Локальные сети, управляемые ос Windows

Рассмотрим технологию построения сетей Win­dows. Операционная система Windows 2000 (и последующие версии) имеет две сетевые модификации:

1. Windows Workstation;

2. Windows Server.

Windows Workstation (Windows 2000/XP Professional) предназначена для установки на рабочих станциях с возможностью организации одноранговых сетей. Есть возможность создать и сеть типа «клиент-сервер», но ограниченной функциональностью.

Если в распоряжении предприятия имеется хотя бы два компьютера с установленными на них операционными системами Windows и Windows NT Workstation, то эти компьютеры могут быть объединены в одноранговую локальную сеть с помощью стандартных программных средств, встроенных в перечисленные операционные системы. Естественно, на компьютерах должно быть установлено все необходимое сетевое оборудование, в первую очередь сетевые адаптеры. Все компьютеры в одноранговой сети равноправны и могут выступать как в роли пользователей (клиентов) ресурсов, так и в роли их поставщиков (серверов), предоставляя другим узлам сети право доступа ко всем или к некоторым из имею­щихся в их распоряжении локальных ресурсов (файлам, принтерам, программам).

В качестве иллюстрации построения простейшей одноранговой сети представим конфигурацию из трех персональных компьютеров, соединенных при помощи сетевых адаптеров и кабеля (рис. 5). На компьютерах PC1 и PC2 уста­новлена операционная система Windows а на компьютере PC3 — Windows NT Workstation.

Рис. 5. Конфигурация одноранговой сети из трех компьютеров

В одноранговой сети каждый компьютер может выполнять свою конкретную функцию, и его конфигурация определяется решаемыми на нем задачами. Напри­мер, PC 1 и PC 2 могут быть маломощными компьютерами и работать в качестве клиентов. Однако некоторые ресурсы одного компьютера могут быть предоставле­ны в общее пользование, например, принтер, подключенный к PC 2.

Совершенно другую роль может играть PC 3 с ОС Windows NT Workstation, Этот компьютер — самый мощный в рассматриваемой конфигурации сети, поэтому он может использоваться для хранения информации, то есть выступать в качестве невыделенного сервера файлов. Параллельно компьютер PC 3 может выполнять функции высокопроизводитель­ной рабочей станции.

Операционная система Windows Server позволяет реализовать полноценную двухранговую сеть. Сервер сети при этом выступает как сервер приложений, файл-сервер, сервер печати, сервер связи и т. д.

Проектировалась эта ОС для реализации модели «клиент-сервер» и ориентиро­валась на мощную машину-сервер, выделяющую по запросу клиента нужные ему вычислительные ресурсы — вычисления выполняются на сервере, а результаты рас­четов передаются клиенту. В первую очередь система ориентируется на выполне­ние таких приложений, которые свойственны: серверу баз данных MS SQL Server, серверу информационного обмена MS Exchange, серверу Интер­нета.

Сети на базе Windows Server используют доменную модель, в основе которой лежит понятие домена совокупности компьютеров, характеризующейся наличи­ем общей базы учетных записей пользователей и единой политикой осуществления защиты. Всей структурой централизованно управляет служба каталогов Windows.

Доменный метод организации упрощает централизованное управление сетью и позволяет использовать Windows Server в качестве сетевой операционной систе­мы предприятия любого масштаба. Доменная служба каталогов основана на одно­кратной регистрации пользователя в сети для доступа ко всем серверам и ресурсам информационной системы независимо от места регистрации.

Для организации доменной структуры в сети и установления в ней определен­ных отношений и правил используется сервер — главный контроллер домена, на ко­тором хранится база учетных записей пользователей этого домена с уникальными параметрами и их привилегиями. Когда пользователь рабочей станции регистриру­ется в сети, происходит его идентификация на главном контроллере или на одном из резервных контроллеров домена. Если пароль и имя пользователя совпадают с введенным, то пользователь регистрируется в домене.

По умолчанию пользователи одного домена не имеют прав доступа к ресурсам другого домена. Однако имеется механизм предоставления пользователям различ­ных доменов возможности совместно использовать ресурсы путем установления доверительных отношений между доменами (рис. 6).

Рис. 6. Доверительные отношения доменов в сети

Доверительные отношения могут быть как двусторонними, так и односторонни­ми. При двусторонних отношениях пользователь любого из двух доменов имеет доступ к ресурсам серверов, находящихся в соседнем домене. При односторонних доверительных отношениях пользователь, зарегистрированный в доверяемом доме­не, получает доступ к серверам домена-доверителя, но не наоборот. На рис. 6 до­мены А и Б полностью доверяют друг другу. Пользователь домена А может осуще­ствлять доступ к ресурсам серверов домена Б. Аналогично пользователь домена Б вправе использовать ресурсы любого из серверов домена А. В то же время пользо­ватели домена В имеют доступ к ресурсам домена Б, но не наоборот.

Существуют разнообразные способы объединения доменов с помощью установ­ления доверительных отношений. Среди них выделяют:

• модель с мастер-доменами;

• модель полностью доверительных отношений.

В модели с мастер-доменами один или несколько доменов объявляются главны­ми, и в каждом из них хранятся учетные записи подмножества пользователей сети. Остальные домены являются вторичными. Все они доверяют каждому из главных доменов или только некоторым из них. В каждом из вторичных доменов есть свой контроллер домена и может быть несколько серверов. Такая модель более актуальна для сети, количество пользовате­лей в которой составляет несколько десятков тысяч.

В модели с полностью доверительными отношениями все домены равноправны, и из каждого из них может производиться управление сетью. Данная модель также может объединять боль­шое число пользователей, но сложна в управлении, поскольку в ней необходимо устанавливать большое число доверительных отношений.

B качестве стандартного протокола клиентского доступа к Active Directory сис­тема Windows использует протокол Lightweight Directory Access Protocol (LDAP) Для клиентского доступа к Active Directory подходит LDAP версий 2 и 3. Active Directory задействует систему именования доменов Domain Name System (DNS).

Каждому пользователю в сети соответствует персональная учетная запись, пара­метры которой определяют его права и обязанности в домене. Учетная запись со­держит:

• имя пользователя;

• его пароль;

• ограничения на его деятельность в сети.

Учетные записи бывают двух типов: глобальные и локальные.

Локальные учетные записи определяют права пользователей на конкретном компьютере и не рас­пространяются на домен. В случае локальной учетной записи пользователь получа­ет доступ только к ресурсам своего компьютера.

Для доступа к ресурсам домена пользователь должен зарегистрироваться в домене, воспользовавшись своей гло­бальной учетной записью.

Если сеть состоит из нескольких доменов и между ними установлены доверительные отношения, то возможна так называемая сквозная ре­гистрация, то есть пользователь, регистрируясь один раз в своем домене, получает доступ к ресурсам доверяющего домена, в котором у него нет персональной учетной записи.

Создавать, модифицировать учетные записи и управлять ими администратор сети может с помощью программы User Manager lor Domains. При создании новой учетной записи администратор может определить следующие параметры:

• пароль и правила его модификации;

• локальные и глобальные группы, в которые входят пользователь, и рабочие станции, с которых он может регистрироваться;

• разрешен­ные часы работы;

• срок действия учетной записи и другие.

Пароль пользователя играет важную роль, так как именно путем подбора пароля часто происходит незаконный доступ к сетевым ресурсам.

Возможности пользователя в системе определяются набором его прав. Права пользователей бывают стандартными и расширенными. К стандартным относятся такие права, как возможность изменять системное время, выполнять резервное ко­пирование файлов, загружать драйверы устройств, изменять системную конфигу­рацию, выполнять выключение сервера и т. п. Расширенные права специфичны для операционной системы и приложений.

Механизмы защиты позволяют гибко ограничивать или предоставлять права пользователям на доступ к любым ресурсам системы. Права на доступ к файлам и каталогам определяют, может ли пользователь осуществлять к ним доступ, и если да, то как. Владение файлом или каталогом позволяет пользователю изменять пра­ва на доступ к нему. Администратор вправе вступить во владение файлом или ката­логом без согласия владельца.

Наряду с базовой ОС Windows Server существует еще две «продвинутые» ее мо­дификации: ОС Windows 2000 Advanced Server и ОС Windows 2000 Datacenter Server, имеющие увеличенную масштабируемость и производительность и поддер­живающие, соответственно, 8 процессоров и 8 Гбайт оперативной памяти и 32 про­цессора и 64 Гбайт оперативной памяти.