Администрирование корпоративной сети на основе Microsoft Windows 2000 Advanced Server

Министерство общего и профессионального образования

Калининградский Государственный Университет

Центр дополнительного профессионального образования

Аттестационная работа по теме:

"

Администрирование корпоративной сети на основе

Microsoft

Windows

2000

Advanced

Server

"

Выполнила _____________________________________/Корнышева И.В./

Проверил ______________________________________/Молчанов С.В./

Калининград 2003 г.

Содержание

ВВЕДЕНИЕ. 5

1. проектирования корпоративной сети. 6

1.1. Особенности проектирования корпоративных сетей. 6

1.2. Этапы проектирования корпоративных сетей. 7

1.2.1. Анализ требований. 8

1.2.2. Построение функциональной модели производства. 9

1.2.3. Построение технической модели. 9

2.1. Информационные потоки в ЛВС предприятия. 11

3. Выбор операционной системы.12

3.1 Обзор операционных систем. 12

3.1.1 ОС Nowell NetWare. 12

3.1.2. Семейство ОС Windows 2000.15

3.1.2.1 Windows 2000 Server15

3.1.2.2 Windows 2000 Advanced Server16

3.1.2.3 Windows 2000 Datacenter Server16

3.1.3. ОС Windows Server 2003.16

3.1.4. ОС Unix, Linux. 17

3.2. Обоснование выбора Операционной системы Windows 2000 Advanced Server .19

4. Планирование структуры сети. 24

4.1. Способ управления сетью.. 24

4.2. Размещение сервера. 26

4.3. Сетевая архитектура. 27

4.4. Сетевые ресурсы.. 30

5. Организация сети на основе Windows 2000.33

5.1. Служба каталогов Windows 2000. 33

5.1.1. Наименование объектов. 33

5.1.2. Логическаяструктура Active Directory. 35

5.1.2.1. Домены.. 35

5.1.2.2 Дерево. 36

5.1.2.3 Лес. 37

5.1.2.4 Организационные единицы.. 38

5.1.3. Физическая структура. 39

5.1.3.1 Сайты.. 39

5.1.3.2 Контроллеры доменов. 40

5.2. Служба DHCP.44

5.2.1. Настройка службы DHCP.47

5.2.2. Кластеризация. 52

5.3. Служба DNS. 53

5.3.1. Планирование внедрения DNS для Active Directory. 57

5.3.2. Новые свойства DNS в Windows 2000. 60

5.3.3 Настройка сервера DNS.62

5.4. Служба WINS. 63

5.4.1. Новые возможности WINS в Windows 2000. 64

5.4.2. Компоненты службы WINS. 65

5.4.3. Планирование сети с использованием WINS. 66

5.4.4. Управление базой данных WINS. 67

5.5. Конфигурирование сервера. 69

5.5.1. Выбор сервера. 69

5.5.2. Установка Windows 2000 AdvancedServer73

5.5.2.1. Запуск процедуры предварительного копирования файлов и текстового режима Windows 2000 AdvancedServer73

5.5.2.2. Графический режим установки и сбор информации. 75

5.5.2.3. Завершение установки оборудования. 77

5.5.3. Управлениевсреде Windows 2000 Advanced Server78

5.5.4. Требования к домену. 79

5.5.5. Выбор модели организации сети. 80

5.6. Служба RoutingandRemoteAccess. 81

5.7. Измерение сетевого трафика. 82

6. Защита информации в сети. 84

6.1. Анализ возможностей системы разграничения доступа Windows 2000 AdvancedServer85

6.1.1. Слежение за деятельностью сети. 85

6.1.2. Начало сеанса на рабочей станции. 86

6.1.3. Учетные карточки пользователей. 86

Logon hours. 87

6.1.4. Журнал событий безопасности. 88

6.1.5. Права пользователя. 91

6.1.6. Установка пароля и политика учетных карточек. 92

6.1.7. Шифрованная файловая система EFS. 93

Заключение. 95

Список использованной литературы.. 98

ВВЕДЕНИЕ

В данной аттестационной работе рассматривается проблема построения локальной вычислительной сети организации под управлением операционной системы Windows 2000 AdvancedServer.

Реализация предложенного проекта позволит сократить бумажный документооборот внутри подразделения, повысить производительность труда, сократить время на обработку информации. Как следствие, образуются дополнительные временные ресурсы для разработки и реализации новых экономических и инвестиционных проектов. Таким образом, решится проблема окупаемости и рентабельности внедрения корпоративной сети.

Локальная вычислительная сеть должна быть спроектирована таким образом, чтобы обеспечить надлежащую степень защищенности данных.

Целью аттестационной работы является организация корпоративной компьютерной сети.

Для решения поставленной цели в работе решаются следующие задачи:

- выбор операционной системы;

- выбор способа управления сетью;

- управление сетевыми ресурсами и пользователями сети;

- рассмотрение вопросов безопасности сети;

Необходимо разработать рациональную, гибкую структурную схему сети предприятия, выбрать аппаратную и программную конфигурацию сервера, а так же проработать вопросы обеспечения необходимого уровня защиты данных.

Корпоративная сеть обслуживает одно крупное предприятие и называется также сетью масштаба предприятия. Структура корпоративной сети выглядит следующим образом: имеется ряд подсетей, представляющих собой ЛВС типа Ethernet или Token Ring и обслуживающих каждая отдельное подразделение, расположенное в одной или нескольких близкорасположенных комнатах; подсети связаны между собой с помощью серверов доступа
; обычно имеется выход во внешнюю территориальную сеть. В качестве серверов доступа могут использоваться мосты, коммутаторы, маршрутизаторы, шлюзы. [5]

При проектировании корпоративной сети полезно ее представление в виде многослойной пирамиды. Хотя слои этой пирамиды связаны и оказывают непосредственное влияние друг на друга, обычно каждый слой проектируется достаточно автономно, специалистами и фирмами соответствующего профиля.

В зависимости от направления движения по этой пирамиде: сверху вниз - от бизнес-приложений к аппаратной платформе, или снизу вверх - от аппаратуры к приложениям, или от середины - от конкретной СУБД, - все фирмы, работающие в области сетевой интеграции, можно условно разделить на три группы:

Фирмы-производители или дистрибьюторы аппаратуры, выступающие в роли интеграторов. У этих интеграторов пирамида опирается на очень узкое основание из одной платформы от одного-двух производителей. Минусы и некоторые плюсы в работе такого интегратора достаточно очевидны.

Фирмы, ориентирующиеся на одну из СУБД, например, только на Oracle или Informix. В этом случае узким местом пирамиды является середина: при попытке использовать несколько аппаратных платформ и широкий спектр прикладного программного обеспечения, ограничения диктуются используемой СУБД.

Наконец, третья группа - независимые интеграторы, которые могут предлагать любые решения на каждом из уровней пирамиды и которых нельзя уличить в особой привязанности к определенной платформе, сетевым конфигурациям или приложениям. У таких интеграторов единственным критерием выбора каждого конкретного решения в идеале является требование достижения максимального эффекта в рамках заданных ресурсов. В таком случае есть возможность гибко строить любые конфигурации, что позволяет достаточно просто решать проблемы, связанные с тем, что заказчик уже использует, например, какую-либо СУБД и не хочет переучивать свой персонал для работы с другой базой данных.

При этом, при проектировании какого-либо слоя характеристики других слоев, оказывающих влияние на принятие проектных решений, берутся в виде исходных данных, чаще всего в весьма обобщенном виде. Например, при проектировании приложений учитываются скорости, которые может обеспечить сегодняшнее коммуникационное оборудование вполне определенного диапазона стоимости - того диапазона, который имеется в распоряжении предприятия. И наоборот, разработчики транспортной системы ориентируются на усредненные данные о трафике, который могут создать имеющиеся на предприятии приложения и те приложения, которые намечено ввести в действие в ближайшие год-два. [9]

При проектировании любой ЛВС существуют типовые этапы выполнения сетевых проектов.

Анализ требований к сети поможет оценить деловую значимость информационно-технологических решений, определить главные цели и выбрать приоритеты для отдельных частей компьютерной системы, которую вы хотите улучшить или расширить. Четкое определение требований к функциям сети поможет избежать реализации не нужных свойств сети, что сэкономит средства вашего предприятия. Тщательный анализ требований к сети является основой для написания хорошего технического задания, на базе которого системные интеграторы смогут разработать проект сети. Наконец, ясное понимание целей поможет сформулировать критерии качества для оценки и тестирования реализованной сети.

На этом этапе формулируются основные деловые цели предприятия, для которого разрабатывается проект, например, сокращение производственного цикла, более оперативный прием заказов или повышение производительности труда за счет более эффективного взаимодействия сотрудников, то есть те цели предприятия, которые в настоящий момент, при существующих средствах и технологиях не вполне достигаются. Осуществляется поиск аналогичных систем, анализируются их сильные и слабые стороны, определяется возможность использования удачного опыта для проектируемой системы.

Для выполнения анализа требований к корпоративной сети необходимо:

оценить текущее состояние локальных сетей и парка компьютеров на предприятии, что поможет выявить, какие проблемы требуют решения;

-определить цели и выгоды от корпоративной сети, что поможет вам правильно спроектировать сеть;

-обосновать перед руководством предприятия необходимость покупок;

-написать эффективное техническое задание;

-определить критерии для оценки качества сети. [9]

Сеть предприятия предназначена для того, чтобы выполнять производственные функции, поэтому следует оценить ее роль в производственной структуре предприятия. Для успешного построения корпоративной сети нужно построить функциональную модель (или, по-другому, бизнес-модель), из которой потом получить техническую и физическую модели сети.

Бизнес-модель описывает деловые процедуры, последовательность и взаимозависимость всех выполняемых на предприятии работ. При этом внимание концентрируется не на компьютерной системе, а концентрируется на деловой практике и последовательности работ.

Архитектура приложений и вычислительной системы играет ключевую роль в деловой архитектуре предприятия. Бизнес предприятия базируется на архитектуре управления данными, на приложениях и архитектуре сети. Успешный анализ требований и успешное построение корпоративной сети требуют от технического специалиста умения думать как бизнесмен.

После разработки бизнес-модели предприятия и определения того, какие процедуры требуют изменения или улучшения, необходимо построить техническую модель сети. Техническая модель описывает в достаточно общих терминах, какое компьютерное оборудование нужно использовать, чтобы достичь целей, определенных в бизнес-модели. Чтобы построить техническую модель, нужно проанализировать существующее оборудование, определить системные требования, оценить сегодняшнее и завтрашнее состояния техники.

Проектировщик также должен обеспечить нужный набор функций и требуемое время доступности сети. Например, если сеть должна быть доступна по ночам и в выходные дни, в ответственных файл-серверах нужно предусмотреть избыточные диски и источники бесперебойного питания. Необходимо решить, достаточно ли применение способа зеркального отображения дисков или требуется использовать дисковый массив. [10]

Далее нужно выяснить, какие технологии и технические средства станут доступными в ближайшее время, а также каковы долгосрочные перспективы этих новшеств. Необходимо оценить, сможет ли проектируемая сеть принять завтрашние технологические новинки.

Искусство проектировщика заключается в оценке имеющихся на сегодня решений, предвидении того, что станет доступным завтра, и объединении этих решений в элегантную и эффективную сеть.

После того, как выбрана техническая модель, описывающая сеть в общих терминах, создается так называемая физическая модель, которая является подробным описанием конкретных продуктов, их количества, технических параметров и способов взаимодействия.

Установка и наладка системы. Данный этап подразумевает координирование поставок от субподрядчиков, управление конфигурированием, инсталляцию и наладку оборудования, обучение персонала.

Тестирование системы. На этом этапе должны проводиться приемочные испытания.

Сопровождение и эксплуатация системы. Этот этап не имеет четко определенных временных границ, а представляет собой непрерывный процесс. [5]

Рассмотрим организационно-штатную структуру подразделения. Во главе подразделения стоит генеральный директор предприятия. В состав подразделения входят 4 отдела, один из которых - специализированный отдел прямого подчинения начальнику. Каждый отдел имеет в подчинении разное количество отделений. В каждом отделении, в свою очередь, служат сотрудники согласно штатно-списочного расписания.

Все вышесказанное иллюстрирует рис. 2.1.

Рис. 1.1. Организационная структура подразделения

Всего в подразделении задействовано 30 человек, каждому из которых предполагается выделить в пользование персональный компьютер.

Практически все современные ОС поддерживают работу в сети. Однако в качестве ОС для сервера чаще всего используются NowellNetWare, Unix, Linuxи Windows2000 Server.

Одна из первых коммерческих сетевых ОС, позволивших строить сети произвольной топологии, состоящих из разнородных компьютеров. Если раньше сетевые ОС сильно зависели от конкретной конфигурации сети, то ОС NowellNetWareстала первой универсальной сетевой ОС. Любая сетевая карта, имеющая драйвер ODI(OpenDatalinkInterface) может использоваться в сетях Nowell. Благодаря такой универсальности ОС быстро завоевала рынок, и долгое время оставалась основной ОС для локальных сетей. С 1990 года даже фирма IBMстала перепродавать NetWare, и по сегодняшний день эта ОС используется достаточно широко.

Текущей версией ОС является NetWare6.x. Помимо удобного графического интерфейса, эта версия NetWareимеет ряд других характерных особенностей:

1) NetWare6.0 использует в качестве основного сетевого протокола TCP/IP (протокол, используемый в сети Internet). Если предыдущие версии NetWareработали на собственном протоколе фирмы Novell- протоколе IPX/SPX, а протокол ТСР/IР мог использоваться только поверх IPX/SPX(также эмулировался NetBIOS), то теперь NetWare5.0 предлагает следующие варианты:

- только протокол TCP/IP

- протокол TCP/IP в режиме "совместимости" (может использоваться IPX/SPXповерх ТСР/IР)

- совместное использование протоколов TCP/IP и IPX/SPX(оба протокола работают параллельно и

независимо)

- только протокол IPX/SPX.

2) В NetWareиспользуется служба каталога NDS(NowellDirectoryService), которая представляет собой единую распределенную базу данных в виде дерева каталогов, в которой описываются все объекты сети (пользователи, группы пользователей, принтеры и т.д.), с указаниями прав доступа. База данных NDSявляется общей для всей сети. Если в предыдущих версиях NetWare3.x и 2.x необходимо было создавать учетную запись пользователя (имя и пароль) на каждом сервере сети, то в NetWare6.0 достаточно один раз зарегистрировать пользователя в NDSи он получит доступ ко всем серверам сети.

3) В NetWareиспользуется мощная и гибкая модель разграничения доступа. Система безопасности подключения к сети включает в себя: ограничения на срок действия и частоту смены пароля, запрет на повторное использование старых паролей, ограничение времени суток и адресов компьютеров, с которых пользователь может подключаться к сети, запрет одному и тому же пользователю на подключение к сети с нескольких машин одновременно. Система безопасности файловой системы позволяет для каждого файла и каталога назначить различным пользователям любую комбинацию следующих прав доступа: чтение, запись, создание, удаление, модификация (имени файла и его атрибутов), просмотр (содержимого каталога), изменение прав доступа, супервизор (полный набор всех прав). Аналогично регулируется доступ и к любым другим объектам NDS(права на просмотр, создание, удаление, переименование объектов, чтение, запись, сравнение и добавление их свойств, права супервизора). NetWareимеет также двухстороннюю систему аудита: внешние независимые аудиторы могут анализировать события в сети, не имея доступа к секретным данным, в то же время, администраторы сети не имеют доступа к данным аудита.

4) В NetWare6.0 поддерживаются как традиционные тома (аналог логических дисков), так и тома NSS(NovellStorageServices). Традиционные тома обеспечивают надежную файловую систему, основанную на обработке транзакций (при сбое, файлы восстанавливаются в состояние "до сбоя"), сжатие файлов и систему зеркального отражения дисков (данные параллельно пишутся на два различных винчестера: при повреждении одного, информация будет считана с другого). Тома NSSмогут иметь размер до 8 терабайт и хранить до 8 триллионов файлов. Доступ к томам NSSпроисходит гораздо быстрее, чем к традиционным томам. В качестве тома NSSможет монтироваться CD-ROMи разделы DOS.

5) В NetWare6.0 реализована распределенная система печати NDPS(NovellDistributedPrintServices), которая была разработана совместно с компаниями Hewlett-Packardи Xeroxи позволяет реализовать:

- двухсторонний обмен данными (компьютер имеет возможность передавать данные на принтер, и принтер имеет возможность передавать данные в компьютер).

- оповещение о событиях (принтер по сети имеет возможность оповестить технический персонал, например о том, что кончился тонер).

- автоматическая загрузка драйверов принтера, шрифтов и др. ресурсов на компьютеры, которым требуется производить распечатку документов.

6) В комплект поставки NetWare6.0 входит мощный и простой в использовании Web-сервер FastTrackServerforNetWare, тесно интегрированный с NDSи поддерживающий большинство языков разработки приложений для Web. FastTrackServerпризван заменить собой NovellWebServer, использовавшийся в предыдущих версиях NetWare.

7) В состав сервера NetWare6.0 входит виртуальная машина Java, что позволяет запускать приложения и апплеты Javaна сервере. Например, графическая утилита управления сервером ConsoleOneнаписана на языке Java.

Включает основанные на открытых стандартах службы каталогов, Web, приложений, коммуникаций, файлов и печати, отличается высокой надежностью и простотой управления, поддерживает новейшее сетевое оборудование для интеграции с Интернетом. В Windows2000 Serverреализованы:

• службыInternet Information Services 5.0 (IIS);

• среда программирования Active Server Pages (ASP);

• XML-интерпретатор;

• архитектура DNA;

• модель СОМ + ;

• мультимедийные возможности;

• поддержка приложений, взаимодействующих со службой каталогов;

• Web-папки;

• печать через Интернет.

Минимальные аппаратные требования Windows2000 Server:

· Pentium-совместимый процессор с тактовой частотой не ниже 133 МГц — Windows2000 Serverподдерживает до 4 процессоров:

· 128 Мб ОЗУ (рекомендуется 256 Мб). Большее количество памяти значительно увеличивает быстродействие системы. Windows2000 Serverподдерживает ОЗУ объемом до 4 Гб;

· 2 Гб свободного дискового пространства — для установки Windows2000 Serverтребуется около 1 Гб. Дополнительное место на диске необходимо для установки сетевых компонентов.

Эта ОС, по сути, представляет собой новую версию Windows NT Server 4.0 Enterprise Edition. Windows2000 AdvancedServer— идеальная система для работы с требовательными к ресурсам научными приложениями и приложениями электронной коммерции, где очень важны масштабируемость и высокая производительность[1]. Аппаратные требования для Windows2000 AdvancedServerне отличаются от требований для Windows2000 Server, однако эта более мощная ОС включает дополнительные возможности:

· балансировку сетевой нагрузки;

· поддерживает ОЗУ объемом до 8 Гб на системах с IntelPageAddressExtension(РАЕ);

· поддерживает до 8 процессоров.

Это серверная ОС, еще больше расширяющая возможности Windows2000 AdvancedServer. Поддерживает до 32 процессоров и больший объем ОЗУ, чем любая другая ОС Windows2000:

• до 32 Гб для компьютеров с процессорами Alpha;

• до 64 Гб для компьютеров с процессорами Intel.

Вопрос об установке Windows2000 DatacenterServerследует рассматривать только в том случае, если вам требуется поддерживать системы оперативной обработки транзакций
(onlinetransactionprocessing, OLTP), крупные хранилища данных или предоставлять услуги Интернета[1].

Семейство продуктов Windows Server 2003 берет все самое лучшее от технологии ОС Windows 2000 Server, упрощая при этом развертывание, управление и использование. В результате пользователь получает инфраструктуру высокой производительности, помогающую превратить сеть в стратегические активы организации.

Технология Windows Server 2003 содержит все функции, ожидаемые пользователями от серверной ОС Windows, используемой для выполнения ответственных задач, такие как безопасность, надежность, доступность и масштабируемость. Кроме того, корпорация Microsoft усовершенствовала и расширила серверную ОС Windows для того, чтобы организация могла оценить преимущества технологии Microsoft .NET, разработанной для связи людей, систем, устройств и обмена данными.

Windows Server 2003 является многозадачной операционной системой, способной централизовано или распределено управлять различными наборами ролей, в зависимости от потребностей пользователей. Некоторые из ролей сервера:

· файловый сервер и сервер печати;

· веб-сервер и веб-сервер приложений;

· почтовый сервер;

· сервер терминалов;

· сервер удаленного доступа/сервер виртуальной частной сети (VPN);

· служба каталогов, система доменных имен (DNS), сервер протокола динамической настройки узлов (DHCP) и служба Windows Internet Naming Service (WINS);

· сервер потокового мультимедиа-вещания.

ОС Unixявляется старейшей сетевой операционной системой (создана в 1969г.) и по сегодняшний день использующейся в Internet. Существует множество клонов Unix— практически ничем не отличающихся друг от друга операционных систем разных производителей: FreeBSD, BSDUnix(университет Berkley), SunOS, Solaris(фирма SunMicrosystems), AIX(фирма IBM), HP-UX(фирмы HewletPackard), SCO(фирмы SCO) и др. Самым популярным клоном Unixпожалуй является FreeBSD, в основном из-за того, что ее исходные тексты распространяются свободно, что позволяет произвольно переделывать ОС "под себя", а также тестировать систему на отсутствие ошибок и "черного хода". В связи с этим, FreeBSDсодержит гораздо меньше ошибок, чем коммерческие варианты Unix, т.к. отладкой и устранением ошибок занималась не одна компания, а все программистское сообщество.

К клонам Unixможно отнести и Linux, однако в последнее время он выделился в самостоятельную операционную систему и продолжает бурно развиваться. Существует множество дистрибутивов (пакетов установки) Linuxразличных фирм. Самые популярные из них — это RedHatLinux(США) и Mandrake(Европа). Существуют также SlackwareLinux, CorelLinux, CalderaOpenLinux, DebianLinux, SuSELinux, BlackCatLinux, ConnectivaLinuxи др. Структура файловой системы, система разграничения доступа и основные команды в Linuxи Unixсходны. С точки зрения пользователя, основным отличаем Linuxот ранних версий Unixявляется удобный графический интерфейс, во многом сходный с интерфейсом Windows(особенно у графической рабочей среды Gnome), а основным преимуществом, по сравнению с Windows, -большая надежность и скорость работы, большая защищенность файловой системы (в том числе и от вирусов) и более профессиональные средства работы с локальной сетью и Internet. Для Linuxсуществует и разрабатывается большое количество программного обеспечения: от офисного пакета StarOfficeи графического редактора CorelDraw, до мощных СУБД (DB2 фирмы IBM) и систем разработки программ на C++, Perl, Javaи др. И хотя пока еще рано рекомендовать неопытному пользователю переходить на Linux(в основном из-за проблем с использованием русских шрифтов в приложениях — отсутствует единая прозрачная схема настройки), тем не менее, в будущем, Linuxвозможно займет значительное место в нише ОС для домашних компьютеров.

В качестве операционной системы было решено использовать Windows 2000 Advanced Server. Эта версия Windows 2000 поддерживает работу с большим объемом оперативной памяти и большим количеством процессоров. Она включает в себя средства организации кластеров и механизмы распределения нагрузки. [13]

Таблица 3.2.1

Характеристики различных версий
Windows 2000.

По сравнению с Windows NT 4.0 версия Windows 2000 Server обладает следую­щими новыми возможностями:

-Active Directory. Новая служба каталога, основанная на спецификациях Х.500 и заменяющая собой домены Windows NT 4.0. Служба Active Directory интегрирована с DNS, использует аутентификацию Kerberos, поддерживает наследуемые доверительные отношения и репликацию с несколькими глав­ными контроллерами домена.

-Улучшенная управляемость. Новая система включает в себя продуманный и последовательный интерфейс управления системой (Microsoft Management Console, MMC), поддержку групповой политики (Group Policy), средство ав­томатической установки Microsoft Installer, средства синхронизации папок в отключенном от сети состоянии, а также службы Telnet и Terminal Services (службы терминалов) для обеспечения удаленного администрирования.

-Улучшенная поддержка сети. Среди нововведений, связанных с работой в сети, следует упомянуть улучшенные службы DNS, WINS и DHCP, под­держку технологии Quality of Service (QoS), сжатие HTTP, защиту данных IP Security (IPSec), поддержку Asynchronous Transfer Mode (ATM), совместное использование канала связи с Интернетом (Internet Connection Sharing), под-дежку Virtual Private Network (VPN), а также службу маршрутизации и уда­ленного доступа Routing and Remote Access Service (RRAS).

-Улучшенная поддержка аппаратных устройств. Новая система включает в себя улучшенные драйверы существующего аппаратного обеспечения, а также цифровых видеодисков DVD (Digital Video Disks), устройств USB (Universal Serial Bus), новых сетевых адаптеров, сканеров, принтеров, моде­мов и других аппаратных устройств. В подавляющем большинстве случаев установка новых драйверов не требует перезагрузки системы. Если ранее пе­резагрузка системы требовалась приблизительно в пятидесяти случаях из ста, то теперь этот параметр снижен всего до семи случаев из ста.

-Управление системой долговременного хранения данных. Новая система включает в себя улучшенные механизмы хранения файлов, а также управле­ния данными, хранящимися на дисках и других устройствах долговременного хранения информации. Среди новых механизмов — квотирование дискового пространства, шифрование данных, управление сменными носителями ин­формации, контекстное индексирование и распределенная файловая система DPS (Distributed File System).

-Улучшенная производительность. Добавлена поддержка большего объема оперативной памяти, большего количества процессоров. Новая система более эффективно использует аппаратные ресурсы компьютера, а также позволяет следить за расходованием процессорного времени и управлять этим расходо­ванием.

ОсновныеотличияWindows 2000 Advanced Server от Windows 2000 Server:

Организация работы в кластере
. Кластеры используются для повышения степени надежности сетевой системы как единого целого. Если данные или сетевые приложения располагаются в кластере, состоящем из нескольких серверов, они будут доступны для пользователей даже при большой нагрузке на сеть или в случае, если один из серверов выйдет из строя. Windows 2000 поддерживает две основные разновидности кластерных технологий: распре­деление сетевой нагрузки (NetworkLoadBalancing) и серверные кластеры. Эти кластерные технологии могут использоваться либо совместно, либо по отдельности.

Поддержка многопроцессорных систем.
Каждая из версий Windows 2000 мо­жет поддерживать ограниченное количество процессоров, установленных на многопроцессорной системе. Windows 2000 Server поддерживает до четырех процессоров, Windows 2000 AdvancedServer поддерживает до восьми процессо­ров, aWindows 2000 DatacenterServer будет поддерживать до 32 процессоров.

Поддержка больших объемов оперативной памяти.
Windows 2000 Profes­sional и Windows 2000 Server поддерживают работу с оперативной памятью объемом до 4 Гбайт. Windows 2000 AdvancedServer поддерживает работу с оперативной памятью объемом до 8 Гбайт (с использованием технологии Intel РАЕ — PhysicalAddressExtention). Windows 2000 DatacenterServer может работать на компьютерах, оснащенных 64 Гбайт оперативной памяти (с использованием технологии Intel РАЕ).

Технология РАЕ позволяет установить на одном компьютере до 64 Гбайт опера­тивной памяти, использование которой осуществляется страницами по 4 Кбайт. Это значительно больше, чем позволял более ранний драйвер IntelPSE36.

В качестве операционной системы рабочих станции была выбрана - Windows 2000 Professional
, она разработана для оснащения настоль­ных рабочих станций корпоративных пользователей. Она оптимизирована для выполнения функций сетевого клиента и управления работой персональ­ной рабочей станции.

Это настольная ОС, расширяющая возможности WindowsNTв области безопасности и отказоустойчивости, она унаследовала от Windows98 легкость в управлении, поддержку множества устройств и РnР. Windows2000 Professionalможно установить путем обновления любой ОС, начиная с WindowsNTWorkstation3.51 и до Windows98. Минимальные системные требования Windows2000 Professional:

-Pentium-совместимый процессор с тактовой частотой не ниже 133 МГц – Windows2000 Professionalподдерживает до двух процессоров;

-64 Мб ОЗУ — большее количество памяти повышает быстродействие системы;

-жесткий диск объемом не менее 2 Гб — для установки самой ОС Windows2000 Professionalна вашем жестком диске должно быть свободно минимум 650 Мб. [2]

Компьютерная сеть - это несколько компьютеров в пределах ограниченной территории (находящихся в одном помещении, в одном или нескольких близко расположенных зданиях) и подключенных к единых линиям связи. Сегодня большинство компьютерных сетей – это локальные компьютерные сети (Local-AreaNetwork), которые размещаются внутри одного конторского здания и основанные на компьютерной модели клиент/сервер. Сетевое соединение состоит из двух участвующих в связи компьютеров и пути между ними. Можно создать сеть, используя беспроводные технологии, но пока это не распространено. [7]

В модели клиент/сервер связь по сети делится на две области: сторону клиента и сторону сервера. По определению, клиент запрашивает информацию или услуги из сервера. Сервер в свою очередь, обслуживает запросы клиента. Часто каждая сторона в модели клиент/сервер может выполнять функции, как сервера, так и клиента. При создании компьютерной сети необходимо выбрать различные компоненты, определяющие, какое программное обеспечение и оборудование вы сможете использовать, формируя свою корпоративную сеть. Компьютерная сеть – это неотъемлемая часть современной деловой инфраструктуры, а корпоративная сеть – лишь одно из используемых в ней приложений и, соответственно, не должна быть единственным фактором, определяющим выбор компонентов сети. Необходимые для Intranetкомпоненты должны стать дополнением к имеющейся сети, не приводя к существенному изменению ее архитектур. [6]

Каждая организация формулирует собственные требования к конфигурации сети, определяемые характером решаемых задач. В первую очередь необходимо определить, сколько человек будут работать в сети. От этого решения, по существу, будут зависеть все последующие этапы создания сети.

Количество рабочих станций напрямую зависит от предполагаемого числа сотрудников. Другим фактором является иерархия компании. Для фирмы с горизонтальной структурой, где все сотрудники должны иметь доступ к данным друг друга, оптимальным решением является простая одноранговая сеть. [2]

Фирме, построенной по принципу вертикальной структуры, в которой точно известно, какой сотрудник и к какой информации должен иметь доступ, следует ориентироваться на более дорогой вариант сети – с выделенным сервером. Только в такой сети существует возможность администрирования прав доступа (рис. 4.1).

Рис. 4.1 Выбор типа сети.

В данном случае на предприятии имеется 30 рабочих станции, которые и требуется объединить в корпоративную сеть. Причем они объединены в следующие группы:

- директор предприятия – 1 рабочая станция;

- отдел прямого подчинения - 2 рабочих станции;

- секретарь – 1 рабочая станция;

- отделения 1, 2 и 3 2-го отдела по 3, 3 и 4 рабочих станции соответственно;

- отделения 4 и 5 3-го отдела по 4 и 4 рабочих станции;

- отделение 6 4-го отдела – 4 рабочих станции.

Следуя из схемы выбора типа сети, можно решить, что в данном случае требуется установка сервера, так как мы имеем вертикальную структуру предприятия, то есть разграниченный доступ к информации.

Одним из главных этапов планирования является создание предварительной схемы. При этом в зависимости от типа сети возникает вопрос об ограничении длины кабельного сегмента. Это может быть несущественно для небольшого офиса, однако если сеть охватывает несколько этажей здания, проблема предстает в совершенно ином свете. В таком случае необходима установка дополнительных репитеров (repeater).

В ситуации с предприятием вся сеть будет располагаться на одном этаже, и расстояние между сегментами сети не столь велико, чтобы требовалось использование репитеров.

В отличие от установки одноранговой сети, при построении ЛВС с сервером возникает еще один вопрос - где лучше всего установить сервер.

На выбор места влияет несколько факторов:

- из-за высокого уровня шума сервер желательно установить отдельно от остальных рабочих станций;

- необходимо обеспечить постоянный доступ к серверу для технического обслуживания;

- по соображениям защиты информации требуется ограничить доступ к серверу;

Рис. 4.2. План помещения.

Сервер расположен в комнате сетевого администратора, так как только это помещение удовлетворяет требованиям, то есть уровень шума в помещении минимален, помещение изолированно от других, следовательно, доступ к серверу будет ограничен.

Сетевой администратор сможет постоянно следить за работой сервера и осуществлять обслуживание сервера, так как при установке сервера.

Сетевая архитектура - это сочетание топологии, метода доступа, стандартов, необходимых для создания работоспособной сети.

Выбор топологии определяется, в частности, планировкой помещения, в котором разворачивается ЛВС. Кроме того, большое значение имеют затраты на приобретение и установку сетевого оборудования, что является важным вопросом для фирмы, разброс цен здесь также достаточно велик.

Топология типа «звезда» представляет собой более производительную структуру, каждый компьютер, в том числе и сервер, соединяется отдельным сегментом кабеля с центральным концентратором (HAB).

Основным преимуществом такой сети является её устойчивость к сбоям, возникающим вследствие неполадок на отдельных ПК или из-за повреждения сетевого кабеля. [12]

Рис. 4.3 Топология сети предприятия.

Важнейшей характеристикой обмена информацией в локальных сетях являются так называемые методы доступа (accessmethods), регламентирующие порядок, в котором рабочая станция получает доступ к сетевым ресурсам и может обмениваться данными.

За аббревиатурой CSMA/CD скрывается английское выражение «CarrierSenseMultipleAccesswithCollisionDetection» (коллективный доступ с контролем несущей и обнаружением коллизий). С помощью данного метода все компьютеры получают равноправный доступ в сеть. Каждая рабочая станция перед началом передачи данных проверяет, свободен ли канал. По окончании передачи каждая рабочая станция проверяет, достиг ли адресата отправленный пакет данных. Если ответ отрицательный, узел производит повторный цикл передачи/контроля приема данных и так до тех пор, пока не получит сообщение об успешном приеме информации адресатом. [6]

Так как этот метод хорошо зарекомендовал себя именно в малых и средних сетях, для предприятия данный метод подойдет. К тому же сетевая архитектура Ethernet, которую и будет использовать сеть предприятия, использует именно этот метод доступа.

Спецификацию Ethernet в конце семидесятых годов предложила компания Xerox Corporation. Позднее к этому проекту присоединились компании Digital Equipment Corporation (DEC) и Intel Corporation. В 1982 году была опубликована спецификация на Ethernet версии 2.0. На базе Ethernet институтом IEEE был разработан стандарт IEEE 802.3. [12]

В настоящее время технология, применяющая кабель на основе витой пары (10Base– T), является наиболее популярной. Такой кабель не вызывает трудностей при прокладке.

Сеть на основе витой пары, в отличие от тонкого и толстого коаксиала, строится по топологии звезда. Чтобы построить сеть по звездообразной топологии, требуется большее количество кабеля (но цена витой пары не велика). Подобная схема имеет и неоценимое преимущество – высокую отказоустойчивость. Выход из строя одной или нескольких рабочих станций не приводит к отказу всей системы. Правда если из строя выйдет хаб, его отказ затронет все подключенные через него устройства.

Еще одним преимуществом данного варианта является простота расширения сети, поскольку при использовании дополнительных хабов (до четырех последовательно) появляется возможность подключения большого количества рабочих станций (до 1024). При применении неэкранированной витой пары (UTP) длина сегмента между концентратором и рабочей станцией не должна превышать 100 метров, чего не наблюдается в предприятии.

Следующим важным аспектом планирования сети является совместное использование сетевых ресурсов (принтеров, факсов, модемов).

Перечисленные ресурсы могут использоваться как в одноранговых сетях, так и в сетях с выделенным сервером. Однако в случае одноранговой сети сразу выявляются её недостатки. Чтобы работать с перечисленными компонентами, их нужно установить на рабочую станцию или подключить к ней периферийные устройства. При отключении этой станции все компоненты и соответствующие службы становятся недоступными для коллективного пользования. [2]

В сетях с сервером такой компьютер существует по определению. Сетевой сервер никогда не выключается, если не считать коротких остановок для технического обслуживания. Таким образом, обеспечивается круглосуточный доступ рабочих станций к сетевой периферии.

На предприятии имеется десять принтеров: в каждом обособленном помещении. Администрация пошла на расходы для создания максимально комфортных условий работы коллектива.

Теперь вопрос подключения принтера к ЛВС. Для этого существует несколько способов.

1.Подключение к рабочей станции.

Принтер подключается к той рабочей станции, которая находиться к нему ближе всего, в результате чего данная рабочая станция становится сервером печати. Недостаток такого подключения в том, что при выполнении заданий на печать производительность рабочей станции на некоторое время снижается, что отрицательно скажется на работе прикладных программ при интенсивном использовании принтера. Кроме того, если машина будет выключена, сервер печати станет недоступным для других узлов.

2.Прямое подключение к серверу.

Принтер подключается к параллельному порту сервера с помощью специального кабеля. В этом случае он постоянно доступен для всех рабочих станций. Недостаток подобного решения обусловлен ограничением в длине принтерного кабеля, обеспечивающего корректную передачу данных. Хотя кабель можно протянуть на 10 и более метров, его следует прокладывать в коробах или в перекрытиях, что повысит расходы на организацию сети.

3. Подключение к сети через специальный сетевой интерфейс.

Принтер оборудуется сетевым интерфейсом и подключается к сети как рабочая станция. Интерфейсная карта работает как сетевой адаптер, а принтер регистрируется на сервере как узел ЛВС. Программное обеспечение сервера осуществляет передачу заданий на печать по сети непосредственно на подключенный сетевой принтер.

В сетях с шинной топологией сетевой принтер, как и рабочие станции соединяется с сетевым кабелем при помощи Т-коннектора, а при использовании «звезды» - через концентратор.

Интерфейсную карту можно установить в большинство принтеров, но её стоимость довольно высока.

4. Подключение к выделенному серверу печати.

Альтернативой третьему варианту является использование специализированных серверов печати. Такой сервер представляет собой сетевой интерфейс, скомпонованный в отдельном корпусе, с одним или несколькими разъемами (портами) для подключения принтеров. Однако в данном случае использование сервера печати является непрактичным.

В нашем случае в связи с нерентабельностью установки специального сетевого принтера, покупкой отдельной интерфейсной карты для принтера самым подходящим способом подключения сетевого принтера является подключение к рабочей станции. На это решение повлиял ещё и тот факт, что принтеры расположены около тех рабочих станций, потребность которых в принтере наибольшая.
[10]

Безусловно, наиболее значимое изменение, по сравнению с Windows NT 4, это включение в Windows 2000 важной новой службы – Active Directory. Active Directory – это «родная» служба каталогов для Windows 2000. В NT 4 домен был очень похож на удаленный остров, с которым мы могли соединиться только используя механизм доверительных отношений. Active Directory – полнофункциональная служба каталогов.

Каталог может хранить различную информацию, относящуюся к пользователям, группам, компьютерам, принтерам, общим ресурсам и так далее – все это называется объектами
.

Каталог хранит также информацию о самом объекте, или его свойства – атрибутамы
. Например, атрибутами, хранимыми в каталоге о пользователе, может быть имя его руководителя, номер телефона, адрес, имя для входа в систему, пароль, группы, в которые он входит и многое другое. [4]

Active Directory использует Lightweight Directory Access Protocol (LDAP) – простой протокол доступа к каталогам, как главный протокол доступа. LDAP действует поверх TCP/IP и определяет способы обращения и доступа к объектам между клиентом и сервером Active Directory. В LDAP каждый объект имеет свое особенное Distinguished Name (отличительное имя), и это имя отличает его от других объектов Active Directory, а также подсказывает нам, где данный объект расположен. Два главных составных части отличительного имени – это CN (common name) – общее имя и DC (domain component) – доменная составляющая. Общее имя определяет объект или контейнер, в котором этот объект находится, в то время как доменный компонент определяет домен, в котором объект находится. Например, отличительное имя может быть следующим:

CN
=
Peter
Ivanoff
,
CN
=
Users
,
DC
=
firma
,
DC
=
ru

В этом примере у нас есть пользователь PeterIvanoff, который находится внутри контейнера, называемого Users, в домене firma, который является поддоменом .ru. Отличительное имя объекта должно быть уникальным внутри леса Active Directory.

В то время как отличительное имя дает нам полную информацию о расположении объекта, relative distinguished name (относительное отличительное имя) определяет объект внутри его родительского контейнера. Например, если я осуществляю поиск внутри контейнера Users, относительное отличительное имя объекта, который я ищу, может быть PeterIvanoff.

Когда пользователь входит в домен, расположенный в Active Directory, у него может быть два типа имени. Первое из них – традиционное NetBIOS -имя. В Windows 2000 на него ссылаются как на downlevel logon name (имя регистрации в ранних версиях Windows). Этот тип имени существует для совместимости с ранними версиями Windows, процесс входа в которые был основан на использовании имен NetBIOS (такие OS как NT 4, Windows 9x и так далее). Когда вы используете downlevel logon name (на вкладке свойств –«имя входа пользователя пред-Windows 2000») для входа, пользователь должен ввести имя пользователя, пароль и выбрать соответствующий домен, в который он собирается входить. Второе имя – и это новинка в Windows 2000 – это возможность входа в систему с использованием того, что называется User Principal Name (основное имя пользователя) или UPN. Основное имя пользователя имеет следующий формат – user@domain.com (на вкладке свойств пользователя это называется – User logon name (имя входа пользователя)). Если это соглашение действует, то пользователю не нужно определять домен, в который он хочет войти. Фактически, когда для входа в Windows 2000используется UPN, доменная часть окна имени для входа в систему закрашена серым. Пример этих двух типов имен показан на вкладке свойств учетной записи пользователя Active Directory:

Рис. 5.1. Active Directory

Логическая структура Active Directory зависит от нужд вашей организации. Логические элементы Active Directory это леса, деревья, домены и OU.

Домен в Windows 2000 очень напоминает домен в Windows NT. Для различных намерений и целей, домен является логической группой пользователей и компьютеров (объектов), которые связаны как единица для администрирования и репликации. Прежде всего домен – это административная единица. Следовательно, администратор этого домена может его администрировать и для этого не нужен никто другой. Кроме того, все контроллеры одного домена должны осуществлять репликацию друг с другом.

В Windows 2000 домены именуются в соответствии с соглашением об именовании DNS, а не именовании NetBIOS. Примером имени домена в Active Directory может быть 2000trainers.com. В Windows NT имели ограничения по величине, до которой они могли увеличиваться и этот размер ограничивался допустимым размером базы данных SAM (40 Мб или около того). Поэтому приходилось создавать множества доменов в компании, в которой действовали тысячи пользователей и компьютеров. Теперь же множество доменов не являются необходимостью в подобном сценарии под Windows 2000, так как Active Directory может вместить в себя многие миллионы объектов. Учетные записи пользователей в Windows 2000 существуют так же как и в Windows NT. Active Directory также позволяет иметь множество доменов, формируя структуры, которые называются деревьями и лесами. [4]

В Windows 2000, несколько доменов может все же потребоваться, особенно в больших организациях, которые продолжают требовать надежного контроля над их средой, их индивидуальностью (как в случае различных организационных единиц для ведения бизнеса) и особого административного контроля. В Active Directory набор доменов может создаваться в порядке, напоминающем структуру дерева. В этом случае «дочерний» домен наследует свое имя от «родительского» домена:

Рис. 5.2. Домены

Каждый домен в дереве является отдельной и явно выраженной административной единицей, так же как и границей для целей репликации. То есть, если вы создали учетную запись пользователя в домене filial1.firma.ru, то эта учетная запись, существующая на контроллере домена, будет реплицирована на все контроллеры домена filial2.firma.ru.

Каждый новый «дочерний» домен имеет transitive (транзитивные) двунаправленные доверительные отношения с «родительским» доменом. Это достигается автоматически в Active Directory и позволяет пользователям из одного домена дерева иметь доступ к ресурсам в другом. Даже не имея прямых доверительных отношений, пользователи в filial1 могут получать доступ к ресурсам (для чего у них должны быть соответствующие разрешения) в filial2 и наоборот, к тому же доверительные отношения транзитивны (filial1 доверяет своему «родительскому» домену firma , который в свою очередь «доверяет» filial2 – таким образом filial1 доверяет filial2 и наоборот).

Дерево, в общих чертах, можно определить как набор доменов, которые связаны отношениями «дочерний»/«родительский» и поддерживают связанное пространство имен. [4]

Лес – это термин, применяемый для описания совокупности Active Directory деревьев. Каждое дерево в лесе имеет собственное отдельное пространство имен. Например, давайте предположим, что наша фирма владеет еще одной более мелкой, называемой ЧП Сидоров. Чтобы ЧП Сидоров имело свое собственное отдельное пространство имен, я могу достичь этого объединив деревья и сформировать лес, как показано ниже:

Рис. 5.3. Лес

Домен Sidoroff.ru является частью леса, так же как и firma.ru, но по-прежнему остается доменом и может иметь собственное дерево. Заметьте, что здесь существуют транзитивные доверительные отношения между «корневыми» доменами каждого дерева в лесу – это позволит пользователям домена acmeplunbing.com получать доступ к ресурсам в дереве firma.ru и наоборот, в то же время поддерживает проверку подлинности в собственном домене.

Первый домен, созданный в лесу, рассматривается как «корень» леса. Одна из самых важных особенностей леса – это то, что каждый отдельный домен поддерживает общую схему – определения для различных объектов и связанных с ними атрибутов, которые созданы в лесу. Важно осознать, что лес может быть создан из одного дерева, которое содержит всего один домен. Это будет маленький лес, но формально это будет лес. [4]

Организационные единицы (обычно называемые OU) – это контейнеры внутри Active Directory которые создаются для объединения объектов в целях делегирования административных прав и применения групповых политик в домене. OU могут быть созданы для организации объектов несколькими путями, в соответствии с их функциями, местоположением, ресурсами и так далее. Примером объектов, которые могут быть объединены в OU могут служить учетные записи пользователей, компьютеров, групп и т.д. Рисунок 5.1.3 показывает пример OU, основанной на местоположении пользователей и ресурсов:

Рис. 5.4. Организационные единицы.

OU может содержать только объекты из того домена, в котором они расположены. Также заметьте, что структура OU может широко варьироваться от компании к компании. Она разрабатывается с целью облегчить администрирование ресурсов и применения групповых политик. В то время как полный административный контроль может быть дан (делегирован) пользователю через OU, для больших организаций становиться возможным иметь только один домен, в котором каждая структура будет имеет собственный контроль только над своей OU. [1]

Физическая структура Active Directory связана с двумя главными типами объектов – сайтами и контроллерами доменов.

В отличии от NT 4, в Windows 2000 Active Directory предусматривает концепцию физического местоположения внутри структуры. В Active Directory сайт – это совокупность подсетей TCP/IP, между которыми существует высокоскоростное соединение. Хотя «высокоскоростное» - это относительное понятие, обычно под этим подразумевается соединение на скоростях, соответствующих LAN – соединениям. Вы определяете сайт в Active Directory для контроля репликации, аутентификации и местоположения служб. Как только сайт будет создан, компьютеры клиентов будут пытаться аутентифицироваться на контроллере домена, который находится на данном сайте, вместо того, чтобы посылать запросы по WAN (глобальной сети).

Сайты также позволяют вам контролировать, когда репликация может происходить между контроллерами доменов. Например, в NT 4, все BDC получают данные от PDC в процессе репликации, используя 5-минутный интервал уведомления об изменениях. Так как в NT не было предусмотрено простого пути для контроля репликации между физическими местоположениями (это можно сделать, используя специальные скрипты для регистра), трафик репликации может перегрузить линии и снизить производительность сети. Если же вы определите сайт в Active Directory, вы можете также определить время и дни, в которые репликация между сайтами должна происходить, как часто она должна происходить, и преимущественные пути для ее прохождения. Вы должны заметить, однако, что по умолчанию существует только один сайт, и пока вы не создадите другие, репликация будет происходить, как и раньше, каждый 5-минутный интервал уведомления об изменениях. Также важно отметить, что сайты – это другой элемент, который позволяет большим компаниям иметь только один домен. Так как не существует соотношения между логической и физической структурой Active Directory, вы можете иметь один домен и сотню сайтов. Возможность контролировать трафик репликации – одно из наибольших преимуществ управляемости Active Directory.

Домена не может существовать без по крайней мере одного контроллера домена, где храниться база данных Active Directory. В отличие от Windows NT, где была только одна копия базы, позволяющая делать запись (хранящаяся на PDC; копии, хранящиеся на BDC имели атрибут «только для чтения»), в Windows 2000 каждый контроллер домена имеет копию базы данных Active Directory, в которую можно производить запись. Поэтому все контроллеры домена в среде Active Directory достаточно равноправны. Однако, это усложняет картину, так как теперь каждый контроллер домена может делать записи в базу данных. Как и в NT 4, должно быть как минимум два контроллера в домене для целей избыточности, а, как правило, и гораздо больше, в зависимости от размера организации. [4]

Создаете контроллер домена в Windows 2000, при помощи Installation Wizard (мастер установки Active Directory) – dcpromo.exe
. Этот инструмент не только позволяет создавать новые контроллеры домена, и новые домены, деревья и леса. Он позволяет также понижать контроллер домена до рядового сервера, если возникнет такая необходимость.

Рис. 5.5. Installation Wizard

После того, как контроллер домена создан, он хранит копию базы данных Active Directory (ntds.dit
) и может проводить аутентификацию пользователей домена. База данных Active Directory состоит из того, что принято называть тремя разделами, как показано на рисунке 5.1.5.

Рис. 5.6. БазаданныхActive Directory.

Раздел «домен» реплицируется между контроллерами только внутри одного домена, в то время как разделы «конфигурация» и «схема» реплицируются в каждый из доменов, расположенных в лесу. Некоторые из контроллеров домена отличаются от других специальными ролями, которые они выполняют:

Global Catalog Server
(сервер Глобального Каталога) – сервер Глобального Каталога – это контроллер домена, который знает о каждом единичном объекте, который существует в Active Directory, в каждом из доменов. Однако, он сохраняет только часть атрибутов каждого объекта, которые считаются наиболее важными. По умолчанию только один контроллер домена во всем лесу выполняет эту роль – первый контроллер домена, созданный в лесу. Большее число серверов Глобального Каталога может (и должно) быть создано в лесу. Когда контроллер домена действует как сервер Глобального Каталога он хранит четвертый раздел, как часть базы данных Active Directory – раздел Глобального Каталога.

Помимо роли сервера Глобального Каталога, контроллеры домена могут выполнять еще пять специальных ролей, называемых Operations Masters (основные контроллеры операций). Они перечислены ниже:

Schema Master
(хозяин схемы) – в лесу только один контроллер домена может выполнять эту роль. Schema Master поддерживает схему Active Directory и поддерживает копию схемы, доступную для записи. По умолчанию первый контроллер домена, созданный в корневом домене леса, выполняет эту роль.

Domain Naming Master
(Хозяин именования доменов) – этот контроллер домена отслеживает домены, которые создаются и удаляются из леса, поддерживая целостность структуры леса, если какие-либо изменения имеют место. В лесу существует только один Domain Naming Master и, по умолчанию, эту роль выполняет первый контроллер, созданный в корневом домене леса.

PDC Emulator
(хозяин PDC) – эта роль существует по паре причин, одна из которых – обратная совместимость с NT 4 контроллерами. Когда домен повышается до Windows 2000, первая система, которая подвергается модернизации – это PDC (главный контроллер домена), и этот новый контроллер домена Windows 2000 эмулирует (имитирует) старый PDC для оставшихся BDC (резервных контроллеров домена), работающих под Windows NT. PDC Emulator отслеживает изменения паролей и выступает «арбитром» перед тем, как пароль может быть отвергнут системой. По умолчанию клиенты предыдущих Windows OS, таких как Windows 9x и NT продолжают изменять свои пароли на PDC Emulator (до тех пор, пока на систему не будет установлен клиент Active Directory). Один контроллер в каждом домене выполняет роль PDC Emulator, по умолчанию, это первый контроллер созданный в домене.

Relative Identifier (RID) Master
(Хозяин RID (relative identificator)) – в NT 4, PDC отвечает за создание всех SID (security identificator), то есть отвечает за создание всех объектов безопасности («пользователь», «группа», «компьютер»). В Windows 2000 каждый контроллер домена может создавать объекты безопасности. На самом деле SID состоит из двух частей - SID (который определяет домен) и RID (который определяет уникальный объект внутри домена).Для того, чтобы быть уверенным, что SID уникален, один контроллер в каждом домене выполняет роль RID Master, отвечающего за создание доменного пула RID, и размещения этих RID на других контроллерах в домене. Это позволяет быть уверенным, что не произойдет дублирования объектов SID. В каждом домене Active Directory действует один RID Master, по умолчанию, это первый контроллер, созданный в домене.

Infrastructure Master
(Хозяин инфраструктуры) - Infrastructure Master отслеживает информацию о том, какие пользователи (из других доменов) являются членами той или иной группы данного домена и все изменения, которые имеют место. Это позволяет быть уверенным в непротиворечивости участия пользователей в группах в Active Directory. Каждый домен в Active Directory имеет одного Infrastructure Master, по умолчанию, это первый контроллер, созданный в домене. [1]

Dynamic Host Configuration Protocol (протокол динамической конфигурации хоста) является базовой сетевой службой, предлагаемой Windows 2000 для динамического распределения IP-адресов и связанной с ними информации клиентам, использующим TCP/IP. Хотя функции, выполняемые DHCP в Windows 2000 во многом похожи на те, что были в Windows NT, некоторое количество несущественных отличий.

DHCP — развитие протокола ВООТР (RFC 951 и 1084), позволявшего динамически назначать IP-адреса (в дополнение к удаленной загрузке бездисковых станций). При этом DHCP предоставляет все данные для настройки стека протоколов TCP/IP и дополнительные данные для функционирования определенных серверов (Приложение 2).

Область DHCP
. Область (scope) DHCP — административная группа, идентифицирующая полные последовательные диапазоны возможных IP-адресов для всех клиентов DHCP в физической подсети. Области определяют логическую подсеть, для которой должны предоставляться услуги DHCP, и позволяют серверу задавать параметры конфигурации, выдаваемые всем клиентам DHCP в подсети. Область должна быть определена прежде, чем клиенты DHCP смогут использовать сервер DHCP для динамической конфигурации TCP/IP.

Пул адресов
. Если определена область DHCP и заданы диапазоны исключения, то оставшаяся часть адресов называется пулом доступных адресов (address pool) (в пределах области). Эти адреса могут быть динамически назначены клиентам DHCP в сети.

Диапазоны исключения
. Диапазон исключения (exclusion range) — ограниченная последовательность IP-адресов в пределах области, которые должны быть исключены из предоставления службой DHCP.

Резервирование
. Резервирование (reservation) позволяет назначить клиенту постоянный адрес и гарантировать, что указанное устройство в подсети может всегда использовать один и тот же IP-адрес.

Суперобласти.
Это понятие, используемое в Диспетчере DHCP, которое задает множество областей, сгруппированных в отдельный административный объект — суперобласть (superscope). Суперобласти полезны для решения различных задач службы DHCP.

Арендные договоры.
Арендный договор (lease) — отрезок времени, определяющий период, во время которого клиентский компьютер может использовать назначенный IP-адрес. При выдаче арендного договора он становится активным. В момент половины срока действия арендного договора клиент должен возобновить назначение адреса, обратившись к серверу повторно. Продолжительность арендного договора влияет на частоту обновления арендных договоров (интенсивность обращений к серверу).

Опции DHCP
— дополнительные параметры настройки клиентов, которые сервер DHCP может назначать при обслуживании арендных договоров клиентов DHCP. Например, IP-адреса маршрутизатора или шлюза по умолчанию, серверов WINS или серверов DNS обычно предоставляются для каждой области или глобально для всех областей, управляемых сервером DHCP. Кроме стандартных опций, сервер DHCP Microsoft позволяет определять и добавлять пользовательские опции. [4]

Служба DHCP в Windows 2000 состоит из трех основных компонентов.

Серверы DHCP.

В состав сервера DHCP входит оснастка DHCP — удобный в работе графический инструмент, который позволяет администратору настраивать конфигурации для клиентов DHCP. Сервер DHCP также содержит базу данных для назначения IP-адресов и других параметров настройки. Сервер DHCP поддерживает более 30 опций DHCP согласно RFC 2132. Параметры конфигурации TCP/IP, которые могут быть назначены сервером DHCP, включают: IP-адрес для каждого сетевого адаптера на клиентском компьютере, маску подсети, шлюзы по умолчанию, дополнительные параметры конфигурации, например, IP-адрес сервера DNS или WINS. Один или более компьютеров в сети должны работать под управлением Windows 2000 Server с протоколом TCP/IP и установленным сервером DHCP. Если служба сервера DHCP установлена на компьютере, то сразу после задания и активизации областей автоматически создается база данных DHCP.

Клиенты DHCP.

Клиентами сервера DHCP из состава Windows 2000 могут быть компьютеры, работающие на любой платформе. Компьютеры под управлением ОС производства Microsoft могут действовать как клиенты DHCP: Windows NT Server/Workstation (все версии), Windows 98/95, Windows for Workgroups 3.11 (с установленным 32-разрядным протоколом TCP/IP), Microsoft Network Client 3.0 for MS-DOS (с установленным драйвером реального режима), LAN Manager версии 2.2с.

Работа протоколов ВООТР и DHCP основана на механизмах широковещания. Маршрутизаторы обычно по умолчанию не ретранслируют широковещательные посылки, поэтому передача таких посылок выполняется агентом ретрансляции. Агент ретрансляции DHCP — это маршрутизатор, либо хост, который слушает широковещательные сообщения DHCP/BOOTP и переадресовывает их на заданный сервер (серверы) DHCP. Использование агентов ретрансляции избавляет от необходимости устанавливать сервер DHCP в каждом физическом сегменте сети. Агент не только обслуживает прямые локальные запросы клиента DHCP и перенаправляет их на удаленные серверы DHCP, но также возвращает ответы удаленных серверов DHCP клиентам DHCP.

Администратор может отменить параметры динамической настройки, настроив их вручную. Любая информация, вручную введенная на клиенте, отменяет параметры динамической настройки.

Служба сервера DHCP устанавливается автоматически на сервер Windows 2000, но не является сконфигурированной (и даже может быть отключена) без дополнительной настройки. Она может быть удалена и добавлена в случае необходимости, посредством использования вкладки Add/Remove Windows Components программы Add/Remove Programs в Control Panel (в разделе Networking Services). После установки, сервер DHCP настраивается при помощи оснастки DHCP ММС, которая находится в Administrative Tools. Если сервер Windows 2000 является частью рабочей группы или домена, основанного на Windows 2000, то сервер DHCP будет запущен по умолчанию, но необходимо будет вручную настроить области используемых IP-адресов для распределения их службой DHCP. Если DHCP установлена на систему, являющуюся частью домена Windows 2000, то служба DHCP не сможет быть запущена до тех пор, пока сервер DHCP не будет авторизован в Active Directory. Авторизация сервера DHCP в Active Directory может быть осуществлена только членом группы Enterprise Admins. Эта особенность используется как контрольный механизм, позволяющий избежать такой проблемы, как установка незарегистрированных серверов DHCP (пользователями с административными привилегиями), могущих создать проблемы с настройкой TCP/IP сетей (так как клиент получает IP-адрес от первого же сервера DHCP, который отвечает на его запрос).

В Active Directory домене (Windows 2000), только авторизованные Windows 2000 сервера DHCP могут выполнять распределение IP-адресов. В Windows NT 4.0 сервер DHCP может (и будет) распределять адреса и не попадет под действие авторизации. Однако если другой администратор попытается установить Windows 2000 сервер DHCP и запустить службу без предварительной авторизации, то сервер осуществит запрос AD и не запустит службу, если не найдет подтверждения ее авторизации в сети. Неавторизованный сервер DHCP появляется в консоли DHCP с указывающей вниз красной стрелкой (которая может обозначать также, что служба не запущена или область адресов не настроена), как показано на рисунке 5.7.

Рис. 5.7. Консоль DHCP.

Для авторизации DHCP сервер, нужно щелкнуть правой кнопкой мыши на значке сервера и выбрать опцию Authorize (авторизовать) из появившегося меню. Для управления авторизованным DHCP сервером (включая добавление или удаление авторизованных серверов), щелкните правой кнопкой мыши на иконке DHCP и выберите Manage Authorized Servers (управление авторизованными серверами), как показано на рисунке 5.8:

Рис. 5.8 Рис. Управление авторизованными серверами

Заметьте, что сервер DHCP не будет выполнять никаких функций, до тех пор, пока вы не сконфигурируете область адресов – набор настроек, которые будут распределяться группе клиентов. Как и большинство других вещей в Windows 2000, процесс создания области осуществляется с применением соответствующего мастера. Для создания области адресов, щелкните правой кнопкой мыши на значке сервера DHCP и выберите опцию New Score (новая область). Мастер проведет вас через длинный процесс, включающий в себя настройку допустимого диапазона IP-адресов, маски подсети и таких опций, как адрес шлюза по умолчанию (маршрутизатора), используемых серверов DNS и так далее. После того, как область будет настроена, она будет продолжать нуждаться в активизации (правый щелчок мыши и выбор Activate (активизировать)). Каждая область включает в себя: набор адресов, активные выделенные адреса, резервирование и свойства области, как показано на рисунке 5.9 (свойства области выделены):

Рис. 5.9. Консоль DHCP.

После того, как сервер авторизован и область настроена, стрелка на иконке сервера меняется на зеленую и теперь указывает вверх.

Областив Windows 2000 Advanced Server:

- Области могут быть собраны или объединены для создания суперобластей. Они позволяют распределять диапазоны IP-адресов, которые не примыкают друг к другу, но расположены на одной подсети.

- Для изменения маски подсети, связанной с областью, необходимо будет удалить область и создать ее заново.

- Время аренды адреса по умолчанию для области – 8 дней, что отличается от значения в Windows NT, где оно составляло 72 часа. Это значение может быть изменено в зависимости от потребностей сети.

- Каждый диапазон IP-адресов может быть представлен только в одной из областей. Если серверы DHCP не будут скоординированы и два сервера будут иметь одинаковые диапазоны адресов в своих областях, тогда один и тот же адрес может быть назначен разным клиентам в одной сети. Также надо быть уверенным, что исключены все статически назначенные IP-адреса из областей.