать доступ к объектам пространства имен DNS на вкладке Security (Безопасность). Эту вкладку имеет каждый объект пространства имен DNS (домены, зоны, ресурсные записи).

Изменение области репликации

В поле Replication (Репликация) вкладки General (Общие) окна свойств зоны указывается область распространения изменений в содержимом зоны. Это поле отображается только для зон, интегрированных в Active Directory. Фактически значение этого поля определяет раздел каталога, в котором хранится содержимое зоны. Соответственно, выбор раздела влияет на область репликации изменений. Нажав кнопку Change (Изменить), администратор может в открывшемся окне определить новое место хранения зоны (рис. 13.12). Перечень значений, предлагаемых администратору в этом окне, приведен в табл. 13.4.

Рис. 13.12. Изменение области распространения содержимого зоны

Таблица 13.4. Области распространения содержимого зоны

Область репликации | Описание
То all DNS servers in the Active Directory forest | Зона размещается в разделе приложений, доступном в пределах всего леса
To all DNS servers in the Active Directory domain | Зона размещается в разделе приложений, доступном в пределах отдельного домена
To all domain controllers in the Active Directory domain | Зона размещается в доменном разделе каталога. Этот способ размещения зоны необходимо выбирать, если в качестве носителей зоны используется Windows 2000 DNS
To all domain controllers specified in the scope of the following application directory partition | Зона размещается в разделе приложений, который создается администратором

Установка режима динамического обновления

Режим динамической регистрации устанавливается посредством параметра Allow dynamic updates (Разрешить динамическое обновление) вкладки General (Общие) окна свойств зоны. Чтобы разрешить динамическое обновление, установите значение этого параметра в Yes. Для активизации режима безопасного обновления необходимо установить значение в Only secure updates (Только безопасное обновление).

Проверка работоспособности DNS-сервера

По окончании процесса установки службы DNS необходимо проверить работоспособность сервера. Следует убедиться в том, что DNS-сервер поддерживает нужные зоны прямого и обратного просмотра, а также в том, что зоны могут динамически обновляться.

Использование утилиты DnsCmd

Подобная проверка может быть осуществлена при помощи стандартной системной утилиты DnsCmd.exe. Утилиту можно запускать непосредственно на DNS-сервере. В этом случае в параметрах утилиты можно не указывать имя сервера.
Для проверки зон можно использовать ключ /EnumZones:

С:\dnscmd /EnumZones Enumerated zone list: Zone count = 3 Zone name Type Storage Properties Cache File _msdcs.khsu.ru Primary AD-Forest Secure khsu.ru Primary AD-Domain Secure Command completed successfully.

Следует заметить, что в приведенном примере зона "." представляет ссылки на корневые серверы пространства имен DNS, загружаемые при запуске DNS-сервера. Поле Type определяет тип зоны. Поле storage определяет способ хранения зоны и область распространения изменений. Поле Properties позволяет получить информацию о свойствах зоны.
Для получения более подробной информации о зоне необходимо использовать ключ /ZoneInfo. Ниже приводится пример выполнения утилиты с этим ключом:

c:\dnscmd /Zoneinfo  khsu.ru

Zone  query  result:

Zone  info:

ptr  =  00083140

zone  name =  khsu. ru

zone type = 1

update    =  2

DS  integrated =  1

data  file  =  (null)

using WINS  = 0

using Nbstat = 0

aging = 0

refresh interval =168

no  refresh =  168

scavenge  available   =  3520930 Zone Masters

NULL  IP Array.Zone

Secondaries NULL IP Array, secure sees

rectory partition = AD-Domain flags 00000015 zone DN 4>= DC=khsu.ru,cn=MicrosoftDNS,DC=DomainDnsZones, DC=khsu,DC=ru Command completed successfully.

Для получения информации о ресурсных записях определенной зоны необходимо выполнить утилиту с ключом /EnumRecords. Ниже приводится пример работы утилиты:

c:\dnscmd /EnumRecords khsu.ru _tcp /Type SRV Returned records: _gc [Aging:3520762] 600 SRV 0 100 3268 store.khsu.ru. _kerberos [Aging:3520762] 600 SRV 0 100 88 store.khsu.ru. _kpasswd [Aging:3520762] 600 SRV 0 100 464 store.khsu.ru. _ldap [Aging:3520762] 600 SRV 0 100 389 store.khsu.ru. Command completed successfully.

В приведенном примере отображаются все ресурсные записи типа SRV, содержащиеся в контейнере _tcp зоны khsu. ru.

Использование утилиты Nslookup

Проверка работоспособности не ограничивается только получением информации о параметрах DNS-сервера и его компонентов. Необходимо также проверить способность DNS-сервера обрабатывать запросы, выполняя разрешение доменных имен в IP-адреса. Подобную проверку желательно провести перед процедурой создания любого контроллера домена — это позволит избежать серьезных проблем с доменами в будущем.
Основным диагностическим инструментом, позволяющим проверить способность DNS-сервера обрабатывать запросы, является утилита командной строки Nslookup.exe. Эта утилита является стандартным инструментом диагностики DNS-сервера и может использоваться совместно с любыми реализациями DNS-серверов. Еще более полную информацию может дать утилита NetDiag.exe, а на контроллерах домена — утилита DCdiag.exe.
Утилита может функционировать как в режиме командной строки, так и в интерактивном режиме. В первом случае администратор запускает утилиту с некоторыми параметрами. В этой ситуации команда выполняет только одно действие, определенное использованными параметрами, после чего возвращается в режим командной строки. Интерактивный режим выбирается в том случае, если утилита была запущена без указания каких-либо параметров. В интерактивном режиме утилита выводит приглашение, ожидая команд администратора. Имеется порядка десятка команд, используя которые, администратор может осуществлять тестирование DNS-серверов.
Ниже приводится пример тестирования DNS-сервера — запрашивается адрес хоста main.khsu.ru!

с:\nslookup main.khsu.ru Server:root.khsu.ru Address:192.168.1.1 Name:main.khsu.ru Address: 192.168.1.6

В приведенном примере строка server указывает на DNS-сервер, в контексте которого осуществляется разрешение запросов с помощью утилиты Nslookup.

Управление клиентами

Для клиентов Windows конфигурация DNS при настройке свойств TCP/IP для каждого компьютера включает следующие задачи:

  • установка имени хоста DNS для каждого компьютера или сетевого подключения;
  • установка имени родительского домена, которое помещается после имени хоста, чтобы формировать полное (fully qualified) имя домена для каждого клиента;
  • установка основного DNS-сервера и списка дополнительных DNS-серверов, которые будут использоваться клиентом в ситуации, когда основной сервер недоступен;
  • установка очередности списка поиска доменов, используемого в запросах для дополнения не полностью заданного имени компьютера.

Мониторинг и оптимизация

В Windows Server 2003 администратор может осуществлять мониторинг DNS-сервера и по его результатам оптимизировать соответствующие параметры настройки. Для этой задачи администратор может использовать следующие инструменты и возможности:

  • системный монитор (Performance Monitor);
  • опции протоколирования;
  • статистика по DNS-серверу;
  • настройка дополнительных параметров.

Служба DHCP

Каждому хосту, подключенному к сети на базе TCP/IP, должен быть назначен уникальный IP-адрес. Протокол DHCP (Dynamic Host Configuration Protocol, протокол динамической конфигурации хоста) был разработан как средство динамического выделения хостам IP-адресов. Протокол DHCP является открытым промышленным стандартом, упрощающим управление сетями на базе TCP/IP. Этот протокол может быть использован для централизованного управления процессом настройки стека протокола TCP/IP на клиентских машинах (речь идет о таких параметрах, как адрес шлюза по умолчанию или адрес DNS-сервера).
В спецификации протокола DHCP определяются два участника: DHCP-сервер и DHCP-клиенты. Служба клиента DHCP запрашивает у DHCP-сервера параметры для настройки стека протоколов TCP/IP. Служба сервера DHCP обрабатывает клиентские запросы, осуществляя выдачу в аренду IP-адреса из некоторого диапазона. Каждый адрес выделяется на определенный срок. По окончании этого срока хост должен либо продлить срок аренды, либо освободить адрес. Все удовлетворенные запросы пользователя фиксируются службой сервера DHCP в собственной базе данных. Подобное решение позволяет предотвратить выделение одного IP-адреса двум хостам. Одновременно с выдачей IP-адреса DHCP-сервер может также предоставить клиенту дополнительную информацию о настройках стека протоколов TCP/IP, такую как маска подсети, адрес шлюза и адреса серверов DNS и WINS.
Кажется совершенно очевидным, что поддержка этого протокола была реализована в операционной системе Windows Server 2003. В составе Windows Server 2003 реализован как DHCP-клиент (который устанавливается по умолчанию), так и DHCP-сервер (который может быть установлен и сконфигурирован администратором при необходимости). Реализованная в Windows 2000 Server поддержка протокола DHCP обладает характеристиками, перечисленными ниже.

  • Интеграция с DNS. DNS-серверы обеспечивают разрешение имен для сетевых ресурсов и тесно связаны со службой DHCP. DHCP-серверы и DHCP-клиенты могут осуществлять динамическую регистрацию выдаваемых IP-адресов и ассоциированных с ними доменных имен в базе данных DNS-сервера. При этом в базе данных DNS-сервера создаются ресурсные записи типа PTR (указатель) и А (адрес).
  • Улучшенное управление и мониторинг. Новая возможность обеспечивает уведомление об уровне использования пула IP-адресов. Оповещение производится при помощи соответствующего значка либо при помощи передачи сообщения. Сервер DHCP поддерживает SNMP и MIB, что обеспечивает графическое представление статистических данных. Это помогает администратору отслеживать состояние сети, например, число доступных и занятых адресов, число арендных договоров, обрабатываемых за секунду, и т. п.
  • Распределение групповых адресов. DHCP-сервер может быть использован для выделения клиентам групповых (multicast) адресов. В последнее время появляется большое количество корпоративных приложений, требующих использования групповых адресов (например, видео- или аудио-конференции).
  • Защита от подмены серверов. Одним из обязательных условий функционирования DHCP-сервера является требование его авторизации в каталоге Active Directory. При каждом запуске служба DHCP-сервера пытается обнаружить в каталоге запись, подтверждающую авторизацию службы. Если подобная запись не найдена, служба сервера не запускается.
  • Автоматическая настройка клиентов. Служба DHCP-клиента в случае отсутствия в сети DHCP-сервера может выполнить необходимую настройку самостоятельно. Используя для работы временную конфигурацию стека протоколов TCP/IP, клиент продолжает попытки связаться с DHCP-сервером в фоновом режиме каждые 5 минут. При этом автоматическое назначение адреса всегда прозрачно для пользователей. Адреса для такого рода клиентов выбираются из диапазона частных сетевых адресов TCP/IP, которые не используются в Интернете.
  • Новые специализированные опции и поддержка классов опций. Администратор может создавать собственные классы DHCP (используемые для конфигурации клиентов) в соответствии с необходимостью. Механизм пользовательских классов позволяет применять DHCP в заказных приложениях для сетей масштаба предприятия. Классы поставщиков (vendor classes) могут использоваться для настройки различных функций сетевого аппаратного обеспечения.

Следует также отметить функциональные возможности, которые были впервые добавлены в реализацию службы DHCP в Windows Server 2003.

  • Возможность резервного копирования базы данных DHCP. В базе данных DHCP-сервера хранится информация о выданных клиентам IP-адресах, включая информацию о времени окончания аренды. Регистрация этой информации позволяет избежать повторного выделения уже выданных адресов. Повреждение этой базы данных может привести к тому, что работоспособность сети окажется под угрозой. Администратор может выполнять резервное копирование базы данных DHCP-сервера. Созданная резервная копия может использоваться впоследствии для восстановления работоспособности DHCP-сервера.
  • Возможность задания альтернативной конфигурации DHCP-клиемта. Для DHCP-клиента может быть задана альтернативная конфигурация TCP/IP, что позволяет перемещать компьютер между различными подсетями.

Обзор DHCP

Протокол DHCP представляет собой развитие протокола ВООТР (RFC 951 и 1084), позволявшего динамически назначать IP-адреса (в дополнение к удаленной загрузке бездисковых станций). При этом служба DHCP предоставляет все данные для настройки стека протоколов TCP/IP и дополнительные данные для функционирования определенных серверов. Рассмотрим основные понятия протокола DHCP.

  • Область DHCP (scope). Под областью DHCP понимается административная группа, идентифицирующая полные последовательные диапазоны возможных IP-адресов для всех DHCP-клиентов в физической подсети. Области определяют логическую подсеть, для которой должны предоставляться услуги DHCP, и позволяют серверу задавать параметры конфигурации, выдаваемые всем DHCP-клиентам в подсети. Область должна быть определена прежде, чем DHCP-клиенты смогут использовать DHCP-сервер для динамической конфигурации TCP/IP.
  • Суперобласти (superscope). Множество областей, сгруппированных в отдельный административный объект, представляет собой суперобласть. Суперобласти полезны для решения различных задач службы DHCP.
  • Пул адресов (address pool). Если определена область DHCP и заданы диапазоны исключения, то оставшаяся часть адресов называется пулом доступных адресов (в пределах области). Эти адреса могут быть динамически назначены клиентам DHCP в сети.
  • Диапазоны исключения (exclusion range). Диапазон исключения — ограниченная последовательность IP-адресов в пределах области, которые должны быть исключены из предоставления службой DHCP.
  • Резервирование (reservation). Резервирование позволяет назначить клиенту постоянный адрес и гарантировать, что указанное устройство в подсети может всегда использовать один и тот же IP-адрес.
  • Период аренды (lease). Под периодом аренды понимается отрезок времени, в течение которого клиентский компьютер может использовать выделенный IP-адрес. В момент истечения половины срока действия аренды клиент должен возобновить аренду, обратившись к серверу с повторным запросом. Следует помнить о том, что продолжительность периода аренды влияет на частоту обновления аренды (другими словами, на интенсивность обращений к серверу);
  • Опции DHCP (option DHCP). Опции DHCP представляют собой дополнительные параметры настройки клиентов, которые DHCP-сервер может назначать одновременно с выделением IP-адреса. Сервер DHCP поддерживает более 30 опций DHCP согласно RFC 2132. В качестве примера опции DHCP можно привести следующие параметры: IP-адреса шлюза по умолчанию, WINS-сервера или DNS-сервера. Опции могут быть определены как для каждой области отдельно, так и глобально для всех областей, размещенных на DHCP-сервере. Кроме стандартных опций, описанных в спецификации протокола DHCP, администратор может определять собственные опции.

Как работает DHCP

Когда новый DHCP-клиент подключается к сети, он запрашивает уникальный IP-адрес у DHCP-сервера. DHCP-сервер выделяет клиенту один адрес из пула адресов. Этот процесс (рис. 13.13) состоит из четырех шагов: 1) клиент DHCP запрашивает IP-адрес (DHCP Discover, обнаружение), 2) DHCP-сервер предлагает адрес (DHCP Offer, предложение), 3) клиент принимает предложение и запрашивает адрес (DHCP Request, запрос) и 4) адрес официально назначается сервером (DHCP Acknowledgement, подтверждение). Адрес клиенту предоставляется на определенный срок, называемый периодом аренды. По истечении половины этого срока клиент должен возобновить аренду. В противном случае, по истечении срока аренды, выделенный клиенту адрес возвращается в пул для повторного использования. В этой ситуации клиент должен инициировать процедуру получения IP-адреса с самого начала.

Рис. 13.13. Схема взаимодействия DHCP-сервера и DHCP-клиента

Понятие области действия

Множество IP-адресов, предназначенных для распределения между DHCP-клиентами одной подсети, рассматривается как единый административный блок, получивший название области действия (scope). Когда DHCP-клиент нуждается в получении адреса, он рассылает по сети широковещательный запрос. Получая этот запрос, DHCP-сервер просматривает имеющиеся области действия, определяя — имеется ли область действия для данной подсети. Если необходимый пул адресов имеется, сервер вступает с клиентом во взаимодействие.
Приступая к настройке службы DHCP, администратор должен создать отдельную область действия для каждой физической подсети. Если в сети имеется несколько DHCP-серверов, необходимо распределить имеющиеся диапазоны адресов между ними. Как правило, для каждой подсети должно быть как минимум два DHCP-сервера, способных выдать необходимый IP-адрес. Для этого имеющиеся диапазоны адресов делятся между двумя DHCP-серверами в некотором соотношении. При этом рекомендуется следующая схема. Для каждой подсети на ближайшем DHCP-сервере размещается 80 процентов имеющихся адресов. Остальные 20 процентов размещаются на одном из оставшихся DHCP-серверов. Этот сервер возьмет на себя обязанности по выдаче адресов для рассматриваемой подсети, если основной сервер выйдет из строя. Применение подобной схемы позволяет гарантировать, что ни один запрос клиента не останется без ответа.

Суперобласти

В службе DHCP, реализованной в рамках Windows Server 2003, разработчиками была реализована возможность создания суперобластей (superscope). Суперобласть представляет собой административное объединение стандартных областей. Использование суперобластей действия оправдано в ситуации, когда для одной подсети имеется несколько несмежных диапазонов IP-адресов. При этом каждый диапазон реализуется в виде отдельной области действия. Суперобласть действия выступает в качестве средства объединения получившихся областей действия.
Суперобласти используются для реализации в пределах одной физической подсети нескольких логических подсетей. Каждая логическая подсеть создается подмножеством адресов, заданных в рамках некоторой области, являющейся частью суперобласти. Согласно терминологии DHCP, в этом случае принято говорить о мультисетях (multinets).
Если физическая подсеть, для которой задается суперобласть, соединяется с другой подсетью при помощи маршрутизатора, внутренний интерфейс маршрутизатора должен быть определен в качестве шлюза по умолчанию для всех хостов всех логических подсетей, входящих в суперобласть. При этом для интерфейса маршрутизатора, подключенного к физической подсети, поделенной на логические подсети, необходимо выделить по одному IP-адресу с каждой из логических подсетей. В противном случае хосты, принадлежащие к логическим подсетям, не смогут взаимодействовать с другими подсетями через данный маршрутизатор.

Понятие опций

На уровне областей действия происходит управление процессом выдачи IP-адресов. Для решения задачи однообразного конфигурирования клиентов DHCP-сервер использует механизм опций (options). Опции позволяют предоставить DHCP-клиентам различную информацию о настройках компонентов стека протоколов TCP/IP. Каждая опция идентифицируется посредством уникального 8-разрядного кода, определяющего назначение опции. В спецификации DHCP определено несколько десятков разнообразных опций, в дополнение к которым корпорация Microsoft предложила несколько собственных.
Опции могут быть определены на уровне всего сервера, отдельной области действия, класса и отдельного клиента. В последнем случае требуется, чтобы на DHCP-сервере для клиента был зарезервирован некоторый адрес. Опции, определенные на уровне сервера, позволяют однообразно конфигурировать всех клиентов, обслуживаемых сервером. Опции, определенные на уровне отдельной области действия, будут использованы для настройки клиентов из одной подсети. Администраторы часто используют такую возможность для того, чтобы снабдить клиентов одной подсети информацией о существующих маршрутизаторах.
Отдельно стоит сказать о возможности объединения DHCP-клиентов в специальные классы. Класс рассматривается в данном случае, как некая логическая группа компьютеров, объединенных по некоторому признаку. Например, в один класс можно объединить компьютеры, имеющие доступ к Интернету. Сетевые компоненты этих компьютеров могут требовать расширенной настройки. Чтобы отнести хост к некоторому классу, администратор должен использовать утилиту командной строки Ipconfig с ключом /setclassid.
Все четыре уровня различаются по приоритетам. Это дает возможность реализовать переопределение опций, что, в свою очередь, позволяет повысить гибкость и удобство конфигурирования клиентов. Для настройки клиентов будут использоваться опции, имеющие наиболее высокий приоритет. Самый низкий приоритет имеют опции, определенные на уровне сервера. Опции, определенные на уровне клиента, обладают наибольшим приоритетом.

Агент-ретранслятор DHCP/BOOTP

Отдельно следует сказать о специальном агенте ретрансляции ВООТР/ DHCP. Работа протоколов ВООТР и DHCP основана на механизмах широковещания. Маршрутизаторы по умолчанию обычно не ретранслируют широковещательные рассылки, что может создать трудности для получения IP-адресов клиентами, находящимися в другой подсети. Передача широковещательных рассылок DHCP/BOOTP выполняется агентом ретрансляции. Под агентом ретрансляции DHCP понимается хост, который прослушивает подсети на наличие широковещательных сообщений DHCP/BOOTP и переадресовывает их на некоторый заданный DHCP-сервер. Использование агентов ретрансляции избавляет от необходимости устанавливать сервер DHCP в каждом физическом сегменте сети. Агент не только обслуживает прямые локальные запросы клиента DHCP и перенаправляет их на удаленные DHCP-серверы, но также возвращает ответы удаленных DHCP-серверов клиентам.

Установка и настройка DHCP-сервера

Для установки службы DHCP-сервера необходимо воспользоваться процедурами, описанными в разд. "Установка дополнительных сетевых компонентов" главы 12. После установки сервера в меню Administrative Tools (Администрирование) будет добавлен новый инструмент: оснастка DHCP. Эта утилита используется для настройки DHCP-сервера. Непосредственно после установки службы DHCP-сервера необходимо запустить ее при помощи оснастки Services (Службы). В случае если DHCP-сервер подключен к нескольким сетям, необходимо отключить привязку службы к тем подключениям, которым не требуется поддержка DHCP.
Компьютер, выбранный на роль DHCP-сервера, должен быть сконфигурирован со статическим IP-адресом.

Авторизация DHCP-сервера

Прежде чем DHCP-сервер сможет приступить к процессу выделения адресов DHCP-клиентам, он предварительно должен быть авторизован. Авторизация DHCP-сервера является обязательным условием его нормального функционирования. Иными словами, в каталоге Active Directory должен быть создан объект, соответствующий установленному DHCP-серверу. Только после этого клиенты смогут работать с данным сервером. Все обязанности по осуществлению контроля над авторизацией DHCP-серверов возложены непосредственно на сами DHCP-серверы. Осуществляется это следующим образом. Служба DHCP-сервера при запуске обращается к Active Directory, чтобы просмотреть список IP-адресов авторизованных серверов. Если она не обнаруживает свой адрес в этом списке, она останавливает свою работу.
Для авторизации DHCP-сервера необходимо запустить оснастку DHCP и в контекстном меню объекта, расположенного в корне пространства имен утилиты, выбрать пункт Manage authorized servers (Управление авторизованными серверами). Система покажет список уже авторизованных DHCP-серверов. Нажмите кнопку Authorize (Авторизовать) и укажите имя авторизуемого DHCP-сервера или его IP-адрес. Выбранный сервер будет немедленно добавлен в список авторизованных серверов.

Создание области действия

Приступим к настройке службы DHCP. Для начала определим необходимые области действия. Запустите оснастку DHCP, которая находится в меню Administrative Tools (Администрирование). В результирующей панели оснастки вызовите контекстное меню объекта, ассоциированного с конфигурируемым DHCP-сервером, и выберите пункт New Scope (Новая область действия). Будет запущен мастер конфигурирования области действия.
Первое окно мастера традиционно предоставляет информацию о его назначении. Поэтому необходимо сразу же перейти во второе окно, в котором требуется определить имя для создаваемой области действия и дать ей краткое описание. В качестве имени можно использовать IP-адрес подсети. Это поможет вам легко ориентироваться в ситуации, когда на DHCP-сервере создано множество областей действия. В этом случае вы всегда сможете точно идентифицировать необходимую область.
В третьем окне мастера следует определить пул IP-адресов, для которых создается область действия. Пул задается путем указания начального и конечного адреса диапазона. Потребуется также предоставить информацию о маске подсети (рис. 13.14).

Рис. 13.14. Предоставьте информацию о диапазоне адресов

В следующем окне мастера администратор может определить исключения из только что определенного диапазона. Могут иметься различные причины для этого. Администратор может исключать как отдельные адреса, так и целые диапазоны. Для исключения одиночного IP-адреса необходимо указать его в поле Start IP address (Начальный IP-адрес). Поле End IP address (Конечный IP адрес) необходимо оставить в этом случае пустым. После нажатия кнопки Add (Добавить) введенный адрес будет добавлен в список исключенных из диапазона адресов (рис. 13.15).
Перейдя к следующему окну мастера, необходимо определить для создаваемой области действия время аренды IP-адресов. Время аренды может быть определено на уровне дней, часов и даже минут. Хотя в стандарте протокола DHCP определена возможность аренды адреса на неопределенный срок (бесконечная аренда), реализация службы протокола в Windows Server 2003 не допускает сдачу адреса в бесконечную аренду.

Рис. 13.15. Определение исключений из диапазона адресов

Определив время аренды, администратор фактически заканчивает конфигурирование области действия. В ходе работы мастера, однако, администратор может сразу определить опции DHCP для создаваемой области действия: будет задан вопрос — требуется ли определить опции непосредственно в ходе работы мастера или это будет сделано администратором впоследствии.
Если вы решили воспользоваться помощью мастера в определении опций, вам будет предложено определить несколько наиболее важных опций DHCP.

  • Адрес шлюза по умолчанию. Шлюз по умолчанию используется для маршрутизации пакетов, адресованных хостам в других подсетях. Если хост не располагает информацией о шлюзе по умолчанию, он не будет способен взаимодействовать с подобными хостами. В данной опции требуется определить адрес маршрутизатора, который будет осуществлять доставку пакетов хостам в других подсетях (рис. 13.16).
  • DNS-имя домена и адреса DNS-серверов. Эти опции используются для определения DNS-имени домена и DNS-серверов всех хостов, конфигурируемых посредством данной области действия. DNS-сервер может быть представлен как именем, так IP-адресом. Опция допускает указание нескольких DNS-серверов, что позволит обеспечить гарантированное разрешение имен в случае, если один из серверов выйдет из строя (рис. 13.17).
  • Адреса WINS-серверов. WINS-серверы используются для организации процесса разрешения NetBIOS-имен хостов в IP-адреса этих хостов. Данная опция позволяет снабдить клиента адресами всех действующих в сети WINS-серверов. Так же, как и в случае с DNS-серверами, можно указать адреса нескольких WINS-серверов (рис. 13.18).

Рис. 13.16. Опция, позволяющая определить адреса шлюзов по умолчанию

Рис. 13.17. Опция, позволяющая определить адреса DNS-серверов и DNS-имени домена

Примечание

Создаваемые мастером опции определяются на уровне конкретной области действия. Мастер не может создавать опции на других уровнях.

Рис. 13.18. Опция, позволяющая определить адреса WINS-серверов

Разумеется, определяемая мастером информация является только малой частью того, что может быть определено посредством механизма опций. После создания области действия администратор может при необходимости вручную создать дополнительные опции.
На заключительном этапе работы мастера нужно решить, будет ли область действия активизирована сразу после ее создания или нет. Активизация области действия приводит к тому, что IP-адреса, определенные в рамках области, могут быть по требованию сданы в аренду. Поэтому если, например, требуется определить ряд дополнительных опций, процесс активизации области действия следует отложить.
При использовании нескольких областей опции по умолчанию могут быть определены на уровне сервера. В этом случае данные опции будут унаследованы всеми областями. Для этого в контекстном меню контейнера Server Options (Опции сервера) необходимо выбрать пункт Configure Options (Настроить опции) и определить требуемые опции.

Настройка механизма динамической регистрации доменных имен

Если нужно, чтобы регистрация доменных имен выполнялась непосредственно на уровне DHCP-сервера, необходимо в окне свойств объекта, ассоциированного с сервером, перейти на вкладку DNS и установить флажок Enable DNS dynamic updates according to the settings below (Разрешить динамические обновления в DNS в соответствии со следующими настройками) (рис. 13.19). Дополнительно нужно выбрать условия регистрации доменных имен в базе данных DNS. Сервер DHCP будет посылать сообщение службе DNS каждый раз, когда клиенту выдается IP-адрес.

Рис. 13.19. Активизация режима автоматической регистрации доменных имен в базе данных DNS

Мониторинг DHCP-сервера

После того как DHCP-сервер настроен и функционирует, следует периодически осуществлять мониторинг его состояния. Для получения необходимого аналитического материала администратор может активизировать режим протоколирования событий. Для этого на вкладке General (Общие) окна свойств DHCP-сервера нужно установить флажок Enable DHCP audit logging (Разрешить запись журнала DHCP) (рис. 13.20). После этого вся информация, связанная с функционированием сервера DHCP, будет заноситься в текстовый файл журнала.

Рис. 13.20. Активизация режима протоколирования DHCP-сервера

Служба WINS

Служба WINS (Windows Internet Name Service) обеспечивает поддержку распределенной базы данных для динамической регистрации и разрешения NetBIOS-имен. Служба WINS отображает пространство имен NetBIOS и адресное пространство IP друг на друга и предназначена для разрешения NetBIOS-имен в маршрутизируемых сетях, использующих NetBIOS поверх TCP/IP. Следует напомнить, что NetBIOS-имена используются ранними версиями операционных систем Windows как основной способ именования сетевых ресурсов. Служба WINS была разработана с целью упрощения процесса управления пространством имен NetBIOS в сетях на базе TCP/IP.
Основное назначение службы WINS заключается в разрешении NetBIOS-имен в IP-адреса. Процесс разрешения строится на основе базы данных WINS-сервера, содержащей отображения пространства NetBIOS-имен на пространство IP-адресов. Входя в сеть, клиент регистрирует свое имя в базе данных WINS-сервера. При завершении работы клиент отправляет сообщение WINS-серверу, извещая его об освобождении им зарегистрированного имени. На рис. 13.21 показан процесс взаимодействия WINS-клиента и WINS-сервера.

Рис. 13.21. Взаимодействие WINS-клиента и WINS-сервера

Реализация службы WINS в Windows Server 2003 характеризуется функциональными возможностями, перечисленными ниже.

  • Постоянные соединения. Каждый WINS-сервер может быть настроен на обслуживание постоянного соединения с одним или большим количеством партнеров репликации. Это увеличивает скорость репликации и снижает затраты на открытие и завершение соединений.
  • Управление "захороненными" записями. "Захороненными" (tombstoning) называются записи в базе данных WINS, которые были помечены для удаления. Информация о "захороненных" записях реплицируется между WINS-серверами, что позволяет синхронно удалить эти записи из всех копий базы данных WINS. Реализованный механизм управления позволяет администратору вручную удалять произвольные записи из базы данных WINS.
  • Улучшенная утилита управления. Для управления WINS-сервером используется специальная утилита WINS, реализованная в виде оснастки ММС.
  • Расширенная фильтрация и поиск записей. Улучшенная фильтрация и новые поисковые функции помогают находить записи, показывая только записи, соответствующие заданным критериям. Эти функции особенно полезны для анализа очень больших баз данных WINS.
  • Динамическое стирание записей и множественный выбор. Эти особенности упрощают управление базой данных WINS. При помощи оснастки WINS можно легко манипулировать с одной (или более) записью WINS динамического или статического типа.
  • Проверка записей и проверка правильности номера версии. Указанный механизм осуществляет проверку последовательности имен, размещенных в базах данных WINS-серверов. Проверка записей сравнивает IP-адреса, возвращаемые по запросу NetBIOS-имени с различных серверов WINS. Механизм проверки правильности номера версии проверяет номер владельца таблицы отображения "адрес-версия".
  • Возможность экспорта базы данных WINS. При экспорте содержимое базы данных WINS-сервера сохраняется в текстовом файле с запятыми в качестве разделителей. Можно импортировать этот файл в различных форматах (в том числе и в формате Microsoft Excel).
  • Динамическое обновление клиентов. Для возобновления регистрации локальных NetBIOS-имен не требуется перезапускать WINS-клиента. Обновление информации о зарегистрированных именах администратор может использовать утилиту Nbtstat.exe с параметром -гг.
  • Консольный доступ только для чтения к оснастке WINS. Эта возможность предоставляется группе WINS Users (Пользователи WINS), которая автоматически создается в момент установки WINS-сервера. Добавляя членов к этой группе, можно предоставить доступ только для чтения к информации о WINS. Это позволяет пользователю, являющемуся членом указанной группы, просматривать (но не изменять!) параметры и содержимое базы данных WINS-сервера.

Посредник WINS

В спецификации службы WINS описываются три участника: WINS-сервер, WINS-клиенты, а также посредники WINS (WINS proxy). WINS-сервер обрабатывает запросы на регистрацию имен от WINS-клиентов, регистрирует их имена и соответствующие им IP-адреса, а также отвечает на запросы разрешения имен от клиентов, возвращая IP-адрес по имени, при условии, что это имя находится в базе данных сервера. В сети может быть установлено несколько WINS-серверов. Базы данных всех существующих WINS-серверов синхронизируются в результате процесса репликации (рис. 13.22).
Под посредником WINS понимается специальный WINS-клиент, который может обращаться к WINS-серверу от имени других хостов, не способных обратиться к WINS-серверу самостоятельно (рис. 13.23). WINS-посредники используются для поддержки хостов, осуществляющих разрешение NetBIOS- имен методом широковещательных рассылок. Аналогичным методом (путем рассылки широковещательных сообщений) данный тип хостов информирует другие сетевые хосты о занимаемом им NetBIOS-имени. При этом принято говорить, что данный хост работает в режиме b-узла. Поскольку широковещательные сообщения не ретранслируются маршрутизаторами, для нормальной работы сети возникает необходимость устанавливать WINS-серверы в каждой подсети (либо отказаться от клиентов, работающих в режиме b-узла). В качестве альтернативы администратор может сконфигурировать один из WINS-клиентов в качестве WINS-посредника.

Рис. 13.22. WINS-серверы

Рис. 13.23. Пример использования WINS-посредника

Хост, функционирующий в режиме b-узла, не подозревает о существовании WINS-посредника. Этот хост рассылает широковещательные запросы, которые принимаются всеми хостами подсети, в том числе и WINS-посредником. WINS-посредник переадресует эти сообщения WINS-серверу, информируя последний о регистрации или освобождении соответствующего имени. Аналогичным образом хост, функционирующий в режиме b-узла, обращается с широковещательным запросом на разрешение имени. Посредник WINS проверяет собственный локальный кэш имен, и если в нем не обнаружено запрашиваемое имя, переадресует запрос WINS-серверу (см. рис. 13.23).

Репликация WINS

Если в сети используется несколько WINS-серверов, для поддержания их баз данных в синхронизированном состоянии администратор может настроить между ними репликацию. Рис. 13.24 иллюстрирует ситуацию, когда репликация настроена между двумя WINS-серверами. В показанном на рисунке примере репликация осуществляется в обе стороны. То есть содержимое базы данных одного WINS-сервера реплицируется на другой WINS-сервер и наоборот. Однако возможны и другие варианты: как однонаправленная репликация, так и сложные топологии репликации (например, образующие кольцо). После настройки механизма репликации между WINS-серверами каждый из них будет располагать сведениями обо всех именах NetBIOS, зарегистрированных в корпоративной сети. Благодаря этому любой клиент будет иметь возможность разрешать NetBIOS-имена независимо от того, на каком из WINS-серверов эти имена были зарегистрированы.

Рис. 13.24. Репликация между WINS-серверами

Участвующие в репликации WINS-серверы называются партнерами по репликации. В зависимости от того, как именно WINS-сервер инициирует процедуру репликации, он может выступать в одном из трех качеств:

  • передающий партнер (Push Partner). В этом сценарии WINS-сервер инициирует процесс репликации самостоятельно, извещая своих партнеров об изменении своей базы данных путем отправки специального сообщения;
  • принимающий партнер (Pull Partner). В этом случае WINS-сервер запрашивает репликацию изменений у своего партнера по репликации с определенной периодичностью.
  • передающий/принимающий партнер (Push/Pull Partner). Этот сценарий предполагает использование обоих вышеописанных методов инициации процесса репликации.

Механизм постоянных соединений

Инициируя процесс репликации, WINS-сервер устанавливает соединение с другим сервером, в рамках которого осуществляется передача соответствующих изменений. Установка соединения требует затрат определенных системных ресурсов. При этом интенсивные изменения могут снизить общую производительность WINS-сервера.
В Windows Server 2003 реализация службы WINS поддерживает механизм постоянного соединения с партнером по репликации. Данный механизм позволяет устанавливать соединение только один раз, после чего оно сохраняется активным. Любое изменение, осуществляемое в базе данных сервера, будет немедленно реплицировано на другие серверы, с которыми установлено постоянное соединение. Благодаря этому базы данных всех WINS-серверов будут всегда находиться в актуальном состоянии.

Внимание

Механизм постоянных соединений позволяет поддерживать базы данных всех WINS-серверов в актуальном состоянии. Однако этот механизм требует, чтобы коммуникационные линии, соединяющие партнеров по репликации, были доступны постоянно. Как правило, механизм постоянных соединений используется в локальной сети. Если WINS-серверы соединяются по коммутируемым линиям, необходимо использовать обычный способ репликации.

Установка и настройка сервера WINS

Для установки службы WINS-сервера нужно воспользоваться процедурами, описанными в разд. "Установка дополнительных сетевых компонентов" главы 12. После установки службы WINS в меню Administrative Tools (Администрирование) появится новая оснастка WINS, которая предназначена для настройки и конфигурирования WINS-сервера (рис. 13.25).

Рис. 13.25. Окно оснастки WINS

Внимание

Компьютер, выбранный на роль WINS-сервера, должен быть сконфигурирован со статическим IP-адресом.

Настройка репликации между WINS-серверами

До настройки репликации нужно тщательно спроектировать топологию репликации WINS. В глобальных сетях это очень важно для успешного развертывания и использования службы WINS.

Настройка статического отображения

Запись, отображающая имя в IP-адрес, может быть добавлена в базу данных WINS двумя способами.

  • Динамически. Этот тип записей создается в базе данных сервера WINS-клиентами в процессе регистрации локальных NetBIOS-имен.
  • Статически. Администратор создает записи вручную, определяя статическое отображение (static mapping) NetBIOS-имени на IP-адрес.

Статические отображения используются в ситуации, когда необходимо жестко прописать соответствие "имя-адрес" в базе данных WINS-сервера для хоста, который непосредственно не использует WINS. Например, в некоторых сетях серверы под управлением других операционных систем не могут регистрировать свои NetBIOS-имена непосредственно на WINS-сервере. Наличие в базе данных WlNS-сервера подобных отображений, с одной стороны, препятствует регистрации подобных имен другими хостами, а с другой стороны, позволяет задействовать службу WINS для разрешения этих имен в IP-адреса (что может быть актуально в сети, насчитывающей множество подсетей).

Управление базой данных WINS

После того как в сети установлены WINS-серверы и между ними должным образом настроена репликация, служба WINS требует минимального вмешательства администратора. Тем не менее, существует ряд операций, выполнение которых требует участия администратора:

  • сжатие базы;
  • резервное копирование базы;
  • проверка целостности базы.

Переход от WINS к DNS

В Windows Server 2003 система доменных имен (DNS) рассматривается как основной способ именования ресурсов. Служба WINS используется исключительно по соображениям сохранения совместимости. Со временем администратор может реализовать полный переход от WINS к DNS, оставив в сети только одну службу имен. Процесс удаления из сети функционирующего WINS-сервера называется отзывом (decommissioning).
После того как в сети развернута иерархия DNS-серверов, каждый клиент настраивается таким образом, чтобы он использовал для разрешения имен службу DNS, а не WINS. При этом для каждого WINS-сервера выполняется процедура отзыва в следующей последовательности:
1. В пространстве имен оснастки WINS выберите WINS-сервер для отзыва. После этого перейдите к контейнеру Active Registrations (Активные регистрации).
2. В меню Action (Действие) выполните команду Show records for the selected owner (Найти по владельцу).
3. В открывшемся окне в списке only for selected owner (только для выбранного владельца) укажите WINS-сервер для отзыва и нажмите кнопку ОК.
4. В окне подробного просмотра выделите все элементы.
5. В меню Action (Действие) выберите команду Delete (Удалить).
6. В диалоговом окне Confirm WINS Record Delete (Подтверждение удаления записей) установите переключатель Tombstone WINS records on all WINS servers (Реплицировать удаление записи на другие серверы) и нажмите кнопку ОК.
7. Подтвердите удаление, нажав кнопку Yes (Да) в окне запроса.
8. В дереве выберите элемент Replication Partners (Партнеры репликации).
9. В меню Action (Действие) выполните команду Replicate Now (Запустить репликацию).
10. После проверки репликации выбранных записей на другие серверы остановите и удалите службу WINS на отозванном сервере.

Примечание

В процессе перехода может потребоваться настроить разрешение доменных имен DNS через службу WINS.


Коммуникационные службы

  • Коммуникационные службы
  • Удаленный доступ
    • Служба маршрутизации и удаленного доступа
    • Новые возможности службы удаленного доступа в Windows Server 2003
    • Устройства и порты службы удаленного доступа
    • Транспортные протоколы и удаленный доступ
      • Стек протоколов TCP/IP
      • Стек протоколов NWLink
      • Стек протоколов AppleTalk
    • Протоколы аутентификации пользователей
      • Протокол RADIUS
      • Протокол ЕАР
      • Протокол CHAP
      • Протоколы MS-CHAP и MS-CHAP v2
      • Протокол SPAP
      • Протокол РАР
    • Процедура аутентификации удаленного доступа
    • Дополнительные механизмы проверки подлинности удаленного пользователя
      • Проверка идентификатора звонящего абонента
      • Механизм ответного вызова
      • Удаленный доступ без выполнения процедуры аутентификации пользователя
    • Блокировка учетной записи
    • Шифрование данных
    • Механизмы управления конфигурацией удаленного подключения
      • Специальные параметры учетной записи пользователя
      • Политики удаленного доступа
    • Протоколирование событий
    • Использование широковещательных рассылок для разрешения имен
    • Применение разделяемых ключей
    • Использование сервера удаленного доступа для обслуживания VPN-подключений
    • Развертывание сервера удаленного доступа
  • Трансляция сетевых адресов (NAT)
    • Компоненты механизма трансляции сетевых адресов
    • Понятие частного адреса
    • Принципы действия NAT
    • Редакторы NAT
    • Развертывание механизма NAT в корпоративной сети
      • Выбор схемы адресации
      • Использование базового брандмауэра
      • Разрешение входящего соединения
    • Конфигурирование механизма NAT с помощью программы-мастера
    • Настройка NAT на уже сконфигурированном сервере удаленного доступа
      • Выбор схемы выделения IP-адресов локальным хостам
      • Выбор схемы разрешения доменных имен
      • Определение диапазона действительных IP-адресов для преобразования
      • Конфигурирование базового брандмауэра
      • Конфигурирование преобразования специальных портов и служб
    • Конфигурирование хостов в локальной сети для работы с NAT
  • Служба факсимильных сообщений
    • Установка службы факсов
    • Конфигурирование службы факсов
    • Использование службы факсов
    • Редактор титульных страниц факсов
    • Диспетчер службы факсов
    • Настройка принтера факсов
  • Телефония
    • IP-телефония
    • Поставщики услуг IP-телефонии
    • Групповая конференц-связь по IP

Коммуникационные службы

Данная глава посвящена рассмотрению основных коммуникационных служб, реализованных в Windows Server 2003. В первую очередь разговор пойдет о службе маршрутизации и удаленного доступа, позволяющей, в частности. внешним клиентам подключаться к корпоративной сети и использовать ее ресурсы. Здесь же рассматриваются организация виртуальных частных сетей, механизм трансляции сетевых адресов (NAT), а также служба факсов и IP-телефония.

Удаленный доступ

В самом простом приближении под корпоративной сетью принято понимать локальную сеть некоторой организации (или совокупность локальных сетей, соединенных между собой некоторым образом). Однако современные условия ведения бизнеса вносят свои поправки. Достаточно важной составляющей любой современной корпоративной сети являются пользователи, внешние по отношению к локальной сети. Это могут быть как мобильные пользователи (например, сотрудники корпорации, путешествующие с ноутбуками), так и стационарные (например, удаленный дилер компании). Важным является тот факт, что независимо от типа, этим пользователям периодически необходим доступ к ресурсам вашей корпоративной сети.
Данная проблема может быть решена посредством развертывания в корпоративной сети службы удаленного доступа (remote access service). Под удаленным доступом понимается решение, основанное на маршрутизации обращений подключающегося удаленного клиента в локальную сеть корпорации. Все приложения, посредством которых происходит доступ к ресурсам корпоративной сети, функционируют непосредственно на стороне клиента.
Следует также упомянуть про другую возможность организации доступа к ресурсам корпоративной сети — дистанционное управление (remote control). Под дистанционным управлением понимается решение, основанное на использовании удаленными пользователями программных и вычислительных ресурсов сервера. При этом также возможен доступ к ресурсам корпоративной сети. Однако все приложения, посредством которых этот доступ осуществляется, выполняются не на клиенте, а на сервере. Клиенту передаются только образы экрана. Данное решение реализуется при помощи служб терминалов (terminal services). Службы терминалов будут рассмотрены позднее, в главе 17 "Дополнительные сетевые службы".

Служба маршрутизации и удаленного доступа

В Windows Server 2003 реализована Служба маршрутизации и удаленного доступа (Routing and Remote Access Service, RRAS), позволяющая удаленным пользователям подключаться к корпоративным вычислительным сетям. При этом подключение может быть выполнено как по коммутируемой линии, так и через виртуальные частные сети (Virtual Private Network, VPN). При коммутируемом соединении клиент удаленного доступа устанавливает коммутируемую связь для подключения к физическому порту на сервере удаленного доступа, используя некоторую службу-посредника для передачи данных, например аналоговый телефон, ISDN или Х.25. Наиболее типичный пример коммутируемого доступа — установление соединения клиентом удаленного доступа при помощи модема, т. е. путем набора телефонного номера одного из портов сервера удаленного доступа.
Соединение с виртуальной частной сетью (или VPN-подключение) представляет собой защищенное соединение типа "точка-точка" через сеть общего пользования (например, Интернет) или большую корпоративную сеть. Поддержка службой удаленного доступа механизма виртуальных частных сетей позволяет устанавливать безопасное соединение с корпоративной сетью через различные открытые сети (такие, например, как Интернет). Для эмуляции прямого соединения данные инкапсулируются специальным способом, т. е. снабжаются специальным заголовком, который предоставляет информацию, необходимую для маршрутизации, чтобы пакет мог достигнуть 'адресата. Получателем пакета является VPN-клиент либо VPN-сервер. Часть пути, по которому данные следуют в инкапсулированном виде, называется туннелем.
Для организации безопасной виртуальной частной сети перед инкапсуляцией данные шифруются. Перехваченные по пути следования пакеты невозможно прочитать без ключей шифрования. Участок VPN соединения, на котором данные передаются в зашифрованном виде, и называется, собственно, виртуальной частной сетью. Сервер удаленного доступа в случае использования механизма виртуальных частных сетей выступает в качестве посредника, осуществляя обмен данными между клиентом VPN и корпоративной сетью. При этом сервер удаленного доступа осуществляет все необходимые преобразования данных (шифрование/дешифрование). Для этого используются специальные протоколы туннелирования (tunneling protocols). VPN-клиент и VPN-сервер должны использовать один и тот же протокол туннелирования, чтобы создать VPN-соединение. В службе удаленного доступа в Windows Server 2003 реализована поддержка протоколов туннелирования РРТР и L2TP.
Сервер удаленного доступа в Windows Server 2003 является частью интегрированной Службы маршрутизации и удаленного доступа (Routing and Remote Access Service, RRAS). Пользователи устанавливают соединение с сервером удаленного доступа при помощи клиентского программного обеспечения удаленного доступа, которое имеется в составе любой версии Windows. Сервер удаленного доступа (под которым мы в дальнейшем подразумеваем любой компьютер под управлением Windows Server 2003, на котором установлена служба маршрутизации и удаленного доступа) аутентифицирует как пользователей, так и сеансы связи удаленных маршрутизаторов. Все службы, доступные пользователям, работающим в локальной сети (включая доступ к совместно используемым файлам и принтерам, доступ к вебсерверам и серверам электронной почты), доступны также и пользователям, подключающимся удаленно (через сервер удаленного доступа).

Примечание

Клиент удаленного доступа использует стандартные средства для доступа к ресурсам. Например, на компьютере под управлением Windows XP подключение дисков и принтеров выполняется при помощи Проводника. Подключения постоянны: пользователи не должны повторно подключать сетевые ресурсы в течение сеанса удаленного доступа. Поскольку имена дисков и имена UNC (Universal Naming Convention, универсальное соглашение об именовании) полностью поддерживаются при удаленном доступе, большинство обычных действий пользователей и работа приложений остаются неизменными при работе через удаленный доступ.

Новые возможности службы удаленного доступа в Windows Server 2003

Служба маршрутизации и удаленного доступа, реализованная в Windows Server 2003, характеризуется новыми функциональными возможностями, перечисляемыми ниже.

  • Поддержка механизма разделяемых ключей для аутентификации в случае использования протоколов L2TP/IPSec. Разделяемым ключом (pre-shared key) называется последовательность символов, известная клиенту и серверу удаленного доступа. Этот ключ используется для аутентификации участников соединения удаленного доступа в ситуации, когда применяются защищенные протоколы L2TP/IPSec. Использование механизма разделяемых ключей позволяет администратору отказаться от развертывания инфраструктуры открытых ключей (Public Key Infrastructure, PKI).
  • Интеграция механизма трансляции сетевых адресов (NAT) со встроенным брандмауэром. Реализованный в Windows Sewer 2003 встроенный брандмауэр может быть использован для фильтрации пакетов, обрабатываемых транслятором сетевых адресов. Благодаря этому администратор может обеспечить должный уровень безопасности корпоративной сети при организации ее взаимодействия с открытыми сетями (такими, как Интернет).
  • Поддержка защищенных соединений, осуществляемых посредством протоколов L2TP/IPSec, механизмом трансляции сетевых адресов (NAT). Windows Server 2003 позволяет использовать механизм трансляции сетевых адресов для организации виртуальных частных сетей. Фактически речь идет о том, что соединение с виртуальной частной сетью может быть создано через интерфейс NAT.
  • Поддержка широковещательного метода разрешения имен вместо использования серверов имен. В сети Windows Server 2003 пользователи могут использовать символические имена для ссылки на ресурсы. Однако для установки соединения эти имена должны быть разрешены в соответствующие IP-адреса. Традиционным методом разрешения имен в корпоративной сети является использование специальных серверов имен (таких, как WINS и DNS). Однако в небольших сетях развертывание этих служб может быть неоправданным. Чтобы предоставить удаленным пользователям возможность использования символических имен для ссылки на ресурсы корпоративной сети, администратор может разрешить использование широковещательных рассылок для разрешения этих имен в IP-адреса. В сетях, насчитывающих десятки и сотни удаленных пользователей, использование широковещательных рассылок может привести к падению производительности сети. С другой стороны, если корпоративная сеть реализована в виде нескольких физических подсетей, соединенных маршрутизаторами, использование широковещательных рассылок для разрешения имен может быть неэффективным, поскольку широковещательные сообщения маршрутизаторами не ретранслируются.

Далее следует отметить другие характерные особенности службы удаленного доступа Windows Server 2003, значительно расширяющие возможности администратора.

  • Интеграция с Active Directory. Сервер удаленного доступа Windows Server 2003, являющийся частью домена Windows и зарегистрированный в каталоге, может обращаться к параметрам настройки удаленного доступа пользователя (например, к разрешениям удаленного доступа и параметрам ответного вызова), которые хранятся в Active Directory. После регистрации сервера удаленного доступа в Active Directory им можно управлять и отслеживать его состояние при помощи стандартных инструментов.
  • Поддержка протокола аутентификации MS-CHAP версии 2. Протокол проверки подлинности запроса-подтверждения (Microsoft Challenge Handshake Authentication Protocol, MS-CHAP v2) предназначен для аутентификации участников соединения и создания ключей шифрования непосредственно во время установления соединения удаленного доступа. Протокол MS-CHAP v2 может быть также использован для аутентификации участников соединения при построении виртуальных частных сетей.
  • Поддержка протокола аутентификации ЕАР. Расширяемый протокол аутентификации ЕАР (Extensible Authentication Protocol) позволяет использовать новые методы проверки подлинности участников подключения удаленного доступа, включая реализацию защиты, основанную на смарт-картах. Интерфейс ЕАР позволяет подключать модули проверки подлинности сторонних производителей.
  • Поддержка протокола ВАР. Протокол распределения полосы пропускания ВАР (Bandwidth Allocation Protocol), а также протокол управления распределением полосы пропускания ВАСР (Bandwidth Allocation Control Protocol) повышают эффективность работы многоканальных РРР-соединений, динамически подключая или отключая дополнительные каналы, приспосабливаясь к изменению трафика.
  • Механизм политик удаленного доступа. Под политикой удаленного доступа понимается набор условий и параметров настройки соединения, предоставляющих сетевым администраторам большую гибкость по установке и настройке разрешений удаленного доступа и атрибутов соединений.
  • Поддержка клиентов удаленного доступа Macintosh. Служба маршрутизации и удаленного доступа Windows Server 2003 позволяет обслуживать подключение клиентов удаленного доступа Apple Macintosh, использующих протокол AppleTalk вместе с протоколом удаленного доступа ARAP (AppleTalk Remote Access Protocol) или с протоколом РРР.
  • Поддержка широковещательных адресов IP (IP multicast). Используя механизм IGMP router and proxy версии 2 (маршрутизатор и посредник IGMP), сервер удаленного доступа может поддерживать обмен групповым IP-трафиком между клиентами удаленного доступа и Интернетом или корпоративной сетью.

Устройства и порты службы удаленного доступа

На сервере удаленного доступа под управлением Windows Server 2003 установленное сетевое оборудование отображается в виде ряда устройств и портов. Под устройством (devices) понимается аппаратное или программное обеспечение, которое предоставляет службе удаленного доступа порты для установки соединений "точка-точка". Различают устройства физические (такие, например, как модем) и виртуальные (например, VPN-подключение). Устройство может поддерживать как один порт (например, модем), так и несколько портов (например, модемный пул, способный предоставить 64 независимых входящих аналоговых коммутируемых соединения). Протоколы РРТР или L2TP — примеры виртуальных многопортовых устройств. Каждый из этих туннельных протоколов поддерживает несколько одновременных VPN-подключений.
Под портом (port) понимается отдельный канал устройства, способный поддерживать одно соединение "точка-точка". Для однопортовых устройств типа модема понятия "устройство" я "порт" совпадают. Для многопортовых устройств порт представляет собой часть устройства, посредством которого может быть установлено отдельное соединение "точка-точка". Например, адаптер ISDN имеет два В-канала. В этом случае адаптер ISDN рассматривается как устройство, а каждый В-канал как порт, поскольку соединение "точка-точка" может быть установлено раздельно по каждому из В-каналов.

Транспортные протоколы и удаленный доступ

При развертывании в корпоративной сети службы удаленного доступа необходимо учитывать транспортные протоколы, используемые в настоящий момент в локальной сети — это может повлиять на планирование, интеграцию и настройку удаленного доступа. Удаленный доступ в Windows Server 2003 поддерживает транспортные протоколы TCP/IP, IPX/SPX и AppleTalk как указано в таблице:

Протоколы | Удаленный клиент Windows Server 2003, Windows XP или Windows 2000 | Сервер удаленного доступа Windows Server 2003
TCP/IP | X | X
IPX | X | -
AppleTalk | - | X

Это означает, что можно интегрировать сервер удаленного доступа на базе Windows Server 2003 в существующую сеть Microsoft, UNIX, Apple Macintosh (по протоколу удаленного доступа РРР) или в сеть Apple Macintosh (по протоколу удаленного доступа ARAP). Клиенты удаленного доступа Windows Server 2003 могут также подключаться к серверам удаленного доступа по протоколу SLIP (вероятнее всего, на базе UNIX). При установке удаленного доступа любые протоколы, уже установленные на компьютере (TCP/IP и AppleTalk), автоматически разрешаются к использованию удаленного для доступа на входящих или исходящих подключениях. Для каждого выбранного стека протоколов требуется определить, будет ли открыт доступ к локальной сети или только к серверу удаленного доступа (по умолчанию разрешен доступ ко всей сети). Если предоставляется доступ к локальной сети с использованием стека протоколов TCP/IP, необходимо будет произвести дополнительную настройку клиента (например, определить IP-адрес).

Стек протоколов TCP/IP

Стек протоколов TCP/IP — один из наиболее популярных транспортных протоколов. Его возможности маршрутизации и масштабирования предоставляют максимальную гибкость при организации корпоративной сети. Перед администратором имеются две проблемы, связанных с использованием стека протоколов TCP/IP для реализации удаленного доступа:

  • выделение клиенту IP-адреса;
  • разрешение имен.

Каждый удаленный компьютер, подключающийся к серверу удаленного доступа под управлением Windows Server 2003 при помощи РРР и TCP/IP, автоматически получает IP-адрес. Этот адрес может быть выделен DHCP-сервером или выбран из статического диапазона IP-адресов, назначенных серверу удаленного доступа администратором. Если сервер удаленного доступа использует для получения IP-адресов службу DHCP, то он запрашивает 10 IP-адресов от DHCP-сервера. Сервер удаленного доступа назначает себе первый IP-адрес, полученный от DHCP-сервера. Оставшиеся адреса распределяются между клиентами удаленного доступа по мере установления соединений. IP-адреса освобождаются после отключения клиентов и используются многократно. Когда сервер удаленного доступа использовал все 10 IP-адресов, он запрашивает еще 10 адресов. Если DHCP-сервер по каким-либо причинам оказывается недоступен, то сервер удаленного доступа автоматически генерирует IP-адреса в диапазоне от 169.254.0.1 до 169.254.255.254. Другой источник адресов — статический пул IP-адресов, который задается в виде IP-адреса и маски.
Для разрешения символических имен клиенты могут использовать следующие методы:

  • для разрешения доменных имен — службу DNS и файл HOSTS;
  • для разрешения NetBIOS-имен — службу WINS и файл LMHOSTS.

Серверы удаленного доступа поддерживают все эти методы разрешения имен. Сервер удаленного доступа предоставляет клиентам IP-адреса серверов DNS и WINS. Клиенты удаленного доступа в малых сетях, где IP-адреса не изменяются, могут использовать файлы HOSTS или LMHOSTS для разрешения имен. Кроме того, в небольших сетях администратор может активизировать механизм широковещательных запросов для разрешения имен (этот механизм мы рассматривали ранее в этой главе).

Стек протоколов NWLink

В принципе, клиенты удаленного доступа на базе Windows Server 2003 могут использовать стек протоколов NWLink (IPX/SPX-совместимый стек протоколов) для доступа к ресурсам Novell NetWare. Напомним, однако, что это возможно только с использованием механизма сетевых подключений, создаваемых в папке Network Connections. Служба маршрутизации и удаленного доступа (RRAS) протокол IPX больше не поддерживает.

Стек протоколов AppleTalk

Клиенты, использующие стек протоколов AppleTalk, имеют фактически две возможности для получения удаленного доступа к ресурсам корпоративной сети:

  • клиенты Apple Macintosh могут устанавливать соединение с сервером удаленного доступа Windows Server 2003, используя специальный протокол удаленного доступа ARAP из стека протоколов AppleTalk. При этом стек протоколов AppleTalk используется в качестве транспорта;
  • клиенты Apple Macintosh могут устанавливать соединение с сервером удаленного доступа Windows Server 2003 при помощи протокола удаленного доступа РРР и транспортного стека протоколов AppleTalk. В такой конфигурации клиенты удаленного доступа получают параметры настройки AppleTalk от сервера удаленного доступа с использованием протокола управления АТСР, являющегося частью стека протоколов AppleTalk, как это определено в RFC 1378.

Внимание

В Windows Server 2003 функциональные возможности удаленного доступа по • протоколу AppleTalk реализованы исключительно для поддержки клиентов удаленного доступа Apple Macintosh. Клиент удаленного доступа Windows Server 2003 не может использовать стек протоколов AppleTalk для создания исходящего подключения.

Протоколы аутентификации пользователей

С точки зрения информационной безопасности любой удаленный пользователь должен быть аутентифицирован, прежде чем сможет получить доступ к ресурсам. Аутентификация происходит непосредственно при попытке клиента установить соединение с сервером удаленного доступа. Каждый пользователь, подключающийся удаленно к корпоративной сети, должен иметь на сервере или в каталоге Active Directory соответствующую учетную запись. Пароль, сопоставленный этой учетной записи, и используется для аутентификации пользователя.
Для аутентификации удаленных пользователей нельзя использовать те же механизмы, что используются в локальной сети. Специалистами разработан целый ряд специальных механизмов, получивших название протоколов аутентификации удаленных пользователей. В Windows Server 2003 реализована поддержка следующих протоколов:

  • протокол RADIUS (Remote Authentication Dial-In User Service);
  • протокол ЕАР (Extensible Authentication Protocol);
  • протокол MS-CHAP (Microsoft Challenge Handshake Authentication Protocol);
  • протокол MS-CHAP v2 (Microsoft Challenge Handshake Authentication Protocol version 2);
  • протокол CHAP (Challenge Handshake Authentication Protocol);
  • протокол SPAP (Shiva Password Authentication Protocol);
  • протокол PAP (Password Authentication Protocol);

Рассмотрим эти протоколы более подробно.

Протокол RADIUS

Протокол аутентификации Remote Authentication Dial-in User Service (RADIUS) рассматривается как механизм аутентификации и авторизации удаленных пользователей в условиях распределенной сетевой инфраструктуры, предоставляющий централизованные услуги по проверке подлинности и учету для служб удаленного доступа. Протокол RADIUS реализован в составе службы Internet Authentication Service (IAS), обеспечивающей централизованное управление аутентификацией, авторизацией и аудитом доступа на основании информации о пользователях, получаемой от контроллеров домена Windows Server 2003. Протокол RADIUS детально описан в открытых стандартах RFC 2138 и 2139. В рамках стандарта выделяются три компонента протокола) (рис. 14.1).

  • Клиент RADIUS. Клиент RADIUS принимает от пользователей запросы на аутентификацию. Все принятые запросы переадресовываются серверу RADIUS для последующей аутентификации и авторизации. Как правило, в качестве клиента протокола RADIUS выступает сервер удаленного доступа.
  • Сервер RADIUS. Основная задача сервера RADIUS заключается в централизованной обработке информации, предоставленной клиентами RADIUS. Один сервер способен обслуживать несколько клиентов RADIUS. Сервер осуществляет проверку подлинности пользователя и его полномочий. При этом в зависимости от реализации сервера RADIUS для проверки подлинности используются различные базы данных учетных записей. Реализованный в рамках службы Internet Authentication Service (IAS) сервер RADIUS способен в процессе проверки подлинности пользователя осуществлять взаимодействие со службой катаюга Active Directory.
  • Посредник RADIUS. Взаимодействие клиентов и серверов RADIUS осуществляется посредством специальных сообщений. В распределенных сетях клиент и сервер RADIUS могут быть разделены различными сетевыми устройствами (такими, например, как маршрутизатор). Под посредником RADIUS понимается сетевое устройство, способное осуществлять перенаправление сообщений протокола RADIUS.

Рис. 14.1. Компоненты протокола RADIUS

Примечание

В рамках протокола RADIUS вводится понятие сферы (realm). Сферы используются для логической группировки клиентов RADIUS по некоторому признаку. Каждый клиент RADIUS может быть отнесен только к одной сфере. Информация о сфере RADIUS используется для выбора сервера RADIUS, который должен выполнить аутентификацию пользователя.

Протокол RADIUS является открытым стандартом Интернета. В силу этого он может использоваться для организации процесса аутентификации в гетерогенных сетях. Так, например, для аутентификации на UNIX-системах может использоваться информация об учетных записях пользователей из каталога Active Directory.
Служба проверки подлинности в Интернете
Поддержка функций сервера RADIUS, а также посредника RADIUS реализована в Windows Server 2003 в рамках Службы проверки подлинности в Интернете (Internet Authentication Service, IAS). Эта служба позиционируется как механизм централизованной аутентификации и авторизации пользователей, использующих различные способы подключений к сети. Служба IAS интегрирована с другими базовыми службами Windows Server 2003, такими, как служба маршрутизации и удаленного доступа и служба каталога Active Directory. Служба маршрутизации и удаленного доступа использует службу IAS для аутентификации и авторизации пользователей, подключающихся к сети удаленно. Фактически в случае развертывания в корпоративной сети службы IAS серверы удаленного доступа не выполняют процесс аутентификации пользователей. Все обязанности по проверке подлинности пользователей берет на себя служба IAS. При этом служба каталога рассматривается службой IAS как хранилище информации об учетных записях пользователей.
Преимущество использования IAS для аутентификации и авторизации пользователей особенно очевидно в гетерогенных сетях, реализующих различные механизмы подключений к сети (беспроводной доступ, коммутируемые подключения, а также VPN-подключения). Поддержка этого протокола реализована на многих современных платформах, что позволяет использовать его в межплатформенных решениях.

Рис. 14.2. Окно оснастки Internet Authentication Service

Управление службой IAS осуществляется при помощи оснастки Internet Authentication Service (рис. 14.2). Настройка конфигурации IAS осуществляется через механизм политик удаленного доступа, речь о которых пойдет позже в рамках этой главы.
Развертывание службы IAS
Служба IAS не устанавливается по умолчанию в процессе развертывания Windows Server 2003. В случае необходимости администратор должен выполнить установку службы самостоятельно, используя процедуры, описанные в разд. "Установка дополнительных сетевых компонентов" главы 12.

Протокол ЕАР

Протокол ЕАР (Extensible Authentication Protocol) представляет собой расширяемый механизм аутентификации, позволяющий унифицировать процесс проверки подлинности пользователей, предоставляя при этом участникам соединения возможность использования самых разнообразных схем аутентификации. Спецификация протокола ЕАР описывает способы подключения самых разнообразных схем аутентификации (в числе которых — смарт-карты, протокол RADIUS и т. п.). Можно рассматривать протокол ЕАР как универсальную платформу для реализации любых необходимых схем аутентификаций. Точная схема аутентификации, используемая участниками соединения, устанавливается в результате переговоров между клиентом удаленного доступа и сервером удаленного доступа.
Протокол ЕАР позволяет производить открытые переговоры между клиентом удаленного доступа и сервером удаленного доступа, состоящие из запросов сервера на получение аутентифицирующей информации и соответствующих ответов клиента. Например, если ЕАР используется совместно со смарт-картами, сервер удаленного доступа может отдельно запросить у клиента удаленного доступа название, PIN-код и емкость смарт-карты. Если на все вопросы получены удовлетворительные ответы, клиент удаленного доступа считается аутентифицированным и получает разрешение на удаленный доступ к сети.
Специальная схема проверки подлинности ЕАР называется типом ЕАР (ЕАР type). Для успешной проверки подлинности и клиент удаленного доступа, и сервер удаленного доступа должны поддерживать один и тот же тип ЕАР.
В Windows Server 2003 реализована поддержка двух типов ЕАР (EAP-MD5 CHAP и EAP-TLS). Однако при необходимости администратор может расширить функциональность протокола ЕАР, добавив поддержку других типов ЕАР. Для этого достаточно подключить соответствующие модули аутентификации. Необходимо, однако, помнить о том, что для успешной аутентификации соответствующий модуль должен быть подключен как на сервере удаленного доступа, так и на клиенте удаленного доступа.
Кроме того, в рамках Windows Server 2003 предусмотрена возможность передачи сообщений протокола ЕАР внутри сообщений протокола RADIUS (компонент БАР-RADIUS). Эта возможность может быть использована в ситуации, когда в сети эксплуатируется инфраструктура протокола RADIUS как основной механизм аутентификации. При этом инфраструктура RADIUS может быть использована для передачи сообщений протокола ЕАР.
Чтобы обеспечить проверку подлинности на базе ЕАР, необходимо:

  • разрешить ЕАР как протокол аутентификации на сервере удаленного доступа;
  • разрешить ЕАР, и, если требуется, настроить тип ЕАР для соответствующей политики удаленного доступа;
  • разрешить и настроить ЕАР на стороне клиента удаленного доступа.

Протокол CHAP

Протокол CHAP (Challenge Handshake Authentication Protocol) представляет собой механизм проверки подлинности типа "запрос-ответ", использующий схему хэширования MD-5 для необратимого преобразования пароля пользователя в уникальную последовательность символов. Оба участника соединения выполняют подобное преобразование. Благодаря этому по сети передается не сам пароль, а только хэшированная последовательность. Сервер сравнивает полученную последовательность с собственной копией и только в случае идентичности последовательностей пользователь считается аутен-тифицированным. В качестве одного из присущих протоколу недостатков можно отметить отсутствие механизмов взаимной аутентификации всех участников соединения.
Протокол аутентификации CHAP является стандартом Интернета (RFC 1994) и поддерживается множеством производителей программного обеспечения. В среде Windows Server 2003 протокол CHAP может быть использован для аутентификации клиентов удаленного доступа сторонних производителей.

Протоколы MS-CHAP и MS-CHAP v2

Протокол MS-CHAP (Microsoft Challenge Handshake Protocol) представляет собой реализацию протокола CHAP, предложенную компанией Microsoft. В отличие от CHAP, для хэширования паролей применяется алгоритм MD4. Существует две версии протокола MS-CHAP. Вторая версия протокола MS-CHAP (MS-CHAP v2) предлагает более эффективный механизм аутентификации (табл. 14.1). В частности, реализован механизм взаимной аутентификации. Сервер удаленного доступа по окончании процедуры аутентификации клиента удаленного доступа предоставляет ему информацию о собственных полномочиях. Соединение не считается установленным до тех пор, пока клиент не удостоверится в подлинности сервера удаленного доступа.

Таблица 14.1. Сравнение протоколов MS-CHAP версий 1 и 2

Проблемы MS-CHAP версии 1 | Решение в MS-CHAP версии 2
Кодирование ответа по схеме LAN Manager, которое используется для обратной совместимости со старыми клиентами Microsoft удаленного доступа, использует слабое шисррование | MS-CHAP v2 более не поддерживает ответы, закодированные по схеме LAN Manager
Кодирование пароля по схеме LAN Manager использует слабое шифрование | MS-CHAP v2 более не поддерживает передачу изменений паролей, закодированных по схеме LAN Manager
Возможна только однонаправленная проверка подлинности. Клиент удаленного доступа не может проверить, соединился он с подлинным или с ложным (подставным) сервером удаленного доступа | MS-CHAP v2 поддерживает двустороннюю проверку подлинности, также называемую взаимной проверкой подлинности. Клиент удаленного доступа проверяет, к тому ли серверу удаленного доступа он подключился
При 40-разрядном шифровании ключ шифрования основывается на пароле пользователя. Каждый раз, когда пользователь подключается с тем же самым паролем, будет сгенерирован тот же самый ключ | При использовании MS-CHAP v2 ключ шифрования основывается на пароле пользователя и произвольной строке запроса. Каждый раз, когда пользователь подключается с тем же самым паролем, используется другой ключ
Используется единый ключ шифрования для данных, передаваемых в обоих направлениях соединения | Используются отдельные ключи шифрования, которые генерируются для передаваемых и получаемых данных

Протокол SPAP

Протокол аутентификации SPAP (Shiva Password Authentication Protocol) использует для шифрования паролей реверсивный механизм шифрования Shiva. В среде Windows Server 2003 протокол SPAP может быть использован для организации соединений с Shiva LAN Rover. Эта схема проверки подлинности более безопасна, чем передача данных открытым текстом, но менее безопасна, чем CHAP или MS-CHAP. Связано это с тем, что протокол SPAP не предусматривает защиты от перехвата зашифрованных паролей, которые впоследствии могут быть использованы для несанкционированного доступа в систему (один и тот же пароль при выполнении операции шифрования будет давать одну и ту же последовательность).

Протокол РАР

Протокол PAP (Password Authentication Protocol) использует пароли, передаваемые открытым текстом, и является самым простым протоколом проверки подлинности пользователей. Обычно соединение на его основе устанавливается, если клиент удаленного доступа и сервер удаленного доступа не могут договориться о более безопасной форме проверки подлинности.
Протокол РАР предполагает передачу паролей пользователей открытым текстом. Всякий, кто перехватит пакеты процесса аутентификации, может легко прочитать пароль и использовать его для несанкционированного доступа к корпоративной сети. Фактически протокол РАР используется только в том случае, когда клиент и сервер удаленного доступа не поддерживают никаких других протоколов аутентификации. В этой ситуации передача пароля открытым текстом является единственной возможностью подтвердить полномочия пользователя.
С другой стороны, запретив использование протокола РАР, можно быть уверенным в том, что пароли пользователей никогда не будут передаваться по сети открытым текстом. Отключение протокола РАР позволит сделать процесс аутентификации более защищенным. Однако клиенты удаленного доступа, поддерживающие только протокол РАР, не смогут установить соединение с вашим сервером удаленного доступа.

Процедура аутентификации удаленного доступа

Аутентификация пользователей, подключающихся к серверу удаленного доступа под управлением Windows Server 2003, выполняется по следующему сценарию:
1. Клиент удаленного доступа инициирует процесс подключения к серверу удаленного доступа (например, набирает его телефонный номер).
2. Происходит физическое соединение (например, двух модемов).
3. Сервер отправляет запрос клиенту с требованием предоставить информацию о полномочиях подключающегося пользователя.
4. Клиент отправляет ответ серверу, в который включает запрашиваемую информацию. В зависимости от используемого протокола аутентификации, ответ пересылается по сети либо в открытом, либо в зашифрованном виде.
5. Сервер проверяет информацию, содержащуюся в ответе, обращаясь к каталогу Active Directory. В случае автономного сервера удаленного доступа для проверки полномочий пользователя используется локальная база данных учетных записей сервера.
6. Если учетная запись существует и не заблокирована, сервер принимает решение об установлении соединения в соответствии с политикой удаленного доступа и свойствами учетной записи пользователя для клиента удаленного доступа.
7. Если разрешена функция ответного вызова, сервер вызывает клиента и продолжает переговоры о соединении.
Процесс аутентификации предполагает проверку подлинности пользователя. Тем не менее, сам факт успешного прохождения процедуры аутентификации не означает, что пользователь автоматически получает доступ к корпоративной сети. После аутентификации удаленного пользователя и подключения клиента к корпоративной сети клиент удаленного доступа может обращаться только к тем сетевым ресурсам, для которых он имеет соответствующее разрешение. Клиенты удаленного доступа подчиняются общим принципам разграничения доступа Windows Server 2003 точно так же, как если бы они физически располагались в локальной сети. Другими словами, клиенты удаленного доступа не могут выполнять какие-либо действия, не имея достаточных на то полномочий, и не могут обращаться к ресурсам, для которых они не имеют соответствующих разрешений.
Можно ограничить клиента удаленного доступа доступом только к общим ресурсам сервера удаленного доступа, а не к ресурсам всей сети, к которой подключен сервер удаленного доступа. Администратор может управлять тем, какая информация будет доступна клиентам удаленного доступа, и ограничивать доступ пользователей в случае нарушения защиты.

Дополнительные механизмы проверки подлинности удаленного пользователя

В большинстве случаев для обеспечения безопасности удаленного подключения вполне достаточно использовать протоколы аутентификации, поддерживающие шифрованный обмен данными. В исключительных ситуациях, когда удаленному пользователю предоставляется доступ к критически важной информации, администратор может задействовать дополнительные механизмы проверки подлинности удаленного пользователя, предоставляемые Windows Server 2003:

  • проверка идентификатора звонящего абонента (Caller ID);
  • ответный звонок (Callback).

Проверка идентификатора звонящего абонента

Активизировав режим проверки идентификатора звонящего абонента (Caller ID), администратор может задать телефонный номер, с которого определенному пользователю разрешено осуществлять удаленное подключение. В процессе подключения информация о номере, с которого производится звонок, передается серверу удаленного доступа. Сервер проверяет идентификатор звонящего абонента с тем, что указан в настройках учетной записи пользователя. Если пользователь производит попытку соединения с другого номера, сервер удаленного доступа отклоняет ее.
Режим проверки идентификатора звонящего абонента должен поддерживаться всеми участниками удаленного подключения (вызывающей стороной, телефонной сетью между вызывающей стороной и сервером удаленного доступа, а также сервером удаленного доступа). Поддержка указанного режима на стороне сервера удаленного доступа включает в себя, прежде всего, оборудование, отвечающее на вызов клиента. Это оборудование должно поддерживать передачу идентификатора звонящего абонента соответствующему встроенному драйверу Windows Server 2003, который, в свою очередь, поддерживает передачу идентификатора вызывающей стороны службе маршрутизации и удаленного доступа.
В случае, когда режим активизирован, но какая-то часть оборудования или программного обеспечения его не поддерживает, то устанавливающему соединение пользователю будет отказано в доступе.
Режим проверки звонящего абонента позволяет обеспечить большую степень безопасности для организации труда надомных работников (telecommuters). Недостаток описанного механизма заключается в том, что пользователь может получить удаленный доступ только с конкретной телефонной линии. Необходимо, однако, иметь в виду, что в России данная функциональная возможность недоступна на большинстве телефонных станций, кроме современных цифровых станций, устанавливаемых взамен старых, или коммерческих провайдеров телефонных услуг.

Механизм ответного вызова

Механизм ответного вызова (callback) представляет собой альтернативу проверки идентификатора звонящего абонента, позволяя серверу удаленного доступа убедиться в подлинности абонента, устанавливающего соединение. Получив звонок от клиента, сервер разрывает соединение ("вешая трубку") и осуществляет ответный вызов по номеру, определенному звонящим пользователем или заданному администратором. После того как клиент ответит, процесс установки соединения продолжится.

Примечание

Сервер осуществляет обратный звонок только по окончании процедуры аутентификации и авторизации клиента. Другими словами, ответный звонок производится сервером только после того, как будут установлены подлинность пользователя и его полномочия на удаленное подключение.

Механизм ответного вызова активизируется на уровне отдельных пользователей (при условии, что им предоставлено разрешение удаленного доступа). Для каждого пользователя администратор может определить один из трех режимов.

  • No callback (Нет ответного вызова). В данном режиме ответный звонок не производится. Сервер удаленного доступа устанавливает соединение сразу по окончании процедур аутентификации и авторизации.
  • Set by caller (Устанавливается вызывающей стороной). Эта функция не повышает защищенность удаленного доступа, она полезна для клиентов, которые звонят из разных мест (регионов, городов, стран) и с разных телефонных номеров, снижая их затраты. Когда запрос на ответный вызов обрабатывается сервером удаленного доступа, происходят следующие события:
    • сначала сервер определяет, являются ли имя пользователя и пароль верными;
    • в случае успешного окончания процедуры аутентификации, на компьютере пользователя появляется диалоговое окно Callback (Ответный вызов);
    • пользователь должен указать в диалоговом окне свой текущий номер телефона для ответного вызова. Этот номер передается серверу;
    • запрос на ответный вызов закончен, связь разрывается;
    • сервер производит звонок клиенту по предоставленному им номеру ответного вызова;
    • после того как связь повторно установлена, клиент и сервер продолжают переговоры по установлению соединения.

  • Always callback to (Всегда осуществлять ответный вызов по заданному номеру). Этот вариант наиболее приемлем для реализации дополнительного уровня защиты. Необходимо выбрать его и ввести номер телефона, с которым связано оборудование удаленного доступа пользователя. Когда запрос пользователя поступает на сервер удаленного доступа, происходят следующие события:
    • сервер выполняет аутентификацию пользователя, запрашивающего удаленное соединение;
    • связь разрывается, сервер производит звонок клиенту по номеру ответного вызова, определенному в рамках его учетной записи;
    • после того как связь повторно установлена, клиент и сервер продолжают переговоры по установлению соединения.

Удаленный доступ без выполнения процедуры аутентификации пользователя

Администратор может организовать удаленный доступ к корпоративной сети без необходимости выполнения аутентификации пользователя. Процедура аутентификации предполагает передачу клиентом серверу информации о полномочиях пользователя. В описываемом сценарии подобной передачи не происходит.
Имеется три способа организации удаленного доступа без выполнения процедуры аутентификации пользователя.

  • Проверка подлинности при помощи службы идентификации номера (DNIS-авторизация).
  • Проверка подлинности при помощи автоматического определения номера (ANI/CLI-аутентификация).
  • Вход в сеть под гостевой учетной записью.

Проверка подлинности при помощи службы идентификации номера
Служба идентификации номера (Dialed Number Identification Service, DNIS) осуществляет аутентификацию попытки соединения, основываясь на номере, набранном вызывающей стороной. Сервис DNIS возвращает телефонный номер, который был набран вызывающей стороной. Так, например, компания может предоставить своим клиентам специальный номер, по которому они могут всегда получить доступ к базе данных службы технической поддержки.
Эта услуга предоставляется большинством современных телефонных компаний (в США и других странах; в России ситуация отличается). Для распознавания DNIS-соединений и применения параметров, соответствующих соединению, необходимо разрешить доступ без проверки подлинности и создать политику удаленного доступа, которая использует идентификатор набранного номера (Called-Station-ID) в качестве условия авторизации клиента.
Проверка подлинности при помощи автоматического определения номера
Специальный сервис ANI/CLI (Automatic Number Identification/Calling Line Identification) позволяет выполнить аутентификацию соединения, основываясь на информации о телефонном номере вызывающей стороны. Сервис ANI/CLI возвращает номер вызывающей стороны. Так же как и в предыдущем случае, указанная услуга предоставляется большинством современных телефонных компаний (в США и других странах). Для распознавания ANI/CLI-соединений и применения параметров, соответствующих соединению, необходимо разрешить доступ без проверки подлинности и создать политику удаленного доступа, которая использует идентификатор вызывающей стороны (Calling-Station-ID) в качестве условия успешной аутентификации. Эта аутентификация отличается от аутентификации по идентификатору вызывающего пользователя (Caller-ID). В случае аутентификации по идентификатору вызывающего пользователя (Caller-ID) вызывающая сторона все равно должна предоставить информацию об имени пользователя и сопоставленном ему пароле. В случае же сервиса ANI/CLI передача имени и пароля не требуется.
Вход в сеть под гостевой учетной записью
Отдельно следует отметить возможность удаленного доступа к сети без необходимости прохождения процедуры аутентификации, когда для идентификации вызывающей стороны используется гостевая учетная запись. По умолчанию в процессе установки Windows Server 2003 всегда создается заблокированная изначально учетная запись Guest, которой предоставлены минимальные полномочия в системе. При этом вызывающей стороне не требуется как-либо идентифицировать себя (другими словами, вызывающая сторона не посылает серверу удаленного доступа имя пользователя или пароль).

Примечание

При необходимости администратор может использовать любую учетную запись в качестве гостевой учетной записи. Для этого требуется отредактировать системный реестр сервера удаленного доступа. Гостевая учетная запись определяется параметром HKEY_LOCAL_MACHINE\System\CurrentControlSet\ Services\RemoteAccess\Policy\Default User Identity.

Блокировка учетной записи

Архитектура системы безопасности предусматривает возможность блокирования учетной записи удаленного пользователя (account lockout). Эта возможность отменяет разрешение удаленного доступа для учетной записи пользователя после заданного числа неудавшихся попыток проверки подлинности. Путем конфигурирования механизма блокирования учетной записи администратор влияет на стойкость системы безопасности сервера удаленного доступа. Злоумышленники могут пытаться получить доступ к корпоративной сети путем подбора паролей в течение процесса аутентификации удаленного соединения. Подобные атаки, получившие название "словарных" (по причине использования специального словаря), предполагают отправку сотни, даже тысячи пар "имя-пароль" по списку, основанному на общих словах, именах или фразах.
Если активизировать механизм блокировки учетной записи, атака по словарю будет остановлена после заданного числа неудавшихся попыток. Администратор должен настроить две переменные, управляющие блокировкой учетной записи при удаленном доступе:

  • число неудавшихся попыток до отмены разрешения удаленного доступа для учетной записи пользователя;
  • частоту обнуления счетчика неудавшихся попыток (нужно периодически сбрасывать счетчик неудавшихся попыток, чтобы предотвратить длительную блокировку учетной записи из-за ошибок пользователя при наборе пароля).

Чтобы разрешить возможность блокировки учетной записи, нужно изменить параметры в системном реестре Windows Server 2003.

Внимание

Помните, что некорректное изменение системного реестра может привести к нарушению работоспособности системы. Поэтому перед изменением системного реестра необходимо сделать его резервную копию.

В случае сервера удаленного доступа настройка механизма блокировки учетных записей осуществляется посредством изменения значений параметров реестра, расположенных в ветви реестра HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\RemoteAccess\Parameters\AccountLockout.
В этой ветви располагаются два параметра.

  • Параметр MaxDeniais. Этот параметр определяет разрешенное количество неудачных попыток аутентификации. Для активизации механизма блокирования необходимо установить значение параметра MaxDeniais больше или равным 1. По умолчанию значение параметра MaxDeniais равно О, что означает запрет на блокировку учетной записи.
  • Параметр ResetTime (mins). Данный параметр задает период времени (в минутах), по истечении которого сбрасывается счетчик неудачных попыток аутентификации. По умолчанию для параметра ResetTime (mins) установлено значение ОхЬ40 (2880 минут или 48 часов).

Примечание

Описанные параметры создаются в реестре только после того, как администратор выполнил конфигурирование службы маршрутизации и удаленного доступа (Routing and Remote Access Service) в качестве сервера удаленного доступа.
Описанный выше способ конфигурирования режима блокирования учетных записей предполагает, что для аутентификации пользователей используется стандартная схема аутентификации. Если для аутентификации используется служба IAS и протокол RADIUS, настройка механизма блокировки учетных записей должна осуществляться при помощи групповых политик.

Шифрование данных

По соображениям безопасности удаленный доступ к любой конфиденциальной информации должен осуществляться только по защищенному каналу. В ситуации, когда для организации удаленного доступа используются общественные телефонные линии (либо линии, по которым нельзя исключить "снятие" информации), для создания защищенного канала необходимо применять специальные механизмы шифрования. Эти механизмы позволя ют шифровать весь сетевой трафик, передаваемый между клиентом и сервером удаленного доступа. Сервер удаленного доступа должен быть настроен на использование только шифрованного обмена данными. Любой клиент, устанавливающий соединение с подобным сервером, должен поддерживать заявленные механизмы шифрования, иначе соединение не производится.
При коммутируемом соединении можно защитить данные, зашифровав их на пути между клиентом и сервером удаленного доступа. Для коммутируемых сетевых соединений Windows Server 2003 использует собственный механизм шифрования "точка-точка" (Microsoft Point-to-Point Encryption, МРРЕ). Для применения механизма МРРЕ необходимо активизировать протоколы аутентификации MS-CHAP или EAP-TLS.
В случае соединения с виртуальной частной сетью (VPN-подключение) данные могут быть защищены путем их шифрования на пути между концами виртуальной частной сети. Необходимо применять шифрование данных для VPN-подключения, если частные данные передаются по сети общего пользования (например, через Интернет), где всегда есть риск перехвата данных. В Windows Server 2003 выбор схемы шифрования данных, передаваемых через VPN-подключение, определяется используемым протоколом туннелиро-вания. Для протокола РРТР шифрование осуществляется с помощью механизма МРРЕ, а в случае протокола L2TP посредством протокола IPSec. Следует заметить, что в последнем случае не требуется использования каких-то специальных протоколов аутентификации удаленных пользователей (в случае механизма МРРЕ, напомним, обязательно использование протокола аутентификации MS-CHAP или EAP-TLS).

Примечание

Поскольку шифрование данных выполняется между VPN-клиентом и VPN-сервером, то на соединении между клиентом удаленного доступа и интернет-провайдером оно уже не является необходимым.

Механизмы управления конфигурацией удаленного подключения

Настройка параметров удаленного доступа для конкретного пользователя в Windows Server 2003 может быть выполнена двумя способами: либо при помощи специальных атрибутов учетной записи пользователя, либо посредством политик удаленного доступа.

Специальные параметры учетной записи пользователя

В Windows Server 2003 вся информация о пользователях (в том числе и удаленных) размещается в каталоге Active Directory в виде объектов, ассоциированных с учетными записями, или в локальной базе учетных записей.
При этом с каждым подобным объектом связан определенный набор атрибутов. В том числе имеются специальные атрибуты, позволяющие задать конфигурацию удаленного доступа для конкретного пользователя. Эти атрибуты, перечисленные в табл. 14.2, позволяют ограничить возможности пользователя в отношении удаленного соединения с корпоративной сетью.

Таблица 14.2. Параметры учетной записи пользователя, связанные с удаленным доступом

Параметры | Описание
Remote Access Permission (Разрешение на удаленный доступ) | Данный параметр является важным с точки зрения того, что он определяет, разрешен ли явно некоторому пользователю удаленный доступ или нет. Администратор может использовать этот параметр для того, чтобы явно запретить удаленный доступ либо делегировать решение данного вопроса политике удаленного доступа. В последнем случае выбирается опция Control access through Remote Access Policy (Управление на основе политики удаленного доступа). Необходимо, однако, помнить, что даже в том случае, когда доступ явно разрешен, он может быть запрещен на других уровнях (условиями политики удаленного доступа, параметрами учетной записи пользователя или свойствами профиля)
Verify Caller-ID (Проверка идентификатора вызывающей стороны) | Если это свойство разрешено, сервер проверяет телефонный номер вызывающей стороны. Если он не соответствует определенному номеру, попытка соединения отклоняется
Callback Options (Параметры ответного вызова) | Если это свойство разрешено, то при установке соединения сервер запрашивает у вызывающей стороны указываемый ею телефонный номер или использует телефонный номер, заданный сетевым администратором, а затем производит ответный вызов. Данная функциональная возможность позволяет соблюсти должный уровень безопасности при подключении удаленных пользователей, разрешая звонки только с проверенных телефонных номеров
Assign a static IP-address (Выделить постоянный IP-адрес) | Если это свойство разрешено, рабочей станции, с которой удаленно подключается рассматриваемый пользователь, назначается определенный IP-адрес. Статический IP-адрес может потребоваться, например, для нормальной работы специального программного обеспечения
Apply Static Routes (Использовать статическую маршрутизацию) | Если это свойство разрешено, можно определять ряд статических маршрутов IP, которые добавляются в таблицу маршрутизации сервера удаленного доступа после установки соединения. Этот параметр предназначен для учетных записей пользователей, с которыми работают маршрутизаторы Windows Server 2003 в случае маршрутизации с установкой соединения по требованию

Настройка параметров учетной записи пользователя, используемых для конфигурирования удаленного доступа, выполняется на вкладке Dial-in (Входящие звонки) в окне свойств объекта, ассоциированного с учетной записью пользователя, в оснастке Active Directory Users and Computers (Active Directory — Пользователи и компьютеры). В случае автономного сервера удаленного доступа для конфигурирования аналогичных параметров учетной записи используется оснастка Local Users and Groups (Локальные пользователи и группы).

Внимание

Опция Control access through Remote Access Policy (Управление на основе политики удаленного доступа) доступна только для серверов удаленного доступа, работающих под управлением Windows 2000 или Windows Server 2003. В случае сервера удаленного доступа, работающего под управлением Windows NT 4.0, в домене, находящемся на функциональном уровне "Windows 2000 native" или выше, данная опция будет автоматически заменяться опцией Deny Access (Запретить доступ). Это обусловлено тем, что сервер удаленного доступа Windows NT не поддерживает механизм политик удаленного доступа.

Политики удаленного доступа

В Windows Server 2003 в качестве основного механизма однообразного конфигурирования отдельных компонентов системы используется механизм политик. Для управления удаленным доступом в Windows Sewer 2003 используются политики удаленного доступа (remote access policy). Под политикой удаленного доступа понимается набор условий и параметров соединения, которые предоставляют сетевому администратору больше возможностей в настройке разрешений удаленного доступа и атрибутов соединения. Фактически политика удаленного доступа представляет собой совокупность параметров, определяющих конфигурацию сетевого подключения.
При помощи политики удаленного доступа можно предоставлять разрешения удаленного доступа в зависимости от времени дня, дня недели, группы объектов, к которой принадлежит объект, ассоциированный с учетной записью звонящего пользователя, типа требуемого подключения (коммутируемое или VPN-подключение). Можно определить параметры настройки подключения, которые ограничивают максимальное время сеанса связи, тип аутентификации и шифрования, политику ВАР и фильтрацию IP-пакетов.
Важно помнить, что при использовании политик удаленного доступа соединение разрешается, только если параметры настройки соединения соответствуют, по крайней мере, одной из политик удаленного доступа (в соответствии со свойствами учетной записи пользователя и конфигурацией политики удаленного доступа). Если параметры настройки при попытке соединения не соответствуют ни одной из политик удаленного доступа, попытка соединения отклоняется независимо от свойств учетной записи пользователя. На серверах удаленного доступа под управлением Windows Server 2003 политика удаленного доступа конфигурируется с помощью оснастки Routing and Remote Access. На серверах IAS в среде Windows Server 2003 политика удаленного доступа управляется из оснастки Internet Authentication Service.
Элементы политики удаленного доступа
Политика удаленного доступа регламентирует две стороны процесса удаленного доступа к корпоративной сети: задает критерии, по которым происходит предоставление удаленного доступа к сети, а также определяет конфигурацию удаленного доступа. Эта задача выполняется посредством трех элементов политики удаленного доступа: условий, разрешений (прав) удаленного доступа, а также профилей. Рассмотрим эти элементы более подробно.

  • Условия (policy conditions). Под условием политики удаленного доступа понимаются определенные значения одного или нескольких атрибутов, сравниваемые с параметрами попытки соединения. Если имеется несколько условий, то все условия должны соответствовать параметрам попытки соединения, которое сопоставляется политике. При попытке установить удаленное соединение служба маршрутизации и удаленного доступа последовательно просматривает список условий, определенных в рамках политики удаленного доступа (рис. 14.3). Значение атрибута, определенного в условии, сравнивается с аналогичным атрибутом клиента, устанавливающего соединение. В зависимости от того, выполнены или нет все перечисленные условия политики удаленного доступа, право удаленного доступа будет предоставлено или, наоборот, аннулировано. Список поддерживаемых атрибутов приведен в табл. 14.3.

Таблица 14.3. Атрибуты, используемые для формирования условий политики удаленного доступа

Атрибут | Описание
Authentication-Type (Тип аутентификации) | Протокол аутентификации, используемый клиентом, устанавливающим соединение. Данный атрибут позволяет администратору при необходимости потребовать для наиболее важных клиентов (с точки зрения уровня доступа) использования наиболее защищенного протокола аутентификации.
Called-Station-ld (Идентификатор вызванной системы) | Номер телефона сервера сетевого доступа. Этот атрибут — символьная строка. Можно использовать шаблон, чтобы задать коды городов. Необходимо позаботиться об установке телефонного номера для портов
Calling-Station-ld (Идентификатор вызывающей системы) | Номер телефона, использованный вызывающей системой. Этот атрибут — символьная строка. Можно использовать шаблоны, чтобы задать коды городов
Client-Friendly-Name (Имя клиента, дружественное название) | Название компьютера клиента RADIUS, который требует аутентификации. Этот атрибут — символьная строка. Можно использовать шаблон, чтобы задать имена клиентов. Этот атрибут предназначен для сервера IAS
Client-IP-Address (Клиентский IP-адрес) | IP-адрес клиента RADIUS. Этот атрибут — символьная строка. Можно использовать синтаксис шаблонов, чтобы определить IP-сеть. Этот атрибут предназначен для сервера IAS
Client-Vendor (Изготовитель клиента) | Имя изготовителя (поставщика) сервера сетевого доступа (NAS). У сервера удаленного доступа Windows Server 2003 изготовитель — "Microsoft RAS". Можно использовать этот атрибут, чтобы конфигурировать разные политики для различных NAS-поставщиков, которые являются клиентами RAIDUS (клиенты IAS). Этот атрибут предназначен для сервера IAS. Удостоверьтесь, что NAS настроен в качестве клиента RADIUS на сервере IAS
Day-And-Time-Restrictions (Ограничения по дню и времени) | День недели и время попытки соединения с сервером
Framed-Protocol (Протокол кадрирования) | Используемый тип кадрирования для входящих пакетов. Примеры — РРР, AppleTalk, SLIP, Х.25 и т. д. Этот атрибут предназначен для сервера IAS
NAS-Identifier (Идентификатор сервера сетевого доступа) | Имя, идентифицирующее сервер сетевого доступа (Network Access Server, NAS). Этот атрибут предназначен для сервера IAS
NAS-IP-Address (IP-адрес сервера удаленного доступа) | IP-адрес сервера сетевого доступа. Этот атрибут — символьная строка. Можно использовать синтаксис шаблона для сопоставления с образцом, чтобы определить IP-сети. Этот атрибут предназначен для сервера IAS
NAS-Port-Type (Тип порта NAS) | Тип носителей, используемых вызывающей стороной. Примеры — аналоговые телефонные линии (асинхронные линии), ISDN, туннели или виртуальные частные сети
Service-Type (Тип службы) | Тип требуемой службы. Этот атрибут разработан (предназначен) для сервера IAS
Tunnel-Type (Тип туннеля) | Протокол туннелирования, используемый для создания виртуального защищенного канала передачи данных (туннеля). В Windows Server 2003 поддерживаются два протокола туннелирования: РРТР и L2TP
Windows-Groups (Группы Windows) | Имена групп Windows, к которым принадлежит пользователь, делающий попытку соединения. Нет никакого атрибута для отдельного имени пользователя. Не нужно иметь отдельную политику удаленного доступа для каждой группы. Используя вложенные группы, можно перевести администрирование на уровень групп. Для сервера удаленного доступа или IAS при работе домена на функциональном уровне "Windows 2000 native" и выше администратор может использовать группы с универсальной областью действия. Запрещается использовать встроенные (built-in) группы независимо от их области действия (доменной или локальной)

Рис. 14.3. Добавление условия политики удаленного доступа

  • Право удаленного доступа (remote access permission). Условия, определяемые в рамках политики удаленного доступа, задают фильтры, по которым отбираются клиенты, устанавливающие соединение, с тем, чтобы в последующем принять решение о том, будет ли им предоставлено право удаленного доступа или нет. Администратор может предоставить клиентам, отвечающим определенным условиям, это право, установив в окне свойств политики удаленного доступа переключатель Grant remote access permission (Предоставить право удаленного доступа), или отказать в нем, установив переключатель Deny remote access permission (Запретить разрешение удаленного доступа). Право удаленного доступа может быть также предоставлено (или аннулировано) непосредственно на уровне учетной записи пользователя: Будучи определенно на обоих уровнях, право удаленного доступа, предоставленное на уровне учетной записи, перекрывает право, предоставленное в рамках политики удаленного доступа. Если право удаленного доступа на уровне учетной записи пользователя установлено в значение Control Access through Remote Access policy (Управление на основе политики удаленного доступа), удаленный доступ предоставляется в соответствии с параметрами политики. По умолчанию устанавливается значение Deny remote access permission (Отказать в праве удаленного доступа). Это означает, что по умолчанию политика удаленного доступа запрещает удаленный доступ для клиентов, отвечающих определенным условиям.
  • Профиль (profile). После того как клиенту предоставлено право удаленного подключения к сети, необходимым этапом становится определение конфигурации этого подключения. Политика удаленного доступа регулирует этот этап посредством механизма профилей политики удаленного доступа. Профиль (рис. 14.4) представляет собой набор параметров, описывающих конфигурацию сетевого соединения. Эти параметры объединяются в шесть групп:
    • параметры, ограничивающие входящие звонки (вкладка Dial-in Constraints). Эта группа параметров позволяет администратору управлять такими свойствами сетевого подключения, как время простоя соединения, после которого соединение разрывается, дни и время, когда разрешено устанавливать соединение и т. п. Перечень параметров этой группы приведен в табл. 14.4;
    • параметры, определяющие способ назначения клиенту IP-адреса (вкладка IP). По умолчанию сервер удаленного доступа автоматически распределяет IP-адреса, и клиентам не разрешено запрашивать конкретные IP-адреса. Эта же группа параметров позволяет администратору настроить фильтрацию IP-трафика в соответствии с требуемым уровнем безопасности. Администратор может запретить прохождение определенного типа трафика между клиентом удаленного доступа и сервером удаленного доступа (либо напротив, ограничить весь трафик пакетами определенного типа — например, разрешить только НТТР-трафик);
    • параметры, регламентирующие функциональные возможности многоканального подключения (вкладка Multilink). Эта группа параметров используется для разрешения многоканального подключения, для определения максимального числа портов, которые могут быть использованы входящими соединениями, а также для настройки протокола ВАР (Bandwidth Allocation Protocol), включая формирование политики, определяющей его использование. По умолчанию использование многоканального подключения и протокола ВАР запрещено. Для применения этих параметров сервер удаленного доступа должен иметь возможность установления многоканального соединения и установленный протокол ВАР;
    • параметры, регламентирующие процесс проверки подлинности пользователей (вкладка Authentication). Данная группа параметров используется для задания протоколов аутентификации, разрешенных для конфигурируемого соединения. В случае если разрешается использование расширяемого протокола аутентификации ЕАР, администратор может также определить тип используемого расширения ЕАР. По умолчанию разрешаются только протоколы аутентификации MS-CHAP и MS-CHAP v2. Следует обратить внимание на то, что в рамках профиля определяются протоколы аутентификации, которые разрешены для использования клиентами. Чтобы механизмы аутентификации успешно работали, необходимо, чтобы аналогичные протоколы были разрешены также и на уровне сервера удаленного доступа;
    • параметры, определяющие уровень защищенности передаваемых данных (вкладка Encryption). Эта группа параметров позволяет активизировать механизмы шифрования данных, передаваемых в рамках конфигурируемого соединения. Администратор может определить механизмы шифрования, которые будут при этом использоваться, и уровень стойкости используемых алгоритмов (определяется длиной используемого для шифрования ключа). По умолчанию разрешено шифрование МРРЕ;
    • дополнительные параметры (вкладка Advanced). Эта группа параметров позволяет настроить дополнительные свойства для определения ряда атрибутов RADIUS, которые сервер IAS возвращает клиенту RADIUS. По умолчанию протоколом удаленного доступа (Framed-Protocol) является РРР и для параметра Service-Type установлено значение Framed. Единственные атрибуты, используемые сервером удаленного доступа, — Account-interim-interval, Framed-Protocol, Framed-MTU, Reply-Message и Service-Type.

Таблица 14.4. Параметры, ограничивающие входящие звонки

Параметр | Описание
Idle-Timeout (Разъединение при простое более ...) | Временной интервал, по истечении которого соединение будет прервано, если нет никаких действий. По умолчанию этот параметр не установлен, и сервер удаленного доступа не разрывает неактивное соединение
Session-Timeout (Максимальная продолжительность сеанса) | Максимальное время до разрыва соединения сервером удаленного доступа. По умолчанию это свойство не установлено, а сервер удаленного доступа не ограничивает время сеанса связи
Allow access only... (Разрешить входящие подключения только в эти дни и время) | Дни недели и часы для каждого дня, во время которых соединение разрешено. Если день и время попытки соединения не соответствуют настройкам, попытка соединения отклоняется. По умолчанию это свойство не установлено, и сервер удаленного доступа не анализирует данные параметры
Called-Station-ID (Разрешить вход только по номеру) | Заданный номер телефона, который вызывающая сторона должна набрать, чтобы установить соединение. Если номер соединения не соответствует заданному, попытка соединения отклоняется. По умолчанию это свойство не установлено, и сервер удаленного доступа позволяет устанавливать соединение с любого телефонного номера
NAS-Port-Type (Разрешить входящие звонки следующих типов) | Типы устройств, например модем, ISDN или VPN, который вызывающая сторона должна использовать для соединения. На практике администратор может, например, разрешить удаленные подключения только по беспроводной (802.11) среде передачи. Если попытка соединения по коммутируемой среде не соответствует настройке, она отклоняется. По умолчанию это свойство не установлено, и сервер удаленного доступа разрешает все типы устройств передачи данных

В Windows Server 2003 существует возможность запретить обработку специальных параметров учетной записи пользователя, отвечающих за настройку конфигурации удаленного доступа. Для этого в окне редактирования профиля политики удаленного доступа (рис. 14.4) нужно перейти на вкладку Advanced (Дополнительно). На этой вкладке перечислены дополнительные параметры, определяющие свойства соединения. Чтобы добавить новый атрибут, необходимо нажать кнопку Add и выбрать в списке интересующий атрибут. Следует добавить атрибут Ignore-User-Dialin-Properties (со значением Microsoft в столбце Vendor) и дать ему значение True (Истина) (рис. 14.5).

Рис. 14.4. Окно свойств профиля политики удаленного доступа

Рис. 14.5. Определение значения атрибута Ignore-User-Dialin-Properties

Политика удаленного доступа по умолчанию
В процессе установки службы маршрутизации и удаленного доступа создается политика удаленного доступа по умолчанию (default policy). Эта политика удаленного доступа разрешает удаленный доступ к серверу удаленного доступа только в том случае, если устанавливающему входящее соединение пользователю предоставлено право удаленного доступа непосредственно на уровне его учетной записи. Политика по умолчанию имеет следующую конфигурацию:

  • ограничения по дням недели и времени доступа не установлены;
  • право удаленного доступа запрещено (флажок Deny remote access permission);
  • все свойства профиля установлены в значения по умолчанию.

Порядок применения политик удаленного доступа
Каждый пользователь может подпадать под действие сразу нескольких политик удаленного доступа. Для получения доступа необходимо, чтобы пользовательский запрос удовлетворял всем параметрам хотя бы одной политики удаленного доступа, предоставляющей ему право удаленного подключения. При этом используется следующий порядок применения параметров политик удаленного доступа:
1. Проверяется первая политика в упорядоченном списке политик. Если подходящей политики не существует, то попытка соединения отклоняется.
2. Если не все условия политики соответствуют попытке соединения, то осуществляется переход к следующей политике. Если политик больше нет, попытка соединения отклоняется.
3. Если все условия политики соответствуют попытке соединения, то проверяется значение атрибута Ignore-User-Dialin-Properties данной политики удаленного доступа. Если атрибут имеет значение False, система проверяет наличие разрешение на удаленное подключение на уровне учетной записи пользователя, предпринимающего попытку соединения. Если на уровне учетной записи удаленный доступ запрещен (Deny access), то попытка соединения отклоняется. Если же удаленный доступ разрешается (Allow access), то система проверяет соответствие остальным свойствам пользователя и профиля удаленного доступа. Соединение устанавливается только в том случае, если параметры соединения соответствуют всем параметрам свойств учетной записи пользователя и свойств профиля. Администратор может не определять явно на уровне учетной записи пользователя разрешение на удаленное подключение, установив флажок Control access through Remote Access Policy (Управление доступом через политику удаленного доступа). В этом случае решение о предоставлении или отклонении удаленного доступа принимается исключительно на основании параметров политики удаленного доступа. Соединение будет установлено только в том случае, если на уровне политики (под которую подпадает рассматриваемый пользователь) установлено разрешение Grant remote access permission, при этом применяются свойства пользователя и свойства профиля.
4. Если значение атрибута Ignore-User-Dialin-Properties установлено равным True, настройки учетной записи пользователя игнорируются. При этом права на предоставление удаленного доступа определяются исключительно параметрами политики удаленного доступа. Если на уровне политики, под которую подпадает пользователь, ему отказано в разрешении на удаленный доступ (флажок Deny remote access permission), соединение будет отклонено. Если разрешение предоставлено (Allow remote access permission), система применяет профиль удаленного доступа. Соединение будет установлено только в случае, когда параметры соединения удовлетворяют требованиям профиля удаленного доступа.

Протоколирование событий

Требования политики безопасности большинства предприятий предполагают регистрацию всех событий, связанных с действиями удаленных пользователей в рамках корпоративной сети. Сервер удаленного доступа Windows Server 2003 позволяет регистрировать все события, связанные с аутентификацией удаленных пользователей, в специальных журналах. Анализ подобных журналов может позволить администратору выявить попытки несанкционированного проникновения в систему, определить периоды максимальной и минимальной нагрузки на сервер.
Строго говоря, сервер удаленного доступа Windows Server 2003 поддерживает два типа регистрации событий. В первом случае речь идет о событиях, связанных с функционированием службы маршрутизации и удаленного доступа в целом. Эти события регистрируются в системном журнале Windows Server 2003 (System log). Информация, содержащаяся в этом журнале, используется для разрешения проблем, вызванных сбоями в работе компонентов системы.
Во втором случае сервер удаленного доступа под управлением Windows Server 2003 регистрирует события, связанные с аутентификацией удаленных пользователей. На основе регистрируемой информации можно проследить использование удаленного доступа и попытки аутентификации. Регистрация особенно полезна для оперативного решения проблем при работе с политиками удаленного доступа. Для каждой попытки аутентификации регистрируется название политики удаленного доступа, в соответствии с которой была принята или отклонена попытка установления соединения. Информация о регистрируемых событиях может быть сохранена в файле журнала, либо сохраняться в базе данных (под управлением MS SQL Server). Используемые для регистрации событий журналы располагаются в папке %SystemRoot%\system32\LogFiles. Журналы хранятся в формате IAS 1.0 или IAS 2.0.
В качестве альтернативы текстовым файлам (которые неудобны для анализа) администратор может сохранять информацию о событиях в базе данных. Для соединения с базой данных используется интерфейс ODBC. Соответственно, перед регистрацией событий администратор должен сконфигурировать ODBC-соединение.

Примечание

Регистрация событий, связанных с проверкой подлинности удаленных пользователей, возможна только в том случае, если используется стандартный механизм аутентификации Windows (Windows accounting). В случае применения для аутентификации пользователей протокола RADIUS администратор должен задействовать механизмы протоколирования событий службы IAS.

Использование широковещательных рассылок для разрешения имен

Сервер удаленного доступа под управлением Windows Server 2003 предоставляет возможность удаленным клиентам использовать широковещательные рассылки для разрешения доменных и NetBIOS-имен ресурсов, расположенных в корпоративной сети. Реализации сервера удаленного доступа в предыдущих версиях Windows допускают только один способ разрешения имен для клиентов удаленного доступа — использование серверов имен. В небольших сетях использование широковещательных рассылок избавляет администратора от необходимости развертывания серверов имен.
Широковещательные рассылки поддерживаются сервером удаленного доступа Windows Server 2003 по умолчанию. При этом реализуется следующая схема разрешения имен:
1. Клиент удаленного доступа предпринимает попытку разрешить некоторое имя, отправляя широковещательное сообщение через все имеющиеся сетевые интерфейсы (в том числе и через тот, что используется для соединения с сервером удаленного доступа).
2. Сервер удаленного доступа получает широковещательный запрос на разрешение имени и проверяет собственный кэш имен на предмет наличия отображения необходимого имени на соответствующий IP-адрес. Если отображение найдено в кэше, информация о соответствующем IP-адресе будет возвращена клиенту. В противном случае широковещательный запрос будет ретранслирован сервером удаленного доступа через все локальные интерфейсы. Полученный сервером ответ будет возвращен клиенту удаленного доступа. При этом полученное отображение будет помещено в локальный кэш имен сервера удаленного доступа. Использование кэша позволяет избежать широковещательных обращений к ресурсам сети в случае, если другие клиенты обратятся с запросами на разрешение аналогичного имени.
3. Клиент удаленного доступа использует полученный IP-адрес для установки соединения с требуемым ресурсом.
Следует заметить, что механизм ретрансляции широковещательных запросов, активизированный на сервере удаленного доступа под управлением Windows Server 2003, доступен только клиентам удаленного доступа. Этот механизм позволяет выполнять разрешение имен методом широковещательных рассылок только для ресурсов локальной сети. Этот механизм не может быть использован клиентом, расположенным в локальной сети, для того, чтобы разрешить имя клиента удаленного доступа. Другими словами, механизм работает только в одну сторону.

Применение разделяемых ключей

Протокол туннелирования L2TP использует для шифрования пакетов протокол сетевого уровня IPSec. Применение протокола IPSec имеет свои характерные особенности. В частности, протокол содержит механизмы взаимной аутентификации всех участников соединения. В отличие от предыдущих версий, Windows Server 2003 предлагает два способа реализации этого процесса.

  • Использование цифровых сертификатов. Каждый из участников соединения получает специальный цифровой сертификат, который и используется для проверки его подлинности. Эта схема проверки подлинности гарантирует наиболее гибкую систему обеспечения безопасности. Однако от администратора в этом случае требуется развертывание в сети корпоративной службы сертификатов (Public Key Infrastructure, PKI) или конфигурирование хостов на работу с внешними службами сертификатов.
  • Использование разделяемых ключей. Под разделяемым ключом (pre-shared key) понимается некоторая последовательность символов (в формате Unicode), известная серверу удаленного доступа и клиенту. Для успешной аутентификации каждая из сторон должна подтвердить знание разделяемого ключа. Основным достоинством данного метода аутентификации является простота его реализации. Теперь, чтобы иметь возможность использовать протокол туннелирования L2TP, администратору не требуется развертывать в корпоративной сети систему сертификатов. Существенным недостатком, серьезно ограничивающим возможность применения данной схемы аутентификации, является использование единого общего разделяемого ключа для всех удаленных клиентов. Другими словами, все клиенты удаленного доступа, использующие протокол L2TP, должны быть сконфигурированы для использования одного и того же разделяемого ключа. Помимо того, что подобная схема аутентификации делает всю систему весьма уязвимой, в случае необходимости изменения ключа администратор должен выполнить переконфигурирование всех клиентов удаленного доступа.

Проблема автоматического изменения разделяемых ключей может быть решена администратором путем использования специального диспетчера подключений (Connection Manager). Если пользователи используют профили, создаваемые посредством этого диспетчера, изменение ключа будет выполнено автоматически после того, как обновленная версия профиля будет развернута пользователями на своих клиентских компьютерах.

Использование сервера удаленного доступа для обслуживания VPN-подключений

Сервер удаленного доступа под управлением Windows Server 2003 может обслуживать VPN-подключения, выступая в качестве VPN-сервера. Необходимо понимать, что фактически речь идет о все том же удаленном доступе к ресурсам корпоративной сети. Однако, в отличие от обычного удаленного доступа, взаимодействие клиента и сервера осуществляется по защищенному каналу, который реализуется за счет использования специальных протоколов туннелирования. Использование механизма виртуальных частных сетей (VPN) оправдано в ситуации, когда нельзя исключать риск перехвата конфиденциальных данных (например, если взаимодействие с удаленным клиентом реализуется через открытые общественные сети).
Если администратор планирует использовать сервер удаленного доступа для обслуживания VPN-подключений, он должен определить, какой из протоколов туннелирования будет использоваться для создания защищенного канала. Администратор должен выбрать между протоколом РРТР и протоколом L2TP. Протокол РРТР поддерживается всеми клиентами Microsoft (в том числе старыми версиями Windows). Минусом этого протокола является отсутствие механизмов, гарантирующих целостность передаваемых данных и подлинность участников соединения. Протокол L2TP свободен от этих недостатков. В целом он является более предпочтительным вариантом, нежели протокол РРТР. Протокол L2TP базируется на использовании протокола IPSec, поддержка которого реализована в операционных системах Windows 2000/XP и Windows Server 2003. Для использования протокола L2TP на других Windows-платформах (Windows 98/ME и Windows NT 4.0) требуется специальный клиент — Microsoft L2TP/IPSec Client, свободно доступный по адресу http://www.microsoft.com/windows2000/server/ evaluation/news/ bulletins/12tpclient.asp.
Если администратором в качестве средства создания защищенного канала был выбран протокол туннелирования L2TP, он должен определить, как именно будет осуществляться взаимная аутентификация участников VPN-соединения. Протокол IPSec, поверх которого функционирует протокол туннелирования L2TP, поддерживает два способа аутентификации участников соединения: цифровые сертификаты (речь идет о цифровых сертификатах, назначаемых компьютерам) и разделяемый ключ (pre-shared key). С точки зрения безопасности более надежным способом является использование цифровых сертификатов.

Примечание

Для получения цифровых сертификатов в корпоративной сети должна быть развернута служба сертификации (PKI). Если взаимодействие с удаленными пользователями строится через открытую общественную сеть (такую, как Интернет), необходимо позаботиться о том, чтобы настройки корпоративного брандмауэра разрешали прохождение VPN-трафика. В противном случае удаленные пользователи не смогут создать VPN-соединение с сервером удаленного доступа.

Развертывание сервера удаленного доступа

Чтобы обеспечить работу сервера удаленного доступа на Windows Server 2003, необходимо соответствующим образом сконфигурировать службу маршрутизации и удаленного доступа (Routing and Remote Access Service). Для управления этой службой используется оснастка Routing and Remote Access, которая располагается в меню Administrative Tools (Администрирование). Данная оснастка может использоваться в качестве инструмента для управления всеми серверами удаленного доступа под управлением Windows Server 2003, установленными в пределах корпоративной сети.
В ходе инсталляции системы устанавливаются все программные компоненты, необходимые для функционирования службы маршрутизации и удаленного доступа. Однако по окончании установки эта служба отключена. Прежде чем администратор сможет запустить данную службу, он должен выполнить ее конфигурирование, определив ее роль.
Конфигурирование службы маршрутизации и удаленного доступа осуществляется при помощи специального мастера Routing and Remote Access Server Setup Wizard. Для запуска этого мастера необходимо в пространстве имен оснастки вызвать контекстное меню объекта, ассоциированного с сервером, и выбрать в нем пункт Configure and Enable Routing and Remote Access (Конфигурировать и разрешить маршрутизацию и удаленный доступ). При помощи указанного мастера администратор может сконфигурировать сервер в качестве маршрутизатора, сервера удаленного доступа, активизировать на нем механизм трансляции сетевых адресов. В контексте нашей темы, рассмотрим процесс конфигурирования сервера удаленного доступа.
Перед выполнением процедуры конфигурирования сервера удаленного доступа необходимо принять решение по следующим вопросам:

  • каким образом будет осуществляться распределение IP-адресов между клиентами удаленного доступа? Существует два варианта решения этой проблемы. Первый вариант предполагает использование корпоративного DHCP-сервера. Во втором случае клиенты получают IP-адреса непосредственно от сервера удаленного доступа из некоторого статического пула, определенного администратором;
  • какое максимальное количество входящих подключений будет использоваться? От ответа на этот вопрос зависит то, сколько модемов, ориентированных на подключение удаленных пользователей, потребуется подключить к серверу удаленного доступа;
  • какая модель конфигурирования параметров удаленного подключения будет использоваться? Параметры удаленного подключения могут задаваться на уровне учетных записей отдельных пользователей или определяться политикой удаленного доступа. На этапе развертывания сервера удаленного доступа должны быть произведены все необходимые настройки учетных записей пользователей, а также определены параметры политик удаленного доступа;
  • какая будет использоваться схема аутентификации? Имеется два варианта — либо аутентификация выполняется непосредственно сервером удаленного доступа, либо используются средства протокола RADIUS и службы аутентификации IAS. Использование службы аутентификации IAS и протокола RADIUS оправдано в ситуации, когда в сети имеется несколько серверов удаленного доступа. В этом случае администратор имеет возможность реализовать централизованное управление процессом аутентификации пользователей.

Запустив мастер конфигурирования сервера удаленного доступа, необходимо перейти к окну Configuration (Конфигурация), в котором мастер предлагает определить роль конфигурируемого сервера (рис. 14.6). Выберите пункт Remote access (dial-up or VPN) и перейдите к следующему окну.
В окне "Remote Access" (рис. 14.7) необходимо уточнить функции, которые будет выполнять конфигурируемый сервер. Если сервер должен обслуживать обычные модемные подключения удаленных пользователей, необходимо установить флажок Dial-up. Флажок VPN следует устанавливать только в том случае, если сервер должен также обслуживать VPN-подключения внешних пользователей (подключающихся, например, через Интернет).
Далее требуется определить способ предоставления подключающимся клиентам IP-адресов, необходимых для работы в корпоративной сети (рис. 14.8).

Рис. 14.6. Определение роли службы маршрутизации и удаленного доступа

Рис. 14.7. Определение типов подключений, которые будут разрешены на конфигурируемом сервере удаленного доступа

Рис. 14.8. Указание способа предоставления клиентам IP-адреса

Выбор опции Automatically (Автоматически) означает использование DHCP-сервера. Если администратор хочет выделять адреса из статического пула, необходимо выбрать опцию From a specified range of addresses (Из определенного диапазона адресов). В последнем случае администратор должен будет задать этот диапазон в следующем окне.
И, наконец, в последнем окне мастера (рис. 14.9) необходимо ответить на запрос об использовании сервера RADIUS — т. е. выбрать схему аутентификации пользователей. Если аутентификация будет выполняться непосредственно сервером удаленного доступа, необходимо выбрать опцию No, use Routing and Remote Access to authenticate connection requests (Нет, использовать для аутентификации запросов службу маршрутизации и удаленного доступа). В случае использования для аутентификации сервера RADIUS необходимо выбрать значение Yes, set up this server to work with a RADIUS server (Да, настроить этот сервер для работы с RADIUS-сервером).
По окончании своей работы мастер запустит службу маршрутизации и удаленного доступа. Начиная с этого момента, сервер удаленного доступа готов обслуживать подключения удаленных пользователей.

Рис. 14.9. Выбор способа аутентификации клиентов удаленного доступа

Трансляция сетевых адресов (NAT)

Механизм трансляции сетевых адресов (Network Address Translation, NAT) осуществляет преобразование IP-адресов и номеров портов пакетов TCP и датаграмм UDP, которыми обмениваются локальная и внешняя (такая, как Интернет) сети. Наличие этого механизма позволяет организовать взаимодействие корпоративной сети с Интернетом простыми средствами, без привлечения специализированного программного обеспечения.

Внимание

Преобразователь адресов в первую очередь разработан для подключения к открытым сетям (таким, как Интернет) небольших локальных сетей. Этот механизм не предназначен для соединения воедино нескольких разрозненных локальных сетей или подключения нескольких локальных сетей филиалов к общекорпоративной сети.

Компоненты механизма трансляции сетевых адресов

Механизм трансляции сетевых адресов включает в себя следующие элементы:

  • компонент преобразования. В этом качестве рассматривается компьютер (далее называемый компьютер-преобразователь адресов), выступающий в качестве транслятора сетевых адресов (NAT). Именно транслятор сетевых адресов является тем компонентом, который собственно и выполняет преобразование IP-адресов и номера портов пакетов TCP и датаграмм UDP, передаваемых между локальной сетью и внешней сетью;
  • компонент адресации. Компьютер, выступающий в качестве транслятора сетевых адресов, предоставляет информацию о конфигурации IP-адреса другим компьютерам домашней сети. Компонент адресации представляет собой упрощенный DHCP-сервер, предоставляющий клиентам сведения о IP-адресе, маске подсети, IP-адресе шлюза по умолчанию, DNS-сервера (в качестве последних двух адресов используется IP-адрес непосредственно самого транслятора сетевых адресов). Все компьютеры в локальной сети (являющиеся клиентами NAT) должны быть сконфигурированы как клиенты DHCP, чтобы автоматически получать конфигурацию IP;
  • компонент разрешения имен. Компьютер с преобразователем адресов становится DNS-сервером и WINS-сервером для других компьютеров в домашней сети. Когда компьютер с преобразователем адресов получает запросы о разрешении имен, он пересылает запросы о разрешении имен серверам DNS и WINS в межсетевой среде, на которые он настроен, и возвращает ответы на компьютер в локальной сети.

Понятие частного адреса

Архитектура стека протоколов TCP/IP требует, чтобы каждый хост в сети имел уникальный IP-адрес. Это требование справедливо и для Интернета. Любой хост, подключающийся к Интернету, должен являться обладателем уникального IP-адреса. В целях упорядочивания процесса адресации распределением IP-адресов занимается специальный Информационный центр сети Интернет (Network Information Center, InterNIC). Согласно терминологии NAT, эти адреса называются действительными (public address). Как правило, предприятие получает действительный адрес (или пул адресов) от своего Интернет-провайдера, который, в свою очередь, получил некоторый диапазон действительных адресов от InterNIC.
Для того чтобы разрешить нескольким компьютерам в сети малого офиса или в домашней сети устанавливать соединение с ресурсами Интернета, необходимо, чтобы каждый компьютер имел собственный действительный адрес. Чтобы решить эту проблему, необходимо или обратиться к провайдеру за дополнительными IP-адресами (что влечет за собой дополнительные расходы), или приобрести специализированное программное обеспечение. Для решения данной проблемы администратор может использовать механизм трансляции сетевых имен. Благодаря этому механизму ограниченное количество действительных адресов может использоваться компьютерами локальной сети для организации доступа в Интернет.

Примечание

В качестве альтернативы механизму трансляции сетевых адресов в сетях малых офисов или домашних сетях на базе Windows Server 2003 можно использовать механизм общего доступа к подключению Интернета (Internet Connection Sharing, ICS).

Поскольку механизм трансляции сетевых адресов изначально разрабатывался как инструмент организации взаимодействия локальной сети с Интернетом, центром InterNIC были зарезервированы специальные пулы IP-адресов. Адреса из этих пулов не могут быть использованы для именования хостов в Интернете. Эти адреса получили название частных адресов (private address). Частные адреса предназначены для адресации хостов в корпоративных сетях, использующих механизм NAT как простое средство интеграции с Интернетом.
Для частных адресов зарезервированы следующие диапазоны (задаются идентификатором подсети и маской):

  • 10.0.0.0с маской 255.0.0.0
  • 172.16.0.0с маской 255.240.0.0
  • 192.168.0.0 с маской 255.255.0.0

Примечание

Более подробная информация о диапазонах адресов, зарезервированных для частных интрасетей, может быть получена из стандарта RFC 1597.

Как уже было замечено ранее, частные адреса резервируются для специальных целей и не могут быть использованы для адресации хостов в сети Интернет. Для получения доступа к ресурсам Интернета используются разрешенные действительные адреса. Механизм NAT осуществляет трансляцию частных адресов в действительные адреса Интернета. Механизм NAT выступает в качестве посредника между корпоративными хостами и службами Интернета. Пакеты, исходящие из локальной сети, имеют частные адреса, которые NAT транслирует в действительные адреса. Поступающие из Интернета пакеты имеют, соответственно, действительные адреса, и механизм NAT выполняет их трансляцию в частные адреса.

Принципы действия NAT

Для установки соединения используется уникальная связка "адрес-порт". Другими словами, с хостом, имеющим один IP-адрес, может быть установлено множество соединений. Однако каждое из этих соединений будет использовать различные порты. Как правило, механизм NAT используется в ситуации, когда несколько частных адресов отображаются на один действительный адрес.
Для пакетов, исходящих из NAT, частный адрес, указанный в заголовке пакета в поле отправителя, отображается в действительный адрес, выданный интернет-провайдером, а номер порта TCP/UDP отображается в другой номер порта TCP/UDP. Для пакетов, приходящих NAT, действительный адрес, указанный в заголовке пакета в поле получателя, отображается в оригинальный адрес интрасети (частный адрес), а номер порта TCP/UDP отображается обратно к оригинальному номеру порта TCP/UDP. При этом TCP- и UDP-порты выбираются динамически, чтобы отличить один компьютер внутри интрасети от другого. Механизм NAT поддерживает специальную таблицу, в которую заносятся сведения об отображениях. Благодаря этой таблице механизм поддерживает уже установленные соединения, .используя для передачи входящих пакетов ту же связку "адрес-порт", которая использовалась для установки соединения.
Для демонстрации принципов работы механизма NAT рассмотрим следующий пример. Допустим, имеется небольшая локальная сеть предприятия, в которой для адресации хостов используется идентификатор сети 192.168.0.0. Так же предприятию интернет-провайдером выделен некоторый адрес a.b.c.d. Механизм NAT отображает все частные адреса в сети 192.168.0.0 в IP-адрес a.b.c.d (рис. 14.10).

Рис. 14.10. Пример работы механизма NAT

Допустим, пользователь локальной сети предпринимает попытку соединиться с веб-сервером, имеющим действительный адрес e.f.g.h. В этом случае клиентский компьютер формирует IP-пакет со следующей информацией в заголовке:

  • IP-адрес получателя: e.f.g.h
  • IP-адрес отправителя: 192.168.0.10
  • порт получателя: TCP-порт 80
  • порт отправителя: TCP-порт 1025

Механизм NAT выполняет преобразование заголовка этого пакета в следующий заголовок:

  • IP-адрес получателя: e.f.g.h
  • IP-адрес отправителя: a.b.c.d
  • порт получателя: TCP-порт 80
  • порт отправителя: TCP-порт 5000

Обратите внимание, что вместо частного адреса хоста, расположенного в локальной сети, в качестве отправителя указывается действительный адрес компьютера-преобразователя. При этом информацию о выполненном преобразовании {192.168.0.10, TCP 1025} в {a.b.c.d, TCP 5000} компьютер запоминает в своей внутренней таблице.
После выполнения преобразования IP-пакет может быть передан в Интернет. Поскольку в качестве отправителя пакета указан компьютер-преобразователь, удаленная служба сформирует ответный пакет, который будет адресован этому компьютеру. Ответный пакет содержит следующую информацию в заголовке:

  • IP-адрес получателя: a.b.c.d
  • IP-адрес отправителя: e.f.g.h
  • порт получателя: TCP-порт 5000
  • порт отправителя: TCP-порт 80

Механизм NAT анализирует полученный пакет и, используя собственную адресную таблицу, отображает действительные адреса в частные. По окончании преобразования пакет будет передан хосту во внутренней сети (в нашем случае по адресу 192.168.0.10). При этом пакет содержит следующую информацию в заголовке:

  • IP-адрес получателя: 192.168.0.10
  • IP-адрес отправителя: e.f.g.h
  • порт получателя: TCP-порт 1025
  • порт отправителя: TCP-порт 80

Редакторы NAT

Работа NAT базируется на анализе заголовков пакетов. Преобразователь адресов извлекает из заголовка пакета информацию о IP-адресах и номерах портов отправителя и получателя пакетов и в соответствии с полученными данными принимает решение о трансляции пакета. Для нормального функционирования механизма NAT необходимо, чтобы требуемая информация содержалась в заголовке пакета.
Существует целый ряд приложений и протоколов, которые размешают информацию об IP-адресе и номере TCP/UDP-порта непосредственно в теле пакета. В качестве примера можно привести протокол FTP, который для команды FTP PORT передает десятичное представление IP-адреса в теле команды. Если NAT неправильно транслирует IP-адрес внутри команды FTP, то могут возникнуть проблемы установки соединения.
Кроме того, существуют протоколы, вообще не использующие для передачи данных протоколы TCP или UDP (большинство протоколов использует для доставки пакетов транспортные протоколы TCP или UDP). Например, транспортный протокол РРТР не использует для доставки данных протоколы TCP или UDP. Вместо заголовков TCP или UDP используется специальный заголовок обшей инкапсуляции маршрутизации (Generic Routing Encapsulation, GRE) и специальное поле Tunnel ID для идентификации потока данных. Если бы NAT не транслировал это поле, то передача данных при помощи протокола РРТР через NAT была бы невозможна.
В подобных ситуациях администратор имеет возможность выполнить конфигурирование механизма NAT при помощи специального редактора. Редактор NAT представляет собой устанавливаемый компонент, позволяющий корректно изменять нетранслируемую иным способом информацию — так, чтобы она могла быть передана через механизм NAT. Редактор NAT позволяет сконфигурировать механизм NAT для трансляции и коррекции не только заголовков IP, TCP и UDP, но и служебной информации в теле пакетов.

Развертывание механизма NAT в корпоративной сети

Рассмотрим процесс развертывания в корпоративной среде механизма NAT. Прежде чем приступить к конфигурированию службы маршрутизации и удаленного доступа (Routing and Remote Access Service), администратор должен выполнить ряд подготовительных операций.

Выбор схемы адресации

Для функционирования механизма NAT очень важен выбор правильной схемы адресации хостов в корпоративной сети. В процессе развертывания механизма NAT может потребоваться пересмотреть существующую схему адресации, изменив внутренние адреса локальной сети. С другой стороны, может потребоваться выделение дополнительных действительных адресов Интернета.
Частные адреса
Внутри корпоративной сети необходимо использовать IP-адреса, специально зарезервированные организацией InterNIC для частных IP-сетей (см. выше). По умолчанию механизм NAT выбирает адреса для частной сети из диапазона с идентификатором 192.168.0.0 и маской 255.255.255.0.
Если внутри корпоративной сети использовать адреса, не принадлежащие к диапазонам, определенным InterNIC, вполне может оказаться, что используется идентификатор IP-сети другой организации, имеющей выход в Интернет. Этот случай называется некорректной или накладывающейся (overlapping) IP-адресацией. В случае накладывающейся адресации доступ к ресурсам Интернета, использующим аналогичные адреса, становится невозможным. Например, если для адресации хостов в локальной сети используется подсеть 1.0.0.0 с маской подсети 255.0.0.0, то пользователи сети не смогут получить через NAT доступ к ресурсам Интернета с адресами из этого же диапазона.
Действительные адреса
Самая простая конфигурация механизма NAT предполагает использование одного действительного IP-адреса, предоставленного интернет-провайдером. В этом случае от администратора не требуется какой-либо дополнительной настройки. В более сложной конфигурации для функционирования механизма NAT используется несколько действительных IP-адресов. Прежде всего, в случае диапазона IP-адресов необходимо определить, может ли указанный диапазон действительных адресов быть выражен при помощи одного IP-адреса и маски подсети.

Примечание

Если был выдан ряд адресов, количество которых является степенью 2 (2, 4, 8, 16 и т. д.), имеется вероятность, что диапазон можно выразить при помощи одного IP-адреса и маски подсети. Например, если организации провайдером были выделены четыре действительных адреса 200.100.100.212, 200.100.100.213, 200.100.100.214 и 200.100.100.215, то их можно представить как один адрес 200.100.100.212 с маской подсети 255.255.255.252. В ситуации, когда IP-адреса нельзя выразить в виде IP-адреса и маски подсети, необходимо ссылаться на них как на диапазон или ряд диапазонов, указывая начальный и конечный IP-адреса.

Использование базового брандмауэра

В рамках сервера удаленного доступа Windows Server 2003 реализован базовый брандмауэр (basic firewall), представляющий собой механизм динамической фильтрации пакетов. Брандмауэр является одним из механизмов обеспечения безопасности периметра сети, ограничивая трафик через сетевой интерфейс определенными типами пакетов. Администратор может разрешить прохождение через сетевой интерфейс (как правило, тот, что используется для подключения корпоративной сети к внешней сети) пакетов определенного типа, запретив прохождение всех остальных. Новым в Windows Server 2003 является возможность интеграции брандмауэра с механизмом NAT. Администратор может активизировать этот брандмауэр для сетевого интерфейса, используемого механизмом NAT в качестве точки взаимодействия с открытой сетью.

Внимание

Базовый брандмауэр, реализованный в рамках сервера удаленного доступа Windows. Server 2003, может быть активизирован только для сетевого интерфейса, подключенного к внешней сети (такой, как Интернет).

В случае интеграции механизма NAT с базовым брандмауэром процесс трансляции адресов осуществляется следующим образом. Вся информация об отправителях и получателях пакетов заносится в специальную таблицу. Весь трафик, проходящий через рассматриваемый сетевой интерфейс, сравнивается с содержимым этой таблицы. Брандмауэр пропустит пакеты только для тех соединений, что были установлены хостами корпоративной сети. Остальные пакеты будут отброшены. Фактически подобная интеграция позволяет реализовать защиту корпоративной сети от проникновения в нее нежелательного внешнего трафика.

Разрешение входящего соединения

Механизм NAT может быть использован не только для организации доступа внутренних пользователей к ресурсам сети Интернет. Администратор может настроить механизм NAT таким образом, чтобы предоставить возможность внешним пользователям получать доступ к ресурсам локальной сети. Например, можно предоставить доступ внешним пользователям к ресурсам корпоративного веб-сервера, располагающегося внутри корпоративной сети. В данном случае принято говорить о входящем соединении (inbound connection).
Для обслуживания входящих соединений локальный хост, к ресурсам которого планируется предоставить доступ внешним пользователям, должен иметь статическую конфигурацию стека протоколов TCP/IP. Другими словами, информация о параметрах стека протоколов должна быть статически прописана администратором. Хосту должен быть предоставлен постоянный IP-адрес и определена маска подсети, определен шлюз по умолчанию (частный IP-адрес сервера удаленного доступа, на котором функционирует NAT) и сервер DNS (частный IP-адрес компьютера с NAT). Предоставленный хосту IP-адрес должен быть исключен из диапазона адресов, распределяемых сервером удаленного доступа с NAT.
После этого на сервере удаленного доступа необходимо настроить специальный порт. Специальный порт представляет собой статическое отображение действительного адреса и номера порта в частный адрес и номер порта. Специальный порт отображает входящее соединение от пользователя из Интернета в специфический адрес в частной сети.

Конфигурирование механизма NAT с помощью программы-мастера

Механизм NAT может быть активизирован на любом компьютере под управлением Windows Sewer 2003. Для этого необходимо соответствующим образом сконфигурировать службу маршрутизации и удаленного доступа (Routing and Remote Access Service).
Как уже было замечено ранее, управление службой маршрутизации и удаленного доступа осуществляется из оснастки Routing and Remote Access. Если эта служба еще не настроена, в панели пространства имен оснастки вызовите контекстное меню объекта, ассоциированного с конфигурируемым сервером, и в нем выберите пункт Configure and Enable Routing and Remote Access (Конфигурировать и разрешить маршрутизацию и удаленный доступ). В окне Configuration (см. рис. 14.6) необходимо выбрать пункт Network address translation (NAT).
В окне NAT Internet Connection мастера Routing and Remote Access Server Setup Wiz.ard (рис. 14.11) администратор должен выбрать соединение, которое будет использоваться механизмом трансляции имен. Предполагается, что это соединение с Интернетом (или другой внешней сетью). Администратор может выбрать одно из существующих соединений, выбрав переключатель Use this public interface to connect to the Internet. В качестве альтернативы администратор может создать соединение по требованию, выбрав пункт Create a new demand-dial interface to the Internet. Соединение по требованию (demand-dial interface) используется, как правило, в случае повременного доступа в Интернет. Соединение устанавливается только в том случае, когда один из пользователей запрашивает доступ к ресурсам Интернета и по окончании работы пользователя разрывается.
При необходимости можно активизировать для выбранного сетевого интерфейса базовый брандмауэр. Для этого необходимо установить флажок Enable security on the selected interface by setting up Basic Firewall.
Мастер выполнит конфигурирование и запуск службы маршрутизации и удаленного доступа. Если для работы механизма NAT был выбран интерфейс соединения по требованию, система запустит мастер создания соединения по требованию.
В первую очередь необходимо сконфигурировать сетевые интерфейсы у сервера, выбранного на роль преобразователя адресов. Сетевому интерфейсу, подключенному к локальной сети, должен быть выделен адрес из разрешенного диапазона частных адресов. Например, возможна следующая конфигурация:

  • IP-адрес: 192.168.0.1
  • маска подсети: 255.255.255.0
  • шлюз по умолчанию — отсутствует

Рис. 14.11. Выбор сетевого интерфейса для работы механизма NAT

Примечание

В данной конфигурации адрес для сетевого интерфейса в домашней сети выбирается из адресного интервала по умолчанию (задается идентификатором сети 192.168.0.0 и маской 255.255.255.0), который задается для компонента адресации преобразователя адресов. Если этот адресный интервал по умолчанию изменяется, то необходимо изменить и IP-адрес частного интерфейса компьютера-преобразователя адресов, чтобы он имел первый IP-адрес в заданном диапазоне. Использование первого IP-адреса из диапазона — рекомендуемый подход, а не требование для компонента преобразователя адресов.

На следующем этапе необходимо настроить маршрутизацию для выбранного сетевого интерфейса. Администратор должен создать статический маршрут, который будет по умолчанию использоваться данным сетевым интерфейсом. Для статического маршрута по умолчанию получатель — 0.0.0.0, маска подсети — 0.0.0.0. (Мастер конфигурирования создает такой маршрут автоматически.)
Если выбранный сетевой интерфейс не является интерфейсом с набором номера по требованию, в поле Gateway (Шлюз) необходимо также указать IP-адрес. Поскольку в данном случае устанавливается соединение "точка-точка", в этом поле может быть указан любой адрес. Применительно к интерфейсам с набором номера по требованию шлюз не указывается. Вместо этого необходимо установить флажок Use this route to initiate demand-dial connections (Использовать этот маршрут для создания соединения по требованию).
Компонент адресации преобразователя адресов назначает адреса только из одного диапазона, соответствующего одной подсети. Если механизм NAT активизирован для нескольких локальных сетевых интерфейсов, то подразумевается конфигурация с одной подсетью (где все локальные интерфейсы соединены с одной и той же сетью). Если локальные сетевые интерфейсы соответствуют различным сетям, связность между клиентскими компьютерами, которые получают адреса от преобразователя адресов, но находятся в разных сетях, невозможна.

Настройка NAT на уже сконфигурированном сервере удаленного доступа

Если в сети уже имеется функционирующий сервер удаленного доступа (другими словами, на этом компьютере имеется сконфигурированная служба маршрутизации и удаленного доступа), администратор может выполнить активизацию механизма NAT без использования специального мастера конфигурирования. Если интерфейс, обеспечивающий подключение к Интернету (например, соединение по требованию), уже имеется, то необходимо выполнить следующую последовательность действий:
1. Если в списке активных протоколов (узел IP Routing) отсутствует объект NAT/Basic Firewall, нужно добавить к списку протокол трансляции сетевых адресов (NAT). Для этого в пространстве имен оснастки Routing and Remote Access следует вызвать контекстное меню объекта IP Routing | General (Маршрутизация IP | Общие) и выбрать в нем пункт New Routing Protocol (Новый протокол маршрутизации) (рис. 14.12). В открывшемся окне необходимо выбрать значение NAT/Basic Firewall и подтвердить свой выбор, нажав кнопку ОК.
2. На следующем этапе требуется выбрать сетевые интерфейсы, которые будут работать с механизмом трансляции сетевых адресов. Вызовите контекстное меню контейнера NAT/Basic Firewall и выберите в нем пункт New Interface (Новый интерфейс). Из списка установленных интерфейсов необходимо выбрать требуемый. В открывшемся окне на вкладке NAT/ Basic Firewall, в зависимости от типа выбранного интерфейса, надо выполнить следующие действия (рис. 14.13):

  • для сетевого интерфейса, подключенного к Интернету, необходимо установить переключатель Public interface connected to the Internet (Общий интерфейс, подключенный к Интернету) и установить флажок Enable NAT on this interface (Активизировать NAT для данного интерфейса). Чтобы активизировать механизм динамической фильтрации пакетов, надо установить флажок Enable a basic firewall on this interface (Активизировать базовый брандмауэр для данного интерфейса);

Рис. 14.12. Установка протокола трансляции сетевых имен

Рис. 14.13. Активизация механизма NAT для выбранного сетевого интерфейса

  • для сетевого интерфейса, подключенного к локальной сети, необходимо установить переключатель Private interface connected to the private network (Частный интерфейс, подключенный к частной сети).

Выбор схемы выделения IP-адресов локальным хостам

Сервер удаленного доступа, на котором активизирован механизм NAT, может осуществлять автоматическое конфигурирование локальных хостов посредством протокола DHCP. Чтобы разрешить подобную схему выделения IP-адресов хостам локальной сети, необходимо вызвать окно свойств контейнера NAT/Basic Firewall в пространстве имен оснастки Routing and Remote Access. В открывшемся окне надо перейти на вкладку Address Assignment (Выделение адресов) и установить флажок Automatically assign IP addresses by using the DHCP allocator (Автоматически назначать IP-адреса с использованием DHCP) (рис. 14.14). Поля IP address и Mask позволяют администратору задать номер подсети, к которой будут относиться конфигурируемые клиенты DHCP в локальной сети. При необходимости, нажав кнопку Exclude (Исключить), администратор может исключить некоторые адреса из этого диапазона.

Рис. 14.14. Разрешение использования протокола DHCP для выделения адресов локальным хостам

Выбор схемы разрешения доменных имен

Помимо динамического выделения адресов хостам локальной сети, сервер удаленного доступа может выполнять разрешение доменных имен в локальной сети. Чтобы обеспечить подобную схему разрешения доменных имен, необходимо вызвать окно свойств контейнера NAT/Basic Firewall в пространстве имен оснастки Routing and Remote Access. В открывшемся окне следует перейти на вкладку Name Resolution (Разрешение имен) (рис. 14.15) и установить флажок Clients using Domain Name System (DNS) (Клиенты используют службу DNS).

Рис. 14.15. Включение разрешения доменных имен через механизм NAT

Зачастую требуется, чтобы соединение с Интернетом устанавливалось в тот момент, когда один из расположенных в частной сети хостов отправляет запрос на разрешение имени компьютеру с NAT. Чтобы реализовать подобную схему, необходимо установить флажок Connect to the public network when a name needs to be resolved (Подключаться к общей сети, когда требуется разрешение имени) и выбрать в списке Demand-dial interface (Интерфейс вызова по требованию) требуемый интерфейс.

Определение диапазона действительных IP-адресов для преобразования

Активизировав механизм NAT, администратор должен задать для каждого сетевого интерфейса диапазоны IP-адресов, которые будут использоваться данным механизмом для выполнения преобразования. Эта операция выполняется на вкладке Address Pool (Пул адресов) в окне свойств открытого сетевого интерфейса (рис. 14.16). Нажмите кнопку Add (Добавить) и в открывшемся окне задайте диапазон адресов. Диапазон определяется начальным адресом и маской подсети. При необходимости скорректируйте конечный адрес диапазона.

Рис. 14.16. Определение диапазона IP-адресов для преобразования

Если имеется несколько интервалов адресов, можно добавить каждый из них отдельно, нажав кнопку Add (Добавить).

Конфигурирование базового брандмауэра

Как уже упоминалось ранее, в рамках сервера удаленного доступа Windows Server 2003 реализован базовый брандмауэр, задача которого заключается в выполнении фильтрации проходящего через открытый интерфейс трафика. Чтобы активизировать базовый брандмауэр, необходимо на вкладке NAT/ Basic Firewall в окне свойств выбранного сетевого интерфейса (см. рис. 14.13) установить флажок Enable a basic firewall on this interface (Разрешить базовый брандмауэр на этом интерфейсе).

Примечание

Необходимо помнить о том, что базовый брандмауэр применительно к механизму NAT может быть активизирован только для открытого интерфейса (т. е. интерфейса, подключенного к Интернету).

Базовый брандмауэр представляет собой механизм динамической фильтрации пакетов. Дополнительно администратор может настроить статические фильтры, позволяющие регулировать сетевой трафик, основываясь на информации об адресах получателя и отправителя, а также используемом протоколе:

  • фильтры входящих пакетов (Inbound Filters);
  • фильтры исходящих пакетов (Outbound Filters).

Рис. 14.17. Настройка статического фильтра

Для фильтров каждого типа администратор должен определить действие, которое система будет выполнять для пакетов, отвечающих заданным критериям. На рис. 14.17 показан пример фильтра входящих пакетов. Этот фильтр может:

  • отбрасывать пакеты, отвечающие перечисленным критериям. Этому режиму соответствует переключатель Receive all packets except those that meet the criteria below (Получать все пакеты, за исключением тех, которые отвечают указанным критериям);
  • пропускать пакеты, отвечающие перечисленным критериям. Этому режиму соответствует переключатель Drop all packets except those that meet the criteria below (Отбрасывать все пакеты, за исключением тех, которые отвечают указанным критериям).

Конфигурирование преобразования специальных портов и служб

Администратор может выполнить более точную настройку механизма NAT, выполнив конфигурирование специальных портов. Фактически администратор задает специфические правила трансляции пакетов, приходящих на определенные порты. Подобное решение позволяет обеспечить прозрачное функционирование корпоративных приложений поверх механизма NAT. Например, администратор может определить порядок трансляции пакетов, приходящих на порт 25 (протокол SMTP).
Расширенная настройка механизма преобразования портов осуществляется на вкладке Services and Ports (Службы и порты) в окне свойств открытого сетевого интерфейса. Администратору предлагается выбор из 13 предопределенных сетевых служб (рис. 14.18). При необходимости администратор может создать новые описания служб.
Для предопределенных служб администратор может определить только частный адрес хоста, на котором запущена указанная служба. Все остальные параметры изменены быть не могут. В процессе создания нового описания службы (правила преобразования), администратору необходимо определить следующие параметры (рис. 14.19):

  • действительный адрес, для которого создается правило. По умолчанию предполагается адрес, используемый конфигурируемым интерфейсом. Если для интерфейса сконфигурирован пул адресов, в поле у переключателя On this address pool entry необходимо указать один из адресов этого пула;
  • протокол (TCP или UDP) в группе переключателей Protocol;
  • номер внешнего порта в поле Incoming port (Входящий порт). Это порт, на который будут приходить пакеты;

Рис. 14.18. Расширенная настройка преобразователя адресов

Рис. 14.19. Создание нового правила преобразования портов

  • номер внутреннего порта в поле Outgoing port (Исходящий порт). Это порт, который будет использоваться для преобразования заголовка пакета;
  • адрес хоста в корпоративной сети, на который будет выполняться перенаправление всех транслируемых пакетов подобного типа, в поле Private address (Адрес в частной сети).

Конфигурирование хостов в локальной сети для работы с NAT

Хосты локальной сети также нуждаются в дополнительном конфигурировании. Каждый хост, который будет использовать механизм NAT, должен иметь соответствующую (согласованную с конфигурацией NAT) настройку стека протоколов TCP/IP:

  • IP-адрес, принадлежащий к разрешенному диапазону частных адресов. В рассматриваемом нами примере он должен относиться к сети с идентификатором 192.168.0.0 и маской 255.255.255.0;
  • маска подсети (255.255.255.0);
  • в качестве шлюза по умолчанию должен быть указан IP-адрес локального сетевого интерфейса компьютера-преобразователя;
  • в качестве DNS-сервера должен быть указан IP-адрес локального сетевого интерфейса компьютера-преобразователя;
  • в качестве WINS-сервера должен быть указан IP-адрес локального сетевого интерфейса компьютера-преобразователя.

Служба факсимильных сообщений

В Windows Server 2003 (как и в Windows XP) реализована специальная служба факсов (Fax Service), позволяющая администратору организовать отправку и получение факсимильных сообщений на базе персонального компьютера, оборудованного факс-модемом. Идея использования компьютера в качестве факса не нова. В настоящее время на рынке программного обеспечения присутствует масса приложений, реализующих данный сервис. Реализация специальной службы непосредственно в составе операционной системы позволяет отказаться от использования дополнительного программного обеспечения.
В Windows Server 2003 факсы рассматриваются как принтеры. В частности, получить информацию об установленных факсах и их состоянии можно в окне Printers and Faxes (рис. 14.20). При этом факсы могут выступать в качестве устройств общего доступа (shared devices). Обращение к факсам осуществляется так же просто, как и обычная печать документа. Чтобы послать по факсу документ, достаточно просто выбрать в меню приложения, в котором данный документ открыт, команду Print (Печать). При передаче понадобится добавить только информацию о получателе и заметки в мастере Send Fax Wizard (Мастер отправки факсов) — и факс будет отправлен. Альтернативный вариант — непосредственный вызов этого мастера с помощью команды Send a fax (Отправка факса). Работа с данным мастером не вызывает никаких сложностей и не требует обучения пользователя.

Примечание

Команда Print (Печать) обычно присутствует в текстовых процессорах, электронных табличных процессорах и в приложениях других типов. Дополнительно можно использовать почтовые программы, чтобы одновременно посылать электронную почту и факсимильные сообщения.

Рис. 14.20. Доступ к установленным факсам

Для передачи факсов Windows Server 2003 использует многостраничный формат изображений TIFF (Tagged Image File Format). Можно сканировать отпечатанные документы и полученные изображения отправлять по факсу. Не требуется преобразовывать существующую графику в формат TIFF перед передачей факса — служба факсов сделает это автоматически. Служба факсов также содержит компонент для предварительного просмотра (Imaging Preview) полученных и отправленных факсимильных сообщений.

Установка службы факсов

Служба факсов не устанавливается по умолчанию в ходе инсталляции операционной системы. Администратор должен установить ее самостоятельно, предварительно подключив к серверу факс-модем и настроив его соответствующим образом.
Для установки службы факсов можно выбрать задачу Set up faxing в окне Printers and Faxes или на панели управления выбрать опцию Add or Remove Programs и в мастере установки компонентов Windows (Add/Remove Windows Components Wizard) установить флажок напротив Fax Services и нажать кнопку Next (Далее) (рис. 14.21).

Рис. 14.21. Выбор установки службы факсов

В следующем окне мастер предложит выбрать — будет ли устанавливаемый факс доступен для сетевых пользователей или нет (в последнем случае предполагается, что пользоваться факсом могут только зарегистрировавшиеся локально пользователи) (рис. 14.22). Чтобы сделать факс доступным для сетевых пользователей, необходимо выбрать переключатель Share the fax printer (Сделать факс общим).

Рис. 14.22. Разрешение сетевым пользователям доступа к факсу

После установки службы факсов в папке Printers and Faxes (Принтеры и факсы) появляется команда Send a fax (Отправка факса), а в подменю Start | All Programs | Accessories | Communications (Пуск | Все программы \ Стандартные | Связь) — группа утилит Fax (Факс).

Конфигурирование службы факсов

При первом запуске оснастки Fax Console (Консоль факсов) вызывается мастер Fax Configuration Wizard (Мастер настройки факсов), с помощью которого вы можете:

  • заполнить информацию об отправителе, которая будет отображаться на отсылаемых факсах;
  • выбрать используемый факс-модем и разрешить отправку и/или прием факсов;
  • выбрать свои идентификаторы, по которым будут опознаваться передаваемые факсы;
  • настроить опции печати и папки для сохранения копий принимаемых факсов.

Мастер настройки факсов можно вызвать в любой момент с помощью команды Tools | Configure Fax (Сервис Настройка факса) из меню оснастки Fax Console (Консоль факсов). Эта оснастка (рис. 14.23) является основным средством управления факсами. Папки принятых и отправленных факсов позволяют легко манипулировать документами, просматривать их и распечатывать.

Рис. 14.23. Оснастка Fax Console

При наборе номера факс использует информацию о способе набора, установленную в группе параметров Phone and Modem Options (Телефон и модем) на панели управления. В мастере отправки факсов Send a Fax есть функция отмены телефонных установок и набора номера телефона в том виде, в каком они введены. Утилита Fax Monitor (Монитор факсов) позволяет просматривать все события, связанные с передачей факсимильных сообщений. Можно установить ручной ответ на звонки, можно также использовать эту утилиту для отмены приема или передачи факсов.
Для подключения к службе факсов с удаленного компьютера используется обычный формат подключения удаленных принтеров: \\<имя_компьютера>\fах. Так же как и принтер, факс может публиковаться в каталоге Active Directory.

Использование службы факсов

Основные возможности службы факсов перечислены ниже.

  • Передача сообщения на титульном листе. Служба факсов позволяет передавать сообщения на титульном листе факса отдельно от документа. Используя утилиту Fax Cover Page Editor (Редактор титульных страниц факсов), администратор может создать любой титульный лист в соответствии с желаниями пользователя либо выбрать один из имеющихся шаблонов титульных листов. Мастер рассылки факсов автоматически вносит информацию о получателе и отправителе, нужно только ввести примечание и отослать факсимильное сообщение.
  • Контроль процесса передачи факсов. Администратор может осуществлять контроль процесса передачи факсов (в том числе отслеживать ошибки) при помощи специальной утилиты Fax Monitor (Монитор факсов). Эта утилита вызывается из оснастки Fax Console (Консоль факсов) путем выбора одноименной команды в меню Tools (Сервис).
  • Передача факсов из почтовых программ. Служба факсов работает также с некоторыми версиями Microsoft Exchange или Microsoft Outlook. В Outlook, например, можно передавать сообщения электронной почты и присоединенные документы получателям факсов. Необходимо настроить службу факсов, чтобы она работала с соответствующей учетной записью пользователя в Outlook. Для этого в программе Outlook нужно в настройках профиля пользователя на вкладке Services (Службы) добавить Fax Mail Transport (Почтовый транспорт факсов).
  • Прием факсимильных сообщений. Службу можно настроить для автоматического приема факсов, их сохранения на диске и печати на указанном принтере или автоматической передачи по электронной почте.

Редактор титульных страниц факсов

Утилита Fax Cover Page Editor (рис. 14.24) позволяет администратору осуществлять редактирование шаблонов титульных листов, которые используются в процессе передачи пользователями факсов. Можно создавать общие титульные листы, чтобы совместно использовать их из нескольких профилей. По умолчанию служба факсов включает четыре общих шаблона титульных листов. При передаче факса шаблон получает информацию, предоставленную пользователем в окне Sender Information (Сведения об отправителе), вызываемого из меню Tools (Сервис) оснастки Fax Console (Консоль факсов), и автоматически добавляет ее к передаваемому титульному листу.
Можно использовать существующие (стандартные) титульные листы (файлы с расширением cov). В меню Tools (Сервис) оснастки Fax Console необходимо выбрать команду Personal Cover Pages (Личные титульные страницы) и в открывшемся окне (рис. 14.25) нажать кнопку Сору (Копировать).

Рис. 14.24. Редактор титульных страниц позволяет быстро создать фирменные бланки на основе имеющихся шаблонов

Рис. 14.25. Перечень персональных титульных страниц

Пользователь может выбрать стандартный титульный лист и скопировать его в папку Fax | Personal Coverpages, появляющуюся в папке My Documents (Мои документы) после установки службы факсов. При необходимости можно отредактировать скопированный титульный лист (при этом оригинал не будет изменен).

Диспетчер службы факсов

В составе службы факсов Windows Server 2003 поставляется специальная утилита Fax Service Manager (Диспетчер службы факсов) (рис. 14.26). Эта утилита предназначена для централизованного управления серверами, на которых установлены службы факсов. Администратор может использовать данную утилиту для следующих целей:

  • управление службой факса;
  • конфигурирование факс-модемов и управление ими;
  • управление входящими и исходящими правилами маршрутизации факсов;
  • конфигурирование режима протоколирования событий, связанных с отправкой факсов и функционированием службы факсов;
  • управление очередями исходящих и входящих факсов;

Рис. 14.26. Оснастка Fax Service Manager

  • управление разрешениями, правами владения и аудитом;
  • конфигурирование режима архивирования;
  • конфигурирование параметров передачи факсов.

Настройка принтера факсов

Как уже говорилось, для настройки параметров факса используется Мастер настройки факсов, с помощью которого можно задать как сведения об отправителе, так и параметры работы факсов. Эти параметры можно в любой момент просмотреть и/или изменить с помощью команды Tools | Sender Information (Сервис | Сведения об отправителе), вызываемой из оснастки Fax Console (Консоль факсов), а также с помощью утилиты Fax Service Manager. Параметры окна свойств факса во многом аналогичны параметрам окна свойств обычных принтеров. Исключение составляют параметры, перечисленные на вкладке Tracking (Отслеживание) (рис. 14.27).
Данная группа параметров позволяет настроить механизм отслеживания основных этапов передачи факсов.

Рис. 14.27. Вкладка Tracking окна свойств факса

Телефония

В составе Windows Server 2003 реализован API-интерфейс телефонии (Telephony API, TAPI) версии 3.1, обеспечивающий функциональные возможности систем клиент-сервер. Благодаря данному интерфейсу прикладные телефонные программы на клиентском компьютере могут связываться с выделенным компьютером-сервером, который функционирует как шлюз с телефонным коммутатором. Интерфейс TAPI также является основой для реализации в прикладных программах различных функций телефонии (например, для набора номера, для переадресации звонков, для речевой почты, для идентификации звонящего, для организации средствами компьютеров конференц-связи).
Имеются две формы интеграции компьютера и телефонии: с применением технологий классической телефонии и IP-телефонии. Классическая телефония использует коммутируемые телефонные сети общего пользования (Public Switched Telephony Networks, PSTN), что обеспечивает создание клиент-серверных телефонных систем, а IP-телефония позволяет использовать компьютерную конференц-связь по локальным сетям (LAN), глобальным сетям (WAN), либо через Интернет. В состав Windows Server 2003 входит ряд стандартных служб доступа — поставщиков телефонных услуг, реализующих различные функции.

Рис. 14.28. Службы доступа к телефонии в Windows Server 2003

Перечень поддерживаемых поставщиков можно получить на вкладке Advanced (Дополнительно) окна Phone and Modem Options (Телефон и модем) (рис. 14.28).

IР-телефония

В организациях обычно поддерживаются раздельные сети для передачи голоса, данных и видеоинформации. Поскольку все сети имеют различные транспортные требования и физически независимы, их установка, поддержка и реорганизация обходятся дорого. IP-телефония объединяет сети передачи голоса, видео и данных, используя общий транспорт IP для каждого из потоков, по-настоящему собирая отдельные сети в единую технологическую цепь.
Клиенты IP-телефонии используют телефон, подключенный к адаптеру PSTN, либо существующие аппаратные средства мультимедиа. IP-телефония поддерживает телефонную, звуковую и видеоконференц-связь, голосовую и видеопочту, а также службы видео по требованию (video on-demand). Возможности IP-телефонии могут эффективно использоваться средством Remote Assistance, а также программой Windows Messenger.

Поставщики услуг IP-телефонии

Интерфейс TAPI поддерживает стандарт Н.323 и стандарт групповой конференц-связи IP при помощи соответствующих служб Windows Server 2003. Стандарт Н.323 представляет собой всеобъемлющий стандарт ITU для передачи мультимедиа (голоса, видео и данных) по сетям без установления логического соединения, например, по IP-сетям и Интернету, которые не обеспечивают гарантированное качество обслуживания (QoS). Стандарт описывает управление вызовом, мультимедиа и шириной полосы пропускания для двухточечных и многоточечных конференций. Н.323 поддерживает стандартные звуковые и видеокодеры и декодеры и обеспечивает поддержку совместного использования данных по стандарту Т. 120. Н.323 — стандарт, не зависящий от сети, платформы и прикладного уровня, что позволяет любому терминалу, соответствующему Н.323, взаимодействовать с любым другим терминалом.

Групповая конференц-связь по IP

Поставщик услуг групповой конференц-связи IP (IP Multicast Conferencing Service Provider) — расширение для IP, позволяющее осуществлять эффективную групповую связь группы по LAN. При наличии группового IP-протокола пользователи посылают только одну копию данных группе IP-адресов для достижения всех получателей, которые хотят получить данные, с использованием самых коротких деревьев для определения пути. Без использования многоадресного вещания те же самые данные необходимо было бы передавать по сети несколько раз, по одной копии для каждого получателя, или передать широковещательно каждому пользователю в сети, что заняло бы полосу пропускания и время на обработку и передачу данных.


Маршрутизация

  • Маршрутизация
  • Обзор механизмов маршрутизации Windows Server 2003
  • Принципы маршрутизации сообщений
  • Одноадресная маршрутизация
    • Понятие таблицы маршрутизации
    • Типы записей в таблице маршрутизации
    • Структура таблицы маршрутизации
    • Методы построения таблиц маршрутизации
    • Статическая маршрутизация
    • Протоколы маршрутизации
      • Протокол RIP
      • Протокол OSPF
    • Маршрутизация AppleTalk-трафика
    • Сценарии развертывания одноадресной маршрутизации
      • Простой сценарий маршрутизации
      • Сценарий с несколькими маршрутизаторами
  • Многоадресная маршрутизация
    • Групповое вещание
    • Пересылка группового трафика
    • Компонент маршрутизации протокола IGMP
    • Групповая маршрутизация
    • Сценарии развертывания многоадресной маршрутизации
      • Интрасеть с одним маршрутизатором
      • Одиночная интрасеть и Интернет
  • Маршрутизация с вызовом по требованию
    • Пример настройки маршрутизации с вызовом по требованию
      • Конфигурирование Маршрутизатора 1
      • Конфигурирование Маршрутизатора 2
      • Окончательная конфигурация
    • Процесс установки соединения с вызовом по требованию
    • Обновления маршрутов с вызовом по требованию
  • Применение маршрутизатора Windows Server 2003 для организации виртуальных частных сетей
  • Использование Windows Server 2003 в качестве маршрутизатора
    • Аппаратные требования
  • Конфигурирование службы маршрутизации и удаленного доступа
    • Работа с мастером Routing and Remote Access Server Setup Wizard
    • Конфигурирование портов и устройств
    • Создание статических маршрутов
    • Развертывание протокола маршрутизации RIP
    • Развертывание протокола маршрутизации OSPF
    • Активизация механизма пересылки трафика группового вещания
    • Разрешение AppleTalk-маршрутизации
  • Текущий контроль маршрутизатора
    • Управление удаленным маршрутизатором
    • Просмотр таблиц маршрутизации

Маршрутизация

В процессе организации межсетевого взаимодействия важное место занимает маршрутизация сообщений между отдельными подсетями. При этом под маршрутизацией понимается процесс доставки сообщения из одной подсети в другую. Данная задача может решаться различными способами. При этом, чем сложнее рассматриваемая система, чем больше подсетей ее образуют, тем более нетривиальным является решение задачи доставки сообщений. Сетевой компонент, выполняющий маршрутизацию пакетов, называется маршрутизатором (router). Маршрутизатор может быть реализован на базе компьютера с несколькими сетевыми интерфейсами, на котором установлено специальное программное обеспечение. В этом случае говорят о программном маршрутизаторе. В другом случае маршрутизатор может быть выполнен в виде отдельного сетевого устройства. Разумеется, наиболее эффективным решением является использование специальных аппаратных маршрутизаторов. В настоящее время лидером на рынке корпоративных маршрутизаторов является компания Cisco, предлагающая высокопроизводительные и надежные устройства. В небольших сетях (таких как сеть небольшого офиса или домашняя сеть), использование аппаратного маршрутизатора может быть экономически необоснованно.
Системы Windows Server 2003 включают в себя механизмы, позволяющие серверу, находящемуся под ее управлением, выступать в качестве программного маршрутизатора. Эти механизмы реализованы в составе Службы маршрутизации и удаленного доступа (Routing and Remote Access Service, RRAS). Хотя в архитектуре Windows Server 2003 основной упор делается на стек протоколов TCP/IP, в состав указанной службы также включена поддержка механизмов маршрутизации стека протоколов AppleTalk.

Обзор механизмов маршрутизации Windows Server 2003

Реализованный в Windows Server 2003 механизм маршрутизации может с успехом использоваться для организации межсетевого взаимодействия в вычислительных сетях любого масштаба (в том числе и для интеграции корпоративной сети в Интернет), а также для организации виртуальных частных сетей (Virtual Private Network, VPN). Рассмотрим функциональные возможности, характерные для службы маршрутизации, реализованной в Windows Server 2003.

  • Многопротокольная маршрутизация для IP и AppleTalk. Необходимо обратить особое внимание на то, что в отличие от предыдущих версий Windows, маршрутизация для IPX-трафика больше не поддерживается.
  • Статическая и динамическая фильтрация IP-трафика. Фильтры позволяют ограничить сетевой трафик, проходящий через маршрутизатор. Эта мера может быть использована как с целью обеспечения безопасности периметра корпоративной сети, так и с целью повышения производительности сети. Механизмы фильтрации были рассмотрены в главе 14 "Коммуникационные службы".
  • Маршрутизация вызовом по требованию через коммутируемые соединения с глобальными сетями. Маршрутизатор может устанавливать коммутируемое соединение с другим маршрутизатором в ситуации, когда ему необходимо передать сообщение. Использование данной схемы маршрутизации может сократить расходы предприятия, связанные с арендой коммутируемых каналов связи.
  • Поддержка стандартных одноадресных протоколов маршрутизации IP. В Windows Server 2003 реализована поддержка протоколов OSPF (Open Shortest Path First) и RIP (Routing Information Protocol) версий 1 и 2. Указанные протоколы используются для построения таблиц одноадресной маршрутизации.
  • Поддержка агента ретрансляции DHCP (DHCP Relay Agent) для IP. Использование агента ретрансляции позволяет DHCP-серверу обслуживать клиентов, расположенных в различных подсетях.
  • Службы группового вещания IP. Маршрутизатор под управлением Windows Server 2003 может функционировать в режимах IGMP-маршрутизатора и IGMP-посредника, что позволяет использовать его для пересылки трафика группового вещания (multicast).
  • Поддержка механизма виртуальных частных сетей (Virtual Private Network, VPN). Маршрутизатор Windows Server 2003 может участвовать в процессе создания виртуальной частной сети при помощи протоколов туннелирования РРТР и L2TP. При этом может быть использована конфигурация "маршрутизатор—маршрутизатор VPN". В этой конфигурации два маршрутизатора обмениваются между собой информацией через открытую сеть посредством защищенного канала, созданного с применением протоколов туннелирования.
  • Поддержка разнообразных сред передачи данных. Поскольку служба маршрутизации реализована непосредственно в составе Windows Server 2003, она может работать с любым сетевым интерфейсом, поддерживаемым средствами операционной системы, включая 10- и 100-битный Ethernet. Token Ring, Fiber-optic Distributed Data Interface (Распределенный волоконно-оптический интерфейс данных, FDDI), Asynchronous Transfer Mode (Режим асинхронной передачи, ATM), Integrated Services Digital Network (Цифровая сеть с интегрированными службами, ISDN), Frame Relay (Технология передачи фреймов), Х.25 и модемы.
  • Инструменты управления с графическим интерфейсом. Для управления службой маршрутизации используется оснастка Routing and Remote Access.
  • Интерфейс командной строки. Для написания сценариев и автоматизации конфигурирования администратор может использовать специальные утилиты командной строки.
  • Управление через SNMP. Служба маршрутизации Windows Server 2003 включает в себя поддержку протокола SNMP (Simple Network Management Protocol) версии 1, используемого в качестве средства централизованного управления сетевыми ресурсами.

Принципы маршрутизации сообщений

В межсетевой среде каждая подсеть может быть соединена с произвольным количеством других подсетей посредством маршрутизаторов. Суть процесса маршрутизации сводится к тому, что два хоста, разделенных друг с другом любым произвольным количеством маршрутизаторов (другими словами, находящиеся в разных подсетях), могут взаимодействовать друг с другом. Всю организацию процесса доставки пакета от одного хоста другому берут на себя маршрутизаторы. Рассмотрим основные принципы, лежащие в основе процесса маршрутизации сообщений. Сразу оговоримся, что разговор будет идти, прежде всего, о маршрутизации IP-трафика. Подавляющее большинство сетевых служб Windows Server 2003 функционирует на базе стека протоколов TCP/IP, получившего широкое распространение именно благодаря простоте организации межсетевого взаимодействия (как известно, самое большое объединение сетей — Интернет, тоже основывается на этом стеке протоколов). Тем не менее, заметим, что в своей основе принципы маршрутизации являются общими для большинства стеков протоколов.
В зависимости от количества вовлеченных получателей стек протоколов TCP/IP поддерживает два способа маршрутизации: одноадресная и многоадресная маршрутизация. Соответственно, мы рассмотрим принципы маршрутизации применительно к каждому из способов в отдельности.

Одноадресная маршрутизация

Под одноадресной маршрутизацией понимается процесс передачи сообщений между подсетями, в котором сообщение адресовано только одному заданному получателю. Вся задача маршрутизации в этом случае сводится к доставке пакета получателю и выбору оптимального маршрута из множества возможных.

Понятие таблицы маршрутизации

Отправителя и получателя может разделять произвольное количество маршрутизаторов. При этом процесс передачи сообщения от одного маршрутизатора другому называется "прыжком" (hop). Каждый маршрутизатор обладает информацией о структуре сети на расстоянии одного прыжка. Другими словами, маршрутизатор не обладает информацией о точном местоположении требуемого хоста. В большой сети, да еще и с интенсивно меняющейся структурой (как, например, Интернет), это было бы невозможно. Вместо этого, маршрутизатор обладает информацией о соседних маршрутизаторах и о том, кому из них необходимо передать сообщение для последующей доставки в той или иной ситуации. Эта информация хранится в специальной таблице, которая носит название таблицы маршрутизации (routing table).
Таблицы маршрутизации используются для принятия решения о том, как именно будет доставлено то или иное сообщение. Наличие этих таблиц не является исключительным свойством маршрутизатора. В сети TCP/IP любой хост (даже не являющийся маршрутизатором) может также располагать таблицей маршрутизации, которая используется с целью определения оптимального маршрута передачи сообщений. Так, скажем, если в подсети имеется три маршрутизатора, хост использует таблицу маршрутизации для того, чтобы выбрать из них наиболее оптимальный для доставки сообщения.

Типы записей в таблице маршрутизации

Записи в таблице маршрутизации называются маршрутами. При этом существует три типа маршрутов.

  • Маршрут к хосту, или узловой маршрут (Host Route). Этот тип маршрута определяет путь доставки пакета, адресованного хосту с конкретным сетевым адресом. Маршруты к хостам обычно используются для создания настраиваемых маршрутов к определенным компьютерам, а также для управления или оптимизации сетевого трафика.
  • Маршрут к сети, или сетевой маршрут (Network Route). Данный тип маршрута используется для определения способа доставки пакета в подсеть с определенным адресом. Большую часть содержимого таблицы маршрутизации представляют собой маршруты данного типа.
  • Маршрут по умолчанию (Default Route). Маршрут по умолчанию используется, когда не найдены никакие другие маршруты в таблице маршрутизации. Маршрут по умолчанию используется в ситуации, когда в таблице маршрутизации отсутствует соответствующий маршрут по идентификатору сети или маршрут к хосту по адресу получателя. Маршрут по умолчанию упрощает конфигурацию компьютеров. Вместо конфигурирования компьютера и настройки маршрутов для всех идентификаторов сетей в межсетевой среде используется одиночный маршрут по умолчанию для пересылки всех пакетов в сеть получателя или по адресу в межсетевой среде, который не был найден в таблице маршрутизации.

Структура таблицы маршрутизации

Рассмотрим структуру таблицы маршрутизации на следующем примере:

Сеть назначения | Маска подсети | Шлюз | Интерфейс | Метрика
0.0.0.0 | 0.0.0.0 | 0.0.0.0 | fffffffff | 1
10.0.0.0 | 255.255.255.0 | 10.0.0.1 | 10.0.0.1 | 30
10.0.0.1 | 255.255.255.255 | 127.0.0.1 | 127.0.0.1 | 30
10.255.255.255 | 255.255.255.255 | 10.0.0.1 | 10.0.0.1 | 30
127.0.0.0 | 255.0.0.0 | 127.0.0.1 | 127.0.0.1 | 1
224.0.0.0 | 240.0.0.0 | 10.0.0.1 | 10.0.0.1 | 30
255.255.255.255 | 255.255.255.255 | 10.0.0.1 | 10.0.0.1 | 1

Каждая запись в таблице маршрутизации (представляющая собой информацию о маршруте) состоит из информационных полей, перечисленных ниже.

  • Сеть назначения (Network Destination). Данное поле содержит сведения об адресе хоста-получателя пакета или сети, в которой этот хост располагается. Принимая решение о маршрутизации пакета, система просматривает именно это поле. Если в данном поле не будет найдено записи о конкретном адресе сети или хоста, маршрутизатором будет использован маршрут по умолчанию.
  • Маска подсети (Netmask). Это поле в сочетании с предыдущим полем используется для вычисления идентификатора IP-сети.
  • Шлюз (Gateway). В этом поле указывается адрес, по которому будет должен быть передан согласно данному маршруту. Адрес пересылки может быть аппаратным адресом или адресом в межсетевой среде. В большинстве случаев в этом поле указывается следующий в цепочке маршрутизатор, который должен будет принять решение о дальнейшей маршрутизации сообщения.
  • Интерфейс (Interface). В этом поле указывается сетевой интерфейс, с которого будет осуществляться передача сообщения согласно данному маршруту. Данное поле необходимо в ситуации, когда маршрутизатор имеет множество сетевых интерфейсов, подключенных к разным подсетям. Фактически данное поле указывает, в какую именно подсеть необходимо передать сообщение.
  • Метрика (Metric). Стоимость маршрута, характеризующая меру его предпочтения. Из множества альтернативных маршрутов будет выбран тот, что обладает наименьшей стоимостью (т. е. меньшим значением метрики). Некоторые алгоритмы маршрутизации сохраняют только один маршрут для любого идентификатора сети в таблице маршрутизации, даже когда существует несколько маршрутов. В этом случае метрика используется маршрутизатором, чтобы определить какой именно маршрут необходимо сохранить в таблице маршрутизации.

Методы построения таблиц маршрутизации

В зависимости от способа формирования содержимого таблицы маршрутизации различают два вида маршрутизации.

  • Статическая маршрутизация. Все маршруты прописываются и изменяются администратором системы вручную. Это самый простой способ организации маршрутизации. Однако он подходит только для небольших сетей, изменения в структуре которых происходят достаточно редко. Кроме того, данный способ маршрутизации не годится в случае, когда важно обеспечить высокую надежность межсетевого взаимодействия. Если один из маршрутов окажется по каким-либо причинам недоступен, администратору необходимо будет вручную изменить таблицу маршрутизации на всех маршрутизаторах в сети. До этого момента межсетевое взаимодействие на отдельных участках сети будет невозможно.
  • Динамическая маршрутизация. Построение таблицы маршрутизации осуществляется посредством специальных протоколов маршрутизации. Участие администратора в этом процессе минимально и сводится к изначальной конфигурации маршрутизаторов. Два наиболее распространенных протокола IP-маршрутизации, используемых в интрасетях, — протоколы RIP (Routing Information Protocol) и OSPF (Open Shortest Path First). Посредством указанных протоколов маршрутизаторы способны информировать друг друга об изменениях в структуре сети. В случае недоступности одного из маршрутов, маршрутизаторы автоматически перестроят свои таблицы маршрутизации и, при возможности, выберут другой маршрут доставки сообщений.

Статическая маршрутизация

Статическая маршрутизируемая IP-сеть не использует протоколы маршрутизации, поскольку вся информация о маршрутизации хранится в статической таблице на каждом маршрутизаторе. Чтобы любые два произвольных хоста в сети могли взаимодействовать между собой, каждый маршрутизатор должен иметь такую таблицу маршрутов.
Статическая маршрутизируемая IP-среда лучше всего подходит для небольшой сети с редко изменяющейся структурой, в которой отсутствуют альтернативные маршруты. Статическая маршрутизируемая среда может применяться для:

  • сети малого предприятия;
  • сети домашнего офиса;
  • филиала с одной сетью.

Вместо реализации протокола маршрутизации через узкополосный канал связи, одиночный маршрут по умолчанию на маршрутизаторе филиала гарантирует, что весь трафик, не предназначенный для компьютера в сети филиала, будет направлен в основной офис.
Недостатки статической маршрутизации:

  • Отсутствие отказоустойчивости. Если в силу каких-либо причин один из маршрутизаторов выходит из строя или становится недоступным коммуникационный канал, статический маршрутизатор не сможет как-то отреагировать на неисправность. Более того, другие маршрутизаторы в сети не будут знать о неисправности и будут продолжать передавать данные по недоступному маршруту. В сетях малого офиса (например, с двумя маршрутизаторами и тремя сетями, соединенными в ЛВС) подобные ситуации могут решаться администратором оперативно. В крупных сетях более предпочтительным оказывается использование специальных протоколов маршрутизации;
  • Непроизводительные административные затраты. Если добавляется новая подсеть или удаляется из межсетевой среды существующая, маршруты к ней должны быть вручную добавлены или удалены. Если добавляется новый маршрутизатор, то он должен быть правильно сконфигурирован для маршрутизации в межсетевой среде.

Протоколы маршрутизации

Среди существующего многообразия протоколов маршрутизации Windows Server 2003 поддерживает только два:

  • протокол RIP версии 1 и 2;
  • протокол OSPF.

Рассмотрим эти протоколы более подробно.

Протокол RIP

Протокол обмена информацией о маршрутизации (Routing Information Protocol, RIP) разрабатывался как механизм, посредством которого маршрутизаторы могут обмениваться информацией об обновлениях таблиц маршрутизации. Этот механизм изначально предполагался для использования в сетях относительно небольшого размера (это верно для RIP версии 1).
Протокол RIP использует следующую схему построения таблицы маршрутизации. Первоначально таблица маршрутизации каждого маршрутизатора включает в себя маршруты только для тех подсетей, что физически подсоединены к маршрутизатору. Используя протокол RIP, маршрутизатор периодически отправляет другим маршрутизаторам объявления, содержащие информацию о содержимом собственной таблицы маршрутизации. RIP версии 1 использует для передачи объявлений широковещательные IP-пакеты. RIP версии 2 позволяет использовать для объявлений также пакеты группового вещания. Каждый маршрутизатор рассылает подобные объявления периодически с интервалом в 30 секунд.
Маршрутизаторы, использующие протокол RIP, могут также сообщать информацию о маршрутизации при помощи триггерных обновлений. Триггер-ные обновления инициируются, когда происходит изменение топологии сети и посылается обновленная информация о маршрутизации, которая отражает эти изменения. Триггерные обновления происходят немедленно, следовательно, информация о маршрутизации обновится раньше, чем произойдет следующее периодическое объявление. Например, когда маршрутизатор обнаруживает установление соединения или отказ соседнего маршрутизатора, он модифицирует собственную таблицу маршрутизации и рассылает обновленные маршруты. Каждый маршрутизатор, получающий триггерное обновление, изменяет собственную таблицу маршрутизации и распространяет изменение.
Основное преимущество R1P заключается в простоте развертывания и конфигурирования. В качестве недостатка RIP версии 1 можно отметить наличие жесткого ограничения на размер сети. Протокол R1P может быть использован в сети, в которой два хоста разделены не более чем 15 маршрутизаторами. Другими словами, маршрутизатор, использующий протокол RIP для построения таблицы маршрутизации, "знает" только о тех подсетях, что расположены на расстоянии не более 15 переходов. Подсети, расположенные на расстоянии 16 или более пересылок, считаются недостижимыми.
Поскольку глобальные IP-сети становятся все больше и больше, периодические RIP-объявления каждого маршрутизатора могут вызывать чрезмерный трафик. В качестве другого недостатка протокола RIP можно отметить высокое время восстановления. В ситуации, когда в структуре сети происходят изменения, может пройти несколько минут прежде, чем все корпоративные маршрутизаторы получат информацию о произошедшем изменении и переконфигурируют собственные таблицы маршрутизации. За то время как происходит реконфигурирование маршрутизаторов, могут образоваться циклы маршрутизации, приводящие к потере или невозможности доставки данных. В условиях повышенных требований к надежности канала данных существующих возможностей протокола RIP может быть недостаточно.
Службы маршрутизации и удаленного доступа Windows Server 2003 могут работать с протоколом RIP версий 1 и 2. RIP версии 2 поддерживает объявления, рассылаемые при помощи групповых рассылок, простую аутентификацию при помощи пароля, а также дает возможность гибкой настройки при работе в средах с подсетями и в CIDR-средах (Classless InterDomain Routing, Бесклассовая междоменная маршрутизация).
Реализация протокола RIP в Windows Server 2003 характеризуется следующими функциональными возможностями:

  • выбор версии R1P, которая будет выполняться на каждом интерфейсе для входящих и исходящих пакетов;
  • алгоритмы "split horizon", "poison reverse" и триггерных обновлений, которые используются для корректного отображения изменений топологии сети;
  • фильтры маршрутов для выбора тех сетей, которые необходимо объявлять или принимать от них обновления;
  • фильтры источников для выбора маршрутизаторов, от которых будут приниматься объявления;
  • конфигурируемые объявления и таймеры старения маршрута;
  • поддержка простого удостоверения подлинности при помощи пароля;
  • возможность отключения суммирования подсетей.

Использование в сети протокола маршрутизации RIP оправданно в случае небольшой сети с динамически меняющейся структурой, имеющей несколько возможных маршрутов. Маршрутизируемая среда на базе протокола RIP может потребоваться для:

  • предприятия среднего размера;
  • большого офиса филиала или дополнительного офиса со множественными сетями.

Протокол OSPF

Протокол OSPF (Open Shortest Path First) разрабатывался как механизм, посредством которого маршрутизаторы могут обмениваться информацией о содержимом таблиц маршрутизации в большой межсетевой среде. Протокол OSPF является протоколом маршрутизации с объявлением состояния канала связи. В основе функционирования протокола OSPF лежит алгоритм "первоочередного обнаружения кратчайшего пути" (Shortest Path First, SPF), который используется для вычисления маршрутов в таблице маршрутизации. Используя алгоритм SPF, маршрутизатор вычисляет кратчайший (т. е. обладающий наименьшей стоимостью) путь ко всем подсетям в межсетевой среде. В маршрутах, рассчитанных при помощи алгоритма SPF, всегда отсутствуют циклы.
В отличие от протокола RIP, протокол OSPF поддерживает "карту" корпоративной сети. Эта карта модифицируется каждый раз, когда происходит какое-либо изменение в структуре сети. Эта карта, называемая базой данных состоянии связей (link state database), синхронизирована для всех OSPF-маршрутизаторов и используется, чтобы вычислить маршруты в таблице маршрутизации. Изменения в структуре сети приводят к немедленному распространению сведений об этих изменениях на все маршрутизаторы, которые, в свою очередь, обновляют собственный экземпляр базы данных состояния связей. Обновление базы данных состояний связей приводит к повторному пересчету таблицы маршрутизации.
Начиная свою работу, каждый маршрутизатор извещает другие маршрутизаторы о своем существовании, отправляя специальное сообщение во все доступные подсети. Другие маршрутизаторы получают это сообщение и обновляют свой экземпляр базы данных о состоянии связей. Фактически указанная база данных и формируется на основании этих сообщений.
Поскольку размер базы данных состояний связей растет, требования к объему памяти и время на вычисление маршрута увеличиваются. Чтобы решить эту проблему, OSPF рассматривает межсетевую среду как совокупность областей (под областью в данном случае понимается совокупность непрерывных сетей), соединенных друг с другом через некоторую базовую область (backbone area). Все маршрутизаторы, принадлежащие к одной области, обладают идентичными репликами базы данных состояния связей.
С целью идентификации областей каждой из них выделяется специальный идентификатор (area ID), представляющий собой 32-разрядное число. Этот идентификатор записывается так же как и IP-адрес — в десятично-точечном формате (т. е. в виде четырех однобайтовых чисел, разделенных точками). Идентификатор области никак не связан с IP-адресацией. Администратор может присваивать идентификаторы областям по своему усмотрению, не оглядываясь на используемые в сети IP-адреса. При этом одна область OSPF может включать в свой состав неограниченное количество подсетей (размер области ограничивается исключительно размером базы данных состояния связей).
Каждый маршрутизатор хранит базу данных состояний связей только для тех областей, которые подсоединены к маршрутизатору непосредственно. Маршрутизаторы, соединяющие базовую область с другими областями, называются пограничными маршрутизаторами областей (Area Border Router, ABR). Пограничные маршрутизаторы накапливают изменения, полученные от остальных маршрутизаторов области, и передают их разом маршрутизаторам, расположенным в других областях.
На рис. 15.1 показан пример разделения сети на области в случае использования протокола OSPF.

Рис. 15.1. Сеть с использованием протокола OSPF

Самое большое преимущество протокола OSPF заключается в том, что он является высокопроизводительным протоколом и приводит к незначительным издержкам даже в очень больших межсетевых конфигурациях. В качестве недостатка протокола OSPF можно отметить определенную сложность его развертывания и конфигурирования.
По сравнению с протоколом RIP протокол маршрутизации OSPF обладает следующими преимуществами:

  • алгоритм, лежащий в основе протокола OSPF, позволяет избежать петель маршрутизации;
  • в процессе своего функционирования протокол OSPF генерирует значительно меньший сетевой трафик, чем протокол RIP. Как следствие, переход с RIP на OSPF позволит снизить нагрузку на сеть;
  • протокол OSPF для рассылки служебных сообщений использует только групповое вещание (в отличие от протокола R1P версии 1);
  • протокол OSPF предусматривает возможность разбиения корпоративной сети на области. Области могут, с одной стороны, рассматриваться как домены маршрутизации, с другой стороны, облегчают процесс администрирования подсистемы маршрутизации;
  • протокол OSPF не имеет ограничений на количество переходов между маршрутизаторами, что позволяет его использовать в корпоративных сетях любого масштаба;
  • реконфигурация таблиц маршрутизации, вызванная изменениями в структуре сети, происходит за очень короткий период (значительно быстрее, нежели в случае использования протокола RIP).

Реализация протокола OSPF, предложенная в рамках Windows Server 2003, обладает следующими функциональными возможностями:

  • фильтр маршрутов для управления взаимодействием с другими протоколами маршрутизации;
  • динамическая реконфигурация всех установок OSPF;
  • сосуществование с RIP;
  • динамическое добавление и удаление сетевых интерфейсов маршрутизатора.

Маршрутизируемая OSPF-среда лучше всего подходит для крупных межсетевых сред (насчитывающих более 50 подсетей) с динамически изменяемой структурой, имеющих несколько путей доставки пакетов, передаваемых между любыми двумя конечными точками межсетевой среды.
Ниже перечислены сетевые конфигурации, для которых необходима маршрутизируемая OSPF-среда:

  • корпоративная или сеть университетского городка (campus);
  • международная корпоративная или университетская межсетевая среда.

Примечание

Протокол маршрутизации OSPF на 64-разрядных версиях операционных систем семейства Windows Server 2003 не поддерживается.

Маршрутизация AppleTalk-трафика

В рамках службы маршрутизации и удаленного доступа Windows Server 2003 реализованы механизмы, позволяющие организовать маршрутизацию трафика протокола AppleTalk. Данный протокол используется в качестве транспортного механизма в сетях, построенных на базе Apple Macintosh. Благодаря наличию механизмов маршрутизации AppleTalk-трафика компьютер, находящийся под управлением операционной системы Windows Server 2003, может выступать в качестве программного маршрутизатора в среде AppleTalk. Возможности маршрутизации AppleTalk-трафика включают в себя поддержку протокола маршрутизации Routing Table Maintenance Protocol (RTMP).

Примечание

Поддержка протокола AppleTalk реализована в Windows Server 2003 с целью предоставления возможности сосуществования двух различных платформ в одной сети. Использовать стек протоколов AppleTalk в других ситуациях (например, как средство организации сетевого взаимодействия Windows-хостов) не рекомендуется. Поддержка маршрутизации AppleTalk-трафика не реализована на 64-разрядных версиях операционных систем семейства Windows Server 2003.

Сценарии развертывания одноадресной маршрутизации

В качестве примера рассмотрим два типичных сценария организации процесса маршрутизации:

  • простой сценарий маршрутизации;
  • сценарий с несколькими маршрутизаторами.

Простой сценарий маршрутизации

В самом, простом сценарии две или несколько подсетей могут быть соединены между собой при помощи одного маршрутизатора. Для решения этой задачи вполне можно использовать маршрутизатор на базе Windows Server 2003. На рис. 15.2 показана простая конфигурация сети с маршрутизатором Windows, соединяющим два сегмента ЛВС (Сети А и В). В данном сценарии используется только один маршрутизатор. Как следствие, отсутствует проблема обмена информацией о маршрутах между маршрутизаторами. Поэтому не требуется развертывание протоколов маршрутизации.

Рис. 15.2. Простой сценарий маршрутизации

Сценарий с несколькими маршрутизаторами

В более сложном сценарии для объединения множества подсетей потребуется несколько маршрутизаторов. В большинстве случаев этот сценарий может быть также решен при помощи программных маршрутизаторов на базе Windows Server 2003. При этом необходимо будет использовать специализированные протоколы маршрутизации (либо, в случае статической маршрутизации, сконфигурировать на всех маршрутизаторах вручную таблицы маршрутизации).
Пример рассматриваемого сценария изображен на рис. 15.3. В предложенной конфигурации имеются три сети (Сети А, В, и С) и два маршрутизатора. Маршрутизатор 1 подключен к Сетям А и В, Маршрутизатор 2 — к Сетям В и С. Маршрутизатор 1 должен известить Маршрутизатор 2 о том, что Сеть А может быть достигнута через Маршрутизатор 1, а Маршрутизатор 2 должен сообщить Маршрутизатору 1, что Сеть С может быть достигнута через Маршрутизатор 2. Маршрутизаторы обменяются этой информацией автоматически, в случае, если используются протоколы маршрутизации, например RIP или OSPF. Когда пользователь в Сети А хочет установить соединение с пользователем в Сети С, компьютер пользователя в Сети А передает пакет на Маршрутизатор 1. Маршрутизатор 1 затем передает пакет Маршрутизатору 2. Тот, в свою очередь, передает пакет далее компьютеру пользователя в Сети С.

Рис. 15.3. Сценарий с двумя маршрутизаторами и тремя сетями

Многоадресная маршрутизация

Под многоадресной маршрутизацией понимается маршрутизация трафика группового вещания. Групповое вещание (multicasting) предполагает отправку пакетов, адресованных не одному получателю, а целой группе. Механизм многоадресной маршрутизации позволяет каждому получателю, принадлежащему к определенной группе, получить пакет группового вещания независимо от того, в какой подсети он находится. Прежде чем детально рассмотреть механизмы многоадресной маршрутизации, необходимо ознакомиться с принципами группового вещания.

Групповое вещание

Стандартный способ доставки (одноадресный) предполагает установку соединения "точка-точка", когда пакет доставляется одному получателю. В случае, когда один и тот же пакет должен быть доставлен нескольким получателям, установка нескольких точечных соединений оказывается неэффективным решением (с одной стороны, происходит увеличение сетевого трафика, а с другой, — увеличиваются затраты вычислительных ресурсов на поддержание списка конечных точек). Использование широковещательных рассылок также не является эффективным решением, поскольку широковещательные сообщения не транслируются маршрутизаторами. В качестве альтернативы можно использовать другой метод доставки, когда получателем пакета выступает не один, а несколько получателей. Данный принцип лежит в основе группового вещания (multicasting).
Каждый хост, входящий в группу вещания, помимо уникального IP-адреса. однозначно идентифицирующего хост в пределах сети, получает также некоторый групповой IP-адрес. Этот адрес идентичен для всех хостов, являющихся членами группы. Этот адрес может быть указан в качестве получателя пакета. В этом случае пакет будет получен всеми хостами, входящими в состав группы вещания. Все другие узлы просто проигнорируют данный пакет. В этом заключается существенное отличие группового вещания от широковещательных рассылок — групповой трафик не "беспокоит" хосты, не принадлежащие к группе вещания и не ожидающие группового трафика.
Групповое вещание может использоваться для следующих целей:

  • обнаружения ресурсов в межсетевом пространстве;
  • поддержки распределенных сетевых приложений;
  • поддержки групповых приложений мультимедиа, предполагающих передачу потоковых данных (например, цифрового аудио и видео). В качестве примера приложения, использующего групповое вещание, можно привести Microsoft Media Services.

В приведенном на рис. 15.4 примере три хоста, расположенные в разных подсетях, принадлежат к одной группе вещания. Следует обратить внимание на то, что хотя каждый хост уникально идентифицируется посредством IP-адреса, каждому из них выделен общий групповой адрес. В данном примере предполагается, что трафик группового вещания распространяется свободно в обоих подсетях. На самом деле, задача распространения трафика группового вещания (так же как и в случае одноадресной маршрутизации) в условиях межсетевого взаимодействия решается на уровне маршрутизаторов.

Рис. 15.4. Групповое вещание

Рассматривая процесс распространения группового трафика в корпоративной сети, следует различать пересылку группового трафика (multicast forwarding) и групповую маршрутизацию (multicast routing).
Под групповой пересылкой понимается процесс перенаправления маршрутизатором трафика группового вещания в подсети, в которых присутствуют хосты, принадлежащие к требуемой группе вещания. При этом групповой трафик не передается маршрутизатором в те подсети, в которых подобные хосты отсутствуют.
Под групповой маршрутизацией понимается процесс распространения информации о составе групп вещания между маршрутизаторами. Фактически, в данном случае, речь идет о работе протоколов маршрутизации применительно к групповому вещанию.

Пересылка группового трафика

При помощи пересылки группового трафика маршрутизатор передает пакеты группового вещания в подсети, где имеются хосты, ожидающие групповой трафик, или в том направлении, где имеются хосты, ожидающие этот трафик. Предотвращается передача трафика группового вешания в подсети, где отсутствуют хосты, слушающие групповой трафик. Совершенно очевидно, что .пля выполнения этой операции маршрутизатор должен иметь соответствующие механизмы. Применительно к Windows Server 2003 поддержка операции пересылки группового трафика реализуется как на уровне сетевых интерфейсов, так и на уровне службы маршрутизации.
На уровне сетевых интерфейсов поддержка группового вещания реализуется в рамках стека протоколов TCP/IP. Процесс передачи группового трафика регламентируется специальным протоколом, являющимся частью данного стека — Internet Group Management Protocol (JGMP, Межсетевой протокол управления группой). В целом, компоненты стека протоколов TCP/IP реализуют следующие функции групповой пересылки:

  • прослушивание группового трафика. Модуль стека протоколов TCP/IP прослушивает весь групповой трафик на всех сконфигурированных для этого интерфейсах, устанавливая сетевую плату в режим, в котором она способна принимать все пакеты, проходящие по локальной сети. Все групповые пакеты, полученные платой сетевого интерфейса, передаются на сетевой уровень для последующей обработки. Следует заметить, что в подобном режиме могут работать далеко не все сетевые платы;
  • пересылка групповых пакетов на соответствующий интерфейс. После получения группового пакета TCP/IP обращается к таблице групповой пересылки, чтобы решить, на какой из интерфейсов направить данный пакет.

Приложения на компьютере, работающем под управлением Windows Server 2003, генерирующие групповой трафик, должны создавать IP-пакеты с соответствующим групповым IP-адресом, таким же, как IP-адрес получателя. Соответственно, приложения, получающие групповой трафик, должны сообщить модулю протокола TCP/IP, что они слушают весь трафик в ожидании указанного группового IP-адреса.
Помимо собственно передачи и получения группового трафика, каждый вовлеченный в этот процесс хост обязан выполнять регистрацию используемого группового адреса на локальном маршрутизаторе. Это необходимо для того, чтобы маршрутизатор обладал информацией о наличии в подсети хостов, прослушивающих определенный групповой адрес. В противном случае пакеты группового вещания не будут передаваться в данную подсеть.
Для работы механизма пересылки группового трафика маршрутизатор должен отвечать следующим требованиям:

  • прослушивать весь групповой трафик во всех подсетях. Применительно к маршрутизатору под управлением Windows Server 2003 соблюдение этого требования реализуется на уровне сетевых интерфейсов. Принятие решения о пересылке пакетов группового вещания осуществляется компонентами стека протоколов TCP/IP на основании специальной таблицы групповой маршрутизации. Эта таблица содержит сведения о членах групп вещания, расположенных в прилегающих подсетях (т. е. подсетях, к которым маршрутизатор физически подключен посредством сетевых интерфейсов);
  • после получения группового трафика пересылать пакет в подсети, в которых есть хосты, прослушивающие групповой трафик, или где присутствует маршрутизатор, имеющий информацию о прослушивающих узлах;
  • прослушивать все подсети в ожидании специальных сообщений IGMP Host Membership Report (сообщение о членстве). Эти сообщения рассылаются членами групп вещания, объявляющими используемые ими групповые адреса. Маршрутизатор должен отслеживать групповые адреса, которые прослушиваются в прилегающих подсетях, и обновлять таблицу групповой маршрутизации;
  • использовать специальный протокол групповой маршрутизации, чтобы извещать другие маршрутизаторы об обнаруженных членах групп вещания. Служба маршрутизации и удаленного доступа Windows Server 2003 не включает в себя реализации протокола групповой маршрутизации. Тем не менее, независимые фирмы-разработчики могут поставлять собственные реализации протокола маршрутизации, используя имеющийся API службы маршрутизации и удаленного доступа.

Применительно к Windows Server 2003 задача пересылки группового трафика решается посредством специального компонента маршрутизации протокола IGMP. Этот компонент реализован в рамках службы маршрутизации и удаленного доступа (Routing and Remote Access Service) и отвечает за отслеживание членства хостов в группе многоадресного вещания. Компонент маршрутизации IGMP прослушивает трафик в ожидании сообщений IGMP о членстве в локальных подсетях и собирает информацию в виде списка адресатов, идентификаторов сети и соответствующих групп. Чтобы убедиться в том, что компьютеры прослушивают свой зарегистрированный групповой адрес, маршрутизатор периодически посылает запрос в каждую подсеть — ответом на запрос являются сообщения о членстве в группах. Если в одной сети находится несколько маршрутизаторов, то один маршрутизатор выбирается (методом "голосования") среди них для периодической рассылки всех запросов.

Примечание

Компонент маршрутизации протокола IGMP, реализованный в рамках службы маршрутизации и удаленного доступа Windows Server 2003, нельзя рассматривать как протокол групповой маршрутизации.

Компонент маршрутизации протокола IGMP

Задача поддержания таблицы групповой маршрутизации осуществляется в Windows Server 2003 посредством специального компонента маршрутизации протокола IGMP, который реализован в рамках службы маршрутизации и удаленного доступа. С точки зрения протокола 1GMP каждый сетевой интерфейс, для которого активизирован этот компонент, может функционировать в одном из двух режимов:

  • режим IGMP-маршрутизатора (IGMP router mode). В режиме IGMP-маршрутизатора сетевой интерфейс способен прослушивать подсети в ожидании специальных объявлений хостов об их членствах в группах вещания (IGMP Host Membership Report);
  • режим IGMP-посредника (IGMP proxy mode). Сетевой интерфейс, находящийся в режиме IGMP-посредника, осуществляет ретрансляцию сообщений о членстве (IGMP Host Membership Report), приходящих на другие интерфейсы системы, находящиеся в режиме IGMP-маршрутизатора. Вышестоящий маршрутизатор, находящийся в подсети, в которой расположен IGMP-proxy, получает сообщения о членстве хостов в различных группах вещания от IGMP-proxy и добавляет его к собственным таблицам групп. Таким образом, вышестоящий маршрутизатор получает информацию о том, что пакеты, адресованные определенным группам вещания, необходимо передавать через IGMP-proxy.

Внимание

Режимы IGMP-маршрутизатора и IGMP-посредника не обеспечивают выполнение всех функций, реализуемых протоколами групповой маршрутизации, которые могут потребоваться для групповой пересылки и поддержки маршрутизации в ин-трасетях с несколькими маршрутизаторами. Маршрутизатор и посредник могут обеспечить групповую пересылку в указанных условиях, однако ряд ограничений на расположение источников группового трафика не позволяет рекомендовать их использование. В большинстве случаев следует развертывать конфигурацию с применением протоколов групповой маршрутизации.

Групповая маршрутизация

Для принятия решения о передаче пакетов через межсетевую среду при помощи маршрутизаторов, способных передавать групповой трафик, применяются механизмы групповой маршрутизации. Основанием для принятия решения служит информация о членстве компьютеров в группах. Для обмена между маршрутизаторами информацией о членстве в группах вещания используются специальные протоколы групповой маршрутизации.

Внимание

Очень легко запутаться в терминологии, применяемой при рассмотрении принципов группового вещания. Под групповой маршрутизацией (multicast routing) понимается процесс взаимодействия маршрутизаторов, в результате которого происходит обмен информацией о хостах, принадлежащих к различным группам вещания. В результате этого обмена каждый маршрутизатор обладает информацией о распределении в рамках корпоративной сети хостов, принадлежащих к некоторой группе вещания. Благодаря этому маршрутизатор может отправлять пакеты группового вещания в направлении, в котором находятся хосты, принадлежащие к требуемой группе (даже если прилегающая подсеть непосредственно этих хостов не содержит).

Примеры протоколов групповой маршрутизации — Distance Vector Multicast Routing Protocol (Групповой протокол маршрутизации на основе вектора расстояния, DVMRP), Multicast Extensions to OSPF (Групповые расширения к OSPF, MOSPF), Protocol Independent Multicast-Spare Mode (Разреженный режим группового вещания, не зависящего от протокола, PIM-SM), Protocol Independent Multicast-Dense Mode (Плотный режим группового вещания, не зависящего от протокола, PIM-DM).
В среде Windows Server 2003 поддержка протоколов групповой маршрутизации не реализована.

Сценарии развертывания многоадресной маршрутизации

Хотя, как уже неоднократно упоминалось, в Windows Server 2003 отсутствует реализация протоколов групповой маршрутизации, в определенных ситуациях средств операционной системы (компонент маршрутизации протокола IGMP) может быть достаточно для развертывания в сети механизма группового вещания. При этом возможны следующие сценарии:

  • интрасеть с одним маршрутизатором;
  • интрасеть и Интернет.

Далее мы рассмотрим эти сценарии более подробно.

Интрасеть с одним маршрутизатором

Рассмотрим следующую ситуацию. Корпоративная сеть состоит из нескольких подсетей, соединенных между собой одним маршрутизатором, реализованным на базе Windows Server 2003.

Рис. 15.5. Организация группового вещания в сценарии "интрасеть с одним маршрутизатором"

Поскольку в данном сценарии используется всего один маршрутизатор, проблема взаимодействия маршрутизаторов, участвующих в маршрутизации группового трафика, попросту отсутствует. Как следствие, процесс группового вещания может быть реализован средствами службы маршрутизации и удаленного доступа Windows Server 2003. Групповое вещание в данном сценарии может быть реализовано путем использования механизма пересылки трафика группового вещания (multicast forwarding). Для этого все сетевые интерфейсы маршрутизатора переводятся в режим IGМР-маршрутизатора (предварительно должен быть активизирован компонент маршрутизации протокола IGMP) (рис. 15.5).

Одиночная интрасеть и Интернет

Рассмотрим другой сценарий. Допустим, корпоративная сеть, так же как и в предыдущем случае, состоит из нескольких подсетей, соединенных между собой одиночным маршрутизатором. При этом один из интерфейсов маршрутизатора связывает корпоративную подсеть с Интернетом (в более общем случае вместо Интернета может выступать любая внешняя сеть). В данном сценарии проблема организации группового вещания осложняется тем фактом, что источником трафика группового вещания могут выступать хосты, расположенные в Интернете. При этом встает вопрос об объявлении членства в группах вещания хостами, расположенными в корпоративной интрасети. Как маршрутизатор Интернета "узнает" об этих хостах и о том, что в корпоративную подсеть должен быть передан определенный трафик группового вещания?
В данном случае задача может быть также решена средствами службы маршрутизации и удаленного доступа Windows Server 2003. Все интерфейсы. соединяющие маршрутизатор с локатьными подсетями, должны быть переведены в режим ЮМР-маршрутизатора. Сетевой интерфейс, соединяющий корпоративный маршрутизатор с маршрутизатором интернет-провайдера, должен быть переведен в режим IGMP-посредника (IGMP-proxy) (рис. 15.6).
При этом предложенная схема работает следующим образом. Хосты объявляют о своей принадлежности к некоторой группе вещания. Эти объявления передаются IGMP-посредником маршрутизатору интернет-провайдера. Маршрутизатор использует данные объявления для построения своей таблицы групповой маршрутизации. Используя некоторый протокол групповой маршрутизации, маршрутизатор интернет-провайдера сообщает эти сведения другим маршрутизаторам. Таким образом, становится возможным передача требуемого группового трафика маршрутизатору интернет-провайдера. Маршрутизатор провайдера передает групповой трафик корпоративному маршрутизатору, который, в свою очередь, передает его хостам интрасети, принадлежащим к требуемым группам вещания.

Рис. 15.6. Организация группового вещания в сценарии "интрасеть и Интернет"

Маршрутизация с вызовом по требованию

До этого момента при обсуждении вопросов маршрутизации сообщений мы предполагали, что все сетевые подключения маршрутизатора являются постоянными. Тем не менее, достаточно часто администраторам приходится иметь дело с коммутируемыми подключениями. В случае использования коммутируемых подключений у администратора имеется две возможности организации маршрутизации.

  • Рассматривать коммутируемые подключения как постоянные. Администратор устанавливает соединение с удаленным сервером и после этого оно рассматривается как постоянное (вплоть до момента его разрыва). При этом действуют все те принципы маршрутизации, что были описаны ранее. Недостатками данного способа являются высокая удельная стоимость аренды канала связи (после установки соединения канал может не использоваться в течение длительного периода времени), необходимость изменения конфигурации маршрутизаторов до и после создания подключения.
  • Использовать механизм маршрутизации с вызовом по требованию (demand-dial routing, dial-on-demand routing). Этот механизм реализован в рамках службы маршрутизации и удаленного доступа Windows Server 2003. Данный механизм позволяет осуществлять маршрутизацию сообщений через интерфейс с вызовом по требованию (demand-dial interface). Использование механизма маршрутизации с вызовом по требованию позволяет существенно снизить затраты на аренду коммутируемых канатов связи и упростить процесс маршрутизации сообщений через коммутируемые соединения.

Рассмотрим более подробно принципы, лежащие в основе данного механизма. Подключение с вызовом по требованию (demand-dial connection) устанавливается в ситуации, когда на интерфейс приходит пакет, предназначенный хосту, находящемуся в удаленной подсети (к которой этот интерфейс подключен). Если в течение определенного времени других данных для передачи удаленному хосту не поступает, соединение прерывается. Соединение с вызовом по требованию позволяет эффективно использовать коммутируемые телефонные линии.
Администратор может контролировать процесс установки соединения с вызовом по требованию при помощи двух механизмов.

  • Фильтры вызова по требованию (demand-dial filters). При помощи фильтров вызова по требованию администратор определяет тип трафика, который может инициировать соединение. Фильтры вызова по требованию отделены от фильтров IP-пакетов, которые используются для определения того, какой трафик может исходить из интерфейса и поступать на него только после того, как соединение установлено.
  • Разрешенное время вызова (dial-out hours). Установка времени входящих звонков позволяет определить промежуток времени, в течение которого маршрутизатору разрешается устанавливать соединение с вызовом по требованию. Например, администратор может разрешить установку соединения исключительно в ночное время, когда стоимость аренды линий минимальна. В это время планировщики задач могут запускать процедуру синхронизации реплик баз данных.

Концепция маршрутизации с вызовом по требованию проста и очевидна. Однако настройка механизма маршрутизации с вызовом по требованию представляет собой сложную задачу. В процессе настройки администратору необходимо решить следующие вопросы:

  • адресация конечной точки соединения. Соединение должно выполняться через общедоступные коммуникационные сети типа аналоговой телефонной системы. Конечная точка соединения должна быть задана номером телефона;
  • аутентификация и авторизация вызывающей стороны. Любой вызывающий маршрутизатор должен быть аутентифицирован. Процесс аутентификации предполагает передачу вызывающей стороной совокупности идентифицирующей информации (в данном случае сведения об учетной записи Windows) непосредственно в течение процесса установки соединения. Эта информация проверяется отвечающим маршрутизатором. Процесс авторизации предполагает проверку полномочий на подключение к вызываемому серверу у пользователя, в контексте которого происходит подключение;
  • конфигурирование каждой стороны. Администратор должен выполнить соответствующее конфигурирование каждой из сторон соединения, даже если всегда осуществлять вызов будет только один из них. Конфигурирование только одной стороны соединения приведет к тому, что пакеты могут успешно передаваться только в одном направлении. Нормальная связь требует, чтобы информация передавалась в обоих направлениях;
  • конфигурирование статических маршрутов. Динамические протоколы маршрутизации не могут быть использованы через соединения с вызовом по требованию. Следовательно, маршруты для подсетей, доступных через интерфейс с вызовом по требованию, должны быть добавлены к таблице маршрутизации как статические маршруты. Эта операция может быть выполнена как вручную, так и при помощи автоматического статического обновления.

Примечание

Механизмы маршрутизации и механизмы удаленного доступа совмещены в рамках одной службы Windows Server 2003. И клиент удаленного доступа, работающий по коммутируемому соединению, и маршрутизатор могут вызывать один и тот же телефонный номер. Маршрутизатор, находящийся под управлением Windows Server 2003, отвечающий на звонок, должен быть в состоянии отличить клиента, работающего по коммутируемому соединению, от маршрутизатора, звонящего по данному номеру, чтобы установить соединение с вызовом по требованию. Для этого имя учетной записи, посылаемое маршрутизатором, устанавливающим соединение, в процессе аутентификации должно в точности совпадать с именем сетевого интерфейса с вызовом по требованию на маршрутизаторе, отвечающем на звонок.

Пример настройки маршрутизации с вызовом по требованию

Рассмотрение процесса настройки маршрутизации с вызовом по требованию лучше всего проводить на примере. Обратимся к рис. 15.7, на котором изображена конфигурация гипотетической маршрутизируемой сети.

Рис. 15.7. Пример маршрутизации с вызовом по требованию

В московском офисе установлен компьютер, работающий под управлением Windows Server 2003. Этот компьютер сконфигурирован в качестве сервера удаленного доступа и маршрутизатора с вызовом по требованию. Все компьютеры в московском офисе находятся в подсети 173.75.73.0 (маска подсети 255.255.255.0). К маршрутизатору в Москве (далее называемому Маршрутизатором 1) через СОМ 1-порт подключен модем, доступ к которому осуществляется по телефону (095)123-4567.
В санкт-петербургском офисе также установлен компьютер, находящийся под управлением Windows Server 2003 и функционирующий в качестве сервера удаленного доступа и маршрутизатора с вызовом по требованию. Все компьютеры в санкт-петербургском офисе находятся в подсети 173.75.72.0 (маска подсети 255.255.255.0). Через СОМ2-порт к санкт-петербургскому маршрутизатору (далее называемому Маршрутизатором 2) подключен модем, использующий номер телефона (812)765-4321.
По окончании процесса настройки механизма маршрутизации пользователь компьютера с IP-адресом 173.75.73.5 должен иметь возможность установить соединение по запросу с компьютером с IP-адресом 173.75.72.10 и наоборот.

Внимание

Далее мы рассмотрим процесс ручной настройки механизма маршрутизации с вызовом по требованию. Однако настоятельно рекомендуется использовать Demand Dial Interface Wizard (Мастер интерфейса вызова по требованию), чтобы автоматизировать процесс настройки. Этот мастер выполняет все шаги конфигурации, описанные ниже, кроме создания статического маршрута.

Конфигурирование Маршрутизатора 1

Настройка маршрутизации с вызовом по требованию на Маршрутизаторе 1 состоит из следующих трех шагов:
1. Создать интерфейс с вызовом по требованию.
2. Создать статический маршрут.
3. Создать учетную запись Windows, которая может использоваться Маршрутизатором 2 для установки соединения с Маршрутизатором 1.
Создание интерфейса с вызовом по требованию
При помощи оснастки Routing and Remote Access (Маршрутизация и удаленный доступ) администратор на Маршрутизаторе 1 создает интерфейс (с именем DD_SPb) с вызовом по требованию со следующей конфигурацией:

  • оборудование: модем на СОМ1;
  • номер телефона: (812)765-4321;
  • протоколы: TCP/IP;
  • идентификационная информация (для исходящих соединений): DD_Moscow и пароль.

Создание статического маршрута
На следующем этапе администратор на Маршрутизаторе 1 создает статический IP-маршрут, обладающий следующей конфигурацией:

  • получатель: 173.75.72.0;
  • маска сети: 255.255.255.0;
  • шлюз: 10.0.0.1;
  • метрика: 1;
  • интерфейс: DD_SPb.

Примечание

Поскольку соединение с вызовом по требованию — двухточечное, IP-адрес шлюза игнорируется в течение процесса маршрутизации. В поле шлюза (Gateway) может быть введен любой IP-адрес. В данном примере IP-адрес шлюза по умолчанию (10.0.0.1) выбран произвольно.

Создание учетной записи Windows
Используя оснастку Active Directory Users and Groups (Active Directory — пользователи и компьютеры), администратор на Маршрутизаторе 1 создает учетную запись пользователя Windows со следующими параметрами:

  • имя учетной записи: DD_SPb;
  • установки учетной записи: сбросить флажок User must change password at next logon (Сменить пароль при следующем входе в систему) и установить флажок Password never expires (Срок действия пароля не ограничен).

Посредством механизма политик удаленного доступа (Remote Access Policies) администратор на Маршрутизаторе 1 должен предоставить учетной записи DD_SPb разрешение на удаленный доступ.

Конфигурирование Маршрутизатора 2

Настройка маршрутизации с вызовом по требованию на Маршрутизаторе 2 производится аналогично. Интерфейс с вызовом по требованию на данном маршрутизаторе имеет имя DD_Moscow и обладает следующей конфигурацией:

  • оборудование: модем на COM2;
  • номер телефона: (095)123-4567;
  • протоколы: TCP/IP;
  • идентификационная информация (для исходящих соединений): DD_SPb и пароль.

На Маршрутизаторе 2 определяется следующий статический маршрут:

  • получатель: 173.75.73.0;
  • маска сети: 255.255.255.0;
  • шлюз: 10.0.0.1;
  • метрика: 1;
  • интерфейс: DD_Moscow.

Дополнительно создается следующая учетная запись (для входящих соединений):

  • учетная запись: DD_Moscow;
  • установки учетной записи: флажок User must change password at next logon (Сменить пароль при следующем входе в систему) — сброшен. Флажок Password never expires (Срок действия пароля не ограничен) — установлен.

В рамках политики удаленного доступа на Маршрутизаторе 2 учетной записи DD_Moscow предоставлено разрешение на удаленный доступ.

Окончательная конфигурация

Окончательная конфигурация маршрутизируемой сети с вызовом по требованию изображена на рис. 15.8. Указаны все интерфейсы с вызовом по требованию, статические маршруты и учетные записи Windows для офисов в Москве и Санкт-Петербурге.

Рис. 15.8. Результирующая конфигурация

Процесс установки соединения с вызовом по требованию

Используем описанный выше сценарий для того, чтобы рассмотреть процесс установки соединения с вызовом по требованию. Для определенности будем считать, что хост с адресом 173.75.73.5 пытается получить доступ к ресурсам хоста с адресом 173.75.72.10. При этом выполняется следующая последовательность действий:
1. Пакеты от 173.75.73.5, предназначенные для 173.75.72.10, передаются Маршрутизатору 1.
2. Маршрутизатор 1 получает пакет от 173.75.73.5 и проверяет собственную таблицу маршрутизации. Маршрут к 173.75.72.10 предписывает передавать пакеты через интерфейс DD_SPb.
3. Маршрутизатор 1 проверяет состояние интерфейса DD_SPb и обнаруживает его в разъединенном состоянии.
4. Маршрутизатор 1 извлекает информацию о конфигурации интерфейса DD_SPb с вызовом по требованию.
5. Полученная информация используется Маршрутизатором 1 для инициации соединения с вызовом по требованию. Маршрутизатор 1 использует модем, подключенный к СОМ1, чтобы набрать номер (812)765-4321.
6. Маршрутизатор 2 отвечает на входящий вызов.
7. Маршрутизатор 2 запрашивает идентификационную информацию по входящему соединению.
8. Маршрутизатор 1 посылает имя учетной записи пользователя "DD_Moscow" и соответствующий ей пароль.
9. После получения идентификационной информации Маршрутизатор 2 проверяет имя пользователя и пароль в базе данных системы безопасности Windows и определяет, что Маршрутизатор 1 имеет разрешение на установление входящего соединения.
10. Теперь Маршрутизатор 2 должен определить, является ли субъект, установивший входное соединение, сетевым клиентом или маршрутизатором, устанавливающим соединение с вызовом по требованию. Маршрутизатор 2 просматривает список интерфейсов с вызовом по требованию и ищет интерфейс, который соответствует имени пользователя, посланному Маршрутизатором 1 как часть идентификационной информации. Маршрутизатор 2 находит интерфейс с вызовом по требованию "DD_Moscow", который соответствует имени пользователя.
11. Маршрутизатор 2 переводит интерфейс с вызовом по требованию от DD_Moscow в состояние "соединен".
12. Маршрутизатор 1 передает пакет от пользователя с адресом 173.75.73.5 через соединение с вызовом по требованию на Маршрутизатор 2.
13. Маршрутизатор 2 получает пакет и пересылает его хосту с адресом 173.75.72.10.
14. Хост с адресом 173.75.72.10 отправляет на Маршрутизатор 2 ответ на запрос об установлении соединения, сделанный хостом с адресом 173.75.73.5.
15. Маршрутизатор 2 получает пакет, предназначенный для 173.73.75.5, и проверяет таблицу маршрутизации: маршрут к 173.75.73.5 найден, используется интерфейс DD_Moscow.
16. Маршрутизатор 2 проверяет состояние интерфейса DD_Moscow и определяет, что он находится в состоянии "соединен".
17. Маршрутизатор 2 передает пакет Маршрутизатору 1.
18. Маршрутизатор 1 передает пакет пользователю по адресу 173.75.73.5.
Если имя пользователя в идентификационной информации не совпадают с именем соответствующего интерфейса с вызовом по требованию, объект вызова определяется как сетевой клиент, что может привести к проблемам маршрутизации. Допустим, в рассмотренном выше примере Маршрутизатор 1 использует строку "DialUpRouterl" в качестве имени учетной записи пользователя, передаваемого в процессе аутентификации пользователя (предположим также, что DialUpRouterl реально существующая учетная запись, имеющая разрешение на установление входящего соединения). В этой ситуации Маршрутизатор 1 будет распознан как сетевой клиент, а не как маршрутизатор. Пакеты от хоста с адресом 173.75.73.5 будут отправляться хосту с адресом 173.75.72.10, так же как и было описано ранее. Однако ответные пакеты от 173.75.72.10 к 173.75.73.5 не будут доставлены, поскольку Маршрутизатор 2 после проверки таблицы маршрутизации определит, что интерфейс, который необходимо использовать, — DD_Moscow. Но DD_Moscow находится в разъединенном состоянии. В соответствии с конфигурацией для DD_Moscow должен использоваться порт COM2. Однако COM2 в настоящее время используется Маршрутизатором 2 для сетевого клиента (за который ошибочно был принят Маршрутизатор 1). Следовательно, процесс установки соединения для DD_Moscow оканчивается неудачей, и ответные пакеты от 173.75.72.10 к 173.75.73.5 теряются.

Обновления маршрутов с вызовом по требованию

В то время как маршрутизация с вызовом по требованию может уменьшать издержки на соединение, типичные протоколы маршрутизации полагаются на периодический процесс объявлений, которыми обмениваются маршрутизаторы извещая друг друга о содержимом собственных таблиц маршрутизации. Например, RIP для IP объявляет содержание таблицы маршрутизации каждые 30 секунд на всех интерфейсах. Такое поведение не является проблемой для постоянно подключенных каналов ЛВС или ГВС. В случае коммутируемого соединения подобные периодические объявления будут заставлять маршрутизатор вызывать другой маршрутизатор каждые 30 секунд. Такой подход может свести на нет всю выгоду от использования соединений с вызовом по требованию (поскольку приводит к нежелательному увеличению затрат на аренду коммутируемого канала связи). Выходом из сложившейся ситуации является отказ от использования протоколов маршрутизации в случае использования коммутируемых соединений.
Если для обновления таблиц маршрутизации не используются протоколы маршрутизации, то маршруты должны быть введены в маршрутизатор как статические маршруты. Статические маршруты, соответствующие подсетям, доступным через интерфейс с вызовом по требованию, могут быть созданы администратором вручную или автоматически. Автоматическое создание статических маршрутов для интерфейсов с вызовом по требованию известно как автоматическое статическое обновление (auto-static updates). Механизм автоматического статического обновления реализован в рамках службы маршрутизации и удаленного доступа Windows Server 2003. Этот механизм может использоваться совместно с протоколом маршрутизации RIP для IP, но не может быть использован совместно с OSPF.
По команде администратора маршрутизатор отправляет с интерфейса с вызовом по требованию, сконфигурированного для автоматического статического обновления, специальный запрос через активное соединение маршрутизатору, находящемуся на другой стороне. Запрос включает в себя требование предоставить информацию обо всех маршрутах, содержащихся в его таблице маршрутизации. Получив ответ на запрос, маршрутизатор извлекает из него сведения о маршрутах и автоматически обновляет таблицу маршрутизации, добавляя новые маршруты в качестве статических. Следует заметить, что статические маршруты постоянны. Это означает, что они сохраняются в таблице маршрутизации при любых обстоятельствах, даже в случае отключения интерфейса или перезапуска маршрутизатора.

Примечание

Процесс автоматического статического обновления предполагает разовый и односторонний обмен информацией о маршрутах. Автоматическое статическое обновление инициируется администратором либо с помощью оснастки Routing and Remote Access, либо посредством утилиты командной строки Netsh, в тот момент, когда соединение с вызовом по требованию находится в активном состоянии. В случае установки соединения с вызовом по требованию автоматическое статическое обновление не выполняется автоматически.
Утилита командной строки Netsh может быть использована для создания пакетных файлов, автоматизирующих инициацию процесса автоматического статического обновления.

Запуск процесса автоматического статического обновления приводит к удалению существующих маршрутов, добавленных в ходе предыдущего автоматического статического обновления. Маршруты удаляются прежде, чем новая информация будет запрошена у соседних маршрутизаторов. Поэтому в ситуации, когда по каким-либо причинам маршрутизатор не получит в ответ на свой запрос новых сведений о маршрутах, маршрутизатор не сможет восстановить маршруты, которые были предварительно удалены. Это может привести к утрате возможности взаимодействия с удаленными сетями.

Применение маршрутизатора Windows Server 2003 для организации виртуальных частных сетей

Механизм маршрутизации с вызовом по требованию может быть использован для организации пересылки маршрутизируемого трафика через Интернет путем организации виртуальной частной сети (Virtual Private Network, VPN) между двумя абонентами. Две подсети могут организовать маршрутизацию внутреннего трафика через Интернет (в принципе — через любую открытую внешнюю сеть) по защищенному каналу, созданному посредством протоколов туннелирования L2TP или РРТР. Защищенный канал создается каждый раз автоматически, когда появляется трафик, адресованный в заданном направлении. Один из маршрутизаторов, выступающий в качестве VPN-клиента, устанавливает коммутируемое соединение, чтобы дозвониться до интернет-провайдера. После установки соединения маршрутизатор создает защищенный канал (посредством некоторого протокола туннелирования) с маршрутизатором-концентратором, имеющим постоянное соединение с Интернетом. После того как создан защищенный канал (т. е. подключение виртуальной частной сети), процесс взаимодействия двух подсетей реализуется по стандартной схеме маршрутизации с вызовом по требованию.
Пример реализации данного сценария приведен на рис. 15.9.

Рис. 15.9. Организация виртуальной частной сети при помощи механизма маршрутизации с вызовом по требованию

Использование Windows Server 2003 в качестве маршрутизатора

Рассмотрим процесс настройки службы маршрутизации и удаленного доступа Windows Server 2003 в качестве маршрутизатора. Прежде чем приступить непосредственно к процедуре настройки, администратор должен решить следующие вопросы:

  • выбрать протокол, для которого необходимо организовать маршрутизацию. Механизмы маршрутизации Windows Server 2003 позволяют организовать маршрутизацию протоколов IP и AppleTalk;
  • определить, какой способ построения таблиц маршрутизации будет использоваться в корпоративной сети. В небольшой, редко изменяющейся сети наиболее простым и эффективным будет использование статической маршрутизации. В больших распределенных сетях с часто меняющейся структурой, предпочтительно использовать динамическую маршрутизацию;
  • выбрать протоколы маршрутизации (в случае если используется динамическая маршрутизация). Данный пункт актуален для IP-трафика. Администратор может выбирать из двух протоколов маршрутизации — RIP и OSPF.

Аппаратные требования

Все требуемое аппаратное обеспечение должно быть подключено и активизировано еще до того, как будет выполнено развертывание служб маршрутизации Windows. В зависимости от архитектуры корпоративной сети и требований к ней могут понадобиться следующие аппаратные средства:
сетевой адаптер с сертифицированным NDIS-драйвером (Спецификация интерфейса сетевого драйвера, Network Driver Interface Specification);

  • один или несколько совместимых модемов и доступный СОМ-порт;
  • многопортовый адаптер для повышения производительности при наличии нескольких одновременных удаленных соединений;
  • интеллектуальная плата Х.25 (для сетей Х.25);
  • ISDN-адаптер или модем (для линий ISDN).

Совместимость всех аппаратных средств компьютера, работающего под управлением Windows Server 2003, можно проверить по списку совместимости аппаратных средств (Hardware Compatibility List, HCL) в Интернете на веб-сервере Microsoft (http://www.microsoft.com.hcl).

Конфигурирование службы маршрутизации и удаленного доступа

Служба маршрутизации и удаленного доступа (Routing and Remote Access Service, RRAS) устанавливается автоматически в процессе установки Windows Server 2003. Однако при этом она остается в неактивном состоянии. Прежде чем эта служба сможет быть использована для маршрутизации сообщений, необходимо ее активизировать и должным образом сконфигурировать. Активизация службы выполняется при помощи специального мастера Routing and Remote Access Server Setup Wizard. Этот мастер кроме собственно активизации позволяет выполнить настройку службы в соответствии со стоящими перед администратором задачами. Если служба уже была активизирована ранее (например, при развертывании сервера удаленного доступа), администратор должен выполнить ручную настройку службы.

Работа с мастером Routing and Remote Access Server Setup Wizard

Для запуска мастера необходимо в пространстве имен оснастки Routing and Remote Access вызвать контекстное меню объекта, ассоциированного с сервером, и выбрать в нем пункт Configure and Enable Routing and Remote Access (Конфигурировать и разрешить маршрутизацию и удаленный доступ). На странице Custom Configuration (Конфигурирование) мастера необходимо выбрать переключатель Custom configuration (Заказная конфигурация). В следующем окне мастера (рис. 15.10) необходимо установить флажки напротив тех компонентов, которые должны быть активизированы на конфигурируемом сервере.

Рис. 15.10. Выбор режимов работы службы маршрутизации и удаленного доступа

По окончании своей работы мастер автоматически запустит на сервере службу маршрутизации и удаленного доступа.

Внимание

Если на компьютере имеются входящие подключения (incoming connections), мастер Routing and Remote Access Server Setup Wizard запустить невозможно. Нужно сначала удалить их, а затем запустить мастер снова.

Конфигурирование портов и устройств

Согласно терминологии службы маршрутизации и удаленного доступа, под устройством (device) понимается аппаратное или программное обеспечение, предоставляющее порты для установки соединений "точка-точка". Протоколы РРТР или L2TP — примеры виртуальных многопортовых устройств. Чтобы служба маршрутизации и удаленного доступа могла использовать конкретное устройство (порт), нужно разрешить ее функционирование для этого устройства. Для этого необходимо вызвать окно свойств объекта Ports (Порты), расположенного в пространстве имен оснастки Routing and Remote Access. На вкладке Devices (Устройства) следует выбрать требуемое устройство с вызовом по требованию, а затем нажать кнопку Configure (Настроить).
В окне Configure Device (Настройка устройства) (рис. 15.11) необходимо установить флажок Demand-dial routing connections (inbound and outbound) (Подключения по требованию (входящие и исходящие)), а затем нажать кнопку ОК.

Рис. 15.11. Разрешение использования устройства для организации маршрутизации с вызовом по требованию

Создание статических маршрутов

У администратора имеется две возможности для создания статических маршрутов:

  • при помощи утилиты командной строки Route.exe;
  • используя графический интерфейс оснастки Routing and Remote Access. В контекстном меню объекта Static Route (Статический маршрут) необходимо выбрать пункт New Static Route (Создать статический маршрут). В открывшемся окне требуется определить обязательные параметры маршрута (рис. 15.12).

Если создается маршрут для интерфейса с вызовом по требованию, поле Gateway (Шлюз по умолчанию) окажется недоступным.

Рис. 15.12. Создание статического маршрута

Развертывание протокола маршрутизации RIP

Протокол маршрутизации RIP используется для динамического распространения среди маршрутизаторов информации о существующих маршрутах. Правильно реализованная среда с RIP автоматически добавляет и удаляет маршруты, как только сети добавляются и удаляются из межсетевой среды. Необходимо убедиться, что каждый маршрутизатор правильно сконфигурирован — так, чтобы объявления о маршрутах протокола RIP были бы посланы и получены всеми RIP-маршрутизаторами в сети.
Для установки на маршрутизаторе протокола RIP необходимо в контекстном меню объекта General (Общие) выбрать пункт New Routing Protocol (Новый протокол маршрутизации). В открывшемся окне следует выбрать из списка элемент RIP Version 2 for Internet Protocol. Система выполнит установку всех необходимых компонентов. В пространстве имен оснастки появится новый контейнер — RIP.
После того как протокол установлен на маршрутизаторе, необходимо определить сетевые интерфейсы, для которых он будет активизирован. В процессе добавления интерфейса (команда New Interface в контекстном меню протокола), система предложит определить конфигурацию протокола RIP для этого интерфейса. В подавляющем большинстве случаев администратор может использовать значения, предлагаемые по умолчанию.

Развертывание протокола маршрутизации OSPF

Маршрутизируемая межсетевая OSPF-среда использует протокол маршрутизации OSPF, чтобы динамически пересылать информацию о маршрутизации между маршрутизаторами. Правильно развернутая OSPF-среда автоматически добавляет и удаляет маршруты, когда из межсетевой среды добавляются или удаляются сети. Необходимо, чтобы каждый маршрутизатор был правильно настроен: OSPF-объявления маршрутов должны распространяться между OSPF-маршрутизаторами в межсетевой среде.

Рис. 15.13. Определение конфигурации протокола OSPF для выбранного сетевого интерфейса

Для установки на маршрутизаторе протокола OSPF следует в контекстном меню объекта General (Общие) выбрать пункт New Routing Protocol (Новый протокол маршрутизации). В открывшемся окне необходимо выбрать из списка элемент Open Shortest Path First (OSPF). Система выполнит установку всех необходимых компонентов. В пространстве имен оснастки появится новый контейнер — OSPF.
После того как протокол установлен на маршрутизаторе, нужно определить сетевые интерфейсы, для которых он будет активизирован. В процессе добавления интерфейса система предложит определить конфигурацию протокола OSPF для этого интерфейса (рис. 15.13). В поле Area ID администратору необходимо выбрать область OSPF, к которой будет отнесен данный маршрутизатор.

Активизация механизма пересылки трафика группового вещания

Чтобы маршрутизатор мог выполнять пересылку трафика группового вещания (multicast forward), на нем необходимо активизировать компонент маршрутизации протокола IGMP.

Рис. 15.14. Выбор режима функционирования интерфейса при пересылке трафика группового трафика

Кроме того, отдельные (или все) сетевые интерфейсы маршрутизатора должны быть переведены в соответствующие режимы работы (IGMP-маршрутизатора или IGМР-посредника).
Для активизации компонента маршрутизации протокола IGMP необходимо в контекстном меню объекта General (Общие) выбрать пункт New Routing Protocol (Новый протокол маршрутизации). В открывшемся окне нужно выбрать из списка элемент IGMP Router and Proxy. Система выполнит установку всех необходимых компонентов, и в пространстве имен оснастки появится новый контейнер — IGMP.
На следующем этапе следует выбрать сетевые интерфейсы, на которых данный компонент будет активизирован, и определить режим их работы. В процессе добавления интерфейса система предложит определить параметры функционирования IGMP на уровне интерфейса (рис. 15.14). В поле Mode (Режим) необходимо выбрать режим, в котором будет функционировать интерфейс.

Разрешение AppleTalk-маршрутизации

Если для сетевых интерфейсов компьютера, находящегося под управлением Windows Server 2003, установлен стек протоколов AppleTalk, служба маршрутизации и удаленного доступа этого компьютера может быть использована для организации системы маршрутизации AppleTalk-трафика.
В панели пространства имен оснастки Routing and Remote Access необходимо в контекстном меню объекта AppleTalk Routing (Маршрутизация AppleTalk) выбрать пункт Enable AppleTalk Routing (Разрешить маршрутизацию Apple-Talk). Система активизирует соответствующие механизмы.

Текущий контроль маршрутизатора

Рассмотрим некоторые вопросы, связанные с контролем за работой распределенной инфраструктуры маршрутизаторов в корпоративной сети. Операционная система Windows Server 2003 предоставляет администратору возможности централизованного управления всей инфраструктурой маршрутизаторов (реализованных на базе этой операционной системы) при помощи оснастки Routing and Remote Access.

Управление удаленным маршрутизатором

Администратор может подключить оснастку Routing and Remote Access к любому маршрутизатору, реализованному на базе Windows Server 2003, и выполнить его удаленное конфигурирование. Для этого в контекстном меню корневого объекта пространства имен оснастки необходимо выбрать пункт Add Server (Добавить сервер).
В открывшемся окне установите переключатель в одно из следующих положений:

  • The following computer (Указанный ниже компьютер). В этом случае администратору потребуется задать имя компьютера или указать его IP-адрес;
  • All Routing and Remote Access computers (Все компьютеры маршрутизации и удаленного доступа). При этом необходимо указать домен, в котором находится интересующий сервер;
  • Browse Active Directory (Обзор Active Directory). Система предложит выбрать типы серверов, которые следует найти, в диалоговом окне Find Routers or Remote Access Servers (Поиск маршрутизаторов или серверов удаленного доступа).

После этого оснастка будет подключена к выбранному серверу, будет загружена информация о его конфигурации, и он станет доступным для администрирования.

Просмотр таблиц маршрутизации

В пространстве имен оснастки Routing and Remote Access в контекстном меню объекта Static Routes (Статические маршруты) выберите пункт Show IP Routing Table (Показать таблицу IP-маршрутизации) (рис. 15.15).

Рис. 15.15. Просмотр таблицы маршрутизации

В табл. 15.1 перечислены доступные в оснастке Routing and Remote Access категории просматриваемой информации, которые можно получить из контекстного меню соответствующего компонента.

Таблица 15.1. Категории просматриваемой информации

Компонент | Пункт меню | Категория информации
IP Routing/General (Маршрутизация IP/ Общие) | Show TCP/IP Information | Статистическая информация о работе компонентов стека протоколов TCP/IP (количество пакетов различных протоколов, обработанных службой)
 | Show Multicast Forwarding Table | Содержимое таблицы пересылки группового трафика
 | Show Multicast Statistics | Статистическая информация о трафике группового вещания, обрабатываемом службой
IP Routing/ General/ <Интерфейс> | Show TCP/IP Information | Статистическая информация о работе компонентов стека протоколов TCP/IP на уровне отдельного интерфейса
 | Show Address Translations | Информация о работе механизма трансляции сетевых адресов
 | Show IP Addresses | Информация об IP-адресах, выделенных интерфейсу
 | Show IP Routing Table | Таблица маршрутизации данного интерфейса
 | Show TCP Connections | Установленные TCP-соединения
 | Show UPD Listener Ports | Прослушиваемые UDP-порты
OSPF | Show Areas | Области OSPF
 | Show Link-state Database | Содержимое базы данных состояния связей
 | Show Neighbors | Информация о соседних маршрутизаторах
 | Show Virtual Interfaces | Информация о виртуальных интерфейсах
RIP | Show Neighbors | Информация о соседних маршрутизаторах
IGMP/ <Интерфейс> | Show Interface Group Table | Информация о группах вещания, членом которых является данный интерфейс
NAT/Basic Firewall | Show DHCP Allocator Information | Статистика по работе механизма выделения IP-адресов через механизм NAT
 | Show DNS Proxy Information | Статистика по работе механизма разрешения доменных имен посредством механизма NAT
NAT/Basic Firewall/ <Интерфейс> | Show Mapping | Информация о существующих преобразованиях (отображениях)


Службы Интернета

  • Службы Интернета
  • Обзор служб Internet Information Services (IIS)
    • Новые возможности
      • Улучшение стабильности служб
      • Улучшение защищенности служб
      • Улучшение производительности
      • Расширение возможностей служб IIS, предоставляемых разработчику
      • Расширение возможностей служб IIS, предоставляемых администратору
      • Новые возможности ASP
      • Технология ASP.NET
    • Архитектура IIS 6.0
      • Концепция многоуровневых приложений
      • Распределенная архитектура интернет-приложений
      • Ключевые компоненты IIS
      • Режимы изоляции процессов
  • Установка служб IIS
    • Подготовка к установке
    • Выполнение установки
  • Администрирование служб IIS
    • Административный инструментарий
      • Оснастка Internet Information Services (IIS) Manager
      • Утилита Remote Administration (HTML)
    • Администрирование служб WWW и FTP
      • Разрешение механизмов динамической публикации содержимого веб-узлов
      • Разрешение прямого редактирования метабазы
      • Свойства и наследование свойств
      • Сопоставление MIME
  • Управление информационным наполнением веб-узла
    • Создание веб-узла
    • Задание домашнего каталога
    • Виртуальные каталоги
    • Переадресация запросов
    • Дополнительные механизмы
    • Инструментарий для создания веб-страниц
  • Служба NNTP
    • Основные возможности
    • Средства администрирования
    • Функционирование службы NNTP
      • Публикация статей
      • Просмотр статей
      • Структуры данных службы NNTP
    • Примеры использования сервера NNTP
      • Виртуальный сервер новостей для внутренних корпоративных целей
      • Общедоступный виртуальный сервер новостей
  • Служба SMTP
    • Средства администрирования
  • Служба электронной почты (РОРЗ)
    • Структура почтового хранилища
      • Развертывание службы электронной почты
      • Средства администрирования служб электронной почты
  • Службы компонентов
  • Служба индексирования
    • Назначение и основные возможности
      • Основы работы
      • Требования к конфигурации компьютера
    • Управление службой индексирования
    • Поиск информации с помощью службы индексирования
      • Формы запросов
      • Правила составления запросов
      • Примеры запросов
  • Службы очереди сообщений
    • Установка MSMQ
    • Управление службой MSMQ
  • Службы Windows Media
    • Состав служб Windows Media
    • Новые функциональные возможности служб Windows Media

Службы Интернета

Internet Information Services версии 6.0 (IIS) - набор базовых служб Интернета в составе Windows Server 2003, в число которых входят: службы WWW, FTP SMTP, NNTP и ряд дополнительных служб. Службы IIS предоставляют множество новых возможностей, которые могут превратить систему Windows Server 2003 в мощную платформу для распределенных сетевых приложений. Службы IIS объединены при помощи стандартного интерфейса администрирования и общих методов управления. Следует заметить, что подробное рассмотрение всего набора служб IIS заслуживает отдельной книги. Службы IIS могут быть рассмотрены как с позиции администратора -человека, отвечающего за настройку и корректную работу служб, так и с позиции разработчика - человека, который создает приложения, ориентированные на работу с данными службами. Хотелось бы сразу оговориться, что наше рассмотрение служб IIS будет вестись исключительно с позиции администратора. В данной главе мы постараемся дать обзор служб IIS, описать новые возможности, открывающиеся перед администраторами и разработчиками, а также описать процесс развертывания в корпоративной сети служб IIS Также будут рассмотрены и другие службы, использующие веб-технологии или позволяющие на базе систем Windows Server 2003 строить распределенные сетевые системы.

Обзор служб Internet Information Services (IIS)

Набор служб Интернета (IIS) традиционно позиционировался Microsoft как одна из важнейших составляющих серверного программного обеспечения. Начиная с Windows 2000, службы IIS поставляются непосредственно в составе операционной системы (ранее они поставлялись в виде дополнительного пакета, расширяющего возможности операционной системы). В Windows Server 2003 реализована новая, шестая версия служб IIS (далее IIS 6.0), реализующая принципиально новый подход Microsoft к построению защищенных и многоплатформенных интернет-приложений.
Службы IIS базируются на ряде открытых стандартов Интернета, перечень которых с кратким описанием дается в табл. 16.1.

Таблица 16.1.Стандарты Интернета, реализованные в IIS 6.0

Стандарт | Описание
HTTP 1.1 | Поддержка протокола HTTP реализована на уровне ядра операционной системы. В том числе поддерживается механизм сжатия HTTP (HTTP compression). Этот механизм обеспечивает более компактную передачу данных между веб-сервером и клиентами, которые поддерживают получение сжатой информации. Механизм также выполняет сжатие и кэширование статических файлов. По требованию может выполнять сжатие динамически сгенерированных файлов
WebDAV | Дает возможность авторам веб-страниц удаленно редактировать, перемещать или удалять файлы, изменять параметры файлов, каталоги и параметры каталогов на сервере при помощи административных утилит, работающих по протоколу HTTP
SMTP | Протокол SMTP регламентирует процесс обмена сообщениями между сетевыми хостами. В составе IIS реализована служба SMTP, позволяющая системам Windows Server 2003 выступать в качестве агента пересылки почты (Mail Transfer Agent, MTA). Служба SMTP, реализованная в IIS, может стать базой для развертывания почтового сервера
NNTP | Протокол NNTP регламентирует процесс обмена сообщениями новостей. В составе IIS реализована служба NNTP, позволяющая системам Windows Server 2003 выступать в качестве сервера новостей
FTP | Протокол FTP регламентирует процесс передачи файлов по сети. В IIS 6.0 реализована служба FTP-сервера. Для каждого пользователя может быть создан собственный FTP-каталог. Соответственно, данный пользователь может действовать только в пределах своего каталога (другие каталоги, включая их содержимое, он не видит). Для FTP может быть также установлено несколько различных кодовых страниц. Помимо этого, IIS поддерживают докачку по протоколу FTP. Теперь при получении файла по протоколу FTP можно произвести повторную докачку с места, на котором был прерван предыдущий сеанс
PICS рейтинг | Данный стандарт описывает методику оценки содержимого веб-сайта с точки зрения наличия материалов сексуального характера, насилия и ненормативной лексики

Мы говорим об IIS, как о наборе базовых служб Интернета. IIS 6.0 включает в свой состав пять служб:

  • служба WWW (World Wide Web Publishing service);
  • служба FTP (File Transfer Protocol service);
  • служба SMTP (Simple Mail Transfer Protocol service);
  • служба NNTP (Network News Transfer Protocol service);
  • служба администрирования IIS (IIS Admin service).

Новые возможности

Новые функциональные возможности и улучшения, реализованные разработчиками в архитектуре службы IIS 6.0, следует рассматривать в следующих аспектах:

  • улучшение стабильности служб;
  • улучшение защищенности служб;
  • улучшение производительности;
  • расширение возможностей служб IIS, предоставляемых разработчику;
  • расширение возможностей служб IIS, предоставляемых администратору.

Далее мы рассмотрим каждое из этих направлений более подробно.

Улучшение стабильности служб

По сравнению с предыдущими версиями, службы IIS 6.0 являются более стабильным решением, что обусловлено новой архитектурой механизма обработки запросов. Теперь каждое пользовательское веб-приложение может выполняться в рамках своего собственного рабочего процесса. В табл. 16.2 перечислены функциональные возможности IIS 6.0, обуславливающие улучшение стабильности решений на базе данного продукта.

Таблица 16.2. Функциональные возможности, улучшающие стабильность служб IIS

Функциональная возможность | Описание
Режимы функционирования | Службы IIS могут функционировать в одном из двух режимов: режим изолированных рабочих процессов и режим совместимости с IIS 5.O. В режиме изолированных рабочих процессов (worker process isolation mode) каждое веб-приложение может выполняться в отдельном рабочем процессе. При этом рабочие процессы приложений запускаются отдельно от основного процесса WWW-службы (inetinfo.exe), что позволяет избежать остановки других приложений в ситуации, когда одно из приложений отказывает или зависает
Множество пулов приложений | Данная возможность доступна только в режиме изолированных рабочих процессов. Под пулом приложений понимается конфигурация, связывающая один или несколько приложений с одним или несколькими рабочими процессами. Проблемы, вызванные ошибками в одном из пулов приложений, не воздействуют на приложения в других пулах
Ограничение длины очереди пула приложений | Администратор может ограничить длину очереди для пула приложений. Сервер начнет отклонять новые запросы в случае превышения некоторого заданного числа запросов, поступающих определенному пулу приложений. Благодаря этому механизму администратор может предотвратить истощение ресурсов сервера
Очереди на уровне ядра | Механизм, функционирующий на уровне ядра IIS, помещает все запросы, адресованные отказавшему пулу приложений, в специальную очередь. Поскольку пулы приложений могут выполняться в контексте различных рабочих процессов, служба WWW может инициировать новый процесс для обслуживания запросов из этой очереди
Мониторинг состояния процессов | Служба WWW может выполнять мониторинг состояния рабочих процессов. В случае возникновения проблем служба способна прервать процесс или заменить его другим. В качестве варианта отказавший процесс может быть "изолирован" от пула приложений. Поскольку его работа не прерывается, разработчики и администратор могут выполнить диагностику проблемы
Отслеживание времени простоя рабочего процесса | Администратор может контролировать процесс использования системных ресурсов, определив для рабочих процессов допустимое время простоя (idle timeout). По истечении этого времени процесс будет остановлен
Защита от быстрого отказа | Администратор может активизировать механизм, который отключает пул приложений в ситуации, когда в рамках данного пула происходит множество последовательных ошибок
Утилизация рабочих процессов | Службы IIS могут быть сконфигурированы таким образом, чтобы периодически перезапускать рабочие процессы. Тем самым гарантируется освобождение системных ресурсов и удаление неактивных рабочих процессов. Перезапуск может быть поставлен в зависимость от периода времени, в течение которого процесс активен, количества обработанных запросов, либо выполняться через определенные промежутки времени

Улучшение защищенности служб

В составе IIS 6.0 реализован целый ряд механизмов и технологий, увеличивающих защищенность веб-приложений и оперируемых ими данных. Одно из коренных отличий служб IIS 6.0 от предыдущих версий (с точки зрения системы безопасности) заключается в том, что эти службы не инсталлируются по умолчанию непосредственно в ходе установки операционной системы. При необходимости администратор должен вручную выполнить процесс установки компонентов IIS. Тем самым сокращается количество уязвимых мест сервера под управлением Windows Server 2003 (ведь по статистике большинство атак на Windows 2000-серверы использовали уязвимости в службах IIS). Следует заметить, что службы IIS, устанавливаемые по умолчанию, зачастую просто выпадали из внимания администраторов (особенно тех, кто имел недостаточный опыт работы). Новый подход гарантирует, что службы будут устанавливаться только тогда, когда они действительно необходимы.
Другим новшеством явилось то, что даже в случае ручной установки компонентов служб IIS по умолчанию включается поддержка только статических механизмов публикации материалов. Механизмы динамической публикации содержимого веб-сайтов (такие как ASP, XML, WebDAV и другие технологии) по умолчанию отключены. Администратор должен вручную разрешить использование механизмов динамической публикации. Кроме того, обязательным условием является наличие отображений используемых расширений на соответствующие приложения. В противном случае будет возвращаться ошибка 404 (ресурс не обнаружен).
Сведения о новых функциональных возможностях IIS 6.0, обуславливающих улучшение безопасности решений на его базе, приведены в табл. 16.3.

Таблица 16.3. Функциональные возможности, улучшающие защищенность служб IIS

Функциональная возможность | Описание
Цифровая аутентификация | Данный механизм аутентификации представляет собой более защищенный вариант базовой аутентификации. В отличие от последней, предполагающей передачу информации о пароле открытым текстом, в процессе цифровой аутентификации передается хэшированный пароль. Для хэширования применяется алгоритм MD5. Использование механизма цифровой аутентификации описано в рамках протокола HTTP 1.1, поэтому для его использования требуется, чтобы браузер поддерживал этот стандарт
Безопасное взаимодействие | Для реализации защищенного канала передачи данных между клиентом и сервером могут быть использованы механизмы Security Socket Layer версии 3.0 (SSL) и Transport Layer Security (TLS). Эти механизмы могут быть также применены для организации проверки подлинности участников соединения
Шлюзовое серверное шифрование (Server-Gated Cryptography, SGC) | Это расширение протокола SSL, которое позволяет финансовым учреждениям, использующим службы IIS в экспортном варианте, применять мощное 128-разрядное шифрование. Возможности SGC встроены в службы IIS, однако, чтобы использовать SGC, требуется специальный сертификат SGC
Возможность выбора криптографических алгоритмов | Механизм SSL является надежным способом организации защищенного взаимодействия. Однако процесс шифрования сетевого трафика между клиентом и сервером приводит к существенной нагрузке на процессорную подсистему. IIS позволяет администратору выбрать поставщика криптографических услуг (Cryptographic Service Provider, CSP) в соответствии со стоящими перед ним задачами. Например, можно задействовать аппаратные устройства, выполняющие шифрование данных или использовать CSP стороннего производителя
Настраиваемые полномочия рабочих процессов | Администратор может сконфигурировать пулы приложений (а соответственно и связанные с ними рабочие процессы) таким образом, чтобы они выполнялись в контексте учетной записи, обладающей полномочиями меньшими, чем учетная запись LocalSystem. Это позволяет сократить риск от возможных атак
Мастера безопасности | В составе IIS реализованы специальные мастера, упрощающие выполнение задач администрирования сервера. Это мастер Web Server Certificate Wizard, упрощающий процесс создания запросов на получение сертификатов и управление циклом жизни сертификата, а также мастер CTL Wizard, используемый для настройки списков доверия сертификатов (Certificate Trust List, CTL). Список CTL представляет собой перечень центров авторизации или поставщиков сертификатов (Certificate Authorities, CA), получивших доверие, для заданного каталога. CTL особенно полезен для поставщиков услуг Интернета (ISP), которые держат на своем сервере много веб-узлов клиентов и должны хранить различные утвержденные списки центров авторизации для каждого узла
Совместимость с протоколом Kerberos v5 | Службы IIS полностью интегрированы с моделью безопасности Kerberos, реализованной в Microsoft Windows Server 2003
Управление развертыванием служб IIS через механизм групповых политик | Используя механизм групповых политик, администратор может запретить пользователям развертывание службы IIS в рамках домена
Управление правами доступа рабочих процессов | Рабочие процессы в рамках IIS запускаются в контексте учетной записи пользователя с ограниченными правами доступа. Это позволяет снизить риск, связанный с возможными атаками
Защита ASP | Все встроенные ASP-функции вызываются в контексте учетной записи, обладающей ограниченными правами доступа
Ограничение на запуск исполняемых файлов | Запуск большинства исполняемых файлов, расположенных в системной папке, разрешен ограниченному кругу лиц (например, членам группы Administrators)
Управление обновлениями | В рамках IIS реализована возможность применения обновлений (патчей) без необходимости остановки служб IIS
Защита от записи для содержимого веб-сайта | По умолчанию анонимным пользователям запрещено выполнение операции записи при работе с веб-сайтами
Ограничение на объем закачиваемых данных | Администратор имеет возможность ограничения объема данных, которые могут быть закачаны на сервер
Контроль переполнения буфера | Рабочий процесс способен обнаружить переполнение буфера и прервать программу, виновную в этом
Управление доступом к исходному коду сценариев | Администратор может устанавливать разрешения на доступ к исходным кодам сценариев. По умолчанию это разрешение отключено
Суб-аутентификация | Механизмы суб-аутентификации (позволяющие использовать механизмы аутентификации сторонних приложений) по умолчанию отключены в IIS 6.0

Улучшение производительности

Использование новых технологий динамической публикации содержимого веб-сайтов требует от служб IIS высокой производительности. Разработчиками реализован целый ряд механизмов и технологий, позволяющих увеличить производительность компонентов IIS по сравнению с предыдущими версиями. Эти механизмы и технологии кратко описаны в табл. 16.4.

Таблица 16.4. Технологии и механизмы, улучшающие производительность служб IIS

Функциональная возможность | Описание
Реализация поддержки протокола HTTP на уровне ядра операционной системы | Поддержка протокола HTTP реализована на уровне ядра Windows Server 2003 в качестве специального драйвера -HTTP.sys (сами службы IIS функционируют на пользовательском уровне). Этот драйвер обрабатывает все входящие HTTP-запросы. Обработка запросов на уровне ядра операционной системы позволяет повысить эффективность функционирования веб-приложений
Размещение части ASP-кэша на жестком диске | ASP-кэш служит для размещения ASP-шаблонов, используемых в процессе обработки ASP-сценариев. Использование кэша позволяет повысить эффективность обработки сценариев. По умолчанию в кэше может быть размещено не более 250 шаблонов. Если приложения интенсивно используют ASP-сценарии, количество шаблонов может быть значительно большим. В IIS 6.0 часть ASP-кэша может быть размещена на жестком диске
Асинхронная обработка CGI-сценариёв | IIS реализует асинхронное выполнение CGI-сценариев
Трассировка для оценки нагрузки на приложение | Администратор может активизировать механизм трассировки, позволяющий выполнить оценку нагрузки на некоторое приложение
Централизованное протоколирование | Множество веб-сайтов могут использовать для протоколирования один общий журнал. При этом информация в этот журнал записывается в двоичном неформатированном виде
Управление качеством обслуживания (QoS) | Под качеством обслуживания в данном случае понимается набор требований к сети, обуславливающих возможность передачи данных в определенном темпе. IIS 6.0 предоставляет администратору возможность управлять качеством обслуживания, устанавливая ограничения на количество подключений, периоды простоя, длину очереди пулов приложений и регулируя процесс использования полосы пропускания
Мониторинг нагрузки на процессор | Используя специальную утилиту, поставляемую в составе IIS, администратор может автоматизировать мониторинг нагрузки на процессорную подсистему. Утилита может автоматически останавливать процесс, чересчур интенсивно использующий процессорную подсистему. Эта утилита также может быть использована для нахождения неэффективных CGI-сценариев, чересчур интенсивно использующих процессор
Контроль полосы пропускания | Администратор может выделить для работы служб IIS определенную часть доступной полосы пропускания канала. Этот шаг позволит зарезервировать часть имеющейся полосы пропускания для работы других важных приложений (например, электронной почты)
Поддержка больших объемов ОЗУ | IIS 6.0 может поддерживать кэш емкостью до 64 Гбайт (для архитектуры х86)

Расширение возможностей служб IIS, предоставляемых разработчику

Наиболее существенным изменением в архитектуре служб IIS, предоставившим разработчикам новые возможности, стала реализация в IIS 6.0 поддержки технологии ASP.NET. Эта технология фактически представляет собой универсальную платформу для построения распределенных корпоративных веб-приложений, работающих как часть Microsoft .NET Framework.

Примечание

Следует заметить, что ASP.NET не поддерживается 64-разрядными версиями Windows Server 2003.

Помимо ASP.NET, в рамках IIS 6.0 реализована поддержка таких набирающих популярность интернет-стандартов, как XML и SOAP. Разработчики могут использовать серверные сценарии для динамической публикации содержимого веб-сайтов. Для написания серверных сценариев разработчики могут использовать технологии ASP или CGI.

Расширение возможностей служб IIS, предоставляемых администратору

Разработчиками в рамках IIS 6.0 реализован целый ряд механизмов и технологий, предоставляющих администратору возможность эффективно управлять как службами IIS, так и веб-приложениями. Наиболее существенные изменения произошли в структуре метабазы и, в частности, в методе ее хранения. Метабаза используется для хранения информации о конфигурации служб IIS.
Перечень функциональных улучшений приведен в табл. 16.5.

Таблица 16.5. Функциональные возможности, расширяющие возможности администрирования IIS

Функциональная возможность | Описание
Хранение содержимого метабазы в текстовом формате | Метабаза хранится в виде двух текстовых файлов Metabase.xml и MBSchema.xml. Такой формат хранения содержимого метабазы позволяет администратору выполнять конфигурирование служб IIS вручную, посредством любого текстового редактора
История изменений метабазы | Система сохраняет историю изменений содержимого метабазы, сохраняя в специальной папке старые версии. Благодаря этому администратор может выполнить откат ее изменений, восстановив при необходимости старую версию. Каждая версия идентифицируется по специальному номеру, на который можно сослаться в процессе восстановления метабазы
Возможность изменения метабазы в онлайновом режиме | Поскольку метабаза хранится в виде текстового файла, администратор может выполнять ее изменение непосредственно в онлайновом режиме, т. е. в процессе работы служб IIS. Все произведенные изменения вступают в силу немедленно
Возможность создания резервной копии метабазы | Реализованный в системе API-интерфейс позволяет осуществлять резервное копирование и восстановление метабазы
Возможность экспорта/импорта конфигурации сайтов и приложений | Разработчики могут реализовать в своих приложениях возможность импорта/экспорта отдельных фрагментов содержимого метабазы
Изоляция РТР-содержимого на уровне пользователей | Администратор имеет возможность создать для отдельных пользователей FTP-каталоги. При этом пользователь не может выйти выше своего каталога по иерархии (другими словами — не видит каталогов других пользователей). В пределах своего каталога пользователь может создавать, удалять, копировать файлы и подкаталоги. Данная функциональная возможность может оказаться наиболее полезной для интернет-провайдеров
Поддержка серверных расширений FrontPage 2002 | В составе IIS 6.0 реализована поддержка серверных расширений FrontPage 2002, позволяющих осуществлять разработку веб-сайтов и управление виртуальными веб-серверами непосредственно из среды разработки FrontPage 2002
Административные сценарии командной строки | Административные сценарии могут использоваться для решения многообразных задач по управлению службами IIS. Сценарии могут применяться, в частности, для автоматизации процессов управления
П ротоколирование в формате UTF-8 | Службы IIS 6.0 регистрируют информацию о посещениях в журналах в формате UTF-8. Использование этого формата позволяет осуществлять запись в журнал информации не только на английском языке, но и на национальных языках
Возможность удаленного администрирования служб IIS | В Windows Server 2003 реализовано множество механизмов и инструментов, позволяющих выполнять удаленное администрирование различных компонентов операционной системы, в том числе и служб IIS. Удаленное управление службами IIS может быть выполнено при помощи специальной утилиты Remote Administration (HTML)

Новые возможности ASP

Active Server Pages (ASP) представляет собой основной механизм разработки веб-ориентированных приложений для IIS. ASP были дополнены возможностями, которые делают более легким применение ASP для разработчиков сценариев и веб-приложений. Кроме того, в архитектуре ASP произошел ряд существенных изменений, позволивших улучшить безопасность и производительность компонентов IIS.
Прежде всего, следует отметить тот факт, что поддержка ASP отключена по умолчанию. Чтобы иметь возможность размещать ASP-сценарии на вебсервере под управлением Windows Server 2003, администратор должен вручную разрешить на данном сервере механизм ASP.
Перечислим новые функциональные возможности, появившиеся в рамках IIS 6.0 ASP:

  • поддержка UTF-8. Поддержка формата LJTF-8 расширена для всех атрибутов и методов встроенных объектов ASP;
  • обнаружение зависших процессов. В случае если достигнуто максимальное количество ASP-потоков, зависшие потоки могут привести к падению производительности. Реализованные в рамках IIS механизмы позволяют обнаруживать зависшие ASP-потоки, выполняющиеся в рамках некоторого рабочего процесса. Служба WWW в данной ситуации выполняет перезапуск процесса;
  • кэширование популярных файлов. Механизм ASP выполняет кэширование наиболее часто используемых файлов. Кэш размещается в оперативной памяти и при необходимости самые старые файлы из кэша сохраняются на диске;
  • поддержка формата UNC. Разработчики могут использовать в ASP-сценариях ссылки на ресурсы в формате UNC (ссылка вида \\<имя_хоста>\<имя_общей_папки>);
  • расширенная поддержка СОМ+-служб. В рамках IIS 6.0 расширены возможности использования СОМ+-служб в ASP-приложениях;
  • интеграция с XML. Язык extensible Markup Language (XML, Расширяемый язык разметки) позволяет легко описывать сложные структуры данных и совместно использовать информацию в клиентских и серверных приложениях. Новый синтаксический анализатор XML, включенный в Internet Explorer версии 4.0 и выше, сделал возможным создание ASP-приложений, позволяющих веб-серверу обмениваться форматированными данными XML с Internet Explorer и другими браузерами или с любыми другими серверами, имеющими поддержку XML.

Технология ASP.NET

Технология ASP.NET является развитием Active Server Page (ASP). Данная технология представляет собой универсальную платформу для разработки веб-приложений корпоративного уровня. ASP.NET предлагает новую модель программирования и инфраструктуру, которые позволяют разрабатывать защищенные и масштабируемые решения. В ASP.NET следует отметить следующие функциональные возможности:

  • возможности администрирования. Параметры, определяющие конфигурацию ASP.NET, хранятся в текстовом файле. Это позволяет выполнять изменение конфигурации ASP.NET посредством любого текстового редактора. Все произведенные изменения вступают в силу немедленно;
  • средства безопасности. ASP.NET предлагает разработчику веб-приложений несколько типовых схем аутентификации и авторизации пользователей. Разработчик может использовать в своем приложении любую из предлагаемых схем или заменить их другими;
  • простота развертывания. Развертывание ASP.NET-приложений выполняется путем копирования файлов приложения в специальную папку на веб-сервере. Перезапуск веб-сервера при этом не требуется;
  • высокая производительность. ASP.NET имеет дело со скомпилированным кодом. Благодаря этому ASP.NET получает возможность эффективно использовать различные механизмы оптимизации кода (например, механизмы раннего связывания или оптимизация под конкретную платформу);
  • гибкое кэширование. ASP.NET может выполнять кэширование страниц данных (как страницу целиком, так и ее часть) в соответствии с нуждами приложения;
  • поддержка национальных языков. Поскольку ASP.NET использует Unicode, разработчики имеют обширные возможности для применения в своих приложениях национальных алфавитов;
  • поддержка мобильных устройств. Microsoft заявляет, что ASP.NET поддерживается любым браузером, запущенным на любом устройстве;
  • доступность и масштабируемость. ASP.NET разрабатывалась в расчете на использование в крупных кластерных системах. Реализованные в рамках IIS 6.0 механизмы позволяют гарантировать высокую степень доступности приложений. Если с процессом, в рамках которого выполняется приложение, возникнут проблемы, система самостоятельно запустит новый процесс, который возьмет на себя задачи обслуживания запросов пользователей;
  • возможности отладки. ASP.NET обеспечивает возможность трассировки и отладки кода приложений. При этом возможна как локальная, так и удаленная отладка при помощи специальных инструментов отладки .NET Framework;
  • интеграция с .NET Framework. ASP.NET является частью платформы .NET Framework. Разработчики могут использовать возможности, предоставляемые этой платформой при создании приложений;
  • совместимость с существующими ASP-приложениями. Развертывание ASP.NET в рамках IIS не влияет на функционирование уже работающих ASP-приложений. ASP-приложения и ASP.NET-приложения могут сосуществовать на одном сервере, не мешая друг другу.

Архитектура IIS 6.0

В данном разделе мы подробно рассмотрим архитектуру IIS 6.0. Однако, прежде чем перейти к обсуждению основных компонентов US и механизмов их взаимодействия, рассмотрим концепцию многоуровневых приложений, предлагаемую разработчикам корпорацией Microsoft.

Концепция многоуровневых приложений

Современные приложения типа "клиент-сервер" настолько не похожи на своих предшественников, что им было дано новое имя — многоуровневые приложения. Такая архитектура называется также n-уровневой или многоуровневой. В этой модели обработка данных распределена между клиентом и сервером, и бизнес-логика располагается на среднем уровне. С функциональной точки зрения большинство систем реализует три следующих основных задачи:

  • представление данных;
  • бизнес-логика;
  • службы хранения данных.

Уровень представления данных включает всю работу с пользователем. На этом уровне пользователи могут не только взаимодействовать с приложением, вводить данные и просматривать результаты запросов, но и управлять манипулированием данными и их форматированием после того, как они попадают на клиентскую сторону. В веб-технологии задачи уровня представления данных выполняет браузер.
Службы хранения данных обеспечиваются различными структурированными хранилищами информации (серверами БД, например, Microsoft SQL Server, Oracle) или неструктурированными хранилищами (Microsoft Exchange, Microsoft Queue Messaging), которые управляют и обеспечивают доступ к данным из приложения. Отдельный запрос может потребовать использования одного или более хранилищ данных.
Между этими двумя уровнями находится область для разработки распределенных приложений. Уровень бизнес-логики задает правила управления обработкой приложений, соединяет пользователя на одном конце с данными на другом.
Трехуровневая архитектура изолирует каждый сегмент функциональных возможностей. Представление не зависит от правил обработки и бизнес-логики, которая, в свою очередь, является отдельной от данных. Эта модель требует намного больше затрат на анализ и проектирование, но значительно уменьшает расходы на техническую поддержку и сопровождение и, в конечном счете, увеличивает функциональную гибкость. На рис. 16.1 представлена схема, которая описывает технологии Microsoft, обслуживающие различные уровни в системах с новой архитектурой.

Рис. 16.1. Архитектура трехуровневых систем на базе служб Microsoft

Распределенная архитектура интернет-приложений

Компания Microsoft разработала технологию Windows Distributed interNet Application Architecture (Windows DNA, Распределенная архитектура интернет-приложений Windows), полностью интегрирующую многоуровневую модель разработки с веб-технологией. Технология Windows DNA определяет каркас для создания решений, которые удовлетворяют требованиям корпоративных вычислений, Интернета, интрасетей и глобальной электронной торговли, уменьшая при этом издержки на общую разработку и развертывание системы.
В архитектуре Windows DNA стандартные службы на базе Windows выполняют определенные задачи на каждом уровне в многоуровневом решении, обеспечивая интерфейс пользователя и навигацию, бизнес-логику и хранение данных. Различные службы интегрированы при помощи Common Object Model (COM, Общая объектная модель). Службы, используемые в Windows DNA, включают: Dynamic HTML (Динамический HTML), Active Server Pages (Активные серверные страницы, ASP), компоненты COM, Microsoft Transaction Server, службу Active Directory, службы безопасности Windows Server 2003, Microsoft Message Queue Services (MSMQ, Службы очереди сообщений) и компоненты доступа к данным Microsoft.
Архитектура Windows DNA создана с применением открытых протоколов и общедоступных интерфейсов, что облегчает организациям задачу интеграции новых систем с продуктами третьих фирм. Обеспечивая промышленные стандарты Интернета, Windows DNA упрощает работы по внедрению новых технологий для разработчиков. На рис. 16.2 представлена схема, которая иллюстрирует технологии — составные части Windows DNA.

Рис. 16.2. Технологии Windows DNA

Ключевые компоненты IIS

В рамках операционной системы одни процессы, ассоциированные с отдельными компонентами IIS, функционируют в пользовательском режиме (user mode), а другие в режиме ядра (kernel mode).

  • Драйвер HTTP.sys. Функционирует в режиме ядра операционной системы, осуществляя прослушивание протокола HTTP. Данный драйвер является частью сетевой подсистемы Windows Server 2003, являясь, тем не менее, ключевым компонентом IIS 6.0. Каждый веб-сайт, созданный в рамках IIS, регистрируется драйвером HTTP.sys, который перенаправляет веб-запросы от пользователей процессам, функционирующим в пользевательском режиме. Аналогичным образом HTTP.sys возвращает пользователям ответы на их запросы.
  • Компонент управления и мониторинга службы WWW. Данный компонент представляет собой часть службы WWW, отвечающую за управление процессами. Компонент реализует функции управления службой WWW и взаимодействует с метабазой IIS для получения информации о конфигурации служб (полученная информация либо передается через HTTP.sys, либо используется для управления рабочими процессами). Другой функцией компонента управления и мониторинга службы WWW является управление рабочими процессами.
  • Рабочие процессы. Рабочий процесс представляет собой приложение, функционирующее в пользовательском режиме. Рабочий процесс реализуется в виде запускаемого файла W3vvp.exe и контролируется компонентом управления и мониторинга службы WWW. Рабочие процессы используют драйвер HTTP.sys для взаимодействия с клиентами (получение запросов и передача запрашиваемых данных).
  • Процесс Inetinfo.exe. Данный процесс функционирует в пользовательском режиме. Этот процесс обеспечивает работу служб FTP, SMTP, NNTP и отвечает за поддержание метабазы IIS. В случае, когда службы IIS 6.0 функционируют в режиме изоляции IIS 5.0 (IIS 5.0 isolation mode), процесс Inetinfo.exe обеспечивает работу одиночного рабочего процесса.

Режимы изоляции процессов

IIS 6.0 может функционировать в одном из двух режимов изоляции процессов:

  • режим изолированных рабочих процессов;
  • режим изоляции US 5.0.

В каждом из этих режимов службы IIS задействуют драйвер HTTP.sys для взаимодействия с пользователями по протоколу HTTP, однако принципы функционирования IIS в этих режимах различаются. Режим изолированных рабочих процессов (worker processes isolation mode) в полной мере использует архитектуру IIS 6.0. Режим изоляции /IS 5.0 используется в том случае, когда веб-приложение использует специфические функциональные возможности предыдущих версий IIS.
Режим изолированных рабочих процессов является наиболее предпочтительным режимом функционирования IIS, поскольку этот режим обеспечивает приложениям наилучшую производительность. Кроме того, данный режим обеспечивает более высокий уровень безопасности, поскольку в данном режиме рабочие процессы работают с полномочиями сетевой службы (учетная запись NetworkService). В случае режима изоляции IIS 5.0 рабочий процесс работает с полномочиями локальной системы (учетная запись LocalSystem).

Внимание

Службы IIS 6.0 не могут одновременно работать в двух режимах. Если приложения требуют различных режимов изоляции процессов, администратор должен реализовать их на различных серверах.

Установка служб IIS

Как уже было сказано ранее, по соображениям безопасности службы I1S не устанавливаются по умолчанию непосредственно в ходе инсталляции операционной системы. В случае необходимости администратор должен вручную выполнить установку необходимых компонентов IIS при помощи мастера установки компонентов Windows (Add/Remove Windows Components Wizard).

Подготовка к установке

Перед установкой служб IIS может потребоваться дополнительное конфигурирование системы.

Рис. 16.3. Вкладка Services окна свойств встроенного брандмауэра

Прежде всего, если в системе Windows Server 2003 активизирован встроенный брандмауэр, администратор должен выполнить его настройку, чтобы разрешить обращение пользователей к службам IIS. В противном случае пользователи не смогут получить к ним доступа, поскольку соответствующие пакеты будут отбрасываться брандмауэром.
Для настройки брандмауэра откройте окно свойств интересующего сетевого подключения и перейдите на вкладку Advanced (Дополнительно). Нажмите кнопку Settings (Настройки) и в открывшемся окне перейдите на вкладку Services (Службы) (рис. 16.3). На этой вкладке отметьте службы, доступ к которым будет разрешен внешним пользователям.

Выполнение установки

Установка служб IIS может быть выполнена двумя способами: при помощи утилиты Add or Remove Programs, расположенной на панели управления, или при помощи мастера Configure Your Server Wizard. Этот мастер предлагает самый простой способ установки служб IIS. На странице Server Role (Роль сервера) (см. рис. 1.22) необходимо выбрать пункт Application server (IIS, ASP.NET) и нажать кнопку Next (Далее).

Рис. 16.4. Использование мастера Configure Your Server Wizard для установки служб IIS

Мастер предложит активизировать механизм ASP.NET и серверные расширения FrontPage 2002 (рис. 16.4). Затем мастер самостоятельно выполнит установку необходимых компонентов IIS и их начальную настройку.
Установка IIS с помощью утилиту Add or Remove Programs ориентирована на опытных администраторов, которые хотят установить только те компоненты IIS, которые действительно необходимы для решения стоящих перед ними задач. В окне утилиты нажмите кнопку Add/Remove Windows Components, чтобы запустить одноименный мастер. В первом окне мастера необходимо выбрать пункт Application Server (Сервер приложений) и нажать кнопку Details (Подробно). В открывшемся окне нужно установить флажок в строке Internet Information Services (IIS). При необходимости администратор может выбрать, какие именно компоненты IIS должны быть установлены, нажав кнопку Details (Подробно). Ниже перечислены компоненты IIS, которые предлагаются для установки.

  • Background Intelligent Transfer Service (BITS) Server Extensions (Серверные расширения BITS). Серверные расширения BITS представляют собой механизм фоновой передачи файлов и диспетчер очередей, позволяющий управлять качеством сервиса применительно к службе WWW.
  • Common files (Общие файлы). Базовые файлы, необходимые для функционирования всех компонентов IIS.
  • File Transfer Protocol (FTP) Service (Служба FTP). Выбор данного компонента позволяет установить в составе IIS службу FTP.
  • FrontPage 2002 Server Extensions (Серверные расширения FrontPage 2002). Компонент позволяет осуществлять управление веб-сайтами с помощью инструмента разработки Microsoft FrontPage 2002.
  • Internet Information Services Manager (Диспетчер служб IIS). Устанавливает оснастку ММС, которая используется для управления всеми компонентами IIS.
  • Internet Printing (Печать через Интернет). Компонент позволяет осуществлять управление принтерами через HTTP.
  • NNTP Service (Служба NNTP). Выбор данного компонента позволяет установить в составе IIS службу NNTP.
  • SMTP Service (Служба SMTP). Выбор данного компонента позволяет установить в составе IIS службу SMTP.
  • World Wide Web Service (Веб-сервер). Выбор данного компонента позволяет установить в составе IIS службу WWW.

Администрирование служб IIS

Рассмотрим основные операции, связанные с администрированием служб IIS. В первую очередь необходимо рассмотреть инструментарий, который имеется в распоряжении администратора.

Административный инструментарий

Управление службами IIS может выполняться как локально, так и удаленно. Согласно концепции Microsoft, администратор может осуществлять управление всеми экземплярами служб IIS, развернутыми в корпоративной сети, с одной рабочей станции. В качестве основного административного инструмента администратор может использовать оснастку Internet Information Services (IIS) Manager. В случае, когда соединение с сервером устанавливается через Интернет или через брандмауэр, администратор может использовать утилиту Remote Administration (HTML) (Удаленное администрирование (HTML)). Данная утилита доступна через интернет-браузер и позволяет настраивать различные свойства узлов. Однако необходимо помнить о том, что, хотя утилита Remote Administration (HTML) и предоставляет большинство возможностей оснастки, отдельные операции с ее помощью не могут быть выполнены.

Примечание

Утилита Remote Administration (HTML) может быть использована только для управления службами IIS 6.0. Оснастка Internet Information Services (IIS) Manager может использоваться для управления IIS версий 4.0, 5.0, 5.1 и 6.0. Чтобы иметь возможность использования утилиты Remote Administration (HTML), администратор должен вручную выполнить установку на сервере этого компонента IIS.

Для удаленного управления IIS можно также использовать возможности служб терминалов (Terminal Services). Удаленное управление может производиться с компьютера под управлением любой ОС, для которой существует клиент служб терминалов Microsoft, при этом на удаленном компьютере не нужно устанавливать никакие средства администрирования IIS.

Оснастка Internet Information Services (IIS) Manager

Оснастка Internet Information Services (IIS) Manager (рис. 16.5) представляет собой инструмент администрирования IIS, который доступен из меню Start | Administrative Tools | Internet Information Services (IIS) Manager (Пуск | Администрирование | Диспетчер информационных служб Интернета).
Также она включена в состав оснастки Computer Management (Управление компьютером).

Рис. 16.5. Оснастка Internet Information Services (IIS) Manager

Утилита Remote Administration (HTML)

Для управления свойствами служб IIS в Remote Administration (HTML) используется узел, который в оснастке Internet Information Services (IIS) Manager в списке узлов отображается как Web Sites | Administration. При установке IIS данному узлу по умолчанию назначаются номера портов TCP 8099 и SSL 8098. Узел отвечает на запросы веб-браузеров независимо от того, к какому доменному имени (из связанных с данным компьютером) происходит обращение при совпадении номера порта, который добавляется в конце к имени узла. Если используется базовая (basic) аутентификация, то от администратора при подключении к административному узлу будут запрошены имя пользователя и пароль. Только члены группы Administrators (Администраторы) могут использовать данный административный узел.
Хотя HTML-версия диспетчера служб Интернета (рис. 16.6) реализует большинство функциональных возможностей оснастки IIS, версия с использованием HTML предназначена для удаленного управления по медленным коммутируемым линиям. В ней не поддерживается, например, щелчок правой кнопкой мыши. Многие из знакомых кнопок на панели или заголовки вкладок отображаются в виде гиперссылок в левой панели окна браузера.

Рис. 16.6. Утилита Remote Administration (HTML)

Утилита Remote Administration (HTML) может быть установлена только на NTFS-раздел.
Утилита Remote Administration (HTML) по сути представляет собой веб-приложение, доступ к которому осуществляется через Internet Explorer no URL https://<имя_сервера>:8098, где в качестве имя_сервера указывается реальное доменное имя компьютера, на котором функционируют службы IIS. В процессе загрузки утилиты администратор должен будет пройти процесс аутентификации. Только в случае успешного завершения этого процесса утилита будет загружена.

Администрирование служб WWW и FTP

В рамках одного экземпляра служб IIS может быть создано несколько веб-и/или FTP-сайтов (узлов), при этом можно применять разные подходы:

  • определив один адрес для всех сайтов, выделить для каждого из сайтов разные номера портов;
  • использовать несколько IP-адресов, назначенных одному сетевому адаптеру;
  • назначить разные доменные имена для одного IP-адреса и одного сетевого адаптера.

Предположим, что в корпоративной интрасети системный администратор установил на сервере компании систему Windows Server 2003 со службами IIS и создал единственный узел по умолчанию, который имеет адрес http://information. Системный администратор может создать два дополнительных информационных узла, по одному для каждого отдела, например, для отдела продаж (Sales) и для отдела закупок (Purchase).
Хотя оба узла расположены на одном компьютере (Information), они являются автономно функционирующими узлами (сайтами). Эти узлы имеют раздельные настройки защиты, как если бы они находились на разных компьютерах, поскольку каждый узел имеет собственные параметры доступа и настройки разрешений по администрированию. Кроме того, административные задачи могут быть распределены между членами каждого отдела.

Разрешение механизмов динамической публикации содержимого веб-узлов

Ранее уже неоднократно отмечался тот факт, что в Windows Server 2003 компания Microsoft реализует новый подход к развертыванию служб IIS. Службы IIS не устанавливаются по умолчанию в ходе инсталляции операционной системы, и даже в случае принудительной установки большинство механизмов IIS находятся в "заблокированном" состоянии. В первую очередь это касается механизмов динамической публикации содержимого веб-узлов (таких как ASP, ASP.NET, WebDAV и др.).
Чтобы разрешить использование того или иного механизма, необходимо в пространстве имен оснастки Internet Information Services (IIS) Manager выбрать контейнер Web Service Extensions. В правом окне выберите расширение, которое требуется активизировать, и в зависимости от вида этого окна (Extended или Standard) или нажмите кнопку Allow (Разрешить), или выберите команду Allow в контекстном меню нужного расширения (рис. 16.7). Соответственно, для того, чтобы запретить использование расширения, необходимо нажать кнопку Prohibit (Запретить).

Рис. 16.7. Разрешение механизмов динамической публикации содержимого веб-узлов

Разрешение прямого редактирования метабазы

Поскольку в IIS 6.0 метабаза хранится в виде текстовых файлов, администратор может выполнять изменение ее содержимого при помощи любого текстового файла.

Рис. 16.8. Разрешение прямого редактирования метабазы

При этом все произведенные изменения немедленно вступают в силу. По умолчанию редактирование содержимого базы данных запрещено. Разрешить эту возможность администратор может при помощи оснастки Internet Information Services (IIS) Manager. В окне свойств объекта, ассоциированного с сервером, на котором запущены службы IIS, необходимо установить флажок Enable Direct Metabase Edit (Разрешить прямое редактирование ме-табазы) (см. рис. 16.8).

Свойства и наследование свойств

Свойства — это параметры, которые могут быть настроены для конкретного узла (сайта). Например, можно использовать оснастку Internet Information Services (IIS) Manager для того, чтобы изменить номер порта TCP для сервера (по умолчанию — 80). Свойства видны в окнах свойств узла (см. рис. 16.9) и хранятся в базе данных, которая называется метабазой (metabase).
В процессе инсталляции IIS различным свойствам и параметрам присваиваются значения по умолчанию. Можно использовать настройки по умолчанию для 1IS или настраивать эти параметры, чтобы адаптировать функциональность сервера к потребностям сети. Можно также обеспечить дополнительные функции, улучшить производительность, а также изменить настройки защиты, внося изменения в настройки по умолчанию.
Свойства могут быть установлены на уровне узлов, на уровне каталогов или на уровне файлов. Параметры настройки на более высоких уровнях (например, на уровне узлов) автоматически используются (наследуются) более низкими уровнями (например, уровнем каталогов), но все могут редактироваться раздельно на более низком уровне. Если свойство было изменено для отдельного узла, каталога или файла, а затем будет произведен возврат к значению по умолчанию, то автоматическая настройка не отменит индивидуальную настройку. При выполнении такого рода действий администратор получит предупреждающее сообщение, и ему нужно будет ответить на вопрос, хочет ли он изменить настройку для отдельного узла, каталога или файла, чтобы она соответствовала новым значениям по умолчанию.
Некоторые свойства имеют значение, которое представляет собой список. Например, значение свойства "Документ, используемый по умолчанию" (Default Document) — список документов, которые будут загружены, когда пользователь не задает файл в URL. Пользовательские сообщения об ошибках, управление доступом по TCP/IP, отображение MIME — примеры свойств, которые хранятся в виде списка. Хотя эти списки состоят из нескольких записей, IIS рассматривает список как единое целое. Если список редактируется для каталога, а затем производится глобальная замена на уровне узла, список на уровне каталога полностью заменяется новым списком, полученным с уровня узла; списки не объединяются. Если содержимое свойства-списка редактируется на низком уровне (например, на уровне каталога или файла), то это свойство отображает как значения, определенные на этом уровне, так и значения, унаследованные с высоких уровней.
Фильтры отображаются в виде списка, но обрабатываются не как список. Если фильтры добавляются на уровне узлов, то новые фильтры объединяются со списком фильтров от управляющего уровня. Если два фильтра имеют одинаковые установки приоритетов, фильтр с управляющего уровня загружается перед фильтром с уровня узла.
Если создается несколько веб- или FTP-узлов, можно редактировать значения по умолчанию (рис. 16.9) таким образом, чтобы каждый узел, который создается, наследовал пользовательские значения узлов по умолчанию (Default Web Site и Default FTP Site — Веб-узел по умолчанию и FTP-узел по умолчанию).

Рис. 16.9. Свойства веб-узла, создаваемого по умолчанию

Сопоставление MIME

Стандарт MIME (Multipurpose Internet Mail Extensions) предоставляет программам просмотра (браузерам) возможность определения формата файла и корректного его отображения. Зарегистрированные типы файлов, которые установлены по умолчанию в Windows Server 2003, перечислены в окне MIME Types (Типы файла), доступном на вкладке Internet Information Services Manager в диалоговом окне свойств данного компьютера в окне оснастки Internet Information Services (IIS) Manager.
Сопоставления (map) MIME могут быть настроены на уровне компьютера, на уровне сайта, на уровне виртуального каталога, на уровне каталога или на уровне файлов. Отображения MIME на уровне компьютера определяются в окне свойств объекта, ассоциированного с ним. Для настройки отображении MIME на других уровнях нужно использовать вкладку HTTP Headers (Заголовки HTTP) окна свойств соответствующего объекта. Для открытия окна свойств в пространстве имен оснастки необходимо в контекстном меню соответствующего объекта выбрать пункт Properties (Свойства).

Примечание

Отображения MIME, заданные на уровне компьютера, не отменяют автоматически установки на более низких уровнях.

Управление информационным наполнением веб-узла

Необходимость в корректном управлении содержимым (наполнением, content) очевидна. Предположим, что создан сложный информационный сервер преуспевающей компании. На каком-то этапе был спроектирован дизайн сервера — заголовки, подвалы и элементы оформления. Однако в самом конце выяснилось, что была допущена ошибка в логотипе компании, который расположен на всех многочисленных страницах узла. Или возникли неисправности в аппаратной части компьютера. При этом может понадобиться перенаправить всех пользователей узла на другой, резервный сервер, пока производится восстановление аппаратуры.
Такие проблемы ярко демонстрируют необходимость корректного управления веб-узлом. И хотя эффективное управление, в конечном счете, зависит от навыка администратора, существует множество основных инструментов и процедур, применяемых для решения наиболее важных задач управления.
Ниже рассмотрим основные процедуры по конфигурированию веб-узла.

Создание веб-узла

Сначала нужно создать веб-узел и указать, в каких каталогах хранятся публикуемые документы. Веб-сервер не может опубликовать документы, которые находятся вне пределов указанных каталогов. Первым шагом в развер-тывании веб-узла является задание организационной структуры файлов. После этого, используя оснастку Internet Information Services (IIS) Manager, нужно задать, какие каталоги являются частью узла.
Если необходимо опубликовать информацию немедленно, не тратя время на создание структуры каталогов узла, и все файлы расположены на одном и том же жестком диске, можно просто скопировать публикуемые файлы в основной каталог по умолчанию — %SystemDisk%\Inetpub\wwwroot. Для FTP-узла файлы требуется скопировать в каталог %SystemDisk%\Inetpub\ ftproot. Пользователи сети смогут обращаться к этим файлам, вводя URL-адрес http://<имя_сервера>/<имя_файла>.

Задание домашнего каталога

Каждый веб- или FTP-узел должен иметь корневой (домашний) каталог. Домашний каталог — отправная точка для организации информационной структуры публикуемых страниц. Он содержит домашнюю страницу или индексный файл, который является стартовой страницей узла и содержит ссылки на другие страницы на узле. Домашний каталог привязывается к имени домена узла или к имени сервера.

Рис. 16.10. Задание домашнего каталога

Например, если имя домена узла — www.myfirm.com и корневой каталог — \Webserver\MyFirm, то браузер, обращаясь по URL http://www.myfirm.com, получит файлы из корневого каталога. В интрасети, если имя сервера — infoserver, то браузер, обращаясь по URL http: //infoserver, получит доступ к файлам в корневом каталоге.
Корневой каталог по умолчанию создается при установке служб IIS, а также при создании нового веб-узла. Корневой каталог можно изменять (рис. 16.10).

Виртуальные каталоги

Чтобы публиковать информацию из любого каталога, который не содержится внутри корневого каталога, нужно создать виртуальный каталог. Виртуальный каталог — это каталог, который не содержится в корневом каталоге, но для клиента он выглядит так, как если бы он был частью корневого каталога.
Виртуальный каталог имеет псевдоним, т. е. имя, которое веб-браузеры используют для обращения к этому каталогу. Поскольку псевдоним обычно короче полного пути каталога, пользователям его удобнее вводить. Псевдоним безопаснее; пользователи не знают, где файлы физически расположены на сервере, и не могут использовать эту информацию для изменения этих файлов. Псевдонимы упрощают перемещение каталогов в узле. Не изменяя URL-адрес каталога, можно изменить отображение между псевдонимом и физическим местоположением каталога.
Предположим, что для публикации информации в сети установлен узел infoserver. В табл. 16.6 показано соответствие между физическим местоположением файлов и URL, по которому файлы доступны.

Таблица 16.6. Примеры соответствия между физическим местоположением файлов, псевдонимом и URL-адресом

Физическое местоположение на диске (компьютере) | Псевдоним | Путь URL
c:\wwwroot | Домашний каталог (нет псевдонима) | http://infoserver
\\Server2\info\Data | Data | http://infoserver/Data
c:\wwwroot\Schedule | Нет | http://infoserver/Schedule
c:\wwwroot\Products | Нет | http://infoserver/Products
d:\samples\documents | Text | http://infoserver/text

Как виртуальные, так и физические каталоги (каталоги без псевдонима) видны в оснастке Internet Information Services (IIS) Manager.

Примечание

Для простого веб-узла не требуется создание виртуальных каталогов. Можно просто разместить все файлы в основном каталоге узла. Если нужно построить сложный узел или задать различные URL для различных частей узла, можно добавлять виртуальные каталоги по необходимости.

Переадресация запросов

Когда браузер запрашивает страницу с узла, веб-сервер ищет страницу по заданному URL и возвращает ее браузеру. Когда страница перемещается внутри узла, не всегда можно исправить все связи, которые ссылаются на старый URL-адрес страницы. Чтобы удостовериться в том, что браузеры смогут найти страницу по новому URL, можно заставить веб-сервер предоставлять браузеру новый URL. Браузер использует новый URL, чтобы запросить эту страницу снова. Этот процесс называется переадресацией запроса браузера или переадресацией на другой URL. Переадресация запроса о получении страницы подобна переадресации в почтовой службе. Переадресация гарантирует, что письма и пакеты, отправленные по предыдущему адресу вашего проживания, будут доставлены по новому адресу.
Переадресация URL полезна (см., например, переключатель A redirection to a URL на рис. 16.10), когда узел подвергается переделкам и нужно сделать часть узла (каталог) временно недоступной, или когда было изменено имя виртуального каталога и нужно заставить браузеры обращаться не к файлам в исходном виртуальном каталоге, а к тем же самым файлам в новом виртуальном каталоге.

Дополнительные механизмы

Часто может потребоваться динамически изменять содержание узла после того, как содержание было затребовано, но до передачи его браузеру, US включает две возможности, которые обеспечивают эту функциональность — серверные включения (Server-Side Includes, SSI) и Microsoft Active Server Pages (ASP) — для создания сценариев-посредников.
Используя SSI. можно выполнять ряд действий — от динамического отображения текущего времени на странице до выполнения заданных системных команд каждый раз, когда запрашивается данный ресурс (страница). SSI-команды, называемые директивами, указываются на странице в процессе ее разработки. Когда страница запрашивается, веб-сервер анализирует синтаксис всех директив на странице, а затем выполняет их. Наиболее часто используется директива включения, что позволяет включать содержимое файла внутрь страницы. Например, если требуется, чтобы в заголовок страницы вставлялась реклама, можно при помощи SSI включить исходный текст рекламы. Чтобы модифицировать рекламу, нужно изменить только файл, содержащий исходный текст рекламы. Для применения SSI не нужно знать язык создания сценариев — синтаксис директив очень прост.
ASP-страницы — серверная среда создания сценариев, позволяющая динамически изменять содержимое узла. Хотя технология ASP предназначена прежде всего для разработки веб-приложений, она предоставляет много возможностей для создания более простых в управлении узлов. Например, с помощью ASP можно отслеживать посещение узла пользователями (их атрибуты — IP-адрес, тип браузера, назначенные cookies и т. п.) или настраивать содержимое узла под возможности браузера. Однако, в отличие от SSI, ASP требует применения языка создания сценария, например VBScript или JScript.

Инструментарий для создания веб-страниц

Феноменальный рост сети Интернет и развитие технологий интрасетей создали огромный спрос на специализированные средства создания узлов. Если пользователь плохо знаком с основами публикации в Интернете, выбрать надлежащий инструмент для создания узла может быть достаточно сложно. Мощного сервера, предназначенного для размещения готовых страниц, недостаточно для успешного пуска и эксплуатации информационного узла в Интернете, требуются также и средства публикации. Ниже перечислены некоторые возможности создания и публикации веб-страниц.

  • Microsoft FrontPage 2002. Удобный, простой и мощный инструмент создания страниц и публикации их в сети. Обладает возможностями WYSIWYG (What You See Is What You Get, принцип "что видишь — то и получишь", т. е. визуальное создание с непосредственным отображением результата), тесно интегрирован с Microsoft Office XP и со службами IIS.
  • Преобразование в HTML. Привлекательная альтернатива созданию страниц — преобразование существующих документов в документы HTML. Применяя к файлам текстового процессора и электронных таблиц конвертер, можно сразу помещать такого рода страницы в сети, на вебсервере. Многие программы обработки текстов, например Microsoft Word XP (2002), имеют встроенные возможности для преобразования документов в формат HTML. Однако большинство конвертеров только добавляет тэги форматирования HTML к тексту, плохо сохраняя первоначальный вид документов. Конвертеры — удобные средства, они особенно полезны, если планируется публиковать большую часть существующей документации, которая не нуждается в частом изменении.
  • Текстовый редактор. Страницы можно создавать почти в любом стандартном текстовом редакторе, например, в Notepad (Блокнот), вводя тэги HTML и содержимое страниц, сохраняя в файле, а затем открывая их в браузере для предварительного просмотра. Некоторые опытные пользователь и предпочитают этот метод, потому что он обеспечивает более тонкий контроль форматирования страниц и позволяет применять последние технологические новшества Интернета.

Служба NNTP

В составе служб IIS 6.0 реализована Служба NNTP, позволяющая построить серверы новостей в интрасети или Интернете. В данном разделе описываются особенности ее развертывания в корпоративной сети.

Основные возможности

Служба NNTP проста в управлении, поскольку содержит удобные инструменты и поддерживает тесную интеграцию с Windows Sewer 2003. Ниже перечислены основные возможности службы NNTP.

  • Поддержка стандартов Интернета. Служба NNTP поддерживает Network News Transport Protocol (NNTP, Сетевой протокол передачи новостей), который предназначен для связи клиента с сервером, а также для связи двух серверов. Служба NNTP поддерживает популярные расширения NNTP и полностью совместима с другими клиентами и серверами NNTP. Кроме того, служба NNTP поддерживает многочисленные форматы, включая:
    • Multipurpose Internet Mail Extension (MIME);
    • язык разметки гипертекста HTML;
    • формат изображений GIF;
    • формат изображений JPEG.

  • Простота администрирования. Администрирование службы NNTP осуществляется посредством оснастки Internet Information Services (IIS) Manager. С помощью этой оснастки управление службой NNTP осуществляется в пределах одной ЛВС. Этот инструмент позволяет управлять всеми компонентами IIS, используя единый интерфейс (рис. 16.11).
  • Интеграция со службами Windows Server 2003. Служба NNTP полностью использует преимущества стандартных инструментов администрирования Windows Server 2003 для текущего контроля производительности и отслеживания событий. При инсталляции службы NNTP устанавливается набор счетчиков для системного монитора (System Monitor). Все состояния службы NNTP и сообщения об ошибках записываются в журналы событий и могут просматриваться при помощи оснастки Event Viewer (Просмотр событий). Служба NNTP также включает поддержку протокола SNMP. Служба NNTP управляет доступом к группам новостей, используя списки ACL системы безопасности Windows Server 2003. Устанавливая разрешения на каталог, который содержит группу новостей, можно управлять доступом к этой группе новостей. Можно также разрешить анонимный доступ, при этом доступ к группе новостей будет предоставлен всем.

Рис. 16.11. Оснастка Internet Information Services (IIS) Manager — управление службой NNTP

  • Интеграция со службой индексирования. Служба NNTP поддерживает полнотекстовое индексирование содержания и индексирование по свойствам групп новостей.
  • Улучшенная безопасность. Служба NNTP поддерживает несколько вариантов безопасности, которые аутентифицируют пользователей групп новостей и защищают частную информацию:
    • анонимный доступ (anonymous access). Разрешает любому пользователю доступ к группе новостей, не требует указания имени пользователя или пароля;
    • стандартное расширение безопасности NNTP (Standard Secure NNTP extension). Требует, чтобы пользователь предоставил имя пользователя и пароль, которые посылаются по сети открытым текстом;
    • протокол вызова/ответа Windows (Windows Challenge/Answer Protocol). Требует, чтобы пользователь предоставил имя пользователя и пароль, которые передаются в шифрованном виде для безопасной передачи по сети. Этот протокол требует использования клиентского программного обеспечения Microsoft Internet Mail and News (или Outlook Express);
    • протокол SSL (Secure Sockets Layer). Чтобы защитить информацию, передаваемую через общую сеть, служба NNTP поддерживает шифрование SSL, которое включает проверку подлинности клиентов и серверов.

Средства администрирования

Оснастка Internet Information Services (IIS) Manager может выполнять все задачи по администрированию службы NNTP, она требует подключения через ЛВС. При ее использовании нужно раскрыть узел Default NNTP Virtual Server (Виртуальный NNTP-сервер по умолчанию) (см. рис. 16.11).
Управлять виртуальным сервером NNTP с помощью оснастки Internet Information Services (IIS) Manager можно и с удаленного компьютера, если он находится в той же ЛВС, что и служба NNTP. Однако этот компьютер должен работать под управлением Windows Server 2003, и на нем должны быть установлены средства администрирования Windows Server 2003.

Рис. 16.12. Окно свойств службы NNTP

Виртуальный сервер, который создается по умолчанию на сервере после инсталляции службы, — Default NNTP Virtual Server. Служба NNTP может состоять из одного или большего количества виртуальных серверов NNTP.
Чтобы просмотреть или изменить свойства виртуального сервера NNTP, необходимо в пространстве имен утилиты выбрать требуемый виртуальный сервер NNTP и в меню Action (Действие) выполнить команду Properties (Свойства). Затем перейдите на требуемую вкладку в диалоговом окне (рис. 16.12) и измените нужные опции по необходимости.

Функционирование службы NNTP

Служба NNTP реализует поддержку клиент-серверного протокола Network News Transfer Protocol (NNTP), при этом она выступает в роли сервера, а программа Microsoft Outlook Express — пример типичного клиента.
Клиенты подключаются к службе NNTP по протоколу TCP/IP. Обычно по умолчанию при нормальном подключении используется TCP-порт 119, для шифрованных SSL-подключений — TCP-порт 563.

Публикация статей

Для передачи статьи телеконференции через службу NNTP следует использовать программу-клиент новостей, например Microsoft Outlook Express. Клиент подключается к NNTP и запрашивает публикацию переданной статьи в одной или более телеконференциях. Служба NNTP устанавливает соединение, принимает запрос и проверяет права пользователя на публикацию статьи в указанных телеконференциях (рис. 16.13). Служба NNTP затем публикует статью в телеконференциях и модифицирует индекс телеконференции.

Рис. 16.13. Публикация статей

Просмотр статей

Для просмотра статей в телеконференциях, опубликованных при помощи службы NNTP, необходимо использовать программу-клиент чтения новостей, например Microsoft Outlook Express.
Первый шаг при просмотре статей в телеконференции — получение списка доступных телеконференций (рис. 16.14). Клиент подключается к службе NNTP и запрашивает список доступных телеконференций. Служба NNTP принимает запрос, аутентифицирует пользователя, обращающегося к телеконференциям, проверяет его права, а затем посылает клиенту список всех доступных телеконференций.

Рис. 16.14. Просмотр статей

Второй шаг — выбор телеконференции, которую пользователь хочет просмотреть. Клиент запрашивает список статей в выбранной телеконференции. Служба NNTP аутентифицирует пользователя, обращающегося к указанной телеконференции, проверяет его полномочия и посылает клиенту список всех статей в этой телеконференции. Затем пользователь выбирает статью, клиент запрашивает выбранную статью у службы NNTP, а служба возвращает содержимое статьи.

Структуры данных службы NNTP

Статьи телеконференций в службе NNTP хранятся в одной или в нескольких группах иерархических каталогов. Каждая телеконференция имеет собственный каталог, а каждая статья хранится как файл в этом каталоге.
Основной каталог по умолчанию — %SystemDisk%\\netpub\nntpfile\root, его можно переназначить на вкладке свойств основного каталога виртуального сервера NNTP. Можно создавать дополнительные иерархии каталогов на других дисках или на других компьютерах, создавая виртуальные каталоги.
Каталог телеконференции имеет то же имя, что и сама телеконференция. Служба NNTP автоматически создает требуемые каталоги, когда создается новая телеконференция. Например, телеконференция, названная sample.test, хранится в подкаталоге \sample\test относительно корневого каталога, т. е. в каталоге %SystemDisk%\Inetpub\nntpfile\root\sample\test. Все файлы статей телеконференций имеют расширение nws.
Служба NNTP также создает файлы, в которых хранятся темы размещенных в телеконференции статей. Эти файлы имеют расширение xix. Служба NNTP создает один файл для каждых 128 статей в телеконференции.
Служба NNTP также поддерживает множество внутренних файлов структуры данных с расширениями hsh, hdr, lst и txt. Заданное по умолчанию расположение этих файлов — %SystemDisk%\Inetpub\nntpfile. Нельзя изменять или удалять эти файлы. Средства восстановления службы NNTP исправляют эти файлы, если они были случайно удалены или повреждены.

Примеры использования сервера NNTP

Рассмотрим несколько типовых сценариев развертывания NNTP-сервера в корпоративной сети.

Виртуальный сервер новостей для внутренних корпоративных целей

Общение важно для любой группы людей, работающих вместе. Во многих организациях трудно заставить всех членов группы применять средства совместной работы на постоянной основе. Телеконференции могут решить проблемы общения и взаимодействия людей. Они дают возможность любому в группе читать или помещать свою информацию. Просто также найти нужную информацию по заданной тематике, поскольку статьи организованы в виде тематических потоков. В отличие от электронной почты, телеконференции обеспечивают механизм легкого архивирования информации для справочных целей.
Цель: Улучшить возможности взаимодействия между членами отдела, работающими над проектом, и усовершенствовать организацию хранения и архивирования информации.
Состав программного обеспечения: Microsoft Windows Server 2003, Microsoft Internet Information Services (IIS), Microsoft Internet Mail and News или Microsoft Outlook Express.
Среда: Сеть на базе Microsoft Windows.
Установка: Установить службу NNTP — компонент IIS.
Прочие аспекты: Чтобы использовать телеконференции в качестве информационного архива, необходимо запретить удаление статей с истечением времени и производить периодическую архивацию информации.
Функционирование: Выполнение функций поддержки нескольких телеконференций в пределах организации потребует не очень больших ресурсов со стороны сервера. Можно использовать любой компьютер, работающий под управлением Windows Server 2003. Поскольку служба NNTP работает по стандартному протоколу NNTP, сотрудники могут иметь доступ к телеконференциям, используя любое клиентское программное обеспечение, поддерживающее NNTP, однако предпочтительно работать с Microsoft Internet Mail and News и Outlook Express — клиентами, которые обеспечивают дополнительные функции защиты, если есть потребность в таких функциях. Сервер и клиенты должны поддерживать TCP/IP.
URL для телеконференций будет иметь следующие форматы:

news://сервер/телеконференция news://сервер/телеконференция/статья

где сервер — имя или IP-адрес сервера NNTP, телеконференция — имя телеконференции, а статья — необязательный идентификатор конкретной статьи.
В зависимости от того, насколько конфиденциальными будут статьи, можно настраивать параметры защиты для телеконференции. Если информация доступна любому в организации и сеть защищена брандмауэром, можно разрешить анонимный вход. Для большей защиты можно использовать штатные средства безопасности Windows Server 2003, которые применяются к каждому пользователю телеконференции. Можно ограничить доступ к каталогам телеконференций для определенных учетных записей. Служба NNTP управляет защитой, используя учетные записи Windows Server 2003 и соответствующие разрешения.
Результат: Работа членов отдела упростится. Сотрудники смогут читать и публиковать статьи, содержащие информацию по проекту, на сервере новостей. Для обсуждения деталей проекта не потребуются личные встречи, отнимающие время.

Общедоступный виртуальный сервер новостей

Может потребоваться несколько телеконференций с различной тематикой на общедоступном сервере новостей. Например, зарегистрированным пользователям некоторого продукта требуется одна конференция, а потенциальным покупателям, только собирающимся сделать свой выбор, — другая.
Цель: Уменьшить затраты на поддержку пользователей и улучшить клиентскую службу, предоставив клиентам быстрый свободный доступ к информации и технической поддержке.
Программные компоненты: Microsoft Windows Server 2003, Microsoft Internet Information Services (IIS), Microsoft Internet Mail and News или Microsoft Outlook Express.
Среда: Интернет.
Установка: Разрешить анонимный доступ; использовать DNS или WINS для разрешения имени; обеспечить доступ через брандмауэр (при его наличии).
Прочие аспекты: Необходимо рассмотреть возможность организации модерируемых (редактируемых специально назначенным человеком, так называемым "модератором") конференций, чтобы предотвратить публикацию некорректных, технически неправильных статей. Это может ограничить возможность клиентов помочь друг другу, если персонал поддержки недоступен в настоящий момент.
Функционирование: Если службы IIS уже используются, то для обеспечения технической поддержки через публикацию технической информации на вебсервере можно просто добавить поддержку телеконференций на том же компьютере. Если планируется активно использовать сервер телеконференций, можно расположить службу NNTP на отдельном компьютере.
Можно создать отдельную телеконференцию для каждого продукта, для которого требуется техническая поддержка, или создать несколько телеконференций для каждого продукта, одну для каждой темы поддержки.
URL-адреса для телеконференций будут иметь стандартные форматы (см. выше).
Чтобы обеспечить наискорейшую отдачу от телеконференций, персонал поддержки клиентов должен достаточно часто читать статьи в телеконференциях и быстро отвечать на вопросы. Одним из удобных средств может оказаться публикация часто задаваемых вопросов (Frequently Asked Questions, FAQ) и ответов на них.
Результат: Клиенты получают более эффективную поддержку и, следовательно, в большей степени удовлетворены применяемыми продуктами, т. к. они имеют непосредственный доступ к самой свежей информации, касающейся этих продуктов. Производительность труда у персонала поддержки будет выше, т. к. теперь не нужно много раз отвечать на один и тот же вопрос.

Служба SMTP

В Windows Server 2003 Службу SMTP характеризуют следующие особенности:

  • поддержка стандартных протоколов Интернета. Служба SMTP обеспечивает полную поддержку протокола Simple Mail Transfer Protocol, SMTP (Простой протокол электронной почты) и совместима с почтовыми клиентами SMTP;
  • масштабируемость. Служба SMTP поддерживает сотни одновременных клиентских соединений при конфигурации с одним сервером. Можно также настроить использование множества доменов для одного сервера;
  • улучшенная безопасность. Служба SMTP поддерживает протоколы безопасной передачи почты на транспортном уровне;
  • прямая доставка и извлечение почты. Служба SMTP поддерживает размещение всех входящих сообщений непосредственно в каталоге %SystemDisk%\Inetpub\mailroot\Drop. Это позволяет использовать службу SMTP для приема почты других приложений. В дополнение к передаче сообщений через порт TCP-приложения могут использовать каталог %SystemDisk%\Inelpub\mailroot\Pickup. После форматирования сообщения служба SMTP осуществляет его доставку.

Средства администрирования

Управление службой SMTP осуществляется с помощью оснастки Internet Information Services (IIS) Manager, которая может также использоваться для выполнения всех задач по администрированию служб IIS и требует подключения через ЛВС. Для настройки параметров службы SMTP необходимо в пространстве имен оснастки выбрать узел Default SMTP Virtual Server (Виртуальный SMTP-сервер по умолчанию) (рис. 16.15).

Рис. 16.15.Управление SMTP-сервером с помощью оснастки Internet Information Services (IIS) Manager

Служба электронной почты (РОРЗ)

В Windows Sewer 2003 реализована поддержка протокола РОРЗ. Эту возможность обеспечивает Служба электронной почты (E-mail Services). Протокол РОРЗ в совокупности со службой SMTP позволяет использовать сервер Windows Sewer 2003 для организации простейшей, но полнофункциональной системы обмена сообщениями электронной почты. При этом протокол SMTP оговаривает только транспортный механизм обмена (рассматриваются только механизмы доставки, но не чтения почтовых сообщений). То есть все полученные сообщения помещаются в некоторое хранилище. Для каждого получателя сообщение хранится в индивидуальных папках. По аналогии с обычной почтой, эти папки получили название почтовых ящиков (mailbox). Протокол РОРЗ представляет собой механизм извлечения пользователями сообщений из хранилища. Сообщения хранятся в почтовых ящиках до тех пор, пока пользователи не извлекут их оттуда (посредством протокола РОРЗ).
Для работы со службой электронной почты, реализованной в Windows Server 2003, пользователи могут использовать любого почтового клиента, поддерживающего протокол РОРЗ (например, Microsoft Outlook Express). Почтовый клиент устанавливает соединение с сервером по протоколу РОРЗ и подключается к требуемому почтовому ящику. В ходе выполнения подключения клиент должен пройти процедуру аутентификации, предоставив информацию об учетной записи пользователя и соответствующем ей пароле. После подключения пользователь может извлечь некоторые или все сообщения, содержащиеся в его почтовом ящике на сервере. При этом выгрузка может проходить как в режиме перемещения (выгружаемые сообщения удаляются из почтового ящика на сервере), так и в режиме копирования (копии сообщений остаются на сервере).

Примечание

Следует заметить, что протокол РОРЗ предполагает передачу данных (в том числе и информацию о полномочиях пользователя) по сети в открытом незашифрованном виде. Поэтому в случае необходимости администратору следует подумать об использовании протокола IPSec. Применение протокола IPSec позволяет создать защищенный туннель между клиентом и сервером.

В терминологии протокола SMTP существует понятие почтового домена (e-mail domain). Почтовый домен определяет логическую принадлежность получателя к некоторой общности. Порядок записи имени почтового домена подчиняется правилам, определенным для доменных имен DNS. В совокупности имя получателя и почтовый домен образуют адрес электронной почты, который должен быть уникален в рамках всего пространства имен DNS. Например для получателя lex, принадлежащего к почтовому домену ayan.ru, адрес электронной почты будет следующим: lex@ayan.ru

Структура почтового хранилища

Вся приходящая почта размещается в специальном почтовом хранилище (mail store). По умолчанию почтовое хранилище располагается в папке %SystemDisk%\Inetpub\mailRoot\Mailbox. Хранилище представляет собой совокупность папок. Эти папки организуются в соответствии с определенным принципом. Организация сообщений осуществляется на уровне почтовых доменов и почтовых ящиков. Как уже упоминалось ранее, почтовый ящик представляет собой папку, в которую помещаются все приходящие на определенного получателя сообщения. В рамках хранилища почтовые домены представляют собой папки, в которых помещаются принадлежащие к ним почтовые ящики. Например, путь к содержимому почтового ящика получателя lex, принадлежащего к почтовому домену ayan. ru, будет следующим: \inetpub\mailroot\mailbox\ayan.ru\lex. rnbx\

Примечание

В процессе обмена сообщениями объем почтовых ящиков пользователей может постепенно увеличиваться. В случае бесконтрольного увеличения это может привести к истощению свободного дискового пространства, выделенного для почтового хранилища, что может парализовать работу всей почтовой службы. Для автоматизации процесса контроля администратор может задействовать механизм квот на использование дискового пространства.

Развертывание службы электронной почты

Службы электронной почты не устанавливаются по умолчанию в ходе инсталляции операционной системы Windows Server 2003. При необходимости администратор должен установить эти службы самостоятельно. В окне утилиты Add or Remove Programs необходимо нажать кнопку Add/Remove Windows Components, чтобы запустить одноименный мастер. В списке компонентов (рис. 16.16) следует установить флажок в строке E-mail Services (Службы электронной почты) и нажать кнопку Next (Далее). Мастер произведет копирование необходимых файлов и выполнит конфигурирование установленной службы. При этом по умолчанию также ставится компонент РОРЗ Service Web Administration, позволяющий администрировать службу по протоколу HTTP с помощью утилиты Remote Administration (HTML).

Примечание

Если предварительно не была выполнена установка службы SMTP, то она автоматически устанавливается в ходе развертывания служб электронной почты.

Рис. 16.16. Установка службы электронной почты

Средства администрирования служб электронной почты

Для управления службами электронной почты администратор может использовать специальную оснастку РОРЗ Service (рис. 16.17). Эта оснастка устанавливается в ходе развертывания службы электронной почты и может быть использована для управления всеми экземплярами (серверами) службы РОРЗ, функционирующими в корпоративной сети. С помощью указанной оснастки можно управлять почтовыми доменами, почтовыми ящиками, а также выполнять настройку таких параметров службы РОРЗ, как используемая схема аутентификации получателей, используемый TCP-порт, а также уровень протоколирования событий, связанных с работой службы. Для удаленного администрирования может использоваться утилита Remote Administration (HTML).

Примечание

В составе Windows Server 2003 поставляется специальная утилита командной строки Winpop.exe, которая также может быть использована для управления службой электронной почты (РОРЗ Service). Эта утилита командной строки может быть использована в тех ситуациях, где применение оснастки неоправданно или не позволяет решить стоящих перед администратором задач (например, при создании пакетных заданий). Для получения информации о синтаксисе утилиты Winpop.exe необходимо в режиме командной строки набрать winpop help.

Рис. 16.17. Оснастка POPS Service

Службы компонентов

Службы компонентов (Component Services) обеспечивают разработку и развертывание распределенных клиент-серверных приложений типа онлайновых бизнес-приложений и приложений электронной коммерции, имеющих веб-интерфейс. Службы компонентов используют технологию СОМ+ и обеспечивают такие функциональные возможности, как автоматическая поддержка целостности данных на основе транзакций, зашита информации, основанная на ролях, доступ к различным СУБД, службам очередей сообщений (например, MSMQ) и другим приложениям.
Службы компонентов полностью интегрированы с другими компонентами и службами Windows Server 2003. Интеграция со службами Internet Information Services и Active Server Pages упрощает создание приложений в среде Интернет/и нтрасети. Интеграция с кластерными службами повышает отказоустойчивость. Интеграция со службой обработки очередей сообщений (MSMQ) обеспечивает надежную, постоянную связь между приложениями.
Возможности Microsoft Transaction Server (MTS) были объединены с "классической" технологией СОМ и образовали технологию СОМ+, которая интегрирована в операционную систему Windows Server 2003. Оснастка ММС для управления СОМ+ — Component Services (Службы компонентов) располагается в меню Administrative Tools (Администрирование).
В состав служб компонентов входит переработанный инструмент управления, реализованный в виде оснастки ММС, с помощью которого можно устанавливать пакеты MTS в СОМ+ (рис. 16.18). Ранее для этого применялись специальные инструменты MTS. Сразу после установки пакета можно использовать такие новые возможности СОМ+, как базы данных, хранящиеся в оперативной памяти (In-Memory DataBase, 1MDB), или новая система поддержки событий.

Рис. 16.18. Оснастка Component Services

Служба индексирования

Назначение и основные возможности

Служба индексирования (Indexing Service) — стандартная служба, реализованная в Windows Server 2003, осуществляет индексирование файлов на локальном жестком диске, а также на общедоступных дисководах в сети. Также ее можно использовать для индексирования документов, хранящихся на сайтах, реализованных с помощью служб IIS. Выполнять поиск можно по индексу слова в содержании файлов или в свойствах файлов. Служба индексирования возвращает список всех документов, которые соответствуют критериям поиска.
Служба индексирования создана для непрерывной работы и не требует специального сопровождения. После того как она установлена, все действия осуществляются автоматически, включая создание индексов, обновление индексов и их восстановление в случае аварийного отказа, если произошел сбой питания. Служба индексирования безотказно работает в средах, критических по параметрам надежности и доступности, где сервер должен функционировать 24 часа в сутки и 7 дней в неделю.
Служба индексирования может индексировать:

  • файлы HTML;
  • текстовые файлы;
  • файлы Microsoft Office;
  • файлы почты Интернета;
  • любые другие файлы, для которых имеется фильтр документа.

Основы работы

Служба индексирования создает реестр каталогов, чтобы определить, какие документы должны быть проиндексированы; этот процесс впервые запускается сразу же после установки службы. Служба индексирования автоматически выполняет либо полный просмотр, либо инкрементный просмотр по мере необходимости.

  • Полный просмотр. При полном просмотре индексируются все документы в папках, которые перечислены в списке индексируемых документов. Служба индексирования делает полный просмотр всех жестких дисков на компьютере, когда служба запущена впервые после установки, когда папка добавляется к каталогу, или во время восстановления, если произошла серьезная ошибка. Можно также принудительно выполнить полный просмотр в любое время.
  • Инкрементный просмотр. При инкрементном просмотре к списку документов, которые будут проиндексированы, добавляются только те документы, которые были изменены со времени последнего индексирования. Когда служба индексирования запускается (после первого раза), она производит инкрементный просмотр всех индексированных папок на дисках с файловой системой, отличной от NTFS, чтобы определить, какие файлы были изменены, когда служба не функционировала.

Инкрементный просмотр также выполняется, если система теряет уведомления об изменениях. Это может случиться, если изменилось большое количество документов, и буфер Windows Server 2003, используемый для получения уведомлений об изменениях, переполняется. Инкрементный просмотр, так же как и полный просмотр, можно принудительно запустить в любое время.
Для каждого документа, который будет проиндексирован, служба индексирования выполняет следующие действия:
1. Используя соответствующий документу фильтр, считывает документ, извлекает из него значения свойств документа и выделяет содержание. Сохраняет значения свойств документа и путь к документу в индексе.
2. Разбивает поток предложений на отдельные слова. Для того чтобы разбить текст на слова, служба индексирования использует процедуры, соответствующие языку документа — английскому, немецкому, японскому и т. д.
3. Удаляет незначащие слова — предлоги, междометия, вспомогательные глаголы и т. д.
4. Сохраняет оставшиеся слова и путь к документу в индексе.
5. Сохраняет значения выбранных свойств документа в кэше свойств.
Фильтры — программные компоненты, которые "понимают" структуру файла соответствующего типа, например, документа Microsoft Word или HTML. Фильтр извлекает содержание и значения свойств и посылает их ядру индексации.
Служба индексирования поставляется с фильтрами для отдельных популярных типов файлов, созданных, например, приложениями Microsoft Office. Фильтры для файлов, созданных в других приложениях, часто можно получить от поставщиков соответствующего программного обеспечения.

Требования к конфигурации компьютера

Минимальная аппаратная конфигурация для службы индексирования — та же, что и для Windows Server 2003. Однако индексация и работа механизмов поиска зависят от количества и размера документов, которые будут проиндексированы, интенсивности поступления поисковых запросов и сложности запросов. На работу службы также влияет мощность компьютера. Компьютер с минимальной аппаратной конфигурацией для Windows Server 2003 хорошо обрабатывает запросы, если число одновременных запросов не слишком высоко. Для маленькой организации этого может оказаться достаточно, но для большой организации, обслуживающей много пользователей, рекомендуется более мощная конфигурация.
Если документов много, а памяти для работы службы не хватает, производительность системы может серьезно понизиться. Если компьютер при функционировании службы работает медленно, можно попробовать настроить производительность службы (см. ниже). Можно улучшить производительность службы и компьютера в целом, увеличивая общий объем оперативной памяти и объем памяти, выделенный для кэша свойств (property cache). Более быстрый процессор увеличивает скорость индексации и обработки запросов.
Полный объем документов, которые будут проиндексированы, и тип файловой системы также влияют на объем дискового пространства, требуемого для хранения данных службы индексирования. В файловой системе FAT пространство, необходимое для каталога, плюс временное рабочее пространство, приблизительно равно 30% объема индексируемого текста. В файловой системе NTFS требуется пространство, приблизительно равное 15% объема индексируемого текста.

Управление службой индексирования

Управление службой индексирования осуществляется при помощи специальной оснастки Indexing Service on Local Machine (рис. 16.19).

Рис. 16.19. Оснастка управления службой индексирования

Запустите оснастку Computer Management (Управление компьютером). В пространстве имен оснастки разверните узел Services and Applications | Indexing Service (Службы и приложения Служба индексирования). Для настройки производительности службы индексирования необходимо остановить службу, выбрав в меню Action (Действие) пункт Stop (Стоп). Затем в меню Action (Действие) выберите пункт All Tasks | Tune Performance (Все задачи | Настройка производительности).
В открывшемся окне Indexing Service Usage (Применение службы индексирования) выберите вариант, наиболее соответствующий способу использования службы индексирования на данном компьютере. Если выбран вариант пользовательской настройки — Customize (Настроить), необходимо нажать одноименную кнопку. В диалоговом окне Desired Performance (Производительность индексации) (рис. 16.20) необходимо переместить ползунок Indexing (Построение индекса) в сторону Lazy (Отложенное) для менее интенсивного индексирования или в сторону Instant (Немедленное) для скорейшего индексирования новых и измененных документов. Отложенное индексирование использует меньшее количество ресурсов компьютера; а немедленное — столько ресурсов, сколько возможно. Ползунок Querying (Скорость обработки запросов) необходимо переместить в сторону Low load (Низкая), если ожидается обработка малого количества запросов одновременно, или High load (Высокая), если ожидается обработка большого количества запросов одновременно. Обработка с низкой скоростью использует меньшее количество ресурсов, а с высокой, соответственно, — большее.

Рис. 16.20. Настройка производительности службы индексирования

Закрыв диалоговое окно Indexing Service Usage (Применение службы индексирования), необходимо запустить службу индексирования, выбрав команду Start (Пуск) в меню Action (Действие).

Поиск информации с помощью службы индексирования

При поиске информации запрос посылается службе индексирования. Служба индексирования, просматривая индекс, ищет документы, соответствуюшие критериям запроса, и возвращает список соответствующих запросу документов пользователю (или приложению, пославшему запрос). В дополнение к запросу по содержанию можно сделать запрос по свойствам файлов. Эти свойства включают: размер файла, даты создания и изменения, имя файла, авторов файла и т. д. Можно, например, сделать запрос по текстовым свойствам (имя файла и автор) и числовым свойствам (размер и дата изменения). Можно также сделать запрос по всем свойствам элементов ActiveX, включая пользовательские свойства документов Microsoft Office.
Поиск документов может быть выполнен одним из трех способов:

  • с помощью команды Search | All files and folders (Найти | Файлы и папки) меню Start (Пуск);
  • используя веб-страницу для передачи запроса на выполнение через службы IIS. Для веб-доступа владелец или администратор узла создает вебстраницу (документ HTML), из которой можно посылать на выполнение запросы. Страница может быть настроена для упрощения ввода и улучшения вида запросов и поиска информации по различным критериям. Автор страницы может также задавать отдельные индексы или части индексов, по которым нужно производить поиск. Результаты поиска возвращаются в виде веб-страницы;
  • при помощи оснастки Indexing Service. Форма запроса может быть включена в каждый каталог в службе. При помощи этой формы можно выполнять любой вид запросов, используя все возможности языка запросов. Чтобы открыть форму запроса, запустите оснастку Indexing Service, выберите требуемый каталог и узел Query the Catalog (Опрос каталога). Форма запроса появится в результирующей панели оснастки.

Формы запросов

Служба индексирования поддерживает полную и краткую формы запросов. Запросы в полной форме создаются с использованием тэгов (признаков) начала и окончания запроса, которые обозначаются фигурными скобками ({}). Тэги запроса служат для открытия и закрытия предложения запроса. Тэги запроса могут также включать уточняющие атрибуты или параметры.

  • Длинная форма и краткие запросы. Большинство операторов в языке запросов имеет полную форму и соответствующую ей краткую. Например, Sdocauthor — краткое имя свойства Author, в то время как {prop name=DocAuthor} — длинная форма.
  • Символы режима в кратких запросах. В кратких запросах следующие символы указывают режим (табл. 16.7).

Таблица 16.7. Режим запроса в краткой форме

Символ | Режим
@ | Запрос на поиск фразы (эквивалент {phrase})
# | Запрос с регулярным выражением (эквивалент {regex})
$ | Свободный текстовый запрос (эквивалент {freetext})

Правила составления запросов

Имеются пять видов запросов:

  • свободные текстовые запросы;
  • запросы-фразы;
  • запросы сопоставления с образцом;
  • относительные запросы;
  • векторно-пространственные запросы.

Правила, относящиеся к запросам всех видов:

  • в запросах не различаются строчные и прописные буквы;
  • можно искать любое слово, если оно не содержится в списке исключений;
  • для того чтобы использовать специальные символы в запросе (типа &, |, ^, # и $), нужно заключить запрос в кавычки;
  • Значения даты и времени имеют одну из двух форм: yyyy/mmdd hh:mm:ss или yyyy-ram-dd hh:mm:ss. Первые два символа года и полного времени могут быть опущены. Если опускаются первые два символа года, дата интерпретируется как находящаяся в интервале между 1930 и 2029 гг. Трехзначное число миллисекунд может быть задано после секунд. Все даты и времена задаются в UTC (Universal Coordinated Time, Скоординированное всемирное время). Пример задания времени: 1993/П/7 12:04:23:123.

Примечание

Дата и время относительно текущей даты и времени могут быть выражены со знаком "минус" (-), за которым следует одна или более пар "целое число-единица". Единицы задаются так: у — число лет, q — число кварталов (три месяца), гп — число месяцев, w — число недель, d — число дней, h — число часов, п — число минут из — число секунд. Числовые значения могут быть заданы в десятичном или в шестнадцатеричном виде. Шестнадцатеричные значения предваряются символами "0х".

Для поиска слова или фразы в заданном свойстве можно использовать оператор CONTAINS. Если оператор не задан, по умолчанию считается заданным оператор CONTAINS.
Следующие запросы эквивалентны:

  • @DocTitle "Что-то важное";
  • @DocTitle CONTAINS "Что-то важное".

Можно использовать булевы операторы AND, OR и NOT как в запросах на вхождение в содержимое, так и в запросах по свойствам. Оператор NEAR может применяться только в запросах по содержимому документов. Операторы в запросах могут быть записаны как в полной, так и в краткой форме (табл. 16.8).

Таблица 16.8. Полная и краткая формы операторов

Оператор | Длинная форма | Краткая форма
AND | AND | &
NOT | AND NOT | |
OR | OR | & !
NEAR | NEAR | Near, ~

Следует заметить, что булевы операторы доступны только в английском написании.

Примечание

Булевы операторы рассматриваются в следующем порядке: NOT, AND и NEAR, OR.

Для свободных текстовых запросов можно указывать группу слов или законченное предложение. Служба индексирования находит документы, которые лучше всего соответствуют словам и фразам в свободном текстовом запросе. Булевы операторы и подстановочные символы в таком запросе игнорируются. Чтобы искать фразу, ее нужно или заключить в кавычки, или предварить тэгом (phrase). Слова в запросе на поиск фразы должны встретиться в документе в указанном порядке, без пропуска слов.
Для запросов сопоставления с образцом служба индексирования выбирает документы, соответствующие образцу, который задается пользователем. В такого рода запросах используются маски (wildcards), запросы, задающие словоформы, регулярные выражения и операторы отношений.
В относительных запросах для поиска документов, свойства которых лежат в некотором диапазоне, можно использовать операторы отношения: больше, меньше, равно, не равно и т. п.
Векторно-пространственные запросы предназначены для поиска документов, которые соответствуют списку слов и фраз. Документы, которые возвращаются после выполнения векторно-пространственного запроса, не обязательно соответствуют каждому термину в запросе. Ранг каждого документа указывает, насколько хорошо документ соответствует запросу. Можно задавать весовые коэффициенты, чтобы управлять относительной важностью терминов для получения результата. Допустимые значения весов находятся в диапазоне от 0,0 до 1,0.

Примеры запросов

В табл. 16.9 приведены примеры разнообразных запросов.

Таблица 16.9. Примеры запросов

Чтобы найти | Полная форма | Краткая форма | Результат
Заданное значение | {prop name=DocAuthor } = Иван Иванов {/prop} | @DocAuthor = Иван Иванов | Документы, созданные Иваном Ивановым
Значение, начинающееся с заданного префикса | {prop name=DocAuthor } { гедех}Иван * { /regex } { /prop } | #DocAuthor Иван* | Документы, чье свойство "автор" начинается с "Иван"
Файлы с расширением из числа заданных | {prop name=f ilename} { regex} * . I (doc | , txt | , wri | ) { /regex} { /prop} | #f ilename *. | (doc|, txt | , wri | ) | Файлы с расширениями doc, txt или wri
Документы, измененные после некоторой даты | {prop name=write} > 99/7/18 11:05:00 { /prop} | @write > 99/7/18 11:05:00 | Документы, измененные после 18 июля 1 999 года, в 11:05 по UTC
Документы, измененные после относительной даты | {prop name=write} > -2d4h {/prop} | @write > -2d4h | Документы, измененные в пределах последних 52 часов

Службы очереди сообщений

Службы очереди сообщений (Microsoft Message Queuing Services, MSMQ) — сервис, входящий в стандартную поставку Windows Server 2003.
С помощью MSMQ приложения, работающие в разное время, могут связываться через разнородные сети и системы, способные временно работать автономно. Приложения посылают сообщения MSMQ и используют очереди MSMQ — это позволяет быть уверенным, что сообщение рано или поздно достигнет адресата. MSMQ обеспечивает гарантированную доставку сообщений, интеллектуальную маршрутизацию, защиту и передачу сообщений, основанную на приоритетах.
При помощи MSMQ конечные пользователи могут связываться через автономные сети и системы, вне зависимости от текущего состояния поддерживающих связь приложений и систем. При помощи MSMQ разработчики могут сосредоточиться на программировании бизнес-логики, а не решать проблемы работы с сетями, поскольку MSMQ обеспечивает гарантированную доставку. Администраторы систем при помощи MSMQ могут эффективно управлять большими, сложными сетями очередей сообщений.
Программные продукты с такими возможностями часто называют программным обеспечением поддержки очередей сообщений, программным обеспечением с промежуточным накоплением или средствами среднего уровня, ориентированными на сообщения (MOM, Message-Oriented Middleware).
Особенности и возможности службы MSMQ перечислены ниже.

  • Интеграция со службами Windows Server 2003. Поддерживается служба Active Directory, в которой хранятся отдельные объекты MSMQ. Клиенты MSMQ могут напрямую обращаться к каталогу для получения необходимой информации (используя протокол LDAP).
  • Доставка сообщений по HTTP. В рамках MSMQ 3.0 реализован новый протокол (основанный на XML-сообщениях), позволяющий осуществлять доставку сообщений при помощи протокола HTTP.
  • Триггеры. Триггеры представляют собой механизм, посредством которого факт прибытия сообщения в некоторую очередь может быть ассоциирован с некоторой ответной реакцией. Эта реакция может зависеть от содержимого сообщения.
  • Отправка сообщения множеству получателей. Одно сообщение может быть адресовано нескольким получателям. Перечень получателей сообщения может быть определен в рамках объекта каталога, ассоциированного со списком рассылки (distribution list). Доставка сообщений нескольким получателям реализуется при этом на низком уровне. В частности могут быть задействованы механизмы группового вещания.
  • Поддержка рабочих групп. Механизм MSMQ может быть развернут в рамках рабочей группы (т. е. без образования домена).
  • Гарантированная доставка. Сообщения помещаются в хранящуюся на диске очередь, что обеспечивает гарантированную доставку сообщений.
  • Поддержка приоритетов трафика. Приоритеты сообщений позволяют срочному или важному трафику вытеснять менее важный, что гарантирует адекватное время ответа критическим приложениям за счет менее важных приложений.
  • Транзакции. Имеется возможность использования транзакций MSMQ, т. е. можно объединить несколько действий MSMQ в транзакцию и обеспечить гарантированную доставку сообщений, а также то, что они будут доставлены не более одного раза или что доставленные сообщения будут успешно извлечены из очереди адресатом.
  • Динамические очереди. Администраторы могут изменять свойства очередей без воздействия на приложения передачи сообщений.
  • Маршрутизация. MSMQ поддерживает интеллектуальную маршрутизацию, которая основана на физической топологии сети, группировке сеансов и на обеспечении транспортной связности. Группировка сеансов облегчает эффективное использование медленных линий.
  • Широкая интеграция систем. Приложения MSMQ могут выполняться на целом ряде аппаратных платформ, выпускаемых сторонними производителями.
  • Безопасность. MSMQ поддерживает механизмы безопасности: управление доступом, аудит, шифрование и аутентификацию. Управление доступом реализовано с применением системы безопасности Windows Server 2003 и цифровых подписей. Аудит реализован при помощи службы регистрации событий Windows Server 2003. Шифрование и аутентификация (использование цифровых подписей) обеспечиваются при помощи механизмов открытых и закрытых ключей.

Прикладной интерфейс MSMQ позволяет разрабатывать приложения MSMQ на языке С или C++. MSMQ также включает элементы управления СОМ, которые можно применять для создания приложений MSMQ в Microsoft Visual Java (VJ), Visual Basic (VB) или любых других приложений-контейнеров СОМ (например, Microsoft Access или Borland/Inprise Delphi). При помощи Microsoft ASP и Microsoft IIS можно интегрировать MSMQ-приложение с веб-страницами и формами, содержащими элементы управления СОМ. При помощи MAPI Transport Provider и Exchange Connector можно интегрировать приложение MSY1Q с формами Exchange и клиентами MAPI. Транспорт MSMQ RPC можно применять для создания надежных приложений, использующих вызовы RPC.

Установка MSMQ

Чтобы добавить или удалить службу MSMQ, на панели управления запустите утилиту Add or Remove Programs (Установка или удаление программ) и воспользуйтесь мастером Windows Components Wizard. Из списка предлагаемых компонентов выберите Application Server (Сервер приложений) и нажмите кнопку Details (Подробно). В открывшемся окне установите флажок в строке Message Queuing (Очереди сообщений) (рис. 16.21). Нажмите кнопку Next (Далее) и следуйте командам мастера.

Рис. 16.21. Установка служб очереди сообщений

При необходимости администратор может выбрать, какие именно компоненты службы очередей сообщений будут установлены на сервере. Для этого, выбрав строку Message Queuing, необходимо нажать кнопку Details и установить флажки около нужных компонентов (рис. 16.22).

Рис. 16.22. Выбор компонентов служб очереди сообщений

Сначала нужно установить сервер MSMQ на контроллере домена Windows Server 2003 (в группе серверов, объединенных территориально), а затем можно устанавливать программное обеспечение MSMQ на других компьютерах.

Управление службой MSMQ

Управление MSMQ на локальном компьютере осуществляется при помощи оснастки Computer Management (Управление компьютером). В пространстве имен этой оснастки необходимо выбрать узел Service and Applications | Message Queuing (Службы и приложения | Очередь сообщений). Основное управление объектами MSMQ в организации осуществляется с применением оснастки Active Directory Users and Computers (Active Directory — пользователи и компьютеры). Для управления MSMQ в организации:
1. Запустите оснастку Active Directory Users and Computers.
2. В меню View (Вид) выберите пункт Users, Groups and Computers as Containers (Пользователи, группы и компьютеры как контейнеры), а затем в том же меню выберите пункт Advanced Features (Дополнительные функции).
3. В пространстве имен оснастки найдите нужный домен, затем подразделение, наконец, нужный компьютер, на котором установлена MSMQ, щелкните правой кнопкой мыши на узле msmq и в контекстном меню выберите пункт Properties (Свойства).

Службы Windows Media

Службы Windows Media Services в составе Windows Server 2003 — это группа служб, которые предназначены для передачи клиентам аудио- и видеоинформации при помощи одноадресного и группового вещания. Службы Windows Media используются также для передачи файлов клиентам.
Поставляемое содержимое может быть создано, приобретено у поставщика или передаваться с телевизионных камер и микрофонов. В последнем случае его называют живым потоком (live stream).
Пользователи могут обращаться к поставляемому содержимому через Интернет, через корпоративную или образовательную интрасеть или через специализированные группы, которые получают содержимое в выделенной сети или в интрасети.
Службу можно применять для различных целей, например для распространения информации, для организации информационных, развлекательных и маркетинговых узлов, для обучения, управления и т. д.

Состав служб Windows Media

В составе служб Windows Media присутствует четыре компонента (рис. 16.23).

  • Windows Media Services. Эти службы предназначены для передачи звуковой и видеоинформации при помощи одноадресного и группового вещания клиентам.
  • Компонент, обеспечивающий регистрацию клиентов группового вещания (Multicast and Advertisement Logging Agent).
  • Windows Media Services snap-in. При помощи данной оснастки (рис. 16.24) администратор может управлять службами Windows Media как на локальном сервере, так и на удаленных серверах. Чтобы управлять несколькими серверами, нужно добавить их к списку; после этого можно подключаться к серверу, которым необходимо управлять.
  • Веб-администратор служб Windows Media (Windows Media Services Administrator for the Web). Данный компонент представляет собой набор вебстраниц, которые отображаются в окне браузера Microsoft Internet Explorer и позволяют удаленно управлять службами-компонентами Windows Media.

Рис. 16.23. Установка компонентов службы Windows Media

В качестве клиента служб Windows Media может выступать программа Windows Media Player (Проигрыватель Windows Media) (рис. 12.25), получающая и воспроизводящая потоковые данные с сервера. Эти потоковые данные могут включать видеоинформацию, звук, изображения, URL и сценарии.

Рис. 16.24. Оснастка Windows Media Services

Рис. 16.25. Проигрыватель Windows Media Player

Новые функциональные возможности служб Windows Media

В Windows Server 2003 реализованы службы Windows Media Services 9.0. В рамках данной версии разработчики сделали множество изменений и реализовали новые функциональные возможности. Эти возможности перечислены в табл. 16.10.

Таблица 16.10. Новые функциональные возможности Windows Media Services 9.0

Функциональная возможность | Описание
Расширение функциональности службы Windows Media | Администратор может расширить функции служб Windows Media путем установки специальных модулей (plug-in)
Расширенные возможности создания точек публикации | Точки публикации представляют собой точки доступа к потоковым данным. Клиенты получают доступ к потоковым данным на сервере, подключаясь к точкам публикации. Службы Windows Media поддерживают два вида точек публикации: по требованию и широковещательные. Windows Server 2003 предоставляет администратору широкие возможности управления точками публикации
Гибкое управление списками воспроизводимых файлов (playiists) | Для каждой точки публикации может быть определен список воспроизводимых файлов. Администратор может изменять как состав списка, так и параметры отдельных файлов, входящих в него, без прерывания процесса доставки
Гибкая архитектура обработки событий | Появилась возможность управления событиями на стороне сервера посредством механизма Windows Management Instrumentation (WMI) и протокола SNMP
Механизм быстрой доставки (Fast Streaming) | В предыдущих версиях Windows Media скорость доставки потоковых данных являлась постоянной величиной. В Windows Media Services 9.0 администратор может управлять скоростью доставки с помощью целого ряда механизмов
Улучшенный алгоритм доставки пакетов | Отправляемые пакеты хранятся в течение 10 секунд в специальном буфере, что позволяет ускорить процесс их повторной отправки в случае возникновения ошибок доставки
Управление процессом упаковки данных | Размер пакета может изменяться в зависимости от условий передающей среды. Это позволяет администратору организовать процесс доставки потоковых данных наиболее эффективным образом
Поддержка протокола IPv6 | В рамках Windows Media Services 9 реализована поддержка протокола IPv6, который может использоваться для организации процесса доставки потоковых данных
Поддержка протокола IGMPvS | Реализована поддержка протокола IGMPvS, который может использоваться для организации процесса доставки потоковых данных посредством группового вещания

Отдельно следует отметить изменения, произошедшие в Windows Media Services 9.0 по сравнению с предыдущими версиями (Windows Media Services 4.x). Эти изменения перечислены в табл. 16.11.

Таблица 16.11. Сравнение Windows Media Services 4.x и Windows Media Services 9.0

Windows Media Services 4.x | Windows Media Services 9.0
Формат *.asf | В новой версии Windows Media Services реализованы два новых расширения файлов: wma и wmv. Эти расширения позволяют клиенту узнать какого рода информация передается (аудио или видео соответственно). Тем не менее, формат передачи данных остается неизменным
ASFRoot | WMRoot
Протокол MSDB | Этот протокол доставки потоковых данных больше не поддерживается. Вместо него рекомендуется использовать протокол HTTP или RSTP
Программы (programs) | Вместо программ передачи используется понятие списка воспроизводимых файлов (playlists)
Службы Windows Media Station Service, Windows Media Unicast service, Windows Media Program Service, Windows Media Monitor Service | Эти службы реализованы в рамках одного компонента Windows Media Services


Дополнительные сетевые службы

  • Дополнительные сетевые службы
  • Службы терминалов
    • Достоинства служб терминалов
    • Функциональные возможности
    • Административные средства для работы со службами терминалов
    • Серверные административные утилиты
      • Утилита Terminal Services Manager
      • Оснастка Terminal Services Configuration
      • Расширения оснасток Active Directory Users and Computers и Local Users and Groups
      • Утилита Terminal Services Licensing
      • Счетчики System Monitor
      • Дополнительные поля диспетчера задач
      • Многопользовательская поддержка в утилите Add or Remove Programs
    • Клиентские административные утилиты
      • Клиент Remote Desktop Connection
      • Клиент Remote Desktop Web Connection
    • Планирование системы для установки служб терминалов
      • Ресурсы
      • Периферийные устройства
      • Прикладные системы
      • Производительность
      • Балансировка нагрузки
    • Установка служб терминалов
      • Выбор модели обеспечения безопасности
      • Выполнение установки служб терминалов
      • Предоставление доступа пользователям к службам терминалов
    • Развертывание приложений
      • Сценарии поддержки совместимости
      • Назначаемые и публикуемые программы
      • Установка приложений
      • Проверка установки
    • Конфигурирование служб терминалов
    • Управление службами терминалов
      • Подключение к другому сеансу
      • Отключение от сеанса
      • Отправка сообщения пользователю
      • Завершение сеанса
      • Сброс сеанса
      • Просмотр состояния сеанса
      • Удаленное управление сеансом
      • Завершение процесса
      • Подключение к серверам
    • Использование утилит командной строки
  • Управление качеством обслуживания (QoS)
    • Состав Windows QoS
  • Службы ATM
    • Достоинства ATM
    • Состав служб ATM в Windows Server 2003

Дополнительные сетевые службы

Некоторые сетевые службы и технологии Windows Server 2003 заслуживают отдельного разговора. В этой главе рассматриваются:

  • службы терминалов (Terminal Services);
  • поддержка технологии управления качеством обслуживания (Quality of Service);
  • поддержка технологии асинхронного режима передачи (ATM).

Службы терминалов

Службы терминалов (Terminal Services) представляют собой совокупность сетевых служб, обеспечивающих удаленный доступ к рабочему столу на сервере при помощи программного обеспечения "тонкого" клиента, выступающего в качестве эмулятора терминала. Все приложения и команды пользователя выполняются непосредственно на сервере, на котором функционируют службы терминалов. Удаленному пользователю, осуществляющему подключение к серверу при помощи указанных служб, передаются только образы экрана приложения, запущенного на сервере. Со стороны клиента серверу передается информация о нажатых на клавиатуре клавишах и о перемещении мыши. Эта информация обрабатывается службами терминалов сервера в рамках сеанса конкретного пользователя. Хотя служба терминалов может одновременно работать с множеством сеансов, пользователь, входя в систему, видит процессы только своего индивидуального сеанса связи, управляемые серверной операционной системой и не зависящие от других клиентских сеансов.
Программное обеспечение "тонкого" клиента, посредством которого пользователь подключается к службам терминалов удаленного сервера, поставляется непосредственно в составе Windows Server 2003. Этот клиент может работать на различных версиях Windows. Чтобы обращаться к службам терминалов с других платформ (Macintosh или UNIX), требуется клиентское программное обеспечение сторонних производителей.
В предыдущих реализациях Windows службы терминалов могли работать в двух режимах: в режиме сервера приложений (application server) или в режиме удаленного управления (remote administration). В Windows Server 2003 нет необходимости осуществлять развертывание службы терминалов для того, чтобы получить возможность удаленного управления сервером. Для удаленного управления теперь можно использовать специальный механизм Remote Desktop for Administration (Удаленный доступ к рабочему столу для администрирования). Этот механизм подробно рассматривался в главе 10 "Типовые задачи администрирования". Службы терминалов в Windows Server 2003 позиционируется исключительно как механизм реализации эффективного и надежного способа совместного использования приложений Windows, установленных на сетевом сервере. Службы терминалов позволяют использовать рабочий стол Windows Server 2003 и наиболее современные приложения Windows на компьютерах, ресурсов которых (или возможностей) недостаточно для их выполнения. Работая со службами терминалов, пользователи могут запускать программы, работать с документами и сетевыми ресурсами так же, как и в случае локального компьютера.

Примечание

Службы терминалов не включены в состав Windows Server 2003, Web Edition.

Достоинства служб терминалов

Рассмотрим ниже, какие преимущества можно получить при развертывании в корпоративной сети служб терминалов.

  • Предоставление доступа к рабочему столу Windows Server 2003. Службы терминалов устраняют разрыв между "старшими" (Windows 2000, Windows ХР Professional) и "младшими" (Windows 95, Windows 3.x) версиями настольных систем, поддерживая рабочий стол Windows Server 2003 для компьютеров, не работающих под управлением Windows Server 2003 из-за технического несовершенства или аппаратной несовместимости. Клиенты служб терминалов доступны для разных платформ, включая MS-DOS, Windows-терминалы, Macintosh и UNIX. Поддержка для машин MS-DOS, Macintosh и UNIX обеспечивается с помощью клиентского ПО сторонних производителей (такое ПО поставляет, например, компания Citrix).
  • Использование существующих аппаратных средств. Службы терминалов продлевают жизнь устаревшим компьютерам. Службы терминалов также позволяют одновременно использовать компьютеры в качестве как "тонких", так и "толстых" клиентов. Компьютеры можно продолжать использовать в прежних целях, как и до развертывания служб терминалов (тонкий клиент эмулирует рабочий стол Windows Server 2003).
  • Централизованное развертывание программ. При использовании служб терминалов, функционирующих на компьютере Windows Server 2003, работа всей программы, а также обработка и хранение данных выполняются на сервере, что позволяет центршшзованно развертывать приложения. Службы терминалов гарантируют, что все клиенты будут работать с актуальным программным обеспечением. Программное обеспечение устанавливается только на сервере, а не на всех персональных компьютерах компании, что сокращает временные затраты.

Функциональные возможности

Ниже перечисляются новые функциональные возможности, открывающиеся перед пользователями в случае развертывания служб терминалов Windows Server 2003.

  • Новая версия "тонкого" клиента. В Windows Server 2003 в качестве "тонкого" клиента используется специальная утилита Remote Desktop Connection. Эта утилита представляет собой универсальный инструмент, который может использоваться для удаленного подключения как к серверам служб терминалов Windows Server 2003, так и к службе Remote Desktop for Administration. Используя утилиту Remote Desktop Connection, пользователи могут самостоятельно создавать файлы, содержащие предопределенные параметры соединения с сервером служб терминалов. Установка этого клиента может быть автоматизирована за счет использования механизма назначения приложений (Windows Installer).
  • Автоматизированная поддержка локальных принтеров. Службы терминалов Windows Sewer 2003 могут автоматически устанавливать принтеры, подключенные к клиентскому компьютеру.
  • Перенаправление локальных дисков. При работе в контексте терминального сеанса пользователи сохраняют доступ к локальным дискам клиента. Пользователь может копировать файлы с сервера на локальный диск и наоборот, открывать в приложениях документы, хранящиеся на локальных дисках и т. п.
  • Перенаправление аудиоинформации. Аудиоинформация, поступающая на звуковую карту терминального сервера, может быть перенаправлена на звуковую карту клиента.
  • Перенаправление буфера обмена. Пользователи могут осуществлять обмен данными (вырезать и вставлять) между приложениями, работающими на локальной машине и на терминальном сервере посредством буфера обмена (clipboard).
  • Улучшенная производительность. Усовершенствованное кэширование обеспечивает существенное улучшение производительности служб терминалов.
  • Поддержка отключения от сервера. Поддержка временного отключения позволяет пользователям отключаться от сеанса связи, не завершая его. Сеанс может остаться активным, в то время как пользователь отключен от системы, что позволяет пользователю повторно соединяться с существующим сеансом с другой машины или позднее. Для повторного подключения требуется такой же вход в систему, как и для нового подключения, что обеспечивает безопасность и сохранность установленного сеанса.
  • Поддержка нескольких одновременных подключений. Пользователи могут подключаться к нескольким сеансам одновременно с одного или нескольких клиентских компьютеров, к нескольким серверам на базе Windows Server 2003 или к одному серверу. В результате пользователь может выполнять несколько задач одновременно.
  • Управление с помощью групповых политик. Посредством механизма групповых политик администратор может осуществлять централизованное управление конфигурацией служб терминалов и настройками пользователей, работающих с этими службами.
  • Поддержка механизма Windows Management Instrumentation (WMI). Реализованный в рамках служб терминалов Windows Server 2003 поставщик WMI позволяет использовать сценарии для автоматизированного и удаленного управления и конфигурирования терминальных служб.
  • Удаленное управление сеансами. Обеспечивается возможность просмотра и управления другими сеансами связи с терминальным сервером. Ввод с клавиатуры, движения мыши и отображаемая графика разделяются между двумя сеансами, давая специалисту из службы поддержки возможность диагностировать и решать проблемы и обучать пользователя работе. Эта возможность особенно полезна для организаций с филиалами.
  • Распределение нагрузки. Механизм Terminal Services Connection Management (TSCM) в комбинации с технологией распределения нагрузки (load balancing) позволяет пользователям подключаться к наименее загруженному серверу служб терминалов. Специальная служба каталога сеансов (Session Directory) следит за тем, чтобы в случае разрыва сеанса пользователь был подключен именно к тому серверу служб терминалов, с которым он работал ранее.
  • Возможность доступа через открытые сети (Интернет). В Windows Server 2003 предусмотрена возможность подключения к службам терминалов по протоколу HTTP. При этом используется специальный "тонкий" клиент Remote Desktop Web Connection. Данный клиент представляет собой ActiveX-компонент, который может быть загружен по HTTP при помощи браузера Internet Explorer.
  • Интеграция со службами Windows Server 2003. Службы терминалов поддерживают и расширяют компоненты Windows Server 2003 и тесно интегрированы с ними.
  • Терминалы на базе Windows. Существует ряд терминалов на базе Windows сторонних производителей, функционирующих под управлением ОС Windows СЕ и основанных на реализации протокола Remote Desktop Protocol (RDP, протокол удаленного рабочего стола).
  • Лицензирование служб терминалов. Службы терминалов имеют средства лицензирования, что помогает администраторам отслеживать работу клиентов и их лицензии.
  • Поддержка распределенной файловой системы (DFS). Поддержка распределенной файловой системы позволяет пользователям подключаться к ресурсам DFS, а администраторам — создавать и управлять ресурсами DFS на терминальном сервере.
  • Диспетчер служб терминалов. Администраторы могут использовать утилиту Terminal Services Manager (Диспетчер служб терминалов) для управления сеансами служб терминалов, пользователями и процессами на терминальном сервере Windows Server 2003.
  • Конфигурация служб терминалов. Средство конфигурации служб терминалов — оснастка Terminal Services Configuration (Настройка служб терминалов) используется для создания, изменения и удаления сеансов на сервере Windows Server 2003 и настройки параметров доступа сервера.
  • Интеграция с оснастками Windows Server 2003 Local Users and Groups (Локальные пользователи и группы) и Active Directory Users and Computers (Active Directory — пользователи и компьютеры). Создание учетных записей для пользователей служб терминалов и учетных записей обычных пользователей Windows Server 2003 осуществляется посредством одних и тех же инструментов. Существуют дополнительные вкладки для задания информации, относящейся к службам терминалов, например пути к конфигурации служб терминалов и основного каталога.
  • Интеграция с утилитой System Monitor (Системный монитор). Интеграция со средствами контроля производительности Windows Server 2003 позволяет администраторам отслеживать работу служб терминалов, включая использование процессора, распределение памяти и использование страничной памяти и подкачки для сеансов пользователей.
  • Поддержка передачи сообщений. Администраторы могут оповещать пользователей о важной информации, например, о выключении системы, об обновлениях или об установке новых программ.
  • Время ожидания завершения сеанса. Администраторы могут сократить использование ресурсов сервера, настраивая время ожидания конца сеанса. Администраторы могут задавать продолжительность и время простоя сеанса.
  • Режимы безопасности. Сервер служб терминалов может работать в одном из двух режимов безопасности (в зависимости от того, с какими приложениями планируется использовать): в режиме полной безопасности и в режиме ослабленной безопасности. Режим полной безопасности позволяет задействовать механизмы безопасности Windows Server 2003 и реализовать наиболее защищенное решение.
  • Шифрование. Многоуровневое шифрование позволяет администраторам зашифровать все или часть данных, передаваемых между Windows Server 2003 и клиентом служб терминалов, при помощи одного из трех уровней (низкое, среднее или высокое шифрование), в зависимости от требований к безопасности. Кроме того, процесс входа в систему для служб терминалов включает механизмы изменения паролей, разблокирования рабочего стола и хранителя экрана. Процесс входа в систему зашифрован, что гарантирует безопасную передачу имени пользователя и пароля. Службы терминалов поддерживают шифрование данных между сервером и клиентом с ключом 56 бит и 128 бит.
  • Ограничение числа попыток входа в систему и времени соединения. Администраторы могут ограничить число входов в систему для пользователя, чтобы предотвратить несанкционированный доступ к серверу. Также можно ограничить время соединения для каждого пользователя или для группы пользователей.

Административные средства для работы со службами терминалов

В состав Windows Server 2003 включены административные средства, которые позволяют осуществлять управление и конфигурирование сервера терминалов. В состав служб терминалов входят следующие дополнительные инструменты управления службами терминалов:

  • диспетчер служб терминалов (Terminal Services Manager);
  • оснастка Terminal Services Configuration;
  • дополнительные параметры групповых политик;
  • оснастка Remote Desktops;
  • расширения для оснасток Active Directory Users and Computers (Active Directory — пользователи и компьютеры) и Local Users and Groups (Локальные пользователи и группы);
  • утилита Terminal Services Licensing (Лицензирование служб терминалов);
  • счетчики для System Monitor;
  • дополнительные поля в диспетчере задач (Task Manager);
  • многопользовательская поддержка в утилите Add or Remove Programs (Установка и удаление программ) на панели управления;
  • утилиты командной строки.

Серверные административные утилиты

Утилита Terminal Services Manager

Утилита Terminal Services Manager (Диспетчер служб терминалов) используется для управления инфраструктурой серверов терминалов, развернутых в корпоративной сети. Администратор может использовать ее для управления пользователями, сеансами связи и приложениями на терминальных серверах (рис. 17.1).

Рис. 17.1. Утилита Terminal Services Manager

Когда пользователь устанавливает сеанс, подключаясь к терминальному серверу с клиентского компьютера, то подключение (session) появляется в списке сеансов в рабочем поле диспетчера служб терминалов. Кроме того, имя пользователя, который вошел в систему в данном сеансе, появляется в списке пользователей (на вкладке Users). Любые приложения, работающие в сеансе связи пользователя, отражаются в списке процессов (на вкладке Processes). Таким образом, можно наблюдать за всеми пользователями, сеансами связи и процессами на терминальном сервере при помощи одной утилиты. Диспетчер служб терминалов также позволяет управлять терминальным сервером при помощи команд меню Actions (Действие).

Оснастка Terminal Services Configuration

Во время инсталляции Windows Server 2003 и установки служб терминалов автоматически настраивается соединение по протоколу RDP (Remote Desktop Protocol) для работы со службами терминалов и удаленного администрирования. Это соединение обеспечивает клиентам вход в систему на сервер и установление сеанса. После завершения инсталляции можно изменить свойства этого соединения или добавить новые соединения с помощью оснастки Terminal Services Configuration (рис. 17.2). Параметры соединения могут также определяться на уровне групповой политики или при помощи механизма WMI. В этом случае настройки, сделанные при помощи оснастки Terminal Services Configuration, переопределяют настройки, заданные на других уровнях.

Рис. 17.2. Оснастка Terminal Services Configuration

Используя оснастку Terminal Services Configuration, администратор может выполнить следующие операции:

  • изменить имя соединения;
  • задать тип соединения;
  • определить транспортные протоколы для соединений и их свойств;
  • установить максимальное число одновременных сеансов связи;
  • разрешить/запретить вход через соединение;
  • установить тайм-аут для соединения;
  • установить уровень шифрования;
  • восстановить разорванное соединение;
  • разрешить/запретить удаленное управление сеансом;
  • разрешить/запретить автоматический вход;
  • задать программу, автоматически запускаемую при входе в систему;
  • установить "обои" для пользователя;
  • установить разрешения для соединения;
  • отобразить клиентские устройства и настроить параметры соединения.

Расширения оснасток Active Directory Users and Computers и Local Users and Groups

В ходе установки на сервере служб терминалов указанные оснастки заменяются расширенными версиями. В новых версиях оснасток в окне свойств объектов, ассоциированных с учетными записями пользователей, появляются дополнительные вкладки (рис. 17.3). На этих вкладках перечислены параметры, позволяющие управлять настройками работы со службами терминалов индивидуально для каждого пользователя. Используя эти оснастки, администратор может выполнить следующие операции:

  • установить пути к профилю пользователя для служб терминалов;
  • разрешить/запретить вход в систему;
  • установить ограничения по времени доступа;
  • восстановить разорванные соединения;
  • разрешить/запретить удаленное управление сеансом;
  • задать программу, автоматически запускаемую при входе в систему;
  • отобразить клиентские устройства и принтеры при входе в систему.

Рис. 17.3. Окно свойств учетной записи пользователя в расширенной оснастке Local Users and Groups

Утилита Terminal Services Licensing

Эта утилита позволяет управлять лицензиями клиентов служб терминалов (рис. 17.4) и регистрировать их.

Рис. 17.4. Утилита Terminal Services Licensing

Счетчики System Monitor

Службы терминалов расширяют возможности системного монитора, добав-ляя объекты наблюдения Session (Сеанс) и User (Пользователь). Эти объекты и ассоциированные с ними счетчики предназначены для того, чтобы следить за ресурсами, которые задействованы службой или некоторым сеансом. Службы терминалов также добавляют дополнительные счетчики к объектам наблюдения Process (Процесс) и System (Система).

Дополнительные поля диспетчера задач

Службы терминалов добавляют в диспетчер задач (Task Manager) два дополнительных поля, позволяющих отслеживать использование пользователями и сеансами системных ресурсов (рис. 17.5).

Многопользовательская поддержка в утилите Add or Remove Programs

Использование утилиты Add or Remove Programs гарантирует, что приложения будут корректно установлены для использования в многопользовательской среде.

Примечание

Для выполнения административных задач могут быть также использованы утилиты командной строки. Эти утилиты могут применяться, прежде всего, для автоматизации процессов управления сервером.

Рис. 17.5. Дополнительные поля диспетчера задач

Клиентские административные утилиты

В рамках Windows Server 2003 предлагается два клиента, которые могут быть использованы для подключения к службам терминалов и удаленного администрирования системы.

Клиент Remote Desktop Connection

Этот клиент позиционируется как основной клиент для работы со службами терминалов и выполнения удаленного администрирования (механизм Remote Desktop for Administration). Этот клиент включен в состав Windows XP и Windows Server 2003. Тем не менее, он может быть использован и на других операционных системах семейства Windows. Для этого необходимо скачать инсталляционные файлы клиента с терминального сервера (папка %5>wfc/M,/to0/%\system32\lients\tsclient) или с веб-сервера Microsoft. Используя утилиту Remote Desktop Connection, пользователи могут самостоятельно создавать файлы, содержащие определения параметров подключения к службам терминала. Эти файлы позволяют автоматизировать процесс установки соединения со службами терминалов и входа на сервер. Можно также задать программу, запускаемую автоматически после установления соединения.

Клиент Remote Desktop Web Connection

Данный клиент представляет собой ActiveX-компонент, загружаемый в браузер пользователя при помощи протокола HTTP с корпоративного вебсервера. Наличие веб-клиента упрощает процесс подключения пользователей к службам терминала. Пользователю при этом не нужно устанавливать на своем компьютере дополнительное программное обеспечение клиента. Достаточно наличие браузера Internet Explorer версии 4.0 и выше. Следует заметить, что этот клиент не устанавливается по умолчанию. Чтобы сделать его доступным для пользователей, администратор должен установить его вручную.

Планирование системы для установки служб терминалов

Развертывание службы терминалов требует предварительного планирования со стороны администратора. Необходимо оценить нагрузку на сервер, на котором планируется развернуть службу терминалов. При необходимости стоит подумать о распределении этой нагрузки между несколькими серверами. Возможно, некоторые из аппаратных компонентов системы потребуется заменить более производительными аналогами.

Ресурсы

Большинство пользователей компьютеров можно отнести к одной из трех категорий:

  • пользователи, решающие частные задачи. Такой пользователь обычно работает с единственной программой, используемой для ввода данных, например, с программой учета отпуска товара на рабочем месте продавца;
  • типичные пользователи. Типичный пользователь работает с одной или несколькими (двумя-тремя) программами, обычно только по отдельности. Требования к системе по обработке данных этих программ (например, текстовый редактор и браузер) не очень велики;
  • пользователи-профессионалы. Такие пользователи работают с тремя и более программами, часто с несколькими одновременно. К этому классу относятся также пользователи, использующие в терминальной сессии ресурсоемкие приложения (типа баз данных), и приложения, которые требуют интенсивной обработки графики.

При выяснении требуемой мощности серверов нужно определить, какие типы пользователей будут с ними работать. Пользователи, решающие частные задачи, — наиболее легкая нагрузка для сервера, в то время как пользователи-профессионалы потребляют наибольшее количество вычислительных ресурсов.
Для адекватной производительности серверу терминалов требуется процессор класса Pentium или более мощный. Для работы служб терминалов требуется минимум 128 Мбайт ОЗУ плюс дополнительно от 10 Мбайт на каждого пользователя, решающего частные задачи, до 21 Мбайт для пользователей-профессионалов. Дополнительная оперативная память требуется для поддержки работы пользовательских программ на сервере. Пользователям, решающим частные задачи, требуется меньший объем ОЗУ, опытным пользователям — больший.
Вообще, для оценки требований к производительности процессоров и их числу, а также к объему памяти можно руководствоваться линейной зависимостью: можно предоставить ресурсы вдвое большему числу пользователей на многопроцессорной системе на базе Pentium, удваивая число процессоров и удваивая объем памяти. По этой причине имеет смысл купить систему, поддерживающую несколько процессоров (даже если первоначально куплен только один процессор), поскольку она позволит легко нарастить мощности, как только возрастет потребность. При реальной эксплуатации ситуация может оказаться более сложной. Количество памяти линейно определяет число пользователей, которых сервер может обслуживать одновременно. Эта зависимость является объективной, т. к. каждый сеанс требует вполне конкретных объемов памяти. Если объем физической памяти окажется меньше необходимого, система будет производить постоянный процесс подкачки, или свопинга (swapping). Количество процессоров влияет на общую производительность машины, на скорость выполнения инструкций. Нельзя также не учесть и производительность, например, дисковой подсистемы. В результате в реальной ситуации зависимость допустимого количества сеансов от объема памяти и количества и производительности процессоров не является линейной и должна оцениваться экспериментально.

Примечание

Производительность может зависеть от программ, работающих на терминальном сервере. Нужно проверить систему, запуская каждую из них, чтобы оценить степень нагрузки на процессор и объем ОЗУ, требуемый каждому пользователю. Для достижения максимальной производительности в многопроцессорной конфигурации рекомендуется использовать компьютеры с шиной типа PCI.

Периферийные устройства

Производительность жесткого диска также влияет на производительность терминального сервера. Накопители на магнитных дисках и адаптеры SCSI, особенно устройства, совместимые с Fast SCSI, SCSI-2, Wide и Ultra-Wide SCSI, имеют значительно лучшую производительность, чем диски с интерфейсом IDE (EIDE, ATA) или накопители на магнитных дисках и адаптеры SCSI.
Наивысшую производительность дает SCSI-контроллер RAID. Контроллеры RAID (Redundant Array of Independent Disks, избыточный массив независимых дисков) автоматически размещают данные на нескольких накопителях на магнитных дисках, что увеличивает производительность дисковых операций и повышает надежность хранения данных за счет избыточности.
Хотя протокол RDP, используемый службами терминалов, минимально нагружает сеть, рекомендуется установить высокопроизводительную сетевую плату (NIC). Это особенно важно, если требуются: поддержка большого количества пользователей; доступ к данным, хранящимся на сетевых серверах; работа клиент-серверных приложений.
Если для поддержки удаленных пользователей установлен многопортовый асинхронный адаптер, необходимо убедиться, что он является интеллектуальным (построенным на базе микропроцессора), что уменьшает количество вырабатываемых прерываний и увеличивает производительность.

Прикладные системы

Windows Server 2003 — 32-разрядная среда, а, например, Windows 3.11 — 16-разрядная. Сервер Windows Server 2003 организует выполнение 16-разрядных приложений при помощи специальной виртуальной машины Windows-в-Windows (Windows On Windows, WOW), интерпретирующей 16-разрядные программы в расширенном режиме. Этот процесс, выполняя 16-разрядные программы, потребляет дополнительные ресурсы системы. Выполнение 16-разрядных программ на сервере терминалов может на 40% уменьшить число пользователей, одновременно поддерживаемых процессором, и на 50% увеличить память, необходимую для пользователя. По этой причине всегда, когда это возможно, следует использовать 32-разрядные версии программ.

Производительность

Контроль производительности системы и влияния изменения конфигурации на производительность необходимо выполнять средствами системного монитора (System Monitor), входящего в состав Windows Server 2003. Среди наиболее важных параметров, измерение которых может потребоваться:

  • использование процессора;
  • интенсивность ввода/вывода с жесткого диска;
  • использование памяти;
  • активность работы с файлом подкачки.

Хороший способ оценить, сколько пользователей сервер может поддерживать одновременно, — измерить производительность системы с двумя-пятью пользователями, а затем подсчитать результаты для большего числа пользователей.
Службы терминального доступа добавляют к набору объектов собственные объекты и их счетчики, которые можно наблюдать при помощи системного монитора.

Балансировка нагрузки

Средства балансировки сетевой нагрузки объединяют несколько компьютеров, работающих в качестве серверов и использующих сетевой протокол TCP/IP. Можно применять эту службу совместно с группой компьютеров, на которых функционируют службы терминалов, чтобы масштабировать производительность этих служб, распределяя клиентские запросы на несколько серверов. Однако при использовании балансировки нагрузки для терминальных серверов имеются ограничения. Поскольку пользователи могут быть явно связаны с различными терминальными серверами в пределах группы, сеансы связи пользователей могут быть нарушены, если они будут перераспределены на другой терминальный сервер. В качестве механизма, обеспечивающего сохранение информации о сеансе, в составе Windows Server 2003 реализована специальная служба Session Directory (Каталог сеансов). Каталог сеансов представляет собой базу данных, в которой фиксируется информация обо всех существующих сеансах. Если пользователь разорвал соединение с терминальным сервером, при последующем подключении он будет вновь подключен к тому серверу, с которым работал.
Будучи запущенной, служба Session Directory создает локальную группу Session Directory Computers. Состав этой группы по умолчанию остается неизменным. Администратор должен вручную добавить в эту группу серверы, с которыми указанная служба будет работать.

Примечание

Для запуска службы Session Directory администратор должен в оснастке Service (Службы) вызвать окно свойств объекта Terminal Services Session Directory и нажать кнопку Start (Пуск).
Администратор может осуществлять настройку службы Session Directory при помощи механизма групповых политик либо посредством утилиты Terminal Services Configuration.

Установка служб терминалов

По умолчанию службы терминалов не устанавливаются в ходе инсталляции операционной системы Windows Server 2003 (исключение составляют ситуации, когда выполняется обновление с Windows 2000 или Windows NT 4.0 Terminal Edition). Администратор должен выполнить установку этих служб самостоятельно.

Примечание

В отличие от терминальных служб, служба Remote Desktop for Administration устанавливается в ходе инсталляции Windows Server 2003 по умолчанию. Эта служба позиционируется как средство удаленного администрирования сервера. Она поддерживает до двух одновременных удаленных подключений.

Службы терминалов ориентируются как средство организации совместного использования пользователями приложений, установленных на сервере. Поэтому очень важно, чтобы требуемые приложения устанавливались после развертывания служб терминалов. Это позволит установить их с расчетом на работу в многопользовательском режиме. В случае старых приложений, не ориентированных на многопользовательскую работу, может потребоваться дополнительная настройка для правильного функционирования на терминальном сервере.

Примечание

Если службы терминалов отключить, то приложения, установленные и настроенные для работы на терминальном сервере, не будут выполняться корректно в следующий раз, когда службы терминалов будут разрешены. Необходимо будет сконфигурировать или переустановить эти приложения. Некоторые приложения, специально созданные для многопользовательской работы, работают должным образом, когда службы терминалов разрешаются или запрещаются.

Выбор модели обеспечения безопасности

Службы терминалов Windows Server 2003 могут функционировать в одном из двух режимов обеспечения безопасности, которые рассматриваются ниже.

  • Режим ослабленной безопасности (Relaxed security). Этот режим предусматривает использование разрешений, совместимых с Windows NT 4.0 Terminal Edition. Использование этого режима может потребоваться для корректной работы многопользовательских приложений, разработанных для указанной операционной системы. Поскольку используемая система разрешений делает терминальный сервер уязвимым, рекомендуется использовать этот режим только в тех случаях, когда это действительно вызвано объективными причинами.
  • Режим полной безопасности (Full Security). Этот режим позволяет реализовать в полной мере механизмы обеспечения безопасности, имеющиеся в Windows Server 2003.

Выполнение установки служб терминалов

Установка служб терминалов может быть выполнена двумя способами:

  • при помощи мастера Configure Your Server Wizard. Этот мастер располагается в меню Administrative Tools (Администрирование). На странице Server Role (Роль сервера) необходимо выбрать в списке значение Terminal server (Терминальный сервер) и нажать кнопку Next (Далее) (рис. 17.6). Мастер сам выполнит установку и предварительное конфигурирование всех необходимых компонентов. По окончании процедуры установки мастер перезагрузит сервер;

Рис. 17.6. Развертывание служб терминалов при помощи мастера Configure Your Server Wizard

  • с использованием утилиты Add or Remove Programs. Из этой утилиты необходимо запустить мастер установки компонентов Windows. В списке компонентов необходимо выбрать пункт Terminal server и нажать кнопку Next (Далее). Мастер предложит выбрать режим обеспечения безопасности для устанавливаемого терминального сервера.

Предоставление доступа пользователям к службам терминалов

По умолчанию только члены локальных групп Administrators и Remote Desktop Users имеют возможность подключаться к терминальному серверу непосредственно по окончании процедуры установки. Чтобы предоставить некоторой группе пользователей право доступа к терминальному серверу, администратор должен включить их в состав локальной группы Remote Desktop Users. Эта группа создается пустой и администратор должен сам позаботиться о том, чтобы определить ее членов.

Развертывание приложений

Чтобы пользователи могли извлечь максимальную выгоду от работы со службами терминалов, необходимо установить на сервер требуемые приложения. Рассмотрим вопросы, непосредственно связанные с этим процессом.

Сценарии поддержки совместимости

Совместимость многих часто используемых приложений и служб терминалов была проверена. Для корректной работы на терминальном сервере некоторые приложения требуют незначительных изменений после инсталляции. Для этих приложений доступны сценарии, которые должны быть применены после установки программы. Сценарии расположены в каталоге %SystemRoot%\Applicalion Compatibility Scripts\Install.

Назначаемые и публикуемые программы

В Windows Server 2003 реализован механизм Windows Installer (Инсталлятор программного обеспечения), позволяющий администратору организовать процесс установки приложений на клиентских местах.
Приложение может быть назначено (assign) компьютерам или пользователям для принудительной установки или же опубликовано (publish), что позволяет пользователям устанавливать его по собственному усмотрению. Поскольку при использовании служб терминалов к программам имеют доступ пользователи с разными полномочиями и требованиями, необходимо учесть дополнительные требования к развертыванию приложений в средах, которые содержат в своем составе службы терминалов.
Все приложения на компьютере, где функционируют службы терминалов, устанавливаются так, что доступны любому пользователю, имеющему доступ к данному терминальному серверу. Службы терминалов не позволяют запускать публикуемые и назначаемые пользователю программы, поскольку такие программы "привязываются" к конкретному пользователю. Поэтому программы, инсталлируемые для работы через службы терминалов, нужно назначать компьютеру.
При установке назначенных программ любой пользователь с полномочиями администратора на терминальном сервере может установить программу из консоли или удаленного сеанса.
Инсталляция программного обеспечения часто требует перезагрузки системы. Перед началом инсталляции любой программы необходимо убедиться, что на терминальном сервере нет работающих пользователей. При необходимости следует отправить подключенным пользователям сообщение о том, что они будут временно отключены от сервера.
Если программа, устанавливается из удаленного сеанса, то этот сеанс будет завершен, если процесс инсталляции программы требует перезагрузки сервера. Когда сервер перезагрузится, сеанс не будет восстановлен, и администратор снова должен будет войти на терминальный сервер, чтобы гарантировать корректную установку программы.

Установка приложений

Наиболее предпочтительным вариантом является установка приложений еще до того момента, как пользователям будет предоставлен доступ к службам терминалов сервера. Это позволит администратору проверить работу приложений, прежде чем с ней начнут работать пользователи. Если приложение устанавливается после того, как клиентам был предоставлен достуг! к серверу, необходимо убедиться в том, что в данный момент на терминальном сервере нет пользователей, зарегистрированных во время инсталляции. Можно послать клиентам сообщение, в котором будут указаны время и продолжительность инсталляции, а затем разорвать все подключения перед запуском установки приложения.

Внимание

Для установки программного обеспечения на сервер необходимо зарегистрироваться на сервере под учетной записью администратора. Это связано с тем, что некоторые приложения размещают часть своих файлов в системном каталоге и изменяют содержимое реестра. Хорошим правилом является выполнение установки приложений непосредственно с консоли компьютера. Это позволит администратору быть уверенным в том, что приложения будут установлены корректно.

Установка приложения в многотерминальном режиме может быть выполнена одним из двух способов. Каждый из этих способов позволит сделать приложение доступным для всех пользователей терминального сервера:

  • автоматизированный процесс установки при помощи утилиты Add or Remove Programs;
  • ручная установка приложения с использованием утилиты командной строки change user до и после установки.

Использование утилиты Add or Remove Programs
Перед выполнением процедуры установки закройте все работающие приложения. Из панели управления запустите утилиту Add or Remove Programs (Установка и удаление программ). В открывшемся окне нажмите кнопку Add New Program (Установка новой программы). Выберите метод установки программы и следуйте дальнейшим командам мастера.
В диалоговом окне Change User Options (Пользовательская настройка) выберите переключатель All users begin with common application settings (Все пользователи начинают с одинаково настроенного приложения), чтобы установить приложение для всех пользователей. Выберите переключатель Install application settings for this user only (Задать настройку приложения исключительно для данного пользователя), если не нужно конфигурировать устанавливаемую программу для нескольких пользователей. Затем нажмите кнопку Finish (Готово).
Мастер выполнит оставшуюся часть процесса установки. Для безопасности программа должна быть установлена в разделе, отформатированном под файловую систему NTFS.
После установки, при необходимости, отредактируйте и выполните сценарий инсталляции программы.

Внимание

Может понадобиться войти в систему в качестве того же самого пользователя, как только сервер будет перезагружен, чтобы корректно закончить инсталляцию программного обеспечения. Нельзя допускать подключение пользователей до завершения этого шага.

Использование утилиты change user
Когда пользователь запускает программу, пользовательские установки в системном реестре, файлы настройки (*.ini, *.dll, *.осх и т. д.) по необходимости автоматически копируются в домашний каталог пользователя. Утилита командной строки change user позволяет запретить отображение устанавливаемых файлов приложения на .домашний каталог пользователя. Таким образом INI-файлы приложения будут установлены непосредственно в корневом каталоге системы. Это делает программы доступными в многотерминальном режиме.
Утилита Add or Remove Programs автоматически выполняет команду change user и является предпочтительным методом установки. Выполнение ручной установки требуется только в том случае, когда приложение использует нестандартный метод установки и если необходимо гарантировать возможность доступа к этой программе в многотерминальном режиме.
Утилита командной строки change user должна выполняться со специальными ключами:

  • команда change user /install выполняется перед процедурой установки приложения. Она переводит систему в режим установки и выключает отображение INI-файлов. Система записывает первоначальную установку программы, отслеживая API-вызовы установки;
  • команда change user /execute выполняется непосредственно по окончании процесса установки. Она возвращает систему в режим выполнения, восстанавливает отображение INI-файлов и переадресовывает пользовательские данные в основной каталог пользователя.

Внимание

Не копируйте программные файлы из одного каталога в другой и не редактируйте вручную системный реестр во время инсталляции.

После установки программы, если это требуется, необходимо отредактировать и выполнить сценарий инсталляции программы.

Проверка установки

Некоторые программы, установленные с помощью команды change user, не могли бы работать сначала из-за того, что система находится в заблокированном состоянии. Некоторые 16-разрядные программы должны иметь доступ на запись в каталог, где программа хранит INI-файлы. Некоторые 32-разрядные программы создают в системном реестре записи, необходимые для правильной работы системы.
Рекомендуется следующий сценарий проверки успешности установки приложения. Разрешите регистрацию событий. После этого зарегистрируйтесь на сервере, используя временную учетную запись пользователя, созданную, чтобы сымитировать работу пользователя или пользователей, которые будут работать с данной программой. Запустите установленное приложение и смоделируйте основные процедуры ее использования. Просмотрев журнал событий, определите, к каким файлам и каталогам пользователю для правильной работы нужен доступ для записи и к каким ключам реестра — доступ для чтения.
Можно создать две учетные записи пользователя и проверить каждую на правильную работу приложения. Это позволит сделать изменения, настроить установки и шаблоны пользователей и проверить, чтобы эти изменения не затронули других пользователей той же группы. Необходимо следить за всеми файлами и проблемами, которые возникают при работе приложений.

Конфигурирование служб терминалов

В распоряжении администратора имеются три механизма, посредством которых он может осуществлять управление конфигурацией служб терминалов на корпоративных серверах:

  • параметры групповых политик (Group Policy);
  • механизм WMI;
  • оснастка Terminal Services Configuration.

Параметры конфигурации, определенные при помощи оснастки Terminal Services Configuration, переопределяют настройки, заданные на других уровнях.
Кроме того, параметры подключения к службам терминалов могут быть заданы на уровне отдельных пользователей. Для этого используются расширенные версии оснасток Active Directory Users and Computers и Local Users and Groups.
В общем случае используется следующая очередность применения параметров конфигурации служб терминалов, определенных на различных уровнях:
1. Параметры групповой политики, определенные на уровне компьютера.
2. Параметры групповой политики, определенные на уровне пользователя.
3. Параметры, определяемые в рамках Terminal Services WMI, а также параметры, заданные посредством оснастки Terminal Services Configuration.
4. Параметры, определенные на уровне учетной записи пользователя.
5. Локальные настройки клиента.

Примечание

Хотя в большинстве случаев механизм групповых политик является наиболее предпочтительным вариантом конфигурирования компонентов Windows Server 2003, в случае служб терминалов это справедливо только, если все терминальные серверы находятся под управлением данной операционной системы. В случае использования терминальных серверов различных версий (Windows 2000 или Windows NT 4.0 Terminal Edition) рекомендуется осуществлять конфигурирование служб терминалов посредством оснастки Terminal Services Configuration.

Управление службами терминалов

Управление службами терминалов осуществляется при помощи утилиты Terminal Service Manager. Перечень возможных операций (команд меню) перечислен в табл. 17.1. Доступ к перечисленным операциям возможен через меню Actions (Действия).

Таблица 17.1. Операции по управлению службами терминалов

Операция | Описание | Требуемое разрешение
Connect (Подключиться к сеансу) | Позволяет пользователю подключаться к другому сеансу. Подключение к сеансу, в настоящее время используемому другим пользователем, может привести к потере данных пользователя. При установлении соединения с другим сеансом происходит отключение от предыдущего сеанса. Если на сервере создано несколько сеансов, с помощью этой опции можно переключаться между ними. Невозможно подключиться к другому сеансу с консоли | User Access (Пользовательский доступ) или Full Control (Полный доступ)
Disconnect (Отключиться от сеанса) | Отключает пользователя от сеанса. Сеанс остается на сервере терминалов в отключенном состоянии, и выполняющиеся в это время приложения продолжают работать. При попытке повторного соединения с сервером повторное подключение происходит с использованием того же сеанса, от которого было выполнено отключение, даже если повторное соединение инициализируется с другого компьютера. Незакрытые перед отключением приложения продолжают работать без потери данных и когда происходит повторное подключение к сеансу. Это полезно при изменении местоположения (например, при переезде пользователя с работы домой) | Full Control (Полный доступ)
Send Message (Отправить сообщение) | Позволяет пользователю послать сообщение сеансу другого пользователя. Например, администратор может отправить сообщение пользователю перед отключением или выходом пользователя из сеанса | User Access (Пользовательский доступ) или Full Control (Полный доступ)
Remote Control (Удаленное управление) | Позволяет пользователю наблюдать или удаленно управлять сеансом другого пользователя, управлять действиями сеанса и взаимодействовать с ним по необходимости. Пользователя, сеансом которого требуется управлять, можно предупредить до начала управления его сеансом | Full Control (Полный доступ)
Reset (Сброс) | Позволяет немедленно удалить сеанс. Сброс сеанса пользователя без предупреждения может привести к потере данных в этом сеансе. Необходимо сбросить сеанс, только если он работает со сбоями или прекращает отвечать. Если вы сбрасываете сеанс-слушатель (listener session), все сеансы, использующие это соединение (connection), будут сброшены | Full Control (Полный доступ)
Status (Состояние) | Позволяет просматривать связанные с сеансом счетчики, например количество приходящих и исходящих байтов и кадров. Информацию о состоянии для консоли и сеансов слушателя нельзя отобразить | User Access (Пользовательский доступ) или Full Control (Полный доступ)
Log off (Выход) | Заставляет пользователя завершить ,£еанс работы на сервере. Выход пользователя без предупреждения может привести к потере данных сеанса. Когда работу с сеансом завершат все пользователи, все процессы завершатся, а сеанс будет удален с сервера | Full Control (Полный доступ)
End Process (Завершить процесс) | Позволяет завершить процесс, который выполняется в сеансе пользователя. Это полезно, когда приложение прекратило отвечать. Окончание процесса без предупреждения может привести к потере данных сеанса | Full Control (Полный доступ)

Рассмотрим эти операции более подробно.

Подключение к другому сеансу

В пространстве имен утилиты Terminal Service Manager вызовите контекстное меню сеанса и выберите в нем пункт Connect (Подключить). Произойдет подключение к другому сеансу и отключение от предыдущего сеанса (рис. 17.7).

Внимание

Невозможно подключиться к другому сеансу из консольного сеанса. Другими словами, пользователь или администратор может выполнить подключение к другому сеансу только в рамках терминального подключения. В случае работы в консоли опция Connect (Подключить) недоступна.

Всегда можно подключиться к сеансу, в котором был произведен вход с той же самой учетной записью. Чтобы подключиться к сеансу другого пользователя, нужно иметь разрешение Full Control (Полный доступ) или User Access (Пользовательский доступ) на подключение к другому сеансу.

Примечание

Можно подключиться к сеансу в активном или разъединенном состоянии.

Рис. 17.7. Подключение к другому сеансу

Отключение от сеанса

В пространстве имен утилиты Terminal Service Manager вызовите контекстное меню сеанса и выберите в нем пункт Disconnect (Отключить). При отключении сеанс продолжает функционирование на сервере терминалов в отключенном состоянии, а все приложения, выполняющиеся в этом сеансе, работают и продолжат работать без потери данных, когда к сеансу будет произведено повторное подключение.
Если пользователь выполняет повторное подключение к терминальному серверу, он будет автоматически повторно подключен к тому же сеансу, от которого был отключен. Если пользователь создал несколько сеансов на сервере, то при подключении будет отображен список всех сеансов, в котором пользователю будет предложено выбрать требуемый.

Примечание

Всегда можно отключиться от собственного сеанса, но чтобы отключить другого пользователя от сеанса, нужно иметь разрешение Full Control (Полный доступ).
Отключиться от сеанса можно также с помощью команды tsdiscon.

Отправка сообщения пользователю

В пространстве имен утилиты Terminal Service Manager вызовите контекстное меню интересующего сеанса и выберите в нем пункт Send Message (Отправить .сообщение). В открывшемся окне необходимо заполнить поля Message title и Message (рис. 17.8). В поле Message title (Заголовок сообщения) указывается заголовок сообщения, а в поле Message (Сообщение) — требуемое сообщение. Если необходимо ввести больше одной строки, нажмите клавиши <Ctrl>+<Enter> для разрыва строки. Чтобы отправить сообщение, нажмите кнопку ОК.

Рис. 17.8. Отправка сообщения

Возможность отправки сообщений позволяет администратору информировать пользователей о плановых работах с терминальным сервером. Хорошим тоном считается отправка сообщений о перезагрузках сервера, отключении пользователей от сервера и других операциях, приводящих к нарушению нормальной работы пользователей. Можно посылать сообщения подключенным пользователям или пользователям, сеансы которых находятся в активном состоянии, в том числе пользователю консольного сеанса.

Примечание

Чтобы послать сообщение пользователю, нужно иметь разрешение User Access (Пользовательский доступ) или Full Control (Полный доступ).
Послать сообщение пользователю можно также с помощью команды msg.

Завершение сеанса

В пространстве имен утилиты Terminal Service Manager выберите объект, ассоциированный с терминальным сервером. В результирующей панели оснастки на вкладке Users (Пользователи) вызовите контекстное меню интересующего пользователя и выберите в нем пункт Log off (Выход из системы). Пользователь всегда может завершить собственный сеанс, но чтобы завершить сеанс другого пользователя, он должен иметь разрешение Full Control (Полный доступ).

Примечание

Завершение сеанса пользователя без предупреждения может привести к потере данных. Нужно послать сообщение, чтобы предупредить пользователя. После выхода пользователя все процессы будут завершены, и сеанс будет удален с сервера.
Можно также использовать команду logoff, чтобы заставить пользователя выйти из сеанса.

Сброс сеанса

В пространстве имен утилиты Terminal Service Manager вызовите контекстное меню интересующего сеанса и выберите в нем пункт Reset (Сброс). Сеанс будет немедленно удален с сервера. Всегда можно сбросить собственный сеанс, но для сброса сеанса другого пользователя нужно иметь разрешение Full Control (Полный доступ).

Примечание

Сброс сеанса пользователя без предупреждения может привести к потере данных. Сеанс рекомендуется сбрасывать только в случае, когда он работает со сбоями или не отвечает. Если вы сбрасываете сеанс слушателя (listener), все сеансы, использующие это соединение, будут сброшены.
Сбросить сеанс можно также с помощью команды reset session.

Просмотр состояния сеанса

В пространстве имен утилиты Terminal Service Manager вызовите контекстное меню интересующего сеанса и выберите в нем пункт Status (Состояние). Откроется окно, в котором будет отображено значение счетчиков, связанных с сеансом (рис. 17.9).
Нажав кнопку Reset Counters (Сброс счетчиков), администратор может обнулить показания счетчиков. Пользователь всегда может просматривать информацию о состоянии собственного сеанса, но для просмотра информации о состоянии сеанса другого пользователя он должен иметь разрешение Full Control (Полный доступ) или User Access (Пользовательский доступ).

Рис. 17.9. Получение информации о состоянии сеанса

Примечание

Невозможно просматривать информацию о состоянии для консольного сеанса и сеанса-слушателя (listener).

Удаленное управление сеансом

В пространстве имен утилиты Terminal Service Manager вызовите контекстное меню интересующего сеанса и выберите в нем пункт Remote control (Удаленное управление). Откроется одноименное диалоговое окно. В поле Hot key (Комбинация клавиш) выберите клавиши, которые будут использоваться для завершения сеанса удаленного управления, и нажмите кнопку ОК. По умолчанию используется комбинация клавиш <Ctrl>+<*> на цифровой клавиатуре.
До начала управления сервер предупреждает пользователя, что данный сеанс будет управляться удаленно, если прием предупреждения не запрещен. Сеанс блокируется в течение нескольких секунд, пока ожидается ответ пользователя.
После начала сеанса удаленного управления текущий сеанс совместно использует каждую операцию ввода/вывода с управляемым сеансом.
По окончании удаленного управления нажмите клавиши <Ctrl>+<*> (или заданную в поле Hot key комбинацию).

Примечание
Для удаленного управления другим сеансом необходимо иметь разрешение Full Control (Полный доступ).

Чтобы настраивать параметры удаленного управления для подключения, используйте оснастку Terminal Services Configuration. Можно также настроить удаленное управление для каждого пользователя при помощи расширений терминальных услуг в оснастках управления пользователями.
Текущий сеанс должен иметь разрешение экрана не меньшее, чем используемое сеансом, которым необходимо удаленно управлять, иначе такое управление будет невозможно.

Примечание

Консольный сеанс не может ни удаленно управлять, ни удаленно управляться другим сеансом.
Удаленно управлять другим сеансом можно также с помощью команды shadow.

Завершение процесса

В пространстве имен утилиты Terminal Service Manager вызовите контекстное меню интересующего сеанса и выберите в нем пункт End Process (Завершить процесс).
Завершение процесса без предупреждения может привести к потере пользовательских данных.

Подключение к серверам

В пространстве имен утилиты Terminal Service Manager выберите корневой объект и в меню Actions (Действия) выберите пункт Connect to Computer (Подключиться к компьютеру).

Примечание

Рекомендуется подключаться только к одному серверу одновременно. Когда подключение к серверу установлено, диспетчер служб терминалов периодически запрашивает сервер для получения информации о сеансах и процессах. Одновременное подключение к большему числу серверов может перегрузить ресурсы системы.

Утилита Terminal Service Manager позволяет администратору добавлять часто просматриваемые терминальные серверы в группу Favorites servers (Избранные серверы). Чтобы добавить сервер в эту группу, выберите сервер и в его контекстном меню выберите команду Add to Favorites (Добавить в избранное).

Использование утилит командной строки

В табл. 17.2 кратко описано назначение утилит командной строки при работе со службами терминалов. Для получения большей информации о синтаксисе использования этих команд обратитесь к подсказке по данной команде (через справочную систему Windows или введя в командной строке <имя команды> /?)•

Таблица 17.2. Утилиты командной строки для управления службами терминалов

Утилита | Описание
change logon | Временно отключает/разрешает вход в систему на сервер терминалов
change port | Изменяет отображение СОМ-порта для совместимости программ MS-DOS
change user | Изменяет отображение INI-файлов для текущего пользователя
cprof ile | Удаляет определенные пользователем файловые ассоциации из профиля пользователя
flattemp | Разрешает/запрещает "плоские" временные каталоги пользователей
logoff | Завершает сеанс клиента
msg | Посылает сообщение одному или более клиентам
mstsc | Запускает утилиту Remote Desktop Connection
query process | Отображает информацию о процессах
query session | Отображает информацию о сеансах, установленных на терминальном сервере
query termserver | Отображает список терминальных серверов в сети
query user | Отображает информацию о пользователях, зарегистрированных в системе
register | Позволяет выполнить регистрацию приложения, чтобы она соответствовала определенным характеристикам
reset session | Сбрасывает сеанс связи
shadow | Служит для управления сеансом другого пользователя
tscon | Служит для подключения к другому существующему сеансу связи с терминальным сервером
tsdiscon | Отключает клиента от сеанса связи
tskill | Завершает процесс
tsprof | Копирует конфигурацию пользователя и изменяет путь конфигурации
tsshutdn | Завершает работу терминального сервера

Управление качеством обслуживания (QoS)

В Windows Server 2003 реализованы элементы технологии Управление качеством обслуживания (Quality of Service, QoS), которая поддерживается и в других версиях Windows. Эта технология позволяет администраторам сети переходить к новому поколению приложений, интенсивно использующих среду передачи данных и требующих строгих временных характеристик, при сохранении возможности управления трафиком в сети. Независимые поставщики программного обеспечения могут использовать преимущества прикладных интерфейсов для того, чтобы получить лучшее качество сетевого обслуживания для своих критических по времени или потоковых приложений.
Растущая с каждым годом ширина полосы пропускания, доступная при использовании сетевых архитектур Fast Ethernet и Gigabit Ethernet, поощряет разработку и развертывание приложений, работающих с потоковым видео, звуком в реальном масштабе времени, видеоконференц-связью, интерактивной связью, и других приложений, требующих доставки данных с малым временем ожидания. Кроме того, есть много приложений, критических по времени, которые не являются приложениями мультимедиа, но требуют жесткой гарантии качества обслуживания. Именно поэтому поддержка технологий QoS в Windows Server 2003 особенно важна.
Windows QoS включает поддержку протокола резервирования ресурсов RSVP (Resource Reservation Protocol), разработанного проектной целевой группой Интернета (Internet Engineering Task Force, IETF), и другие элементы, обеспечивающие тот тип качества обслуживания (QoS), который мог бы иначе быть получен только при сквозном использовании сетей с асинхронным режимом передачи (Asynchronous Transfer Mode, ATM). Кроме того, Windows QoS может функционировать поверх сетей разнородной топологии, включая, например, Ethernet и ATM.
Windows QoS обеспечивает основу для доставки интенсивного и требовательного ко времени доставки трафика и предоставляет администраторам сети полный контроль над использованием полосы пропускания. Администраторы сети могут применять Windows QoS для следующих целей:

  • предотвращение нарушения режима эксплуатации сетевых ресурсов неадаптивными протоколами (типа UDP);
  • распределение ресурсов между трафиком с наилучшим возможным качеством (best-effort) и между более или менее приоритетным трафиком;
  • резервирование ресурсов для выделенных пользователей;
  • разделение доступа к ресурсам по приоритетам, основанным на пользователях.

Технология QoS в Windows Server 2003 позволяет стратегически управлять качеством обслуживания, распределяя ширину полосы пропускания: например, равномерно — для всех отделов в течение определенного периода времени или по приоритетам — для разных типов трафика. Такое распределение гарантирует, что приложениям, требующим предоставления QoS, будет выделена та часть полосы пропускания, в которой они нуждаются, без превышения заданных администратором ограничений ширины полосы пропускания.
Windows QoS также поддерживает управление качеством обслуживания для приложений, при этом заданная администратором ширина полосы пропускания может быть выделена критическим приложениям, таким как ночная инвентаризация или банковские транзакции.
Механизм QoS, реализованный в Windows Server 2003, поддерживает:

  • службу Admission Control Service (Служба управления допуском) — для распределения сетевых ресурсов на основе топологии, доступности ресурса и политики, связанной с пользователями или приложениями;
  • протокол RSVP (Resourse Reservation Protocol, протокол резервирования ресурсов) — протокол передачи сигналов, который позволяет отправителю и получателю в сеансе связи запросить ресурсы, получить и сообщить своим соседям информацию об используемой стратегии сети.

Кроме того, поддерживаются базовые функции управления трафиком:

  • охрана трафика, формирование и управление порядком следования пакетов (включая уменьшение времени ожидания на медленных линиях);
  • управление битами старшинства в IP для определения уровня приоритета сетевых устройств уровня 3;
  • установление приоритета согласно стандарту 802.1р для определения уровня приоритета сетевых устройств уровня 2;
  • трансляция между передачей сигналов уровня 3 служб управления QoS (типа RSVP) и передачей сигналов уровня 2 управления QoS, например, преобразование из RSVP в ATM.

Реализацию QoS в среде Windows могут легко расширять независимые поставщики программного обеспечения (Independent Software Vendors, ISV) и аппаратного обеспечения (Independent Hardware Vendors, IHV). Кроме того, администраторы сети сами могут легко управлять QoS.
Общий прикладной интерфейс качества обслуживания WinSock 2 (Generic QoS API, GQoS API) позволяет приложениям использовать QoS, не имея представления о базовой сети или о специфических механизмах QoS, доступных в сети. Созданный при непосредственном участии поставщиков программных средств GQoS API позволяет облегчить развертывание в одной сети приложений и решений, использующих QoS, от нескольких поставщиков. Прикладной интерфейс управления трафиком (Traffic Control API, TC API) позволяет осуществить полный доступ к управлению трафиком и вызывать QoS от имени устаревших приложений. Вызываемый интерфейсом GQoS поставщик услуг (Service Provider, SP) QoS обеспечивает передачу сигналов RSV'P по сети и равноподчиненным компонентам, обеспечивает обратную связь с приложениями и вызывает службу управления трафиком. Поставщик услуг QoS также взаимодействует с сервером службы управления допуском (ACS), чтобы предотвратить блокирование сетевых ресурсов и реализовать политику, полученную из Active Directory.
Потоки мультимедиа, подобные используемым в IP-телефонии или видео-конференц-связи, могут быть чрезвычайно чувствительны к задержкам доставки, что требует уникального качества обслуживания от сетей, по которым они передаются. Поскольку мультимедиа и приложения с критическими заданиями обычно используют модель доставки с наилучшим возможным качеством (best-effort), они практически не используют возможности гарантированной доставки пакетов. Чтобы развернуть приложения реального масштаба времени поверх IP и других сетей с приемлемым уровнем качества, нужно обеспечить заданную ширину полосы пропускания, время ожидания и требования к флуктуации так, чтобы разрешить трафику мультимедиа сосуществовать с традиционным трафиком данных в той же самой сети, не подавляя его.

Состав Windows QoS

Операционная система Windows Server 2003 обеспечивает полную и надежную реализацию технологии QoS. Она позволяет сетевым администраторам использовать преимущества мощности приложений, применяющих QoS, сохраняя возможность управления шириной полосы пропускания сети.
Приложение QoS использует интерфейс WinSock 2 GQoS, чтобы передать свои требования к поставщику услуг WinSock 2 QoS (QoS SP). QoS SP по очереди вызывает различные механизмы QoS нижележащих уровней и сети, соответствующие приложению, чтобы гарантировать требуемый сквозной уровень QoS.
Ключевые элементы QoS в Windows Server 2003 перечисляются ниже.

  • Службы управления допуском (Admission Control Services, ACS). Службы управления допуском базируются на платформе SBM (Subnet Bandwidth Management, управление полосой пропускания на уровне подсетей), определенной консорциумом IETF. SBM описывает запросы резервирования полосы пропускания. В соответствии с проектом IETF, SBM вставляет себя в путь резервирования для того, чтобы проверить сообщения резервирования и определить доступность ресурсов.
  • Служба управления допуском, основанная на политиках (Policy-based ACS). Администратор сети может использовать политику из Active Directory, чтобы ограничить объем трафика, который любое лицо может зарезервировать в любой отдельной подсети в любое заданное время. Применение политики к группам пользователей, как к отдельным пользователям, облегчает администрирование при помощи Active Directory.
  • Прикладные программные интерфейсы (API). Технология Windows QoS упрощает для ISV процесс разработки, обеспечивая обобщенный QoS (GQoS) API и API управления трафиком (ТС API).
    • Обобщенный QoS API (Generic QoS API). GQoS API позволяет приложениям описывать качество обслуживания, требуемого для передачи потока данных.
    • API управления трафиком (Traffic Control API, TC API). API управления трафиком дает приложениям сторонних производителей возможность управления трафиком, а поставщикам услуг QoS — управления трафиком от имени приложений. Также приложения управления трафиком сторонних производителей могут применяться для управления трафиком от имени приложений, которые не могут это делать сами. Кроме того, API управления трафиком позволяет объединять части трафика от нескольких источников (на одном и том же компьютере) в один поток управления трафиком. В отличие от этого API, обобщенный QoS API для формирования потока управления трафиком, может использовать только трафик одиночного "диалога" (диалог задается адресом и портом источника и получателя).

  • Поставщик услуг QoS (QoS SP). Технология QoS в Windows включает поставщика услуг (Service Provider, SP) QoS, который отвечает на вызовы GQoS API. Как часть операционной системы, QoS SP реализует протокол передачи сигналов RSVP и взаимодействует с ACS. Приложения QoS могут вызывать эти услуги через WinSock 2 GQoS API. QoS SP также вызывает локальное управление трафиком от имени приложений.
  • Передача сигналов RSVP (RSVP signalling). Протокол резервирования ресурса разработан для того, чтобы передавать запросы резервирования ресурсов через сети с изменяющейся топологией и различными носителями. При помощи RSVP требование пользователя на заданное качество обслуживания распространяется через все RSVP-безопасные сетевые устройства на пути данных (включая серверы управления допуском), позволяя пользователю резервировать ресурсы, которые разрешают применение RSVP на всех уровнях сети. Это позволяет достигать в сети желаемого уровня качества обслуживания.
  • Политика. Полная реализация ACS также допускает использование политики. В такой форме ACS рассматривает параметры запроса ресурсов отдельно от запрошенных ресурсов (типа идентификатора пользователя, запрашивающего ресурсы). Затем ACS обращается к Active Directory, чтобы определить политику, применяемую к этому пользователю. Решение о допуске, принимаемое службой ACS, будет основано на доступности ресурсов и на политике, относящейся к пользователю, который произвел запрос.
  • Вызовы управления трафиком. QoS SP преобразует абстрактные запросы QoS от приложений в семантическую форму управления трафиком, вызывая управление трафиком от имени приложения в соответствии с доступностью ресурсов в сети (как это задано механизмом передачи сигналов RSVP).
  • Базовое управление трафиком. API управления трафиком обеспечивает тонкое базовое управление трафиком, включающее охрану и формирование трафика, управление порядком следования пакетов, поддержку стандарта 802.1р, старшинство IP и передачу сигналов уровня 2 (типа ATM). Базовое управление трафиком может вызываться приложениями третьих фирм для управления трафиком, чтобы обеспечить QoS для устаревших приложений.
    • Стандарт 802.1р. Windows QoS обеспечивает поддержку тэгов 802.1р, помогая обеспечить работу служб QoS в сети, использующей коммутаторы второго уровня. Можно использовать управление трафиком для определения значения приоритета пользователя по стандарту 802.1р, передаваемого в поле МАС-заголовка и задающего относительный приоритет пакета.
    • Старшинство IP (IP prioritizing). Старшинство IP обеспечивает возможность разделить трафик на несколько классов обслуживания. С помощью управления трафиком можно установить биты в заголовках IP-пакетов в отдельных потоках. Эти биты интерпретируются сетевыми устройствами уровня 3 так, что в итоге пакеты, принадлежащие потоку, будут соответственно обрабатываться следующими устройствами в сети. Эти поля аналогичны приоритетным установкам в 802.1р, но интерпретируются сетевыми устройствами более высокого уровня.
    • Формирование трафика (Traffic shaping). Планировщик пакетов отыскивает пакеты и передает их согласно параметрам QoS, которые в общем случае включают планируемую скорость и некоторый внутренний приоритет. Планировщик определяет порядок, в котором поставленные в очередь пакеты должны быть посланы в сеть, когда происходит перегрузка.

  • Медленные линии. Обеспечиваются специальные механизмы формирования трафика на медленных линиях, например, на модемных линиях со скоростью 28,8 Кбит/с. На таких линиях большие пакеты могут занимать связь достаточно долго, что может привести к задержке малых пакетов со звуковыми данными, которые должны быть переданы по этой же самой линии, и снизить качество звука. Чтобы избежать этой проблемы, управление трафиком на канальном уровне фрагментирует большие пакеты, посылая только один фрагмент в единицу времени. Чувствительные ко времени ожидания звуковые пакеты можно вставлять между фрагментами большего пакета, уменьшая таким образом время ожидания звукового пакета и повышая качество звука.
  • Обеспечение дополнительных механизмов передачи сигналов уровня 2 QoS. Поставщик услуг QoS может вызывать дополнительные механизмы управления трафиком в зависимости от конкретного базового уровня передачи данных. Он может, например, потребовать от базовой сети ATM установить соответствующий виртуальный канал для каждого потока. Он может также сгенерировать соответствующую передачу сигналов для кабельных модемов или другой среды уровня 2.

Службы ATM

Понятие Asynchronous Transfer Mode (ATM, асинхронный режим передачи) описывает ряд связанных и стандартизованных технологий. ATM отличается от других существующих технологий ЛВС и ГВС по многим параметрам. Технология ATM была специально разработана для поддержки быстродействующих коммуникаций. ATM позволяет эксплуатировать высокоскоростные сети, наиболее эффективно управляя использованием полосы пропускания, сохраняя при этом гарантированное качество обслуживания для пользователей и приложений со строгими требованиями к обслуживанию.
Рассмотрим понятие "асинхронный режим передачи". Прилагательное "асинхронный" в названии технологии означает, что доступная ширина полосы пропускания сети не разделена на фиксированные каналы или слоты, задаваемые при помощи механизма синхронизации. Устройства, взаимодействующие через асинхронные коммуникации, не ограничены точным значением скорости передачи. Отправитель и получатель договариваются о скорости обмена информацией, исходя из аппаратных ограничений и собственной способности поддерживать надежную передачу. Термин "режим передачи" описывает способ организации обмена информацией. В ATM для структурирования и упаковки данных для передачи используется концепция малых ячеек фиксированной длины. Механизм ATM с использованием ячеек, в отличие от механизма передачи пакетов переменной длины, который применяется в наиболее старых из существующих на данный момент сетевых технологий, гарантирует установление и управление соединениями так, чтобы никакой поток данных или соединение не могли бы монополизировать путь передачи данных.

Достоинства ATM

ATM обеспечивает управление качеством обслуживания в тех сетях, где должны присутствовать несколько типов информации (например, данные, голос, а также видео и звук в реальном времени). ATM позволяет передавать поток каждого из этих типов информации через одно сетевое соединение.
Преимущества ATM перечисляются ниже.

  • Высокоскоростная связь. В отличие от традиционных технологий работы .с сетями типа ЛВС на базе Ethernet и служб уровня Т в WAN, технология ATM не имеет физических или архитектурных ограничений, которые не позволяют (или, по крайней мере, усложняют этот переход) перейти к более высоким скоростям передачи данных. Современные продукты ATM обеспечивают поддержку передачи данных на скоростях от 25 Мбит/с по неэкранированной витой паре (UTP) и экранированной витой паре (STP), 155 Мбит/с по среде UTP и оптоволокну, и от 622 Мбит/с до 4,8 Гбит/с (только по оптоволоконной среде).
  • Служба с установлением логического соединения, подобно традиционной телефонии. Подобно традиционным телефонным службам, ATM использует модель обслуживания с установлением логического соединения. Поскольку стандарты ATM формализованы организацией ITU, телефонные компании во всем мире могут применять высокоскоростную технологию ATM вместо сетевых инфраструктур с гарантией, что все существующие телефонные службы и все приложения могут быть приспособлены к новой сети. В настоящее время телефонные компании в Соединенных Штатах перевели более 70% внутренних сетей на ATM. Технология ATM направлена на то, чтобы стать в скором времени глобальным стандартом для телефонии. Чтобы сохранить полную поддержку традиционных телефонных служб (голос, факс и различные услуги АТС), службы ATM с установлением логического соединения гарантируют, что все используемые в настоящее время приложения телефонии, которые поддерживаются Общественными коммутируемыми телефонными сетями (Public Switched Telephony Netorks, PSTN), будут поддерживаться и в дальнейшем.
  • Быстрая аппаратная коммутация. Поскольку весь трафик ATM передается в малых ячейках фиксированной длины (точно 53 байта), процесс маршрутизации трафика во взаимосвязанных сетях может происходить быстро, в отличие от других моделей взаимосвязи сетей, например, TCP/IP. В ATM весь трафик передается с использованием коммутации, а не маршрутизации. Коммутация ячеек в ATM является более простым и более однородным процессом по сравнению с традиционной маршрутизацией, используемой в сетях передачи пакетов, например Ethernet и TCP/IP. В сетях с передачей пакетов маршрутизаторы должны использовать программное обеспечение для правильной обработки ряда изменений в потоке передачи, например, для определения издержек различных маршрутов, для измерения длины пакета, для фрагментирования пакета, для передачи пакетов в правильном порядке и для пересборки пакетов. В качестве замены традиционных методов маршрутизации ATM использует простой процесс коммутации, основанный на концепции виртуальных каналов (Virtual Circuit Connections, VCC). VCC формируются при помощи ряда назначенных идентификаторов виртуального пути (Virtual Path Identifier, VPI) и идентификаторов виртуального канала (Virtual Ciruit Identifier, VCI) между коммутаторами. Фактические пути и каналы, используемые каждым коммутатором, идентифицируются зарезервированным числом битов в заголовке каждой ячейки ATM. Поскольку информация VPI/VCI всегда появляется в одном и том же месте каждой ячейки, коммутаторы ATM могут быстро считывать числа VPI/VCI входящей ячейки, коммутировать эту ячейку, заменяя эти числа на новые числа VPI/VCI, и немедленно передавать эту ячейку через выходной порт. Поскольку поток ячеек ATM может быть более однородным и предсказуемым, то для выполнения функций коммутации может использоваться аппаратный механизм синхронизации.
  • Единый универсальный сетевой транспорт. ATM поддерживает единый способ передачи данных, позволяющий связывать сети любых размеров и масштабировать их в будущем. При использовании ATM в качестве глобального транспорта для всех сетей не нужно обеспечивать дополнительную трансляцию и шлюзы между традиционными транспортами для ЛВС (типа Ethernet или Token Ring) и транспортами для ГВС (типа Х.25, Frame Relay и Т1 или выделенных линий), что создает единую "бесшовную" сеть, полностью реализуемую на основе ATM. Хотя чистые ATM-сети в настоящее время встречаются не так уж часто, ATM обеспечивает возможность взаимодействия с существующими сетевыми технологиями типа Ethernet и Token Ring при помощи службы LAN Emulation (LANE — Эмуляция ЛВС) и поддержки новых стандартов TCP/IP поверх ATM, которые позволяют перейти к ATM, сохраняя прозрачные соединения с клиентами, использующими унаследованные технологии. Например, удаленный пользователь с домашнего компьютера, используя новые технологии типа Asymmetric Digital Subscribers Line (ADSL, асимметричная цифровая абонентская линия) или кабельный модем, мог бы устанавливать соединение с корпоративной частной ЛВС на базе ATM в удаленном офисе и обмениваться информацией, используя только ATM. Такая схема возможна, поскольку сети ГВС, в настоящее время развернутые телефонными компаниями в США и в других странах, для обеспечения традиционных телефонных служб переведены на ATM. Тот же домашний пользователь мог бы средствами ATM реализовать прямое быстродействующее подключение к Интернету. ATM изначально был разработан для того, чтобы стать международным стандартом для объединения телефонии, ЛВС и ГВС.
  • В одном сетевом подключении можно безболезненно смешивать данные разных типов. В большинстве случаев голос, видео и обычные данные передаются по раздельным сетям из-за специфических требований и характеристик для каждого из этих типов информации. В ATM все эти типы информации могут надежно передаваться через единое сетевое подключение. ATM использует концепцию категорий обслуживания (service categories) и установление договоров (контрактов) на определенное качество обслуживания между конечными пользователями ATM и коммутаторами для того, чтобы получить надежную службу передачи данных.
  • Гибкое и эффективное распределение ширины полосы пропускания сети. Даже при том, что технология ATM обеспечивает реальную ширину полосы пропускания наиболее требовательным современным приложениям мультимедиа, она также позволяет быстро выбрать нужную ширину полосы пропускания для тех соединений, где это необходимо более всего. ATM использует категории обслуживания, чтобы назначить уровни производительности для каждого соединения. Это позволяет использовать ATM для того, чтобы определить приоритет и качество обслуживания для каждого сетевого соединения ATM с требуемой точностью. Все категории обслуживания ATM на основе параметров QoS измеряют производительность канала и качество обслуживания, которое предписано на аппаратном уровне адаптерами и коммутаторами ATM.

Состав служб ATM в Windows Server 2003

Ниже кратко описаны компоненты, входящие в состав служб ATM:

  • диспетчер вызова UNI ATM (UNI ATM Call Manager), соответствующий спецификациям ATM Forum для передачи сигналов ATM и поддерживающий создание коммутируемых виртуальных каналов (Switched Virtual Circuits, SVC) и постоянных виртуальных каналов (Permanent Virtual Circuits, PVC);
  • обновленные драйверы мини-порта NDIS 5.1 ATM, проверенные Лабораторией качества аппаратных средств Windows (Windows Hardware Quality Laboratory, WHQL) и обеспечивающие ограниченную поддержку установленного адаптера ATM;
  • модуль клиента эмуляции ЛВС (LANE Client Module), соответствующий спецификации ATM Forum LANE 1.0. Технология ATM LANE позволяет существующим приложениям и протоколам, разработанным для применения в ЛВС Ethernet/Token Ring, работать без изменений в сети ATM;
  • служба ARP/MARS (ARP/MARS service), позволяющая стеку TCP/IP отображать адреса ATM в аппаратные адреса для более прямого и эффективного использования среды ATM. Модуль IP поверх ATM соответствует спецификациям RFC для протокола разрешения адресов (Address Resolution Protocol, ARP) поверх среды ATM, и содержит поддержку для службы разрешения групповых адресов (Multicast Address Resolution Service, MARS);
  • расширенные средства для приложений и служб TAPI;
  • поддержка "грубой" фильтрации доступа к каналу, который может использоваться в прикладных средах с поддержкой технологии DirectStreaming;
  • расширенная поддержка сети удаленного доступа для удаленного доступа по РРР поверх среды ATM, что позволяет создавать и использовать соединение РРР поверх любого поддерживаемого адаптера ATM, установленного под Windows Server 2003. Эта возможность включает поддержку передачи ATM по линиям ADSL и кабельным модемам и другие возможности для установления соединения ATM по требованию;
  • возможность прямого доступа к службам ATM при помощи WinSock 2 поверх ATM непосредственно из пользовательских приложений. Благодаря этой поддержке приложения, использующие стек протоколов TCP/IP, могут функционировать непосредственно поверх ATM сети;
  • инкапсуляция Ethernet-трафика через постоянный виртуальный канал (Permanent Virtual Circuits, PVC). Как следствие, можно использовать ATM-адаптер для передачи Ethernet-пакетов.


Основные концепции Active Directory

  • Основные концепции Active Directory
  • Понятие службы каталога и Active Directory
  • Протокол LDAP
    • Информационная модель Active Directory
      • Объекты и дерево каталога
      • Атрибуты
      • Схема каталога
    • Модель именования LDAP
  • Схемы именования объектов в Active Directory
    • Основные имена субъектов безопасности
    • Полные доменные имена
    • Глобально уникальные идентификаторы
    • Имена NetBIOS
    • Унифицированный указатель ресурсов LDAP
    • Канонические имена
  • Служба DNS
    • SRV-записи
  • Протокол аутентификации Kerberos
  • Компоненты службы Active Directory
  • Доменная структура Active Directory
    • Домены
    • Иерархия доменов
    • Контроллеры домена
      • Специализированные роли контроллеров домена
    • Доверительные отношения
      • Доверительные отношения между лесами доменов
    • Подразделения (Организационные единицы)
    • Группы
  • Физическая структура каталога
    • Сайты
    • Транспорт репликации
    • Соединения сайтов
    • Расписание репликации
    • Серверы глобального каталога
  • Механизмы репликации каталога
    • Разделы каталога
      • Разделы приложений
    • Топология репликации
    • Служба репликации файлов
      • Создание системного тома SYSVOL
      • Служба каталога и служба FRS
  • Групповые политики
    • Объекты групповой политики

Основные концепции Active Directory

Для организации доменов на базе систем Windows 2000 Server и Windows Server 2003 используется служба каталога Active Directory. Каждый контроллер домена под управлением этих систем является сервером каталога Active Directory, и службу Active Directory невозможно развернуть без создания доменной структуры. Автономная версия службы каталога — Active Directory/Application Mode — не входит в состав систем Windows Server 2003 и планируется к выходу в конце 2003 года. . Поскольку понятия "домены Windows 2000/Server 2003" и "служба каталога Active Directory" тесно связаны, мы рассмотрим сначала возможности, организацию и использование службы Active Directory. Развертывание доменов на ее основе подробно описывается в следующей главе.

Понятие службы каталога и Active Directory

Объединение компьютеров в единую информационную сеть позволяет пользователям совместно использовать общие ресурсы. Современные операционные системы, ориентированные на корпоративный рынок, используют для организации ресурсов специальную сетевую службу, дающую пользователям возможность получения доступа к ресурсам сети без необходимости точного знания местоположения этих ресурсов. Речь идет о службе каталога (Directory Service). Каталог при этом рассматривается как глобальное унифицированное хранилище информации об элементах сетевой инфраструктуры. Вся информация о компонентах сетевой инфраструктуры, в качестве которых могут выступать пользователи, ресурсы, сетевые службы и т. п., размещается в каталоге. Внутри каталога объекты организуются либо в соответствии с физической, либо логической структурой сети. В качестве аналогии можно провести параллель с библиотечным каталогом, содержащим упорядоченные сведения о книгах.
Ниже перечислены задачи, которые служба каталога позволяет решить администратору.

  • Управление сетевыми ресурсами. Поскольку задача предоставления ресурсов в общее пользование является основной, ради чего компьютеры объединяются в сеть, необходимо, чтобы пользователи получали доступ к требуемым ресурсам наиболее эффективным способом. Служба каталога облегчает пользователям поиск нужных ресурсов, скрывая от них подробности реализации механизма поиска. Пользователь формулирует запрос, а служба каталога локализует требуемый ресурс.
  • Управление пользователями. Каждому пользователю поставлен в соответствие определенный набор характеристик, позволяющий персонализировать его деятельность в сети. Это дает возможность управлять доступом к сетевым ресурсам на уровне пользователей. При этом служба каталога рассматривает пользователей в качестве обыкновенных объектов каталога, что дает возможность организовывать их в соответствии со структурой сети (логической либо физической).
  • Управление приложениями. В зависимости от того, на решение каких конкретно задач ориентируются пользователи, на их компьютерах может быть развернуто различное программное обеспечение. В небольшой локальной сети осуществление контроля используемого программного обеспечения не требует от администратора особых усилий. В случае большой корпорации на передний план выходит задача по централизованному управлению программным обеспечением, включая развертывание новых приложений и выполнение обновления существующих.
  • Управление службами. При построении сети администратору приходится также решать вопросы, связанные с конкретным способом ее организации. Например, при построении сети на основе протокола TCP/IP необходимо решить, каким образом будет осуществляться выделение IP-адресов. Необходимо разработать соглашение о сетевых именах и организовать процесс их разрешения в соответствующие IP-адреса. Большинство сетевых служб может быть интегрировано со службой каталога, что позволит более эффективно организовать функционирование этих служб.

Практически все производители корпоративных операционных систем предлагают потребителям свои реализации службы каталога. Компания Microsoft предлагает свою версию службы каталога, названную Active Directory. Впервые эта служба каталога была реализована в составе операционной системы Windows 2000 Server. Обновленная версия Active Directory включена в Windows Server 2003. Концептуально эти версии практически не отличаются, поэтому чаще всего можно говорить о доменах Active Directory, подразумевая их реализацию на базе систем Windows 2000 Server и/или Windows Server 2003. Особенности или улучшения версии Windows Server 2003 оговариваются в книге особо.
Служба каталога Active Directory базируется на открытых стандартах:

  • протокол LDAP;
  • система доменных имен (Domain Name System, DNS);
  • протокол аутентификации Kerberos v5.

Эти стандарты (особенно LDAP) определили терминологию, используемую в архитектуре Active Directory, поэтому сначала мы кратко рассмотрим их особенности и взаимодействие со службой Active Directory.

Протокол LDAP

Для лучшего понимания роли протокола LDAP рассмотрим основные идеи спецификации Х.500. Данная спецификация была разработана Международным консультационным комитетом по телефонии и телеграфии (Consultative Committee for International Telephone and Telegraph, CCITT) совместно с Международной организацией по стандартизации (International Standardization Organization, ISO). В рамках спецификации Х.500 определяется ряд понятий:

  • системный агент каталога (Directory System Agent, DSA) представляет собой базу данных, в которой хранится информация каталога. База данных имеет иерархическую организацию и позволяет быстро и эффективно осуществлять поиск и извлечение необходимых данных;
  • агент пользователя каталога (Directory User Agent, DUA) обеспечивает функциональность доступа к каталогу, которая может быть реализована в различных пользовательских приложениях;
  • протокол доступа к каталогу (Directory Access Protocol, DAP) контролирует процесс взаимодействия между системным и пользовательским агентами каталога.

Протокол DAP является достаточно громоздким и сложным. Поэтому позднее специалисты предложили несколько его модификаций, обеспечивающих более простой и быстрый способ доступа к каталогу. Одной из таких модификаций является протокол Lightweight Directory Access Protocol (LDAP, Облегченный протокол доступа к каталогу), впервые описанный в рамках спецификации RFC 1487. На настоящий момент имеются три версии этого протокола. Версия 2 описана в рамках RFC 1777, а версия 3 в спецификации RFC 2251.
Протокол LDAP обеспечивает доступ к каталогу, разработанному в соответствии с рекомендациями стандарта Х.500. Протокол представляет собой стандартное средство реализации доступа и обновления информации в каталоге для приложений. Протокол LDAP является частью стека протоколов TCP/IP, что и послужило одной из причин его популярности.
Другая ключевая особенность протокола LDAP, обеспечившая ему широкое распространение, заключается в том, что протокол не требует от каталога полной совместимости со спецификацией Х.500. Основное требование — служба каталога должна поддерживать систему именования Х.500. Это очень важный факт, поскольку, вопреки широко распространенному заблуждению, служба каталога Active Directory не является Х.ЗОО-каталогом. Разработчики компании Microsoft взяли за основу информационную модель Х.500 и реализовали поддержку протокола LDAP. Это позволило обеспечить необходимый уровень совместимости с большинством существующего программного обеспечения, что в условиях гетерогенных сред является одним из важнейших факторов. Доступ к содержимому каталога Active Directory no протоколу LDAP может осуществляться с помощью любого LDAP-клиента. При этом использование протокола LDAP не является единственно возможным способом доступа к каталогу Active Directory.

Примечание

Служба каталога Active Directory поддерживает протокол LDAP версий 2 и 3.

Спецификация протокола LDAP базируется на четырех моделях.

  • Информационная модель (Information Model) описывает структуру каталога и содержащейся в ней информации.
  • Модель именования (Naming Model) описывает схему организации информации в каталоге и используемые схемы именования и идентификации объектов каталога.
  • Функциональная модель (Functional Model) определяет действия, которые могут быть осуществлены над информацией, размещенной в каталоге.
  • Модель безопасности (Security Model) описывает механизмы защиты информации, размещенной в каталоге.

Понимание этих моделей необходимо как для эффективного использования служб Active Directory в целом, так и для работы со многими системными утилитами и программами. Понимание моделей, на которых базируется протокол LDAP, необходимо также и для написания многих административных сценариев.

Информационная модель Active Directory

Объекты и дерево каталога

Основным структурным компонентом каталога является элемент (entry), который в терминологии Active Directory называется объектом (object). Объекты являются фундаментальными единицами, которыми манипулирует служба каталога. При этом каждый объект характеризует некоторую отдельную сущность (например, принтер, компьютер, совместно используемую папку или пользователя).
Выделяют объекты двух типов — контейнерного и неконтейнерного типа. Объекты контейнерного типа способны выступать в качестве родительских объектов и могут быть использованы для размещения других объектов. Напрашивается аналогия с папками файловой системы, в которых могут быть размещены файлы и другие папки. Объекты контейнерного типа используются для организации объектов по какому-либо признаку. Например, все объекты, ассоциированные с пользователями, размещаются внутри объекта контейнерного типа. Объекты, ассоциированные с компьютерами, размешаются в другом объекте контейнерного типа. Такой подход позволяет упорядочить объекты и облегчить управление ими.
Множество объектов, содержащихся во множестве вложенных контейнеров, организовано в иерархическую структуру, которая в терминологии Х.500 называется информационным деревом каталога (Directory Information Tree, DIT). Листьями этого дерева всегда выступают объекты неконтейнерного типа, в то время как в качестве узлов дерева (node) выступают объекты контейнерною типа.
Каждую ветку дерева, вместе со всей совокупностью порожденных ею веток, можно рассматривать по отдельности как самостоятельное дерево. Такая совокупность называется прилегающим поддеревом (contiguous subtree). Можно представить пространство имен каталога в виде множества прилегающих поддеревьев. Фрагменты, представляющие собой законченные и непрерывные прилегающие поддеревья, называются контекстами имен (naming context). Самый верхний элемент в иерархии объектов каталога в терминологии Х.500 называют корнем дерева. Роль корня информационного дерева каталога в спецификации Х.500 играет объект rootDSE.

Атрибуты

Каждый объект каталога состоит из набора атрибутов (attributes), каждый из которых содержит частичку информации, характеризующей объект. Так, например, в качестве атрибутов экземпляра класса "пользователь" могут выступать имя и фамилия пользователя, а также имя сопоставленной ему учетной записи. В документации Microsoft часто называет атрибутами свойства (properties) объекта. Атрибуты могут быть обязательными (mandatory) или необязательными (optional). Значения обязательных атрибутов должны быть явно определены в процессе создания объекта.
С каждым атрибутом в схеме связано понятие синтаксиса (syntax), который, по своей сути, является характеристикой атрибута. Синтаксис определяет тип значения атрибута (число, строка), порядок следования байтов и правила сравнения (matching rules), используемые для сравнения атрибутов данного типа. Служба каталога Active Directory допускает добавление описаний новых атрибутов и изменение существующих. Однако добавление новых синтаксисов, так же как и изменение существующих, запрещается. Определяя новый атрибут, администратор может только выбрать необходимый синтаксис из списка уже существующих.

Схема каталога

Определения всех классов объектов, а также совокупность правил, позволяющих управлять структурой каталога и его содержимым, хранятся в специальной иерархической структуре, которая называется схемой каталога (schema). Чтобы создать в каталоге объект нового типа, необходимо, прежде всего, добавить в схему определение нового класса объектов. При этом принято говорить о расширении (extending) схемы. Возможность расширения схемы фактически означает расширяемость каталога путем его адаптации для хранения новых типов объектов.
Информация схемы также хранится в виде объектов двух классов: схемы классов (Class schema) и схемы атрибутов (Attribute schema). Схема классов объединяет классы, определяющие типы объектов. В схеме атрибутов описываются атрибуты, которые могут быть определены для объектов каталога. Для каждого класса объектов в схеме определяются:

  • перечень атрибутов, которые обязательно должны быть определены для экземпляров указанного класса;
  • перечень атрибутов, которые могут быть определены для экземпляров данного класса;
  • совокупность правил, определяющих возможных объектов-родителей и объектов-потомков.

Модель именования LDAP

Одним из условий успешного манипулирования объектами каталога является однозначная идентификация каждого объекта. Для именования и идентификации объектов в каталоге протокол LDAP использует механизм отличительных имен (Distinguished Name, DN). Отличительное имя однозначно определяет положение объекта в информационном дереве каталога, представляя информацию обо всех узлах дерева, которые необходимо пройти, чтобы прийти от данного объекта к корню дерева. Можно провести аналогию с понятием полного пути, используемым для определения месторасположения файла в файловой системе. Ниже приводится пример отличительного имени, идентифицирующего объект Tasha, принадлежащий к подразделению ND домена khsu.ru: DC=ru,DC=khsu,OU=ND,CN=Users,CN=Tasha
Для формирования отличительного имени используются спецификаторы (specifier), определяющие тип объекта:

  • DC (Domain Component) — спецификатор "составная часть доменного имени";
  • OU (Organizational Unit) — спецификатор "организационная единица";
  • CN (Common Name) — спецификатор "общее имя".

Имя, идентифицирующее сам объект, согласно терминологии LDAP выступает в качестве относительного отличительного имени (Relative Distinguish Name, RDN). Относительное отличительное имя может повторяться в рамках всего каталога. Однако оно должно быть уникально в пределах родительского контейнера. Ниже приводится пример относительного отличительного имени объекта Tasha: CN=Tasha
Механизм отличительных имен LDAP является предпочтительной, но не единственной схемой именования объектов в Active Directory. Поэтому ниже мы рассмотрим все другие возможные схемы именования.

Схемы именования объектов в Active Directory

Протокол LDAP предполагает единственный способ идентификации объектов в каталоге посредством отличительных имен. Однако служба каталога Active Directory позволяет использовать целый ряд дополнительных схем именования, каждая из которых применяется в определенных ситуациях.

Основные имена субъектов безопасности

Механизм основных имен (Security principal name, SPN) реализует способ именования объектов каталога, рассматриваемых подсистемой безопасности Windows Server 2003 в качестве своих субъектов. Основное имя субъекта системы безопасности определяется в качестве одного из атрибутов объекта каталога и имеет следующий формат: <имя_субъекта>@<суффикс_основного_имени>
В качестве суффикса основного имени может выступать DNS-имя текущего или корневого домена. Возможно также применение альтернативных суффиксов, например, lex@ayan.ru или kaizer@khsu. Используемый для образования основного имени суффикс должен удовлетворять правилам построения доменных имен.
Применительно к объектам, ассоциированным с пользователями, следует говорить об основном имени пользователя (User Principal Name, UPN). Основное имя позволяет упростить процесс регистрации пользователей в сети на компьютерах, принадлежащих к различным доменам. Основное имя уникально в пределах леса доменов, поэтому для регистрации от пользователя не требуется указания домена, к которому он принадлежит. Ниже приводится пример основного имени пользователя: lex@ayan.ru
Другой плюс использования основных имен для идентификации объектов заключается в том, что основное имя никоим образом не связано с его отличительным именем. Вследствие этого основное имя не меняется даже в случае перемещения объекта в рамках каталога.

Полные доменные имена

Полное доменное имя (Fully Qualified Domain Name, FQDN) используется для однозначной идентификации объектов в пространстве доменных имен. Полное доменное имя образуется в соответствии с соглашениями о доменных именах. В рамках службы каталога механизм полных доменных имен используется для идентификации доменов и принадлежащих им компьютеров. Применительно к компьютеру полное доменное имя состоит из имени компьютера и имени домена. Ниже приводится пример полного доменного имени для компьютера root, являющегося частью домена khsu. ru: root.khsu.ru

Глобально уникальные идентификаторы

Отличительное имя однозначно определяет объект в каталоге. Однако перемещение объекта или его переименование (равно как и переименование любого из контейнеров, внутри которых данный объект содержится) приводит к изменению его отличительного имени. Это может привести к неправильной работе приложений, использующих отличительные имена для уникальной идентификации объектов. Задача уникальной и однозначной идентификации объекта может быть решена посредством введения специального атрибута, значение которого не менялось бы при переименовании или перемещении объекта. В службе каталога Active Directory обеспечение уникальности объектов достигается посредством глобально уникального идентификатора (Global Unique Identifier, GLJID), представляющего собой 128-разрядное число.
Глобально уникальный идентификатор генерируется непосредственно в момент создания объекта в каталоге и является одним из обязательных атрибутов, который не может быть изменен ни при каких обстоятельствах. В случае изменения отличительного имени глобально уникальный идентификатор остается неизменным, определяя конкретный объект каталога. Это свойство глобальных идентификаторов можно использовать при разработке приложений, работающих с объектами каталога.

Имена NetBIOS

До появления службы каталога Active Directory в качестве основного способа именования объектов в операционных системах Windows применялись имена NetBIOS. В частности этот способ именования используется в операционных системах Windows 95/98/NT. Имена пользователей, компьютеров и доменов в среде Windows NT представляют собой имена NetBIOS. Архитектура этих операционных систем и, в частности, сетевых компонентов строится на основе имен NetBIOS. Большинство приложений, разработанных для этого семейства операционных систем, предполагают использование только этой схемы именования. Данная схема именования была реализована в Active Directory с целью сохранения обратной совместимости со старыми операционными системами и разработанными для них приложениями.
Имя NetBIOS должно быть уникально в пределах домена и его длина не должна превышать 15 символов.

Унифицированный указатель ресурсов LDAP

Протокол LDAP является одним из стандартных методов доступа к каталогу Active Directory. Любое LDAP-совместимое приложение может обратиться к объектам каталога посредством запроса, записанного в формате унифицированного указателя ресурсов LDAP (LDAP Uniform Resource Locator, LDAP URL). Унифицированный указатель ресурсов LDAP начинается с ключевого слова LDAP, затем следует имя сервера, содержащего копию каталога, и отличительное имя ресурса. Ниже приводится пример записи унифицированного указателя ресурсов: LDAP: //root. khsu. ru/cn=tasha, cn=user, cu=r.d, clc=khsu, dc=ru

Канонические имена

Вместо отличительного имени для определения положения объекта в дереве каталога можно использовать так называемое каноническое имя (canonical name). Принцип построения канонического имени аналогичен принципу формирования отличительных имен, за исключением того, что при записи канонического имени опускаются спецификаторы, обозначающие тип объекта или контейнера. Для указания домена в каноническом имени используется соглашение о доменных именах. Ниже приводится пример канонического имени: khsu.ru/cit/nd/tasha

Служба DNS

Протокол LDAP представляет собой механизм доступа пользователей к каталогу. Однако для того, чтобы клиент смог подключиться к серверу LDAP и отправить свой запрос, он должен точно знать его расположение в сети. До сих пор мы не касались вопроса о том, как именно клиент узнает о расположении сервера LDAP. Проблема осложняется тем фактом, что в сети может иметься несколько LDAP-серверов, с которыми клиента соединяют коммуникационные линии с различной пропускной способностью. Кроме того, интересующая клиента информация может располагаться не на всех LDAP-серверах.
Компания Microsoft предложила задействовать Службу доменных имен (Domain Name Systems DNS) в качестве средства обнаружения (определения местонахождения) различных сетевых служб, например контроллеров доменов и Центров распределения ключей Kerberos. Следует заметить, что доменная служба имен традиционно используется в TCP/IP-сетях для разрешения символических имен в IP-адреса. Для обнаружения сетевых служб (сервисов) DNS использует специальный тип ресурсных записей. Речь идет об SRV-записях.
Нужно сразу отметить два важнейших момента:

  • Active Directory требует обязательного использования службы DNS.
  • Active Directory может работать с любой службой DNS, которая поддерживает SRV-записи, разрешает использование в именах символа подчеркивания ("_") и, желательно (но не строго обязательно), обеспечивает динамическое обновление ресурсных записей.

Соглашение о доменных именах, лежащее в основе DNS, используется как основной способ именования доменов Active Directory (на базе компьютеров под управлением Windows 2000 Server и Windows Server 2003). При этом доменное пространство имен Active Directory полностью отображается на пространство имен DNS. Другими словами, иерархия доменов корпоративной службы DNS аналогична иерархии доменов Active Directory.

SRV-записи

Служба доменных имен использует SRV-записи для определения местонахождения серверов, предоставляющих услуги определенных служб. Каждая SRV-запись, используемая для работы с Active Directory, представляет собой DNS-псевдоним службы, записанный в формате: _Service._Protocol.DnsDomainName
где:

  • service — название сетевой службы, которая доступна на данном сервере (например: Idap, kerberos, gc, kpasswd);
  • Protocol — протокол, который клиенты могут использовать для подключения к указанной службе (tcp, udp);
  • DnsDomainName — доменное имя домена, к которому принадлежит указанный сервер.

Например, для LDAP-сервера, принадлежащего к домену khsu.ru, DNS-имя службы будет выглядеть следующим образом: _ldap._tcp. khsu. ru
SRV-записи регистрируются в базе данных DNS-сервера непосредственно контроллерами домена. По умолчанию каждый контроллер домена регистрирует в базе данных DNS пятнадцать различных SRV-записей. Если контроллер домена выполняет также функции сервера глобального каталога, в базе данных службы DNS регистрируется двадцать SRV-записей.

Примечание

Перечень ресурсных записей, которые каждый контроллер домена Windows Server 2003 регистрирует на сервере DNS в процессе своей загрузки, хранится в файле %SysfemRoot%\system32\config\netlogon.dns.

Если на контроллере домена размещены реплики разделов приложений, в базе данных службы DNS дополнительно регистрируются три ресурсных записи — одна А-типа и две SRV-типа для каждой реплики. Это записи _ldap._tcp.<имя_раздела> И _ldap._tcp.<имя__сайта>._sites.<имя_разделах. В текущей версии Active Directory эти записи не используются службой каталога. Однако они позволяют приложениям обращаться к службе доменных имен для поиска сервера, содержащего интересующий раздел приложения.

Примечание

Служба DNS, реализованная в Windows Server 2003, поддерживает динамическую регистрацию ресурсных записей. Это означает, что контроллеры домена Windows Server 2003 способны автоматически регистрировать в базе данных DNS-сервера все необходимые SRV-записи. Однако, если вы используете реализацию DNS-сервера, которая не поддерживает режим динамической регистрации ресурсных записей, все указанные SRV-записи должны быть зарегистрированы вручную.

Протокол аутентификации Kerberos

Протокол аутентификации Kerberos является основным механизмом аутентификации, используемым в среде доменов Active Directory на базе Windows 2000 Server и Windows Server 2003. Этот протокол был разработан в Массачу-сетском технологическом институте (Massachusetts Institute of Technology, MIT) в начале 1980-х. Существует несколько версий протокола Kerberos. В доменах Active Directory используется пятая версия протокола Kerberos, спецификация которого определена в стандарте RFC 1510.
Проблема аутентификации пользователя заключается в необходимости проверки того факта, что он является тем, за кого себя выдает. Известно множество различных способов проверки подлинности личности, которые упрощенно можно разделить на две группы:

  • проверка личности на факт соответствия некоторым индивидуальным характеристикам человека (проверка отпечатков пальцев, снимков радужки глаза, код ДНК и т. д.). Для применения этой группы методов аутентификации необходимо задействовать специальное оборудование;
  • проверка личности на факт знания некоторого секрета (пароли, цифровые комбинации и последовательности). В данном случае под секретом понимается некая символьная или цифровая последовательность, факт знания которой позволяет судить о подлинности пользователя. Указанные методы аутентификации наиболее просты в технологическом исполнении. Именно эти методы получили широкое распространение в современных операционных системах. Протокол аутентификации Kerberos также относится к этой группе методов.

Подробно протокол Kerberos v5 описывается в главе 22 "Средства безопасности Windows Server 2003".

Компоненты службы Active Directory

Перейдем от терминологии к рассмотрению механизмов и подсистем, составляющих архитектуру Active Directory. Для начала рассмотрим структуру службы каталога.
Active Directory представляет собой совокупность служб, обслуживающих обращения пользователей к каталогу. Каталог рассматривается как распределенная база данных, в которой хранятся сведения об объектах сети. Пользователь не может работать с каталогом напрямую, а взаимодействует с ним через целый ряд подсистем и механизмов, которые в совокупности называются службой каталога. С точки зрения обслуживания обращений пользователей подсистемы службы каталога образуют некую структуру, в которой компания Microsoft выделяет пять уровней.
1. Интерфейсы доступа к каталогу. Это самый верхний уровень службы каталога, отвечающий за непосредственное взаимодействие с приложениями пользователей. На данном уровне описаны все возможные методы доступа к каталогу. Можно рассматривать данный уровень как набор прикладных интерфейсов программирования (Application Program Interfaces, API), посредством которых приложения пользователей могут взаимодействовать с системным агентом каталога.
2. Системный агент каталога (Directory System Agent, DSA). Любой клиент, подключающийся к каталогу, взаимодействует с DSA. Мы уже сталкивались с системным агентом каталога при рассмотрении спецификации Х.500. Все запросы, поступающие от пользователей, обрабатываются агентом, он же возвращает клиентам результаты запросов.
3. Уровень базы данных (Database Layer). Данный уровень службы каталога осуществляет преобразование запросов пользователей в формат, приемлемый для расширяемой оболочки хранилища. Это преобразование необходимо, поскольку расширяемая оболочка хранилища манипулирует данными в представлении реляционной базы данных. Однако вышестоящие уровни представляют содержимое каталога в виде древовидной структуры.
4. Расширяемая оболочка хранилища (Extensible Storage Engine, ESE). Расширяемая оболочка хранилища представляет собой механизм управления реляционным хранилищем данных, в форме которого реализован каталог. Компания Microsoft рассматривает ESE в качестве стандартного механизма управления реляционными хранилищами и широко применяет ее в различных своих продуктах. ESE берет на себя все обязанности по обслуживанию запросов, поступающих от пользователей (и преобразованных в соответствующий формат на вышестоящем уровне) на извлечение данных из каталога и манипуляции ими. Можно представить ESE как систему управления базой данных (СУБД). При этом в качестве базы данных выступает непосредственно хранилище данных.
5. Файлы хранилища (Data Store files). Хранилище данных реализовано в виде набора файлов, которые используются непосредственно для организации хранения данных каталога. Поскольку информация, содержащаяся в этих файлах, критически важна для функционирования Active Directory, доступ к ним имеет только расширяемая оболочка хранилища. В данном случае можно говорить о самом низшем уровне операций в рамках службы каталога. Именно на этом уровне происходит манипуляция с данными, содержащимися в каталоге.

Доменная структура Active Directory

Понятие домена является ключевым для Active Directory. Домены выступают в качестве основного средства формирования пространства имен каталога. Другие уровни формирования структуры каталога сосредотачиваются либо на административной иерархии, либо на физической структуре сети.

Домены

Операционные системы Windows традиционно использовали понятие "домена" для логического объединения компьютеров, совместно использующих единую политику безопасности. Домен традиционно выступает в качестве основного способа создания областей административной ответственности. Как правило, каждым доменом управляет отдельная группа администраторов. В Active Directory понятие домена было расширено. Перечислим задачи, которые могут быть решены путем формирования доменной структуры.

  • Создание областей административной ответственности. Используя доменную структуру, администратор может поделить корпоративную сеть на области (домены), управляемые отдельно друг от друга. Каждый домен управляется своей группой администраторов (администраторы домена). Однако хотелось бы еще раз отметить, что существуют и другие способы формирования административной иерархии (организация подразделений), речь о которых пойдет дальше. С другой стороны, построение доменной иерархии является отличным способом реализации децентрализованной модели управления сетью, когда каждый домен управляется независимо от других. Для этого каждую административную единицу необходимо выделить в отдельный домен.
  • Создание областей действия политики учетных записей. Политика учетных записей определяет правила применения пользователями учетных записей и сопоставленных им паролей. В частности задается длина пароля, количество неудачных попыток ввода пароля до блокировки учетной записи, а также продолжительность подобной блокировки. Поскольку эти вопросы решаются организационно на уровне всего домена, данный комплекс мер принято называть политикой учетных записей. (Эти политики нельзя определять на уровне подразделений!)
  • Разграничение доступа к объектам. Каждый домен реализует собственные настройки безопасности (включая идентификаторы безопасности и списки контроля доступа). Разнесение пользователей в различные домены позволяет эффективно управлять доступом к важным ресурсам. С другой стороны, применение доверительных отношений (trust relationships) позволяет обеспечить пользователям одного домена доступ к ресурсам других доменов.
  • Создание отдельного контекста имен для национальных филиалов. В случае, если компания имеет филиалы, расположенные в других странах, может потребоваться создать отдельный контекст имен для каждого такого филиала. Можно отразить в имени домена географическое либо национальное местоположение филиала.
  • Изоляция трафика репликации. Для размещения информации об объектах корпоративной сети используются доменные разделы каталога. Каждому домену соответствует свой раздел каталога, называемый доменным. Все объекты, относящиеся к некоторому домену, помещаются в соответствующий раздел каталога. Изменения, произведенные в доменном разделе, реплицируются исключительно в пределах домена. Соответственно, выделение удаленных филиалов в отдельные домены может позволить существенно сократить трафик, вызванный репликацией изменений содержимого каталога. Необходимо отметить, однако, что домены являются не единственным (и даже не основным) способом формирования физической структуры каталога. Того же самого результата администратор может добиться за счет использования механизма сайтов.
  • Ограничение размера копии кaталога. Каждый домен Active Directory может содержать до миллиона различных объектов. Тем не менее, реально использовать домены такого размера непрактично. Следствием большого размера домена является большой размер копии каталога. Соответственно, огромной оказывается нагрузка на серверы, являющиеся носителями подобной копии. Администратор может использовать домены как средство регулирования размера копии каталога.

Иерархия доменов

Для именования доменов используется соглашение о доменных именах. Имя домена записывается в форме полного доменного имени (Fully Qualified Domain Name, FQDN), которое определяет положение домена относительно корня пространства имен. Полное доменное имя образуется из имени домена, к которому добавляется имя родительского домена. Так, например, для домена kit, являющегося дочерним по отношению к домену khsu.ru, полное доменное имя будет записано в форме kit. khsu.ru.
Выбор подобной схемы именования позволил формировать доменное пространство имен, аналогичное пространству имен службы DNS. Отображение доменов Active Directory на домены DNS позволило упростить процессы поиска серверов служб и разрешения имен, осуществляемые серверами DNS в ответ на запросы клиентов службы каталога.

Примечание

Следует заметить, что каждому домену Active Directory помимо DNS имени сопоставлено уникальное NetBIOS-имя. Это имя используется для идентификации домена клиентами Windows 9x/NT.

Совокупность доменов, использующих единую схему каталога, называется лесом доменов (forest). Строго говоря, входящие в лес домены могут не образовывать "непрерывного" пространства смежных имен. Тем не менее, так же как и в случае пространства имен DNS, домены Active Directory могут образовывать непрерывное пространство имен. В этом случае они связываются между собой отношениями "родитель-потомок". При этом имя дочернего домена обязательно включает в себя имя родительского домена. Совокупность доменов, образующих непрерывное пространство смежных имен, называют деревом доменов (domain tree) (рис. 18.1). Лес может состоять из произвольного количества деревьев домена.

Рис. 18.1. Дерево и лес доменов

Первое созданное в лесу доменов дерево является корневым деревом. Корневое дерево используется для ссылки на лес доменов. Первый созданный в дереве домен называется корневым доменом дерева (tree root domain), который используется для ссылки на данное дерево. Совершенно очевидно, что корневой домен является определяющим для всего дерева.
Соответственно, первый домен, созданный в лесу доменов, называется корневым доменом леса (forest root domain). Корневой домен леса играет очень важную роль, связывая деревья, образующие лес доменов, воедино и поэтому не может быть удален. В частности, он хранит информацию о конфигурации леса и деревьях доменов, его образующих.
Особое внимание необходимо уделить вопросу именования доменов и, в частности, корневого домена. Для корневого домена лучше всего использовать доменное имя второго уровня. Как будет показано ниже и в следующей главе, именно домены второго уровня используются механизмом маршрутизации доменных суффиксов (в случае взаимодействия двух лесов доменов).

Контроллеры домена

Серверы Windows Server 2003, на которых функционирует экземпляр службы каталога Active Directory, называются контроллерами домена (domain controller, DC). Контроллеры домена являются носителями полнофункциональных копий каталога. Применительно к Windows Server 2003 контроллеры домена выполняют задачи, перечисленные ниже.

  • Организация доступа к информации, содержащейся в каталоге, включая управление этой информацией и ее модификацию. Контроллер домена может рассматриваться как LDAP-сервер, осуществляющий доступ пользователя к LDAP-каталогу.
  • Синхронизация копий каталога. Каждый контроллер домена является субъектом подсистемы репликации каталога. Любые изменения, осуществляемые в некоторой копии каталога, будут синхронизированы с другими копиями.
  • Централизованное тиражирование файлов. Служба репликации файлов, функционирующая на каждом контроллере домена, позволяет организовать в корпоративной сети централизованное тиражирование необходимых системных и пользовательских файлов (включая шаблоны групповой политики).
  • Аутентификация пользователей. Контроллер домена осуществляет проверку полномочий пользователей, регистрирующихся на клиентских системах. Каждый контроллер домена Windows Server 2003 может рассматриваться как Центр распределения ключей (KDC) Kerberos.

Особенно следует отметить тот факт, что все контроллеры домена обладают возможностью внесения изменений в собственную копию каталога. Это позволяет рассматривать любой контроллер домена как точку административного воздействия на корпоративную сеть. Практически все административные утилиты работают в контексте какого-либо контроллера домена. Это означает, что администратор может осуществлять конфигурирование службы каталога и сети, подключившись к любому контроллеру домена Active Directory.

Специализированные роли контроллеров домена

Служба каталога Active Directory использует модель репликации с множеством равноправных участников (multimaster replication). С точки зрения подсистемы репликации не имеет значения, какой из носителей осуществляет изменения в каталоге. Изменения могут быть произведены в любой из копий каталога.
Однако существует определенный класс операций, которые должны выполняться только одним контроллером домена. Этот класс операций называется операциями с одним исполнителем (Flexible Single-Master Operations, FSMO).
Если привлечь к выполнению подобных операций более одного контроллера домена, нельзя исключать возможность конфликтов. В определенных случаях подобные конфликты могут привести к нарушению целостности каталога.
Имеется два типа операций с одним исполнителем, которые принято называть ролями контроллеров домена. От первого типа ролей требуется уникальность исполнителя в пределах всего леса доменов. Роль данного типа может быть возложена только на один контроллер в лесу доменов. К другому типу ролей предъявляется требование уникальности исполнителя только в пределах домена. В каждом домене может быть только один исполнитель роли. Таким образом, в рамках леса доменов исполнителей каждой из подобных ролей будет столько же, сколько и доменов, образующих лес.
Рассмотрим пять существующих специализированных ролей.

  • Владелец схемы (Schema Master). Контроллер домена, осуществляющий изменения в схеме каталога. Существование только одного владельца (хозяина) схемы в пределах леса доменов исключает возможность конфликтов, связанных с ее изменением. Отказ владельца схемы приводит к тому, что выполнение операции расширения схемы станет невозможным.
  • Владелец доменных имен (Domain Naming Master). Контроллер домена, отслеживающий изменения в структуре леса доменов. Любое изменение пространства имен доменов Active Directory (добавление, удаление, а также переименование доменов) осуществляется исполнителем данной роли. Тем самым гарантируется целостность пространства имен и уникальность его компонентов. Отказ исполнителя этой роли приводит к тому, что любое изменение пространства имен каталога станет невозможным.
  • Владелец идентификаторов (Relative ID Master). Контроллер домена, осуществляющий генерацию идентификаторов (глобальные идентификаторы, идентификаторы безопасности и т. п.). От идентификатора в первую очередь требуется уникальность. Самый простой способ гарантировать уникальность генерируемых идентификаторов — возложить обязанность исполнителя данной роли на один контроллер в домене. Отказ исполнителя данной роли приводит к тому, что создание объектов в домене станет невозможным.
  • Эмулятор основного контроллера домена (PDC Emulator). Если домен находится на функциональном уровне Windows 2000 mixed, эмулятор основного контроллера домена (PDC) используется для обеспечения репликации изменений между контроллерами домена Windows NT и Windows 2000/Server 2003. Исполнитель роли фактически эмулирует домен Windows NT. Поскольку в домене Windows NT допустимо наличие только одного основного контроллера, его эмулятор в домене Active Directory также может быть только один. На других функциональных уровнях эмулятор основного домена используется для изменения паролей учетных записей, а также играет ведущую роль в процессе синхронизации системных часов всех контроллеров домена. Эмулятор РОС по умолчанию выбирается оснасткой Group Policy Object Editor. Поэтому, если исполнитель данной роли недоступен, администратор может столкнуться с серьезными проблемами при редактировании объектов групповой политики.
  • Владелец инфраструктуры (Infrastructure Master). Контроллер домена, отвечающий за структуру каталога. В процессе удаления или перемещения объектов один из контроллеров домена должен взять на себя обязанности по сохранению ссылки на данные объекты до тех пор, пока эти изменения не будут реплицированы на все остальные контроллеры домена. Если в домене имеются несколько контроллеров домена, желательно не совмещать функции исполнителя данной роли и сервера глобального каталога. Лучше разнести эти функции на разные контроллеры домена, которые обязательно должны быть соединены высокоскоростным каналом. Если в домене имеется только один контроллер, этим требованием можно пренебречь.

По умолчанию все специализированные роли возлагаются на первый контроллер домена, установленный в новом лесе доменов. Аналогичным образом, в процессе создания нового домена первый установленный контроллер будет выбран в качестве исполнителя ролей, уникальных в пределах домена. Понижение контроллера домена, выбранного в качестве исполнителя специализированной роли, до выделенного сервера приводит к тому, что роли передаются другому контроллеру домена.
При необходимости администратор может в любой момент передать обязанности исполнителя любой роли другому контроллеру домена. Это может потребоваться, например, в ситуации, когда планируется обновление аппаратного обеспечения сервера. В процессе нормальной передачи роли текущий исполнитель специализированной роли освобождается от исполнения специфических обязанностей и становится обычным контроллером домена. Одновременно с этим на другой контроллер домена, выбранного на роль нового исполнителя, возлагаются обязанности исполнителя специализированной роли.
Если администратор не может обеспечить доступность сервера, являющегося исполнителем специализированной роли, либо восстановление его работоспособности не представляется возможным, он должен возложить обязанности исполнения данной роли на другой контроллер домена. Процесс принудительной передачи функций исполнителя специализированной роли другому контроллеру домена называется захватом роли (seize).

Доверительные отношения

Доверительные отношения (trusts) представляют собой связь, устанавливаемую между доменами, позволяющую пользователям одного домена аутентифицироваться контроллером другого домена. Наличие механизма доверительных отношений позволяет организовывать совокупность доменов в некоторую структуру. В этой структуре домены связываются между собой определенным образом отношениями доверия.
Доверительные отношения реализуются в рамках механизма аутентификации. Суть доверительных отношений между двумя доменами сводится к тому, что доверяющий домен (trusting domain) доверяет процесс аутентификации доверенному домену (trusted domain). Пользователь, аутентифицированный доверенным доменом, может получить доступ к ресурсам в доверяющем домене.
Механизм аутентификации NTLM, реализованный в рамках архитектуры Windows NT, допускает создание только односторонних доверительных отношений. Если администратору было необходимо установить между доменами отношения взаимного доверия, он должен был создать доверительные отношения в обе стороны.
Служба каталога Active Directory допускает создание как односторонних, так и двусторонних доверительных отношений. Так же как и в случае Windows NT, односторонние доверительные отношения реализуются посредством механизма аутентификации NTLM. Двусторонние доверительные отношения строятся на основе протокола аутентификации Kerberos v5 и обладают свойством транзитивности.
Транзитивность доверительных отношений предполагает сквозную аутентификацию пользователей в цепочке доменов, связанных между собой подобными отношениями. Например, если домен А доверяет домену В, а домен В доверяет домену С, то между доменами А и С автоматически устанавливаются доверительные отношения (эти отношения неявные). Односторонние доверительные отношения NTLM не обладают свойствами транзитивности. Для создания отношений полного доверия между пятью доменами необходимо будет установить двадцать односторонних доверительных отношений. Аналогичного результата можно добиться при помощи всего лишь четырех двусторонних транзитивных доверительных отношений.

Примечание

Для использования доверительных отношений не имеет значения, какой механизм аутентификации используется клиентом. Даже если клиент не поддержи- ' вает протокол Kerberos, он может быть аутентифицирован через двусторонние доверительные отношения.

Архитектура Windows Server 2003 позволяет использовать доверительные транзитивные отношения как для соединения доменов в пределах одного леса, так и для соединения разных лесов доменов. Кроме того, могут быть установлены доверительные отношения между различными областями Кег-beros (Kerberos realms).
Все поддерживаемые типы доверительных отношений перечислены в табл. 18.1.

Таблица 18.1. Доверительные отношения, поддерживаемые доменами на базе Windows Server 2003

Доверительные отношения | Характеристика | Описание
Доверительные отношения внутри дерева | Двусторонние, транзитивные | Устанавливаются автоматически при создании в дереве нового домена. В рамках дерева доменов отношения описываются схемой "родитель-потомок"
Доверительные отношения внутри леса | Двусторонние, транзитивные | Устанавливаются автоматически при создании в существующем лесе нового дерева доменов. Фактически доверительные отношения устанавливаются между корневым доменом леса и создаваемым доменом, который будет являться корневым для нового дерева
Доверительные отношения между лесами доменов | Двусторонние или односторонние, транзитивные | Устанавливаются администраторами лесов доменов вручную. При этом администраторы сами решают — будут отношения двусторонними или односторонними
Перекрестные (shortcut) доверительные отношения | Односторонние или двусторонние, транзитивные | Устанавливаются между доменами различных деревьев, принадлежащих к одному лесу. Необходимость доверительных отношений данного типа не всегда очевидна, поскольку между доменами, принадлежащими одному лесу, через корневые домены автоматически устанавливаются неявные доверительные отношения. Перекрестные отношения доверия позволяют повысить эффективность взаимодействия между двумя доменами, уменьшая путь доверия (trust path). Путь доверия — последовательность переходов между доверяющими друг другу доменами, требуемых для аутентификации запроса. В случае неявных доверительных отношений этот путь может включать в себя несколько переходов, которые перекрестные отношения доверия позволяют избежать
Доверительные отношения с внешними доменами | Односторонние или двусторонние, нетранзитивные | Устанавливаются между доменами, принадлежащими к разным лесам, либо между доменом Windows Server 2003 и доменом Windows NT. Этот тип доверительных отношений может использоваться для соединения лесов, когда невозможно установить отношения доверия между лесами в целом (вследствие того, что один или оба леса не находятся на функциональном уровне Windows Server 2003)
Доверительные отношения между областями Kerberos | Односторонние или двусторонние, транзитивные или нетранзитивные | Устанавливаются между Windows Server 2003-доменом и областью Kerberos v5, реализованной не на базе Windows. Данный тип доверительных отношений может использоваться для обеспечения сквозной аутентификации на Windows и UNIX-системах

Примечание

Обратите внимание, что доверительные отношения внутри леса и внутри дерева доменов устанавливаются системой автоматически, в процессе создания домена или дерева доменов. Администратор не может как-либо отозвать их или удалить. Все остальные типы доверительных отношений создаются администратором вручную.

Доверительные отношения между лесами доменов

Процесс создания отношений между лесами доменов заслуживает особого внимания. Организация взаимодействия двух лесов доменов, соединенных между собой отношениями доверия, имеет свои специфические моменты.
Рассмотрим процесс аутентификации пользователей. Когда пользователь запрашивает доступ к ресурсам домена, расположенного в доверенном лесе доменов, активизируется механизм, получивший название маршрутизации суффиксов (name suffix routing). Этот механизм работает только с доменными именами второго уровня (такими, например, как khsu.ru, ayan.ru). Домены третьего уровня (например, kit.khsu.ru) и ниже механизмом маршрутизации суффиксов не поддерживаются. Механизм маршрутизации суффиксов гарантирует, что все запросы аутентификации, адресуемые домену второго уровня, будут маршрутизироваться соответствующему домену.
Дочерние домены, подключаемые к доменам второго уровня, наследуют от них информацию, необходимую для маршрутизации суффиксов. Поэтому они также смогут выполнить маршрутизацию запроса на аутентификацию пользователя.

Подразделения (Организационные единицы)

Подразделения, или организационные единицы (organizational unit) представляют собой объекты каталога контейнерного типа, посредством которых администратор может организовать объекты в соответствии с некоторой логической структурой вычислительной сети. Основное предназначение подразделений состоит в логической организации сетевых ресурсов с целью наиболее эффективного управления ими. Все объекты, размешенные внутри подразделения, рассматриваются как некоторый административный блок.
Рассмотрим задачи, для решения которых могут быть применены организационные единицы.

  • Формирование административной иерархии. Механизм подразделений наряду с доменами может быть использован как средство формирования административной иерархии. Администраторы уровня корпорации принимают глобальные решения в рамках всего леса доменов. Администраторы доменов осуществляют управление доменами. При этом они передают (делегируют) определенным пользователям часть своих полномочий на уровне подразделений — это полномочия на управление объектами, расположенными внутри этих подразделений. При этом пользователи, которым делегированы административные полномочия, могут реализовать их исключительно внутри своего подразделения.
  • Отражение организационной структуры предприятия. Механизм подразделений может использоваться для организации объектов каталога в соответствии с их географическим расположением или с принадлежностью к некоторому структурному подразделению предприятия. Например, реализовав вычислительную сеть университета в виде домена, можно создать для каждого факультета свое подразделение. Для кафедр, имеющихся на каждом факультете, можно также создать свои подразделения.
  • Управление процессом применения групповых политик. Групповые политики могут быть применены на трех уровнях: на уровне домена, на уровне сайта и на уровне подразделений. Если необходимо в рамках одного домена реализовать несколько различных групповых политик, можно использовать иерархию подразделений.
  • Распределение ответственности. Администратор может разместить объекты одного класса в отдельных подразделениях. Такой шаг позволяет распределить обязанности по управлению домена между администраторами низшего звена. Например, один из них ответственен за управление пользователями, второй - за управление компьютерами, третий же осуществляет публикацию принтеров.
  • Управление доступом к объектам. Администратор может назначать права доступа к подразделениям. Соответственно, администратор может управлять уровнем доступа к объектам каталога, поместив их внутрь подразделения и предоставив определенным категориям пользователей соответствующие разрешения на доступ к его содержимому. Например, администратор помещает объекты, ассоциированные с информацией о контакте, внутрь подразделения, доступ к которой имеют только менеджеры отдела продаж и руководители компании.

Каждый домен реализует собственную иерархию подразделений. Подразделения, принадлежащие к различным доменам, никак не связаны между собой.
Применение подразделений позволяет разместить все объекты в одном доменном контексте имен, независимо от сложности иерархии подразделений. Как следствие, перемещение объектов (особенно таких, как пользователи) между подразделениями требует меньших административных усилий, чем перемещение между доменами. С другой стороны, разделение пространства имен на доменные контексты позволяет сократить трафик, вызванный репликацией.

Группы

Подразделения являются не единственным механизмом, который администратор может использовать для группировки объектов по некоторому признаку. Объекты, ассоциированные с пользователями, компьютерами и контактной информацией, могут быть объединены в специальные группы (groups). Это позволяет упростить процесс управления, поскольку администратор может в процессе управления сослаться на всю группу, а не указывать отдельные объекты. Наиболее часто группы упоминаются в контексте объединения пользователей. Тем не менее, необходимо всегда помнить, что группа может включать в себя объекты следующих типов:

  • пользователи (users);
  • компьютеры (computers);
  • контакты (contacts).

Active Directory позволяет объединять объекты в группы двух типов: группы безопасности (security groups) и группы рассылки (distributed groups).
Группы безопасности рассматриваются подсистемой безопасности в качестве своих субъектов. Другими словами, они могут использоваться для разграничения доступа к ресурсам сети. Выдавая разрешение на доступ к объекту определенной группе, администратор автоматически разрешает доступ к данному объекту всем членам данной группы.

Внимание

Группы безопасности могут также использоваться для ограничения действия групповой политики. Об этом будет рассказано в главе 21 "Использование групповых политик".

Группы рассылки изначально ориентировались на использование почтовой системой, как средство одновременной передачи сообщения некоторому коллективу пользователей. В настоящее время механизм групп рассылок Active Directory используется в почтовой системе Microsoft 2000 Exchange.
С каждой группой объектов связано понятие области действия (group scope). Область действия определяет, в какой части леса доменов на данную группу можно ссылаться. Существует три области действия групп:

  • доменная область действия (domain local scope);
  • глобальная область действия (global scope);
  • универсальная область действия (universal scope).

Область действия группы может быть различной в зависимости от того, на каком функциональном уровне находится домен. На функциональном уровне Windows 2000 mixed доступны только две области действия групп: доменная и глобальная.
На функциональном уровне Windows 2000 mixed также ограничена возможность использования механизма вложенных групп (nested groups). Разрешается только включать группы с глобальной областью действия в группы с доменной областью действия. Подобные ограничения объясняются требованиями сохранения совместимости с контроллерами домена Windows NT, которые используют описанный формат групп пользователей.
На функциональных уровнях домена Windows 2000 native и Windows Server 2003 становится доступной универсальная область действия. Кроме того, становится доступной возможность вложенности групп. На этих функциональных уровнях администратор может без труда конвертировать группы из одного типа в другой. Охарактеризуем группы каждой области действия на этих функциональных уровнях.

  • Группы с доменной областью действия. Эти группы доступны исключительно в пределах того домена, в котором они определены. Членами группы с доменной областью действия могут являться объекты, а также другие группы с любыми областями действия. Объекты, а также группы с глобальной и универсальной областью действия могут принадлежать к любому домену леса. В состав группы могут также входить группы с доменной областью действия, принадлежащие к тому же домену. Далее мы будем называть группы этой области действия доменными группами.
  • Группы с глобальной областью действия. Группы с данной областью действия доступны в рамках всего леса доменов. Членами группы могут являться объекты и группы с глобальной областью действия, принадлежащие к тому же домену, что и сама группа. Далее мы будем называть группы этой области действия глобальными группами.
  • Группа с универсальной областью действия. Эти группы также доступны в рамках всего леса доменов. В состав группы могут входить объекты, а также группы с универсальной или глобальной областью действия, принадлежащие к любому домену леса. Далее мы будем называть группы этой области действия универсальными группами.

С каждой группой в момент создания ассоциируется объект каталога, значения атрибутов которого определяют ее характеристику. Один из атрибутов содержит список всех членов группы. В случае изменения состава группы будут реплицироваться не все значения атрибута (в случае, если группа насчитывает тысячи объектов, подобная репликация может вызвать заметный трафик), а только произведенные изменения. В данном случае речь идет о механизме репликации связанных значений (linked value replication). Этот механизм будет работать только в случае, когда лес доменов находится на функциональном уровне Windows Server 2003.

Примечание

В данном разделе речь велась о группах Active Directory. Однако в контексте каждого компьютера Windows NT/2000 или Windows Server 2003 могут быть созданы так называемые локальные группы (local group). Эти группы доступны только в пределах того компьютера, к которому они принадлежат.

Физическая структура каталога

Вычислительная сеть крупных компаний представляет собой совокупность подсетей, соединенных между собой коммуникационными линиями с различной пропускной способностью. В этом случае на передний план выходит задача оптимизации трафика через эти коммуникационные линии. Недостаточная пропускная способность отдельных коммуникационных линий может стать причиной возникновения проблем с поиском объектов, аутентификацией пользователей, а также репликацией изменения каталога.

Сайты

Физическая структура каталога определяется физической структурой вычислительной сети. В зависимости от пропускной способности коммуникационных линий администратор разделяет вычислительную сеть на области, получившие название сайтов. Сайт (site) представляет собой совокупность подсетей, соединенных между собой высокоскоростными линиями связи.
Предполагается, что сайты соединяются друг с другом коммуникационными линиями с небольшой пропускной способностью.

Примечание

Под термином "подсеть" в данном случае понимается подсеть IP. Администратор может создать в каталоге объекты, ассоциируемые с подсетями. Границы сайта описываются именно этими объектами.

Физическая структура сети, как правило, не является зеркальным отображением логической (доменной) структуры. Сайты представляют собой самостоятельные образования, напрямую не зависящие от доменной структуры вашей сети. Хотя администратор может использовать домены для регулирования трафика репликации, зачастую структура сайтов не отображается на иерархию доменов. Сайты не являются частью пространства имен каталога, они лишь характеризуют его физическую структуру. Это означает, что принадлежность объекта к тому или иному сайту не влияет на его положение в каталоге. Выбор того или иного сайта определяется, прежде всего, тем, в какой подсети физически находится данный объект. Например, в зависимости от того, на каком компьютере пользователь входит в сеть, он может рассматриваться как находящийся то в одном, то в другом сайте.
Поскольку структура сайтов реализуется независимо от структуры доменов, один домен может быть разделен на несколько сайтов и, напротив, один сайт может быть образован фрагментами нескольких доменов.
Структура сайтов является основным механизмом, посредством которого администратор может влиять на формирование топологии репликации. Поскольку считается, что сайты соединяются друг с другом медленными линиями связи, репликация изменений внутри сайта и между сайтами имеет несколько различий. Внутри сайта контроллеры домена соединены линиями с высокой пропускной способностью. Соответственно, произведенные изменения могут сразу же реплицироваться между контроллерами домена. Для репликации между сайтами обычно применяется передача изменений по определенному расписанию. Кроме того, в этом случае характерно использование маршрутов, основанных на стоимости доступных коммуникационных линий. В случае репликации между сайтами администратор может прибегнуть к сжатию передаваемых данных.
Процесс аутентификации пользователей может вызвать заметный трафик, особенно если речь идет о большом количестве пользователей (например, когда все сотрудники компании утром приходят на работу). Администратор должен обеспечить возможность аутентификации пользователей сайта, даже если коммуникационные линии, связывающие сайт с остальной сетью, заняты или недоступны.
При входе пользователя в сеть, его аутентификация осуществляется ближайшим контроллером домена. В процессе локализации ближайшего контроллера домена в первую очередь используется информация о сайте, к которому принадлежит компьютер, запрашивающий аутентификацию. Ближайшим считается контроллер домена, расположенный в том же сайте, что и аутентифицируемый пользователь. В каждом сайте необходимо установить как минимум один контроллер для каждого домена, охватываемого сайтом.
Важное место в процессе аутентификации занимает также сервер глобального каталога. Поэтому рекомендуется в каждом сайте размещать как минимум один сервер глобального каталога. Многие компоненты службы каталога (а также пользователи) используют серверы глобального каталога для поиска объектов. В случае, если доступ к серверу глобального каталога осуществляется через линии связи с низкой пропускной способностью, многие операции службы каталога будут выполняться медленно. Далее в этой главе мы еще вернемся к рассмотрению серверов глобального каталога.
В ходе создания леса доменов мастером установки автоматически создается сайт по умолчанию с именем Defauit-First-site-Name. Формируя физическую структуру сети, администратор должен самостоятельно создать новые сайты и задать для них границы, создав объекты, ассоциированные с имеющимися подсетями. В процессе создания нового контроллера на основании выделенного ему IP-адреса служба каталога автоматически отнесет его к соответствующему сайту. При этом в разделе конфигурации каталога в рамках данного сайта будет создан объект класса Server, ассоциируемый с контроллером домена.

Транспорт репликации

Понятие транспорта репликации характеризует механизмы и протоколы, используемые для передачи изменений. Active Directory может использовать в качестве транспорта RFC over IP ("RPC поверх IP") или протокол SMTP. В табл. 18.2 перечислены правила использования различных транспортных протоколов для репликации разных разделов.

Таблица 18.2. Транспорты репликации

Разделы каталога | Внутри сайта | Между сайтами
 |  | Один домен | Разные домены
Доменный раздел каталога | RPC over IP | RPC over IP | -
Разделы конфигурации и схемы | RPC over IP | RPC over IP | SMTP
 | Трафик не сжимается | Трафик сжимается

Протокол RFC over IP обеспечивает низкоскоростную двуточечную синхронную репликацию всех разделов каталога. Этот транспорт лучше всего подходит для ситуаций, когда узлы соединены надежными линиями связи с низкой вероятностью потери пакетов. Протокол SMTP используется для низкоскоростной асинхронной репликации между сайтами и поддерживает репликацию только для разделов конфигурации и схемы, а также для глобального каталога.
Репликация изменений каталога между контроллерами домена, принадлежащими к одному узлу, всегда осуществляется посредством протокола RPC over IP.
Если контроллеры домена располагаются в различных сайтах, но принадлежат к одному домену, то репликация между ними осуществляется также при помощи протокола RPC over IP. Если контроллеры домена расположены в различных сайтах и принадлежат к разным доменам, то для репликации изменений между ними используется протокол SMTP, функционирующий поверх IP.

Соединения сайтов

Топология репликации формируется при помощи специального класса объектов — соединений (connections). Соединение представляет собой однонаправленное соглашение между двумя контроллерами домена о передаче изменений. С каждым соединением ассоциируется объект в разделе конфигурации каталога. Атрибуты объекта, ассоциированного с соединением, определяют передающего партнера по репликации, а также расписание репликации и используемый при этом транспорт. Все соединения автоматически генерируются системным сервисом Knowledge Consistency Checker, KCC, который проверяет существующую топологию и доступность имеющихся соединений и при необходимости вносит соответствующие коррективы.
Контроллеры домена, расположенные в различных сайтах и взаимодействующие между собой в процессе репликации, называются мостовыми серверами (bridgehead server). В каждом сайте один из контроллеров домена берет на себя обязанности по управлению входящими соединениями для всех мостовых серверов сайта. Этот контроллер домена называется генератором топологии между сайтами (Inter-Site Topology Generator, ISTG). Если контроллер домена, выполняющий функции ISTG, становится недоступен (например, выходит из строя), эта функция автоматически возлагается на другой контроллер домена.
В случае репликации между сайтами используется термин связь сайтов (site link), который описывает соединения двух и более узлов, способных обмениваться информацией при помощи единого транспорта. Связь узлов используется для задания стоимости соединения (cost), расписания репликации и транспорта. Механизм стоимостей позволяет оценить связь сайтов с точки зрения доступности коммуникационных линий и их пропускной способности. Если имеется несколько связей сайтов, для репликации будет выбрана та, что обладает меньшим значением стоимости.
Несколько связей сайтов, использующих единый транспорт, образуют связующий мост между узлами (site link bridge). Использование связующих мостов между сайтами полезно в больших сетях, поскольку избавляет от необходимости описывать все возможные комбинации соединений между каждым из сайтов.

Расписание репликации

Процесс репликации изменений каталога может быть инициирован одним из двух способов:

  • уведомление об изменениях (change notification) используются между контроллерами домена внутри сайта. Если на некотором контроллере модифицируется атрибут какого-нибудь объекта, данный контроллер посылает уведомление первому партнеру по репликации, и это происходит через определенное время (по умолчанию 5 минут). После этого партнер запрашивает изменения у контроллера-источника изменений (originating DC) и получает их;
  • изменения реплицируются между сайтами согласно расписанию (schedule). Эти расписания определяются с помощью оснастки Active Directory Sites and Services.

Серверы глобального каталога

Глобальный каталог (global catalog) представляет собой базу данных, содержащую фрагменты всех доменных контекстов имен, образующих пространство имен каталога. Глобальный каталог является важной и неотъемлемой частью Active Directory. В глобальном каталоге содержатся сведения обо всех объектах, принадлежащих к доменным контекстам имен. Однако в глобальном каталоге хранятся не все объекты целиком, а только подмножество их атрибутов. Выбираются те атрибуты, которые чаще всего присутствуют в запросах пользователей.
Атрибуты, размещаемые в глобальном каталоге, определяются в рамках схемы каталога. У каждого класса атрибутов имеется параметр isMemberof FartialAttributeSet. Если значение этого параметра равно TRUE, атрибут будет размещен в глобальном каталоге. Администратор может определить для размещения в глобальном каталоге дополнительные атрибуты. Однако необходимо помнить, что расширение числа атрибутов, заносимых в глобальный каталог, приводит к росту его объема. Соответственно дороже обходится его обслуживание.
Процесс добавления нового атрибута для размещения в глобальном каталоге влечет за собой синхронизацию всех его реплик. Если лес находится на функциональном уровне Windows Server 2003, добавление нового атрибута приведет к репликации только этого атрибута на все носители глобального каталога. Если же лес находится на функциональном уровне Windows 2000, добавление нового атрибута приводит к полной синхронизации всех реплик глобального каталога.
Контроллер домена, выступающий в качестве носителя глобального каталога, принято называть сервером глобального каталога (global catalog server). Необходимо обратить внимание на то, что функции сервера глобального каталога могут быть возложены только на контроллер домена. При этом на контроллере домена создается дополнительный раздел, который используется для размещения базы данных глобального каталога.
Сервер глобального каталога выполняет две функции.

  • Поиск объектов. Клиенты могут обращаться к глобальному каталогу с запросами на поиск объектов, основываясь на известных значениях атрибутов. Глобальный каталог хранит в себе информацию обо всех доменных разделах леса. Фактически использование сервера глобального каталога является единственным способом осуществлять поиск объектов по всему лесу доменов.
  • Аутентификация пользователей. Сервер глобального каталога предоставляет информацию о членстве пользователя в различных группах с универсальной областью действия (universal group). Эта информация требуется в процессе аутентификации пользователя. Именно на основании членства пользователя в тех или иных группах происходит назначение прав доступа. Более того, сервер глобального каталога необходим в том случае, если для регистрации в системе пользователь использует свое основное имя. Разрешение основного имени осуществляется непосредственно сервером глобального каталога. Если сервер глобального каталога оказывается недоступным, контроллер домена, осуществляющий аутентификацию, не будет располагать данными, необходимыми для авторизации пользователя. В результате пользователю будет отказано в регистрации. Исключение составляют члены группы Domain Admins (Администраторы домена), аутентификация которых осуществляется даже в том случае, когда сервер глобального каталога недоступен.

В лесу доменов должен быть как минимум один сервер глобального каталога. Поэтому по умолчанию обязанности сервера глобального каталога возлагаются на первый контроллер домена, установленный в лесу доменов. Тем не менее, любой контроллер домена может быть сконфигурирован в качестве сервера глобального каталога. Это может быть сделано в силу различных причин. Например, чтобы снизить нагрузку на медленные линии связи, обычно принято устанавливать как минимум по одному серверу глобального каталога для каждого узла.

Механизмы репликации каталога

Каталог рассматривается как база данных, распределенная между множеством носителей. Каждый контроллер домена является носителем копии каталога. При этом каждая из копий является полнофункциональной. Это означает, что каждый контроллер домена может вносить изменения в собственную копию каталога. Все произведенные изменения должны быть автоматически распространены на другие копии. Служба каталога должна располагать механизмом, который бы обеспечил поддержание отдельных копий каталога в согласованном состоянии. В подобных случаях традиционно используют механизм синхронизации, основанный на обмене между носителями копии каталога информацией об изменениях. Поскольку на каждый носитель каталога передается реплика изменений, этот процесс получил название репликации (replication) изменений.

Разделы каталога

С точки зрения механизма репликации Active Directory представляет собой не цельную иерархическую структуру, а отдельные фрагменты. Каждый фрагмент, являясь частью каталога, представляет собой самостоятельное дерево. В терминологии службы Active Directory подобная совокупность ветвей называется прилегающим поддеревом (contiguous subtree) или контекстом имен (naming context).
Разделение пространства имен каталога на фрагменты позволяет оптимизировать процесс синхронизации копий каталога между множеством его носителей. Это достигается за счет того, что в каждом контексте имен хранится определенного вида информация. По умолчанию каталог Active Directory поделен на три контекста имен, которые называются разделы каталога (directory partition):

  • доменный раздел каталога (Domain partition) используется для размещения информации о сетевых ресурсах, принадлежащих к определенному домену. Реплики доменного раздела располагаются на всех контроллерах указанного домена. Соответственно изменения, происходящие в этом разделе, реплицируются только на эти реплики;
  • раздел схемы (Schema partition). Понятие схемы каталога было дано в начале главе. Для ее хранения используется специальный раздел каталога. Поскольку схема является общей для всех доменов леса, изменения в ней распространяются на все носители копии каталога;
  • раздел конфигурации (Configuration partition) содержит информацию, используемую различными системными службами, в том числе и самой службой каталога. В частности, в разделе конфигурации хранится информация, описывающая топологию репликации между контроллерами домена. Эта информация необходима для успешного функционирования службы каталога в целом, поэтому изменения в данном разделе реплицируются на все носители каталога в лесе доменов.

Реплики трех указанных разделов каталога присутствуют в обязательном порядке на всех контроллерах домена. Доменный раздел каталога индивидуален для каждого домена. Реплики раздела схемы и раздела конфигурации одинаковы для всех контроллеров домена в лесу.

Примечание

На серверах глобального каталога присутствует еще один раздел — содержащий подмножество атрибутов объектов всех доменных разделов каталога. При этом данный раздел доступен только для чтения информации.

Любой контроллер домена Active Directory может производить изменения в собственных репликах в любой момент времени. При этом все произведенные изменения будут синхронизированы с другими репликами. Подобная модель репликации получила название репликация с множеством равноправных участников (multimaster replication).

Разделы приложений

Дополнительно к перечисленным разделам, в каталоге Active Directory на базе систем Windows Server 2003 могут быть созданы специализированные разделы, которые получили название разделов приложений (application directory partitions). Разделы приложений могут быть созданы при необходимости администратором либо непосредственно самими приложениями. В разделе приложений могут быть размещены любые объекты, определения которых содержатся в схеме, за исключением субъектов подсистемы безопасности (таких, например, как учетные записи пользователей или компьютеров).
Служба каталога Active Directory, реализованная на базе Windows 2000 Server, использовала для размещения информации приложений доменные разделы и раздел конфигурации. Это приводило к тому, что информация приложений реплицировалась на все контроллеры домена (даже когда этого и не требовалось). Изменение этой информации приводило к синхронизации всех копий каталога. В крупной корпоративной сети подобное решение зачастую становилось причиной интенсивного трафика репликации.
Разделы приложений были реализованы в Windows Server 2003. Их использование позволяет сократить накладные расходы, вызванные репликацией. В отличие от трех основных разделов каталога, реплицируемых на все контроллеры домена, разделы приложений могут располагаться на строго оговоренных контроллерах. Администратор может перечислить контроллеры домена, на которые необходимо разместить копии определенного раздела каталога. В данном вопросе основным является потребность приложения в доступности данных. Приложениям зачастую не требуется, чтобы размещенная ими в каталоге информация была доступна повсеместно в сети. Существуют приложения, применение которых ограничено отдельным доменом или деревом доменов. Если приложение, для которого создается раздел, используется только в двух доменах леса, то копии раздела приложения должны быть размещены только на контроллерах домена двух указанных доменов. Контроллеры других доменов не будут содержать данный раздел.
Имеется два встроенных раздела приложений, которые используются службой DNS для размещения содержимого зон, интегрированных с Active Directory. Это разделы ForestDnsZones.forestName и DomamDnsZones.forestName. При этом вместо суффикса forestName в имени раздела указывается DNS-имя корневого домена леса. (Данные разделы рассматриваются в главе 13 "Серверы DHCP, DNS и WINS".)
Существует три способа создания раздела приложений.

  • Использование утилиты NtdsUtil.exe. Эта утилита командной строки представляет собой основной инструмент администратора службы каталога Active Directory, используемый для диагностики и разрешения проблем. Этот способ предполагает создание раздела приложения администратором вручную.
  • Использование утилиты Ldp.exe. Данная утилита позволяет администратору работать с любым LDAP-совместимым каталогом (каким, по сути, является Active Directory). Этот способ, так же как и предыдущий, предполагает создание раздела приложения администратором вручную.
  • Использование интерфейса прикладного программирования ADSI (Active Directory Service Interfaces). Приложения, использующие данный интерфейс для взаимодействия со службой каталога Active Directory, могут создавать разделы приложений в каталоге самостоятельно (например, в процессе развертывания).

Топология репликации

Процесс репликации предполагает обмен изменениями в разделах каталога между отдельными участниками. Для обозначения односторонней передачи данных от одного партнера по репликации к другому используется термин соединение (connection). Соединение представляет собой однонаправленное соглашение о репликации, заключенное между двумя контроллерами домена.
Одним из наиболее ответственных моментов в процессе функционирования подсистемы репликации службы каталога является формирование инфраструктуры соединений между имеющимися контроллерами домена. Подобная инфраструктура называется топологией репликации (replication topology). Каждый раздел каталога строит свою собственную топологию репликации.
За формирование топологии репликации отвечает специальный системный процесс Knowledge Consistency Checker, КСС. Этот процесс выполняется на всех контроллерах домена, автоматически генерируя топологию репликации. При этом КСС основывается на информации о физической структуре каталога. Периодически активизируясь, КСС проверяет доступность существующих соединений. Основываясь на полученных данных, КСС может переформировать топологию репликации для некоторого раздела каталога. Именно КСС отвечает за установление соединения с партнером по репликации. Соединения генерируются автоматически, хотя служба каталога допускает определение соединений непосредственно администратором.

Примечание

Необходимо обратить внимание на то, что хотя топология репликации формируется индивидуально для каждого раздела каталога, единственное соединение с партнером по репликации может быть использовано для передачи ему сведений об изменениях сразу в нескольких разделах каталога.

Отдельно следует сказать про формирование топологии репликации для разделов приложений. Хотя место размещения реплик разделов приложений осуществляется администратором вручную, генерация и поддержание топологии репликации для этих разделов осуществляется наблюдателем показаний целостности автоматически.

Служба репликации файлов

Каталог рассматривается как централизованное место хранения информации о сетевых ресурсах. Однако в силу определенных причин некоторая часть информации не может быть размещена в каталоге. Например, старые версии операционных систем (Windows 9x/NT) используют специальный сетевой ресурс NETLOGON для размещения информации, необходимой для регистрации в сети. Эта папка используется для размещения перемещаемых или обязательных профилей пользователей, сценариев регистрации, системных политик и т. п. Эта информация жизненно необходима для корректного функционирования сети. При этом требуется, чтобы эта папка присутствовала на всех контроллерах домена.
Служба репликации файлов (File Replication Service, FRS) представляет собой механизм репликации с множеством равноправных участников, осуществляющий синхронизацию содержимого системного тома SYSVOL между контроллерами домена. Том SYSVOL создается на каждом сервере непосредственно в ходе повышения его до контроллера домена и используется для размещения системных файлов общего доступа. В частности, именно внутри него располагается уже упоминавшаяся папка NETLOGON. Помимо этого, в томе SYSVOL размещаются настройки объектов групповых политик, системные политики контроллеров домена и сценарии регистрации.

Примечание

Поскольку служба репликации файлов использует модель с множеством равноправных участников (multimaster replication), изменение содержимого реплицируемой папки может быть произведено любым участником. При этом в цепочке серверов, участвующих в репликации, нельзя выделить какой-то один, координирующий процесс репликации. Каждый участник может изменить содержимое тома SYSVOL и передать сведения об изменении содержимого любым другим участникам.
Служба репликации файлов может также осуществлять синхронизацию содержимого набора реплик распределенной файловой системы DFS (см. главу 8 "Работа с дисковыми ресурсами").

Создание системного тома SYSVOL

Том SYSVOL создается непосредственно в ходе повышения сервера до контроллера домена. Когда вы устанавливаете первый контроллер домена в сети, в этой папке на базе имеющихся шаблонов создаются объекты политик по умолчанию. Служба FRS извещает службу NETLOGON о том, что системная папка доступна для общего доступа. Только после этого сервер может использоваться как контроллер домена.
В случае установки последующих контроллеров домена после создания тома SYSVOL служба репликации файлов осуществляет его наполнение. Содержимое тома копируется с уже существующего контроллера домена. Только по окончании этого процесса наполнения сервер будет объявлен контроллером домена.

Внимание

По умолчанию том SYSVOL располагается непосредственно внутри системной папки %SystemRoot%. Однако в процессе повышения роли сервера до контроллера домена администратор может указать любое другое место расположения этого тома. Единственное условие — том должен располагаться на NTFS-разделе.

Служба каталога и служба FRS

Для своей работы служба FRS запрашивает информацию о физической структуре службы каталога, серверах каталога и соединениях между ними. Другими словами, служба репликации файлов не создает своей инфраструктуры, а использует топологию репликации каталога для собственных целей. В частности, служба репликации файлов задействует объекты, ассоциированные с соединением (connection objects), для передачи файлов. При этом учитывается расписание репликации, определенное в рамках этих объектов.
Такой подход позволяет упростить схему репликации, исключив дублирование схожих структур.

Внимание

Тем не менее, необходимо понимать, что фактически механизм репликации службы каталога и служба репликации файлов представляют собой две различных службы, действующие независимо друг от друга.

Групповые политики

В настоящее время практически любой производитель системного программного обеспечения встает перед проблемой снижения общей стоимости владения системой (total cost ownership). Эта проблема заключается в том, что развитие и связанное с этим усложнение технологий приводит к увеличению затрат на администрирование. В таких условиях корпорации вынуждены либо постоянно увеличивать штат администраторов, либо упрощать процесс управления за счет отказа от тех или иных сервисов и технологий.
Каждый разработчик подходит к решению этой проблемы по-своему. Компания Microsoft традиционно предлагает целый набор решений, позволяющих упростить процесс управления сетевыми ресурсами, а следовательно снизить общую сумму административных затрат.
Одной из проблем, встающих перед системным администратором, является проблема формирования индивидуального окружения пользователей. Начиная с Windows 2000, для формирования окружения пользователей используется механизм групповых политик (group policy). Под групповой политикой понимается совокупность параметров и настроек системы, определяющая конкретное окружение пользователя. Администратор может использовать механизм групповых политик для централизованного управления средой пользователей.

  • Управление настройками операционной системы. Все параметры операционной системы, определяющие ее функциональность, а также определяющие режимы работы ее служб и их настройки, хранятся в системном реестре. Посредством механизма групповой политики администратор может контролировать содержимое отдельных, наиболее важных ключей реестра.
  • Назначение сценариев. С помощью групповой политики администратор может определить сценарии, которые будут выполняться при запуске и выключении компьютера, а также при входе пользователя в систему и выходе из нее.
  • Определение параметров системы безопасности. С каждым пользователем или компьютером может быть ассоциирован определенный набор настроек системы безопасности. В данном случае принято говорить о политике безопасности (security policy) определяемой в контексте групповой политики. Политика безопасности позволяет однообразно конфигурировать большое количество субъектов безопасности. Например, определить уровень доступа к системному реестру или задать порядок осуществления аудита событий.
  • Управление приложениями. Используя механизм групповой политики, администратор может назначать и публиковать приложения, выполнять их централизованное обновление и восстановление.
  • Перенаправление пользовательских папок. Папка My Documents (Мои документы) традиционно рассматривается как место хранения пользовательских документов. В корпоративной сети, в которой работает множество мобильных пользователей, актуальной становится проблема доступности этих документов. Посредством механизма групповой политики администратор может задать перенаправление всех обращений пользователей к этой папке на некоторый сетевой ресурс.

Объекты групповой политики

Параметры групповой политики хранятся в виде объектов групповой политики (Group Policy Object, GPO). Эти объекты хранятся в каталоге подобно другим объектам. Для именования объекта групповой политики используется глобальный уникальный идентификатор (GUID).
Различают два вида объектов групповой политики — объекты групповой политики, создаваемые в контексте службы каталога, и локальные объекты групповой политики. Локальные объекты групповой политики (Local Group Policy Object, LGPO) создаются в процессе установки операционной системы Windows 2000/XP или Windows Server 2003. Локальный объект GPO используется в том случае, когда компьютер не включен в состав домена. Как только компьютер подключается к домену, компьютер и пользователь, работающий на нем, подпадают под действие объектов GPO, определенных в контексте данного домена, и параметры, заданные локальным объектом GPO, могут быть переопределены на более высоком уровне (на уровне сайта, домена или подразделения).
Объекты групповой политики размещаются в каталоге в специальных контейнерах групповой политики (Group Policy Container, GTC). Кроме того, для размещения файлов, связанных с объектами GPO, система использует специальную папку SYSVOL\sysvol\<имя домена>\роlicies. В этой папке размещаются шаблоны групповой политики (Group Policy Template, GPT). Шаблон групповой политики представляет собой папку, в качестве- имени которой используется глобальный уникальный идентификатор (GUID) соответствующего объекта групповой политики. В шаблоне групповой политики размещаются административные шаблоны, сценарии и параметры безопасности.


Проектирование доменов и развертывание Active Directory

  • Проектирование доменов и развертывание Active Directory
  • Сценарии формирования пространства имен
    • Изолированное корпоративное пространство имен
    • Корпоративное пространство имен, интегрированное с внешним пространством имен
    • Корпоративное пространство имен, являющееся частью внешнего пространства имен
    • Функциональные уровни
      • Функциональный уровень доменов
      • Функциональный уровень леса доменов
    • Изменение имен доменов
  • Установка контроллеров домена
    • Подготовка к установке контроллера домена
      • Требования и ограничения
      • Проверка службы DNS
      • Обновление существующего леса доменов Windows 2000
    • Установка контроллера домена Windows Server 2003
      • Выполнение установки
      • Установка контроллера домена из резервной копии
      • Установка контроллера домена Windows NT/2000 в среде Windows Server 2003
      • Проверка состояния контроллера домена
  • Изменение имени контроллера домена
  • Удаление контроллера домена
  • Управление доверительными отношениями
    • Создание доверительных отношений
    • Удаление доверительных отношений
    • Управление доверительными отношениями между лесами доменов
  • Изменение функционального уровня домена и леса доменов
  • Конфигурирование клиентов

Проектирование доменов и развертывание Active Directory

Служба каталога Active Directory может использоваться для размещения информации о более чем миллионе объектов. Очевидно, что вся эта информация должна быть каким-то образом организована, чтобы облегчить управление этими объектами и доступ к ним. В предыдущей главе было замечено, что организация объектов каталога представляет собой древовидную структуру, которую также принято называть иерархией объектов каталога. Формирование этой иерархии входит в обязанности администратора, осуществляющего развертывание в сети Active Directory. Именно от администратора, осуществляющего проектирование структуры каталога, зависит то, насколько эффективно будет функционировать корпоративная сеть. Правильное проектирование позволяет избежать появления проблем в будущем.
Архитектура службы каталога позволяет администратору осуществлять формирование структуры каталога на трех уровнях:

  • доменная структура каталога (создание структуры доменов);
  • логическая структура каталога (создание подразделений);
  • физическая структура каталога (создание подсетей и сайтов).

Каждый из этих уровней индивидуален для каждой отдельной компании. Однако прежде чем приступить к их реализации, необходимо оценить существующее окружение, собрать информацию об организационной структуре и состоянии сетевых коммуникаций предприятия. Весь собранный на этом этапе материал явится основной для дальнейшего планирования. Оцените общее количество пользователей вашей сети. Если компания состоит из нескольких филиалов, оцените количество пользователей в каждом из них. Дополнительно оцените возможность увеличения числа пользователей. В процессе проектирования структуры каталога рекомендуется исходить из расчета, что произойдет увеличение количества пользователей в полтора раза. Такой подход позволит вам создать возможности роста вашей сети без необходимости ее реорганизации. Оцените состояние корпоративной вычислительной сети на физическом уровне. Соберите информацию о сушествующих коммуникационных линиях. Важными являются сведения о пропускной способности, степени ее использования, количестве компьютеров в каждой из подсетей.
В данной главе мы рассмотрим некоторые важные вопросы планирования структуры Active Directory, которые нужно решить до начала процесса развертывания доменов на базе Active Directory. Игнорирование этих вопросов (например, выбор правильного имени DNS для корневого домена) может привести к тому, что вся структура доменов окажется несоответствующей требованиям организации. Затем мы подробно рассмотрим операции по установке контроллеров и созданию дерева доменов.

Сценарии формирования пространства имен

Рассмотрим некоторые сценарии создания корпоративного пространства имен DNS. Фактически существует три сценария:

  • изолированное пространство имен DNS;
  • пространство имен DNS, интегрированное с внешним пространством имен;
  • пространство имен DNS, являющееся фрагментом другого более глобального пространства имен.

Изолированное корпоративное пространство имен

Данный сценарий является наиболее простым. Корпоративное пространство имен DNS полностью изолировано от других пространств имен, являющихся внешними по отношению к компании. Для решения задач, стоящих перед работниками компании, не требуется доступ к внешним ресурсам. Пример подобного пространства имен приведен на рис. 19.1.
Для реализации подобного пространства имен необходимо, чтобы DNS-сервер, стоящий на вершине корпоративного пространства имен DNS, являлся корневым сервером. Для этого необходимо, чтобы все корпоративные DNS-серверы указывали на этот сервер как на корневой сервер пространства имен. Кроме того, корневой сервер не должен быть сконфигурирован для переадресации запросов на другой DNS-сервер. Другими словами, вкладка Forwarders окна свойств этого сервера должна быть пустой.
Для адресации хостов в корпоративной сети администратор может также избрать любую схему. Администратор не обязан принимать во внимание схемы распределения IP-адресов и подсетей, принятые в Интернете. Определяющими в данном случае являются исключительно правила формирования IP-адресов, описанные в спецификации протокола IP.

Рис. 19.1. Изолированное пространство имен DNS

На следующем этапе администратор должен выбрать способ именования доменов. Формируя пространство имен DNS, не являющегося частью пространства DNS-имен Интернета, администратор может не придерживаться схемы именования доменов, принятой в этой глобальной сети. Нет нужды использовать для имен доменов первого уровня стандартные имена Интернета — ru, com, edu и т. п. Администратор может разработать свою собственную схему именования доменов. Определяющим здесь является понятность и простота.

Корпоративное пространство имен, интегрированное с внешним пространством имен

Данный сценарий предполагает существование внутреннего корпоративного пространства имен. Фактически оба пространства (корпоративное и внешнее) представляют собой отдельные непересекающиеся пространства имен. Корпоративное пространство имен по своей сути идентично изолированному пространству имен, рассмотренных в предыдущем сценарии. Администратор может выбрать любую схему именования доменов, а также может выбрать любую схему адресации хостов.
Все запросы пользователей на разрешение доменных имен можно условно разделить на две категории:

  • запросы на разрешение доменных имен, принадлежащих к корпоративному пространству имен. Эти запросы разрешаются корпоративными DNS-серверами;
  • запросы на разрешение доменных имен, принадлежащих ко внешнему пространству имен. Эти запросы разрешаются внешними DNS-серверами, обслуживающими внешнее пространство имен.

Можно рассматривать описанную ситуацию следующим образом. Существует корпоративная вычислительная сеть, ресурсы которой формирует корпоративное пространство имен. Помимо этого, для выполнения ряда задач согрудникам компании необходим доступ к ресурсам другой сети (в самом простом случае — к ресурсам Интернета) (рис. 19.2).

Рис. 19.2. Корпоративное пространство имен и пространство имен Интернета

Данный сценарий реализуется следующим образом. Корпоративное пространство формируется так же, как и в предыдущем случае. Однако корневой DNS-сервер конфигурируется таким образом, чтобы все запросы, адресованные к внешним доменам, переадресовывались на один из внешних DNS-серверов. Для этого используется режим выборочного перенаправления, который конфигурируется на вкладке Forwarders (Перенаправление) окна свойств корневого сервера.
Для доменов корпоративного пространства имен режим перенаправления на корневом сервере должен быть отключен (т. е. сервер не должен переадресовывать запросы на другой сервер). Для остальных доменов запросы должны переадресовываться на внешний DNS-сервер.

Примечание

Следует отметить, что рассмотренный сценарий предполагает только разрешение внешних доменных имен. Поскольку в корпоративной вычислительной сети используются внутренние адреса, необходимо предусмотреть механизм маршрутизации запросов ко внешним IP-адресам. Эти запросы последуют после того, как доменное имя будет разрешено в IP-адрес. Для решения этой задачи администратору необходимо соответствующим образом сконфигурировать маршрутизаторы и межсетевые экраны.

Корпоративное пространство имен, являющееся частью внешнего пространства имен

В последнем рассматриваемом сценарии корпоративное пространство имен является фрагментом другого более крупного пространства имен. Например, корпоративная вычислительная сеть интегрируется с глобальной сетью Интернет. В этом случае все корпоративные доменные имена, а также адреса хостов являются реальными адресами и именами Интернета. Такая интеграция имеет массу преимуществ. Одно из них — ресурсы корпоративной сети могут быть доступны из любой точки мира. При этом доступность не предполагает незащищенность. Администратор может отделить внутреннюю сеть от внешней сети межсетевым экраном и использовать системы сертификации и аутентификации.
Реализация данного сценария имеет определенные сложности, связанные с получением "реальных" IP-адресов, являющихся частью внешнего пространства имен, и регистрацией в этом пространстве имен домена. В случае Интернета для регистрации имен и получения пула адресов корпорация должна обратиться в соответствующие инстанции.
Для интеграции необходимо сконфигурировать корпоративный корневой DNS-сервер для перенаправления всех запросов на внешний DNS-сервер.

Функциональные уровни

В службе каталога Windows 2000 существует понятие режима функционирования домена (domain mode). Домен может находиться в одном из двух режимов — основном (native) или смешанном (mixed). Режим функционирования домена определяет возможность использования контроллеров домена Windows NT. В Windows Server 2003 появилось понятие функционального уровня (functional level). Функциональный уровень определяет доступные функциональные возможности.
Введение понятия функционального уровня позволяет обеспечить возможность сосуществования в сети контроллеров домена, находящихся под управлением различных версий операционных систем. Как следствие, администратор может реализовать постепенный, поэтапный перевод корпоративной сети на новую версию операционной системы. Необходимость введения понятия функционального уровня обусловлена ограничением на использование некоторых функциональных возможностей в ситуации, когда в домене (или лесе доменов) присутствуют контроллеры домена Windows NT/2000.
Функциональный уровень определяется как для отдельных доменов, так и для всего леса доменов в целом.

Функциональный уровень доменов

Функциональный уровень, на котором находится домен, определяет набор функциональных возможностей, доступных для этого домена. В табл. 19.1 перечислены существующие функциональные уровни домена и допустимые типы контроллеров домена.

Таблица 19.1. Функциональные уровни домена

Функциональный уровень | Допустимые контроллеры домена
Windows 2000 mixed | Windows NT, Windows 2000, Windows Server 2003
Windows 2000 native | Windows 2000, Windows Server 2003
Windows Server 2003 | Только Windows Server 2003

Уровни Windows 2000 mixed и Windows 2000 native соответствуют смешанному и основному режимам функционирования домена Windows 2000. Охарактеризуем каждый из функциональных уровней.

  • Windows 2000 mixed. Этот функциональный уровень допускает сосуществование в домене контроллеров домена, находящихся под управлением различных операционных систем (Windows NT/2000 и Windows Server 2003). Контроллеры домена Windows NT могут существовать в системе только в качестве резервных контроллеров домена (Backup Domain Controller, BDC). Один из контроллеров домена (Windows 2000 или Windows Server 2003) выступает для резервных контроллеров домена Windows NT в качестве основного контроллера домена Windows NT (Primary Domain Controller, PDC). На данном уровне недоступен ряд возможностей Windows 2000 доменов — универсальные (universal) группы безопасности, вложенность групп и т. д. Все создаваемые домены по умолчанию находятся на этом функциональном уровне.
  • Windows 2000 native. Данный функциональный уровень ограничивает перечень используемых контроллеров доменов (Windows 2000 и Windows Server 2003). Это объясняется тем, что в домене больше не поддерживается механизм NTLM-репликации, используемый Windows NT. Тем не менее, клиенты могут работать под управлением любых операционных систем. На этом функциональном уровне становятся доступны все возможности Windows 2000 доменов. Однако ряд функциональных возможностей Windows Server 2003 недоступен — возможность переименования контроллеров домена, использование объектов класса InetOrgPerson, номера версий ключей Kerberos.
  • Windows Server 2003. Если домен переведен на этот функциональный уровень, в нем допускается использование только контроллеров домена Windows Server 2003. На этом уровне становятся доступны все функциональные возможности службы каталога Windows Server 2003.

Существует одно серьезное ограничение, связанное с использованием функциональных уровней. Архитектура службы каталога допускает только повышение функционального уровня. Другими словами, если домен находится на уровне Windows Server 2003, он не может быть переведен на уровни Windows 2000 mixed или даже Windows 2000 native. Это обусловлено принципиальными изменениями, происходящими в каталоге после повышения функционального уровня.
Не требуется, чтобы все домены леса (или дерева доменов) находились на одном функциональном уровне. Тем не менее, функциональный уровень доменов определяет функциональный уровень леса.

Функциональный уровень леса доменов

Функциональный уровень леса доменов определяет набор функциональных возможностей Active Directory, доступных в масштабах всего леса доменов. Существует два функциональных уровня.

  • Windows 2000. Данный функциональный уровень предполагает наличие в сети контроллеров домена различных версий — Windows NT/2000 и Windows Server 2003. В этом случае некоторая часть новых возможностей Active Directory недоступна. Используется функциональность леса, поддерживаемая системами Windows 2000.
  • Windows Server 2003. Чтобы поднять лес доменов на этот функциональный уровень, нужно перевести все контроллеры домена леса под управление Windows Server 2003. На этом функциональном уровне становятся доступными новые возможности, перечисленные в табл. 19.2. Эти функции касаются всего леса доменов и доступны в любом домене.

Таблица 19.2. Новые возможности доменов и леса, доступные на функциональном уровне Windows Server 2003

Функция | Описание
Переименование домена | Любой домен может быть переименован. Процесс переименования может привести к изменению положения домена в рамках иерархии домена (за исключением корневого домена леса)
Доверительные отношения между лесами доменов | Между двумя лесами доменов, находящимися на функциональном уровне Windows Server 2003, могут быть установлены транзитивные доверительные отношения (как односторонние, так и двусторонние)
Репликация связанных (linked) значений | Изменение состава группы пользователей приводит к передаче информации только о новых или удаленных членах группы
Деактивация объектов схемы | Определения классов объектов и атрибутов, содержащиеся в схеме, не могут быть удалены (поскольку это нарушило бы целостность каталога). Вместо этого администратор может выполнить деактивацию требуемого объекта (например, если он содержит ошибку). Впоследствии объект может быть снова активирован
Оптимизация процесса репликации содержимого глобального каталога | Если происходит изменение одного из атрибутов объекта, содержащегося в глобальном каталоге, реплицируется не весь объект, а только измененный атрибут
Динамические объекты и вспомогательные классы | Администратор может создавать в каталоге объекты, которые имеют , ограниченный срок жизни (существуют в каталоге в течение строго определенного периода времени)
Усовершенствованный алгоритм генерации топологии репликации | Оптимизирована работа сервиса Knowledge Consistency Checker (KCC) для лесов доменов, имеющих большое количество сайтов

Таким образом, чтобы сделать доступными весь спектр возможностей Windows Server 2003, администратор должен поднять лес доменов на функциональный уровень Windows Server 2003.
Существует еще один функциональный уровень, который используется в ситуации, когда происходит обновление сети на основе Windows NT до Windows Sewer 2003. В этом случае первый же контроллер домена Windows NT, обновленный до Windows Server 2003, переводится на функциональный уровень Windows Server 2003 interim. Этот функциональный уровень допускает существование в сети только контроллеров домена Windows NT и Windows Server 2003. Контроллеры домена под управлением Windows 2000 не допускаются.
Функциональный уровень Windows Sewer 2003 interim включает в себя все возможности, доступные на уровне Windows 2000, плюс две функции уровня Windows Server 2003:

  • усовершенствованный алгоритм генерации топологии репликации;
  • репликация связанных значений.

Примечание

Очевидно, что для переведения леса доменов на функциональный уровень Windows Server 2003 необходимо, чтобы все домены находились на функциональном уровне Windows Server 2003.

Изменение имен доменов

В службе каталога Active Directory, реализованной в составе Windows 2000. лес доменов представлял собой статичную структуру. Администратор мог либо добавить новые домены или даже целые деревья, либо удалить их. Он не мог изменить пространство имен каталога, переименовав один или несколько доменов.
В службе каталога Windows Server 2003 реализована возможность изменения имени домена Active Directory.

  • Изменение DNS- или NetBIOS-имени домена. Этот процесс предполагает изменение имени, не приводящее к изменению структуры леса доменов. Изменение имени корневого домена приводит к автоматическому изменению имен всех дочерних доменов. Изменение имени корневого домена может потребоваться, например, вследствие изменения названия компании.
  • Перемещение домена в рамках дерева доменов, либо перемещение в другое дерево доменов. В этом сценарии процесс переименования сводится к изменению родительского домена. Частным случаем является ситуация, когда перемещаемый домен образует новое дерево доменов.

Внимание

Любой домен может быть перемещен, за исключением корневого домена леса. Функции корневого домена леса не могут быть возложены на другой домен. Тем не менее, администратор может изменить имя корневого домена леса.

В зависимости от задач, стоящих перед администратором, процесс переименования может занять множество шагов и является далеко не тривиальным; поэтому предварительное планирование леса по-прежнему остается важным этапом при развертывании Active Directory. Непосредственно переименование выполняется утилитой командной строки Rendom.exe, которая располагается в папке VALUEADD\MSFT\MGMT\DOMREN дистрибутивного диска. Эта утилита используется исключительно для изменения имени домена. Она не может использоваться для добавления нового домена или удаления существующего.

Внимание

Процесс переименования доменов возможен только в случае, когда лес доменов был переведен на функциональный уровень Windows Server 2003. В противном случае переименование невозможно. Очевидно, что невозможно изменение имени для доменов Windows 2000.

Установка контроллеров домена

Как уже говорилось, контроллер домена выступает в качестве носителя копии каталога. Поэтому развертывание службы каталога начинается непосредственно с установки контроллеров домена. Вся реализация доменной инфраструктуры каталога происходит как раз в процессе установки контроллеров домена. Именно поэтому процессу установки контроллеров домена необходимо уделять особое внимание. Ошибки, допущенные при установке контроллера домена, могут привести к нарушению работоспособности всей службы Active Directory.

Подготовка к установке контроллера домена

Прежде чем приступить к установке контроллера домена, администратор должен проделать несколько подготовительных операций. В первую очередь администратор должен убедиться в том, что компьютер, выбранный на роль контроллера домена (а, следовательно, носителя копии каталога), отвечает предъявляемым к нему требованиям. Прежде всего, речь идет о минимальных аппаратных и программных требованиях, соблюдение которых является одним из условий успешного выполнения операции установки.
Кроме того, перед выполнением установки контроллера домена необходимо убедиться в работоспособности службы DNS. Ранее уже неоднократно говорилось о роли этой службы в процессе функционирования Active Directory. Тестирование службы DNS на подготовительном этапе позволит предотвратить возникновение проблем в процессе установки контроллера домена.

Требования и ограничения

Процесс повышения выделенного сервера до контроллера домена требует выполнения определенных условий. Рассмотрим эти требования.

  • Перед установкой на сервере должен быть установлен стек протоколов TCP/IP и для каждого из интерфейсов сервера выделен статический IP-адрес. Впоследствии администратор может изменить этот адрес и заново зарегистрировать в базе данных DNS доменное имя с уже новым адресом.
  • Для сервера должен быть установлен DNS-суффикс, соответствующий имени домена, для которого будет устанавливаться контроллер домена. Последнее требование является необязательным, если установлен флажок Change primary DNS suffix when domain membership changes. В этом случае система автоматически определит DNS-суффикс при включении сервера в состав некоторого домена.
  • Служба каталога может быть установлена на раздел диска с файловой системой NTFS. Это требование обусловлено соблюдением должного уровня безопасности, требующего разграничения доступа к файлам, непосредственно на уровне файловой системы (скажем, файловая система FAT не предоставляет такой возможности). Кроме того, раздел, предназначенный для установки службы каталога, должен иметь как минимум 250 Мбайт свободного дискового пространства. С целью повышения производительности службы каталога администратор может разместить файлы хранилища каталога и журнала транзакций на отдельные физические диски. Это позволит избежать конкуренции операции ввода/вывода.

Разумеется, в этом случае каждый из задействованных разделов должен быть отформатирован под NTFS.

  • Операция установки контроллера домена требует наличия у выполняющего ее пользователя определенных полномочий. Установка первого контроллера домена в лесе осуществляется на одиночном сервере, не являющимся частью какого-либо домена. В этой ситуации пользователь должен обладать полномочиями локального администратора на том сервере, на котором происходит установка. Если происходит установка первого контроллера в домене (в рамках уже существующего леса доменов), пользователь должен являться членом группы Enterprise Admins (Администраторы корпорации). В случае установки дополнительного контроллера в домене пользователь должен быть либо членом уже упомянутой группы, либо членом группы Domain Admins (Администраторы домена).

Проверка службы DNS

Прежде чем запустить на сервере мастер установки Active Directory, администратор должен проверить настройки стека протоколов TCP/IP для данного компьютера, обратив, в первую очередь, внимание на параметры службы DNS-клиента. Одним из важнейших параметров в этой ситуации является адрес предпочитаемого DNS-сервера (preferred DNS server). Именно указанный в этом параметре сервер будет использоваться мастером установки для диагностики пространства имен DNS, предшествующего созданию нового домена Active Directory, и поиска существующих носителей копий каталога. Этот же DNS-сервер впоследствии будет использоваться для регистрации доменного имени сервера. Ошибки, допущенные на этом этапе, могут привести к тому, что по окончании процедуры установки контроллер домена окажется неработоспособным. Типичны следующие ошибки:

  • настройки сервера, выбранного на роль контроллера домена, не содержат сведений о предпочитаемом DNS-сервере;
  • DNS-сервер, указанный в настройках будущего контроллера домена в качестве предпочтительного, не является носителем требуемой зоны. Кроме того, возможна и другая ситуация, когда указан сервер, являющийся дополнительным носителем зоны. Как следствие, этот DNS-сервер не может быть использован для динамической регистрации доменных имен.

Если вы осуществляете установку первого контроллера домена в лесу доменов (фактически это означает первый этап развертывания в сети службы каталога), то вы должны предоставить возможность мастеру установки Active Directory установить на сервере службу DNS и произвести ее последующее конфигурирование. При этом в настройках стека протоколов TCP/IP данного сервера параметр Preferred DNS Server (Предпочитаемый DNS-сервер) должен указывать непосредственно на сам сервер. То есть поcле установки контроллера домена все ассоциированные с ним ресурсные записи будут зарегистрированы службой DNS, функционирующей на этом же сервере. Все последующие контроллеры домена должны указывать уже на существующие DNS-серверы (например, на первый установленный DNS-сервер).
Кроме того, необходимо проверить доступность DNS-сервера с компьютера, который выбран на роль контроллера домена. Различные проблемы с сетевыми компонентами могут привести к тому, что хотя DNS-сервер функционирует и успешно используется другими хостами, вновь устанавливаемый контроллер домена не имеет с ним сетевого соединения.
Если планируется использование реализации службы DNS от стороннего производителя (не Windows 2000 или Windows Server 2003), необходимо убедиться в том, что этот DNS-сервер поддерживает требования, предъявляемые к нему службой- каталога Active Directory. Сервер имен должен поддерживать ресурсные записи SRV-типа и допускать возможность динамической регистрации имен.
Указанные подготовительные работы могут быть проделаны администратором при помощи специальной утилиты командной строки DCdiag.exe, поставляемой в составе вспомогательного комплекта утилит Windows Server 2003 Support Tools. Эта утилита является основным диагностическим инструментом администратора в ситуации, когда работа мастера установки Active Directory прерывается по причине возникновения каких-либо проблем со службой DNS.
Следующий тест позволяет проверить конфигурацию службы DNS с точки зрения возможности повышения некоторого сервера до роли контроллера домена в уже существующем домене khsu.ru: с:\dcdiag.exe /test:dcpromo /dnsdomain:khsu.ru /replicadc
В случае ошибки проверьте настройку DNS-сервера или укажите в настройках стека протокола TCP/IP другой DNS-сервер.
Другой тест позволяет проверить способность будущего контроллера домена выполнить динамическую регистрацию доменного имени в базе данных DNS-сервера. Хотелось бы отметить, что так же как и в предыдущем случае, тест запускается на сервере, который планируется повысить до роли контроллера домена.
c:\dcdiag.exe /test:RegisterlnDNS /dnsdomain:khsu.ru
Мастер установки Active Directory (утилита Dcpromo) в Windows Server 2003 имеет новые встроенные средства диагностики конфигурации DNS, что позволяет застраховаться от ошибок разрешения имен при создании контроллера домена.

Обновление существующего леса доменов Windows 2000

Рассмотрим ситуацию, когда администратор выполняет установку контроллера домена Windows Server 2003 в среде Windows 2000. Это может быть первым шагом к переходу с Windows 2000 на Windows Server 2003. Архитектура службы каталога Windows Server 2003 претерпела ряд принципиальных изменений, из которых, в первую очередь, следует отметить изменения, коснувшиеся схемы каталога (появление новых классов объектов, в том числе динамических).
Как следствие, наличие различий в архитектуре потребовало выполнения специальной процедуры "подготовки" службы каталога Windows 2000 к установке контроллеров домена Windows Server 2003. Фактически эта процедура сводится к выполнению расширения схемы. Для выполнения процедуры используется специальная утилита командной строки Adprep.exe. Эта утилита поставляется в составе дистрибутивного диска Windows Server 2003 и располагается в каталоге \I386.

Внимание

Перед выполнением "подготовки" леса доменов Windows 2000 на всех контроллерах домена должен быть установлен пакет обновления Windows 2000 Service Pack 2 (или выше). В противном случае работа утилиты Adprep может привести к нарушению работоспособности отдельных контроллеров домена.

Подготовка службы каталога Windows 2000 должна быть выполнена на двух уровнях.

  • На уровне леса. Следует подготовить лес в целом к развертыванию Windows Server 2003. Для этого необходимо запустить утилиту Adprep с ключом /forestprep. Утилита должна быть запущена на контроллере домена, являющимся хозяином схемы (schema master).
  • На уровне отдельного домена. После того как выполнено расширение схемы (на уровне всего леса доменов), необходимо выполнить подготовку каждого домена, в котором планируется установка контроллеров домена Windows Server 2003. Для этого следует запустить утилиту Adprep с ключом /domainprep на контроллере домена, являющимся хозяином инфраструктуры домена (infrastructure master).

Внимание

Подготовка службы каталога на уровне отдельного домена может быть выполнена только после того, как изменения в схеме каталога, выполненные на уровне леса доменов, будут реплицированы на контроллер домена, являющийся хозяином инфраструктуры домена. Любые попытки запустить команду adprep /domainprep до того, как эти изменения будут реплицированы, приведут к выводу сообщения об ошибке.

Если администратор планирует выполнить обновление некоторого контроллера домена Windows 2000 до Windows Server 2003, ему необходимо дождаться того момента, пока изменения, произведенные на хозяине инфраструктуры, не будут реплицированы на обновляемый контроллер домена.

Установка контроллера домена Windows Server 2003

Процедура установки контроллера домена (также называемая повышением роли сервера до контроллера домена) выполняется при помощи мастера Active Directory Installation Wizard (Мастер установки Active Directory). Этот мастер запускается утилитой командной строки Dcpromo.exe.
В процессе установки контроллера домена происходит наполнение каталога. В случае установки первого контроллера домена в лесе все содержимое каталога создается непосредственно мастером установки. Если в лесе создается новый домен, то мастер установки создает исключительно доменный раздел. Раздел схемы и каталога копируется с уже существующих контроллеров домена. В ситуации, когда администратор создает дополнительный контроллер в уже существующем домене, имеется два варианта наполнения каталога:

  • все содержимое каталога копируется с уже существующего контроллера домена;
  • содержимое каталога воссоздается из резервной копии каталога.

Каждый из предложенных вариантов имеет свои плюсы и минусы. Мы рассмотрим оба варианта.

Примечание

Мастер установки Active Directory может быть вызван из утилиты Configure Your Server, которая располагается в меню Administrative Tools.

Выполнение установки

В ходе использования мастера установки Active Directory возможны четыре сценария (рис. 19.3):

  • создание нового леса доменов;
  • создание нового дерева доменов в рамках существующего леса доменов;
  • создание нового домена в рамках существующего дерева доменов;
  • установка дополнительного контроллера домена в уже существующем домене.

Рис. 19.3. Сценарии создания контроллера домена

Администратор осуществляет выбор одного из этих сценариев на первых страницах мастера. Если сценарий предполагает создание нового домена, мастер предложит ввести доменное и NetBIOS-имя будущего домена. В сценарии, предполагающем установку дополнительного контроллера, администратору будет необходимо ввести имя существующего домена.
Независимо от избранного сценария мастер предложит выбрать место расположения файлов хранилища и журналов. Вы можете разместить их в одной папке (по умолчанию предлагается %SystemRoot%\NTDS), либо разнести в разные (например, на разные физические диски). Напомним, что эти файлы могут размещаться только в NTFS-разделах. Кроме того, потребуется выбрать место расположения системного тома SYSVOL, используемого службой репликации файлов. Эта папка также может быть размещена только в NTFS-разделе.
На следующем этапе мастер, учитывая информацию о выбранном администратором доменном имени, обратится с запросом к службе DNS. Для взаимодействия со службой DNS используется информация о предпочитаемом DNS-сервере. Версия мастера установки Active Directory, реализованная в рамках Windows Server 2003, позволяет выполнить диагностику имеющейся конфигурации службы DNS в случае возникновения проблем. На рис. 19.4 изображено окно мастера в ситуации, когда предпочитаемый DNS-сервер не содержит зоны для создаваемого домена Active Directory. При этом администратору будет предложено несколько вариантов дальнейших действий.

  • I have corrected the problem. Perform the DNS diagnostic test again. Выбор этого переключателя предписывает мастеру произвести повторную диагностику службы DNS. Предполагается, что администратор вмешался и устранил возникшую проблему. Применительно к рассматриваемой ситуации, администратор может выполнить создание необходимой зоны.

Рис. 19.4. Мастер установки обнаружил проблемы с разрешением имени будущего домена

  • Install and configure the DNS server on this computer, and set this computer to use this DNS server as its preferred DNS server. Выбор этого переключателя перекладывает все обязанности по конфигурированию DNS-сервера на мастера установки Active Directory. В случае установки первого контроллера домена в лесу доменов этот режим конфигурирования службы DNS является предпочтительным. Мастер сам выполнит установку службы DNS и создаст все необходимые зоны (за исключением зон обратного разрешения, которые администратор должен создать самостоятельно после окончания процедуры установки).
  • I will correct the problem later by configuring DNS manually (Advanced). Эта опция означает, что мастер должен продолжить свою работу, несмотря на обнаруженные ошибки. Администратор в этом случае берет на себя все обязанности по конфигурированию службы DNS после окончания процедуры установки. Фактически администратору нужно будет создать две зоны для создаваемого домена и зарегистрировать в них все необходимые ресурсные записи.

Примечание

Мастер также выдаст сообщение об ошибке, если предпочтительный DNS-сервер не содержит информацию о домене, для которого предполагается установить дополнительный контроллер домена.

Если процесс тестирования структуры DNS закончился успешно, мастер выдаст соответствующую информацию (рис. 19.5).

Рис. 19.5. Процедура тестирования службы DNS окончилась успешно

На заключительном этапе работы мастера администратору необходимо будет определить уровень совместимости разрешений с подсистемой безопасности Windows NT. Если в среде Windows Server 2003 планируется существование серверов под управлением Windows NT (не обязательно контроллеров домена) с установленными на них серверными приложениями, необходимо выбрать уровень совместимости разрешений с платформой Windows NT (переключатель Permissions compatible with pre-Windows 2000 operating system). Этот же уровень совместимости разрешений следует избрать в ситуации, когда контроллер домена Windows Server 2003 устанавливается в среде Windows NT. На этом уровне совместимости разрешается анонимный доступ к информации в доменном разделе каталога. Если изначально администратор уверен, что в сети будут использоваться только серверы Windows 2000 и Windows Server 2003, вопросами совместимости разрешений с архитектурой Windows NT можно пренебречь.

Примечание

Необходимо понимать, что уровень совместимости разрешений влияет только на серверные приложения, установленные на Windows NT-серверах. На работу обычных клиентов (в том числе находящихся под управлением операционных систем Windows 9x/ME/NT) выбранный уровень совместимости не влияет.
Если в процессе создания домена не был выбран необходимый уровень совместимости разрешений, администратор может впоследствии исправить ситуацию посредством команды net localgroup "Pre-Windows 2000 Compatible Access" everyone /add.

По окончании установки контроллера домена потребуется перезагрузить систему. В процессе загрузки будет зарегистрировано доменное имя в базе данных предпочитаемого DNS-сервера. Если установленный контроллер домена является первым в лесу, то учетная запись локального администратора, в контексте которого производилась установка, преобразуется в учетную запись Administrator (Администратор созданного домена). Эта учетная запись автоматически включается в состав следующих групп:

  • Administrators. Встроенная локальная группа;
  • Domain Admins. Группа с глобальной областью действия. Члены этой группы обладают необходимыми полномочиями для управления доменом. По умолчанию включается в состав группы Administrators;
  • Domain Users. Группа с глобальной областью действия. В состав этой группы включаются все создаваемые в контексте домена пользователи. По умолчанию группа включается в состав встроенной локальной группы Users;
  • Enterprise Admins. Группа с глобальной областью действия. Члены этой группы обладают полномочиями на управление инфраструктурой службы каталога. По умолчанию группа включается в состав группы Administrators;
  • Group Policy Creator Owners. Группа с глобальной областью действия. Члены этой группы могут редактировать параметры объектов групповой политики в рамках данного домена;
  • Schema Admins. Группа с глобальной областью действия. Члены группы обладают полномочиями, необходимыми для изменения схемы каталога.

Установка контроллера домена из резервной копии

Архитектура Windows Server 2003 позволяет установить в домене дополнительный контроллер, используя резервную копию о состоянии системы (System state) уже существующего контроллера домена. Хотелось бы обратить особое внимание на то, что данная возможность распространяется только на установку дополнительных доменов. Создание нового домена или дерева доменов может быть выполнено только стандартным способом.
Установка контроллера домена из резервной копии позволяет избежать копирования всего содержимого каталога через сеть с уже существующих носителей. Вместо этого, наполнение вновь устанавливаемого каталога будет производиться с резервной копии. Администратор может использовать эту возможность для установки контроллера домена в удаленных филиалах, соединенных с основной корпоративной сетью посредством коммуникационных линий с низкой пропускной способностью. Преимущества указанного метода особенно ощутимы в случае большого размера копии каталога. В этом сценарии на одном из контроллеров домена корпоративный администратор создает резервную копию и передает ее администратору удаленного филиала. Администратор филиала, используя полученную резервную копию, выполняет установку дополнительного контроллера домена. После процедуры синхронизации только что установленный контроллер готов обслуживать пользователей филиала.

Примечание

Однако необходимо заметить, что даже в случае установки с резервной копии полностью исключить взаимодействие через сеть с уже существующими контроллерами домена нельзя. Поэтому в процессе выполнения установки создаваемый контроллер домена должен иметь сетевое соединение с другими контроллерами в домене.
Если резервная копия была создана на контроллере домена, выполняющем функцию сервера глобального каталога, устанавливаемый из этой копии контроллер домена может быть также сконфигурирован в качестве сервера глобального каталога непосредственно в процессе установки. С другой стороны, существующие разделы приложений не будут автоматически воссозданы на устанавливаемом контроллере домена, даже если оригинальный контроллер был их носителем. Для создания этих разделов администратор должен использовать утилиту Ntdsutil.exe.

Процесс создания резервной копии, отражающей состояние системы (в том числе и файлы службы каталога), будет подробно описан в главе 23 "Восстановление системы". Здесь же заметим, что в процессе создания резервной копии, предназначенной для установки дополнительных контроллеров домена, необходимо снять флажок Automatically backup System Protected Files with the System State (Автоматически резервировать защищенные системные файлы). В этом случае в создаваемую резервную копию не будут включаться защищенные системные файлы.
На сервере Windows Server 2003, выбранном на роль контроллера домена, используя утилиту Backup, восстановите резервную копию в некоторую папку. Для этого из рскрывающегося списка Restore files to (Восстановить файлы в) выберите значение Alternate location (Альтернативное место расположения) и в одноименном поле укажите папку, в которую должна быть восстановлена резервная копия.
После того как процесс восстановления из резервной копии закончится, необходимо запустить утилиту Dcpromo с ключом /adv. Это приведет к запуску мастера установки Active Directory в расширенном режиме. После того как будет выбран режим установки дополнительного контроллера домена, мастер предложит указать способ наполнения каталога на создаваемом контроллере (рис. 19.6):

  • наполнение через сеть путем копирования с уже существующего контроллера домена. Этому способу соответствует пункт Over the network from a domain controller. В данном случае процесс установки продолжится по стандартному сценарию;
  • наполнение из резервной копии. Этому способу соответствует пункт From these restored backup files. При этом администратору потребуется указать папку, в которой располагается восстановленная на предыдущем этапе резервная копия.

Примечание

Если будет выбран режим создания нового домена, процедура установки контроллера домена продолжится по стандартному сценарию.

Рис. 19.6. Выберите способ наполнения каталога для устанавливаемого контроллера домена

Установка контроллера домена Windows NT/2000 в среде Windows Server 2003

Прежде чем приступить к установке контроллера домена, находящегося под управлением предыдущих версий Windows (Windows NT/2000), необходимо убедиться, что функциональный уровень, на котором находится интересующий домен, позволяет это сделать. Контроллер домена Windows NT может быть установлен только в случае, если домен находится на функциональном уровне Windows 2000 mixed. Установка контроллера домена Windows 2000, соответственно, возможна в домене, находящемся на функциональных уровнях Windows 2000 mixed или Windows 2000 native.
В случае установки контроллера домена Windows NT имеется одно ограничение: контроллер домена должен устанавливаться исключительно как резервный контроллер домена (Backup Domain Controller, BDC). Резервные контроллеры домена Windows NT располагают копией базы данных учетных записей, доступной исключительно для чтения. Один из контроллеров в домене, находящийся под управлением Windows Server 2003, выступает исполнителем роли эмулятора РОС. Этот контроллер домена отвечает за репликацию изменений каталога на контроллеры домена Windows NT. При этом реплицируемые данные преобразовываются в специальный формат подсистемы репликации Windows NT.
Прежде чем приступить к установке BDC Windows NT, необходимо создать для него учетную запись в каталоге Active Directory. Для создания объекта, ассоциированного с учетной записью компьютера, используется утилита Active Directory Users and Computers, расположенная в группе программ Administrative Tools. В меню Action (Действие) выберите пункт New | Computer (Создать | Компьютер). В открывшемся окне необходимо ввести информацию об имени компьютера и установить флажки Assign this computer account as a pre-Windows 2000 computer (Рассматривать этот компьютер как пред-Windows 2000 компьютер) и Assign this computer account as a backup domain controller (Рассматривать этот компьютер как резервный контроллер домена).

Примечание

Если на момент выполнения установки контроллера домена Windows NT в каталоге Active Directory не будет обнаружена соответствующая учетная запись, процедура установки будет на определенном этапе прервана и администратор получит сообщение: "The Machine Account for This Computer either does not exist or is inaccessible". Чтобы продолжить установку, администратору потребуется создать учетную запись в каталоге.

Проверка состояния контроллера домена

Довольно часто возникает необходимость убедиться в том, процесс перехода сервера в новое качество успешно завершен. Если, например, служба репликации файлов (FRS) не может успешно стартовать, она не инициализирует системный том, в результате чего служба Netlogon не может сделать общей (shared) системную папку SYSVOL. Как следствие папка NETLOGON также становится недоступной для общего доступа. Это приводит к возникновению проблем с выполнением групповых политик, а также многих других проблем, в частности, с репликацией и аутентификацией. При возникновении неисправностей в Active Directory, перед тем, как выявлять проблемы, касающиеся соединений между контроллерами домена, аутентификации и т. д., вы в обоих случаях должны убедиться в том, что серверы Windows Server 2003 действительно являются контроллерами домена.
Существует несколько способов, посредством которых администратор может убедиться в том, что некоторый сервер на базе Windows Server 2003 по окончании операции повышения роли сервера (promotion) выполняет функции контроллера домена.

  • Раздел реестра HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services должен содержать подраздел NTDS.
  • Введите в командной строке net accounts. Поле Computer role (Роль компьютера) должна содержать значение PRIMARY или BACKUP для контроллера домена. Для обычных серверов это поле имеет значение SERVERS.
  • Введите в командной строке net start. В списке запущенных сервисов должна присутствовать служба Kerberos Key Distribution Center (Центр распределения ключей Kerberos). Если эта служба не запущена на контроллере домена, механизм аутентификации может не работать.
  • . Введите в командной строке nbtstat -n. Имя домена, имеющее тип <ic>, должно быть зарегистрировано (в поле Status указано значение REGISTERED).
  • Введите в командной строке net share. На сервере должны присутствовать общие папки SYSVOL (%SystemRoot%\SYSVOL\sysvol) и NETLOGON (%SystemRoot%\SYSVOL\sysvol\<DomainDNSName>\SCRIPTS).
  • С помощью утилиты Ldp.exe проверьте значение атрибута isSynchronized объекта RootosE. По окончании процесса повышения роли сервера система должна полностью синхронизировать все разделы каталога. Когда синхронизация закончена, атрибут isSynchronized принимает значение TRUE.
  • Используйте утилиту командной строки NLtest.exe. Эта утилита поставляется в составе пакета вспомогательных утилит Windows Server 2003 Support Tools.
  • С помощью утилиты Ntdsutil.exe можно подключиться к только что установленному контроллеру домена и проверить его способность отвечать на запросы LDAP. Утилита позволяет также проверить, знает ли контроллер о расположении ролей FSMO в своем домене.

Изменение имени контроллера домена

Архитектура Windows Server 2003 допускает возможность изменения имени контроллеров домена (в Windows 2000 такая возможность отсутствует). Сам процесс изменения имени не сопряжен с какими-либо сложностями, однако от администратора требуется четкое выполнение определенной последовательности действий. Целью этих действий является последующее изменение всех записей об имени контроллера домена в базе данных службы DNS и в копиях каталога других контроллеров домена (фактически являющихся партнерами по репликации).

Внимание

Изменение имени контроллера домена возможно только в домене, находящемся на функциональном уровне Windows Server 2003.
Процесс переименования контроллера домена не предполагает его перемещение между различными доменами. Чтобы выполнить перемещение контроллера между доменами, необходимо выполнить его понижение (demotion) до обычного сервера, а затем заново установить его в уже новом домене.

Перед изменением имени контроллера домена необходимо проинформировать других носителей каталога о его новом имени. Для этого в режиме командной строки необходимо выполнить операцию: netdom computername <текущее_имя> /add:<новое_имя>
В результате новое имя контроллера домена будет зарегистрировано в базе данных службы DNS в качестве альтернативного имени. Необходимо подождать пока информация о новом имени не будет реплицирована на все носители зоны. После этого альтернативное имя надо сделать основным. Для этого используется команда: netdom computer-name <текущее_имя> /MakePrimary: <новое_имя>
Данная команда обновляет сведения об имени контроллера домена в каталоге Active Directory. На этом этапе необходимо перезагрузить контроллер домена. После того как изменения будут реплицированы на все носители каталога, следует выполнить команду, удаляющую старое имя из базы данных DNS и каталога Active Directory: netdom computername <новое_имя> /Remove:<текущее_имя>
После этого можно изменять собственно имя компьютера. Для этого откройте окно свойств объекта My Computer (Мой компьютер) и перейдите на вкладку Computer Name (Имя компьютера). Щелкните по кнопке Change (Изменить) и в открывшемся окне замените существующее имя компьютера новым.

Удаление контроллера домена

Под удалением контроллера домена фактически понимается понижение его до роли обычного сервера. Порой бывает необходимо удалить один или несколько контроллеров из домена или переместить их в другой домен. Нельзя просто вывести контроллер из состава домена, поскольку информация о нем останется в каталоге. Соответственно, этот контроллер домена будет приниматься во внимание при формировании топологии репликации, выполнении аутентификации пользователей и т. п.

Внимание

Перед выполнением операции понижения контроллера домена необходимо убедиться в том, что контроллер не является сервером глобального каталога или исполнителем специализированных ролей. В последнем случае перед понижением контроллера домена администратор должен передать эти роли другим контроллерам. Необходимо, чтобы после понижения контроллера в домене оставался хотя бы один сервер глобального каталога.

Понижение контроллера, являющегося последним в домене, приводит к удалению домена. Операция удаления домена не может быть осуществлена (соответственно, будет прервана операция понижения последнего контроллера домена), если домен имеет дочерние домены. Запрещается также понижать контроллеры домена, являющиеся последними носителями реплик разделов приложений. Перед выполнением операции понижения администратор должен вручную удалить разделы приложений с помощью утилиты Ntdsutil.exe.
Для выполнения операции понижения необходимо, чтобы контроллер домена был работоспособным. Также должны быть доступны другие контроллеры домена. Это позволит выполнить изменения в каталоге, информирующие об удалении контроллера домена. Операция понижения контроллера домена выполняется мастером установки Active Directory (утилита Dcpromo).
В процессе понижения роли комьпьютера мастер установки проверит копию каталога понижаемого контроллера домена на предмет наличия реплик разделов приложений. Если будут обнаружены реплики, являющиеся последними, мастер выдаст соответствующее предупреждение (рис. 19.7). В этом случае мастер в следующем окне потребует подтвердить готовность администратора удалить эту реплику.

Рис. 19.7. На понижаемом контроллере домена обнаружены последние реплики разделов приложений

Внимание

Удаление последней реплики раздела приложения приводит к потере всех хранящихся в ней данных. Как следствие это может привести к отказу или неверной работе приложений.

На заключительном этапе администратор должен будет предоставить информацию о пароле, который будет сопоставлен учетной записи локального администратора. Эта учетная запись будет создана мастером по окончании процедуры удаления компонентов службы каталога.

Управление доверительными отношениями

Как говорилось в предыдущей главе, доверительные отношения выступают в качестве связующего звена между доменами, посредством которого домены организуются в иерархию. Для управления доверительными отношениями используется оснастка Active Directory Domain and Trusts (Active Directory — домены и доверия).

Примечание

Также администратор может использовать для управления доверительными отношениями утилиту командной строки Netdom.exe..

Создание доверительных отношений

Для создания доверительных отношений запустите оснастку Active Directory Domain and Trusts и откройте окно свойств объекта, ассоциированного с нужным доменом. Перейдите на вкладку Trusts (рис. 19.8). В поле Domains trusted by this domain отображаются домены1, которым доверяет конфигурируемый домен (исходящие доверительные отношения), а в поле Domains that trust this domain — домены, доверяющие конфигурируемому домену (входящие доверительные отношения). Для каждого значения отображается информация о типе доверительных отношений и транзитивности. Применительно к типу доверительных отношений возможны следующие значения:

  • Forest — доверительные отношения, установленные между лесами доменов;
  • Tree Root — доверительные отношения, установленные между деревьями доменов в рамках одного леса доменов;
  • Child — доверительные отношения, установленные в рамках дерева доменов между дочерним и родительским доменами;
  • External — доверительные отношения, установленные с внешним доменом любого типа;
  • Shortcut — перекрестные доверительные отношения, установленные между отдельными доменами леса;
  • Realm — доверительные отношения, установленные между областями Kerberos.

Доверительные отношения между лесами доменов могут быть установлены только в том случае, если оба леса находятся на функциональном уровне Windows Server 2003.

Рис. 19.8. Вкладка Trusts окна свойств домена

Процесс создания доверительных отношений зависит от того, какой именно тип отношений администратор хочет создать. Например, если администратор хочет создать отношения полного доверия с внешним доменом, он должен создать пару встречных односторонних доверительных отношений.
Для установки доверительных отношений необходимо щелкнуть по кнопке New Trust (Новые доверительные отношения), что приведет к запуску мастера New Trust Wizard. В ходе работы мастера администратор должен будет предоставить мастеру информацию об имени домена, с которым устанавливаются доверительные отношения. Если домен с указанным именем не обнаружен, мастер предполагает, что подразумевается имя области Kerberos.

Внимание

В пределах леса отношения доверия между родительским и дочерним доменами, а также между деревьями леса доменов не могут быть созданы администраторами вручную. Эти отношения создаются мастером установки Active Directory в ходе создания нового домена.

Удаление доверительных отношений

Для удаления доверительных отношений необходимо выбрать в списке требуемую запись и нажать кнопку Remove (Удалить). Если отношения двусторонние, администратор может при желании удалить отношения доверия направленные как в одну сторону, так ив другую. Может быть удалено только одно из направлений двусторонних отношений доверия.

Внимание

Необходимо помнить, что не могут быть удалены отношения доверия между корневыми деревьями домена, а также отношения между родительским и дочерним доменами.

Для получения информации о состоянии доверительных отношений администратор может использовать утилиту командной строки NLtest.exe. Ниже приводится результат проверки состояния доверительных отношений между текущим доменом и доменом khsu. khakasnet. ru:

С:\>nltest /sc_query:khsu.khakasnet.ru Flags: 30 HAS_IP HAS_TIMESERV Trusted DC Name\\main.khsu.khakasnet.ru Trusted DC Connection Status Status = 0 0x0 NERR_Success The command completed successfully

Управление доверительными отношениями между лесами доменов

Если два леса доменов находятся на функциональном уровне Windows Server 2003, они могут быть соединены друг с другом посредством транзитивных доверительных отношений. Если хотя бы один из лесов доменов находится на функциональном уровне Windows 2000, леса доменов могут быть соединены только посредством внешних доверительных отношений (external trusts), которые не обладают свойством транзитивности.

Внимание

Перед выполнением процедуры создания доверительных отношений между лесами доменов необходимо убедиться, что DNS-сервер способен разрешить доменные имена корневых доменов обоих лесов.

Запустите мастер создания доверительных отношений для корневого домена леса. В ответ на просьбу указать имя домена на противоположном конце доверительных отношений укажите имя корневого домена другого леса. Мастер предложит выбрать способ соединения двух лесов: либо посредством транзитивных доверительных отношений между лесами (forest trust), либо посредством нетранзитивных внешних доверительных отношений (external trust).
На двух последующих страницах мастер попросит предоставить информацию о направлении доверительных отношений (односторонние или двусторонние), а также сведения об учетной записи, в контексте которой создается отношение доверия. Далее администратор должен определить, какая часть ресурсов леса доменов будет доступна аутентифицированным пользователям из другого леса доменов. Имеются два варианта (переключателя на странице мастера):

  • Allow authentication for all resources in the local forest. В этом случае пользователи одного леса могут получить доступ к любым ресурсам в рамках другого леса доменов. Данный режим можно использовать в ситуации, когда оба леса доменов принадлежат одной организации;
  • Allow authentication only for selected resources in the local forest. Администратор вручную указывает ресурсы в рамках леса доменов, которые будут доступны пользователям из другого леса. Этот способ разграничения доступа подходит для сценариев, когда леса доменов принадлежат различным организациям, не желающим предоставлять доступ ко всем ресурсам.

Область доступности ресурсов может быть изменена администратором уже после того, как доверительные отношения созданы. Для этого необходимо открыть окно свойств доверительных отношений и перейти на вкладку Authentication.
На заключительном этапе администратор должен сконфигурировать механизм маршрутизации суффиксов (name suffix routing). По умолчанию, если не обнаружены конфликты в доменных именах, мастер предлагает активизировать механизм маршрутизации суффиксов для всех доменов, входящих в оба леса (рис. 19.9). Администратор может снять флажки напротив имени определенного леса, чтобы предотвратить возможность доступа пользователей в указанный домен.
Впоследствии администратор может произвести дополнительное конфигурирование механизма маршрутизации суффиксов. В окне свойств объекта, ассоциированного с доверительными отношениями между лесами доменов, имеется вкладка Name Suffix Routing, на которой перечислены все параметры. Администратор может отключить (disable) или, наоборот, включить маршрутизацию некоторого суффикса, а также исключить (exclude) некоторый домен из маршрутизации.

Рис. 19.9. Конфигурирование механизма маршрутизации суффиксов

Изменение функционального уровня домена и леса доменов

Функциональный уровень, на котором находится домен или лес доменов, определяет перечень возможностей, доступных в рамках домена или леса доменов. Чем выше функциональный уровень, тем шире диапазон возможностей. Необходимо, однако, понимать, что механизм функциональных уровней был введен компанией Microsoft с целью сохранения совместимости с предыдущими версиями серверных операционных систем (Windows NT/ 2000), которые широко распространены в корпоративных сетях. Организация перехода на Windows Server 2003 требует от компаний значительных финансовых и временных затрат, поэтому для многих из них предпочтительным вариантом является постепенный переход на новую платформу. Этот подход характеризуется одновременным сосуществованием в сети нескольких поколений операционных систем.
Поэтому перевод домена на новый функциональный уровень возможен только в ситуации, когда администратор отказывается от использования одного из поколений операционных систем в качестве контроллеров домена. Отказ от контроллеров домена под управлением Windows NT позволяет перевести домен на функциональный уровень Windows 2000 native. Соответственно, отказ от использования контроллеров домена Windows 2000 позволяет перевести домен на функциональный уровень Windows Server 2003. Только после того как все домены переведены на функциональный уровень Windows Server 2003, администратор может перевести лес доменов на функциональный уровень Windows Server 2003. На этом этапе становится доступен весь спектр возможностей Windows Server 2003.
Для изменения функционального уровня могут использоваться две оснастки: Active Directory Users and Computers и Active Directory Domain and Trusts. Для изменения функционального уровня домена в контекстном меню объекта, ассоциированного с нужным доменом, выберите пункт Raise Domain Functional Level. В открывшемся окне (рис. 19.10) под строкой Current domain functional level отображается текущий функциональный уровень домена. Для его изменения выберите из раскрывающегося списка необходимый функциональный уровень и нажмите кнопку Raise. После изменения функционального уровня домена необходимо некоторое время, чтобы сведения об изменении реплицировались на все контроллеры в домене.

Примечание

Изменение функционального уровня является необратимой операцией. Это означает, что возвращение домена на прежний функциональный уровень невозможно.

Рис. 19.10. Изменение функционального уровня домена

Изменение функционального уровня леса доменов выполняется аналогичным образом. Вызвав контекстное меню объекта, находящегося в корне пространства имен оснастки Active Directory Domain and Trusts, необходимо выбрать в нем пункт Raise Forest Functional Level. Если возможность переведения леса доменов на новый функциональный уровень отсутствует, в открывшемся окне будет выведено соответствующее предупреждение, говорящее о том, что один из доменов, входящих в лес, еще не был переведен на функциональный уровень Windows Server 2003.
Если все требования для изменения функционального уровня леса доменов соблюдены, необходимо нажать кнопку Raise. После того как сведения о произведенном изменении будут реплицированы на все контроллеры домена леса, администратор может использовать новые функциональные возможности.

Конфигурирование клиентов

После того как домен создан и установлены все необходимые контроллеры домена, администратор должен соответствующим образом сконфигурировать клиентские компьютеры. Этот процесс может отличаться в зависимости от версии клиентской операционной системы. Полное взаимодействие со службой каталога для решения различных задач допускает только архитектура операционных систем Windows 2000/XP и Windows Server 2003. Операционные системы Windows 9.X/NT разрабатывались в расчете на использование совсем других механизмов обнаружения контроллера домена, разрешения имен и поиска объектов в сети. Чтобы обеспечить возможность нормальной работы в сети для этих клиентов, необходимо установить специальный компонент — службу клиента Active Directory. Независимо от версии операционной системы следует определить для клиента адрес предпочитаемого DNS-сервера и DNS-суффикс (DNS-имя домена). Для того чтобы DNS-суффикс мог изменяться в процессе перемещения клиента между доменами, необходимо убедиться, что флажок Change primary DNS suffix when domain membership changes установлен.
Следует помнить, что в большинстве случаев проблемы в процессе взаимодействия клиента и контроллера домена обусловлены ошибками в конфигурировании стека протоколов TCP/IP. Наиболее важным является адрес предпочитаемого DNS-сервера. Клиент использует DNS-сервер для получения списка доступных контроллеров домена. Если клиент не может получить адреса контроллеров домена, он не сможет участвовать в процессе аутентификации. Как следствие — сетевые ресурсы окажутся недоступными для него. Учитывая ту роль, которую играет служба DNS в процессе функционирования сети, необходимо уделить особое внимание вопросу проверки настроек DNS-клиента на компьютере (адреса предпочитаемого DNS-сервера и DNS-суффикса). Кроме того, всегда в случае возникновения каких-либо проблем в процессе функционирования цепочки "клиент — контроллер домена", необходимо в первую очередь обращаться к настройке DNS-клиента.

Примечание

Прежде чем компьютер под управлением Windows NT/2000/XP и Windows Server 2003 будет включен в состав домена, необходимо создать в соответствующем доменном разделе каталога объект, ассоциированный с учетной записью для данного компьютера. В противном случае процедура добавления клиента в домен окончится неудачно. Эту операцию можно выполнять заранее или непосредственно при добавлении компьютера к домену.

В случае клиентов под управлением Windows 2000/XP и Windows Server 2003 администратор может использовать различные диагностические инструменты, позволяющие выявить причины возникающих проблем.
Утилита Netdiag позволяет протестировать настройки DNS-клиента и проверить доступность контроллеров для того домена (например, khsu.ru), к которому планируется подключить клиентский компьютер: C:\>netdiag /test:DsGetDc /d:khsu.ru /v
Если предпочитаемый DNS-сервер не содержит информации о домене, к которому подключается клиент, следует проверить настройки клиента и при необходимости использовать другой DNS-сервер в качестве предпочитаемого.
Другой тест позволяет получить список доступных клиенту контроллеров для указанного домена. Этот тест полезно выполнить уже после того, как клиент добавлен в состав домена: C:\>netdiag /testtDcList /d:khsu.ru /v
Если один из контроллеров домена окажется недоступным, утилита выдаст ошибку. В этом случае возможны проблемы с аутентификацией клиента в домене, поиском в каталоге, применением групповых политик и т. д.


Поддержка оборудования

  • Поддержка оборудования
  • Реализация Plug and Play в Windows Server 2003
    • Эволюция технологии Plug and Play
    • Уровни поддержки устройств и драйверов
    • Plug and Play и Windows Server 2003
  • Архитектура Plug and Play в Windows Server 2003
    • Plug and Play Manager в режиме ядра
    • Power Manager и Policy Manager
    • I/O Manager
    • Интерфейс WDM для Plug and Play
      • Типы драйверов
    • Компоненты Plug and Play в режиме пользователя
  • Установка нового устройства
    • Обнаружение и распознавание устройств Plug and Play
  • Конфигурирование аппаратных средств и работа с ними
    • Аппаратные профили
    • Работа с утилитой Device Manager
      • Просмотр скрытых устройств
  • Управление электропитанием и энергосбережение

Поддержка оборудования

Повышение надежности системы и снижение возможного времени простоя всегда являлись одной из приоритетных целей разработчиков Microsoft, и уже в Windows 2000 этим вопросам было уделено самое пристальное внимание. Весьма ограниченная поддержка Plug and Play в Windows NT 4.0 являлась одним из наиболее существенных недостатков этой операционной системы и вызывала множество справедливых нареканий пользователей. По сравнению с Windows NT, операционные системы Windows 2000 Professional и Windows 2000 Server предоставили множество усовершенствований в данной области, реализация которых стала частью инициативы нулевого администрирования Microsoft (ZAW).

  • Был существенно расширен список поддерживаемых аппаратных устройств (HCL), в который были включены сотни новых принтеров, модемов, устройств с автоподачей для CD-ROM, стримеров, накопителей на магнитооптических дисках и других устройств.
  • Снижение частоты необходимых перезагрузок. В отличие от Windows NT 4.0 Workstation и Windows NT 4.0 Server, Windows 2000 Professional и Windows 2000 Server позволяют пользователям вносить изменения в конфигурацию компьютера без необходимости перезагрузки. Это преимущество явилось одним из наиболее значимых, т. к. оно упрощает обслуживание при одновременном повышении надежности.
  • Были существенно упрощены как установка самой операционной системы, так и процедуры установки и конфигурирования нового оборудования. Фактически уже в Windows 2000 большинство новых устройств могло быть подключено динамически.

Все это было достигнуто за счет включения в Windows 2000 поддержки Plug and Play, а также средств управления электропитанием и энергосбережением.
В новых операционных системах — Windows XP и Windows Server 2003 — были введены дополнительные усовершенствования в области работы с аппаратными средствами. Список этих усовершенствований весьма впечатляющ.

  • Уже на данный момент Windows XP и Windows Server 2003 реализуют поддержку Plug and Play для сотен устройств, не включенных в список совместимых устройств (HCL) для Windows 2000. Наряду с этим, обеспечивается улучшенная поддержка для устройств, подключаемых к шинам USB (Universal Serial Bus), IEEE 1394, PCI (Peripheral Component Interconnect). И хотя модель драйверов по сравнению с Windows 2000 не претерпела существенных изменений, Windows XP и Windows Server 2003 предлагают расширенную поддержку для многих распространенных классов устройств, включая сканеры, камеры, аудиоустройства, накопители высокой плотности и т. д. Помимо этого, начиная с Windows XP, была введена технология Windows Image.Acquisition (WIA), предоставляющая удобный пользовательский интерфейс для работы со сканерами и цифровыми камерами, подобный тому, который существует в Windows ME.
  • Улучшенная поддержка работы с цифровыми аудио- и видеофайлами. Поддержка цифровых аудио- и видеофайлов в Windows XP и Windows Server 2003 базируется на технологиях, уже реализованных в более ранних версиях Windows, однако, наряду с этим, были введены и новые технологии, обеспечивающие поддержку большого количества новых устройств, а также расширенные возможности по воспроизведению и хранению цифрового аудио и видео. В частности, для поддержки цифровых аудиоустройств Windows XP, как и ее предшественница Windows 2000, базируется на архитектуре WDM. Наряду с этим, в Windows XP и Windows Server 2003 реализован целый ряд новых технологий, обеспечивающих улучшенное качество воспроизведения и записи цифрового аудио, в том числе:
    • многоканальный вывод и воспроизведение для большого количества дополнительных аудиоформатов;
    • поддержка технологий Acoustic Echo Cancellation (AEC) и Global Effects (GFX), обеспечивающих улучшенное качество звукозаписи и более удобный интерфейс при работе с микрофонами USB;
    • улучшенная поддержка технологии DRM (Digital Rights Management), позволяющей обеспечить защиту авторских прав на музыкальные записи и другую цифровую информацию за счет шифрования и применения ограничений на использование (например, по типу воспроизводящих устройств). Все драйверы аудиоустройств, входящие в состав Windows XP и Windows Server 2003 Server, поддерживают эту технологию;
    • улучшенная поддержка работы с аудио-CD, CD-ROM, а также улучшенная поддержка DVD. Так, в Windows XP была введена встроенная поддержка чтения и записи на устройства DVD-RAM с использованием файловых систем FAT и FAT32. Помимо этого, обеспечиваются возможности чтения файловой системы UDF (Universal Disk Format) версии 2.01, представляющей собой функциональное расширение UDF 1.02, используемой на текущий момент в качестве стандарта для носителей DVD. Предоставляются встроенные возможности по записи компакт-дисков, включая запись дисков в форматах CD-R и CD-RW.

При этом обеспечиваются базовые функциональные возможности drag-and-drop, а также программа-мастер CD Writing Wizard;

  • наконец, компьютер, работающий под управлением Windows Server 2003 можно сконфигурировать как сервер мультимедийного содержания (Streaming media server), в режиме реального времени предоставляющий мультимедийную информацию в корпоративных сетях и в Интернете.

Рис. 2.1. Функция Shutdown Event Tracker позволяет вести строгий учет всех событий, в результате которых потребовалась перезагрузка сервера

  • Улучшенная поддержка нескольких мониторов (технология DualView). Несмотря на то, что поддержка множества мониторов не является новой для Windows (впервые она была введена в Windows 98, и в существенно улучшенном виде присутствует в Windows 2000), в Windows XP она получила дальнейшее развитие за счет реализации технологии, известной как DualView. За счет этого Windows XP и Windows Server 2003 предоставляют дополнительные опции по конфигурированию множества мониторов как для портативных, так и для настольных компьютеров. Технология DualView представляет собой функциональное расширение встроенной поддержки множества мониторов, имеющейся в Windows 98, Windows ME и Windows 2000.
  • За счет улучшенного управления электропитанием и энергосберегающими режимами существенно повышена производительность системы. Так, например, введены функции быстрой загрузки (Fast Boot), улучшенная поддержка BIOS, а также усовершенствования в работе с "ждущим" (Standby) и "спящим" (Hibernation) режимами.
  • Усовершенствования технологии Plug and Play в Windows XP и Windows Server 2003 более чем на 90 процентов сократили количество перезагрузок системы, необходимых для проведения плановых работ. Более того, появившаяся функциональная возможность Shutdown Event Tracker позволяет вести строгий учет всех выполняемых перезагрузок (рис. 2.1). Более подробно эта функция будет рассмотрена в главе 23 "Восстановление системы".

Реализация Plug and Play в Windows Server 2003

Как и Windows 2000 и Windows XP, Windows Server 2003 включают в свой состав усовершенствования, которые не просто упрощают управление устройствами для конечных пользователей, но и значительно облегчают задачи разработчиков драйверов устройств. В число этих усовершенствований входят поддержка управления электропитанием и поддержка Plug and Play. Plug and Play представляет собой комбинацию поддержки аппаратных средств и программного обеспечения, которая позволяет- компьютерной системе распознавать изменения в аппаратной конфигурации при минимальном вмешательстве пользователя и даже без взаимодействия с пользователем. Работая с системой Plug and Play, пользователь может добавлять или удалять устройства динамически, без утомительного и неудобного ручного конфигурирования. Более того, пользователю даже не нужно глубокое знание принципов функционирования аппаратных средств компьютера. Например, пользователь может подключить портативный компьютер к сети через адаптер Ethernet, имеющийся на док-станции, и сделать это без необходимости ручного изменения конфигурации. Впоследствии этот же компьютер можно использовать для установления соединения с локальной сетью через модем, для этого тоже не потребуется изменять конфигурацию вручную. Windows Server 2003 в полном объеме поддерживает Plug and Play — набор стандартов аппаратной и программной поддержки, позволяющей компьютерной системе распознавать и адаптировать изменения аппаратной конфигурации без вмешательства пользователя и без необходимости перезагрузки компьютера.
Устройства, удовлетворяющие требованиям Plug and Play, с легкостью можно как установить или переконфигурировать, так и удалить из системы. Более того, многие периферийные устройства могут быть установлены или удалены без выключения питания, и это изменение будет корректно обработано.

Примечание

Как правило, большинство периферийных устройств Plug and Play может быть установлено или удалено без необходимости выключения компьютера. Тем не менее, существует ряд устройств, для установки или удаления которых выключение системы все же требуется. В частности, к их числу относятся внутренние устройства, для установки которых необходимо вскрывать корпус системного блока.

Удаление устройства из аппаратной конфигурации компьютера без предварительного уведомления операционной системы называется внезапным удалением (surprise removal), поскольку для операционной системы это действие действительно является неожиданным. В отличие от предыдущих версий Windows NT, системы Windows 2000, Windows XP и Windows Server 2003 в большинстве случаев будут корректно обрабатывать эту ситуацию, т. к. драйверы устройств разрабатываются таким образом, чтобы уведомлять ОС об удалении устройства.

Рис. 2.2. Окно Unsafe Removal of Device

Однако, несмотря на это, существует целый ряд устройств, для которых внезапное удаление не рекомендуется. К их числу, в частности, относятся:

  • некоторые накопители;
  • модемы;
  • сетевые адаптеры.

При внезапном удалении таких устройств Windows XP и Windows Server 2003 отобразят окно, информирующее пользователя о необходимости использовать функцию Safe Removal при последующих попытках удаления такого устройства (рис. 2.2). Более подробная информация об этом будет приведена далее в настоящей главе.
Новые средства операционной системы, выполняющие задачи по управлению аппаратными средствами, — Hardware Wizard и Device Manager — существенно упрощают установку новых устройств, таких как устройства CD-ROM, сетевые адаптеры, жесткие диски и т. д.

Эволюция технологии Plug and Play

Впервые поддержка Plug and Play была включена в состав операционной системы Windows 95. Однако с тех пор технологии Plug and Play существенно изменились и прошли достаточно долгий путь развития. В значительной степени эта эволюция является результатом технической инициативы OnNow, которая представляла собой попытку определить в масштабах всей системы универсальный подход к управлению конфигурацией системы и устройств, а также к управлению электропитанием. Одним из результатов инициативы OnNow является спецификация ACPI 1.0 (Advanced Configuration and Power Interface Version 1.0), которая определяет новый интерфейс между системной платой и BIOS, расширяющий данные Plug and Play путем включения управления электропитанием и других конфигурационных возможностей, осуществляемых под контролем операционной системы.
В отличие от поддержки Plug and Play в Windows 95, реализация Plug and Play в Windows 2000/XP и продуктах из семейства Windows Server 2003 базируется не на Advanced Power Management (АРМ) BIOS или Plug and Play BIOS. Эти две реализации BIOS были разработаны для Windows 95 и, как ранние попытки обеспечения поддержки Plug and Play и управления электропитанием, они поддерживаются в Windows 98 для обеспечения обратной совместимости. Фактическая поддержка Plug and Play и управления электропитанием обеспечиваются в Windows 2000/XP и продуктах из семейства Windows Server 2003 Server интерфейсом ACPI.
Технология Plug and Play требует комбинированного взаимодействия BIOS персонального компьютера, его аппаратных компонентов, драйверов устройств и операционной системы. Основные требования к реализации системной платы и поддержке BIOS, необходимые для обеспечения поддержки Plug and Play в Windows 2000, Windows XP и Windows Server 2003, определены в спецификации ACPI. Новейшие версии операционных систем из семейства Windows используют эту спецификацию как основу для построения их архитектуры Plug and Play в соответствии с требованиями инициативы OnNow.
Спецификация ACPI определяет новый интерфейс между операционной системой и компонентами компьютера, обеспечивающими поддержку Plug and Play и управления электропитанием. Обратите внимание, что методы, определенные в ACPI, не зависят от конкретной операционной системы или типа процессора. ACPI определяет интерфейс на уровне регистров для базовых функций Plug and Play и управления электропитанием, а также определяет описательный интерфейс для дополнительных аппаратных возможностей. Это позволяет разработчикам реализовать целый диапазон функций Plug and Play и управления электропитанием для самых разных аппаратных платформ при использовании одного и того же драйвера операционной системы. Помимо этого, ACPI предоставляет общий механизм системных событий для Plug and Play и управления электропитанием.
Некоторые типы системных BIOS, декларируемые их поставщиками как соответствующие спецификации ACPI, могут вызвать проблемы с установкой Windows 2000/XP или Windows Server 2003. Иногда они также могут послужить причиной периодических ошибок ядра (ошибок STOP, известных также под названием "синих экранов смерти") уже после установки операционной системы. С целью минимизации вероятности возникновения таких ситуаций разработчики Microsoft включили в программу установки ОС специальные функциональные возможности, позволяющие блокировать или активизировать поддержку ACPI на основании следующих критериев.

  • Принадлежность BIOS к списку совместимых BIOS (Good BIOS List). Этот список используется для активизации режима поддержки ACPI для некоторых типов системной BIOS с датой выпуска до 01/01/1999. Если системная BIOS, обнаруженная на компьютере, указана в этом списке, то режим ACPI будет активизирован. Поскольку дата 01/01/1999 уже истекла, Microsoft больше не добавляет новых записей в список "хороших" BIOS.
  • Принадлежность к списку несовместимых BIOS (Incompatible BIOS list). Этот список используется для блокировки режима ACPI для некоторых BIOS с датой выпуска 01/01/1999 или более поздней. BIOS добавляются в этот список в том случае, если группа тестеров Microsoft или сами разработчики BIOS выясняют, что режим ACPI вызывает проблемы со стабильностью Windows. Это означает, что система не прошла тест на аппаратную совместимость ACPI (ACPI Hardware Compatibility Test, HCT), не загружается или не обеспечивает необходимого минимума функциональных возможностей. Список несовместимых BIOS (ACPI HCT) можно найти по следующему адресу: http://www.microsoft.com/hwdev/acpihct.htm.

Если системная BIOS не присутствует ни в одном из этих списков, объявляет себя как соответствующую спецификации ACPI и имеет дату не ранее 01/01/1999, то режим ACPI будет активизирован. Операционная система использует стандартную дату РС-АТ, которая находится по адресу F000:FFF5.

Примечание

Если программа Windows Server 2003 Setup, проверяя систему перед установкой Windows, обнаруживает, что системная BIOS находится в списке несовместимых ACPI BIOS, то режим ACPI блокируется. Чтобы в полном объеме гарантировать функциональные возможности Plug and Play и управления электропитанием при использовании Windows 2000/XP или Windows Server 2003, BIOS необходимо обновить. Подробную информацию об этом можно получить по адресу: http://www.Hardware-Update.com.

В отличие от систем на базе процессоров Intel Itanium, которые всегда являются ACPI-совместимыми, для систем на базе процессоров х86 способ взаимодействия устройств Plug and Play с системной BIOS имеет очень важное значение. В некоторых системах программа BIOS Setup предоставляет опцию Enable Plug and Play operating system, которая влияет на способ этого взаимодействия. Строго говоря, эта опция указывает, какой из компонентов управляет аппаратными средствами компьютера — системная BIOS или же операционная система. Если ваша система не является ACPI-совместимой, то эту опцию рекомендуется блокировать, установив для нее значение No/Disabled.

Примечание

Кроме того, Microsoft рекомендует блокировать эту опцию, если вы имеете систему с двойной загрузкой, где вторая операционная система — Windows 98/ME, особенно если тест Plug and Play на соответствие ACPI проходит в Windows 98/ME (BIOS определяется как ACPI BIOS), но не проходит в Windows XP или Windows Server 2003. Если ваша система полностью совместима с ACPI (это означает, что в ней присутствует ACPI BIOS и установлен ACPI HAL), то назначение ресурсов аппаратным устройствам выполняет не BIOS, а операционная система. Параметры, установленные через программу BIOS Setup, включая и опцию Enable Plug and Play operating system, при этом игнорируются.

Кроме спецификации ACPI, существуют и другие промышленные стандарты, например, Universal Serial Bus, Version 1.0, PCI Local Bus Specification, Revision 2.1 и PCMCIA.
Основная цель реализации Plug and Play — дальнейшее развитие промышленной инициативы, направленной на упрощение работы с персональными компьютерами для конечных пользователей. Кроме того, Plug and Play в Windows 2000, Windows XP и Windows Server 2003 решает следующие задачи.

  • Расширение существующей в Windows NT инфраструктуры ввода/вывода так, чтобы она поддерживала Plug and Play и управление электропитанием при одновременной поддержке промышленных стандартов на аппаратные средства Plug and Play.
  • Разработка общих интерфейсов драйверов, которые поддерживают Plug and Play и управление питанием для множества классов устройств под управлением Windows 2000/XP, Windows Server 2003 и Windows 98/ME.
  • Оптимизация поддержки Plug and Play для самых разнотипных компьютеров — портативных, настольных рабочих станций и серверов, имеющих системные платы ACPI. В дополнение к сказанному, поддержка драйверов устройств Plug and Play для различных классов устройств обеспечивается моделью драйвера Microsoft Win32 (Microsoft Win32® Driver Model, WDM), которая поддерживает также управление подачей электропитания и другие новые возможности, которые могут конфигурироваться и управляться операционной системой.

Уровни поддержки устройств и драйверов

Уровень поддержки Plug and Play, обеспечиваемый устройством, зависит как от аппаратной поддержки Plug and Play, так и от поддержки, обеспечиваемой драйвером этого устройства. На схематическом уровне эта концепция иллюстрируется в табл. 2.1.

Таблица 2.1. Уровни поддержки Plug and Play для устройств и драйверов

 | Драйвер Plug and Play | Драйвер без поддержки Plug and Play
Устройство Plug and Play | Полная поддержка Plug and Play | Поддержка Plug and Play отсутствует
Устройство без поддержки Plug and Play | Возможна частичная поддержка Plug and Play | Поддержка Plug and Play отсутствует

Как показывает эта таблица, для обеспечения полной поддержки Plug and Play устройство Plug and Play должно иметь драйвер, поддерживающий Plug and Play.
Ниже кратко описаны все возможные конфигурации.

  • Устройство и драйвер поддерживают Plug and Play (полная поддержка Plug and Play). Чтобы обеспечить оптимальную поддержку Plug and Play, аппаратная реализация должна соответствовать инициативе OnNow, включая спецификацию ACPI. Поддержка Plug and Play в Windows 2000/XP л Windows Server 2003 направлена только на системы ACPI.
  • Устройство Plug and Play/драйвер без поддержки Plug and Play (поддержка Plug and Play отсутствует). Если драйвер не поддерживает Plug and Play, то устройство будет вести себя как устройство, не поддерживающее Plug and Play, несмотря на то, что оно поддерживает эту спецификацию аппаратно. Обратите особое внимание на то, что устройство, не поддерживающее Plug and Play, может ограничить функциональные возможности Plug and Play для всей системы.
  • Устройство без поддержки Plug and Play/драйвер Plug and Play (возможна частичная поддержка Plug and Play). Устройство, не поддерживающее Plug and Play на аппаратном уровне, может обеспечивать частичную поддержку Plug and Play при условии загрузки соответствующего драйвера (Plug and Play). Хотя такая система не может автоматически и динамически распознавать аппаратные средства и загружать соответствующие драйверы, она обеспечит возможность управления выделением ресурсов Plug and Play, а также предоставит интерфейс для взаимодействия драйвера с системой Plug and Play и позволит взаимодействовать с системой управления электропитанием и регистрировать события, связанные с уведомлением устройств. Если такое устройство имеет драйвер Plug and Play, то оно отображается в приложении Device Manager, и для него будут доступны страницы конфигурирования свойств.
  • . Ни устройство, ни драйвер не поддерживают Plug and Play (поддержка Plug and Play отсутствует). Драйверы, разработанные до включения поддержки Plug and Play в операционную систему, будут функционировать точно так же, как раньше (без обеспечения функций Plug and Play). Все новые драйверы должны поддерживать Plug and Play.

Как видите, поддержка Plug and Play зависит не только от самого устройства, но и от его драйвера. Например, если вы установили в своей системе наследуемое устройство, вы все же можете обеспечить некоторый уровень поддержки Plug and Play и даже обеспечить для устройства дополнительные функциональные возможности за счет установки драйвера устройства, разработанного с учетом поддержки Plug and Play.

Примечание

Поддержка возможностей Plug and Play для мониторов имеет некоторые особенности. Так, Windows XP и Windows Server 2003 будут воспринимать монитор как поддерживающий Plug and Play, только если эта поддержка обеспечивается как монитором и видеоадаптером, так и драйвером дисплея. В противном случае монитор будет идентифицирован как стандартный (default monitor).

Plug and Play и Windows Server 2003

Чтобы включить поддержку Plug and Play в Windows 2000, Windows XP и Windows Server 2003, потребовалось объединить реализацию Plug and Play с базовым исходным кодом Windows NT. Результаты этой интеграции перечислены ниже.

  • Драйверы шины теперь отделены от уровня аппаратных абстракций (HAL). Драйверы шины управляют шиной ввода/вывода, включая функциональные возможности слотов, независимые от конкретных устройств. В этой новой архитектурной модели драйверы шины были отделены от HAL (Hardware Abstraction Layer), чтобы обеспечить координацию с изменениями и расширениями, внесенными в компоненты режима ядра, например, в модуль Executive, драйверы устройств и HAL. Как правило, драйверы шины поставляются Microsoft.
  • Для обеспечения инсталляции и конфигурирования устройств теперь доступны новые методы и возможности. Новая архитектура включает изменения и расширения для существующих компонентов режима пользователя, включая спулер (Spooler), инсталляторы классов (class installers), панель управления, а также программу Setup. Также добавлены новые компоненты режимов пользователя и ядра, обладающие возможностями Plug and Play.
  • Разработаны новые интерфейсы прикладного программирования Plug and Play для чтения и записи информации реестра. Для обеспечения этой цели были внесены изменения в структуру реестра. Теперь эта структура поддерживает Plug and Play и позволяет обеспечить дальнейшее совершенствование и расширение структуры реестра будущих версий при обеспечении обратной совместимости.

Windows XP и Windows Server 2003 поддерживают наследуемые драйверы Windows NT (legacy Windows NT drivers), но эти драйверы не будут обладать функциональными возможностями Plug and Play и управления электропитанием. Фирмы-производители, которым требуется обеспечить полную поддержку функциональных возможностей Plug and Play для выпускаемых устройств и функционирование одних и тех же драйверов как в Windows 2000/XP и Windows Server 2003, так и в Windows 98/ME, должны разрабатывать новые драйверы, интегрирующие последние достижения технологии Plug and Play и управления электропитанием.
Windows XP и Windows Server 2003 обеспечивают следующую поддержку Plug and Play.

  • Автоматическое и динамическое распознавание установленных аппаратных средств. В число обеспечиваемых функций входят начальная инсталляция системы, распознавание аппаратных изменений Plug and Play между перезагрузками системы и реакция на аппаратные события времени исполнения, включая отключения и подключения док-станций и установку/удаление устройств.
  • Назначение и переназначение аппаратных ресурсов. Драйверы устройств Plug and Play не назначают собственных ресурсов. Вместо этого необходимые для устройства ресурсы идентифицируются при энумерации устройства операционной системой. Модуль Plug and Play Manager запрашивает эти требования при выделении ресурсов каждому устройству. На основании запросов на назначение ресурсов, подаваемых каждым устройством, Plug and Play Manager назначает устройствам соответствующие ресурсы, включая порты ввода/вывода, прерывания (IRQ), каналы DMA и адреса памяти. При необходимости Plug and Play Manager переконфигурирует назначение ресурсов. Такая потребность возникает, например, при добавлении в систему нового устройства, которое запрашивает ресурсы, уже назначенные другому устройству.
  • Загрузка соответствующих драйверов. Plug and Play Manager определяет и загружает драйверы, необходимые для поддержки конкретного устройства.
  • Интерфейс для взаимодействия драйверов с системой Plug and Play. Этот интерфейс состоит, в основном, из процедур ввода/вывода, пакетов запроса ввода/вывода для системы Plug and Play (I/O request packets, IRP), необходимых точек входа драйверов и информации реестра.
  • Взаимодействие с системой управления электропитанием. Ключевой особенностью системы Plug and Play в Windows 2000/XP и Windows Server 2003 является динамическая обработка событий. Добавление или удаление устройства является примером такого динамического события. Другой пример — способность динамического перевода устройства в режим энергосбережения и обратно. Система Plug and Play и система управления электропитанием используют функции WDM и применяют схожие методы реагирования на динамические события.
  • Регистрация событий уведомления устройств. Plug and Play позволяет коду режима пользователя регистрировать и получать уведомления об определенных событиях Plug and Play. Процедура RegisterDeviceNotification позволяет осуществляющему вызов коду фильтровать класс или устройство, от которого требуется получать уведомления. Фильтр может быть специфическим, например дескриптор файловой системы, или общим, например класс устройств. Методы уведомлений, наследуемые от предыдущих версий Windows NT, также поддерживаются и работают как прежде.

Архитектура Plug and Play в Windows Server 2003

Ядро операционных систем Windows 2000/XP и Windows Server 2003 обеспечивает поддержку Plug and Play в процессе загрузки и предоставляет интерфейсы для взаимодействия с такими компонентами операционной системы, как уровень аппаратных абстракций (HAL), исполняющая подсистема (модуль Executive) и драйверы устройств (рис. 2.3). Функции режима пользователя взаимодействуют с функциями режима ядра, обеспечивая возможности динамической конфигурации и интерфейса с остальными компонентами, которые должны поддерживать Plug and Play, например, с программой Setup и приложениями Control Panel.
Следующие разделы подробно описывают модули Plug and Play.

Рис. 2.3. Архитектура Plug and Play в Windows 2000/XP и Windows Server 2003

Plug and Play Manager в режиме ядра

Модуль Plug and Play Manager (PnP Manager), работающий в режиме ядра, поддерживает функции центрального управления, управляет шинными драйверами при выполнении энумерации (enumeration) и драйверами устройств при добавлении устройства, его запуске и т. д.
Например, Plug and Play Manager может направлять запросы, чтобы определить, может ли устройство быть удалено, и позволить драйверу устройства синхронизировать незавершенные запросы ввода/вывода с поступающим запросом. Plug and Play Manager координируется с соответствующим модулем режима пользователя при определении устройств, доступных для выполнения таких операций.

Power Manager и Policy Manager

Power Manager — это компонент режима ядра, который работает совместно с модулем Policy Manager и обрабатывает вызовы интерфейса прикладного программирования (API) управления электропитанием, координирует события и генерирует запросы на прерывания, связанные с управлением электропитанием IRP. Например, если различные устройства отправляют запросы на отключение, Power Manager собирает эти запросы, определяет, какие запросы должны быть сериализованы и генерирует соответствующие IRP.
Policy Manager наблюдает за активностью системы и собирает интегрированную информацию о статусе пользователей, приложений и драйверов устройств. При определенных обстоятельствах или по запросу Policy Manager генерирует IRP для изменения статуса драйверов устройств.

I/O Manager

Диспетчер ввода/вывода (I/O Manager) обеспечивает базовые сервисы для драйверов устройств. Диспетчер ввода/вывода представляет собой компонент режима ядра, который выполняет трансляцию команд чтения и записи режима пользователя в соответствующие IRP. Помимо этого, диспетчер ввода/вывода управляет всеми остальными основными IRP операционной системы. Эти интерфейсы работают точно так же, как они работали в операционной системе Windows NT 4.0. Обратите внимание, что поскольку диспетчер ввода/вывода имеется и в Windows NT 4.0, и в Windows 2000/XP/ Server 2003, драйвер Plug and Play может устанавливаться вручную в Windows NT 4.0 и может функционировать как драйвер Plug and Play в Windows 2000/XP/Server 2003.

Примечание

Начиная с Windows XP, подсистема ввода/вывода была усовершенствована за счет введения новых интерфейсов прикладного программирования (API), которые должны быть доступны драйверам устройств в соответствии с требованиями программы Windows Logo. Драйверы устройств, разработанные специально для Windows XP и Windows Server 2003, за счет использования этих API смогут в полной мере реализовать преимущества, предоставляемые такими новыми возможностями, как Volume Snadow Copy Service (более подробно о них пойдет речь в главе 23 "Восстановление системы"). Наряду с этим, Windows XP и Windows Server 2003 обеспечивают полную обратную совместимость с драйверами, разработанными для Windows 2000. Таким образом, драйвер, который подходил для использования в Windows 2000, практически наверняка будет работать и в Windows XP и Windows Server 2003. Несмотря на это, Microsoft настоятельно рекомендует проверять, не существует ли для вашего устройства драйверов, разработанных специально для более новых версий операционной системы (чтобы получить обновленный драйвер, обратитесь к поставщику устройства или посетите сайт Windows Update).

Интерфейс WDM для Plug and Play

Система ввода/вывода предоставляет уровневую архитектуру драйверов. В данном разделе обсуждаются типы драйверов WDM, уровни драйверов и объекты устройств. Более подробную информацию по данному вопросу можно найти в файлах сопроводительной документации к последней версии Windows DDK.

Типы драйверов

С точки зрения системы Plug and Play существуют следующие три типа драйверов.

  • Шинный драйвер обслуживает контроллер шины, адаптер, мост или любое устройство, которое имеет дочерние устройства. Шинные драйверы относятся к обязательным драйверам и обычно поставляются Microsoft. Для каждого типа шины в системе имеется собственный шинный драйвер.
  • Функциональный драйвер — это основной драйвер устройства, который предоставляет интерфейс с этим устройством. Этот драйвер является обязательным, за исключением случаев, когда ввод/вывод устройства осуществляется шинным драйвером или любыми драйверами фильтра. Функциональный драйвер устройства обычно реализуется в виде пары драйвер/мини-драйвер. В таких парах драйверов драйвер класса (обычно разрабатываемый Microsoft) обеспечивает функциональные возможности, необходимые всем устройствам этого типа, а мини-драйвер (обычно разрабатываемый фирмой — поставщиком конкретного устройства) обеспечивает специфические функциональные особенности устройства. Plug and Play Manager загружает по одному функциональному драйверу для каждого устройства.
  • Драйвер фильтра сортирует запросы ввода/вывода для шины, устройства или класса устройств. Драйверы фильтра являются необязательными и могут существовать в любом количестве, располагаясь на различных уровнях — как выше, так и ниже функционального драйвера и шинного драйвера. Обычно такие драйверы поставляются фирмами OEM или независимыми поставщиками аппаратных средств (IHV).

В большинстве случаев драйверы фильтров нижнего уровня модифицируют поведение аппаратных средств. Например, низкоуровневый драйвер фильтра класса для мыши может обеспечивать ускорение ее работы, выполняя нелинейное преобразование данных о перемещении мыши.
Высокоуровневые драйверы фильтров обычно предоставляют дополнительные функции для устройства. Например, высокоуровневый драйвер фильтра для клавиатуры может вводить дополнительные проверки по безопасности.
Уровни драйверов
Для каждого конкретного устройства существует два или более уровней драйвера: шинный драйвер для шины ввода/вывода (или Plug and Play Manager — для устройств, помещенных при энумерации на корневой уровень) и функциональный драйвер устройства. Помимо этого, могут присутствовать один или несколько драйверов фильтра для шины или устройства.
Объекты устройств
Драйвер создает объект устройства (device object) для каждого устройства, которым он управляет. Объект устройства представляет устройство для драйвера. С точки зрения Plug and Play, существуют три типа объектов устройств.

  • Физические объекты устройств (Physical Device Objects, PDO).
  • Функциональные объекты устройств (Functional Device Objects, FDO).
  • Объекты фильтров устройств

PDO представляют устройство на шине; каждый интерфейс прикладного программирования Plug and Play API, который ссылается на устройство, ссылается на PDO. FDO представляют функциональные возможности устройства функциональному драйверу. Объекты фильтров представляют драйвер фильтра. Эти три типа объектов устройств имеют тип DEVICE_OBJECT, но используются по-разному и могут иметь дополнительные расширения.
Дополнительные интерфейсы
Драйверы Plug and Play, предназначенные для использования в Windows 2000, Windows XP и Windows Server 2003, не ограничиваются использованием интерфейсов WDM. Драйверы могут вызывать другие интерфейсы для обеспечения поддержки наследуемых драйверов Windows NT, обнаружения аппаратных средств или других специфических функций, не предоставляемых WDM.
Обратите внимание, что если драйвер должен применяться как в Windows 98/ ME, так и в Windows 2000/XP/Server 2003, то он должен использовать только интерфейсы WDM.
Шинные драйверы WDM
Управление электропитанием и Plug and Play осуществляется при помощи шинных драйверов WDM, которые представляют собой стандартные драйверы WDM. Обратите внимание, что в этом контексте любое устройство, начиная с которого происходит энумерация других устройств, будет называться шиной. Шинный драйвер отвечает на пакеты запроса ввода/вывода (IRP) и может быть расширен за счет использования драйверов фильтров.
Шинный драйвер выполняет следующие задачи:

  • Энумерация устройств на шине
  • Динамическое извещение операционной системы о событиях на шине
  • Ответы на IRP от систем Plug and Play и управления электропитанием
  • Мультиплексирование доступа к шине (для некоторых шин)
  • Общее администрирование устройств на шине

В ходе энумерации драйвер шины идентифицирует устройства на своей шине и создает для них объекты устройств. Метод, с помощью которого драйвер идентифицирует устройства на шине, зависит от конкретной шины.
Шинный драйвер выполняет некоторые операции от имени устройств, находящихся на его шине, но обычно не обрабатывает операции чтения и записи на устройства, находящиеся на шине. (Эти операции обрабатываются функциональным драйвером.) Драйвер шины выступает в роли функционального драйвера для своего контроллера, адаптера, моста или другого устройства.
Microsoft поставляет шинные драйверы для большинства распространенных шин, в том числе: PCI, Plug and Play ISA, SCSI и USB. Прочие шинные драйверы могут поставляться независимыми поставщиками — IHV или OEM. Шинный драйвер может быть реализован как пара драйвер/мини-драйвер. В таких парах драйверов один из драйверов связан со вторым, а второй представляет собой DLL.
Драйвер ACPI выполняет роль как шинного драйвера, так и функционального драйвера. ACPI позволяет системе узнавать об устройствах, которые не имеют стандартного метода энумерации (т. е. о наследуемых устройствах), или о вновь определенных устройствах ACPI, энумерация которых должна производиться ACPI (например, о встроенных контроллерах). ACPI устанавливает драйверы фильтра верхнего уровня для устройств, функциональные возможности которых выходят за пределы стандарта для их шины. Например, если шинный драйвер PCI устанавливает графический контроллер с элементами управления электропитанием, которые не поддерживаются шиной PCI, то устройство может поддерживать дополнительные функциональные возможности, если драйвер ACPI загрузит для него высокоуровневый драйвер фильтра.
Драйверы устройств WDM
Драйверы устройств WDM обычно представляют собой пару "драйвер/мини-драйвер —• драйвер фильтра". В дополнение к предоставлению операционного интерфейса с устройством функциональные драйверы играют важную роль в системе управления электропитанием, предоставляя информацию владельцу политики для устройства о возможностях управления электропитанием и выполняя действия, относящиеся к переходам от режима энергосбережения к режиму подачи электропитания в полном объеме.

Компоненты Plug and Play в режиме пользователя

В Windows 2000/XP и Windows Server 2003 API-интерфейсы режима пользователя для управления устройствами и их конфигурирования в среде Plug and Play представляют собой 32-разрядные расширенные версии, базирующиеся на API Configuration Manager для Windows 95. В Windows 95 Configuration Manager представляет собой виртуальный драйвер устройства (VxD), который предоставляет эти процедуры в качестве сервисов компонентам, работающим в кольцах защиты 0 и 3.
Начиная с Windows 2000, эти процедуры расширяют функциональные возможности компонента Plug and Play Manager режима пользователя и представляют собой API-интерфейсы режима пользователя. Драйверы устанавливаются программой Setup. 32-разрядные API-интерфейсы инсталляции устройств, используемые программой Setup, представляют собой надмножество процедур инсталляции Windows 95.
Wiridows 2000, Windows XP и Windows Server 2003 предоставляют API, которые приложения могут использовать для индивидуального управления аппаратными событиями и для создания новых аппаратных событий.

Установка нового устройства

Что же происходит с системой при установке в ней нового устройства? Если у вас есть хотя бы небольшой предварительный опыт работы с более ранними версиями Windows NT/2000, вам известно, что практически вся информация об аппаратных средствах компьютера и установленном на нем программном обеспечении хранится в системном реестре.
Даже если Windows XP и Windows Server 2003 встречают новое устройство, на текущий момент не занесенное в реестр, и система пока не имеет сведений о том, как с ним работать, она в первую очередь попытается распознать устройство. Если новое устройство успешно распознано, то на панели в правом нижнем углу экрана появляется индикатор мастера установки нового оборудования и выводится всплывающее сообщение, информирующее пользователя об обнаружении нового устройства. При этом стоит отметить, что система автоматически установит драйвер успешно распознанного устройства, сконфигурирует устройство для работы и через несколько секунд выведет следующее всплывающее сообщение, информирующее вас о том, что новое устройство готово к работе (рис. 2.4).

Рис. 2.4. Всплывающее сообщение Found New Hardware

В отличие от устройств Plug and Play, старые или наследуемые устройства (legacy devices), разработанные до выпуска Windows 95, имеют фиксированные параметры настройки. В этом случае задачи по установке и конфигурированию нового устройства несколько усложняются, но действует одна общая рекомендация — прежде, чем пытаться вносить изменения непосредственно в реестр, попробуйте добиться нужного результата с помощью программы-мастера Add Hardware Wizard. В Windows ХР и Windows Server 2003 программа Add Hardware Wizard снабжена новыми функциональными возможностями и улучшенным интерфейсом. Для установки нового устройства:
1. Из меню Start (Пуск) выберите команды Settings | Control Panel (Настройка | Панель управления), затем выполните двойной щелчок мышью на значке Add Hardware (Установка оборудования). Утилиту Add Hardware Wizard можно вызвать и другим способом: откройте окно Control Panel, выполните двойной щелчок на значке System (Система), в раскрывшемся окне System Properties (Свойства: Система) перейдите на вкладку Hardware (Оборудование) и нажмите кнопку Add Hardware Wizard (Установка оборудования). При использовании любого из описанных методов на экране появится окно Add Hardware Wizard (Мастер установки оборудования). Нажмите в этом окне кнопку Next (Далее).
2. После этого мастер попытается обнаружить новое устройство, и в случае неудачи выведет окно, в котором пользователю будет предложено сообщить, подключил ли он новое устройство или только собирается это сделать (рис. 2.5). Работа с мастером установки новых устройств проста и интуитивна. Мастер отображает серию экранов с инструкциями и набором доступных для выбора опций. Пользователю предлагается следовать отображаемым на экране инструкциям, выбирать нужные опции из числа предложенных и нажимать кнопку Next для перехода к следующему экрану. Помимо установки новых устройств, мастер Add Hardware Wizard позволяет также просматривать список устройств, уже установленных в системе и устранять неполадки в их работе (рис. 2.6). Чтобы установить новое устройство, не перечисленное в списке, выберите опцию Add a new hardware device, затем нажмите кнопку Next.
3. В следующем окне (рис. 2.7) мастер Add Hardware Wizard предложит на выбор две опции: выполнить автоматический поиск установленного оборудования или выбрать устройство из предложенного списка. Поскольку Windows Server 2003 обеспечивает расширенную поддержку оборудования даже по сравнению с Windows 2000, не говоря уже о предыдущих версиях Winodws NT, рекомендуется выбирать опцию автоматического поиска. Обычно система успешно обнаруживает все установленные устройства, как удовлетворяющие стандарту Plug and Play, так и наследуемые. Поэтому, как правило, выбирать устройство вручную из предложенного списка (рис. 2.8) вам придется только в наихудшем случае. Если и в данном списке вы не обнаружите нужного вам устройства, выберите опцию Show all devices (Показать все устройства) и нажмите кнопку Next. В этом случае следующее окно (рис. 2.9) отобразит длинный список аппаратных устройств в стиле предыдущих версий Windows NT/2000.

Рис. 2.5. Проверка устройства: подключено оно или нет?

Рис. 2.6. Помимо установки новых устройств, мастер Add Hardware Wizard позволяет также просматривать список устройств, уже установленных в системе, и устранять неполадки в их работе

Рис. 2.7. При установке новых устройств мастер Add Hardware Wizard предлагает выполнить автоматический поиск устройств или выбрать устанавливаемые устройства вручную из предложенного списка

Рис. 2.8. Мастер Add Hardware Wizard предлагает выбрать тип устанавливаемого устройства из списка

Рис. 2.9. Расширенный список аппаратных устройств

Как уже говорилось ранее, мастер Add Hardware Wizard обнаружит все поддерживаемые (т. е. включенные в HCL) и правильно установленные устройства, даже если они не поддерживают стандарт Plug and Play. Если на данном этапе возникли затруднения, то в первую очередь убедитесь в том, что устройство включено в список совместимых аппаратных средств (HCL) операционной системы Windows Server 2003, а затем проверьте, правильно ли оно подключено к компьютеру и убедитесь в его работоспособности.
Установка и конфигурирование аппаратных устройств при помощи мастера Add Hardware Wizard гораздо безопаснее непосредственного редактирования реестра, поскольку исключается риск утраты совместимости или возникновения других проблем. Но время от времени при добавлении новых устройств или изменении параметров уже установленных устройств может понадобиться изменение настройки выделяемых устройству ресурсов. Как правило, Windows Server 2003 управляет этими параметрами автоматически при инсталляции нового устройства и при загрузке системы. Однако иногда может потребоваться и ручная настройка. В этом случае для редактирования параметров устройств следует использовать утилиту Device Manager (Диспетчер устройств).

Обнаружение и распознавание устройств Plug and Play

В начале этой главы мы уже рассматривали пример, позволяющий получить общее представление о процессах, которые происходят в системе при установке новых устройств и разрешении аппаратных конфликтов. Однако этот пример имеет два существенных недостатка — он слишком прост и, самое главное, представляет информацию с точки зрения конечного пользователя. Теперь, когда мы ознакомились с основными концепциями Plug and Play, настало время обсудить, что же на самом деле происходит в системе при обнаружении и установке новых устройств, и какие компоненты требуются для успешного выполнения этой задачи.
Фактически подсистема Plug and Play выполняет следующие функции:

  • обнаружение и энумерация устройств;
  • выделение устройствам аппаратных ресурсов;
  • динамическая загрузка, инициализация и выгрузка драйверов;
  • уведомление других драйверов и приложений о доступности нового устройства;
  • управление подачей электропитания при установке и удалении устройств.

После того как Windows обнаруживает новое устройство Plug and Play, драйвер устройства может быть сконфигурирован и загружен динамически, при минимальном вмешательстве пользователя (фактически в большинстве случаев такое вмешательство вообще не требуется). Некоторые шины, например, PCI и USB, в полной мере используют преимущества Plug and Play, и распознавание устройств, подключенных к таким шинам, происходит полностью автоматически. Как только новое устройство обнаружено, PnP Manager и шинный драйвер производят его энумерацию, после чего производится загрузка драйвера и запуск устройства. Если устройство подключено впервые, и системный реестр не содержит информации об этом устройстве, Windows установит и запустит драйверы для этого устройства.
Как уже упоминалось, программа Setup динамически исследует аппаратную конфигурацию компьютера и заносит информацию обо всех обнаруженных устройствах в реестр. Необходимую информацию программа Setup получает от самого устройства и от ассоциированных с ним INF-файлов.
В системах РпР подсистема РпР динамически отслеживает все переходы устройств между различными состояниями по мере того, как устройство подключается к системе, конфигурируется, запускается, останавливается и удаляется из системы. Все эти переходы схематично показаны на иллюстрации, приведенной на рис. 2.10.
Когда устанавливается новое устройство, система использует идентификатор устройства (device ID) для поиска INF-файлов, которые могут быть использованы для установки этого устройства. Windows далее использует эту информацию для создания параметров реестра в составе ключа HKEY_LOCAL_MACHINE, a затем копирует на диск необходимые драйверы. Если с новым устройством можно использовать несколько различных драйверов, то для определения драйвера, наиболее подходящего для данного устройства, Windows применяет так называемую систему приоритетного использования драйверов (driver-ranking schemes). Приоритеты драйверов определяются на основании наличия или отсутствия цифровой подписи и близости соответствия аппаратному идентификатору устройства (hardware ID, HW ID).

Рис. 2.10. Состояния устройств РnР

Таким образом, если вам требуется установить новое устройство, в первую очередь следует попытаться сделать это, полностью положившись на подсистему Plug and Play. Как правило, Windows автоматически обнаружит и сконфигурирует все поддерживаемые устройства. Схема действий пользователя зависит от типа устройства и определяется следующими правилами.

  • Если устанавливается внешнее устройство Plug and Play, то просто подключите новое устройство, не выключая компьютера.
  • Если требуется установить внутренний адаптер PCI или ISA Plug and Play, остановите систему, выключите компьютер и установите новое устройство. После перезагрузки Windows обнаружит устройство и автоматически запустит процедуры его установки.
  • Если требуется установить наследуемое устройство, запустите Add Hardware wizard и попытайтесь обнаружить новое устройство средствами Windows Server 2003. Обратите внимание на то, что данная операция требует регистрации в системе от имени пользователя с административными правами.

Установка новых устройств происходит после регистрации пользователя в системе. Схема, иллюстрирующая процессы, которые происходят при установке драйверов нового устройства, приведена на рис. 2.11.

Рис. 2.11. Схема процесса установки драйверов устройств

Процессы, имеющие место при установке драйвера нового устройства, происходят в следующей последовательности:
1. Пользователь подключает новое устройство к компьютеру. Обратите внимание, что если шина, к которой подключено устройство, поддерживает уведомление о неожиданном подключении нового устройства (hot-plug notification), то вы можете не останавливать Windows и не выключать компьютер,
2. PnP Manager совместно с шинным драйвером производят энумерацию нового устройства. Шинный драйвер при поддержке шины получает уведомление о присутствии нового устройства, и, в свою очередь, уведомляет модуль PnP Manager режима ядра об изменении аппаратной конфигурации (в данном случае, о добавлении нового устройства). PnP Manager режима ядра запрашивает у шинного драйвера список физически присутствующих на шине устройств и сравнивает этот список с его предыдущей копией, чтобы определить, какое устройство было добавлено. Затем PnP Manager запрашивает у шинного драйвера информацию о новом устройстве (hardware ID, vendor ID, идентификаторы совместимых устройств).
3. PnP Manager режима ядра уведомляет PnP Manager режима пользователя о необходимости установки нового устройства.
4. PnP Manager режима пользователя создает новый процесс с использованием rundli32.exe и запускает модуль newdev.dll для установки нового устройства. Например, на рис. 2.12 показан вид окна программы-мастера Found New Hardware Wizard, предлагающего пользователю установить обнаруженное новое устройство (в данном случае, это — портативный накопитель Ziv, подключаемый к компьютеру через интерфейс USB).
5. DLL-библиотека, отвечающая за установку новых устройств, вызывает функции Setup API и функции диспетчера конфигурации PnP (CfgMgr API). Таким образом, Newdev.dll создает список драйверов, которые возможно использовать с данным устройством (рис. 2.13).
6. Инсталляторы класса (class installer) и ко-инсталляторы (co-installers), если они имеются, принимают участие в установке устройства, предоставляя дополнительные функциональные возможности по его конфигурированию.
7. Программа Setup передает управление ядру для загрузки драйверов устройства. Как только Setup определит наиболее подходящий драйвер для устройства, скопирует файлы драйвера, зарегистрирует интерфейсы и так далее, он уведомит пользователя об успешной установке нового устройства (рис. 2.14) и передаст управление модулю PnP Manager режима ядра для загрузки драйверов и запуска устройства.
8. PnP Manager загружает функциональный драйвер и необязательные драйверы фильтра.
9. Инсталляторы могут предоставлять дополнительные страницы свойств для конфигурирования параметров устройства.

Рис. 2.12. Мастер Found New Hardware Wizard предлагает пользователю установить драйверы для портативного накопителя Ziv

Рис. 2.13. Мастер Found New Hardware Wizard создает список драйверов, которые можно использовать с обнаруженным новым устройством

Рис. 2.14. Установка драйверов нового устройства успешно завершена

Рис. 2.15. Всплывающее сообщение, информирующее пользователя о появлении нового съемного накопителя

Рис. 2.16. Сообщение, информирующее пользователя о возможности безопасного удаления устройства

В частности, в рассматриваемом нами примере с портативным накопителем Ziv, после запуска драйверов в правом нижнем углу экрана появится всплывающее сообщение, информирующее о появлении в системе нового накопителя (рис. 2.15), который уже через несколько секунд будет готов к работе.
Обратите внимание, что удалять такой накопитель из системы необходимо с использованием функции Safe Removal, во избежание потери данных или даже порчи устройства. Для этого следует щелкнуть правой кнопкой мыши, указав курсором на значок, соответствующий съемному накопителю, выбрать из меню опцию Safely Remove this Device и дождаться появления всплывающего сообщения, подобного показанному на рис. 2.16.

Конфигурирование аппаратных средств и работа с ними

Основные задачи по конфигурированию аппаратных средств и устранению неполадок в их работе выполняется на вкладке Hardware (Оборудование) окна System Properties (Свойства системы). Чтобы открыть это окно, воспользуйтесь значком System на панели управления и в раскрывшемся окне System Properties перейдите на вкладку Hardware (рис. 2.17).

Рис. 2.17. Вкладка Hardware окна System Properties

Помимо возможности вызова мастера Add Hardware Wizard, работа с которым была рассмотрена в предыдущем разделе, административные средства, доступные на этой вкладке, позволяют выполнять следующие задачи.

  • Управлять опциями защиты драйверов устройств цифровой подписью (более подробная информация о защите системных файлов и драйверов Windows XP цифровой подписью будет приведена в главе 23 "Восстановление системы").
  • Вызывать утилиту Device Manager, позволяющую вручную конфигурировать параметры настройки аппаратных устройств.
  • Управлять аппаратными профилями.

Последующие несколько разделов будут посвящены детальному рассмотрению перечисленных возможностей.

Аппаратные профили

Как и предыдущие системы Windows NT/2000/XP, Windows Server 2003 обеспечивает возможность создания множества аппаратных конфигураций, которые хранятся в реестре. Так, например, можно создать профили для док-станций (что актуально для пользователей портативных компьютеров), а также профили для съемных устройств. Аппаратный профиль, или профиль оборудования (hardware profile), представляет собой набор инструкций, с помощью которого можно указать операционной системе, драйверы каких устройств должны загружаться при запуске компьютера. Чтобы создать новый аппаратный профиль в Windows Server 2003, щелкните по значку System на панели управления, перейдите на вкладку Hardware и нажмите кнопку Hardware Profiles (Профили оборудования). Раскроется диалоговое окно Hardware Profiles (рис. 2.18).
В процессе установки Windows Server 2003 создается аппаратный профиль по умолчанию (Profile 1), в состав которого включены все устройства, обнаруженные на компьютере на момент установки операционной системы.

Примечание

Принципы создания аппаратных профилей для настольных и портативных компьютеров несколько различны. Как уже говорилось в главе 1 "Планирование и установка системы", в процессе установки ОС производится обнаружение и распознавание всех аппаратных устройств, установленных на компьютере (вспомните сообщение Setup is inspecting your computer's hardware configuration . .., свидетельствующее о запуске программы Setup). Для настольных компьютеров создается один аппаратный профиль по умолчанию (Default hardware profile), включающий в свой состав все аппаратные компоненты, обнаруженные при установке системы. Для портативных компьютеров программа установки создает два аппаратных профиля по умолчанию (Docked Profile и Undocked Profile) и выбирает нужный профиль в зависимости от того, используется ли портативный компьютер в качестве док-станции или независимо. Хотя поддержка Plug and Play в значительной степени исключает необходимость ручного создания и конфигурирования аппаратных профилей, они все же могут быть весьма полезны.

Рис. 2.18. Окно управления аппаратными профилями

Чтобы изменить свойства аппаратного профиля, выделите его имя в списке Available hardware profiles (Имеющиеся аппаратные профили) и нажмите кнопку Properties (Свойства). Можно также создать новый аппаратный профиль на базе уже существующего. Для этого выделите нужный аппаратный профиль в списке и нажмите кнопку Сору (Копировать), а затем укажите имя нового аппаратного профиля в раскрывшемся диалоговом окне Сору Profile (Копировать профиль). Чтобы удалить один из аппаратных профилей, выделите его имя в списке и нажмите кнопку Delete (Удалить).
Наконец, в диалоговом окне Hardware Profiles можно задать поведение системы по отношению к выбору аппаратных профилей. В нижней части этого окна находится группа Hardware profiles selection (Выбор аппаратного профиля) с двумя переключателями. Если выбрать переключатель Wait until I select a hardware profile (Ожидать выбора аппаратного профиля), то при загрузке система выведет на экран список аппаратных профилей и будет ожидать, когда пользователь выберет один из них. При выборе второго переключателя система во время запуска автоматически выберет первый профиль из списка, если пользователь не укажет нужный ему аппаратный профиль по истечении срока (в секундах), указанного в расположенном рядом поле.

Работа с утилитой Device Manager

Для ручного управления параметрами настройки аппаратных средств используется утилита Device Manager, вызвать которую можно нажатием кнопки Device Manager (Диспетчер устройств) на вкладке Hardware окна System Properties. Device Manager отображает дерево аппаратных устройств (рис. 2.19), которое в иерархическом виде представляет все активные устройства, присутствующие в системе, а также информацию об этих устройствах. Windows XP и Windows Server 2003 обновляют дерево устройств при добавлении или удалении устройств, а также по мере переназначения ресурсов. Дерево устройств является иерархическим, при этом каждое устройство на шине представляется как дочернее устройство шинного адаптера или контроллера. Вся статическая информация об аппаратных средствах хранится в реестре, а компоненты системы Plug and Play и драйверы строят соответствующие поддеревья, поддерживают их и настраивают разрешения на доступ к новым и существующим поддеревьям реестра. (Более подробная информация о работе с системным реестром будет приведена в главе 24 "Работа с системным реестром".)

Рис. 2.19. Дерево устройств, отображаемых диспетчером устройств (просмотр устройств по типу)

Чтобы просмотреть параметры устройства, выполнить его ручное конфигурирование, обновить драйвер, блокировать или переустановить устройство, а также выполнить сканирование изменений аппаратной конфигурации, укажите на нужное устройство курсором, выполните щелчок правой кнопкой мыши и выберите соответствующую команду из контекстного меню (см. рис. 2.19).
Для просмотра информации о конкретном устройстве разверните иерархическое дерево, укажите курсором на нужное устройство, выполните щелчок правой кнопкой мыши и выберите из контекстного меню команду Properties (Свойства). Утилиту Device Manager можно использовать для активизации и блокирования устройств, для устранения неполадок в их работе, ручного конфигурирования выделяемых устройствам аппаратных ресурсов, обновления или отката драйверов (Driver Rollback). Опция отката драйверов впервые появилась в составе Windows XP (и, безусловно, присутствует и Windows Server 2003), представляет собой дополнительное средство по обеспечению надежности и отказоустойчивости системы, которое будет более подробно рассмотрено в главе 23 "Восстановление системы".

Рис. 2.20. Просмотр дерева устройств по подключению

Обратите внимание на то, что Device Manager позволяет просматривать дерево аппаратных устройств как по типу устройств (см. рис. 2.19), так и по подключению (рис. 2.20). Чтобы просмотреть дерево устройств по подключению, выберите команду Devices by connection (Устройства по подключению) из меню View (Вид).

Просмотр скрытых устройств

Следует обратить особое внимание на то, что утилита Device Manager no умолчанию не отображает все устройства. Так, устройства, не поддерживающие Plug and Play, устройства, не подключенные к компьютеру, и некоторые другие устройства являются скрытыми. Однако вы можете просмотреть список всех устройств, существующих в системе (в том числе и скрытых) с целью просмотра или устранения неполадок, выбрав команду Show hidden devices (Показать скрытые устройства) из меню View.

Управление электропитанием и энергосбережение

Управление электропитанием (power management) представляет собой интегрированный подход к энергосбережению в масштабах всей системы (на уровне аппаратных средств и программного обеспечения). Это означает, что компьютерная система, в полном объеме поддерживающая управление электропитанием и энергосбережение, должна включать как аппаратную, так и программную поддержку для следующих функций.

  • Минимальные временные затраты на запуск и останов компьютера. Это означает, что система может находиться в "спящем" режиме с минимальным потреблением энергии. Из этого режима она может быстро возобновить работу (без необходимости полной перезагрузки).
  • Эффективное и экономное энергопотребление, увеличение срока службы аппаратных устройств. Устройства потребляют электроэнергию только в том случае, когда они выполняют полезную работу (запросы системы или пользователя). Устройства, которые в течение заданного временного интервала не используются, отключаются и впоследствии включаются по требованию.
  • Бесшумная работа.

Требования к аппаратным средствам и программному обеспечению по управлению электропитанием и энергосбережению определены промышленной инициативой OnNow. В Windows 2000, Windows ХР и Windows Server 2003 такая поддержка обеспечивается — как компьютер в целом, так и каждое отдельное устройство потребляют только минимально необходимые уровни электроэнергии (разумеется, при условии, что аппаратные средства удовлетворяют требованиям инициативы OnNow). Здесь следует отметить, что управление электропитанием и РnР тесно взаимозависимы.
Этот подход к управлению электропитанием и энергосбережению обеспечивает следующие преимущества.

  • Интеллектуальное поведение системы в отношении энергосбережения.
  • Повышенную надежность и снижение риска потери данных (как вследствие увеличения срока службы аппаратных средств, так и вследствие снижения количества перезагрузок).
  • Более высокий уровень взаимодействия устройств.

С помощью утилиты Power Options (Электропитание) можно управлять потреблением энергии устройствами компьютера. Следует сразу же отметить, что для использования этих функций необходимо иметь компьютер, удовлетворяющий спецификации ACPI.
Для управления электропитанием:
1. Щелкните по значку Power Options на панели управления.
2. На экране появится окно Power Options Properties, раскрытое на вкладке Power Schemes (Схемы управления питанием) (рис. 2.21).

Рис. 2.21. Вкладка Power Schemes окна Power Options Properties

3. Чтобы перевести компьютер в режим энергосбережения, выберите одну из схем управления питанием (power scheme), которые представляют собой наборы параметров, управляющих питанием устройств компьютера. Можно использовать одну из стандартных схем или создать собственную. Например, в зависимости от установленных на компьютере аппаратных средств можно проделать следующее:

  • задать условия автоматического отключения монитора и жестких дисков;
  • перевести компьютер в ждущий режим (standby), если с включенным компьютером никто долгое время не работает. В этом режиме монитор и жесткие диски отключаются, и компьютер потребляет меньшее количество энергии. Когда пользователь начинает работу, такой компьютер быстро выходит из режима, в котором он находился, и рабочий стол восстанавливается в точности в том состоянии, в котором он был оставлен. Эта возможность очень полезна для экономии ресурса батарей в портативных компьютерах;
  • перевести компьютер в "спящий" режим (hibernation; буквально — "бездействие, зимняя спячка"). Функция спящего режима отключает монитор и жесткий диск, сохраняет все содержимое памяти на жестком диске и выключает компьютер. После перезапуска содержимое рабочего стола восстанавливается в точности в том состоянии, в котором оно находилось при переводе компьютера в спящий режим. Вывод компьютера из спящего режима занимает несколько больше времени, нежели вывод из режима энергосбережения.

Как правило, чаще всего требуется отключать монитор и жесткий диск на короткий период времени с целью экономии электроэнергии, и для этого лучше всего подходит ждущий режим.
Если вы планируете отсутствовать в течение достаточно длительного времени, то рекомендуется перевести компьютер в спящий режим. Чтобы активизировать поддержку спящего режима:
1. Раскройте окно Power Options Properties и перейдите на вкладку Hibernate (Спящий режим) (рис. 2.22). Если вкладка недоступна, ваш компьютер не поддерживает эту опцию.
2. Установите флажок Enable hibernation (После приостановки перейти в спящий режим). Следует отметить, что поскольку при переходе в спящий режим все содержимое оперативной памяти записывается на жесткий диск, требуется объем свободного дискового пространства, соответствующий объему оперативной памяти, установленной на компьютере.

Примечание

Если вы не пользуетесь спящим режимом, отключите его на вкладке Hibernate. Помните, что объем зарезервированного дискового пространства может быть довольно значительным, и это пространство будет совершенно напрасно исключено из активного использования.

Рис. 2.22. Вкладка Hibernate окна Power Options Properties

После активизации поддержки спящего режима в списке What do you want the computer to do? (Что должен делать компьютер?) диалогового окна Shut Down Windows (Завершить работу Windows) появится новый пункт — Hibernate, позволяющий вручную перевести компьютер в спящий режим.
В заключение следует отметить, что, по сравнению с Windows 2000, Windows XP и Windows Server 2003 предлагают следующие усовершенствования в области управления подачей электропитания и энергосбережением.

  • Ускоренный выход из ждущего и спящего режимов.
  • Улучшенная поддержка управления электропитанием для портативных компьютеров, в том числе встроенная поддержка технологий управления производительностью процессора и управление состоянием монитора на жидких кристаллах при работе от батарей в зависимости от их заряда.
  • Улучшенная поддержка событий типа "Wake-on". Когда компьютер не используется, создается полная иллюзия того, что он отключен. Однако при наступлении событий типа телефонного звонка, принятого факсмодемом или запроса, поступившего к сетевой карте, компьютер "проснется" и будет реагировать на соответствующее событие.
  • Возможности управления подачей электропитания для отдельных устройств, поддерживающих эту функцию.


Администрирование доменов

  • Администрирование доменов
  • Управление объектами каталога
    • Поиск объектов в каталоге
    • Настройка команды поиска на клиентском компьютере
  • Основные оснастки для администрирования Active Directory
  • Средства поиска и редактирования Windows Server 2003
  • Оснастка Active Directory Users and Computers
    • Режим Saved Queries (Сохраненные запросы)
    • Работа с множеством объектов
    • Публикация папок и принтеров
  • Оснастка Active Directory Sites and Services
    • Кэширование информации о составе групп с универсальной областью действия
  • Оснастка Active Directory Domains and Trusts
  • Делегирование административных полномочий
  • Управление ролями FSMO
    • Определение владельцев ролей FSMO
    • Передача и захват ролей FSMO
      • Передача роли владельца операций RID, PDC и Infrastructure
      • Передача роли владельца доменных имен
      • Передача роли владельца схемы
      • Захват ролей
  • Управление процессом репликации
    • Оснастка Active Directory Sites and Services
    • Replication Diagnostics Tool (RepAdmin.exe)
    • Active Directory Replication Monitor (ReplMon.exe)
  • Аудит событий доступа к объектам Active Directory
  • Резервирование и восстановление Active Directory
    • Создание резервной копии Active Directory
    • Восстановление Active Directory
      • Основное и неавторитетное восстановление
      • Авторитетное восстановление
      • Восстановление содержимого системного тома SYSVOL

Администрирование доменов

Время, которое администратор тратит на выполнение операций управления системой, во многом зависит от используемого инструментария. В составе Windows Server 2003 поставляется множество системных утилит и оснасток самого разного назначения. Более того, одна и та же операция может быть выполнена различными инструментами. Поэтому администратору необходимо знать имеющиеся возможности и умело их использовать.
В данной главе будут рассмотрены некоторые из наиболее важных инструментов администрирования доменов на базе Active Directory. Это те инструменты, которые используют в своей повседневной работе администраторы службы каталога. Кроме того, описываются способы выполнения типовых операций по управлению Active Directory.
Начнем с краткого обзора имеющихся средств администрирования.

Управление объектами каталога

В распоряжении администратора имеется множество инструментов, посредством которых он может создавать или удалять объекты Active Directory, a также изменять их атрибуты. Некоторые из этих инструментов позволяют управлять отдельными объектами, другие позволяют управлять группами объектов (так называемый пакетный режим). Многие задачи могут быть выполнены любым из этих инструментов. Ниже перечислены все основные средства управления каталогом Active Directory, предоставляемые системами Windows Server 2003.

  • Стандартные, устанавливаемые по умолчанию оснастки — стандартные утилиты с графическим интерфейсом, позволяющие осуществлять управление только отдельными объектами и имеющие ограниченные возможности по выполнению групповых операций:
    • оснастка Active Directory Users and Computers позволяет работать с пользователями, контактами, группами, компьютерами, пользователями из внешних служб каталога, принтерами, общими папками и организационными единицами;
    • оснастка Active Directory Sites and Services предназначена для манипулирования сайтами, подсетями, связями и соединениями;
    • оснастка Active Directory Domains and Trusts позволяет осуществлять управление доверительными отношениями между доменами.

  • Специализированные оснастки — утилиты с графическим интерфейсом, используемые для выполнения специальных операций либо для точной настройки и отладки Active Directory:
    • оснастка Active Directory Schema позволяет осуществлять управление содержимым схемы, создавать новые классы атрибутов и объектов. Эта утилита не создается по умолчанию. Администратор должен создать ее самостоятельно, загрузив соответствующую оснастку в пустую консоль ММС;
    • оснастка ADSI Edit, утилиты Ldp.exe и AdsVw.exe. Эти утилиты позволяют редактировать отдельные атрибуты существующих объектов. Однако они могут быть использованы также для создания объектов любого типа (включая те, которые невозможно создать при помощи стандартных инструментов).

  • Утилиты LDIFDE и CSVDE — утилиты командной строки, предназначенные для выполнения операций импорта/экспорта объектов каталога. Эти утилиты могут быть использованы как средство повышения эффективности администрирования крупномасштабных инсталляций Active Directory. Утилиту LDIFDE можно также применять для изменения атрибутов множества однотипных объектов.
  • Специальные сценарии и утилиты, позволяющие выполнять специфические задачи:
    • утилиты DsAdd.exe и AddUsers.exe, сценарии CreateUsers.vbs, CreateGroups.vbs и другие специализированные утилиты командной строки (например, утилиту NetDom.exe можно использовать для создания учетных записей компьютеров домена);
    • сценарии ADSI (Active Directory Service Interfaces) — самый гибкий и довольно простой способ манипулирования объектами Active Directory. Эти сценарии используют программный интерфейс ADSI для доступа к каталогу.

Поиск объектов в каталоге

Служба каталога используется клиентами для обнаружения сетевых ресурсов, точное местоположение которых зачастую неизвестно. Для поиска объектов в каталоге Active Directory клиенты могут использовать перечисленные ниже инструменты (некоторые из которых доступны клиентам любого типа,. включая клиентов нижнего уровня, а некоторые могут работать только в системах Windows 2000/XP и Windows Server 2003).

  • Встроенные средства поиска — самый удобный для пользователя способ найти общую папку или принтер, пользователя, группу или иной общедоступный объект. Большинство пользователей могут воспользоваться только этим методом поиска. Все другие, перечисленные ниже, средства предназначены исключительно для администраторов.
  • Утилиты командной строки DsQuery.exe и DsGet.exe, входящие в состав Windows Server 2003, представляют собой стандартный инструмент, посредством которого администратор может обращаться с запросами к каталогу.
  • Оснастка ADSI Edit. С помощью этого инструмента, входящего в состав пакета Windows Server 2003 Support Tools, администратор может формировать запросы с целью поиска в каталоге необходимых объектов. Данная утилита позволяет также модифицировать найденные объекты независимо от того, к какому разделу каталога они принадлежат.
  • Сценарий Search.vbs' — самое простое средство для выполнения запросов, использующее протокол LDAP. Сценарий входит в состав пакета Windows Server 2003 Support Tools.
  • Утилита Active Directory Administration Tool (Ldp.exe), входящая в состав пакета Windows Server 2003 Support Tools, представляет собой сложный административный инструмент, позволяющий просматривать дерево каталога и модифицировать объекты. Утилита использует протокол LDAP для доступа к каталогу и является единственным средством, позволяющим получить доступ к удаленным объектам.

При работе с большинством из перечисленных инструментов требуется хорошее знание синтаксиса фильтров LDAP. Только в этом случае вы сможете быстро и точно выбирать нужные объекты.

Настройка команды поиска на клиентском компьютере

Напомним, что механизмы доступа к службе каталога реализованы только в составе операционных систем Windows 2000/XP и Windows Server 2003. Операционные системы Windows 9x/ME/NT также могут взаимодействовать со службой каталога, однако для этого необходимо установить на компьютере службу клиента Active Directory (DSClient). Служба клиента поставляется в составе дистрибутивного диска Windows Server 2003.
Ярлык для операций поиска может быть добавлен на рабочий стол или в любую папку файловой системы. Для этого необходимо вызвать контекстное меню родительского объекта и в нем выбрать команду New | Shortcut (Создать | Ярлык). В поле Type the location of the item (Укажите местоположение объекта) необходимо ввести строку: rundll32.exe dsquery,OpenQueryWindow
В следующем окне дайте ярлыку имя и нажмите кнопку Finish (Готово). При необходимости созданный ярлык можно переместить в некоторую папку или меню. Теперь этот ярлык может использоваться для вызова окна поиска объектов в каталоге. Из этого окна можно выполнять поиск пользователей, контактов, групп, принтеров, подразделений и т. д. Область поиска ресурсов может варьироваться от конкретного контейнера (подразделения) до целого домена или всего леса доменов. Выбор параметра Entire Directory (Вся папка) эквивалентен поиску в Глобальном каталоге.

Основные оснастки для администрирования Active Directory

После того как на базе некоторого сервера под управлением Windows Server 2003 создан контроллер домена, в группе Administrative Tools (Администрирование) на панели управления появляются новые инструменты (табл. 20.1).
Перечисленные в табл. 20.1 оснастки входят в состав пакета Windows Server 2003 Administrative Tools. Они могут быть установлены на любом компьютере под управлением Windows XP или Windows Server 2003, входящем в состав леса доменов. В этом случае оснастки Security Policy (Политики безопасности) не появляются в меню Start (Пуск).

Таблица 20.1. Стандартные средства администрирования Active Directory

Оснастки | Назначение
Active Directory Domains and Trusts (Active Directory — домены и доверия) | Выбор администрируемого домена в больших лесах. Просмотр режима работы домена. Создание, проверка и удаление доверительных отношений между доменами
Active Directory Sites and Services (Active Directory — сайты и службы) | Создание и изменение сайтов, транспортов и подсетей. Настройка расписаний репликации и связей (links). Запуск репликации между контроллерами домена. Установка разрешений на объекты. Привязка объектов групповой политики (GPO) к сайтам. Запуск серверов глобального каталога на контроллерах домена
Active Directory Users and Computers (Active Directory — пользователи и компьютеры) | Создание и изменение объектов каталога (пользователей, групп, подразделений и т. д.). Установка разрешений на объекты. Привязка объектов групповой политики (GPO) к доменам и подразделениям (OU). Управление специализированными ролями (FSMO)
Domain Controller Security Policy (Политика безопасности контроллера домена) | Модификация узла Security Settings (Параметры безопасности) объекта групповой политики, привязанного к подразделению Domain Controllers. Для редактирования всего GPO используйте оснастку Group Policy Object Editor
Domain Security Policy (Политика безопасности домена) | Модификация узла Security Settings объекта групповой политики, привязанного к контейнеру домена. Для редактирования всего GPO используйте оснастку Group Policy Object Editor
Group Policy Object Editor (Редактор объекта групповой политики) | Модификация объекта групповой политики, привязанного к некоторому контейнеру Active Directory (сайту, домену, подразделению) или хранящегося локально на компьютере. Эта оснастка не отображается в меню Start (Пуск), однако она доступна из других административных оснасток или может быть добавлена к пользовательской консоли ММС

Некоторые дополнительные инструменты (табл. 20.2) для администрирования Active Directory поставляются в составе пакета Windows Server 2003 Support Tools. Эти инструменты незаменимы в некоторых случаях для тонкой настройки и мониторинга Active Directory.

Таблица 20.2. Дополнительные средства администрирования Active Directory (из пакета Windows Server 2003 Support Tools)

Утилита | Описание
ADSI Edit (AdsiEdit.msc) | "Низкоуровневое" редактирование объектов Active Directory, расположенных в любом разделе каталога (раздел доменных имен, разделы конфигурации и схемы). Посредством утилиты можно также получить информацию об объекте RootDSE. Администратор может использовать утилиту для установки разрешений на доступ к объектам
Active Directory Administration Tool (Ldp.exe) | Утилита может использоваться для поиска и модификации объектов Active Directory при помощи запросов LDAP
Active Directory Replication Monitor (ReplNon.exe) | Утилита может использоваться для мониторинга состояния репликации и существующей топологии репликации. Утилита позволяет инициировать процесс репликации. Кроме того, утилита может быть использована для получения информации об исполнителях специализированных ролей и статусе контроллеров домена

Средства поиска и редактирования Windows Server 2003

В системах Windows Server 2003 имеется набор эффективных утилит, позволяющих выполнять многие операции с объектами Active Directory из командной строки или из командных файлов. Все эти утилиты используют протокол LDAP и могут работать с любыми доменами на базе Active Directory (Windows 2000 и Windows Server 2003). При этом запускаться они могут только на компьютерах под управлением Windows XP или Windows Server 2003.

  • DsAdd — позволяет создать объект заданного типа: computer, contact, group, OU, user или quota.
  • DsQuery и DsGet — служат для поиска объектов каталога любого типа или с указанным типом. Утилита Dsget.exe позволяет отображать атрибуты объектов указанного типа. Например, для поиска всех пользователей домена можно использовать команду dsquery user.
  • DsMod — позволяет изменять атрибуты объектов указанного типа: computer, contact, group, OU, server или user.
  • DsMove — позволяет переименовать или переместить объект любого типа.
  • DsRm — служит для удаления объектов каталога или целых поддеревьев каталога (например, можно удалить подразделение со всем содержимым).

Оснастка Active Directory Users and Computers

Оснастка Active Directory Users and Computers является основным инструментом, посредством которого администратор осуществляет управление содержимым доменных разделов каталога. Вот перечень лишь основных операций: создание, модификация и удаление объектов различного типа, привязка объектов групповых политик к контейнерам Active Directory, настройка прав доступа к объектам каталога, аудит. Знание возможностей этой оснастки позволяет повысить эффективность выполнения рутинных операций, особенно в случае, когда доменные разделы содержат большое количество объектов, что затрудняет их поиск и работу с ними.
В системах Windows Server 2003 оснастка Active Directory Users and Computers имеет насколько новых возможностей:

  • одновременная работа с несколькими объектами каталога;
  • операции, выполняемые с помощью мыши (например, перемещение объектов между контейнерами);
  • хранимые запросы (saved queries).

Для выполнения операций с каталогом оснастка Active Directory Users and Computers должна быть подключена к некоторому контроллеру домена (которые выступают в качестве носителя копии разделов каталога). Оснастка может быть подключена только к одному контроллеру домена и, соответственно, к одному доменному разделу. По умолчанию оснастка подключается к контроллеру домена, в котором зарегистрировался текущий пользователь. Администратор может подключить оснастку к любому другому контроллеру домена, а также к другому домену при условии наличия у него соответствующих прав.

Режим Saved Queries (Сохраненные запросы)

Благодаря этому режиму администратор имеет возможность сохранять предварительно созданные LDAP-запросы. Впоследствии администратор может использовать сохраненные запросы для быстрого поиска требуемых объектов. Сохраненные запросы избавляют администратора от необходимости многократного определения однотипных фильтров при формировании LDAP-запросов.
Оснастка позволяет организовать сохраненные запросы в некую иерархическую структуру в соответствии с предпочтениями администратора. Данная структура формируется внутри контейнера Saved Query оснастки. В рамках этого контейнера могут размещаться как непосредственно сохраненные запросы, так и контейнеры, используемые для их логической организации.
Чтобы создать сохраненный запрос, в контекстном меню контейнера выберите команду New | Query (Создать | Запрос). В открывшемся окне (рис. 20.1) необходимо дать имя создаваемому запросу и краткое описание. Параметр Query root (Корень запроса) задает область поиска. По умолчанию запрос охватывает домен целиком. При необходимости администратор может ограничить область поиска некоторым подразделением. Если требуется, чтобы поиск осуществлялся и во вложенных контейнерах, администратор должен установить флажок Include subcontainers (Включая вложенные контейнеры). Чтобы сформировать LDAP-запрос, нужно щелкнуть по кнопке Define Query (Определить запрос) и выбрать объекты и критерии поиска.
В конечном итоге, администратор может сформировать некоторую произвольную иерархию запросов (рис. 20.2). Для логической организации запросов можно использовать контейнеры. Чтобы создать контейнер, в контекстном меню корневого контейнера выбрать New | Container (Создать | Контейнер).
Сохраненные запросы хранятся не в виде объектов каталога, а в виде атрибутов оснастки. Таким образом, запросы сохраняются вместе с другими настройками оснастки. По умолчанию настройки административных оснасток размещаются в XML-файле в папке Documents and settings \ <имя_пользователя>\Аррliсаtion Data\Microsoft\MMC. Если администратор будет запускать оснастки с различных контроллеров домена, запросы будут сохранены только для одного из экземпляров оснастки. В этой ситуации оптимальным решением будет размещение всех административных оснасток в перемещаемом профиле пользователя. При этом одни и те же настройки оснастки будут использоваться администратором независимо от того, на каком контроллере домена он их запускает.

Рис. 20.1. Создание сохраненного запроса

Рис. 20.2. Структура сохраненных запросов

Существующие сохраненные запросы могут быть экспортированы в XML-файлы. Эти файлы могут быть переданы другим пользователям или администраторам для последующего использования (при этом они должны импортировать запросы в свои экземпляры оснасток). Для экспорта запроса необходимо в его контекстном меню выбрать пункт Export Query Definition (Экспортировать определение запроса).

Работа с множеством объектов

В системах Windows Server 2003 оснастка Active Directory Users and Computers предоставляет пользователю возможность манипуляции множеством объектов. Другими словами, пользователь может задействовать в некоторой операции сразу несколько объектов. Для большинства классов объектов (группы, компьютеры, подразделения и т. п.) единственной доступной групповой операцией является изменение описания. В случае объектов, ассоциированных с учетными записями пользователей, имеется порядка 30 атрибутов, которые допускается изменять сразу для множества объектов.

Рис. 20.3. Одновременное изменение атрибутов множества учетных записей пользователей

Выделение множества объектов осуществляется стандартным для интерфейса Windows способом — при помощи клавиш <Ctrl> и <Shift>. Выделив объекты, щелкните правой кнопкой мыши, чтобы вызвать контекстное меню. Для изменения атрибутов выбранных объектов в контекстном меню выберите пункт Properties (Свойства). Это приведет к открытию модифицированного окна свойств для выбранного класса объектов. Применительно к объектам, ассоциированным с учетными записями пользователей, окно свойств показано на рис. 20.3.
Обратите внимание на то, как происходит изменение атрибутов. Если необходимо изменить указанный атрибут для всех выбранных объектов, установите напротив него флажок и определите его значение. В ситуации, когда администратор не определяет для атрибута новое значение, существующее значение данного атрибута у выделенных объектов сбрасывается. Например, администратор может поменять порядок изменения паролей для выбранных объектов, ассоциированных с учетными записями пользователей.

Публикация папок и принтеров

Служба Active Directory значительно упрощает работу с общими сетевыми ресурсами по сравнению с традиционными методами просмотра доменов. Информация о любом ресурсе может быть опубликована (published) в каталоге Active Directory. Публикация папки или принтера в Active Directory подразумевает под собой создание в каталоге нового объекта — Shared Folder (Общая папка) или Printer (Принтер) соответственно.
В этом случае пользователи могут использовать службу каталога для поиска ресурсов (например, с помощью команды Search | For Printers в меню Start). Место публикации ресурсов определяется существующей структурой каталога. Если в домене существуют организационные единицы, созданные для объединения ресурсов, то каждый тип ресурса будет располагаться в отдельной организационной единице. Если же организационные единицы создавались для реализации административной иерархии, ресурсы будут размещаться в контейнерах в зависимости от их принадлежности к некоторому структурному подразделению корпорации.
В процессе создания в каталоге объекта, ассоциированного с общей папкой, администратор может указать ключевые слова, которые характеризуют содержимое папки. Эти ключевые слова могут быть использованы для поиска в каталоге необходимой общей папки на основании ее характеристик. Если пользователь выполняет в каталоге поиск общих папок, он может указать некоторые ключевые слова и найти ресурсы по их содержимому, а не по их именам. Чтобы задать ключевые слова в пространстве имен утилиты Active Directory Users and Computers, выберите объект, ассоциированный с общей папкой, и вызовите окно свойств объекта. В открывшемся окне щелкните на кнопке Keywords (Ключевые слова). Надо будет добавить в список слова, логически связанные с содержимым папки.
При публикации папки необходимо быть внимательным. Система не выполняет проверки введенного имени папки. В том случае, если при публикации была допущена ошибка, пользователи не смогут подключиться к указанной папке.
Принтеры, подключенные к компьютерам, под управлением Windows 2000/ХР или Windows Server 2003, могут быть опубликованы только из окна свойств принтера. Для этого на вкладке Sharing (Доступ) необходимо установить флажок List in the Directory (Отображать в каталоге).
Процессом публикации и удаления (pruning) принтеров в домене администратор может управлять при помощи механизма групповых политик. Соответствующий объект находится в узле Computer Configuration | Administrative Templates | Printers пространства имен оснастки Group Policy Object Editor.

Оснастка Active Directory Sites and Services

Оснастка Active Directory Sites and Services представляет собой основной инструмент с графическим интерфейсом, посредством которого администратор может управлять физической структурой Active Directory — подсетями, сайтами и соединениями; другие же административные оснастки представляют Active Directory на логическом уровне как единое целое. Оснастка Active Directory Sites and Services является одним из основных средств администрирования Active Directory в том случае, когда корпоративная сеть реализована в виде нескольких сайтов. В случае, если механизм сайтов не используется при построении службы каталога (т. е. сайт только один — созданный по умолчанию), данная оснастка, скорее всего, останется невостребованной.
Оснастка Active Directory Sites and Services позволяет выполнять следующие операции:

  • изменение топологии репликации в лесе доменов (создание/удаление сайтов, подсетей и соединений);
  • определение стоимости для соединений (cost);
  • изменение расписаний и интервалов для репликации внутри сайта и между сайтами;
  • определение мостовых серверов (bridgehead server);
  • инициация процесса репликации внутри сайта и между сайтами;
  • запуск сервиса Knowledge Consistency Checker (KCC) для регенерации топологии репликации;
  • делегирование пользователям или группам прав на управление сайтами, подсетями, серверами и другими контейнерами в разделе конфигурации;
  • настройка параметров безопасности и аудита для различных объектов, определяющих топологию репликации;
  • выбор объектов GPO, привязка объектов GPO к сайтам и запуск оснастки Group Policy Object Editor для редактирования объектов GPO;
  • назначение контроллерам домена роли сервера глобального каталога;
  • назначение политик запросов LDAP.

На рис. 20.4 показан пример окна оснастки Active Directory Sites and Services. В приведенном примере представлены практически все основные элементы сетевой топологии Active Directory: сайты, подсети, межсайтовые соединения, соединения между контроллерами домена в рамках сайта, а также непосредственно сами контроллеры домена.

Рис. 20.4. Пример окна оснастки Active Directory Sites and Services

Кэширование информации о составе групп с универсальной областью действия

Каждый контроллер домена под управлением Windows Server 2003, не являющийся сервером глобального каталога, может хранить информацию о составе групп безопасности с универсальной областью действия (universal group) и поддерживать ее в актуальном состоянии, периодически выполняя обновление. Кэширование позволяет избежать частых обращений к серверу глобального каталога для получения информации о составе групп с универсальной областью действия. Эта информация необходима, например, в процессе аутентификации пользователей.

Примечание

Режим кэширования доступен только для контроллеров домена под управлением Windows Server 2003, не являющихся серверами глобального каталога.

Рис. 20.5. Активизация режима кэширования информации о составе универсальных групп

Чтобы активизировать процесс кэширования информации о составе универсальных групп, нужно открыть окно свойств объекта NTDS Site Settings (Настройки NTDS сайта), расположенного непосредственно внутри контейнера, ассоциированного с требуемым сайтом. В открывшемся окне (рис. 20.5) на вкладке Site Settings (Настройки сайта) необходимо установить флажок Enable Universal Group Membership Caching (Включить кэширование информации о составе универсальных групп). При этом в раскрывающемся списке Refresh cache from (Обновлять кэш из) следует выбрать сайт, к которому будут осуществляться обращения для обновления содержимого кэша.

Оснастка Active Directory Domains and Trusts

Оснастка Active Directory Domains and Trusts позволяет осуществлять управление структурой леса домена и, в первую очередь, ориентирована на администратора уровня предприятия. Эта оснастка позволяет просмотреть лес доменов и выбрать некоторый домен для администрирования, а также управлять доверительными отношениями между доменами и лесами. На рис. 20.6 показан пример оснастки Active Directory Domains and Trusts, в которой отображается структура леса доменов, состоящего из двух деревьев (с корневыми доменами khsu. ru и khsu. khakasnet. ru).

Рис. 20.6. Оснастка Active Directory Domains and Trusts

Чтобы перейти к администрированию домена, необходимо в его контекстном меню выбрать команду Manage (Управление). При этом для выбранного домена будет запущена оснастка Active Directory Users and Computer.
Использование оснастки Active Directory Domains and Trusts для создания доверительных отношений рассматривалось в разд. "Управление доверительными отношениями" предыдущей главы.

Делегирование административных полномочий

После создания домена все полномочия на управление им сосредоточены в руках специальной категории пользователей — администраторов домена. Администраторы домена обладают абсолютными правами на выполнение любых операций. Следует заметить, что использование механизма организационных единиц и сайтов позволяет реализовывать домены огромного размера с разветвленной инфраструктурой. Управление подобным доменом характеризуется большой нагрузкой на администраторов. Однако реализация подобной инфраструктуры, отражающей логическую и физическую структуру организации, дает возможность делегировать выполнение определенной части задач на квалифицированных пользователей на "местах".
Механизм делегирования некоторой части административных полномочий выгодно отличается от подхода, когда проблема увеличения нагрузки на администраторов решается за счет увеличения их количества. Увеличение количества пользователей, обладающих неограниченными правами на управление доменом, нежелательно. Подобные права должны предоставляться исключительно квалифицированным специалистам, а привлечение большого числа квалифицированных специалистов сопряжено с высокими финансовыми затратами. Механизм делегирования предполагает передачу пользователям полномочий, необходимых для выполнения отдельных операций. Это рутинные операции, выполнение которых не требует от исполнителя обширных знаний. Делегирование этих операций пользователям в подразделениях и сайтах позволяет высвободить администратора для выполнения других более сложных задач.
С точки зрения архитектуры Active Directory, делегирование полномочий на выполнение некоторых операций подразумевает под собой предоставление пользователю необходимых разрешений на доступ к объектам каталога. Это разрешения на создание дочерних объектов, их удаление, изменение атрибутов и т. п. Подобные полномочия нужны для выполнения определенных операций.
В качестве примера можно привести ситуацию с созданием учетных записей для новых сотрудников, а также изменение паролей для существующих. Эти операции могут быть делегированы пользователям в организационных единицах (назовем их администраторами организационных единиц). Помимо разгрузки администратора домена, делегирование позволяет также сократить срок принятия элементарных решений. В приведенном примере для создания учетной записи не надо обращаться к администратору домена (который, в случае множества сайтов, может даже находиться в другом городе).
Операция делегирования административных полномочий осуществляется при помощи мастера Delegation of Control Wizard (Мастер делегирования полномочий). Этот мастер может быть вызван из оснасток Active Directory Users and Computers и Active Directory Sites and Services. Посредством этого мастера администратор может осуществлять делегирование полномочий на уровне отдельных контейнеров каталога.
Полный перечень контейнеров, на уровне которых может быть осуществлено делегирование, приведен в табл. 20.3. Существует два режима делегирования. В первом случае мастер предлагает выбрать из списка операцию, которая будет делегирована пользователю. Во втором случае администратор должен выбрать из списка объекты, право создания или удаление которых будет делегировано выбранной категории пользователей. Этот режим делегирования требует четкого понимания всех совершаемых действий и рассчитан на опытных администраторов.

Таблица 20.3. Уровни делегирования полномочий

Объект каталога | Описание
Контейнер Sites | Делегированные на этом уровне полномочия распространяются на все сайты леса доменов
Контейнер Inter-Site Transport | На этом уровне могут быть делегированы полномочия для управления соединениями сайтов (создание, конфигурирование или удаление), а также транспортами репликации
Контейнер Subnets | На этом уровне администратор может делегировать полномочия для управления подсетями, образующими сайты (создание, изменение и удаление)
Конкретный сайт | Используя этот уровень делегирования, администратор может предоставить полномочия на управление сайтом (в том числе и управление процессом репликации)
Конкретный домен | На этом уровне администратор может делегировать полномочия на включение клиентов в состав домена, что означает создание объекта, ассоциированного с учетной записью компьютера, а также полномочия на управление ссылками групповой политики на уровне домена
Конкретное подразделение (OU) | На этом уровне администратор может делегировать некоторым пользователям полномочия, действие которых ограничивается выбранным подразделением. Конкретные полномочия, которые будут делегированы, определяются целями, с которыми создавалось это подразделение
Контейнер Computers | Делегируя полномочия на этом уровне, администратор предоставляет пользователям полномочия на управление объектами, ассоциированными с учетными записями компьютеров
Контейнер Domain Controllers | На этом уровне администратор предоставляет пользователям полномочия на управление учетными записями контроллеров домена
Контейнер System | Делегируя полномочия на этом уровне, администратор предоставляет полномочия на управление объектами, значение атрибутов которых определяют параметры различных служб Active Directory
Контейнер Users | На этом уровне администратор предоставляет пользователям полномочие на управление учетными записями пользователей

В табл. 20.4 перечислены задачи, выполнение которых администратор может делегировать на уровне отдельной организационной единицы, а также контейнеров Computers, Domain Controllers, ForeignSecurityPrincipals, System и Users.

Таблица 20.4. Задачи, которые могут быть делегированы на уровне организационных единиц

Задача | Описание
Create, delete, and manage user account | Полномочия на создание, удаление и управление учетными записями пользователей
Reset user passwords and force password change at next logon | Полномочия на изменение паролей учетных записей пользователей, а также установка требования на изменение пароля самим пользователем при следующей регистрации в системе
Read all user information | Полномочия на просмотр любой информации о пользователях
Create, delete, and manage groups | Полномочия на создание, удаление и управление группами пользователей
Modify the membership of a group | Полномочия на изменение членства в группе
Manage Group Policy links | Полномочия на управление ссылками групповой политики
Generate Resultant Set of Policy (Planning) | Полномочия, необходимые для генерации результирующих политик в режиме планирования
Generate Resultant Set of Policy (Logging) | Полномочия, необходимые для генерации результирующих политик в режиме ведения журнала
Create, delete and manage inetOrgPerson accounts | Полномочия на создание, удаление и управление объектами класса inetOrgPerson
Reset inetOrgPerson passwords and force password change at next logon | Полномочия на изменение паролей, сопоставленных объектам класса inetOrgPerson, а также установка требования на изменение пароля самим субъектом подсистемы безопасности при следующей регистрации в системе
Read all inetOrgPerson information | Полномочия на просмотр любой информации об объекте класса inetOrgPerson

Процесс делегирования полномочий выполняется следующим образом. Запустите оснастку Active Directory Users and Computers. Выберите контейнер, для которого вы хотите делегировать полномочия и вызовите его контекстное меню. Выберите в меню пункт Delegate Control (Делегировать управление), чтобы запустить мастер Delegation of Control Wizard (Мастер делегирования полномочий). На странице Users or Groups необходимо определить пользователей, которым будут делегированы полномочия (рис. 20.7).

Рис. 20.7. Выбор пользователей, которым будут делегированы полномочия

Для большинства контейнеров на следующей странице мастер предложит выбрать задачи для делегирования (рис. 20.8):

  • выбрать задачи, выполнение которых будет разрешено пользователям. Данный режим является наиболее предпочтительным для большинства случаев. Этому режиму соответствует переключатель Delegate the following common tasks (Делегировать следующие общие задачи);
  • выбрать вручную объекты каталога, управление которыми будет разрешено пользователям. Этот режим рассчитан на опытных администраторов и ему соответствует переключатель Create a custom task to delegate (Создать задачу для делегирования вручную).

Рис. 20.8. Выбор режима делегирования

Выбрав первый режим делегирования, администратор должен установить флажки напротив задач, которые должны быть делегированы. Если же был выбран расширенный режим делегирования, администратор должен определить классы объектов, управление которыми будет делегировано пользователям в рамках рассматриваемого контейнера (рис. 20.9). Если администратор хочет предоставить пользователям возможность создания или удаления экземпляров выбранных классов объектов, он должен установить флажки Create selected objects in this folder (Создание выбранных объектов в данном контейнере) или Delete selected objects in this folder (Удаление выбранных объектов в данном контейнере).

Рис. 20.9. Выбор классов объектов, управление которыми делегируется

Процесс делегирования только предоставляет пользователям необходимые полномочия для управления объектами. Чтобы предоставить пользователям действительную возможность применить эти полномочия, администратор должен создать для них необходимые инструменты. Используя механизм создания заказных управляющих консолей (ММС), описанный в главе 6 "Средства управления системой", администратор может создавать любой необходимый инструментарий, который и будет применяться пользователями для осуществления операций управления.
Помимо задачи делегирования полномочий, существует также задача отзыва уже предоставленных полномочий. Отзыв полномочий фактически означает отзыв у пользователей определенных разрешений на доступ к контейнерам, на уровне которых осуществлялось делегирование. Для отзыва указанных разрешений необходимо в окне свойств соответствующего контейнера перейти на вкладку Security (Безопасность). Для пользователей, которым были делегированы полномочия, необходимо снять флажки Allow (Разрешено) напротив соответствующих полномочий. Таким образом, администратор редактирует элементы списка управления доступом (ACL) выбранного контейнера. Флажки устанавливаются напротив соответствующих разрешений в ходе работы мастера делегирования. Понимая этот механизм, администратор может легко и гибко управлять объектами каталога и, как следствие, точнее настраивать Active Directory под стоящие перед ним задачи.
Кроме того, администратор всегда может восстановить для контейнера установки по умолчанию. Для этого необходимо в окне Advanced Security Settings (Дополнительные параметры безопасности) щелкнуть по кнопке Default (По умолчанию) (рис. 20.10). Однако следует помнить о том, что в результате будут отозваны все полномочия, предоставленные кому-либо на уровне данного контейнера. Кроме того, будут восстановлены полномочия, наследуемые контейнером от родительских объектов.

Рис. 20.10. Для отзыва всех делегированных полномочий необходимо нажать кнопку Default

Однако существует другой более гибкий способ управления предоставлением полномочий. Мастер позволяет делегировать полномочия как отдельным пользователям, так и группам. Наиболее удобным и оптимальным вариантом делегирования является применение групп безопасности. Это дает возможность управлять процессом делегирования управления через членство пользователей в выбранной группе. В этом случае для отзыва полномочий достаточно отозвать членство пользователя в группе.

Управление ролями FSMO

Выполнение ряда операций в доменах на базе Active Directory требует уникальности их исполнителя. Контроллеры домена, на которых возложена обязанность выполнения указанных операций, называют исполнителями специализированных ролей — Flexible Single-Master Operations (FSMO). В данном разделе разговор пойдет о процессе управления ролями FSMO, a также о методике получения информации об их владельцах (хозяевах).

Определение владельцев ролей FSMO

Получить информацию о владельцах специализированных ролей (также называемых мастерами операций) можно при помощи стандартных административных оснасток.

  • Оснастка Active Directory Users and Computers отображает информацию о владельцах ролей, к которым предъявляются требования уникальности в пределах домена (владелец инфраструктуры каталога, идентификаторов и эмулятора PDC). Для получения информации о текущем владельце той или иной роли необходимо выбрать в контекстном меню объекта, ассоциированного с интересующим доменом, команду Operations Master (Владелец операций). В соответствующем окне на трех вкладках будет выведена информация о существующих владельцах. Текущий владелец роли отображается в поле Operations master.
  • Оснастка Active Directory Domains and Trusts может быть использована для получения информации о владельце доменных имен (Domain Naming master). Для получения информации о текущем владельце необходимо выбрать в контекстном меню объекта, расположенного в корне пространства имен оснастки, команду Operations Master (Владелец операций). Текущий владелец роли доменных имен отображается в поле Domain naming operations master.
  • Оснастка Active Directory Schema позволяет получить информацию о владельце схемы. Эта оснастка должна быть загружена администратором в консоль ММС вручную. Для получения информации о текущем владельце схемы необходимо выбрать в контекстном меню объекта, ассоциированного с загруженной оснасткой, команду Operations Master (Владелец операций). Текущий владелец роли отображается в открывшемся окне в поле Current schema master.

Перечисленные оснастки являются основными инструментами для работы с владельцами специализированных ролей. Кроме того, имеется ряд утилит и сценариев, которые могут быть также использованы администратором для получения информации о владельцах ролей.

Передача и захват ролей FSMO

Если в рамках леса доменов имеется несколько контроллеров домена, обязанности исполнения специализированной роли могут быть перенесены с одного контроллера домена на другой. Процедура передачи роли требует, чтобы в оперативном режиме находились контроллеры домена, выступающие в качестве текущего и будущего исполнителя. В этом случае передача роли может быть осуществлена при помощи стандартных оснасток (таких, например, как Active Directory Users and Computers).
В случае, если необходимо передать роль другому контроллеру домена при недоступном текущем исполнителе, следует прибегнуть к захвату роли. Захват роли осуществляется при помощи утилиты NtdsUtil.exe.

Передача роли владельца операций RID, PDC и Infrastructure

Процедура передачи ролей, требующих уникальности исполнителя в пределах домена, происходит следующим образом. Подключите оснастку Active Directory Users and Computers к контроллеру домена, который выбран в качестве нового исполнителя роли. В контекстном меню корневого объекта пространства имен утилиты выберите команду Operations Masters (Владелец операций). В открывшемся окне необходимо перейти на требуемую вкладку: RID, PDC или Infrastructure. Чтобы изменить исполнителя роли, щелкните по кнопке Change (Изменить).
Если в домене установлено несколько контроллеров домена, необходимо следить за тем, чтобы роль владельца инфраструктуры не возлагалась на контроллер домена, являющийся сервером глобального каталога. В противном случае в журнале Directory Service на контроллере домена, выбранном в качестве нового владельца роли, появится предупреждение.

Передача роли владельца доменных имен

Передача роли владельца доменных имен осуществляется при помощи оснастки Active Directory Domains and Trusts. Подключите оснастку к контроллеру домена, который выбран в качестве нового исполнителя роли. В контекстном меню корневого объекта пространства имен утилиты выберите команду Operations Masters (Владелец операций). Чтобы изменить исполнителя роли в открывшемся окне, щелкните по кнопке Change (Изменить). Помните о том, что только один контроллер в лесу доменов может исполнять роль владельца доменных имен. При этом данный контроллер домена должен также выполнять функции сервера глобального каталога.

Передача роли владельца схемы

Передача роли владельца схемы осуществляется при помощи оснастки Active Directory Schema. Подключите оснастку к контроллеру домена, который выбран в качестве нового исполнителя роли. В контекстном меню корневого объекта пространства имен утилиты выберите команду Operations Masters (Владелец операций). Чтобы изменить владельца роли в открывшемся окне, щелкните по кнопке Change (Изменить). Помните о том, что только один контроллер в лесу доменов может быть владельцем схемы.
Владелец схемы каталога определяет контроллер домена, который отвечает за осуществление операции расширения схемы. По умолчанию право работать со схемой имеют только члены группы Schema Admins (Администраторы схемы).

Захват ролей

К операции захвата роли (seize role) прибегают в том случае, когда текущий исполнитель роли становится по той или иной причине недоступным, в результате чего выполнение специализированных операций станет невозможным. Операция захвата роли выполняется при помощи утилиты командной строки NtdsUtil.exe.
Ниже приводится пример использования утилиты NtdsUtil для захвата всех специализированных ролей контроллером домена store.khsu.ru (полужирным выделены команды, вводимые администратором):

C:\ntdsutil

ntdsutil: roles

fsmo maintenance: connection

server connections: connect to server store.khsu.ru

Binding to store.khsu.ru...

Connected to store.khsu.ru using credentials of locally logged on user

server connection: quit

fsmo maintenance seize schema master

fsmo maintenance seize domain naming master

fsmo maintenance seize PDC

fsmo maintenance seize RID master

fsmo maintenance seize infrastructure master

fsmo maintenance quit

ntdsutil: quit

Disconnecting from store.khsu.ru...

Внимание

Применительно к ролям владельца схемы, владельца доменных имен и владельца идентификаторов запрещается возвращение в сеть прежнего исполнителя роли после выполнения ее захвата. Об этом необходимо помнить, выполняя захват указанных ролей.

Управление процессом репликации

Подсистема репликации службы каталога предполагает регулярную синхронизацию копий каталога. Тем не менее, администратор может инициировать принудительную репликацию изменений каталога. Для выполнения этой операции в распоряжении администратора имеются три инструмента:

  • оснастка Active Directory Sites and Services;
  • утилита командной строки Replication Diagnostics Tool (RepAdmin.exe);
  • утилита Active Directory Replication Monitor (ReplMon.exe).

В зависимости от выбранного инструмента можно инициировать процесс репликации изменений как для отдельного раздела каталога, так и для всех разделов сразу. Перечисленные утилиты позволяют администратору инициировать процесс репликации в двух режимах:

  • между некоторой парой контроллеров домена;
  • между контроллером и всеми его партнерами по репликации.

В контексте разговора об управлении процессом репликации изменений необходимо уточнить терминологию. Изменения содержимого каталога всегда реплицируются с сервера-источника (source DC) на целевой сервер (target DC). Поэтому для инициации процесса репликации сначала необходимо выбрать целевой сервер, а затем — сервер-источник.

Оснастка Active Directory Sites and Services

Стандартным инструментом управления процессом репликации изменений каталога является оснастка Active Directory Sites and Services. При помощи этой оснастки администратор может инициировать процесс репликации изменений для всех разделов каталога от отдельного партнера по репликации. Следует обратить особое внимание на то, что реплицируются все разделы каталога. Нельзя инициировать процедуру репликации только для одного раздела каталога.
Для инициации процесса репликации изменений выберите целевой контроллер в контейнере Servers (Серверы) соответствующего сайта и откройте объект NTDS Settings (Параметры NT Directory Service). Можно запросить репликацию у любого контроллера домена, соединение с которым присутствует в правом окне в виде объекта класса Connection. Для этого вызовите контекстное меню нужного соединения и выберите команду Replicate Now (Реплицировать немедленно). В зависимости от пропускной способности коммуникационных линий, соединяющих контроллеры домена, и объема имеющихся изменений может потребоваться некоторое время для выполнения процедуры репликации. В случае успешной репликации всех изменений будет выведено сообщение "Active Directory has replicated the connections" (Active Directory произвела репликацию подключений).
Несмотря на удобный графический интерфейс, оснастка Active Directory Sites and Services предлагает достаточно ограниченные возможности управления процессом репликации. Как уже упоминалось ранее, администратор не может запросить репликацию изменений для отдельного раздела каталога. Кроме того, администратор не может запросить репликацию изменений от всех источников-партнеров по репликации как одну операцию.

Replication Diagnostics Tool (RepAdmin.exe)

При помощи утилиты командной строки Replication Diagnostics Tool (RepAdmin.exe) администратор может осуществлять репликацию изменений на уровне отдельных разделов каталога. При этом администратор может включать в процесс репликации как один сервер-источник, так и все источники. Применительно к процессу управления репликацией, утилита может быть запущена в одном из двух режимов:

  • запрос репликации изменений определенного раздела каталога со всех серверов-источников, выступающих в качестве партнеров по репликации;
  • запрос репликации изменений определенного раздела каталога с одного сервера-источника.

В первом случае необходимо использовать следующий формат утилиты: repadmin /syncall <целевой_сервер> [<раздел_каталога>] [<флаги>]
В этом случае выполняется репликация только одного раздела, однако от всех источников-партнеров по репликации. Флаги позволяют задать параметры репликации. Например, чтобы инициировать репликацию изменений доменного раздела khsu.ru на контроллер домена store со всех источников-партнеров, необходимо воспользоваться следующей командой: repadmin /syncall store.khsu.ru DC=khsv., DC=ru
Следует помнить о том, что команда repadmin /syncall позволяет выполнить репликацию только одного раздела каталога. Однако достаточно часто возникает необходимость синхронизировать все разделы каталога. Для этого используется специальный флаг /А. Ниже приводится пример синхронизации всех разделов каталога для контроллера домена store. repadmin /syncall store.khsu.ru /А
Чтобы выполнить репликацию изменений в рамках всего леса доменов, администратор может создать пакетный файл, содержащий аналогичные команды для каждого контроллера домена и для всех разделов каталога. Впоследствии при необходимости администратор может использовать созданный пакетный файл для выполнения полной репликации в домене или лесе.
Для выполнения репликации некоторого раздела каталога от одного конкретного партнера используется другой формат утилиты: repadmin /sync <раздел_каталога> <целевой_сервер> <сервер_источник> [<флаги>]
Сервер-источник задается посредством глобально уникального идентификатора (GUID). Например, для репликации изменений доменного раздела khsu.ru на контроллер домена store с контроллера домена root (имеющего GUID 337e47bb-3902-4a8f-9666-fe736ddc0b7c) необходимо воспользоваться следующей командой: repadmin /sync DC=khsu, DC=ru store.khsu.ru 337e47bb-3902-4a8f-9666-fe736ddc0b7c

Active Directory Replication Monitor (ReplMon.exe)

Имеющая графический интерфейс утилита Active Directory Replication Monitor (ReplMon.exe) может быть использована для выполнения следующих операций, связанных с репликацией:

  • синхронизация всех разделов каталога некоторого контроллера домена со всеми партнерами по репликации (для этой операции имеются три дополнительных режима);
  • синхронизация указанного раздела каталога некоторого контроллера домена со всеми партнерами по репликации;
  • синхронизация указанного раздела каталога некоторого контроллера домена с определенным партнером по репликации.

Одним из достоинств утилиты Active Directory Replication Monitor является возможность подробного протоколирования операции репликации.

Аудит событий доступа к объектам Active Directory

Оценка эффективности существующей политики безопасности системы должна базироваться на некотором аналитическом материале. В состав операционной системы Windows Server 2003 включены действенные механизмы протоколирования событий, связанных с попытками (как удачными, так и неудачными) получения доступа к ресурсам сети. Согласно терминологии Microsoft, процесс протоколирования действий пользователей получил название аудита (audit). Сведения обо всех событиях, связанных с попыткой получения доступа к ресурсам, для которых активизирован режим аудита, фиксируются системой в специальном журнале безопасности (Security log).
Для объектов каталога реализация аудита осуществляется в два этапа:
1. Активизация режима аудита. При этом администратор должен указать категории событий, которые подлежат аудиту.
2. Определение объектов каталога, для которых будет осуществляться аудит событий.
Подсистема безопасности Windows Server 2003 оперирует девятью категориями событий, подлежащих аудиту. Применительно к аудиту событий, связанных с функционированием службы каталога, интерес представляют три категории событий:

  • Audit object access (Аудит событий, связанных с доступом к объектам);
  • Audit directory service access (Аудит событий, связанных с доступом к службе каталога);
  • Audit account management (Аудит событий, связанных с управлением учетными записями).

Аудит доступа к службе каталога выполняется по отношению к операциям, выполняемым на контроллерах домена. Для активизации аудита можно использовать оснастку Domain Controllers Security Policy. Эта оснастка работает с объектом групповой политики Default Domain Controllers Policy, привязанного к подразделению Domain Controller. Откройте узел Computer Configuration | Windows Settings | Security Settings | Local Policies | Audit Policy (Конфигурация компьютера | Конфигурация Windows | Параметры безопасности | Локальные политики | Политика аудита) содержащий категории аудита.
По умолчанию для политик аудита задано одно значение — No auditing (Нет аудита). В окне оснастки выберите категорию событий, откройте его окно свойств, установите флажок Define these policy settings (Определить следующие параметры политики) и определите, какие именно попытки — успешные (Success) или неуспешные (Failure) — должны регистрироваться в системном журнале безопасности. Если флажок Define these policy settings (Определить следующие параметры политики) снят, считается, что для данной категории событий аудит не определен (Not Defined).
Следует заметить, что установки No auditing (Нет аудита) и Not defined (He определено) имеют разное значение. Если политика не определена, вы можете установить ее на другом уровне. Значение No auditing переопределяет все установки, которые могли быть заданы ранее. Групповые политики для контейнера Domain Controllers применяются последними и, следовательно, имеют самый высокий приоритет. Поэтому установки аудита, определяемые этими политиками по умолчанию, переопределяют любые параметры, заданные на предыдущих уровнях.
На следующем этапе администратор определяет объекты каталога, для которых будет осуществляться аудит событий. Для каждого объекта каталога аудит событий может производиться на двух уровнях:

  • на первом уровне отслеживаются все события, связанные с доступом непосредственно к самому объекту (создание, удаление, чтение объекта и т. п.);
  • на втором уровне система регистрирует в системном журнале все события, связанные с доступом к индивидуальным атрибутам объекта (чтение или изменение атрибута объекта).

Режим аудита позволяет отслеживать действия над объектами каталога и их атрибутами на любом уровне иерархии. При этом допускается наследование дочерними объектами параметров аудита от родительских объектов.
Для операций чтения рекомендуется задавать аудит неудачных обращений (отказов), поскольку при регистрации большого количества успешных обращений журнал безопасности (Security Log) будет быстро переполняться. Как следствие, снижается производительность контроллеров домена. Для операций записи, создания/удаления и других критичных операций (которые выполняются гораздо реже, чем чтение) можно устанавливать аудит всех событий, т. е. как успешных, так и неудачных обращений.
По умолчанию для группы Everyone (Все) выполняется аудит специальных обращений (успешных и неудачных) ко всем объектам в домене. Все объекты домена наследуют эти установки от корневого доменного контейнера. У некоторых контейнеров имеются дополнительные параметры аудита. Эти установки разрешают аудит критических операций, таких как запись, удаление, изменение и т. д. Все установки аудита можно просматривать в окне свойств объекта: откройте вкладку Security (Безопасность), нажмите кнопку Advanced (Дополнительно) и перейдите на вкладку Auditing (Аудит).
Нажмите кнопку Edit (Редактирование), и в открывшемся окне вы можете просматривать и изменять параметры. Если вы откроете вкладку Auditing для некоторого дочернего объекта каталога, то заметите, что все установленные флажки затенены. Их нельзя изменить непосредственно, для этого нужно открыть родительский или корневой объект. Если установить еще не отмеченный флажок, система создаст новый набор параметров аудита и добавит его в список.
Поскольку по умолчанию многие успешные обращения регистрируются, после включения аудита может возникнуть громадное количество записей в системных журналах. Поэтому при выполнении аудита в течение достаточно длительного времени следует изменить параметры, заданные по умолчанию.
Содержимое журнала безопасности может быть просмотрено при помощи оснастки Event Viewer. Для каждого события утилита отображает следующую информация:

  • успешность попытки (была ли попытка доступа успешной или нет);
  • дата и время попытки;
  • имя учетной записи компьютера, с которого была произведена попытка;
  • имя учетной записи пользователя, совершившего попытку.

Резервирование и восстановление Active Directory

Для выполнения операций резервного копирования в составе операционной системы Windows Server 2003 Server поставляется утилита Backup. С ее помощью можно резервировать и восстанавливать многие системные данные, в том числе файлы базы данных Active Directory. Использование этой утилиты подробно рассматривается в главе 23 "Восстановление системы", здесь мы коснемся лишь специфики работы с Active Directory.
Важно понимать, что резервная копия состояния системы (System State) содержит параметры, характеризующие конкретный контроллер домена. Как следствие, вы не можете использовать резервную копию состояния системы одного контроллера домена для восстановления другого контроллера домена. В этом случае вы получите два абсолютно идентичных контроллера домена, что приведет к возникновению конфликтов (начиная с идентичных настроек стека протоколов TCP/IP и заканчивая GUID DSA).

Внимание

Расширение схемы является необратимой операцией, и вы не можете восстановить резервную копию, содержащую старую версию схемы. Созданные атрибуты и классы невозможно удалить, их можно только отключить (deactivate).

Создание резервной копии Active Directory

Подсистема резервного копирования Windows Server 2003 позволяет создавать резервные копии различных типов (нормальную, дублирующую, добавочную, разностную и ежедневную). Однако применительно к резервной копии, отражающей состояние системы, речь может идти только о нормальном резервном копировании (normal backup).
Для создания резервной копии состояния системы запустите утилиту Backup, выполнив команду Start | Programs | Accessories | System Tools | Backup.
Утилита Backup предлагает администратору два способа создания резервной копии.

  • Использование мастера Backup Wizard. Этот способ является наиболее удобным, поскольку упрощает процедуру резервного копирования.

Создание резервной копии вручную. Этот способ дает администратору больший контроль над операцией резервного копирования. При этом, однако, от администратора требуется четкое понимание всех механизмов резервного копирования.
Рассмотрим процесс создания резервной копии вручную. Процесс сохранения данных Active Directory сводится к резервированию состояния системы на контроллере домена. Перейдите на вкладку Backup и установите флажок System State в окне структуры. При необходимости можно также включить в создаваемую резервную копию ряд дополнительных файлов. В списке Backup Destination выберите тип носителя архива. Если выбран режим создания резервной копии на жестком диске, в поле Backup media or file name необходимо будет указать имя файла. Затем нажмите кнопку Start Backup, и процесс архивации начнется. Напомним, что полученный архив можно использовать для установки контроллера домена из резервной копии (см. главу 19 "Проектирование доменов и развертывание Active Directory").

Восстановление Active Directory

В случае выхода из строя контроллера домена, у администратора имеется две возможности восстановления его работоспособности:

  • установить на компьютере операционную систему заново и повысить его до контроллера домена. При этом база данных каталога Active Directory будет автоматически восстановлена в процессе стандартной процедуры репликации. В результате получится совершенно новый контроллер, а все ссылки на старый контроллер домена в Active Directory нужно будет удалить вручную. Этот способ требует минимум усилий со стороны администратора и, что является самым главным, не требует наличия резервной копии каталога. Этот способ восстановления используют в том случае, когда требуется полная переустановка операционной системы. Если же выход из строя контроллера домена связан с повреждением системных файлов службы каталога, проще восстановить базу данных каталога, используя резервную копию. Этот способ неприемлем в том случае, если восстанавливаемый контроллер домена является единственным в домене;
  • использовать резервную копию для восстановления состояния системы. Этот способ позволяет сохранить индивидуальные характеристики контроллера домена и не требует обязательной переустановки операционной системы.

В данном разделе речь пойдет о восстановлении из резервной копии. При этом у администратора имеется три различных сценария восстановления состояния системы:

  • выполнить основное восстановление (primary restore), если имеется только один контроллер домена и требуется восстановить содержимое каталога. При основном восстановлении создается новая -база данных службы репликации файлов (FRS); поэтому восстановленные данные будут затем реплицироваться на другие контроллеры домена;
  • если в домене остался хотя бы один контроллер домена, можно выполнить неавторитетное восстановление (non-authoritative restore). При этом база данных каталога будет приведена в состояние, в котором каталог находился на момент создания резервной копии. Восстановленный контроллер получит актуальные данные об изменениях, произошедших в каталоге с момента создания данной резервной копии, в процессе репликации Active Directory с других контроллеров домена. К неавторитетному восстановлению целостности каталога прибегают в случае возникновения неисправностей, вызванных нарушениями в работе компьютера. Этот тип восстановления используется чаще всего;
  • если требуется восстановить данные, удаленные из Active Directory, необходимо использовать авторитетное восстановление (authoritative restore). Авторитетное восстановление службы каталога применяется для приведения каталога в некоторое состояние, непосредственно предшествующее сбою системы. Однако авторитетное восстановление может быть выполнено только после того, как будет выполнено неавторитетное восстановление каталога. Авторитетное восстановление возможно для любого раздела каталога, за исключением раздела схемы.

Не забывайте о том, что при любом сценарии восстановить Active Directory можно только тогда, когда сервер загружен в режиме восстановления каталога.

Основное и неавторитетное восстановление

При устранении последствий выхода контроллера домена из строя может потребоваться изменение конфигурации сервера. Возможна ситуация, когда вышедший из строя контроллер домена должен быть заменен другим. При этом администратор должен установить необходимые драйверы еще до выполнения операции восстановления. Если изменения в конфигурации контроллера домена затрагивают дисковую подсистему, необходимо позаботиться о выполнении следующих требований:

  • жесткий диск не должен быть меньшего объема, чем вышедший из строя;
  • на диске должна быть воспроизведена структура дисковых разделов, аналогичная той, что существовала на вышедшем из строя контроллере домена.

Процесс восстановления состояния системы (а точнее восстановления каталога) зависит от времени жизни объектов, помеченных для удаления (tombstone lifetime). По окончании процедуры неавторитетного восстановления каталога на контроллер домена будут реплицированы сведения обо всех изменениях, произошедших с момента выполнения использованной резервной копии. Это касается также и сведений об изменениях, вызванных операцией удаления объектов.
Объекты, выбранные пользователем для удаления, не удаляются из каталога сразу. Они помечаются службой каталога для удаления, и информация об этом реплицируется на все остальные контроллеры домена. Только через некоторый промежуток времени, называемый временем жизни объекта, помеченного для удаления, объект будет реально удален из каталога. По умолчанию время жизни объектов, помеченных для удаления, составляет 60 дней (минимальное значение — 2 дня). Эта величина хранится в атрибуте tombstoneLifetime объекта c именем CN=Directory Service, CN=Windows NT, CN=Service, CN=Configuration, DC=<ForestRootDomain>. Для восстановления каталога запрещается использовать резервные копии старше, чем значение времени жизни объектов, помеченных для удаления.
Восстановление резервной копии, так же как и операция ее создания, может быть выполнено двумя способами: посредством мастера Restore Wizard и вручную. Рассмотрим процесс ручного восстановления.
Запустите утилиту Backup и перейдите на вкладку Restore. Выберите из списка необходимую резервную копию и установите в ней флажок System State. Выберите из списка Restore files to (Восстанавливать файлы в) значение Original location (Исходное расположение). Нажмите кнопку Start Restore и выберите опцию Advanced в окне Confirm Restore (Подтверждение восстановления). Для выполнения основного восстановления необходимо установить флажки, как показано на рис. 20.11. Если выполняется неавторитетное восстановление, необходимо снять флажок When restoring replicated data sets, mark the restored data as the primary data for all replicas. Закройте окно и начните процесс восстановления.
По окончании процесса восстановления необходимо перезагрузить компьютер.

Примечание

По окончании процедуры восстановления для системного агента каталога (DSA) контроллера домена генерируется новый глобальный идентификатор (GUID). При этом служба каталога начинает нумерацию порядковых номеров обновления (USN)сначала.

После того как резервная копия состояния системы загружена, необходимо выполнить перезагрузку системы. Однако до того как будет выполнена перезагрузка, администратор может проверить успешность выполнения операции восстановления каталога. Показателем успешности служит наличие в реестре параметра RestoreinProgress в ключе реестра HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlset\Services\NTDS. Этот параметр используется системой для обнаружения факта восстановления каталога и используется для инициации процесса обновления соответствующих системных файлов.

Рис. 20.11. Выполнение основного восстановления

Авторитетное восстановление

Процедура авторитетного восстановления каталога предполагает откат на всех контроллерах домена изменений, касающихся определенных объектов или даже фрагментов каталога. Авторитетное восстановление может быть выполнено для объектов, расположенных в доменном разделе каталога, а также в разделе каталога, содержащем данные конфигурации. Поскольку операция расширения схемы каталога является необратимой, авторитетное восстановление схемы невозможно.
Суть авторизованного восстановления заключается в установке для некоторого подмножества объектов каталога значения Originating USN в метаданных репликации равным текущему значению USN контроллера домена. Как следствие, информация об этих объектах будет реплицирована на остальные контроллеры домена.
Авторитетное восстановление всегда производится после неавторизованного восстановления каталога. Для выполнения этой операции используется утилита командной строки NtdsUtil.exe. Рассмотрим процедуру выполнения авторизованного восстановления более подробно.
На предварительном этапе контроллер домена должен быть загружен в режиме восстановления службы каталога. Используя имеющуюся резервную копию, администратор должен произвести неавторитетное восстановление службы кататога. При этом на вкладке Restore утилиты Backup из раскрывающегося списка Restore flies to (Восстанавливать файлы в) надо выбрать значение Alternate location (Альтернативное расположение). Необходимо будет указать папку на локальном диске, в которую будет произведено восстановление содержимого резервной копии. В выбранном месте после восстановления появятся следующие папки:

  • Active Directory. Файлы, используемые механизмом ESE для организации хранилища каталога (файлы ntds.dit, edb.log и т. п.);
  • СОМ+ Class Registration Database. Файлы, определяющие содержимое базы данных регистрации классов СОМ+ (файл ComReg.Db.bak);
  • Boot Files. Эта папка содержит загрузочные файлы (файлы ntdetect.com, ntldr);
  • Registry. В этой папке находятся файлы, содержимое которых определяет значение основных ключей системного реестра (файлы default, SAM, SECURITY, software, system, userdiff);
  • Sys Vol. Эта папка определяет содержимое системного тома SYSVOL.

По окончании процедуры неавторизованного восстановления система предложит выполнить перезагрузку. Для выполнения авторизованного восстановления необходимо отказаться от перезагрузки, поскольку при этом произойдет обновление всех системных файлов. Запустите редактор реестра и убедитесь в существовании параметра RestoreinProgress в ключе реестра HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\NTDS.
Вместо перезагрузки необходимо перейти в режим командной строки и запустить утилиту NtdsUtil. Ниже приведен пример диалога для операции authoritative restore (команды администратора выделены полужирным):

C:\>ntdsutil ntdsutil: authoritative restore authoritative restore: restore subtree OU=ND,DC=khsu,DC=ru Opening DIT database... Done. The current time is 09-20-02 21:45.14. Most recent database update occurred at 09-19-02 11:03.01. Increasing attribute version numbers by 300000. Counting records that need updating... Records found: 0000000004 Done. Found 4 records to update. Updating records... Records remaining: 0000000000 Done. Successfully updated 4 records.

Authoritative Restore completed successfully,

authoritative restore: quit

ntdsutil: quit

После этого необходимо выполнить перезагрузку компьютера. Обратите внимание на то, что номера версий объектов увеличиваются на 100 000 для каждого дня, прошедшего с момента создания резервной копии. Для просмотра изменений метаданных можно применять утилиту RepAdmin.exe. Например, для восстановленного подразделения можно воспользоваться следующей командой: c:\repadmin /showmeta OU=ND, DC=khsu, DC=ru store.khsu.ru
Выполняя эту команду на различных контроллерах домена, можно проверить успешность выполнения авторизованного восстановления и проследить за распространением изменений в процессе репликации.
Если в вашей конфигурации объекты Active Directory меняются редко, можно изменить стандартное значение, на которое увеличивается номер версии. При этом в процессе работы утилиты NtdsUtil используется команда, подобная следующей: restore subtree OU=ND, DC=khsu, DC=ru verinc 1000
При выполнении авторизованного восстановления администратор должен учитывать срок действия паролей, соответствующих учетным записям (пользователей и компьютеров) и используемых для установления доверительных отношений между доменами. Служба каталога рассматривает смену пароля как изменение состояния объекта. Политика учетных записей задает срок жизни пароля и накладывает определенные ограничения на выполнение авторизованного восстановления объектов, ассоциированных с учетными записями. Возможна ситуация, когда откат изменений восстановит старые значения паролей учетных записей, что приведет к нарушению нормальной работы сети. По умолчанию пароли, ассоциированные с учетными записями компьютеров, а также используемые для установления доверительных отношений между доменами, меняются каждые семь дней. Кроме того, в каталоге хранятся также и предыдущие значения паролей. Таким образом, если применяются установки по умолчанию, не следует использовать для авторизованного восстановления объектов каталога, ассоциированных с учетными записями, резервные копии старше 14 дней.

Восстановление содержимого системного тома SYSVOL

В ряде ситуаций может потребоваться восстановить содержимое системного тома SYSVOL. В качестве примера можно привести ситуацию, когда удаляется группа объектов групповой политики. Информация о групповой политике хранится как в виде объектов каталога, так и в виде файлов в составе системного тома SYSVOL. Поэтому восстановление только объектов каталога не приведет к полному восстановлению объектов групповой политики. Необходимо также восстановить содержимое системного тома SYSVOL.
По окончании процедуры авторитетного восстановления следует перезагрузить контроллер домена в нормальном режиме и дождаться момента публикации тома SYSVOL. Обнаружить момент публикации можно при помощи команды net share.
Скопируйте содержимое тома SYSVOL из альтернативной папки в его рабочую папку (по умолчанию %SystemRoot%\SYSVOL\sysvo\). Изменение состояния тома SYSVOL вызовет репликацию тома на остальные контроллеры домена.


Использование групповых политик

  • Использование групповых политик
  • Оснастка Group Policy Object Editor
    • Привязка оснастки к объекту групповой политики
    • Выбор контроллера домена
    • Создание и удаление объектов групповой политики
    • Привязка объекта групповой политики к контейнеру Active Directory
  • Структура объекта групповой политики
    • Административные шаблоны
      • Создание административных шаблонов
      • Применение административных шаблонов
    • Сценарии
    • Перенаправление пользовательских папок
      • Настройка основного режима перенаправления папок
      • Настройка расширенного режима перенаправления папок
    • Управление приложениями
      • Публикация приложений
      • Назначение приложений
  • Построение иерархии объектов групповой политики
    • Блокировка процесса наследования параметров объектов групповой политики
    • Запрещение переопределения параметров объектов групповой политики
    • Запрещение применения параметров объекта групповой политики
    • Ограничение действия параметров групповой политики
    • Предоставление полномочий на доступ к объектам групповой политики
  • Определение действующих политик
    • Оснастка Resultant set of Policies

Использование групповых политик

Групповые политики являются мощным инструментом, посредством которого администратор может осуществлять централизованное конфигурирование большого количества рабочих станций в корпоративной сети. В данной главе мы рассмотрим более подробно использование групповых политик в масштабах домена.

Оснастка Group Policy Object Editor

Оснастка Group Policy Object Editor (Редактор объектов групповой политики) используется для редактирования параметров объектов групповой политики (group policy objects, GPO). Эта оснастка может использоваться для редактирования любых объектов GPO (как локальных, так и тех, что хранятся в каталоге). Администратор может запустить оснастку Group Policy Object Editor из определенных административных оснасток. Кроме того, эта оснастка может быть добавлена непосредственно в пользовательскую консоль.
Оснастка позволяет конфигурировать параметры групповой политики, касающиеся как компьютера, так и пользователя. В панели пространства имен оснастки эти группы параметров GPO представлены контейнерами Computer Configuration (Конфигурация компьютера) и User Configuration (Конфигурация пользователя).
Оснастка Group Policy Object Editor предоставляет администратору больше возможностей по конфигурированию параметров групповой политики по сравнению с другими оснастками, предполагающими работу с групповой политикой, — оснастками Local Security Policy, Domain Controller Security Policy и Domain Security Policy. Указанные оснастки обеспечивают доступ только к ограниченному подмножеству параметров групповой политики, расположенных в контейнере Security Setting (Параметры безопасности) соответствующего объекта групповой политики. Оснастки Domain Controller Security Policy и Domain Security Policy устанавливаются на каждом контроллере домена. Оснастка Local Security Policy присутствует на каждом рядовом компьютере под управлением Windows 2000/XP или Windows Server 2003.

Привязка оснастки к объекту групповой политики

Оснастка Group Policy Object Editor может быть вызвана из оснасток Active Directory Users and Computers и Active Directory Sites and Services. Для этого в окне свойств объекта, ассоциированного с сайтом, доменом или подразделением, необходимо перейти на вкладку Group Policy (рис. 21.1).

Рис. 21.1.Вкладка Group Policy окна свойств подразделения

Чтобы изменять параметры произвольного объекта GPO, администратор должен вручную загрузить оснастку Group Policy Object Editor в консоль ММС, при этом необходимо выполнить ее привязку к некоторому объекту групповой политики. В окне Select Group Policy Object (Выбор объекта групповой политики) по умолчанию предлагается привязать оснастку либо к локальному объекту GPO, либо к одному из доменных GPO. Чтобы выбрать объект групповой политики, щелкните по кнопке Browse (Обзор). В окне Browse for a Group Policy Object (Поиск объекта групповой политики) администратор может (рис. 21.2):

  • выбрать один из существующих (и, как правило, уже привязанный к какому-нибудь контейнеру каталога) объектов групповой политики в списке и загрузить его для редактирования в оснастку Group Policy Object Editor;
  • создать новый объект групповой политики.

Рис. 21.2. Выбор объекта групповой политики

В дальнейшем необходимо различать операцию привязки оснастки Group Policy Object Editor к некоторому объекту GPO и операцию привязки непосредственно самого объекта GPO к некоторому контейнеру каталога.
Следует заметить, что один экземпляр оснастки Group Policy Object Editor позволяет работать только с одним экземпляром объекта групповой политики. Привязка оснасток возможна только в момент создания пользовательских консолей, включающих оснастку Group Policy Object Editor. Если необходимо редактировать другой объект групповой политики, администратор должен запустить второй экземпляр оснастки.

Выбор контроллера домена

Оснастка Group Policy Object Editor работает с объектами каталога, следовательно, все ее манипуляции с объектами должны производиться в контексте некоторого контроллера домена. Чтобы определить правило выбора контроллера домена, в контексте которого будет работать оснастка Group Policy Object Editor, выберите имя оснастки и в меню View (Вид) выполните команду DC Options (Параметры контроллера домена). В открывшемся окне (рис. 21.3) следует выбрать необходимое значение.

Рис. 21.3. Определение схемы выбора контроллера домена

Отдельного комментария заслуживает вторая из предлагаемых опций. Оснастку Group Policy Object Editor можно запускать из окна оснасток Active Directory Users and Computers или Active Directory Sites and Services, которые в этот момент подключены к определенному контроллеру домена. В подобной ситуации оснастка Group Policy Object Editor может работать с тем же контроллером домена, что и оснастка, из которой она была запущена. Выбранная опция сохраняется и используется при следующем запуске оснастки. При этом, если выбранный контроллер домена недоступен при запуске оснастки, возникает ошибка.
Существует групповая политика, позволяющая администратору определить стратегию выбора предпочитаемого контроллера домена. Откройте используемый объект GPO и перейдите к узлу User Configuration | Administrative Templates | System | Group Policy (Конфигурация пользователя Административные шаблоны | Система | Групповая политика). Откройте политику Group Policy domain controller selection. Активизируйте политику, установив переключатель Enable, а затем одну из следующих возможностей:

  • Use the Primary Domain Controller (Использовать основной контроллер домена);
  • Inherit from Active Directory Snap-ins (Унаследовать от оснасток Active Directory);
  • Use any available domain controller (Использовать любой доступный контроллер домена).

Если эта политика запрещена (disabled) или не установлена (not configured), оснастка Group Policy Object Editor подключается к контроллеру домена, являющегося исполнителем роли РОС. Если политика установлена, она переопределяет опцию, заданную в самой оснастке Group Policy Object Editor.

Примечание

Поскольку при поиске объектов групповой политики выполняются обращения к DNS, ошибки при запуске оснасток Group Policy Object Editor нередко объясняются неправильной работой службы DNS. Поэтому при появлении подобных ошибок всегда проверяйте конфигурацию DNS. Помните о том, что DNS — это динамическая система, и ресурсные записи становятся просроченными и требуют периодической перерегистрации.

Создание и удаление объектов групповой политики

Для создания нового объекта групповой политики достаточно щелкнуть на кнопке New (Создать) на вкладке Group Policy (см. рис. 21.1) в окне свойств некоторого контейнера или щелкнуть на соответствующей кнопке в панели инструментов окна Browse for a Group Policy Object (см. рис. 21.2). Система предложит администратору дать имя создаваемому объекту групповой политики. После этого системой будет создан объект групповой политики со значениями параметров по умолчанию.
Удаление объекта групповой политики, не привязанного к какому-либо контейнеру каталога, не вызывает особых трудностей. В случае, если подобная привязка существует, система потребует дать дополнительные указания:

  • Remove the link from the list (Изъять ссылку из списка, не удаляя объекта). Выбирая этот режим, администратор фактически только удаляет привязку выбранного объекта групповой политики к некоторому контейнеру каталога. Непосредственно сам объект групповой политики остается неизменным, и администратор может использовать его впоследствии;
  • Remove the link and delete the Group Policy Object permanently (Изъять ссылку и окончательно удалить объект групповой политики). Выбор данного режима приводит к удалению непосредственно самого объекта групповой политики. При этом также удаляются существующие привязки указанного объекта к контейнерам каталога.

Привязка объекта групповой политики к контейнеру Active Directory

Любой объект групповой политики может быть привязан к некоторому сайту, домену или подразделению. Один объект групповой политики может быть привязан к множеству контейнеров. Для выполнения привязки необходимо щелкнуть на кнопке Add на вкладке Group Policy окна свойств контейнера. В окне Browse for a Group Policy Object все объекты групповой политики, существующие в домене, перечислены на вкладке All (Все).
Администратору достаточно выбрать необходимый объект групповой политики и щелкнуть по кнопке ОК.
Возможна и обратная операция. Администратор может найти контейнеры, к которым привязан выбранный объект групповой политики. Для этого в оснастке Group Policy Object Editor необходимо в контекстном меню корневого объекта оснастки выбрать пункт Properties (Свойства), чтобы открыть окно свойств объекта групповой политики. В окне свойств необходимо перейти на вкладку Links (рис. 21.4). Выбрав из раскрывающегося списка Domain нужный домен и щелкнув по кнопке Find Now (Найти), администратор получит список контейнеров, к которым к настоящий момент привязан рассматриваемый объект групповой политики.

Рис. 21.4. Просмотр привязок выбранного объекта групповой политики

Структура объекта групповой политики

Множество параметров, определяемых в рамках объекта групповой политики, разделено на две части. Одна часть параметров используется для конфигурирования компьютера (computer configuration), другая часть параметров используется для конфигурирования среды пользователя (user configuration). Конфигурирование компьютера предполагает определение значений для параметров, влияющих на формирование окружения любых пользователей, регистрирующихся на данном компьютере. Конфигурирование среды пользователя дает возможность управлять процессом формирования окружения конкретного пользователя, независимо от того, на каком компьютере он регистрируется в сети.
Независимо от типа конфигурирования, параметры групповой политики организованы в специальные категории (рис. 21.5). Каждая из категорий параметров групповой политики определяет отдельную область окружения пользователя. Доступные категории параметров перечислены в табл. 21.1. В свою очередь категории параметров групповой политики организованы в три контейнера в соответствии со своим назначением:

  • Software Settings (Конфигурация программ). В контейнере размещаются категории параметров групповой политики, посредством которых можно управлять перечнем приложений, доступных пользователям;

Рис. 21.5. Структура объекта групповой политики

  • Windows Settings (Конфигурация Windows). В контейнере размешаются категории параметров групповой политики, определяющие настройки непосредственно самой операционной системы. Содержимое данного контейнера может быть различным, в зависимости от того, для кого определяются параметры групповой политики (для пользователя или компьютера);
  • Administrative Templates (Административные шаблоны). Этот контейнер содержит категории параметров групповой политики, применяемых для управления содержимым системного реестра компьютера.

Таблица 21.1. Категории параметров групповой политики

Категория | Контейнер | Описание
Software Installation | Software Settings | Данная категория параметров используется для централизованного управления приложениями, доступными на данном компьютере, или для данного пользователя. При этом в зависимости от параметров групповой политики приложения могут либо устанавливаться принудительно, либо рекомендоваться для установки
Remote Installation Service | Windows Settings | Данная категория параметров используется для управления процессом удаленной установки на клиентском компьютере. Эта категория параметров доступна только в случае конфигурирования на уровне пользователя
Scripts | Windows Settings | Категория используется для определения сценариев, которые будут выполняться при включении/выключении компьютера (Startup/Shutdown Scripts), либо при регистрации пользователя в системе или его выхода из нее (Logon/Logoff Scripts)
Security Settings | Windows Settings | Параметры данной категории используются для управления настройками безопасности клиентского компьютера. Помимо групповой политики, администратор может также использовать другие механизмы для управления настройками безопасности
Folder Redirection | Windows Settings | Посредством параметров данной категории администратор может сконфигурировать процесс перенаправления папок из пользовательского профиля (таких, например, как My Documents) на некоторый сетевой ресурс. Эта категория параметров доступна только для конфигурации пользователя
Internet Explorer Maintenance | Windows Settings | Параметры данной категории используются для настройки браузера Internet Explorer. Эта категория параметров доступна только для конфигурации пользователя
Windows Components | Administrative Templates | В данной категории представлены параметры, посредством которых администратор может осуществлять управление настройками Windows-компонентов, установленных на конфигурируемой системе
Start Menu and Taskbar | Administrative Templates | Параметры данной категории позволяют администратору конфигурировать главное меню и панель задач клиентского компьютера (прежде всего, ограничивать доступную функциональность). Эта категория параметров доступна только для конфигурации пользователя
Desktop | Administrative Templates | Параметры данной категории позволяют администратору конфигурировать вид рабочего стола клиентского компьютера и его функциональность. Эта категория параметров доступна только в случае конфигурирования на уровне пользователя. Эта категория параметров доступна только для конфигурации пользователя
Control Panel | Administrative Templates | Параметры данной категории позволяют администратору управлять видимостью отдельных компонентов панели управления на клиентском компьютере. Эта категория параметров доступна только для конфигурации пользователя
Shared Folders | Administrative Templates | Параметры данной категории позволяют управлять процессом публикации общих папок. Эта категория параметров доступна только для конфигурации пользователя
Networks | Administrative Templates | Данная категория параметров используется для управления конфигурацией сетевых компонентов системы
System | Administrative Templates | В данной категории представлены параметры, позволяющие управлять настройками реестра, влияющими на поведение системы в целом
Printers | Administrative Templates | Параметры данной категории используются для управления процессом публикации принтеров. Эта категория параметров доступна только для конфигурации компьютера

Перечисленные в таблице категории параметров предоставляют администратору доступ к различным механизмам конфигурирования рабочих станций. В последующих разделах данной главы мы постараемся рассмотреть подробно каждый из этих механизмов конфигурирования.

Административные шаблоны

Механизм административных шаблонов позволяет администратору посредством групповой политики конфигурировать системный реестр клиентских компьютеров. Для любой рабочей станции, подпадающей под действие некоторого объекта групповой политики, системный реестр будет сконфигурирован в соответствии с административным шаблоном, определенным в рамках данного объекта.
Административные шаблоны не задействуют весь реестр целиком, а только два его ключа: HKEY_LOCAL_MACHINE и HKEY_CURRENT_USER. Создаваемый пользователем административный шаблон может охватывать любые подразделы в рамках указанных ключей. Ключ HKEY_LOCAL_MACHINE используется для определения настроек операционной системы. Значения параметров данного ключа используются для настройки системы непосредственно на этапе ее инициализации (т. е. до момента регистрации пользователя). Содержимое этого ключа реестра определяется в рамках административного шаблона групповой политики конфигурации компьютера (computer configuration).
Ключ HKEY_CURRENT_USER используется для формирования на рабочей станции индивидуальной среды пользователя. Значения параметров данного ключа используются для настройки системы на этапе регистрации пользователя. Содержимое этого ключа реестра определяется в рамках административного шаблона групповой политики конфигурации пользователя (user configuration).
Хотя, как было замечено, административный шаблон может использоваться для конфигурирования любых ключей реестра, предпочтительным является использование ключей HKEY_LOCAL_MACHINE\software\Policies (для управления Параметрами компьютера) И HKEY_CURRENT_USER\Software\Policies (для управления средой пользователей). Данные ключи реестра очищаются системой автоматически, при каждом применении или отзыве объекта групповой политики. Как следствие, в случае, когда компьютер не подпадает под действие ни одного объекта групповой политики, для настройки системы используются стандартные значения параметров, определенных в соответствующих ключах реестра.
Административный шаблон представляет собой текстовый файл в формате Unicode, в котором определяются требуемые значения параметров реестра. Данный файл имеет расширение adm и хранится в папке %SystemRoot%\inf. Файл содержит перечисление ключей и параметров реестра, которые должны быть определены администратором в процессе формирования групповой политики. Административные шаблоны, поставляемые в составе Windows Server 2003, перечислены в табл. 21.2.

Таблица 21.2. Административные шаблоны, поставляемые в составе Windows Server 2003

Административный шаблон | Описание
Common.adm | Административный шаблон, используемый для настройки параметров системы на Windows 9х/МТ-клиентах
Conf.adm | Административный шаблон, используемый для настройки NetMeeting
Inetcorp.adm | Административный шаблон, используемый для настройки браузера Internet Explorer для работы в корпоративной среде
Inetres.adm | Административный шаблон, используемый для настройки ограничений браузера Internet Explorer
Inetset.adm | Административный шаблон, используемый для настройки браузера Internet Explorer
System. adm | Административный шаблон, используемый для настройки различных параметров системы
Windows. adm | Административный шаблон, используемый для конфигурирования Windows Эх-клиентов
Winnt.adm | Административный шаблон, используемый для конфигурирования Windows NT-клиентов
Wmplayer.adm | Административный шаблон, используемый для настройки приложения Windows Media Player
Wuau.adm | Административный шаблон, используемый для настройки службы автоматического обновления

Внимание

Для работы с шаблонами Common.adm, Windows.adm и Winnt.adm необходимо использовать утилиту System Policy Editor (Редактор системной политики).

Создание административных шаблонов

Помимо этого, администраторы могут создавать собственные варианты административных шаблонов в соответствии со стоящими перед ними задачами. Необходимо помнить, что административные шаблоны рассматриваются как средство управления содержимым реестра, в том числе параметрами, определяющими настройки пользовательских приложений. Установка приложений приводит к созданию в реестре новых ключей. Используя механизм административных шаблонов, администратор может выполнять настройку указанных приложений. Для построения административного шаблона необходимо использовать специальный язык ADM.

Примечание

Административные шаблоны Windows Server 2003 имеют порядка 200 новых параметров, отсутствующих в административных шаблонах Windows 2000.

Применение административных шаблонов

Следует четко понимать, что использование административных шаблонов возможно исключительно через механизм групповой политики. Это означает, что для распространения административного шаблона на некоторое множество компьютеров, он должен являться частью соответствующего объекта групповой политики. Чтобы сделать административный шаблон частью объекта групповой политики, следует загрузить его в оснастку Group Policy Object Editor. Для этого в контекстном меню контейнера Administrative Tools необходимо выбрать пункт Add/Remove Templates (Добавить/удалить шаблоны). В открывшемся окне (рис. 21.6) надо выбрать интересующий шаблон и нажать кнопку Add (Добавить). В результате, шаблон будет применен к конфигурируемому объекту групповой политики.

Рис. 21.6. Применение административного шаблона к объекту групповой политики

При помощи оснастки Group Policy Object Editor администратор имеет возможность редактировать вручную параметры групповой политики, расположенные внутри контейнера Administrative Templates и отвечающие за конфигурирование реестра клиентского компьютера. Выбрав интересующий параметр, администратор должен открыть окно его свойств. На вкладке Settings (Настройки) окна свойств (рис. 21.7) можно определить значение выбранного параметра:

  • Not Configured (He определено). Данное значение оставляет неопределенной возможность использования пользователем выбранного режима в рамках рассматриваемого объекта групповой политики. Фактически доступность выбранного режима удаленной установки ставится в зависимость от значения аналогичного параметра групповой политики, определенного на вышестоящем уровне;
  • Enabled (Активизировать). Выбор данного значения активизирует выбранный параметр групповой политики. Применительно к рассматриваемому параметру значение явно разрешает использование выбранного режима установки пользователям, подпадающим под действие конфигурируемого объекта групповой политики;
  • Disabled (Отключить). Выбор данного значения отключает выбранный параметр групповой политики. Применительно к рассматриваемому параметру значение явно запрещает использование выбранного режима установки пользователям, подпадающим под действие конфигурируемого объекта групповой политики.

Рис. 21.7. Определение параметров групповой политики

Сценарии

Под сценарием (scripts) понимается некоторая предопределенная последовательность команд, способных выполнятся в автоматическом режиме (т. е. без участия пользователя). Основное преимущество сценариев заключается в том, что их выполнение может осуществляться в соответствии с некоторым расписанием. Администраторы используют сценарии в ситуациях, когда необходимо многократно выполнять некоторую последовательность действий.
Используя механизм групповых политик, администратор может определить последовательность операций, которые будут выполняться в момент включения или выключения компьютера, либо при регистрации пользователя в системе или при выходе из нее. Таким образом, можно выделить четыре группы сценариев:

  • сценарии, выполняемые при инициализации системы (startup scripts);
  • сценарии, выполняемые при регистрации пользователя в системе (logon scripts);
  • сценарии, выполняемые при выключении компьютера (shutdown scripts);
  • сценарии, выполняемые при выходе пользователя из системы (logoff scripts).

Интерпретация сценариев осуществляется сервером сценариев Windows Script Host. Этот стандартный компонент, входящий в состав Windows 2000/XP и Windows Server 2003, позволяет создавать сценарии, используя специализированные языки Visual Basic Scripting Edition, JScript. Для старых версий клиентов (Windows 9x/NT) сценарии должны представлять собой пакетные файлы (.bat-файлы), либо нужно установить на них сервер сценариев Windows Script Host (загружаемый свободно с сайта Microsoft).
Все сценарии, определяемые в рамках объекта групповой политики, хранятся в шаблоне групповой политики, который в свою очередь располагается в папке %SystemRoot%\SYSVOL\sysvol\<имя-домена>\policies\<GUID-объекта-групповой-политики>
Выполнение сценариев происходит в следующем порядке. В первую очередь выполняются сценарии инициализации (startup scripts). После этого выполняются сценарии регистрации пользователя (logon scripts). Сценарии выхода пользователя из системы и сценарии завершения работы выполняются, соответственно, в обратном порядке.
Сценарий должен быть создан и протестирован еще до того момента, как он будет назначен в рамках некоторого объекта групповой политики. Чтобы назначить объекту групповой политики новый сценарий, необходимо перейти к категории параметров Scripts и в панели результатов вызвать контекстное меню объекта, ассоциированного с соответствующим типом сценария. В меню надо выбрать пункт Properties (Свойства).

Примечание

Сценарии, выполняемые в момент инициализации системы, а также в момент завершения работы, назначаются в конфигурации компьютера (computer configuration). Соответственно, сценарии, выполняемые в момент при регистрации пользователя в системе и при выходе из нее, назначаются в конфигурации пользователя (user configuration).

В открывшемся окне (рис. 21.8) администратор может добавить или удалить привязку сценария к конфигурируемому объекту групповой политики. В рамках одного объекта групповой политики администратор может определить несколько сценариев одного типа. При этом администратор должен определить порядок, в котором они будут выполняться. Порядок перечисления сценариев в окне соответствует порядку их выполнения. Для изменения порядка используются кнопки Up (Вверх) и Down (Вниз).

Рис. 21.8. Назначение сценария выхода из системы объекту групповой политики

Перенаправление пользовательских папок

Традиционным местом размещения документов пользователей является папка My Documents (Мои документы). В ситуации, когда пользователи перемещаются по организации, регистрируясь в сети на различных рабочих станциях, администратор может использовать перемещаемые профили для организации централизованного хранения пользовательских документов и настроек (roaming user profiles).
Профиль создается в момент первой регистрации пользователя в системе. По умолчанию локальные профили пользователя в операционных системах Windows 2000/XP и Windows Server 2003 размещаются в папке Documents and Settings (Документы и настройки). Механизм перемещаемых профилей позволяет организовать централизованное хранение всех настроек и документов пользователей на сервере. Централизованное хранение профилей позволяет упростить такие процессы, как регулярное резервное копирование, проверка на наличие вирусов и т. п.
Механизм групповой политики позволяет администратору организовать перенаправление обращений пользователя к папкам пользователя, содержащим его настройки и документы, на некоторый сетевой ресурс. Так же как и в случае с перемещаемыми профилями, информация, содержащаяся в перенаправленных папках, будет доступна пользователю на любой рабочей станции. Перенаправление папок позволяет избежать постоянного копирования информации пользовательских папок с сервера на локальный диск компьютера, характерного для перемещаемых профилей. Система предоставляет прозрачный доступ к данным. Пользователь работает непосредственно с тем сетевым ресурсом, на котором находятся его папки. В табл. 21.3 перечислены папки пользовательского профиля, для которых допускается перенаправление.

Таблица 21.3. Папки пользовательского профиля, для которых допускается перенаправление

Папка | Описание
Application data | В папке размещается информация, используемая приложениями. Некоторые приложения могут хранить в этой папке свои настройки, индивидуальные для каждого конкретного пользователя
Desktop | В папке хранятся объекты рабочего стола, включая ярлыки и файлы
My Documents | Папка используется для размещения документов пользователя
My Pictures | Папка используется для размещения графических файлов пользователя
Start Menu | В папке размещаются ярлыки программ главного меню

Внимание

Важно понимать, что механизм перенаправления (так же как и механизм перемещаемых профилей) эффективен только в том случае, когда пользователи используют собственные профили для размещения своих документов.

Режим перенаправления пользовательских папок настраивается в объектах групповой политики исключительно в конфигурации пользователя. Для определения параметров этого режима используется категория параметров Folder Redirection (Перенаправление папок). Администратор может определить индивидуально параметры перенаправления для каждой из пяти описанных папок. Для этого необходимо в контекстном меню объекта, ассоциированного с папкой, выбрать пункт Properties. На вкладке Target из раскрывающегося списка Setting (Настройка) необходимо выбрать режим перенаправления. Возможны три режима перенаправления папок. .

  • Перенаправление папки не выполняется. Чтобы выбрать данный режим, необходимо выбрать из списка значение Not configured (He определено).
  • Основной режим. В данном режиме указанная папка для всех пользователей, подпадающих под действие редактируемого объекта групповой политики, перенаправляется на один сетевой ресурс. Данному режиму соответствует значение Basic - Redirect everyone's folder to the same location (Основной — перенаправлять папки всех пользователей в одно место).
  • Расширенный режим. В этом режиме администратор может определить перенаправление папок пользователей на различные сетевые ресурсы. Выбор конкретного сетевого ресурса определяется группой, к которой принадлежит пользователь. Для выбора этого режима перенаправления в списке необходимо выбрать значение Advanced — Specify locations for various user groups (Расширенный — определить место для различных групп пользователей).

Ниже рассмотрим процесс настройки основного и расширенного режимов более подробно.

Внимание

Перенаправление папок возможно только для Windows 2000/XP- и Windows Server 2003-клиентов. Следует также заметить, что функциональность механизма перенаправления папок была существенным образом расширена в Windows Server 2003. Однако появившиеся новые возможности доступны только на клиентах Windows XP и Windows Server 2003.

Настройка основного режима перенаправления папок

В данном режиме для всех пользователей используется единая схема перенаправления папок. Администратору при этом необходимо определить, какая именно из возможных схем будет использоваться для перенаправления.

  • Папки всех пользователей перенаправляются в одну общую папку. Для выбора данной схемы в поле Target folder location (Расположение папки) следует выбрать значение Create a folder for each user under the root path (Создать папку для каждого пользователя в корневой папке) (рис. 21.9).

В поле Root Path (Путь к корневой папке) необходимо указать общую папку, которая будет использоваться для размещения перенаправленных папок.

Рис. 21.9. Настройка основного режима перенаправления папки

  • Папки пользователей перенаправляются на некоторый сетевой ресурс, на котором для каждого пользователя создается отдельная папка. Для выбора данной схемы в списке Target folder location (Расположение папки) необходимо выбрать значение Redirect to the following location (Перенаправить в следующее место). В поле Root Path (Путь к корневой папке) необходимо указать папку, в которую будет производиться перенаправление папок.
  • Папки пользователей перенаправляются в локальный профиль пользователя. Данная схема перенаправления необходима для того, чтобы вернуть содержимое папок из сетевого ресурса в локальный профиль пользователя. Если просто отключить механизм перенаправления, то содержимое папок пользователя будет утеряно. Поэтому перед отключением администратор должен перенаправить папки пользователя на его локальный профиль. Только после выполнения этой операции администратор может отключить механизм перенаправления. Для выбора данной схемы в списке Target folder location (Расположение папки) необходимо выбрать значение Redirect to the local user profile location (Перенаправить в локальный профиль пользователя).

Для папки My Documents (Мои документы) возможна еще одна схема перенаправления. Указанная папка может быть перенаправлена в домашнюю папку пользователя (home directory). Подобная схема перенаправления разрешена только для клиентов, находящихся под управлением операционных систем Windows XP Professional и Windows Server 2003.
Для выбора данной схемы в списке Target folder location (Расположение папки) необходимо выбрать значение Redirect to the user's home directory (Перенаправить в домашнюю папку пользователя). При этом на момент перенаправления для пользователя должно быть определено месторасположение домашней папки. Для этого на вкладке Profile (Профиль) окна свойств объекта, ассоциированного с пользователем, необходимо в группе элементов Home folder (Домашняя папка) указать требуемую папку. Это может быть как папка на локальном диске, так и некий сетевой ресурс (рис. 21.10).

Рис. 21.10. Назначение домашней папки пользователя

Настройка расширенного режима перенаправления папок

Расширенный режим позволяет выбирать способ перенаправления папок пользователя в зависимости от его членства в группах. Благодаря этому, администратор может реализовать различные уровни обеспечения надежности для хранимых папок для разных категорий пользователей (рис. 21.11). Наиболее важные документы, например, должны храниться на RAID-массивах. Как следствие, администратор может организовать различные политики резервного копирования для этих данных.

Рис. 21.11. Настройка расширенного режима перенаправления папки

Конфигурирование расширенного режима перенаправления папки выполняется аналогично основному режиму. Чтобы определить возможные параметры режима, надо щелкнуть по кнопке Add (Добавить) и в открывшемся окне (рис. 21.12) в поле Security Group Membership указать группу, для членов которой необходимо определить перенаправление. Остальные параметры аналогичны рассмотренным в предыдущем разделе.

Рис. 21.12. Конфигурирование параметров перенаправления

Управление приложениями

Механизм групповой политики может использоваться как средство управления процессом развертывания приложений на Windows 2000/XP- и Windows Server 2003-клиентах. Администратор может определить перечень приложений, которые будут доступны пользователям. В зависимости от выбранного режима, в процессе применения объекта групповой политики на компьютере будут установлены все необходимые приложения. Возможны следующие режимы управления процессом развертывания приложений:

  • публикация приложений;
  • назначение приложений пользователям',
  • назначение приложений компьютерам.

Механизм управления процессом развертывания приложений базируется на технологии Windows Installer. В составе большинства продуктов поставляются специальные инсталляционные пакеты (installation package), которые могут быть использованы для автоматической установки данного приложения.
Описание процесса развертывания выходит за рамки данной книги. В данном разделе мы постараемся осветить основные моменты данного процесса.

Публикация приложений

Публикация приложений может осуществляться исключительно в конфигурации пользователей. При этом пользователю, подпадающему под действие объекта групповой политики, предлагается список доступных для установки приложений. При этом пользователь самостоятельно принимает решение о том, необходимо ли выполнять установку приложения или нет.
В процессе публикации приложений инсталляционные пакеты (installation package) помещаются в специальное хранилище. Для установки опубликованного приложения, пользователь должен использовать мастер Add/Remove Programs (Установка/удаление программ). Чтобы просмотреть список опубликованных приложений, пользователь должен щелкнуть по пиктограмме Add New Programs (Добавить новое приложение).
Чтобы опубликовать приложение, в контекстном меню контейнера Software Installation необходимо выбрать пункт New | Package. Указав в открывшемся окне месторасположение инсталляционного пакета, администратор должен указать способ развертывания приложения (рис. 21.13).

Рис. 21.13. Определение способа развертывания приложений

Назначение приложений

Назначение приложений предполагает создание перечня приложений, обязательных для установки. Различают два режима назначения приложений.

  • Назначение приложений пользователям. Этот режим используется в случае определения параметров объекта групповой политики в конфигурации пользователя (user configuration). В процессе регистрации пользователя в системе на его рабочий стол помещается ярлык, идентифицирующий данное приложение. Установка приложения происходит в момент, когда пользователь щелкает по ярлыку, пытаясь запустить приложение, либо когда в первый раз открывается документ, ассоциированный с данным приложением.
  • Назначение приложений компьютерам. Этот режим используется в случае настройки параметров объекта групповой политики в конфигурации компьютера (computer configuration). Приложения устанавливаются на компьютер, подпадающий под действие объекта групповой политики в процессе инициализации системы. После того как назначенные приложения установлены на компьютере, только пользователь с полномочиями локального администратора может выполнить их удаление.

Внимание

Если для компьютера назначено несколько приложений, их установка может потребовать значительное время.

Для назначения приложения в контекстном меню контейнера Software Installation необходимо выбрать пункт Package. В открывшемся окне требуется указать месторасположение инсталляционного пакета. В окне Deploy Software администратор должен установить параметр Assigned (см. рис. 21.13).

Построение иерархии объектов групповой политики

Параметры, определенные в рамках объекта групповой политики, воздействуют только на те объекты каталога, к которым они применены. Чтобы определить множество объектов каталога, подпадающих под действие того или иного объекта групповой политики, необходимо выполнить привязку последнего к одному или нескольким контейнерам каталога. Для любого объекта групповой политики (за исключением локальных) разрешается привязка к любому из трех классов объектов каталога — сайту, домену или подразделению. Любые объекты, ассоциированные с учетными записями пользователей и компьютеров, расположенные внутри этих контейнеров, подпадают под действие привязанного объекта групповой политики.
В ситуации, когда в рамках дерева каталога имеется привязка нескольких объектов групповой политики, вполне возможна ситуация, когда некоторые объекты каталога (или даже все) могут подпадать под действие сразу нескольких объектов групповой политики. При этом параметры, определенные в них, применяются к объектам каталога в соответствии с определенным порядком:

  • сначала применяются объекты групповой политики, привязанные к сайту, в котором находится объект каталога;
  • после этого применяются объекты, привязанные на уровне домена,
  • последними применяются объекты групповой политики, привязанные к подразделениям.

Если имеется несколько вложенных подразделений, объекты групповой политики применяются в соответствии с уровнями вложенности. В данном случае речь идет о наследовании параметров вышестоящих объектов групповой политики (group policy inheritance).
Объекты групповой политики, привязанные к дочерним контейнерам, могут переопределять параметры объектов групповой политики, привязанных к вышестоящим объектам. В этом случае принято говорить о переопределении (group policy overriding) параметров объекта групповой политики. При этом наследуются только те параметры объектов групповой политики, что были определены для родительского контейнера, но не определены для дочернего. В противном случае значения параметров, определенные в объекте групповой политики, привязанном к нижестоящему объекту групповой политики, будут переопределять значения аналогичных параметров объекта групповой политики, привязанной к вышестоящему контейнеру. Если некоторый параметр объекта групповой политики допускает множество значений, значения параметра объекта групповой политики родительского контейнера дополняют значения аналогичного параметра, определенного в рамках объекта групповой политики дочернего контейнера.

Блокировка процесса наследования параметров объектов групповой политики

Администратор может управлять процессом наследования параметров объектов групповых политик. Для этого в окне оснастки Active Directory Users and Computers необходимо открыть окно свойств контейнера, к которому привязан объект групповой политики. На вкладке Group Policy (Групповая политика) необходимо установить флажок Block Policy inheritance (Блокировать наследование политики) (рис. 21.14). При этом параметры групповой политики, определенные на уровне вышестоящих контейнеров, не будут распространяться на содержимое конфигурируемого контейнера.

Запрещение переопределения параметров объектов групповой политики

Для запрещения переопределения параметров объектов групповой политики в окне свойств контейнера необходимо перейти на вкладку Group Policy и щелкнуть по кнопке Options (Параметры). В открывшемся окне (рис. 21.15) надо установить флажок No Override (He переопределять). При этом на содержимое дочернего контейнера будут распространяться параметры объекта групповой политики, привязанные к родительским контейнерам, даже в том случае, если аналогичные параметры переопределены непосредственно на уровне дочернего контейнера. При установленном флажке No Override наследуемые параметры имеют преимущество над аналогичными параметрами объекта групповой политики, привязанного к дочернему контейнеру, даже если для этого контейнера установлен флажок Block Policy inheritance.

Рис. 21.14. Блокирование процесса наследования параметров объектов групповой политики

Рис. 21.15. Запрещение переопределения параметров объектов групповой политики

Запрещение применения параметров объекта групповой политики

Администратор может запретить применение параметров любых объектов групповой политики к содержимому некоторого контейнера каталога. Для этого на вкладке Group Policy окна свойств контейнера необходимо щелкнуть по кнопке Options (Параметры) и в открывшемся окне (см. рис. 21.15) установить флажок Disabled (Отключено).

Ограничение действия параметров групповой политики

Хотя применение параметров объектов групповой политики происходит исключительно на уровне отдельных объектов каталога, администратор может использовать механизм членства в группах для ограничения действия этих параметров. На уровне некоторой группы безопасности администратор может запретить (или наоборот — разрешить) применение параметров любого объекта групповой политики.

Рис. 21.16. Запрет на применение параметров данного объекта групповой политики к членам группы Enterprise Admins

Для этого необходимо на вкладке Security (Безопасность) окна свойств выбранного объекта групповой политики указать нужную группу безопасности и установить флажок Deny (Запретить) напротив разрешения Apply Group Policy (Применять групповую политику) (рис. 21.16). Эта процедура называется фильтрацией групповых политик (group policy filtering).

Предоставление полномочий на доступ к объектам групповой политики

Администратор может делегировать некоторым пользователям часть обязанностей по управлению объектами групповой политики. Чтобы предоставить пользователю полномочия, необходимые для выполнения привязки объекта групповой политики на уровне определенного контейнера, администратор должен использовать мастер Delegate of Control Wizard (Мастер делегирования управления). При работе мастера надо делегировать пользователям полномочия, необходимые для выполнения задачи управления привязками объектов групповой политики (флажок Manage Group Policy links на странице мастера Tasks to Delegate).
Кроме того, указанная категория пользователей должна иметь разрешение на чтение объекта групповой политики. По умолчанию подобное разрешение предоставляется всем аутентифицированным пользователям.

Примечание

Используя механизм разрешений, администратор может также предоставить разрешения на модификацию параметров объекта групповой политики. Этими полномочиями по умолчанию в рамках домена обладают пользователи, входящие в состав группы Group Policy Creator Owners (Владельцы объектов групповой политики).

Определение действующих политик

Для работы с доменными групповыми политиками в системах Windows Server 2003 имеются появившиеся еще в Windows XP две очень полезные утилиты командной строки:

  • GPUpdate.exe — выполните эту команду, если вы изменяли групповые политики и хотите, чтобы они немедленно стали активными (сначала запустите ее с параметром /?). В Windows 2000 для этих целей использовалась команда secedit /refreshPolicy;
  • GPResult.exe — эта команда, входившая ранее в состав пакета Windows 2000 Resource Kit, стала стандартной командой системы. С ее помощью можно определить, какие настройки групповых политик фактически применяются по отношению к указанному компьютеру/пользователю. Может выполняться для удаленного компьютера. Запускать команду лучше всего с параметром /v — в этом случае сразу становятся видны ее возможности. Аналогичную задачу выполняет описываемая ниже оснастка Resultant set of Policies (Результирующая политика).

Оснастка Resultant set of Policies

В системах Windows XP и Windows Server 2003 имеется очень удобный инструмент для работы с групповыми политиками, который особенно оценят администраторы крупных доменов с многоуровневой иерархией объектов GPO — это оснастка Resultant set of Policies (Результирующая политика).
Информацию о результирующих политиках можно получать в одном из двух режимов.

  • Режим планирования (planning mode) позволяет администраторам моделировать использование групповых политик, определенных в различных объектам GPO, при этом можно даже не выбирать целевые компьютеры и пользователей. К примеру, с помощью этого режима можно получить ответ на вопрос "Какие установки групповых политик применяются к пользователям, учетные записи которых находятся в подразделении Admins, а зарегистрировались они на компьютерах, входящих в подразделение Managers?" При этом можно также моделировать присутствие или отсутствие пользователя в определенных группах безопасности.
  • Режим ведения журнала (logging mode) можно использовать только для определения реально действующих параметров групповых политик для пользователя, зарегистрированного на некотором компьютере.

Режим планирования можно применять для любого объекта каталога: домена, подразделения, пользователя и компьютера. Очевидно, что режим ведения журнала возможен только для учетных записей пользователей и компьютеров — поскольку только пользователь может регистрироваться на компьютере.
Процедура предварительного конфигурирования оснастки Resultant Set of Policy практически одинакова для обоих режимов, поэтому нет смысла рассматривать их индивидуально. Для примера определим, какие групповые политики применяются к пользователям, чьи учетные записи располагаются в некотором подразделении. Для этого:
1. Откроем оснастку Active Directory Users and Computers, выберем в окне структуры интересующее нас подразделение и в контекстном меню выполним команду All Tasks | Resultant Set of Policy (Planning) (Все задачи | Результирующие политики (планирование)).
2. В окне мастера Resultant Set of Policy Wizard (рис. 21.17) можно изменить выбранный контейнер (нажав кнопку Browse и выбрав другой контейнер для пользовательского или компьютерного объекта) или конкретизировать запрос, установив переключатель User или Computer и выбрав соответствующую учетную запись (которая может находиться и в другом подразделении).

Рис. 21.17.Окно выбора объектов, для которых определяются результирующие политики

3. Пропустим второстепенные настройки мастера, для чего установим флажок Skip to the final page и нажмем кнопку Далее (Next).
4. После проверки правильности заданных критериев на странице Summary of Selections снова нажмем кнопку Next. Система некоторое время будет анализировать параметры политик.
5. На последней странице мастера нажмем кнопку Finish (Готово).
Процесс анализа завершен — можно анализировать результаты. В окне (рис. 21.18), напоминающем окно оснастки Group Policy Object Editor, будут отображаться только те папки (ниже второго уровня), в которых имеются установленные политики. В нашем случае узел Computer Configuration содержит все политики, действующие на учетные записи компьютеров, находящиеся в подразделении Admins, а узел User Configuration содержит все политики, действующие на учетные записи пользователей, находящиеся в этом же подразделении.

Рис. 21.18. Оснастка Resultant Set of Policy позволяет быстро найти действующие политики

Например, в нашем примере показано, что для выбранного пользователя установлен сценарий выхода из системы (узел Logoff), а для компьютера задана политика отключения журнала событий выключения системы — Display Shutdown Event Tracker; причем в столбце GPO Name можно видеть, что эта политика была установлена доменным объектом GPO. Полученные сведения можно (и полезно!) проверить с помощью утилиты GRResult и сравнить результаты.
Полученный инструмент ММС можно закрыть или сохранить (при повторном запуске оснастка вновь анализирует систему и выводит обновленные данные). Можно изменить критерии запроса и выполнить анализ повторно, не закрывая полученной оснастки Resultant Set of Policy. Для этого нужно выбрать корневой узел в окне структуры и в меню Action выполнить команду Change Query.


Средства безопасности Windows Server 2003

  • Средства безопасности Windows Server 2003
  • Общие понятия безопасности
    • Шифрование с открытым ключом
      • Цифровые (электронные) подписи
      • Распределенная аутентификация
      • Соглашение о секретном ключе, достигаемое с помощью открытого ключа
    • Обеспечение истинности открытых ключей
      • Что такое сертификат
      • Центр сертификации
  • Применение алгоритмов шифрования с открытым ключом в Windows Server 2003
    • Компоненты Windows Server 2003, обеспечивающие шифрование
    • Политики безопасности
  • Протокол аутентификации Kerberos
    • Основные понятия
    • Аутентификация Kerberos в доменах Active Directory
      • Модель распределенной безопасности Windows Server 2003
      • Интегрированная аутентификация Kerberos
      • Протокол Kerberos и авторизация Windows Server 2003
      • Применение Kerberos в сетях Windows 2000/Server 2003
      • Совместная работа средств обеспечения безопасности сети
  • Безопасность IP (IPSec)
    • Достоинства IP Security
    • Базовые механизмы и концепции
      • Алгоритмы шифрования
      • Ключи
      • Протоколы безопасности
    • Архитектура безопасности IP
    • Разработка плана безопасности
    • Администрирование безопасности IP
  • Шифрующая файловая система EFS
    • Архитектура EFS
      • Технологии шифрования EFS
    • Система EFS и Windows Server 2003
    • Работа с EFS
      • Создание агента восстановления
      • Шифрование файлов и каталогов
      • Шифрование файлов для совместного использования
      • Дешифрование файлов и каталогов
      • Копирование, перемещение, переименование и уничтожение зашифрованных файлов и папок
      • Архивация зашифрованных файлов
      • Управление сертификатами пользователей
      • Восстановление зашифрованных файлов на другом компьютере
  • Сертификаты
    • Использование сертификатов для обеспечения безопасности
      • Аутентификация
      • Конфиденциальность
    • Центры сертификации
    • Использование сертификатов в Интернете
    • Хранилища сертификатов
    • Запрос сертификата
      • Импорт и экспорт сертификатов
    • Установка центра сертификации
      • Управление центром сертификации

Средства безопасности Windows Server 2003

В этой главе описываются базовые технологии безопасности, обеспечивающие защиту сетей и доменов Windows Server 2003. Большое внимание уделяется шифрованию с открытыми ключами, поскольку оно лежит в основе многих решений, примененных как внутри самой операционной системы, так и используемых ею в сетевых взаимодействиях.
Рассмотрим сначала некоторые общие понятия и термины, относящиеся к защите данных и методам шифрования, без которых невозможно описывать средства безопасности Windows Server 2003.

Общие понятия безопасности

  • Аутентификация (проверка подлинности). Это процесс надежного определения подлинности поддерживающих связь компьютеров. Аутентификация основана на методах криптографии, и это гарантирует, что нападающий или прослушивающий сеть не сможет получить информацию, необходимую для рассекречивания пользователя или другого объекта. Аутентификация позволяет поддерживающему связь объекту доказать свое тождество другому объекту без пересылки незащищенных данных по сети. Без "сильной" (strong) аутентификации и поддержания целостности данных любые данные и компьютер, который их послал, являются подозрительными.
  • Целостность (integrity). Правильность данных, т. е. их неизменность по сравнению с первоначально посланными. Службы, поддерживающие целостность, защищают данные от несанкционированного изменения по пути их следования.
  • Конфиденциальность (privacy). Гарантия того, что данные будут раскрыты только тем получателем, которому они были предназначены. Это свойство не является обязательным.
  • Предотвращение повторного использования (anti-replay). Предотвращение повторного использования гарантирует, что каждая посланная IP-датаграмма (IP-пакет) отличается от любой другой, чтобы помочь предотвратить атаки, в которых сообщение прерывается и сохраняется атакующим, а затем многократно используется им позже для организации попытки нелегального доступа к информации.

Шифрование с открытым ключом

Криптография — это наука о защите данных. Алгоритмы криптографии с помощью математических методов комбинируют входной открытый текст и ключ шифрования, в результате чего получаются зашифрованные данные. Применение криптографии обеспечивает надежную передачу данных и предотвращение их получение несанкционированной стороной. Применяя хороший алгоритм шифрования, можно сделать практически невозможным, с точки зрения необходимых вычислительных и временных ресурсов, взлом защиты и получение открытого текста подбором ключа. Для быстрого выполнения подобного преобразования необходим расшифровывающий ключ.
В традиционном шифровании с секретным ключом (secret key) (симметричное шифрование) зашифровывающий и расшифровывающий ключи совпадают. Стороны, обменивающиеся зашифрованными данными, должны знать общий секретный ключ. Процесс обмена информацией о секретном ключе представляет собой брешь в безопасности вычислительной системы.
Фундаментальное отличие шифрования с открытым ключом (асимметричное шифрование) заключается в том, что зашифровывающий и расшифровывающий ключи не совпадают. Шифрование информации является односторонним процессом: открытые данные шифруются с помощью зашифровывающего ключа, однако с помощью того же ключа нельзя осуществить обратное преобразование и получить открытые данные. Для этого необходим расшифровывающий ключ, который связан с зашифровывающим ключом, но не совпадает с ним. Подобная технология шифрования предполагает, что каждый пользователь имеет в своем распоряжении пару ключей — открытый ключ (public key) и личный или закрытый ключ (private key). Свободно распространяя открытый ключ, вы даете возможность другим пользователям посылать вам зашифрованные данные, которые могут быть расшифрованы с помощью известного только вам личного ключа. Аналогично, с помощью личного ключа вы можете преобразовать данные так, чтобы другая сторона убедилась в том, что информация пришла именно от вас. Эта возможность применяется при работе с цифровыми или электронными подписями. Шифрование с открытым ключом имеет все возможности шифрования с закрытым ключом, но может проходить медленнее из-за необходимости генерировать два ключа. Однако этот метод безопаснее.
Появление пары "личный ключ/открытый ключ" привело к возникновению нескольких новых технологий, наиболее важными из которых являются цифровые подписи, распределенная аутентификация, соглашение о секретном ключе, достигаемое с применением открытого ключа, и шифрование больших объемов данных без предварительного соглашения о секретном ключе.
Существует несколько хорошо известных алгоритмов шифрования с открытым ключом. Некоторые из них, например RSA (Rivest-Shamir-Adelman) и шифрование с помощью эллиптической кривой (Elliptic Curve Criptography, ECC), являются алгоритмами общего употребления в том смысле, что они поддерживают все упомянутые выше операции. Другие алгоритмы поддерживают только некоторые операции. К ним относятся: алгоритм цифровой подписи (Digital Signature Algorithm, DSA), используемый только для работы с цифровыми подписями, и алгоритм Diffie-Hellman (D-H), применяемый только для соглашений о секретных ключах. Алгоритмы шифрования, используемые безопасностью IP (IP Security), подробнее описаны в данной главе в разд. "Безопасность IP".
Ниже кратко рассмотрены основные области применения шифрования с открытым ключом.

Цифровые (электронные) подписи

Наверное, наиболее ярким проявлением всех преимуществ шифрования с открытым ключом является технология цифровых или электронных подписей. Она основана на математическом преобразовании, комбинирующем данные с секретным ключом таким образом, что:

  • только владелец секретного ключа может создать цифровую подпись;
  • любой пользователь, обладающий соответствующим открытым ключом, может проверить истинность цифровой подписи;
  • любая модификация подписанных данных (даже изменение одного бита) делает неверной цифровую подпись.

Цифровые подписи гарантируют целостность (integrity) и подлинность (nonrepudiation) данных. Когда данные распространяются открытым текстом (без шифрования), получатели должны иметь возможность проверки, что данные в сообщении не были изменены.
Добавление подписи не изменяет содержания данных: в этом случае генерируется цифровая подпись, которая может быть связана с данными или передаваться отдельно.
Для выполнения этой операции клиентская программа создает дайджест, снимок данных, используя метод хэширования (например, MDS). Программа использует ваш личный ключ для шифрования дайджеста и подписывает данные или сообщение с помощью вашего сертификата, добавляя ваш открытый ключ. Соответствующая программа адресата сообщения использует открытый ключ для расшифровки дайджеста, затем использует тот же алгоритм хэширования для создания другого дайджеста данных. Данная программа затем сравнивает два дайджеста сообщений. Если они идентичны, то подтверждаются целостность и подлинность данных сообщения.

Распределенная аутентификация

Шифрование с открытым ключом применяется для создания надежной службы распределенной аутентификации, гарантирующей, что данные пришли получателю от истинного корреспондента.

Соглашение о секретном ключе, достигаемое с помощью открытого ключа

Шифрование с открытым ключом позволяет двум сторонам, используя открытый ключ в незащищенной сети, договориться о секретном ключе. Обе стороны посылают друг другу половины секретного ключа, зашифрованного соответствующими открытыми ключами. Каждая из сторон получает возможность расшифровать полученную половину секретного ключа и на ее основе, с учетом своей половины ключа, получить весь секретный ключ.

Обеспечение истинности открытых ключей

При шифровании с открытым ключом жизненно важна абсолютно достоверная ассоциация открытого ключа и передавшей его стороны, поскольку в обратном случае возможна подмена открытого ключа и осуществление несанкционированного доступа к передаваемым зашифрованным данным. Необходим механизм, гарантирующий достоверность корреспондента, например, применение сертификата, созданного авторизованным генератором сертификатов.

Что такое сертификат

Сертификат — это средство, позволяющее гарантированно установить связь между переданным открытым ключом и передавшей его стороной, владеющей соответствующим личным ключом. Сертификат представляет собой набор данных, зашифрованных с помощью цифровой, или электронной, подписи. Информация сертификата подтверждает истинность открытого ключа и владельца соответствующего личного ключа.
Обычно сертификаты содержат дополнительную информацию, позволяющую идентифицировать владельца личного ключа, соответствующего данному открытому ключу. Сертификат должен быть подписан авторизованным генератором сертификатов.
Наиболее распространенным на данный момент стандартом сертификатов является ITU-T X.509. Эта фундаментальная технология применяется в Windows 2000 и Windows Server 2003. Однако это не единственная форма сертификатов.

Центр сертификации

Центр сертификации (ЦС), или поставщик сертификатов (Certificate Authority, CA), — это организация или служба, создающая сертификаты. ЦС выступает в качестве гаранта истинности связи между открытым ключом субъекта и идентифицирующей этот субъект информацией, содержащейся в сертификате. Различные ЦС могут применять для проверки связи различные средства, поэтому перед выбором достойного доверия ЦС важно хорошо понять политику данного ЦС и применяемые им процедуры проверки.

Применение алгоритмов шифрования с открытым ключом в Windows Server 2003

Операционные системы Windows 2000 и Windows Server 2003 обладают развитыми средствами шифрования данных с открытым ключом. На данный момент эти системы располагают интегрированным набором служб и инструментов администрирования, предназначенных для создания, реализации и управления приложениями, использующими алгоритмы шифрования с открытым ключом. Это позволит независимым разработчикам программного обеспечения интенсивно применять в своих продуктах технологию общего ключа (shared key).

Компоненты Windows Server 2003, обеспечивающие шифрование

На рис. 22.1 схематично показана логическая взаимосвязь средств Windows 2000, позволяющих применять шифрование с открытым ключом.
Изображенные на рис. 22.1 средства необязательно должны размещаться на отдельных компьютерах. Несколько служб могут эффективно работать на одном компьютере. Ключевое звено схемы — службы сертификатов Microsoft (Microsoft Certificate Services). Они позволяют создать один или несколько ЦС предприятия, поддерживающих создание и отзыв сертификатов. Они интегрированы в Active Directory, где хранится информация о политике ЦС и их местоположении. Кроме того, с помощью Active Directory выполняется публикация информации о сертификатах и их отзыве. Средства работы с открытым ключом не заменяют существующих механизмов доверительных отношений между доменами и аутентификации, реализованных с помощью контроллеров доменов и центров распространения ключей Kerberos (Key Distribution Center, KDC). Напротив, данные средства взаимодействуют с этими службами, что позволяет приложениям безопасно передавать конфиденциальную информацию через Интернет и корпоративным глобальным каналам.

Рис. 22.1. Взаимосвязь средств Windows 2000 и Windows Server 2003, предназначенных для работы с открытым ключом

Поддержка прикладных средств шифрования информации с открытым ключом включена в состав программного обеспечения всех операционных систем Windows.
Основой архитектуры поддержки прикладных программ шифрования информации с открытым ключом является библиотека CryptoAPI. Она позволяет работать со всеми устанавливаемыми поставщиками услуг шифрования (Cryptographic Service Providers, CSP) через стандартный интерфейс. CSP могут быть реализованы на программном уровне или с помощью специального оборудования. Они поддерживают различные длины ключей и алгоритмы шифрования. Один из CSP поддерживает смарт-карты. Услугами служб шифрования пользуются службы управления сертификатами. Они соответствуют стандарту Х.509 v3 и позволяют организовывать принудительное хранение, службы подсчета и дешифрования. Кроме того, эти службы предназначены для работы с различными отраслевыми стандартами сообщений. В основном они поддерживают стандарты PKCS и разработанный в IETF (Internet Engineering Task Force) набор предварительных стандартов PKIX (Public Key Infrastructure, X.509).
Остальные службы используют CryptoAPI для придания дополнительной функциональности прикладным программам. Защищенный канал (Secure Channel) поддерживает сетевую аутентификацию и шифрование в соответствии со стандартными протоколами TLS и SSL, обращение к которым может быть выполнено с помощью интерфейсов Microsoft Winlnet и SSPI. Служба Authenticode предназначена для проверки и подписи объектов и в основном используется при получении информации через Интернет.

Политики безопасности

Политики безопасности действуют в рамках сайта, домена или контейнера (подразделения, или организационной единицы, OU) и распространяются на группы, компьютеры и пользователей — т. е. на все объекты администрирования. Безопасность шифрования с открытым ключом является одним из аспектов общей политики безопасности Windows 2000/Server 2003 и интегрирована в ее структуру. Это механизм, с помощью которого можно посредством объектов политики безопасности централизованно осуществлять настройку и управление глобальной политикой работы с открытым ключом.
С помощью политики открытого ключа можно определять следующие аспекты безопасности Windows 2000/Server 2003:

  • доверенные корни ЦС;
  • процесс регистрации и обновления сертификатов;
  • регистрация в системе с помощью смарт-карты.

Протокол аутентификации Kerberos

Протокол аутентификации Kerberos является основным механизмом аутентификации, используемым в среде Windows 2000/Server 2003. Этот протокол был разработан в Массачусетском технологическом институте (Massachusetts Institute of Technology, MIT) в начале 1980-х гг. Существует несколько версий протокола Kerberos. В среде Windows 2000/Server 2003 применяется пятая версия протокола Kerberos, спецификация которого определена в стандарте RFC 1510.

Основные понятия

Проблема аутентификации пользователя заключается в необходимости проверки того факта, что он является тем, за кого себя выдает. Наука знает множество различных способов проверки подлинности личности, которые упрощенно можно разделить на две группы:

  • проверка личности на факт соответствия некоторым индивидуальным характеристикам человека (проверка отпечатков пальцев, снимков радужки глаза, код ДНК и т. д.). Для применения этой группы методов аутентификации необходимо задействовать специальное оборудование;
  • проверка личности на факт знания некоторого секрета (пароли, цифровые комбинации и последовательности). В данном случае под секретом понимается некая символьная или цифровая последовательность, факт знания которой позволяет судить о подлинности пользователя. Указанные методы аутентификации наиболее просты в технологическом исполнении. Именно эти методы получили широкое распространение в современных операционных системах. Протокол аутентификации Kerberos также относится к этой группе методов.

При реализации метода аутентификации, базирующегося на проверке факта знания некоторого секрета, необходимо решить следующие вопросы:

  • каким образом клиент будет получать информацию о секрете?
  • каким образом клиент будет предоставлять серверу аутентификации информацию о своих полномочиях?
  • каким образом клиент будет проверять полномочия сервера?
  • каким образом сервер сможет убедиться в том, что полномочия, предоставленные клиентом, подлинные?
  • каким образом будет обеспечиваться безопасность взаимодействия сервера и клиента в ходе проверки полномочий?
  • каким образом будет исключаться возможность использования перехваченных пакетов?

В процедуре аутентификации участвуют три стороны;

  • клиент, запрашивающий соединение и предоставляющий сведения о своих полномочиях. В качестве клиента может рассматриваться любой субъект системы безопасности. Клиент может подключаться к неограниченному числу различных серверов, используя для аутентификации один "секрет";
  • сервер, предоставляющий доступ к ресурсу и проверяющий полномочия клиента. К серверу может подключаться неограниченное количество клиентов, каждый из которых предоставляет информацию о собственном "секрете";
  • сервер, хранящий информацию о секретах всех клиентов. В терминологии Kerberos этот сервер получил название Центра распределения ключей (Key Distribution Center, KDC). Центр распределения ключей берет на себя роль посредника между серверами и их клиентами. Каждое подключение должно иметь уникальный секрет, поскольку к любому серверу может обращаться произвольное число пользователей. Центр распределения ключей решает эту задачу, обеспечивая каждое подобное подключение собственным уникальным секретом, известным только клиенту и серверу.

Протокол Kerberos представляет собой набор методов идентификации и проверки истинности партнеров по обмену информацией (рабочих станций, пользователей или серверов) в открытой (незащищенной) сети. Процесс идентификации не зависит от аутентификации, выполняемой сетевой операционной системой, не основывается в принятии решений на адресах хостов и не предполагает обязательную организацию физической безопасности всех хостов сети. Кроме того, допускается, что пакеты информации, передаваемые по сети, могут быть изменены, прочитаны и переданы в любой момент времени.
Следует, однако, отметить, что большинство приложений использует функции протокола Kerberos только при создании сеансов передачи потоков информации. При этом предполагается, что последующее несанкционированное разрушение потока данных невозможно. Поэтому применяется прямое доверие, основанное на адресе хоста. Kerberos выполняет аутентификацию как доверенная служба третьей стороны, используя шифрование с помощью общего секретного ключа (shared secret key).
Аутентификация выполняется следующим образом:
1. Клиент посылает запрос серверу аутентификации (Authentication Server, AS) на информацию, однозначно идентифицирующую некоторый нужный клиенту сервер.
2. Сервер AS передает требуемую информацию, зашифрованную с помощью известного пользователю ключа. Переданная информация состоит из билета сервера и временного ключа, предназначенного для шифрования (часто называемого ключом сеанса).
3. Клиент пересылает серверу билет, содержащий идентификатор клиента и ключ сеанса, зашифрованные с помощью ключа, известного серверу.
4. Теперь ключ сеанса известен и клиенту, и серверу. Он может быть использован для аутентификации клиента, а также для аутентификации сервера. Ключ сеанса можно применять для шифрования передаваемой в сеансе информации или для взаимного обмена ключами подсеанса, предназначенными для шифрования последующей передаваемой информации.
Протокол Kerberos функционирует на одном или нескольких серверах аутентификации, работающих на физически защищенном хосте. Серверы аутентификации ведут базы данных партнеров по обмену информацией в сети (пользователей, серверов и т. д.) и их секретных ключей. Программный код, обеспечивающий функционирование самого протокола и шифрование данных, находится в специальных библиотеках. Для того чтобы выполнять аутентификацию Kerberos для своих транзакций, приложения должны сделать несколько обращений к библиотекам Kerberos. Процесс аутентификации состоит из обмена необходимыми сообщениями с сервером аутентификации Kerberos.
Протокол Kerberos состоит из нескольких субпротоколов (или протоколов обмена сообщениями). Существует два метода, которыми клиент может запросить у сервера Kerberos информацию, идентифицирующую определенный сервер. Первый способ предполагает, что клиент посылает AS простой текстовый запрос билета для конкретного сервера, а в ответ получает данные, зашифрованные с помощью своего секретного ключа. Как правило, в данном случае клиент посылает запрос на билет, позволяющий получить билет (Ticket Granting Ticket, TGT), который в дальнейшем используется для работы с выдающим билеты сервером (Ticket Granting Server, TGS). Второй способ предполагает, что клиент посылает TGT-билеты на TGS-сервер так же, как будто он обменивается информацией с другим сервером приложений, требующим аутентификации Kerberos.
Информация, идентифицирующая сервер, может быть использована для идентификации партнеров по транзакции, что позволит гарантировать целостность передаваемых между ними сообщений или сохранить в секрете передаваемую информацию.
Для идентификации партнеров по транзакции клиент посылает билет на сервер. Поскольку посылаемый билет "открыт" (некоторые его части зашифрованы, но они не помешают выполнить посылку копии) и может быть перехвачен и использован злоумышленником, для подтверждения истинности партнера, пославшего билет, передается дополнительная информация, называемая аутентификатором. Она зашифрована с помощью ключа сеанса и содержит отсчет времени, подтверждающий, что сообщение было сгенерировано недавно и не является копией оригинальной посылки. Шифрование аутентификатора с помощью ключа сеанса доказывает, что информация была передана истинным партнером по обмену данными. Поскольку, кроме запрашивающего партнера и сервера, никто не знает ключ сеанса (он никогда не посылается по сети в открытом виде), с его помощью можно полностью гарантировать истинность партнера.
Целостность сообщений, которыми обмениваются партнеры, гарантируется с помощью ключа сеанса (передается в билете и содержится в информации идентификации партнера). Этот подход позволяет обнаружить атаки типа посылки злоумышленником перехваченной копии запроса и модификации потока данных. Это достигается генерированием и пересылкой контрольной суммы (хэш-функции) сообщения клиента, зашифрованной с помощью ключа сеанса. Безопасность и целостность сообщений, которыми обмениваются партнеры, может быть обеспечена шифрованием передаваемых данных с помощью ключа сеанса, передаваемого в билете и содержащегося в информации идентификации партнера.
Описанная выше аутентификация требует доступа на чтение к базе данных Kerberos. Однако иногда записи базы данных могут быть модифицированы. Это происходит, например, при добавлении новых партнеров по обмену информацией или при изменении секретного ключа партнера. Изменения базы данных выполняются с помощью специального протокола обмена между клиентом и сервером Kerberos, применяющимся и при поддержке нескольких копий баз данных Kerberos.
Для нормальной работы протокола Kerberos необходимо, чтобы каждый хост сети имел часы, которые были приблизительно синхронизированы с часами других хостов. Синхронизация необходима, чтобы было легче обнаружить факт передачи копии заранее перехваченного сообщения. Степень приблизительности синхронизации может быть установлена индивидуально для каждого сервера. Сам протокол синхронизации серверов сети должен быть защищен от атак злоумышленников.

Аутентификация Kerberos в доменах Active Directory

По мере роста и усложнения компьютерных сетей предприятия, построенных на основе систем Windows, становится необходимым применение протокола, обеспечивающего более совершенную и надежную аутентификацию пользователей при доступе к распределенным ресурсам. В операционных системах Windows 2000 для этих целей начат применяться протокол аутентификации Kerberos версии 5, входящий в систему безопасности доменов Windows 2000, тесно интегрированную с Active Directory. Реализация протокола Kerberos версии 5 в Windows 2000 основана на RFC 1510. Этот документ широко обсуждался и корректировался многими организациями, работающими в области создания и применения защищенных средств передачи информации по компьютерным сетям. Аутентификация Kerberos полностью отвечает требованиям к протоколам подобного назначения и позволяет создать высокопроизводительную и защищенную сеть предприятия. Программное обеспечение Kerberos, созданное Microsoft, поддерживает всех клиентов, удовлетворяющих RFC 1510. Однако полную поддержку сетей Windows 2000 осуществляет только клиент Kerberos, разработанный Microsoft, поскольку версия Kerberos Microsoft обладает рядом расширений.
Системы Windows Server 2003 в полной мере используют все средства распределенной безопасности, внедренные в Windows 2000. Протокол Kerberos интегрирован в существующую модель распределенной безопасности Windows 2000/Server 2003. В этих системах используются расширения протокола Kerberos — так же, как и другие архитектуры безопасности, например ОСЕ и SESAME. Протокол Kerberos — один из протоколов безопасности, поддерживаемых Windows 2000/Server 2003. Кроме него, поддерживаются протоколы NTLM для совместимости с предыдущими версиями, SSL и стандарт IETF безопасности транспортного уровня. В качестве механизма безопасности применяется протокол защищенных переговоров (Simple Protected Negotiation, SPNEGO). Для обеспечения безопасности передачи данных на сетевом уровне применяется технология IP Security (IPSec).

Модель распределенной безопасности Windows Server 2003

Модель распределенной безопасности Windows Server 2003 основана на трех основных концепциях.

  • Каждая рабочая станция и сервер имеют прямой доверенный путь (trust path) к контроллеру домена, членом которого является данная машина. Доверенный путь устанавливается службой NetLogon с помощью аутентифицированного соединения RPC с контроллером домена. Защищенный канал устанавливается и с другими доменами с помощью междоменных доверительных отношений. Этот канал используется для проверки информации безопасности, включая идентификаторы безопасности (Security Identifiers, SID) пользователей и групп.
  • Перед выполнением запрошенных клиентом операций сетевые службы имперсонализируют контекст безопасности этого клиента. Имперсонализация основана на маркере адреса безопасности, созданном локальным администратором безопасности (Local Security Authority, LSA). Он представляет собой авторизацию клиента на сервере. Поток, находящийся на сервере и соответствующий данному клиенту, имперсонализирует контекст безопасности клиента и выполняет операции в соответствии с авторизацией данного клиента, а не в соответствии с идентификатором безопасности сервера. Имперсонализация поддерживается всеми службами Windows Server 2003, включая, например, службу удаленного файлового сервера CIFS/SNB. Аутентифицированный RPC и DCOM поддерживают имперсонализацию для распределенных приложений. Серверы семейства BackOffice: Exchange Server, SNA Server и Internet Information Server также поддерживают имперсонализацию.
  • Ядро Windows Server 2003 поддерживает объектно-ориентированное управление доступом, сравнивая SID в маркере доступа с правами доступа, определенными в списке управления доступом данного объекта. Каждый объект Windows Sewer 2003 (ключи реестра, файлы и каталоги NTFS, общие ресурсы, объекты ядра, очереди печати и т. д.) имеют собственные списки управления доступом. Ядро Windows Server 2003 проверяет разрешения при каждой попытке доступа к данному объекту. Управление доступом и аудит осуществляются с помощью настройки свойств безопасности объекта, позволяющих предоставить пользователю или группе доступ к объекту. Управление авторизацией выполняется централизованно посредством включения пользователей в локальные группы системы, которым предоставлены необходимые права доступа.

В операционной системе Windows Server 2003 существуют дополнительные средства обеспечения безопасности — аутентификация клиента с помощью открытого ключа посредством SSL/TLS и протокола Kerberos версии 5, которые интегрированы в систему безопасности.

Интегрированная аутентификация Kerberos

В Windows Server 2003 аутентификация Kerberos реализована на уровне доменов, что позволяет выполнять одну регистрацию в системе при доступе ко всем ресурсам сети и поддерживать модель распределенной безопасности Windows Server 2003. На любом участке дерева доменов Active Directory протокол Kerberos обеспечивает взаимную аутентификацию, ускоренную аутентификацию и транзитное доверие на аутентификацию. Аутентификация Kerberos в Windows Server 2003 используется для выполнения интерактивной регистрации пользователя в домене. Расширение стандартной аутентификации Kerberos для применения открытого ключа позволяет применять регистрацию в Windows Server 2003 с помощью смарт-карты. Протокол Kerberos реачизован в виде поставщика безопасности, доступ к которому осуществляется с применением интерфейса поддержки поставщика безопасности (Security Support Provider Interface, SSPI).
Поставщик безопасности Kerberos используется клиентом и сервером SMB (Server Message Block). Он также доступен для DCOM, авторизованного RPC и любого протокола, использующего SSPI для обеспечения безопасности информации, передаваемой по сети. SSPI — это интерфейс безопасности Win32, который существует в составе Windows NT, начиная с версии 3.5. Он также поддерживается в Windows 95/98. В SSPI применяются те же архитектурные концепции, что и в наборе программных вызовов общих служб безопасности (Generic Security Services API, GSS-API), соответствующих RFC 1964. SSPI позволяет освободить приложения от непосредственного взаимодействия с протоколами сетевой безопасности.
В системах Windows 2000 и Windows Server 2003 реализован Центр распространения ключей Kerberos (Kerberos Key Distribution Center, KDC). На каждом контроллере домена помимо службы Active Directory имеется служба KDC, выполняющаяся вместе с Active Directory как процесс в привилегированном режиме. Оба процесса осуществляют управление жизненно важной информацией, включая пароли учетных записей пользователей. Active Directory выполняет автоматическую репликацию служебной информации на всех контроллерах домена. Поэтому создавать новые учетные записи пользователей, настраивать членство пользователей в группах или переустанавливать пароли можно на любом контроллере домена. Это означает, что в отличие от Windows NT 4,0, где изменить административную информацию можно было только на главном контроллере домена (Primary Domain Controller, PDC) с последующим обновлением доступных только для чтения реплик на резервных контроллерах домена (Backup Domain Controller, BDC), в доменах Active Directory можно изменять любую реплику каталога, хранящуюся на некотором контроллере домена.
Клиенты и серверы используют протокол Kerberos для взаимной аутентификации. Запрос Kerberos содержит билет сеанса и аутентификатор, получаемый в КDС и позволяющий исключить возможность подмены билета сеанса. Поставщик безопасности Kerberos на стороне клиента интегрируется с локальным администратором безопасности, поддерживающим локальный кэш билетов. При инициализации клиентом контекста безопасности поставщик безопасности Kerberos считывает билет сеанса, соответствующий целевой службе, или запрашивает новый билет сеанса в КОС. Сообщение запроса Kerberos, созданного поставщиком безопасности Kerberos, соответствует форматам маркера механизма GSS KerbS, описанным в RFC 1964. Клиенты могут аутентифицироваться для любой службы домена или доверенного владения, поддерживающего механизм GSS. Поставщик безопасности Kerberos может воспринять запрос Kerberos, который сгенерирован любым клиентом, поддерживающим форматы маркера в стандарте GSS, RFC 1964.
Такой уровень взаимодействия позволяет осуществлять поддержку традиционной аутентификации Kerberos, основанной на именах, в многоплатформ-ных средах. Для имперсонализации и управления доступом в рамках принятой модели распределенной безопасности системным службам достаточно данных авторизации, находящихся в билете сеанса.

Протокол Kerberos и авторизация Windows Server 2003

Имперсонализация Windows Server 2003 требует, чтобы локальный администратор безопасности (LSA) сервера мог безопасно получать SID пользователя и список идентификаторов безопасности членов групп. Идентификаторы безопасности генерируются системой безопасности домена и используются в LSA при создании маркеров доступа для имперсонализации. После создания соединения связанный с ним поток имперсонализирует зарегистрировавшегося пользователя, после чего операционная система сравнивает маркер доступа клиента с ACL объекта, к которому пользователь пытается получить доступ. При аутентификации NTLM идентификаторы безопасности пользователя и группы передаются с помощью защищенного канала Net Logon прямо с контроллера домена или любого доверенного домена. При использовании протокола Kerberos идентификаторы безопасности пользователей и групп передаются в составе данных авторизации билета сеанса Kerberos.
Данные авторизации, находящиеся в билете Kerberos, полученном из КDС, содержат список идентификаторов безопасности пользователей и идентификаторов, определяющих членство в группах. Локальному администратору безопасности данные авторизации нужны для поддержки имперсонализации поставщика безопасности Kerberos.
Протокол Kerberos позволяет обращаться к данным авторизации билета Kerberos, которые определяются приложением. Они полностью соответствуют RFC 1510. Кроме того, их структура преобразована для уменьшения проблем, возникающих при совместной работе с другими операционными системами.
При первоначальной регистрации пользователя в домене КDС помещает в TGT данные авторизации, включающие идентификаторы безопасности пользователей или групп домена учетных записей (account domain). Членство в группах также определяется при первоначальной регистрации. После этого КDС копирует данные авторизации из ТОТ в билеты сеанса, применяемые для аутентификации серверов приложений. В сети с несколькими доменами КОС, управляющий запросами на получение билетов сеанса, может добавлять в данные авторизации дополнительные группы целевого домена, к которым может принадлежать пользователь.
По мере развития ОС Windows Server 2003 формат данных авторизации может изменяться. Но в любом случае эти данные будут содержать список идентификаторов безопасности, предназначенных для поддержки аутентификации Kerberos в много платформенных системах, а также подпись, обеспечивающую целостность данных и устанавливаемую КОС.

Применение Kerberos в сетях Windows 2000/Server 2003

Аутентификация Kerberos используется многими службами домена Active Directory. Интерфейс SSPI применяется для аутентификации в большинстве системных служб, поэтому их перевод с аутентификации NTLM на Kerberos требует минимальных усилий. Более сложные изменения необходимы на сервере SMB, который не использовал SSPI до версии Windows 2000. Многие новые распределенные службы Windows 2000 используют аутентификацию Kerberos. Примеры областей применения аутентификации Kerberos в Windows 2000/Server 2003:

  • аутентификация в Active Directory с применением LDAP для запросов или управления каталогом;
  • протокол удаленного доступа к файлам CIFS/SMB;
  • управление распределенной файловой системой DFS;
  • защищенное обновление адресов DNS;
  • службы печати;
  • необязательная взаимная аутентификация IPSec-хостов при работе протоколов ISAKMP/Oakley;
  • запросы резервирования для службы качества обслуживания (Quality of Service);
  • аутентификация интрасети в службах Internet Information Services;
  • аутентификация запросов сертификата открытого ключа, приходящих от пользователей и компьютеров домена, в службах Certificate Services;
  • удаленное управление сервером или рабочей станцией с помощью аутентифицированного RPC и DCOM.

Это первый шаг к основной цели, поставленной в Windows 2000, — полному исключению аутентификации NTLM в компьютерных сетях, основанных на этой операционной системе.

Совместная работа средств обеспечения безопасности сети

Домены Active Directory должны иметь возможность одновременно поддерживать клиентские компьютеры и серверы, на которых работает программное обеспечение Windows NT 3.x—4.0, Windows 9х/МЕ, а также Windows 2000/XP и Windows Server 2003. Для этого в Windows Server 2003 остается поддержка аутентификации NTLM, обеспечивающей совместимость с операционными системами более ранних версий. Обновленные версии клиента Active Directory обеспечивают расширенные возможности аутентификации по протоколу NTLM v.2; хотя протокол Kerberos не поддерживается.

Безопасность IP (IPSec)

Средства безопасности протокола IP позволяют управлять защитой всего IP-трафика от источника информации до ее получателя. Возможности технологии IP Security Management (Управление безопасностью IP) в Windows Server 2003 позволяют назначать и применять политику безопасности IP, которая гарантирует защищенный обмен информацией для всей сети. Механизм безопасности IP представляет собой прозрачную для пользователя реализацию протокола безопасности IP (IP Security, IPSec), причем администрирование безопасности централизовано и совмещает гарантии безопасного обмена информацией с легкостью применения.
Потребность в защите сетей, основанных на протоколе IP, достаточно велика и растет с каждым годом. В настоящее время в тесно взаимосвязанном деловом мире сетей Интернет, интранет, экстранет (extranet — корпоративная сеть, части которой связаны через открытые сети, например, через Интернет), филиалов и удаленного доступа по сетям передается важная информация, конфиденциальность которой нельзя нарушать. Одним из основных требований, предъявляемых к сети со стороны сетевых администраторов и прочих профессионалов, обслуживающих и использующих сети, является требование гарантии, что этот трафик будет защищен от:

  • доступа субъектов, не имеющих на это прав;
  • перехвата, просмотра или копирования;
  • модификации данных во время пути по сети.

Эти проблемы характеризуются такими показателями, как целостность данных, конфиденциальность и подлинность. Кроме того, защита от повторного использования (replay protection) предотвращает принятие повторно посланного пакета.

Примечание

Реализация безопасности IP в Windows Server 2003 основана на стандартах RFC, разработанных консорциумом Internet Engineering Task Force (IETF), рабочей группой IP Security (IPSEC).

Достоинства IP Security

Сетевые атаки могут привести к неработоспособности системы, считыванию конфиденциальных данных и другим дорогостоящим нарушениям. Для защиты информации требуются методы "сильного" шифрования и сертификации, основанные на криптографических алгоритмах. Однако высокий уровень безопасности не должен ухудшать производительность труда пользователей или увеличивать затраты на администрирование.
IP Security в системах Windows 2000 и Windows Server 2003 обеспечивает следующие преимущества, которые помогают достичь высокого уровня безопасности взаимодействия при низких затратах.

  • Централизованное администрирование политикой безопасности, что уменьшает затраты на административные издержки. Политика IPSec может быть создана и назначена на уровне домена (при этом она хранится в Active Directory), что устраняет необходимость индивидуального конфигурирования каждого компьютера. Однако, если компьютер имеет уникальные требования, или это автономный компьютер, политика может быть назначена непосредственно.
  • Прозрачность безопасности IP для пользователей и прикладных программ. Не нужно иметь отдельные программные средства безопасности для каждого протокола в стеке TCP/IP, поскольку приложения, использующие TCP/IP, передают данные уровню протокола IP, где они шифруются. Установленная и настроенная служба IPSec прозрачна для пользователя и не требует обучения.
  • Гибкость конфигурирования политики безопасности, которая помогает решать задачи в различных конфигурациях. Внутри каждой политики можно настроить службы безопасности, чтобы обеспечить потребности на всех уровнях, начиная с уровня индивидуального пользователя и заканчивая уровнем серверов или предприятия. Политику можно сконфигурировать в соответствии с экспортными правилами и ограничениями.
  • Конфиденциальные службы, предотвращающие попытки несанкционированного доступа к важным данным во время передачи этих данных между поддерживающими связь сторонами.
  • Туннелирование. Данные могут быть посланы через безопасные туннели для обмена информацией в Интернете и корпоративных сетях.
  • Усиленная служба аутентификации, которая предотвращает перехват данных путем подмены идентификаторов.
  • Ключи большой длины и динамический повторный обмен ключами в течение текущих сеансов связи, что помогает защитить соединение от атак.
  • Безопасная связь от начала до конца для частных пользователей сети внутри одного и того же домена или через любой доверенный (trusted) домен внутри корпоративной сети.
  • Безопасная связь между пользователями в любом домене корпоративной сети, основанной на протоколе IP.
  • Отраслевой стандарт IPSec открыт для реализации других технологий шифрования IP, что позволяет взаимодействовать с другими платформами и продуктами.
  • Сертификаты с -открытым ключом и поддержка ключей pre-shared (заранее известных). Это требуется для разрешения установления безопасной связи с компьютерами, которые не являются частью доверенного домена.
  • IPSec работает во взаимодействии с другими механизмами защиты, сетевыми протоколами и базовыми механизмами безопасности операционной системы.
  • Поддерживается шифрование сообщений RSVP для реализации служб QoS и ACS, т. е. IPSec не мешает использовать все преимущества приоритетного управления шириной полосы пропускания, обеспечиваемые этими службами.

Возможности стандарта IPSec и подробности реализации очень сложны и описаны подробно в ряде RFC и проектов IETF, а также в документах Microsoft. IPSec использует криптографическую защиту для обеспечения управления доступом, целостности без установления логического соединения, удостоверения подлинности данных, защиты от повторного использования, полной и ограниченной конфиденциальности потока данных. Поскольку протокол IPSec работает на уровне IP, его услуги доступны протоколам верхнего уровня в стеке и, очевидно, существующим приложениям.
IPSec дает системе возможность выбрать протоколы защиты, решить, какой (какие) алгоритм(ы) использовать для служб(ы), а также устанавливать и поддерживать криптографические ключи для каждой защищенной связи.
IPSec может защищать пути между компьютерами, между шлюзами защиты или между шлюзами защиты и компьютерами. Услуги, доступные и требуемые для трафика, настраиваются с использованием политики IPSec. Политика IPSec может быть настроена локально на отдельном компьютере или может быть назначена через механизм групповых политик в Active Directory. Политика IPSec определяет, как компьютеры доверяют друг другу. Самое простое — полагаться на применение доменов доверия Active Directory, основанных на протоколе Kerberos. Для того чтобы доверять компьютерам в том же самом или в другом доверенном домене, задается предопределенная политика IPSec.
Каждая датаграмма на уровне протокола IP сравнивается с набором фильтров, предоставляемых политикой безопасности, которая поддерживается администратором для компьютера, пользователя, организационной единицы (OU) или всего домена. С любой датаграммой службы IP могут выполнить одно из трех действий:

  • передать на обработку службам IPSec;
  • передать ее без изменений;
  • игнорировать ее.

Установка IPSec включает описание характеристик трафика для фильтрации (IP-адрес источника/адресата, протокол, порт и т. д.) и определение того, какие механизмы требуется применить для трафика, соответствующего фильтру (фильтрам). Например, в очень простом случае два автономных компьютера могут быть сконфигурированы для использования IPSec между ними в одном и том же домене Active Directory и активизации политики блокировки (lockdown). Если два компьютера — не элементы одного и того же или доверенного домена, то доверие должно быть сконфигурировано с использованием пароля или ключа pre-shared в режиме "закрытый". Для этого выполняются операции:

  • установка фильтра, который определяет весь трафик между двумя компьютерами;
  • выбор метода опознавания (выбор ключа pre-shared или ввод пароля);
  • выбор политики переговоров (в режиме "закрытый", при этом весь трафик, соответствующий фильтру (фильтрам), должен использовать IPSec);
  • определение типа подключения (ЛВС, коммутируемое соединение или оба типа подключения).

Применение политики блокировки также ограничит все другие типы трафика от достижимых адресатов, которые не понимают IPSec или не являются частью той же самой доверенной группы. Безопасная политика инициатора обеспечивает установки, применяемые лучше всего к тем серверам, для которых предпринята защита трафика, но если клиент "не понимает" IPSec, то результатом переговоров будет возобновление посылки "чистых" текстовых пакетов.
Когда IPSec применяется для шифрования данных, производительность сети понижается из-за непроизводительных затрат на обработку и шифрование. Один из возможных методов уменьшения воздействия этих непроизводительных затрат — обработка на аппаратном уровне. Поскольку интерфейс NDIS 5.1 поддерживает такую функцию, можно включить аппаратные средства шифрования в сетевой адаптер. Адаптер, обеспечивающий перегрузку IPSec на аппаратные средства, скоро представят на рынке несколько поставщиков аппаратного обеспечения.

Базовые механизмы и концепции

Алгоритмы шифрования

Для защиты данных применяются математические алгоритмы шифрования. Безопасность IP в Windows 2000/Server 2003 использует стандартные криптографические алгоритмы, перечисленные ниже.

  • Методика Diffie-Hellman (D-H). Алгоритм шифрования с открытым ключом (названный по имени изобретателей — Diffie и Hellman), который позволяет двум поддерживающим связь объектам договариваться об общедоступном ключе без требования шифрования во время порождения ключа. Процесс начинают два объекта, обменивающиеся общедоступной информацией. Затем каждый объект объединяет общую информацию другой стороны со своей собственной секретной информацией, чтобы сгенерировать секретное общедоступное значение.
  • Код аутентификации хэшированного сообщения (НМАС, Hash Message Authentication Code). НМАС — алгоритм шифрования с закрытым ключом, обеспечивающий целостность сообщений, установление их подлинности и предотвращение повторного использования. Установление подлинности, использующее функции хэширования (перемешивания), объединено с методом закрытого ключа. Хэшированное значение, известное также как дайджест (digest), или выборка сообщений, используется для создания и проверки цифровой подписи. Это уникальное значение намного меньше, чем первоначальное сообщение, созданное из цифровой копии кадра данных. Если передаваемое сообщение изменилось по пути следования, то хэшированное значение будет отличаться от оригинала, а IP-пакет будет отброшен.
  • HMAC-MD5. Дайджест сообщений-5 (MD5, Message Digest) — функция хэширования, которая порождает 128-разрядное значение, являющееся подписью данного блока данных. Эта подпись служит для установления подлинности, целостности и предотвращения повторного использования.
  • HMAC-SHA. Безопасный алгоритм хэширования (SHA, Secure Hash Algorithm) — еще одна функция хэширования, которая порождает 160-разрядное значение подписи, необходимое для установления подлинности, целостности и предотвращения повторного использования.
  • DES-CBC. Стандарт шифрования данных (Data Encryption Standard, DES) — формирование цепочки шифрованных блоков (Cipher Block Chaining, CBC) — алгоритм шифрования с закрытым ключом, обеспечивающий конфиденциальность. Генерируется случайное число, которое используется совместно с закрытым ключом для шифрования данных.

Ключи

Для обеспечения безопасности данных в криптографии совместно с алгоритмами используются ключи. Ключ — это некоторое значение, применяемое для шифрования или дешифрования информации. Для шифрования в системах безопасности могут использоваться как закрытые, так и открытые ключи. Даже если алгоритм известен, без ключа данные нельзя просмотреть или изменить. Безопасность IP в Windows Server 2003 использует ключи большой длины, чтобы обеспечить повышенную безопасность. Если длину ключа увеличить на один бит, число возможных комбинаций удваивается. Безопасность IP в Windows Server 2003 также применяет динамическое обновление ключей; это означает, что после определенного интервала для продолжения обмена данными генерируется новый ключ. Такое решение позволяет защититься от злоумышленника, который получил доступ к части информации во время ее передачи.

Протоколы безопасности

На базе протоколов безопасности реализуются различные службы, обеспечивающие безопасный обмен информацией по сети. Windows 2000 и Windows Server 2003 используют протоколы безопасности, описанные далее.

  • Протокол ассоциаций безопасности и управления ключами Интернет (ISAKMP, Internet Security Association and Key Management Protocol) Прежде чем IP-пакеты будут переданы от одного компьютера другому, должна быть установлена ассоциация, или сопоставление, безопасности (Security Association, SA). SA — набор параметров, который определяет необходимые для защищенной связи услуги и механизмы, типы ключей для безопасных протоколов. SA должна существовать между двумя поддерживающими связь сторонами, использующими безопасность IP. ISAKMP определяет основу для поддержки и установления ассоциаций безопасности. Протокол ISAKMP не связан ни с одним конкретным алгоритмом, методом порождения ключей или протоколом безопасности.
  • Oakley. Протокол определения ключей, который использует алгоритм обмена ключами Diffie-Hellman (D-H). Oakley генерирует ключи, необходимые для безопасного обмена информацией.
  • Заголовок аутентификации IP (АН, Authentication Header). АН обеспечивает целостность, установление подлинности и защиту от повторного использования. Также при помощи АН поддерживается конфиденциальность. АН основан на некотором алгоритме вычисления ключевого кэшированного значения сообщения (НМАС) для каждого IP-пакета.
  • Протокол инкапсуляции безопасности (ESP, Encapsulating Security Protocol). В дополнение к услугам АН, описанным выше, ESP обеспечивает конфиденциальность, используя алгоритм DES-CBC.

Архитектура безопасности IP

Механизм безопасности IP в Windows Server 2003 разработан для защиты любого сквозного соединения между двумя компьютерами (рис. 22.2). При сквозном соединении два осуществляющих связь компьютера (системы) поддерживают IP-безопасность на каждом конце соединения. Сделано предположение, что располагающаяся между ними среда, по которой передаются данные, небезопасна. Данные прикладной программы компьютера, начинающего связь, перед пересылкой по сети автоматически (прозрачно для прикладной программы) шифруются. На компьютере адресата данные также автоматически дешифруются — прежде, чем они будут переданы приложению-получателю. Шифрование всего сетевого IP-трафика гарантирует, что любая связь с использованием TCP/IP защищена от подслушивания. Поскольку данные передаются и шифруются на уровне протокола IP, для каждого протокола в наборе протоколов TCP/IP не требуются отдельные пакеты, обеспечивающие безопасность.
Безопасность IP в Windows Server 2003 объединяет методы шифрования с открытыми и закрытыми ключами для повышения уровня безопасности и большей производительности.
Управление безопасностью IP в Windows Server 2003 допускает создание политики, определяющей тип и уровень безопасности, необходимые во время обмена информации.

  • Политика безопасности (security policy)

Каждая конфигурация атрибутов безопасности IP называется политикой безопасности. Политика безопасности базируется на политиках установления соединений и IP-фильтрах. Политика безопасности связана с политикой контроллера домена. Политика безопасности IP может быть приписана к заданной по умолчанию политике домена, заданной по умолчанию локальной политике или созданной пользовательской политике домена. Во время регистрации компьютера в домене автоматически подбираются реквизиты заданной по умолчанию политики домена и заданной по умолчанию локальной политики, включая политику безопасности IP, приписанную к этой политике домена.

Рис. 22.2. Архитектура безопасности IP в Windows Server 2003

  • Политика переговоров (negotiation policy)

Политика переговоров определяет службы безопасности, используемые во время связи. Можно выбрать услуги, включающие конфиденциальность (ESP) или не обеспечивающие конфиденциальность (АН), или можно определить, какой алгоритм нужно использовать для безопасности IP. Можно установить несколько методов безопасности для каждой политики переговоров. Если первый метод недопустим для ассоциации безопасности, служба ISAKMP/Oakley продолжит просмотр этого списка до тех пор, пока не будет найден тот алгоритм, который безопасность IP сможет использовать для установления ассоциации. Если переговоры не увенчались успехом, устанавливается соединение без безопасности IP.

  • IP-фильтры

IP-фильтры определяют различные действия, зависящие от направления передачи IP-пакета, от типа применяемого IP-протокола (например, TCP или UDP) и от того, какие порты используются в соответствии с протоколом. Фильтр применяется непосредственно — как шаблон, с которым сравниваются IP-пакеты. Каждый IP-пакет сверяется с IP-фильтром и, если соответствие найдено, для посылки данных применяются реквизиты связанной политики безопасности.

Для поддержки обмена информацией с использованием безопасности IP на каждом компьютере с Windows Server 2003 устанавливаются локальные службы и драйверы.

  • Служба агента политики безопасности (Policy Agent Service)

Агент политики — локальный, резидентный агент. Он отыскивает политику безопасности IP в Active Directory во время инициализации системы. Затем он передает информацию о политике сетевому драйверу безопасности IP (IPSec-драйверу) и службе ISAKMP/Oakley. Агент политики не хранит политику безопасности локально, а находит ее в Active Directory (рис. 22.3).

Рис. 22.3. Функционирование агента политики безопасности

  • Служба управления ключами ISAKMP/Oakley

Это локальный, резидентный агент, который получает политику безопасности от агента политики. При использовании политики безопасности служба ISAKMP устанавливает ассоциацию безопасности (SA) с компьютером-получателем. Тождество поддерживающих связь сторон опознается с помощью центра распределения ключей Kerberos. В заключение служба ISAKMP посылает SA и информацию о ключе драйверу IPSec. Служба ISAKMP/Oakley запускается агентом политики.

  • Драйвер безопасности IP (IPSec-драйвер)

Это локальный, резидентный агент, который просматривает все IP-пакеты на соответствие фильтру IP. Если он находит соответствие, то задерживает пакеты в очереди, в то время как служба ISAKMP/Oakley генерирует необходимую SA и ключ, чтобы защитить обмен информацией. Агент, получив эту информацию от службы ISAKMP, шифрует IP-пакеты и посылает их компьютеру-адресату (рис. 22.4). Драйвер IPSec запускается агентом политики.

Рис. 22.4. Функционирование драйвера IPSec

Все три перечисленные компонента установлены в Windows Server 2003 по умолчанию и запускаются автоматически.

Примечание

Каждый контроллер домена содержит Центр распространения ключей Kerberos (Kerberos Distribution Center, KDC) для установления подлинности, который конфигурируется сетевым администратором. Протокол Kerberos служит третьим доверенным лицом, которое проверяет подлинность поддерживающей связь стороны. Безопасность IP в Windows Server 2003 использует Kerberos для идентификации компьютеров.

Рассмотрим пример, в котором пользователь Компьютера А (Пользователь 1) посылает данные пользователю Компьютера В (Пользователю 2). Безопасность IP установлена на обоих компьютерах.

Рис. 22.5. Пример реализации безопасности IP

На уровне пользователя процесс доставки IP-пакетов прозрачен. Пользователь 1 просто запускает приложение, которое использует протокол стека TCP/IP, например FTP, и посылает данные Пользователю 2. Политики безопасности, назначенные Компьютеру А и Компьютеру В администратором, определяют уровень безопасности взаимодействия. Они выбираются агентом политики и передаются службе ISAKMP/Oakley и драйверу IPSec. Служба ISAKMP/Oakley на каждом компьютере использует политику переговоров, связанную с назначенной политикой безопасности, чтобы установить ключ и общий метод переговоров (ассоциация безопасности). Результаты переговоров о политике ISAKMP между двумя компьютерами передаются драйверу IPSec, который использует ключ для шифрования данных. В заключение драйвер IPSec посылает шифрованные данные на Компьютер В. Драйвер IPSec на Компьютере В дешифрует данные и передает их приложению-получателю (см. описание процесса на рис. 22.5).

Примечание

Любые маршрутизаторы или коммутаторы, которые находятся на пути между поддерживающими связь компьютерами, вне зависимости от того, общаются ли два пользователя или пользователь и файловый сервер, должны просто пропускать шифрованные IP-пакеты к адресату. Если между поддерживающими связь компьютерами находится брандмауэр или другой шлюз, поддерживающий систему безопасности, то на нем должна быть разрешена функция пересылки IP-пакетов или настроена специальная фильтрация, которая разрешает пересылку пакетов безопасности IP, чтобы IP-пакеты правильно достигали адресата.

Разработка плана безопасности

Перед тем как реализовать безопасность IP в Windows 2000, полезно разработать и задокументировать план безопасности, охватывающий всю корпоративную сеть. Необходимо проанализировать следующие вопросы.

  • Оценить тип данных, посыпаемых по сети. Нужно определить, являются ли эти данные конфиденциальной информацией, частной информацией или сообщениями электронной почты. Если вся информация такого рода передается по сети или через Интернет, то она может быть перехвачена, исследована или изменена кем-то, кто прослушивает сеть.
  • Определить вероятные сценарии связи. Например, удаленным отделам сбыта может потребоваться связь с главным офисом, а внутренней сети — соединение с сетями других компаний. Удаленным пользователям может понадобиться связь с частными пользователями сети из дома, а другим может потребоваться связь с файловым сервером, содержащим конфиденциальную информацию.
  • Определить уровень безопасности, необходимый для каждого сценария. Например, могут быть некоторые отделы или пользователи, которые нуждаются в более высоком уровне безопасности, чем другие.

Необходимо создать и сконфигурировать политику безопасности для каждого сценария, который был указан в плане.
Например, в компании может быть юридический отдел, которому требуется собственная политика безопасности для любых данных, посланных с использованием IP-протокола. Пользователи в юридическом отделе должны иметь высокий, обеспечивающий конфиденциальность, уровень безопасности для любых данных, посылаемых за пределы отдела. Однако в плане безопасности компании может быть определено, что пользователи в юридическом отделе не требуют конфиденциальности при посылке данных друг другу.
Чтобы реализовать план безопасности для юридического отдела, администратор может выполнить следующие шаги:
1. Создать политику безопасности с именем Legal и привязать ее к заданной по умолчанию политике домена (Default Domain Policy). Поскольку каждый компьютер входит в домен компании, агент политики компьютера выберет политику безопасности Legal в каталоге Active Directory. Политика безопасности Legal могла бы иметь описанные ниже политику переговоров и IP-фильтры, связанные с ней.
2. Создать две политики переговоров и связать их с политикой безопасности Legal:

  • первую политику переговоров, Legal NP 1, настроенную на службы и обеспечивающую конфиденциальность для взаимодействия пользователей юридического отдела с пользователями других отделов ("передаваемые данные будут конфиденциальны, подлинны и не модифицированы" — парадигма протокола безопасности ESP);
  • вторую политику переговоров, Legal NP 2, настроенную на службы и обеспечивающую только установление подлинности и защиту от изменений, когда пользователи юридического отдела общаются друг с другом ("передаваемые данные будут подлинны и не модифицированы" — парадигма протокола безопасности АН).

3. Создать два IP-фильтра и связать каждый с политикой переговоров. Пользователи в юридическом отделе находятся в сети 157.55.0.0 с маской подсети 255.255.0.0. Пользователи других отделов находятся в сети 147.20.0.0 с маской подсети 255.255.0.0.
Первый IP-фильтр, Legal IP Filter 1, предназначен для пользователей в юридическом отделе, которые связываются с пользователями других отделов. Он будет связан с политикой переговоров Legal NP 1. Администратор устанавливает свойства фильтра в соответствии со следующими значениями:

  • заданный IP-адрес для источника — 157.55.0.0. Этот адрес будет соответствовать любому адресу IP в сети юридического отдела, т. к. он является IP-адресом подсети;
  • заданный IP-адрес для получателя — 147.20.0.0;
  • поскольку план безопасности компании обусловливает безопасность всех данных, посланных при помощи протокола IP, тип протокола — любой (Any).

Пользователи юридического отдела, поддерживающие связь с другими пользователями внутри отдела, используют второй IP-фильтр, Legal IP Filter 2. Он связан с политикой переговоров, Legal NP 2, а параметры фильтра установлены в соответствии со следующими значениями:

  • заданный IP-адрес для источника — 157.55.0.0;
  • заданный IP-адрес для получателя — 157.55.0.0;
  • тип протокола — любой (Any).

Когда пользователь в юридическом отделе посылает информацию любому другому пользователю, адреса источника и получателя IP-пакетов сверяются с IP-фильтрами политики безопасности Legal. Если адреса соответствуют одному из фильтров, связанная политика переговоров определяет уровень IP-безопасности для поддержания взаимодействия.
Например, если пользователь в юридическом отделе с адресом IP 157.55.2.1 посылает данные пользователю с адресом 147.20.4.5, это соответствует Legal IP Filter 1. Это означает, что связь будет организована на уровне безопасности, определенном политикой переговоров Legal NP 1, которая обеспечивает установление подлинности, защиту от изменений и конфиденциальность связи.

Администрирование безопасности IP

Управление безопасностью IP в Windows Server 2003 позволяет администраторам создавать настраиваемую политику безопасности с уникальной политикой переговоров и IP-фильтрами. Не требуются никакие изменения прикладных программ. Также не требуется обучать конечных пользователей, поскольку администраторы конфигурируют всю политику безопасности в службе Active Directory, а действия шифрования прозрачны на уровне конечного пользователя.

Рис. 22.6. Управление политиками IP Security в окне оснастки Default Domain Policy

Можно конфигурировать безопасность IP, используя оснастки Local Security Settings (Локальные параметры безопасности) (на локальном компьютере) или Default Domain Policy (рис. 22.6) (для домена). Также можно подключить к консоли ММС изолированную оснастку IP Security Policy Management (Управление политикой безопасности IP) и настроить ее для компьютера или домена.

Шифрующая файловая система EFS

На персональном компьютере операционную систему можно загрузить не с жесткого, а с гибкого диска. Это позволяет обойти проблемы, связанные с отказом жесткого диска и разрушением загрузочных разделов. Однако, поскольку с помощью гибкого диска можно загружать различные операционные системы, любой пользователь, получивший физический доступ к компьютеру, может обойти встроенную систему управления доступом файловой системы NTFS и с помощью определенных инструментов прочесть информацию жесткого диска.
Единственно надежный способ защиты информации — это шифрующая файловая система. На рынке программного обеспечения существует целый набор продуктов, обеспечивающих шифрование данных с помощью образованного от пароля ключа на уровне приложений. Однако такой подход имеет ряд ограничений.

  • Ручное шифрование и дешифрование. Службы шифрования большинства продуктов непрозрачны для пользователей. Пользователю приходится расшифровывать файл перед каждым его использованием, а затем опять зашифровывать. Если пользователь забывает зашифровать файл по окончании работы с ним, информация остается незащищенной. Поскольку каждый раз необходимо указывать, какой файл должен быть зашифрован (и расшифрован), применение такого метода защиты информации сильно затруднено.
  • Утечка информации из временных файлов и файлов подкачки. Практически все приложения в процессе редактирования документов создают временные файлы. Они остаются на диске незашифрованными, несмотря на то, что оригинальный файл зашифрован. Кроме того, шифрование информации на уровне приложений выполняется в режиме пользователя. Это значит, что ключ, применяемый для такого типа шифрования, может храниться в файле подкачки. В результате, с помощью изучения данных файла подкачки можно получить ключ и расшифровать все документы пользователя.
  • Слабая криптостойкостъ ключей. Ключи образуются от паролей или случайных фраз. Поэтому в случае, если пароль был легко запоминаемым, атаки с помощью словарей могут привести к быстрому взлому системы защиты.
  • Невозможность восстановления данных. Большинство продуктов, позволяющих шифровать информацию, не предоставляют средств восстановления данных, что для пользователей является дополнительным поводом не применять средства шифрования. Это особенно касается тех работников, которые не хотят запоминать дополнительный пароль. С другой стороны, средство восстановления данных с помощью пароля — еще одна брешь в системе защиты информации. Все, что необходимо злоумышленнику, — это пароль, предназначенный для запуска механизма восстановления данных, который позволит получить доступ к зашифрованным файлам.

Все перечисленные выше проблемы позволяет решить шифрующая фашювая система (Encrypting File System, EFS), впервые реализованная в Windows 2000 и работающая только на NTFS 5.0. В следующих разделах подробно описаны технология шифрования, место шифрования в операционной системе, взаимодействие с пользователями и способ восстановления данных.

Архитектура EFS

EFS содержит следующие компоненты операционной системы (рис. 22.7).

  • Драйвер EFS. Драйвер EFS является надстройкой над файловой системой NTFS. Он обменивается данными со службой EFS — запрашивает ключи шифрования, наборы DDF (Data Decryption Field) и DRF (Data Recovery Field), — а также с другими службами управления ключами. Полученную информацию драйвер EFS передает Библиотеке реального времени файловой системы EFS (File System Run-Time Library, FSRTL), которая прозрачно для операционной системы выполняет различные операции, характерные для файловой системы (чтение, запись, открытие файла, присоединение информации).
  • Библиотека реального времени файловой системы EFS. FSRTL — это модуль, находящийся внутри драйвера EFS, реализующий вызовы NTFS, выполняющие такие операции, как чтение, запись и открытие зашифрованных файлов и каталогов, а также операции, связанные с шифрованием, дешифрованием и восстановлением файлов при их чтении или записи на диск. Хотя драйверы EFS и FSRTL реализованы в виде одного компонента, они никогда не обмениваются данными напрямую. Для передачи сообщений друг другу они используют механизм вызовов (callouts) NTFS, предназначенный для управления файлами. Это гарантирует, что вся работа с файлами происходит при непосредственном участии NTFS. С помощью механизма управления файлами операции записи значений атрибутов EFS (DDF и DRF) реализованы как обычная модификация атрибутов файла. Кроме того, передача ключа шифрования файла РЕК (см. ниже), полученного службой EFS, в FSRTL выполняется так, чтобы он мог быть установлен в контексте открытого файла. Затем контекст файла используется для автоматического выполнения операций шифрования и дешифрования при записи и чтении информации файла.

Рис. 22.7. Архитектура EFS

  • Служба EFS. Служба EFS (EFS Service) является частью системы безопасности операционной системы. Для обмена данными с драйвером EFS она использует порт связи LPC, существующий между Локальным администратором безопасности (Local Security Authority, LSA) и монитором безопасности, работающим в привилегированном режиме. В режиме пользователя для создания ключей шифрования файлов и генерирования данных для DDF и DRF служба EFS использует CryptoAPI. Она также поддерживает набор API для Win32.
  • Набор API для Win32. Этот набор интерфейсов прикладного программирования позволяет выполнять шифрование файлов, дешифрование и восстановление зашифрованных файлов, а также их импорт и экспорт (без предварительного дешифрования). Эти API поддерживаются стандартным системным модулем DLL — advapi32.dll.

Технологии шифрования EFS

Данный раздел поможет вам понять, как шифруется информация и почему перед использованием EFS обязательно экспортировать сертификаты (вместе с личными ключами) пользователей и агентов восстановления данных. Очень часто непонимание этих моментов приводит к тому, что зашифрованные данные безвозвратно теряются по вине пользователей.
EFS основана на шифровании с открытым ключом и использует все возможности архитектуры CryptoAPI. Каждый файл шифруется с помощью случайно сгенерированного ключа, зависящего от пары открытого (public) и личного, закрытого (private), ключей пользователя. Подобный подход в значительной степени затрудняет осуществление большого набора атак, основанных на криптоанализе. При криптозащите файлов может быть применен любой ачгоритм симметричного шифрования. EFS позволяет осуществлять шифрование и дешифрование файлов, находящихся на удаленных файловых серверах.

Примечание

В данном случае EFS может работать только с файлами, находящимися на диске. Шифрующая файловая система не осуществляет криптозащиту данных, передаваемых по сети. Для шифрования передаваемой информации следует применять специальные сетевые протоколы, например SSL/PCT.

В EFS для шифрования и дешифрования информации используются открытые ключи. Данные зашифровываются с помощью симметричного алгоритма с применением Ключа шифрования фаша (File Encryption Key, FEK). FEK — это сгенерированный случайным образом ключ, имеющий определенную длину.
В свою очередь, FEK шифруется с помощью одного или нескольких открытых ключей, предназначенных для криптозашиты ключа. В этом случае создается список зашифрованных ключей FEK, что позволяет организовать доступ к файлу со стороны нескольких пользователей. Для шифрования набора FEK используется открытая часть пары ключей каждого пользователя. Список зашифрованных ключей FEK хранится вместе с зашифрованным файлом в специальном атрибуте EFS, называемом Полем дешифрования данных (Data Decryption Field, DDF). Информация, требуемая для дешифрования, привязывается к самому файлу. Секретная часть ключа пользователя используется при дешифровании FEK. Она хранится в безопасном месте, например на смарт-карте или другом устройстве, обладающем высокой степенью защищенности.
FEK применяется для создания ключей восстановления. Для этого FEK шифруется с помощью одного или нескольких открытых мючей восстановления. Список FEK, зашифрованных для целей восстановления, хранится вместе с зашифрованным файлом в специальном атрибуте EFS, называемом Полем восстановления данных (Data Recovery Field, DRF). Благодаря существованию набора зашифрованных ключей FEK агенты восстановления данных могут дешифровать файл. Для шифрования ключа FEK в поле DRF необходима только общая часть пары ключей восстановления, ее присутствие в системе необходимо в любой момент времени для нормального функционирования файловой системы. Сама процедура восстановления выполняется довольно редко, когда пользователь увольняется из организации или забывает секретную часть ключа. Поэтому агенты восстановления могут хранить секретную часть ключей восстановления в безопасном месте, например на смарт-картах или других хорошо защищенных устройствах.

Система EFS и Windows Server 2003

EPS тесно взаимодействует с NTFS 5.0. Временные файлы, создаваемые приложениями, наследуют атрибуты оригинальных файлов (если файлы находятся в разделе NTFS). Вместе с файлом шифруются также и его временные копии. EFS находится в ядре Windows Server 2003 и использует для хранения ключей специальный пул, не выгружаемый на жесткий диск. Поэтому ключи никогда не попадают в файл подкачки.
В Windows Server 2003 файловая система EFS имеет некоторые новые возможности:

  • с зашифрованными файлами могут работать несколько пользователей. Пользователь, зашифровавший файл, может разрешить другим локальным и доменным пользователям (на компьютерах под управлением Windows 2000 и Windows XP) работать с этим файлом;
  • можно шифровать автономные папки и файлы (offline folders);
  • агент восстановления (recovery agent) по умолчанию не используется;
  • стандартный алгоритм шифрования — Advanced Encryption Standard, AES (Rijndael) (256 бит). Алгоритм DESX, используемый по умолчанию системой EFS в Windows 2000 и Windows XP Professional, не может применяться для шифрования файлов в Windows Server 2003;
  • вместо AES может использоваться алгоритм шифрования 3DES (128 или 168 бит), для этого нужно изменить политику безопасности;
  • зашифрованные файлы могут располагаться в веб-папках;
  • сертификаты EFS могут автоматически доставляться пользователю службами сертификатов (Certificate Services) и механизмом автоподписи сертификатов;
  • личные ключи могут сохраняться и восстанавливаться при помощи средств архивации, имеющихся в службах сертификатов;
  • вся служебная информация, сохраняемая на диске, не просто удаляется, а очищается (заполняется пустыми байтами); это увеличивает защищенность шифрованных данных.

Внимание

Нужно помнить о том, что операции сжатия данных (средствами файловой системы NTFS) и их шифрования (с помощью EFS) являются несовместимыми, т. е. исключающими друг друга.
Напомним, что каталоги и файлы можно шифровать только на томах NTFS.

Конфигурация EFS, устанавливаемая по умолчанию, позволяет пользователю шифровать свои файлы без всякого вмешательства со стороны администратора. В этом случае EFS автоматически генерирует для пользователя пару ключей (открытый и личный), применяемых для криптозащиты данных, и подписывает сертификат.
Шифрование и дешифрование файлов может быть выполнено как для определенных файлов, так и для целого каталога. Эти операции прозрачны для пользователя. При шифровании каталога автоматически шифруются и все входящие в него файлы и подкаталоги. Каждый файл обладает уникальным ключом, позволяющим легко выполнять операцию переименования. Если вы переименовываете файл, находящийся в зашифрованном каталоге, и переносите его в незашифрованный каталог, сам файл остается зашифрованным (при условии, что целевой каталог находится на томе NTFS 5.0). Средства шифрования и дешифрования доступны через Windows Explorer. Кроме того, можно использовать все возможности шифрования данных с помощью набора утилит командной строки и интерфейсов администрирования.
Если зашифрованные файлы хранятся на общих ресурсах, то для работы с ними пользователи должны иметь сертификат и личный ключ того, кто установил шифрование этих файлов. Впоследствии каждый пользователь может при необходимости независимо расшифровать файл при помощи своего личного ключа.

Работа с EFS

Самая серьезная и, к сожалению, нередко встречающаяся ошибка при работе с EFS заключается в том, что пользователи шифруют данные на локальном компьютере (или компьютере — члене группы), а затем переустанавливают операционную систему. В этом случае данные будут безвозвратно утеряны, т. к. доступ к ним имели только два пользователя той системы, в которой данные были зашифрованы: пользователь, выполнивший эту операцию, и агент восстановления. Ошибка состоит в том, что для расшифровки данных необходимо предъявить сертификаты одного из названных пользователей, а для этого соответствующие сертификаты нужно было экспортировать и сохранить.
EFS располагает встроенными средствами восстановления зашифрованных данных в условиях, когда неизвестен личный ключ пользователя. Пользователи, которые могут восстанавливать зашифрованные данные в условиях утраты личного ключа, называются агентами восстановления данных. Агенты восстановления данных обладают сертификатом (Х.509 v.3) на восстановление файлов и личным ключом, с помощью которых выполняется операция восстановления зашифрованных файлов. Используя ключ восстановления, можно получить только сгенерированный случайным образом ключ, с помощью которого был зашифрован конкретный файл. Поэтому агенту восстановления не может случайно стать доступной другая конфиденциальная информация.
Средства восстановления данных предназначены для применения в разнообразных конфигурациях вычислительных сред. Параметры процедуры восстановления зашифрованных данных в условиях утраты личного ключа задаются политикой восстановления. Она представляет собой одну из политик открытого ключа (public key policy). Политика восстановления определяется только в домене Windows Server 2003. Администратор домена одновременно является и агентом восстановления с соответствующими полномочиями. Могут быть добавлены и другие агенты. Это делается с помощью оснастки Group Policy Object Editor (Групповая политика), в окне которой нужно выбрать узел Security Settings | Public Key Policies | Encrypting File System. В контекстном меню этого узла имеются команды, позволяющие управлять агентами и политиками восстановления. Политика восстановления может быть задана и на одиночном компьютере.

Внимание

Политики восстановления в Windows Server 2003 работают иначе, чем в Windows 2000. По умолчанию на компьютерах под управлением Windows Server 2003 агенты восстановления не создаются и политика восстановления не препятствует работе EFS. Это означает, что восстановить зашифрованную информацию могут только те пользователи, которые ее зашифровали.

Создание агента восстановления

Описываемая ниже процедура должна выполняться на автономном компьютере, на котором планируется использование системы EFS. Сначала необходимо создать сертификат агента восстановления (лучше использовать административную учетную запись, хотя, строго говоря, это не обязательно), импортировать его, а затем назначить политику восстановления.
Чтобы создать сертификат агента восстановления:
1. Войдите в систему как администратор.
2. В окне консоли введите команду cipher /R:имяФайла — без расширения.
3. Введите и подтвердите пароль, защищающий личный ключ.
В текущем каталоге будут созданы два файла: с расширением сer (содержит только сгенерированный ключ) и с расширением pfx (содержит и ключ, и сертификат агента восстановления). Для большей сохранности перепишите файлы на дискету.
Для импорта сертификата, с помощью которого можно восстанавливать индивидуальные файлы пользователей:
1. Зарегистрируйтесь в системе как администратор.
2. Запустите оснастку Certificates, откройте узел Personal.
3. Импортируйте созданный РЕХ-файл.
Чтобы определить политику агента восстановления для любых операций шифрования:
1. Запустите оснастку Local Security Settings.
2. Выберите узел Public Key Policies | Encrypting File System (Политики открытого ключа | Файловая система EPS).
3. В контекстном меню выполните команду Add Data Recovery Agent (Добавить агента восстановления данных).
4. В окне мастера Add Recovery Agent Wizard (Мастер добавления агента восстановления) нажмите кнопку Browse Folders (Обзор папок) и выберите местоположение созданного ранее файла сертификата с расширением сеr. (Имя пользователя будет неизвестно, поскольку оно не хранится в файле — это нормальная ситуация.)
5. Нажмите кнопку Next (Далее) и на следующей странице мастера — Finish (Готово).
Сертификат будет импортирован и его владелец станет агентом восстановления на данном компьютере. Обратите внимание на то, что в столбце Intended Purposes (Назначение) импортированного сертификата указано File Recovery (Восстановление файлов).
Теперь можно использовать шифрование информации, не опасаясь потери "ключа" к ней.

Шифрование файлов и каталогов

Поскольку шифрование и дешифрование выполняется автоматически, пользователь может работать с файлом так же, как и до установки его криптозащиты. Например, можно так же открыть текстовый процессор Word, загрузить документ и отредактировать его, как и прежде. Все остальные пользователи, которые попытаются получить доступ к зашифрованному файлу, получат сообщение об ошибке доступа, поскольку они не владеют необходимым личным ключом, позволяющим им расшифровать файл.
Следует отметить, что пользователи (в данном случае администраторы) не должны шифровать файлы, находящиеся в системном каталоге, поскольку они необходимы для загрузки системы, в процессе которой ключи пользователя недоступны. Это сделает невозможным дешифрование загрузочных файлов, и система потеряет работоспособность. Проводник предотвращает возможность возникновения такой ситуации, не позволяя шифровать файлы с атрибутом системный.

Примечание

Для шифрования/дешифрования файлов и папок можно также использовать утилиту командной строки Cipher.exe.

Шифрование информации задается в окне свойств файла или папки:
1. Укажите файл или папку, которую требуется зашифровать, нажмите правую кнопку мыши и выберите в контекстном меню команду Properties (Свойства).
2. В появившемся окне свойств на вкладке General (Общие) нажмите кнопку Advanced (Другие). Появится диалоговое окно Advanced Attributes (Дополнительные атрибуты).
3. В группе Compress or Encrypt attributes (Атрибуты сжатия и шифрования) установите флажок Encrypt contents to secure data (Шифровать содержимое для защиты данных) и нажмите кнопку ОК.
4. Нажмите кнопку ОК в окне свойств зашифровываемого файла или папки. В появившемся диалоговом окне подтвердите режим шифрования.
При шифровании папки можно указать следующие режимы:

  • Apply changes to this folder (Только к этой папке);
  • Apply changes to this folder, subfolders and files (К этой папке и всем вложенным папкам и файлам).

Шифрование файлов для совместного использования

Системы Windows XP и Windows Server 2003, в отличие от Windows 2000, поддерживают совместный доступ к зашифрованным файлам, расположенным на общих сетевых ресурсах в домене на базе Active Directory или на локальных дисках. Дополнительные разрешения нужно давать для каждого файла индивидуально.
После того как владелец-создатель зашифровал файл, он может снова открыть окно Advanced Attributes (Дополнительные атрибуты) и нажать кнопку Details (Подробно). Появится окно, аналогичное показанному на рис. 22.8 (для изолированного компьютера картина будет аналогичной). В приведенном примере видно, что к файлу помимо агента восстановления имеют доступ еще два пользователя.

Рис. 22.8. В этом окне перечислены все пользователи, имеющие доступ к зашифрованному файлу

Рис. 22.9. Данное окно позволяет выбрать пользователя и просмотреть его сертификат

Примечание

Зашифровав файл или папку и открыв заново окно Encryption Details (Подробности шифрования), вы можете легко проверить, определен ли в вашей системе агент восстановления.

Теперь можно нажать кнопку Add (Добавить) и в окне Select User (Выбор пользователя) (рис. 22.9) указать, какие пользователи смогут также работать с зашифрованным файлом. Окно Select User позволяет просмотреть имеющиеся сертификаты пользователей и искать пользователей в каталоге Active Directory.

Дешифрование файлов и каталогов

Чтобы дешифровать файл или каталог:
1. На вкладке Sharing окна свойств соответствующего объекта нажмите кнопку Advanced.
2. В открывшемся диалоговом окне в группе Compress or Encrypt attributes сбросьте флажок Encrypt contents to secure data.

Копирование, перемещение, переименование и уничтожение зашифрованных файлов и папок

Операции копирования, перемещения, переименования и уничтожения зашифрованных файлов и папок выполняются точно так же, как и с незашифрованными объектами. Однако следует помнить, что пункт назначения зашифрованной информации должен поддерживать шифрование (должен иметь файловую систему NTFS 5.0). В противном случае при копировании данные будут расшифрованы, и копия будет содержать открытую информацию.

Архивация зашифрованных файлов

Резервную копию зашифрованного файла можно создать с помощью простого копирования его на другой жесткий диск или с использованием утилиты архивации. Однако, как сказано в предыдущем разделе, простое копирование, например, на дискету или оптический диск может привести к тому, что резервная копия будет содержать открытые данные. То есть, если скопировать зашифрованный файл в FAT-раздел или на дискету, копия будет не зашифрована и, следовательно, доступна для чтения любому пользователю.
Специализированная операция архивации не требует для ее выполнения доступа к открытым ключам пользователя — только к архивируемой информации. Поэтому для обеспечения безопасности конфиденциальных данных при создании резервных копий рекомендуется применять специальные утилиты архивации. Для этих целей предназначена стандартная утилита архивации данных Backup.
В процессе архивации зашифрованные данные будут скопированы на указанный носитель без дешифрования. Целевой носитель может не поддерживать NTFS 5.0. Например, резервная копия зашифрованных файлов может быть создана на гибком диске.

Управление сертификатами пользователей

Пользователи могут запрашивать, экспортировать, импортировать сертификаты, служащие в EFS для идентификации пользователей, а также управлять ими. Эта возможность предназначена для опытных пользователей, которые хотят иметь средство управления собственными сертификатами. Обычно пользователям не приходится самостоятельно управлять сертификатами, поскольку EFS автоматически генерирует для них пару ключей при первом обращении к ней — т. е. при попытке зашифровать файл или каталог (при этом открытый ключ сертифицируется в центре сертификации, а если таковой недоступен, то EFS сама подписывает открытый ключ).

Примечание

В вышесказанном легко убедиться, если после инсталляции системы запустить оснастку Certificates и раскрыть узел (папку) Personal: этот узел будет пуст. Если затем зашифровать некоторый файл или папку и вернуться в оснастку Certificates, то можно увидеть, что в папке Personal появился сертификат, выданный текущему пользователю.

Управление сертификатами, их импорт и экспорт осуществляются с помощью контекстных меню оснастки Certificates (см. также ниже разд. "Импорт к экспорт сертификатов"). Пользователи имеют возможность управлять только своими собственными сертификатами.

Восстановление зашифрованных файлов на другом компьютере

Иногда возникает необходимость восстановить зашифрованную информацию не на том компьютере, на котором она была заархивирована. Это можно выполнить с помощью утилиты архивации, которая сохраняет информацию в зашифрованном виде вместе с атрибутом шифрования. Однако нужно позаботиться о переносе на новый компьютер соответствующего сертификата и личного ключа пользователя либо с помощью перемещаемого профиля, либо вручную.
На любом компьютере, где зарегистрировался пользователь, обладающий перемещаемым профилем, будут применяться одни и те же ключи шифрования.
Ручной перенос личного ключа и сертификата выполняется в два этапа: сначала следует создать резервную копию сертификата и личного ключа (при этом сертификат и секретный ключ должны быть экспортированы в файл с расширением pfx), а затем восстановить созданную копию на другом компьютере. (Эта процедура имеет смысл только для компьютеров, не входящих в домен. В домене можно использовать процедуру, описанную выше в разд. "Шифрование файлов для совместного использования".) В результате этой процедуры текущий пользователь (который импортировал сертификат) получит возможность работать с зашифрованными данными на этом компьютере.

Сертификаты

Сертификаты с открытым ключом (public key certificate) представляют собой средство идентификации пользователей в незащищенных сетях (таких как Интернет), а также предоставляют информацию, необходимую для проведения защищенных частных коммуникаций.
Под незащищенными сетями понимаются компьютерные сети, к которым пользователи могут получить доступ без разрешений. Коммуникации в таких сетях открыты для просмотра другими пользователями. Также существует определенная опасность возникновения ложных коммуникаций, когда отправителями сообщений являются ложные пользователи.
Даже частные локальные сети подвержены нападениям взломщиков с целью получения физического доступа к сети. Совершенно защищенные сети практически невозможны. Тем не менее, в защищенных сетях большие бреши в системе безопасности возникают крайне редко. Поэтому, поскольку пользователи доверяют друг другу, в таких сетях можно обмениваться данными, не применяя средств безопасности.
В открытых сетях, таких как Интернет, информация может попасть в руки пользователей, намерения которых никому не известны. Информация, не представляющая особой ценности, не нуждается и в безопасности. Однако, если информация является ценной или конфиденциальной, необходимо предпринять соответствующие меры безопасности для ее защиты.

Использование сертификатов для обеспечения безопасности

Сертификаты можно использовать для решения различных задач безопасности.

  • Аутентификация (authentication) или проверка подлинности. Проверка того, что объект, с которым вы взаимодействуете, является в действительности авторизованным объектом.
  • Обеспечение конфиденциальности (privacy) или секретности. Обеспечение доступа к информации только авторизованным пользователям, даже если любой пользователь сети может перехватить сообщение.
  • Шифрование (encryption). Обеспечивает доступ к информации только для того пользователя, которому она предназначена.
  • Цифровые подписи (digital signatures). Обеспечение целостности и подлинности данных.

Аутентификация

Аутентификация является необходимым условием обеспечения секретности обмена данными. Пользователи должны иметь возможность подтвердить свою подлинность и проверить идентификацию других пользователей, с которым они общаются. Цифровой сертификат является распространенным средством идентификации.
Сертификаты служат для обеспечения аутентификации в следующих случаях:

  • аутентификация пользователя для защищенного веб-узла посредством протоколов Transport Layer Security (TLS) или Secure Sockets Layer (SSL);
  • аутентификация сервера для пользователя посредством TLS.

Конфиденциальность

Для обеспечения конфиденциальности при передаче данных в незащищенных сетях или по частным локальным сетям применяется шифрование с секретным, или закрытым, ключом (secret key encryption).
Сертификаты обеспечивают конфиденциальность передаваемых данных при помощи ряда методов. Протоколы, наиболее широко используемые для обеспечения секретности:

  • Secure Multipurpose Internet Mail Extensions (S/MIME);
  • Transport Layer Security (TLS);
  • IP Security (IPSec).

Центры сертификации

Центр сертификации (также встречается термин поставщик сертификатов) (Certification Authority, CA) представляет собой службу, которой доверен выпуск сертификатов, если индивидуальный пользователь или организация, которые запрашивают сертификат, удовлетворяют условиям установленной политики. Это осуществляется путем принятия запроса на получение сертификата, проверки и регистрации имени запрашивающего сертификат пользователя и открытого ключа в соответствии с политикой. Каждый ЦС должен получить от запрашивающей сертификат стороны подтверждение ее идентичности, такое как удостоверение личности или физический адрес. Затем производится подписание и назначение сертификата, подтверждающего выполнение пользователем критериев политики, которые были установлены для авторизации. Большинство используемых на .сегодня сертификатов основаны на стандарте Х.509, эта фундаментальная технология применяется в инфраструктуре открытых ключей Windows 2000 и Windows Server 2003.
Центром сертификации может быть удаленная организация, такая как VeriSign, или локальная служба, созданная в вашей организации путем инсталляции служб Certificate Services (Служб сертификации). Выбор ЦС основывается на доверительном отношении (trust). Вы доверяете, что ЦС использует правильную политику при рассмотрении запросов на подписание сертификатов. Кроме того, вы доверяете, что ЦС отзывает сертификаты с истекшим сроком действия путем публикации списка отозванных сертификатов (certificate revocation list).
Центры сертификации также имеют собственные сертификаты. Причем вышестоящий центр подписывает сертификаты для нижестоящих центров. Таким образом, формируется иерархия сертификатов (certificate hierarchy).
Доверие центру сертификации устанавливается при наличии копии корневого сертификата в хранилище доверяемых корневых центров сертификации, а также действительного пути к сертификату. Это означает, что ни один из сертификатов иерархии (пути сертификатов) не был отозван и не имеет истекшего срока действия.
Если в организации используется Active Directory, то доверие к центрам сертификации вашей организации устанавливается автоматически на основе решений и установок, выполненных системным администратором.
Сертификат удостоверяет, что индивидуальный пользователь или ЦС, представляющий сертификат, был авторизован в соответствии с политикой, которая была установлена для ЦС, выпустившего сертификат. Обычно сертификаты содержат следующую информацию:

  • открытый ключ (public key) владельца сертификата;
  • идентификационную информацию владельца сертификата;
  • период действия сертификата;
  • информацию о центре сертификации;
  • цифровую подпись (digital signature).

Все сертификаты имеют ограниченный срок действия. Даты начала и окончания срока действия сертификата указываются в сертификате. Для каждого ЦС устанавливается политика обновления сертификатов с истекшим сроком действия.
Если в компании для организации центра сертификации установлены службы сертификации на Windows 2000 Server или Windows Server 2003, то используется один из двух типов ЦС:

  • центр сертификации предприятия (enterprise certification authority). Требует наличия Active Directory. Использует информацию, доступную в Active Directory, для проверки идентификационной информации запрашивающего сертификат. Публикует списки отозванных сертификатов в Active Directory, а также в общей папке;
  • изолированный (автономный) центр сертификации (stand-alone certification authority). He зависит от Active Directory. По умолчанию пользователи могут запрашивать сертификаты у данного центра только с веб-страниц. Изолированный центр сертификации публикует списки отозванных сертификатов в общей папке или в Active Directory (если служба каталогов доступна).

Использование сертификатов в Интернете

При работе в Интернете браузер Internet Explorer использует два типа сертификатов: персональный сертификат (personal certificate) и сертификат веб-узла (Web site certificate). Персональный сертификат удостоверяет личность пользователя. Информация сертификата используется при передаче личной информации через Интернет на веб-узел, который требует проверки пользователя посредством сертификата. Сертификат веб-узла подтверждает, что данный узел является безопасным и подлинным. При этом гарантируется, что никакой другой веб-узел не является идентичным оригинальному веб-узлу. Internet Explorer при подключении к веб-узлу проверяет, что интернет-адрес в сертификате совпадает с действительным адресом и срок действия сертификата еще не истек.

Хранилища сертификатов

Операционная система сохраняет сертификаты локально на том компьютере, с которого запрашивался сертификат для данного компьютера или для пользователя, работающего за данным компьютером. Место хранения сертификатов называется хранилищем сертификатов (certificate store).
С помощью оснастки Certificates (Сертификаты) (рис. 22.10) можно просматривать хранилища сертификатов для пользователя, компьютера или сервиса (службы), в которых сертификаты можно сортировать. Режим сортировки определяется переключателями в окне View Options (Параметры просмотра), которое вызывается с помощью команды View | Options (Вид Параметры). Переключатель Certificate purpose определяет режим просмотра сертификатов по назначению, а переключатель Logical certificate stores — по логическим хранилищам. В табл. 22.1 перечислены некоторые основные папки, которые отображаются в окне оснастки Certificates в разных режимах просмотра.

Примечание

Оснастка Certificates отсутствует в пользовательском интерфейсе системы, поэтому ее нужно подключить вручную к консоли ММС. Процедура создания инструмента ММС описана в разд. "Создание новой консоли" главы 6 "Средства управления системой".

Рис. 22.10. Окно оснастки Certificates

Таблица 22.1. Список папок хранилища сертификатов с кратким описанием

Сортировка по | Папка | Содержит
Логическим хранилищам | Personal (Личные) | Сертификаты, связанные с закрытыми ключами пользователя. Сертификаты, которые были выданы компьютеру или службе, для которых выполняется управление сертификатами
 | Trusted Root Certification Authorities (Доверенные корневые центры сертификации) | Полностью доверяемые центры сертификации
 | Enterprise Trust (Доверительные отношения в предприятии) | Списки доверяемых отношений сертификатов (certificate trust list). Обеспечивает механизм доверия к корневым сертификатам со стороны других организаций
 | Intermediate Certification Authorities (Промежуточные центры сертификации) | Сертификаты, выпущенные для других пользователей и центров сертификации
 | Active Directory User Object (Объект пользователя Active Directory) | Сертификаты, связанные с вашим пользовательским объектом и опубликованные в Active Directory
 | Trusted Publishers (Доверенные издатели) | Сертификаты, выпущенные центрами сертификации, которые соответствуют политикам Software Restriction
 | Untrusted Certificates (Сертификаты, к которым нет доверия) | Сертификаты, для которых явно установлено отсутствие доверительных отношений
 | Third-Party Root Certification Authorities (Сторонние корневые центры сертификации) | Доверяемые корневые сертификаты от центров сертификации, отличных от Microsoft и вашей собственной организации
 | Trusted People (Доверенные лица) | Сертификаты, выпущенные для других пользователей или конечных устройств, с которыми налажены доверительные отношения
По назначению | Server Authentication (Проверка подлинности сервера) | Сертификаты, которые используются серверными программами для аутентификации при обращении к клиентам
 | Client Authentication (Проверка подлинности клиента) | Сертификаты, которые используются клиентскими программами для аутентификации при обращении к серверам
 | Code Signing (Подписывание кода) | Сертификаты, связанные с парами ключей, используемых для подписи активного содержания
 | Secure Email (Защищенная электронная почта) | Сертификаты, связанные с парами ключей, используемых для подписи электронных сообщений
 | Encrypting File System (Шифрующая файловая система) | Сертификаты, связанные с парами ключей, которые шифруют и дешифруют симметричный ключ, используемый для шифрования и расшифровки данных
 | File Recovery (Восстановление файлов) | Сертификаты, связанные с парами ключей, которые шифруют и дешифруют симметричный ключ, используемый для восстановления зашифрованных данных

При наличии соответствующих прав вы можете импортировать или экспортировать сертификаты из любой папки в хранилище сертификатов. Если личный ключ, связанный с сертификатом, доступен для экспорта, то вы можете экспортировать сертификат и личный ключ в файл, соответствующий стандарту PKCS #12.
Оснастка Certificates позволяет публиковать выпущенные сертификаты в Active Directory. Публикация сертификата в Active Directory дает возможность всем группам, которые имеют необходимые разрешения, извлекать сертификат при необходимости.
Команда Find Certificates (Поиск сертификатов) (контекстного меню или меню Action (Действие)) помогает отыскать выпущенные сертификаты в хранилищах сертификатов. Вы можете провести поиск в определенном хранилище или во всех хранилищах и ограничить поиск на основании определенной информации сертификатов, например, искать сертификаты, выпущенные определенным центром сертификации.

Запрос сертификата

Если администратор создал политику открытого ключа для автоматизации запросов на получение сертификатов, то вам, возможно, никогда не придется запрашивать сертификаты самостоятельно, если только вы не работаете со смарт-картами. Пользователи смарт-карт должны запрашивать свои сертификаты.
Если вы пользуетесь смарт-картами, или в вашей организации не применяются автоматические запросы на получение сертификатов, то вы можете запросить новые сертификаты. Запросить новый сертификат можно с помощью мастера Certificate Request Wizard (Мастер запроса сертификата) или на веб-страницах служб сертификации. При запросе сертификатов в центре сертификации предприятия Windows Server 2003 используется, как правило, мастер Certificate Request Wizard, вызываемый из оснастки Certificates. Кроме того, центр сертификации, установленный на Windows Server 2003 в сочетании со службами Интернета (Internet Information Services), имеет веб- страницу, на которой можно запрашивать сертификаты. По умолчанию ЭТИ сертификаты находятся ПО адресу http://servername/certsrv, где servername — имя сервера, на котором находится ЦС.
Для того чтобы запросить сертификат в оснастке Certificates:
1. Откройте окно оснастки Certificates.
2. На панели структуры (левое подокно) откройте нужный узел: для пользователя Certificates | Current User (Сертификаты | текущий пользователь), для компьютера — Certificates | Computer Name (Сертификаты (локальный компьютер)).
3. Если вы находитесь в режиме просмотра "по логическим хранилищам", выберите папку Personal. В режиме "по назначению" выберите соответствующий режим (папку).
4. В меню Action (Действие) выберите команду All Tasks | Request New Certificate (Все задачи | Запросить новый сертификат).
5. В окне мастера Certificate Request Wizard выберите:

  • тип (шаблон) сертификата;
  • ЦС, который выдаст сертификат (если имеется несколько ЦС) (если установлен флажок Advanced (Дополнительно));
  • поставщика службы криптографии (Cryptographic Service Provider, CSP) (если установлен флажок Advanced).

6. Введите дружественное имя сертификата и его описание.
7. После выбора и проверки всех параметров нажмите кнопку Finish (Готово).

Импорт и экспорт сертификатов

При импорте или экспорте сертификат копируется в хранилище или из хранилища. Импорт или экспорт сертификата проводится при выполнении следующих задач:

  • инсталляция сертификата, полученного вами от другого пользователя (импорт);
  • восстановление сертификата, который хранился в виде резервной копии (импорт);
  • создание резервной копии сертификата (экспорт);
  • копирование сертификата или ключа для использования на другом компьютере (экспорт).

Передавать сертификаты можно в следующих форматах.

  • Personal Information Exchange (Обмен персональной информацией) (PKCS #12)

Данный формат (Personal Information Exchange, PFX) позволяет приложениям передавать сертификаты и соответствующие личные ключи с одного компьютера на другой, на съемный накопитель или смарт-карту.
PKCS #12 является стандартным в отрасли форматом, применяемым для передачи или резервного копирования и восстановления сертификатов и их ключей. Сертификаты в этом формате могут передаваться между продуктами одного или различных производителей, например, Microsoft и IBM. Для использования формата PKCS #12 поставщик услуг шифрования (CSP) должен считать сертификаты и ключи доступными для экспорта.
Экспорт личного ключа — рискованная операция, поскольку ключом могут завладеть посторонние лица. Поэтому PKCS #12 является единственным форматом, который Microsoft поддерживает для экспорта сертификатов и связанных с ними личных ключей.

  • Cryptographic Message Syntax Standard (Криптографический стандарт на синтаксис сообщений) (PKCS #7)

Определяет общий синтаксис данных и дает рекомендации по шифрованию, цифровым подписям и цепочкам сертификатов. PKCS #7 определяет точный формат, в котором данные шифруются или подписываются, а также то, как определяются алгоритмы шифрования.
PKCS #7 позволяет передавать сертификат и все сертификаты в пути сертификата с одного компьютера на другой или с компьютера на съемный диск. Имена файлов сертификатов имеют расширение р7Ь.

  • DER Encoded Binary X.509

Формат могут использовать центры сертификации, находящиеся не на серверах Windows. Имена файлов сертификатов имеют расширение сеr.

  • Base64 Encoded X. 509

Данный формат могут применять ЦС, находящиеся не на серверах Windows, — например, ЦС, использующие программное обеспечение Netscape. Имена файлов сертификатов имеют расширение сеr.

Внимание

Напомним, что экспорт сертификатов — одна из важнейших операций при использовании шифрующей файловой системы EFS, особенно при отсутствии агентов восстановления!

Установка центра сертификации

Центр сертификации (ЦС) — важный элемент в системе безопасности организации, поэтому в большинстве организаций имеется собственный ЦС. В Windows Server 2003 центры сертификации могут быть двух классов: ЦС предприятия (Enterprise СА) и изолированный ЦС (Stand-alone CA). Внутри каждого класса могут быть два типа ЦС: корневой (root) и подчиненный (subordinate).
В большинстве случаев центры сертификации организованы в иерархическом порядке, где наиболее доверяемый, или корневой, центр находится на вершине иерархии. В корпоративной сети все остальные ЦС в иерархии являются подчиненными. В корпоративной сети ЦС предприятия имеет максимальное доверие. ЦС предприятия имеют специальный модуль политик, который определяет, как обрабатываются и выпускаются сертификаты. Информация политики из данного модуля хранится в Active Directory, поэтому для инсталляции ЦС предприятия сначала следует установить Active Directory. Изолированные ЦС имеют очень простой модуль политик и не хранят никакой информации на удаленном сервере, поэтому для инсталляции данного центра не требуется наличия Active Directory.
Для развертывания собственного ЦС:
1. Выберите на панели управления значок Add or Remove Programs (Установка и удаление программ).
2. В открывшемся окне нажмите кнопку Add/Remove Windows Components (Добавление и удаление компонентов Windows).
3. В окне мастера Windows Components Wizard (Мастер компонентов Windows) установите флажок Certificate Services (Службы сертификации) (при этом система предупредит вас о последствиях установки этих служб) и нажмите кнопку Next (Далее).
4. На следующей странице мастера необходимо выбрать тип ЦС. Существуют четыре типа ЦС:

  • Enterprise root СА (Корневой ЦС предприятия) — установите переключатель в это положение, если данный ЦС будет выпускать сертификаты для всех устройств, подключенных к сети в организации, и будет зарегистрирован в Active Directory. Данный ЦС является корнем в корпоративной иерархии ЦС и может устанавливаться только на контроллере домена. Обычно корневой ЦС предприятия выпускает сертификаты только для подчиненных ЦС;
  • Enterprise subordinate СА (Подчиненный ЦС предприятия) — если у вас уже установлен корневой ЦС предприятия, выберите это положение переключателя. Однако данный ЦС не имеет наивысшего доверия в организации, поскольку он подчиняется корневому ЦС. Может устанавливаться только на контроллере домена;
  • Stand-alone root CA (Изолированный корневой ЦС) — данный ЦС устанавливается для выпуска сертификатов за пределами корпоративной сети. Например, требуется установить изолированный корневой ЦС, если этот ЦС не будет участвовать в корпоративном домене и будет выпускать сертификаты для узлов во внешних сетях. Корневой ЦС обычно используется для выпуска сертификатов для подчиненных ЦС;
  • Stand-alone subordinate CA (Изолированный подчиненный ЦС) — подчиненный ЦС, который выпускает сертификаты для узлов за пределами корпоративной сети.

5. Если вы собираетесь изменить параметры шифрования по умолчанию, установите флажок Use custom setting to generate the key pair and CA certificate (Использовать специальные параметры для генерации пары ключей и сертификата ЦС).
6. Нажмите кнопку Next.
7. Укажите имя ЦС и срок действия сертификатов. Введите необходимую информацию и нажмите кнопку Next.
8. Укажите папку на локальном или общем диске для хранения сертификатов и нажмите кнопку Next.
9. По окончании процедуры инсталляции нажмите кнопку Finish (Готово).

Управление центром сертификации

После инсталляции центра сертификации можно запустить управляющую оснастку Certification Authority. Для этого в меню Administrative Tools выполните команду Certification Authority. В окне оснастки (рис. 22.11) можно просматривать списки сертификатов, а также работать с шаблонами сертификатов. В системах Windows Server 2003 шаблоны сертификатов можно создавать и модифицировать, для чего имеется специальная оснастка — Certificate Templates.

Рис. 22.11. Окно оснастки Certification Authority


Восстановление системы

  • Восстановление системы
  • Предотвращение сбоев в работе Windows Server 2003
    • Ведение журнала справочной информации
    • Регулярное выполнение профилактических процедур
    • Изготовление загрузочных дискет
  • Обзор средств защиты от сбоев и восстановления поврежденной системы
  • Защита системных файлов
    • Защита системных файлов (Windows File Protection)
    • Проверка системных файлов (System File Checker)
    • Верификация цифровой подписи файлов (File Signature Verification)
    • Возможности отката драйверов (Driver Rollback)
  • Безопасный режим загрузки (Safe mode)
  • Процедуры резервного копирования и восстановления
    • Резервное копирование системных файлов
    • Восстановление системных данных
    • Подготовка к процессу автоматического восстановления системы
    • Выполнение процесса аварийного восстановления с помощью резервной копии ASR
    • Воссоздание утерянной дискеты ASR
  • Консоль восстановления (Recovery Console)
    • Способы запуска Recovery Console
    • Запуск Recovery Console из программы Windows Server 2003 Setup
    • Установка Recovery Console на жесткий диск
    • Удаление Recovery Console
    • Использование Recovery Console

Восстановление системы

Несмотря на то, что Windows Server 2003 по надежности и отказоустойчивости превосходит все предшествующие версии Windows, давайте посмотрим на веши реально: поскольку проблемы с загрузкой возможны при работе с любой операционной системой, то и Windows Server 2003 не является исключением из общего правила. Несмотря на новое название, эта операционная система является логическим продолжением семейства операционных систем Windows NT/2000/XP, и по этой причине в процессе загрузки Windows Server 2003 могут возникать некоторые проблемы, с которыми сталкивались пользователи этих операционных систем. В частности, возникновение проблем может быть вызвано:

  • сбоями в работе жесткого диска или ошибками в работе контроллера жесткого диска;
  • сбоями в подаче электропитания;
  • некорректно работающими приложениями и плохо написанными драйверами устройств;
  • вирусной атакой;
  • ошибками пользователей (человеческий фактор никогда не следует сбрасывать со счетов).

Поэтому, несмотря на существенное повышение надежности системы и ее отказоустойчивости, проблемы все равно возможны, и к их устранению надо быть готовым.
В этой главе описываются превентивные меры, которые любой опытный пользователь должен предпринимать в целях устранения неполадок в работе Windows Server 2003, рассматриваются встроенные средства операционной системы по обеспечению ее надежности и отказоустойчивости, а также приводятся инструкции по восстановлению системы и данных в случае возникновения проблем с загрузкой и других неполадок.

Предотвращение сбоев в работе Windows Server 2003

Следует еще раз отметить, что нет операционных систем, абсолютно защищенных от сбоев. Однако предусмотрительный пользователь имеет возможность свести до минимума риск потери данных в случае сбоя и существенно упростить процедуру восстановления поврежденной системы, выполнив ряд подготовительных операций.
Восстановить поврежденную систему в кратчайшие сроки и с минимальными потерями будет существенно проще, если выполнены следующие рекомендации:

  • в вашем распоряжении имеется точная и достоверная информация об аппаратной конфигурации восстанавливаемого компьютера и установленном на нем программном обеспечении;
  • вы регулярно проводите плановые процедуры по профилактическому обслуживанию техники;
  • вы разработали четкий план резервного копирования и регулярно выполняете все процедуры, предусмотренные этим планом, включая полное резервное копирование содержимого локальных жестких дисков, а также создание резервных копий всех системных файлов и всех данных, имеющих принципиальное значение. Как минимум, процедура резервного копирования критически важных системных файлов должна выполняться каждый раз перед внесением изменений в конфигурацию операционной системы.

Примечание

Конкретный план резервного копирования зависит от ваших специфических потребностей. Однако его разработка в обязательном порядке должна включать следующие шаги:
1. Выбор и приобретение устройства резервного копирования. В частности, перед приобретением устройства рекомендуется проанализировать его надежность, быстродействие, емкость, стоимость (с учетом затрат на приобретение необходимого количества съемных носителей), а также совместимость с Windows Server 2003. Поддерживаемые устройства должны быть перечислены в списке совместимых аппаратных средств (HCL), последнюю версию которого можно найти по адресу http://www.microsoft.com/hwdq/hcl/.
2. Тщательное тестирование как устройства резервного копирования, так и используемого для резервного копирования программного обеспечения.
3. Определение необходимого количества носителей и выработка расписания операций резервного копирования.

Ведение журнала справочной информации

Как уже упоминалось, аварийные ситуации необходимо предвидеть, и на случай их возникновения жизненно важно иметь точную и достоверную информацию об аппаратной конфигурации компьютера и установленном на нем программном обеспечении. Администраторам сетей, в чьи обязанности входит обеспечение работоспособности всех подключенных к сети компьютеров, рекомендуется завести специальный журнал, в котором будет фиксироваться вся информация об аппаратной и программной конфигурации каждого из компьютеров.
Сопроводительную документацию, полученную от поставщика в комплекте с вашим компьютером, храните таким образом, чтобы в нужный момент она всегда была под рукой. Эта документация может оказаться неоценимым подспорьем при устранении проблем, возникающих уже на стадии самотестирования при включении (POST).
В отношении программной конфигурации Microsoft официально рекомендует регистрировать следующую информацию:

  • сведения о конфигурации жестких дисков, в том числе расположении и размерах каждого раздела и каждого логического диска;
  • информацию обо всех установленных на компьютере операционных системах и разделах, на которых они установлены;
  • информацию о дополнительном программном обеспечении, установленном на компьютере.

Регулярное выполнение профилактических процедур

Регулярное выполнение плановых профилактических процедур позволит предотвратить возможные проблемы или свести к минимуму их последствия. Наиболее общие рекомендации по их выполнению приведены ниже.

  • Довольно часто причиной некорректной работы системы или даже проблем с ее загрузкой может быть перезапись системного файла или же несовместимый драйвер. Обычно это происходит во время установки дополнительного программного обеспечения, несовместимого с операционной системой. Эта проблема существовала в Windows NT 4.0 и во всех более ранних версиях Windows NT. С выходом Windows 2000 были введены дополнительные средства защиты системных файлов и драйверов с помощью цифровой подписи, которая гарантирует их совместимость с операционной системой и корректную работу. В Windows XP и Windows Server 2003, в дополнение к существующим средствам защиты драйверов и системных файлов, появились новые функциональные возможности, такие как Driver Rollback. Во избежание возникновения проблем рекомендуется пользоваться этими средствами, которые будут подробно описаны далее в этой главе.
  • Выполнение резервного копирования системных конфигурационных файлов, в том числе и реестра перед каждым внесением серьезных конфигурационных изменений в систему (включая установку новых устройств или нового программного обеспечения), должно быть привычкой каждого пользователя. Весьма желательно также иметь работоспособную резервную копию всех важных данных. Подробные инструкции по выполнению этих операций будут приведены далее.
  • Рекомендуется ежедневно просматривать журналы системных событий (как минимум, журналы system и application). В особенности обращайте внимание на ошибки, генерируемые драйвером Ftdisk и драйверами жестких дисков, т. к. они могут указывать на возможные повреждения файловой системы. Если эта рекомендация не выполняется, то ошибки файловой системы могут остаться незамеченными до тех пор, пока программа Chkdsk не укажет на их существование. Стоит отметить, что при этом возможна даже такая ситуация, когда поврежденные данные попадут и на резервную копию, поскольку программы резервного копирования (в том числе и встроенная программа Backup, включенная в состав Windows 2000, Windows XP и Windows Server 2003) не могут распознавать ошибки и повреждения в пользовательских данных.
  • Регулярно выполняйте проверку дисков для своевременного обнаружения ошибок файловой системы. Кроме того, рекомендуется регулярно проводить и дефрагментацию дисков, что позволит избежать проблем с низкой производительностью. Стоит дать отдельное предупреждение о том, что для дефрагментации следует применять только встроенные средства операционной системы или утилиты сторонних производителей, имеющие статус "designed for Windows". Информацию о программном обеспечении, тестировавшемся на совместимость с Windows XP и Windows Server 2003, в том числе и об утилитах дефрагментации дисков, можно найти по адресу http://www.microsoft.com.

Изготовление загрузочных дискет

Несмотря на то, что в составе Windows Server 2003 появились новые встроенные средства устранения неполадок с загрузкой, к числу которых относятся так называемый безопасный режим (safe mode) и консоль восстановления (Recovery Console), о которых речь пойдет далее в этой главе, в ряде случаев вам очень пригодится и загрузочная дискета. Разумеется, безопасный режим предоставляет удобное средство для устранения неполадок с загрузкой, например, в таких случаях, когда в системе установлен несовместимый или некорректно работающий драйвер устройства.
Однако в некоторых ситуациях опции безопасного режима не помогут. В частности, эта ситуация возникнет, если получит повреждение один из системных модулей или жизненно важный драйвер устройства, принадлежащий к минимальному набору драйверов, которые должны быть загружены в любом случае. Также подобная проблема возникнет, если повреждена, например, такая важная структура данных, как главная загрузочная запись (MBR). Для таких случаев в состав Windows 2000, Windows XP и Windows Server 2003 включено новое, мощное средство — Recovery Console (RC), которое будет обсуждаться далее в этой главе.
Однако, если опция запуска Recovery Console не включена в меню загрузчика, то для доступа к этому средству вам потребуется так или иначе запустить программу установки операционной системы (наиболее простым способом ее запуска является загрузка компьютера с дистрибутивного компакт-диска). Эти методы запуска Recovery Console являются "штатными" и официально рекомендуемыми. Однако, если имеющееся устройство CD-ROM не является загрузочным, в вашем распоряжении останется только загрузка компьютера с загрузочной дискеты с последующим запуском программы winnt32.exe.

Примечание

В Windows 2000 в распоряжении пользователей имелся еще один метод запуска Recovery Console — загрузка компьютера с помощью четырех загрузочных дискет Windows 2000. Однако загрузка с помощью установочных дискет занимает довольно много времени. По этой причине предлагаемый метод, пригодный как в Windows 2000, так и в Windows XP/Windows Server 2003, является предпочтительным.

Для изготовления загрузочной дискеты Windows 2000/XP/Windows Server 2003 выполните следующие операции:
1. Отформатируйте дискету, работая под управлением Windows 2000, Windows XP или Windows Server 2003.
2. Скопируйте на эту дискету следующие файлы:

  • Ntldr;
  • Ntdetect.com;
  • Boot.ini;
  • Bootsect.dos — если вы имеете мультизагрузочную систему и хотите обеспечить возможность загрузки с этой дискеты также для MS-DOS или Windows 9x/ME;
  • Ntbootdd.sys — если в файле Boot.ini применяется синтаксис scsi ().

Изготовленная таким образом загрузочная дискета поможет выполнить загрузку компьютера в следующих случаях:

  • повреждены главная загрузочная запись и/или загрузочный сектор раздела на системном разделе;
  • возникли проблемы с диском, на котором располагается системный раздел (загрузочный раздел находится на другом диске);
  • вы выполняете переконфигурирование жестких дисков и хотите обеспечить возможность запуска Windows NT/2000/XP или Windows Server 2003 в случае возникновения проблем.

Обзор средств защиты от сбоев и восстановления поврежденной системы

Если процедура POST завершилась успешно, то аппаратные средства компьютера инициализировались корректно. Если при этом в процессе загрузки Windows Server 2003 все же происходит сбой, возможно, что проблема вызвана одной из следующих причин:

  • проблемы с жестким диском, на котором находится системный раздел (загрузочный раздел может находиться на другом диске);
  • повреждение главной загрузочной записи (Master Boot Record, MBR) или загрузочного сектора на системном разделе;
  • отсутствие или повреждение одного из файлов, необходимых для загрузки операционной системы.

В составе Windows Server 2003 имеется целый арсенал средств, позволяющих выполнить восстановление поврежденной системы. Основные из средств обеспечения отказоустойчивости и предотвращения сбоев перечислены ниже.

  • Средства защиты системных файлов цифровой подписью. С появлением Windows 2000 в составе операционной системы появился набор средств, позволяющих гарантировать защиту системных файлов и драйверов устройств от их случайной замены при установке дополнительного программного обеспечения. Во всех предыдущих версиях Windows системные файлы, в том числе динамически загружаемые библиотеки (*.dll) и исполняемые файлы (*.ехе), не имели такой защиты. При их замене некорректно работающей или несовместимой версией были возможны самые разнообразные последствия — от снижения общей производительности системы до ее катастрофического сбоя. Набор средств защиты файлов цифровой подписью включает в свой состав такие средства, как зашита системных файлов (Windows File Protection, WFP), проверка системных файлов (System File Checker, SFC) и верификация цифровой подписи файлов (File Signature Verification, FSV). В Windows XP эти функциональные возможности были расширены за счет включения еще одного чрезвычайно полезного и удобного средства — возможности отката драйверов (Driver Rollback). Теперь, если после установки обновленного драйвера устройства операционная система станет работать нестабильно, пользователю будет предоставлена возможность вернуть ее в исходное состояние путем замены драйвера на предыдущую версию.
  • Безопасный режим загрузки (Safe mode). Эта опция, напоминающая аналогичную опцию загрузки Windows 95/98/ME, также была впервые введена в Windows 2000. В Windows XP и продуктах из семейства Windows Server 2003 возможности безопасного режима загрузки были расширены и усовершенствованы, что выгодно отличает эту операционную систему не только от предыдущих версий Windows NT, но и от Windows 2000. При использовании безопасного режима система загружается с минимальным набором драйверов устройств и сервисов. Использование безопасного режима предоставляет средства быстрого восстановления системы после сбоев, вызванных некорректной установкой нового программного обеспечения или драйверов устройств. Однако применение безопасного режима загрузки помогает не во всех случаях. Так, она оказывается практически бесполезной, если повреждены системные файлы, а также в случаях повреждения жесткого диска. Более подробная информация об опциях загрузки в безопасном режиме будет приведена далее в этой главе.
  • Автоматическое восстановление системы (Automated System Recovery, ASR). ASR представляет собой двухступенчатую систему восстановления, которая позволяет выполнить восстановление операционных систем Windows ХР и Windows Server 2003 с использованием файлов резервной копии, сохраненных на жестком диске или съемном носителе и конфигурационной информации жесткого диска, сохраненной на дискете. Функция ASR замещает собой диск аварийного восстановления (Emergency Repair Disk, ERD), использовавшийся для аварийного восстановления системы в Windows NT 4.0 и Windows 2000. Подготовка и проведение аварийного восстановления системы будут подробно рассмотрены далее в этой главе. Здесь же следует подчеркнуть, что это средство позволит вам восстановить поврежденную операционную систему в тех случаях, когда все остальные методы восстановления эффекта не дадут (например, если повреждение жесткого диска не позволяет запустить Windows Server 2003 ни в нормальном, ни в безопасном режиме, а также использовать Recovery Console или конфигурацию Last Known Good).
  • Консоль восстановления (Recovery Console). Функции Recovery Console предоставляют интерфейс командной строки, с помощью которого можно выполнить восстановление поврежденной системы. Консоль восстановления является функциональной возможностью, впервые введенной в Windows 2000. С помощью Recovery Console можно активизировать и блокировать запуск сервисов, восстанавливать поврежденные главные загрузочные записи и загрузочные секторы разделов, а также выполнять замену поврежденных системных файлов их работоспособными копиями. Эта функциональная возможность предоставляет максимум возможностей по управлению процессом восстановления, и поэтому доступна только пользователям, имеющим административные права в восстанавливаемой системе. Синтаксис команд Recovery Console будет подробно обсуждаться ниже в этой главе.

Все эти средства подробно описаны в данной главе.

Примечание

В Windows XP, кроме функций, перечисленных выше, имеется также средство восстановления системы (System Restore), позаимствованное из Windows Millennium Edition. Будучи активизированной, эта функция периодически сохраняет системную информацию в автоматическом режиме, не требуя вмешательства пользователя. Поскольку в состав Windows Server 2003 эта функция не включена, мы ее не будем здесь рассматривать.

Защита системных файлов

Все системные файлы и драйверы в Windows XP и Windows Server 2003 защищены с помощью цифровой подписи. Это сделано, чтобы гарантировать их совместимость с операционной системой. Цифровая подпись Microsoft гарантирует, что файл, подписанный ею, тестировался на совместимость с Windows XP или Windows Server 2003 в лабораториях WHQL (Windows Hardware Quality Labs) и не был модифицирован или переписан во время установки дополнительного программного обеспечения.
Windows XP и Windows Server 2003 выполняют проверку наличия цифровой подписи для драйверов следующих типов устройств:

  • клавиатуры
  • сетевых адаптеров
  • контроллеров жестких дисков
  • принтеров
  • модемов
  • адаптеров SCSI
  • мыши
  • устройств чтения смарт-карт
  • мультимедийных устройств
  • видеоадаптеров

В зависимости от установленных опций настройки, Windows может либо игнорировать драйверы, не имеющие цифровой подписи, либо выводить предупреждение при обнаружении таких драйверов (эта опция используется по умолчанию), или же просто не допускать их установки. Чтобы установить опции защиты системных файлов в Windows XP и продуктах из семейства Windows Server 2003, проделайте следующее:
1. Вызовите опцию System на панели управления и в раскрывшемся диалоговом окне System Properties перейдите на вкладку Hardware (рис. 23.1).
2. Нажмите кнопку Driver Signing. На экране появится диалоговое окно Driver Signing Options (Опции подписанных драйверов), показанное на рис. 23.2. В этом окне имеется группа переключателей What action do you want Windows to take? (Какие действия в отношении неподписанных драйверов должна предпринимать Windows?), позволяющая установить следующие опции:

  • если установлен переключатель Ignore - Install the software anyway and don't ask for my approval (Игнорировать — устанавливать программное обеспечение, не запрашивая подтверждения), то система даст возможность устанавливать любые драйверы и системные файлы, игнорируя наличие или отсутствие у них цифровой подписи. Как уже упоминалось, отсутствие у драйвера или системного файла цифровой подписи указывает на то, что его совместимость с Windows XP/Windows Server 2003 официально не подтверждена, и он, возможно, станет источником проблемы;

Рис. 23.1. Вкладка Hardware диалогового окна System Properties

  • если установлен переключатель Warn - Prompt me each time to choose an action (Предупреждать — запрашивать подтверждения при каждой попытке установки неподписанного файла), то система будет выводить предупреждающие сообщения при попытке установить драйвер или системный файл, не имеющий цифровой подписи (рис. 23.3). Обратите внимание, что, несмотря на вывод предупреждения, драйвер, тем не менее, будет установлен. Стоит отметить, что возможны и такие ситуации, когда Microsoft еще не имеет программы сертификации для устройств, которые вы попытаетесь установить (рис. 23.4). В особенности это относится к новым типам устройств, появившимся на рынке относительно недавно и еще не получившим широкого распространения. Тем не менее, практически все такие устройства (портативные накопители, инфракрасные порты, цифровые фотокамеры, Bluetooth-адаптеры и т. д.) устанавливаются без проблем и прекрасно работают — проверено личной практикой;
  • если установлен переключатель Block - Never install unsigned driver software (Блокировать — никогда не устанавливать драйверов, не имеющих цифровой подписи), то драйверы, не имеющие цифровой подписи, устанавливаться не будут.

Рис. 23.2. Диалоговое окно Driver Signing Options с установками по умолчанию

Примечание

Пользователи, зарегистрировавшиеся в системе от имени администратора (Administrator) или являющиеся членами локальной группы Administrators, имеют возможность установить режим, при котором выбранная ими опция будет применяться как опция по умолчанию для всех пользователей, регистрирующихся на данном компьютере. Для этого следует установить флажок Make this action the system default (Применять выбранное действие по умолчанию) в группе Administrator option (Административные опции).

Рис. 23.3. Окно с предупреждением о том, что устанавливаемый драйвер не имеет цифровой подписи

Рис. 23.4. Диалоговое окно Driver Signature Notice

Защита системных файлов (Windows File Protection)

Все версии Windows, предшествовавшие Windows 2000, имели один общий недостаток — при установке дополнительного программного обеспечения практически любые совместно используемые системные файлы, в том числе *.dll и *.ехе, могли быть изменены. Последствия замены этих файлов некорректными или несовместимыми версиями могли быть непредсказуемыми: от снижения производительности операционной системы до некорректного поведения остальных приложений, периодического появления ошибок STOP и даже проблем с загрузкой.
В Windows 2000 впервые за всю историю Windows была сделана попытка исправления этой ситуации. Разумеется, эта же функциональная возможность присутствует и в Windows ХР, а также в продуктах из семейства Windows Server 2003. Функция защиты системных файлов Windows (Windows File Protection, WFP) включает в свой состав следующие два компонента:

  • сервис защиты системных файлов (Windows File Protection service);
  • утилиту командной строки System File Checker (Sfc.exe).

Сервис Windows File Protection (WFP) работает по принципу определения цифровых подписей защищенных системных файлов (в их число входят файлы с расширениями sys, dll, ocx, ttf, fon и ехе), не позволяя произвольно модифицировать и замещать эти файлы. Сервис Windows File Protection работает в фоновом режиме и защищает все системные файлы, установленные программой Setup при инсталляции операционной системы. Выявив попытку изменения или перемещения защищенного файла, WFP проверяет измененный файл на наличие у него цифровой подписи. В случаях, когда версия, предназначенная на замену, не является корректной, Windows File Protection замещает этот файл резервной копией из папки %SystemRoot% \system32\dllcache и регистрирует попытку замещения файла в журнале системных событий.

Примечание

Папка %SystemRoot%\System32\Dllcache может быть достаточно объемной и занимать до 300 Мбайт дискового пространства. По этой причине некоторые пользователи, в целях освобождения дополнительного дискового пространства, удаляют эту папку вместе со всем ее содержимым. Если дополнительный объем дискового пространства для вас актуален, вы тоже можете поступить таким образом. Однако при этом следует иметь в виду, что если сервис WFP не сможет обнаружить надлежащей версии файла в папке %SystemRoot%\system32\dllcache, то вам будет предложено вставить дистрибутивный компакт-диск в устройство CD-ROM или указать путь к каталогу, из которого такая версия может быть скопирована.

По умолчанию функция WFP всегда активизирована и позволяет выполнять замену системных файлов только в случае установки следующих видов программного обеспечения:

  • сервисных пакетов Windows 2000/XP и Windows Server 2003 (с использованием программы Update.exe);
  • дистрибутивных пакетов типа Hotfix (с использованием Hotfix.exe);
  • обновлений версии операционной системы (с помощью Winnt32.exe);
  • программного обеспечения с сайта Windows Update.

Проверка системных файлов (System File Checker)

В состав Windows 2000, Windows XP и Windows Server 2003 включено средство проверки системных файлов — System File Checker (Sfc.exe), которое представляет собой утилиту командной строки. Данная утилита сканирует все установленные системные файлы и выполняет проверку их версий. Если эта утилита обнаружит, что один из защищаемых системных файлов был замещен, она найдет корректную версию этого файла в каталоге %SystemRoot%\systern32\dllcache и запишет ее вместо измененного файла.
Эта утилита командной строки имеет следующий синтаксис: SFC [/SCANNOW] [/SCANONCE] [/SCANBOOT] [/REVERT] [/PURGECACHE] [/CACHESIZE=X]
где:
/SCANNOW — параметр, при использовании которого выполняется немедленное сканирование всех защищаемых системных файлов;
/SCANONCE — параметр, указывающий на необходимость однократного сканирования всех защищаемых системных файлов;
/SCANBOOT — параметр, задающий опцию сканирования всех защищаемых системных файлов при каждой перезагрузке;
/REVERT — установить для параметров сканирования значения, принятые по умолчанию;
/PURGECACHE — очищает файловый кэш System File Protection;
/CACHESIZE=X — устанавливает размер файлового кэша Windows File Protection (в мегабайтах). С помощью этой опции можно уменьшать или увеличивать объем дискового пространства, выделяемый для хранения кэшированных версий защищаемых системных файлов в папке %SystemRoot%\system32\dllcache.

Примечание

Чтобы иметь возможность работы с утилитой sfc.exe, необходимо зарегистрироваться на компьютере как администратор или как пользователь, являющийся членом группы Administrators.
Если содержимое папки %SysfemRoot%\system32\dllcache окажется поврежденным, то вы сможете восстановить его, запустив команду sfc /scannow, sfc /scanonce или sfc /scanboot.

Верификация цифровой подписи файлов (File Signature Verification)

Как уже говорилось, в некоторых случаях установка нового программного обеспечения приводит к замещению системных файлов некорректными или несовместимыми версиями (которые, естественно, не имеют цифровой подписи). Такая замена, как уже неоднократно упоминалось, как раз и может послужить источником возможных проблем с нестабильностью системы (в том числе ошибок типа "синий экран" и проблем с загрузкой Windows XP/ Windows Server 2003).
Во избежание такого рода проблем все системные файлы, устанавливаемые в процессе инсталляции Windows XP или Windows Server 2003, снабжены цифровой подписью Microsoft. Если системный файл имеет такую подпись, это может служить гарантией его совместимости с операционной системой и указывает на то, что данный файл либо представляет собой оригинальную версию, разработанную Microsoft, либо прошел тестирование и признан пригодным для использования с Windows XP/Windows Sewer 2003. Использование средства верификации цифровой подписи файлов позволяет идентифицировать все установленные на проверяемом компьютере файлы, не имеющие цифровой подписи, и получить об этих файлах следующую информацию:

  • имя файла и точный путь к нему;
  • дату модификации файла;
  • тип файла и точный номер его версии.

Чтобы запустить средство верификации цифровых подписей файлов, нажмите кнопку Start, из раскрывшегося меню выберите команду Run и введите команду sigverif.
Максимальную практическую пользу при устранении проблем, связанных с заменой системных файлов некорректными версиями, можно получить, регистрируя информацию, собранную программой Sigverif, в файле журнала. Для этой цели проделайте следующее:
1. Запустите программу Sigverif, и в появившемся на экране окне File Signature Verification (Верификация подписи файлов) (рис. 23.5) нажмите кнопку Advanced (Дополнительно).
2. В раскрывшемся диалоговом окне Advanced File Signature Verification Settings (Дополнительные параметры верификации подписей файлов) перейдите на вкладку Logging (Журнал) (рис. 23.6) и установите флажок Save the file signature verification results to a log file (Сохранять результаты проверки в файле журнала).
3. Перейдите в группу Logging options (Опции журнала), где имеется возможность установить по выбору следующие опции ведения файла журнала:

  • Append to existing log file (Добавлять новые записи в конец существующего файла) — если установить этот переключатель, то результаты новой операции поиска будут добавлены в конец существующего файла журнала;
  • Overwrite existing log file (Перезаписывать существующий файл) — если выбран этот переключатель, то результаты новой операции сканирования заместят существующий файл журнала;
  • В поле Log file name (Имя файла журнала) можно вручную ввести имя файла журнала.

Рис. 23.5. Окно File Signature Verification

Рис. 23.6. Вкладка Logging окна Advanced File Signature Verification Settings

4. Нажмите кнопку ОК. Вы вернетесь в окно File Signature Verification. Чтобы начать операцию сканирования, нажмите в этом окне кнопку Start. Степень завершенности процесса сканирования будет отражаться индикатером Scanning files (Сканирование файлов). Для отмены сканирования нажмите кнопку Stop. По завершении процесса сканирования на экране появится окно Signature Verification Results (Результаты сканирования) (рис. 23.7), в котором будет отображен список всех обнаруженных файлов, не имеющих цифровой подписи.

Рис. 23.7. Окно Signature Verification Results

Возможности отката драйверов (Driver Rollback)

В дополнение к средствам обеспечения отказоустойчивости, появившимся в Windows 2000, системы Windows XP и Windows Server 2003 предлагают еще одно удобное новшество — возможности отката драйверов (Driver Rollback). Довольно часто такие проблемы, как аппаратные конфликты, нестабильное поведение системы, неправильная работа устройств и даже ошибки STOP бывают вызваны некорректным драйвером. Стоит ли говорить, что в такой ситуации весьма желательно было бы иметь возможность быстрой замены проблемного драйвера на предыдущую версию без переустановки системы.
Функция Driver RollBack оказывается просто незаменимой при устранении неполадок, а также при отладке бета-версий драйверов. Например, если после установки обновленного драйвера при загрузке появляется сообщение STOP, вы имеете возможность попытаться загрузить систему в безопасном режиме и произвести откат драйвера.
Чтобы воспользоваться функцией отката драйверов, проделайте следующее:
1. Вызовите опцию System на панели управления, перейдите на вкладку Hardware и нажмите кнопку Device Manager (Менеджер устройств).
2. Выполните щелчок правой кнопкой мыши, указав на устройство, обновленный драйвер которого вызывает проблему, и выберите из контекстного меню команду Properties.
3. В раскрывшемся диалоговом окне свойств выбранного устройства перейдите на вкладку Driver (Драйвер) (рис. 23.8). Нажмите кнопку Roll Back Driver (Откат драйвера).

Рис. 23.8. Вкладка Driver диалогового окна свойств аппаратного устройства (на примере сетевого адаптера)

Рис. 23.9. Уведомление о невозможности отката драйвера

4. Менеджер устройств предложит вам подтвердить намерение выполнить откат драйвера. Нажмите кнопку Yes. Если старая версия драйвера недоступна, функция Driver Roll Back выведет окно с уведомлением (рис. 23.9) и предложит воспользоваться другими средствами устранения неполадок.

Безопасный режим загрузки (Safe mode)

Загрузчик Windows Server 2003 (NTLDR) отображает на экране меню, из которого можно выбрать запускаемую операционную систему (см. главу 3 "Загрузка операционной системы"). Если при появлении меню загрузки нажать клавишу <F8>, то на экране появится меню опций отладки и дополнительных режимов загрузки, которое будет оставаться на экране до тех пор, пока не будет выбрана одна из опций.
При загрузке в безопасном режиме (safe mode) Windows использует стандартные параметры настройки (монитор VGA, без запуска сетевых средств, с запуском минимального количества драйверов — фактически запускаются только драйверы, минимально необходимые для запуска Windows). Например, если после инсталляции нового программного обеспечения Windows XP или Windows Server 2003 перестали запускаться, то вполне возможно, что загрузка в безопасном режиме позволит выполнить запуск операционной системы с минимальным количеством сервисов и драйверов. После загрузки вы сможете изменить параметры настройки компьютера, не позволяющие выполнить корректную загрузку Windows, или удалить программное обеспечение, вызвавшее эти проблемы.
Если вы имеете некоторый опыт работы с Windows NT 4.0, то наверняка знаете, что в этой системе проблемы с загрузкой чаще всего вызывались некорректно работающими драйверами устройств. Такие несовместимые драйверы могли привести к краху системы либо сразу же после инсталляции, либо даже после некоторого времени, в течение которого их работа на первый взгляд казалась корректной. Причем вторая ситуация, когда драйвер в течение некоторого времени все же работал, не вызывая никаких проблем, всегда была более труднообъяснимой (а в самом деле, что же могло вызвать ошибку?). При этом, хотя на первый взгляд и кажется, что нет причин, которые могли бы хоть как-то объяснить это непредсказуемое поведение, причины этому все же есть. Заключаются они в том, что как программная, так и аппаратная конфигурация компьютера со временем могут меняться, а эти изменения могут спровоцировать ошибки, допущенные при проектировании драйвера и оставшиеся незамеченными. Windows 2000/XP и Windows Server 2003, как и Windows NT 4.0, тоже могут быть выведены из строя установкой несовместимого драйвера. Однако загрузка в безопасном режиме (safe mode), концепция которого была позаимствована из Windows 9x, предоставляет более удобные средства быстрого восстановления системы после подобных ошибок, нежели Windows NT 4.0.
Если несовместимый драйвер вызывает проблему при первой же перезагрузке, то вам очень повезло, потому что, как правило, в этом случае вам действительно поможет опция Last Known Good Configuration. Когда пользователь выбирает из меню безопасного режима эту опцию, система при загрузке использует информацию ключа реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlset и восстановит всю конфигурационную информацию, сохраненную после того, как компьютер в последний раз был успешно загружен.

Примечание

Опция Last Known Good Configuration в Windows XP и Windows Server 2003 претерпела незаметное на первый взгляд, но весьма полезное усовершенствование. В отличие от Windows NT/2000, Windows XP и Windows Server 2003 перед обновлением набора установленных драйверов выполняют его резервное копирование. Опция Last Known Good Configuration, в дополнение к восстановлению информации реестра, выполнит также и восстановление драйверов, использовавшихся при последней успешной регистрации пользователя в системе. Таким образом, теперь эта опция поможет вам восстановить систему с конфигурационными проблемами в тех ситуациях, когда аналогичная опция Windows NT/2000 оказывалась бесполезной.

В ряде случаев, если использование опции Last Known Good Configuration не помогло, но вам известен драйвер, вызвавший проблему (список таких драйверов можно получить с помощью утилиты Sigverif, описанной ранее в этой главе), то вы можете попробовать другие способы быстрого восстановления. Например, можно попытаться использовать такие опции меню безопасного режима, как Safe Mode, Safe Mode with Networking или Safe Mode with Command Prompt. Как уже говорилось, при использовании этих опций Windows 2000, Windows XP и Windows Server 2003 загружаются с использованием минимального набора драйверов и сервисов. После загрузки системы вы сможете удалить из системы проблемный драйвер с помощью штатных средств операционной системы. Особое внимание пользователей Windows XP/Windows Server 2003 следует обратить на уже обсуждавшуюся ранее в этой главе возможность отката драйверов (Driver Rollback), которая может применяться как при нормальном режиме загрузки, так и в безопасном режиме.
Если системный и загрузочный раздел отформатированы для использования файловой системы FAT, можно попытаться загрузить компьютер с помощью загрузочной дискеты MS-DOS (или Windows 9х) и вручную удалить или переименовать файл проблемного драйвера.

Процедуры резервного копирования и восстановления

Как и в предыдущих версиях Windows NT/2000, официально рекомендуемым методом резервного копирования и восстановления данных в Windows XP и Windows Server 2003 является использование встроенной утилиты Backup.
Однако, если в Windows NT 4.0 эта программа имела ряд весьма существенных ограничений, к числу которых относились необходимость наличия в локальной системе совместимого с Windows NT ленточного устройства и весьма ограниченный список таких устройств, то в версии программы Backup, входящей в состав Windows 2000, эти недостатки были устранены. Новая версия программы обеспечивает поддержку различных видов носителей резервной копии, что позволяет выполнять резервное копирование на любое устройство хранения информации, поддерживаемое операционной системой. К числу таких устройств относятся любые гибкие или жесткие диски, магнитооптические накопители и другие устройства, а не только стримеры.

Примечание

Windows XP и Windows Server 2003, как и следовало ожидать, вводят технологические усовершенствования и в этой области. К числу таких усовершенствований относится и технология моментальных снимков тома (volume shadow сору), которая позволяет создать "моментальный снимок" жесткого диска на момент начала резервного копирования. В процессе резервного копирования будет использоваться этот "моментальный снимок" (остающийся неизменным), а не фактическое содержимое жесткого диска (которое в ходе резервного копирования может изменяться). Эта технология предоставляет особые преимущества тем пользователям, которым необходимо продолжать работу в ходе выполнения резервного копирования, т. к. она позволяет существенно сократить время, требующееся на завершение процесса резервного копирования. При этом приложение Backup может выполнять резервное копирование открытых файлов, с которыми на данный момент работает пользователь. Обратите внимание, что в Windows 2000 файлы, открытые на момент выполнения резервного копирования, исключались из резервной копии.

Чтобы вызвать программу Backup в Windows XP или Windows Server 2003, выберите из меню Start команды All Programs | Accessories | System Tools | Backup (разумеется, в случае частого использования этой программы для нее можно создать ярлык на рабочем столе). Помимо этого традиционного способа, вызов программы Backup можно осуществить и через контекстное меню, выводимое по нажатию правой кнопки мыши. Для этого в окнах Windows Explorer или My Computer укажите курсором на диск, для которого требуется выполнить резервное копирование, выполните щелчок правой кнопкой мыши и выберите из раскрывшегося меню команду Properties. В появившемся диалоговом окне перейдите на вкладку Tools и нажмите кнопку Backup Now (рис. 23.10).

Примечание

Перед резервным копированием рекомендуется выполнить проверку файловой системы диска, чтобы полученная резервная копия была качественной и работоспособной. Следует помнить, что программы резервного копирования (в том числе и программа Backup, включенная в состав Windows XP или Windows Server 2003), не могут распознавать ошибки и повреждения в пользовательских данных. Обратите внимание, что при применении этого метода операцию проверки выполнять очень удобно — просто нажмите кнопку Check Now, расположенную на этой же вкладке.

Рис. 23.10. Вкладка Tools диалогового окна свойств диска позволяет быстро выполнить резервное копирование всех файлов, расположенных на этом диске

Резервное копирование системных файлов

Помимо множества новых и чрезвычайно удобных функций программа Backup позволяет выполнить процедуру резервного копирования всех системных файлов. Чтобы упростить процедуру восстановления после сбоев, резервное копирование рекомендуется выполнять регулярно. Сделать это можно двумя различными способами. Первый способ заключается в использовании мастера Backup wizard (Мастер резервного копирования), который можно вызвать, выбрав переключатель Back up files and settings во втором окне программы Backup, работающей в режиме мастера, или выбрав команду Backup Wizard из меню Tools. Пользоваться этим методом рекомендуется начинающим пользователям, не имеющим достаточного опыта в работе с системой.
Помимо использования мастера, процедуру резервного копирования можно выполнить и вручную. Для этого вызовите программу Backup в расширенном режиме (Advanced Mode), перейдите на вкладку Backup и вручную выберите из списка дисков, файлов и папок, подлежащих резервному копированию, опцию System State (Состояние системы) (рис. 23.11).

Рис. 23.11. Чтобы системные конфигурационные файлы были включены в состав резервной копии, установите флажок System State; данный пример иллюстрирует сохранение состояния системы для контроллера домена

Примечание

Обратите внимание на то, что программа Backup не позволяет выполнить выборочное резервное копирование отдельных компонентов набора System State.

В списке Backup destination выберите ленточное устройство (если оно установлено на компьютере, и резервное копирование должно быть выполнено на ленту, вставленную в это устройство) или выберите опцию File (если резервное копирование должно выполняться в файл). Если компьютер не оснащен ленточным устройством, то опция File всегда будет выбрана по умолчанию. Если резервное копирование будет выполняться в файл, то в поле Backup media or file name укажите путь к файлу, в который будет выполняться резервное копирование (файлы резервных копий всегда имеют расширение bkf), или нажмите кнопку Browse, чтобы найти нужный файл. Если резервное копирование должно выполняться на ленту, выберите ленту, на которую будет выполняться резервное копирование. Дополнительные опции резервного копирования можно задать, выбрав команду Options из меню Tools. Чтобы начать процедуру резервного копирования, нажмите кнопку Start Backup (Начать копирование).

Рис. 23.12. Окно Backup Job Information

Рис. 23.13. Окно Advanced Backup Options

На экране появится окно Backup Job Information (рис. 23.12). Чтобы установить в этом окне дополнительные опции задания на резервное копирование, нажмите кнопку Advanced. Раскроется окно Advanced Backup Options (рис. 23.13). (Обратите внимание на состояние флажка Automatically backup System Protected Files with the System State!)
Краткий список опций, которые можно задать в окне Advanced Backup Options, приведен ниже.

  • Back up data that is in Remote Storage. Если эта опция установлена, то программа Backup выполнит резервное копирование данных, перенаправленных для службы Remote Storage.

Примечание

Восстанавливать данные Remote Storage можно только на тома NTFS. Кроме того, обратите внимание на то, что сервис Remote Storage доступен только для серверных продуктов (Windows 2000 Server и Windows Server 2003, Enterprise Edition).

  • Verify data after backup. При использовании этой опции программа Backup после завершения резервного копирования выполнит проверку соответствия скопированных данных и исходных данных. Обратите внимание, что Microsoft настоятельно рекомендует применять эту опцию, т. к. она позволяет гарантировать точность резервной копии и ее пригодность к использованию. Следует, правда, отметить, что установка этой опции может существенно увеличить время, необходимое для завершения операции резервного копирования.
  • If possible, compress the backup data to save space. Эта опция будет полезна, если резервное копирование выполняется на магнитную ленту. Обратите внимание на то, что аппаратное сжатие доступно только для ленточных устройств. По этой причине опция будет недоступна при выполнении резервного копирования в файл.
  • Automatically backup System Protected Files with the System State. Как уже отмечалось, вы не можете выполнять выборочного резервного копирования данных из набора System State. Однако Windows XP и продукты из семейства Windows Server 2003 предоставляют возможность одновременно с резервным копированием системных конфигурационных файлов выполнить резервное копирование всех защищенных файлов операционной системы (по сути, сделать архивную копию самой системы, что далеко не всегда нужно). По умолчанию эта опция активизирована, однако вы можете блокировать ее, сбросив данный флажок. Размер архива в этом случае будет, понятно, значительно меньше.

Примечание

Защищенные файлы операционной системы изменяются только в том случае, когда пользователь устанавливает пакеты обновления (Service Pack), приложения или выполняет обновление операционной системы. Как правило, эти файлы занимают существенный объем дискового пространства (около 180 Мбайт). Поэтому включать защищенные файлы операционной системы в состав резервной копии рекомендуется только в том случае, когда вы выполняли установку новых программ (т. к. в противном случае эти программы не будут корректно работать после восстановления данных из набора System State).

  • Disable volume shadow copy. Эта опция позволяет блокировать технологию "моментальных снимков тома" (volume shadow copy). Как уже говорилось, эта технология, впервые введенная в Windows XP, позволяет программе Backup работать параллельно с другими приложениями и сервисами. По умолчанию Windows XP/Windows Server 2003 будет использовать свободное дисковое пространство на любом из томов NTFS для хранения данных "моментального снимка" вплоть до завершения процесса резервного копирования. Объем дискового пространства, используемого для хранения "моментального снимка", зависит от объема данных, выбранных для включения в состав резервной копии, а также от объема данных, подвергшихся изменению в ходе резервного копирования. По умолчанию Windows XP и Windows Server 2003 всегда используют "моментальные снимки", но вы можете отключить эту опцию при том условии, что объем резервной копии невелик.

Примечание

Если в вашей системе недостаточно свободного дискового пространства, Windows XP и Windows Server 2003 не смогут сохранить данные "моментального снимка", и в этом случае программа Backup будет вести себя точно так же, как во всех предыдущих версиях Windows — она будет пропускать файлы, которые были открыты на момент резервного копирования. Кроме того, следует обратить внимание и на то, что при резервном копировании данных из набора System State опция блокирования "моментального снимка" недоступна.

Наверняка любой более или менее любознательный пользователь задастся вопросом: а что же именно скрывается за общим названием "System State"? Ответ на данный вопрос на первый взгляд кажется очевидным: ведь в правой панели окна программы Backup (см. рис. 23.11) отображается список компонентов системы, которые включаются в состав резервной копии, когда пользователь устанавливает флажок System State. Однако обратите внимание на то, что программа Backup не позволяет осуществлять выборочное резервное копирование, флажки напротив опций, отображенных в правой панели, затенены, и их нельзя устанавливать или сбрасывать. Помимо этого, для Windows 2000 Professional/Windows XP и Windows 2000 Server/Windows Server 2003 набор файлов, входящих в System State, будет различным. В системах Windows 2000 Professional/Windows XP в состояние системы включаются следующие файлы:

  • реестр (Registry);
  • регистрационная база данных классов СОМ+;
  • файлы, необходимые для загрузки (Boot files).

Для систем Windows 2000 Server/Windows Server 2003 набор системных конфигурационных данных включает все те же компоненты, что и для Windows 2000 Professional/Windows XP, а также следующие данные:

  • базу данных службы сертификатов (Certificate Services database), если сервер является сервером сертификатов;
  • базу данных Active Directory и том SYSVOL, если сервер является контроллером домена;
  • информацию, необходимую для восстановления кластера, если на сервере работает сервис кластера. Эта информация включает данные контрольных точек реестра и журнал восстановления ресурса кворума (quorum resource), который содержит информацию о базе данных кластера.

Примечание

Как уже упоминалось, если выбрана опция резервного копирования системных конфигурационных данных (System State), то программа Backup не позволит выполнить выборочное резервное копирование отдельных компонентов этого набора, что объясняется взаимозависимостью данных компонентов. Кроме того, при выполнении резервного копирования данных из набора System State вы не сможете блокировать использование технологии "моментальных снимков" томов.

Помимо этого, важно отметить следующее:

  • чтобы выполнить резервное копирование данных из набора System State, необходимо иметь в системе права администратора (Administrator или один из пользователей, включенных в группу Administrators) или оператора резервного копирования (один из пользователей, включенных в группу Backup operators);
  • в любом случае можно выполнить резервное копирование системных конфигурационных данных (System State data) только для локального компьютера. Резервное копирование этих данных для удаленного компьютера выполнить нельзя;
  • при выполнении резервного копирования данных из набора System State система сохраняет копии файлов реестра в папке %SystemRoot%\Kpa\r \regback. В случае удаления или повреждения файлов реестра резервные копии его файлов, сохраненные в этой папке, могут использоваться для восстановления системы без необходимости прибегать к полной процедуре восстановления системных конфигурационных данных (однако применять этот метод могут только опытные пользователи, хорошо знающие принципы загрузки и функционирования системы).

Восстановление системных данных

Если все ваши попытки восстановить поврежденную систему завершатся неудачей, и не останется другого выхода кроме переинсталляции, работеспособная копия системных конфигурационных данных вам очень и очень пригодится.
Чтобы восстановить системные конфигурационные данные (System State data), вызовите программу Backup в режиме Advanced Mode, перейдите на вкладку Restore and Manage Media (Восстановление и управление носителями) и в окне Expand the desired media item, then check the box for the items to restore (Разверните узел нужного носителя, затем установите флажки около тех объектов, которые требуется восстановить) установите флажок System State. Затем нажмите кнопку Start Restore, и через некоторое время будут восстановлены системные файлы, а также любые другие запрошенные данные.

Примечание

Если при выполнении процедуры восстановления системных данных не указан альтернативный каталог для их восстановления, то программа Backup удалит все системные данные, используемые на текущий момент, и заменит их данными с резервной копии. Вследствие взаимозависимости всех компонентов, образующих системные конфигурационные данные, они включаются в процедуры резервного копирования и восстановления только как единое целое.
Тем не менее, восстановление компонентов системных данных можно выполнять в другой (альтернативный) каталог, и в этом случае текущее состояние (том SYSVOL, файлы базы данных кластера и файлы, необходимые для загрузки системы, база данных Active Directory, база данных сервера сертификатов и информация классов СОМ+) останется неизменным.

Кроме того, выполняя восстановление системных конфигурационных данных, необходимо помнить о следующих факторах:

  • для выполнения восстановления системных конфигурационных данных необходимо иметь в локальной системе права администратора или оператора резервного копирования;
  • если восстановление системных конфигурационных данных выполняется на контроллере домена, то пользователь, осуществляющий процедуру восстановления, должен будет выбрать режим выполнения этой операции. По умолчанию программа Backup выполняет восстановление данных о конфигурации системы в так называемом непринудительном (nonauthoritative) режиме, при использовании которого все реплицируемые данные (например, базы данных Active Directory или содержимое тома SYSVOL) после восстановления с резервной копии будут обновляться данными, поступающими с других контроллеров домена. Если требуется изменить это положение вещей, необходимо выполнять восстановление в так называемом принудительном (authoritative) режиме, с обязательным использованием системной утилиты Ntdsutil, которую следует запускать сразу же после восстановления данных, но до перезагрузки контроллера домена. Утилита Ntdsutil позволяет помечать объекты для принудительного восстановления, что гарантирует их правильную репликацию после восстановления данных;
  • перед выполнением восстановления системных конфигурационных данных на контроллере домена необходимо выполнить загрузку компьютера в режиме, называемом режимом восстановления службы каталогов (directory services restore mode), который представляет собой одну из опций меню режима безопасной загрузки. Этот режим позволит восстановить том SYSVOL и базу данных Active Directory;
  • восстановление системных конфигурационных данных можно произвести только на локальном компьютере. Как и резервное копирование, эта операция не может производиться на удаленных компьютерах.

Подготовка к процессу автоматического восстановления системы

При разработке Windows XP и Windows Server 2003 особое внимание уделялось обеспечению отказоустойчивости системы и безопасности данных. Многие средства и утилиты были радикально переработаны, и встроенная утилита Backup не является исключением из этого правила. Так, помимо традиционных функциональных возможностей по резервному копированию и 'восстановлению данных, версия программы Backup, входящая в состав Windows XP и Windows Server 2003, включает и новую функцию подготовки к автоматическому восстановлению системы (Automated System Recovery, ASR). Автоматическое восстановление системы представляет собой двухступенчатый процесс, который позволяет пользователю восстановить поврежденную копию Windows XP/Windows Server 2003, используя для этой цели резервную копию конфигурационных данных операционной системы и информацию о дисковой конфигурации, сохраненную на дискете.

Примечание

Большинство опытных пользователей Windows NT/2000 помнят возможности по восстановлению системы с помощью диска аварийного восстановления (Emergency Repair Disk, ERD). В Windows NT для изготовления диска аварийного восстановления применялась специальная утилита — Rdisk.exe. В Windows 2000 эта же задача выполнялась уже с помощью утилиты Backup. Что касается Windows XP и Windows Server 2003, то в этой операционной системе на смену ERD пришел процесс автоматического восстановления системы (ASR).

Для подготовки к автоматическому восстановлению системы, выполните следующие операции:
1. Если на компьютере установлено ленточное устройство, приготовьте носитель для выполнения резервного копирования. Если такого устройства у вас нет, то вы будете ограничены возможностью выполнения резервного копирования в файл на жестком диске. В этом случае следует освободить достаточный объем свободного дискового пространства. Кроме того, в любом случае вам потребуется пустая отформатированная дискета.
2. Запустите утилиту Backup в режиме Advanced Mode. Нажмите кнопку Automated System Recovery Wizard (Мастер автоматического восстановления системы) на вкладке Welcome или выберите команду ASR wizard из меню Tools. В первом окне программы-мастера подготовки к автоматическому восстановлению системы нажмите кнопку Next.
3. В следующем окне (рис. 23.14) вам потребуется указать тип носителя, на который будет производиться резервное копирование, а также указать путь к резервной копии. Как и в случае копирования системных конфигурационных данных, если компьютер оборудован ленточным устройством, вам потребуется выбрать это устройство из списка Backup media type (Тип носителя архива). Если ленточное устройство не установлено, то по умолчанию в этом списке будет установлена опция File. Введите полный путь к носителю или файлу резервной копии в поле Backup media or file name или нажмите кнопку Browse.

Рис. 23.14. Мастер подготовки ASR предлагает указать тип носителя и путь к резервной копии

4. В последнем окне мастера подготовки процесса ASR нажмите кнопку Finish. Утилита Backup начнет сканирование системы и составит список файлов, которые необходимо включить в состав резервной копии ASR. Далее, вам будет предложено вставить носитель для выполнения резервного копирования. Мастер отобразит на экране серию сообщений примерно следующего содержания:

Mounting the media Preparing to backup using a shadow copy

Затем на экране появится окно Backup Progress (рис. 23.15), информирующее о ходе процесса создания резервной копии ASR.

Рис. 23.15. Окно Backup Progress

5. Когда процесс резервного копирования завершится, мастер подготовки ASR предложит вставить в дисковод чистую отформатированную дискету, на которую будет сохранена информация о конфигурации дисковой подсистемы, в том числе сигнатуры дисков, таблица разделов, данные о томах, информация об аппаратной конфигурации вашего компьютера, а также список файлов, подлежащих восстановлению (рис. 23.16). Впоследствии, если вы будете выполнять процедуру аварийного восстановления, процесс ASR Restore будет считывать информацию о конфигурации дисковой подсистемы и другие данные с этой дискеты.
6. Когда резервное копирование будет завершено, мастер отобразит сообщение, рекомендующее пометить дискету как дискету аварийного восстановления и сохранить ее в безопасном месте. Для просмотра отчета о ходе резервного копирования нажмите кнопку Report в окне Backup Progress (рис. 23.17).

Рис. 23.16. Мастер подготовки ASR предлагает вставить в дисковод чистую отформатированную дискету для сохранения информации, необходимой для автоматического восстановления системы

Рис. 23.17. Для просмотра отчета о ходе процесса резервного копирования нажмите кнопку Report

Выполнение процесса аварийного восстановления с помощью резервной копии ASR

Процесс аварийного восстановления поврежденной системы с использованием процедуры ASR запускается из программы установки операционной системы — Windows Server 2003 Setup. Таким образом, для его выполнения вам, помимо резервной копии ASR и дискеты ASR, потребуется также дистрибутивный компакт-диск. Фактически этот процесс очень похож на процедуру автоматической установки операционной системы. Процедура ASR восстановит вашу конфигурацию дисковой подсистемы с использованием данных, сохраненных на дискету ASR, переформатирует раздел %SystemDrive% (тот, на котором установлена копия ОС, подлежащая восстановлению), затем переустановит на этот раздел Windows Server 2003 и восстановит конфигурационную информацию системы с резервной копии.

Примечание

Следует понимать, что подготовка к ASR не является заменой регулярных процедур резервного копирования. Так, она не исключает риска потери данных, поскольку не выполняет резервного копирования файлов приложений и пользовательских данных. Как уже было сказано, в ходе выполнения процесса восстановления поврежденной системы процедура ASR выполняет переформатирование раздела %SystemDrive%, не восстанавливая при этом файлов приложений и пользовательских данных, которые могут находиться на этом диске (например, в папке Program Files). Таким образом, если вы устанавливаете на этот диск приложения и храните на нем пользовательские данные, то после выполнения процедуры ASR вся эта информация будет уничтожена. Следовательно, прежде, чем прибегать к такому радикальному средству восстановления, как ASR, необходимо попытаться использовать другие опции восстановления, например, System Restore или Recovery Console (установка, запуск и использование Recovery Console будут подробно описаны далее в этой главе).

Чтобы провести процесс аварийного восстановления с помощью ASR, выполните следующую последовательность шагов:
1. Подготовьте все необходимое для процесса ASR, в том числе:

  • дискету ASR с конфигурационной информацией, соответствующей конфигурации вашего компьютера на тот момент, когда вы в последний раз выполняли процедуру подготовки ASR;
  • дистрибутивный компакт-диск Windows Server 2003;
  • носитель с резервной копией данных ASR (как правило, это съемный носитель, например, магнитная лента).

2. Запустите программу Setup. Самый простой способ заключается в перезагрузке компьютера с дистрибутивного компакт-диска.
3. Нажмите любую клавишу, когда на экране появится сообщение Press any key to boot from the CD....
4. Когда запустится программа Windows XP Setup, дождитесь появления сообщения Press F2 to run Automated System Recovery (ASR) И нажмите клавишу <F2>.
5. Вставьте в дисковод дискету ASR, когда программа Windows Server 2003 Setup предложит вам сделать это.
6. На экране появится сообщение следующего содержания: Preparing to ASR, press <ESC> to cancel
Обратите внимание, что на данном этапе вы еще имеете возможность передумать и отказаться от выполнения ASR, нажав клавишу <Esc>.
Если вы не сделаете этого, то процедура ASR запустится и в качестве первого шага сразу же начнет форматирование вашего раздела %SystemDrive%.
7. Если вы намерены продолжать процедуру, не реагируйте на предложение нажать клавишу <Esc> для отмены. Программа Setup отобразит следующие сообщения:

Setup is starting the ASR... Setup is loading files Setup is starting Windows

После этого процесс ASR начнет переформатирование раздела %SystemDrive% и проверку остальных разделов с целью определить, не нуждаются ли они в восстановлении.

Примечание

Обратите внимание, что помимо переформатирования раздела %SystemDrive%, процедура ASR может также выполнить инициализацию других томов (если она определит, что они также нуждаются в восстановлении). Поскольку ASR восстанавливает только данные системы, то существует риск потери данных, хранящихся и на этих томах.

8. После форматирования и завершения проверки всех разделов ASR построит список файлов для копирования и предложит вам вставить носитель с резервной копией ASR. Если при подготовке к ASR резервное копирование выполнялось в файл, то этот шаг будет пропущен. Далее процедура ASR фактически выполнит автоматическую установку Windows Server 2003, а затем восстановит системную конфигурацию.

Примечание

Следует учесть, что процедура ASR не поддерживает восстановления данных с общих сетевых ресурсов. Поэтому при восстановлении следует указывать только локальные устройства (например, локально подключенные ленточные устройства, съемные носители или локальные жесткие диски). Если при подготовке к ASR вы выполняли резервное копирование в файл на жестком диске, то следует иметь в виду, что ASR поддерживает тома FAT16 объемом не более 2,1 Гбайт. Если резервная копия ASR находится на разделе большего объема, то процесс ASR завершится неудачей. В этих случаях перед запуском ASR следует сначала преобразовать раздел FAT16 в формат NTFS.

Стоит отметить, что если кроме всех компонентов, необходимых для выполнения процедуры ASR, в вашем распоряжении имеется полная резервная копия всех данных, то ASR в сочетании с последующим восстановлением этих данных предоставляет довольно надежный способ восстановления поврежденной системы. Тем не менее, общая рекомендация заключается в следующем: прежде чем прибегать к процессу ASR, попытайтесь сначала воспользоваться другими средствами восстановления поврежденной системы, например такими, как загрузка в безопасном режиме (Safe Mode).

Воссоздание утерянной дискеты ASR

В заключение обсуждения процесса ASR давайте рассмотрим одну неприятную, но весьма вероятную ситуацию. Предположим, что вам необходимо выполнить процедуру ASR, и вы вдруг обнаруживаете, что потеряли дискету ASR. Значит ли это, что все потеряно? Нет, ничего еще не потеряно, поскольку если ваш носитель с резервной копией ASR пригоден к использованию, то вы имеете возможность воссоздать недостающую дискету ASR.
Если вы изготовили хотя бы одну дискету ASR, то практически наверняка поинтересовались, какие же файлы на нее сохраняются (а файлы asr.sif, asrpnp.sif и setup.log представляют собой текстовые файлы формата ASCII, которые можно просмотреть с помощью любого текстового редактора, например, Notepad.exe). И, наконец, самая хорошая новость заключается в том, что эти файлы не только копируются на дискету ASR, но и включаются в состав резервной копии ASR, откуда их без особого труда можно извлечь с помощью все той же программы Backup (причем для этой цели годится не только версия Backup, входящая в состав Windows XP или Windows Server 2003, но и программа Backup, поставляемая в составе Windows 2000).
Итак, для воссоздания отсутствующей дискеты ASR проделайте следующее:
1. Отформатируйте дискету емкостью 1,44 Мбайт и вставьте ее в дисковод любого компьютера, работающего под управлением одной из перечисленных выше систем.
2. Запустите программу Backup и перейдите на вкладку Restore and Manage Media (Windows XP/Windows Server 2003) или на вкладку Restore (Windows 2000). Вставьте свой носитель с резервной копией ASR в устройство резервного копирования и выберите команду Catalog a backup file из меню Tools. В следующем окне укажите путь к резервной копии (при необходимости можно нажать кнопку Browse).
3. Выберите носитель, содержащий копию ASR и в левой части окна программы Backup разверните архив, соответствующий диску ASR, который требуется воссоздать.
4. Разверните папку %SystemRoot%\Kpair и пометьте для восстановления следующие файлы: asr.sif, asrpnp.sif и setup.log (рис. 23.18). В списке Restore files to выберите опцию Alternate location, а в поле Alternate location укажите путь к корневому каталогу дискеты ("А:\").
5. Нажмите кнопку Start Restore. Выбранные файлы будут скопированы на дискету. Извлеките дискету из дисковода и используйте ее в ходе восстановления ASR.

Рис. 23.18. Воссоздание отсутствующей дискеты ASR

Консоль восстановления (Recovery Console)

Консоль восстановления (Recovery Console) впервые появилась в Windows 2000, и многие администраторы и специалисты из групп технической поддержки сразу же оценили это исключительно полезное нововведение. Разумеется, консоль восстановления присутствует и в Windows XP, а также в продуктах из семейства Windows Server 2003.
Recovery Console представляет собой консоль с интерфейсом командной строки, предоставляющую администраторам и пользователям с административными правами необходимый минимум средств, позволяющих выполнить восстановительные процедуры в системе, имеющей проблемы с загрузкой. Используя Recovery Console, можно запускать и останавливать сервисы, форматировать диски, выполнять чтение и запись данных на локальные жесткие диски (включая и те, которые отформатированы для использования файловой системы NTFS), устранять проблемы с поврежденной главной загрузочной записью (MBR) и поврежденными загрузочными секторами, а также выполнять другие административные задачи.
Особенно полезной Recovery Console может оказаться в том случае, если для восстановления системы требуется скопировать на жесткий диск один или несколько системных файлов (с дискеты или компакт-диска) или же переконфигурировать сервис или драйвер, некорректная конфигурация которого мешает выполнить загрузку Windows 2000 или Windows XP/ Windows Server 2003.

Примечание

Для применения Recovery Console необходимо зарегистрироваться в выбранной операционной системе от имени администратора (пользователь Administrator).

Способы запуска Recovery Console

Существуют следующие способы запуска Recovery Console.

  • Если вы не можете выполнить загрузку Windows XP/Windows Server 2003 с жесткого диска, запустите Recovery Console с дистрибутивного компакт-диска (если на вашем компьютере установлено устройство CD-ROM, с которого можно выполнять загрузку операционной системы). Если загрузка с компакт-диска невозможна, загрузите компьютер с загрузочной дискеты и запустите программу Setup из командной строки (необходимую информацию по данному вопросу можно найти в главе 1 "Планирование и установка системы").
  • Recovery Console можно установить на жестком диске вашего компьютера и включить ее как одну из доступных опций в меню загрузки.

Запуск Recovery Console из программы Windows Server 2003 Setup

Как уже говорилось, Recovery Console можно запустить из программы Windows Server 2003 Setup. Разумеется, для этой цели вам потребуется загрузочное устройство CD-ROM или загрузочная дискета и доступ к дистрибутивным файлам для запуска программы Setup. Независимо от того, каким образом будет запущена программа Setup, в этом случае ^ам придется затратить некоторое время на ожидание (ждать придется до [тех пор, пока не завершится процесс начального копирования базовых драйверов). При появлении экрана, где программа Setup предлагает на выбор установить Windows Server 2003, восстановить поврежденную копию ОС или завершить программу установки, нажмите клавишу <R> (рис. 23.19).
После этого программа Setup выполнит просмотр жестких дисков компьютера в поисках существующих копий Windows, которые могут нуждаться в восстановлении. Обнаружив несколько таких копий, Setup предложит вам выбрать ту, которую вы собираетесь восстанавливать, а затем — ввести пароль пользователя Administrator. Успешно зарегистрировавшись в выбранной системе Windows, вы получите в свое распоряжение мощный набор административных средств восстановления, предоставляющий вам самые широкие возможности.

Рис. 23.19. При появлении экрана, где программа Setup предлагает на выбор опции установки Windows, восстановления поврежденной копии Windows или завершения программы установки, нажмите клавишу <R>

Внимание

При восстановлении контроллера домена Recovery Console требует для регистрации не обычный пароль администратора, а пароль, указанный для восстановления Active Directory (Directory Services Restore Mode Administrator Password). Этот пароль задается в процессе повышения роли сервера (promotion) до контроллера домена.

В частности, Recovery Console позволяет выполнять следующие операции:

  • форматировать разделы;
  • запускать и останавливать сервисы;
  • выполнять чтение и запись файлов;
  • восстанавливать поврежденные главные загрузочные записи (MBR).

Установка Recovery Console на жесткий диск

Чтобы установить Recovery Console на жесткий диск и указывать ее в качестве одной из опций меню загрузки, выполните следующие операции:
1. Зарегистрируйтесь в Windows Server 2003 как администратор или пользователь, принадлежащий к группе Administrators.
2. Вставьте дистрибутивный компакт-диск в устройство CD-ROM.
3. В режиме командной строки перейдите на дистрибутивный диск и введите команду \I386\winnt32.exe /cmdcons
4. Следуйте инструкциям, появляющимся на экране.

Удаление Recovery Console

Если требуется удалить Recovery Console из списка опций, доступных в меню загрузки, выполните следующие операции:
1. Из корневого каталога системного раздела удалите папку \cmdcons и файл cmldr.

Примечание

Папка \cmdcons и файл cmldr имеют атрибуты Hidden и System, а это значит, что они принадлежат к числу файлов, защищаемых операционной системой, и по умолчанию не отображаются графической оболочкой Windows. Поэтому не забудьте настроить опции отображения папок с помощью значка Folder Options на панели управления.

2. Откройте для редактирования файл Boot.ini, найдите в его составе строку, соответствующую опции запуска Recovery Console, и удалите ее. Пример, иллюстрирующий, как может выглядеть такая строка, приведен ниже.
С:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

Использование Recovery Console

Интерфейс Recovery Console представляет собой полноэкранный интерфейс командной строки (как в MS-DOS). Фактически ориентироваться в работе с Recovery Console вам поможет команда help, которая, как несложно догадаться, выводит список команд, доступных при работе с консолью. Помимо этого, полный список команд Recovery Console можно найти в справочной системе (достаточно выполнить поиск по словам "Recovery Console").
Краткий список команд Recovery Console приведен ниже.

  • Attrib — изменение атрибутов файла или каталога.
  • Batch — исполнение команд, содержащихся в указанном текстовом файле.
  • Bootcfg — конфигурирование и восстановление файла Boot.ini.
  • choir (CD) — переход в другой каталог.
  • chkdsk — запуск программы chkdsk с выводом отчета.
  • cis — очистка экрана.
  • сору — копирование указанного одиночного файла.
  • Delete (DEL) — удаление одиночного файла.
  • Dir — вывод списка содержимого каталога.
  • Disable — блокировка системного сервиса или драйвера.
  • Diskpart — управление разделами на жестком диске.
  • Enable — активизация сервиса или драйвера.
  • Exit — завершение работы с Recovery Console и перезагрузка компьютера.
  • Expand — распаковка сжатого файла.
  • Fixboot — исправление поврежденного загрузочного сектора на системном разделе.
  • Fixmbr — исправление поврежденной главной загрузочной записи.
  • Format — форматирование диска.
  • Help — вывод справочной информации по командам Recovery Console.
  • Listsvc — вывод списка всех доступных в системе сервисов и драйверов.
  • Logon — регистрация в системе Windows XP.
  • мар — отображение списка буквенных обозначений дисков.
  • MkDir (мо) — создание каталога.
  • More — вывод текстового файла на экран по частям.
  • Rename (REN) — переименование файла.
  • RmDir (RD) — удаление каталога.
  • set — отображение и установка переменных окружения Recovery Console.
  • SystemRoot — закрепление за текущим каталогом статуса SystemRoot.
  • туре — вывод текстового файла на экран.

Чтобы вывести информацию по работе с конкретной командой, используйте следующий синтаксис: HELP command name (например, HELP FIXBOOT) или command name /? (например, LISTSVC /?).


Работа с системным реестром

  • Работа с системным реестром
  • Назначение реестра
  • Структура реестра
  • Хранение данных реестра
  • Проблема размера реестра
  • Усовершенствования в структуре реестра
  • Администрирование реестра
    • Использование редактора реестра
      • Запуск Regedit
      • Интерфейс программы Regedit
      • Команды меню File
      • Команды меню Edit
      • Команды меню View
      • Меню Favorites
    • Резервное копирование и восстановление реестра
  • Некоторые методы решения проблем путем редактирования реестра
    • Пример 1. Удаление недействительных записей из списка установленных программ
    • Пример 2. Принудительный показ "Синего экрана смерти"
    • Пример 3. Конфигурирование программы Backup путем редактирования реестра
    • Пример 4. Конфигурирование регистрации событий, связанных с квотированием диска
    • Пример 5. Снижение вероятности инсталляции "Троянских коней"
    • Пример 6. Редактирование реестра с целью защиты DNS-серверов от DoS-атак
    • Пример 7. Конфигурирование Windows для очистки файла подкачки при останове системы
    • Пример 8. Устранение неполадок при останове системы

Работа с системным реестром

Как и в предыдущих версиях операционных систем из семейства Windows (включая Windows 9x/ME и Windows NT/2000/XP), реестр Windows Server 2003 представляет собой централизованную базу данных параметров настройки системы и работающих в ней приложений. В этом смысле реестр аналогичен разнообразным INI-файлам, а также файлам autoexec.bat и config.sys, которые использовались ранее. Реестр содержит информацию обо всех аппаратных средствах, программном обеспечении, операционной системе и сетевых параметрах компьютера. Эта сложная иерархическая база данных принимает участие во всех аспектах работы Windows. Хорошее понимание принципов работы реестра, выполняемых им задач, а также умение манипулировать реестром необходимо всем: системным и сетевым администраторам, специалистам из групп технической поддержки, а также опытным пользователям из числа программистов. Кроме того, для системных администраторов особенно важны вопросы администрирования и защиты реестра, а также его резервного копирования и восстановления.

Примечание

Как и в предыдущих системах, в Windows Server 2003 реестр также играет ключевую роль в управлении системной конфигурацией и представляет собой централизованное хранилище всей информации об аппаратных средствах, операционной системе и установленных приложениях, а также данных, управляющих пользовательской средой. Реестр по-прежнему хранится на диске в виде файлов ульев, в состав которых внесены лишь незначительные изменения. Однако в код реестра Windows XP/Windows Server 2003 были внесены изменения, направленные на повышение производительности системы за счет ускорения доступа к реестру и на снятие ограничений по размеру реестра, существовавших во всех предыдущих версиях, включая Windows 2000. Усовершенствования, внесенные в реестр, будут подчеркиваться далее по ходу изложения материала данной главы.

Как было показано в главе 3 "Загрузка операционной системы", реестр становится необходимым уже на начальных этапах загрузки Windows. Проблемы при загрузке могут быть вызваны, в том числе, и повреждением реестра. Например, многие пользователи Windows NT/2000 испытывали этот шок, когда в процессе загрузки получали сообщение примерно следующего содержания:

Windows 2000 Could not start because the following file is missing or corrupt: \WINNT\SYSTEM32\CONFIG\SYSTEM You can attempt to repair this file by Starting Windows NT Setup using the original Setup floppy disk or CD-ROM. Select 'r' at the first screen to repair.

Аналогичное сообщение может появиться и в процессе работы с Windows Server 2003. Появление такого сообщения свидетельствует об отсутствии или повреждении важной части реестра — файла улья реестра SYSTEM (речь о принципах хранения реестра пойдет далее в этой главе). Приведенный пример убедительно демонстрирует, что единственная ошибка в системном реестре может не только повлиять на всю конфигурацию, но и сделать невозможным запуск операционной системы. Помимо этого, добиться корректной работы некоторых приложений можно также лишь через редактирование реестра. Таким образом, важность навыка редактирования реестра нельзя недооценивать.

Назначение реестра

Реестр пришел на смену конфигурационным файлам (INI-файлам) и призван был снять неудобства и ограничения, связанные с их использованием. В виде, более или менее напоминающем его нынешнюю структуру, реестр появился в Windows NT 3.5 (тогда он имел 4 корневых ключа: HKEY_LOCAL_MACHINE, HKEY_CURRENT_USER, HKEY_CLASSES_ROOT и HKEY_USERS). Новый компонент операционной системы был предназначен для того, чтобы заменить собой многочисленные инициализационные и установочные файлы, разбросанные по различным каталогам на жестком диске и сетевом сервере. Эти файлы требовались для обеспечения корректной работы операционной системы, приложений и аппаратных устройств, но управление ими было задачей сложной, трудоемкой и неудобной. Реестр как централизованная база данных представляет собой источник конфигурационной информации, где все параметры сведены воедино, что обеспечивает возможность эффективного управления операционной системой.
Перечисление компонентов Windows Server 2003, использующих реестр, и краткое описание их взаимодействия с этой базой данных приведено ниже.

  • Программы установки (Setup). Каждый раз при запуске программы Setup или других установочных программ (для аппаратных и программных средств) происходит добавление в реестр новых конфигурационных данных. Начиная свою работу, все грамотно разработанные программы уста-новки считывают информацию реестра, чтобы определить, присутствуют ли в системе компоненты, обязательные для успешного завершения установки. Наконец, централизованный реестр позволяет приложениям совместно использовать конфигурационную информацию и предоставляет им больше возможностей взаимодействия между собой. Чтобы приложение могло получить статус "Designed for Windows", оно должно активно и правильно использовать реестр, а также содержать утилиту, позволяющую корректно выполнить удаление этого приложения (uninstall utility), не удаляя компонентов, которые могут использоваться другими программами (.dll, .ocx и т. д.). Эта утилита использует информацию, хранящуюся в реестре.
  • Распознаватель (Recognizer). Каждый раз при запуске компьютера распознаватель аппаратных средств (hardware recognizer) помещает в реестр список обнаруженных им устройств. На компьютерах с процессорами Intel распознавание аппаратных средств осуществляется программой Ntdetect.com и ядром операционной системы (Ntoskrnl.exe).
  • Ядро системы (Ntoskrnl.exe). При старте системы ядро извлекает из реестра сведения о загружаемых драйверах устройств и порядке их загрузки. Кроме того, программа Ntoskrnl.exe передает в реестр информацию о себе (примером такой информации может служить, например, номер версии).
  • Драйверы устройств. Драйверы устройств обмениваются с реестром параметрами загрузки и конфигурационными данными. Эти данные аналогичны строкам DEVICE=, которые можно найти в файле config.sys для запуска компьютера под управлением MS-DOS. Драйвер устройства должен сообщить об используемых им системных ресурсах, включая аппаратные прерывания и каналы DMA, чтобы система могла включить эти данные в реестр. Приложения и драйверы устройств могут считывать эту информацию реестра, предоставляя пользователям интеллектуальные программы инсталляции и конфигурирования.
  • Административные средства. Административные средства системы, в том числе утилиты панели управления и оснастки, собранные в группу Administrative Tools, представляют собой наиболее удобные и безопасные (с точки зрения внесения возможных ошибок) средства модификации реестра. Редактор реестра, рассмотрению которого посвящен отдельный раздел данной главы, также полезен для его просмотра и, время от времени, для внесения изменений в конфигурацию системы.
  • Пользовательские профили (user profiles). Windows NT/2000/XP, а также продукты из семейства Windows Server 2003 обеспечивают возможность создания множества пользовательских профилей. Вся информация, относящаяся к конкретному пользовательскому имени и ассоциированным с ним правам, хранится в реестре. Более подробная информация о пользовательских профилях будет приведена далее в этой главе, здесь же отметим, что пользовательский профиль определяет индивидуальные параметры настройки дисплея, параметры сетевых соединений, принтеры и многое другое. Пользовательские профили бывают следующих типов: локальные (local user profile), создаваемые автоматически при первой регистрации пользователя на локальном компьютере, "блуждающие" или перемещаемые (roaming user profile), создаваемые администратором и хранящиеся на сервере, и обязательные (mandatory user profile) — "блуждающие" профили, обязательные для применения. Информация о пользовательских профилях также хранится в реестре.

Примечание

Обязательные пользовательские профили (mandatory user profiles) поддерживаются в Windows XP и Windows Server 2003 только в целях обеспечения обратной совместимости с существующими доменами Windows NT 4.0. Если же в вашей сети уже применяются домены на базе Windows 2000 или Windows Server 2003, и необходимость обеспечения обратной совместимости отсутствует, то вместо обязательных пользовательских профилей рекомендуется использовать групповую политику (Group Policy).

  • Аппаратные профили (hardware profiles). Реестр, в отличие от INI-файлов, позволяет хранить множественные аппаратные конфигурации. Так, например, можно создать профили для dock-станций (что актуально для пользователей портативных компьютеров), а также профили для съемных устройств. Аппаратный профиль представляет собой набор инструкций, с помощью которого можно указать операционной системе, драйверы каких устройств должны загружаться при запуске компьютера. В процессе установки системы создается стандартный аппаратный профиль, который содержит информацию обо всех аппаратных средствах, обнаруженных на компьютере на момент инсталляции.

Структура реестра

Как и реестры систем Windows NT/2000/XP, реестр Windows Server 2003 состоит из пяти так называемых корневых ключей (root keys):

  • HKEY_CLASSES_ROOT
  • HKEY_CURRENT_USER
  • HKEY_LOCAL_MACHINE
  • HKEY_USERS
  • HKEY_CURRENT_CONFIG

Каждый отдельный ключ может содержать элементы данных, которые называются параметрами (value entries), а также дополнительные вложенные ключи (subkeys). Для понимания этой концепции можно провести аналогию с файловой системой. Ключи в структуре реестра аналогичны каталогам, а значимые элементы — файлам. Рис. 24.1 иллюстрирует иерархическую структуру реестра.

Рис. 24.1. Реестр имеет иерархическую структуру, и его ключи могут содержать вложенные ключи и параметры

Все имена корневых ключей начинаются со строки HKEY_, что указывает разработчикам программного обеспечения на то, что это — дескриптор, который может использоваться программой. Дескриптор (handle) — это значение, используемое для уникального описания ресурса, к которому программа может получить доступ. Описания корневых ключей реестра Windows NT/2000/XP и Windows Server 2003 приведены в табл. 24.1.

Таблица 24.1. Корневые ключи реестра

Имя корневого ключа | Описание
HKEY_LOCAL_MACHINE | Содержит глобальную информацию о компьютерной системе, включая такие данные об аппаратных средствах и операционной системе, как: тип шины, системная память, драйверы устройств и управляющие данные, используемые при запуске системы. Информация, содержащаяся в этом ключе, действует применительно ко всем пользователям, регистрирующимся в системе. На верхнем уровне иерархии реестра для этого ключа имеются три псевдонима: HKEY_CLASSES_ROOT, HKEY CURRENT_CONFIG И HKEY_DYN_DATA
HKEY_ CLASSES_ ROOT | Содержит ассоциации между приложениями и типами файлов (по расширениям имени файла). Кроме того, этот ключ содержит информацию OLE (Object Linking and Embedding), ассоциированную с объектами СОМ, а также данные по ассоциациям файлов и классов (эквивалент реестра ранних версий Windows, служивших настройкой над MS-DOS). Параметры этого ключа совпадают с параметрами, расположенными под ключом HKEY_LOCAL_MACHINE \ Sof tware\Classes. Подробную информацию о ключе HKEY_CLASSES_ROOT можно найти в руководстве OLE Programmer's Reference, входящем в состав продукта Windows Platform Software Development Kit (SDK)
HKEY_CURRENT_ CONFIG | Содержит конфигурационные данные для текущего аппаратного профиля. Аппаратные профили (hardware profiles) представляют собой наборы изменений, внесенных в стандартную конфигурацию сервисов и устройств, установленную данными ключей Software И System корневого ключа HKEY LOCAL_MACHINE. В ключе HKEY_CURRENT_CONFIG отражаются только изменения. Кроме того, параметры этого ключа появляются также под ключом HKEY_LOCAL_MACHINE\System \CurrentControlSet\HardwareProfiles\Current
HKEY_CURRENT USER | Содержит пользовательский профиль пользователя, на данный момент зарегистрировавшегося в системе, включая переменные окружения, настройку рабочего стола, параметры настройки сети, принтеров и приложений. Этот ключ представляет собой ссылку на ключ HKEY_USERS \user SID, где user SID— идентификатор безопасности (Security ID, SID) пользователя, зарегистрировавшегося в системе на текущий момент
HKEY_USERS | Содержит все активно загруженные пользовательские профили, включая HKEY_CURRENT_USER, а также профиль по умолчанию. Пользователи, получающие удаленный доступ к серверу, не имеют профилей, содержащихся под этим ключом; их профили загружаются в реестры на их собственных компьютерах. Операционная система требует наличия учетных записей для каждого пользователя, регистрирующегося в системе. Ключ HKEY_USERS содержит вложенный ключ \Default, а также другие ключи, определяемые идентификатором безопасности (Security ID) каждого пользователя

Следует обратить особое внимание на весьма существенное различие между реестрами Windows 9x/ME и Windows NT/2000/XP/Windows Server 2003, касающееся ключа HKEY_USERS. Как известно, в Windows 9x/ME не существует встроенных средств для предотвращения несанкционированного доступа к системе, и для регистрации нового пользователя не требуется наличия учетной записи. Ключ реестра HKEY_USERS в этих операционных системахсодержит вложенные ключи вида username, где username — входные имена пользователей.
В отличие от Windows 9x/ME и по аналогии с Windows NT/2000, Windows ХР и Windows Server 2003 для доступа пользователей в обязательном порядке требуют наличия пользовательской учетной записи (user account), причем это требование совершенно не зависит от того, принимает ли ваш компьютер участие в работе сети. Далее, Windows NT/ 2000/ХР или Windows Server 2003 идентифицируют пользователей не по входным именам (login names), а по идентификаторам безопасности (Security IDs, SIDs), большинство из которых является уникальными для каждого пользователя (в том числе и для пользовательских учетных записей в разных системах). Исключение составляют только так называемые "хорошо известные" SID (well-known SIDs), например, такие, как встроенная группа Everyone (S-1-1-0) или пользователь Creator Owner (S-1-3-0), полный список которых можно найти в статье Microsoft Knowledge Base Q243330 — "Well Known Security Identifiers in Windows 2000 and Windows ХР". Если вы удалите пользовательскую учетную запись в локальной системе или в домене, а затем создадите новую с использованием того же входного имени, то для новой учетной записи будет сгенерирован новый SID. Идентификаторы безопасности имеют следующий формат: S-1-XXXXX1-YYYYY2-...-RID, где: S-1 — идентификатор безопасности (Security ID), версия 1; ХХХХХ — номер ведомства (authority number), YYYYYn — номера подразделений (subauthority numbers), RID — относительный идентификатор (Relative ID). Обратите внимание на то, что относительные идентификаторы (RID) уже не будут уникальны для каждого компьютера.

Примечание

Многие пользователи Windows, даже довольно опытные, часто ошибочно считают, что система идентифицирует пользователей по их регистрационной информации — входному имени (username или login name) и паролю (password). Следует особо подчеркнуть, что это распространенное мнение является ошибочным, т. к. система идентифицирует пользователей именно по их идентификаторам безопасности. Пользовательские профили также идентифицируются по ассоциированным с ними SID (рис. 24.2).

Данные реестра поддерживаются в виде параметров, расположенных под ключами реестра. Каждый параметр характеризуется именем, типом данных и собственно значением. Три части параметра реестра всегда располагаются в следующем порядке:

Рис. 24.2. В отличие от Windows 9x/ME и по аналогии с Windows NT/2000, Windows XP и Windows Server 2003 идентифицируют пользовательские профили по ассоциированным с ним идентификаторам безопасности (SID)

В табл. 24.2 перечислены типы данных, определенные для параметров реестра и используемые в системе.

Таблица 24.2. Типы данных для параметров реестра

Тип данных | Описание
REG_BINARY | Двоичные данные. Большинство аппаратных компонентов используют информацию, которая хранится в виде двоичных данных. Редакторы реестра отображают эту информацию в шестнадцатеричном формате
REG_DWORD | Данные представлены в виде значения, длина которого составляет 4 байта. Этот тип данных используют многие параметры драйверов устройств и сервисов. Редакторы реестра могут отображать эти данные в двоичном, шестнадцатеричном и десятичном формате
REG_EXPAND_SZ | Расширяемая строка данных. Эта строка представляет собой текст, содержащий переменную, которая может быть заменена при вызове со стороны приложения
REGJMULTI_SZ | Многострочное поле. Значения, которые фактически представляют собой списки текстовых строк в формате, удобном для восприятия человеком, обычно имеют этот тип данных. Строки разделены символом NULL
REG_SZ | Текстовая строка в формате, удобном для восприятия человеком. Значениям, представляющим собой описания компонентов, обычно присваивается именно этот тип данных
REG_DWORD_ LITTLE_ENDIAN | 32-разрядное число в формате "остроконечников" (little-endian). Представляет собой эквивалент REG DWORD. При использовании метода "остроконечников" самый младший байт ("little end") хранится в памяти первым в числе. Например, шестнадцатеричное число A02Bh по методу "остроконечников" сохраняется как 2ВАО. Метод "остроконечников" используется в микропроцессорах Intel
REG_DWORD_BIG_ ENDIAN | 32-разрядное число в формате "тупоконечников" (big-endian). В противоположность методу "остроконечников", при использовании метода "тупоконечников" самый старший байт ("big end") оказывается первым байтом числа
REG_LINK | Символическая ссылка Unicode. Этот тип данных предназначен для внутреннего использования. Тип данных REG LINK особенно интересен тем, что он позволяет одному элементу реестра ссылаться на другой ключ или параметр. Например, если элемент реестра \Rootl\Link имеет параметр типа REG LINK со значением \Root2\RegKey, а ключ RegKey содержит параметр RegValue, то этот параметр идентифицируется двумя путями: \Rootl\Link\RegValue И \Root2 \ RegKey \RegValue. Windows NT/2000/XP и Windows Server 2003 активно использует этот метод — некоторые из корневых ключей реестра, перечисленных в табл. 24.1, являются ссылками на вложенные ключи других корневых ключей
REG_NONE | Параметр не имеет определенного типа данных
REG_QWORD | 64-разрядное число
REG_QWORD_LITTLE_ ENDIAN | 64-разрядное число в формате "остроконечников". Эквивалент REG QWORD
REG_RESOURCE_LIST | Список аппаратных ресурсов, применяется только в ветви HKEY_LOCAL_MACHINEXHARDWARE
REG_FULL_RESOURCE_ DESCRIPTOR | Дескриптор (описатель) аппаратного ресурса. Применяется только в ветви HKEY_LOCAL_MACHINE\HARDWARE
REG_RESOUECE_ REQUIREMENTS_LIST | Список необходимых аппаратных ресурсов. Применяется только в ветви HKEY_LOCAL_MACHINE\HARDWARE

Хранение данных реестра

В Windows NT/2000/XP и Windows Server 2003 элементы реестра хранятся в виде атомарной структуры. Реестр подразделяется на составные части, которые разработчики этой операционной системы назвали ульями (hives) по аналогии с ячеистой структурой пчелиного улья. Улей представляет собой дискретную совокупность ключей, вложенных ключей и параметров, берущую начало в вершине иерархии реестра. Отличие ульев от других групп ключей состоит в том, что они являются постоянными компонентами реестра. Ульи не создаются динамически при загрузке операционной системы и не удаляются при ее остановке. Таким образом, ключ HKEY_LOCAL_MACHiNE\Hardware, который строится динамически распознавателем аппаратных средств при запуске операционной системы, ульем не является.
Данные ульев реестра хранятся в файлах, которые находятся в каталогах %SystemRoot%\system32\Config и %SystemRoot'%\Profiles\%Username% (Windows NT 4.0) и %SystemRoot%\system32\Config, и %SystemDrive%\ Documents and Settings\%Username% (Windows 2000, Windows XP и Windows Server 2003).
Каждый улей реестра ассоциирован с набором стандартных файлов. В табл. 24.3 перечислены стандартные ульи реестра Windows NT/2000/XP и Windows Server 2003 и поддерживающие их файлы.

Таблица 24.3. Стандартные файлы, обеспечивающие поддержку ульев реестра Windows NT/2000/XP и Windows Server 2003

Ветвь реестра | Имена файлов
НКЕ Y_LOCAL_MACHINE\SAM | Sam, Sam. log, Sam.sav*
HKEY_LOCAL_MACHINE\Security | Security, Security.log, Security. sav*
HKEY_LOCAL_MACHINE\Software | Software, Software.log, Software. sav
HKEY_LOCAL_MACHINE\System | System, System.alt**, System.log, System. sav
HKEY_CURRENT_CONFIG | System, System.alt**, System.log, System. sav
HKEY_USERS\.DEFAULT | Default, Default.log, Default.sav
(Файлы, не ассоциированные ни с одним ключом) | Userdiff, Userdiff.log, Userdifr***, Userdifr.log***
HKEY_CURRENT_USER | Ntuser.dat, Ntuser.dat.log

* Файлы, появляющиеся в системе лишь при определенных обстоятельствах.
** Файлы, исключенные из Windows XP и Windows Server 2003.
*** Файлы, присутствующие только в Windows XP.

Примечание

Как видно из приведенной выше таблицы, некоторые из файлов реестра в Windows XP и Windows Server 2003 больше не используются. Это является следствием усовершенствований, внесенных в их реестр.

Все файлы ульев реестра, за исключением HKEY_CURRENT_USER, находятся в подкаталоге %SystemRoot%\system32\config.
Поддержку улья HKEY_CURRENT_USER выполняют файлы Ntuser.dat и Ntuser.dat.log. В файлах Ntuser.dat хранятся пользовательские профили; файл Ntuser.dat.log отслеживает изменения, которые вносились в файл Ntuser.dat. В Windows NT 4.0 (а также в системах Windows 2000/XP и Windows Server 2003, установленных как обновление версий Windows NT 4.0) эти файлы располагаются во всех подкаталогах каталога %SystemRoot%\Profiles (за исключением подкаталога \Аll Users). В Windows 2000/XP и Windows Server 2003 эти файлы располагаются в каталогах %SystemRoot%\Documents and Settings\ % Username%.
Файлы Ntuser и Userdiff были впервые введены в Windows NT 4.0:

  • файл Ntuser.dat, в котором хранится пользовательский профиль, заменил собой файлы usernamejcet и admiruco: из предыдущих версий Windows NT;
  • файл Ntuser.dat из каталога %SystemRoot%\Profiles\DefaultUser заменил собой файл Userdef из предыдущих версий Windows NT. Этот профиль используется для построения улья HKEY_CURRENT_USER, когда новый пользователь впервые регистрируется в системе;
  • файлы UserdifF, которые находятся только в каталоге %SystemRoot% \system32\config, не ассоциируются ни с одним ульем. Они служат для обновления существующих профилей пользователей, использовавшихся в предыдущих версиях Windows NT, таким образом, чтобы эти профили могли применяться в Windows NT 4.0 и последующих версиях (Windows 2000, Windows XP и Windows Server 2003).

С ульями ассоциируются файлы четырех типов. Все эти типы файлов (с соответствующими расширениями имен файлов) перечислены в табл. 24.4.

Таблица 24.4. Типы файлов, ассоциированных с ульями реестра Windows NT4.0Windows 2000/Windows XP/Windows Server 2003

Тип файла | Описание
Без расширения имени файла | Содержит копию улья
ALT* | Содержит резервную копию жизненно важного улья HKEY LOCAL MACHlNE\System. Только ключ System имеет соответствующий файл с расширением alt. Файлы ульев с таким расширением существуют только в Windows NT/2000. В Windows XP и Windows Server 2003 они больше не используются вследствие того, что в этой операционной системе для хранения и доступа к реестру применяются усовершенствованные алгоритмы
LOG | Содержит журнал транзакций, в котором регистрируются все изменения, внесенные в ключи и значимые элементы улья
SAV | Содержит копии файлов улья в том виде, который они имели на момент завершения текстовой фазы процесса установки. Файлы с расширением sav появляются для ключей Software, System, SAM, Security И Default. Подобно Windows NT/2000/XP, Windows Server 2003 выполняет резервное копирование содержимого ульев в процессе инсталляции. Процедура инсталляции состоит из двух стадий: стадии текстового режима и стадии графического режима. Когда установка в текстовом режиме завершается, выполняется копирование ульев в файлы с расширением sav. Это делается для того, чтобы защитить ульи от ошибок, которые могут произойти в случае сбоя на графической стадии установки. Если процедура установки даст сбой на графической стадии, то после перезагрузки компьютера будет производиться повтор только графической стадии установки. SAV-файлы используются для перестройки ульев реестра

*Файлы, исключенные изWindows XP иWindows Server 2003

Проблема размера реестра

Одним из основных недостатков INI-файлов, использовавшихся для управления конфигурацией системы и приложений до введения реестра, являлась проблема, вызванная ограничением по размеру файла Win.ini, использовавшегося в ранних версиях Windows для хранения параметров настройки всех установленных в системе приложений. Каждое вновь устанавливаемое приложение вносило свои параметры в этот файл, вследствие чего он очень быстро рос. Когда размер файла Win.ini превышал установленное ограничение (не более 64 Кбайт), добавление новых записей в его состав создавало проблему, поскольку все дальнейшие изменения, вносимые в последние разделы этого файла (за пределами инициализационной границы), игнорировались.
Казалось, что с введением концепции реестра эта проблема была решена. Однако реестр, при всей своей прогрессивности, все же остался ограниченным по объему (на практике, его размер ограничивался до 80% от объема нерезидентного пула памяти). Поэтому проблема снова начала возникать с появлением приложений, интенсивно использующих реестр (к их числу относятся, например, СОМ и терминальные сервисы). При установке в системе таких приложений значительный объем нерезидентного пула поглощался реестром, оставляя слишком малый объем адресного пространства для других приложений, работающих в режиме ядра. В Windows NT/2000 для решения этой проблемы применяется ограничение по размеру реестра, т. е. существует возможность установить ограничение на размер, до которого может разрастаться реестр.
В отличие от Windows NT/2000, в Windows XP и Windows Server 2003 ограничение по размеру реестра практически снято. Код реестра был переработан таким образом, чтобы переместить реестр из нерезидентного пула и передать управление им диспетчеру кэша. Эта новая реализация позволяет реестру разрастаться до существенно больших размеров, нежели в предыдущих версиях, и фактически ограничивает его размеры только объемом доступного дискового пространства. Таким образом, ни в Windows XP, ни в Windows Server 2003 вы больше не найдете опции, позволяющей задать ограничение по размеру реестра.

Усовершенствования в структуре реестра

Новый подход к реализации реестра позволил также существенно повысить производительность системы за счет усовершенствований, перечисленных ниже.

  • Ускоренная обработка обращений к реестру. В Windows NT/2000 на производительность реестра влияла его фрагментация. Взаимосвязанные ячейки были разбросаны по всему файлу улья, вследствие чего попытки доступа к такой информации (например, поиск атрибутов ключа) могли приводить к генерации большого количества страничных прерываний и существенно снижали общую производительность системы. В Windows XP и Windows Server 2003 при выделении памяти для ячеек реестра применяется улучшенный алгоритм, при котором взаимосвязанным ячейкам реестра выделяется пространство в пределах одной и той же или близких страниц памяти, что снимает эту проблему.
  • Улучшенные механизмы для работы с данными большого объема. Во всех версиях, предшествующих Windows XP, неэффективно работающее приложение могло создавать разреженные файлы реестра большого объема за счет постоянного увеличения значения параметра реестра малыми приращениями. В Windows XP и Windows Server 2003 эта проблема решена за счет реализации разбиения крупных ячеек на цепочки ячеек размером по 16 Кбайт.

Администрирование реестра

Непосредственное редактирование реестра, даже в тех случаях, когда оно необходимо, при условии неумелого выполнения может привести к большим неприятностям. Поэтому, если вы чувствуете себя неуверенно или просто не можете позволить себе затратить значительное время для проведения восстановительных работ, не ставьте смелых экспериментов над реестром своей операционной системы (будь то Windows NT 4.0/Windows 2000, Windows XP или Windows Server 2003). Вполне возможно, что единственная ошибка приведет к необходимости переустановки операционной системы.

Примечание

Для выполнения задач по конфигурированию системы, по мере возможности, рекомендуется использовать административные утилиты, т. к. их применение всегда предпочтительнее непосредственного редактирования реестра. Этот метод намного безопаснее, поскольку административные средства не позволяют сохранять в реестре некорректные значения. Если в процессе редактирования реестра будет допущена ошибка, то некорректное значение будет сохранено без предупреждения.

Использование редактора реестра

Большинство операционных систем Windows имеет в своем составе утилиты, предназначенные для просмотра и редактирования реестра, так называемые редакторы реестра. В Windows NT/2000 существует два таких редактора. Традиционная программа редактирования реестра Windows NT носит название Regedt32.exe. Эта программа наследуется от предыдущих версий Windows NT и позволяет редактировать реестр Windows NT/2000 с помощью методов, которые не поддерживаются в Windows 9x/ME. Более новая программа, Regedit.exe, была первоначально написана для Windows 95. Она обладает многими из возможностей Regedt32.exe и снабжена интерфейсом Windows Explorer. Версия Regedit.exe, которая имеется в составе Windows NT/2000, почти полностью идентична аналогичному приложению, имеющемуся в составе Windows 9x/ME. По сравнению с Windows NT/2000, Windows XP и продукты из семейства Windows Server 2003 и в этой области предлагают усовершенствование. Теперь все задачи по редактированию реестра могут выполняться только с помощью редактора реестра Regedit.exe, который в дополнение к своим традиционным возможностям предоставляет и все функции, которые ранее были доступны только через редактор Regedt32.exe (установка разрешений на доступ к ключам реестра, импорт и экспорт поддеревьев реестра и др.).

Примечание

Стоит, правда, отметить и то, что Regedit.exe в Windows XP и Windows Server 2003 не реализует одной, но очень важной функции, которая была присуща Regedt.32.exe. Речь идет о возможности использования редактора реестра в режиме "только для чтения". Этот режим позволяет защитить реестр от случайных непреднамеренных изменений в процессе его просмотра и знакомства с его структурой. Именно наличие команды Read Only Mode в меню Options и делало Regedt32.exe предпочтительным средством, с помощью которого новички могли безбоязненно начинать знакомство со структурой реестра.

Запуск Regedit

По умолчанию утилита Regedit.exe в процессе установки операционной системы копируется в каталог %SystemRoot% (например, C:\Windows). Обычно редактор реестра запускается с помощью команды Run (Выполнить) меню Start (Пуск).
Редактор реестра можно также запустить из командной строки с ключом /s. В этом случае Regedit.exe не будет предоставлять графического пользовательского интерфейса и не будет запрашивать подтверждения пользователя на выполнение указанной ему операции. Эта опция позволяет использовать редактор реестра в командных файлах. Например, чтобы выполнить импорт файла реестра MyRegSettings.reg в состав реестра без запроса подтверждения, дайте следующую команду: Regedit /s MyRegSettings.reg

Интерфейс программы Regedit

Окно редактора реестра Regedit.exe состоит из четырех основных областей (рис. 24.3).

  • Строка меню. В этой строке содержатся основные пункты меню: File, Edit, View, Favorites (этот пункт меню впервые был введен в Windows 2000) и Help.
  • Левая панель (левое подокно). Отображает иерархию реестра, организованную в виде ключей (в литературе они часто обозначаются термином "разделы") и вложенных ключей (другие часто встречающиеся термины — "подключи" или "подразделы").
  • Правая панель (правое подокно). Показывает текущие параметры выбранного ключа реестра, известные также как значимые элементы (value entires). Каждый параметр реестра характеризуется именем, отображаемым в столбце Name правой панели, типом данных, отображаемым в столбце Туре (на тип данных указывает и небольшой значок, расположенный чуть левее имени), и значением, отображаемым в столбце Data.
  • Строка состояния. Строка состояния указывает путь к выбранному элементу реестра. Она нужна, чтобы отображать полный путь к ключу реестра, в составе которого содержится выделенный параметр.

Рис. 24.3. Окно редактора реестра Regedit.exe с обозначением основных областей

В окне редактора реестра Registry Editor отображаются ключи только верхнего уровня иерархии реестра, ответвляющиеся от значка My Computer. Это — имена корневых ключей, базовая информация о которых была приведена в начале этой главы.
Если выполнить щелчок мышью, указав курсором на значок [+], расположенный левее значка любой из папок, то развернется соответствующий ключ, в котором отобразится иерархия содержащихся в его составе вложенных ключей. Эта операция разворачивает дерево ключа реестра до следующего уровня вложенности и во многом напоминает аналогичную операцию раскрытия папок и вложенных папок в Explorer.
Если в составе вложенных ключей имеются другие вложенные ключи, то слева от них тоже будут находиться значки [+], которые можно в свою очередь развернуть для просмотра следующего уровня иерархии. Этот послойный метод организации реестра известен под названием вложения (nesting) и допускает множество уровней.
По достижении самого нижнего уровня вложения слева от вложенного ключа появится значок [—], который указывает, что дальнейшее раскрытие невозможно. После этого перемещение по иерархическому дереву будет возможно только в одном направлении — вверх. Если рядом с ключом нет ни значка [+], ни значка [—], это означает, что он не содержит вложенных ключей.
В табл. 24.5 приведен список клавиш, используемых для просмотра реестра с помощью Regedit.exe

Таблица 24.5. Клавиши, используемые в Registry Editor

Клавиша | Действие
<+> | Разворачивает выбранный ключ на один уровень, показывая вложенные подключи
<- > | Сворачивает выбранный ключ на один уровень
вверх | Перемещает вверх к следующему ключу
вниз | Перемещает вниз к следующему ключу
<- >> | Разворачивает выделенный ключ на один уровень, показывая его подключи; если подключен нет, то перемещает вниз к следующему ключу
<<-> | Сворачивает выделенный ключ, если он был развернут; в противном случае перемещает вверх к следующему ключу
<Таb> | Перемещает в другое подокно окна Registry Editor

В правой панели окна Registry Editor располагаются параметры реестра, каждый из которых характеризуется именем, типом данных, и собственно данными.
Каждый параметр реестра характеризуется именем. Многие параметры, предоставляемые Microsoft, используют имя Default (вы убедитесь в этом, когда начнете интенсивно работать с Registry Editor). Имена параметров располагаются в столбце Name правой панели окна Registry Editor. Эти имена присваиваются значимым элементам разработчиками приложений и физических устройств.
Типы данных, характеризующие параметры реестра, отображаются в столбце Туре.
Утилита Regedit.exe для удобства применяет также специальные значки, отображаемые чуть левее имен параметров и позволяющие быстро отличать двоичные данные от текстовых. Краткое описание значков, отображаемых в окне редактора реестра Regedit, приведено в табл. 24.6.

Таблица 24.6. Значки, соответствующие типам данных в окне Registry Editor

Тип данных | Описание
 | Означает, что данные имеют двоичный формат (типы данных REG_BINARY И REG_DWORD)
 | Означает текст и символы, которые вы можете прочесть, например, "On The Microsoft Network" (строковые типы данных - REG_EXPAND_SZ, REG_MULTI_SZ И REG_SZ)

В столбце Data располагаются собственно данные (текстовые или двоичные), соответствующие значению выбранного параметра. Эти данные можно редактировать, модифицировать или создавать в целях оптимизации той или иной функции.
Последующие разделы содержат инструкции по использованию этих возможностей, а также указания по внесению модификаций в реестр.

Команды меню File

Команда Import (Импорт) позволяет импортировать в реестр предварительно экспортированные REG-файлы и файлы ульев реестра.
Команда Export (Экспорт) позволяет сохранить весь реестр или его часть в виде REG-файла или файла другого типа, например, файла улья реестра или текстового файла формата ASCII.
Чтобы экспортировать ветвь реестра, выполните следующие действия:
1. Выделите ветвь реестра, затем выберите в меню File (Файл) команду Export.
2. В поле File name открывшегося диалогового окна Export Registry File (рис. 24.4) введите имя файла. По умолчанию файлу будет присвоено расширение reg. Чтобы сохранить экспортируемый файл в другом формате, выберите нужную опцию из списка Save as type, расположенного непосредственно под полем File name. Обратите внимание, что, несмотря на все внешнее сходство, утилиты Regedit.exe, поставляемые в составе Windows 9x, Windows NT 4.0, Windows 2000, Windows XP и Windows Server 2003, представляют собой разные версии этого приложения. Поэтому версия Regedit.exe из Windows XP или Windows Server 2003 позволяет сохранять экспортированные файлы реестра как в формате Windows XP/ Windows Server 2003 (для этой цели служит опция Registration Files (*.reg)), так и в формате файлов реестра Windows 9x/NT 4 (для этой цели служит опция Win9x/NT 4 Registration Files (*.reg)).

Рис. 24.4. Диалоговое окно Export Registry File

3. Если требуется сохранить часть реестра, выбирайте опцию сохранения только выделенной ветви реестра. Для этого установите переключатель Selected branch из группы Export range. Однако, если вы часто модифицируете реестр, то экспорт всего реестра целиком — неплохая идея. Это даст вам дополнительные гарантии восстановления в случае ошибки.
4. Нажмите кнопку Save.
Сохраненный файл можно просмотреть в текстовом редакторе, чтобы убедиться в правильности сохранения. Экспортированные файлы реестра содержат текст ASCII без каких-либо символов форматирования.

Внимание

Нужно помнить, что файлы с расширением гед по умолчанию ассоциированы с приложением Regedit.exe. По умолчанию над такими файлами выполняется операция merge (слияние), которая импортирует содержимое данного файла в реестр. Чтобы избежать случайного импорта в реестр экспортированного файла, будьте внимательны и осторожны при обращении с такого рода файлами.

Обращаясь с экспортированными файлами реестра, следует соблюдать осторожность, особенно в том случае, если экспорт производится с целью экспериментов. Например, опытные администраторы, хорошо знакомые с реестром, экспериментируют над своей системой или решают некоторые проблемы путем редактирования экспортированного файла реестра, а затем импортируют его обратно в систему. Однако перед тем, как вносить такие изменения, рекомендуется принять следующие меры предосторожности:
1. Предварительно создайте резервную копию экспортированного файла, который требуется редактировать. Если при редактировании будет допущена ошибка, которая приведет к возникновению проблем, можно будет импортировать в реестр резервную копию этого REG-файла.
2. Если вы часто экспериментируете с реестрами различных операционных систем, то экспортированные файлы реестров каждой из этих операционных систем рекомендуется держать отдельно друг от друга, в различных каталогах, специально выделенных для этой цели. Это поможет избежать случайного импорта в систему несовместимого файла реестра.
Команды Load Hive (Загрузить улей) и Unload Hive (Выгрузить улей) действуют по аналогии с одноименными командами, существовавшими в редакторе реестра Regedt32.exe. Они позволяют загрузить в реестр ранее сохраненный файл улья или выгрузить ранее загруженный файл улья соответственно. Следует отметить, что эти команды меню File действуют только применительно к ключам HKEY_USERS И HKEY_LOCAL_MACHINE и будут эфективны только в том случае, когда выбран один из этих ключей. Во всех остальных случаях эти команды будут недоступны. Улей, будучи загружен в реестр, станет вложенным ключом одного из упомянутых выше ключей.
Команда Connect Network Registry (Подключить сетевой реестр) позволяет выполнить редактирование реестра на другом компьютере, работающем в составе сети.
Чтобы отключиться от реестра, расположенного на удаленном компьютере, используется команда Disconnect Network Registry (Отключить сетевой реестр). Если вы на текущий момент не подключены к сетевому реестру, эта опция будет недоступна.

Примечание

Для выполнения таких процедур, как загрузка и выгрузка ульев, а также подключение к реестру удаленного компьютера, необходимо иметь права администратора или пользователя из группы Administrators. Если компьютер подключен к сети, то параметры настройки сетевой политики также окажут влияние на возможность выполнения этих процедур.

Команду Print из меню Registry можно использовать для распечатки выбранной ветви реестра (которая может потребовать довольно большое количество листов бумаги).
Команда Exit закрывает окно Regedit и завершает сеанс работы с этой программой.

Команды меню Edit

Команда Modify (Изменить) используется для изменения данных, содержащихся в составе параметров реестра. Эта опция будет доступна только в том случае, если выбрать один из параметров, перечисленных в правой панели окна Registry Editor. Команда Modify Binary Data (Изменить двоичные данные) позволяет редактировать любые данные (в том числе и данные других форматов) в окне двоичного редактора. Эта команда также будет доступна только в том случае, если выбран один из параметров реестра, перечисленных в правой панели окна редактора реестра.
Команда New (Создать) позволяет добавлять в реестр новые ключи и параметры строковых типов, двоичные параметры и параметры типа REG_DWORD (рис. 24.5). Выбирать тип параметра можно в подменю New в контекстном меню, раскрывающемся по нажатию правой кнопки мыши на выбранном ключе.

Рис. 24.5. Команда New позволяет добавлять в реестр новые ключи, а также строковые и двоичные параметры

Опции Rename (Переименовать) и Delete (Удалить) меню Edit позволяют, соответственно, переименовать или удалить значимый элемент реестра. Удалить значимый элемент можно и другим способом: выделите нужный элемент, выполнив на нем щелчок мышью, а затем нажмите клавишу <Del>. Аналогичным образом, для быстрого переименования значимого элемента можно указать на него курсором, выполнить щелчок правой кнопкой мыши, выбрать из контекстного меню команду Rename и ввести новое имя.

Примечание

Удаление параметров и ключей реестра с помощью утилиты Regedit — это необратимая операция. Regedit не имеет команды Undo, поэтому при удалении параметров и ключей следует соблюдать осторожность.

Команда Copy Key Name (Копировать имя раздела) позволяет скопировать в буфер обмена имя ключа, выделенного на текущий момент. Впоследствии скопированное имя можно вставить в любой текст с помощью команды Paste (Вставить), имеющейся в любом текстовом редакторе. Поскольку реестр представляет собой сложную иерархическую базу данных, пути к нужному элементу могут оказаться очень длинными и сложными для запоминания. Поэтому многие по достоинству оценили удобство этой функции. Команду Copy Key Name очень удобно использовать в сочетании с командами Find и Find Next.
Команды Find (Найти) и Find Next (Найти далее) используются для поиска конкретных элементов или данных (включая строки и слова) в реестре. Можно выполнять поиск ключей, параметров, данных или любой их комбинации. Искомые значения могут быть как текстовыми, так и числовыми. Наконец, особого внимания заслуживает команда Permissions (Разрешения), которая позволяет управлять правами доступа к ключам реестра и осуществлять аудит действий в отношении ключей реестра. Здесь необходимо упомянуть, что в Windows NT/2000 эти возможности были доступны только в Regedt32.exe, где для их установки требовалось использовать опции меню Security. В Windows XP и Windows Server 2003 все эти функциональные возможности были интегрированы в состав редактора реестра Regedit.exe. Права доступа к ключам реестра можно назначать вне зависимости от типа файловой системы на разделе, где содержатся файлы операционной системы.

Примечание

Изменение прав доступа к ключу реестра может иметь серьезные последствия. Например, если вы установите права доступа типа No Access на ключ, необходимый для конфигурирования сети с помощью опции Network Connections из Control Panel, то это приложение работать не будет. Права полного доступа (Full Control) к ключам реестра должны иметь, как минимум, члены группы Administrators и сама операционная система (Operating System). Такая установка прав доступа позволяет гарантировать возможность восстановления ключа реестра администратором при запуске системы.

Поскольку установка ограничений по правам доступа к ключам реестра может иметь серьезные последствия, зарезервируйте эту меру для ключей, добавляемых вами с целью настройки отдельных индивидуально разработанных приложений или иных видов индивидуальной настройки. Изменив права доступа к ключам реестра, обязательно установите в системе аудит, а затем проведите наблюдения за различными видами системной активности, регистрируясь в системе с использованием различных пользовательских и административных учетных записей.

Примечание

Для того чтобы получить возможность выполнить эти действия, необходимо зарегистрироваться в системе от имени пользователя, имеющего административные права.

В Regedit.exe команды из меню Permissions по назначению ключам реестра прав владельца и прав доступа работают по такому же принципу, как и аналогичные команды Windows Explorer по установке прав доступа к файлам и каталогам на разделах NTFS. Чтобы установить права доступа к конкретному ключу реестра, проделайте следующее:
1. Перед внесением изменений выполните резервное копирование тех ключей реестра, на которые будут устанавливаться права доступа.
2. Выделите ключ, на который собираетесь установить права доступа. После этого выберите команду Permissions меню Edit.
3. В открывшемся диалоговом окне (рис. 24.6) выберите имя нужного пользователя или группы в поле Group or user names (Группы или пользователи) и установите для них нужный тип прав доступа в поле Permissions for <group or user name>. Типы прав доступа, которые вы сможете установить, перечислены в табл. 24.7.

Таблица 24.7. Типы прав доступа к ключам реестра

Тип доступа | Описание
Read | Позволяет пользователям, внесенным в список Permissions, просматривать содержимое ключа реестра, не позволяя сохранять изменения
Full Control | Позволяет пользователям, внесенным в список Permissions, получать доступ к ключу, редактировать его содержимое и изменять к нему уровень прав доступа
Special Permissions | Предоставляет пользователям, внесенным в список Permissions, индивидуально назначаемые комбинации прав доступа и редактирования к избранному ключу. Подробное описание типов и комбинаций Special Permissions можно найти далее в этой главе

Рис. 24.6. Диалоговое окно, позволяющее задать права доступа к ключам реестра

4. Чтобы установить аудит на доступ к реестру и задать комбинацию прав доступа типа Special Permissions, нажмите кнопку Advanced (Дополнительно). Раскроется диалоговое окно Advanced Security Settings for <Registry Key Name>, где <Registry Key Name> — имя ключа, для которого требуется задать расширенные права доступа (рис. 24.7). Выберите имя пользователя или группы из списка Permission entries и нажмите кнопку Edit. Раскроется следующее окно (рис. 24.8), в котором вам будут предоставлены опции по расширенному редактированию прав доступа к ключам реестра. Типы прав доступа, которые вы сможете установить в этом окне, перечислены в табл. 24.8.

Таблица 24.8. Флажки диалогового окна Permission entry for

Флажок | Назначаемые права
Query Value | Дает право чтения значимых элементов из ключа реестра
Set Value | Дает право установить значимый элемент в ключе реестра
Create Subkey | Дает право создавать подключи в выбранном ключе реестра
Enumerate Subkey | Дает право идентифицировать подключи выбранного ключа реестра
Notify | Дает право установить аудит на ключи реестра
Create Link | Дает право создавать символические ссылки в конкретном подключе реестра
Delete | Дает право удаления выделенного ключа
Write DAC | Дает право получать доступ к ключу и создавать/модифицировать для него список контроля доступа (Access Control List, ACL)
Write Owner | Дает право присвоения прав владельца данного ключа
Read Control | Дает право просматривать параметры безопасности, установленные для данного ключа

Рис. 24.7. Окно Advanced Security Settings for Winlogon

Рис. 24.8. Окно, предоставляющее расширенные опции по редактированию прав доступа к ключам реестра

Как системный администратор, вы можете присвоить себе права владельца на ключ реестра и ограничить доступ к этому ключу. Заменить права владельца можно на вкладке Owner, а установить аудит — на вкладке Auditing.
Пользователь, зарегистрировавшийся на компьютере с правами администратора, может присвоить себе права владельца на любой ключ реестра. Однако, если администратор будет иметь права владельца на ключ без прав доступа типа Full Control, то ключ не может быть возвращен первоначальному владельцу, а в журнале аудита появится соответствующее сообщение.
Аудит действий в отношении реестра
Чтобы установить аудит на действия в отношении реестра, необходимо выполнить следующие действия:
1. Активизировать в системе аудит и задать политику аудита на все события, которые, с вашей точки зрения, подлежат аудиту.
2. Указать пользователей и группы, за действиями которых в отношении выбранных ключей реестра требуется установить аудит. Воспользуйтесь для этого вкладкой Auditing (Аудит) окна, показанного на рис. 24.7.
3. Результаты аудита можно просматривать в системном журнале Security с помощью оснастки Event Viewer.
Чтобы иметь возможность выполнить любое из указанных выше действий, необходимо зарегистрироваться на компьютере с использованием учетной записи из группы Administrators. Политика аудита задается для каждого компьютера индивидуально. Прежде чем задавать политику аудита в отношении избранных ключей реестра, необходимо активизировать на компьютере аудит событий, имеющих отношение к системе безопасности.

Примечание

Как минимум, при установке аудита необходимо выбрать опцию Failure (Отказ) для событий типа File and Object Access. Если выбрать опцию Success (Успех), то в системном журнале может появиться большое количество записей, не имеющих большой практической значимости.

Команды меню View

Команда Status Bar (Строка состояния) меню View (Вид) позволяет при желании отключить строку состояния. Поскольку строка состояния помогает быстрее ориентироваться в реестре, отображая путь к текущему ключу, ее рекомендуется постоянно держать включенной.
Опция Split (Разделить) перемещает курсор мыши на разделитель левой и правой частей окна Registry Editor, после чего остается только переместить мышь влево или вправо, чтобы найти удобную позицию для разделителя, и выполнить щелчок левой кнопкой мыши.
Команда Display Binary Data (Вывод двоичных данных) из меню View, впервые появившаяся в Windows XP, становится доступной только после того, как вы выберете один из параметров реестра, отображаемых в правой панели окна Registry Editor. Эта команда позволяет вам просматривать значение параметра, используя один из следующих трех форматов: Byte, Word или Dword (рис. 24.9). Обратите внимание, что эта команда не позволяет вам выполнять редактирование данных (если вам требуется выполнить именно эту операцию, следует выбрать команду Modify Binary Data из меню Edit).
В меню View имеется еще одна команда — Refresh (Обновить). При внесении изменений в реестр не все они могут отображаться в окне редактора реестра немедленно после внесения модификации. Обновить окно Registry Editor можно с помощью команды Refresh или нажатием клавиши <F5>.

Примечание

Как правило, в Windows NT 4.0 многие изменения (в том числе и внесенные путем редактирования реестра) входят в силу только после перезагрузки системы. В Windows 2000 впервые (для операционных систем Windows NT) была введена полноценная поддержка Plug and Play, которая была расширена и усе- вершенствована в Windows XP и Windows Server 2003. Поэтому перезагрузок потребуется меньше. Тем не менее, ряд модификаций все же входят в силу только после перезагрузки операционной системы.

Рис. 24.9. Окно Binary Data позволяет просматривать значение выбранного параметра реестра в одном из трех возможных форматов — Byte, Word или Dword

Меню Favorites

Одним из полезных новшеств, впервые появившихся в Windows 2000, является то, что пункт меню Favorites (Избранное) присутствует теперь повсюду, и редактор реестра Regedit.exe — не исключение (рис. 24.10).
Все, кто часто выполняет поиск ключей и значимых элементов в реестре, а также интенсивно занимается его редактированием, по достоинству оценят эту удобную функциональную возможность. С помощью меню Favorites можно создать список наиболее часто редактируемых ключей реестра (и не повторять затем громоздкую процедуру поиска).
Чтобы добавить ключ реестра в список Favorites, проделайте следующее:
1. Выделите ключ реестра, который требуется добавить в список Favorites.
2. В меню Favorites выберите команду Add to Favorites (Добавить в избранное).
3. В раскрывшемся диалоговом окне Add to Favorites (рис. 24.11) согласитесь с именем ключа, предложенным по умолчанию, или введите новое имя в поле Favorite name. Нажмите кнопку ОК, и ключ появится в списке Favorites.
Теперь вы в любой момент сможете быстро перейти к нужному ключу, выбрав его имя из списка Favorites. Удалить ключ реестра из списка Favorites очень просто — для этого достаточно выбрать в меню Favorites команду Remove Favorite (Удалить из избранного), а затем в раскрывшемся диалоговом окне выделить ключ, который требуется удалить из списка Favorites, и нажать кнопку ОК.

Рис. 24.10. С выходом Windows 2000 в Regedit появился пункт меню Favorites

Рис. 24.11. Диалоговое окно Add to Favorites

Резервное копирование и восстановление реестра

Прежде чем завершить эту главу примерами, позволяющими на практике освоить методы редактирования реестра, необходимо напомнить, что реестр является жизненно важным компонентом системы, и единственная ошибка в его редактировании может привести к проблемам в работе с системой, включая и проблемы с загрузкой. Если реестр окажется поврежденным, а в вашем распоряжении не найдется работоспособной и пригодной к использованию резервной копии, то весьма высока вероятность того, что единственным методом решения возникшей проблемы будет переустановка операционной системы.
Таким образом, прежде чем начинать редактирование реестра, необходимо выполнить его резервное копирование. Windows XP и Windows Server 2003 предоставляют множество методов резервного копирования реестра, в том числе перечисленные ниже.

  • Экспорт ключа реестра, который вы собираетесь редактировать. Это простейший метод резервного копирования реестра, который рекомендуется выполнять в любом случае. Если внесенные вами изменения приведут к нежелательным эффектам, вы сможете быстро восстановить первоначальное состояние путем импорта этого файла в реестр.
  • System Restore — функция System Restore создает точки восстановления, фактически представляющие собой "моментальные снимки" системной конфигурации, которая включает в себя и данные реестра. Перед внесением любых серьезных изменений в конфигурацию системы (включая и непосредственное редактирование реестра) рекомендуется вручную создать точку восстановления, которая позволит выполнить быстрое восстановление системы в случае возникновения неполадок и проблем с загрузкой. Что особенно важно, System Restore может применяться как при нормальном режиме загрузки, так и в безопасном режиме (safe mode). Следует, однако, отметить, что данная функция имеется только в Windows XP.
  • Процедура автоматического восстановления поврежденной системы (Automated System Recovery, ASR). Никогда не пренебрегайте подготовкой к процедуре ASR перед внесением серьезных изменений в конфигурацию системы. Процедуры подготовки и выполнения ASR были подробно рассмотрены в главе 23 "Восстановление системы".
  • Резервное копирование системных конфигурационных данных (System State). Подобно предыдущим двум опциям, этот вариант резервного копирования реестра подробно рассматривался в главе 23. Здесь же стоит отметить один факт, весьма важный с точки зрения резервного копирования и восстановления реестра, а именно: при выполнении резервного копирования системных конфигурационных данных система сохраняет резервные копии файлов реестра в каталоге %SystemRoot%\repair. Если ульи реестра получат повреждения, то вы можете воспользоваться этими резервными копиями для восстановления системы, не прибегая к громоздкой процедуре переустановки системы и последующего восстановления системных конфигурационных данных. Однако пользоваться этим методом могут только опытные пользователи, которые отлично понимают, что именно они делают.
  • Ручное резервное копирование реестра. Чтобы выполнить ручное резервное копирование и восстановление реестра Windows NT/2000/XP или Windows Server 2003, скопируйте на съемный носитель следующие файлы, хранящиеся в каталоге %SystemRoot%\system32\config:
    • Appevent.evt
    • Secevent.evt
    • Sysevent.evt
    • Default
    • Security
    • System
    • Default.log
    • Security.log
    • System.alt*
    • Default.sav
    • Software
    • System.log
    • Sam
    • Software.log
    • System.sav
    • Sam.log
    • Software.sav
    • Userdiff

* Файл, присутствующий только в Windows NT/2000.

Примечание

Использование этого метода резервного копирования и восстановления реестра сопряжено с некоторыми сложностями. Так, весьма логично было бы использовать для резервного копирования дискету емкостью 1,44 Мбайт, но отнюдь не всегда ее объема хватит для копирования всех файлов. Далее, если раздел, на котором установлена поврежденная копия Windows XP или Windows Server 2003, отформатирован для использования NTFS, то вы столкнетесь с некоторыми трудностями при загрузке с дискет MS-DOS или Windows 9x/ME (хотя эта трудность легко преодолима, если вы воспользуетесь утилитой NTFSDOS, которую можно загрузить, посетив сайт http://www.sysinternals/com). Помимо этого, в данной ситуации могут помочь загрузочная дискета Windows Server 2003, параллельная установка операционной системы, а также Recovery Console.

Некоторые методы решения проблем путем редактирования реестра

Теперь, после рассмотрения общих концепций реестра и его усовершенствований, введенных с выходом Windows XP и Windows Server 2003, средств и методов его редактирования, резервного копирования и восстановления, рассмотрим пару примеров настройки и конфигурирования Windows, а также решения проблем и устранения неполадок с помощью редактирования реестра. Цель этих примеров — продемонстрировать на практике методы модификации системного реестра, рассмотренные в предыдущих разделах данной главы.
Стоит также отметить, что некоторые из приведенных методов специфичны для Windows Server 2003, в то время как некоторые другие применимы также и к Windows NT/2000.

Пример 1. Удаление недействительных записей из списка установленных программ

Утилита Add/Remove Programs на панели управления предназначена для установки, удаления или модификации приложений, установленных в Windows. В Windows XP и Windows Server 2003 эта программа-мастер обладает существенно улучшенным и интуитивно понятным пользовательским интерфейсом (рис. 24.12).

Рис. 24.12.Окно Add or Remove Programs

Однако, несмотря на все улучшения, в работе этого мастера могут возникать неполадки, вызванные некорректно или не полностью удаленными приложениями. В частности, если одно из приложений удалено некорректно, то ссылка на него по-прежнему будет фигурировать в списке Currently installed programs. При этом любая попытка воспользоваться мастером установки и удаления приложений (путем нажатия на кнопку Change/Remove) будет приводить к появлению сообщений об ошибке, информирующих пользователя об отсутствии файлов, требующихся для корректного удаления приложения и невозможности завершить процедуру удаления. Несуществующие приложения по-прежнему останутся в списке. Возникновение данной проблемы возможно как в Windows 9x/ME, так и в Windows NT/2000/XP и Windows Server 2003.
Чтобы устранить эту проблему и удалить несуществующие приложения из списка установленных программ, проделайте следующее:
1. Запустите редактор реестра (Regedit.exe) и раскройте ключ HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Windows\CurrentVersion\Uninstall.
2. В составе этого ключа найдите вложенный ключ, соответствующий приложению, которое требуется удалить из списка установленных программ. Если наименование программы не следует с очевидностью из имени вложенного ключа, просмотрите содержимое всех вложенных ключей списка. В составе каждого из вложенных ключей имеется параметр DispiayName, значение которого представляет собой строки, отображаемые мастером установки и удаления программ.
3. Обнаружив ключ, в составе которого имеется параметр DispiayName, задающий имя приложения, которое должно быть удалено из списка установленных программ, удалите этот ключ вместе со всем его содержимым.
Никогда не удаляйте ключ Uninstall целиком!
4. Закройте редактор реестра и убедитесь в том, что мастер установки и удаления программ больше не отображает несуществующего приложения.

Примечание

Действуя в соответствии с этой рекомендацией, вы удалите из реестра только ссылку на несуществующее приложение, отображаемую мастером установки и удаления программ. Несмотря на это, существует вероятность того, что некоторые из файлов некорректно удаленного приложения все же останутся в системе. Чтобы полностью удалить такое приложение, вам необходимо удалить из системы все его файлы и все параметры реестра, относящиеся к этому приложению.

Пример 2. Принудительный показ "Синего экрана смерти"

Сразу же следует сказать, что в Windows XP и Windows Server 2003 появление "Синего экрана смерти" (Blue Screen of Death, BSOD) стало гораздо более редким событием, нежели в Windows NT/2000. Как правило, теперь Windows корректно обрабатывает многие ситуации, которые в предыдущих версиях могли вызвать такого рода сбой.
Однако, если вы хотите в ознакомительных целях посмотреть, что же представляет собой пресловутый "Синий экран" (который более подробно будет рассмотрен в следующей главе), вы можете это сделать путем несложного редактирования реестра. Данный совет применим как к Windows 2000/XP, так и к операционным системам из семейства Windows Server 2003. Дело в том, что все перечисленные операционные системы имеют возможность искусственной генерации ошибки ядра (сообщения STOP) с последующим созданием аварийного дампа памяти (Memory.dmp). Экран сообщения STOP, который при этом появится, будет содержать следующее сообщение:

*** STOP: 0x000000E2 (0x00000000,0x00000000,0x00000000,0x00000000) The end-user manually generated the crashdump.

По умолчанию эта функция блокирована. Для ее активизации следует открыть реестр, найти ключ HKEY_LOCAL_MACHINE \SYSTEM\CurrentcontrolSet\ Services\i8042prt\Parameters, добавить В его состав параметр CrashOnCtrlScroll(тип данных REG_DWORD) и установить его равным 1.
После перезагрузки вы сможете вручную создать аварийный дамп и посмотреть на "синий экран". Для этого нажмите правую клавишу <Ctrl> и, удерживая ее в этом состоянии, дважды нажмите клавишу <Scroll Lock>

Пример 3. Конфигурирование программы Backup путем редактирования реестра

Если вы регулярно выполняете резервное копирование вашей системы, то уже наверняка заметили, что встроенная программа Backup, имеющаяся в составе Windows 2000, Windows XP и Windows Server 2003, исключает из резервного копирования целый ряд файлов. Чтобы просмотреть список этих файлов, запустите программу Backup, затем выберите команду Options из меню Tools и перейдите на вкладку Exclude Files (Исключить файлы) (рис. 24.13).
В обычных условиях, вероятнее всего, эти файлы действительно должны быть исключены из процессов резервного копирования и восстановления. Однако возможны и такие ситуации, когда системный администратор захочет включить эти файлы в процедуры резервного копирования и восстановления системы.
Все файлы, которые по умолчанию исключаются из процедур резервного копирования и восстановления, перечислены под следующим ключом реестра: HKLM\SYSTEM\CurrentControlSet\Control\ BackupRestore\FilesNotToBackup (рис. 24.14).
Несмотря на то, что на вкладке Exclude Files окна Options программы Backup пользователю предоставляется возможность редактирования списка файлов, исключаемых из процессов резервного копирования и восстановления, внесенные изменения будут действовать только применительно к тому пользователю, от имени которого вы зарегистрировались в системе (т. е. они будут записаны в реестре под ключом HKEY_CURRENTJJSER).

Рис. 24.13. Вкладка Exclude Files окна Options встроенной программы Backup

Рис. 24.14. Содержимое ключа HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToBackup

Таким образом, если вам требуется отредактировать этот список файлов таким образом, чтобы изменения действовали в масштабах всей системы, вам не избежать ручного редактирования реестра.
Параметры, которые по умолчанию находятся в составе ключа FilesNotToBackup (все они имеют тип данных REG_MULTI_SZ), перечислены в табл. 24.9.

Таблица 24.9. Список параметров реестра ключа FilesNotToBackup

Параметр | Значение
ASR error file* | %SystemRoot%\repair\asr.err
ASR log file* | %SystemRootf%\repair\asr.log
Catalog database* | %SystemRoot%\sysiem32\CatRoot2\ * /s
Client Side Cache | %SystemRoot%\csc\* /s
ComPlus | %SystemRoot/%\Registration\*.crrnlog /s
Digital Rights Management (DRM) folder* | %SystemDrive%\Documer\te and SettingsW/ l/sers\DRM\* /s
Internet Explorer | %UserProfile%\mdex.dai /s
Memory Page File | \Pagefile.sys
Microsoft Writer (Bootable state)* | %SystemRoot%\Registration\*.clb \ *. crmlog /s
Microsoft Writer (Service state)* | %SystemRoot%\system32\NtmsData\*
MS Distributed Transaction | %SystemRoot%\system32\DTCLog\MSDTC.LOG
Netlogon* | %SystemRoot%\netlogon.chg
NTDS** | %SystemRoot%\NTDS\*
NtFrs | %SystemRoot%\ntf rs\jet\* /s %SystemRoot%\debug\NtFrs* %SystemRoot%\sysvol\domain \DO_NOT_REMOVE_NtFrs_Prelnstall_Directory\*/s %SystemRoot%\sysvol\domain \NtFrs_PreExisting __ See_EventLog\* /s %SystemRoot%\sysvol\staging\domain\NTFRS_*
Power Management | \hiberfil.sys
Registry Writer** | %SystemRoot%\system32\NtmsData\*
Task Scheduler** | %SystemRoot%\Jasks\sc hed Ig u . txt
Temporary Files | %TEMP%\* /s
VSS Default Provider* | \System Volume lnformation\*{3808876B-C176-4e48-B7AE-04046E6CC752} /s
VSS Service Alternate DB** | \System Volume lnformation\*.{7cc467ef-6865-4831-853f-2a4817fd1bca}ALT
VSS Service DB** | \System Volume lnformation\*.{7cc467ef-6865-4831-853f-2a4817fd1bca}DB
Winlogon debug** | %W//VD/R%\debug\*

* Параметры, новые для Windows XP.
** Параметры, новые для Windows Server 2003.
Еще более сложная ситуация возникает с ключами реестра, которые должны исключаться из процесса резервного копирования. Эти ключи даже не перечисляются на вкладке Exclude Files окна Options; следовательно, пользовательский интерфейс не предоставляет возможности их редактирования. Сам этот список хранится в реестре под ключом HKLM\SYSTEM\ CurrentContrоlSet\Control\BackupRestore\KeysNotToRestore (рис. 24.15).
Список параметров реестра, по умолчанию исключаемых из процесса резервного копирования в Windows Server 2003, приведен в табл. 24.10.

Таблица 24.10. Список параметров ключа HKLM\SYSTEM\Current ControlSet\Control\BackupRestore\KeysNotToRestore

Параметр | Значение
Active Directory Restore | CurrentControlSet\Services\NTDS\Restore In Progress \CurrentControlSet\Services\NTDS\Parameters \New Database QUID
ASR Information | CurrentControlSet\Control\ASR\
Fault Tolerance | Disk\
Installed Services | CurrentControlSet\Services\*
LDM Boot Information | CurrentControlSet\Services\dmio\boot info\
LDM Boot Information (dmboot) | CurrentControlSet\Services\dmboot\
Mount Manager | Мои nted Devices\
NtFrs | CurrentControlSet\Services\NtFrs\Parameters\Backup/Re store\Process at Startup\
Pending Rename Operations | CurrentControlSet\Control\Session Man-ager\PendingFileRenameOperations
Plug and Play | CurrentControlSet\Enum\CurrentControlSet \Control\CriticalDeviceDatabase\
Removable Storage Manager | CurrenlControlSet\Control\NTMS\lrnporlDatabase
Session Manager | CurrentControlSet\Control\Session
Windows Setup | Setup\SystemPartition

Рис. 24.15. Содержимое ключа реестра HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\KeysNotToRestore

Примечание

Обратите внимание на то, что в составе ключа реестра HKLM\SYSTEM\ CurrentControlSet\Control\BackupRestore В Windows XP И Windows Server 2003 появился новый вложенный ключ — HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Control\BackupRestore\AsrKeysNotToRestore (рис. 24.16). Как видно из приведенной иллюстрации, этот ключ содержит параметр Plug & Play, указывающий на базу данных критических устройств. Редактировать этот параметр не следует, поскольку эта база данных содержит устройства, для которых программа Windows Setup должна произвести повторную энумерацию в ходе процесса ASR.

Рис. 24.16. Ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\BackupRestore\AsrKeysNotToRestore

Пример 4. Конфигурирование регистрации событий, связанных с квотированием диска

Большинство опытных пользователей и администраторов оценили новую весьма полезную возможность квотирования дискового пространства, появившуюся впервые в составе Windows 2000 и, безусловно, присутствующую в Windows XP и Windows Server 2003. События, связанные с квотированием дискового пространства, могут регистрироваться в системном журнале, и вкладка Quota (Квота) окна свойств диска NTFS предоставляет простейшие опции для конфигурирования режима регистрации этих событий (рис. 24.17).
По умолчанию регистрация событий, связанных с квотированием дискового пространства, происходит асинхронно (один раз в час). Если вы хотите, чтобы система регистрировала такие события немедленно после того, как пользователь превысит пороговое значение, раскройте редактор реестра, найдите ключ HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\ Filesystem и создайте параметр NtfsQuotaNotifyRate (тип данных REG_DWORD). Задайте для этого параметра значение, соответствующее требуемой частоте регистрации событий квотирования в системном журнале (временной интервал в секундах).

Рис. 24.17. Вкладка Quota окна свойств раздела NTFS

Пример 5. Снижение вероятности инсталляции "троянских коней"

Большинство вирусов, "червей" и "троянских коней" регистрируют свою информацию в системном реестре с тем, чтобы автоматически стартовать при загрузке операционной системы. Список излюбленных ключей, которые чаще всего используются в этих целях, приведен ниже:

  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run
  • HKEY__LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunOnce
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServicesOnce
  • HKEYJJSERS\DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\ Run
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServices
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunOnce
  • HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunServicesOnce
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ RunOnceEx

Поэтому, если вы подозреваете такого рода атаку на свой компьютер, эти ключи реестра необходимо проверить в первую очередь. Более того, список таких ключей реестра постоянно пополняется. За последнее время, помимо традиционного списка ключей, приведенного выше, в него были включены и следующие ключи реестра:

  • HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Controls Folder
  • HKLM\Software\Microsoft\Windows\CurrentVersion\DeleteFiles
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Extensions
  • HKLM\Software\Microsoft\Windows\CurrentVersion\ExtShellViews
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings
  • НКM\Software\Microsoft\Windows\CurrentVersion\ModuleUsage
  • HKLM\Software\Microsoft\Windows\CurrentVersion\RenameFiles
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Setup
  • HKLM\Software\Microsoft\Windows\CurrentVersion\SharedDLLs
  • HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions
  • HKLM\Software\Microsoft\Window-s\CurrentVersion\Uninstall
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\Compatibility
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\Drivers
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\drivers.desc
  • HKLMXSoftware\Microsoft\Windows NT\CurrentVersion\Drivers32\0
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\Embedding
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\MCI
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\MCI Extensions
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\Ports
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\ProfileList
  • HKLM\Software\Microsoft\Windows NT\CurrentVersion\WOW

Разумеется, приведенные здесь советы и рекомендации не заменят собой ни антивирусного программного обеспечения, ни системы обнаружения атак. Однако они все же смогут обеспечить хотя бы минимальную защиту от неприятных "подарков" и рекомендуются в качестве дополнительных защитных мер.
Итак, чтобы минимизировать риск инсталляции "троянских коней", следует запретить этим программам доступ к реестру путем установки аудита на доступ к перечисленным ключам и редактирования прав доступа к ним. Общая рекомендация сводится к следующему: права типа Full Control к этим ключам должны иметь только пользователи из группы Administrators и встроенная учетная запись SYSTEM. В Windows XP и Windows Server 2003 эта задача выполняется с помощью редактора реестра Regedit.exe.

Пример 6. Редактирование реестра с целью защиты DNS-серверов от DoS-атак

Атаки типа "отказ в обслуживании" (Denial of Service, DoS-attacks) и особенно распределенные атаки (Distributed Denial of Service, DDoS) за последние несколько лет начали представлять собой одну из наиболее серьезных угроз безопасности сетей любого масштаба. При этом количество таких атак с каждым годом растет, и теперь уже практически никто не может считать себя полностью от них застрахованным. Подобно рекомендациям, рассмотренным в предыдущем разделе, советы, приведенные здесь, не дадут полной гарантии защиты от атак сервера DNS. Однако они послужат хорошим дополнением к принимаемым вами мерам защиты.

Примечание

Перед тем как вносить описанные ниже изменения в конфигурацию сервера, используемого в производственном процессе, рекомендуется испытать их в лабораторных условиях.

Все параметры реестра, описанные в данном разделе, находятся под ключом реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\ Parameters (рис. 24.18).
Краткие описания этих параметров и рекомендуемые значения приведены ниже.

  • EnableDeadcwDetect (тип данных REG_DWORD). Значение по умолчанию позволяет TCP/IP переключаться на дополнительный шлюз в том случае, когда большое количество соединений начинает испытывать проблемы. Такое поведение нежелательно в случае DoS-атак, поскольку в этом случае трафик может быть перенаправлен на шлюз, который не является объектом постоянного мониторинга. Поэтому установите для данного параметра значение 0.

Рис. 24.18. Ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

  • EnablePMTUDiscovery (тип данных REG_DWORD). Значение, по умолчанию устанавливаемое для данного параметра, позволяет TCP/IP определять максимальный размер передаваемого фрагмента (maximum transmission unit, MTU), который может быть передан системе. В принципе, это опасно, поскольку дает возможность обойти систему защиты или вывести ее из строя путем передачи фрагментированного трафика (например, многие системы обнаружения атак не умеют правильно восстанавливать фрагментированные IP-пакеты). Если для этого параметра установить значение 0, то MTU всегда будет установлено на значение 576 байт.
  • KeepAlive (тип данных REG_DWORD). Этот параметр указывает, насколько часто будет осуществляться проверка и верификация активности открытых соединений. Для этого параметра рекомендуется установить значение 300 000.
  • synAttackProtect (тип данных REG_DWORD). Создание этого параметра позволяет защититься от атак SYN Flood, препятствующих нормальному процессу установления соединения между клиентом и сервером. При нормальных условиях, этот процесс протекает в три этапа.
    • Клиент отправляет серверу запрос на установление соединения (SYN).
    • Сервер отвечает отправкой подтверждения (SYN-ACK).
    • Клиент подтверждает прием, отправляя сообщение АСК.

Если сервер стал мишенью для атаки SYN Flood, он будет получать огромное количество запросов на соединения, что создаст препятствия в получении подтверждений от клиентов и, таким образом, не позволит легальным пользователям устанавливать соединения. Рекомендуемое значение для этого параметра — 2 (можно также установить значение 1, но оно действует менее эффективно).

Пример 7. Конфигурирование Windows для очистки файла подкачки при останове системы

Некоторые программы могут временно хранить пароли и другую конфиденциальную информацию в памяти в незашифрованном виде. Поскольку Windows периодически сбрасывает эту информацию на диск, она может присутствовать в файле подкачки (Pagefile.sys), что представляет собой потенциальную угрозу безопасности системы. Таким образом, пользователи, обеспокоенные безопасностью системы, наверняка захотят сконфигурировать ее таким образом, чтобы при останове происходила очистка файла подкачки.

Примечание

Эта рекомендация универсальна и применима ко всем версиям Windows NT (начиная с NT 3.51 и заканчивая продуктами из семейства Windows Server 2003). Обратите внимание на то, что очистка файла подкачки при останове системы не является заменой физической безопасности компьютера. Однако она поможет обезопасить вашу конфиденциальную информацию, когда операционная система не загружена (например, компьютер загружен под управлением альтернативной ОС).

Чтобы сконфигурировать Windows для очистки файла подкачки при останове, проделайте следующее:
1. Для Windows XP и Windows Server 2003 запустите редактор реестра Regedit.exe. Для выполнения той же задачи в Windows NT/2000, запустите Regedt32.exe.
2. Найдите ключ реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ Session Manager\Memory Management
3. Создайте параметр ClearPageFileAtshutdown (тип данных — REG_DWORD) и установите его значение равным 1.

Примечание

Чтобы внесенное изменение вошло в силу, перезагрузите компьютер.

Пример 8. Устранение неполадок при останове системы

В ряде случаев во время останова системы вы можете столкнуться с ситуацией, когда одно из приложений перестает реагировать на системные сообщения (рис. 24.19). Что еще хуже, если такая ситуация возникает постоянно, она будет препятствовать нормальному и корректному останову системы. Причина проблемы заключается в том, что при останове Windows каждому из работающих процессов отводится определенный интервал времени, в течение которого он должен корректно завершить свою работу. Если процесс этого сделать не успевает, на экране появляется приведенное на иллюстрации диалоговое окно.

Рис. 24.19. Процесс, не укладывающийся в отведенный временной интервал, препятствует корректному останову Windows

Чтобы устранить эту проблему, следует модифицировать значение параметра WaitToKillAppTimeout под следующим ключом реестра: HKEY_CURRENT_USER\Control Panel\Desktop
Значение указывается в миллисекундах. Увеличьте этот интервал (в разумных пределах) и перезагрузите систему, чтобы внесенное изменение вошло в силу.

Примечание

Как правило, этот интервал не рекомендуется увеличивать слишком сильно, поскольку в случае сбоя в подаче питания UPS может оказаться не в состоянии подавать резервное питание достаточно долго для того, чтобы обеспечить корректный останов ОС.


Сообщения системы и отладчик

  • Сообщения системы и отладчик
  • Функция Error Reporting в Windows Server 2003
  • Функция Shutdown Event Tracker
  • Подготовка к устранению проблем
  • Экран сообщения STOP
    • Составные части сообщения STOP
    • Типы сообщений STOP
      • Сообщения STOP, появляющиеся в процессе работы с Windows
      • Сообщения STOP, появляющиеся в процессе установки Windows
      • Сообщения STOP, появляющиеся при инициализации исполняющей подсистемы (Executive)
      • Сообщения STOP, вызванные программными прерываниями
  • Сообщения, свидетельствующие о неполадках в работе аппаратных средств
  • Рекомендации по устранению ошибок STOP
    • Общая методика
    • Наиболее распространенные ошибки STOP
      • STOP 0x0000000A - IRQL_NOT_r_LESS_OR_EQUAL
      • STOP 0x0000000lE - KMODE_EXCEPTION_NOT_HANDLED
      • STOP 0x00000024 - NTFS_FILE_SYSTEM
      • STOP 0x0000002E - DATA_BUS_ERROR
      • STOP 0x00000050 - PAGE_FAULT_IN_NONPAGED_AREA
      • STOP 0x00000077 - KERNELJSTACK_INPAGE_ERROR
      • STOP 0x00000079 - MISMATCHED_HAL
      • STOP 0x0000007A - KERNEL_DATA_INPAGE_ERROR
      • STOP 0x0000007B - INACCESS1BLE_BOOT_DEVICE
      • STOP 0x0000007F - UNEXPECTED_KERNEL_MODE_TRAP
      • STOP 0xC000021A - STATUS_SYSTEM_PROCESS_TERMINATED
      • STOP 0xC0000221 - STATUS_IMAGE_CHECKSUM_MISMATCH
  • Отладка ядра
    • Сообщение STOP, "синий экран" или прерывание
    • Символы и деревья символов
      • Целевой компьютер
      • Хост-компьютер
    • Отладчик ядра
      • Установка отладочного сеанса
  • Дополнительные источники информации

Сообщения системы и отладчик

Поговорим о грустном... чтобы, столкнувшись с неприятной неожиданностью — "синим экраном смерти", вы не погрустнели вдвойне. Возможно, вы уже достаточно хорошо знакомы с продуктами из семейства Windows Server 2003, а также с предыдущими версиями Windows NT/2000/XP, но во время работы еще не попадали в такую ситуацию. Хотя эта система и надежнее предыдущих версий линейки Windows NT/2000, это не значит, что "синий экран смерти" — следствие серьезных ошибок — не возникнет никогда. Если даже такие ошибки и не появятся, вы все равно должны быть готовы устранить их!
Итак, "синий экран" можно увидеть и в Windows Server 2003. Когда система выявляет серьезную ошибку, которую не может самостоятельно устранить, она, в зависимости от типа ошибки, генерирует соответствующие системные сообщения, которые и известны под собирательным названием "синий экран".
Как и в Windows NT/2000/XP, исполняющая подсистема Windows Server 2003 (модуль Executive) представляет собой часть операционной системы, работающую в режиме ядра. Режим ядра (kernel mode) — это привилегированный режим работы процессора, в котором поток (thread) имеет доступ к системной памяти и к аппаратным средствам. Режимом пользователя (user mode) называется непривилегированный режим работы процессора, выполняясь в котором поток не имеет прямого доступа к системной памяти и аппаратным средствам, для получения такого доступа он должен обратиться к сервисам операционной системы. Модуль Executive обеспечивает структуру процессов, диспетчеризацию потоков, межпроцессную коммуникацию, управление памятью, управление объектами, безопасность и защиту объектов, обработку прерываний и ввод/вывод.
Ядро Windows (Ntoskrnl.exe) представляет собой часть модуля Executive, управляющую процессором. Ядро выполняет диспетчеризацию потоков, обработку исключений и прерываний, а также мультипроцессорную синхронизацию. Кроме того, ядро поставляет модулю Executive объекты-примитивы, из которых он создает объекты режима пользователя.
Итак, существуют два типа системных сообщений Windows 2000/XP и Windows Server 2003.

  • Сообщения STOP. Генерируются в символьном режиме и появляются, когда ядро выявит противоречивое состояние, из которого оно не способно выйти самостоятельно.
  • Сообщения о неисправности аппаратуры (Hardware malfunction messages). Как и сообщения STOP, эти сообщения также генерируются в символьном режиме. Их появление указывает на то, что система обнаружила аппаратную ошибку, после которой продолжение работы невозможно.

Практически для каждой ситуации, делающей невозможным продолжение работы системы, предусмотрены соответствующие сообщения. Как правило, для диагностики сообщений STOP и устранения причин, вызвавших их появление, большинству пользователей требуется техническая поддержка. Однако системный администратор должен иметь навыки устранения последствий аппаратных сбоев и уметь интерпретировать сообщения STOP.

Функция Error Reporting в Windows Server 2003

В дополнение к перечисленным возможностям, операционные системы нового поколения - Windows XP и продукты из семейства Windows Server 2003 — включают еще одно нововведение — сервис сообщений об ошибках (Error Reporting service). В соответствии с политикой Microsoft, направленной на повышение качества поддержки пользователей, этот сервис предназначен в помощь пользователям, выполняющим устранение неполадок в работе операционной системы. Одновременно с этим, данная функциональная возможность призвана помочь разработчикам в улучшении качества последующих версий операционной системы. Сервис Error Reporting ведет мониторинг операционной системы, включая ошибки режима пользователя и ошибки режима ядра.
Так, в случае возникновения ошибки режима пользователя (например, ошибка в работе одного из приложений), сервис Error Reporting отображает сообщение, информирующее пользователя о возникновении проблемы (рис. 25.1). При этом пользователю предоставляется возможность отправить отчет об ошибке на адрес Microsoft, отказаться от отправки отчета или просмотреть техническую информацию о возникшей проблеме (рис. 25.2).
При возникновении ошибок режима ядра (например, сообщений STOP, кратко обсуждавшихся в предыдущем разделе) Windows запишет на диск компактный файл аварийного дампа, отобразит "синий экран", а после перезагрузки в нормальном или безопасном режиме отобразит сообщение, подобное приведенному на рис. 25.3. При этом, как и в предыдущем случае, пользователю предоставляется возможность отправить отчет о возникшей ошибке на адрес Microsoft, отказаться от отправки отчета и просмотреть дополнительную техническую информацию.

Рис. 25.1. Сервис Error Reporting отображает сообщение, информирующее пользователя о произошедшей ошибке в работе приложения

Рис. 25.2. Окно, содержащее подробности о произошедшей ошибке в работе приложения

Вы можете вручную сконфигурировать сервис Error Reporting. Для этого выполните следующие операции:
1. Запустите утилиту System на панели управления, перейдите на вкладку Advanced (Допольнительно) и нажмите кнопку Error Reporting (Отчет об ошибках). На экране появится окно Error Reporting (рис. 25.4).

Рис. 25.3. Сервис Error Reporting отображает сообщение, информирующее пользователя о произошедшей серьезной ошибке

Рис. 25.4. Окно Error Reporting

2. В этом окне вы можете установить следующие опции:

  • Полностью блокировать сервис Error Reporting, установив переключатель Disable error reporting (Отключить отчет об ошибках). Обратите внимание, что в этом случае вы можете установить опцию, которая позволит сервису все же сообщать вам о возникновении серьезных ошибок (например, ошибок ядра). Для этого следует установить флажок But notify me when critical errors occur (Но уведомлять о критических ошибках) расположенный непосредственно под переключателем Disable error reporting.
  • Активизировать сервис Error Reporting, установив опцию Enable error reporting (Включить отчет об ошибках) и сконфигурировать типы ошибок, о которых сервис будет информировать пользователя. Так, если вы установите флажок Windows operating system, сервис будет всегда сообщать о проблемах в работе компонентов режима ядра. Помимо этого, вы сможете активизировать уведомления о проблемах в работе программ, установив флажок Programs. Нажатием кнопки Choose Programs (Выбор программ) вы можете выполнить дальнейшее конфигурирование сервиса Error Reporting, сформировав список программ, для которых следует выводить подобные извещения.

Примечание

По сравнению с Windows XP, в операционных системах из семейства Windows Server 2003 сервис Error Reporting обладает дополнительными возможностями. Так, например, при его конфигурировании вы имеете возможность задать опцию отслеживания незапланированных остановов системы (рис. 25.5), установив флажок Unplanned machine shutdowns. Также обратите внимание на флажок Force queue mode for program errors, при установке которого сервис Error Reporting будет выводить извещения об ошибках в режиме очереди. В случае множественных ошибок в работе приложений, сервис отобразит извещения о 10 последних ошибках, когда пользователь с административными правами зарегистрируется в системе. Каждое из сообщений будет отображено в отдельном окне, что предоставит администратору возможности выбора действий.

Рис. 25.5. Сообщение о незапланированном останове системы

Когда в системе возникает состояние ошибки STOP, Windows всегда создает компактный файл дампа памяти. Таким образом, сервис Error Reporting всегда может отправить отчет о проблеме, приложив этот файл дампа, даже если вы сконфигурировали систему таким образом, чтобы она создавала дамп ядра или даже полный дамп памяти.

Функция Shutdown Event Tracker

Системы Windows XP и Windows Server 2003 дают администраторам возможность отслеживать причины перезагрузок и остановов компьютеров (рис. 25.6). Эта возможность обеспечивается с помощью функции Shutdown Event Tracker, которая регистрирует причину каждой перезагрузки и каждого останова в системном журнале (System log). Анализируя эту информацию (Event Type: Information; Event Source: USER32; Event ID: 1074), системный администратор может выяснить наиболее распространенные причины перезагрузок и остановов системы, а также разработать меры, которые позволят минимизировать время простоя.

Примечание

В Windows Server 2003 функция Shutdown Event Tracker no умолчанию активизирована; в Windows XP — не активизирована. Ее поведением можно управлять с помощью групповых политик (см. узел Computer Configuration | Administrative Templates | System)

Рис. 25.6. Функция Shutdown Event Tracker в Windows Server 2003

Если пользователь, обладающий правом останова системы (shutdown privilege), выполняя останов, сбрасывает флажок Planned (см. рис. 25.6), указывая тем самым на то, что данная операция является незапланированной, то система регистрирует данные об этом событии в файле журнала, который сохраняется в каталоге %SystemRoot%\system32\LogFiles\Shutdown\. Просматривать эти данные и составлять на их базе отчеты могут только пользователи с административными правами.

Подготовка к устранению проблем

Прежде чем приступать к классификации ошибок STOP и обсуждению методов их устранения, необходимо обсудить подготовительные шаги, которые помогут ускорить восстановление системы в том случае, если вы все же столкнетесь с проблемой "синего экрана".

  • Причиной возникновения многих ошибок STOP может быть перезапись системного файла или некорректно работающий драйвер. При этом, как правило, ничего не подозревающий пользователь сам создает проблему, устанавливая программное обеспечение или драйверы, не совместимые с операционной системой. Эта проблема существовала во всех предыдущих версиях Windows NT. Начиная с Windows 2000, в состав операционной системы были введены дополнительные средства защиты системных файлов и драйверов с помощью цифровой подписи, которая гарантирует их совместимость и корректную работу в Windows. Во избежание возникновения проблем рекомендуется пользоваться этими средствами, подробно описанными в главе 23 "Восстановление системы". Так вы существенно снизите риск появления ошибок STOP.
  • Если даже вы сами никогда не будете выяснять причину возникновения ошибки — предположим, за вас это сделает специалист службы технической поддержки, — рекомендуется хотя бы сконфигурировать систему так, чтобы облегчить ему эту задачу. Вызовите утилиту System из Control Panel, в раскрывшемся диалоговом окне System Properties (Свойства системы) перейдите на вкладку Advanced (Дополнительно) и нажмите кнопку Startup and Recovery (Загрузка и восстановление). На экране появится окно Startup and Recovery (рис. 25.7).

Группа опций System startup (Загрузка операционной системы), расположенная в верхней части окна, позволяет задать операционную систему, загружаемую по умолчанию (в случае, когда на компьютере установлено несколько операционных систем), и временной интервал, в течение которого на экране будет отображаться меню загрузки.
Группа, которая интересует нас в данном случае — System failure (Отказ системы), позволяющая определить поведение системы в случае возникновения ошибок STOP. Рассмотрим ее опции более подробно.

Рис. 25.7. Диалоговое окно Startup and Recovery

Системный журнал событий Windows — хороший источник информации, помогающей выяснить причину возникновения ошибки. Именно поэтому в любом случае рекомендуется установить флажок Write an event to the system log (Записать событие в системный журнал) — тогда при каждом возникновении ошибки STOP в системном журнале событий будет делаться соответствующая запись. Пример такой записи приведен ниже:

Event ID:1001 Source: Save Dump Description:

The computer has rebooted from a bugcheck.

The bugcheck was :Oxc000021a (0xel270188,0x00000001,0x00000000,0x00000000).

Microsoft Windows NT (vl5.1381).

A dump was saved in: C:\WINDOWS\MEMORY.DMP.

Если установить флажок Send an administrative alert (Отправить административное оповещение), то в случае возникновения ошибки STOP на компьютер сетевого администратора будет отправляться административное уведомление.
Наконец, если компьютер, на котором происходит такая ошибка, необходимо как можно скорее привести в рабочее состояние, возможно, вы захотите, чтобы он автоматически перезагружался в случае возникновения ошибок STOP. Для этого установите флажок Automatically reboot (Выполнить автоматическую перезагрузку).
Если ошибки, приводящие к появлению "синего экрана", появляются систематически, то наилучшим источником информации о причине их возникновения будет отладочный дамп. Для конфигурирования системы таким образом, чтобы при ее крахе содержимое физической памяти записывалось в файл на жестком диске, используются опции группы Write debugging information (Сохранять отладочную информацию). Поле Dump file (Файл дампа) предназначено для ввода имени файла, в который будет сбрасываться эта информация, а установленный флажок Overwrite any existing file (Заменять существующий файл дампа) определяет, что содержимое существующего файла дампа каждый раз будет замещаться новой информацией.
Начиная с Windows 2000, в процедуру сохранения отладочного дампа были внесены усовершенствования. В системе Windows NT 4.0 в отладочный дамп можно было записать только содержимое физической памяти компьютера. Объем файла, который при этом генерирует система, всегда несколько больше, нежели объем физической памяти, установленной на компьютере, и при этом значительная часть данных в файле дампа практически бесполезна. Как в Windows NT 4.0, так и в последующих системах ошибки STOP представляют собой ошибки ядра. Следовательно, именно информация ядра (состояние системы на момент возникновения ошибки, сведения об активных приложениях, загруженных драйверах устройств и т. д.) и представляет практический интерес при анализе дампа. Данные о режиме пользователя обычно просто увеличивают размер файла дампа и не предоставляют полезной информации.
Именно поэтому в Windows 2000 в диалоговом окне Startup and Recovery появилась новая опция, позволяющая регулировать размер файла аварийного дампа. Первый список в группе Write debugging information (Запись отладочной информации) позволяет выбрать режим сохранения дампа. Наряду с возможностью сохранения полного дампа (как в Windows NT 4.0) в нем есть опция Kernel memory dump (Дамп памяти ядра), при выборе которой в файле дампа будет сохранена только информация ядра. Средства анализа аварийного дампа, совместимые с Windows 2000, в том числе dumpexam и WinDbg, будут интерпретировать этот файл корректно. Экономия дискового пространства, которой можно добиться, выбрав эту опцию, может отличаться в разных системах (и даже зависеть от типа возникающих ошибок). Тем не менее, на основании практического опыта авторов можно сказать, что на компьютерах с объемом оперативной памяти 128 Мбайт полный дамп составит чуть более 128 Мбайт, а дамп ядра — около 40 Мбайт.
Windows XP и Windows Server 2003 предоставляют еще одну дополнительную возможность при сохранении аварийного дампа — компактный дамп памяти, задаваемый опцией Small memory dump (64 К) (Малый дамп памяти). Если выбрана эта опция, то система сохранит только минимально необходимый объем информации, требующейся для идентификации ошибки STOP и составления отчета. Компактные дампы чрезвычайно полезны в том случае, когда объем доступного дискового пространства ограничен, а также в случае использования медленных каналов связи при отправке отчетов об ошибках.

Экран сообщения STOP

Как уже говорилось, сообщения STOP появляются, когда ядро операционной системы выявляет противоречивое состояние, из которого оно не может выйти самостоятельно. Такие сообщения всегда отображаются в полноэкранном текстовом режиме, а не в окне Windows (рис. 25.8). Каждое такое сообщение уникальным образом определяется шестнадцатеричным числом, идентифицирующим возникшую ошибку, и символьной строкой. Кроме того, за шестнадцатеричным числом, идентифицирующим сообщение STOP, как правило, следуют заключенные в круглые скобки шестнадцатеричные числа, каждое из которых указывает один из параметров возникшей ошибки. Число таких параметров может достигать четырех, как показано в примере:

*** STOP: 0x000000lE (0x00000005,0xFDE38AF9,0x00000001,0x7E8BOEB4) KMODE_EXCEPTION_NOT_HANDLED ***

Рис. 25.8. Пример экрана сообщения STOP

По символьной строке, идентифицирующей ошибку, можно предположительно определить, какой из компонентов системы был затронут ошибкой, после которой ядро не смогло восстановиться. Тем не менее, возможно, причина ошибки кроется в другом компоненте системы.

Составные части сообщения STOP

В отличие от предыдущих версий Windows NT, где экран сообщения STOP состоит из пяти основных частей, экран сообщения STOP в Windows 2000, Windows XP и Windows Server 2003 (см. рис. 25.8) содержит только три части.

  • Информация кода ошибки (bugcheck information).
  • Рекомендации пользователю (recommended user action).
  • Информация отладочного порта (debug port information).

Каждый раз при появлении сообщения STOP рекомендуется в первую очередь ознакомиться с информацией кода ошибки, помогающей ее устранить. Одно из важных нововведений, появившихся в Windows 2000 и присутствующих в Windows XP и Windows Server 2003 — теперь сообщения STOP включают рекомендации пользователю по устранению ошибок. Наконец, третья часть экрана сообщения STOP содержит информацию о сохранении отладочного дампа памяти, который впоследствии может быть использован отладчиком ядра.

Типы сообщений STOP

Сообщения STOP можно классифицировать по следующим категориям:

  • сообщения, появляющиеся в процессе работы Windows;
  • сообщения, появляющиеся во время установки Windows;
  • сообщения, появляющиеся в процессе загрузки Windows;
  • сообщения, вызванные программными прерываниями (software trap).

Сообщения STOP, появляющиеся в процессе работы с Windows

Наиболее распространенные сообщения STOP генерируются во время выполнения стандартных повседневных операций. Даже в такой отказоустойчивой операционной системе, как Windows Server 2003, может произойти зависание системы с невозможностью продолжения работы, и появляется "синий экран" (сообщение STOP). В Windows NT/2000/XP и Windows Server 2003 появление сообщения STOP может быть вызвано необрабатываемой ошибкой (unhandled exception) в коде драйвера или файловой системы или выполнением недопустимой инструкции.

Примечание

Информацию по конкретному сообщению STOP проще всего получить, выполнив поиск в Microsoft Knowledge Base и указав код ошибки.

Сообщения STOP, появляющиеся в процессе установки Windows

Одним из вероятных вариантов исхода неудачной попытки установки Windows может быть появление сообщения STOP. Если это произойдет, в первую очередь проверьте все периферийные устройства компьютера на совместимость с Windows. Для этого возьмите последнюю версию списка совместимых аппаратных средств (HCL). Все компьютеры и устройства, включенные в этот список, тестировались Microsoft в жестких условиях и были признаны совместимыми с Windows. Список совместимости постоянно обновляется по мере того, как тестирование проходят все новые и новые устройства; его последнюю версию всегда можно найти на веб-сервере Microsoft.
Если используемое вами устройство не указано в HCL, обратитесь к поставщику устройства, т. к. только он может предоставить информацию о вновь тестируемых аппаратных средствах и/или доступных обновлениях BIOS. Кроме того, это сотрудничество позволит свести к минимуму трудозатраты при выявлении инсталляционных конфликтов.

Сообщения STOP, появляющиеся при инициализации исполняющей подсистемы (Executive)

Некоторые из сообщений STOP могут появляться только в течение относительно краткого периода инициализации модуля Executive (это — четвертая фаза загрузки Windows). Исполняющая подсистема Windows (модуль Executive) — это набор программных компонентов, предоставляющих базовые сервисы операционной системы. Как и при загрузке Windows NT 4.0, загрузку модуля Executive можно разделить на два этапа (этап 0 и этап 1). Во время этапа 0 прерывания блокированы, инициализированы лишь немногие компоненты модуля Executive, такие как уровень аппаратных абстракций (HAL). Во время выполнения этапа 1 система становится полностью работоспособной, и все компоненты Windows проходят инициализацию.
Если вы получите одно из сообщений STOP, появляющихся только на этапе 0 инициализации модуля Executive, запустите программу диагностики аппаратных средств, полученную от поставщика аппаратных средств. Сообщения STOP, появление которых возможно только на этапе 0 инициализации модуля Executive, перечислены в табл. 25.1.

Примечание

Аппаратные сбои в Windows 2000/XP и Windows Server 2003 часто проявляются как ошибки, генерирующие сообщения STOP. Если при диагностике аппаратных средств не будет обнаружено никаких проблем, попытайтесь переустановить Windows. Если сообщение появится вновь, обратитесь в службу технической поддержки.

Таблица 25.1. Сообщения STOP, появляющиеся только на этапе О инициализации исполняющей подсистемы Windows

Код сообщения | Символическое имя
0x0031 | PHASEO_INITIALIZATION_FAILED
0x0050 | HAL_INITIALIZATION_FAILED
0x0050 | HEAP INITIALIZATION_FAILED
OxOOSE | OBJECT INITIALIZATION FAILED
OxOOSF | SECURITY INITIALIZATION FAILED
0x0060 | PROCESS_INITIALIZATION_FAILED

Сообщения STOP, которые могут появиться на этапе 1 инициализации модуля Executive, перечислены в табл. 25.2. Получив одно из таких сообщений, попытайтесь переустановить Windows, и если сообщение появится снова, обратитесь в службу технической поддержки.

Таблица 25.2. Сообщения STOP, появляющиеся только на этапе 1 инициализации исполняющей подсистемы Windows

Код сообщения | Символическое имя
0x0032 | PHASE1_INITIALIZATION_FAILED
0x0061 | HAL1_INITIALIZATION_FAILED
0x0062 | OBJECT1_INITIALIZATION_FAILED
0x0063 | SECURITY1_INITIALIZATION_FAILED
0x0064 | SYMBOLIC_INITIALIZATION_FAILED
0x0065 | MEMORY1 INITIALIZATION FAILED
0x0066 | CACHE INITIALIZATION FAILED
0x0067 | CONFIG INITIALIZATION FAILED
0x0068 | FILE_INITIALIZATION_FAILED
0x0069 | I01_INITIALIZATION_FAILED
ОхООбА | LPC_INITIALIZATION__FAILED
ОхООбВ | PROCESSl INITIALIZATION FAILED
ОхООбС | REFMON_INITIALIZATION__FAILED
0x0060 | SESSION1_INITIALIZATION_FAILED
ОхООбЕ | SESSION2 INITIALIZATION FAILED
ОхООбР | SESSION3_INITIALIZATION_FAILED
0x0070 | SESSION4_INITIALIZATION FAILED
0x0071 | SESSIONS INITIALIZATION FAILED

Сообщения STOP, вызванные программными прерываниями

Эта группа сообщений STOP вызывается программными (или внутренними) прерываниями, или ловушками (software trap). Такие прерывания появляются при возникновении программных ошибок, после которых нормальное продолжение программы невозможно: например, при наличии в команде недопустимых операндов, при попытке деления на ноль, в случае выхода индекса массива за пределы допустимых значений или при обращении к памяти, находящейся за пределами стека.
Пример первой строки сообщения STOP, отображаемой для подобных сообщений STOP:

*** STOP: 0x000000TF (0x0000000n,00000000,00000000,00000000) UNEXPECTED_KERNEL_MODE_TRAP

Ошибка UNEXPECTED_KERNEL_MODE_TRAP указывает на то, что программная ошибка слишком серьезна и не позволяет продолжать работу. Примерами таких ошибок могут быть, например, деление на ноль или ошибка, возникающая в процессе обработки другой ошибки (так называемая двойная ошибка).
Получив одно из таких сообщений, запишите информацию о коде ошибки STOP и перезагрузите компьютер. Если сообщение появится повторно, для устранения проблемы вы можете принять следующие меры.

  • Выполнить диагностику проблемы, используя информацию и рекомендации, отображенные на экране сообщения STOP (в разделе рекомендаций пользователю). Дополнительная информация по наиболее распространенным сообщениям STOP, методам диагностики и устранения проблем, вызвавших их появление, приведена в сопроводительной документации к программному продукту Microsoft Windows Server 2003 Resource Kit.
  • Обратиться в службу технической поддержки.

Сообщения, свидетельствующие о неполадках в работе аппаратных средств

Сообщения, свидетельствующие о неполадках в работе аппаратных средств, вызываются тем, что процессор выявляет ошибочные состояния устройств.
Первые две строки таких сообщений могут различаться (в зависимости от типа HAL (Hardware Abstraction Layer), загруженного при запуске системы). Типичный пример первых строк такого сообщения приведен ниже.

Hardware malfunction Call your hardware vendor for support

Информация, следующая за этими строками, предназначена для технического персонала, который будет выполнять диагностику аппаратных средств компьютера.

Примечание

В редких ситуациях сообщения об аппаратном сбое в действительности могут быть вызваны ошибками в программах, в особенности — плохо разработанными драйверами.

Рекомендации по устранению ошибок STOP

Общая методика

В этом разделе дается общая методика, которой рекомендуется следовать при появлении экранов сообщений STOP, не содержащих конкретных инструкций по устранению возникшей ошибки. Выполняйте эти рекомендации поочередно, приступая к следующему шагу в том случае, если предыдущие не помогли решить проблему. Более подробные инструкции по устранению конкретных ошибок STOP приведены далее в этой главе.
Шаг 1. В первую очередь попробуйте перезагрузить компьютер. В некоторых случаях, когда ошибка возникла случайно, этого достаточно.
Что делать, если в процессе загрузки Windows постоянно появляется "синий экран", после чего компьютер автоматически перезагружается, и ошибка появляется снова? Это может происходить, если в процессе подготовки к устранению последствий ошибок STOP вы установите в окне Startup and Recovery (Загрузка и восстановление) опцию автоматической перезагрузки компьютера при крахе системы, а ошибка STOP, делающая невозможной дальнейшую работу компьютера, будет возникать вновь и вновь. Легко догадаться, что каждый раз после ее появления компьютер будет перезагружаться, и цикл перезагрузок будет бесконечным. Как же выйти из этого порочного круга и хотя бы получить возможность исследовать возникающую ошибку STOP?
Данную проблему можно решить, установив на другом разделе жесткого диска этого компьютера еще одну копию Windows 2000/XP или Windows Server 2003 (одна из официальных рекомендаций Microsoft, которая приводится, например, в главах по обеспечению отказоустойчивости системы в продуктах Resource Kit):
1. Загрузите вторую копию Windows, вызовите редактор реестра (в Windows 2000 следует использовать приложение Regedt32) и раскройте ключ HKEY_LOCAL_MACHINE.
2. Загрузите улей System той копии Windows, в которой возникла проблема (хотя подробная информация о местоположении ульев реестра приведена в главе 24 "Работа с системным реестром", напомним, что они располагаются в папке %SystemRoot^\system32\config,).
3. Когда вам будет предложено указать имя для загружаемого улья, введите любую строку, например, oldsystem.
После этого под ключом HKEY_LOCAL_MACHINE будет содержаться список следующих ульев:

HARDWARE oldsystem SAM SECURITY SOFTWARE SYSTEM

4. Раскройте улей oldsystem, найдите в составе ключа HKEY_LOCAL_MACHINE\ SYSTEM\ControlSetxxx\Control\CrashControl параметр AutoReboot и установите его значение в 0 (эту операцию надо проделать для всех наборов ControlSetxxx).
5. Сверните ключ HKEY_LOCAL_MACHINE и выгрузите улей.
Теперь, когда опция автоматической перезагрузки при крахе системы блокирована, вы получили возможность исследовать сообщение STOP.
Шаг 2. Если после перезагрузки "синий экран" больше не появляется, то проблема решена (хотя бы временно). Не забудьте после запуска Windows просмотреть журнал системных событий. (Возможно, именно там вы обнаружите сообщения об ошибках, которые позволят идентифицировать источник проблемы.) Для этого запустите оснастку Event Viewer.
Шаг 3. Если ошибка STOP появилась при первой же перезагрузке компьютера после установки нового оборудования или дополнительного программного обеспечения, и вы еще не регистрировались в системе, то попробуйте перезагрузить компьютер, и при появлении списка доступных операционных систем нажмите клавишу <F8>. В появившемся меню выберите опцию Last Known Good Configuration. Перезагрузка компьютера с использованием последней успешно загруженной конфигурации удалит все конфигурационные изменения, внесенные с момента последней успешной загрузки Windows.
Шаг 4. Если Windows все же не может нормально стартовать, попробуйте выполнить загрузку в безопасном режиме (safe mode), а затем блокировать или удалить вновь установленные программы и драйверы (подробная информация об опциях отладочного меню, выводимого при загрузке Windows при нажатии клавиши <F8>, приведена в главе 23 "Восстановление системы"). Просмотрите последнюю версию списка совместимых аппаратных средств (Hardware Compatibility List, HCL) и проверьте, все ли аппаратные средства, установленные на компьютере, присутствуют в этом списке. Убедитесь в правильности подключения всех вновь установленных устройств. Попробуйте отключить новые устройства или заменить их (возможно, именно это и решит проблему), а также запустить диагностическое программное обеспечение, полученное от поставщика данного компьютера. Особое внимание следует уделить тестированию памяти.
Шаг 5. Выполните сканирование компьютера на вирусы с помощью новейшей версии антивирусного программного обеспечения, совместимого с Windows. Вирусы могут повреждать как тома FAT, так и тома NTFS, и эти повреждения могут проявляться как ошибки STOP.
Шаг 6. Просмотрите базу знаний Microsoft, выполнив поиск по ключевым словам winnt и конкретному коду ошибки. Более подробная информация о Microsoft Knowledge Base приведена в последнем разделе данной главы, в списке источников дополнительной информации.

Наиболее распространенные ошибки STOP

Этот раздел содержит краткую информацию и инструкции по устранению наиболее часто встречающихся ошибок STOP. Представленные здесь материалы собраны на основании статей Microsoft Knowledge Base, а также документации, входящей в состав программных продуктов из серии Resource Kit. Если, несмотря на все предпринятые вами меры, ошибка продолжает появляться, обратитесь в службу технической поддержки.

STOP 0х0000000А - IRQL_NOT_LESS_OR_EQUAL

Это сообщение STOP, известное также под названием STOP OxOA, указывает на то, что процесс режима ядра пытался получить доступ к участку памяти на слишком высоком уровне запроса прерывания (Interrupt Request Level, IRQL), в то время как такие процессы могут получать доступ только к процессам с IRQL не более высоким, чем их собственный.
Рекомендации. Чаще всего эта ошибка бывает вызвана некорректно работающим драйвером устройств, системным сервисом или BIOS. Чтобы попытаться быстро выполнить восстановление после такой ошибки, попробуйте перезагрузить компьютер, при появлении списка доступных операционных систем нажмите клавишу <F8> и выберите опцию Last Known Good Configuration.

Примечание

Использование этой опции наиболее эффективно, если установка драйверов, сервисов и устройств производится по одному за раз.

Если сообщение появляется во время установки Windows, просмотрите HCL и убедитесь в том, что все установленные на компьютере периферийные устройства перечислены в этом списке.
Более подробная информация о диагностике ошибок STOP 0x0A приведена в Microsoft Knowledge Base в статье Q314063 "Troubleshooting a Stop 0x0000000A Error in Windows XP".

STOP 0x000000IE - KMODE_EXCEPTION_NOT_HANDLED

Это сообщение STOP, известное также как STOP 0xlE, указывает на то, что процесс режима ядра пытался выполнить недопустимую инструкцию.
Рекомендации. Проблема может быть вызвана несовместимыми аппаратными средствами, некорректно работающим драйвером или системным сервисом. Как правило, второй параметр этого сообщения идентифицирует проблемный драйвер или устройство его адресом (иногда может указываться имя этого драйвера). Попробуйте загрузить компьютер в безопасном режиме и блокировать указанный драйвер. Если это не поможет, то, как правило, проблему можно решить с помощью консоли восстановления (Recovery Console), см. главу 23 "Восстановление системы".
В ряде случаев может помочь блокирование кэширования памяти через программу BIOS Setup.

STOP 0x00000024 - NTFS_FILE_SYSTEM

Это сообщение, известное также как STOP 0x24, указывает на проблему с драйвером Ntfs.sys, позволяющим системе выполнять чтение информации с томов NTFS и запись на такие тома.
Рекомендации. Чаще всего ошибка вызвана повреждением файловой системы NTFS или сбойными кластерами на жестком диске. Поврежденные драйверы SCSI и IDE также вызывают эту ошибку.
Рекомендации, позволяющие избежать ошибки такого рода, приведены в начале главы 23 "Восстановление системы". Если ошибка все же возникла, запустите программу chkdsk /f /r для устранения повреждений файловой системы.

STOP 0х0000002Е - DATA_BUS_ERROR

Появление сообщения STOP 0x2E обычно указывает на ошибку четности в системной памяти. Эта ошибка всегда вызывается проблемами с аппаратными средствами, ошибками, допущенными при их конфигурировании, а также несовместимыми или дефектными аппаратными средствами.
Рекомендации. Если ошибка возникла после установки нового аппаратного компонента, попробуйте удалить вновь установленное оборудование. Запустите диагностические утилиты, полученные от поставщика аппаратных средств. Иногда ошибка может быть вызвана повреждением жесткого диска, и в этом случае воспользуйтесь консолью восстановления (Recovery Console).

STOP 0x00000050 - PAGE_FAULT_IN_NONPAGED_AREA

Эти сообщения (STOP 0x50) появляются, когда запрошенные данные не найдены в памяти. Система при этом генерирует так называемую страничную ошибку или страничное прерывание (page fault), которая при обычных условиях означает, что система ищет данные в файле подкачки (paging file). В этом случае, однако, искомые данные идентифицируются системой как находящиеся в резидентном пуле (nonpaged pool), а это значит, что они ни при каких обстоятельствах не могли быть сброшены на диск. Таким образом, система не может найти требуемые данные и, следовательно, не может продолжать работу. Этот тип ошибки может быть вызван дефектными аппаратными средствами, некорректно работающим системным сервисом, резидентным антивирусным программным обеспечением, несовместимым с операционной системой, и повреждениями файловой системы NTFS.
Рекомендации. Если ошибка произошла сразу же после установки нового устройства, попробуйте удалить его, чтобы проверить повторяемость ошибки. Чтобы исключить отказ уже установленных аппаратных средств, запустите диагностическую утилиту, полученную от поставщика компьютера (чаще всего эта ошибка генерируется дефектными микросхемами RAM).
В случае несовместимых или некорректно работающих системных сервисов можно попытаться использовать последнюю успешно загруженную конфигурацию (см. главу 23 "Восстановление системы"). Если проблема вызвана повреждением тома NTFS, ее поможет решить запуск программы chkdsk /f /r. Иногда помогает блокирование кэширования памяти в BIOS,

STOP 0x00000077 - KERNEL_STACK_INPAGE_ERROR

Сообщения STOP (STOP 0x77) указывают, что ядро не может прочесть запрошенную страницу из файла подкачки.
Рекомендации. Чаще всего причину возникновения этой ошибки можно определить по второму параметру сообщения (значение этого параметра следует записать). Список наиболее распространенных кодов приведен ниже.

  • 0хС000009А — STATUS_INSUFFICIENT_RESOURCES. Недостаточный объем нерезидентного пула.
  • 0хС000009С — STATUS_DEVICE_DATA_ERROR. Чаще всего является результатом появления плохих блоков на жестком диске.
  • 0xC000009D — STATUS_DEVICE_NOT_CONNECTED. Чаще всего указывает на неправильное подключение жесткого диска.
  • 0хС000016А — STATUS_DISK_OPERATION__FAILED. Чаще всего вызывается плохими блоками на жестком диске.
  • 0хС0000185 — STATUS_IO_DEVICE_ERROR. Чаще всего возникает при неправильном подключении устройств SCSI или при попытке двух устройств использовать одно и то же прерывание.

Это наиболее распространенные коды, полный список можно найти в файле Ntstatus.h, входящем в состав продукта Windows Server 2003 Device Driver Kit (DDK).

STOP 0x00000079 - MISMATCHED_HAL

Эти сообщения (STOP 0x79) появляются при несовпадении уровня аппаратных абстракций (HAL) и ядра или типа компьютера, в основном, при смешении конфигурационных файлов однопроцессорной и многопроцессорных систем в пределах одной системы.
Рекомендации. Чаще всего эта ошибка возникает после ручной модификации или переписывания файлов Ntoskrnl.exe и Hal.dll. Эта ошибка может также указывать на несовпадение версий этих файлов (например, версия HAL предназначена для одной ОС, а версия ядра — для другой). Возможно также, что на компьютере по ошибке используется мультипроцессорный HAL и однопроцессорное ядро (или наоборот).
Для устранения этой проблемы необходимо использовать диск автоматического восстановления (ASR) или консоль восстановления (Recovery Console).

STOP 0х0000007А - KERNEL_DATA_INPAGE_ERROR

Это сообщение (STOP 0x7А) указывает на то, что запрошенная страница данных ядра не могла быть считана в память из файла подкачки. Обычно ошибка вызвана появлением плохих блоков в файле подкачки, вирусами, ошибками контроллера жесткого диска или дефектной RAM.
Рекомендации. Выполните сканирование системы на вирусы, проверьте правильность подключения дисков и запустите диагностические утилиты, полученные от поставщика аппаратных средств. В случае необходимости проведите восстановление системы с помощью Recovery Console.

STOP 0x00000078 - INACCESSIBLE_BOOT_DEVICE

Это сообщение (STOP 0x7B) появляется в процессе запуска системы и указывает на то, что в процессе загрузки система потеряла доступ к загрузочному диску.
Рекомендации. Причиной возникновения ошибки могут быть сбой загрузочного диска, поврежденный драйвер загрузочного устройства, повреждение системного раздела, установка нового адаптера SCSI или контроллера жесткого диска.
Возможно, проблема может быть решена редактированием файла Boot.ini. Более подробную информацию по данному вопросу можно найти в Microsoft Knowledge Base в статье "BOOT.INI and ARC Path Naming Conventions and Usage"
Если такая ошибка возникает в процессе установки системы, возможно, используется несовместимый жесткий диск или контроллер SCSI. Если программа Setup автоматически распознала контроллер, возможно, при установке системы следует пропустить фазу детектирования (поиска оборудования) и вручную указать драйвер, который должен быть загружен. Для этого: когда система на текстовой фазе инсталляции предложит нажать клавишу <F6>, чтобы указать драйвер накопителя вручную, следует нажать клавишу и вставить дискету с драйвером, полученным от поставщика этого устройства.
Если в системе недавно было установлено новое устройство (особенно жесткие диски или контроллеры), поможет использование опции Last Known Good Configuration в меню, выводимом после нажатия клавиши <F8>.
Наконец, эта ошибка может быть следствием повреждения жесткого диска. Если ошибка появляется раньше, чем вы можете зарегистрироваться в системе, запустите консоль восстановления и выполните команду chkdsk /f /r.

STOP 0X0000007F - UNEXPECTED_KERNEL_MODE_TRAP

Сообщения STOP 0x7F указывают на фатальную ошибку, вызванную программным прерыванием. Иногда эти ошибки могут быть вызваны программным обеспечением, но в большинстве случаев они являются следствием аппаратного сбоя.
Рекомендации. Первый и самый главный параметр этого сообщения (0х0000000х) принимает различные значения в зависимости от типа ошибки (полный список всех кодов можно найти в Windows Server 2003 Device Driver Kit).
Если ошибка происходит после установки нового устройства, и после установки этого устройства вы еще не регистрировались в системе, положение может исправить использование опции Last Known Good Configuration.
Убедитесь в том, что все жесткие диски, контроллеры и адаптеры SCSI перечислены в HCL и установлены правильно. Чтобы исключить аппаратный сбой одного из устройств, которое раньше работало нормально (особенно это относится к памяти), запустите диагностические утилиты, полученные от поставщика компьютера. Следует отметить, что эта ошибка может также быть вызвана неумелым разгоном процессора (в этом случае верните процессор к его штатной тактовой частоте).

STOP 0x0000021 А - STA TUS_SYSTEM_PROCESS_ TERMINA TED

Редкий случай, когда сообщение STOP вызвано сбоем сервиса, работающего не в режиме ядра, а в режиме пользователя. Это сообщение (STOP OxC2lA) появляется, когда одна из подсистем (например, Winlogon или CSRSS), настолько повреждена, что операционная система не может гарантировать безопасности и переключается в режим ядра с генерацией этой ошибки.
Рекомендации. Подробную информацию о кодах статуса этой ошибки (первый из трех параметров) можно найти в файле Ntstatus.h, входящем в состав программного продукта Windows Server 2003 Device Driver Kit (DDK).
Поскольку ошибка STOP OxC21A происходит в режиме пользователя, наиболее вероятной ее причиной являются плохо работающие приложения третьих фирм. Воспользуйтесь опцией Last Known Good Configuration.

STOP 0x00000221 - STATUS_IMAGE_CHECKSUM_MISMATCH

Это сообщение STOP (STOP 0xC221) указывает на повреждение драйвера или системного файла DLL. Как правило, в сообщении STOP указывается имя файла, вызвавшего проблему.

Отладка ядра

Отладка ядра оказывается исключительно полезным средством, когда все другие методы устранения ошибок STOP не помогли, или когда проблема повторяется часто. В этих случаях отладка предоставляет способ определить, какой именно код драйвера дает сбой, путем перехватывания точного текста сообщения об ошибке.
В первую очередь необходимо определить некоторые общие термины и процедуры, которые потребуются при отладке сообщений ядра STOP.

Сообщение STOP, "синий экран" или прерывание

Когда операционная система сталкивается с аппаратными проблемами, противоречивостью данных, необходимых для ее работы, или иными подобными ошибками, она обрабатывает эту ситуацию на основании информации, введенной в диалоговом окне Startup and Recovery.
Если пользователь в этом диалоговом окне не указал опцию Automatically Reboot, Windows отображает синий экран, на который выводится информация об ошибке, после чего работа операционной системы останавливается.
В Microsoft Knowledge Base и другой документации по Windows это состояние часто называется "синим экраном" (blue screen), ошибкой ядра (kernel STOP error) или программной ловушкой (software trap). Все эти термины используются для обозначения таких состояний операционной системы, когда ядро, обнаружив ошибку, может выполнить запись в файл дампа памяти (эта процедура может являться частью процесса обработки ошибки).

Символы и деревья символов

Как правило, при компиляции кода могут быть созданы две версии исполняемого файла — отладочная версия (debug version, известная также под названием checked version) и обычная (nodebug или free). Отладочная версия содержит дополнительный код, который позволяет разработчику отлаживать программу. Файл отладочной версии имеет больший размер и исполняется медленнее. Обычная версия исполняемого файла компактнее и исполняется быстрее, но не позволяет осуществлять отладку.
Все исполняемые файлы, DLL, драйверы и другие программы представляют собой обычные (не-отладочные) версии. Каждому программному файлу ставится в соответствие символьный файл, который содержит отладочный код. Отладочная версия Windows, а также инструкции по ее установке входят в состав программного продукта Windows Device Driver Kit (DDK). Отладочная версия находится в подкаталоге Symbols, который содержит подкаталоги для файлов каждого типа (exe, dll, sys). Эта структура называется символьным деревом (symbol tree).
Утилитам, используемым для отладки или для интерпретации файлов дампа памяти, требуется символьное дерево, в котором содержатся символьные файлы соответствующей версии Windows NT/2000/XP или Windows Server 2003 (на момент, когда имеет место ошибка ядра STOP). Некоторые утилиты требуют, чтобы подкаталог \Symbols находился на жестком диске в каталоге %SystemRoot%. Некоторые утилиты допускают указание пути к подкаталогу \Symbols в качестве одной из опций командной строки (в режиме командной строки или в диалоговом окне).
Отладка ядра требует наличия двух компьютеров — так называемого целевого компьютера (target machine) и хост-компьютера (host machine).

Целевой компьютер

Термин "целевой компьютер" (target computer) относится к компьютеру, на котором происходит ошибка ядра STOP. Именно этот компьютер и является отлаживаемым. Он может располагаться где угодно — как в нескольких шагах от компьютера, на котором работает отладчик, так и на достаточно большом расстоянии (связь можно поддерживать через модем).

Хост-компьютер

Термин "хост-компьютер" (host computer) в данной главе относится к компьютеру, на котором вы запускаете отладчик. Этот компьютер должен работать под управлением версии Windows, по крайней мере такой же (или более новой), как и отлаживаемый компьютер.

Отладчик ядра

Программный продукт Windows DDK содержит графический отладчик WinDbg, применяемый для отладки драйверов и приложений, работающих как в режиме пользователя, так и в режиме ядра. Подробная информация об использовании и конфигурировании отладчика содержится в файле справочной системы, поставляемом в комплекте с отладчиком.
Отладчик можно использовать как для локальной, так и для удаленной отладки ядра. Если вы применяете локальную отладку, то хост-компьютер находится в нескольких шагах от целевого и взаимодействует с ним через нуль-модемный кабель. Если вы используете удаленную отладку, то хост-компьютер может находиться на любом расстоянии от целевого, поскольку они взаимодействуют через модемы.
Оба компьютера обмениваются отладочной информацией через коммуникационные порты. Порты на обоих компьютерах должны быть сконфигурированы на одну и ту же скорость передачи данных, выраженную в битах в секунду (бит/с).
После появления "синего экрана" запишите всю важную информацию, которая была выведена в сообщении, и перезагрузите компьютер. Возможно, вам потребуется сконфигурировать целевой компьютер для локальной или удаленной отладки и перезагрузить систему еще раз. После этого вы можете работать с Windows до тех пор, пока сообщение не появится снова. Когда "синий экран" появится еще раз, обратитесь к местному специалисту технической поддержки за помощью. На этом этапе можно решить, как будет проводиться отладка (локально или удаленно). Специалисты технической поддержки могут проинструктировать вас по вопросам конфигурирования системы для отладки.

Установка отладочного сеанса

Если принято решение использовать отладчик ядра для анализа ошибки ядра STOP, вам потребуется установить хост и соединить целевой и хост-компьютеры. Для этого необходимо использовать нуль-модемный кабель (в случае проведения локального отладочного сеанса) или модемный кабель (в случае удаленной отладки).
Прежде чем начинать отладку, выполните подготовительные действия:
1. Установите соединение между двумя компьютерами через модем или нуль-модемный кабель.
2. Сконфигурируйте целевой компьютер для отладки.
3. Установите в хост-системе символьное дерево.
4. Установите в хост-системе отладчик.
5. Запустите отладчик в хост-системе.
Установка сеанса удаленной отладки. Если вы активизируете отладчик ядра на целевом компьютере, он будет отправлять отладочную информацию на хост-компьютер, чтобы ее смог анализировать удаленный пользователь. Выполнение этой процедуры часто требуют специалисты из группы поддержки, чтобы собрать информацию, необходимую им для анализа фатальной ошибки, особенно если эту информацию невозможно получить из файла дампа или файл дампа не создается.
Чтобы сконфигурировать систему для удаленной отладки, необходимо изменить загрузочные опции операционной системы таким образом, чтобы на этапе загрузки выполнялась загрузка отладчика ядра. На платформах х86 это делается путем редактирования файла Boot.ini. Кроме того, необходимо подключить внешний модем к соответствующему СОМ-порту целевого компьютера и соединить его с входным (inbound) телефонным каналом.
Установка модема на целевом компьютере. Чтобы установить сеанс удаленной отладки, необходимо подключить к целевому компьютеру внешний модем и переконфигурировать параметры модема таким образом, чтобы они соответствовали требованиям отладчика ядра. Чтобы сконфигурировать модем, необходимо иметь возможность запустить программу Terminal.exe или другую подобную коммуникационную утилиту. Если запуск таких программ на целевом компьютере невозможен, сконфигурируйте модем на другом компьютере, имеющем близкие конфигурационные параметры. Подключите сконфигурированный модем к целевому компьютеру и убедитесь, что он работает. Использование внутренних модемов в данном случае невозможно, т. к. при перезагрузке система сбрасывает изменения, внесенные в их конфигурацию.
Модем необходимо подключить к свободному СОМ-порту и установить конфигурационные параметры:

Auto answer mode | On
Hardware compression | Disabled
Error detection | Disabled
Flow control | Disabled
Рекомендуются скорости nepef. | \ач\л данных: 9600 бит/с для систем х86

Просмотрите документацию по модему и найдите правильные значения строк для процесса удаленного конфигурирования.
Редактирование файла Boot.ini на целевом компьютере. Чтобы сконфигурировать отлаживаемый компьютер для проведения сеанса отладки, необходимо отредактировать опции загрузки в файле Boot.ini таким образом, чтобы система загрузила отладчик ядра.
Опции отладчика. Ниже перечислены опции отладчика, которые можно использовать при конфигурировании системы для сеанса отладки.

/Debug | Приводит к загрузке отладчика на этапе загрузки системы. Отладчик остается в памяти компьютера в течение всего времени работы. Это означает, что специалист из группы поддержки может через модем вмешаться в работу отладчика, даже если система не зависла и сообщение STOP не появилось
/Debugport | Указывает последовательный порт, который должен использоваться отладчиком ядра. Если последовательный порт не указан, отладчик по умолчанию будет использовать порт COM2 на компьютерах х86 и СОМ1 в системах с RISC-процессорами
/Crashdebug | Отладчик загружается при загрузке системы, но остается неактивным до тех пор, пока не произойдет сбой. Это позволяет другим приложениям использовать указанный СОМ-порт (по умолчанию используется СОМ1) в течение всего времени, пока система еще работает
/Baudrate | Задает скорость передачи данных, которую будет использовать отладчик ядра. По умолчанию задается скорость 19 200 бит/с, которая является нормальной при удаленной отладке через модем

Чтобы сконфигурировать отлаживаемый компьютер на платформе х86, отредактируйте файл Boot.ini с использованием стандартного текстового редактора и добавьте в этот файл соответствующие опции отладчика.

Дополнительные источники информации

К сожалению, здесь невозможно более подробно описать интереснейшую и увлекательнейшую (хотя и весьма сложную) тему устранения ошибок STOP, анализа аварийного дампа и работу с отладочным сеансом.
Авторы считают своим долгом отослать заинтересованных читателей к источникам информации, где они могут получить исчерпывающие ответы на все интересующие их вопросы. Вот список этих источников:

  • http://msdn.microsoft.com/windowserver2003 — масса полезной информации для разработчиков, в том числе можно загрузить версию Windows Server 2003 Device Driver Kit;
  • http://www.microsoft.com/windows/reskits — информация о продуктах Resource Kit;
  • http://www.microsoft.com/ddk/debugging/ — ссылки на дополнительные источники с информацией по отладке. Полный справочник по отладке, начиная с установки отладочного режима и заканчивая подробным списком всех команд отладчика ядра;
  • http://support.microsoft.com — статьи Microsoft Knowledge Base, содержащие полную и подробную информацию об устранении ошибок STOP.


Загрузка операционной системы

  • Загрузка операционной системы
  • Загрузка Windows Server 2003
    • Условия успешной загрузки Windows Server 2003
    • Самотестирование при включении
    • Файлы, необходимые для запуска системы
    • Инициализация при запуске
    • Работа загрузчика
      • Функции загрузчика NTLDR (для компьютеров х86)
      • Выбор запускаемой операционной системы
      • Опции отладочного меню при загрузке Windows XP и Windows Server 2003
      • Распознавание аппаратных средств
      • Выбор конфигурации (аппаратного профиля)
    • Загрузка ядра
      • Инициализация ядра
    • Регистрация пользователя в системе
  • Файл Boot.ini
    • Раздел [boot loader]
    • Раздел [operating systems]
    • Редактирование файла Boot.ini
  • Диагностика проблем, возникающих на этапе загрузки системы
    • Проблемы, возникающие до появления экрана загрузчика
      • Устранение аппаратных проблем
      • Устранение проблем с системным разделом
      • Устранение проблем с главной загрузочной записью
      • Устранение проблем с загрузочным сектором раздела
      • Аппаратные проблемы
      • Недоступно загрузочное устройство: STOP ОхОООООО7В
  • Дополнительные источники информации

Загрузка операционной системы

В этой главе собраны некоторые полезные сведения (в первую очередь касающиеся процесса загрузки системы), знакомство с которыми позволит пользователю быстрее локализовать и устранить ошибки в работе системы. Проблемы с загрузкой и в процессе работы возможны в любой операционной системе, и Windows Server 2003 не является исключением из общего правила. Тем не менее, стоит порадовать пользователей и хорошими новостями: система действительно стала еще надежнее, стабильнее и, кроме того, в ее состав добавлены новые средства устранения как проблем с загрузкой, так и других неполадок. (Эти средства будут подробно описаны в главе 23 "Восстановление системы".)
Грамотный пользователь не должен пугаться, услышав слова "boot-сектор", "главная загрузочная запись", "POST" и т. п. Чтобы по возможности быстро и с минимальными потерями выйти из ситуации, при которой возникают проблемы с загрузкой ОС, необходимо знать, как происходит этот процесс, от момента включения компьютера и до регистрации пользователя в системе.

Загрузка Windows Server 2003

Процессы, происходящие при успешном запуске компьютера, работающего под управлением Windows Server 2003, перечислены ниже.

  • Самотестирование при включении (Power-On Self-Test, POST)
  • Инициализация при запуске (Initial startup process)
  • Работа загрузчика (Boot loader process):
    • выбор операционной системы (при наличии нескольких систем)
    • опознавание аппаратных средств
    • выбор конфигурации

  • Загрузка ядра
    • инициализация ядра

  • Регистрация пользователя

Примечание

Как видно из приведенного выше списка, процесс загрузки Windows Server 2003 имеет очень близкое сходство с процессом загрузки Windows 2000/XP. Это неудивительно, если вспомнить, что новое семейство серверных продуктов Windows Server 2003 построено на базе ядра Windows 2000/XP. Тем не менее, и в этой области внесены некоторые усовершенствования, которые будут особо отмечены в ходе дальнейшего изложения.

Примечание

Описанная выше последовательность загрузки действует только применительно к системам, загружающимся после нормального останова. При выходе из режима ожидания (standby) или спящего (hibernate) режима эта последовательность будет другой.

Процесс запуска начинается, когда пользователь выполняет одно из следующих действий:

  • включает компьютер (который ранее был выключен);
  • вручную выполняет перезагрузку компьютера, выбрав опцию Restart в окне Shut Down Windows.

К моменту регистрации пользователя в системе компьютер уже завершает загрузку операционной системы и большую часть процесса инициализации. Однако полностью все процессы будут завершены только после успешной регистрации пользователя в системе.

Условия успешной загрузки Windows Server 2003

Чтобы система Windows Server 2003 начала загружаться, необходимо соблюдение следующих условий:

  • корректная инициализация аппаратных средств компьютера
  • наличие всех файлов, необходимых для загрузки системы

Самотестирование при включении

При включении питания или перезагрузке компьютер проходит стадию самотестирования (bootstrapping) аппаратных средств при включении питания (так называемую процедуру POST, Power-On Self-Test). В это время компьютер находится под управлением базовой системы ввода/вывода (Basic Input/Output System, BIOS). При возникновении проблем с аппаратными средствами или настройками уже на стадии POST компьютер сигнализирует об этом серией звуковых сигналов. На этот случай следует иметь под рукой сопроводительную документацию, полученную от поставщика в комплекте с вашим компьютером.

Файлы, необходимые для запуска системы

Успешное завершение процедуры POST свидетельствует о корректной инициализации аппаратных средств компьютера. Теперь для запуска операционной системы требуется присутствие всех нужных файлов. Процедура запуска системы закончится неудачей, если хотя бы один из файлов, необходимых для ее загрузки, не будет найден или окажется поврежденным.
Файлы, необходимые для успешного запуска Windows NT/2000/XP, а также продуктов из семейства Windows Server 2003 на компьютерах х86, перечислены в табл. 3.1.

Таблица 3.1. Файлы, необходимые для запуска Windows NT/2000/XP и продуктов из семейства Windows Server 2003

Файлы | Местоположение | Описание
NTLDR | Корневой каталог системного диска | Загрузчик операционной системы
Boot.ini | Корневой каталог системного диска | Файл, задающий пути к каталогам, в которых установлены копии операционных систем. Подробное описание опций файла Boot.ini будет приведено далее в этой главе
Bootsect.dos (только в системах с двойной загрузкой, где в качестве альтернативной операционной системы используются MS-DOS, Windows 3.1 х или Windows 9x/ ME; этот файл необходим для загрузки альтернативной ОС) | Корневой каталог системного диска | Скрытый системный файл, содержащий копию загрузочного сектора, используемого для загрузки альтернативных операционных систем
Ntdetect.com | Корневой каталог системного диска | Распознаватель аппаратной конфигурации. Передает загрузчику (Ntldr) информацию об обнаруженных и распознанных аппаратных средствах
Ntbootdd.sys (только для SCSI) | Корневой каталог системного диска | Драйвер, используемый для доступа к жестким дискам SCSI. Содержимое этого файла зависит от используемого контроллера
Ntoskrnl.exe | %SystemRoot% \system32 | Ядро операционной системы
Hal.dll | %SystemRoot% \system32 | Уровень аппаратных абстракций — Hardware Abstraction Layer, HAL). Изолирует низкоуровневые подробности функционирования аппаратных устройств от остальной операционной системы и предоставляет API для обращения к однотипным устройствам. Дистрибутивный компакт-диск содержит различные версии HAL. Файл, который будет скопирован на ваш компьютер в процессе инсталляции, зависит от аппаратной конфигурации вашего компьютера
Улей реестра SYSTEM | %SystemRoot% \system32\Config | Ключ реестра HKEY LOCAL MACHINE\SYSTEM
Драйверы устройств | %SystemRoot% \system32\Drivers | Файлы драйверов устройств, установленных в вашей системе

Инициализация при запуске

После успешного завершения процедуры POST начинается процесс инициализации при запуске: на компьютерах х86 системная BIOS ищет и загружает в память загрузочный сектор (boot sector), инструкции которого затем загружают файл NTLDR.
После завершения тестов POST на компьютере х8б системная BIOS пытается обнаружить загрузочный диск. Порядок поиска загрузочного диска (флоппи-дисководы, жесткие IDE- и SCSI-диски, устройства CD-ROM) задается BIOS. Современные BIOS позволяют пользователю переконфигурировать этот порядок, называемый последовательностью загрузки (boot sequence). Подробную информацию о редактировании последовательности загрузки можно найти в сопроводительной документации к вашему компьютеру. Если при этом дисковод А: включен в последовательность загрузки первым, и в нем находится дискета, BIOS попытается использовать эту дискету в качестве загрузочной. Если дискеты в дисководе нет, BIOS проверяет первый жесткий диск, который к этому времени уже инициализировался. Для запуска огромное значение имеет первый сектор жесткого диска, который содержит главную загрузочную запись (Master Boot Record, MBR) и таблицу разделов (partition table).

Примечание

В дополнение к дискетам и жестким дискам, BIOS может позволять загрузку операционной системы с других загрузочных носителей, к числу которых относятся компакт-диски, сетевые адаптеры, диски Zip или LS-120.
Если вы с помощью программы BIOS Setup установили последовательность загрузки "CDROM, А, С", то BIOS в первую очередь будет пытаться найти загрузочный носитель в устройстве CD-ROM и флоппи-дисководе. Попытка загрузки с жесткого диска будет предпринята только в том случае, если ни устройство CD-ROM, ни флоппи-дисковод не содержат загрузочного носителя. Когда вы пытаетесь выполнить загрузку с дистрибутивного компакт-диска, программа Setup просматривает жесткий диск и пытается найти уже существующую установленную копию Windows Server 2003. Если такая копия будет обнаружена, то будет выведено сообщение Press any key to boot from CD-ROM. Если вы в течение 3 секунд не нажмете на любую из клавиш, то программа Setup не запустится, и вы сможете обойти загрузку с компакт-диска. Поэтому, если вы не планируете запускать программу Setup для установки Windows Server 2003 или выполнения восстановительных работ, рекомендуется извлечь из устройства CD-ROM все компакт-диски, т. к. это позволит минимизировать время, требующееся для загрузки Windows Server 2003.

Системная BIOS считывает главную загрузочную запись и загружает ее в память, а затем передает ей управление. Код, содержащийся в главной загрузочной записи, сканирует таблицу разделов в поисках системного раздела. Найдя системный раздел, MBR загружает в память его нулевой сектор и исполняет код, содержащийся в этом секторе. Сектор 0 на системном разделе, так называемый загрузочный сектор раздела (partition boot sector), содержит загрузочный код операционной системы. Этот код и осуществляет запуск операционной системы способом, определенным данной операционной системой.

Примечание

Чтобы успешно выполнить загрузку Windows NT/2000/XP или Windows Server 2003 с дискеты, нужно, чтобы ее первым сектором был загрузочный сектор раздела. Кроме того, на этой дискете должны присутствовать все файлы, необходимые для загрузки. Чтобы изготовить такую дискету, отформатируйте ее под управлением Windows NT/2000/XP или Windows Server 2003 и затем скопируйте на эту дискету следующие файлы: Ntldr, Ntdetect.com, Boot.ini, Bootsect.dos (если вы имеете мультизагрузочную систему и хотите обеспечить возможность загрузки с этой дискеты всех систем, установленных на компьютере), а также Ntbootdd.sys (в случае использования жестких дисков SCSI).

Если на первом жестком диске нет системного раздела, главная загрузочная запись отобразит одно из следующих сообщений об ошибках:

  • invalid partition table (Неверная таблица разделов);
  • Error loading operating system (Ошибка при загрузке операционной системы);
  • Missing operating system (Отсутствует операционная система).

Как правило, главная загрузочная запись не зависит от конкретной операционной системы. Например, на компьютерах х86 одна и та же главная загрузочная запись служит для запуска Windows NT/2000/XP, продуктов из семейства Windows Server 2003, Windows 9x/ME, а также комбинации MS-DOS/Windows З.Ъс. Что касается загрузочного сектора раздела, то он зависит как от операционной системы, так и от используемой файловой системы. На компьютерах х86 загрузочный сектор раздела систем Windows 2000, Windows ХР и Windows Server 2003 отвечает за выполнение следующих действий.

  • Распознавание используемой файловой системы и ее применение для поиска загрузчика операционной системы (NTLDR) в корневом каталоге системного раздела. В томах FAT структура данных, называемая загрузочным сектором раздела, действительно имеет длину в 1 сектор физической разметки диска. В томах FAT32 эта структура занимает уже 2 сектора физической разметки диска, поскольку загрузочный код занимает более 512 байт. В томах NTFS загрузочный сектор раздела может занимать до 16 секторов, причем дополнительные секторы могут содержать код файловой системы, необходимой для поиска NTLDR.
  • Нахождение загрузчика операционной системы NTLDR и его загрузка в память.
  • Начало исполнения кода самозагрузки.

На компьютерах х86 системный раздел должен находиться на первом физическом жестком диске. Загрузочный раздел (который содержит системные файлы операционной системы) может совпадать с системным разделом, но может находиться и в другом разделе того же жесткого диска или даже на другом жестком диске.
Если первый жесткий диск не содержит системного раздела, который должен использоваться для запуска компьютера, необходимо отключить этот диск, чтобы BIOS могла получить доступ к нужному жесткому диску, с которого будет запускаться операционная система.
Если в дисководе А: имеется дискета, BIOS загрузит в память первый сектор этой дискеты. Если дискета является системной, то ее первый сектор представляет собой загрузочный сектор раздела (Partition Boot Sector). Если дискета не является загрузочной и отформатирована под управлением MS-DOS или Windows 9x, то вы увидите на экране следующее сообщение об ошибке:

Non-System disk or disk error Replace and press any key when ready

Если же дискета не загрузочная и отформатирована в Windows NT/2000/XP или в Windows Server 2003, то сообщение будет следующим:

Ntldr is missing Press any key to restart

Работа загрузчика

Загрузчик (boot loader) позволяет выбрать операционную систему, которую требуется запустить, и загружает файлы операционной системы из загрузочного раздела. Общие задачи, выполняемые на данном этапе, сводятся к установке 32-разрядной модели памяти с прямой адресацией (flat addressing), сбору данных об аппаратной конфигурации, построению ее описания в памяти и передаче указателя на это описание в блок загрузчика. После этого NTLDR (для платформ х86) загружает образ ядра, HAL и драйверы для устройств и файловой системы тома, с которого производится загрузка системы. Помимо всего прочего, на данном этапе производится также и загрузка некоторых драйверов, для которых равен нулю параметр реестра start, расположенный под следующим ключом реестра:
HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\ServiceName
Здесь service/feme представляет собой имя сервиса, например:
HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Services\atapi

Примечание

Важность системного реестра невозможно переоценить, т. к. уже на данном этапе (работа загрузчика) он становится необходимым для загрузки системы. Если улей (hive) System, требующийся в том числе и для загрузки драйверов, не будет обнаружен (или окажется поврежденным), то на экране появится примерно следующее сообщение об ошибке:

Windows could not start because the following file is missing of corrupt: \WINDOWS\SYSTEM32\CONFIG\SYSTEM You can attempt to repair this file by starting Windows Setup using the original Setup CD-ROM. Select 'r' at the first screen to start repair.

Подробную информацию о системном реестре, а также процедурах его резервного копирования и восстановления можно найти в главе 24 "Работа с системным реестром". Здесь же следует отметить, что улей реестра System в работающей системе пользователи видят в составе дерева HKEY_LOCAL_MACHINE. Этот улей определяет порядок загрузки всех драйверов системы, и доступ к нему получают как загрузчик операционной системы, так и диспетчер ввода/вывода.

Функции загрузчика NTLDR (для компьютеров х86)

NTLDR управляет процессами выбора операционной системы и распознавания аппаратных средств перед инициализацией ядра. Загрузчик NTLDR должен находиться в корневом каталоге системного диска. Помимо этого, в системном разделе должны присутствовать файлы, перечисленные в табл. 3.1.
Когда NTLDR начинает выполнение, он очищает экран и выполняет следующие действия.
1. Переключает процессор в режим использования 32-разрядной модели памяти с прямой адресацией. Компьютеры х86 при запуске стартуют в реальном режиме, подобном режиму, в котором стартуют процессоры 8088 и 8086. Поскольку NTLDR представляет собой 32-разрядную программу, для того чтобы загрузчик смог начать выполнять какие бы то ни было действия, процессор необходимо переключить в защищенный режим.
2. Запускает соответствующую мини-файловую систему. Код, предназначенный для доступа к файлам на томах FAT и NTFS, встроен в NTFS. Этот код позволяет загрузчику читать файлы, получать доступ к ним и выполнять их копирование.
3. Читает расположенный в корневом каталоге системного диска файл Boot.ini и отображает на экране соответствующее меню для выбора загружаемой операционной системы. Экран, выводимый на данном этапе загрузки, называется экраном загрузчика (boot loader screen). Если компьютер сконфигурирован для загрузки нескольких систем, и пользователь выбирает операционную систему, отличную от Windows NT/2000/XP или Windows Server 2003, то NTLDR загружает в память файл Bootsect.dos и передает ему управление. Другая операционная система стартует как обычно, поскольку файл Bootsect.dos содержит копию загрузочного сектора раздела, который находился на основном разделе или логическом диске до инсталляции Windows NT/2000/XP или Windows Server 2003.
4. Если выбрана одна из версий Windows NT/2000/XP или Windows Server 2003, то выполняется Ntdetect.com, чтобы собрать информацию о физических устройствах, подключенных на данный момент к компьютеру.
5. Загружает и запускает ядро операционной системы Ntoskrnl.exe и передает ему информацию, собранную программой Ntdetect.com.

Примечание

Одним из наиболее значимых усовершенствований, впервые введенных в Windows XP и присутствующих в Windows Server 2003, является существенное повышение производительности, в том числе — так называемая ускоренная загрузка (Fast Boot), реализованная за счет повышения производительности загрузчика Ntldr. Новые версии Ntldr, входящие в состав Windows XP и Windows Server 2003, оптимизируют операции чтения с диска и во время первой загрузки кэшируют все данные о дисковой подсистеме, включая метаданные файловой системы. Кэшированные данные используются при последующих перезагрузках для чтения системных файлов параллельно с другими операциями. Теперь в процессе загрузки считывание каждого из системных файлов происходит за одну операцию. Как результат, по сравнению с Windows 2000 производительность загрузчика выросла примерно в 4—5 раз.

Выбор запускаемой операционной системы

Загрузчик операционной системы отображает на экране меню, в котором можно выбрать запускаемую операционную систему. Вид этого экрана зависит от информации, которая содержится в файле Boot.ini. Например, там можно увидеть следующее:

Please select the operating system to start: Windows XP Professional Windows Server 2003 Windows 2000 Professional Windows NT Server Version 4.0 Windows NT Server Version 4.0(VGA mode) Use the up and down arrow keys to move the highlight to your choice. Press ENTER to choose. Seconds until highlighted choice will be started automatically: 29 For troubleshooting and advanced startup options for Windows, press F8.

Выбор операционной системы, которую требуется запустить, ничем не отличается от аналогичного процесса при работе с предшествующими версиями операционных систем из семейства Windows — Windows NT, Windows 2000 и Windows XP. Операционная система, указанная в приведенном списке первой, выбирается по умолчанию, и изначально курсор установлен на этой строке. Чтобы выбрать для запуска другую операционную систему, воспользуйтесь клавишами перемещения курсора (<t> и <1>), выделите нужную операционную систему и нажмите клавишу <Enter>.
Если вы не выберете ни один из пунктов меню к тому моменту, когда счетчик, указанный в строке:
Seconds until highlighted choice will be started automatically: 29
достигнет нуля, NTLDR загрузит операционную систему, указанную в файле Boot.ini по умолчанию. Программа Setup задает в качестве параметра по умолчанию копию операционной системы, которая была инсталлирована последней. Файл Boot.ini можно отредактировать, указав в качестве загружаемой по умолчанию операционной системы любую из установленных. Подробную информацию о содержимом файла Boot.ini и методах его редактирования см. далее в этой главе.

Примечание

Если Windows XP или Windows Server 2003 является единственной операционной системой, установленной на компьютере, то меню загрузчика не появится. В этом значение тайм-аута, указанное в файле Boot.ini, будет просто проигнорировано, и операционная система запустится сразу же.

Опции отладочного меню при загрузке Windows XP и Windows Server 2003

Любой пользователь, имеющий хотя бы небольшой опыт работы с предыдущими версиями Windows NT, сразу же заметит одно небольшое, но существенное отличие экрана загрузчика Windows 2000/XP и Windows Server 2003 от экрана загрузчика Windows NT 4.0. Это — следующая строка, расположенная в нижней части экрана:
For troubleshooting and advanced startup options for Windows, press F8
Аналогичная опция — нажатие клавиши <F8> — имелась в системах Windows 95/98/ME. Если загрузка Windows завершается неудачей, возможно, вам помогут опции отладочного меню, выводимого по нажатию клавиши <F8>. Следует отметить, что по сравнению с Windows 2000, в Windows XP и Windows Server 2003 это меню было расширено, и в нем появился целый ряд дополнительных опций.
Итак, если при появлении меню загрузки Windows XP/Windows Server 2003 нажать клавишу <F8>, то на экране появится меню следующего содержания:

Windows Advanced Options Menu Please select an option: Safe Mode Safe Mode with Networking Safe Mode with Command Prompt Enable Boot Logging Enable VGA Mode Last Known Good Configuration (your most recent settings that worked) Directory Services Restore Mode (Windows domain controllers only) Debugging Mode Start Windows Normally** Reboot** Return to OS Choices Menu** Use the up and down arrow keys to move the highlight to your choice. * Опция усовершенствована по сравнению с Windows 2000. ** Новые опции, введенные в Windows XP.

Это меню будет оставаться на экране до выбора одной из опций.
При загрузке в безопасном режиме (safe mode) операционная система использует стандартные параметры настройки (монитор VGA, без сетевых средств, с минимальным количеством драйверов — фактически запускаются только драйверы, необходимые для загрузки Windows). Например, если после инсталляции нового программного обеспечения Windows перестала запускаться, то вполне возможно, что загрузка в безопасном режиме позволит выполнить запуск операционной системы с минимальным количеством сервисов и драйверов. После загрузки вы сможете изменить параметры настройки компьютера, не позволяющие осуществить корректную загрузку, или удалить программное обеспечение, вызвавшее эти проблемы. Ниже кратко описаны опции дополнительного меню загрузки.

  • Safe Mode (Безопасный режим)

Если пользователь выбирает эту опцию, то при запуске Windows загружаются только базовые файлы и драйверы, абсолютно необходимые для работы (стандартные драйверы мыши и клавиатуры, накопителей, базовый драйвер видеоадаптера VGA и минимальный объем стандартных системных сервисов). Если Windows невозможно загрузить даже с использованием этого режима, то, вероятнее всего, потребуется выполнять процедуру восстановления поврежденной системы. Подробная информация по данному вопросу и пошаговые инструкции по проведению процедуры восстановления приведены в главе 23 "Восстановление системы".

  • Safe Mode with Networking (Безопасный режим с загрузкой сетевых драйверов)

Если выбрана данная опция, то Windows загружается с использованием только базовых файлов и драйверов (как и в случае с выбором предыдущей опции), но в дополнение делается попытка запуска сетевых служб и восстановления сетевых подключений.

  • Safe Mode with Command Prompt (Безопасный режим с поддержкой командной строки)

Выбор этой опции приводит к попытке запуска Windows с использованием только базовых файлов и драйверов, и вместо графического интерфейса Windows отображает на экране окно командной строки.

  • Enable Boot Logging (Включить протоколирование загрузки)

При выборе этой опции Windows Server 2003 будет записывать протокол загрузки в файл %SystemRoot%\Ntbt\og.txL Действие этой опции аналогично включению параметра /BOOTLOG в файле Boot.ini (см. табл. 3.3).

  • Enable VGA Mode (Включить режим VGA)

После выбора данной опции компьютер загружается с использованием стандартного драйвера VGA. Аналогичный результат дает применение параметра /BASEVIDEO в файле Boot.ini (см. табл. 3.3).

  • Last Known Good Configuration (your most recent settings that worked) (Загрузка последней удачной конфигурации)

Такая опция существовала и в Windows NT 4.0/Windows 2000. Однако ее использование в более новых версиях операционной системы (Windows ХР и продуктах из семейства Windows Server 2003) имеет различия, которые необходимо рассмотреть более подробно. При выборе данной опции в Windows 2000 операционная система запускается с использованием информации реестра, сохраненной сразу же после успешного запуска (критерием успешного запуска во всех ОС, построенных на основе ядра Windows NT, является успешная регистрация в системе хотя бы одного пользователя). Следует сразу же отметить, что в Windows NT/2000 эта опция позволяет исправить только ошибки конфигурирования системы, да и то не всегда. Использовать ее рекомендуется лишь в тех случаях, когда точно известно о допущенной конфигурационной ошибке. Проблемы, вызванные отсутствием или повреждением системных файлов или драйверов, использование этой опции исправить не поможет. Помимо этого, следует помнить, что все изменения, внесенные после последнего успешного запуска Windows NT/2000, в случае применения этой опции будут потеряны.
С выпуском Windows XP в состав этой опции были введены дополнительные усовершенствования. В отличие от Windows NT/2000, Windows ХР и Windows Server 2003 перед установкой обновленных версий драйверов создают резервные копии драйверов, использующихся на текущий момент. При выборе опции будут восстановлены не только параметры реестра, сохраненные после последней успешной загрузки, но и все драйверы, которые при этом использовались. Таким образом, применение этой опции в Windows ХР и Windows Server 2003 позволит восстановить систему не только после конфигурационных ошибок, но и после установки несовместимых приложений и драйверов, приводящих к нестабильной работе или препятствующих загрузке Windows.

  • Directory Services Restore Mode (Windows domain controllers only) (Восстановление службы каталогов (только на контроллерах домена Windows))

Если вы пытаетесь исправить проблемы с загрузкой Windows ХР или обычного сервера Windows Server 2003, эту опцию использовать не следует, поскольку она предназначена только для серверов, являющихся контроллерами домена. Как следует из ее названия, данная опция предназначена для восстановления службы каталога.

  • Debugging Mode (Режим отладки)

Эта опция запускает Windows и устанавливает отладочный режим, при котором отладочная информация пересылается по последовательному кабелю на другой компьютер.

  • Start Windows Normally (Обычная загрузка Windows)

Как и следует из названия этой опции, она позволяет выполнить запуск Windows XP или Windows Server 2003 в нормальном режиме. Данная опция была впервые введена в Windows XP.

  • Reboot (Перезагрузка)

Когда пользователь выбирает эту опцию, процесс загрузки повторится с самого начала (с выполнения процедуры POST). Данная опция была впервые введена в Windows XP.

  • Return to OS Choices Menu (Вернуться к выбору операционной системы)

Возвращает к экрану загрузчика, позволяющему выбрать загружаемую операционную систему. Данная опция была впервые введена в Windows XP.

Как уже было указано, три последние опции впервые появились в Windows XP. Хотя они и не представляют никаких принципиально новых возможностей, они все же делают работу с отладочным меню гораздо более удобной по сравнению с Windows 2000.

Распознавание аппаратных средств

Если в меню загрузчика выбрана одна из версий Windows NT/2000/XP или Windows Server 2003 (или же начала загружаться система по умолчанию, когда истек срок действия таймера), то NTLDR вызывает Ntdetect.com, чтобы собрать информацию о физических устройствах, подключенных на данный момент к компьютеру. Ntdetect.com возвращает полученную информацию загрузчику NTLDR.

Выбор конфигурации (аппаратного профиля)

Если для загрузки выбрана операционная система Windows XP или Windows Server 2003, и в ней имеется только один профиль аппаратной конфигурации, то после того, как загрузчик получит информацию об аппаратных средствах компьютера, он продолжит процедуру загрузки, запустив ядро операционной системы Ntoskrnl.exe и передав ему информацию, собранную программой Ntdetect.com.
Если в системе создано несколько профилей аппаратной конфигурации, и загрузчик не может определить, какой из них должен быть загружен, то на экране появится следующая информация:

Hardware Profile/Configuration Recovery Menu This menu allows you to select a hardware profile to be used when Windows is started. If your system is not starting correctly, then you may switch to a previous system configuration, which may overcome startup problems. IMPORTANT: System configuration changes made since the aast successful startup will be discarded. Profile 1 Profile 2 Profile 3 Use the up and down arrow keys to move the highlight to the selection you want. Then press ENTER. To switch to the Last Known Good Configuration, press 'L'. To Exit this menu and restart your computer, press F3. Seconds until highlighted choice will be started automatically: 5

После этого загрузчик в течение пяти секунд ожидает, давая пользователю возможность выбрать один из существующих профилей аппаратной конфигурации или одну из перечисленных опций (нажатием клавиши <L> или клавиши <F3>).
Первый аппаратный профиль выделен курсором. Чтобы использовать для загрузки другой аппаратный профиль, клавишами со стрелками переместите курсор к нужной опции и нажмите клавишу <Enter>.

Примечание

Для настольных компьютеров Windows XP создает один аппаратный профиль по умолчанию, включающий в свой состав все аппаратные компоненты, обнаруженные при установке системы. Для портативных компьютеров Windows XP создает два аппаратных профиля по умолчанию (Docked Profile и Undocked Profile) и выбирает нужный профиль в зависимости от того, используется ли портативный компьютер в качестве dock-станции или независимо. Хотя поддержка Plug and Play в значительной степени исключает необходимость ручного создания и конфигурирования аппаратных профилей, они все же могут быть весьма полезны.

Загрузка ядра

Получив информацию об аппаратных средствах компьютера и выбранном аппаратном профиле, Ntldr загружает в память уровень аппаратных абстракций (Hal.dll) и ядро операционной системы Ntoskrnl.exe. Загрузив и запустив ядро, Ntldr передает ему информацию, собранную программой Ntdetect.com.
Информация о выбранном аппаратном профиле передается загрузчику, когда пользователь нажимает клавишу <Enter> в меню Hardware Profile/ Configuration Recovery. Помимо этого, загрузчик может сделать выбор автоматически по истечении указанного интервала времени (или в случае, если в системе существует только один аппаратный профиль). На данном этапе ядро и уровень аппаратных абстракций еще не инициализированы. Далее загрузчик просматривает реестр и загружает улей HKEY_LOCAL_MACHINE\ SYSTEM из файла %SystemRoot%\system32\Config\System.

Примечание

В Windows NT/2000 загрузчик на данном этапе извлекал информацию о заданном по умолчанию или определенном пользователем размере реестра (registry quota). Как будет показано в главе 24 "Работа с системным реестром", в Windows XP и Windows Server 2003 необходимость в ограничении по размеру реестра отпала.

На данном этапе загрузчик активизирует API для работы с реестром и создает набор управляющих параметров (control set), который будет использоваться для инициализации компьютера. Эти задачи являются подготовительными для загрузки драйверов. Значение, заданное в ключе реестра HKEY_LOCAL_MACHiNE\SYSTEM\select (рис. 3.1), определяет, какой набор управляющих параметров из перечисленных в ключе HKEY_LOCAL_MACHINE\SYSTEM должен использоваться при загрузке. По умолчанию загрузчик использует набор управляющих параметров, определяемый значением Default. Если пользователь выбрал последнюю успешно загруженную конфигурацию (LastKnownGood), то загрузчик использует набор управляющих параметров, определяемых значением LastKnownGood. На основании сделанного пользователем выбора и значения ключа Select загрузчик определяет, какой из наборов управляющих параметров (controlSet00x) будет использоваться. После этого загрузчик устанавливает значение Current ключа Select на номер набора управляющих параметров, который он будет использовать.

Рис. 3.1. Ключ реестра HKEY_LOCAL_MACHINE\SYSTEM\Select

Далее загрузчик сканирует все сервисы (службы), определенные ключом реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services, И ищет драйверы устройств, для которых значение start равно 0x0 (такое значение указывает на то, что драйверы должны быть загружены, но не инициализированы). Как правило, драйверы с такими значениями представляют собой низкоуровневые драйверы устройств, например, драйверы дисков. Значение Group для каждого драйвера устройства определяет порядок, в котором загрузчик должен его загружать. Ключ HKEY_LOCAL_MACHINE\SYSTEM \CurrentControlSet\Control\ServiceGroupOrder реестра определяет порядок загрузки.
К моменту завершения этой фазы все базовые драйверы загружены и активны, за исключением случаев, когда один из критически важных драйверов не инициализировался, вследствие чего началась перезагрузка системы.

Инициализация ядра

В системах Windows 2000, Windows XP и Windows Server 2003. об инициализации ядра сигнализирует появление графической заставки (рис. 3.2). Это — чисто "косметическое" отличие от Windows NT 4.0, которое не меняет принципов загрузки Windows 2000/XP и Windows Server 2003 по сравнению с предыдущей версией системы.

Рис. 3.2. Появление графической заставки сигнализирует о начале инициализации ядра

Хотите убедиться в справедливости сказанного? Нет ничего проще. Добавив ключ /SOS в строку файла Boot.ini, управляющего содержимым меню загрузчика и режимом загрузки операционной системы, перезагрузите компьютер. Использование этой опции позволяет пользователю видеть всю последовательность загрузки драйверов.
Ядро создает ключ HREY_LOCAL_MACHINE\HARDWARE, используя информацию, полученную от загрузчика. Ключ HKEY_LOCAL_MACHINE\HARDWARE содержит данные об аппаратных средствах, распознавание которых осуществляется каждый раз при запуске системы. В состав этих данных входит информация об аппаратных компонентах на системной плате и о прерываниях, используемых конкретными аппаратными устройствами.
Ядро создает набор опций управления Clone, копируя в него опции управления из набора CurrentControlSet. Набор опций управления Clone никогда не модифицируется, т. к. он должен представлять собой полностью идентичную копию данных, которые использовались для конфигурирования компьютера и не должны отражать изменений, внесенных в ходе процесса запуска.
На стадии инициализации ядро выполняет следующие операции:
1. Инициализирует низкоуровневые драйверы устройств, загруженные на предыдущей стадии.
2. Загружает и инициализирует остальные драйверы устройств.
3. Запускает программы, например Chkdsk, которые должны отработать прежде, чем будут загружены какие-либо сервисы.
4. Загружает и инициализирует сервисы.
5. Создает файл подкачки pagefile.sys.
6. Запускает подсистемы, необходимые для работы Windows.

Примечание

Windows XP и Windows Server 2003, в отличие от Windows NT/2000, выполняют параллельную инициализацию драйверов. Это сделано с целью ускорения процесса загрузки. Вместо того, чтобы ожидать инициализации предыдущего драйвера для того, чтобы начать инициализацию следующего, эти операции теперь выполняются параллельно. Таким образом, определяющее влияние на общее время загрузки оказывает самое медленное устройство.

Регистрация пользователя в системе

Подсистема Win32 автоматически запускает процесс WinLogon.exe, который, в свою очередь, запускает процесс Диспетчера локальной безопасности (Local Security Authority, Lsass.exe). После завершения инициализации ядра необходимо произвести регистрацию пользователя в системе. Процедура регистрации может быть произведена автоматически на основании информации, хранящейся в реестре, или вручную. При ручной регистрации пользователя, в зависимости от выбранного способа регистрации в системе, появляется диалоговое окно Welcome to Windows с текстом Press Ctrl+Alt+Delete to begin. В любом случае, к этому моменту Windows XP/Windows Server 2003, как и Windows 2000, может еще продолжать инициализацию сетевых драйверов, однако пользователю уже разрешается зарегистрироваться в системе.
На данном этапе Service Control Manager выполняет загрузку автоматически стартующих сервисов, для которых значение start, расположенное в ключе реестра HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\DriverWame, установлено равным 0x2. На этом этапе сервисы загружаются с учетом установленных для них зависимостей, поскольку их загрузка осуществляется параллельно. Зависимости описываются значимыми элементами DependOnGroup и DependOnService, расположенными под ключом реестра HKEY_LOCAL_MACHINE\SYSTEM\ CurrentControlSet\Services\DriverWame.
Кроме того, одновременно с появлением окна Welcome to Windows или окна Log On to Windows выполняется запуск сервисов, перечисленных в реестре под следующими ключами:

  • HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\RunServicesOnce
  • HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\RunServices

Примечание

Как и для предыдущих версий Windows NT/ 2000, загрузка Windows XP/Windows Server 2003 не считается успешной до тех пор, пока в системе не зарегистрируется пользователь. После этого набор управляющих опций clone копируется В LastKnownGood.

После регистрации пользователя в системе происходят следующие процессы.

  • Обновление наборов управляющих параметров. Набор управляющих параметров, на который ссылается параметр реестра LastKnownGood, заменяется содержимым параметра clone, который создается каждый раз при запуске компьютера.
  • Входят в силу параметры настройки групповой политики (Group Policy settings). Происходит считывание параметров, задаваемых групповой политикой как в отношении компьютера, так и в отношении пользователя, зарегистрировавшегося в системе.
  • Происходит запуск программ из группы Startup. Windows запускает регистрационные скрипты (logon scripts), а также программы и сервисы, указанные следующими ключами реестра или находящиеся в перечисленных ниже папках:
    • HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion \Runonce
    • HKEY_LOCAL_MACHINE\Software\Microsoft\ Windows\CurrentVersion\ policies\Explorer\Run
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ Windows\CurrentVerslon\Run
    • HKEY_CURRENT_USER\SOFTWARE\Microsoft\ Windows\CurrentVersion\Run
    • systemdrive\Documents and Settings\All Users\Start Menu\Programs \Startup
    • systemdrive\Documents and Settings\username\Start Menu\Programs \Startup
    • windir\Profiles\All Users\Start Menu\Programs\Startup
    • windir\Profiles\username\Start Menu\Programs\Startup

Примечание

Две папки, перечисленные последними в этом списке, существуют только в системах, установленных как обновление с Windows NT 4.0.

Процесс распознавания устройств Plug and Play запускается параллельно процессу регистрации в системе. Этот процесс использует информацию системной BIOS, а также информацию об аппаратных средствах и драйверах устройств, полученную в процессе запуска системы. Если в систему были добавлены новые устройства Plug and Play, которые были правильно подключены, то на данном этапе система их распознает и выполнит их энумерацию (enumeration), или перечисление. Как правило, обнаружение новых устройств, выделение им аппаратных ресурсов, установка драйверов новых устройств происходят в автоматическом режиме при минимальном вмешательстве пользователя. Более подробная информация по данному вопросу была приведена в главе 2 "Поддержка оборудования".

Файл Boot.ini

При инсталляции Windows NT/2000/XP или Windows Server 2003 на компьютерах х86 программа инсталляции помещает в корневой каталог системного раздела файл Boot.ini. NTLDR использует информацию из этого файла для отображения экрана, позволяющего пользователю выбирать операционную систему для загрузки.
Пример файла Boot.ini приведен ниже.

[boot loader] timeout=30 default=multi(0)disk(0)rdisk(0)partition(2)\WINXP [operating systems] multi(O)disk(O)rdisk(0)partition(1)\WINNT=" Microsoft Windows 2000 Professional" /fastdetect /noguiboot multi"(0)disk(0)rdisk(0)partition(2)\WINXP=" Microsoft Windows XP Professional" /fastdetect multi (0)disk(0)rdisk(0)partition(3)\WINDOWS=" Windows Server 2003, Standard" /fastdetect С:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons C:\="Microsoft Windows"

Файл Boot.ini состоит из разделов [boot loader] и [operating systems], описанных ниже.

Раздел [boot loader]

Параметры, содержащиеся в этом разделе, описаны в табл. 3.2.

Таблица 3.2. Параметры, используемые в разделе [boot loader] файла Boot.ini

Параметр | Описание
timeout | Количество секунд, имеющееся в распоряжении пользователя для того, чтобы выбрать загружаемую операционную систему в меню загрузки, отображенном на экране. Если по истечении этого срока выбор операционной системы не сделан, NTLDR начнет загрузку операционной системы по умолчанию. Если значение параметра timeout равно 0, загрузчик сразу же начинает загрузку операционной системы по умолчанию, не позволяя пользователю сделать выбор. Если значение этого параметра установить на -1, то загрузчик будет ожидать выбора пользователя неограниченно долго. Значение -1 не воспринимается как допустимое в группе параметров System на панели управления, где задается значение timeout; поэтому для того, чтобы установить параметр timeout в —1 , вы должны вручную отредактировать файл Boot.ini
default | Путь к операционной системе, загружаемой по умолчанию

Примечание

Меню загрузки не появится, если на компьютере установлена только одна копия Windows XP или Windows Server 2003. В этом случае загрузчик будет игнорировать значение параметра timeout и немедленно запустит операционную систему.

Раздел [operating systems]

Этот раздел содержит список доступных для загрузки операционных систем. Каждая запись указывает путь к загрузочному разделу операционной системы, строку для отображения на экране в процессе загрузки и необязательные параметры.
Файл Boot.ini поддерживает загрузку множества версий операционных систем, построенных на основе ядра Windows NT (включая Windows 2000, Windows XP и продукты из семейства Windows Server 2003), а также запуск других операционных систем. В число альтернативных операционных систем, которые можно указать для загрузки в файле Boot.ini, входят Windows 9x, MS-DOS, а также OS/2, Linux и UNIX. Более подробную информацию об организации систем с двойной загрузкой можно найти в главе 1 "Планирование и установка системы".
Записи в разделе [operating systems] файла Boot.ini допускают использование ряда параметров (табл. 3.3). В этих параметрах строчные и заглавные буквы не различаются. Параметры, доступные только в Windows 2000/XP и Windows Server 2003, помечены символом звездочки (*).

Таблица 3.3. Параметры, используемые в разделе [operating systems] файла Boot.ini

Параметр
 Описание
/BASEVIDEO
 Компьютер загружается с использованием стандартного драйвера VGA. Если вы инсталлируете новый драйвер видеоадаптера, но он работает некорректно, выбор режима загрузки Windows 2000/XP или Windows Server 2003 с этим параметром позволит загрузить компьютер и заменить драйвер
/BAUDRATE
 Указывает скорость в бодах, которая будет использоваться для отладки. Если вы не установите скорость в бодах, то по умолчанию будет принята скорость 9600 (если к компьютеру подключен модем), и 19 200 — для нуль-модемного кабеля. Параметр оказывает побочный эффект, устанавливая также параметр /DEBUG вне зависимости от того, используете ли вы /DEBUG или нет
/BOOTLOG*
 Если указан этот параметр, то Windows 2000/XP или Windows Server 2003 будет записывать протокол загрузки в файл %SystemRoof%\Ntbtlog.txt. Этот файл указывает, какие драйверы были загружены и какие остались незагруженными
/CRASHDEBUG
 Отладчик загружается при запуске Windows 2000/XP или Windows Server 2003, но остается в неактивном состоянии до тех пор, пока не произойдет ошибка ядра. Этот режим особенно полезен, если в процессе вашей работы имеют место редкие непредсказуемые ошибки ядра
/DEBUG
 Отладчик загружается при запуске Windows 2000/XP или Windows Server 2003 и может активизироваться в любой момент хостом отладчика, подключенным к компьютеру. Этот режим рекомендуется использовать при отладке регулярно возникающих проблем
/DEBUGPORT= COMx
 Указывает СОМ-порт для использования при отладке, где х — номер коммуникационного порта, который вы собираетесь использовать. Как и ключ /BAUDRATE, этот ключ принудительно переводит компьютер в отладочный режим
/FASTDETECT*
 Этот параметр был впервые введен с появлением Windows 2000. Если на компьютере установлены ОС Windows NT 4.0, Windows 2000/XP и Windows Server 2003, то в процессе загрузки обеих операционных систем будет использоваться версия Ntdetect.com из более новой версии ОС. На этапе распознавания аппаратных средств в операционных системах, поддерживающих Plug and Play (начиная с Windows 2000), некоторые устройства распознаются драйверами Plug and Play, в то время как Windows NT 4.0, вследствие ограниченности поддержки Plug and Play, выполняет распознавание только с помощью Ntdetect. Если параметр /FASTDETECT указан, то Ntdetect не пытается распознавать такие устройства. Если нет, то Ntdetect будет выполнять энумерацию аппаратных средств в полном объеме. Таким образом, если вы имеете систему с двойной загрузкой, где на одном компьютере установлены Windows NT 4.0 и более поздние версии ОС из этого семейства, данный переключатель должен быть установлен для строк файла Boot.ini, запускающих Windows 2000/XP или Windows Server 2003, и пропущен для строк, осуществляющих запуск Windows NT 4.0
/MAXMEM
 Определяет максимальный объем памяти (RAM), доступный для использования Windows. Этот параметр полезен, если вы подозреваете повреждение чипа памяти
/NODEBUG
 При использовании этого параметра отладочная информация на экран не выводится
/NOGUIBOOT*
 Новый параметр, появившийся в Windows 2000. Если он указан, то драйвер VGA, выполняющий вывод графической заставки в процессе загрузки системы, не инициализируется. Поскольку этот драйвер используется не только для отображения графической заставки, но и для отображения "синего экрана" (BSOD, Blue Screen of Death), то его блокировка приведет также к блокировке этой диагностической возможности
/NOSERIALMICE= [COMx,y, z, . . .]
 Блокирует определение последовательной мыши на указанных СОМ-портах. Этот режим рекомендуется использовать, если вы имеете другой компонент (не мышь), подключенный к последовательному порту в процессе запуска. Если использовать параметр /NOSERIALMICE без указания СОМ-порта, то определение последовательной мыши будет блокировано для всех СОМ-портов
/SAFEBOOT*
 Новый параметр, появившийся в Windows 2000. Стоит отметить, что практически никогда нет необходимости устанавливать его вручную, т. к. при нажатии клавиши <F8> загрузчик (NTLDR) автоматически использует его для выполнения загрузки в безопасном режиме (safe boot). Чтобы задать одну из опций безопасного режима загрузки, укажите двоеточие после этого параметра и задайте один из трех дополнительных переключателей: MINIMAL (опция Safe Mode), NETWORK (опция Safe Mode with Network) или DSREPAIR (опция Directory Services Repair). Как уже упоминалось ранее в этой главе, загрузка в безопасном режиме представляет собой режим загрузки, при котором Windows загружает только драйверы и сервисы, перечисленные поименно в ключах реестра Minimal и/или Network, расположенных В ключе HKLM\System\CurrentControlSet\ ControlXSafeBoot. Опция DSREPAIR применима только для контроллеров домена под управлением Windows 2000 Server или Windows Server 2003. Ее использование приводит к загрузке контроллера в режиме восстановления Active Directory; сами службы Active Directory при этом не запускаются.
Переключатель /SAFEBOOT имеет еще одну дополнительную опцию— ALTERNATESHELL. Если вы укажете эту опцию, то в качестве графической оболочки Windows будет использовать программу, которая указана в составе ключа HKLM\ SystemXCurrent ControlSet \SafeBoot \Altemate Shell как альтернативная графическая оболочка. По умолчанию применяется стандартная графическая оболочка — Explorer
/SOS
 При использовании этого параметра на экране отображаются имена всех загружаемых драйверов. Данный параметр рекомендуется использовать, если Windows 2000, Windows XP или Windows Server 2003 не стартуют, и вы подозреваете отсутствие какого-либо драйвера

Редактирование файла Boot.ini

Программа установки операционных систем Windows NT, Windows 2000, Windows XP и Windows Server 2003 помещает в корневой каталог системного раздела файл Boot.ini, формат и опции которого были рассмотрены в предыдущих разделах. Как и в Windows NT 4.0, этот файл получает атрибуты "только для чтения" (Read Only), "системный" (System) и "скрытый" (Hidden). Простейший и наиболее безопасный метод изменения файла Boot.ini — использовать значок System на панели управления. Для этого в меню Start (Пуск) выберите команду Control Panel | System (Панель управления | Система), в раскрывшемся окне перейдите на вкладку Advanced (Дополнительно) и нажмите кнопку Startup and Recovery (Загрузка и восстановление). Раскроется окно Startup and Recovery (рис. 3.3).

Рис. 3.3. Окно Startup and Recovery предоставляет простейший и наиболее безопасный метод изменения файла Boot.ini

Примечание

В Windows 2000 окно Startup and Recovery позволяло указать операционную систему, запускаемую по умолчанию, а также задать временной интервал, в течение которого на экране будет оставаться меню загрузки, позволяющее пользователю выбрать операционную систему, отличную от указанной по умолчанию. В дополнение к этим возможностям, Windows XP и Windows Server 2003 позволяют также задать временной интервал, в течение которого на экране будут отображаться опции отладочного меню. Наконец, особого внимания заслуживает возможность ручного редактирования файла Boot.ini. Теперь, чтобы открыть файл Boot.ini для ручного редактирования с помощью текстового редактора Notepad, достаточно нажать кнопку Edit в окне Startup and Recovery. Удобство этой опции сложно переоценить, поскольку в Windows NT/2000 для этого требовалось предварительно снимать с файла Boot.ini атрибут защиты от записи, а затем, после сохранения внесенных изменений, восстанавливать этот атрибут.

Диагностика проблем, возникающих на этапе загрузки системы

Здесь обсуждаются действия, которые можно предпринять для выяснения причин, препятствующих успешной загрузке системы Windows Server 2003. Далее будут кратко рассмотрены ситуации, когда компьютер "зависает" или отображает сообщение об ошибке прежде, чем пользователь получает возможность зарегистрироваться в системе. Помимо этого, будут перечислены возможные причины возникновения проблем с диском и пути устранения этих неполадок.
Существует целый ряд причин, по которым компьютер не может успешно выполнить загрузку. Первый шаг в их выявлении — определение времени возникновения проблемы. Например, если на компьютерах х86 проблема возникает до появления экрана загрузчика, то причиной ее возникновения может быть как аппаратный сбой, так и повреждение главной загрузочной записи, таблицы разделов или загрузочного сектора раздела.
К таким повреждениям может привести ряд факторов. Например, на компьютерах х86 прерывание BIOS INT 13 часто используется вирусами для самоинсталляции. Windows 2000/XP и Windows Server 2003 перехватывают прерывания INT 13, но только в том случае, когда система уже загрузилась. Если компьютер загрузить с помощью системной дискеты MS-DOS, а также в том случае, когда система с двойной загрузкой загружается под управлением MS-DOS, Windows NT/2000/XP и Windows Server 2003 не могут защитить себя от такой угрозы. В Microsoft Knowledge Base есть ряд статей с рекомендациями по защите компьютера от вирусов и описанием методов восстановления системы, поврежденной вирусами.
Если проблема возникает уже после появления меню загрузчика и выбора в нем Windows Server 2003, то причина может быть в том, что файлы, необходимые для загрузки операционной системы, отсутствуют или повреждены.
В случае инсталляции новых физических устройств или новых драйверов причиной проблем с загрузкой системы могут быть изменение конфигурации системы и ее несовместимость с этими устройствами или драйверами.

Проблемы, возникающие до появления экрана загрузчика

Здесь описаны проблемы, которые могут возникнуть на этапе между включением компьютера и появлением экрана загрузчика. Их симптомы перечислены в табл. 3.4.

Таблица 3.4. Симптомы проблем, возникающих до появления экрана загрузчика

Симптом | Возможная причина
Процедура POST завершается аварийно, параметры настройки CMOS не сохраняются | Повреждена энергонезависимая память CMOS или требуется замена батареи, поддерживающей сохранение параметров CMOS
Процедура POST отображает одно из следующих сообщений: Hard disk error. Hard disk absent/failed. | Процедура самотестирования при включении (POST) сигнализирует о неисправных или неправильно установленных устройствах. Для устранения аппаратных неполадок рекомендуется тщательно изучить сопроводительную документацию, поставляемую в комплекте с вашим компьютером, а также выполнить проверку базовых аппаратных средств. В частности, необходимо убедиться в том, что все кабели правильно подключены, а все внутренние устройства правильно установлены. Помимо этого, убедитесь в том, что все периферийные устройства (например, клавиатура), необходимые для завершения процедуры POST, правильно подключены и работоспособны. Если речь идет о подключении жестких дисков, убедитесь в правильности установки DIP-переключателей и перемычек (jumpers)
Появление сообщений, подобных следующим: Missing operating system. Insert a system diskette and restart the system. | Повреждена главная загрузочная запись (MBR). Простейшим методом восстановления поврежденной MBR является использование Recovery Console с последующим запуском команды FIXMBR. Эта команда использует следующий синтаксис: Fixmbr [device_name] Здесь device_name— диск, для которого требуется восстановить поврежденную MBR, например: fixmbr \Device\HardDisk0 Если параметр device_name пропущен, то MBR будет переписана для диска, с которого выполняется загрузка операционной системы. Обратите внимание на то, что вам будет предложено подтвердить свое намерение в том случае, если будет обнаружена поврежденная таблица разделов
Появление сообщений, подобных следующим: Invalid partition table. A disk-read error occurred. | Повреждена таблица разделов. Устранить эту проблему можно с помощью утилиты DiskProbe (она входит, например, в состав Windows XP Resource Kit) или любого другого низкоуровневого дискового редактора. Чтобы быть во всеоружии на случай возникновения подобной проблемы, рекомендуется предварительно создать резервную копию MBR и таблицы разделов с помощью утилиты DiskProbe. Обратите внимание, что если повреждена не только таблица разделов, но и MBR, то, скорее всего, вы не сможете запустить Windows. Перед восстановлением таблицы разделов (например, с помощью DiskProbe) вам потребуется запустить Recovery Console для замены поврежденной MBR
Невозможность получить доступ к меню загрузчика и запустить Windows после попытки организовать мультизагрузочную систему | Загрузочный сектор Windows переписан загрузочным сектором другой операционной системы. В составе Recovery Console имеется команда FIXBOOT, позволяющая выполнить замену перезаписанного загрузочного сектора
Появление сообщений, подобных следующим: Couldn't find loader Please insert another disk. | Загрузчик (Ntldr) отсутствует или поврежден. Для замены одного или несколькоих поврежденных системных файлов пригодными к использованию резервными копиями следует загрузить параллельную копию операционной системы, выполнить загрузку с загрузочных дискет или воспользоваться возможностями Recovery Console
Сообщение об отсутствии или повреждении Ntoskrnl.exe, Ntdetect.com или улья реестра SYSTEM | Один из файлов, необходимых для загрузки, отсутствует или поврежден. К числу возможных причин можно также отнести неверную установку параметров в файле Boot.ini. Для замены одного или нескольких поврежденных системных файлов пригодными к использованию резервными копиями следует загрузить параллельную копию операционной системы, выполнить загрузку с загрузочных дискет или воспользоваться возможностями Recovery Console
Появление "синего экрана" (сообщение STOP) | Причины могут носить как аппаратный, так и программный характер

Устранение аппаратных проблем

Как правило, аппаратные проблемы проявляют себя уже на ранних этапах загрузки. Признаком таких проблем являются аварийное завершение процедуры POST, появление экрана сообщения STOP или одного из следующих симптомов:

  • сразу после завершения фазы самотестирования (POST) компьютер "зависает";
  • экран загрузчика не появляется;
  • на экране появляются сообщения об ошибках следующего типа:
    • Missing operating system (Отсутствует операционная система);
    • A disk read error occurred (Ошибка чтения диска);
    • Insert a system diskette and restart the system (Вставьте системную дискету и перезагрузите систему);
    • invalid partition table (Неверная таблица разделов);
    • Hard Disk Error (Ошибка жесткого диска);
    • Hard Disk Absent/Failed (Жесткий диск отсутствует/отказал).

Вполне возможно, что в этой ситуации запустить компьютер вообще не удастся. Если все основные разделы отформатированы для применения файловой системы NTFS, использование утилит MS-DOS не поможет. Если у вас под рукой есть загрузочная дискета Windows Server 2003, изготовленная в соответствии с рекомендациями, данными ранее в этой главе, попробуйте воспользоваться этой дискетой. Если вы не можете запустить компьютер посредством загрузочной дискеты и восстановление системы с помощью процесса автоматического восстановления системы (ASR) не помогло решить проблему, попробуйте снять жесткий диск и установить его вторым диском на другом компьютере с Windows 2000/XP или Windows Server 2003. После этого вы сможете работать с этим диском, используя утилиты Windows 2000/XP или Windows Server 2003.

Примечание

В общем случае перемещать диски с компьютера на компьютер не рекомендуется, поскольку при этом могут возникнуть проблемы с различием аппаратных конфигураций. Однако, если два компьютера идентичны, то вы сможете обнаружить и, возможно, решить проблему.

Описанные выше проблемы могут возникнуть по одной из следующих причин.

  • Отсутствие системного раздела на первом жестком диске.
  • Повреждена главная загрузочная запись.
  • Поврежден загрузочный сектор раздела.
  • Испортилась микросхема CMOS (или разрядилась ее батарея).
  • Аппаратный сбой.

Примечание

Если по каким-то причинам на диске отсутствует файл Boot.ini, но какая-то система (при наличии нескольких систем) инсталлирована в каталог по умолчанию, т. е. C:\WINDOWS, загрузка этой системы все-таки произойдет.

Устранение проблем с системным разделом

Когда на компьютерах х86 выполняется загрузка с жесткого диска, системный код BIOS определяет загрузочный диск (обычно диск 0) и считывает главную загрузочную запись. Код, содержащийся в главной загрузочной записи, ищет системный раздел на жестком диске. Если он не может найти системный раздел или Windows не может стартовать из этого раздела, процесс запуска останавливается. Появление сообщения об ошибке типа "Error loading operating system" указывает, что код главной загрузочной записи нашел системный раздел, но не может запустить операционную систему.
Возможно, что на жестком диске, с которого вы пытаетесь загрузить операционную систему, вообще нет системного раздела. Кроме того, не исключена ситуация, когда в качестве системного указан другой раздел.

Примечание

Системный раздел — это основной раздел на загрузочном диске (как правило, диск 0), индикатор загрузки которого (Boot Indicator) установлен в значение 0x80. Этот раздел содержит файлы, необходимые для загрузки Windows NT/2000/XP и Windows Server 2003 (такие как NTLDR, Ntdetect.com и Boot.ini).
Утилита Fdisk показывает системный раздел как активный (active partition).

В качестве системного раздела может использоваться только основной раздел. Логический диск в дополнительном разделе для этой цели использовать нельзя. Установить новый системный раздел можно с помощью оснастки Disk Management в Windows 2000, Windows XP или Windows Server 2003, программы Windows NT 4.0 Disk Administrator или посредством программы MS-DOS Fdisk. Все эти программы устанавливают поле Boot Indicator для раздела, который определяется как системный, и сбрасывают это поле для раздела, который был системным ранее.
Если загрузку операционной системы невозможно выполнить вследствие отсутствия или неправильной установки системного раздела, воспользуйтесь утилитой MS-DOS Fdisk.

Устранение проблем с главной загрузочной записью

Здесь описаны проблемы с главной загрузочной записью. Функции кода главной загрузочной записи:

  • считывание таблицы разделов, расположенной в том же секторе;
  • определение местоположения загрузочного сектора раздела;
  • загрузка и выполнение кода, расположенного в загрузочном секторе раздела.

Если код главной загрузочной записи оказывается не в состоянии выполнить эти задачи, отображается одно из следующих сообщений об ошибках:

  • Missing operating system (Отсутствует операционная система)
  • invalid partition table (Неверная таблица разделов).

Для восстановления поврежденной главной загрузочной записи можно воспользоваться консолью восстановления (Recovery Console). Recovery Console представляет собой консоль с интерфейсом командной строки, которая позволяет выполнять многие административные задачи и восстановительные операции. Запускать Recovery Console можно из программы установки Windows Server 2003 или включить ее в качестве одной из опций в меню загрузки. Более подробную информацию об установке и использовании Recovery Console можно найти в главе 23 "Восстановление системы", здесь же отметим, что в число задач, которые можно выполнить с ее помощью, входит и восстановление поврежденной главной загрузочной записи.

Устранение проблем с загрузочным сектором раздела

Существует несколько известных вирусов, способных вызывать проблемы с загрузочным сектором раздела даже тогда, когда том отформатирован для использования файловой системы NTFS. Заражение может произойти при запуске программы MS-DOS с дискеты или при запуске MS-DOS на компьютере с двойной загрузкой. Windows Server 2003, как и Windows 2000/XP, не может защититься от заражения, если она не запущена.
В ряде случаев повреждение загрузочного сектора раздела может привести к генерации следующей ошибки типа "синий экран": STOP 0х0000007B INACCESSIBLE_BOOT_DEVICE. Еще одним симптомом проблем с загрузочным сектором раздела является "зависание" компьютера в процессе загрузки без отображения каких-либо сообщений, при этом экран остается черным.
Даже при условии отсутствия очевидных грубых повреждений загрузочный сектор раздела может работать неправильно. Убедиться в этом можно следующим образом. Попробуйте переименовать файл NTLDR и запустить Windows Server 2003 с этого жесткого диска (сделать это можно, загрузив систему с загрузочной дискеты, изготовленной в соответствии с инструкциями, приведенными ранее в этой главе).
Если загрузочный сектор раздела в норме, а причина неудачи — поврежденный файл загрузчика NTLDR, то в основном разделе NTFS вы увидите следующее сообщение об ошибке: Couldn't find NTLDR
В основном разделе FAT вы увидите сообщение об ошибке: A kernel file is missing from the disk
Если, заменив имя NTLDR, вы таких сообщений об ошибках не получите, это будет говорить о том, что причина кроется в повреждении загрузочного сектора раздела. Не забудьте переименовать файл загрузчика обратно в NTLDR, чтобы загрузочный сектор раздела мог его найти.
Как правило, файл NTLDR по умолчанию имеет атрибуты Hidden, System и Read Only. Поскольку запустить Windows 2000/XP или Windows Server 2003 при испорченном загрузочном секторе в загрузочном разделе невозможно, можно запустить MS-DOS с загрузочной дискеты MS-DOS. Загрузив MS-DOS, можно изменить атрибуты файла (только на диске с FAT!), введя следующую команду: attrib -s -h -r ntldr

Аппаратные проблемы

Если устройство не инициализируется во время самотестирования при загрузке (POST), то возможны проблемы с доступом к этому устройству. Если устройство было добавлено или модифицировано при предыдущем запуске системы, то проблема может быть вызвана новой конфигурацией системы.
Если вы вносили изменения в конфигурацию дисковой подсистемы, необходимо обратить внимание на следующее:

  • правильность установки терминаторов на SCSI-шлейфах;
  • BIOS активизирована только на первом контроллере SCSI (если вообще активизирована);
  • отсутствие конфликтов по IRQ.

Если вы не вносили никаких изменений, проверьте следующее:

  • правильность установки карт контроллеров;
  • правильность подключения всех кабелей;
  • подачу питания на все диски.

Недоступно загрузочное устройство: STOP 0х0000007В

Сообщение STOP указывает, что Windows Server 2003 не может получить доступ к загрузочному сектору раздела или может, но не находит там необходимую информацию. Чаще всего причиной возникновения такой ошибки является заражение вирусами.
Испорченный загрузочный сектор раздела также может вызвать ошибку STOP, но это зависит от того, какая из его областей повреждена. Эта проблема похожа на заражение вирусом, однако в данном случае причиной повреждения может являться дефектный диск или контроллер, а в ряде случаев — ошибка в программном обеспечении, которое своими неправильными действиями нанесло повреждение загрузочному сектору раздела.

Дополнительные источники информации

Авторы считают своим долгом отослать заинтересованных читателей к источникам информации, где они могут получить исчерпывающие ответы на все интересующие их вопросы. Вот список этих источников.

  • Глава 23 "Восстановление системы" полностью посвящена подготовке и проведению восстановительных процедур.
  • Глава 24 "Работа с системным реестром" содержит обзорную информацию о реестре Windows Server 2003 и его использовании в целях диагностики и устранения неполадок в работе.
  • Встроенная справочная система Windows Server 2003 дает сведения по диагностике неполадок и их устранению.
  • Microsoft Knowledge Base содержит большой объем информации, подготовленной сертифицированными специалистами по поддержке продуктов Microsoft. База данных Knowledge Base доступна из следующих источников:
    • Компакт-диски MSDN (Microsoft Developer Network);
    • Компакт-диски TechNet;
    • http://support.microsoft.com.

  • http://msdn.microsoft.com/windowserver2003 — масса полезной информации для разработчиков.
  • http://www.microsoft.com/ddk/debugging/ — ссылки на дополнительные источники с информацией по отладке.


Файловые системы, диски и тома

  • Файловые системы, диски и тома
  • Стили разделов
  • Общие сведения о файловых системах
    • Файловые системы FAT
    • Файловая система FAT32
    • Файловая система NTFS
    • Ограничения файловых систем и вопросы совместимости
    • Размеры кластеров
  • Возможности и использование NTFS 5.0
    • Структурные новшества NTFS 5.0
      • Потоки
      • Точки повторной обработки
      • Жесткие связи NTFS
      • Отслеживание связей
    • Точки соединения NTFS
      • Сравнение точек соединения DFS и NTFS
      • Работа с точками соединения NTFS
      • Монтирование томов с помощью оснастки Disk Management
    • Назначение прав доступа (разрешений) для файлов и папок
      • Назначение разрешений для файлов
      • Назначение разрешений для папок
      • Определение действующих разрешений для файлов и папок
    • Сжатие файлов и папок
    • Квоты дискового пространства
    • Передача права владения
  • Разделы и тома
    • Базовый режим хранения информации
    • Динамический режим хранения информации

Файловые системы, диски и тома

Стили разделов

Компьютеры на базе х86-совместимых процессоров для управления дисками всегда используют главную загрузочную запись (Master Boot Record, MBR). MBR содержит таблицу разделов (partition table), описывающую разбиение диска.
На компьютерах, работающих на базе процессоров Itanium под управлением Windows XP 64-Bit Edition и 64-разрядных версий систем Windows Server 2003, Enterprise Edition и Windows Server 2003, Datacenter Edition, используется новый механизм — GUID partition table (GРТ). Хотя между MBR и GРТ существуют различия, типы дисков и средства администрирования остаются одними и теми же. (Подробную информацию о GUID partition table можно найти в справочной системе, воспользовавшись контекстным поиском.)
В этой книге мы не будем касаться нюансов использования GРТ-разделов, поскольку с точки зрения эксплуатации между MBR- и GРТ-разделами принципиальных различий нет.

Общие сведения о файловых системах

Системы Windows Server 2003 поддерживают традиционные для Windows 2000 и Windows XP дисковые файловые системы: FAT12, FAT 16, FAT32 и NTFS. Кроме того, две файловые системы поддерживаются на устройствах CD-ROM и DVD: Compact Disc File System (CDFS) и Universal Disk Format (UDF). В данном разделе содержатся краткие обзорные сведения об этих файловых системах. На выбор файловой системы оказывают влияние следующие факторы:

  • цель, для которой предполагается использовать компьютер;
  • аппаратная платформа;
  • количество жестких дисков и их объем;
  • требования к безопасности;
  • используемые в системе приложения.

Windows Server 2003 поддерживает также Распределенную файловую систему (Distributed File System, DFS) и Шифрующую файловую систему (Encrypting File System, EFS). Хотя DFS и EPS и названы "файловыми системами", они не являются таковыми в строгом понимании этого термина. Так, DFS (см. главу 8 "Работа с дисковыми ресурсами") представляет собой расширение сетевого сервиса, позволяющее объединить в единый логический том сетевые ресурсы, расположенные на разных компьютерах в разделах, которые могут иметь различные файловые системы. Большей частью в этой главе мы используем понятие "том" в широком смысле; том может представлять собой весь физический диск, основной (primary) или дополнительный (extended) раздел диска, логический диск, созданный в дополнительном разделе, и т. д. — т. е. логическое устройство, имеющее имя (букву). Для динамических дисков понятие "том" имеет особое, дополнительное значение, которое будет рассматриваться в разд. "Разделы и тома". Что касается EFS (см. главу 22 "Средства безопасности Windows Server 2003"), то это — надстройка над NTFS, которая дополняет систему NTFS возможностями шифрования данных.

Примечание

В нашей книге мы будем рассматривать способы хранения информации только для систем Windows Server 2003 на х86-совместимых платформах.

Файловые системы FAT

FAT (чаще всего в главе подразумевается FAT 16) представляет собой простую файловую систему, разработанную для небольших дисков и простых структур каталогов. Ее название происходит от названия метода, применяемого для организации файлов — таблица размещения файлов (File Allocation Table, FAT). Эта таблица размещается в начале тома. В целях защиты тома на нем хранятся две копии FAT. В случае повреждения первой копии FAT дисковые утилиты (например, Scandisk) могут воспользоваться второй копией для восстановления тома. Таблица размещения файлов и корневой каталог должны располагаться по строго фиксированным адресам, чтобы файлы, необходимые для запуска системы, были размещены корректно.
По принципу построения FAT похожа на оглавление книги, т. к. операционная система использует ее для поиска файла и определения кластеров, которые этот файл занимает на жестком диске. Изначально компания Microsoft разработала FAT для управления файлами на дискетах, и только затем приняла ее в качестве стандарта для управления дисками в MS-DOS. Сначала для дискет и небольших жестких дисков (менее 16 Мбайт) использовалась 12-разрядная версия FAT (так называемая FAT 12). В MS-DOS 3.0 была введена 16-разрядная версия FAT для более крупных дисков. В Windows Server 2003 система FAT 12 применяется только на гибких дисках и томах размером менее 16 Мбайт. Например, все 3,5-дюймовые дискеты емкостью 1,44 Мбайт форматируются для FAT16, а все 5,25-дюймовые — для FAT12.
В Windows NT/2000 FAT16 работает точно так же, как и в MS-DOS, Windows 3.1x и Windows 9x/ME. Поддержка этой файловой системы включена и в Windows XP/Windows Server 2003, поскольку она совместима с большинством операционных систем других фирм — поставщиков программного обеспечения. Помимо этого, применение FAT16 обеспечивает возможность обновления более ранних версий операционных систем семейства Windows.

Примечание

Системы Windows NT/2000/XP и Windows Server 2003 нельзя использовать совместно с программными средствами, осуществляющими разбиение диска на тома и сжатие дисков при помощи драйверов устройств, которые загружаются из MS-DOS. Например, если требуется иметь доступ к разделу или логическому диску FAT, работая под управлением этих систем, не следует применять для них такие средства сжатия, как DoubleSpace (MS-DOS 6.0) или DriveSpace (MS-DOS 6.22). Для сканирования и восстановления томов FAT, используемых перечисленными системами, рекомендуется ввести в командной строке команду Chkdsk. Эта программа объединяет функциональные возможности, присущие программам MS-DOS Chkdsk и Scandisk, включая сканирование поверхности жесткого диска. Если требуется выполнить сканирование поверхности диска, дайте из командной строки команду chkdsk /r.

Файловая система FAT32

32-разрядная файловая система FAT32 появилась в Windows 95 OSR2 и поддерживается в Windows 98/ME и Windows 2000/XP/Server 2003. Она обеспечивает оптимальный доступ к жестким дискам, повышая скорость и производительность всех операций ввода/вывода. FAT32 представляет собой усовершенствованную версию FAT, предназначенную для использования на томах, объем которых превышает 2 Гбайт. В Windows XP и Windows Server 2003 система FAT32 применяется для форматирования дисков DVD-RAM.
Для обеспечения максимальной совместимости с существующими прикладными программами, сетями и драйверами устройств FAT32 была реализована с минимумом возможных изменений в архитектуре и внутренних структурах данных. Все утилиты Microsoft, предназначенные для работы с дисками (Format, Fdisk, Defrag и ScanDisk), были переработаны для обеспечения поддержки FAT32. Кроме того, Microsoft проводит большую работу по поддержке ведущих фирм-производителей драйверов устройств и утилит для работы с диском, чтобы помочь и в обеспечении поддержки FAT32 в их продуктах. В табл. 4.1 представлены сравнительные характеристики FAT16 и FAT32.

Таблица 4.1. Сравнение характеристик FAT16 и FAT32 в системах Windows Server 2003

FAT16 | FAT32
Поддерживается большинством операционных систем, в числе которых MS-DOS, Windows 9х/МЕ, Windows NT, OS/2 и UNIX | Поддерживается всеми операционными системами Windows, начиная с Windows 95 OSR2; поддержка FAT32 имеется также и на других платформах
Эффективна только на логических дисках, размер которых не превышает 256 Мбайт | Не поддерживаются диски, размер которых менее 32 Мбайт
Поддерживает сжатие диска только с помощью таких DOS-утилит, как DrvSpace | Не поддерживает сжатие диска
На практике ограничена по размеру до 65 524 кластеров. Каждый кластер имеет фиксированный размер в зависимости от размера логического диска. Ограничения по количеству кластеров и их размеру (64 Кбайт) приводят к общему ограничению по размеру диска (не более 4 Гбайт). Следует, однако, учитывать то, что кластеры размером 64 Кбайт могут распознаваться неправильно некоторыми приложениями и системами! Помимо этого, FAT12/16 обычно имеет ограничения по количеству файлов и папок, которые могут содержаться в корневом каталоге (в зависимости от диска максимальное значение колеблется от 200 до 400) | Использует кластеры меньшего размера, в результате чего дисковое пространство используется более эффективно. Максимальный размер кластера — 1 6 Кбайт, максимальный размер форматируемого диска — 32 Гбайт; чтение и запись поддерживается на томах до 2 Гбайт
Поскольку с увеличением размера диска размер кластера FAT16 увеличивается, хранение файлов на таких дисках становится неэффективным. Например, если файл размером 10 Кбайт хранится в кластере размером 32 Кбайт, то 22 Кбайт дискового пространства не используются | Для дисков размером от 257 Мбайт до 8 Гбайт размер кластера — 4 Кбайт

FAT32 обеспечивает следующие преимущества по сравнению с прежними реализациями FAT.

  • Поддержка дисков размером до 2 Тбайт. Следует, правда, отметить, что команда Format, имеющаяся в Windows Server 2003, не позволяет форматировать для использования FAT32 тома, размер которых превышает 32 Гбайт (это касается и форматирования томов программой Setup). Поэтому при форматировании томов объемом более 32 Гбайт следует использовать файловую систему NTFS. Однако драйвер Fastaft, имеющийся в составе Windows Server 2003, позволяет монтировать и поддерживать любые тома FAT32, в том числе и такие, объем которых превышает 32 Гбайт. За исключением упомянутого выше ограничения FAT32 в Windows Server 2003 работает точно так же, как в Windows 95 OSR2, Windows 98 и Windows Millennium Edition.
  • Более эффективное расходование дискового пространства. FAT32 использует более мелкие кластеры (см. табл. 4.4), что позволяет повысить эффективность использования дискового пространства на 10—15% по сравнению с FAT.
  • Повышенная надежность и более быстрая загрузка программ. В отличие от FAT12 и FAT16, FAT32 обладает возможностью располагать корневой каталог в любой области тома. Кроме того, загрузочный сектор FAT32 был расширен по сравнению с FAT16 и содержит резервные копии жизненно важных структур данных. Повышенная устойчивость FAT32 обусловлена именно этими факторами.

Файловая система NTFS

Файловая система Windows NT (NTFS) обеспечивает такое сочетание производительности, надежности и эффективности, которого невозможно добиться с помощью любой из реализаций FAT (как FAT16, так и FAT32). Основными целями разработки NTFS являлись обеспечение скоростного выполнения стандартных операций над файлами (включая чтение, запись, поиск) и предоставления дополнительных возможностей, включая сжатие и восстановление поврежденной файловой системы на больших дисках.
NTFS обладает характеристиками защищенности, поддерживая контроль доступа к данным и привилегии владельца, играющие исключительно важную роль в обеспечении целостности жизненно важных конфиденциальных данных. Папки и файлы NTFS могут иметь назначенные им права доступа вне зависимости от того, являются они общими или нет. NTFS — единственная файловая система в Windows NT/2000/XP и Windows Server 2003, которая позволяет назначать права доступа к отдельным файлам. Однако, если файл будет скопирован из раздела или тома NTFS в раздел или на том FAT, все права доступа и другие уникальные атрибуты, присущие NTFS, будут утрачены.
В Windows 2000 была введена новая версия NTFS — NTFS 5.0 (см. ниже). Новые структуры данных, появившиеся в составе этой реализации, позволяют использовать оригинальные возможности Windows 2000, например, квоты на использование диска для каждого пользователя, шифрование файлов, отслеживание ссылок, точки перехода (junction points), встроенные наборы свойств (native property sets). Кроме того, добавлять дополнительное дисковое пространство к томам NTFS 5.0 можно без перезагрузки. Windows Server 2003 не предлагает принципиальных новшеств для этой файловой системы, однако некоторые улучшения все же появились. (Подробно система NTFS 5.0 описывается ниже в разд. "Возможности NTFS 5.0".)
NTFS — наилучший выбор для работы с томами большого объема. При этом следует учесть, что если к системе предъявляются повышенные требования (к числу которых относятся обеспечение безопасности и применение эффективного алгоритма сжатия), то часть из них можно реализовать только с помощью NTFS. Поэтому в ряде случаев нужно использовать NTFS даже на небольших томах.
NTFS — единственная файловая система, на которую можно устанавливать систему, выполняющую функции контроллера домена (на базе Active Directory).

Ограничения файловых систем и вопросы совместимости

В приведенных ниже таблицах (табл. 4.2 и 4.3) собраны данные о совместимости файловых систем NTFS и FAT, а также ограничения, налагаемые на каждую из этих файловых систем. Таблицей совместимости обязательно нужно пользоваться при создании систем с множественной загрузкой.

Таблица 4.2. Поддержка файловых систем операционными системами

Операционная система | Файловая система
 | FAT | FAT32 | NTFS
MS-DOS, Windows 3.1 х и Windows 95 (версии до OSR2) | + | - | -
Windows 95 OSR2, Windows 98 и Windows ME | + | + | -
Windows NT 4.0 | + | - | +
Windows 2000/XP/Server 2003 | + | + | +

Таблица 4.3. Ограничения файловых систем в Windows Server 2003

Ограничения | NTFS | FAT и FAT32
Размеры тома | Минимальный размер тома составляет (фактически) приблизительно 10 Мбайт. На практике рекомендуется создавать тома, размер которых не превышает 256 Тбайт минус 64 Кбайт. С помощью NTFS нельзя форматировать дискеты | FAT поддерживает различные размеры томов — от объема дискет до 4 Гбайт (тома объемом более 2 Гбайт могут не поддерживаться другими системами). FAT32 поддерживает тома объемом от 2 Гбайт до 2 Тбайт. Работая под управлением Windows Server 2003, можно форматировать тома FAT32, объем которых не превышает 32 Гбайт
Размеры файлов | Практический максимум 1 6 Тбайт минус 64 Кбайт | FAT и FAT32 поддерживают файлы размером не более 4 Гбайт

Размеры кластеров

При форматировании дисковые тома размечаются на кластеры —- это минимальное пространство, выделяемое на диске для файлов. Для любой файловой системы размер кластера по умолчанию определяется размером тома. В табл. 4.4 приведены сравнительные размеры кластеров для FAT16, FAT32 и NTFS в зависимости от размера диска.

Примечание

В Windows Server 2003 минимальный размер тома, который можно задать в оснастке Disk Management, — 8 Мбайт. Реальный объем тома получается чуть больше (около 10 Мбайт).
Напомним, что для дисков с NTFS максимальный размер кластера (по умолчанию) ограничен 4 килобайтами, поскольку предусматривается возможность сжатия файлов и папок. Если же размер кластера превышает 4 Кбайт, сжатие невозможно.

Таблица 4.4. Размеры кластеров по умолчанию для FAT16, FAT32 и NTFS в Windows Server 2003

Размер диска | Размер кластера FAT16 | Размер кластера FAT32 | Размер кластера NTFS
До 32 Мбайт включительно | 51 2 байт | Не поддерживается | 51 2 байт
33-64 Мбайт | 1 Кбайт | 51 2 байт | 512 байт
65-1 28 Мбайт | 2 Кбайт | 1 Кбайт | 51 2 байт
129-256 Мбайт | 4 Кбайт | 2 Кбайт | 51 2 байт
257-5 12 Мбайт | 8 Кбайт | 4 Кбайт | 51 2 байт
51 3-1 024 Мбайт | 16 Кбайт | 4 Кбайт | 1 Кбайт
1025-2048 Мбайт (2 Гбайт) | 32 Кбайт | 4 Кбайт | 2 Кбайт
2049-4096 Мбайт (4 Гбайт) | 64 Кбайт | 4 Кбайт | 4 Кбайт
4097-8192 Мбайт (8 Гбайт) | Не поддерживается | 4 Кбайт | 4 Кбайт
8 193-1 6 384 Мбайт (16 Гбайт) | Не поддерживается | 8 Кбайт | 4 Кбайт
16 385-32 768 Мбайт (32 Гбайт) | Не поддерживается | 16 Кбайт | 4 Кбайт
От 32 Гбайт | Не поддерживается | Не поддерживается | 4 Кбайт

Возможности и использование NTFS 5.0

В данном разделе рассматриваются особенности стандартной для Windows 2000/XP и Windows Server 2003 файловой системы — NTFS версии 5.0. Только эта система позволяет в полной мере использовать все средства Windows Server 2003, обеспечивающие безопасность и надежность хранения данных на дисковых накопителях. NTFS 5.0 позволяет реализовать перечисленные ниже возможности2.

  • Механизм разрешений на доступ к файлам и папкам. Обеспечивает гибкую систему ограничений для пользователей и групп.
  • Сжатие файлов и папок. Встроенные средства сжатия данных позволяют экономить пространство на дисках, при этом все процедуры выполняются "прозрачно" для пользователя.
  • Шифрование данных. Encrypting File System (EPS, Шифрующая файловая система) обеспечивает конфиденциальность хранящейся информации, причем в Windows Server 2003 устранены некоторые издержки этого механизма, допускающие "утечку информации".
  • Дисковые квоты. Можно ограничить пространство, занимаемое на томе отдельными пользователями.
  • Механизм точек повторной обработки (reparse points). Позволяет, в частности, реализовать точки соединения (junction points), с помощью которых целевая папка (диск) отображается в пустую папку (эта процедура называется монтированием диска), находящуюся в пространстве имен файловой системы NTFS 5.0 локального компьютера. Целевой папкой может служить любой допустимый путь Windows Server 2003.
  • Распределенное отслеживание ссылок на файлы. Этот механизм позволяет сохранять актуальной ссылку на файл, даже если он был переименован или перемещен на другой том, расположенный на том же компьютере или на другом компьютере в пределах домена.
  • Разреженные (sparse) файлы. NTFS эффективно хранит такие файлы, содержащие большое количество последовательных пустых байтов.
  • Журнал изменений (change journal), где регистрируются все операции доступа к файлам и томам.

По сравнению с Windows 2000, системы Windows Server 2003 имеют следующие улучшения в работе с NTFS:

  • как утверждает компания Microsoft, на 5-8 процентов увеличено быстродействие, и NTFS обеспечивает практически такую же производительность, как и FAT;
  • быстрее выполняется преобразование систем с использованием команды Convert.exe. При этом могут применяться различные, а не фиксированные размеры кластеров, до 4 Кбайт;
  • на преобразованные из FAT в NTFS тома устанавливаются разрешения, принятые на томах, форматируемых непосредственно в NTFS;
  • реализованы новые возможности для дефрагментации.

Далее мы рассмотрим архитектурные особенности NTFS 5.0, а затем — использование некоторых из перечисленных выше возможностей этой системы.

Структурные новшества NTFS 5.0

Примечание

В данном разделе использован материал статьи "A file system for the 21-st Century: previewing the Windows NT5.0 file system" (Jeffrey Richter, Luis Felipe Cabrera), опубликованной в журнале "Microsoft Systems Jomal" в ноябре 1998 года.
Все рассматриваемые особенности NTFS распространяются на все версии систем семейств Windows 2000, Windows XP и Windows Server 2003.

Средства NTFS 5.0 позволяют более эффективно решать многие программистские задачи. С помощью этой системы можно преодолеть ряд проблем, возникающих и в настоящее время при работе с другими файловыми системами. Описываемые в данном разделе возможности были реализованы уже в Windows 2000 и, естественно, присутствуют в Windows Server 2003.
Центром файловой системы NTFS является файл, называемый главной таблицей файлов (Master File Table, MFT). Он создается при форматировании тома для NTFS. MFT состоит из массива записей размером 1 Кбайт. Каждая запись идентифицирует один файл, расположенный на диске. При создании файла система NTFS находит пустую запись в MFT, затем заполняет ее информацией о создаваемом файле. Состав информации, записываемой в MFT, приведен в табл. 4.5.

Таблица 4.5.Состав информации, записываемой в МП

Тип информации | Описание
Стандартная информация | Атрибуты файла, например, "только чтение", "скрытый" и "системный"; время создания, последнего доступа, последнего изменения; счетчик жестких связей файла
Имя | Имя файла или папки в кодировке Unicode. Если имя файла соответствует схеме 8.3 или файл имеет жесткие связи, атрибутов имени файла может быть несколько
Дескриптор безопасности | Структура, хранящая данные безопасности, ассоциированные с файлом, управляющим доступом пользователя к файлу
Данные | Содержимое файла; папки не имеют этого типа информации

NTFS оценивает размер записываемой в MFT информации. Если он не больше 1 Кбайт, информация запоминается в записи MFT. Эти данные хранятся в ОЗУ и являются резидентными атрибутами файла. В противном случае информация помещается на диск, образуя нерезидентные атрибуты файла, а в запись MFT помещается указатель на соответствующую область диска.
Поскольку операционная система Windows Server 2003 широко использует механизм доступа к ресурсам с помощью ярлыков, на жестком диске хранится большое количество файлов с расширением Ink. Кроме того, на жестком диске находится множество файлов Desktop.ini. Описанная выше схема хранения информации файлов в MFT позволяет держать данные небольших файлов в ОЗУ, что резко повышает производительность файловой системы.

Потоки

С самой первой версии NTFS позволяла одному файлу иметь несколько потоков. К сожалению, этот весьма удобный механизм использовался очень слабо, хотя применение потоков позволяет изящно решать многие проблемы.
Например, вы создаете файл. Для него необходимо сформировать и сохранить эскиз (уменьшенное изображение содержимого файла, предназначенное для предварительного просмотра) (thumbnail), который, как правило, записывается в конец файла. Для вывода эскиза надо открыть файл, считать информацию заголовка, найти начало нужной вам информации и только после этого считать данные. Можно хранить эскиз в отдельном файле, но в этом случае велика вероятность того, что сам файл будет перенесен в другое место без соответствующего ему эскиза.
Подобную проблему можно решить с использованием нескольких потоков. При создании файла основные данные следует записать в неименованный поток. Затем необходимо создать внутри того же файла именованный поток, предназначенный для данных образа. Теперь один файл будет содержать два потока.
Проведем следующий эксперимент. На машине Windows Server 2003 откроем окно командной строки. Перейдем в раздел NTFS (например, в папку, содержащую системные шрифты) и введем следующую команду (не делайте лишних пробелов!): С:\WINDOWS\Fonts>dir > New_Stream.TXT:New_Stream
В результате выполнения этой команды система создаст файл New_Stream.TXT. Он будет содержать два потока: неименованный, в котором находится 0 байт, и именованный (с именем New_Stream), где будет находиться результат выполнения команды dir. Доступ к именованному потоку можно получить, обратившись к нему по имени через двоеточие после имени файла. В именах потоков, как и в именах файлов, имеет значение регистр символов.
К сожалению, многие утилиты, входящие в состав Windows Server 2003, не могут работать с именованными потоками. Рассмотрим, к примеру, следующую команду:

C:\WINDOWS\Fonts>dir New_Stream.TXT Volume in drive C is WinSrv2003

Volume Serial Number is 10D5-4C68 Directory of C:\WINDOWS\Fonts 16.04.2003 18:56 0 New_Stream.TXT 0 New_Stream.TXT 1 File(s) 0 bytes 0 bytes 0 Dir(s) 555 720 704 bytes free

Очевидно, что команда dir не видит именованный поток, поэтому она показывает, что размер файла New_Stream.TXT равен 0. Однако это не так: dir показывает только неименованный поток, размер именованного потока пользователю не показывается.
Проведем еще один эксперимент, выполним команду:

C:\WINDOWS\Fonts>dir< New_Stream.TXT:New_Stream Volume in drive С is WinSrv2003 Volume Serial Number is 10D5-4C68 Directory of C:\WINDOWS\Fonts File Not Found

Никакой информации не выводится. Из этого эксперимента видно, что команда dir не обладает средствами обращения к именованным потокам. Для просмотра содержимого именованного потока выполните следующую команду:

C:\WINDOWS\Fonts>more < New_Stream.TXT:New_Stream Volume in drive С is WinSrv2003 Volume Serial Number is 10D5-4C68 Directory of C:\WINDOWS\Fonts 25.03.2003 16:00 311 636 arial.ttf 25.03.2003 16:00 288 496 arialbd.ttf 25.03.2003 16:00 226 748 arialbi.ttf 25.03.2003 16:00 207 808 ariali.ttf 25.03.2003 16:00 117 028 ariblk.ttf 25.03.2003 16:00 127 596 comic.ttf

Теперь мы видим содержимое (оглавление) выбранной папки, которое было сохранено в именованном потоке с помощью команды dir > New_Stream.TXT:New_Stream.
Существует еще одно применение потоков. Предположим, что вы разрабатываете текстовый процессор. Корректируя файл, вы наверняка создадите временный файл, запишете туда все изменения, затем, когда наступит момент сохранить их, уничтожите оригинальный файл, его имя присвоите временному файлу и перенесете этот файл туда, где был расположен оригинальный файл. Весь процесс выглядит довольно просто. Однако следует помнить о том, что новый файл должен иметь то же время создания (time stamp creation), что и оригинальный файл. Кроме того, новый файл должен обладать теми же атрибутами, что и оригинальный файл. При сохранении изменений очень легко изменить один из атрибутов.
При использовании потоков все эти проблемы легко разрешаются. Все потоки в пределах одного файла имеют одни и те же атрибуты (время создания, безопасность и т. д.). Можно записывать изменения не во временный файл, а в именованный поток. Затем, при записи изменений достаточно переименовать именованный поток в неименованный, после чего с помощью средств NTFS удалить старый неименованный поток. Переименование потока должно быть выполнено в соответствии с принципом "все или ничего" (в виде транзакции — либо выполняются все операции, либо все остается в исходном состоянии).
Следует отметить, что при копировании файла, содержащего потоки, в файловую систему, не поддерживающую их (например, FAT на гибком диске), скопированы будут только данные неименованного потока.

Точки повторной обработки

Точки повторной обработки (reparse points) — еще одна новая возможность, появившаяся в NTFS 5.0. Они позволяют выполнять при открытии папки или файла заранее созданный программный код. Точка повторной обработки представляет собой контролируемый системой атрибут, который может быть ассоциирован с папкой или файлом. Значение атрибута точки повторной обработки — это задаваемые пользователем данные, максимальный размер которых может достигать 16 Кбайт. Они представляют собой 32-разрядный ярлык (определяемый Microsoft), указывающий, какой фильтр файловой системы должен быть извещен о попытке получения доступа к данной папке или файлу. Фильтр выполняет заранее определенный код, предназначенный для управления процессом доступа. Поскольку размер данных атрибута точки повторной обработки может достигать 16 Кбайт, помимо ярлыка в атрибуте можно сохранить информацию, имеющую значение для соответствующего фильтра. Фильтр файловой системы может полностью изменить способ отображения данных файла. Поэтому фильтры устанавливаются только администраторами системы. Если по каким-либо причинам система не может найти фильтр, соответствующий определенному ярлыку повторной обработки, доступ к папке или файлу не будет предоставлен, однако они все же могут быть удалены.
Точки повторной обработки используются при создании жестких связей и точек соединений NTFS (т. е. при монтировании томов и папок), позволяющих перенаправлять запрос к папке или файлу в другое место файловой системы.

Жесткие связи NTFS

Предположим, что у вас есть файл, который должен находиться одновременно во многих папках одного дерева. Каждая из копий этого файла занимает определенное место, что приводит к непроизводительному использованию дискового пространства. Кроме того, следует учитывать, что в одной из копий может быть сделано изменение. В этом случае необходимо обновить все копии файла, что может вылиться в долгую и утомительную операцию, в течение которой легко сделать ошибку.
Эту проблему можно решить с помощью жесткой связи (hard link) NTFS. Она позволяет в пределах одного тома создать для одного файла множество имен. Сам файл может находиться в одном месте. Жесткие связи могут быть распространены по всему дереву папки. В Windows XP и Windows Server 2003 имеется новая утилита — Fsutil.exe, позволяющая пользователям создавать произвольные жесткие связи между файлами. Утилита Linkd (см. ниже) позволяет создавать связи между папками. (Связи можно также создавать программно, воспользовавшись функцией CreateHardLink из kernel32.dll.) Рассмотрим пример. Следующая команда создает новый файл fiieNew.txt, который связан с существующим файлом fiiel.txt:

C:\>fsutil hardlink create C:\fileNew.txt C:\Texts\filel.txt Hardlink created for C:\fileNew.txt «===» C:\Texts\filel.txt

При обращении к любому из файлов вы увидите одно и то же содержимое.
Все жесткие связи находятся в одной записи MFT. Поэтому они имеют одинаковые атрибуты (время создания, безопасность и размер файла). При создании новой жесткой связи система добавляет информацию в поле имени записи MFT и увеличивает счетчик жестких связей. При каждом уничтожении жесткой связи удаляется соответствующий атрибут в поле имени, а счетчик жестких связей уменьшается на 1. После уничтожения последней жесткой связи счетчик жестких связей становится равен 0.

Отслеживание связей

Ярлыки играют важную роль организации доступа пользователя к программам и файлам данных операционных систем Windows. Однако наряду с бесспорными преимуществами они имеют и недостатки, одним из которых является нарушение связи между ярлыком и соответствующим ему ресурсом, если ресурс переносится в другое место или переименовывается. Вплоть до появления Windows 2000 с этим недостатком приходилось мириться, поскольку средства NTFS 4.0 не позволяли от него избавиться.
В Windows 2000/XP и Windows Server 2003 имеется Служба отслеживания изменившихся связей (Distributed Link Tracking), позволившая приложениям находить файл, соответствующий данному ярлыку, и связи OLE даже в случае, если этот файл был переименован или перенесен в другое место дерева папок. Теперь, щелкнув на ярлыке рабочего стола, вы всегда сможете получить доступ к нужному ресурсу.
Каждая связь состоит из двух частей — клиента и источника. Например, если документ Word содержит связь OLE с электронной таблицей Excel, сам документ является клиентом связи, а электронная таблица — это источник связи.
Служба отслеживания восстанавливает разрушенную связь в случаях, если:

  • источник связи был переименован;
  • источник связи был перемещен с одного тома NTFS 5.0 на другой в пределах одного компьютера;
  • источник связи был перемещен с тома NTFS 5.0 одного компьютера Windows 2000/XP/Server 2003 на том NTFS 5.0 другого компьютера Windows 2000/XP/Server 2003 в пределах одного домена;
  • том NTFS 5.0 с источником связи был физически перемещен с одного компьютера Windows 2000/XP/Server 2003 на другой компьютер Windows 2000/XP/Server 2003 в пределах одного домена;
  • компьютер, на котором находится том NTFS 5.0 с источником связи, был переименован, но остался в том же домене;
  • изменилось имя общего ресурса, где находится файл-источник связи;
  • образовалась любая комбинация описанных выше случаев.

Служба отслеживания связей имеет некоторые ограничения, перечисленные ниже.

  • Отслеживаются только источники связей, находящиеся на томах NTFS 5.0. Если источник перемещен в другую файловую систему, попытки отследить изменившуюся связь будут предприняты, но вероятность успешного результата мала. Если источник опять будет перенесен в NTFS 5.0, связь будет восстановлена. Но это касается только клиентов связи, созданных до переноса источника на другую файловую систему.
  • На данный момент не поддерживаются перемещение томов, расположенных на компьютерах Windows 2000/XP/Server 2003, не входящих в состав домена.
  • В текущей версии NTFS 5.0 во время работы службы отслеживания связей тома NTFS 5.0 не могут быть блокированы. Поэтому для них нельзя выполнить такие операции, как форматирование или запуск утилиты chkdsk It. Выполнять подобные операции можно только после остановки работы службы отслеживания связей.

Точки соединения NTFS

Точки соединения NTFS (junction point) представляют собой новое средство, позволяющее отображать целевую папку в пустую папку, находящуюся в пространстве имен файловой системы NTFS 5.0 локального компьютера. Эта процедура также называется монтированием тома или папки. Целевой папкой может служить любой допустимый путь в системе. Точки соединения NTFS поддерживаются только в NTFS 5.0.
Точки соединения NTFS отличаются от точек соединения распределенной файловой системы DFS. Последние отображают общий ресурс сети, управляемый DFS. Таким ресурсом может служить любой допустимый общий ресурс сети. Однако оба средства служат для создания общего пространства имен хранения информации.
Точки соединения NTFS прозрачны для приложений. Исключение составляет случай, когда информация об определенной точке соединения необходима программе для работы. Прозрачность в данном случае означает, что приложение или пользователь, осуществляющие доступ к локальной папке NTFS, автоматически перенаправляются к другой папке.
Доступ к локальным томам файловой системы, подключенным с помощью точки соединения, может быть получен даже в случае, если томам не присвоены имена. При этом исчезает ограничение на количество имен, равное 26 (по числу букв английского алфавита).

Сравнение точек соединения DFS и NTFS

По своему назначению точки соединения распределенной файловой системы DFS (links) и точки соединения NTFS похожи. Они представляют собой инструмент, предназначенный для отображения одного пространства имен хранения данных на другое. Ниже описаны отличия точек соединения DFS и NTFS. В DFS точки соединения имеют более широкий набор возможностей, чем в NTFS.
Точки соединения DFS:

  • позволяют сбалансировать нагрузку при передаче информации по сетевым соединениям путем перенаправления запросов целевым репликам;
  • позволяют избежать отрицательных последствий отказа сетевого соединения, заново выбрав копию общего ресурса из набора целевых реплик;
  • запрашивают у службы Active Directory информацию о топологии соединения;
  • располагают полным набором функций, позволяющих осуществлять импорт и экспорт для пространства имен DFS.

В табл. 4.6 перечислены различия точек перехода DFS и NTFS.

Таблица 4.6. Различия точек соединения DFS и NTFS

Свойство | Точки соединения DPS | Точки соединения NTFS
Исходный объект точки соединения | Общий локальный ресурс сети | Локальная папка NTFS 5.0
Представление точки соединения | Том DFS, общий сетевой ресурс | Любой допустимый путь Windows 2000/XP/Server 2003
Возможность восстановления | Да | Да (Chkdsk)
Состояние неизменности/переноса | Да (хранится в виде файла) | Да (прямая операция копирования, переноса или архивирования)
Возможность работы с набором целей | Да | Нет
Поддержка кластеров | Да | Нет
API | Да | Да
Наличие инструментов с графическим интерфейсом | Да (оснастка Distributed File System (Распределенная файловая система DFS)) | Да (оснастка Disk Management (Управление дисками))
Доступность | В NT 4.0 и выше | Только в Windows 2000/XP и Windows Server 2003 на NTFS 5.0

Работа с точками соединения NTFS

Как говорилось выше, точки соединения NTFS позволяют монтировать тома и папки. Для работы с томами можно использовать стандартные средства системы — утилиту Mountvol.exe и оснастку Disk Management (Управление дисками). Для монтирования папок нужна специальная утилита Linkd.
Монтируя тома, можно избежать использования большого количества имен устройств, поскольку обращение к необходимому тому происходит через корневую папку. При монтировании создаются неизменные связи с корневыми папками локального тома файловой системы. Для этого применяется технология, гарантирующая, что при изменениях в параметрах оборудования целевая папка не изменяется.
Утилита Mountvol. С помощью утилиты Mountvol.exe можно:

  • отобразить корневую папку локального тома в некоторую целевую папку NTFS 5.0 (другими словами — подключить, или смонтировать том);
  • вывести на экран информацию о целевой папке точки соединения NTFS, использованной при подключении тома;
  • просмотреть список доступных для использования томов файловой системы;
  • уничтожить точки подключения томов, созданных с помощью Mountvol.

Примечание

При монтировании тома целевая папка должна обязательно находиться на NTFS-томе-. Однако монтируемый том может быть отформатирован с использованием любой из поддерживаемых систем: NTFS, FATI6, FAT32, CDFS или UDF. <.note> Параметры утилиты Mountvol можно получить, введя в командной строке mountvol. Мы рассмотрим только два параметра:
/D — уничтожение существующей точки подключения из указанной папки;
/L — отображение списка томов, подключенных к данной папке.
Подключение тома к точке соединения. Предположим, что на жестком диске компьютера создано два тома (С: и D:). На этом же компьютере установлено устройство CD-ROM (E:). Том С: отформатирован под NTFS, поэтому на нем можно расположить несколько точек соединения NTFS. В приведенных здесь примерах предполагается, что все необходимые для работы с точками соединения NTFS инструменты находятся в папке %SystemRoot98\system32, поэтому их можно запустить, находясь в любом месте дерева папок файловой системы. Все описанные ниже команды выполняются из командной строки.
Для того чтобы смонтировать некоторый том:
1. Введите в окне консоли команду mountvoi и просмотрите список имен внутренних устройств, назначенных томам данной машины. Предположим, что получен следующий результат (возможные значения имени тома вместе с текущими точками подключения):

\\?\Volume{13061678-af7e-lld5-9b6b-806d6172696f}\ D:\ \\7\VolumeU3061679-af7e-lld5-9b6b-806d6172696f}\ С:\ \\?\Volume{13061671-af7e-lld5-9b6b-806d6172696f}\ Е:\ \\7\VolumeU3061670-af7e-lld5-9b6b-806d6172696f}\ А:\

2. Создайте пустые папки на текущем диске и с помощью утилиты Mountvol подключите тома CD-ROM (диск Е:) и D: к точкам соединения (папки CD И MoreDiskSpace):

mkdir CD mountvol CD \\?\Volume{13061671-af7e-lld5-9b6b-806d6172696f}\ mkdir MoreDiskSpace mountvol MoreDiskSpace \\?\Volume {13061678-af7e-lld5-9b6b-%>806d6172696f}\

3. Для проверки работоспособности созданных точек соединения выполните команду dir в двух новых папках. Вы должны увидеть содержимое целевых томов. Теперь полученные соединения могут быть использованы для доступа к целевым томам.
4. Для того чтобы узнать, какие целевые тома соответствуют точкам соединения, с клавиатуры введите следующие команды:

mountvol CD /L mountvol MoreDiskSpace /L

Для получения более подробной информации можно воспользоваться утилитой Fsutil, например: fsutil reparsepoint query \CD
Теперь можно провести еще одно, весьма "суровое", испытание работоспособности точки соединения NTFS, поскольку после подключения тома к точке соединения вы больше не нуждаетесь в имени тома. Поэтому, запустив оснастку Disk Management (Управление дисками), можно удалить имя устройства D: и CD-ROM. Несмотря на исчезновение имен устройств, вы все же можете получить доступ к ним, используя созданные точки соединения. Конечно, вам следует внимательно следить за тем, чтобы не нарушить работу пользователей и программ, напрямую обращающихся к тому с помощью его имени.
Удаление точки соединения. Для удаления созданных выше точек соединения введите в окне консоли следующие команды:

mountvol CD /D mountvol MoreDiskSpace /D

Утилита Linkd. С помощью утилиты Linkd.exe из пакета Windows 2000 Resource Kit можно "связать" любую пустую папку на томе NTFS с другой папкой, расположенной на любом томе (даже FAT). Покажем это на примере. Пусть у нас имеется пустая папка F:\Folderl\Source и папка с некоторым содержимым — C:\Folder2\Dest. Следующая команда создает новую точку соединения (и удаляет старую точку соединения, если таковая уже была создана для исходной папки) между исходной папкой (Source) и целевой папкой (Dest):

F:\XLinkd Folderl\Source C:\Folder2\best Link created at: Folderl\Source

Следующая команда позволяет проверить выполненную операцию; с ее помощью можно просматривать текущую целевую папку для выбранной точки соединения:

F:\>linkd Folderl\Source Source Folderl\Source is linked to C:\Folder2\Dest

Более подробную информацию можно получить, запустив утилиту Fsutil:

fsutil reparsepoint query FolderlXSource

Для удаления исходной папки вместе с точкой соединения используется команда:

F:\>linkd FolderlXSource /D The delete operation succeeded.

Монтирование томов с помощью оснастки Disk Management

Для работы с точками соединения можно использовать оснастку Disk Management (Управление дисками), имеющую графический интерфейс.
Для монтирования тома (создания точки соединения):
1. Запустите оснастку Disk Management (Управление дисками). (Для этого проще всего ввести в командной строке diskmgmt.msc— расширение файла обязательно!)
2. Укажите нужный целевой том (отформатированный с использованием любой файловой системы) и нажмите правую кнопку мыши. В появившемся контекстном меню выберите команду Change Drive Letter and Path (Изменить букву диска или путь к диску). Откроется диалоговое окно Change Drive Letter and Paths (Изменение буквы диска или путей) (рис. 4.1).
3. Нажмите кнопку Add (Добавить) и в открывшемся окне (рис. 4.2), нажав кнопку Browse (Обзор), выберите путь к тому. Можно использовать пустую папку на любом томе NTFS или создать новую папку непосредственно в окне просмотра (рис. 4.3).
4. Нажмите кнопку ОК, закройте все открытые ранее окна. Теперь доступ к тому можно получить с помощью указанного нового пути.

Рис. 4.1. В данном окне можно менять букву диска или пути доступа к этому диску

Рис. 4.2. Укажите имя пустой папки, которая будет использоваться для доступа к выбранному тому

Рис. 4.3. Это окно позволяет выбрать существующую пустую папку в файловой системе или создать новую папку

Для удаления точки соединения (размонтирования тома):
1. Запустите оснастку Disk Management (Управление дисками).
2. Укажите нужный целевой том файловой системы и нажмите правую кнопку мыши. В открывшемся контекстном меню выберите команду Change Drive Letter and Path (Изменить букву диска или путь к диску).
3. В открывшемся окне (рис. 4.4) выберите путь и нажмите кнопку Remove (Удалить).
4. В открывшемся окне подтвердите правильность выполняемого действия.

Рис. 4.4. Это окно показывает, что доступ к тому L: может осуществляться с помощью указанных путей. Можно удалить некоторый путь или добавить новый

Теперь доступ к выбранному тому с помощью точки соединения становится невозможен. Все описанные выше операции никак не влияют на содержимое указанного тома.

Назначение прав доступа (разрешений) для файлов и папок

Устанавливая пользователям определенные разрешения (permissions) на доступ к файлам и каталогам (папкам), администраторы системы могут защищать конфиденциальную информацию от несанкционированного доступа. Каждый пользователь имеет определенный набор разрешений на доступ к каждому объекту файловой системы.
Кроме того, пользователь может быть владельцем файла или папки, если сам их создает. Вопросы передачи права владения рассматриваются ниже в разд. "Передача права владения ".
Разрешения пользователя на Доступ к объектам файловой системы работают по принципу дополнения (аддитивности). Это значит, что действующие разрешения, т. е. те разрешения, которые пользователь реально имеет в отношении конкретного каталога или файла, образуются из всех прямых и косвенных разрешений, назначенных пользователю для данного объекта с помощью логической функции ИЛИ. Например, если пользователь имеет прямо назначенное разрешение для каталога на чтение, а косвенно через членство в группе ему дано разрешение на запись, то в результате пользователь сможет читать информацию в файлах каталога и записывать в них данные.
Следует все же заметить, что правило сложения разрешений с помощью логического ИЛИ не выполняется, когда пользователь имеет определенное разрешение, а группе, в которую он входит, отказано в этом разрешении (или наоборот). В этом случае отказ в разрешении (Deny) имеет более высокий приоритет над предоставлением разрешения, т. е. в результате пользователь не будет иметь данного разрешения. Появление возможности отказа пользователю или группе в разрешении для файлов и каталогов сделало ненужным разрешение No Access, применявшееся в Windows NT 4.0. Теперь для отказа пользователю в разрешении на доступ к какому-либо файлу или папке следует включить пользователя в группу, которой отказано в разрешении Full Control (Полный доступ) для данного объекта файловой системы.

Назначение разрешений для файлов

В Windows XP и Windows Server 2003 процедура редактирования разрешений несколько изменилась по сравнению с Windows 2000, поскольку появились дополнительные возможности поиска и выбора групп и пользователей. В отличие от Windows XP, на системах Windows Server 2003 вкладка Security (Безопасность) в окне свойств файлов и папок отображается всегда, даже на компьютерах, не входящих в домен.

Примечание

Напомним, что разрешения поддерживаются только на файловой системе NTFS, поэтому не удивляйтесь, если вы не увидите вкладку Security (Безопасность) в свойствах дисковых томов, отформатированных для FAT или FAT 32.

Все операции по работе с разрешениями выполняются из окна программы Windows Explorer. Для назначения пользователю или группе разрешения на доступ к определенному файлу:
1. Выберите файл и нажмите правую кнопку мыши. Выполните команду Properties (Свойства) контекстного меню. В появившемся окне свойств файла перейдите на вкладку Security (Безопасность) (рис. 4.5).
2. На панели Group or user names (Имена групп или пользователей) показан список пользователей и групп, которым уже предоставлены разрешения для данного файла. Для того чтобы добавить или удалить пользователей
или группы, нажмите кнопку Add (Добавить) или Remove (Удалить) соответственно. При добавлении пользователей появится диалоговое окно Select Users, Computers, or Groups (Выбор: Пользователи, компьютеры или группы) (рис. 4.6).

Рис. 4.5. Вкладка Security окна свойств файла

Рис. 4.6. Диалоговое окно для выбора пользователя или группы

3. Здесь у вас две возможности: вы можете сразу ввести имя в поле Enter the object names to select и нажать кнопку Check Names для проверки введенного имя; если имя правильное, нажмите кнопку ОК. Для поиска нужных имен можно нажать кнопку Advanced. При этом откроется модифицированное окно Select Users, Computers, or Groups, в котором нужно нажать кнопку Find Now (Найти). (На компьютерах — членах домена в этом окне можно также задавать критерии поиска.) В нижней половине окна появится список всех групп и пользователей, имеющихся на компьютере или в домене (рис. 4.7). Выберите необходимое имя и нажмите кнопку ОК. Выбрав нужные имена в окне Select Users, Computers, or Groups, закройте его, нажав кнопку ОК.

Рис. 4.7. Список пользователей и групп на данном компьютере или в домене

4. Теперь на панели Permissions (Разрешения) вкладки Security можно назначить или запретить стандартные разрешения для файлов — Full Control (Полный доступ), Modify (Изменить), Read & Execute (Чтение и выполнение), Read (Чтение) и Write (Запись). Для установки разрешения или отказа в разрешении служат флажки Allow (Разрешить) и Deny (Запретить). На вкладке также присутствует кнопка Advanced (Дополнительно), нажав которую можно перейти в окно для задания особых разрешений и опций управления наследованием разрешений.

Примечание

Отказ в одном из разрешений на панели Permissions может вызвать отказ во множестве разрешений. Например, если отказать в разрешении Full Control, это приведет к отказу во всех остальных разрешениях. Отказ в определенном разрешении (флажок Deny установлен) не эквивалентен отсутствию этого разрешения (флажок Allow снят). Если, например, пользователю разрешен доступ к дереву каталогов (а это разрешение по умолчанию наследуется всеми дочерними объектами), где есть файл, для которого данный пользователь не должен иметь унаследованного разрешения (т. е. установлен запрет), применяется функция запрета доступа, как более приоритетная. По умолчанию разрешение пользователя для папки, в которой находится данный файл, наследуется самим файлом. Чтобы запретить наследование разрешений, следует снять флажок Allow inheritable permissions from the parent to propagate to this object and all child objects (Переносить наследуемые от родительского объекта разрешения на этот объект) (см. рис. 4.8).

Каждое из перечисленных выше стандартных разрешений состоит из набора специальных (особых) разрешений, задающих возможность выполнения того или иного конкретного действия с файлами или каталогами. В табл. 4.7 показано соответствие стандартных и специальных разрешений. Более детально установка специальных разрешений рассмотрена ниже.

Таблица 4.7.Соответствие стандартных и специальных разрешений для файлов

Специальные разрешения | Стандартные разрешения
Full Control | Modify | Read& Execute | Read | Write
Traverse Folder/Execute File (Обзор папок/ Выполнение файлов) | + | + | + |
List Folder/Read Data (Содержание папок/ Чтение данных) | + | + | + | +
Read Attributes (Чтение атрибутов) | + | + | + | +
Read Extended Attributes (Чтение дополнительных атрибутов) | + | + | + | +
Creat Files/Write Data (Создание файлов/Запись данных) | + | + |  | +
Create Folders/Append Data (Создание папок/ Дозапись данных) | + | + |  | +
Write Attributes (Запись атрибутов) | + | + |  | +
Write Extended Attributes (Запись дополнительных атрибутов) | + | + |  | +
Delete (Удаление) | + | + |  |
Read Permissions (Чтение разрешений) | + | + | + | +
Change Permissions (Смена разрешений) | + |  |  |
Take Ownership (Смена владельца) | + |  |  |

Для более тонкой настройки доступа к файлу:
1. На вкладке Security нажмите кнопку Advanced. Появится окно Advanced Security Settings (Дополнительные параметры безопасности), в Windows ХР и Windows Server 2003 оно несколько отличается от аналогичного окна в Windows 2000. На вкладке Permissions отображен список элементов управления доступом для данного файла (рис. 4.8) с именами пользователей или групп, которым предоставлены разрешения для данного объекта, и сами эти разрешения. Обратите внимание на столбец Inherited From (Наследовано от). Вы можете видеть, от какого объекта данный файл унаследовал установленное разрешение для конкретного пользователя или группы. В данном примере видно, что разрешение Deny не унаследовано, т. е. задано конкретно для этого файла. Большинство разрешений наследуются от родительской папки Е:\, а разрешение для пользователя alex@net.dom хоть и унаследовано, но задано на более низком уровне — на уровне вложенной папки E:\Web. Таким образом, можно получить достаточно полную картину "происхождения" всех разрешений.
2. Флажок Allow inheritable permissions from the parent to propagate to this object and all child objects (Переносить наследуемые от родительского объекта разрешения на этот объект) позволяет управлять наследованием разрешений от родительского объекта. Если он сброшен, то все разрешения определяются только явно для выбранного файла, а наследование разрешений будет отменено. Если флажок сбрасывается, система предлагает либо скопировать унаследованные разрешения и применить их явно к файлу, либо удалить и оставить только явно заданные разрешения.

Рис. 4.8. Окно дополнительных параметров безопасности для файла

3. Чтобы отредактировать строку в окне Advanced Security Settings, сделайте на ней двойной щелчок, либо нажмите кнопку Edit (Изменить). Появится окно Permissions Entry (Элемент разрешения) (рис. 4.9), где можно предоставить одно или несколько специальных разрешений (special permissions) для файла (или отказать в разрешении), не объединенных в стандартное разрешение (табл. 4.8). Обратите внимание на то, что разрешения, унаследованные от родительских объектов, изменять нельзя, и они отмечены серым цветом.

Рис. 4.9. Окно для редактирования специальных разрешений доступа к файлу

Таблица 4.8. Специальные разрешения для файлов и каталогов

Специальное разрешение | Описание
Traverse Folder / Execute File | Определяет возможность перемещения по каталогам файловой системы вне зависимости от того, имеет или не имеет пользователь разрешения для просмотра пересекаемых в процессе перемещения каталогов. На работу этого разрешения влияет политика безопасности Bypass Traverse Checking (Обход перекрестной проверки) (см. узел Local Policies | User Rights Assignment в параметрах безопасности). Разрешение Execute File (Выполнение файлов) определяет возможность исполнения программ
List Folder / Read Data | Определяет возможность просмотра имен файлов или подкаталогов данного каталога (относится только к каталогу). Разрешение Read Data (Чтение данных) определяет возможность просмотра данных файла
Read Attributes | Определяет возможность просмотра атрибутов файла или каталога. Сами атрибуты определяются операционной системой
Read Extended Attributes | Определяет возможность просмотра дополнительных атрибутов файла или каталога. Сами дополнительные атрибуты определяются операционной системой
Create Files /Write Data | Определяет возможность создания файлов внутри каталога (относится только к каталогам). Разрешение Write Data (Запись данных) определяет возможность изменения содержимого файлов или перезаписи существующих данных файла новой информацией (относится только к файлам)
Create Folders / Append Data | Определяет возможность создавать подкаталоги внутри данного каталога (относится только к каталогам). Разрешение Append Data (Дозапись данных) определяет возможность присоединения новых данных к существующему файлу без изменения, уничтожения или перезаписи существующей информации (относится только к файлам)
Write Attributes | Определяет возможность изменения атрибутов файла или каталога. Атрибуты определяются операционной системой
Write Extended Attributes | Определяет возможность изменения дополнительных атрибутов файла или каталога. Дополнительные атрибуты определяются программой и могут быть ею изменены
Delete Subfolders and Files | Определяет возможность удаления подкаталогов и файлов, находящихся в данном каталоге, даже если для этих подкаталогов и файлов нет разрешения Delete (Удаление). Это разрешение имеется только у каталогов
Delete | Определяет возможность удаления файла или каталога. Если вам отказано в разрешении Delete (Удаление) для данного каталога или файла, вы все же можете удалить их, получив разрешение Delete Subfolders and Files (Удаление подпапок и файлов) на родительский каталог
Read Permissions | Определяет возможность чтения таких разрешений для файлов и каталогов, как Full Access, Read и т. д.
Change Permissions | Определяет возможность изменения таких разрешений для файлов и каталогов, как Full Access, Read и т. д.
Take Ownership | Определяет возможность вступления во владение данным файлом или каталогом. Владелец файла или каталога может всегда изменить разрешения к этому объекту, независимо от других разрешений

Назначение разрешений для папок

Процедура установки разрешений для папок практически не отличается от описанной выше процедуры назначения разрешений для файлов.
Для назначения разрешения на доступ к каталогу (папке) пользователю или группе:
1. Укажите каталог и нажмите правую кнопку мыши. Выберите команду Properties контекстного меню. В появившемся окне свойств каталога перейдите на вкладку Security (рис. 4.10).

Рис. 4.10. Вкладка Security окна свойств папки

2. Как и в случае установки разрешений для файлов, предоставление и удаление разрешений пользователям и группам выполняется с помощью кнопок Add и Remove. Список стандартных разрешений на панели Permissions для каталога несколько отличается от набора разрешений для файла (табл. 4.9). Кроме того, нужно помнить, что разрешения для каталогов по умолчанию распространяются на находящиеся в них файлы и каталоги.

Таблица 4.9. Соответствие стандартных и специальных разрешений для папок

Специальные разрешения | Стандартные разрешения
Full Control | Modify | Read& Execute | List Folder Contents | Read | Write
Traverse Folder/Execute File (Обзор папок/ Выполнение файлов) | + | + | + | + |
List Folder/Read Data (Содержание папок/ Чтение данных) | + | + | + | + | +
Read Attributes (Чтение атрибутов) | + | + | + | + | +
Read Extended Attributes (Чтение дополнительных атрибутов) | + | + | + | + | +
Create Files/Write Data (Создание файлов/ Запись данных) | + | + |  |  | +
Create Folders/Append Data (Создание папок/ Дозапись данных) | + | + |  |  | +
Write Attributes (Запись атрибутов) | + | + |  |  | +
Write Extended Attributes (Запись дополнительных атрибутов) | + | + |  |  | +
Delete Subfolders and Files (Удаление подпапок и файлов) | + |  |  |  |
Delete (Удаление) | + | + |  |  |
Read Permissions (Чтение разрешений) | + | + | + | + | +
Change Permissions (Смена разрешений) | + |  |  |  |
Take Ownership (Смена владельца) | + |  |  |  |

3. На панели Permissions можно назначить или запретить стандартные разрешения для каталогов, аналогичные разрешениям для файлов (см. предыдущий раздел), а также разрешение List Folder Contents (Список содержимого папки). По умолчанию подкаталоги наследуют разрешения пользователя к родительскому каталогу. Если наследование разрешений необходимо запретить, снимите флажок Allow inheritable permissions from the parent to propagate to this object and all child objects (Переносить наследуемые от родительского объекта разрешения на этот объект) в окне дополнительных параметров (см. ниже).
Чтобы выполнить более тонкую настройку доступа к папке, на вкладке Security нажмите кнопку Advanced. Появится диалоговое окно Advanced Security Settings (рис. 4.11), в котором будет отображен список элементов управления доступом к данной папке. Как и для файлов, в этом окне в столбце Inherited From можно видеть "происхождение" каждого разрешения, действующего на выбранную папку.

Рис. 4.11. Окно дополнительных параметров безопасности для папки

Флажок Allow inheritable permissions from the parent to propagate to this object and all child objects (Переносить наследуемые от родительского объекта разрешения на этот объект) позволяет управлять наследованием разрешений от родительской папки. Если он сброшен, то все разрешения определяются только явно для выбранной папки, а наследование разрешений будет отменено. Если флажок сбрасывается, система предлагает либо скопировать унаследованные разрешения и применить их явно к папке, либо удалить и оставить только явно заданные разрешения.
Установленный флажок Replace permission entries on all child objects with entries shown here that apply to child objects (Заменить разрешения для дочерних объектов разрешениями, перечисленными для этой папки) позволяет принудительно переопределить разрешения для дочерних объектов, если даже последние имели явно определенные разрешения или сброшенный флажок наследования разрешений. При этом все дочерние папки и файлы будут иметь те же разрешения, что и у выбранной папки, и наследование от родительских объектов будет восстановлено.

Рис. 4.12. Специальные разрешения для папки

Чтобы отредактировать строку в окне Advanced Security Settings, сделайте на ней двойной щелчок, либо нажмите кнопку Edit. Появится окно Permission Entry (рис. 4.12), где можно установить специальные разрешения и указать область их действия (список Apply onto (Применять)):

  • This folder only (Только для этой папки);
  • This folder, subfolders and files (Для этой папки, ее подпапок и файлов);
  • This folder and subfolders (Для этой папки и ее подпапок);
  • This folder and files (Для этой папки и ее файлов);
  • Subfolders and files only (Только для подпапок и файлов);
  • Subfolders only (Только для подпапок);
  • Files only (Только для файлов).

Если не установлен флажок Apply these permissions to object and/or containers within this container only (Применять эти разрешения к объектам и контейнерам только внутри этого контейнера), установленные вами разрешения будут распространяться не только на объекты, определенные в списке Apply onto, но и на все объекты, находящиеся ниже по дереву.

Определение действующих разрешений для срайлов и папок

Как уже говорилось, пользователь или группа получают разрешения на доступ к файлам или папкам непосредственно и через членство в группах (учтите, что в доменах Windows 2000 и Windows Server 2003 группы могут быть членами других групп). Поэтому, когда возникает вопрос "а какие же в конце концов права имеет данный пользователь?", ответ получить не так просто и быстро. Системы Windows XP Professional и Windows Server 2003 предлагают новую возможность — определение действующих разрешений (effective permissions).

Примечание

Упомянутое средство особенно хорошо работает в домене, а для компьютеров — членов рабочей группы данная возможность, похоже, реализована "не до конца": вы можете определить разрешения только для пользователей или групп, непосредственно указанных в окне Security (Безопасность). Если же пользователь получает разрешения через членство в группе, то никакие разрешения не отображаются.

Как выполняется процедура определение действующих разрешений — рассмотрим на примере. Допустим, пользователь Mike, входящий в группу Managers, имеет для файла Picture.jpg разрешения Write, в то время как для группы определено разрешение Read. Чтобы определить все права, которые пользователь имеет в отношении данного файла, нужно выполнить следующие операции:
1. Выберите файл и перейдите на вкладку Security (Безопасность).
2. Нажмите кнопку Advanced (Дополнительно) и в окне Advanced Security Settings (Дополнительные параметры безопасности) перейдите на вкладку Effective Permissions (Действующие разрешения).
3. Нажмите кнопку Select (Выбрать). Откроется окно Select Users, Computers, or Groups (Выбор: Пользователи, компьютеры или группы), аналогичное тому, какое появляется при добавлении разрешений (см. рис. 4.6).
4. Выберите пользователя и нажмите кнопку ОК.
Теперь на вкладке Effective Permissions (Действующие разрешения) будут отображены все разрешения, которые выбранный пользователь имеет по отношению к данному объекту (рис. 4.13). Как можно видеть, пользователь Mike имеет и прямое разрешение Write, и косвенное разрешение Read через членство в группе Managers.

Рис. 4.13. Вкладка Effective Permissions позволяет увидеть все разрешения для выбранного пользователя или группы

При определении действующих разрешений нужно помнить о том, что пользователь может иметь права на операции с объектом, назначенные не с помощью механизма разрешений, а через политики безопасности. Например, пользователь может изменять владельца объекта, даже если у него нет разрешения Take Ownership, однако если такое право ему дано в политиках безопасности.

Сжатие файлов и папок

Системные средства сжатия удобны тем, что их работа практически не сказывается на скорости обращения к данным. Можно шифровать как всю папку целиком (вместе с содержимым), так и отдельные файлы. Нужно лишь помнить о том, что операции сжатия данных и их шифрования (с помощью EFS) являются несовместимыми, т. е. исключающими друг друга (см. подробности в главе 22 "Средства безопасности Windows Server 2003")!
Чтобы разрешить/запретить сжатие файла или папки, нужно в программе Windows Explorer выбрать объект, открыть окно свойств и нажать кнопку Advanced (Дополнительно). В окне дополнительных атрибутов (рис. 4.14) следует установить/сбросить флажок Compress contents to save disk space (Сжимать содержимое для экономии пространства), нажать кнопку OK, a затем закрыть окно свойств. По умолчанию папки сжимаются вместе со всем содержимым.

Рис. 4.14. Окно дополнительных атрибутов

Квоты дискового пространства

Администрирование больших компьютерных сетей, где серверы поддерживают работу сотен пользователей, сопряжено с рядом сложностей. Одна из них — учет дискового пространства сервера, занятого файлами сотрудников компании. Как правило, пользователи, хранящие свои файлы на сервере, мало заботятся об актуальности информации и об уничтожении устаревших или ненужных данных. Множество временных файлов и копий одного и того же файла, находящихся в различных папках, лишь усугубляют ситуацию. В результате в считанные месяцы даже на больших жестких дисках сервера может не оказаться необходимого для работы свободного пространства.
Как правило, в больших организациях дерево папок весьма разветвлено, поэтому визуальный контроль расходования дискового пространства пользователями отнимает у администраторов много времени и усилий.
Подобная проблема просто решается с помощью введения квот на дисковое пространство, доступное для работы каждому пользователю. В предыдущих версиях операционной системы Windows NT не было штатных возможностей ввести квоту на доступное дисковое пространство, поэтому любой пользователь мог распоряжаться всем пространством жестких дисков компьютера. В Windows 2000/XP и Windows Server 2003 администратор может квотировать дисковое пространство по каждому тому и для каждого пользователя. (Из этого следует, что невозможно задать квоту для отдельных папок или групп.)
Система учитывает общее пространство, занимаемое файлами, владельцем которых является контролируемый пользователь: если пользователь владеет файлом, размер последнего добавляется к общей сумме занимаемого пользователем дискового пространства. Важно отметить, что, поскольку квотирование выполняется на уровне тома, не имеет значения, находится ли том на одном физическом жестком диске или на различных устройствах. И наоборот, если на одном физическом диске хранится несколько томов, то квотирование может осуществляться индивидуально по каждому тому.
После установки квот дискового пространства пользователь сможет хранить на томе ограниченный объем данных, в то время как на этом томе может оставаться свободное пространство. Если пользователь превышает выданную ему квоту, в журнал событий вносится соответствующая запись. Затем, в зависимости от конфигурации системы, пользователь либо сможет записать информацию на том (более "мягкий" режим ограничений), либо ему будет отказано в записи из-за отсутствия свободного пространства ("жесткий" режим).
Квоты можно использовать на локальных и общих дисках (в этом случае общий доступ должен быть разрешен на уровне корневого каталога тома). Сжатие файлов не имеет значения при вычислении занятого пространства — всегда учитывается размер исходного несжатого файла.
Устанавливать и просматривать квоты на диске можно только в разделе с NTFS 5.0 и при наличии необходимых полномочий (задаваемых с помощью локальных или доменных групповых политик) у пользователя, устанавливающего квоты. По умолчанию для работы с квотами нужно быть членом группы Administrators.
Для установки квоты:
1. Укажите мышью конфигурируемый том и нажмите правую кнопку мыши. В появившемся контекстном меню выберите команду Properties. Появится окно свойств тома. Перейдите в нем на вкладку Quota (Квота) (рис. 4.15).

Рис. 4.15. Вкладка Quota окна свойств тома

2. Установив флажок Enable quota management (Включить управление квотами), вы включите квотирование конфигурируемого тома. В этом случае будет установлен мягкий режим контроля используемого дискового пространства. Если вы хотите задать более жесткий режим, при котором пользователю в случае превышения квоты будет отказано в доступе к тому, установите флажок Deny disk space to users exceeding quota limit (He выделять место на диске при превышении квоты). Тогда на этой же вкладке нужно установить размер выделяемой квоты (переключатель Limit disk space to (Выделять на диске не более)) и порог, превышение которого вызывает запись предупреждения в журнал событий (поле Set warning level to (Порог выдачи предупреждений)). Эти параметры устанавливаются по умолчанию одинаковыми для всех пользователей.
Чтобы узнать, какие пользователи превысили выделенную им квоту (в мягком режиме), нажмите кнопку Quota Entries (Записи квот). Появится окно Quota Entries (рис. 4.16), где будет отображен список пользователей с параметрами их квот и объемом используемого ими дискового пространства.

Рис. 4.16. Диалоговое окно Quota Entries со списком пользователей и их дисковыми квотами

Учетные записи пользователей, которые превысили установленную для них квоту, отмечены специальным значком в столбце Status (Состояние).
В окне Quota Entries можно изменить параметры квоты, задаваемые по умолчанию для конкретного пользователя. Для этого выберите конфигурируемую строку и дважды щелкните на ней — появится диалоговое окно Quota Settings (Параметры квоты) (рис. 4.17). В этом окне можно, например, увеличить общее для всех значение квоты.
Если некоторый пользователь превысил свою квоту и установлен флажок Log event when a user exceeds their quota limit (Регистрировать превышение пользователем квоты), то в системном журнале регистрируется событие, аналогичное приведенному на рис. 4.18. Если при этом задан "жесткий" режим ограничений на расходуемое дисковое пространство (отказ в записи) (флажок Deny disk space to users exceeding quota limit установлен), то при выполнении любой операции записи в квотируемый том, требующей дополнительного пространства, пользователь получит предупреждение, аналогичное изображенному на рис. 4.19.

Рис. 4.17. Диалоговое окно Quota Settings

Рис. 4.18. Превышение пользователем установленной квоты может регистрироваться в журнале системы

Имеется одна особенность, связанная с операцией удаления имени пользователя из списка записей квот (см. рис. 4.16). Если пользователь записал хоть один файл на указанном томе, то его имя просто так удалить нельзя: необходимо сначала удалить всю "принадлежащую" ему информацию. (Для этого администратор может стать владельцем файла и выполнить нужные операции.) Это требование дает "побочный эффект", очень удобный для администратора: при попытке удаления имени пользователя, имеющего личные файлы на томе, легко увидеть, какие именно файлы принадлежат этому пользователю. Дело в том, что при попытке удаления строки из списка за-
писей квот выводится окно с перечнем файлов, принадлежащих выбранному пользователю (рис. 4.20). В этом же окне администратор может (при необходимости) выполнить операции с отображаемыми файлами: стать их владельцем, удалить или переместить в другое место.

Рис. 4.19. Это сообщение указывает пользователю, что при копировании указанного файла он превышает квоту, установленную для него на целевом томе

Рис. 4.20. В этом окне перечисляются все файлы (вместе с их точным местоположением), принадлежащие выбранному пользователю на указанном томе с включенным квотированием

Примечание

В Windows XP и Windows Server 2003 для выполнения любых операций с квотами можно также использовать утилиту командной строки Fsutil.exe.

Передача права владения

В предыдущих версиях Windows NT право владения файлом или папкой являлось характеристикой, жестко привязанной к создателю данного объекта. Пользователь, создавший файл или папку, становился владельцем этого объекта. Право владения не могло быть передано другому пользователю. Единственное исключение составлял администратор, который мог стать владельцем файла или папки. Сам пользователь не мог передать право владения папкой или файлом другому пользователю.
Операционные системы Windows 2000/XP и Windows Server 2003 обеспечивают более гибкое пользование таким средством обеспечения безопасности информации, как право владения объектом файловой системы. Теперь администратор или уполномоченный пользователь может назначить любого пользователя владельцем какого-либо объекта файловой системы (эта возможность имеется только в Windows Server 2003) или пользователь сам может стать владельцем объекта, не созданного им самим. Естественно, что для этого он должен иметь необходимые разрешения (право Take Ownership). Кроме того, с помощью локальных или доменных политик безопасности можно указывать, какие пользователи всегда могут становиться владельцами файлов или других объектов (по умолчанию такое право имеют только администраторы), при этом они могут даже не иметь никаких разрешений для этого объекта.

Совет

Из вышесказанного следует принцип восстановления разрешений для любого объекта (в том числе для объектов, у которых ошибочно удалены все разрешения): нужно стать его владельцем, а затем установить нужные разрешения для других пользователей и групп.

Для передачи владения объектом файловой системы или для просмотра текущего владельца файла или папки откройте соответствующее окно свойств, перейдите на вкладку Security, затем нажмите кнопку Advanced. Появится окно Advanced Security Settings. Перейдите на вкладку Owner (Владелец) этого окна (рис. 4.21).
Текущий владелец объекта виден в поле Current owner of this item (Текущий владелец этого элемента). В поле Change owner to (Изменить владельца на) перечислены учетные записи, обладающие правом изменения владельца данного объекта файловой системы (т. е. для которых установлен флажок Take Ownership в разрешениях на доступ к объекту или право изменения владельца получено через политики безопасности; если у пользователя это разрешение отсутствует, то просмотр данной информации ему запрещен). Выделите учетную запись пользователя, которому вы хотите передать право владения, и нажмите кнопки Apply (Применить) и ОК.

Рис. 4.21. Вкладка Owner диалогового окна Advanced Security Settings

В Windows Server 2003 администратор или другой пользователь, получивший (через соответствующую политику безопасности) право изменения владельцев объектов, может нажать кнопку Other Users or Groups (Другие пользователи или группы) и выбрать пользователя (или группу), которого он хочет назначить владельцем объекта. Пример нового владельца папки показан на рис. 4.21. Теперь, если нажать кнопку Apply или ОК, выбранный пользователь станет владельцем папки.
На вкладке Owner для папок имеется флажок Replace owner on subcontainers and objects, установив который можно поменять владельца для всех вложенных папок и файлов.

Разделы и тома

В отличие от ранних операционных систем производства компании Microsoft, позволяющих использовать физические диски только в базовом режиме хранения информации (basic storage), в системах Windows 2000/XP существует новый тип хранения информации — диски с динамическим режимом хранения данных (dynamic storage). Диск, инициализированный для динамического режима хранения, называется динамическим диском (dynamic disk).
Используя динамические диски, можно без перезагрузки операционной системы управлять дисками и томами, а также динамически расширять тома. Для клиентских систем — это, пожалуй, единственное преимущество динамических дисков, да и то не слишком ценное, поскольку на рабочих станциях диск обычно один и размечается "раз и навсегда". Поэтому эффект от использования Динамических дисков можно в первую очередь получить на серверных платформах, имеющих сложную дисковую конфигурацию. Дисковая система этих систем может состоять из любой комбинации базовых и динамических дисков. Однако том, состоящий из нескольких дисков, должен иметь один режим хранения данных.
Для начала определимся с терминологией. В табл. 4.10 перечислены основные понятия для базовых и динамических дисков: понятию, указанному в одной колонке таблицы, соответствует логический эквивалент из соседней колонки той же строки.

Таблица 4.10. Организация базовых и динамических дисков

Базовый диск | Динамический диск
Системный (system partition) и загрузочный разделы (boot partition) | Системный (system volume) и загрузочный тома (boot volume)
Основной раздел (primary partition) | Простой том (simple volume)
Дополнительный раздел (extended partiotion) | Простые тома и свободное пространство диска
Логический диск (logical drive) | Простой том
Набор томов (volume set) | Составной том (spanned volume)
Чередующийся набор (stripe set without parity) | Чередующийся том (stripped volume)
Зеркальный набор (mirror set) | Зеркальный том (mirrored volume)
Чередующийся набор с четностью (stripe set with parity) | Том RAID-5 (RAID-5 volume)

Базовый режим хранения информации

Разделом является часть базового диска, функционирующая как логическая автономная единица.
Основной раздел (primary partition) зарезервирован для использования операционной системой. Каждый физический диск может иметь до четырех основных разделов (или до трех, если создан дополнительный раздел).
Дополнительный раздел (extended partition) создается с использованием оставшегося свободного пространства диска и может быть разделен на логические диски. На каждом физическом диске может быть только один дополнительный раздел.
Базовые диски поддерживаются MS-DOS и любыми системами Windows, следовательно только их можно использовать в конфигурациях с множественной загрузкой.
Системы Windows XP и Windows Server 2003 не поддерживают созданные в Windows NT 4.0 многодисковые базовые конфигурации: наборы томов, зеркальные и чередующиеся наборы, а также чередующиеся наборы с четностью. В этих системах (на дисках с MBR) с базовыми дисками возможны следующие операции:

  • создание основных разделов и дополнительного раздела (4 основных или 3 основных и одного дополнительного на каждом диске);
  • создание логических дисков (в дополнительном разделе);
  • расширение базового тома с помощью команды DiskPart.exe (см. подробности этой операции в справочной системе).

Базовый диск в любой момент можно превратить в динамический без потери информации. Обратная процедура требует предварительной архивации данных на всех дисках, т. к. вся информация на диске при этом теряется.

Динамический режим хранения информации

Динамический диск подразделяется не на разделы, а на тома. Том состоит из одного или нескольких физических дисков в одной из следующих конфигураций:

  • простой том;
  • чередующийся том;
  • составной том;
  • том RAID-5.
  • зеркальный том;

Базовый диск в любой момент может быть превращен в динамический диск без потери информации; обратное преобразование приводит к потере данных.

Внимание

Отказоустойчивые тома — зеркальные и тома RAID-5 — поддерживаются только на серверных платформах (Windows 2000 Server и Windows Server 2003)! Однако системы Windows 2000 Professional и Windows XP можно использовать для удаленного администрирования таких томов.
Динамические диски недоступны для компьютеров под управлением MS-DOS, Windows 95, Windows 98, Windows ME, Windows NT 4.0 и Windows Server 2003 Home Edition.
Динамические диски не поддерживаются на портативных компьютерах, съемных (removable) и переносимых (detachable) дисках (подключенных по шинам USB или IEEE 1394 (FireWire).
Не преобразовывайте базовые диски в динамические, если на этих дисках имеются другие инсталляции Windows 2000, Windows XP или Windows Server 2003 — после преобразования эти системы не смогут загружаться. На одном динамическом диске может быть установлена только одна операционная система (из перечисленных).
Выполнить новую инсталляцию Windows Server 2003 можно только на динамический том, который был преобразован из базового загрузочного или системного (содержащего файлы операционной системы) тома. Если динамический том был создан из свободного пространства, то устанавливать систему на него нельзя.

Свободное пространство — это неиспользованная и неформатированная часть жесткого диска, которая может быть задействована при создании томов.
Системный том содержит файлы, жестко привязанные к оборудованию (Ntldr, Boot.ini, Ntdetect.com), необходимые для загрузки системы.
Загрузочный том содержит файлы операционной системы Windows Server 2003, расположенные в папках %SystemRoot% и %SystemRoot9S\system32.
Том — это логическая единица хранения, образованная из свободного (unallocated) пространства на одном или нескольких дисках. Том может быть отформатирован средствами файловой системы с присвоением ему имени (литеры) или смонтирован как папка имеющегося тома. На динамических дисках обычно используется NTFS (а есть ли смысл использовать другую систему с учетом имеющихся ограничений?!), однако с помощью команды Format том можно отформатировать под FAT 16 или FAT32. Тома на динамических дисках могут иметь одну из нескольких структур: простой, составной, зеркальный, чередующийся том и том RAID-5.
Простой том использует пространство одного физического диска. Это может быть один участок на диске или несколько участков, соединенных друг с другом. Простой том может быть расширен в пределах одного диска или на дополнительный диск. Если простой том распространяется на несколько дисков, он становится составным томом. Простой том не обеспечивает отказоустойчивости.
Составной том состоит из связанного вместе пространства нескольких дисков (до 32 дисков). Он может быть распространен на дополнительные диски и не может принимать участие в зеркальных системах. Составные тома создаются, когда ни на одном жестком диске нет достаточного свободного пространства. Кроме того, создавая составные тома, можно распределять нагрузку на дисковые системы. Составные тома не обеспечивают отказоустойчивости. Поскольку тома такого типа расположены на нескольких жестких дисках, возрастает вероятность их отказа, связанного с выходом из строя одного из дисков.
Зеркальный том — это средство обеспечения отказоустойчивости, для чего данные дублируются на двух физических дисках. Все данные одного диска копируются на дополнительный диск, что обеспечивает возможность получения избыточности данных. Если один из дисков отказывает, данные могут быть доступны на уцелевшем диске зеркала. Зеркальный том не может быть расширен. Зеркало также известно как RAID-1. Зеркальными можно делать практически любые тома, включая системный и загрузочный.
Данные на чередующемся томе разбиваются при записи и помещаются на несколько физических дисков, причем информация равномерно распределяется среди всех дисков, входящих в состав такого тома. Такой подход удобен при необходимости быстрой записи или считывания с физических дисков большого объема информации. Скорость работы с дисковой системой увеличивается за счет распараллеливания потоков данных и одновременной записи или считывания информации с дисков тома. "Расщепление" информации также полезно при балансировке нагрузки ввода/вывода в многопользовательских приложениях. Тома с чередованием записываемой информации не обеспечивают отказоустойчивость. Том такого типа не может входить в зеркальный набор и его нельзя расширить. Чередование данных известно как RAID-0.
Том RAID-5 является средством обеспечения отказоустойчивости дисковой системы, поскольку данные тома расщепляются при записи на три или большее количество дисков. Том RAID-5 обеспечивает избыточность информации, благодаря подсчету контрольной суммы данных, расположенных на каждом диске. Контрольная сумма (вычисляемая величина, которая может быть использована для восстановления данных в случае их разрушения) также расщепляется и записывается на все диски массива. Если отказывает один из дисков массива, то информация, которая на нем находилась, может быть восстановлена с использованием данных работоспособных дисков и контрольной суммы. Том RAID-5 не может входить в зеркальный набор и его нельзя расширить.


Конфигурирование системы и встроенные приложения

  • Конфигурирование системы и встроенные приложения
  • Новый пользовательский интерфейс
    • Стиль Windows XP
    • Меню Start
      • Настройка меню Start
    • Боковые панели задач
    • Диагностика и устранение неполадок
  • Панель управления
    • Изменения в панели управления по сравнению с Windows 2000
    • Выбор внешнего вида панели управления
  • Командная строка (окно консоли)
  • Поддержка региональных стандартов
    • Новые возможности многоязычной поддержки в Windows Server 2003
    • Настройка региональных параметров
    • Языки и службы текстового ввода
      • Настройка языков и служб текстового ввода
      • Настройка языковой панели
      • Поддержка приложений, не использующих Unicode
  • Работа со встроенными приложениями
    • Запись дисков CD-R/CD-RW
    • Проигрыватель Windows Media
  • Мастер совместимости программ
  • Справочная система Windows Server 2003 — Help and Support Center
    • Поиск информации в справочной системе
    • Онлайновая консультация
    • Служебные программы

Конфигурирование системы и встроенные приложения

Системы Windows XP и Windows Server 2003 используют один и тот же пользовательский интерфейс, а также одинаковые средства настройки системы. Поэтому читатель, знакомый с системой Windows XP, может спокойно пропустить большую часть этой главы, остановившись только на описании справочной системы и служебных программ.
В обеих названных системах разработчикам удалось серьезно продвинуться не только по пути упрощения процесса конфигурирования системы, но и предоставить новые возможности настройки. Можно сказать, что они вобрали в себя все лучшие качества предыдущих систем семейства Windows: усовершенствованный пользовательский интерфейс сочетается с мощью возможностей профессиональной настройки системы, присущих системам Windows NT/2000.

Новый пользовательский интерфейс

Хотя системы Windows Server 2003 представляют собой серверные, а не клиентские платформы, новые средства пользовательского интерфейса распространяются и на Них. Поэтому в данном разделе рассмотрим самые важные элементы (актуальные в любой системе) и способы работы с ними.

Стиль Windows XP

В системах появился новый стиль пользовательского интерфейса, определяющий вид рабочего стола, меню Start (Пуск), панели задач и т. д. Этот стиль называется "тема рабочего стола". По умолчанию в системах Windows Server 2003 используется классический вид интерфейса (принятый в Windows 2000). Однако при желании можно и украсить систему новыми элементами (нужно лишь помнить, что они заметно расходуют ресурсы компьютера). Для этого нужно разрешить и запустить службу Themes, а затем на вкладке Themes в окне свойств экрана можно выбрать новую тему — Windows XP Theme. На вкладке Appearance она отображается как Windows XP style.
Везде в этой книге используется только классический стиль интерфейса.

Примечание

По умолчанию в системе включен хранитель экрана (screen saver), защищенный паролем. Это оправдано с точки зрения безопасности. Однако, если вам не хочется (или не нужно) каждый раз вводить пароль при переходе к рабочему режиму, снимите флажок On resume, password protect (Вводить пароль при возобновлении работы) на вкладке Screen Saver в окне свойств экрана.

Меню Start

Рабочий стол систем Windows XP и Windows Server 2003 практически пуст, поскольку все функции управления теперь сосредоточены в меню Start
(Пуск).

Рис. 5.1. Новый дизайн меню Start

Как показывает опыт работы, наличие всех команд по управлению системой в одном меню — это очень удобно и намного ускоряет процедуру выполнения настроек. Такие значительные изменения в интерфейсе могут поначалу не понравиться. Вы с легкостью можете установить классический вид меню Start (Пуск). Однако, поработав немного с системой, вы убедитесь в том, что новый дизайн меню — особенно с учетом возможного конфигурирования — намного удобнее, и станете его приверженцем.
Меню Start теперь содержит две колонки значков (рис. 5.1). В левой колонке находятся имена недавно запущенных программ, а также имена часто используемых программ, которые пользователь закрепил в меню командой Pin to Start menu. В правой колонке можно видеть ссылки на основные системные папки (My Computer (Мой компьютер), My Documents (Мои документы), Control Panel (Панель управления), настройки принтеров и факсов (Printers and Faxes), справку и поиск). Кроме того, туда можно добавить ссылки на административные утилиты (меню Administrative Tools), а панель управления можно раскрыть, чтобы она отображала ссылки на все утилиты конфигурации системы.
Кроме того, в заголовке меню Start может указываться имя, под которым пользователь зарегистрировался в системе.

Настройка меню Start

Для настройки внешнего вида меню Start:
1. Щелкните в любом месте меню или панели задач правой кнопкой мыши и выберите в контекстном меню пункт Properties (Свойства).
2. В открывшемся окне перейдите на вкладку Start Menu (Меню "Пуск") и нажмите кнопку Customize (Настроить). На вкладке General (Общие) можно выбрать размер значков (Large icons (Крупные значки) или Small icons (Мелкие значки)), указать количество отображаемых значков часто используемых программ, а также выбрать программы, которые будут применяться для работы с Интернетом и электронной почтой. Если вы редко пользуетесь Интернетом и электронной почтой, снимите флажки Internet (Интернет) и E-mail (Электронная почта), чтобы удалить эти разделы из меню Start. (Напомним, что эти программы можно также запускать с панели быстрого запуска (Quick Launch).)

Примечание

Если новый стиль меню Start вас не устраивает, установите переключатель Classic Start menu (Классическое меню "Пуск"). Меню будет выглядеть, как и в предыдущих версиях Windows. Настройка меню Start в этом случае также производится при нажатии соответствующей кнопки Customize.

3. На вкладке Advanced (Дополнительно) (рис. 5.2) предлагаются дополнительные опции настройки меню Start.

Рис. 5.2. Вкладка, позволяющая настроить элементы, отображаемые в меню Start

4. В списке Start menu items (Элементы меню "Пуск") для каждого элемента меню Start предлагаются три опции:

  • Don't display this item — элемент не отображается;
  • Display as a menu — отображать как меню. Это очень удобно, поскольку позволяет получить доступ к любому подэлементу данного элемента. Например, установив этот режим для элемента Control Panel, вы можете сразу же обращаться к нужным функциям, не открывая панель управления целиком;
  • Display as a link — отображать как ссылку (по умолчанию).

Боковые панели задач

Боковая панель (или меню) (sidebar) — это одно из нововведений в программе Windows Explorer в системах Windows XP и Windows Server 2003. Это новшество распространяется на способ отображения всех папок, включая панель управления. Боковая панель содержит подменю с контекстно-зависимыми командами, выполнение которых может потребоваться при решении задач данной категории.
По умолчанию боковые панели выключены, хотя пользоваться ими весьма удобно. Чтобы включить отображение боковых панелей, в окне программы Windows Explorer выберите команду Tools | Folder Options (или найдите эту утилиту на панели управления). В окне Folder Options на вкладке General установите переключатель Use common tasks in folders.

Диагностика и устранение неполадок

Боковые панели задач позволяют обратиться к функции Troubleshooters (Диагностика неполадок) для выявления и решения проблем, возникающих как в работе самой системы, так и при взаимодействии с внешними аппаратными устройствами.

Рис. 5.3. Окно функции "Диагностика неполадок"

Предположим, например, что подключенный к компьютеру принтер перестал печатать документы. Откройте окно Printers and Faxes (Принтеры и факсы) и на боковой панели выберите задачу Trobleshoot printing (Диагностика печати). В открывшемся окне (рис. 5.3) установите переключатель, который соответствует возникшей у вас проблеме, и нажмите кнопку Next (Далее). В следующих окнах программа-мастер предложит ряд мер по устранению неполадки. В большинстве случаев, следуя предложенным системой советам, вы сможете решить проблему самостоятельно. Если этого не произошло, нужно обратиться за помощью в службу поддержки.

Панель управления

В системах Windows Server 2003 для конфигурирования системы так же, как и в предыдущих версиях Windows, используется панель управления (Control Panel). Панель управления содержит ссылки на разнообразные административные утилиты и окна свойств, позволяющие конфигурировать систему, устанавливать программы и т. д. Те или иные задачи, выполняемые с помощью панели управления, рассматриваются в соответствующих главах этой книги. Доступ к панели управления можно получить, выбрав в меню Start (Пуск) пункт Control Panel (Панель управления).

Изменения в панели управления по сравнению с Windows 2000

Можно отметить следующие изменения, произошедшие на панели управления (для систем Windows XP и Windows Server 2003).

  • Mail (Почта). Такой опции больше нет. Настройка профилей пользователей электронной почты производится непосредственно в программе Microsoft Outlook Express.
  • Папка Network and Dial-Up Connections (Сеть и удаленный доступ к сети) переименована в Network Connections (Сетевые подключения).
  • Вместо двух утилит — Printers (Принтеры) и Fax (Факс), имевшихся в составе Windows 2000, в составе новых систем появилась утилита Printers and Faxes (Принтеры и факсы), позволяющая установить и сконфигурировать свойства принтеров и факсов.
  • Утилита Regional Options (Язык и стандарты) переименована в Regional and Language Options (Язык и региональные стандарты). Она позволяет настраивать региональные стандарты и выбирать языки ввода (input locales) и сервисы ввода текста. Работу с этой утилитой мы будем подробно обсуждать далее в настоящей главе.
  • Утилита Sounds and Multimedia (Звуки и мультимедиа) переименована в Sounds and Audio Devices (Звуки и аудиоустройства). Она служит для установки и конфигурирования свойств мультимедийных устройств (звуковой платы, микрофона и др.).
  • Speech (Речь). Совершенно новая утилита в составе новых систем. С ее помощью можно настраивать параметры технологии Text-to-Speech (воспроизведение текстов вслух с помощью синтезатора речи). Теперь тексты можно не только читать с экрана монитора, но и слышать.
  • Taskbar and Start Menu (Панель задач и меню "Пуск"). Утилита настройки опций панели задач и меню Start. Впервые данная утилита в составе панели задач появилась в Windows Millennium. Теперь она включена также в состав панели управления новых систем.
  • Утилита User and Passwords (Пользователи и пароли) в Windows XP переименована в User Accounts (Учетные записи пользователей); эта утилита позволяет создавать учетные записи и настраивать их параметры. В Windows Server 2003 такой утилиты нет вообще, зато имеется утилита Stored User Names and Passwords (Сохраненные имена и пароли), позволяющая управлять именами и паролями доступа к другим компьютерам сети (не входящим в домен) или к интернет-ресурсам (включая службу .NET Password).

Выбор внешнего вида панели управления

В Windows Server 2003 по умолчанию используется классический вид панели управления — когда одновременно отображаются значки всех утилит (рис. 5.4). Используя режим отображения Details (Таблица) (команда View | Details (Вид | Таблица)), можно вывести на экран описания всех утилит панели управления.
Если разрешено отображение боковых панелей, то можно перейти к так называемому виду по категориям. В этом случае все задачи по настройке и конфигурированию системы в окне панели управления разбиты на ряд категорий. Чтобы получить информацию о категории, подведите курсор мыши к значку соответствующей категории, и во всплывающем окне отобразится ее описание (рис. 5.5). В новом дизайне панели управления используется интерфейс "одного щелчка" (как на веб-страницах), т. е. для того чтобы открыть раздел или выполнить команду, достаточно один раз щелкнуть по ней мышью. Такое представление задач может быть полезным для менее опытного пользователя.
Для переключения вида панели задач достаточно щелкнуть по соответствующей команде на боковой панели: Switch to Category View (Переключение к виду по категориям) или Switch to Classic View (Переключение к классическому виду).

Рис. 5.4. Классический вид панели управления

Рис. 5.5. Панель управления в стиле Windows XP: всплывающие подсказки помогут разобраться с назначением той или иной категории

Командная строка (окно консоли)

Доступ к командной строке (консоли команд) осуществляется с помощью команды Start | All Programs | Accessories | Command Prompt (Пуск | Все программы | Стандартные | Командная строка). Можно также в меню Start (Пуск) выбрать команду Run (Выполнить) и в поле Open (Открыть) окна ввести cmd.

Внимание

Не путайте консоль команд (образ cmd.exe) с окном сессии MS-DOS (процесс с именем образа ntvdm.exe), которое запускается, если по команде Run в поле Open ввести command. com. Попробуйте оба варианта и сравните как внешний вид открывающихся окон, так и их возможности.

По сравнению с Windows 2000, у командной строки в Windows Server 2003 изменился режим автозаполнения (задается флажком AutoComplete; рис. 5.6): по умолчанию он всегда работает при нажатии клавиши <Таb>.

Рис. 5.6. На вкладке Options устанавливаются параметры, определяющие режимы работы окна командной строки

В любой команде (например, dir) вы можете набрать первые символы имени папки или файла, нажать клавишу <Таb>, и система автоматически завершит имя, причем при каждом повторном нажатии этой клавиши вам будет предложено новое имя, если подходящих имен несколько.
После открытия окна командной строки вы можете установить собственные настройки окна. Щелкните правой кнопкой мыши заголовок окна и в контекстном меню выберите пункт Properties (Свойства). Измените настройки окна, используя интересующие вас вкладки (см. рис. 5.6 и рис. 5.7). Выбранные параметры будут использоваться в текущем сеансе работы с командной строкой. Чтобы закрепить эти свойства и сделать их текущими при следующих запусках, для изменения параметров нужно в контекстном меню выбрать команду Defaults (Умолчания) (на рис. 5.6 показано окно, открытое именно таким способом).
После выполнения в окне консоли команды Mark (Пометить) из контекстного меню, появляющегося после щелчка правой кнопкой мыши, вы можете мышью выделить прямоугольную область экрана, содержащую команду или серию команд, а затем, щелкнув правой кнопкой мыши, скопировать выделенные символы в буфер обмена и вставить их из буфера в командную строку (с помощью команды Paste (Вставить)) для повторного выполнения. Это очень удобная возможность при работе с длинными командами. Однако более удобным режимом работы является Quick Edit Mode.
Флажок Quick Edit Mode (Выделение мышью) на вкладке Options (Общие) разрешает быстрое копирование и вставку символов в командной строке при помощи мыши. При этом нажатая левая кнопка мыши разрешает выделение, а при нажатии правой кнопки выполняется запись в буфер или вставка из буфера — операций требуется меньше. В Windows 2000 эта удобная опция была по умолчанию включена, а в Windows XP и Windows Server 2003 она выключена.
Обратите внимание на вкладку Layout (Расположение) (рис. 5.7). В ней выставляются следующие параметры: размер буфера экрана (Screen Buffer Site), размер окна (Window Size) и его положение (Window Position).
По умолчанию количество строк буфера выставлено как 300. При работе со встроенными командами этот момент кажется не особенно важным. Однако, если вы запустите из командной строки какое-либо полноэкранное приложение с DOS-окном, например программу FAR, вы в полной мере ощутите важность данного параметра. Окно командной строки растянется на все разрешенные 300 строк, и на экране вы обнаружите только несколько вертикальных полос и нижнюю часть окна приложения. Конечно, вертикальная прокрутка поможет найти недостающую часть окна, однако работать с таким окном вряд ли возможно. Если же и размер окна командной строки выставлен нестандартным образом, работа с программой будет весьма своеобразной. Поэтому имеет смысл учесть возможность регулирования размеров окна и буфера экрана. Как вариант достаточно удобного размера можно предложить ширину в 80 символов и высоту в 25 строк.

Рис. 5.7. На вкладке Layout задается размер окна командной строки

Чтобы подробно узнать о многочисленных возможностях командной строки и операторах мощного языка командных файлов (таких как IF, FOR, SHIFT, CALL и т. д.), введите в ней следующую команду: help and
Можно вывести текст справки в отдельный файл, например в helpfile.txt, с помощью команды: help and > c:\temp\helpfile.txt
Если вы хотите посмотреть подробное описание конкретной команды, введите ее имя с параметром /?, например: ASSOC /?
С полным справочным файлом, который описывает возможности команд консоли, можно ознакомиться, открыв окно справки. Введите в строке поиска A-Z (для русской версии — командная строка), а в результатах поиска выберите раздел "Command-line reference A-Z" (или "Справочник по параметрам командной строки"). Очень рекомендуем просмотреть этот раздел, особенно системным администраторам! Первая причина: команды консоли существенно расширяют некоторые возможности системы, т. к. не все важные системные средства имеют графический пользовательский интерфейс. Вторая причина: с помощью команд консоли многие операции можно выполнять по расписанию или из командного файла. Третья причина: десятки полезных команд, входящие ранее в пакет Resource Kit (в частности и те, которые в Windows 2000 в составе "подмножества" Support Tools приходилось устанавливать отдельно от системы с дистрибутивного компакт-диска), теперь являются стандартными командами системы, и было бы просто неразумно не знать об их возможностях.

Поддержка региональных стандартов

Системы Windows ХР и Windows Server 2003 обеспечивает беспрецендентную поддержку национальных языков и стандартов, благодаря интеграции многоязычных возможностей операционных систем Windows 2000 и Windows Millennium.
Многоязычная поддержка в Windows XP и Windows Server 2003 обеспечивает четыре наиболее важных возможности.

  • Во-первых, можно настроить поддержку любого из 135 национальных стандартов, доступных в системе. Например, пользователи из Сирии или Киргизстана могут настроить собственный набор региональных опций и стандартов.
  • Во-вторых, при инсталляции интернациональной (multilingual) версии Windows XP (или пакета Multilingual User Interface Pack) можно выбрать язык интерфейса для отображения команд меню и текстов в служебных окнах, а также информации в справочной системе. Многоязычная поддержка Windows XP и Windows Server 2003 основана на полной поддержке стандарта Unicode и применении файлов ресурсов, в которых хранятся элементы пользовательского интерфейса на различных языках. Таким образом, в интернациональной версии Windows XP можно переключать язык пользовательского интерфейса без перезагрузки компьютера, а также выбирать язык интерфейса для каждого пользователя компьютера отдельно.

Внимание

Пакет Multilingual User Interface Pack может устанавливаться только на оригинальную (англоязычную) версию Windows XP Professional. Локализованные системы и версия Windows XP Home Edition не поддерживаются.

  • В-третьих, пользователи могут вводить тексты на любом из поддерживаемых языков, независимо от языка локализации системы. Например, даже в системе, локализованной для японского языка, можно вводить тексты на русском языке.
  • В-четвертых, в любой версии операционной системы можно запускать любые локализованные приложения. Например, запускать локализованные для арабского языка приложения в русской локализованной версии Windows XP.

Ниже мы кратко сформулируем основные усовершенствования многоязычной поддержки в Windows Server.

Новые возможности многоязычной поддержки в Windows Server 2003

Перечисляемые ниже возможности в одинаковой степени относится к Windows XP и Windows Server 2003.

  • Поддержка национальных стандартов. В этих системах расширена поддержка национальных стандартов (locale) (совокупность принятых в каждой стране требований к языку, формату представления времени, дат, чисел и т. д.). Появились 9 новых стандартов, а также улучшена поддержка ряда имевшихся (для азиатских стран). Теперь операционная система поддерживает 135 национальных стандартов.
  • Новые языки. Появилась поддержка 10 новых языков и скриптов, которые служат для отображения восточных языков (таких как арабский, сирийский и тайский).
  • Объем локализуемых ресурсов. Если в интернациональной (многоязычной) версии Windows XP локализация пользовательского интерфейса составляет 97%, то в русскоязычной версии Windows XP локализованы все 100% ресурсов. (Это будет справедливо и для русской версии Windows Server 2003.) Это значит, что, указав русский язык в качестве основного при инсталляции системы, все названия папок, ярлыков, файлов, значков на панели управления вы увидите на русском языке. Кроме того, справочные файлы также содержат информацию на русском языке.
  • Процедура конфигурирования региональных и многоязычных опций. Новый дизайн утилиты Regional and Language Options (Язык и региональные стандарты) делает процедуру настройки многоязычной поддержки более простой и быстрой. Появилось новое понятие — текстовый сервис, которое мы рассмотрим ниже в разд. "Языки и службы текстового ввода".

Для иллюстрации поддержки национальных стандартов и языков в Windows Server 2003 проведем настройку региональных параметров и многоязычной поддержки.

Настройка региональных параметров

Для настройки языка и региональных параметров выполните следующие операции:
1. На панели управления выберите значок Regional and Language Options (Язык и региональные стандарты).
2. На вкладке Regional Options (Региональные параметры) (рис. 5.8) выберите национальный стандарт (раскрывающийся список в разделе Standards and formats (Языковые стандарты и форматы)), который влияет на способ отображения чисел, валют, времени и дат. Список в разделе Location (Расположение) позволяет указать страну проживания пользователя (эта настройка может использоваться веб-сайтами для отображения локальной информации, например, новостей и прогноза погоды, а также для настройки браузера Internet Explorer).

Рис. 5.8. На вкладке Regional Options можно установить национальный стандарт для отображения дат, чисел и валют

3. В разделе Standards and formats (Языковые стандарты и форматы) можно щелкнуть по кнопке Customize (Настройка) и настроить параметры региональных опций: знак десятичного разделителя, символ денежной единицы, формат даты и времени и т. д.
4. После выполнения всех настроек нажмите на кнопку ОК.

Языки и службы текстового ввода

В системе для понимания поддержки языковых стандартов наиболее важными являются понятия "язык ввода" и "службы текстового ввода". Язык ввода (input locale) является языком, на котором пользователь общается с системой. На этом языке (языках) вводятся сообщения в диалоговых окнах, тексты и т. д. Выбрать язык ввода по умолчанию можно как при инсталляции системы, так и после. Кроме того, в большинстве случаев возникает необходимость установить несколько языков ввода (например, отечественные пользователи, как правило, используют два языка: английский и русский).

Примечание

Администратор может установить различные языки ввода для пользователей, работающих на одном компьютере.

Служба текстового ввода (text service) — это новое понятие, которое появилось в Windows XP и Windows Server 2003. Служба текстового ввода представляет собой программу, которая позволяет пользователю вводить текст. Причем вводить текст можно не только с клавиатуры, но и посредством голоса и рукописного ввода. Поэтому в число служб текстового ввода входят следующие:

  • раскладка клавиатуры (ввод текста с клавиатуры, keyboard layout);
  • распознавание рукописного текста (handwriting);
  • распознавание речи (speech recognition);
  • редакторы способов ввода (Input Method Editors, IME).

Редакторы способов ввода используются для ввода с помощью стандартной 101-кнопочной клавиатуры символов из азиатских языков (таких как японский или арабский).

Примечание

Модули распознавания речи и рукописного ввода не входят в поставку операционной системы и распространяются в составе пакета Microsoft Office XP.

Настройка языков и служб текстового ввода

Для настройки языков ввода и текстовых сервисов выполните следующие операции:
1. Откройте окно утилиты Regional and Language Options.
2. Перейдите на вкладку Languages (Языки) и нажмите кнопку Details (Подробнее).
3. В открывшемся окне с вкладкой Settings (Параметры) (рис. 5.9) можно выбрать язык ввода по умолчанию (раскрывающийся список в разделе Default input language (Язык ввода по умолчанию).

Рис. 5.9. Вкладка Settings позволяет выбрать язык ввода и текстовые сервисы

4. В разделе Installed services (Установленные службы) отображается список языков и установленных для них служб текстового ввода. Чтобы подключить новый язык или текстовый сервис для используемого языка, щелкните по кнопке Add (Добавить). В списке Input language (Язык ввода) выберите язык, который вы собираетесь добавить.
5. Установите флажки для служб текстового ввода, которые вы собираетесь установить (например, раскладка клавиатуры и распознавание речи), и затем выберите сервис из списка. В случае, если сервис Keyboard Layout/IME (Раскладка клавиатуры или метод ввода (IME)) является единственным доступным для данного языка, выберите раскладку клавиатуры в этом списке.
6. Нажмите кнопку ОК для завершения процедуры.
7. Кнопка Language Bar (Языковая панель) на вкладке Settings (Параметры) позволяет настроить параметры панели языков.
8. С помощью кнопки Key Settings (Параметры клавиатуры) можно изменить сочетание клавиш для переключения между несколькими установленными языками.
9. По окончании процедуры настройки нажмите кнопку ОК.

Примечание

Чаще всего языки выбираются и инсталлируются на компьютере при установке системы. Добавление нового языка означает, что он будет загружаться в память компьютера во время запуска системы.

Настройка языковой панели

Если в системе инсталлировано более одного языка (например, английский и русский), на рабочем столе появляется языковая панель (language bar). Эта панель может отображаться в виде индикатора на панели задач в области уведомлений (как было в предыдущих версиях Windows) или в виде самостоятельной панели в любом месте рабочего стола (рис. 5.10).

Рис. 5.10. Языковая панель

Языковую панель можно сделать прозрачной или расположить вертикально. Для этого щелкните на панели правой кнопкой мыши и выберите команды Transparency (Прозрачность) или Vertical (Вертикально) соответственно. Чтобы свернуть панель и отобразить в виде индикатора на панели задач, нажмите кнопку с черточкой. Для возвращения панели на рабочий стол щелкните по ней правой кнопкой мыши и выберите пункт Show the Language bar (Восстановить языковую панель).

Примечание

После инсталляции дополнительных служб на языковой панели отображаются кнопки сервисов распознавания речи и рукописного ввода, а также редактора метода ввода.

Для настройки языковой панели нажмите кнопку Language Bar (Языковая панель) на вкладке Settings (Параметры) (см. рис. 5.9) или щелкните на языковой панели и выберите в контекстном меню команду Settings (Параметры). В окне Language Bar Settings (Параметры языковой панели) (рис. 5.11) можно управлять отображением языковой панели.

Рис. 5.11. Окно настройки параметров языковой панели

Поддержка приложений, не использующих Unicode

Многие старые программы используют кодовые таблицы MS-DOS и не поддерживают стандарт Unicode. Поэтому для правильного отображения меню и диалоговых окон в таких программах, а также в окне консоли необходимо установить соответствующие таблицы преобразования кодовых страниц. Для этого выполните следующее:
1. Для установки языковых опций для программ, не поддерживающих стандарт Unicode, вы должны зарегистрироваться в системе как администратор или член группы локальных администраторов. Тогда в окне Regional and Language Options (Язык и региональные стандарты) можно будет менять параметры на вкладке Advanced (Дополнительно) (рис. 5.12).
2. На этой вкладке выберите язык для выполняемых программ в разделе Language for non-Unicode programs (Язык программ, не поддерживающих Юникод) (этот выбор никак не повлияет на работу Unicode-совместимых приложений и самой системы). В окне Code page conversion tables (Кодовые страницы таблиц преобразования) можно проверить состояние флажков рядом с таблицами преобразования кодовых страниц, которые будут использоваться. Если какие-либо установленные кодовые таблицы не нужны, рекомендуется снять с них флажки, чтобы не расходовать впустую ресурсы системы.

Рис. 5.12. Вкладка Advanced окна Regional and Language Options

3. Нажмите кнопку ОК или Apply (Применить), чтобы изменения вступили в силу.

Работа со встроенными приложениями

Набор встроенных приложений Windows ХР и Windows Server 2003 незначительно расширился по сравнению с Windows 2000: Поскольку эти приложения не столь важны для серверной платформы, ниже мы все же рассмотрим два принципиально новых (по сравнению с Windows 2000) средства, т. к. они несколько отличаются от своих аналогов в Windows XP.

Запись дисков CD-R/CD-RW

Устройства записи компакт-дисков уже давно перестали быть техникой для профессионалов и широко используются как удобное средство создания собственных архивов информации или музыкальных альбомов, доступное рядовым пользователям. Встроенные средства записи на CD-Recordable (CD-R) и CD-Rewritable (CD-RW) компакт-диски появились в Windows XP, они присутствуют и в системах Windows Server 2003. Нужно, однако, помнить о том, что служба IMAPI CD-Burning COM Service, обеспечивающая запись, в серверных продуктах по умолчанию запрещена. Чтобы получить возможность записи, нужно разрешить эту службу, установить для нее режим запуска Manual и перезагрузить компьютер. После этого в пользовательском интерфейсе программы Windows Explorer появятся соответствующие команды.

Внимание

Для создания компакт-дисков с цифровыми данными используется мультисес-сионный режим записи. Например, вы можете записать некоторые данные в Windows Server 2003, затем "дописать" компакт-диск в другой системе с помощью любой программы сторонних производителей (WinOnCD, Nero, Easy Creator, CDRWin — список можно продолжать до бесконечности), реализующей режим append session, а затем вернуться в Windows Server 2003 и записать дополнительную информацию. Однако при этом возникают издержки: каждая новая сессия требует дополнительно 15—17 Мбайт для записи служебной информации. Поддерживаются вложенные папки и "длинные" имена файлов и папок.
Аудиокомпакт-диски пишутся за одну сессию и "закрываются" (finalize), поэтому на них новые треки добавить нельзя. Диски с данными всегда остаются с "открытой" сессией, и стандартными средствами системы их закрыть нельзя.
По имеющейся информации диски в формате UDF 2.0 могут только читаться, можно также форматировать диски DVD-RAM.

Настройка пишущего привода CD-ROM и параметров программ записи выполняется на вкладке Recording (Запись) в окне свойств устройства CD-ROM (рис. 5.13). Обратите внимание на местоположение образа компакт-диска (image) и скорость записи. Система автоматически выбирает для размещения образа диска тот логический диск, на котором больше всего свободного места.

Внимание

Перед копированием файлов на CD проверьте наличие свободного места на жестком диске. Система требует от 700 Мбайт до 1 Гбайт (для компакт-дисков повышенной плотности) для папки временного хранения записываемых файлов (подкаталог \Local Settings\Application Data\Microsoft\CD Burning в профиле пользователя — по умолчанию в папке \Documents and Settings). Получается, что для компакт-дисков с данными свободное место на дисках требуется в удвоенном размере: сначала система копирует файлы в папку временного хранения, а потом создает образ диска, записываемый на болванку. При записи аудиодисков такого не происходит: аудиофайлы остаются "на своих местах", и из них сразу формируется образ компакт-диска.

Рис. 5.13. Окно для выбора параметров при записи компакт-дисков

Проигрыватель Windows Media

Проигрыватель Windows Media (Windows Media Player) версии 9.00.00.2991 (в составе Windows XP поставляется версия 8.0) представляет собой универсальный проигрыватель, который можно использовать для воспроизведения аудио- и видеофайлов в большинстве популярных форматов. Несмотря на то, что Windows Server 2003 — серверная платформа, этот проигрыватель по умолчанию присутствует в системе. Новая версия производит приятное впечатление. Описание возможностей проигрывателя, а также и саму программу можно найти на веб-сайте Microsoft.

Мастер совместимости программ

Для решения проблемы использования некоторых устаревших, но, тем не менее, нужных приложений, в системах Windows XP и Windows Server 2003 имеется мастер Program Compatibility Wizard (Мастер совместимости программ). Он реализован в среде Центра справки и поддержки (Help and Support Center). Для запуска мастера можно использовать команду Start | АН Programs | Accessories | Program Compatibility Wizard.
Сначала пользователю предлагается выбрать приложение (лучше пользоваться опцией I want to locate the program manually — Найти программу вручную) и определить его установки для оптимальной работы в операционной системе. Можно выбрать режим совместимости с операционными системами Windows 95, Windows NT 4.0 (Service Pack 5), Windows 98/ME, Windows 2000 или Windows XP (рис. 5.14) — это зависит от того, для какой среды было разработано указанное приложение.

Рис. 5.14. Мастер совместимости программ: выбор операционной системы для настройки совместимости с ней выбранного приложения

Вы можете отказаться от применения совместимости с другой операционной системой (опция Do not apply a compatibility mode — He применять режим совместимости), т. е. сохранить совместимость с Windows Server 2003, если, например, нужно изменить только графические настройки приложения. В следующем диалоговом окне предлагается установить глубину цвета (256 цветов) и/или разрешение экрана (640 на 480). Чаще всего эти опции имеет смысл менять для игр или образовательных программ, которые были написаны под другую операционную систему или рассчитаны на другое разрешение экрана или глубину цвета.
В следующем окне выводится информация о выбранных установках и предлагается протестировать программу в заданном режиме, а затем вернуться в окно мастера совместимости программ. Если приложение работает нормально, его нужно закрыть и подтвердить использование выбранных настроек. В противном случае следует закрыть приложение и попробовать другие параметры для его запуска.

Справочная система Windows Server 2003 — Help and Support Center

К сожалению, пользователи до сих пор недооценивают возможности встроенной справочной системы, которая с каждой версией Windows становится все полнее и полезнее. Необходимо лишь научиться эффективно пользоваться ей, чтобы быстро находить ответы на возникающие затруднения. В системах Windows XP и Windows Server 2003 справочная система представляет собой не просто набор справочных файлов, но и мощное средство диагностики и получения консультаций и поддержки по любым проблемам, которые могут возникнуть в процессе работы с системой.
Для запуска справочной системы выберите команду Help and Support из меню Start (Пуск) или нажмите клавишу <F1> (при свернутых окнах приложений). На экране появится окно Help and Support Center (Центр справки и поддержки) (рис. 5.15).
Для получения справки и консультаций предлагаются следующие группы опций:

  • в разделе Help Contents (Раздел справки) можно выбрать одну из предложенных тем справочной системы Этот путь можно порекомендовать для общего знакомства со всеми возможностями системы;
  • в разделе Support Tasks (поддержка) можно:
    • запросить онлайновую консультацию (ссылка Support). С помощью ссылок в этом разделе вы сможете попросить администратора подключиться к вашему компьютеру посредством сервиса Remote Assistance, обратиться в центр поддержки пользователей Microsoft (Microsoft Online Assisted Support) или попробовать поискать ответы на возникшие вопросы в группах новостей по Windows Server;
    • обновить систему (ссылка Windows Update). Справочный центр поможет вам решить задачу регулярного обновления системы, а также поиска оборудования, совместимого с Windows Server 2003 (ссылка Compatible Hardware and Software);
    • получить доступ к информации о компьютере и бесчисленному множеству системных утилит (ссылка Tools); более подробно возможности этой опции описаны ниже в разд. "Служебные программы";
    • получить через Интернет описания ошибок системы, регистрирующихся в журналах (logs);

Рис. 5.15. Окно справочной системы Windows Server 2003

  • в разделе Top Issues отображаются получаемые через Интернет ссылки на статьи в базе знаний Microsoft (Microsoft Knowledge Base), содержащие самую интересную информацию, опубликованную за последнее время.

Любой системный администратор просто обязан познакомиться со всеми возможностями, предлагаемыми Центром справки и поддержки!

Поиск информации в справочной системе

Возможности поиска в справочной системе Windows XP и Windows Server 2003 существенно расширены и дополнены. Поиск информации может проводиться как в локальной справочной системе, так и в Интернете. Например, если возникла проблема при установке DVD-проигрывателя, наберите в окне Search (Найти) сочетание "DVD player" и система выдаст ряд ссылок на локальные справочные файлы, статьи в базе знаний Microsoft Knowledge Base, а также ссылки на сайты производителей.
Все опции поиска настраиваются (кнопка Options (Параметры) и ссылка Set search options (Изменить параметры поиска)): можно ограничить число ссылок для разных источников информации, определить параметры поиска (поиск по всему тексту или заголовкам), а также параметры отображения результатов поиска.
В случае, если вы ищете информацию о каком-либо сервисе или программе (например, о DNS), воспользуйтесь указателем справочной системы (кнопка Index (Указатель) на панели инструментов). В окне указателя вы сразу же можете просмотреть список доступных статей и выбрать одну из них, содержащую информацию о необходимой функции или процедуре.
Для быстрого возврата к часто используемым страницам справки можно воспользоваться закладками (кнопки Favorites (Избранное) и Add to Favorites). Если возникла необходимость просмотреть историю запросов к справочной системе, воспользуйтесь журналом просмотренных страниц (кнопка History (Журнал)).

Онлайновая консультация

В ряде случаев для решения проблемы нужен совет опытного пользователя или администратора. Однако проблемы, как правило, возникают, когда других пользователей нет поблизости или нет возможности пригласить их к компьютеру для оказания помощи. Используя справочную систему Windows Server 2003 и функцию Remote Assistance (Удаленный помощник), можно обратиться за помощью к удаленным пользователям через Интернет или интрасеть. Для этого:
1. В меню Start (Пуск) выберите команду Help (Справка и поддержка) или нажмите клавишу <F1> при свернутых окнах приложений.
2. В открывшемся окне щелкните по ссылке Support (Поддержка). На этой странице вам предоставляются следующие возможности:

  • воспользоваться поддержкой удаленного пользователя (ссылка Get Remote Assistance). Эта команда запускает сервис Remote Assistance, который позволяет удаленному пользователю подключиться к вашему компьютеру, обсудить возникшие вопросы в режиме реального времени или просмотреть экран вашего компьютера. Удаленному пользователю также могут быть предоставлены все полномочия для управления вашим компьютером. Подробнее сервис Remote Assistance описан в главе 10 "Типовые задачи администрирования".
  • обратиться за поддержкой на сайт Microsoft (ссылка Get help from Microsoft) (обязательно проверьте эту опцию, поскольку она содержит очень интересные возможности!);
  • пообщаться с другими пользователями на форуме Windows (ссылка Visit the Windows Server Community).

Примечание

Для получения онлайновой консультации с помощью сервиса Remote Assistance оба компьютера должны работать под управлением Windows XP или Windows Server 2003. Для обмена сообщениями используется Windows Messenger или почтовый клиент (например, Microsoft Outlook Express).

Служебные программы

В разделе служебных программ Центра справки и поддержки (ссылка Tools в группе задач Support Tasks) предлагается целый ряд сервисов для настройки компьютера: здесь можно получить не только исчерпывающую информацию о компьютере и состоянии всех его компонентов, запросить или предложить удаленную помощь, а также выполнить общую настройку системы с помощью хорошо известной по предыдущим версиям Windows утилиты MSconfig.exe). В этом же разделе находятся рекомендации по использованию новой командной оболочки и справочник по многочисленные утилитам командной строки.
Ниже возможности раздела Tools описываются более подробно.

  • My Computer Information. Здесь собрана вся информация о компьютере и операционной системе. Вы можете просмотреть общую информацию о системе, состояние оборудования и программного обеспечения, информацию об установленном оборудовании и список установленного программного обеспечения корпорации Microsoft.
  • Remote Assistance. Сервис обращения за помощью к другому удаленному пользователю, которому вы доверяете. В этом случае другой пользователь с вашего разрешения может общаться с вами, а также видеть ваш экран и работать удаленно с вашим компьютером.
  • Offer Remote Assistance. Сервис оказания помощи другим пользователям в локальной сети или через Интернет.
  • Network Diagnostics. Сбор информации об оборудовании (модемы и сетевые платы) и сетевых подключениях (к локальной сети и Интернету).
  • Advanced System Information. Раздел содержит сведения о системе для системных администраторов или сотрудников службы технической поддержки, необходимые при разрешении проблем в работе системы. Имеются следующие подразделы:
    • просмотр подробных сведений о системе (запускается программа Msinfo32.exe);
    • список выполняющихся служб;
    • просмотр примененных параметров групповой политики;
    • просмотр журнала регистрации ошибок;
    • просмотр сведений о другом компьютере.

  • System Configuration Utility. Запускается программа Msconfig.exe для диагностики и устранения неполадок в работе системы.
  • Command-line reference A-Z. Алфавитный справочник по всем командам интерпретатора Cmd.exe и утилитам командной строки. Содержит описания команд с указанием имеющихся ключей.
  • Windows interface administrative tool reference A-Z. Справочник по административным оснасткам и утилитам, имеющим графический (GUI) интерфейс.
  • Tools by Category. Список оснасток и системных утилит, сгруппированных по целевому назначению.
  • Windows Support Tools. На компакт-диске Windows Server 2003 находится набор дополнительных утилит, которые используются сетевыми администраторами и службой технической поддержки при обнаружении и устранении неполадок.
  • Windows Resource Kit Tools. Пакет ресурсов Windows Resource Kit не входит в состав дистрибутивного набора Windows Server 2003 и распространяется отдельно. Информацию о наборе можно получить на сайте www.microsoft.com.


Средства управления системой

  • Cредства управления системой
  • Общие концепции Microsoft Management Console (MMC)
    • Преимущества MMC
    • Пользовательский интерфейс ММС
    • Типы оснасток
  • Конфигурирование консолей ММС
    • Создание новой консоли
    • Индивидуальная настройка окон оснасток
    • Создание панели задач
    • Установка опций консоли
    • Запуск инструментов ММС
  • Оснастки Windows Server 2003
  • Оснастка Computer Management
    • Служебные программы (System Tools)
      • Оснастка Event Viewer
      • Оснастка Shared Folders
      • Оснастка Local Users and Groups
      • Оснастка Performance Logs and Alerts
      • Диспетчер устройств (Device Manager)
    • Запоминающие устройства (Storage)
    • Службы и приложения (Services and Applications)
      • Оснастка Services
      • Оснастка WMl Control
      • Оснастка Indexing Service
  • Список служб Windows Server 2003
  • Утилита System Information

Средства управления системой

Общие концепции Microsoft Management Console (MMC)

В Windows Server 2003 для управления операционной системой используется единая, уже традиционная для систем Windows 2000/XP технология средств администрирования, называемая Microsoft Management Console (MMC, Консоль управления Microsoft). Эта универсальная консоль управления разработана для запуска всех программных модулей администрирования, конфигурирования или мониторинга локальных компьютеров и сети в целом. Такие законченные модули называются оснастками (snap-in). Консоль управления сама по себе не выполняет никаких функций администрирования, но служит в качестве рабочей среды для запуска оснасток. Оснастки представляют собой управляющие компоненты, которые объединены в среде ММС. Из нескольких оснасток можно создать индивидуальный управляющий инструмент.
Впервые Microsoft Management Console появилась как стандартное средство управления в составе Windows 2000, что было обусловлено желанием создать единый и гибкий интерфейс управления для всех операционных систем семейства Windows. MMC позволяет создавать более совершенные административные инструменты, которые могут представлять различные уровни функциональных возможностей. Такие инструменты легко изменяются и настраиваются под требования пользователя. В этом смысле инструмент представляет собой не просто автономное приложение, а может состоять из одной или нескольких оснасток, и каждая оснастка в свою очередь может содержать дополнительные оснастки-расширения. Подобная модульная структура позволяет системному администратору существенно снизить стоимость управления системой благодаря возможности создания индивидуальных инструментов на основе выбранных оснасток, которые предоставляют только необходимые возможности и средства просмотра. Администратор может сохранять каждый индивидуальный инструмент в отдельном файле (файле документа ММС с расширением msc) и отправлять его другим пользователям или администраторам, которым делегированы права на выполнение данных административных задач.

Внимание

В Windows XP и Windows Server 2003 используется Microsoft Management Console версии 2.0. Эта среда позволяет открывать документы ММС, созданные в ранних версиях ММС (1.1 и 1.2). Однако, если файлы сохраняются в новой версии, они автоматически конвертируются и не могут быть восстановлены в предыдущих версиях.

Microsoft Management Console представляет собой приложение с многооконным интерфейсом, все возможности которого определяются подключенными к нему оснастками. Компания Microsoft и независимые поставщики программного обеспечения разрабатывают разнообразные оснастки ММС для выполнения задач управления локальным компьютером и сетью в целом.
ММС не подменяет собой имеющиеся инструменты управления предприятиями, такие как HP OpenView или IBM Tivoli Management Environment. Консоль управления расширяет возможности данных инструментов, предоставляя им средства взаимодействия друг с другом или объединяя эти инструменты в оснастки, доступ к которым может осуществляться из ММС. Например, приложение управления предприятием может обнаружить событие и отправить извещение в оснастку (рис. 6.1). Системный администратор затем обнаружит событие в сеансе ММС и предпримет необходимые меры.

Рис. 6.1. Консоль ММС обеспечивает общий интерфейс для инструментов управления, включая приложения уровня управления предприятием

Интерфейсы программирования ММС позволяют интегрировать оснастки с консолью (рис. 6.2). Данные интерфейсы предоставляют только расширения пользовательского интерфейса, поскольку каждая оснастка самостоятельно определяет механизм (логику) выполнения своих задач. Интерфейсы ММС позволяют оснасткам совместно использовать общую хост-среду и обеспечивают интеграцию между приложениями. Сама консоль ММС не выполняет никаких функций управления.

Рис. 6.2. Прикладные интерфейсы позволяют интегрировать оснастки с консолью

Инструменты, не предназначенные для работы в среде ММС, могут быть интегрированы в ММС посредством оснасток или запущены независимо. Системный администратор может одновременно запускать самостоятельные инструменты управления и экземпляры ММС на одном компьютере.

Преимущества ММС

  • Возможность индивидуальной настройки и передача полномочий.

Помимо обеспечения интеграции и общей среды для административных инструментов, консоль ММС предоставляет возможность полностью индивидуальной настройки, так что администраторы могут создавать такие консоли управления, которые будут включать только необходимые им инструменты. Такая настройка позволяет ориентировать администрирование на выполнение конкретных задач, причем администратор может выделить только необходимые объекты и элементы.

Настройка консоли также позволяет администраторам передавать определенную часть полномочий менее опытным сотрудникам. С помощью ММС можно создать консоль, которая будет содержать объекты, необходимые для выполнения только определенных функций.

  • Интеграция и унификация.

ММС обеспечивает общую среду, в которой могут запускаться оснастки, и администраторы могут управлять различными сетевыми продуктами, используя единый интерфейс, что упрощает изучение работы с различными инструментами.

  • Гибкость в выборе инструментов и продуктов.

В среде ММС можно использовать различные инструменты и оснастки. Для использования в среде ММС оснастка должна поддерживать объектную модель компонентов (Component Object Model, COM) или распределенную COM (Distributed Component Object Model, DCOM). Это позволяет выбирать наиболее оптимальный продукт среди оснасток, причем гарантируется его полная совместимость со средой ММС.

Пользовательский интерфейс ММС

Консоль управления ММС имеет пользовательский интерфейс, позволяющий открывать множество документов (Multiple Document Interface, MDI). Пример интерфейса консоли ММС с несколькими подключенными оснастками показан на рис. 6.3. Навигационные стрелки Back(Переход на один шаг назад) и Forward(Переход на один шаг вперед) на панели инструментов позволяют быстро перемещаться между окнами различных оснасток, подключенных к данному инструменту ММС.
Родительское окно консоли ММС имеет главное меню и панель инструментов. Главное меню обеспечивает функции управления файлами и окнами, а также доступ к справочной системе. В отличие от предыдущих версий ММС, в версии 2.0 панель инструментов имеется только в родительском окне, в дочерних окнах она отсутствует.
Два дочерних окна консоли ММС представляют собой различные средства просмотра автономного документа консоли. Каждое из этих окон содержит панель структуры (scope pane, левое окно) и панель результатов, или сведений (result pane, правое окно). Панель структуры отображает пространство имен инструментов в виде дерева, которое содержит все видимые узлы, являющиеся управляемым объектом, задачей или средством просмотра. Панель результатов в дочернем окне отображает список элементов выбранного узла. Данный список может содержать папки, оснастки, элементы управления, веб-страницы, панели задач (taskpad) и другие элементы.

Рис. 6.3. Пример пользовательской консоли ММС

Средства консоли ММС также позволяют отображать окно в упрощенном виде, доступном для менее опытных администраторов. В наиболее простой форме окно может содержать набор значков, которые обеспечивают доступ к определенным задачам.

Типы оснасток

В ММС существует два типа оснасток.

  • Изолированная оснастка (standalone snap-in) обеспечивает выполнение своих функций даже при отсутствии других оснасток, например, Computer Management(Управление компьютером).
  • Оснастка-расширение (extension snap-in) может работать только после активизации родительской оснастки. Задача оснастки-расширения заключается в увеличении числа функций, поддерживаемых родительской оснасткой. Оснастка-расширение является подчиненным элементом определенных оснасток, и при каждом запуске этих оснасток консоль ММС автоматически запускает все связанные с ними расширения.

Оснастки-расширения могут предоставлять различные функциональные возможности. Например, такие оснастки могут расширять пространство имен консоли, увеличивать число пунктов в меню или добавлять определенные программы-мастера.

Примечание

Все оснастки, имеющиеся в Windows Server 2003, кратко описаны в табл. 6.1 и 6.2.

Конфигурирование консолей ММС

В Windows Server 2003 управлять компьютером можно с помощью стандартных оснасток, поставляемых с системой. Однако, если возникает необходимость проведения тонкой настройки системы или набор функций отдельных оснасток вас не устраивает, можно добавить недостающие элементы на существующую консоль или создать новую консоль ММС. Консоли (или административные инструменты) ММС могут содержать оснастки, оснастки-расширения, панели задач, а также документацию, необходимую для управления аппаратными, программными или сетевыми компонентами системы.
Все инструменты ММС состоят из совокупности оснасток. Каждая оснастка представляет собой минимальную единицу управления. С технической стороны оснастка представляет собой "OLE-сервер внутри процесса" (in-proc server — так часто называют DLL-библиотеки в модели СОМ), который выполняется в контексте процесса ММС. Оснастка может вызывать другие элементы управления и динамические библиотеки (DLL) для выполнения своей задачи.
Ряд оснасток с заданными функциональными возможностями могут быть объединены администратором в инструмент (также называемый документом), который сохраняется в файле с расширением msc (Management Saved Console). Файл *.msc можно затем передать другому администратору (например, по электронной почте), который сможет использовать содержащийся в нем инструмент на своем рабочем месте.

Примечание

На практике термины инструмент и оснастка иногда могут использоваться как взаимозаменяемые, поскольку некоторые инструменты ММС (и стандартные, и вновь созданные) содержат только одну оснастку. С другой стороны, термин оснастка применяется чаще, т. к. именно в оснастке реализованы все функциональные возможности, а включаться она может в различные инструменты — в том числе и в те, которые конфигурирует сам администратор. Поэтому чаще можно встретить фразу типа "данная функция реализуется при помощи оснастки..." (а не "при помощи инструмента...").

Благодаря возможности индивидуальной настройки ММС администратор может создать оптимальный инструмент на основе доступных оснасток. Каждый инструмент может иметь множество функций: например, возможности управления службой Active Directory, топологией репликации, доступом к файлам и т. д. В больших сетях администраторы могут иметь набор инструментов, организованных по категориям выполняемых с их помощью задач.

Создание новой консоли

Для того чтобы получить представление о гибкости ММС, полезно рассмотреть процесс создания файла консоли — инструмента (документа) ММС — с самого начала. Для примера опишем процедуру создания новой консоли и добавления к ней оснасток Computer Management (Управление компьютером) и Certificates(Сертификаты).
1. В меню Start(Пуск) выберите пункт Run(Выполнить), введите mmc и нажмите кнопку ОК. Откроется окно Consolelс пустой консолью.

Примечание

По умолчанию консоль ММС открывается в авторском режиме, в котором можно создавать новые консоли и изменять созданные ранее административные инструменты. Пустая консоль не имеет никаких функциональных возможностей до тех пор, пока в нее не добавлены оснастки. Команды меню ММС на панели меню в верхней части окна применимы ко всей консоли.

2. В меню File(Консоль) выберите пункт Add/Remove Snap-in(Добавить/ удалить оснастку). Откроется окно Add/Remove Snap-in, в котором перечисляются изолированные оснастки и оснастки расширения, которые будут добавлены в консоль (или уже включены в нее). Оснастки можно добавлять к корню консоли управления или к уже имеющимся изолированным оснасткам (другим узлам дерева); это указывается в списке Snap-ins added to (Оснастки). В нашем случае оставим значение по умолчанию — Console Root (Корень консоли).
3. Нажмите кнопку Add (Добавить). На экране появится окно Add Standalone Snap-in(Добавить изолированную оснастку) (рис. 6.4) со списком изолированных оснасток, имеющихся в системе.

Примечание

Следует различать имена оснасток (т. е. их названия, которые были даны разработчиками и которые зафиксированы в поставляемых пакетах оснасток, см. рис. 6.4) и названия элементов меню, инструментов ММС и узлов в дереве оснасток консоли ММС.

4. Выполните двойной щелчок на пункте Computer Management. Появится окно с конфигурационными опциями для данной оснастки.

Рис. 6.4. Окно со списком имеющихся в системе оснасток

5. Оставьте переключатель в положенииLocal computer (Локальный компьютер). Затем нажмите кнопку Finish(Готово). Первая оснастка добавлена к консоли.
6. В окне оснасток выберите пункт Certificatesи нажмите кнопку Add.
7. В следующем окне выберите соответствующий переключатель — This snap-in will always manage certificates for(Эта оснастка всегда будет управлять сертификатами для):

  • My user account (моей учетной записи пользователя);
  • Service account(учетной записи службы);
  • Computer account (учетной записи компьютера).

8. Нажмите кнопки Finishи Close.
9. В окне Add/Remove Snap-in(где отображен список подключаемых оснасток) перейдите на вкладку Extensions(Расширения). На этой вкладке приведен список оснасток расширения, которые поставляются вместе с выбранными изолированными оснастками. Если вы не собираетесь подключать все оснастки расширения, сбросьте флажок Add all extensions(Добавить все расширения) (который ставится по умолчанию) и снимите флажки с лишних оснасток. По окончании процедуры нажмите кнопку ОК.
10. Закройте окно добавления оснасток, нажав кнопку ОК. Теперь окно консоли содержит две оснастки — Computer Management и Certificates.
11. Для того чтобы сохранить созданный инструмент, в меню Fileвыберите пункт Save(Сохранить) и укажите имя файла и папку, в которой будет сохранен файл консоли.

Примечание

Дополнительным преимуществом такого подхода является то, что при наличии у пользователя перемещаемого профиля (roaming profile) этот пользователь всегда будет иметь доступ ко всем созданным им инструментам.

Индивидуальная настройка окон оснасток

После добавления оснасток можно развернуть окна оснасток, чтобы облегчить работу с ними.

Рис. 6.5. Окно пользовательской консоли с индивидуальной настройкой

Для этого выполните следующие действия:
1. В левом подокне (в окне структуры) только что созданной консоли щелкните правой кнопкой мыши на узле Computer Managementи выберите в контекстном меню пункт New Window from Неrе(Новое окно отсюда). Будет открыто окно Computer Management,представляющее одноименную оснастку.
2. Аналогичные действия выполните для узла Certificates. В новом окне нажмите кнопку Show/Hide Console tree(Скрытие или отображение дерева консоли или избранного) на панели инструментов для того, чтобы скрыть панель структуры.
3. Закройте исходное окно, содержащее узел Console Root.
4. В меню Window(Окно) выберите команду Tile Horizontally(Сверху вниз). Консоль будет выглядеть, как показано на рис. 6.5. Обратите внимание на то, что в ММС 2.0 панель инструментов имеется только для всей консоли, в дочерних окнах эта панель отсутствует.

Создание панели задач

Когда требуется создать файл консоли для другого пользователя, полезно предоставить пользователю упрощенный инструмент, позволяющий выполнять только ряд определенных задач. Такой инструмент называется панелью задач (taskpad). Панель задач является HTML-страницей, на которой могут быть размещены ярлыки (или задачи), выполняющие команды оснасток, запускающие внешние программы или открывающие ссылки на избранные страницы (Favorites) консоли ММС.
Для создания панели задач выполните следующие операции:
1. В меню Action(Действие) или из контекстного меню интересующего вас узла в окне консоли выберите пункт New Taskpad View(Новый вид панели задач).
2. Откроется окно мастера New Taskpad View Wizard(Мастер создания вида панели задач). Нажмите кнопку Next(Далее).
3. На следующей странице мастера вам будет предложено выбрать вид и размер панели задач (рис. 6.6). Далее вы должны указать, будут ли задачи связаны только с текущим узлом или же со всеми узлами подобного типа. В последнем случае панель задач будет открываться всякий раз, когда в окне структуры вы выберете узел (контейнер, подразделение и т. д.) такого же типа, как и у узла, указанного в момент создания панели.
4. Затем введите имя и описание создаваемой панели задач.
5. Флажок Start New Task wizard (Запустить мастер создания новой задачи) на последней странице мастера по умолчанию установлен. В этом случае
по завершении работы мастера New Taskpad View Wizardзапускается мастер New Task Wizard(Мастер создания новой задачи). С его помощью задается конкретная функция задачи: управление объектами (переключательMenu command), запуск команды (Shell command) или переход на избранную страницу (Navigation).

Рис. 6.6. Окно мастера создания панелей задач

6. Если новая задача будет запускать программу или сценарий, на следующей странице мастера будет предложено указать путь к исполняемому файлу этой программы, параметры запуска, компьютер, на котором будет выполняться эта программа, и размеры окна программы. В нашем примере мы будем создавать команды для управления объектами каталога в подразделениях (OU).
7. На странице Shortcut Menu Command(рис. 6.7) следует выбрать команду, которая будет помещена на панель задач. В списке Command source(Источник команд) можно выбрать любое наиболее подходящее представление объектов и имеющихся для них команд. Выберем команду для создания в подразделениях объектов типа Computer.
8. На следующих страницах мастера укажите название задачи, ее описание и выберите значок для отображения задачи (из числа поставляемых вместе с системой или собственный значок).

Рис. 6.7. Страница мастера New Taskpad Wizard, позволяющая выбрать команду для создаваемой панели задач

Рис. 6.8. Окно пользовательской консоли с созданной панелью задач

9. Если требуется создать несколько задач на одной панели, установите в последнем окне мастера флажок Run this wizard again(Запустить этот мастер снова). Затем нажмите кнопку Finish(Готово).
10. На рис. 6.8 показана созданная в результате панель задач. (Обратите внимание на то, что, помимо панели задач, в правом окне на вкладке Standardможет отображаться и обычный вид объектов каталога.) С помощью команд на панели можно быстро выполнять типовые задачи в любом указанном подразделении.
Созданную панель задач можно переконфигурировать (добавить/удалить задачи, изменить вид панели и т. д.) или удалить. Для этого в окне структуры нужно выбрать узел, который имеет панель задач, и в контекстном меню выполнить команду Edit Taskpad Viewили Delete Taskpad Viewсоответственно. Для добавления задач используется уже описанный выше мастер New Task Wizard.

Установка опций консоли

Если консоль создается для другого пользователя, может оказаться полезным установить запрет на изменение консоли.
Для этого выполните следующие операции:
1. В меню File(Консоль) выберите пункт Options(Параметры).

Рис. 6.9. Окно установки опций консоли ММС

2. В открывшемся окне (рис. 6.9) в списке Console mode(Режим консоли) выберите значениеUser mode - full access(Пользовательский — полный доступ). В этом режиме пользователь не сможет добавлять новые оснастки в инструмент, но будет иметь возможность изменять расположение окон. (Новый режим начнет работать при следующем запуске файла консоли.)
3. Вы можете также запретить пользователю изменять внешний вид консоли, сняв флажок Allow the user to customize views(Разрешить пользователю настраивать вид консоли).
4. Нажмите кнопку ОКи сохраните файл консоли.
Сохраненный файл консоли можно также открыть с помощью Windows Explorer. Для этого выполните двойной щелчок на файле с расширением msc. Файл консоли будет открыт в среде ММС.

Примечание

Среда ММС по умолчанию запускается в авторском режиме, в котором можно вносить изменения в файл консоли.

Если по каким-либо соображениям требуется ограничить доступ пользователей к режиму создания оснасток-, выполните следующие действия:
1. Откройте объект групповой политики, действие которого распространяется на указанную группу пользователей.
2. В окне структуры выберите узел User Configuration | Administrative Templates | Windows Components | Microsoft Management Console(Конфигурация пользователя | Административные шаблоны | Компоненты Windows | Консоль управления Microsoft) (рис. 6.10).
3. На панели сведений дважды щелкните на политике Restrict the user from entering author mode(Запретить пользователям использовать авторский режим).
4. В открывшемся окне установите переключатель Enabled(Включен). Для того чтобы разрешить пользователю работать в режиме создания оснасток, следует выбрать переключатели Not Configured(He задан) или Disabled(Отключен).
Для избирательного ограничения работы с оснастками можно использовать политику Restrict users to the explicitly permitted list of snap-ins (Ограничить использование оснасток списком явно разрешенных оснасток). С ее помощью можно запретить доступ пользователя ко всем оснасткам за исключением явно разрешенных.
Для того чтобы запретить/разрешить доступ пользователям к определенным оснасткам, откройте узел Restricted/Permitted snap-ins(Запрещенные или разрешенные оснастки), выберите нужные оснастки и установите для них соответствующие параметры политик.

Рис. 6.10. Ограничение доступа пользователей к редактированию оснасток с помощью настроек групповых политик

Примечание

По умолчанию пользователям открыт доступ ко всем оснасткам и предоставлена возможность создания новых оснасток.

Запуск инструментов ММС

Для запуска стандартных, предварительно сконфигурированных административных инструментов ММС, установленных на компьютере, можно использовать один из приведенных ниже способов.

  • Откройте меню Start | Administrative Tools (Пуск | Администрирование) и выберите необходимый инструмент.
  • Дважды щелкните на значке Administrative Toolsна панели управления. Откроется окноAdministrative Tools, содержащее значки всех установленных на компьютере инструментов.
  • Выполните команду Start | Run(Пуск | Выполнить) и в окне Runвведите имя оснастки с расширением: например, команда gpedit.msc позволяет запустить на редактирование локальный объект групповой политики.

Оснастки Windows Server 2003

В табл. 6.1 в алфавитном порядке перечислены основные оснастки, которые доступны в Windows Server 2003, а в табл. 6.2 — оснастки, появляющиеся в интерфейсе системы только на контроллерах домена. Для оснасток, включенных в пользовательский интерфейс, указаны названия соответствующих пунктов меню, для остальных оснасток даны их собственные имена. Оснастки, которые можно вызывать непосредственно из меню Start(Пуск) или из группы Administrative Tools(Администрирование) на панели управления — т. е. оснастки, включенные в пользовательский интерфейс при инсталляции системы, — отмечены звездочкой (*).

Таблица 6.1. Оснастки, имеющиеся в Windows Server 2003

Оснастка | Назначение
.NET Framework 1.1 Configuration (Конфигурация .NET Framework) | Позволяет настраивать среду .NET Framework
ActiveX Control (Элемент ActiveX) | Подключение к дереву консоли различных элементов управления ActiveX
Authorization Manager | Позволяет создать гибкую среду управления корпоративными приложениями на основе механизмов доступа, базирующихся на понятиях "роль", "задача", "операция"
Certificate Templates | Обеспечивают работу с шаблонами сертификатов, являющимися частью корпоративного центра сертификации (Certification Authority)
Certificates (Сертификаты) | Служит для управления сертификатами, выданными пользователю, службе или компьютеру
Certification Authority | Позволяет работать с центрами сертификации, развернутыми в корпоративной сети
Component Services (Служба компонентов)* | Конфигурирует и управляет службами компонентов СОМ+
Computer Management (Управление компьютером)* | Предоставляет функции администрирования системы. Содержит в своем составе ряд изолированных оснасток и оснасток расширения
Device Manager (Диспетчер устройств) Disk Defragmenter (Дефрагментация диска) | Содержит список всех устройств, подключенных к компьютеру, и позволяет их конфигурировать Служит для анализа и дефрагментации дисковых томов
Disk Management (Управление дисками) | Служит для управления дисками и защитой данных, для разбиения дисков на логические тома, форматирования, управления совместным доступом, квотами и т. д.
Distributed file system (Распределенная файловая система DPS)* | Создает и управляет распределенными файловыми системами, объединяющими совместно используемые папки на различных компьютерах
Event Viewer(Просмотр событий)* | Служит для просмотра и управления системным журналом, журналами безопасности и приложений
Folder(Папка) | Служит для добавления новой папки в дерево
Group Policy Object Editor(Групповая политика) | Служит для назначения сценариев регистрации, групповых политик для компьютера и пользователей некоторого компьютера сети; позволяет просматривать и изменять политику безопасности, политику аудита и права пользователей
Indexing Service (Служба индексирования) | Служит для индексирования документов различных типов с целью ускорения их поиска
Internet Authentication Service (IAS) IP Security Monitor | Управляет работой службы Internet Authentication Service (Служба проверки подлинности в Интернете) Выполняет те же функции, что и утилита IPSecmon.exe в Windows 2000: обеспечивает мониторинг различных аспектов работы протокола IPSec
IP Security Policy Management (Управление политикой безопасности IP) | Служит для управления политиками IPSec для безопасного соединения с другими компьютерами
Link to Web Address (Ссылка на ресурс веб) | Служит для подключения веб-страниц (html, asp, stml)
Local Security Policy* | Позволяет настраивать параметры локальной безопасности (узел Security Settingsлокального объекта групповой политики); имеется только на компьютерах, не подключенных к домену
Local Users and Groups (Локальные пользователи и группы)* | Служит для управления локальными учетными записями пользователей и групп. Присутствует в меню Start, если только компьютер не является членом домена
Performance Logs and Alerts(Оповещения и журналы производительности) | Конфигурирует журналы данных о работе системы и службу оповещений
Remote Desktops* | Позволяет управлять многочисленными сессиями терминального доступа к удаленным компьютерам
Removable Storage Management (Управление съемными носителями) | Служит для управления сменными носителями информации
Resultant Set of Policy (Результирующая политика) | Позволяет просматривать результирующую групповую политику для компьютера и пользователя. Оснастка может быть использована для просмотра действующих политик, а также для планирования использования политик для выбранного компьютера или пользователя
Routing and Remote Access(Маршрутизация и удаленный доступ)* | Служит для управления маршрутизацией и удаленным доступом
Security Configuration and Analysis(Анализ и настройка безопасности) | Служит для управления безопасностью системы с помощью шаблонов безопасности
Security Templates (Шаблоны безопасности) | Обеспечивает возможность редактирования файлов-шаблонов безопасности
Services(Службы)* | Запускает, останавливает и конфигурирует службы (сервисы) Windows
Shared Folders(Общие папки) | Отображает совместно используемые папки, текущие сеансы и открытые файлы
Telephony(Телефония) | Служит для конфигурирования служб телефонии
Terminal Services Configuration* | Позволяет управлять конфигурацией сервера служб терминалов
Wireless Monitor | Позволяет контролировать беспроводные (инфракрасные и т. д.) подключения к системе
WMI Control (Управляющий элемент WMI) | Служит для конфигурирования средств Windows Management Instrumentation

Таблица 6.2. Оснастки, устанавливаемые только на контроллерах домена Windows Server 2003

Оснастка | Назначение
Active Directory Domains and Trusts(Active Directory - домены и доверие) * | Служит для управления доменами и доверительными отношениями
Active Directory Sites and Services(Active Directory — сайты и службы) * | Определяет топологию и расписание репликации Active Directory. Обеспечивает изменение служб корпоративного уровня
Active Directory Users and Computers(Active Directory — пользователи и компьютеры) * | Управляет пользователями, группами, организационными подразделениями (OU) и другими объектами Active Directory
Domain Controller Security Policy(Политика безопасности контроллера домена) * | Служит для управления параметрами безопасности (представленными в узле Security Settingsобъекта групповой политики, привязанного к подразделению Domain Controllers) на контроллерах домена
Domain Security Policy (Политика безопасности домена) * | Служит для управления параметрами безопасности (представленными в узле Security Settings объекта групповой политики, привязанного к объекту домена) для всего домена

Примечание

Кроме перечисленных в табл. 6.1 и 6.2 оснасток, в системе после инсталляции дополнительных служб и компонентов — например, сетевых служб (DNS, DHCP, WINS, и др.), пакета Support Tools, утилиты Active Directory Migration Tool, служб Интернета, службы факсов, служб терминалов (Terminal Services) — появляется множество других оснасток, использующихся для администрирования этих служб. Такие оснастки рассматриваются в соответствующих главах книги.

В табл. 6.3 перечислены средства управления системой, реализованные не как оснастки или имеющие специфику при работе с ними. Почти все эти средства можно вызвать из меню Start | Administrative Tools(Пуск | Администрирование).

Таблица 6.3. Дополнительные средства управления Windows Server 2003

Название | Назначение
Cluster Administrator* | Утилита для управления кластерными конфигурациями
Configure Your Server Wizard* | Мастер, позволяющий администратору настроить сервер в соответствии с выбранными ролями (файловый сервер, сервер служб Интернета и т. д.)
File Server Management(Управление файловым сервером) | Оснастка, позволяющая централизованно управлять общими ресурсами, дисковыми системами файлового сервера и доступом к нему. Оснастку можно запустить по имени filesvr.msc или щелкнув по ссылке Manage this file serverв окне мастера Manage Your Server
Licensing* | Утилита, позволяющая управлять клиентскими лицензиями в масштабах предприятия
Manage Your Server* | Мастер, представляющий собой информационный центр для управления различными ролями сервера, обращения к службам поддержки и вспомогательным инструментам, а также позволяющий быстро находить информацию об обновлениях, способах решения проблем и т. п.
Network Load Balancing Manager* | В кластерных системах с помощью этой утилиты можно управлять распределением сетевой нагрузки на узлы кластера
System Information (Сведения о системе)* | В Windows 2000 эта утилита реализована в виде оснастки, входящей в состав оснастки Computer Management. В Windows ХР и Windows Server 2003 это — самостоятельная утилита. Для запуска нужно выбрать команду Start | All Programs | Accessories | System Tools | System Information (Пуск | Программы | Системные средства | Сведения о системе)
Terminal Server Licensing* | Утилита, позволяющая управлять клиентскими лицензиями для служб терминалов (Terminal Services), работающих в режиме выполнения приложений
Terminal Services Manager* | Диспетчер служб терминалов, позволяющий выполнять мониторинг серверов терминалов в масштабах предприятия; позволяет, в частности, контролировать клиентские сессии и запущенные задачи

Оснастка Computer Management

Инструмент (и одноименная оснастка) Computer Management (Управление компьютером) (рис. 6.11) является одним из основных средств системного администратора для конфигурирования компьютера. Данную оснастку можно использовать для администрирования как локальной системы, так и удаленных компьютеров (в том числе систем Windows 2000 и — с некоторыми ограничениями — компьютеров с Windows NT 4.0). Это позволяет администратору со своего рабочего места устранять проблемы и конфигурировать любой компьютер в сети, на котором установлена Windows Server 2003.
Для запуска оснастки Computer Managementможно пользоваться двумя способами: выбрать соответствующую команду в меню Start | Administrative Toolsили щелкнуть правой кнопкой мыши на команде My Computer(Мой компьютер) в меню Startи выбрать в контекстном меню пункт Manage(Управление).

Рис. 6.11. Оснастка Computer Managementпозволяет управлять многими службами компьютера

В пространстве имен оснастки имеются три узла: System Tools(Служебные программы), Storage(Запоминающие устройства) и Services and Applications(Службы и приложения). Данные узлы являются контейнерами и содержат ряд оснасток:

  • System Tools— узел содержит инструменты, предназначенные для администрирования системы. В данный узел входят оснастки:
    • Event Viewer (Просмотр событий);
    • Shared Folders(Общие папки);
    • Local Users and Groups (Локальные пользователи и группы);
    • Performance Logs and Alerts(Оповещения и журналы производительности);
    • Device Manager(Диспетчер устройств).

  • Storage— узел содержит оснастки, служащие для управления дисковой системой:
    • Removable Storage(Съемные ЗУ);
    • Disk Management (Управление дисками);
    • Disk Defragmenter(Дефрагментация диска).

  • Services and Applications— узел содержит следующие оснастки:
    • Telephony(Телефония);
    • Services(Службы);
    • WMI Control(Управляющий элемент WMI);
    • Indexing Service (Служба индексирования);
    • Другие оснастки (например, Fax, Windows Media Services, Routing and Remote Access, DNS, Internet Information Services и т.д.) — в зависимости от того, какие дополнительные службы установлены в системе.

Служебные программы (System Tools)

Узел System Toolsотображает конфигурацию компьютера и объединяет средства управления им. Сотрудники службы поддержки используют данную информацию при устранении проблем на локальном компьютере.

Оснастка Event Viewer

УзелEvent Viewer(Просмотр событий) соответствует оснастке с одноименным названием и стандартной утилите, которая имелась еще в Windows NT 4.0. С ее помощью можно просматривать журналы регистрации событий операционной системы, безопасности и приложений. Данная оснастка подробно рассмотрена в главе 7 "Средства мониторинга и оптимизации".

Оснастка Shared Folders

Оснастка Shared Folders(Общие папки) позволяет просматривать информацию о соединениях и использовании ресурсов локального или удаленного компьютеров. Данная оснастка используется вместо программы Server в Control Panel системы Windows NT 4.0.
Оснастка Shared Foldersсодержит три узла: Shares(Ресурсы), Sessions(Сеансы) и Open Files(Открытые файлы). При выборе данных узлов в панели результатов отображается содержание соответствующего узла.
С помощью оснастки можно выполнять следующие задачи:

  • создавать, просматривать, изменять свойства и удалять общие ресурсы на локальном или удаленном компьютерах (Windows NT 4.0/2000/XP и Windows Server 2003) и устанавливать разрешения на доступ к ним. Кроме того, можно управлять режимом кэширования общих папок (в случае их использования в качестве изолированных папок). В системах Windows ХР и Windows Server 2003 появилась очень удобная новая возможность управления процессом публикации общей папки в каталоге Active Directory (рис. 6.12) — можно сразу после создания общей папки опубликовать ее в каталоге, не прибегая к помощи оснастки Active Directory Users and Computers. Все необходимые действия достаточно очевидны из содержания приведенного примера: в данном случае публикуется общая папка службы факсов, содержащая клиентское программное обеспечение для систем, не имеющих его (например, Windows 9х);

Рис. 6.12. Публикация общий папок в Active Directory

  • просматривать список удаленных пользователей, подключенных к компьютеру, и отключать их;
  • просматривать список файлов, открытых удаленными пользователями, и закрывать открытые файлы.

Оснастка Local Users and Groups

Узел Local Users and Groups (Локальные пользователи и группы) соответствует одноименной оснастке, аналогом которой в Windows NT Server 4.0 была административная утилита User Manager for Domains. Функции и назначение остались неизменными: с помощью данной оснастки создаются, модифицируются и удаляются учетные записи пользователей и групп на локальном компьютере. Использование этой оснастки достаточно подробно описывается в других главах книги, в первую очередь — в главе 10 "Типовые задачи администрирования". Оснастка недоступна на контроллерах домена. Для управления пользователями и группами в домене используется оснастка Active Directory Users and Computers(Active Directory — пользователи и компьютеры), описываемая в главе 20 "Администрирование доменов".

Оснастка Performance Logs and Alerts

Оснастка расширения Performance Logs and Alerts(Оповещения и журналы производительности) позволяет сконфигурировать журналы для записи данных и службу системных оповещений (Alerter) для уведомления о превышении каким-либо счетчиком определенного значения. Данная оснастка позволяет фиксировать данные о степени использования компьютера и работе служб (сервисов) на локальном и удаленных компьютерах. Более подробно данная оснастка рассмотрена в главе 7 "Средства мониторинга и оптимизации".

Диспетчер устройств (Device Manager)

Узел Device Manager(Диспетчер устройств) представляет одноименную оснастку, которая отображает в виде дерева все аппаратные устройства, установленные на локальном компьютере, и показывает их состояние, версии программных драйверов, используемые ресурсы (порты ввода/вывода, адреса памяти и IRQ). Данная оснастка позволяет изменять конфигурацию аппаратных элементов, а также механизм их взаимодействия с центральным процессором компьютера. Диспетчер устройств позволяет:

  • выяснить, корректно ли работает аппаратное обеспечение компьютера;
  • изменить конфигурационные настройки оборудования;
  • идентифицировать драйверы устройств, которые загружены для каждого устройства, и получить информацию о драйверах всех устройств;
  • изменить дополнительные установки и параметры устройств;
  • инсталлировать обновленные драйверы устройств и выполнять откат драйверов;
  • отключать и активизировать устройства;
  • идентифицировать конфликты устройств и вручную конфигурировать установки ресурсов;
  • распечатать суммарную информацию об устройствах, которые установлены на компьютере.

Диспетчер устройств преимущественно используется для проверки состояния аппаратного обеспечения и обновления драйверов устройств на компьютере. Опытные пользователи, которые хорошо разбираются в аппаратном обеспечении компьютера, могут при помощи диагностических возможностей Диспетчера устройств устранять конфликты устройств и изменять установки ресурсов.

Примечание

Изменение установок ресурсов может привести к отключению аппаратных компонентов и вызвать нарушение работы компьютера. Поэтому изменять установки ресурсов рекомендуется только пользователям, которые располагают достаточными знаниями об аппаратном обеспечении и аппаратных конфигурациях компьютеров. Как правило, пользователям нет необходимости изменять установки ресурсов, поскольку система автоматически выделяет ресурсы аппаратным компонентам в ходе установки.
Диспетчер устройств можно использовать для управления устройствами только на локальном компьютере. На удаленном компьютере данная оснастка будет работать только в режиме просмотра.

Для каждого устройства на компьютере выделяется уникальный набор системных ресурсов для обеспечения корректной работы устройства. В число этих ресурсов входят:

  • номера запросов на прерывание (Interrupt Request, IRQ);
  • номера каналов прямого доступа к памяти (Direct Memory Access, DMA);
  • адреса портов ввода/вывода (Input/Output, I/O);
  • диапазоны адресов памяти.

Механизм Plug and Play системы Windows Server 2003 (см. главу 2 "Поддержка оборудования") выделяет ресурсы автоматически в ходе установки всех устройств, которые поддерживают данный механизм. Если два устройства обращаются к одним ресурсам, то возникает аппаратный конфликт. В этом случае необходимо вручную изменить установки ресурсов для обеспечения их уникальности для каждого устройства. В общем случае не следует изменять установки ресурсов вручную, поскольку при этом могут возникать сложные конфликтные ситуации, для устранения которых требуется глубокое понимание работы аппаратных и программных средств (в том числе — и драйверов).
Диспетчер устройств позволяет отключать и удалять устройства из системной конфигурации компьютера. При отключении устройства физическое устройство остается подключенным к компьютеру, но производятся соответствующие изменения в системном реестре, так что драйверы устройства не будут загружены при следующем запуске системы. Отключение устройств полезно, если необходимо иметь несколько аппаратных конфигураций компьютера или если работа ведется на портативном компьютере, используемом вместе со станцией расширения (док-станция, docking station).
Аппаратный профиль представляет собой набор инструкций, которые указывают системе, какие устройства следует запустить при включении компьютера. При инсталляции Windows Server 2003 создается аппаратный профиль по умолчанию. В данном профиле активизируются все устройства, имеющиеся на компьютере к моменту инсталляции операционной системы.
Аппаратные профили особенно полезны, если используется портативный компьютер. Например, можно создать профиль, который будет активизировать сетевую карту и внешний монитор, если компьютер подключен к станции расширения, и профиль без поддержки данных устройств в противном случае.
Для создания нового аппаратного профиля запустите утилиту System (Система) на панели управления и перейдите в ее окне на вкладку Hardware(Оборудование). При наличии нескольких аппаратных профилей можно выбрать профиль по умолчанию, который будет загружаться при каждом запуске компьютера. После создания аппаратного профиля с помощью оснастки Device Managerможно активизировать и отключать устройства, которые содержит профиль.

Примечание

При отключении устройства в аппаратном профиле драйверы данного устройства не загружаются при следующем запуске компьютера.

Для изменения вида панели результатов оснастки Device Managerвыберите в меню View(Вид) команду отображения Devices by type(Устройства по типу), Devices by connection(Устройства по подключению), Resources by type(Ресурсы по типу) или Resources by connection(Ресурсы по подключению). Как видите, устройства и ресурсы можно сортировать по типу или по подключению.

Примечание

Данное меню можно также открыть, щелкнув правой кнопкой мыши на узле Device Manager и выбрав команду Viewконтекстного меню.

Для того чтобы просмотреть скрытые устройства, установите флажок Show hidden devices(Показать скрытые устройства) в меню View. В число скрытых устройств входят устройства, не поддерживающие механизм Plug and Play (устройства с унаследованными драйверами прежних версий системы Windows NT), и устройства, которые были физически удалены из компьютера, но их драйверы остались.
Для того чтобы установить новое устройство, переместите курсор в правое окно, выберите в меню Action(Действие) команду Scan for hardware changes(Обновить конфигурацию оборудования). Оснастка проверит аппаратную конфигурацию компьютера и, если будут обнаружены новые устройства, запустит мастер установки новых устройств. Если потребовалось удалить некоторое устройство, выберите его в дереве устройств и в меню Actionвыполните команду Uninstall(Удалить).
Окно свойств любого выбранного устройства можно открыть с помощью команды Properties(Свойства) в меню Actionили выполнив двойной щелчок на его имени.

Запоминающие устройства (Storage)

Контейнер Storageсодержит оснастки, которые используются для управления и обслуживания логическими дисками и дисковыми накопителями.

  • С помощью оснастки Removable Storage(Съемные ЗУ) можно легко управлять библиотеками ленточных накопителей, сменными оптическими дисками и устройствами с автоматической подачей дисков (jukebox). Более подробную информацию о данной оснастке можно найти в в главе 8 "Работа с дисковыми ресурсами".
  • Оснастка Disk Defragmenter(Дефрагментация диска) используется для анализа и дефрагментации удаленных и локальных логических дисков. Данная оснастка подробно рассматривается в главе 8 "Работа с дисковыми ресурсами".
  • Оснастка Disk Management(Управление дисками) управляет логическими дисками. Данная оснастка (ее функции и способы использования) подробно рассматривается в главе 8 "Работа с дисковыми ресурсами".

Службы и приложения (Services and Applications)

С помощью узла Services and Applications(Службы и приложения) можно, изменяя параметры, управлять инсталлированными службами или серверными приложениями, например, службами телефонии, мультимедиа или сервером DHCP. Некоторые подобные службы, используемые в Windows Server 2003, и способы управления ими описываются в соответствующих главах книги.

Оснастка Services

Оснастка Services(Службы) позволяет запускать, останавливать, приостанавливать и возобновлять работу служб (сервисов) на удаленном и локальном компьютерах, а также конфигурировать опции запуска и восстановления сервисов.
Как видно на рис. 6.13, в Windows Server 2003 оснастка Servicesимеет дополнительную вкладку Extended, на которой приводится описание выбранной службы и имеются управляющие команды.

Рис. 6.13. Узел оснастки Servicesв составе оснасткиComputer Management

С помощью оснастки Servicesможно выполнять следующие операции:

  • управлять службами на локальном и удаленном компьютере (только на компьютерах под управлением Windows Server 2003, Windows XP, Windows 2000 или Windows NT'4.0);
  • проводить операции по восстановлению работы службы (например, автоматически перезапускать службу или компьютер) (только на компьютерах под управлением Windows Server 2003, Windows XP и Windows 2000);
  • подключать или отключать возможность запуска службы для определенного аппаратного профиля;
  • просматривать статус и описание служб.

Конфигурирование установленных сервисов
Чтобы определить режим запуска службы:
1. Выберите службу, которую нужно конфигурировать, и выполните команду Properties(Свойства) в меню Action(Действие) или команду Properties(Свойства) контекстного меню. Можно также дважды щелкнуть на имени службы. На экране откроется окно с параметрами службы.
2. На вкладке General(Общие) выберите в списке Startup Type(Тип запуска) одно из значений: Automatic(Авто), Manual(Вручную) или Disabled(Отключено). Если выбрать значение Disabled, то служба будет отключена совсем.
3. Для указания пользовательской учетной записи, с которой будет регистрироваться служба, перейдите на вкладкуLog On(Вход в систему) и установите переключатель в положение Local System account(С системной учетной записью) или This account(С учетной записью).
4. Если переключатель находится в положении This account, то нажмите кнопку Browse(Обзор) для выбора учетной записи пользователя. В открывшемся окне выберите тип объекта (кнопка Object Types(Типы объектов)), его местоположение (кнопка Locations(Размещение)) и введите имя пользователя в списке Enter the object name to select (Введите имена выбираемых объектов).
5. Чтобы служба могла использовать пользовательский интерфейс, установите флажок Allow service to interact with desktop(Разрешить сервису взаимодействие с рабочим столом).

Примечание

Для изменения опций запуска сервисов вы должны зарегистрироваться как член локальной группы администраторов.

Для того чтобы запустить, остановить, приостановить или возобновить работу службы, щелкните правой кнопкой мыши по ее названию и выберите в контекстном меню соответствующую команду: Start (Пуск), Stop (Стоп), Pause (Пауза), Resume (Продолжить) или Restart (Перезапустить).

Примечание

Если требуется указать параметры запуска службы, откройте окно свойств службы (команда Properties) и введите на вкладке General параметры в поле Start parameters (Параметры запуска) перед тем, как нажать кнопку Start. Обратный слэш (\) интерпретируется как символ пробела, поэтому для получения символа обратного слэша в параметре следует ввести два символа обратного слэша.

Оснастка WMI Control

Узел WMI Control (Управляющий элемент WMI (и одноименная оснастка) позволяет конфигурировать средства (инструменты) Windows Management Instrumentation (WMI) в локальной системе и на удаленных компьютерах. Например, с помощью данной оснастки можно задавать разрешения для проверенных (authorized) пользователей и групп, сохранять репозитарий объектов WMI, включать и выключать регистрацию ошибок в журналах. Более подробно о технологии WMI рассказывается в главе Л "Управление системами Windows в корпоративной среде".

Оснастка Indexing Service

Служба индексирования инсталлируется как стандартный компонент Windows Server 2003. Эта служба индексирует содержимое всех дисков локального компьютера, что позволяет пользователю производить поиск любого слова или фразы, которые содержатся в документах на данном компьютере. Оснастка Indexing Service— это системный инструмент с графической оболочкой для службы индексирования, который упрощает выполнение ряда административных задач, включая следующие:

  • проверка состояния процесса индексации и параметров индексируемых каталогов;
  • установка глобальных параметров для всех каталогов на компьютере;
  • создание и конфигурирование новых каталогов для обеспечения оптимальной производительности;
  • выбор индексируемых каталогов.

Подробнее эта оснастка описана в главе 16 "Службы Интернета".

Список служб Windows Server 2003

В табл. 6.4 перечислены основные службы (сервисы), устанавливаемые по умолчанию в Windows Server 2003, Standard Edition (включая службы Интернета). Список служб, запущенных в данное время в системе, легко получить в командной строке, введя net start. Зная название службы, можно управлять ею из командной строки или командных файлов с помощью команд net start / net stop <названиеСлужбы>. Имя исполняемого файла (имя образа)
отображается для запущенной службы в окне диспетчера задач (Task Manager) на вкладке Processes(Процессы). Зная соответствие между именами служб и исполняемых файлов, легче понимать происходящие в системе процессы, и в этом случае вас, например, не удивит, почему в системе всегда запущено несколько процессов с одним именем образа svchost.exe.

Таблица 6.4.Перечень основных служб Windows Server 2003

Отображаемое имя | Название службы | Имя исполняемого файла (имя образа)
Alerter (Оповещатель) | Alerter | Svchost.exe
Application Layer Gateway Service (Служба шлюза уровня приложения) | ALG | Alg.exe
Application Management (Управление приложениями) | AppMgmt | Svchost.exe
Automatic Updates (Автоматическое обновление) | Wuauserv | Svchost.exe
Background Intelligent Transfer Service (Фоновая интеллектуальная служба передачи) | BITS | Svchost.exe
ClipBook (Сервер папки обмена) | ClipSrv | Clipsrv.exe
СОМ+ Event System (Система событий СОМ+) | EventSystem | Svchost.exe
СОМ+ System Application (Системное приложение СОМ+) | COMSysApp | Dllhost.exe
Computer Browser (Обозреватель компьютеров) | Browser | Svchost.exe
Cryptographic Services (Службы криптографии) | CryptSvc | Svchost.exe
DHCP Client (DHCP-клиент) | Dhcp | Svchost.exe
Distributed File System (Распределенная файловая система DPS) | Dfs | Dfssvc.exe
Distributed Link Tracking Client (Клиент отслеживания изменившихся связей) | TrkWks | Svchost.exe
Distributed Link Tracking Server (Сервер отслеживания изменившихся связей) | TrkSvr | Svchost.exe
Distributed Transaction Coordinator (Координатор распределенных транзакций) | MSDTC | Msdtc.exe
DNS Client (DNS-клиент) | Dnscache | Svchost.exe
Error Reporting Service (Служба регистрации ошибок) | ERSvc | Svchost.exe
Event Log (Журнал событий) | Eventlog | Services.exe
File Replication Service (Служба репликации файлов) | NtFrs | Ntfrs.exe
Help And Support (Справка и поддержка) | Helpsvc | Svchost.exe
HTTP SSL | HTTPFilter | Lsass.exe
Human Interface Device Access (Доступ к HID-устройствам) | HidServ | Svchost.exe
IMAPI CD-Burning COM Service (Служба COM записи компакт-дисков IMAPI) | ImapiService | lmapi.exe
Indexing Service (Служба индексирования) | cisvc | Cisvc.exe
Internet Connection Firewall (IGF) / Internet Connection Sharing (ICS) (Брандмауэр Интернета (ICF) /Общий доступ к Интернету (ICS)) | SharedAccess | Svchost.exe
Intersite Messaging (Межсайтовые сообщения) | IsmServ | lsmserv.exe
IPSEC Services (Службы IPSEC) | PolicyAgent | Lsass.exe
Kerberos Key Distribution Center (Центр распространения билетов Kerberos) | kdc | Lsass.exe
License Logging (Лицензирование) | LicenseService | Llssrv.exe
Logical Disk Manager (Диспетчер логических дисков) | dmserver | Svchost.exe
Logical Disk Manager Administrative Service (Служба администрирования диспетчера логических дисков) | dmadmin | Dmadmin.exe
Messenger (Служба сообщений) | Messenger | Svchost.exe
MS Software Shadow Copy Provider | SwPrv | Dllhost.exe
Net Logon (Сетевой вход в систему) | Netlogon | Lsass.exe
NetMeeting Remote Desktop Sharing | mnmsrvc | Mnmsrvc.exe
Network Connections (Сетевые подключения) | Netman | Svchostexe
Network DDE (Служба сетевого DDE) | NetDDE | Netdde.exe
Network DDE DSDM (Диспетчер сетевого DDE) | NetDDEdsdm | Netdde.exe
Network Location Awareness (NLA) (Служба сетевого расположения (NLA)) | Nla | Svchost.exe
NT LM Security Support Provider (Поставщик поддержки безопасности NT LM) | NtLmSsp | Lsass.exe
Performance Logs And Alerts (Журналы и оповещения производительности) | SysmonLog | Smlogsvc.exe
Plug and Play | PlugPlay | Services.exe
Portable Media Serial Number Service (Серийный номер переносного медиа-устройства) | WmdmPmSN | Svchost.exe
Print Spooler (Диспетчер очереди печати) | Spooler | Spoolsv.exe
Protected Storage (Защищенное хранилище) | ProtectedStorage | * Lsass.exe
Remote Access Auto Connection Manager (Диспетчер автоподключений удаленного доступа) | R as Auto | Svchost.exe
Remote Access Connection Manager (Диспетчер подключений удаленного доступа) | RasMan | Svchost.exe
Remote Desktop Help Session Manager (Диспетчер сеанса справки для удаленного рабочего стола) | RDSessMgr | Sessmgr.exe
Remote Procedure Call (RPC) (Удаленный вызов процедур (RPC)) | RpcSs | Svchost.exe
Remote Procedure Call (RPC) Locator (Локатор удаленного вызова процедур (RPC)) | RpcLocator | Locator.exe
Remote Registry (Удаленный реестр) | RemoteRegistry | Svchost.exe
Remote Server Manager (Диспетчер удаленного сервера) | appmgr | Appmgr.exe
Removable Storage (Съемные ЗУ) | NtmsSvc | Svchost.exe
Resultant Set of Policy Provider (Провайдер результирующей политики) | RSoPProv | RSoPProv.exe
Routing And Remote Access (Маршрутизация и удаленный доступ) | RemoteAccess | Svchost.exe
Secondary Logon (Вторичный вход в систему) | seclogon | Svchost.exe
Security Accounts Manager (Диспетчер учетных записей безопасности) | SamSs | Lsass.exe
Server (Сервер) | lanmanserver | Svchostexe
Shell Hardware Detection (Определение оборудования оболочки) | ShellHWDetection | Svchost.exe
Smart Card (Смарт-карты) | SCardSvr | Scardsvr.exe
Special Administration Console Helper (Модуль поддержки специальной административной консоли) | sacsvr | Svchost.exe
System Event Notification (Уведомление о системных событиях) | SENS | Svchost.exe
Task Scheduler (Планировщик заданий) | Schedule | Svchost.exe
TCP/IP NetBIOS Helper (Модуль поддержки NetBIOS через TCP/IP) | LmHosts | Svchost.exe
Telephony (Телефония) | TapiSrv | Svchost.exe
Telnet | TlntSvr | Tlntsvr.exe
Terminal Services (Службы терминалов) | TermService | Svchost.exe
Terminal Services Session Directory (Диспетчер сессий служб терминалов) | Tssdis | Tssdis.exe
Themes (Темы) | Themes | Svchost.exe
Uninterruptible Power Supply (Источник бесперебойного питания) | UPS | Ups.exe
Universal Plug And Play Device Host (Узел универсальных РпР-устройств) | upnphost | Svchost.exe
Upload Manager (Диспетчер отгрузки) | upload mgr | Svchost.exe
Virtual Disk Service (Служба виртуальных дисков) | vds | Vds.exe
Volume Shadow Copy (Теневое копирование тома) | VSS | Vssvc.exe
WebClient (Веб-клиент) | WebClient | Svchost.exe
Windows Audio | AudioSrv | Svchost.exe
Windows Image Acquisition (WIA) (Служба загрузки изображений (WIA)) | Stisvc | Svchost.exe
Windows Installer | MSIServer | Msiexec.exe
Windows Management Instrumentation (Инструментарий управления Windows) | winmgmt | Svchost.exe
Windows Management Instrumentation Driver Extensions (Расширения драйверов WMI) | Wmi | Svchost.exe
Windows Time (Служба времени Windows) | W32Time | Svchost.exe
WinHTTP Web Proxy Auto-Discovery Service (Служба обнаружения веб-прокси) | WinHttpAutoProxy Svc | Svchost.exe
Wireless Configuration (Беспроводная настройка) | WZCSVC | Svchost.exe
WMI Performance Adapter (Адаптер производительности WMI) | WmiApSrv | Wmiapsrv.exe
Workstation (Рабочая станция) | lanmanworkstation | Svchost.exe

Подробное описание назначения служб и их настроек (состояние, тип запуска и имя учетной записи, используемой при запуске службы) можно получить, нажав в окне оснастки Services кнопку Export List(Экспорт списка) и сохранив информацию в текстовом файле.

Внимание

В Windows Server 2003 служба IMAPI CD-Burning COM Service, обеспечивающая запись компакт-дисков на CDRW-устройствах, по умолчанию запрещена; поэтому не стоит удивляться тому, что в пользовательском интерфейсе для привода CDRW отсутствуют соответствующие команды. Если вам нужна эта функциональная возможность, разрешите службу, установите режим запуска Manual и перезагрузите систему.
Новый стиль интерфейса Windows XP можно использовать и в Windows Server 2003. Для этого нужно разрешить и запустить службу Themes. После этого в окне свойств экрана можно установить нужный стиль.

Утилита System Information

Утилита System Information (Сведения о системе) представляет исчерпывающую информацию об аппаратном обеспечении компьютера, системных компонентах и программной среде. Системная информация разделена на категории, которым в окне структуры соответствуют следующие узлы (рис.6.14): System Summary (Сведения о системе),Hardware Resources(Ресурсы аппаратуры), Components(Компоненты), Software Environment (Программная среда) и Internet Settings(Параметры Интернета).

  • Узел System Summaryотображает общую информацию о компьютере и операционной системе: версию ОС и номер сборки, тип процессора, объем ОЗУ, версию BIOS, региональные установки, а также информацию об объеме физической и виртуальной памяти на компьютере.
  • УзелHardware Resourcesотображает информацию об аппаратных установках, таких как каналы DMA, номера прерываний (IRQ), адреса ввода/вывода (I/O) и адреса памяти. Узел Conflicts/Sharing(Конфликты/ Совместное использование) идентифицирует устройства, которые совместно используют ресурсы или конфликтуют с другими ресурсами. Такая информация помогает выявлять проблемы, возникающие с аппаратными устройствами.
  • Узел Componentsотображает информацию о конфигурации Windows и используется для определения статуса драйверов устройств, сетевых устройств и программного обеспечения мультимедийных устройств. Кроме того, данный узел содержит обширную информацию об истории драйверов с записью всех изменений, которые производились с компонентами.

Рис. 6.14. Окно утилиты System Information

  • Узел Software Environmentотображает "снимок" программного обеспечения, загруженного в память компьютера. Данная информация может быть использована для просмотра списка выполняющихся задач или для выяснения номера версии продукта.
  • Узел Internet Settings содержит, в частности, информацию о настройках программы Internet Explorer.

Примечание

В системах Windows XP и Windows Server 2003 имеется также утилита командной строки Systemlnfo.exe, с помощью которой можно получить общую информацию о локальной или удаленной системе. Чтобы узнать о параметрах утилиты, введите в командной строке systeminfo /?.

С помощью меню View(Вид) можно переключаться между двумя режимами вывода информации: Current System Information (Текущая информация) и System Hystory (История системы). В режиме System Hystory отображается информация о всех изменениях, выполненных в системе с момента установки, что может представлять интерес для опытных пользователей или для специалистов службы поддержки Microsoft Technical Support.
Полученную информацию можно сохранить в файле с расширением nfo (файл будет сохранен как документ MSInfo) или экспортировать в текстовый файл с помощью команды File | Exportдля последующего анализа.
Кроме того, из меню Tools(Инструменты) можно запустить весьма полезные диагностические утилиты, например Net Diagnostics (Диагностика сети) и DirectX Diagnostic Tool. Вторая утилита особенно полезна для тестирования мультимедийных возможностей системы.


Средства мониторинга и оптимизации

  • Средства мониторинга и оптимизации
  • Диспетчер задач (Task Manager)
    • Запуск диспетчера задач
    • Мониторинг процессов
      • Изменение приоритета запущенной программы
      • Выбор процессора
      • Скорость обновления
    • Мониторинг производительности системы
    • Мониторинг сети
    • Просмотр списка зарегистрированных пользователей
  • Просмотр системных событий
    • Оснастка Event Viewer
    • Типы событий
    • Параметры событий
    • Просмотр журналов
      • Сортировка событий
      • Обновление журналов
      • Поиск событий
      • Создание нового вида журнала
      • Просмотр событий на другом компьютере
      • Фильтрация событий
    • Настройка параметров журналов
      • Установка опций регистрации событий в журнале
      • Архивирование журналов
  • Мониторинг производительности компьютера
    • Оснастка Performance
    • Системный монитор (System Monitor)
      • Объекты и счетчики производительности
      • Настройка счетчиков
      • Настройка способов представления информации
    • Использование системного монитора
      • Выбор метода мониторинга
      • Выбор частоты регистрации
      • Выбор счетчиков для мониторинга
      • Выбор способа сбора данных с разных компьютеров
      • Анализ показателей производительности
      • Хранение данных производительности
      • Определение приемлемых показаний счетчиков
    • Оснастка Performance Logs and Alerts
      • Компоненты оснастки
      • Создание нового журнала счетчиков
      • Создание нового журнала трассировки
      • Создание нового оповещения

Средства мониторинга и оптимизации

Для мониторинга и оптимизации работы компьютера в системах Windows Server 2003 имеется несколько инструментов, позволяющих администратору следить за работой любых компонентов системы и конфигурировать ее оптимальным образом. Эти инструменты перечислены ниже.

  • Task Manager (Диспетчер задач) служит для просмотра текущих данных о производительности системы. В этой утилите основными являются три индикатора: использование процессора, использование виртуальной памяти и запущенные процессы и программы.
  • Оснастка Event Viewer (Просмотр событий) позволяет просматривать журналы событий, генерируемых приложениями, службой безопасности и системой.
  • Performance (Производительность) — обновленная оснастка систем Windows XP и Windows Server 2003, аналог утилиты Performance Monitor в Windows NT 4.0. Оснастка Performance включает в себя два компонента: ActiveX-элемент System Monitor и оснастку Performance Logs and Alerts (Оповещения и журналы безопасности). Графические средства System Monitor позволяют визуально отслеживать изменение производительности системы. С помощью System Monitor можно одновременно просматривать данные с нескольких компьютеров в виде динамических диаграмм, на которых отображается текущее состояние системы и показания счетчиков. Оснастка Performance Logs and Alerts позволяет создавать отчеты на основе текущих данных производительности или информации из журналов. При превышении счетчиками заданного значения или уменьшения нижеуказанного уровня данная оснастка посредством службы сообщений (Messenger) посылает оповещения пользователю.

Диспетчер задач (Task Manager)

В Windows Server 2003 присутствует традиционное для линейки Windows NT 4.0 средство мониторинга производительности — Диспетчер задач (Task Manager), который представляет информацию о программах и процессах, запущенных на компьютере, и отображает наиболее общие показатели производительности процессов.
Диспетчер задач можно использовать для отслеживания ключевых индикаторов производительности компьютера, он позволяет определять статус запущенных программ и завершать приложения, которые перестали отвечать на запросы системы. С помощью диспетчера задач можно отслеживать активность запущенных процессов по 25 параметрам и просматривать графики использования процессора и памяти.
В Windows Server 2003 диспетчер задач содержит пять вкладок/индикаторов, среди которых две новых (по сравнению с Windows 2000) — Networking (Сеть) и Users (Пользователи). Ниже перечислены эти вкладки и указано их назначение.

  • Applications (Приложения) — показывает статус приложений, запущенных на компьютере.
  • Processes (Процессы) — содержит информацию о процессах, запущенных на компьютере.
  • Performance (Быстродействие) — отображает динамическое состояние производительности компьютера, включая степень использования памяти и процессора.
  • Networking (Сеть) — показывает степень загрузки сети. Индикатор отображается только при наличии на компьютере сетевой карты.
  • Users (Пользователи) — содержит список зарегистрированных пользователей. Эти пользователи могут регистрироваться локально (с консоли) или являться клиентами служб Terminal Services, подключенных с использованием технологий Terminal Server, Remote Access или Remote Assistant.

Запуск диспетчера задач

Для запуска диспетчера задач можно выбрать один из следующих методов.

  • Нажать комбинацию клавиш <Ctrl>+<Shift>+<Esc>.
  • Щелкнуть правой кнопкой мыши на свободном пространстве панели задач и выбрать в контекстном меню команду Task Manager.
  • Нажать комбинацию клавиш <Ctrl>+<Alt>+<Del> и нажать в появляющемся окне кнопку Task Manager.
  • Вызвать команду Run (Выполнить) и ввести taskmgr.

Если диспетчер задач запущен, то в правой части панели задач в области оповещений (system tray) появляется индикатор загрузки процессора. Если подвести указатель мыши к этому индикатору, то будет показана степень загруженности процессора в процентах.
Окно диспетчера задач можно открыть двойным щелчком на значке индикатора загрузки на панели задач. Если вы не хотите, чтобы свернутое окно диспетчера оставалось на панели задач среди других запущенных программ, то в окне диспетчера в меню Options (Параметры) установите флажок Hide When Minimized (Скрывать свернутое).

Мониторинг процессов

Для просмотра запущенных процессов и показателей их производительности выберите вкладку Processes (Процессы) в окне Windows Task Manager (рис. 7.1). Таблица процессов содержит все процессы, запущенные в собственном адресном пространстве, включая все приложения и системные сервисы. (В Windows 2000 список отображаемых по умолчанию столбцов немного отличается.) Если требуется просматривать также 16-разрядные процессы, то в меню Options (Параметры) установите флажок Show 16-bit tasks (Отображать 16-разрядные задачи).

Рис. 7.1. Вкладка Processes в окне диспетчера задач

Обратите внимание на флажок Show processes from all users (Отображать процессы для всех пользователей) — когда он установлен, отображаются также все процессы, запущенные пользователями, зарегистрировавшимися на компьютере с удаленных систем.
С помощью команды Select Columns (Выбрать столбцы) меню View (Вид) можно добавить на экран новые столбцы показателей. В открывшемся диалоговом окне Select Columns установите флажки рядом с теми показателями, которые должны быть отображены в таблице. В табл. 7.1 кратко описаны основные столбцы таблицы и соответствующие им счетчики.

Таблица 7.1. Основные счетчики диспетчера задач

Счетчик | Описание
Image Name (Имя образа) | Имя процесса
PID (Process Identifier) (Идентификатор процесса) | Числовое значение, которое уникальным образом определяет процесс во время его работы
CPU Usage (Загрузка ЦП) | Выраженное в процентах время, в течение которого процесс использовал время процессора с момента последнего обновления
CPU Time (Время ЦП) | Суммарное время процессора, использованное процессом со времени его запуска (в секундах)
Memory Usage (Память— использование) | Объем виртуальной памяти, используемой процессом (в килобайтах)
Memory Usage Delta (Память— изменение) | Изменение объема памяти с момента последнего обновления. Диспетчер задач отображает отрицательные значения
Peak Memory Usage (Память— максимум) | Максимальный объем выделенной памяти, использованной процессом с момента запуска. Выделенной памятью является память, которую процесс использует на физическом носителе (например, в ОЗУ) или в файле подкачки
Page Faults (Ошибки страницы) | Число прерываний, которые возникают, когда приложение пытается прочитать или записать данные в несуществующую виртуальную память
USER Objects (Объекты USER) | Число объектов USER, которые используются в данное время определенным процессом
I/O Reads (Число чтений) | Число операций ввода/вывода, сгенерированных процессом чтения, включая операции для файлов, сети и устройств
I/O Read Bytes (Прочитано байт) | Число байт, прочитанных в ходе операций ввода/вывода, сгенерированных процессом чтения, включая операции для файлов, сети и устройств
Session ID (Код сеанса) | Идентификатор сеанса служб терминалов (Terminal Services), если они установлены
User Name (Имя пользователя) | Имя пользователя, который владеет процессом служб терминалов (зарегистрирован удаленно)
Page Faults Delta (Ошибки страницы— изменение) | Изменение числа ошибок страниц с момента последнего обновления
Virtual Memory Size (Объем виртуальной памяти) | Объем виртуальной памяти или адресного пространства, выделенного процессу
Paged Pool (Выгружаемый пул) | Виртуальная память, доступная для кэширования на диск, которая включает в себя всю пользовательскую память и часть системной памяти. Кэширование представляет собой перемещение редко используемых компонентов рабочей памяти из ОЗУ на другой носитель, обычно на жесткий диск
Non-Paged Pool (Невыгружаемый пул) | Объем памяти операционной системы, используемой , процессом (в килобайтах). Данная память никогда не выгружается на диск
Base Priority (Базовый приоритет) | Определяет порядок диспетчеризации потоков процесса для обработки процессором. В Службах очереди сообщений (Microsoft Message Queuing Services, MSMQ) базовый приоритет (или приоритет очереди) определяет proxy-приоритет очереди в общей очереди. Базовый приоритет может быть установлен в диапазоне от -32 768 до 32 767 (значение по умолчанию равно 0) любым приложением MSMQ с разрешениями на запись для очереди. Частные очереди не поддерживают базовый приоритет. MSMQ маршрутизирует и передает сообщения на основе комбинации базового приоритета и приоритета сообщения
Handle Count (Счетчик дескрипторов) | Число дескрипторов объектов в таблице объектов процесса
Thread Count (Счетчик потоков) | Число потоков, запущенных в процессе
GDI Objects (Объекты GDI) | Число объектов GDI, используемых в данный момент процессом. Объекты из библиотеки графического пользовательского интерфейса (Graphics Device Interface, GDI), входящей в интерфейс прикладного программирования (API) для устройств вывода графики
I/O Writes (Число записей) | Число операций ввода/вывода, сгенерированных процессом записи, включая операции для файлов, сети и устройств
I/O Write Bytes (Записано байт) | Число байт, записанных в ходе операций ввода/вывода, сгенерированных процессом записи, включая операции для файлов, сети и устройств
I/O Other (Прочий ввод/вывод) | Число операций ввода/вывода, сгенерированных процессом, который не является ни чтением, ни записью, включая операции для файлов, сети и устройств. Примером такого типа операции является функция управления
I/O Other Bytes (Прочих байт при вводе/выводе) | Число байт, переданных в ходе операций ввода/вывода, сгенерированных процессом, который не является ни чтением, ни записью, включая операции для файлов, сети и устройств

Изменение приоритета запущенной программы

Базовый приоритет задается, как правило, кодом приложения. С помощью диспетчера задач можно изменить базовый приоритет процесса. Внесенное изменение будет действительно только в течение времени работы процесса.

Рис. 7.2. Изменение базового приоритета процесса в диспетчере задач

При следующем запуске процесс будет выполняться с базовым значением приоритета. Для изменения приоритета процесса выделите имя процесса на вкладке Processes и щелкните на нем правой кнопкой мыши. Затем в контекстном меню выберите пункт Set Priority (Приоритет) и укажите новый уровень приоритета (рис. 7.2).

Выбор процессора

В диспетчере задач можно назначить выполнение Определенного процесса одному или нескольким процессорам. Для этого на вкладке Processes щелкните правой кнопкой мыши на названии процессора, укажите пункт Set Affinity (Установить связь) и затем выберите один или несколько процессоров.

Примечание

Опция Set Affinity доступна только в том случае, если на компьютере установлено более одного процессора.

Скорость обновления

Вы можете регулировать скорость, с которой обновляются показания счетчиков в диспетчере задач. Это позволяет снизить процент использования ресурсов, но при этом данные могут оказаться слишком приближенными. Для выполнения принудительного обновления выберите команду Refresh Now (Обновить) меню View (Вид) или нажмите клавишу <F5>.
В диспетчере задач можно задать разности скорости обновления показаний.

  • High (Высокая) — обновление проводится каждые полсекунды.
  • Normal (Обычная) — обновление выполняется каждую секунду.
  • Low (Низкая) — показания обновляются каждые 4 секунды.
  • Paused (Приостановить) —. автоматическое обновление не производится. Для запуска обновления нажмите клавишу <F5>.

Мониторинг производительности системы

Для отслеживания загрузки системы откройте вкладку Performance (Быстродействие) (рис. 7.3).
Для вывода на экран числового значения (в процентах) процессорного времени, в течение которого процессор работал в режиме ядра, выберите команду Show Kernel Times (Вывод времени ядра) в меню View (Вид). Данное значение равно периоду времени, в течение которого приложения пользовались сервисами операционной системы. Остальную часть времени процессор работал в режиме пользователя, выполняя потоки в режиме работы приложений.

Рис. 7.3. Вкладка Performance

Пользователи многопроцессорных систем могут выбрать команду CPU History (Загрузка ЦП) меню View, чтобы вывести график занятости для каждого процессора.

Мониторинг сети

На вкладке Networking (Сеть) можно в виде графика видеть объем информации, передаваемой компьютером по сети в каждый момент времени. Если на компьютере установлены несколько сетевых адаптеров, на вкладке Networking будет представлена общая кривая, показывающая объем трафика, передаваемого через все сетевые соединения компьютера (рис. 7.4).
Команда View | Network Adapter History (Вид | Журнал сетевого адаптера) позволяет отдельно отображать на графике число полученных (Bytes Received (Получено байт)) и/или отправленных байт (Bytes Sent (Отправлено байт)) для сетевого адаптера.

Рис. 7.4. Вкладка Networking в окне диспетчера задач

Просмотр списка зарегистрированных пользователей

На вкладке Users (Пользователи) отображаются имена всех пользователей, зарегистрированных в данный момент на компьютере локально или удаленно (при использовании возможностей служб терминалов). Рис. 7.5 иллюстрирует ситуацию, когда один пользователь (administrator) зарегистрирован локально, а другой (alex) — с удаленного компьютера NETDC1.
На вкладке Users (Пользователи) вы можете отключить "лишних" пользователей (кнопка Disconnect (Отключить)) или "разрегистрировать" их в системе (кнопка Logoff (Выйти из системы)). Для этого, однако, нужно иметь права администратора системы.

Рис. 7.5. Вкладка Users позволяет увидеть, кто зарегистрирован на компьютере

Просмотр системных событий

В операционных системах Windows событием называется любое значительное "происшествие" в работе системы или приложения, о котором следует уведомить пользователей. В случае возникновения критических событий, таких как переполнение диска сервера или неполадки с электропитанием, на экран монитора будет выведено соответствующее сообщение. Остальные события, которые не требуют немедленных действий от пользователя, регистрируются в системных журналах. Служба регистрации событий в системных журналах активизируется автоматически при каждом запуске системы Windows Server 2003.

Оснастка Event Viewer

В системе Windows Server 2003 для просмотра системных журналов можно использовать оснастку Event Viewer (Просмотр событий) (группа Administr-tive Tools (Администрирование) на панели управления). Эту оснастку можно также запустить из окна оснастки Computer Management (Управление компьютером). На рис. 7.6 показан пример окна оснастки Event Viewer для контроллера домена.

Рис. 7.6. Окно оснастки Event Viewer

Примечание

Оснастку Event Viewer можно также открыть с помощью команды Start | Programs | Administrative Tools | Event Viewer (Пуск | Программы | Администрирование | Просмотр событий).

С помощью оснастки Event Viewer можно просматривать три типа стандартных (основных) журналов.

  • Журнал приложений (Application log) — фиксирует события, зарегистрированные приложениями. Например, текстовый редактор может зарегистрировать в данном журнале ошибку при открытии файла.
  • Журнал системы (System log) — записывает события, которые регистрируются системными компонентами Windows Server 2003. Например, в системный журнал записываются такие события, как сбой в процессе загрузки драйвера или другого системного компонента при запуске системы.
  • Журнал безопасности (Security log) — содержит записи, связанные с системой безопасности. С помощью этого журнала можно отслеживать изменения в системе безопасности и идентифицировать бреши в защите. В данном журнале можно регистрировать попытки входа в систему. Для просмотра журнала необходимо иметь права администратора. По умолчанию регистрация событий в журнале безопасности отключена.

Примечание

Помимо стандартных, на компьютере — в первую очередь на контроллере домена — могут быть и другие журналы, создаваемые различными службами (например, Active Directory, DNS, File Replication Service и т. д.). Работа с такими журналами ничем не отличается от процедур просмотра стандартных журналов.

Примечание

Журнал системы безопасности может просматривать только пользователь с правами системного администратора. По умолчанию регистрация событий в данном журнале отключена. Для запуска регистрации необходимо установить политику аудита.

Типы событий

Ниже перечислены типы событий, регистрирующихся в журналах.

  • Error (Ошибка) — событие регистрируется в случае возникновения серьезного события (такого как потеря данных или функциональных возможностей). Событие данного типа будет зарегистрировано, если невозможно загрузить какой-либо из сервисов в ходе запуска системы.
  • Warning (Предупреждение) — событие не является серьезным, но может привести к возникновению проблем в будущем. Например, если недостаточно дискового пространства, то будет зарегистрировано предупреждение.
  • Information (Уведомление) — значимое событие, которое свидетельствует об успешном завершении операции приложением, драйвером или сервисом. Такое событие может, например, зарегистрировать успешно загрузившийся сетевой драйвер.
  • Success Audit (Аудит успехов) — событие, связанное с безопасностью системы. Примером такого события является успешная попытка регистрации пользователя в системе.
  • Failure Audit (Аудит отказов) — событие связано с безопасностью системы. Например, такое событие будет зарегистрировано, если попытка доступа пользователя к сетевому диску закончилась неудачей.

Параметры событий

Информация о событиях содержит следующие параметры:

Параметр | Описание
Туре (Тип) | Тип события
Date (Дата) | Дата генерации события
Time (Время) | Время регистрации события
Source (Источник) | Источник (имя программы, системного компонента или компонента приложения), который привел к регистрации события
Category (Категория) | Классификация события по источнику, вызвавшему его появление
Event ID (Событие) | Идентификатор события
User (Пользователь) | Учетная запись пользователя, от имени которой производились действия, вызвавшие генерацию события
Computer (Компьютер) | Компьютер, на котором зарегистрировано событие

Рис. 7.7. Дополнительная информация о событии

Для просмотра дополнительной информации о событии выберите в меню Action (Действие) пункт Properties (Свойства) (либо щелкните дважды кнопкой мыши на строке в списке событий). Появится окно, пример которого показан на рис. 7.7. На панели Description (Описание) приведена общая информация о событии. На панели Data (Данные) отображаются двоичные данные, которые могут быть представлены как Bytes (Байты) или как Words (Слова). Эти данные могут быть интерпретированы опытным программистом или техническим специалистом службы поддержки, знакомым с исходным кодом приложения.

Просмотр журналов

Сортировка событий

Для определения порядка сортировки событий в журнале щелкните заголовок того столбца, по которому следует отсортировать события. Для отмены установленного порядка сортировки щелкните данный заголовок еще раз.
Порядок сортировки по времени регистрации события можно установить с помощью меню View (Вид). Возможны два режима сортировки: Oldest First (От старых к новым) или Newest First (От новых к старым — опция по умолчанию).
При архивировании журнала порядок сортировки не сохраняется.

Обновление журналов

Выберите в окне оснастки на панели обзора журнал, который требуется обновить. Затем в меню Action (Действие) укажите пункт Refresh (Обновить).
Следует учитывать, что команда Refresh недоступна для архивированных журналов, поскольку данные файлы уже не могут быть обновлены.

Примечание

Когда вы открываете журнал, оснастка отображает текущую информацию журнала. Во время просмотра журнала информация не обновляется, если не делать это принудительно, по команде Refresh. Если журнал не отображается в текущем окне, то информация автоматически обновляется.

Поиск событий

Для поиска события в журнале в меню View (Вид) выберите команду Find (Найти). В открывшемся окне (которое аналогично окну фильтра, показанному на рис. 7.8) можно установить следующие параметры поиска: по типу события (Туре), по источнику события (Source), по категории (Category), коду события (Event ID), пользователю (User), компьютеру (Computer) или описанию (Description). Для начала поиска нажмите кнопку Find Next (Найти далее). Для восстановления критериев поиска по умолчанию нажмите кнопку Restore Defaults (Восстановить умолчания).

Создание нового вида журнала

Вы можете создать дополнительный вид какого-либо журнала, позволяющий просматривать, скажем, события с определенными параметрами. Для этого:
1. Откройте необходимый журнал и в меню Action (Действие) выберите пункт New Log View (Создать вид журнала).
2. Вызовите для нового журнала контекстное меню и выберите команду Rename (Переименовать).
3. Задайте нужный вид журнала (столбцы, фильтр, способ сортировки).

Примечание

Управление и настройка дополнительных журналов, добавленных в дерево консоли, производятся так же, как и журналов по умолчанию.

Просмотр событий на другом компьютере

Для просмотра событий на другом компьютере достаточно в окне оснастки Event Viewer подключиться к этому компьютеру:
1. В окне оснастки выберите корневой узел и в меню Action выполните команду Connect to another computer.
2. Укажите имя удаленного компьютера или найдите его в каталоге, нажав кнопку Browse (Обзор).
3. Нажмите кнопку ОК.

Фильтрация событий

Для фильтрации событий в некотором журнале выберите в меню View (Вид) пункт Filter (Фильтр). Появится окно, показанное на рис. 7.8. Ниже приведено описание параметров фильтрации в журнале.

Параметр | Описание
Information (Уведомления) | Значимые события, которые описывают успешные операции, выполненные сервисами. Например, сообщение об успешно запущенном сервисе
Warning (Предупреждения) | Событие не мешает работе системы, но может привести к появлению проблем в будущем. Запись такого типа может быть зарегистрирована в случае недостатка свободного места на диске
Error (Ошибки) | Регистрация такого события свидетельствует о появлении серьезных проблем. Например, такое событие может быть зарегистрировано, если не удалось запустить один из сервисов или системных компонентов
Success Audit (Аудит успехов) | События, связанные с безопасностью системы. Запись этого типа указывает на успешную попытку выполнения действий, связанных с системой безопасности
Failure Audit (Аудит отказов) | События, связанные с безопасностью системы. Указывают на неудачу при выполнении действий, связанных с системой безопасности
Event Source (Источник события) | Источник, вызвавший появление события. Источником может быть приложение или системный компонент
Category (Категория) | Категория события, которая установлена в источнике события
Event ID (Код события) | Идентификатор события — один из самых важных параметров
User (Пользователь) | Учетная запись пользователя, от имени которой проводились действия, вызвавшие регистрацию события в журнале
Computer (Компьютер) | Имя компьютера, на котором произошло событие
From (С) | Просмотр событий, которые произошли после указанной даты и времени. По умолчанию дата и время устанавливаются равными дате и времени регистрации первого события в журнале
To (По) | Просмотр событий, которые произошли до указанной даты и времени включительно. По умолчанию дата и время устанавливаются равными дате и времени регистрации последнего события

Рис. 7.8. Вкладка Filter в окне свойств журнала, на которой устанавливаются параметры фильтрации сообщений

Примечание

Для возврата к опциям, установленным по умолчанию, нажмите кнопку Restore Defaults (Восстановить умолчания). Для отмены фильтрации в меню View выберите пункт All Records (Все записи).

Настройка параметров журналов

Установка опций регистрации событий в журнале

Выбрав журнал и выполнив команду Properties (Свойства) меню Action (Действие), можно открыть окно свойств журнала (рис. 7.9). В этом окне задаются параметры регистрации событий.

Рис. 7.9. Окно для установки параметров регистрации событий

В поле Display name (Выводимое имя) указано текущее отображаемое название журнала, которое можно изменить. Поле Log name (Имя журнала) содержит путь к файлу журнала на диске компьютера.
Переключатель When maximum log size is reached (По достижении максимального размера журнала) служит для настройки способа ведения журнала регистрации событий:

  • выберите положение Overwrite events as needed (Затирать старые события по необходимости), если вы не собираетесь архивировать данный журнал;
  • если архивирование журнала производится с определенными интервалами, то выберите положение Overwrite events older than <...> days (Затирать события старее <...> дней) и укажите длительность интервала (в днях). При этом следует установить размер журнала (значение счетчика Maximum log size (Максимальный размер журнала)) достаточным для того, чтобы размер журнала в течение указанного периода не превысил установленное значение;
  • если вы хотите сохранить в журнале все зарегистрированные события, то выберите положение Do not overwrite events (clear log manually) (He затирать события (очистка журнала вручную)). При этом вам будет необходимо вручную удалять события из журнала. Следует иметь в виду, что когда размер журнала достигнет максимального установленного значения, новые события будут отбрасываться.

В случае необходимости восстановления параметров по умолчанию нажмите кнопку Restore Defaults (Восстановить умолчания). Для удаления событий из журнала нажмите кнопку Clear Log (Очистить журнал).
После установки всех параметров нажмите кнопку ОК.

Архивирование журналов

Для архивирования журнала:
1. На панели структуры выберите журнал, который вы будете архивировать.
2. В меню Action (Действие) выберите команду Save Log File As (Сохранить файл журнала как).
3. В открывшемся окне в поле File name (Имя файла) введите имя файла, в котором будет заархивирован журнал.
4. В поле Save as type (Тип файла) выберите формат (файл с расширением evt, обычный текстовых файл или файл в формате CSV).

Примечание

При архивировании журнала целиком сохраняется все его содержание, независимо от опций фильтрации. Журналы, которые сохраняются как файлы с расширением evt, сохраняют двоичные данные для всех событий. Журналы, которые сохраняются как текстовые файлы с расширениями txt или csv, не содержат двоичных данных.

Для того чтобы открыть заархивированный журнал:
1. В меню Action (Действие) выберите пункт Open Log File (Открыть файл журнала).
2. В окне обзора перейдите в нужный каталог, выберите тип файла (поле Files of type) и тип журнала (поле Log Type).
3. В поле File name (Имя файла) можно вручную ввести имя открываемого файла.
4. В поле Display Name (Выводимое имя) введите имя журнала, которое будет отображено в окне консоли.
5. Нажмите кнопку ОК.
В оснастке Event Viewer можно просматривать архивированный журнал только в том случае, если он сохранен в формате файла журнала EVT.

Мониторинг производительности компьютера

Далее будут описываться средства Windows Server 2003, позволяющие вести длительные наблюдение за работой компьютера и регистрировать многочисленные параметры с журналах производительности.

Оснастка Performance

Для запуска оснастки Performance (Производительность) откройте на панели управления папку Administrative Tools (Администрирование) и выберите значок Performance. Другой способ запуска — с помощью команды Start | All Programs | Administrative Tools | Performance.
Оснастка Performance на самом деле представляет собой два инструмента:

  • собственно Системный монитор — System Monitor Control, реализованный в виде элемента управления ActiveX (в оснастках все элементы управления подключаются как ActiveX Control);
  • Performance Logs and Alerts (Оповещения и журналы производительности) — автономная оснастка для просмотра файлов журналов производительности.

Системный монитор (System Monitor)

С помощью системного монитора можно измерять производительность локального компьютера или других компьютеров в сети:

  • собирать и просматривать данные текущей производительности системы на локальном компьютере или на нескольких удаленных компьютерах;
  • просматривать текущие данные или данные, собранные ранее с помощью оснастки Performance Logs and Alerts;
  • представлять данные в виде графика, гистограммы или отчета, которые можно вывести на печать;
  • внедрять возможности System Monitor в документы Microsoft Word или другие приложения пакета Microsoft Office с помощью автоматизации OLE;
  • создавать HTML-страницы для просмотра производительности;
  • создавать конфигурации мониторинга, допускающие повторное использование, которые можно инсталлировать на других компьютерах с помощью Microsoft Management Console.

Объекты и счетчики производительности

Система Windows Server 2003 получает информацию о производительности от компонентов компьютера. Системные компоненты в ходе своей работы генерируют данные о производительности. Такие компоненты называются объектами производительности.
В операционной системе имеется ряд объектов производительности, обычно соответствующих главным аппаратным компонентам, таким как память, процессоры и т. д. Приложения могут также инсталлировать свои объекты производительности.
Каждый объект производительности предоставляет счетчики, которые собирают данные производительности. Например, счетчик Pages/sec (Обмен страниц/сек) объекта Memory (Память) отслеживает степень кэширования страниц.
Ниже перечислены объекты, которые наиболее часто используются для отслеживания работы системных компонентов:

  • Cache (Кэш)
  • Process (Процесс)
  • LogicalDisk (Логический диск)
  • Processor (Процессор)
  • Objects (Объекты)
  • System (Система)
  • Memory (Память)
  • Paging File (Файл подкачки)
  • Thread (Поток)
  • PhysicalDisk (Физический диск)

Внимание
В системах Windows Server 2003 по умолчанию включены оба объекта: LogicalDisk и PhysicalDisk. В Windows 2000 объект LogicalDisk по умолчанию выключен, и чтобы включить счетчики для мониторинга логических дисков или томов нужно в консоли выполнить команду diskperf -yv и перезагрузить систему.

Для просмотра пояснений о том, какие данные предоставляет конкретней счетчик, нажмите кнопку Explain (Объяснение) в диалоговом окне Add Counters (Добавить счетчики) (рис. 7.10).

Рис. 7.10. Диалоговое окно, в котором можно выбрать счетчики и экземпляры объектов для мониторинга

Некоторые объекты (такие как Memory и Server) имеют только один экземпляр, в то время как другие объекты производительности могут иметь множество экземпляров. Если объект имеет множество экземпляров, то вы можете добавить счетчики для отслеживания статистики по каждому экземпляру или для всех экземпляров одновременно.
Например, если в системе установлено несколько процессоров, то объект Processor будет иметь множество экземпляров. Более того, если объект поддерживает множество экземпляров, то при объединении экземпляров в группу появятся родительский экземпляр и дочерние экземпляры, которые будут принадлежать данному родительскому экземпляру.

Настройка счетчиков

При запуске оснастки Performance в окне системного монитора (узел System Monitor) по умолчанию настроены три счетчика, позволяющие быстро оценить загрузку системы: Pages/sec (Обмен страниц/сек) (объект Memory (Память)), Avg. Disk Queue Length (Средняя длина очереди диска) (объект PhisicalDisk (Физический диск)) и % Processor Time (% загруженности процессора) (объект Processor (Процессор). Для добавления других счетчиков выполните следующие действия:
1. В панели результатов (правом окне оснастки) щелкните правой кнопкой мыши и выберите в контекстном меню команду Add Counters (Добавить счетчики). Альтернативный вариант — нажать кнопку Add (Добавить) на панели инструментов.
2. В открывшемся окне (см. рис. 7.10) выберите переключатель Use local computer counters (Использовать локальные счетчики) для мониторинга компьютера, на котором запущена консоль мониторинга. Если вы собираетесь проводить мониторинг определенного компьютера независимо от того, где запущена консоль мониторинга, выберите переключатель Select counters from computer (Выбрать счетчики с компьютера) и укажите имя компьютера (по умолчанию установлено имя локального компьютера).
3. В списке Performance object (Объект) выберите объект для мониторинга.
4. В списке под переключателем Select counters from list (Выбрать счетчики из списка) укажите счетчик, который вы собираетесь использовать.
5. Для мониторинга всех выбранных экземпляров выберите переключатель All instances (Все вхождения). Для мониторинга только определенных экземпляров установите переключатель Select instances from list (Выбрать вхождения из списка) и выберите экземпляры, которые вы собираетесь отслеживать.
6. Нажмите кнопку Add (Добавить). Можно повторить пп. 3—6 для других объектов. Когда все счетчики будут добавлены, нажмите кнопку Close (Закрыть).
На рис. 7.11 приведен пример окна оснастки с диаграммами, представляющими изменение значений некоторых выбранных счетчиков.

Примечание

Если у вас нет соответствующих разрешений на мониторинг компьютера, то появится сообщение об ошибке. Счетчик будет указан на гистограмме, но данные не будут выводиться.
В случае отсутствия на экране счетчика, который вы собираетесь отслеживать, возможно, что сервис или элемент, который является объектом счетчика, не инсталлирован или не активизирован на данном компьютере, и вам следует прежде добавить этот сервис.

Рис. 7.11. Окно системного монитора с активизированными счетчиками

Вы можете поместить элемент управления System Monitor в документ Microsoft Word. Для этого:
1. Откройте документ Word и установите курсор в место предполагаемого размещения элемента управления.
2. В меню Вид выберите пункт Панели инструментов | Элементы управления (Toolbars | Control Toolbox).
3. На панели Элементы управления нажмите кнопку Другие элементы (More Controls) и выберите в списке опцию System Monitor Control.
4. График System Monitor будет вставлен в указанное место в документе. В данный момент элемент находится в режиме конструктора, поэтому вы можете работать с ним в редакторе Visual Basic.
5. Для изменения установок или добавления счетчиков нажмите кнопку Выход из режима конструктора (Exit Design Mode).
6. Для добавления счетчиков на график щелкните на нем правой кнопкой мыши и выберите пункт Add Counters (Добавить счетчики) контекстного меню.

Настройка способов представления информации

Компонент System Monitor предоставляет три средства просмотра информации о производительности системы: два графических (Graph (График) и Histogram (Гистограмма)) и одно текстовое (Report (Отчет)). Для настройки внешнего вида окна мониторинга щелкните график правой кнопкой мыши и выберите пункт Properties (Свойства) контекстного меню. В появляющемся окне (рис. 7.12) для графика и гистограммы можно задать ряд дополнительных параметров отображения:

  • название графика или гистограммы и осей координат;
  • диапазон выводимых значений;
  • характеристики кривой на графике или столбцов на гистограмме, такие как цвет, толщина, стиль и др.

Рис. 7.12. Окно настройки опций внешнего вида системного монитора

На вкладке General (Общие) можно указать требуемый вид средства мониторинга. По умолчанию выбрана опция Graph. Можно также отображать данные о производительности в виде гистограммы или отчета.

Использование системного монитора

При проведении мониторинга системы необходимо принимать во внимание несколько полезных правил, которые позволят вам наиболее эффективно использовать ресурсы системы.

  • Определите конфигурацию средств мониторинга. Для отслеживания производительности системы Windows Server 2003 вы можете оперативно просматривать данные в виде диаграммы с помощью системного монитора или собирать данные в журналы оснастки Performance Logs and Alerts (Журналы и оповещения производительности) для просмотра и анализа в других приложениях. Сконфигурируйте оснастку Performance Logs and Alerts для сбора данных от выбранных счетчиков с определенными интервалами. Полученные журналы данных можно использовать для создания отчетов и анализа общей производительности системы, а также планирования последующей модернизации.
  • Поддерживайте ресурсы, требуемые для мониторинга, на низком уровне. Инструменты мониторинга сконфигурированы для потребления минимального количества ресурсов. Однако в ряде случаев требуется предпринять дополнительные меры для их снижения. Представление данных производительности в окне системного монитора в виде диаграммы, частая выборка данных, большое количество отслеживаемых объектов и счетчиков — все это увеличивает количество ресурсов, расходуемых на мониторинг производительности.
  • Анализ данных производительности и определение базового уровня производительности. Как правило, полезно определить базовый уровень производительности для типичной нагрузки. Это можно сделать путем вывода данных в графическом виде в окне системного монитора.
  • Установка оповещений. Установите генерацию оповещений, когда значения счетчиков будут превосходить приемлемые значения.
  • Настройка производительности. Используя данные по производительности, проводите настройку системных установок для оптимальной обработки нагрузки системы.
  • Планирование. Проводите мониторинг тенденций изменения нагрузки сервера и необходимости проведения модернизации аппаратной части системы.

Выбор метода мониторинга

Для текущего мониторинга работы системы в режиме реального времени локального или удаленного компьютера удобно использовать графики. Журналы оснастки Performance Logs and Alerts полезны для регистрации записей. Зарегистрированные данные могут быть использованы потом для создания отчетов и представлены в виде графиков или гистограмм с помощью системного монитора.

Выбор частоты регистрации

При выборе частоты и длительности регистрации данных следует соблюдать осторожность, поскольку частое обновление данных приводит к генерации очень большого объема данных, с которыми будет затруднительно работать. Это также может привести к увеличению издержек производительности на работу оснастки Performance Logs and Alerts.
В общем случае частота обновления данных зависит от длительности интервала регистрации. Если интервал регистрации составляет 4 часа, то обновление рекомендуется установить каждые 15 секунд. Для 8-часового интервала регистрации выберите период обновления не меньше 300 секунд (5 минут). В общем случае для постоянного мониторинга интервал устанавливается равным 15 минутам.

Выбор счетчиков для мониторинга

Мониторинг надо начинать с отслеживания следующих четырех компонентов в указанном порядке:

  • память;
  • процессоры;
  • диски;
  • сеть.

В табл. 7.2 указан минимальный набор счетчиков, которые следует использовать для мониторинга сервера. В процессе работы вы сможете добавить дополнительные счетчики для интересующих вас объектов производительности.

Таблица 7.2. Минимальный набор счетчиков, необходимых для мониторинга сервера

Компонент | Исследуемый параметр | Счетчики
Память | Степень использования Узкие места | Memory\Available Bytes (Доступно байт) Memory\Cache Bytes (Байт кэш-памяти) Memory\Pages/sec (Обмен страниц/сек) Memory\Page Reads/sec (Чтение страниц/сек) Memory\Transition Faults/sec (Ошибок транзита/сек) Memory\Pool Paged Bytes (Байт в выгружаемом страничном пуле) Memory\Pool Nonpaged Bytes (Байт в невыгружаемом страничном пуле) Также полезны счетчики: Paging File\% Usage (все вхождения) (Файл подкачки использования) Cache\Data Map Hits % (Кэш\% попаданий при отображении данных)
Процессор | Степень использования Узкие места | Processor\% Processor Time (все вхождения) (Загруженность процессора) Processor\lnterrupts/sec (Прерываний/сек) System\Processor Queue Length (все вхождения) (Система\Длина очереди процессора) SysterrAContext switches/sec (Система\Контекстных переключений/сек)
Диск | Степень использования Узкие места | Physical DiskMDisk Reads/sec (Обращений чтения с диска/сек) Physical Disk\Disk Writes/sec (Обращений записи на диск/сек) LogicalDisk\% Free Space (Свободное место) Physical Disk\Avg. Disk Queue Length (все вхождения) (Средняя длина очереди диска)
Сетевой интерфейс | Степень использования Производительность | Network Segment\%Net Utilisation (% использования сети) Счетчики передачи по протоколам: Network InterfaceNBytes total/sec (Всего байт/сек) Network lnterface\Packets/sec (Пакетов/сек) Server\Bytes Total/sec или ServeABytes Sent/sec и ServeABytes Received/sec (Послано байт/сек и Получено байт/сек)

Выбор способа сбора данных с разных компьютеров

При проведении мониторинга удаленных компьютеров возможны несколько вариантов сбора данных. Например, можно запустить оснастку Performance Logs and Alerts на административном компьютере и отображать данные со всех удаленных компьютеров. Либо можно запустить сервис сбора данных на каждом компьютере и с регулярными интервалами запускать пакетную программу для передачи данных на компьютер администратора с целью последующего анализа и архивирования.
Централизованный сбор данных (сбор данных со всех удаленных компьютеров на локальном компьютере) легче всего реализуется. Сбор данных со всего множества систем можно вести в один файл журнала, однако при этом увеличивается сетевой трафик и требуется больший объем памяти на компьютере администратора.
Распределенный сбор данных (т. е. сбор данных, проводимый на каждом отслеживаемом компьютере) не приводит к увеличению трафика и не требует дополнительной памяти на компьютере администратора. Однако при этом передача данных на компьютер администратора будет производиться с определенной задержкой.

Анализ показателей производительности

Анализ результатов мониторинга включает в себя проверку показаний счетчиков, фиксируемых во время выполнения системой различных операций. В ходе этого процесса вам следует определить наиболее активные процессы, а также выявить программы или потоки, которые монопольно используют какие-либо ресурсы. В результате вы должны выяснить, как ваша система справляется с рабочей нагрузкой.
В ходе такого анализа вы должны определить уровень производительности системы, когда обрабатывается типичная нагрузка и запущены все необходимые сервисы, который называется базовым уровнем (baseline). Базовый стандарт определяется администратором, исходя из рабочей нагрузки. Этот уровень определяется на основе показаний ряда счетчиков производительности и соответствует состоянию системы, когда она удовлетворительно обрабатывает все запросы пользователей.

Хранение данных производительности

С помощью оснастки Performance Logs and Alerts данные о производительности компьютера можно также сохранять в базе данных SQL. Такой способ хранения позволяет делать выборки из базы данных и включать эти данные в отчеты. Кроме того, с помощью аналитических инструментов базы данных информацию о производительности можно изучать и анализировать по целому ряду параметров, а также составлять прогнозы по дальнейшему изменению загрузки компьютера.

Определение приемлемых показаний счетчиков

В целом определение приемлемого уровня производительности представляет собой довольно субъективное решение. Однако в приведенной ниже табл. 7.3 указаны предельные значения для ряда счетчиков, которые помогут вам определить, свидетельствуют ли показания счетчиков о появлении проблемы. Если показания счетчиков устойчиво сохраняются на предельном уровне, то есть все основания говорить о наличии в системе узкого места, и следует предпринять меры для настройки или модернизации загруженного ресурса.

Таблица 7.3. Предельные показания счетчиков

Объект\счетчик | Предельный уровень | Комментарий
Диск
Physical Disk\% Disk Time (% активности диска) | 90 | Проверьте значение счетчика Physical Disk\Current Disk Queue Length (Текущая длина очереди диска)
Physical Disk \Disk Reads/sec, Physical Disk\Disk Writes/sec | Зависит от спецификаций производителя | Проверьте указанную скорость передачи для ваших дисков, чтобы определить, не превышают ли показания счетчика указанное производителем значение. В общем случае диски Ultra Wide SCSI могут обрабатывать до 50 операций I/O в секунду
Physical Disk\Current Disk Queue Length | Число шпинделей, образующих физический диск (это значение превышает единицу для RAID-массивов) плюс 2 | Данный счетчик является мгновенным. Проверку показаний счетчика следует проводить в течение нескольких интервалов времени. Для получения среднего значения используйте показания счетчика Physical DiskVAvg. Disk Queue Length
Память
Memory \Available Bytes | Менее 4 Мбайт | Проверяйте степень использования памяти. При необходимости увеличьте объем памяти
Memory\Pages/sec | 20 | Проверяйте активность кэширования
Сеть
Network Segment \% Net Utilization | Зависит от типа сети | Предельный уровень определяется на основе типа сети. Для сетей Ethernet рекомендованным значением является уровень в 30%
Файл подкачки
Paging File \% Usage | 99 | Сравните показания этого счетчика в сочетании с показаниями счетчиков Available Bytes и Pages/sec для оценки активности кэширования на вашем компьютере
Процессор
Processor \% Processor Time | 85 | Определите процесс, который использует большую часть процессорного времени. В случае необходимости установите дополнительный процессор или модернизируйте имеющийся
Processor \lnterrupts/sec | Зависит от процессора | Серьезное увеличение показаний данного счетчика без соответствующего увеличения системной активности указывает на аппаратную проблему
Сервер
Server \Bytes Total/sec |  | Если сумма показаний всех значений счетчиков Bytes Total/sec для всех серверов приблизительно равна максимальной пропускной способности вашей сети, то вам, возможно, необходимо сегментировать сеть
Server\Work Item Shortages (Нехваток рабочих элементов) | 3 | Если показания счетчика достигают предельного значения, то попробуйте настроить значения initWorkltems ИЛИ MaxWorkltems В реестре (HKEY LOCAL MACHINE\SYSTEM \CurrentControlSet\Services \LanmanServer)
Server\Pool Paged Peak (Выгружаемый пул (пик)) | Объем физической памяти (ОЗУ) | Данное значение является индикатором максимального размера файла подкачки и объема физической памяти
Server Work Queues \Queue Length (Рабочие очереди сервера\Длина очереди) | 4 | Если показания счетчика достигают максимального значения, то возможно превращение процессора в узкое место. Данный счетчик является мгновенным, его показания следует отслеживать в течение нескольких интервалов времени
Многопроцессорные системы
System\Processor Queue Length (Длина очереди процессора) | 2 | Данный счетчик является мгновенным, его показания следует отслеживать в течение нескольких интервалов времени

Оснастка Performance Logs and Alerts

С помощью оснастки Performance Logs and Alerts (Журналы и оповещения производительности) можно собирать данные о производительности с локальных или удаленных компьютеров. Собранные данные просматриваются в графическом виде с помощью системного монитора или экспортируются в электронные таблицы или базы данных для последующего анализа и создания отчетов.
Возможности оснастки Performance Logs and Alerts перечислены ниже.

  • При сохранении в текстовом формате данные разделяются запятыми или символами табуляции для облегчения последующего экспорта в электронные таблицы. Также данные можно сохранять в двоичном формате для непрерывной регистрации с перезаписью или регистрации объектов, таких как потоки или процессы, которые могут быть запущены после начала сбора данных.
  • Собранные данные можно записывать непосредственно в базу данных SQL. (Эта возможность появилась только в Windows XP.) Такой формат удобен в корпоративных сетях.
  • Данные, собранные при помощи оснастки Performance Logs and Alerts, можно просматривать как в процессе их сбора, так и после его окончания.
  • Поскольку регистрация запущена как сервис, сбор данных происходит независимо от наличия зарегистрированных пользователей на компьютере.
  • Конфигурирование непрерывной регистрации протекает более гибко: пользователи могут определять время запуска и окончания регистрации, имена файлов, размеры файлов и другие параметры для автоматической регистрации в журналах.
  • Можно устанавливать генерацию оповещений для счетчиков. В этом случае при превышении счетчиком (или снижении ниже) заданного значения может быть отправлено сообщение, запущена программа или открыт журнал данных.
  • Из одного окна консоли можно управлять многочисленными сеансами регистрации.

Компоненты оснастки

Оснастка Performance Logs and Alerts (рис. 7.13) содержит три компонента, описанных ниже.

  • Counter Logs (Журналы счетчиков). Журналы счетчиков получают данные от выбранных счетчиков по истечении определенного интервала.
  • Trace Logs (Журналы трассировки). Системный или другой поставщик данных в журналах трассировки (trace logs) фиксирует результаты выполнения определенных операций, таких как операции ввода/вывода, или возникновение ошибки диска. При возникновении данного события поставщик отправляет данные сервису Оповещения и журналы производительности. В отличие от журналов счетчиков, журналы трассировки находятся в ожидании определенных событий. Для интерпретации содержимого журнала трассировки необходимо использовать анализатор.

Рис. 7.13. Окно оснастки Performance Logs and Alerts

  • Alerts (Оповещения). Этот узел позволяет установить оповещения для выбранных счетчиков. При превышении (или снижении ниже) заданного значения выбранными счетчиками оснастка посредством сервиса Messenger оповещает пользователя.

В окне оснастки обратите внимание на кнопки запуска и останова журналов на панели инструментов, с помощью которых легко можно управлять работой разных журналов.
Продемонстрируем способы применения оснастки Performance Logs and Alerts на примерах.

Создание нового журнала счетчиков

Сначала рассмотрим, как создать новый журнал счетчиков.
1. Запустите оснастку Performance (Производительность) и откройте узел Performance Logs and Alerts (Журналы и оповещения производительности).
2. Выберите узел Counter Logs (Журналы счетчиков), щелкните правой кнопкой мыши в панели результатов и в контекстном меню выберите пункт New Log Settings (Новые параметры журнала). Вы можете также загрузить параметры журнала с веб-страницы с помощью команды New Log Settings From (Новые параметры журнала из).
3. В открывшемся окне введите произвольное имя журнала в поле Name (Имя) и нажмите кнопку ОК.
4. На вкладке General (Общие) (рис. 7.14) нажмите кнопку Add Objects (Добавить объекты) для добавления объектов производительности. В окне Add Objects (Добавить объекты) можно выделить одновременно несколько счетчиков, удерживая нажатой клавишу <Ctrl>. Затем нажмите кнопки Add (Добавить) и Close (Закрыть).
5. Для того чтобы добавить отдельные счетчики для объектов производительности, нажмите кнопку Add Counters (Добавить счетчики). В открывшемся окне выберите объект производительности и необходимые счетчики (операция аналогична добавлению счетчиков в системном мониторе) и затем нажмите кнопки Add и Close.

Примечание

Обратите внимание, что при выборе объектов в окне Add Objects автоматически включаются все счетчики, доступные для данного объекта. Окно Add Counters позволяет включить только отдельные счетчики для выбранного объекта.

Рис. 7.14. Установка параметров нового журнала счетчиков

6. На вкладке Log Files (Файлы журнала) можно выбрать тип журнала (текстовый или двоичный файл). Возможны следующие варианты:

  • Text File (Comma delimited) (Текстовый файл (разделитель — запятая)). Текстовый формат журнала, в котором данные сохраняются с использованием запятой в качестве разделителя;
  • Text File (Tab delimited) (Текстовый файл (разделитель — табуляция)). Текстовый формат журнала, в качестве разделителя используется символ табуляции;
  • Binary File (Двоичный файл). Двоичный последовательный формат журнала с расширением big. Данный формат следует использовать в том случае, если нужно зафиксировать данные, которые поступают по частям, и если регистрация данных останавливается и возобновляется после запуска журнала. В текстовых журналах невозможно сохранить экземпляры, которые не сохраняются постоянно в ходе работы журнала;
  • Binary Circular File (Двоичный циклический файл). Двоичный циклический формат журнала, в котором регистрация данных происходит с перезаписью (big);
  • SQL Database (База данных SQL). Имя базы данных SQL и набора журналов внутри базы, куда будут записываться данные производительности. Данный формат записи используется для сбора данных производительности на корпоративных серверах (например, при наличии ряда серверов, объединенных в кластер).

Примечание

Экспортированные данные из текстовых файлов журналов могут быть использованы в различных приложениях, например, в электронных таблицах или базах данных.

7. Для изменения названия (File name (Файл)) и местоположения создаваемого файла журнала (Location (Размещение)) нажмите кнопку Configure (Настроить) на вкладке Log Files. По умолчанию все журналы производительности сохраняются в каталоге \PerfLogs на системном диске.
8. Если указанная вами папка не существует, то будет выведено диалоговое окно с предложением о ее создании. Нажмите кнопку ОК.
9. В окне Configure Log Files (Настройка файлов журналов) можно также ограничить размер журнала (переключатель Limit of (He более)) или установить неограниченный размер журнала (переключатель Maximum limit (Максимально возможный)). В последнем случае размер журнала будет ограничиваться только свободным пространством на диске. После установки всех необходимых параметров нажмите кнопку ОК.
10. Установить расписание запуска и остановки регистрации данных в журнале можно на вкладке Schedule (Расписание) — панели Start log (Запуск журнала) и Stop log (Остановка журнала).
11. На вкладке Schedule можно также определить действия, которые произойдут после закрытия файла журнала: открыть новый файл журнала (флажок Start a new log file (Начать новый файл журнала)) или выполнить после закрытия журнала команду (флажок Run this command (Выполнить команду)). Для выполнения команды введите в поле Run this command путь к исполняемому файлу.
12. После установки расписания запуска нажмите кнопку ОК.
Чтобы просмотреть данные сохраненного журнала счетчиков (после его работы), в окне свойств системного монитора перейдите на вкладку Source (Источник) и нажмите кнопку Add. Вы сможете выбрать любой имеющийся файл журнала, имя которого будет отображаться в окне Log files.

Создание нового журнала трассировки

Для создания журнала трассировки выполните процедуру, аналогичную изложенной выше.
1. В окне оснастки Performance Logs and Alerts выберите узел Trace Logs (Журналы трассировки).
2. Щелкните в панели результатов правой кнопкой мыши и выберите команду New Log Settings (Новые параметры журнала).
3. В появившемся окне введите имя журнала в поле Name (Имя) и нажмите кнопку ОК.
4. По умолчанию файл журнала создается в папке \PerfLogs в корневом каталоге и к имени журнала присоединяется серийный номер.
5. На вкладке General (Общие) будет указано полное имя созданного журнала (Current log file name (Текущий файл журнала)).
6. На этой же вкладке вы можете выбрать события, которые будут регистрироваться системным провайдером (Events logged by system provider (События, протоколируемые системным поставщиком)), или указать другого провайдера (поле Nonsystem providers (Несистемные провайдеры)). Кнопка Provider Status (Состояние поставщиков) открывает список инсталлированных провайдеров и их состояний (активное/неактивное). Опция Nonsystem providers выбрана по умолчанию для минимизации издержек на трассировку.
7. Если вы выбрали системный провайдер (переключатель Events logged by system provider), для мониторинга процессов, потоков и другой активности будет использоваться провайдер-трассировщик ядра Windows.
8. В поле Nonsystem providers вы можете выбрать другие провайдеры (кнопка Add (Добавить) или Remove (Удалить)).
9. На вкладке Log Files (Файлы журнала) можно выбрать один из следующих типов ведения журнала:

  • Circular Trace File (Файл циклической трассировки) — журнал циклической трассировки, с перезаписью событий (расширение etl);
  • Sequential Trace File (Файл последовательной трассировки) — журнал последовательной трассировки (расширение etl). Данные будут записываться в журнал, пока он не достигнет максимального размера. Затем журнал закроется и будет создан новый журнал.

10. На вкладке Schedule (Расписание) устанавливается режим запуска журнала и действия, которые произойдут после его остановки (см. выше процедуру создания журнала счетчиков).
11. Для указания размеров буферов журнала трассировки откройте вкладку Advanced (Дополнительно).
12. В поле Buffer size (Размер буфера) укажите размер буфера журнала трассировки в килобайтах, который требуется использовать для накопления данных трассировки.
13. В полях Number of buffers: Minimum и Maximum (Число буферов: Минимум и Максимум) следует указать минимальное и максимальное число буферов, в которых будут храниться данные трассировки.
14. По умолчанию данные передаются в журнал, когда буферы трассировки заполнены. Если данные трассировки следует записывать в журнал чаще, установите длительность интервала между передачами данных (переключатель Transfer data from buffers to log file at least every (Перемещать данные из буферов в журнал не реже, чем каждые)) (в секундах).

Создание нового оповещения

Для создания оповещения выполните следующие действия:
1. В окне оснастки Performance Logs and Alerts выберите узел Alerts (Оповещения).
2. Щелкните правой кнопкой мыши в панели сведений и выберите команду New Alert Settings (Новые параметры оповещений).
3. В открывшемся окне введите имя оповещения (поле Name (Имя)) и нажмите кнопку ОК.
4. На вкладке General (Общие) можно задать комментарий для оповещения (поле Comment). Для того чтобы выбрать счетчики, нажмите кнопку Add (Добавить). В открывшемся окне вы должны выбрать объект производительности и счетчики для снятия показаний.
5. В полях Alert when the value is (Оповещать, когда значение) и Limit (Порог) нужно выбрать предельные значения для указанных счетчиков. Частота регистрации (выборки значений) определяется в поле Sample data every (Снимать показания каждые).
6. На вкладке Action (Действие) можно выбрать действие, которое будет происходить при запуске оповещения: Log an entry in the application event log (Сделать запись в журнале событий приложений), Send a network message to (Послать сетевое сообщение), Start performance data log (Запустить журнал производительности), Run this program (Запустить программу). После установки необходимых параметров нажмите кнопку ОК.
7. Параметры запуска сервиса оповещений можно установить на вкладке Schedule (Расписание) (переключатели Start scan (Запуск наблюдения) и Stop scan (Остановка наблюдения)).

Примечание

Состояние журнала можно определить по его цвету. Если значрк журнала красного цвета, то регистрация остановлена. Если значок журнала зеленого цвета — регистрация (или сканирование) запущена.


Работа с дисковыми ресурсами

  • Работа с дисковыми ресурсами
  • Оснастка Disk Management
    • Работа с динамическими дисками
      • Преобразование базового диска в динамический
      • Расширение простых томов
      • Создание зеркального тома
  • Дефрагментация дисков
  • Управление общими дисковыми ресурсами
    • Программа Windows Explorer
    • Оснастка Shared Folders
  • Теневое копирование томов
  • Автономные файлы
    • Настройка компьютера для работы с автономными папками
    • Выбор файлов для автономной работы
    • Настройка реакции автономных файлов на потерю сетевого соединения
    • Синхронизация информации автономных папок и общего ресурса
  • Распределенная файловая система DFS
    • Достоинства DFS
    • Применение DFS
    • Базовые понятия DFS
    • Управление DFS
      • Создание корня DFS
      • Создание ссылок DFS
      • Добавление реплик к логическому имени (ссылке) DFS
      • Управление репликацией DFS
    • Взаимозаменяемость альтернативных общих ресурсов
      • Отказ компьютера
      • Отказ жесткого диска
    • Безопасность DFS
      • Списки управления доступом

Работа с дисковыми ресурсами

В этой главе рассматриваются основные средства управления дисковыми ресурсами Windows Server 2003 и типовые операции, выполняемые с помощью административных инструментов, имеющих графический пользовательский интерфейс (GUI).
В системах Windows XP и Windows Server 2003 для управления дисками и файловыми системами можно также использовать новые утилиты командной строки — DiskPart и Fsutil соответственно. Кроме того, имеется утилита Defrag для дефрагментации дисков. Эти утилиты рассматриваться не будут, поскольку они практически дублируют возможности GUI-инструментов, а информацию об их конкретных параметрах (ключах) легко можно получить в справочной системе.
Кроме того, в главе описываются дополнительные службы и функции, позволяющие организовать эффективное использование файлового сервера: теневое копирование томов, автономные файлы и распределенная файловая система DFS.

Примечание

Служба Remote Storage (Внешние хранилища), позволяющая расширить дисковое пространство сервера за счет автоматического копирования редко используемых файлов на внешние носители (например, на магнитную ленту), не входит в состав Windows Server 2003, Standard Edition, и поэтому в этой книге не рассматривается.

Оснастка Disk Management

В Windows Server 2003 основным средством для работы с логическими томами является оснастка Disk Management (diskmgmt.msc), появившаяся уже в Windows 2000 и выполняющая те же функции, что и утилита Disk Administrator (Администратор дисков) в Windows NT. Пример окна оснастки Disk Management (Управление дисками) приведен на рис. 8.1.

Рис. 8.1. Окно оснастки Disk Management

На рис. 8.1 обратите внимание на цветовые выделения разделов и логических дисков. (Конечно, на черно-белом рисунке цвета разобрать невозможно, однако вы можете ориентироваться на названия дисков и комментарии, помещенные ниже в скобках; кроме того, вы может запустить эту оснастку на своем компьютере и найти аналогичные элементы интерфейса.)

  • Темно-синим помечаются основные разделы ("SYSTEM DISK", С:).
  • Синим обозначены логические диски (с "My Data (E:)" по "TEMP (К:)").
  • Свободное пространство (free space) на диске имеет светло-зеленый цвет.
  • Все логические диски, как и свободное пространство, в этом примере располагаются в дополнительном (extended) разделе; они обведены рамкой зеленого цвета.

Все эти цвета являются конфигурируемыми: если выполнить команду View | Settings (Вид | Параметры), то в окне Settings на вкладке Appearance (Оформление) можно увидеть все назначения цветов и изменить их. В табл. 8.1 перечислены цвета, выбранные по умолчанию для различных областей дисков.

Таблица 8.1. Области дисков в окне оснастки Disk Management и соответствующие им цвета

Область диска | Цвет по умолчанию
Unallocated (He распределен) | Black (Черный)
Primary partition (Основной раздел) | Dark Blue (Темно-синий)
Extended partition (Дополнительный раздел) | Green (Зеленый)
Free space (Свободно) | Light Green (Светло-зеленый)
Logical drive (Логический диск) | Blue (Синий)
Simple volume (Простой том) | Olive (Оливковый)
Spanned volume (Составной том) | Purple (Сиреневый)
Striped volume (Чередующийся том) | Cadet Blue (Темно-серый)
Mirrored volume (Зеркальный том) | Brick (Кирпичный)
RAID-5 volume (Том RAID-5) | Cyan (Голубой)

Оснастку Disk Management характеризуют перечисленные ниже качества.

  • Поддержка разделов и логических дисков Windows NT 4.0, базовых и динамических дисков Windows 2000/XP и Windows Server 2003. Используя динамические диски, можно избавиться от ограничений, связанных с количеством основных разделов на одном диске (4 основных или 3 основных и один дополнительный). В системах Windows Server 2003 обеспечивается поддержка MBR- и ОРТ-дисков.
  • Управление дисковой системой в реальном времени. Административные функции выполняются без отключения сервера и прерывания работы пользователей. Например, можно создать, расширить том или установить его зеркальное отображение без перезагрузки системы. Большинство изменений, выполняемых при конфигурировании дисковой системы, начинает действовать незамедлительно.
  • Удаленное и локальное управление дисковой системой. При наличии прав администратора можно управлять любым удаленным компьютером, на котором работает Windows NT 4.0, Windows 2000/XP или Windows Server 2003.
  • Понятный и простой в работе интерфейс пользователя. С помощью контекстных меню вы всегда можете узнать, какие задачи может выполнить оснастка в отношении некоторого объекта.

Примечание

Для запуска оснастки Disk Management необходимо обладать правами администратора.

Работая с помощью оснастки Disk Management с базовыми томами, можно выполнять следующие функции:

  • создавать и удалять основной (primary) и дополнительный (extended) разделы;
  • создавать и удалять логические диски внутри дополнительного раздела;
  • монтировать диски (подключать логический диск к папке другого диска);
  • форматировать разделы, присваивать им метки, а также помечать разделы как активные;
  • инициализировать диски;
  • изменять базовый режим хранения на динамический.

На динамических дисках оснастка Disk Management позволяет выполнять следующие функции:
О создавать и удалять простые (simple), составные (spanned), чередующиеся (stripped), зеркальные (mirrored) тома, а также тома RAID-5 (RAID-5 volume);

  • форматировать тома для файловой системы FAT или NTFS;
  • расширять том на дополнительные диски;
  • монтировать диски;
  • восстанавливать зеркальные тома и тома RAID-5;
  • повторно инициализировать отключенный диск;
  • изменять динамический режим хранения на базовый.

Для базовых дисков не поддерживаются следующие функции:

  • создание наборов томов, чередующихся и зеркальных наборов и чередующихся наборов с четностью;
  • расширение томов и наборов томов (следует использовать специальную утилиту DiskPart.exe).

Для базовых и динамических дисков можно:

  • контролировать диски: например, просматривать объем, доступное свободное пространство и текущий статус;
  • просматривать свойства томов и разделов;
  • устанавливать и изменять назначение имен томам жестких дисков или разделам, а также устройствам CD-ROM;
  • устанавливать и проверять режим общего доступа к тому или разделу.

Таким образом, оснастка Disk Management является универсальным средством для одновременного управления традиционными базовыми дисками и томами на динамических дисках, созданных в новых системах, начиная с Windows 2000.
Оснастку Disk Management можно использовать как автономную оснастку или в составе основного инструмента администрирования Windows Server 2003 — оснастки Computer Management (Управление компьютером). В первом случае при подключении оснастки к консоли управления можно в диалоговом окне Choose Target Machine (Выбор компьютера) выбрать положение переключателя Local Computer (Локальный компьютер), если вы хотите управлять локальным компьютером, либо положение Another Computer (Другой компьютер), если вы хотите управлять другим компьютером сети. В последнем случае в поле ввода следует указать имя компьютера (либо найти его, нажав кнопку Browse (Обзор)).
Кроме того, для локального компьютера оснастку можно запустить автономно, Введя В командной строке diskmgmt.msc.

Работа с динамическими дисками

Одним из наиболее важных преимуществ динамических дисков является возможность использования отказоустойчивых дисковых конфигураций, реализованных на уровне программного обеспечения. Следует сразу же отметить, что эти возможности доступны только для серверных платформ (Windows 2000 Server и Windows Server 2003) и только для динамических дисков.

Преобразование базового диска в динамический

Чтобы преобразовать базовый диск в динамический, выполните следующие операции:
1. Зарегистрируйтесь в системе от имени пользователя Administrator или одного из пользователей, имеющих в локальной системе административные права (группа Administrators).
2. Запустив оснастку Disk Management, укажите курсором на один из имеющихся в системе базовых дисков, выполните щелчок правой кнопкой мыши и выберите из контекстного меню (рис. 8.2) команду Convert to Dynamic Disk... (преобразовать в динамический диск).
3. На экране появится диалоговое окно Convert to Dynamic Disk (Преобразовать в динамический диск), в котором будет приведен список всех физических дисков, которые можно преобразовать из базовых в динамические (рис. 8.3). Установите флажки напротив всех дисков, для которых требуется выполнить преобразование, и нажмите кнопку ОК. В окне, которое появится следующим, вы увидите список дисков, выбранных для преобразования. Нажав в этом окне кнопку Details, вы сможете просмотреть список томов, которые будут содержаться на этих дисках после преобразования. Чтобы начать преобразование, нажмите кнопку Convert.

Рис. 8.2. Преобразование базового диска в динамический

Рис. 8.3. Окно выбора базовых дисков для преобразования

Стоит еще раз отметить, что хотя преобразование диска из базового в динамический происходит без потери данных, обратно^ преобразование невозможно без удаления всех томов (и, следовательно, потери всех данных, которые на них содержались). По этой причине, если вам потребуется преобразовать диск обратно к базовому, следует в обязательном порядке выполнить резервное копирование.
Если на диске, выбранном для преобразования в динамический, имеются загрузочные разделы, содержащие другие установленные операционные системы, то перед тем, как фактически выполнить преобразование, система выведет стандартное предупреждение о том, что ни одна другая операционная система не сможет загружаться с томов, имеющихся на динамических дисках. В большинстве случаев после выполнения преобразования вам не требуется перезагружать компьютер, однако из этого правила бывают и исключения. Так, перезагрузка потребуется, если на одном из преобразуемых дисков содержатся системные или загрузочные разделы или же тома, на которых хранится файл подкачки или аварийный дамп.
После преобразования все имевшиеся на диске основные разделы и логические диски станут простыми томами (рис. 8.4). По легенде (нижняя часть окна оснастки) простые тома (simple volume) окрашиваются в оливковый цвет.

Рис. 8.4. После преобразования к динамическому формату все существовавшие на диске главные разделы и логические диски превращаются в простые тома

Расширение простых томов

Существующие простые тома могут быть расширены за счет присоединения свободного пространства, расположенного на том же динамическом диске (в этом случае том останется простым и впоследствии может использоваться для создания зеркального тома) или на другом динамическом диске (в этом случае вы получите составной том, spanned volume). Для этого достаточно выполнить щелчок правой кнопкой мыши, указав на тот простой том, который вы желаете расширить, и выбрать из контекстного меню команду Extend volume... (Расширить том). Однако для этого необходимо соблюдение следующих условий:

  • наличие свободного (unallocated) пространства на том же самом или на другом динамическом диске;
  • простой том должен быть отформатирован с использованием файловой системы NTFS под управлением Windows 2000/XP или одного из продуктов семейства Windows Server 2003.

Примечание

Простой том, являющийся системным или загрузочным, не может быть расширен.

Создание зеркального тома

Чтобы создать зеркальный (отказоустойчивый) том, проделайте следующее:
1. В окне оснастки Disk Management выполните щелчок правой кнопкой мыши, указав на не выделенное (unallocated) ни одному тому дисковое пространство на одном из динамических дисков, и выберите из контекстного меню команду New Volume (Новый том).
2. На экране появится первое окно мастера New Volume Wizard. Нажмите в этом окне кнопку Next. На экране появится следующее окно мастера, предлагающее выбрать тип создаваемого тома (рис. 8.5).

Примечание

Обратите особое внимание на набор опций, предоставляемых мастером New Volume Wizard в этом окне. Доступность тех или иных опций определяется операционной системой, под управлением которой работает ваш компьютер, а также от конфигурации дисковой подсистемы. При этом действуют следующие общие правила:

  • если в системе имеется только один динамический диск, то можно создавать только простые тома;
  • составные (spanned) и чередующиеся (stripped) тома могут быть созданы только в том случае, если в системе имеется несколько динамических дисков с достаточным объемом свободного пространства;
  • зеркальные (mirrored) тома и тома RAID-5 доступны только для серверных платформ, при условии наличия необходимого количества динамических дисков с достаточным объемом свободного пространства (например, для создания тома RAID-5 потребуется минимум три динамических диска).

Рис. 8.5. Окно мастера New Volume Wizard, предлагающее выбрать тип создаваемого тома

3. В следующем окне мастера New Volume Wizard выберите динамический диск, который вы хотите использовать для создания зеркального набора, и нажмите кнопку Add (Добавить) (рис. 8.6). Убедитесь в том, что оба диска, выбранных для образования зеркального набора, перечислены в поле Selected. В поле Select the amount of space in MB укажите объем создаваемого зеркального тома и нажмите кнопку Next.
4. Далее вам будет предложено указать буквенное обозначение (литеру) тома или путь, а также задать опции форматирования. Введя необходимую информацию и убедившись в том, что все опции заданы правильно, нажмите кнопку Next. После того как вы подтвердите правильность введенной информации в последнем окне мастера, нажав кнопку Finish, зеркальный том будет создан (рис. 8.7).

Примечание

Зеркальный том можно также создать на основе одного из уже существующих простых томов. Для этого достаточно выполнить щелчок правой кнопкой мыши, указав на нужный вам простой том, и выбрать из контекстного меню команду Add mirror.... Если эта команда недоступна, то выбранный простой том не может быть использован для создания зеркального тома.

Рис. 8.6. Выбор дисков для создания зеркального набора

Рис. 8.7. Окно оснастки Disk Management, отображающее вновь созданный зеркальный том

Дефрагментация дисков

Операционная система не всегда располагает информацию файлов и папок в одном непрерывном пространстве. Фрагменты данных могут находиться в различных кластерах жесткого диска. В результате при удалении файлов освобождающееся дисковое пространство также становится фрагментированным. Чем выше степень фрагментации жесткого диска, тем ниже производительность файловой системы. Для решения этой проблемы в состав операционных систем Windows XP и Windows Server 2003 включена оснастка Disk Defragmenter (Дефрагментация диска) (рис. 8.8).

Рис. 8.8. Окно оснастки Disk Defragmenter

В процессе дефрагментации кластеры диска организуются таким образом, чтобы файлы, папки и свободное пространство по возможности располагались непрерывно. В результате значительно повышается производительность файловой системы, поскольку сокращается количество операций ввода/вывода, необходимое для чтения определенного объема информации. Следует отметить, что при дефрагментации свободное пространство не объединяется в одну непрерывную область, а располагается в нескольких областях. Это значительно сокращает время выполнения дефрагментации и практически не уменьшает производительность файловой систему, получаемую после дефрагментации.
Поскольку операционная система Windows Server 2003 резервирует в начале жесткого диска пространство для системных файлов, оснастка Disk Defragmenter не помещает файлы в зарезервированную область жесткого диска, а переносит их за ее пределы.
Оснастка Disk Defragmenter работает с томами жесткого диска, сформатированными для файловых систем FAT, FAT32 и NTFS. Она осуществляет выполнение двух отдельных операций — анализ и дефрагментацию. В процессе анализа на томе жесткого диска не выполняются никакие изменения. Все необходимые перемещения информации производятся при дефрагментации. В определенный момент времени дефрагментации может быть подвергнут только один том.
В Windows Server 2003 улучшены возможности дефрагментации томов NTFS.

  • Можно работать с томами, имеющими кластеры любого размера (в Windows 2000 кластеры не должны превышать 4 Кбайт).
  • Обрабатываются файлы, занимающие любое количество кластеров.
  • Возможна дефрагментация Master File Table (MFT, главная таблица файлов).

Оснастку Disk Defragmenter можно запустить из меню Start | All programs | Accessories | System Tools- или более удобным способом:
1. В окне My computer или в программе Windows Explorer укажите дефрагментируемый том и нажмите правую кнопку мыши.
2. В открывшемся контекстном меню выберите команду Properties.
3. Появится окно свойств тома. Перейдите на вкладку Tools (Сервис).
4. В открывшемся окне нажмите кнопку Defragment Now (Выполнить дефрагментацию).
В результате запустится оснастка Disk Defragmenter. В верхней части ее окна находится список томов жесткого диска, которые можно проанализировать или дефрагментировать. В нижней части окна располагаются указатели, отображающие скорость и степень завершенности процессов анализа или дефрагментации. Цветами показано состояние устройства (легенда приводится в нижней части окна оснастки):

  • красным — фрагментированные области;
  • темно-синим — нефрагментированные области;
  • белым — свободное пространство тома;
  • зеленым — системные файлы, которые не могут быть перемещены оснасткой Disk Defragmenter, поскольку являются частью операционной системы Windows Server 2003 (например, файл подкачки).

Примечание

Системы Windows XP и Windows Server 2003 располагают утилитой дефраг-ментации Defrag.exe, запускаемой из командной строки. Параметры команды можно получить, введя строку defrag /?. Наконец-то администраторы имеют возможность запускать дефрагментацию дисков по расписанию!

Управление общими дисковыми ресурсами

В системах Windows для управления общими папками традиционно используется программа Windows Explorer и окно свойств папки. В системах Windows 2000, Windows XP и Windows Server 2003 для этих целей можно также применять оснастку Shared Folders. Кроме того, для просмотра и подключения общих папок можно использовать стандартные команды net share и net use, выполняющиеся в окне консоли. Могут быть применены и другие инструменты, использующие Win32 API, а также сценарии.

Программа Windows Explorer

Во всех системах Windows, начиная с Windows 95, для создания и администрирования общих ресурсов (в том числе и дисковых) может использоваться программа Windows Explorer — достаточно выбрать папку и в контекстном меню выполнить команду Sharing and Security (Общий доступ и безопасность). При этом открывается окно свойств папки, в котором можно определять режим общего доступа, настраивать разрешения и выполнять другие операции.
В системе Windows Server 2003 на вкладке Sharing (Общий доступ) (рис. 8.9) для разрешения/запрета на доступ к папке используются переключатели Share this folder (Общий доступ) и Do not share this folder (Нет общего доступа). Нажав кнопку Permissions, можно установить разрешения на доступ к общему ресурсу для пользователей и групп. (Не путайте эти разрешения с разрешениями файловой системы, устанавливаемыми на вкладке Security!)
На вкладке Sharing обратите также внимание на кнопку Offline Settings, нажав которую можно настроить режим использования данной папки в автономном режиме (см. ниже разд. "Автономные файлы").
Для одной и той же папки можно задать несколько имен общего ресурса (в поле Share name) и для каждого имени установить свой набор разрешений.

Рис. 8.9. Вкладка Sharing, позволяющая разрешить общий доступ к папке

Оснастка Shared Folders

Для локального и удаленного администрирования общих ресурсов в Windows Server 2003 служит оснастка Shared Folders (Общие папки). (В Windows 4.0 аналогичные функции выполняла утилита Server панели управления.) Она особенно удобна для централизованного и удаленного администрирования общих ресурсов; с ее помощью можно также управлять сеансами и открытыми файлами. Оснастка Shared Folders входит в стандартный инструмент администрирования — Computer Management (Управление компьютером) (рис. 8.10).
С помощью узла Shares оснастки Shared Folders можно разрешать и запрещать общий доступ к локальным папкам, а также видеть количество пользователей, подключенных к той или иной папке. В системах Windows XP и Windows Server 2003 возможности оснастки расширены, и с ее помощью можно также публиковать общие папки в каталоге Active Directory (см. разд. "Оснастка Shared Folders" главы 6 "Средства управления системой").

Рис. 8.10. Окно оснастки Shared Folders в составе оснастки Computer Management

Для создания общей папки в среде оснастки Shared Folders:
1. В окне оснастки выберите узел Shares (Ресурсы) и выполните команду New | Share (Создать | Общая папка) в меню Action (Действие) или в контекстном меню. Запустится мастер Share a Folder Wizard (Мастер создания общей папки).
2. На странице Folder Path введите полное имя локальной папки или выберите папку, нажав кнопку Browse (Обзор).
3. На следующей странице мастера (рис. 8.11) в поле Share name нужно задать имя общей папки и при необходимости ввести ее описание (в поле Description). Если к ресурсам компьютера имеется доступ по протоколу AppleTalk, то имена папки для пользователей Windows и Macintosh задаются индивидуально.
4. Нажав кнопку Change, можно изменить задаваемые по умолчанию параметры использования папки в автономном режиме в окне Offline Settings (рис. 8.12). По умолчанию пользователи сами определяют, с какими файлами и программами они будут работать в автономном режиме. Выбрав переключатель Files or programs from the share will not be available offline, можно вообще запретить автономную работу с содержимым данной папки.
5. На странице Permissions (рис. 8.13) устанавливаются разрешения на доступ к создаваемой общей папке. Как можно видеть на рисунке, все пользователи получают право чтения. Можно выбрать одну из предопределенных комбинаций разрешений или задать свои разрешения.
6. Если все параметры новой общей папки заданы правильно, нажмите кнопку Finish (Готово), и новый общий ресурс будет создан.

Рис. 8.11. Страница мастера Share a Folder Wizard, на которой задается имя общей папки и устанавливаются параметры автономной работы

Рис. 8.12. Устанавливаемый по умолчанию режим автономной работы для создаваемой общей папки

Рис. 8.13. Задаваемые по умолчанию разрешения доступа для новой общей папки

Примечание

Рекомендуется на уровне разрешений на доступ к общему ресурсу задавать наиболее "широкие" права (если позволяют требования безопасности — полный доступ для всех), а затем настраивать более "узкие" права доступа к файлам и папкам на уровне файловой системы NTFS. Такой подход упрощает администрирование прав пользователей. Конечные права будут определяться наиболее "строгими" разрешениями, установленными либо на уровне общего ресурса, либо на уровне файловой системы.

Теневое копирование томов

В системах Windows XP и Windows Server 2003 имеется служба Volume Shadow Copy Service (VSS, служба теневого копирования томов). В Windows ХР эта служба используется встроенной программой архивирования Backup и позволяет создавать архивные копии "прозрачно" для пользователей, поскольку сначала создается "моментальный снимок", или "теневая копия" архивируемого тома, и лишь потом начинается сам процесс архивации; пользователи при этом могут продолжать работу с файлами, входящими в архив.
В системах Windows Server 2003 служба VSS, помимо уже названной, выполняет и другую функцию: она позволяет хранить (на диске) копии общих папок, создаваемые с некоторой периодичностью. Это дает пользователям возможность вернуться к предыдущей версии файла, что особенно важно в тех случаях, когда файл был случайно перезаписан или удален локальным или удаленным пользователем. (Известно, что обычно стандартными средствами Windows нельзя восстановить файлы, удаленные клиентами из общих папок.)

Внимание

Создавать теневые копии можно только для NTFS-томов. Теневое копирование выполняется для всего тома, т. е. нельзя выбирать для копирования отдельные общие папки, хранящиеся на этом томе. Для хранения теневых копий требуется не менее 100 Мбайт свободного пространства на выбранном томе. Количество теневых копий на томе не превышает 64.

Для работы с теневыми копиями общих папок необходимо клиентское программное обеспечение. Оно располагается на сервере в папке %SystemRoot%\system32\clients\twclient (файл twcli32.msi). Для установки файла на клиентских компьютерах (в системах Windows Server 2003 клиентское обеспечение уже установлено!) можно использовать групповые политики.
Для лучшего понимания технологии в целом рассмотрим все операции по настройке теневого копирования на примере.
Чтобы включить теневое копирование некоторого тома:
1. Откройте окно свойств NTFS-тома с помощью программы Windows Explorer или из оснастки Disk Management и перейдите на вкладку Shadow Copies (Теневые копии) (см. рис. 8.15).
2. Выберите том, для которого будут создаваться теневые копии, в списке Select a volume.
3. Перед включением теневого копирования рекомендуется сначала настроить его параметры, поскольку параметры, предлагаемые по умолчанию, могут вас не устроить. Нажмите кнопку Settings (Параметры).
4. В окне Settings (рис. 8.14) необходимо выбрать диск, на котором будут храниться теневые копии (раскрывающийся список Located on this volume), задать максимальный объем дискового пространства, используемого для этих целей (поле рядом с переключателем Use limit) и определить расписание (кнопка Schedule) — частоту и время автоматического создания теневых копий. (По умолчанию копирование выполняется каждый день в 7:00 и 12:00 кроме выходных дней.)
5. Закройте окно параметров и нажмите кнопку Enable (Разрешить).

Рис. 8.14. Окно параметров теневого копирования томов

6. Система просит подтвердить операцию включения теневого копирования — в окне предупреждения нажмите кнопку Yes.
7. В течение некоторого времени система создает первую теневую копию указанного тома, дата и время создания которого отображаются в окне Shadow copies of selected volume (рис. 8.15). (В показанном примере имеются две теневые копии, созданные через день.) Нажав кнопку Create Now, можно создать копию принудительно.
Мы закончили настройку службы теневого копирования на сервере. Теперь посмотрим, как ее возможности могут применяться клиентами файлового сервера, обращающимися по сети к общей папке.
Если удаленный пользователь откроет окно свойств общей папки, подключенной в виде логического диска, или любого файла или папки, хранящихся в общей папке, расположенной на томе, для которого выполняется теневое копирование, он увидит в этом окне новую вкладку — Previous Versions (Предыдущие версии) (рис. 8.16). Если текущее содержание общей папки, файла или вложенной папки отличается от состояния, сохраненного в теневой копии (копиях), в окне File versions будут перечислены все имеющиеся предыдущие версии объекта.

Рис. 8.15. На этой вкладке можно управлять теневыми копиями томов

Рис. 8.16. Вкладка, отображающая версии файла или папки

Чтобы увидеть предыдущее содержимое файла или папки, нужно выбрать версию и нажать кнопку View. Кнопка Сору позволяет скопировать выбранный объект на локальный диск или даже в ту же общую папку (если, скажем, файл был удален).
Нажав кнопку Restore, пользователь может восстановить предыдущее состояние файла или папки, при этом требуется подтвердить операцию (рис. 8.17). В этом случае все изменения, сделанные позднее времени создания теневой копии, теряются.

Рис. 8.17. Предупреждение о восстановлении предыдущей версии файла

Автономные файлы

Что делать, если пользователю необходимо работать с документами, находящимися в общем каталоге, в условиях отсутствия соединения с сетью? Операционные системы Windows 2000, Windows XP и Windows Server 2003 располагают средством Offline Files (Автономные файлы), позволяющим решать подобные проблемы. С его помощью пользователи могут открывать и корректировать файлы, находящиеся в общих папках, даже отключившись от сети.

Внимание

В системах Windows Server 2003 работа с автономными файлами невозможна, если службы терминалов (Terminal Services) установлены в режиме Terminal Server или разрешен доступ к рабочему столу с помощью функции Remote Desktop, поскольку она сконфигурирована для поддержки нескольких подключений (а не одного, как в системах Windows XP Professional).

При отключении от сети автономные файлы извещают об этом пользователя. В панели задач появляется специальный значок, а на рабочем столе — сообщение, сигнализирующее о том, что сетевое соединение с общим ресурсом исчезло и началась автономная работа. При конфигурировании автономных файлов пользователь может сам выбрать, как они должны реагировать на потерю соединения. После подключения к сети Диспетчер синхронизации (Synchronization Manager) переносит все изменения, сделанные пользователем в сетевых файлах в процессе автономной работы, на общий сетевой ресурс.
При автономной работе, не имея соединения с сетью или некоторым ресурсом, пользователь не теряет способности просматривать сетевые устройства и работать со своими файлами. На значках отключенных сетевых общих ресурсов появляется красный крестик. Просматривая эти ресурсы, пользователи смогут увидеть только те файлы, которые были заранее указаны или которые были открыты ими недавно, до разрыва соединения.
Права доступа в автономном режиме работы остаются такими же, какие они были при наличии соединения с сетью. Например, документ, доступный на сетевом общем ресурсе только для чтения, будет доступен только для чтения и при автономной работе.
Для того чтобы сделать доступными для пользователей, отключенных от сети, файлы общих ресурсов, нужно поместить их в кэш компьютера. Кэш компьютера — это часть пространства диска, доступ к которому возможен в любом состоянии соединения с сетью или ресурсом. В Windows Server 2003 имеются три опции для работы с автономными файлами; они задаются на вкладке Sharing (Доступ) в окне свойств общего ресурса — кнопка Offline Settings (Кэширование):

  • ручное кэширование (переключатель Only the files and programs that users specify will be available offline). Ручное кэширование предполагает, что, отключившись от сети, пользователь сможет открывать и запускать только те файлы и программы, хранящиеся на общем сетевом ресурсе, которые он предварительно указал. Такой тип кэширования идеален для работы с общим ресурсом, на котором находятся документы или рисунки. Этот вариант кэширования устанавливается по умолчанию;
  • автоматическое кэширование (переключатель All files and programs that users open from the share will be automatically available offline). Автоматическое кэширование позволяет данному пользователю работать автономно с теми файлами и программами, которые он открывал или запускал на общем сетевом ресурсе. Нет гарантии, что для автономной работы будут доступны все файлы, находящиеся в общей папке;
  • запрет кэширования (переключатель Files or programs from the share will not be available offline). В этом случае клиенты вообще не смогут использовать автономно файлы и программы, хранящиеся в данной общей папке.

В автономном режиме можно использовать файлы и папки, хранящиеся на любых общих ресурсах в сети Windows, для организации которых используются протокол Server Message Block (8MB) и служба File and Printer Sharing.

Настройка компьютера для работы с автономными папками

Чтобы разрешить работу с автономными папками на клиентском компьютере:
1. В окне программы Windows Explorer или в окне My Computer (Мой компьютер) в меню Tools (Сервис) выберите команду Folder Options (Свойства папки).
2. В появившемся окне перейдите на вкладку Offline Files (Автономные файлы) (рис. 8.18) и установите флажок Enable Offline Files (Использовать автономные файлы). (На рисунке показаны параметры, предлагаемые по умолчанию.)

Рис. 8.18. Управление использованием автономных папок осуществляется на вкладке Offline Files окна Folder Options

3. Установив или сняв флажок Synchronize all offline files before logging off (Синхронизировать перед выходом из системы), можно указать на необходимость осуществления синхронизации при выходе. (По умолчанию этот флажок установлен.)
4. Нажмите кнопки Apply и ОК.
После настройки компьютера для работы с автономными папками следует указать конкретные файлы и папки, с которыми необходимо работать автономно (эта операция описана в следующем разделе). Для синхронизации содержимого оригинальных и кэшированных локально файлов нужно сформировать расписание диспетчера синхронизации.

Выбор файлов для автономной работы

Для того чтобы указать файлы и папки, с которыми необходимо работать автономно:
1. В окне My Computer или My Network Places выделите файлы или папки, находящиеся на общих сетевых устройствах, с которыми будет выполняться автономная работа.
2. В контекстном меню выберите команду Make Available Offline (Сделать доступным в автономном режиме) — запустится мастер Offline Files Wizard (Мастер автономных файлов). Следуйте указаниям этой программы. После ввода всей необходимой для создания автономных файлов информации начнется процесс синхронизации, за которым можно наблюдать в окне синхронизации (рис. 8.19). (Похожее окно отображается при синхронизации с веб-страницей, разрешенной для автономного просмотра.) Когда оно закроется, указанные файлы и папки будут доступны для автономной работы.

Рис. 8.19. Окно синхронизации, появляющееся при разрешении автономного использования файлов

Доступные для автономной работы файлы можно изменять даже после отключения компьютера от сети. Флажок Make Available Offline доступен в меню File только после того, как на вкладке Offline Files установлен флажок Enable Offline Files.
Для просмотра списка сетевых файлов и папок, с которыми можно работать автономно, следует на вкладке Offline Files (см. рис. 8.18) в окне Folder Options нажать кнопку View Files (Просмотреть файлы). Чтобы отключить режим автономной работы с некоторыми папками, нажмите кнопку Delete Files и в открывшемся окне сбросьте соответствующие флажки.

Настройка реакции автономных файлов на потерю сетевого соединения

Чтобы определить, как автономные файлы будут реагировать на потерю соединения с общими ресурсами:
1. Откройте вкладку Offline Files (см. рис. 8.18) и нажмите кнопку Advanced (Дополнительно).

Рис. 8.20. Диалоговое окно, предназначенное для настройки реакции автономных файлов на отключение от сети

2. В окне Offline Files - Advanced Settings (Автономные файлы — дополнительная настройка) (рис. 8.20) можно настроить реакцию компьютера на потерю подключения к локальной сети или соединения с удаленным компьютером, для чего в группе When a network connection is lost (Когда теряется сетевое подключение) следует установить соответствующий переключатель. :
3. В поле Exception list (Список исключений) можно определить список компьютеров, при потере соединения с которыми должны выполняться индивидуальные настройки реакции автономных файлов. Добавить компьютер в список исключений можно, нажав кнопку Add. В появившемся диалоговом окне следует указать имя компьютера, обладающего индивидуальными настройками реакции автономных папок, и действие при отключении от сети. В примере, показанном на рис. 8.20, функция автономных файлов не будет работать при потере соединения с компьютером, имеющим IP-адрес 192.168.1.12, т. е. общие ресурсы указанного компьютера будут вообще недоступны.

Синхронизация информации автономных папок и общего ресурса

Поскольку отключение компьютера от сети дает возможность пользователю продолжать корректировать свои файлы в автономных папках, а все пользователи, компьютеры которых не потеряли соединения с сетью, продолжают работать с файлами общего ресурса сети, содержимое одних и тех же файлов становится различным. Поэтому после восстановления соединения с сетью необходимо выполнить синхронизацию автономных папок и общего сетевого ресурса. Операция синхронизации выполняется и для веб-страниц, разрешенных для автономного просмотра.
Синхронизация информации может быть выполнена в трех режимах:

  • принудительная синхронизация;
  • синхронизация в процессе регистрации на компьютере или завершения работы компьютера;
  • синхронизация в момент бездействия компьютера.

Для выполнения принудительной синхронизации:
1. Запустите Диспетчер синхронизации. Для этого в меню Tools программы Windows Explorer следует выбрать команду Synchronize (Синхронизировать).
2. Установите флажки, соответствующие автономным файлам, которые следует синхронизировать (рис. 8.21). Обратите внимание на то, что здесь также отображаются автономные веб-страницы, выбранные в Интернете.
3. Нажмите кнопку Synchronize. В процессе синхронизации возможны конфликты версий одноименных файлов, располагающихся на локальном компьютере и на общем ресурсе. При этом система выдает сообщения, содержащие информацию о времени корректировки каждого из файлов и запрос на последующие действия. В этих случаях пользователь может выбрать одну из трех возможностей:

  • оставить только ту копию файла, которая хранится на локальном компьютере;
  • оставить только ту копию файла, которая находится на общем ресурсе;
  • сохранить более позднюю версию файла под новым именем (по умолчанию — к имени файла добавляется имя компьютера, откуда берется эта версия).

Рис. 8.21. Выбор синхронизируемых папок и файлов

4. При возникновении конфликтов пользователь может обрабатывать каждую ситуацию отдельно, а может указать общее действие (из трех перечисленных выше возможностей) для всех дублирующихся имен.
Для установки синхронизации автономных папок при входе в систему или выходе из системы:
1. Запустите диспетчер синхронизации и нажмите кнопку Setup (Установка). Появится диалогое окно Synchronization Settings (Параметры синхронизации) (рис. 8.22).

Рис. 8.22. Настройка параметров синхронизации

2. Перейдите на вкладку Logon/Logoff (Вход/выход). В поле When I am using this network connection (При использовании данного сетевого подключения) выберите сетевое подключение, которое нужно использовать.
3. В окне Synchronize the following checked items (Синхронизировать следующие отмеченные объекты) установите флажки, соответствующие синхронизируемым объектам.
4. В группе Automatically synchronize the selected items (Автоматически синхронизовать выделенные объекты) установите флажок When I log on to my computer (При входе в систему) и/или When I log off my computer (При выходе из системы) — если вы хотите синхронизировать информацию по завершении работы с системой.
5. Если вы хотите, чтобы диспетчер синхронизации запрашивал у вас разрешение на автоматическую синхронизацию, установите флажок Ask me before synchronizing the items (Запрашивать подтверждение перед синхронизацией).
6. После установки параметров закройте окно диспетчера синхронизации.
Для синхронизации автономных папок в момент бездействия компьютера нужно в окне Synchronization Settings перейти на вкладку On Idle (При простое), выбрать необходимое сетевое подключение, установить флажки около синхронизируемых файлов и установить флажок Synchronize the selected items while my computer is idle. По умолчанию синхронизация отмеченных файлов начинается, если компьютер не используется 15 минут, и повторяется каждый час. Эти параметры можно изменить, нажав на вкладке On Idle кнопку Advanced (Другие); при этом открывается окно Idle Settings (Параметры синхронизации при простое) (рис. 8.23).

Рис. 8.23. Окно установки параметров синхронизации во время бездействия компьютера

Распределенная файловая система DFS

Появившаяся как стандартный компонент Windows 2000 Распределенная файловая система (Distributed File System, DFS) является средством, облегчающим управление данными в сети и их поиск. DFS позволяет объединить файловые ресурсы, находящиеся на различных компьютерах, в одно пространство имен. С ее помощью, вместо того чтобы работать с физической сетью, состоящей из большого количества машин с собственными именами и общими ресурсами, пользователи могут увидеть единую структуру логических имен, связанных с общими ресурсами.
В операционных системах Windows для получения доступа к информации, находящейся в файле, пользователю или приложению необходимо указать физический файловый сервер и общий ресурс с помощью универсального соглашения об именах (Universal Naming Convention, UNC). UNC-имя (например, \\FileServer\sharedFolder) может быть использовано напрямую или связано с именем устройства. В последнем случае для получения доступа к данным пользователь должен перейти к каталогам, находящимся ниже корневого устройства.
В результате роста корпоративной сети пользователям приходится работать со все возрастающим количеством разрозненных устройств и общих ресурсов, находящихся на различных серверах сети, что в значительной степени затрудняет поиск нужных данных. Распределенная файловая система эффективно решает эту проблему, беря на себя заботу о физическом обращении к информации и предоставляя пользователю возможность работать с единым пространством UNC-имен, объединяющим все серверы и общие ресурсы сети. Для этого конкретным общим ресурсам даются логические имена DFS, или ссылки, понятные и удобные для пользователей. Пространство имен DFS, представляющее собой совокупность имени корня DFS и ссылок, — это логическое представление дисковых ресурсов сети, обращаясь к которому, пользователь может не беспокоиться о физическом расположении файлов на дисках и компьютерах.

Достоинства DFS

Распределенная файловая система обладает целым набором преимуществ, делающих ее весьма мощным продуктом, значительно облегчающим управление ресурсами корпоративной компьютерной сети. Все они изложены ниже.

  • Возможность логического представления общих ресурсов, находящихся на различных серверах сети, работающих под управлением разных операционных систем. Общее логическое пространство имен позволяет связать общие ресурсы сети и работать с ними, как будто они находятся на одном большом жестком диске. Это дает возможность администраторам создавать упрощенное представление общих ресурсов сети, наилучшим образом соответствующее направлению деятельности подразделения или предприятия в целом.
  • Удобное администрирование томов. Общий ресурс, входящий в состав тома DFS, может быть отключен без какого-либо влияния на оставшуюся часть пространства имен тома. Это позволяет администраторам управлять физическими общими ресурсами сети независимо от их логического представления.
  • Наличие GUI-инструмента администрирования. Администрирование распределенной файловой системы выполняется с помощью простого в работе инструмента с графическим интерфейсом. С его помощью можно выполнять просмотр, конфигурацию логических имен DFS, альтернативных общих ресурсов (реплик) и ссылок DFS, а также администрирование удаленных корней DFS. В результате требуются значительно меньшие затраты на обучение персонала.
  • Возможность организации отказоустойчивых схем хранения информации. С одним логическим именем DFS может быть связано несколько альтернативных общих ресурсов (реплик), хранящих идентичную информацию. (Между этими ресурсами можно организовать автоматическую репликацию данных; см. подробности ниже.) Если по каким-либо причинам один из альтернативных общих ресурсов становится недоступен, DFS автоматически обратится к другому альтернативному общему ресурсу. Поэтому важные данные, необходимые для успешного осуществления бизнес-процессов, могут быть надежно защищены от разрушения в случае отказа файлового сервера или дискового устройства.
  • Сбалансированная нагрузка на общие ресурсы сети. Связав одно логическое имя DFS с несколькими альтернативными общими ресурсами сети, администратор может эффективно сбалансировать нагрузку на общие ресурсы, возникающую при доступе к файлам со стороны пользователей. Запрашивая данные у логического имени DFS, пользователи фактически обращаются к одному из альтернативных общих ресурсов, связанных с данным именем. В результате происходит распределение доступа к файлам среди нескольких дисковых устройств или серверов.
  • Прозрачность соответствия логического представления данных и их физического местоположения. Пользователи работают только с логическим представлением ресурсов сети, без учета физического расположения файловых серверов и общих ресурсов. Если данные перемещаются на другой сервер, логическое пространство DFS подвергается переконфигурированию, связанному с созданием нового соответствия между старым логическим именем DFS и новым общим ресурсом, на котором хранятся данные. Пользователь продолжает работать с логическим именем. Он может не знать, что физическое местоположение необходимой ему информации изменилось, т. е. изменение физического расположения данных полностью прозрачно для пользователей. Подобное свойство DFS позволяет администратору перемещать сетевые общие ресурсы с сервера на сервер или с одного дискового устройства на другое дисковое устройство, сохраняя при этом доступность данных.
  • Интегрирование с моделью безопасности Windows. Распределенная файловая система не содержит самостоятельных, дополнительных средств обеспечения безопасности. Любой пользователь, который подключен к тому DFS, может беспрепятственно работать со всей информацией, к которой ему разрешен доступ с помощью разрешений системы безопасности Windows.
  • Интеллектуальное кэширование данных на стороне клиента. Логическое дерево DFS может содержать ссылки на сотни и даже тысячи общих ресурсов. В процессе первой попытки пользователя получить доступ к информации конкретного логического имени DFS в кэш-память клиента заносится определенная информация, позволяющая в дальнейшем ускорить обращение к необходимому общему ресурсу сети при повторных обращениях пользователя к данному логическому имени. В результате обеспечивается высокая производительность при доступе к сетевым томам через сложную иерархию ссылок.
  • Возможность взаимодействия с другими сетевыми файловыми системами. Любой общий ресурс, доступ к которому может быть получен с помощью редиректора Windows, может входить в состав пространства имен DFS. Для подключения к общему ресурсу может быть использован либо клиентский редиректор, либо шлюз сервера. Это позволяет администратору создавать одну иерархическую структуру логических имен, включающую разнородные сетевые файловые системы (например, NTFS, Macintosh и NetWare).

Применение DFS

Описанные выше преимущества и отличительные особенности распределенной файловой системы определяют способы применения DFS в условиях корпоративной компьютерной сети.
Необходимость в развертывании распределенной файловой системы может возникать в следующих случаях:

  • информационные ресурсы организации распределены по нескольким (многим) серверам в пределах некоторого сайта Active Directory;
  • многим пользователям постоянно требуется доступ к нескольким общим ресурсам;
  • необходимо сбалансировать нагрузку на сеть, распределяя запросы между общими ресурсами;
  • пользователям требуется непрерывный доступ к общим ресурсам.

Ниже описаны некоторые реальные ситуации, в которых DFS повышает эффективность при работе с данными или администрировании.
DFS облегчает процесс замены файловых серверов. Каждому узлу дерева DFS назначается логическое имя, указывающее на общий ресурс. Узел DFS может быть переключен на другой сервер, а прежний сервер может быть выключен и перемещен на другое место или заменен другой машиной. Пользователи не заметят, что они работают с новым сервером, поскольку иерархическая система логических имен DFS не изменилась. DFS позволяет упростить поиск, архивирование и индексирование данных и файлов, поскольку теперь все инструменты, включенные в клиентские системы и приложения, например, в текстовый процессор, могут работать с определенными файлами в пространстве DFS независимо от того, на каком сервере они реально находятся. Помимо этого, DFS облегчает сканирование файлов при поиске вирусов.
С помощью DFS можно организовать схему резервирования данных, делающую информацию непрерывно доступной в сети. Поскольку ссылка DFS может быть связана с несколькими альтернативными общими ресурсами, при отключении одного из них остальные могут быть использованы для работы с информацией. Этот же подход дает выигрыш в производительности, т. к. с помощью DFS общие ресурсы, содержащие одинаковые данные, могут быть распределены по сети так, чтобы сбалансировать и оптимизировать доступ к ним со стороны пользователей, расположенных на различных площадках корпоративной сети. Если множество пользователей требуют доступ к одному общему ресурсу сети, то создание набора копий этого тома на нескольких серверах позволит разбить и сбалансировать общую нагрузку на сеть.
Распределенная файловая система может работать совместно с веб-сервером (входит в состав служб Internet Information Services) в среде Windows Server 2003. Если первоначальная страница физически перенесена с одного сервера на другой, связи HTML или другие страницы, хранящиеся в DFS, продолжат свое функционирование без какого-либо обновления (если администратор сделал в DFS соответствующие коррекции), и пользователи не заметят никаких изменений. В случае, если сервер, где находится данная страница, отключен, она может быть доступна на другом сервере. При этом все связи, указывающие на эту страницу, будут функционировать без какой-либо дополнительной коррекции.
Для работы с DFS необходимо клиентское программное обеспечение, которое может работать на различных Windows-платформах. В табл. 8.2 перечислены системы, на которых могут располагаться реплики ссылок системы DFS, развернутой на базе Windows Server 2003; кроме того, указаны возможности этих систем в отношении поддержки корней и клиентов DFS.

Таблица 8.2. Поддержка DFS различными платформами

Операционные системы | Могут поддерживать корень DFS | Могут поддерживать клиента DFS
MS-DOS, Windows 3.x, Windows for Workgroups и серверы NetWare | - | -
Windows 95 | - | Да; клиента необходимо установить
Windows 98 |  | Да; клиент для автономных корней имеется, клиента для доменных корней нужно установить
Windows NT 4.0 с пакетом Service Pack 3 | Да; только автономный корень DPS | Да; клиент для автономных корней имеется
Windows 2000 и Windows Server 2003 | Да; автономный и доменный корень OFS | Да; клиент имеется

Базовые понятия DFS

Распределенная файловая система реализует связь между именем UNC, представляющим соответствующий объект DFS, и общим ресурсом, где фактически находятся данные. Общие ресурсы, подключенные к дереву DFS, могут находиться на любом сервере, доступном пользователю: на той же машине, где и корень, на любом сервере или рабочей станции под управлением Windows 2000/XP/Server 2003 или доступные системам Windows 2000 Server посредством специального программного обеспечения (например, Gateway Service for NetWare и т. д.). К DFS могут также подключаться общие ресурсы Windows 9x/ME или Windows NT 4.0 (см. табл. 8.2).
Начальной точкой для логических имен дерева DFS служит корень распределенной файловой системы. Для его создания необходимо указать некоторый общий ресурс (папку), находящийся на сервере. Все остальные логические имена DFS будут находиться на следующем иерархическом уровне. Корни DFS бывают двух видов:

  • автономный корень (standalone DFS root) не связан с Active Directory, может иметь только одну реплику (т. е. не обеспечивает отказоустойчивость в обычных, не-кластерных системах) и не позволяет использовать службу File Replication Service (FRS) для репликации данных (для самого корня и ссылок);
  • доменный корень (domain DFS root) должен располагаться на компьютере — члене домена, может иметь несколько реплик и разрешает использование службы FRS для репликации самого корня или нижележащих ссылок DFS.

Общие ресурсы компьютерной сети в дереве DFS представляются с помощью ссылок DFS (links). С корнем DFS и ссылками связаны физические общие ресурсы (целевые объекты, targets), которые мы будем называть репликами. Для каждого объекта DFS (корня или ссылки) должна быть указана как минимум одна реплика, однако к одному логическому имени в структуре с доменным корнем DFS можно подключить и несколько общих ресурсов сети, на которых находится идентичная информация. Система DFS не проверяет, синхронизованы ли данные, находящиеся на общих ресурсах. Реплики DFS должны рассматриваться как альтернативные источники информации, синхронизация которых была выполнена заранее (вручную или автоматически). Такие общие ресурсы наиболее эффективны при применении их только для считывания данных.
Таким образом, корень и ссылки представляют логическую организацию DFS, а реплики соответствуют физическому местоположению данных на сетевых компьютерах.
Доступ к любому объекту DFS, хранящемуся в общей папке, может быть получен с помощью стандартного UNC-имени, имеющего следующий вид: \\Имя_Сервера\Корень_DFS\Путь\Файл, где имя_Сервера — это имя машины, где установлен корень распределенной файловой системы; Корень_огз — имя корня созданной распределенной файловой системы; \путь ХФайл — любое допустимое имя в структуре DFS. Как можно видеть в этом случае, используемое имя жестко "привязано" к конкретному серверу, который становится потенциальным источником отказа для всей структуры DFS.
Если распределенная файловая система работает совместно со службой каталога Active Directory (т. е. используется доменный корень DFS), доступ к логическому имени DFS может быть получен с использованием имени домена: \\Имя_домена\Корень_DFS\Путь \Файл

Рис. 8.24.Пример дерева логических имен DFS

В этом случае логическое имя корня DFS хранится в домене Active Directory (см. объект каталога Dfs-configuration, хранящийся в контейнере system соответствующего домена) и может быть связано с несколькими машинами, обеспечивающими непрерывную доступность информации в случае отказа одного из компьютеров (перечень компьютеров хранится в атрибуте remoteServerName объекта, представляющего корень DFS).
Как уже говорилось, к логическому имени DFS подключается один или несколько общих ресурсов компьютерной сети. Связь между логическим именем DFS и общим ресурсом сети называется точкой соединения DFS.
Пример дерева логических имен DFS, приведенный на рис. 8.24, содержит все возможные элементы DFS. В верхней половине элементов блок-схемы приводится логическое имя объекта DFS, а в нижней — физическое местоположение этого объекта.

Управление DFS

Управление распределенной файловой системой выполняется централизованно с помощью удобного инструмента — оснастки Distributed File System (Распределенная файловая система DFS) (см. рис. 8.26). Оснастка устанавливается только на серверных продуктах (Windows 2000 Server и Windows Server 2003) и располагается в меню Administrative Tools (Администрирование). С ее помощью можно подключаться к любым корням DFS и управлять ими; одновременно в окне структуры этой оснастки может отображаться множество корней DFS. Если корень DFS и корневые реплики (targets) располагаются на компьютерах под управлением Windows Server 2003 и Windows 2000, то управлять пространством имен DFS можно только с компьютера, работающего под Windows Server 2003, или используя пакет Windows Server 2003 Administration Tools Pack.

Примечание

Для работы с DFS можно также использовать утилиты командной строки DfsUtil.exe и DfsCmd.exe.

Создание корня DFS

Организация дерева логических имен распределенной файловой системы начинается с создания корня DFS. В принципе, он может быть создан как в разделе FAT, так и в разделе NTFS. Однако по соображениям безопасности рекомендуется использовать NTFS-тома. Реплицируемые альтернативные общие папки (связанные с корнем или ссылками) могут храниться только на NTFS-томах.
Для создания корня распределенной файловой системы:
1. Запустите оснастку Distributed File System.
2. В меню Action (Действие) выберите команду New Root (Создать корень DFS) или нажмите кнопку New Root (Новый корень DFS) на панели инструментов. Еще один вариант — установите указатель на корневой узел в окне структуры и нажмите правую кнопку мыши. В появившемся контекстном меню выберите команду New Root. Запустится мастер New Root Wizard (Мастер создания нового корня DFS).
3. В компьютерной сети, где установлено несколько серверов с работающей на них службой Active Directory (т. е. в домене), отказоустойчивость обеспечивается с помощью репликации данных (которую выполняет служба File Replication Service, FRS). Распределенная файловая система, реализованная в Windows Server 2003, может быть интегрирована с Active Directory, что дает возможность создать отказоустойчивую DFS. Различные серверы в домене могут хранить корень DFS, что обеспечит устойчивость корня к отказам. Сама служба Active Directory обеспечивает процесс синхронизации различных реплик доменного корня DFS или. его ссылок. Если компьютер, на котором создается корень DFS, не интегрирован в Active Directory, то в этом случае может быть создан только изолированный корень DFS, не обладающий средствами репликации.
4. На следующей странице мастера установите переключатель либо в положение Domain root (Создать корень DFS в домене), либо в положение Stand-alone root (Создать изолированный корень DFS). Затем нажмите кнопку Next (Далее).
5. В следующих двух окнах укажите домен, в котором будет создан корень DFS, и имя сервера, на котором будет находиться корень DFS. Обратите внимание, что при создании изолированного корня DFS окно, предназначенное для выбора домена, не появляется. Это связано с тем, что в последнем случае DFS жестко привязывается к компьютеру.
6. Далее следует указать имя корня распределенной файловой системы, видимое для клиентов (рис. 8.25). Как можно видеть, по имени корня будет названа общая папка, либо же папка с таким общим именем уже должна быть создана. Нужно заметить, что мастер создает общие ресурсы с разрешениями доступа Read для группы Everyone. Поэтому при необходимости нужно либо скорректировать (расширить) установленные по умолчанию разрешения, либо предварительно создать общую папку с нужными разрешениями и уже на ее базе создавать корень DFS.
7. На следующей странице мастера выберите локальный общий ресурс, на основе которого будет создан корень DFS.
8. Если вся информация введена верно, создайте корень DFS, нажав кнопку Finish (Готово).

Рис. 8.25. Создание доменного (отказоустойчивого) корня DFS

На рис. 8.26 изображено окно оснастки Distributed File System с созданным в нашем примере доменным корнем DFS. С помощью команды Check Status в контекстном меню корня или ссылки можно проверить состояние соответствующей реплики: если все нормально, то рядом с именем появляется кружок с отметкой зеленого цвета.

Рис. 8.26. Пример доменного корня DPS

Проверить "видимость" корня можно с помощью команды net share — на локальном компьютере или команды net view <имя_компьютера> — с удаленного компьютера. С помощью следующей команды можно просматривать информацию о DFS: dfsutil /Root:\\net.dom\NET-Root /View
Открыв окно свойств корня DFS, можно на вкладке Publish разрешить его публикацию в каталоге Active Directory; доменные корни DFS публикуются автоматически в обязательном порядке.
Для подключения логического диска, связанного с созданным корнем, используется команда вида net use * \\net.dom\NET-Root или net use * \\net.dom\NET-Root\<путь-к-папке>

Примечание

На компьютере под управлением Windows Server 2003, Enterprise Edition или Windows Server 2003, Datacenter Edition можно создавать несколько корней DFS.

Создание ссылок DFS

После выполнения последовательности шагов, описанной в предыдущем разделе, появится корень DFS, который теперь можно дополнять дочерними логическими именами (ссылками).

Рис. 8.27. Создание дочернего логического имени (ссылки) DFS

Для создания ссылки DFS:
1. Установите указатель мыши на корень DFS и нажмите правую кнопку. В появившемся контекстном меню выберите команду New Link (Создать ссылку DFS).
2. В окне New Link (рис. 8.27) укажите имя ссылки в поле Link name и введите UNC-имя соответствующей общей папки (она уже должна существовать) в поле Path to target (shared folder). Для поиска необходимых общих ресурсов можно использовать кнопку Browse (Обзор). После завершения ввода информации нажмите кнопку ОК.
С помощью команды dfsutil /view можно видеть все подключенные ссылки, их свойства и состояние.
Рекомендованное ограничение числа ссылок для доменного корня DFS равно 5000.

Добавление реплик к логическому имени (ссылке) DFS

Если в сети работает несколько серверов, появляется возможность создать отказоустойчивую схему хранения важной информации с помощью реплик — альтернативных целевых объектов (targets), связанных с доменным корнем DFS или некоторой ссылкой. Процедура создания реплик одинакова для корня и всех нижележащих ссылок.

Примечание

Для того чтобы настроить автоматическую репликацию альтернативных папок, необходимо располагать их в NTFS-томах на компьютерах под управлением Windows Server 2003.

Воспользуемся уже рассмотренной структурой и создадим реплику, хранящуюся на некотором другом компьютере домена, для имеющейся ссылки CommonFiles. Для подключения к некоторой ссылке альтернативного общего ресурса:
1. Установите указатель мыши на ссылку, с которой нужно связать еще один общий ресурс, и нажмите правую кнопку. В появившемся контекстном меню выберите команду New Target (Создать реплику).
2. В появившемся окне (рис. 8.28) укажите UNC-имя общей папки и нажмите кнопку ОК. В случае необходимости для поиска нужного общего ресурса можно воспользоваться кнопкой Browse (Обзор). Если синхронизация (репликация) информации между альтернативными ресурсами будет выполняться вручную или каким-то особым образом, или вы хотите настроить репликацию позднее, снимите устанавливаемый по умолчанию флажок Add this target to the replication set (Добавить папку в набор объектов репликации). В противном случае после нажатия кнопки ОК вы увидите запрос о настройке процесса репликации (рис. 8.29) — нажмите кнопку Yes (Да). Запустится мастер Configure Replication Wizard (Мастер настройки репликации).

Рис. 8.28. Окно создания новой реплики

Рис. 8.29. Предупреждение о необходимости настройки репликации для альтернативного ресурса

3. Сначала мастер попросит вас указать, какая из альтернативных папок будет использоваться в качестве "мастер-копии" (рис. 8.30): содержимое этой папки будет скопировано в другую папку, которая должна быть пустой (ее текущее содержимое будет удалено в специальную папку, а потом удалено). В колонке Staging Folder указано местоположение рабочих областей для временного хранения реплицируемой информации. По умолчанию система выбирает локальные диски, отличные от тех, на которых хранятся общие папки, связанные с выбранной ссылкой DFS. Нажав кнопку Staging, вы может изменить эти настройки и выбрать более подходящие на ваш взгляд.
4. На следующей странице мастера нужно выбрать топологию репликации и нажать кнопку Finish (Готово). Имеются следующие виды репликации ссылок DFS:

  • Ring (Кольцо) — все реплики обмениваются информацией с двумя соседними;
  • Hub and spoke (Звезда) — выделяется основная реплика, с которой обмениваются информацией все остальные реплики;
  • Full mesh (Сеть) — все реплики общаются друг с другом;
  • Custom (Пользовательская) — все пары реплик ("от сервера — к серверу") настраиваются администратором вручную.

Рис. 8.30. Окно выбора источника репликации и местоположения рабочих областей

5. Топологию и другие параметры репликации альтернативных ресурсов можно изменить в любой момент, открыв окно свойств соответствующей ссылки DPS и перейдя на вкладку Replication (см. рис. 8.33).
После создания реплики ссылки около ее имени в окне оснастки Distributed File System появляется специальный значок (рис. 8.31). В контекстном меню альтернативных папок появляются команды, с помощью которых можно проверить состояние выбранной реплики, временно запретить и снова разрешить ее (например, при переконфигурировании целевого сервера), а также запретить репликацию между целевыми папками.
Перед удалением одной из альтернативных папок сначала запретите репликацию между ними.

Рис. 8.31. Альтернативные общие ресурсы (реплики) и управление ими

Принудительно запустить репликацию, выполняемую службой File Replication Service, можно с помощью следующей команды: ntfrsutl poll /now netdc2, где netdc2 — имя нужного сервера. (Утилита NtfrsUtl.exe входит в состав пакета Support Tools.) При этом начинается репликация всех наборов данных FRS, хранящихся на указанном сервере, включая содержимое тома SYSVOL, если этот сервер является контроллером домена. Просмотреть конфигурацию этих наборовможно при помощи команды ntfrsutl sets <имяСервера>.

Внимание

Не начинайте никаких изменений конфигурации DFS до тех пор, пока не произойдет полная репликация всех реплик. Служба File Replication Service довольно "инертна", и, приведя ее в "неопределенное" состояние, вы рискуете нарушить функционирование всего домена.

Если процесс репликации между альтернативными ресурсами, связанными со ссылкой DFS, завершился успешно, то в журнале File Replication Service на соответствующих серверах должно появиться сообщение, пример (фрагмент) которого приведен ниже.

Event Type: Warning Event Source: NtFrs Event ID: 13509 User: N/A Computer: NETDC1 Description: The File Replication Service has enabled replication from NETDC2 to NETDC3 for c:\link-rairror after repeated retries.

Как видно, в сообщении указана пара серверов и папка, участвующие в процессе репликации.
Когда пользователь подключается к общему ресурсу, представленному корнем DFS или одной из ссылок, в окне свойств этого ресурса он увидит новую вкладку — DFS (рис. 8.32), на которой он может проверить состояние реплики (кнопка Check Status), выбрать активную реплику (кнопка Set Active), отмеченную галочкой в красном кружке, и узнать, с какими общими сетевыми папками связан данный объект DFS.

Рис. 8.32. Окно свойств файлового ресурса, представленного ссылкой DFS, имеющей две реплики

Управление репликацией DFS

Набор альтернативных общих ресурсов, связанных с одним логическим именем DFS, называется набором реплик. В зависимости от того, в каких условиях работает распределенная файловая система, синхронизация реплик в наборе осуществляется различными методами. Распределенная файловая система сама не пытается проанализировать, отличаются ли данные, находящиеся на различных репликах. Их идентичность должна быть достигнута с помощью сторонних средств. Если альтернативные общие ресурсы созданы в файловой структуре с автономным корнем DFS, автоматическая репликация становится невозможна. В этом случае синхронизация данных между членами набора реплик должна выполняться вручную. Если альтернативные общие ресурсы находятся в пространстве имен доменного корня DFS и располагаются на серверах Windows 2000 или Windows Server 2003, то для них можно настроить автоматическую синхронизацию (репликацию) информации.
Для того чтобы настроить репликацию между альтернативными ресурсами (репликами), связанными с доменным корнем или ссылками DFS:
1. Откройте окно свойств ссылки DFS, имеющей несколько реплик, и перейдите на вкладку Replication (Репликация) (рис. 8.33).

Рис. 8.33. Окно настройки репликации альтернативных общих ресурсов

2. Нажав кнопку Customize, вы сможете перейти в окно настройки топологии репликации, где можно управлять соединениями между серверами и их приоритетами.
3. Кнопка Schedule позволяет открыть окно, в котором указывается время репликации. По умолчанию репликация разрешена круглосуточно 7 дней в неделю.
4. В поле File filter перечислены (групповые) имена файлов, которые исключены из процесса репликации. Нажав кнопку Edit, можно изменить этот перечень.
5. В поле Subfolder filter перечислены папки, не участвующие в репликации. Если вам нужно запретить репликацию для каких-то папок, нажмите кнопку Edit и введите нужные имена.
По завершении конфигурации репликации данные, находящиеся на общих ресурсах, входящих в набор реплик, будут периодически синхронизироваться. По умолчанию период синхронизации равен 15 мин. Настроив репликацию, можно проверить ее текущее состояние с помощью команды Check status из контекстного меню. Результат проверки может зафиксировать одно из трех состояний:

  • процесс репликации завершен нормально — на значке ссылки DFS и на значках реплик появятся зеленые галочки (см. рис. 8.31);
  • реплика недоступна — около имени реплики появляется крестик в красном кружке (статус — Offline) (рис. 8.34);
  • некоторые альтернативные реплики проверяемой ссылки недоступны — на значке ссылки DFS появляется характерный восклицательный знак в желтом треугольнике.

Рис. 8.34. Просмотр состояния ссылки DFS и ее реплик

Взаимозаменяемость альтернативных общих ресурсов

Ссылки на общие ресурсы кэшируются локально на стороне клиента для повышения производительности, а также в случае существования альтернативных общих ресурсов. Клиенту доступны все альтернативы. Он случайным образом выбирает, какая ссылка должна быть использована в данный момент. Однако, если в сети есть альтернативы в разных сайтах, то будет выбрана не случайная, а ближайшая по топологии ссылка.
При обращений к логическому имени DFS клиент находит необходимую ссылку и начинает сеанс (если соединение с сервером отсутствует, ему передается вся системная информация, необходимая для создания соединения). Если обращение по выбранной ссылке привело к ошибке, начинается замещение недоступного ресурса. Скорость этого процесса зависит от операций, выполняемых клиентом во время возникновения ошибки, и от того, как произошел сам отказ.
Ниже рассматриваются типичные ситуации отказа в доступе к ресурсу.

Отказ компьютера

Клиент просматривает альтернативный общий ресурс. В машине, на которой находится этот ресурс, пропадает напряжение питания, или она отключается от компьютерной сети по какой-либо другой причине. Переход от ресурса, который стал недоступен, к альтернативному ресурсу начинается после установления факта отключения компьютера от сети. Длительность этого этапа зависит от используемого клиентом протокола. Множество протоколов работает по низкоскоростным линиям WAN. Кроме того, практически все протоколы обладают счетчиками повторов. Поэтому, до того как будет установлено отсутствие ресурса сети, может пройти несколько минут.
После установления факта отключения ресурса распределенная файловая система производит немедленный выбор альтернативного общего ресурса. Если локальный кэш не содержит информации о доступных альтернативах, клиент DFS запрашивает информацию об альтернативах у корня DFS. Если на уровне корня также нет доступных альтернатив, происходит отказ в обслуживании. В обратном случае DFS инициирует процесс подключения к доступному альтернативному общему ресурсу и создание сеанса.

Отказ жесткого диска

Клиент обращается к общему ресурсу. На машине отказывает жесткий диск, где находится этот ресурс. В данном случае сервер, где произошел отказ, не потерял способность отвечать на клиентские запросы, поэтому он сообщает о факте отказа оборудования и замена отказавшего ресурса происходит моментально.
Следует отметить, что на процесс замены ресурса большое влияние оказывает поведение приложения, открывшего и заблокировавшего файлы на отказавшем ресурсе. Оно должно иметь возможность выявления ошибок доступа к данным с повторным обращением к файлам. В противном случае безболезненный переход на альтернативный общий ресурс будет невозможен.

Безопасность DFS

Помимо стандартных разрешений (permissions) файловой системы NTFS и прав доступа к общим ресурсам, служба DFS не пользуется никакими дополнительными средствами обеспечения безопасности. При обращении пользователя к информации в пространстве логических имен DFS учитываются только права доступа к конкретным репликам (общим папкам), связанным с этими именами. Права доступа определяются в первую очередь списками управления доступом, о которых говорится ниже. При создании ссылок DFS или новых реплик в структуре доменного корня DFS учитываются разрешения в каталоге Active Directory, установленные для соответствующих объектов.
Таким образом, права доступа на уровне файлов не зависят от структуры дерева DFS. Например, пользователи могут иметь необходимые права, позволяющие им обращаться к репликам, связанным со ссылками DFS, не имея Доступа к информации, представляющей корень пространства имен DFS.

Списки управления доступом

Списки управления доступом (ACL) определяют права доступа пользователей к общим ресурсам сети. Их администрирование выполняется на уровне физического общего ресурса. По ряду причин система безопасности, основанная на едином списке управления доступом, администрирование которого выполнялось бы от корня DFS в масштабах всей системы, не была бы эффективна. Пользователи могли бы обойти централизованную логическую базу списков управления доступом, выполнив команду net use и подключившись к папке, находящейся на более низком уровне, чем корень и, даже, ссылка DFS. Кроме того, логическое имя DFS может быть связано с несколькими общими ресурсами, часть которых находится в разделе FAT, a другие — в NTFS, а также в иных сетевых операционных системах. Эти и другие факторы делают предпочтительным использование списков управления доступом, определяющих политику обращения к конкретному общему ресурсу, а не ко всему дереву DFS в целом.


Службы печати

  • Службы печати
  • Особенности служб печати в Windows Server 2003
  • Возможности печати в Windows Server 2003
  • Общие сведения о службах печати Windows Server 2003
    • Терминология
    • Удаленная печать в Windows Server 2003
    • Процесс печати в Windows Server 2003
    • Печать через Интернет
  • Управление доступом к принтерам
    • Отсрочка печати документов
    • Срочность печати и уровни приоритета
    • Использование пула печати
  • Создание принтеров
    • Установка локального принтера
  • Настройка принтера
    • Совместное использование и публикация принтеров
    • Выбор и конфигурирование порта
    • Изменение параметров планирования и очереди печати
      • Использование страниц-разделителей
      • Пользовательские страницы-разделители
    • Безопасность принтера
      • Аудит принтера
    • Установка параметров, зависящих от устройства
      • Установка параметров памяти принтера
  • Настройка параметров сервера печати
    • Использование форм печати
    • Создание пользовательских форм
    • Установка драйверов принтера для различных платформ
    • Установка дополнительных параметров сервера
  • Управление очередью печати
  • Мониторинг удаленных принтеров

Службы печати

Операционные системы из семейства Windows NT всегда предоставляли широкие функциональные возможности для печати. В системах Windows 2000 эти возможности были существенно расширены, а в Windows ХР и Windows Server 2003, можно сказать, достигли логического завершения в своем развитии. (С точки зрения пользователя, возможности печати в системах семейства Windows Server 2003 практически не отличаются от тех, которые предоставляют системы Windows XP.)
Эта глава содержит основные сведения по установке и совместному использованию принтеров в сети на базе систем Windows Server 2003. Установка принтеров сама по себе проста, однако требуется достаточно много времени, чтобы изучить различные способы конфигурирования принтеров, особенно при их работе в сети. Тщательно планируя доступ к принтерам, можно оптимизировать работу каждого из них и в то же время избежать больших задержек при печати.
Системы Windows 2000, Windows XP и Windows Server 2003 поддерживают самые разные режимы печати, включая печать через Интернет. Технология Plug and Play, веб-интерфейс для управления принтерами и возможность поиска в каталоге Active Directory максимально упрощают установку, поиск и подключение принтера, а также управление заданиями печати.

Особенности служб печати в Windows Server 2003

Нужно сказать, что службы печати семейств Windows XP и Windows Server 2003 претерпели немного изменений по сравнению с Windows 2000. Перечислим самые важные новинки и отличия для этих семейств.

  • Папка Printers (Принтеры) теперь называется Printers and Faxes (Принтеры и факсы) и содержит список всех принтеров и факсов — локальных и удаленных, к которым подключен данный пользователь. Она доступна из панели управления или непосредственно из меню Start (Пуск).Удобнее пользоваться новым (не-классическим) интерфейсом меню Start, т. к. он позволяет непосредственно обращаться к папке Printers and Faxes.
  • Больше не поддерживается протокол Data Link Control (DLC), используемый по умолчанию некоторыми устаревшими версиями серверов печати Jet Direct компании Hewlett-Packard. Рекомендуется обновить эти серверы печати на новые, поддерживающие протокол IP, и использовать стандартный монитор портов (обновленный в Windows Server 2003 и обеспечивающий большую производительность).
  • Обеспечивается совместное использование не только принтеров, но и факсов: вы можете с любого компьютера сети отправить или получить факс, пользуясь факс-модемом, подключенным к другому компьютеру. (Подробнее см. главу 14 "Коммуникационные службы".)
  • Клиенты компьютеров, работающих под управлением Windows XP и Windows Server 2003, могут изменять личные установки печати документов, заданные по умолчанию администратором.
  • Администраторы могут с помощью групповых политик управлять установкой на компьютеры драйверов печати, работающих в режиме ядра (kernel-mode drivers).

Кроме того, имеется новшество, касающееся кластерных систем под управлением Windows Server 2003: драйверы печати, установленные на одном узле кластера, автоматически копируются на другие узлы. Раньше эти драйверы нужно было устанавливать индивидуально на каждый узел кластера.
В Windows Server 2003 также повышена производительность печати (по сравнению с Windows 2000) за счет оптимизации работы диспетчера печати (спулера).

Возможности печати в Windows Server 2003

Большинство перечисляемых ниже возможностей были реализованы уже в системах Windows 2000. В системах Windows XP и Windows Server 2003 отличия имеются преимущественно в пользовательском интерфейсе. Хотя ниже упоминается только семейство Windows Server 2003, перечисленные возможности распространяются и на Windows 2000, и на Windows XP.
Печать с использованием технологий Интернета. Архитектура печати Windows Server 2003 интегрирована со службами Интернета (Internet Information Services, IIS). Клиент может обращаться к сетевым принтерам через корпоративные интрасети или через Интернет. После того как принтер создан и разрешено его совместное использование, он появляется в HTML-папке принтеров.

  • Печать с применением URL (Uniform Resource Locator)

Пользователи клиентских компьютеров могут отправлять задания на серверы печати под управлением Windows Server 2003, используя формат URL: http: //<имя_сервера>/<имя_общего_ресурса>. Например, для вывода документа на печать можно использовать строку http://Finance/Ljet4si. Также возможна печать через брандмауэры Интернета. Например, чтобы послать факс группе технической поддержки Microsoft, необходимо указать адрес http://Fax.Support.Microsoft.com/FaxMe.

  • Просмотр состояния принтера

Если на компьютере установлены службы IIS, автоматически генерируются HTML-страницы, отображающие состояние принтеров и очередей печати (рис. 9.1 и 9.2). Клиент может использовать любой браузер на любой платформе, чтобы приостановить, продолжить или удалить свои задания печати. Администраторы также при помощи браузера могут просматривать состояния принтеров и изменять статус заданий печати.

Рис. 9.1. Просмотр состояния устройств печати на сервере печати

  • Установка принтеров

Принцип "укажи и печатай" ("point and print") позволяет клиентам одним щелчком мыши (в окне, показанном на рис. 9.1) установить общий принтер и выводить на него документы.

  • Установка драйверов с веб-сервера

При отсутствии драйверов на локальном компьютере и на сервере печати или для обновления драйверов предусмотрена возможность получения драйверов напрямую через Интернет от Microsoft или фирмы — изготовителя принтера. По умолчанию эта возможность сервера печати отключена из соображений безопасности.

Рис. 9.2. Просмотр состояния принтера, управление принтером и очередью печати с помощью веб-браузера

Стандартный монитор порта. Новый стандартный монитор порта соединяет сервер печати и принтеры, имеющие сетевой адаптер и использующие протокол TCP/IP. Он заменяет утилиту LPRMON для принтеров TCP/IP, связанных непосредственно с сетью или через сетевой адаптер. Для принтеров, подключенных к хостам UNIX или VAX, утилита LPRMON все еще необходима.
Мониторинг очереди печати. Работу локальных и удаленных принтеров можно контролировать при помощи системного монитора (System Monitor). Для ряда критериев производительности могут быть установлены счетчики, например, Bytes Printed/sec (Печатаемых байт/сек), Job Errors (Ошибок заданий) и Total Pages Printed (Всего напечатано страниц). Кроме того, по умолчанию все сообщения о напечатанных документах и ошибках печати регистрируются В журнале System (Event Type: Information; Event Source: Print; Event ID: 10 И 13).
Улучшенный пользовательский интерфейс. Интерфейс пользователя стал более удобным. Многие управляющие функции основаны на веб-интерфейсе. Новые средства перечислены ниже.

  • Новый веб-интерфейс папки Printers and Faxes и очередей печати со ссылками для получения дальнейшей информации и технической поддержки (рис. 9.3). Для отображения меню задач нужно в свойствах папок (значок Folder Option на панели управления) установить флажок Show common tasks in folders (Отображать общие задачи в папках).

Рис. 9.3. Папка Printers and Faxes

  • Имеется удобный мастер установки принтера (Add Printer Wizard), который позволяет пользователю искать принтер не только в сети, но и в каталоге Active Directory.
  • Улучшенное диалоговое окно свойств принтера — Printer Properties, с которым удобно работать, и теперь в нем есть возможность получения информации о принтере из каталога Active Directory (если компьютер входит в домен и принтер опубликован в каталоге).
  • Новый мастер дополнительных драйверов принтера для установки дополнительных драйверов принтера для клиентов Windows 9x/ME и Windows NT 4.0 или платформ Itanium (рис. 9.4). (Запускается при нажатии на кнопку Add (Добавить)) на вкладке Drivers (Драйверы) (см. рис. 9.26) в окне Print Server Properties (Свойства сервера печати). Свойства драйвера, появляющиеся при нажатии кнопки Properties (Свойства) для выбранного из списка драйвера, также доступны администраторам для просмотра из этого окна.) Дополнительные драйверы можно также устанавливать из окна свойств принтера после нажатия на кнопку Additional Drivers (см. рис. 9.18).

Рис. 9.4. Установка драйверов для различных компьютерных платформ

  • Улучшенный дизайн стандартного диалогового окна вывода на печать (рис. 9.5) позволяет устанавливать новый принтер, выполнять печать на любом имеющемся принтере (включая факс-принтеры), а также выполнять поиск принтера в каталоге Active Directory (кнопка Find Printer (Найти принтер)) с его последующей установкой.

Рис. 9.5. Стандартное диалоговое окно печати

Использование службы каталогов. Все общие принтеры, устанавливаемые на компьютерах в домене, могут быть представлены в виде объектов каталога Active Directory. Публикация (publishing) принтеров в Active Directory позволяет быстро обнаружить наиболее удобные ресурсы для печати. Пользователь может проводить поиск по различным атрибутам (например, возможность цветной печати или быстродействие) или по расположению принтера (например, указать конкретный этаж в здании (location)). Как только нужный принтер найден, к нему можно сразу же подключиться (метод "point and print") и использовать, как и любой другой общий сетевой принтер.
Клиенты могут подключать принтеры, доступные в сети Windows, двумя способами: просматривая сетевое окружение (в папке My Network Places (Мое сетевое окружение)) или — предпочтительный способ! — выполняя поиск в Active Directory. Однажды установленные принтеры перечисляются в папке принтеров и, что более удобно, в диалоговом окне Print (Печать) (см. рис. 9.5).
При любом способе вызова функции поиска принтеров (из меню Start или из окна Print) пользователь видит окно, в котором можно указать атрибуты принтеров (критерии поиска), а также область поиска — весь каталог, конкретный домен или подразделение (рис. 9.6).

Рис. 9.6. Поиск принтеров в Active Directory

Клиенты могут искать в сети серверы печати, работающие под управлением других операционных систем, например, LAN Manager 2.x, и устанавливать соединение с общими ресурсами-принтерами на этих серверах. Если соответствующий драйвер принтера еще не установлен, Windows Server 2003 запросит о необходимости его локальной установки.
Удаленное администрирование. Администратор может с любого компьютера под управлением Windows Server 2003 дистанционно управлять серверами печати, портами, принтерами, документами и драйверами принтеров.
Администратору не нужно устанавливать драйверы принтеров на клиентских компьютерах, которым требуется доступ к серверу печати Windows Server 2003. Если клиенты печати работают под управлением Windows NT/2000/XP или Windows 9x/ME, то необходимо установить драйверы принтера только в одном месте — на сервере печати.
Для управления локальными или удаленными серверами и устройствами печати, а также очередями могут использоваться утилиты командной строки и административные сценарии (см., например, файлы prn*.vbs в папке %SystemRoot%/system32).

Общие сведения о службах печати Windows Server 2003

Терминология

В системах Windows NT (от Windows NT до Windows Server 2003) устройством печати (printing device) называется реальное физическое устройство, которое собственно и выполняет печать. Принтер (printer) — это программный интерфейс между операционной системой и устройством печати. (В некоторых других сетевых операционных системах этому понятию соответствует термин очередь печати.) Принтер определяет различные аспекты процесса печати, например, куда будет послан документ (в локальный порт, в файл или на удаленный общий ресурс печати), отправленный на печать. Когда пользователи устанавливают соединение с принтерами, они используют логическое имя принтера, которое может представлять одно или несколько устройств печати.
Драйвер принтера (printer driver) — программа, которая преобразует графические команды в специфический язык типа PostScript или PCL. Windows Server 2003 предоставляет драйверы для наиболее распространенных устройств печати. Когда принтер создается, устанавливается драйвер принтера и — факультативно — можно сделать принтер доступным по сети для совместного использования.
В терминологии Windows NT, очередь (queue) — группа документов, ждущих печати. В ОС NetWare и OS/2 очереди — первичный программный интерфейс между приложением и печатающим устройством: пользователи посылают документы в очередь. Однако в системах линейки Windows NT этим интерфейсом является принтер, и документ посылается на принтер, а не в очередь.
Спулер (spooler) печати, или диспетчер очереди печати — набор динамических библиотек (DLL), которые получают, обрабатывают, планируют и распределяют документы.
Спулинг (spooling) — процесс записи содержимого документа в файл на диске. Этот файл называется файлом спулинга (spool file) или файлом очереди печати.
Сервер печати (print server) — любой компьютер, который получает документы от клиентов и имеет подключенное локально устройство печатное разрешенным общим доступом.

Примечание

Компьютеры под управлением Windows XP также могут выполнять функции сервера печати, хотя они имеют ряд ограничений: они не поддерживают печать для платформ Macintosh или NetWare, число клиентских подключений по локальной сети ограничено 10.

Устройства печати с сетевым интерфейсом (network-interface print devices) — устройства печати, имеющие собственные сетевые платы; они не соединяются физически с сервером печати, т. к. подключены к сети непосредственно.

Удаленная печать в Windows Server 2003

Можно рассматривать два способа "удаленной" печати:

  • печать на локально подключенное устройство печати, имеющее собственную сетевую плату;
  • печать на сервер печати (имеющий физически подключенное устройство печати или локально подключенное и предоставленное в общее пользование устройство печати с сетевым интерфейсом).

В первом случае необходимо устанавливать драйверы печати на каждый компьютер сети; при этом пользователи имеют свои настройки и очереди печати и не могут контролировать работу устройства печати (поскольку очереди не зависят друг от друга).
Во втором — предпочтительном — случае устройство печати используется совместно, при этом сервер печати управляет общей очередью. Это дает следующие преимущества:

  • параметрами принтера управляет только сервер печати:
  • общая очередь печати позволяет пользователям контролировать очередность заданий;
  • общие для всех пользователей сообщения об ошибках позволяют им видеть истинное состояние принтера;
  • часть работы по обеспечению печати переходит от клиента к серверу печати;
  • администратор легко может контролировать принтер и централизованно выполнять аудит.

Windows Server 2003 обеспечивает все возможности удаленного сервера печати. Когда клиенты Windows NT/2000 и Windows 9x/ME соединяются с правильно настроенным сервером печати Windows Server 2003 (рис. 9.7), драйвер принтера автоматически устанавливается на клиентском компьютере. Если на сервере установлен более новый драйвер принтера, компьютеры-клиенты Windows NT 4.0 и 2000/ХР загружают его автоматически. Однако если на сервере устанавливается новый драйвер для клиентов Windows 9х/МЕ, эти клиенты должны обновить его вручную.

Рис. 9.7. Удаленная печать в Windows Server 2003

Процесс печати в Windows Server 2003

Приведем краткий перечень операций (рис. 9.8), производимых с документом, посланным на принтер с клиента Windows, для которого Windows Server 2003 используется как сервер печати (некоторые процессы для клиентов с системами, отличными от Windows, будут немного другими).
1. Пользователь на компьютере-клиенте Windows запрашивает печать документа из приложения.
2. Если документ послан из Windows-приложения, приложение обращается к графическому интерфейсу устройства (GDI), который вызывает драйвер принтера, связанный с целевым принтером. На основе информации о документе GDI и драйвер принтера формируют задание на печать на языке управления принтером, а затем передают его клиентскому диспетчеру очереди печати. Если клиент работает под управлением операционной системы, отличной от Windows, или приложение не является Windows-приложением, то для выполнения подобной задачи используется какой-либо другой компонент.
3. Клиентский компьютер поставляет задание по выводу на печать серверу печати. Для клиентов Windows NT 4.0/2000/XP/Server 2003 клиентский диспетчер очереди печати выполняет удаленный вызов процедуры (RPC) на стороне серверного диспетчера очереди печати, который использует маршрутизатор, чтобы вызвать провайдер удаленной печати на клиентской стороне. Провайдер удаленной печати инициализирует другой вызов RPC к диспетчеру очереди печати на сервере, который принимает по сети задание на печать.

Рис. 9.8. Процесс печати в Windows Server 2003

4. На сервер печати задания от клиентов Windows NT 4.0/2000/XP/Server 2003 поступают в формате расширенный метафайл (extended metafile, EMF). Большинство He-Windows-приложений используют тип данных RAW ("сырой", готовый к печати).
5. Маршрутизатор на сервере передает задание на печать локальному провайдеру печати на сервере (компонент диспетчера очереди печати), который помещает его в очередь (записывает на диск).
6. Локальный провайдер печати вызывает монитор печати, который опознает тип данных задания и принимает задание на печать, преобразуя его согласно типу данных.
7. Если целевой принтер задан на клиентском компьютере, служба печати на сервере решает, должен ли диспетчер очереди печати сервера преобразовать задание или назначить другой тип данных. Затем задание передается локальному провайдеру печати, который записывает его на диск.
8. Управление заданием на печать переходит к процессору страниц-разделителей, который добавляет к началу задания страницу-разделитель, если она задана.
9. Затем задание передается монитору печати. Монитор печати может состоять из монитора языка (language monitor) и монитора порта (port monitor). Для двунаправленных принтеров монитор языка обеспечивает двустороннюю связь между компьютером и принтером, а затем передает задание на печать на монитор порта. Если принтер не является двунаправленным, задание на печать идет непосредственно на монитор порта, который посылает его на принтер (или на другой сетевой сервер печати).
10. Принтер принимает задание на печать, преобразует каждую страницу в растровый формат и печатает ее.

Печать через Интернет

В системах Windows Server 2003 доступ к сетевым принтерам можно получать через корпоративные интрасети и через Интернет. Печать через Интернет работает так же, как и традиционная сетевая печать. Документы для печати можно отправлять непосредственно на URL сетевого принтера и устанавливать драйверы принтеров из URL. Более того, сервер печати, организованный на основе Windows Server 2003, можно посетить точно так же, как и веб-узел, используя адрес типа http://<имяСервера>/<имяПринтера> или http://<имяСервера>/<общийРесурс>.
Для администраторов HTTP-принтер выглядит так же, как и любой другой общедоступный принтер. Сначала создается принтер на сервере, как описано ниже в этой главе. Затем, чтобы получить возможность веб-просмотра, необходимо установить службу WWW, входящую в состав служб Internet Information Services (рис. 9.9).

Рис. 9.9. Печать через Интернет

Управление доступом к принтерам

Перед установкой принтеров на сервере нужно определить параметры конфигурации, которые могут улучшить гибкость и эффективность сетевой печати. Затем можно переходить в папку Printer and Faxes для установки и конфигурирования принтеров.
В среде Windows Server 2003 не нужно иметь взаимно однозначную связь между принтерами (программными средствами) и устройствами печати (физическим оборудованием). Соединяя принтеры и устройства печати различными способами, можно гибко использовать средства печати (рис. 9.10— рис. 9.12; под изображениями принтеров показаны их логические имена).

Рис. 9.10. Один принтер — одно устройство печати

Возможность назначать несколько принтеров одному устройству печати обеспечивает пользователям гибкость при печати документов. Например, два принтера, связанные с одним устройством печати, могут поддерживать различные параметры печати: один может печатать страницы-разделители, а другой — нет. Возможно, один принтер может задерживать документы и печатать их ночью, в то время как другой обрабатывает документы 24 часа в сутки.

Рис. 9.11. Несколько принтеров — одно устройство печати

Рис. 9.12. Один принтер — несколько устройств печати

Отсрочка печати документов

Один из способов оптимизации работы устройств печати состоит в том, чтобы распределить время печати. Например, если нагрузка на принтер велика в течение дня, можно откладывать печать менее важных документов, направляя их на принтер, который печатает только в более свободное время.
Для этого на вкладке Advanced (Дополнительно) (см. рис. 9.20) диалогового окна Properties (Свойства) принтера нужно задать время, в течение которого принтер может печатать документы. Когда указывается время печати, диспетчер очереди печати принимает документы в любое время, но не отправляет их на целевое устройство печати до обозначенного времени начала печати. По достижении времени окончания периода печати диспетчер очереди печати останавливает отправку документов на устройство печати и сохраняет любые остающиеся документы, пока не настанет время нового периода печати (рис. 9.13).

Рис. 9.13. Отсрочка печати документов

Срочность печати и уровни приоритета

Если требуется напечатать документ немедленно и обойти в очереди документы, ожидающие на устройстве печати, можно сделать это, создав принтеры с различными уровнями приоритета. (Приоритет печати устанавливается на вкладке Advanced окна Properties.) Если два принтера связаны с одним устройством печати, первыми будут печататься документы, направленные на принтер с самым высоким уровнем приоритета (самый большой номер) (рис. 9.14).

Рис. 9.14. Установка уровней приоритетов печати

Чтобы использовать преимущества такой системы приоритетов, необходимо создать несколько принтеров, которые привязаны к одному устройству печати. Нужно назначить каждому принтеру уровень приоритета, а затем создать группу пользователей, которые привязываются к каждому принтеру. Например, пользователи в группе Group 1 могли бы иметь права доступа к принтеру с приоритетом 1, пользователи в группе Group2 — к принтеру с приоритетом 2 и т. д. Таким образом, можно располагать документы по приоритетам в соответствии с группами пользователей, посылающими на печать свои документы.

Использование пула печати

Пул печати состоит из двух или более идентичных устройств печати, связанных с одним принтером. Чтобы установить пул, нужно создать принтер при помощи Мастера установки принтера (Add Printer Wizard) и назначить для него столько портов вывода, сколько имеется идентичных устройств печати. (Система не устанавливает никакого ограничения на число принтеров в пуле.) Если какое-либо устройство печати будет свободно, оно и получит следующий документ. Подобная схема максимизирует использование устройств печати и уменьшает время ожидания пользователем печати своего документа (рис. 9.15).

Рис. 9.15. Пул принтеров

Характеристики пула принтеров перечислены ниже.

  • Все устройства в пуле одной модели и функционируют как одно устройство. Все установки параметров печати относятся ко всему пулу.
  • Порты принтера могут быть одного или разных типов (параллельные, последовательные или сетевые).
  • Когда пул принтеров получает документ, диспетчер очереди печати проверяет состояние физических устройств печати, чтобы определить, которое из них свободно.
  • Если одно устройство внутри пула останавливает печать, например, когда в нем кончается бумага, это задержит только один документ, посланный на данное устройство печати. Другие документы продолжают печататься на других устройствах пула, в то время как задержанный документ ждет, пока нефункционирующее устройство не будет исправлено или пока он не будет послан на печать заново.

Невозможно предсказать, какой принтер пула получит определенный документ. Если активна служба сообщений Windows Server 2003 (Messenger Service), рабочая станция получит сообщение, которое указывает, что печать документов выполнена и сообщает порт вывода принтера. Если вы не хотите, чтобы пользователи следили за этими сообщениями и искали тот принтер, на котором реально распечатался документ, то желательно поместить устройства печати, объединенные в пул, в одном физическом месте.

Создание принтеров

После принятия решения о том, как пользователи будут совместно использовать сетевые принтеры, необходимо подключить устройства печати к сети. Совместно используемые устройства печати могут быть подключены к параллельным или последовательным портам компьютера-сервера печати или непосредственно к сети, если они имеют встроенную плату сетевого адаптера.
При создании принтера требуется:

  • выбрать порт принтера (если используется пул принтеров, выбрать несколько портов);
  • указать изготовителя принтера и модель;
  • задать имя принтера;
  • определить имя общего ресурса принтера для доступа к нему сетевых пользователей (если имеются клиенты Windows 3.x или MS-DOS, которые будут обращаться к этому принтеру по сети, используется короткое имя — до 8 символов).

Когда подключается новый локальный принтер и мастер установки принтера спрашивает о выборе порта принтера, в списке существующих портов обычно выбирается один из параллельных портов (LPT). Однако некоторые устройства печати и графопостроители подключаются через последовательные порты (СОМ).
После задания общих характеристик принтера можно назначить принтеру некоторые зависящие от устройств параметры (шрифты, объем памяти принтера, возможность цветной печати и т. д.). От настройки параметров зависит то, как пользователи будут работать с устройством печати. Параметры принтера также определяют расписание работы, публикацию в каталоге и установки защиты. Если эти параметры не задавать, Windows Server 2003 использует установки по умолчанию.

Примечание

Чтобы создать принтер на сервере печати, нужно зарегистрироваться на нем в качестве члена групп Administrators или Power Users.

В Windows Server 2003 мастер установки принтера по умолчанию разрешает совместное использование принтера и публикует его в Active Directory, если это не отменено во время установки в окне мастера. В дальнейшем эти установки можно изменять в любой момент.
Если в будущем понадобится совместно использовать принтер для клиентов, отличных от Windows 2000/XP или Windows Server 2003, нужно установить соответствующие (дополнительные) драйверы принтера для этих клиентов на сервере печати.

Установка локального принтера

Проще всего установить принтер для локального устройства печати. Подключите физически устройство печати к компьютеру и включите их. Если устройство печати соответствует стандарту Plug and Play, то система автоматически распознает новое устройство и установит нужный драйвер. После этого вам необходимо лишь будет проверить выбранное для принтера имя и разрешить общий доступ к нему, если это требуется.
При возникновении проблем с установкой или если принтер не распознается автоматически, драйвер можно установить вручную. Перечислим основные шаги.
1. Откройте папку Printers and Faxes и выберите задачу Add a printer (Установка принтера) на панели Printer Tasks (Задачи), чтобы запустить мастер установки принтера.
2. Установите переключатель Local Printer attached to this computer (Локальный принтер) и сбросьте флажок Automatically detect and install my Plug and Play printer (Автоматическое определение и установка принтера Plug and Play).
3. Выберите порт, к которому подключено устройство. Обычно это порт LPT1.
4. Укажите производителя и модель устройства печати.
5. Введите имя принтера и укажите, будет ли он использоваться по умолчанию.
6. Укажите режим совместного использования принтера и введите его общее имя, если принтер будет использоваться совместно.
После того как драйвер принтера будет установлен, проверьте его работу, распечатав пробную страницу.
Процедура локальной установки устройства с сетевым интерфейсом будет несколько отличаться. Отличия начинаются на шаге 3 процедуры, описанной выше.
1. При подключении к устройству печати по протоколу TCP/IP установите переключатель Create a new port (Создать порт) и в списке Type of port (Тип порта) выберите значение Standard TCP/IP Port. Запустится мастер Add Standard TCP/IP Printer Port Wizard, который поможет вам создать новый порт.
2. На странице мастера Add Port (рис. 9.16) достаточно ввести IP-адрес устройства печати, при этом имя порта формируется автоматически. Это устройство должно быть включено и доступно!

Рис. 9.16. Создание нового порта принтера TCP/IP

Дальнейшая установка принтера происходит точно так же, как было описано выше.

Настройка принтера

В любой момент в диалоговом окне свойств принтера (рис. 9.17) можно просматривать и устанавливать следующие параметры принтера:

  • общие параметры (драйвер принтера и установки страницы-разделителя);
  • порт и параметры порта;
  • параметры планирования документов и очереди печати;
  • имя общего ресурса принтера и имя каталога, а также его местоположение;
  • установки безопасности;
  • параметры, зависящие от устройства.

Рис. 9.17.Диалоговое окно свойств принтера

Чтобы вызвать диалоговое окно свойств принтера, откройте папку Printers and Faxes, выберите нужный принтер, а затем на боковой панели задач щелкните ссылку задачи Set printer properties (Установка свойств принтера) или выполните команду Properties в контекстном меню.

Совместное использование и публикация принтеров

На вкладке Sharing (Доступ) окна свойств принтера (рис. 9.18) можно разрешить общий доступ к принтеру. Для этого выберите переключатель Share this printer (Общий ресурс), а затем введите имя общего ресурса (принтера) в поле ввода.

Рис. 9.18. Управление доступом и драйверами

Хотя можно создавать принтеры с длинными именами, содержащими пробелы и специальные символы, некоторые клиенты не распознают такие имена или обрабатывают их неправильно. Если в сети есть клиенты с различными операционными системами, желательно, чтобы длина общего имени принтера не превышала 12 символов, которые не содержат пробелов или специальных символов.
Клиент Windows Server 2003 может устанавливать соединение с принтером, используя или имя принтера, или имя общего ресурса принтера. Клиент, работающий под управлением другой операционной системы, устанавливает соединение с принтером с указанием имени общего ресурса принтера. Если принтеры совместно используются в сети с компьютерами под управлением MS-DOS, имя общего ресурса должно иметь длину не более 8 символов, за которыми могут следовать точка и от 1 до 3 символов, имя также не должно содержать пробелы.

Примечание

Чтобы печатать из приложений MS-DOS под Windows Server 2003 на серверах печати Windows Server 2003, нужно сначала выполнить команду net use из командной строки Windows Server 2003. Для получения более подробной информации об использовании этой команды выполните команду net use /? в командной строке.

На вкладке Sharing можно также разрешить публикацию принтера в каталоге Active Directory (флажок List in the directory). Заданное по умолчанию имя в каталоге — \\server_name\share_name.

Выбор и конфигурирование порта

В табл. 9.1 перечислены типы портов, драйверы для которых поставляются в Windows Server 2003. Обратите внимание, что некоторые порты могут не отображаться в списке доступных портов, пока связанная с ними служба не будет установлена на компьютере. Например, порт LPR требует установки служб печати для UNIX.

Таблица 9.1. Типы портов принтера

Дополнительный порт | Дает возможность клиенту печатать | Доступен
AppleTalk Printing Devices (Устройство печати AppleTalk) | На устройствах печати AppleTalk | Когда протокол AppleTalk установлен
Local Port (Локальный порт) | На устройствах печати, подключенных к параллельному или последовательному портам, в файл, на устройствах с именем в формате UNC или в NUL-порт | По умолчанию
LPR Port (Порт LPR) | Из приложения LPR на принтерах Windows Server 2003 | Когда установлены службы Print Service for Unix
Standard TCP/IP Port (Стандартный порт TCP/IP) | На устройствах печати, подключенных непосредственно к сети | По умолчанию

Управление портами осуществляется на вкладке Ports (Порты) в окне свойств принтера (рис. 9.19).

Рис. 9.19. Управление портами принтеров

Изменение параметров планирования и очереди печати

На вкладке Advanced (Дополнительно) диалогового окна свойств принтера можно изменять параметры планирования документов и очереди печати (рис. 9.20 и табл. 9.2). Эти параметры можно разбить на несколько категорий:

  • диапазон времени, когда принтер доступен;
  • приоритет принтера;
  • опции очереди печати;
  • установки по умолчанию;
  • страница-разделитель.

Рис. 9.20. Параметры планирования и очереди печати

Таблица 9.2. Параметры планирования и спулинга

Параметр | Описание
Always available (Доступен всегда) и Available from ... То ... (Доступен с ... до ...) | Определяет, когда принтер доступен
Priority (Приоритет) | Устанавливает приоритет очереди печати (0-99); документы с более высоким приоритетом печатаются в первую очередь
Start printing after last page is spooled (Начинать печать после помещения в очередь всего задания) | Предотвращает задержки, когда сервер печати печатает страницы быстрее, чем клиент может их посылать
Start printing immediately (Начинать печать немедленно) | Предписывает печатать документы настолько быстро, насколько это возможно (значение по умолчанию)
Print directly to the printer (Печатать прямо на принтер (ускорение вывода на печать)) | Посылает документы на устройство печати без предварительной записи их на жесткий диск сервера печати
Hold mismatched documents (Задерживать документы с неподходящими параметрами) | Предписывает сохранять документы, посланные в очередь, если они не соответствуют доступной форме. Эта опция разрешает пропускать другие документы, которые соответствуют форме, на печать до тех пор, пока не будет загружена правильная форма
Print spooled documents first (Первыми печатать документы из очереди) | Предписывает диспетчеру очереди печати печатать документы в порядке, в котором они находятся в очереди (по окончании передачи), а не в порядке, в котором они начинают посылаться в очередь. Используйте эту опцию вместе с опцией Start printing immediately
Keep printed documents (Сохранять документы после печати) | Разрешает пользователям повторно посылать документы из очереди печати вместо того, чтобы посылать их заново из прикладной программы
Enable advanced printing features (Включить дополнительные возможности печати) | Разрешает использование таких возможностей, как инвертирование очередности печати страниц, печать нескольких страниц на одном листе и др.

Использование страниц-разделителей

Можно настроить принтер так, чтобы в начале каждого документа печаталась одна или больше страниц-разделителей. (Страницы-разделители обычно содержат информацию о том, кто отправил на печать данный документ, а также дату и время печати.)
Чтобы выбрать файл страницы-разделителя, нажмите кнопку Separator Page (Страница-разделитель) на вкладке Advanced (Дополнительно) окна свойств принтера. В открывшемся окне введите имя файла страницы-разделителя вручную или нажмите кнопку Browse (Обзор) и выберите файл. Можно использовать одну из четырех страниц-разделителей (файлы с расширением sep в папке %SystemRoot%/system32), поставляемых вместе с системой, или создать собственный файл страницы-разделителя.
В табл. 9.3 приведены имена четырех стандартных страниц-разделителей, указаны назначение каждой и тип принтера, с которым она является совместимой. Любую страницу-разделитель можно отредактировать. По умолчанию все файлы страниц-разделителей хранятся в папке %SystemRoot%\ system32.

Таблица 9.3. Стандартные страницы-разделители, поставляемые с Windows Server 2003

Имя файла | Назначение | Совместимость
pcl.sep | Переключает принтер в режим печати PCL и печатает страницу-разделитель перед каждым документом | PCL
pscript.sep | Переключает принтер в режим печати PostScript, но не печатает страницу-разделитель перед каждым документом | PostScript
sysprint.sep | Переключает принтер в режим печати PostScript и печатает страницу-разделитель перед каждым документом | PostScript
sysprtj.sep | Печатает страницу-разделитель перед каждым документом с указанием параметров задачи | PostScript

Пользовательские страницы-разделители

Чтобы создать страницу-разделитель, можно переименовать и изменить один из поставляемых файлов-разделителей. Табл. 9.4 содержит команды, которые можно включать в файл страницы-разделителя. Система заменяет эти команды-разделители соответствующими данными, которые будут посланы непосредственно на принтер.
Команды-разделители всегда начинаются со специального символа и заканчиваются символом или номером. Первая строка пользовательской страницы-разделителя должна содержать только команду-разделитель.

Таблица 9.4. Команды, применяемые в страницах-разделителях

Команда | Функция
\ | Первая строка файла-разделителя состоит из одного символа. Интерпретатор файлов разделителей считает его командой-разделителем для всего файла-разделителя. Здесь таким символом считается обратный слэш (\)
\N | Печатает имя пользователя, который послал документ на печать
\I | Печатает номер документа
\D | Печатает дату, когда документ был напечатан. Представление даты соответствует установкам утилиты "Язык и региональные стандарты" (Regional Options) на панели управления
\Т | Печатает время, когда документ был напечатан. Представление времени соответствует установкам утилиты "Язык и стандарты на панели управления"
\Lxxxx | Печатает все символы, идущие после него (хххх), пока встретится другая команда-разделитель или пока не достигнута ширина страницы-разделителя (см. команду \wnn)
\Fpathname | Печатает содержимое файла, определяемого параметром pathname, начиная с пустой строки. Содержание этого файла копируется непосредственно на принтер без обработки
\Hnn | Посылает специфическую для принтера управляющую последовательность, где nn— шестнадцатеричный код ASCII, посылаемый непосредственно на принтер. Конкретные значения см. в руководстве принтера
\Wnn | Устанавливает ширину страницы-разделителя в символах (по умолчанию — 80; максимальная ширина — 256). Любые печатаемые символы вне этой ширины усекаются
\B\S | Печатает текст блочными символами одиночной ширины, пока не встретится команда \и
\E | Прогоняет страницу. Используйте этот код, чтобы начать новую страницу разделителя или закончить файл страницы-разделителя. Если принтер выдает дополнительную пустую страницу-разделитель при печати, нужно удалить этот код из файла страницы-разделителя
\n | Пропускает n строк (от 0 до 9). При n = 0 продолжает печать на следующей строке
\B\M | Печатает текст блочными символами двойной ширины, пока не встретится команда \и
\U | Выключает блочные символы

Безопасность принтера

Средства безопасности Windows Server 2003 позволяют управлять доступом к принтерам, отслеживать использование принтера и получение прав владельца, а также становиться его владельцем (take ownership).
По умолчанию все вновь созданные общие принтеры доступны всем пользователям сети. Чтобы ограничить доступ к принтеру, нужно изменить установки разрешения принтера для заданной группы или пользователя. Для этого необходимо быть владельцем принтера или пользователем, которому предоставлено разрешение на управление принтером. Эти свойства доступны на вкладке Security (Безопасность) окна свойств принтера (рис. 9.21); список имеющихся функций печати и основных разрешений приведен в табл. 9.5.

Рис. 9.21. Вкладка Security окна свойств принтера позволяет управлять доступом к нему

Таблица 9.5. Управление доступом к принтеру

Функции печати, которые можно выполнять | Разрешения
 | Print (Печать) | Manage Documents (Управление документами) | Manage Printers (Управление принтерами)
Печатать документы | + | + | +
Приостанавливать, продолжать, перезапускать и отменять печать документа, принадлежащего пользователю | + | + | +
Устанавливать соединение с принтером | + | + | +
Управлять установками для всех заданий печати |  | + | +
Приостанавливать, перезапускать и удалять все документы |  | + | +
Выделять принтер в совместное использование |  |  | +
Изменять свойства принтера |  |  | +
Удалять принтер |  |  | +
Изменять разрешения принтера |  |  | +

По умолчанию на компьютерах под управлением Windows Server 2003, входящих в домен, разрешения Manage Printers и Manage Documents имеют только члены групп Administrators, Print Operators (Операторы печати) и Server Operators (Операторы сервера). Все остальные пользователи имеют разрешение Print (т. е. могут управлять собственными документами).

Аудит принтера

При помощи механизма аудита отслеживается использование принтера. Для конкретного принтера можно определить группы, пользователей и действия, которые требуется отслеживать. Можно отслеживать и успешные, и неудачные действия. Аудит можно вести как для принтера, так и для документов (индивидуально или вместе). Система сохраняет информацию, сгенерированную службой аудита в файле, который можно просматривать с помощью оснастки Event Viewer (Просмотр событий).
Чтобы выполнять аудит принтера, сначала нужно включить политику доступа к объектам (см. главу 21 "Использование групповых политик"), а затем в окне свойств выбранного принтера перейти на вкладку Security (см. рис. 9.21) и нажать кнопку Advanced (Дополнительно). В окне Advanced Security Settings (Дополнительные параметры безопасности) перейдите на вкладку Audit (Аудит). Нажмите кнопку Add (Добавить) и выберите пользователя или группу, для которых будет вестись аудит. В окне Auditing Entry (Элемент аудита) (рис. 9.22) установите флажки для тех операций доступа к принтеру, которые необходимо отслеживать.
Для отслеживания событий, производимых с принтером, нужно выбрать параметры аудита, показанные в табл. 9.6.

Рис. 9.22. В этом окне выбираются события аудита принтера

Таблица 9.6. События, связанные с печатью, для которых возможен аудит

Отслеживаемые события | Print (Печать) | Manage Printers (Управление принтерами) | Manage Documents (Управление документами) | Read Permissions (Чтение разрешений) | Change Permissions (Смена разрешений) | Take Ownership (Смена владельца)
Печать документов | + | - | - | - | - | -
Изменение предпочтений печати | + | - | - | - | - | -
Изменение свойств заданий на печать | - | - | + | - | - | -
Приостановка и продолжение печати, печать документов с начала и удаление документов | - | - | + | - | - | -
Изменение параметров документов по умолчанию | - | + | + | - | - | -
Установка принтера в совместное использование | - | + | - | - | - | -
Изменение свойств принтера | - | + | - | - | - | -
Удаление принтера | - | + | - | - | - | -
Просмотр разрешений на принтер | - | - | - | + | - | -
Изменение разрешений на принтер | - | - | - | - | + | -
Получение прав владельца принтера | - | - | - | - | - | +

Установка параметров, зависящих от устройства

Зависящие от устройства параметры принтера описывают физическую конфигурацию устройства печати: какие бумажные лотки установлены, сколько памяти имеет устройство и т. п. Эти параметры изменяются от устройства к устройству. При создании принтера используйте вкладку Device Settings (Параметры устройства) окна свойств принтера (рис. 9.23), чтобы удостовериться, соответствуют ли значения параметров, зависящих от устройства, установкам устройства печати. Хотя значения по умолчанию работают для многих конфигураций печати, некоторые специальные опции печати (например, для драйверов PostScript-принтера) требуют настройки.

Рис. 9.23. Параметры, зависящие от устройства печати

Установка параметров памяти принтера

Поскольку постранично печатающие устройства должны хранить в памяти всю страницу, они требуют относительно больших объемов памяти. Если используется подобное устройство, например лазерный принтер, необходимо удостовериться, что объем памяти, имеющейся в устройстве (параметр Total Printer Memory (Память принтера)), соответствует значению, указанному на вкладке Device Settings (Параметры устройства) в окне свойств принтера. Если это значение не соответствует реальному, то производительность печати может снизиться, возможно также возникновение сбоев. Например, система может ошибочно загрузить в принтер больше шрифтов, чем тот в состоянии обработать. (При самотестировании принтер обычно сообщает объем установленного ОЗУ.)

Настройка параметров сервера печати

Чтобы просмотреть и установить параметры сервера печати, нужно в окне Printers and Faxes из меню File выбрать команду Server Properties (Свойства сервера). С помощью диалогового окна Print Server Properties (Свойства сервера печати) можно:

  • создать пользовательские формы, доступные для всех принтеров на сервере;
  • изменить установки портов для всех портов на сервере (рис. 9.24);
  • установить драйверы принтера для различных аппаратных платформ и операционных систем;
  • выбрать новое расположение файла спулинга, установить регистрацию ошибок диспетчера очереди печати и задать опции уведомления для всех принтеров на сервере.

Рис. 9.24. Вкладка окна свойств сервера печати, позволяющая настраивать порты печати

Использование форм печати

Модель печати Windows Server 2003 основана на понятии формы (form), в отличие от модели печати, основанной на понятии лотка (tray). В Windows Server 2003 администратор сервера печати конфигурирует сервер печати, определяя форму, загруженную в каждый источник бумаги (лоток). Форма задается с помощью следующих критериев: размер бумаги, границы печати принтера, имя формы. Выполняя Windows-приложения, каждый пользователь может выбирать желаемую форму печати. Это освобождает его от необходимости знать, какую форму содержит каждый лоток. Модули диспетчера очереди печати сервера печати Windows Server 2003 содержат назначения лотков и параметров форм и посылают команды устройству печати, чтобы оно выбрало правильный лоток.
Приложения Windows могут использовать различные формы печати в пределах одного документа: например, форму Envelope (Конверт) для первой страницы, форму Letterhead (Фирменный бланк) для второй страницы и Letter (Письмо) для третьей и последующих страниц.

Создание пользовательских форм

Любой пользователь, имеющий для принтера разрешение Manage Printers, может определить новую форму. Например, можно создать форму, которая использует формат бумаги Letter и нестандартные отступы для специальных бланков. Можно также создать несколько форм, имеющих один и тот же размер бумаги или одинаковые отступы в соответствии со специфическими потребностями пользователя.

Рис. 9.25. Назначение лотку принтера формы "A4-Special", созданной пользователем

Например, можно создать формы, которые имеют уникальные имена, но общие размер бумаги и область печати, чтобы различать фирменные бланки разных отделов.
Новые определения форм добавляются в базу данных сервера печати и сохраняются в ней, а не на принтере. Для создания новой формы нужно использовать вкладку Forms (Формы) в окне свойств сервера печати. Формы назначаются конкретному устройству печати и лотку при помощи вкладки Device Settings (Параметры устройства) диалогового окна свойств принтера (рис. 9.25).

Установка драйверов принтера для различных платформ

Различные аппаратные платформы и операционные системы требуют своих драйверов принтера (рис. 9.26).

Рис. 9.26. Настройка драйверов принтера для различных платформ

Например, чтобы использовать принтер, подключенный к компьютеру с Windows Server 2003, клиенту, который работает под Windows 4.0, требуется соответствующий драйвер принтера. Драйвер может быть установлен локально или на компьютере-сервере печати (предпочтительный вариант).
Если в сети имеются компьютеры с разными версиями Windows и на различных типах процессоров (Intel-совместимых или Itanium), устанавливать драйверы принтера для них лучше на каждом сервере печати. Это гарантирует, что документы, полученные от клиента Windows NT/2000 или Windows 9x/ME, работающего на процессоре любого типа, могут выводиться на всех устройствах печати. Вот полный список поддерживаемых драйверов: Intel-совместимые платформы (Windows 9x/ME, Windows NT 4.0, Windows 2000, Windows XP и Windows Server 2003), Itanium (Windows XP и Windows Server 2003).
Сервер печати Windows Server 2003 определяет, с каких систем и компьютеров выполняется обращение и автоматически посылает соответствующий драйвер клиенту.
Чтобы добавить поддержку для других платформ и систем, можно также использовать окно свойств принтера — вкладка Sharing, кнопка Additional Drivers (Дополнительные драйверы) (см. рис. 9.18).

Установка дополнительных параметров сервера

При помощи вкладки Advanced (Дополнительные параметры) в окне свойств сервера печати можно (рис. 9.27):

  • указать местоположение папки очереди печати (каталога спулинга);
  • разрешить регистрацию событий очереди печати;
  • сконфигурировать сервер печати так, чтобы он подавал звуковой сигнал в случае ошибок при посылке документов на печать;
  • сконфигурировать сервер печати так, чтобы он сообщал клиенту, когда удаленный документ закончил печать.

Если задается каталог спулинга, размещенный в файловой системе NTFS, пользователи должны иметь разрешение Change (Изменять) для того, чтобы осуществлять печать.
Если разрешена регистрация событий диспетчера очереди печати, Windows Server 2003 регистрирует ошибки в журнале System. Чтобы просмотреть файл регистрации системных событий, используйте оснастку Event Viewer (Просмотр событий).

Рис. 9.27. Дополнительные настройки сервера печати

Управление очередью печати

Все непосредственное управление принтерами и документами происходит с помощью папки Printers and Faxes. Некоторые опции управления очередью управляют всей очередью печати, другие управляют одним документом в очереди.
При управлении очередью можно:

  • просмотреть список документов для каждого установленного принтера;
  • приостановить или продолжить печать;
  • удалить документы, ожидающие печати, т. е. очистить очередь.

При управлении документами можно:

  • приостановить или продолжить печать документа;
  • перезапустить печать документа;
  • удалить документ из очереди;
  • просмотреть и (необязательно) изменить различные установки документа (например, приоритет документа и имя пользователя, который будет оповещен об окончании печати документа). Можно просматривать (но не изменять) тип формы, источник бумаги, ориентацию страницы и число копий

В табл. 9.7 перечислены права, которые имеют пользователи групп Administrators и Power Users (групп Administrators, Print Operators и Server Operators — при работе в домене), а также обычные пользователи, при управлении очередями печати.

Таблица 9.7. Стандартные права пользователей печати по управлению заданиями

Задача | Пользователи с административными правами | Обычные пользователи
Просмотр всех заданий | + | +
Приостановка и возобновление работы принтера | + | -
Приостановка, отмена, диспетчеризация и перенаправление любых заданий | + | -
Приостановка, отмена, диспетчеризация и перенаправление своих заданий | + | +
Запуск задания с начала | + | +
Просмотр и изменение параметров задания | + | +
Просмотр форм, источников и ориентации бумаги, числа копий | + | +

Мониторинг удаленных принтеров

Можно управлять локальным или удаленным сервером печати с любого клиента Windows в сети, если у пользователя имеется разрешение Manage Printers (Управление принтерами) на этом сервере печати. Выбирая принтер из сетевого окружения, можно дистанционно управлять параметрами принтера и создавать новые принтеры точно так же, как это делается локально. В Windows Server 2003 появилась также возможность дистанционного администрирования портов сервера печати.
Любой сетевой пользователь может проверять состояние удаленного принтера. Однако управлять документами, отличными от их собственных документов, могут только пользователи, имеющие разрешения Manage Printers (Управление принтерами) или Manage Documents (Управление документами) для принтера. Если нет соответствующего разрешения, некоторые опции недоступны. Также при попытке просмотра некоторых параметров на компьютерах, работающих с предыдущими версиями Windows NT, может появиться сообщение об ошибке.

Совет

Чтобы быстро обращаться к принтерам, которыми часто приходится управлять, создайте для них ярлыки на рабочем столе. Ссылка (ярлык) на принтер создается перемещением значка принтера из папки Printers and Faxes (Принтеры и факсы) или My Network Places (Сетевое окружение) на рабочий стол (во втором случае, если принтер не установлен, система предложит инсталлировать его). Система предложит создать ярлык для выбранного принтера — следует ответить утвердительно.


Предисловие

После трехлетнего перерыва (напомним, что разработка систем Windows 2000 была завершена в декабре 1999 г.) компания Microsoft выпустила очередную серверную операционную систему (ОС) — Windows Server 2003. Клиентские и серверные версии Windows 2000 появились одновременно. Выпуск следующих версий своих операционных систем (которые разрабатывались под кодовым названием Whistler) компания Microsoft разнесла во времени: настольная версия под именем Windows XP (сборка 2600) была закончена в августе 2001 г., а семейство серверных систем Windows Server 2003 (сборка 3790) было запущено в производство в конце марта 2003 г. (Выпуск следующей, принципиально настольной версии Windows, имеющей кодовое название Longhorn, состоится не ранее 2005 г., а серверная платформа появится еще позже.)
В свое время один из членов руководства компании Microsoft на презентации ОС Windows XP назвал ее "доделанной" Windows 2000. Эти же слова можно перенести и на Windows Server 2003: системы этого семейства имеют не так много принципиально новых решений, они являются эволюционным развитием серверных продуктов Windows 2000 и предлагают более законченные и надежные реализации тех революционных (по сравнению с Windows NT 4.0) изменений, которые появились в Windows 2000. В первую очередь это относится к службе Active Directory, на базе которой строятся домены Windows 2000/Windows Server 2003, средствам управления на базе Microsoft Management Console, механизму групповых политик, сетевым и файловым службам. Впрочем, нужно отметить, что семейство Windows Server 2003 унаследовало немало возможностей системы Windows XP, которые отсутствовали в Windows 2000.
Выпущены четыре редакции ОС, образующих семейство Windows Server 2003, которые в первую очередь различаются по степени масштабируемости и производительности. Подавляющее большинство возможностей Windows Server 2003 (начиная от средств конфигурирования систем и заканчивая настройкой серверных служб), рассматриваемых в этой книге, присуще всем редакциям. Поэтому, говоря о Windows Server 2003, мы практически всегда подразумеваем любую систему из этого семейства. Основные функциональные различия между редакциями Windows Server 2003 указаны во Введении.


Введение

  • Введение
  • Сравнение версий Windows Server 2003
  • Системные требования
  • Обновление систем
  • Основные требования, выдвигаемые при проектировании системы
    • Простота управления и снижение общей стоимости владения (Total Cost of Ownership, TCO)
    • Повышение надежности и защищенности систем
    • Обеспечение масштабируемости и высокой производительности
  • Общая характеристика систем
    • Windows Server 2003, Standard Edition
    • Windows Server 2003, Enterprise Editio
    • Windows Server 2003, Datacenter Edition
    • Windows Server 2003, Web Edition
  • Основные возможности систем Windows Server 2003
    • Служба Active Directory и Windows Server 2003
    • Новые возможности Windows Server 2003
      • Manage Your Server Wizard
      • Network Load Balancing (NLB)
      • Службы электронной почты (РОРЗ)
      • Active Directory Migration Tool (ADMT) v2.0
      • Теневое копирование томов
    • Возможности, унаследованные от Windows XP Professional
      • Удаленный доступ к рабочему столу (Remote Desktop)
      • Откат драйверов (Device Driving Roolback)
      • Восстановление системы
      • Запись на диски CD-R и CD-RW
      • Поддержка ZIP-архивов
      • Встроенный брандмауэр (Internet Connection Firewall)
      • Встроенный сетевой мост (Network Bridge)
      • Windows Media Player 9.0
      • Совместное использование факсов
      • Перенос пользовательских настроек (File and State Transfer Wizard)
      • Определение действующих групповых политик (Resultant Set of Policy, RsoP)
      • Справка и поддержка (Help and Support Center)
    • Возможности, появившиеся в Windows 2000
    • Новые технологии, готовящиеся к выпуску
      • Group Policy Management Console (GPMC)
      • Active Directory in Application Mode (ADAM)
      • Real-Time Communications (RTC) Server

Введение

Операционные системы (ОС) семейства Windows Server 2003 являются эволюционным развитием серверной платформы Windows 2000 Server, также включившим в себя многие средства систем Windows XP. Нелишне напомнить, что ОС Windows 2000 имеют внутренний номер версии 5.0, а системы Windows XP вышли под номером 5.1. Семейство Windows Server 2003 (сборка (build) 2790) имеет версию 5.2. (Грубо говоря, можно считать, что версия 5.2 равна версии 5.1 плюс Service Pack 1 плюс серверные службы плюс обновления, вышедшие с момента появления Windows XP.)
Семейство Windows Server 2003 включает в себя четыре редакции (версии) операционных систем (их назначения и характеристики рассматриваются ниже):

  • Windows Server 2003, Standard Edition;
  • Windows Server 2003, Enterprise Edition;
  • Windows Server 2003, Datacenter Edition;
  • Windows Server 2003, Web Edition.

Несколько упрощая ситуацию, эти редакции можно рассматривать как различные конфигурации (комплектации) одного и того же "базового" ядра. Большинство системных сервисов поддерживается во всех редакциях, в то время как отдельные сервисы присутствуют или, наоборот, отсутствуют в более "мощных" моделях. В двух следующих разделах как раз и рассматриваются различия редакций Windows Server 2003 в плане функциональных возможностей и требований к аппаратным средствам.
В этой книге мы будем рассматривать возможности и службы, единые для всех четырех версий, поскольку именно они представляют интерес для широкого читателя. Поэтому в книге используется общее имя "Windows Server 2003", за которым может стоять любая редакция ОС семейства Windows Server 2003.
Системы Windows Server 2003 сохранили многие черты своих предшественниц — Windows 2000 Server и Windows XP, поэтому пользователям, знакомым с этими системами, будет легче освоить новую систему, чем пользователям систем линейки Windows 9x/ME.

Примечание

Одновременно с запуском в производство систем семейства Windows Server 2003 компания Microsoft также объявила о выпуске 64-разрядной ОС Windows XP 64-bit Edition Version 2003 — высокопроизводительной настольной платформы, рассчитанной на использование процессоров Itanium 2. Ее можно рассматривать как развитие системы Windows XP 64-bit Edition — также 64-разрядной настольной ОС с поддержкой процессоров Itanium первого поколения.

Сравнение версий Windows Server 2003

В табл. 1 перечислены основные функциональные возможности и службы, реализованные в различных редакциях Windows Server 2003. Эту информацию нужно учитывать при выборе версии системы, наиболее подходящей для решения конкретных задач.
В таблице использованы следующие обозначения: значок + означает, что данная функция или служба поддерживается полностью; значок | означает, что поддержка данной возможности ограничена, а прочерк свидетельствует о том, что указанная функция или служба вообще не поддерживается.

Таблица 1. Сравнение функциональных возможностей различных редакций Windows Server 2003

Возможность или служба | Standard Edition | Enterprise Edition | Datacenter Edition | Web Edition
Поддержка процессоров Itanium | - | + | + | -
Оперативное расширение (hot add) ОЗУ |  | + (только 32-разрядные версии) | + (только 32-разрядные версии) |
Active Directory | + | + | + | |
Брандмауэр Internet Connection Firewall | + | + | - | -
Службы сертификатов, смарт-карты и Public Key Infrastructure (PKI) | | | + | + | |
Удаленное администрирование (Remote Desktop for Administration) | + | + | + | +
Terminal Server | + | + | + | -
Каталог сессий (Terminal — Server Session Directory) | - | + | + | -
Network Load Balancing (NLB) | + | + | + | +
Cluster Service | - | + | + | -
Поддержка виртуальных частных сетей (VPN) | - | + | + | |
Internet Authentication Service (IAS) | + | + | + | -
Сетевой мост (Network Bridge) | + | + | + | -
Общий доступ к Интернету (Internet Connection Sharing, ICS) | + | + | - | -
IPv6 | + | + | + | +
Распределенная файловая система (Distributed File System, DPS) | + | + | + | +
Шифрующая файловая сиетема (Encrypted File System, EFS) | + | + | + | +
Теневое копирование (Shadow Copy) | + | + | + | +
Съемные носители и удаленное хранилище (Removable and Remote Storage) | | | + | + | -
Fax Service | + | + | + | -
Services for Macintosh | + | + | + | -
IntelliMirror | + |  |  | |
Результирующая политика (Group Policy Results) | + | + | + | |
Удаленная установка системы (Remote OS Installation) | + | + | + | +
Службы удаленной установки (Remote Installation Services, RIS) | + | + | + | -
Internet Information Services (IIS) 6.0 | + | + | + | +
Windows Media Services | + | + | + | -
.NET Framework | + | + | + | +
ASP.NET | + | + | + | +
Enterprise UDDI Services | + | + | + | -

Примечание

Некоторые специфические системы, рассчитанные на использование в больших корпоративных сетях в данной книге не рассматриваются: в их числе служба кластеров (Cluster Service), съемные носители и удаленное хранилище (Removable and Remote Storage). Служба Removable Storage присутствует и в Windows XP, и в Windows Server 2003, Standard Edition, однако вряд ли ее использование будет целесообразно без удаленного хранилища (Remote Storage).

Системные требования

В табл. 2 перечислены основные требования, предъявляемые системами Windows Server 2003 к аппаратным средствам. Эти требования нужно учитывать при выборе оптимальной аппаратной конфигурации.
Следует учитывать, что 64-разрядные версии Windows Server 2003, Enterprise Edition и Windows Server 2003, Datacenter Edition могут устанавливаться только на компьютеры с процессорами Itanium.

Таблица 2. Требования к аппаратным средствам для разных версий Windows Server 2003

Характеристика | Standard Edition | Enterprise Edition | Datacenter Edition | Web Edition
Минимальное быстродействие процессора | 133МГц | 133 МГц для компьютеров на базе х86-совместимых процессоров 733 МГц для компьютеров с процессорами Itanium | 400 МГц для компьютеров на базе х86-совместимых процессоров 733 МГц для компьютеров с процессорами Itanium | 133МГц
Рекомендуемое быстродействие процессора | 550 МГц | 733 МГц | 733 МГц | 550 МГц
Минимальный поддерживаемый объем ОЗУ | 128 Мбайт | 128 Мбайт | 51 2 Мбайт | 128 Мбайт
Рекомендованный минимальный объем ОЗУ | 256 Мбайт | 256 Мбайт | 1 Гбайт | 256 Мбайт
Максимальный объем ОЗУ | 4 Гбайт | 32 Гбайт для компьютеров на базе х86-совместимых процессоров 512 Гбайт для компьютеров с процессорами Itanium | 64 Гбайт для компьютеров на базе х86-совместимых процессоров 512 Гбайт для компьютеров с процессорами Itanium | 2 Гбайт
Поддержка нескольких процессоров | До 4-х | До 8-ми » | Минимум 8 Максимум 64 | До 2-х
Дисковое пространство, необходимое для установки | 1 ,5 Гбайт | 1,5 Гбайт для компьютеров на базе х86-совместимых процессоров 2,0 Гбайт для компьютеров с процессорами Itanium | 1 ,5 Гбайт для компьютеров на базе х86-совместимых процессоров 2,0 Гбайт для компьютеров с процессорами Itanium | 1,5 Гбайт

Обновление систем

Системы Windows Server 2003 могут устанавливаться как обновления уже существующих систем с сохранением инсталлированного программного обеспечения, настроек пользователей, системы и служб. Обеспечивается обновление почти всех серверных версий Windows, начиная с Windows NT 4.0 Server (SP 5.0 и выше). Исходные системы и редакции Windows Server 2003, до которых можно обновить эти системы, перечислены в табл. 1.2 главы 1 "Планирование и установка системы".

Основные требования, выдвигаемые при проектировании системы

Системы семейства Windows Server 2003 предлагают все серверные возможности ОС Windows 2000 Server (включая совершенно новые средства), реализованные на обновленном ядре ОС Windows XP с учетом возросших требований к надежности и безопасности систем и данных. Можно выделить несколько целей, которые ставились при разработке линейки систем Windows Server 2003.

Простота управления и снижение общей стоимости владения (Total Cost of Ownership, TCO)

Для решения этой задачи в Windows Server 2003 использованы многие решения, прошедшие обкатку в предыдущих системах Microsoft, например, пользовательский интерфейс, консоль управления ММС (Microsoft Management Console), развитые средства удаленного администрирования, установки и удаления программ и встроенной диагностики процесса загрузки. Упрощен и автоматизирован сам процесс инсталляции системы.
Системы Windows Server 2003 в сочетании с клиентами, работающими под управлением Windows 2000 и Windows XP Professional, реализуют возможности технологии IntelliMirror, объединяющей в себе развитые средства администрирования:

  • централизованное администрирование корпоративной сети с использованием шаблонов политик безопасности и Active Directory; при этом используются как "старые" групповые политики, работающие и в среде Windows 2000, так и "новые", требующие доменов на базе Windows Server 2003 (количество групповых политик значительно увеличено даже по сравнению с Windows XP);
  • управление инсталляцией, обновлением, восстановлением и удалением программных продуктов;
  • поддержка рабочей конфигурации (документов, приложений и настроек системы) для мобильных пользователей;
  • удаленная инсталляция операционной системы с сервера, что упрощает замену или подключение компьютеров.

Повышение надежности и защищенности систем

Защищенность информации обеспечивается благодаря использованию модифицированной файловой системы NTFS 5.0, шифрующей файловой системы (EFS), коммуникационных протоколов, позволяющих создавать закрытые виртуальные частные сети (VPN), протокола аутентификации Kerberos (в доменах Active Directory) и технологий управления доступом, таких как смарт-карты.
Семейство Windows Server 2003 обеспечивает лучшую поддержку существующих приложений и драйверов по сравнению с Windows 2000. Системы имеют значительно расширенный список совместимых аппаратных устройств. Поддерживаются устройства нового поколения: компьютеры с возможностями управления питанием, шины AGP, USB и IEEE 1394, DVD-диски, адаптеры ATM, кабельные модемы и т. д.
В системах минимизирована необходимость перезагрузки (после добавлений протоколов или новых устройств и т. п.), повышена надежность драйверов устройств и предусмотрена возможность "отката" к предыдущей версии драйвера, используется новая служба Windows Installer, определяющая требования к процессу инсталляции программных продуктов. Для запуска устаревших программ можно также использовать мастер совместимости Program Compatibility Wizard.
Компания Microsoft провела целый ряд мероприятий, направленных на улучшение защищенности своих продуктов, в особенности при их работе в открытой сетевой среде — в частности, в Интернете. В результате многие возможности систем по умолчанию выключены, т. е. недоступны для злоумышленников. В первую очередь это относится к службам Интернета (Internet Information Services) и программам Internet Explorer и Outlook Express. Чтобы разрешить "активный" код и выполнение действий со стороны клиентов, администратор должен предпринять определенную последовательность осознанных действий, за которые уже он будет нести ответственность. Таким образом, неконтролируемый доступ к информации и системе становится значительно менее вероятным.

Обеспечение масштабируемости и высокой производительности

В системах Windows Server 2003 используется традиционное для линейки Windows NT/2000 многозадачное выполнение приложений, обеспечивается масштабируемая поддержка памяти и процессоров, служба индексирования ускоряет поиск информации на локальных дисках. Использование кластеров и поддержка ОЗУ большого объема позволяют создавать высокопроизводительные платформы для критически важных задач.

Общая характеристика систем

Сначала уточним, на какие задачи ориентирована каждая редакция семейства Windows Server 2003, а затем опишем их основные возможности более подробно.

Windows Server 2003, Standard Edition

Универсальная сетевая система общего назначения, предназначенная для корпоративного использования при решении самых разных задач: поддержка служб печати и файловых сервисов, маршрутизация и удаленный доступ, обеспечение работы СУБД и т. д. Предназначается небольшим компаниям или подразделениям крупных фирм.

Windows Server 2003, Enterprise Edition

Является платформой для развертывания бизнес-задач любого масштаба, включая службы Интернета, при этом обеспечивается большая производительность и отказоустойчивость, чем достигается при использовании Windows Server 2003, Standard Edition. Это достигается за счет большего числа поддерживаемых процессоров (в том числе и процессоров Itanium), кластеризации и увеличенного объема памяти.

Windows Server 2003, Datacenter Edition

Самая мощная из всех редакций Windows Server 2003, она ориентирована на обеспечение максимального уровня производительности и надежности для критически важных приложений и задач. В этой редакции отсутствуют некоторые службы, использование которых целесообразно лишь в небольших компаниях или группах.

Windows Server 2003, Web Edition

Как понятно из названия, данная редакция — новый продукт в семействе серверов Microsoft — в первую очередь предназначена для веб-хостинга и поддержки XML веб-служб в небольших организациях и подразделениях. Эта редакция поставляется только через партнеров Microsoft и не продается как "коробочный продукт".

Основные возможности систем Windows Server 2003

Рассмотрим немного подробнее основные возможности систем семейства Windows Server 2003. Сначала разберем принципиально новые средства, появившиеся впервые в этих системах, а затем перечислим главные возможности, которые существовали и ранее, в предыдущих системах Microsoft — Windows 2000 (серверные службы) и Windows ХР (ядро, средства управления).
Этот краткий обзор имеющихся в Windows Server 2003 средств позволит читателю лучше ориентироваться в материале книги и представить значение того или иного средства для системы в целом. В скобках указаны номера глав, описывающих наиболее важные возможности систем.

Служба Active Directory и Windows Server 2003

В Windows Server 2003 служба Active Directory не претерпела революционных изменений по сравнению с версией, имеющейся в Windows 2000, ее условно можно называть Active Directory 1.1. Контроллеры под управлением Windows 2000 Server и Windows Server 2003 могут сосуществовать в одном домене (и даже вместе с Windows NT 4.0 BDC), однако все новые возможности Active Directory реализуются только тогда, когда все контроллеры доменов в лесе работают под управлением Windows Server 2003.
Перечислим ниже главные особенности Active Directory на базе Windows Server 2003.

  • На смену смешанному (mixed) и основному (native) режиму доменов Windows 2000 пришли функциональные уровни (functional levels), которые определяют возможности доменов и леса (глава 18). Например, изменение имени контроллера домена или домена возможно только на функциональном уровне Windows Server 2003.
  • Улучшения в административных оснастках для управления доменами (глава 20). Например, включены возможности хранимых запросов и одновременного изменения свойств нескольких объектов каталога, улучшены средства поиска.
  • Утилиты командной строки для управления Active Directory (глава 20).
  • Установка контроллеров домена из архивной копии (глава 19). Эта возможность позволяет уменьшить количество реплицируемой информации за счет того, что основная часть каталога копируется из архива, а по сети передаются только последние изменения каталога.
  • Кэширование информации о членах универсальных (universal) групп. В многодоменных конфигурациях с несколькими сайтами эта функция позволяет уменьшить трафик, возникающий при аутентификации пользователей, или вообще отказаться от желательного присутствия сервера глобального каталога в каждом сайте.
  • Разделы приложений (application directory partiotions). Разделы каталога, создаваемые пользователями или приложениями. Имеют свою топологию репликации, при которой контроллеры домена — носители реплики некоторого раздела каталога — определяются выборочно администратором; на других контроллерах этот раздел будет отсутствовать.
  • Объектный класс InetOrgPerson может использоваться для переноса информации из других LDAP-совместимых каталогов. Этот класс является субъектом безопасности, и ему можно назначать права и разрешения.
  • Возможность переименования (изменения DNS- и NetBIOS-имен) контроллеров домена и доменов. При этом нельзя только переопределить корневой домен леса, т. е. передать его функции другому домену в лесе.
  • Установление доверительных транзитивных отношений между лесами, при которых пользователи одного домена могут аутентифицироваться для доступа ко всем или некоторым ресурсам другого леса.
  • Улучшения механизма репликации Active Directory. В частности, значительно уменьшен трафик, возникающий при изменении членства в группе (поскольку реплицируется не весь атрибут members, а только измененный элемент) и при репликации данных Глобального каталога.
  • Динамические объекты, которые имеют установленный срок жизни. Если приложение не обращается к таким объектам в течение заданного интервала времени, то объекты автоматически удаляются из каталога.

Новые возможности Windows Server 2003

Ниже мы перечислим некоторые функции, появившиеся в качестве стандартных компонентов только в Windows Server 2003. Пусть вас не смущает их небольшое количество, поскольку громадное количество ценных усовершенствований Windows Server 2003 выполнено в модулях, службах и программах, существовавших в предыдущих версиях Windows.

Manage Your Server Wizard

Программа-мастер, позволяющая централизованно управлять всеми функциями (ролями) сервера и вызывать по мере необходимости специализированные административные инструменты и утилиты.

Network Load Balancing (NLB)

Функция балансировки сетевой нагрузки обеспечивает масштабируемость и отказоустойчивость серверных служб за счет распределения нагрузки между несколькими компьютерами. К числу таких серверных служб относятся: веб-службы, службы Windows Media и Terminal Services, средства виртуальных частных сетей, брандмауэра и proxy.

Службы электронной почты (РОРЗ)

В Windows Server 2003 реализована поддержка протокола РОРЗ. Эту возможность обеспечивают службы E-mail Services. Протокол РОРЗ в совокупности со службой SMTP позволяет использовать сервер Windows Server 2003 для организации простейшей, но полнофункциональной системы обмена сообщениями электронной почты. Для работы со службой электронной почты пользователи могут использовать любого почтового клиента, поддерживающего протокол РОРЗ (например, Microsoft Outlook Express) (глава 16).

Active Directory Migration Tool (ADMT) v 2.0

На дистрибутивном диске Windows Server 2003 имеется утилита ADMT v.2.0, с помощью которой можно копировать учетные записи пользователей, групп и компьютеров из доменов Windows NT 4.0 и лесов Active Directory в другой лес Active Directory, находящийся на функциональном уровне не ниже Windows 2000 native. Версия 2.0 отличается тем, что может переносить текущие пароли учетных записей и упрощает миграцию пользовательских профилей.

Теневое копирование томов

Функция теневого копирования (shadow copy) решает две задачи. Во-первых, она позволяет резервировать данные на томах, где имеются файлы, открытые пользователями. Во-вторых, она позволяет периодически делать копии общих папок и создавать тем самым "оперативные" архивы измененных файлов. Удаленный пользователь при необходимости может вернуться к предыдущей версии файла или восстановить удаленные данные (глава 8).

Возможности, унаследованные от Windows XP Professional

Теперь рассмотрим новые средства, появившиеся в составе ОС Windows XP Professional и включенные в Windows Server 2003.

Примечание

Нужно отметить, что в Windows Server 2003 не поддерживаются две специфические технологии Windows XP: быстрое переключение пользователей (Fast User Switching) и функция восстановления системы (System Restore). Кроме того, отсутствует программа обмена мгновенными сообщениями Windows Messenger. Текущую версию для Windows XP можно свободно загрузить с вебсайта Microsoft и использовать на серверных платформах.

Удаленный доступ к рабочему столу. (Remote Desktop)

Службы терминалов, Terminal Services, когда-то входившие в самостоятельный продукт, Windows NT 4.0 Terminal Edition, являются стандартным компонентом серверных версий Windows 2000 и позволяют клиентам Windows for Workgroups, Windows 9x, Windows NT 3.51 и 4.0 и Windows 2000 Professional, а также Windows-терминалам удаленно (в локальной сети или по коммутируемым линиям) выполнять 16- и 32-разрядные приложения на серверах Windows 2000, либо администрировать их. В Windows XP Professional имеется однопользовательская версия служб терминалов. Средство Remote Desktop позволяет удаленно подключиться к компьютеру и использовать все его возможности. Также реализовано средство Remote Assistance, которое по запросу пользователя позволяет удаленному эксперту (из службы поддержки Microsoft или просто хорошему знакомому) наблюдать все, что происходит на экране вашего компьютера, вести с вами диалог и при необходимости (и соответствующем разрешении!) самому выполнять нужные действия. Оба средства имеются в Windows Server 2003, причем в режиме Remote Desktop разрешены две одновременные сессии. Для использования этих средств на компьютере с Windows Server 2003 сам Terminal Server устанавливать не требуется (глава 10).

Откат драйверов (Device Driving Roolback)

Эта Возможность позволяет практически ликвидировать один из самых главных источников нестабильности системы — последствия установки нового драйвера устройства. Если система перестала нормально работать или загружаться, вы с легкостью можете загрузить предыдущую, рабочую конфигурацию (глава 23).

Восстановление системы

Модифицированное средство восстановления системы — Automated System Recovery (ASR), позволяет вернуть систему "к жизни" в очень тяжелых случаях. К сожалению, утилита Backup не может записывать данные непосредственно на сменный носитель типа привода дисков CD-R и CD-RW (глава 16).

Запись на диски CD-R и CD-RW

Встроенная поддержка устройств записи на диски CD-R и CD-RW позволяет легким движением руки сохранять критические данные большого объема и создавать архивы. При этом применяются распространенные стандарты, что позволяет использовать записанные диски на других компьютерах и устройствах. Нужно только помнить о том, что в системах Windows Server 2003 служба записи на носители такого типа по умолчанию выключена (глава 5).

Поддержка ZIP-архивов

Теперь, чтобы работать с архивами в формате ZIP, совсем не нужно ставить в систему программу-архиватор (например, Win-Zip) — система может работать с архивами как с обычными папками, просматривая их или записывая в них информацию.

Встроенный брандмауэр (Internet Connection Firewall)

Пользователи Windows Server 2003 в небольшой сети могут оградить себя от опасных вторжений из Интернета с помощью простого, но действенного брандмауэра, позволяющего обезопасить компьютер от хакерских атак (глава 12).

Встроенный сетевой мост (Network Bridge)

При наличии нескольких сетевых адаптеров можно организовать программный сетевой мост, объединяющий несколько сетевых сегментов в один сегмент (в одну IP-подсеть).

Windows Media Player 9.0

Новая версия (в составе Windows XP поставляется WMP 8.0) проигрывателя файлов мультимедиа позволяет слушать и смотреть файлы самых разных форматов, а также слушать потоковые веб-радиостанции. Новые возможности — чтение аудиодисков с записью на жесткий диск и запись на диски CD-R и CD-RW (в формате обычного аудиокомпакт-диска) — делают Windows Media Player эффективным средством для создания собственной фонотеки. Компания Microsoft решила включить эту программу даже в серверную ОС.

Совместное использование факсов

Пользователи сети на базе Windows XP и Windows Server 2003 могут пользоваться факсимильным аппаратом, подключенным к любому из компьютеров. (В Windows 2000 нельзя было делать факсы общими устройствами.) Факсы можно и отправлять, и принимать (глава 14).

Перенос пользовательских настроек (File and State Transfer Wizard)

Одной из проблем, возникающих при замене компьютера или установке новой копии операционной системы, является перенос личных файлов, настроек рабочего стола, почтовых программ, файлов cookie и избранных страниц и т. п. Программа-мастер File and State Migration Wizard, записанная на дистрибутивном компакт-диске Windows XP, позволяет импортировать многие настройки пользователя из систем Windows 9x/ME, Windows NT 4.0, Windows 2000/XP и Windows Server 2003 и использовать их после установки новой системы. Кроме того, имеется средство миграции пользовательских настроек, User Settings Migration Tool, представляющее собой утилиты командной строки, выполняющие те же самые операции. С системами Windows Server 2003 можно применять оба средства, но в дистрибутиве системы присутствует только User Settings Migration Tool (глава 1).

Определение действующих групповых политик (Resultant Set of Policy, RSoP)

При работе в домене, где для администрирования пользователей применяются различные групповые политики, возникают сложности с определением результирующих параметров безопасности с учетом наследования и иерархии политик, организации подразделений в домене И подобных факторов. Оснастка Resultant Set of Policy позволяет упростить работу с групповыми политиками, их планирование и отладку. В среде оснастки Active Directory Users and Computers ее можно запускать в двух режимах: режим планирования позволяет моделировать поведение любых пользователей в любом контейнере, а режим ведения журнала возможен лишь для конкретного пользователя на конкретном компьютере (глава 21).

Справка и поддержка (Help and Support Center)

Справочная служба в Windows Server 2003 названа Центром справки и поддержки, поскольку в сочетании со средством Remote Assistance и при наличии подключения к Интернету она превращается в мощное средство поиска необходимой информации как на локальном компьютере, так и в базе знаний Microsoft Knowledge Base, а также получения помощи от удаленных пользователей или профессионалов. Однако при этом не нужно забывать о том, что очень много дополнительных сведений находится в справках конкретных утилит и оснасток, и следует также смотреть справку в каждой программе или оснастке (глава 5).

Возможности, появившиеся в Windows 2000

Как уже говорилось, семейство Windows Server 2003 является развитием систем Windows 2000 и наследует все ее возможности, при этом многие из них модернизированы и улучшены (используются более новые версии модулей и программ). Перечислим наиболее важные средства Windows Server 2003, которые появились уже в Windows 2000.

  • Dynamic DNS (DDNS) — служба динамических доменных имен, позволяющая компьютерам автоматически регистрировать и обновлять имена хостов и IP-адреса на DDNS-сервере (подобно тому, как служба WINS, Windows Internet Naming Service, обеспечивает динамическое обновление таблиц преобразования NetBIOS-имен в IP-адреса). В Windows Server 2003 служба DNS имеет несколько принципиально новых возможностей (глава 13).
  • Распределенная файловая система (Distributed File System, DPS) — обеспечивает возможность разделения файловой структуры между несколькими серверами и, при необходимости, повышает отказоустойчивость благодаря дублированию элементов файловой структуры на различных серверах (глава 8).
  • Службы терминалов, Terminal Services — службы терминалов являются стандартным компонентом серверных версий Windows 2000. В Windows Server 2003 службы терминалов установлены всегда и используются в двух конфигурациях:
    • описанный выше режим Remote Desktop for Administration задан по умолчанию и не требует никакого лицензирования; в этом режиме разрешены лишь две сессии удаленного администрирования;
    • режим Terminal Server нужно устанавливать явно с панели управления; в этом режиме службы терминалов настраиваются для полноценного использования компьютера в качестве сервера приложений, при этом требуются клиентские лицензии.

С помощью программного обеспечения сторонних производителей, например, Citrix MetaFrame, к службам терминалов можно подключать множество других клиентов, в том числе и не-Windows (глава 17).

  • Службы сертификации (Certificate Services) — позволяют использовать аутентификацию пользователей с применением открытых ключей по протоколу SSL/TLS (Secure Sockets Layer/Transport Layer Security). Эти протоколы обеспечивают защиту данных, передаваемых через Интернет (глава 22).
  • Службы качества обслуживания (Quality of Service, QoS) — позволяют совместимым с QoS приложениям резервировать полосу пропускания и менять приоритет передаваемых данных (глава 17).
  • Служба маршрутизации и удаленного доступа — позволяет использовать компьютер как сервер удаленного доступа или маршрутизатор в IP-сетях. Можно также маршрутизировать протокол AppleTalk. Маршрутизация протокола IPX в Windows Server 2003 не поддерживается (глава 14).
  • Службы Интернета (Internet Information Services, IIS) — позволяют организовать на компьютере службы FTP и HTTP. В составе Windows Server 2003 поставляются службы IIS 6.0, имеющие значительно большую производительность, чем версия 5.0. Это объясняется тем, что процессор протокола HTTP теперь работает не в пользовательском режиме, а в режиме ядра. Имеются новые средства удаленного администрирования служб IIS через Интернет (глава 16).
  • Браузер Internet Explorer (версия 6.0.3790.0) — последняя версия популярного веб-браузера от Microsoft, обеспечивающая наиболее полную интеграцию с операционной системой.
  • DirectX 8.1 (4.08.01.0810)— новейшая версия графических интерфейсов API от Microsoft, разработанная специально для возрастающих потребностей рынка компьютерных игр. Для диагностики и просмотра свойств драйверов DirectX запустите из командной строки утилиту DxDiag.exe.
  • Встроенная поддержка технологии Plug and Play, давшая толчок распространению Windows 2000 на рынке переносных компьютеров (глава 2).
  • Поддержка Universal Serial Bus (USB), обеспечивающая подключение к компьютеру множества (до 127 на один порт) разнообразных устройств с последовательной передачей данных со скоростью до 12 Мбит/с.
  • Поддержка нового стандарта для скоростных соединений IEEE 1394 (FireWare), позволяющего использовать полосу пропускания до 100, 200 и даже 400 Мбит/с.
  • Advanced Configuration and Power Interface (ACPI Power) — усовершенствованный стандарт управления конфигурацией и питанием, обеспечивающий лучшее управление периферийными устройствами по сравнению с Windows NT 4.0 и полноценную реализацию Plug and Play.
  • Поддержка FAT32, улучшенной версии файловой системы FAT (File Allocation Table), используемой в Windows 9x/ME.
  • Улучшенная версия файловой системы NT File System (NTFS), работающей быстрее и имеющей множество новых возможностей, таких как выделение дисковых квот для каждого пользователя, создание точек соединения, шифрование файлов (EFS), расширение дисковых томов NTFS без перезагрузки системы и др. (глава 4).
  • Встроенные средства дефрагментации дисков, работающие с файловыми системами FAT, FAT32 и NTFS (глава 8).
  • Драйвер NDIS 5.1 — новая сетевая архитектура, поддерживающая широковещание и резервирование полосы пропускания.
  • Win32 Driver Model (WDM) — новая архитектура драйверов для 32-разрядных систем Windows. Драйверы WDM также используются в Windows 98. Эти драйверы более стабильны и имеют модульную, расширяемую архитектуру.
  • Поддержка смарт-карт — компания Microsoft рассматривает множество способов использования смарт-карт для аутентификации в персональных компьютерах.
  • Дополнительные мониторы (Multiple monitors) — возможность подключения до десяти (в Windows 2000 — до четырех) мониторов, которые операционная система (и, следовательно, приложения) рассматривает как один монитор. Такая возможность имеет большие перспективы, например, мониторинг сложных баз данных или создание "объемных" видеоигр. Функция Dualview для переносных компьютеров.
  • Поддержка Accelerated Graphics Port (AGP) — нового стандарта трехмерной графики, повышающего производительность "обычных" компьютеров.
  • Сервер сценариев, Windows Scripting Host (WSH) 5.6 — средство для выполнения сценариев, запускаемое из графической среды или из командной строки. Поддерживаются языки VBScript и JavaScript. Эта независимая от языка архитектура позволяет писать сценарии и на других языках, а также разрабатывать собственные интерпретаторы командных сценариев . (глава 10).
  • Планировщик задач, Task Scheduler — средство для планирования (диспетчеризации) задач, пришедшее на смену команде AT (глава 10).
  • Возможность вторичного входа в систему, служба RunAs — позволяет пользователю, уже зарегистрированному в системе, войти в систему под другим именем (глава 10).
  • Консоль управления Microsoft Management Console (MMC) — новая оболочка для административных утилит, обеспечивающая универсальный пользовательский интерфейс для всех системных инструментов среды NT, собственных системных утилит операционной системы и средств администрирования, входящих в другие программные продукты (глава 6).
  • Средства управления распределенными ресурсами с помощью веб-технологий (Web-Based Enterprise Management, WBEM) — стандарт, призванный упростить управление драйверами и приложениями, расширить возможности администрирования и, как следствие, снизить общую стоимость владения (ТСО).
  • Распределенная модель компонентных объектов (Distributed COM, DCOM) — платформа для построения распределенных приложений.
  • Служба компонентов, Component Service — позволяет более эффективно управлять различными программными компонентами по сравнению с традиционными технологиями, использующими механизм транзакций.
  • Групповые политики (Group Policies) — наборы конфигурационных параметров, которые могут назначаться как изолированному компьютеру, так и компьютеру, входящему в домен Active Directory (на базе Windows 2000 и Windows Server 2003). Управление с использованием политик позволяет ограничивать возможности клиентских систем, автоматизировать обновление операционной системы, инсталляцию приложений и работу с пользовательскими профилями (глава 21).
  • Windows Installer — технология, управляющая процессом инсталляции программного обеспечения в среде Windows (входит в состав технологии IntelliMirror®). Наибольшей эффективности от ее использования можно добиться в домене Active Directory с клиентами Windows 2000/XP/Server 2003. С помощью технологии Windows Installer можно значительно уменьшить вероятность конфликтов DLL и улучшить конфигурируемость настольных приложений.
  • Служба индексирования, Indexing Service — стандартная служба для индексации содержимого и атрибутов документов, хранящихся на локальных дисках; ускоряет поиск информации и расширяет возможности поиска (глава 16).
  • IP Security — средство защиты соединений, использующих протокол TCP/IP, позволяет применять и настраивать политики безопасности для сетевых соединений и шифровать передаваемые данные. В Windows Server 2003 протокол IPSec может транслироваться через NAT (глава 22).
  • Active Directory Services Interface (ADSI) — стандартный интерфейс для разнообразных служб каталогов; обеспечивает также унифицированный доступ к другим каталогам, для которых имеется соответствующий поставщик услуг (ADSI-provider).
  • Служба очередей, Message Queuing — система передачи сообщений и запросов, реализующая надежную доставку сообщений и данных в распределенной среде.
  • Поддержка Asynchronous Transfer Mode (ATM) средствами операционной системы, обеспечивающая приложениям все возможности ATM.
  • Аутентификация Kerberos — протокол безопасности, используемый в распределенных средах для аутентификации пользователей. Стандартный протокол аутентификации компьютеров с Windows 2000/XP/Server 2003 в доменах Active Directory (глава 22).
  • Поддержка Инфраструктуры открытых ключей (Public Key Infrastructure, PKI) — позволяет использовать криптографические методы для организации виртуальных сетей (VPN) и для шифрования локальных данных и данных, передаваемых через электронную почту, а также для идентификации пользователей в глобальных сетях (цифровые подписи) (глава 22).

Новые технологии, готовящиеся к выпуску

Одновременно с Windows Server 2003 компания Microsoft вела разработку нескольких программных продуктов, которые следует отметить особо, поскольку они будут иметь важное значение в корпоративных сетях на базе систем Windows 2000/XP/Server 2003.

Group Policy Management Console (GPMC)

Консоль управления групповыми политиками предоставляет единый интерфейс для работы с многочисленными объектами групповых политик (Group Policy Object, GPO), используемыми в доменах на базе Active Directory. Перечислим наиболее важные и интересные возможности консоли GPMC:

  • средства сохранения и восстановления объектов GPO;
  • экспорт и импорт объектов GPO и WMI-фильтров;
  • упрощенное управление безопасностью и делегированием групповых политик;
  • получение результирующих политик;
  • возможность использования сценариев для управления объектами GPO (кроме изменения их установок) и самой консолью GPMC.

Консоль GPMC может работать на компьютерах с 32-разрядными версиями Windows Server 2003 и Windows XP SP1 и применяться для управления доменами Active Directory на базе Windows 2000 Server SP2 и Windows Server 2003.
Окончательная версия GPMC доступна на веб-сайте Microsoft .

Active Directory in Application Mode (ADAM)

Active Directory in Application Mode представляет собой автономную версию Active Directory, которая может работать на любых компьютерах под управлением Windows Server 2003 и Windows XP SP1 (для задач проектирования) и выполнять функции службы каталога (LDAP-сервера) для корпоративных и иных приложений. ADAM имеет свою топологию репликации и не конфликтует со службой Active Directory, развернутой на контроллерах домена.
Бета-версия Active Directory/Application Mode (ADAM) доступна на вебсайте Microsoft .

Real-Time Communications (RTC) Server

Данный продукт предназначен для развертывания службы обмена мгновенными сообщениями (Instant Messaging) в корпоративной среде. Клиентом этой службы является достаточно известная программа Windows Messenger, и компания Microsoft активно внедряет средства групповой работы на базе RTC Server во многие свои программные продукты. Программа Windows Messenger помимо обмена сообщениями позволяет пользователям вести аудио/ видеодиалог, обмениваться файлами и совместно работать с приложениями. При этом возможен контакт с абонентами, находящимися как внутри корпоративной сети, так и в Интернете (при условии, что они имеют .NET Passport). Windows Messenger использует протокол Session Initiation Protocol (SIP), поддерживаемый сервером RTC Server.
Предварительные варианты RTC Server тестировались в бета-версиях Windows Server 2003, но в окончательном виде компания Microsoft планирует выпустить этот продукт в виде дополнительного бесплатного модуля осенью 2003 г. Очень рекомендуем обратить внимание на данную серверную службу.