Подключение рабочих станций и рядовых серверов

Серверы и рабочие станции (клиентские компьютеры) включаются в домен Windows 2000 с помощью оснастки Active Directory — пользователи и компьютеры.

Компьютерам нужно указать IP-адрес хотя бы одного DNS-сервера для того, чтобы они могли находить контроллеры домена. IP-адрес DNS-сервера может передаваться клиентам автоматически при помощи DHCP или задаваться вручную.

Учетные записи для компьютеров можно создавать заранее (с помощью оснастки Active Directory — пользователи и компьютеры) или в процессе подключения компьютера к домену.

Для подключения компьютера с Windows 2000 к домену необходимо:

1. Выберать значок Система (System) на панели управления или щелкнуть правой кнопкой мыши на значке Мой компьютер (My Computer) на рабочем столе и выберать команду Свойства (Properties)контекстного меню.

2. Перейти на вкладку Сетевая идентификация (Network Identification) и нажмать кнопку Свойства.

Примечание

В системе Windows 2000 Professional можно также использовать другое средство— Мастер сетевой идентификации (Network Identification Wizard), который поможет выполнить все необходимые для. подключения к домену действия. Для этого нужно нажать кнопку Идентификация (Network ID).

3. В группе Является членом (Member of) установите переключатель домена (Domain).

4. В ставшем доступном текстовом поле введите полное DNS-имя домена, к которому следует подключиться, например, тусогр.ссоц и нажмите кнопку ОК.

5. Введите имя и пароль учетной записи в домене, имеющей полномочия на подключение компьютеров к домену. Если имеется созданная предварительно учетная запись для данного компьютера, введите соответствующие значения. Если нужно создать учетную запись "на лету", введите данные пользователя, имеющего разрешение на создание объектов в стандартном контейнере Computers. В любом случае можно использовать учетную запись администратора домена.

6. Нажмите кнопку ОК.

7. В случае успешного выполнения операции подключения компьютера к домену появляется сообщение.

8. Закройте окно свойств системы.

9. Нажав кнопку Да (Yes) в ответ на появляющееся сообщение, перезагрузите компьютер.

Переключение домена в основной режим

Домены Windows 2000 могут находиться в двух режимах:

Смешанный режим (mixed mode), позволяющий сосуществовать контроллерам доменов, работающим с программным обеспечением как Windows 2000, так и Windows NT более ранних версий. В этом режиме включены некоторые возможности Windows NT Server более ранних версий и отключены некоторые возможности Windows 2000 Server.

Основной режим (native mode), где все контроллеры работают с программным обеспечением Windows 2000 Server. В этом режиме полностью доступны такие новые воамвжййейг, "М&с создание влбженньрс (nested) групп и междоменное членство в группах (универсальные группы).

По умолчанию домены создаются в смешанном режиме. В этом режиме в состав доменов могут входить BDC-контроллеры Windows NT 4.0. После того как все BDC-контроллеры будут обновлены или удалены, можно переключить домен в основной режим.

При переходе в основной режим в домене не должно быть BDC-контроллеров. После переключения в этот режим уже нельзя вернуться в смешанный режим и добавлять к домену контроллеры, работающие с программным обеспечением, отличным от Windows 2000 Server. Для переключения режима работы домена используется оснастка Active Directory — пользователи и компьютеры. После перезагрузки компьютера контроллер домена начнет работать в основном режиме, необходимо также перезагрузить все контроллеры в домене.

ПРО DNS

Обзор DNS

 

Что такое DNS

Домен DNS (рис. 17.4) основан на концепции дерева именованных доменов. Каждый уровень дерева может представлять или ветвь, или лист дерева. Ветвь — это уровень, содержащий более одного имени и идентифицирующий набор именованных ресурсов. Лист — имя, указывающее заданный ресурс (терминологию см. в табл. 17.2).

Таблица 17.2. Структура DNS

Тип имени	Описание	Пример
Корневой домен	Корень дерева именованных доменов, задает неименованный уровень; часто указывается в виде двойных пустых кавычек (" "). При использовании в доменном имени указывается точкой в конце имени. Определяет, что имя расположено в корневом, самом высоком, уровне доменной иерархии	Точка (.) или точка, стоящая в конце имени, например, "sample.mydomain.org."
Домен верхнего уровня	Имя, состоящее из двух или трех символов, обычно указывающее страну (Россия — ш, Нидерланды — nl, Украина — иа и т. п.) или тип организации, использующей имя (com — коммерческая, mil — военная, США и т. д.)	".com" означает, что имя зарегистрировано фирмой или другой организацией для коммерческого использования в Интернете
Домен второго уровня	Имя переменной длины, зарегистрированное частным лицом или организацией для использования в Интернете. Такие имена всегда основаны на домене верхнего уровня, в зависимости от типа организации или географического местоположения	"mydomain.org" — имя домена второго уровня (вымышленное) L
Субдомен	Дополнительные имена, которые организация может создавать в пределах домена второго уровня. Применяются для указания различных организационных единиц или территориальных подразделений больших организаций	"sample.mydomain.org." — субдомен домена второго уровня "mydomain.org."
Имя хоста или ресурса	Листья дерева имен DNS, задают определенный ресурс или хост	"host.sampte.mydbmain.org.", где host— имя хоста или какого-либо ресурса в сети

 

Возможности серверов DNS

Служба DNS под управлением Windows 2000 Server обеспечивает следующие возможности:

	DNS-cepeep, соответствующий стандартам RFC. Служба DNS поддерживает открытый протокол и соответствует промышленным стандартам (RFC).
	Способность взаимодействовать с другими реализациями серверов DNS. Поскольку служба DNS соответствует стандартам DNS и "понимает" форматы стандартных файлов данных DNS и форматы ресурсных записей, она успешно работает совместно с большинством других реализаций DNS, например, использующих программное обеспечение Berkeley Internet Name Domain (BIND).
	Поддержка Active Directory. Служба DNS обязательна для работы Active Directory. При установке Active Directory на компьютере под управлением Windows 2000 Server операционная система автоматически (но с согласия пользователя) устанавливает и конфигурирует службу DNS для поддержки Active Directory.
	Интеграция с другими сетевыми службами Microsoft. Служба DNS обеспечивает интеграцию с другими службами Windows 2000 и содержит функции, не описанные в RFC. Это касается интеграции со службами WINS иОНСР.
	Улучшенные административные инструменты. Windows 2000 предоставляет оснастку с улучшенным графическим интерфейсом пользователя для управления службой DNS. Windows 2000 Server содержит несколько новых мастеров конфигурации для выполнения повседневных задач по администрированию сервера. Также имеется ряд дополнительных средств, помогающих управлять и поддерживать серверы DNS и клиентов в сети (рис. 17.6). Рис. 17.6. Оснастка DNS
	Поддержка протокола динамического обновления в соответствии с RFC. Служба DNS позволяет клиентам динамически обновлять ресурсные записи при помощи динамического протокола обновления DNS (стандарт RFC 2136). Это облегчает администрирование DNS, избавляя от необходимости вносить эти записи вручную. Компьютеры под управлением Windows 2000 могут динамически регистрировать свои имена DNS и IP-адреса. а Поддержка инкрементных зональных передач между серверами. Зональные передачи используются между серверами DNS для частичного копирования информации. Инкрементная зональная передача используется, чтобы копировать только измененные части зоны. Зона — набор записей, относящихся к одному домену.
	Поддержка новых типов ресурсных записей. Служба DNS включает поддержку нескольких новых типов ресурсных записей (RR): записи SRV (расположение службы) и АТМА (адрес ATM), что значительно расширяет возможности использования DNS в глобальных сетях.

 

Возможности клиентов DNS

Клиентская служба DNS под управлением Windows 2000 служит для разрешения доменных имен DNS и предоставляет следующие возможности:

	Клиентское кэширование. Ресурсные записи (RR), полученные как ответы на запросы, добавляются в клиентский кэш. Эта информация хранится в пределах заданного времени и может использоваться для ответа на последующие запросы.
	Кэширование отрицательных ответов. В дополнение к кэшированию положительных ответов на запросы от серверов DNS, служба DNS также кэширует отрицательные ответы на запросы. Отрицательный ответ приходит, если ресурсная запись с запрошенным именем не существует. Кэширование отрицательных ответов предотвращает повторные запросы для несуществующих имен, снижающие производительность клиентской службы.
	Блокировка неотвечающих серверов DNS. Клиентская служба DNS использует список поиска серверов, упорядоченных по предпочтению. Этот список включает все серверы DNS, настроенные для каждого из активных сетевых подключений в системе. Windows 2000 перестраивает этот список, основываясь на следующих критериях: предпочтительные серверы DNS имеют высший приоритет, а остальные серверы DNS чередуются. Неотвечающие серверы временно удаляются из списка.

 

Использование DNS

 

Работа с DNS в Windows NT 4.0 и Windows 2000 Server

В табл. 17.3 приведены отличия при работе с сервером DNS в этих ОС.

Таблица 17.3. Работа с DNS в Windows NT4.0 и Windows 2000 Server

Задача	Windows NT 4.0 Server	Windows 2000 Server
Установить сервер DNS на компьютере	Значок Network на панели управления	Значок Установка и удаление программ на панели управления
Запустить DNS Manager	Start | Administrative Tools (Common) | DNS Manager	Пуск | Администрирование | DNS (Start | Administrative Tools | DNS)
Запустить или остановить сервер DNS	Значок Services на панели управления	Оснастка Службы (Services)
Добавить удаленный сервер в DNS Manager	Узел Server в окне утилиты DNS Manager	Контекстное меню узла DNS в оснастке DNS, команда Подключение к компьютеру

 

Установка сервера DNS

Для установки сервера DNS необходимо выполнить следующие действия:

1.	Запустите Мастер компонентов Windows (Windows Component Wizard) (значок Установка и удаление программ (Add/remove programs) на панели управления, затем нажмите кнопку Добавление и удаление компонентов Windows (Add/remove Windows Components)).
2.	Нажмите кнопку Далее (Next).
3.	В списке Компоненты (Components) выберите пункт Сетевые службы (Networking Services).
4.	Нажмите кнопку Состав (Details).
5.	В списке Сетевые службы — состав (Subcomponents of Networking Services) установите флажок у элемента DNS (Domain name system (DNS)) и нажмите кнопку ОК.
6.	При необходимости введите полный путь к файлам дистрибутива Windows 2000 и нажмите кнопку Продолжить (Continue). Требуемые файлы будут скопированы на жесткий диск, программное обеспечение сервера можно использовать после перезапуска системы.

Примечание

Установив сервер DNS, необходимо решить, как будут управляться сервер и файлы зон базы данных DNS. Хотя изменения в файлах базы данных можно вносить и при помощи текстового редактора, этот метод не рекомендуется. Лучше обслуживать сервер DNS и файлы зон базы данных средствами оснастки DNS. После управления зонами при помощи оснастки DNS файлы зон нельзя снова редактировать вручную.

 

Планирование

Перед использованием DNS в сети необходимо тщательно спланировать пространство имен DNS. При этом нужно определить, как будет применяться служба DNS и какие цели ставятся при ее развертывании. Вот вопросы, которые необходимо решить до установки службы:

	Выбор и предварительная регистрация имени домена, используемого в Интернете
	В какой сети будут установлены серверы DNS — в частной сети или в Интернете
	Нужно ли использовать DNS для поддержки работы Active Directory О Требования к выбору доменных имен для компьютеров.

 

Настройка сервера

Настройка и изменение конфигурации сервера DNS могут понадобиться по разным причинам, например:

	При изменении имени компьютера-сервера
	При изменении имени домена для компьютера-сервера
	При изменении IP-адреса компьютера-сервера
	При удалении сервера DNS из сети
	При изменении основного сервера (primary server) зоны

 

Управление клиентами

Для клиентов Windows конфигурация DNS при настройке свойств TCP/IP для каждого компьютера включает следующие задачи:

	Установка имени хоста DNS для каждого компьютера или сетевого подключения.
	Установка имени родительского домена, которое помещается после имени хоста, чтобы формировать полное (fully qualified) имя домена для каждого клиента.
	Установка основного DNS-сервера и списка дополнительных DNS-cepверов, которые будут использоваться, если основной сервер недоступен.
	Установка очередности списка поиска доменов, используемого в запросах для дополнения не полностью заданного имени компьютера.

 

Управление зонами

После добавления зоны при помощи оснастки DNS можно управлять следующими общими свойствами зоны:

	Запрещать или разрешать использование зоны
	Изменять или преобразовывать тип зоны
	Разрешать или запрещать динамическое обновление зоны

Также можно настраивать начальные записи зоны (Start Of Authority, SOA), ресурсные записи, делегирование зон, списки оповещения, использование просмотра WINS, а также управлять зонами обратного просмотра (reverse zone), необходимыми для обратного разрешения имен — из адреса в имя.

 

Мониторинг и оптимизация

В Windows 2000 Server можно производить мониторинг и по его результатам оптимизировать настройки службы DNS при помощи:

	Системного монитора (Performance Monitor)
	Опций протоколирования
	Статистики по DNS-серверу
	Настройки дополнительных параметров

Лабораторная работа № 4

"Настройка доверительных отношение между доменами"

Цель работы:

Научиться устанавливать доверительные отношения между доменами с помощью оснастки Active Directory - домены и доверие(Active Directory Domains and Trusts).

Краткая теория

Доверительное отношение – это отношение между двумя доменами, в которых один домен доверяет другому (один домен считает сведения, аутентифицирующие пользователя, полученные из другого домена, подлинными). Благодаря доверительным отношениям пользователи, зарегистрированные в одном из доменов каталога, могут подключаться к любым другим доменам, доверяющим этому домену. Кроме того, используя доверительные отношения, администраторы могут назначить разрешения на доступ к ресурсам одного домена в отношении учетных записей, расположенных в другом домене. В Windows 2000 между доменами Active Directory автоматически устанавливаются двухсторонние доверительные отношения по протоколу Kerberos. При этом пользователь, зарегистрированный в одном из доменов Active Directory, может использовать для подключения к сети любой компьютер, являющийся частью каталога.

Настраивают доверительные отношения с помощью оснастки Active Directory — Active Directory Domains and Trusts (домены и доверие). Домены Windows 2000 могут работать в одном из двух режимов:

• Смешанный режим (mixed mode) предполагает возможность одновременной работы контроллеров домена, основанных как на операционной системе Windows 2000 Server, так и на более ранних версиях Windows NT Server. Этот режим позволяет выполнять некоторые функции, характерные для более ранних версий Windows NT, и запрещает выполнение некоторых функций, характерных для Windows 2000.

• Основной режим (native mode) предполагает, что все контроллеры домена работают в операционной системе Windows 2000 Server, при этом все клиентские компьютеры должны иметь поддержку (установленный на них клиент) Active Directory (это касается систем Windows 9x и Windows NT 4.0). В этом режиме можно применять такие новые средства, как универсальные группы, вложенные группы и т. д.

Доверительные отношения, применявшиеся в сетях Windows NT 4.0, полностью поддерживаются в сетях Windows 2000. Они могут быть использованы для создания однонаправленного доверия между доменами Windows 2000 в дереве каталога и другими доменами, находящимися за границей вашего леса, которые могут быть образованы серверами Windows 2000, Windows NT 4.0 или более ранних версий. Это поможет вам поддерживать существующую инфраструктуру при переходе на сеть, полностью основанную на Active Directory. При создании нескольких доменов в одном дереве Active Directory автоматически устанавливаются междоменные двунаправленные доверительные отношения. Это значит, что пользователь может, зарегистрировавшись только в одном домене, получить доступ ко всем ресурсам всех доменов дерева. При объединении нескольких деревьев в лес между корневыми доменами каждого дерева также устанавливаются двунаправленные доверительные отношения. В этом случае необходимость дополнительной настройки доверительных отношений не возникает.

Конфигурирование доверительных отношений требуется, если:

Необходимо установить однонаправленные доверительные отношения (в случае, когда соображения безопасности заставляют исключить возможность общего использования каких-либо ресурсов компьютерной сети).

Возникла необходимость в установлении доверительных отношений между доменами, находящимися в различных лесах (организациях).

Должны быть установлены доверительные отношения .между доменами Windows 2000 и Windows NT 4.0.