8. Способы объединения и управления участников сети Понятие рабочей группы

Различают два варианта организации управления компонентами сети – одноранговые сети и сети на основе сервера, что соответствует децентрализованной и централизованной системе управления. Соответственно, также можно разделить и сетевые модели:

• рабочая группа;

• доменная архитектура;

• группы сетевых устройств, сгруппированные по другим признакам.

Сетевая модель обслуживания пользователей в первую очередь зависит от того, какая операционная система установлена на каждом из узлов сети, а также какая операционная система управляет сетевыми потоками.

Рабочая группа – основной способ управления сетевыми ресурсами в сети, где все рабочие станции равноправны, а соответственно, каждая несет ответственность за функционирование всех или части сетевых ресурсов.

Как правило, все пользователи рабочей группы могут иметь либо равный уровень доступа к ресурсам, либо он может регулироваться с помощью системы паролей. В Microsoft Windows эта модель использования сетевых ресурсов называется «распределение прав доступа на уровне ресурсов».

Характерные примеры операционных систем для работы в рабочей группе – Novell NetWare, OS/2 Lan Manager (2-я версия – Warp Connect), Windows95, Windows98 и Windows3.11 For Work Groups (в качестве расширения MS-DOS).

Сети Novell NetWare также реализовывали рабочие группы терминалов по управлением выделенного сервера. Данный способ позволял максимально эффективно задействовать как пропускную способность сетей тех лет, так и организовать надежную защиту данных от несанкционированного доступа.

Для поддержки сетевого обмена каждый из компонентов вынужден время от времени напоминать о себе и своих ресурсах другим участникам соединения. Каждая рабочая станция составляет карту сетевых ресурсов рабочей группы. Поэтому в таких сетях популярны широковещательные протоколы канального уровня, в том числе стеки протоколов IPX/SPX и NetBIOS. Недостатком этого метода являются существенные задержки между моментом организации (инициализации) сетевого ресурса и моментом его появления в списках доступа конкретной рабочей станции.

Так же для рабочей группы характерна следующая ситуация:

• если у машины нет сетевых ресурсов – ее не видно в сети;

• пользователи других рабочих групп не имеют доступа к чужим сетевым ресурсам.

Объединение двух рабочих групп в одной сети организуется на уровне оборудования – физическим соединением.

Понятие домена

Если рабочая группа часто ориентирована на одно помещение, то при разработке доменной архитектуры был положен принцип: любой компьютер, регистрирующийся в сети, может относиться к любому из доменов вне зависимости от его расположения (территориально) или принадлежности к какому-либо из отделов.

На каждую учетную запись пользователя ведется отдельный реестр по тем правам, которые для него существуют в домене.

База данных SAM (Security Accounts Management – управление безопасными учетными записями) – главная служба каталога для нескольких вариантов систем Microsoft Windows NT (например, Windows NT 3.5 и Windows NT Server 4). База данных SAM масштабируется намного лучше, чем предыдущая архитектура службы каталога из-за введения меж-доменных доверительных отношений. Если текущий домен доверяет другому домену, то он имеет право назначать любому пользователю или группе пользователей из этого домена права доступа к своим внутри-доменным сетевым ресурсам.

Естественно, что подобная сложная структура не может не быть централизованной, поэтому используется управление с помощью выделенного сервера. Выделенный сервер может нести несколько функциональных нагрузок – файл-сервер, принт-сервер, mail-сервер, SQL-сервер и прочие. Но для организации домена необходимо, чтобы он выполнял функцию «контролера домена».

В пределах домена все администраторы имели полный контроль над серверами и службами, которые на них выполнялись. По мере роста количества доменов в организации обеспечение уверенности относительно доверительных отношений, которые делают возможным пользовательскую идентификацию для доступа к ресурсам внешних доменов, приводит к росту накладных расходов. Чтобы справиться с этой растущей сложностью доменов и доверительных отношений, сетевые администраторы реализуют одну из четырех доменных моделей: отдельный домен (single domain), домен с одним хозяином (master domain), домен с несколькими хозяевами (multiple master domain) и отношения полного доверия (complete trust).

При поддержке этих моделей самая большая сложность состоит в необходимости создания и сопровождения большого количества доверительных отношений. При этом все доверительные отношения между доменами Windows NT 4 должны создаваться с двух сторон, т.е. в обоих доменах на концах доверительных отношений.

База SAM является самым узким местом при такой системе управления сетевыми ресурсами, и все ее ограничения являются ограничения системы администрирования в целом.

Во-первых, SAM одного домена имеет ограничение размера в 40 Мбайт. В результате количество объектов учетных записей (пользователи, их группы и узлы сети) не может превышать 40000.

Второе ограничение на базу данных SAM состояло в возможностях доступа. Единственным методом доступа для взаимодействии с SAM является Windows NT Server. Этот метод ограничивает программируемый доступ и не обеспечивает конечным пользователям легкого доступа для поиска объектов.

В-третьих, функция контроллера домена, связанная с обновлением SAM достаточно сложна и имеет собственную иерархию отношений.

Первичный контроллер домена (Primary Domain Controller – PDC) обладает в сети правами единственного автора изменений SAM, то есть регистрация любого сетевого объекта должна осуществляться на PDC. Для поддержки работоспособности сетевых сегментов, территориально удаленных от PDC, в сети устанавливают дополнительные или вторичные контроллеры домена (SDC), которые обслуживают запросы пользователей на авторизацию в случае отсутствия отклика от PDC.

Для выполнения своих функций SDC хранит копию SAM, внесение изменений в которую запрещены, разрешена только синхронизация этой копии с основной базой SAM, хранящейся на PDC.