Вопросы и ответы по Windows NT
Соответствует ли Windows NT требованиям 2000 года?
Существуют ли какие-нибудь средства для интеграции сетей на основе Novell NetWare и Windows NT?
Можно ли построить полнофункциональный Web-узел на основе встроенных средств Windows NT?
Можно ли каким-либо образом организовать терминальный доступ клиентов к ресурсам Windows NT?
Есть ли в Windows NT собственная служба каталогов и каковы преимущества ее использования?
Соответствует ли Windows NT требованиям 2000 года?
Установка комплекта дополнений и изменений Service Pack 4 решает все известные на сегодняшний день проблемы, связанные с 2000 годом, и позволяет считать операционную систему Windows NT 4.0 соответствующей требованиям 2000 года. Однако следует иметь в виду два обстоятельства.
Во-первых, соответствие требованиям 2000 года не может быть достигнуто раз и навсегда. Поэтому, чтобы гарантировать полную готовность компьютеров под управлением Windows NT 4.0 к встрече 2000 года, необходимо регулярно посещать Web-узел Microsoft (http://www.microsoft.com/year2000) и следить за поступлением новой информации.
Во-вторых, кроме стандартных компонентов, устанавливающихся непосредственно с операционной системой, существуют различные дополнения, распространяемые в составе Windows NT Option Pack или через Web-узел Microsoft. Формально они являются составной частью операционной системы. Тем не менее многие дополнительные компоненты имеют собственную шкалу соответствия требованиям 2000 года и в некоторых случаях требуют особых действий по устранению существующих проблем. На Web-узле Microsoft представлена исчерпывающая информация по вопросам соответствия всех дополнительных компонентов Windows NT требованиям 2000 года.
При установке Service Pack 4 обратите внимание на файл Y2KSETUP.EXE, который требуется запускать после выполнения команды установки Service Pack в том случае, если на компьютере установлены следующие приложения:
- Microsoft Internet Explorer Version 4.01
- Microsoft Data Access Components Version 1.5
- Microsoft Data Access Components Version 2.0
- Site Server Express Version 2.0
 |
|
Существуют ли какие-нибудь средства для интеграции сетей на основе Novell NetWare и Windows NT?
Windows NT располагает богатым набором средств для интеграции с Novell NetWare. В стандартной конфигурации Windows NT Server поддерживает протокол IPX/SPX, службу SAP, клиента и шлюз для доступа к серверам Novell NetWare.
Поддержка протокола IPX/SPX и SAP позволяет использовать Windows NT как полноценный сервер приложений (например, сервер баз данных), доступный клиентам Novell NetWare.
Встроенный клиент для доступа к серверам Novell NetWare дает возможность в полном объеме использовать ресурсы серверов Novell NetWare 3.х или более поздних версий в режиме эмуляции bindery, а также осуществлять управление ими. Клиентское программное обеспечение для доступа к NDS из среды Windows NT также существует и распространяется компанией Novell.
Шлюз для доступа к серверам Novell NetWare (Gateway Service for NetWare) служит для того, чтобы клиенты Windows NT, не имеющие поддержки сети Novell NetWare, могли обращаться к серверам Novell NetWare, используя сервер Windows NT как посредника. В этом случае тома сервера Novell NetWare виртуально ассоциируются с тем сервером Windows NT, на котором установлен шлюз, и выглядят как обычные разделяемые ресурсы сервера Windows NT. Когда клиенты Windows NT обращаются к этим виртуальным ресурсам, шлюз переадресует их запросы серверу Novell NetWare. Причем этот процесс абсолютно прозрачен и не требует специальной конфигурации клиента.
Помимо стандартных средств компания Microsoft распространяет продукт Windows NT Services for NetWare, который содержит эмулятор сервера Novell NetWare 3.х для Windows NT (File and Print Services for NetWare), а также службу синхронизации бюджетов домена Windows NT с указанной группой серверов Novell NetWare (Directory Service for NetWare). Эмулятор позволяет клиентам Novell NetWare обращаться к ресурсам сервера Windows NT как к серверу Novell NetWare, а служба синхронизации обеспечивает автоматическую синхронизацию бюджетов нескольких серверов Novell NetWare 3.х (не имеющих собственной службы каталогов) с доменом Windows NT.
|
|
Какими средствами располагает Windows NT для организации взаимодействия с UNIX-системами в гетерогенных сетях?
Стандартная поставка Windows NT Server включает в себя полную поддержку протокола TCP/IP и сопутствующих служб, таких как DHCP, DNS, клиент и сервер FTP, клиент Telnet, а также набор служб для печати через протокол TCP/IP. Эти средства позволяют Windows NT выступать в роли полноценного узла или маршрутизатора в традиционной для UNIX-систем сети на основе протокола TCP/IP. Кроме того, благодаря поддержке сервера FTP можно организовать двунаправленный обмен файлами между компьютерами под управлением Windows NT и UNIX. В свою очередь, клиент Telnet позволяет пользователям Windows NT подключаться к UNIX-системам в режиме текстового терминала. Служба печати TCP/IP позволяет UNIX-системам использовать принтеры, подключенные к компьютеру под управлением Windows NT Server, и помимо этого обеспечивает возможность работы с принтером, подключенным к UNIX-системе, с любого компьютера, являющегося клиентом Windows NT, без установки дополнительного программного обеспечения (кроме драйвера соответствующего принтера).
Если вам требуется более тесная интеграция, необходимо воспользоваться дополнительным продуктом Microsoft, называемым Windows NT Services for UNIX. Он представляет собой набор средств, расширяющих возможности серверов и рабочих станций на базе Windows NT для совместной работы с UNIX-системами. Ниже описаны основные компоненты, входящие в состав Windows NT Services for UNIX.
Сервер NFS предоставляет клиентам UNIX возможность доступа к файлам на серверах под управлением Windows NT. В его основе — код сервера NFS DiskShare, лицензированный у компании Intergraph. Сервер NFS поддерживает стандарты NFS V2 и V3, причем данная реализация позволяет работать со всеми файловыми системами Windows NT, а именно: FAT, CDFS и NTFS, а также использует стандартную схему безопасности Windows NT.
Клиент NFS обеспечит пользователям Windows NT доступ к файлам на серверах NFS под управлением UNIX. В его основу положен лицензированный код продукта DiskAccess компании Intergraph.
Сервер Telnet позволяет осуществлять доступ к вычислительным ресурсам Windows NT с любых систем, включая UNIX, в режиме текстового терминала.
Однонаправленный механизм синхронизации паролей Windows NT с серверами UNIX дает возможность автоматически синхронизировать бюджеты пользователей нескольких UNIX-систем с эталонным сервером (или доменом) на основе Windows NT.
Интерпретатор KornShell позволяет исполнять сценарии для UNIX-систем на компьютере под управлением Windows NT.
|
|
Может ли сеть на основе Windows NT полноценно работать, используя только один транспортный протокол TCP/IP? Какие компоненты для этого необходимы?
Начиная с версии Windows NT 4.0 протокол TCP/IP является рекомендуемым и устанавливается по умолчанию. При этом не только Windows NT, но и все остальные операционные системы Microsoft (включая сетевого клиента для MS-DOS) полностью поддерживают протокол TCP/IP и работают с ним точно так же, как и с другими протоколами, например с NETBEUI и IPX/SPX. Тем не менее следует понимать, что для полноценной работы сети необходимо наличие ряда дополнительных служб, составляющих так называемую инфраструктуру TCP/IP.
В первую очередь требуется служба WINS (Windows Internet Name Service), обеспечивающая динамическое сопоставление имен NetBIOS и IP-адресов. Необходимость в ней вызвана тем, что высокоуровневые сетевые службы операционных систем Microsoft (например, служба доступа к файлам и принтерам) используют интерфейс NetBIOS, который предполагает адресацию узлов на основе произвольных пятнадцатисимвольных имен. В свою очередь, на уровне транспортного протокола узлы идентифицируются IP-адресами. Поэтому прежде чем осуществить коммуникацию с некоторым узлом, нужно выяснить, какой IP-адрес соответствует его NETBIOS-имени. Именно эту функцию и выполняет служба WINS.
Если число компьютеров в сети уже заставляет задумываться об оптимизации управления ими, то логично включить в инфраструктуру TCP/IP сервер DHCP (Dynamic Host Configuration Protocol).
Сервер DHCP обеспечивает автоматическую настройку параметров протокола TCP/IP для узлов сети, позволяя избежать ручной конфигурации каждой рабочей станции. Администратор выделяет серверу DHCP пространство IP-адресов и сопоставляет с ним набор параметров, таких как адрес сервера WINS, адрес маршрутизатора по умолчанию и т.д. В свою очередь, каждая рабочая станция, настроенная на получение параметров TCP/IP с сервера DHCP, сразу после загрузки обнаруживает этот сервер и автоматически получает от него IP-адрес и соответствующий набор параметров, которые используются в течение данного сеанса работы. Сервер DHCP удобен тем, что при необходимости изменения каких-либо параметров TCP/IP администратор может проделать это однократно на сервере DHCP, освобождая себя от необходимости настройки каждой рабочей станции.
Фактически WINS является единственной службой, которую можно признать необходимой (хотя и от нее можно отказаться, заменив ее неудобной статической таблицей соответствия адресов и имен). Все остальные компоненты инфраструктуры TCP/IP, входящие в состав Windows NT Server (DNS, RIP, SNMP и даже DHCP), не являются обязательными и напрямую не связаны с особенностями сетей на основе Windows NT.
|
|
Можно ли построить полнофункциональный Web-узел на основе встроенных средств Windows NT?
Windows NT Server включает в себя все необходимые средства для построения Web-узла, в основе которых лежит поддержка протокола TCP/IP и всех сопутствующих служб, обеспечивающих подключение и полноценное функционирование сервера в сети Internet.
Internet Information Server 4.0, входящий в состав Windows NT Server, объединяет в себе сразу две службы, позволяя Web-узлу выступать одновременно в роли FTP- и Wеb-сервера. Internet Information Server тесно интегрирован с операционной системой, что позволяет управлять доступом к ресурсам Web-узла в терминах модели безопасности, принятой в Windows NT.
Если на Web-узле необходимо реализовать возможность полнотекстового поиска, то следует установить Index Server, поставляемый вместе с Windows NT Server. Index Server позволяет формулировать гибкие запросы на поиск любой информации, опубликованной на Web-узле, включая документы в форматах, отличных от HTML, например документы Microsoft Office.
Специальный компонент Internet Information Server, называемый Active Server Pages (ASP), позволяет расширить функциональность Web-узла до уровня полноценной информационной системы в технологии «клиент-сервер». ASP дает возможность включать в текст HTML-страницы сценарии, которые выполняются в момент загрузки страницы непосредственно на сервере, а не на клиенте. Сценарии пишутся на хорошо знакомых многим языках VBScript, JavaScript или JScript и могут содержать обращения к внешним ресурсам, таким как файлы, базы данных, почтовая система и т.д. Кроме того, сценарии могут обрабатывать данные, переданные клиентом через стандартный механизм форм, и «на лету» формировать содержимое загружаемой HTML-страницы.
Хочется отметить, что самые последние версии Internet Information Server и Index Server включены в состав набора дополнений Windows NT Option Pack, который в последнее время поставляется вместе с операционной системой, а также может быть приобретен отдельно на компакт-диске по цене носителя или бесплатно загружен с Web-узла Microsoft.
|
|
Периодически в прессе встречаются сообщения о взломе Web-узлов на основе Windows NT. Существуют ли какие-нибудь рекомендации по настройке сервера, гарантирующие его устойчивость к попыткам взлома?
Благодаря легкости, с которой можно создать Web-узел на основе Windows NT, число таких узлов в Internet стремительно растет. Однако оборотной стороной этого процесса является то, что зачастую к созданию узла подходят непрофессионально, упуская из виду необходимость специальной настройки сервера с целью обезопасить его от несанкционированных внешних воздействий.
Суть проблемы заключается в том, что по умолчанию и Windows NT, и Internet Information Server устанавливаются в конфигурации, соответствующей далеко не максимальной степени защищенности системы. Следует также учитывать и то, что общедоступный Web-узел требует несколько иного подхода к обеспечению безопасности, чем сервер, находящийся внутри локальной сети организации. Даже если Web-узел не содержит конфиденциальной информации, он может оказаться объектом чьих-то экспериментов или банального хулиганства.
Существует множество рекомендаций (и даже книги) по настройке Web-узлов на основе Windows NT, которые поясняют, как сконфигурировать программное обеспечение, чтобы получить максимально защищенный сервер. Например, одним из наиболее полных и легкодоступных источников является Web-узел http://www.ntsecurity.com, где можно найти не только советы по начальной настройке системы, но и оперативно обновляемую информацию о новых способах взлома и о том, как им противостоять.
На самом деле 99% процентов хакеров взламывают Web-узлы, пользуясь элементарной безалаберностью тех, кто их спроектировал, применяя давно известные и многократно описанные приемы. В самой операционной системе Windows NT, равно как и в Internet Information Server, есть все необходимые средства для обеспечения безопасности. Нужно только грамотно их использовать. Поэтому, не претендуя на полноту изложения, приведем лишь несколько рекомендаций, выполнение которых очень существенно повысит уровень защищенности вашего Web-узла.
- Проводя начальную конфигурацию сервера, не забудьте установить самый последний набор обновлений для Windows NT. На сегодня это Windows NT 4.0 Service Pack 4.
- На Web-узле Microsoft (http://www.microsoft.com/security) подпишитесь на рассылку информации по проблемам безопасности и в случае появления каких-либо обновлений всегда устанавливайте их на сервер.
- Внимательно относитесь к паролям. Не используйте пустых или легко угадываемых паролей.
- Расположите содержимое Web-узла на разделе с файловой системой NTFS и установите минимально необходимые права доступа к файлам.
- Удалите с Web-узла все компоненты, позволяющие удаленно управлять различными службами Web-узла через Internet по протоколу HTTP. К таковым относятся административные утилиты Windows NT, выполненные в виде Web-страниц, а также аналогичные страницы, позволяющие управлять параметрами самого Internet Information Server (IISADMIN HTML).
- Удалите c сервера поддержку всех транспортных протоколов, кроме TCP/IP. Удалите привязку интерфейса NetBIOS к сетевому адаптеру, через который Web-узел связан с Internet.
- При использовании Active Server Pages убедитесь, что доступ к серверу баз данных осуществляется под специально созданным бюджетом, обладающим минимально необходимыми правами.
- Если на Web-узле установлен Microsoft SQL Server, убедитесь, что пароль бюджета «sa» не пустой, и установите жесткие права на выполнение расширенной хранимой процедуры «xp_cmdshell», которая дает потенциальную возможность удаленно инициировать на Web-узле любой процесс.
|
|
Можно ли каким-либо образом организовать терминальный доступ клиентов к ресурсам Windows NT?
Существует специальная версия Windows NT — Windows NT Server 4.0 Terminal Server Edition, которая была разработана для обеспечения доступа к ресурсам Windows NT в режиме графического терминала.
Windows NT Server Terminal Server Edition — это не просто небольшая надстройка над Windows NT, а особым образом оптимизированная операционная система, обеспечивающая эффективную передачу данных между терминалом и сервером, а также распределение вычислительных ресурсов и их полную виртуализацию.
Клиентское программное обеспечение для доступа к Windows NT Server Terminal Server Edition предъявляет минимальные требования к компьютеру, так как оно отвечает лишь за обновление экрана и передачу на сервер событий, поступающих от устройств ввода. И хотя вся вычислительная нагрузка ложится на сервер, у пользователя, сидящего перед терминалом, создается полная иллюзия того, что он непосредственно работает на персональном компьютере под управлением Windows NT Workstation.
В составе Windows NT Server Terminal Server Edition поставляется клиентское программное обеспечение для Windows 3.х, Windows 95/98 и Windows NT. Однако список этим не ограничивается. Компания Citrix, у которой были лицензированы многие компоненты Windows NT Server Terminal Server Edition, предлагает собственные реализации клиентского ПО практически для всех операционных систем, присутствующих на рынке, включая MS-DOS.
Windows NT Server Terminal Server Edition позволяет задействовать в современных информационных системах парк устаревшего оборудования и ощутимо снижает расходы на поддержку конечных пользователей, до предела упрощая процесс администрирования.
|
|
Есть ли в Windows NT собственная служба каталогов и каковы преимущества ее использования?
Служба каталогов Windows NT (NTDS — Windows NT Directory Service) изначально являлась неотъемлемой частью этой операционной системы и проектировалась с учетом требований к масштабируемости при работе в различных организациях: от небольшого офиса до крупной корпоративной сети.
В терминах NTDS административной единицей сети является домен. Каждый домен имеет собственную базу данных SAM (Security Authentication Manager Database) с информацией о бюджетах пользователей и компьютеров сети. Кроме того, с каждым доменом ассоциированы индивидуальная системная политика (см. ниже) и различные параметры, определяющие уровень безопасности системы (например, время «жизни» и минимальная длина паролей).
База данных SAM хранится на серверах, называемых контроллерами домена, причем один из них является первичным, а остальные — вторичными контроллерами. Все изменения в базе данных SAM (такие как смена пароля или добавление нового пользователя) всегда отражаются непосредственно на первичном контроллере домена, а затем автоматически тиражируются на все вторичные контроллеры. Таким образом, обеспечивается целостность и идентичность базы данных SAM на всех контроллерах домена.
Владея базой данных SAM, контроллеры домена осуществляют аутентификацию пользователей, то есть проверку подлинности атрибутов безопасности — имени и пароля. Благодаря идентичности базы данных SAM любой контроллер домена всегда может выполнить аутентификацию, что позволяет сбалансировать между ними вычислительную нагрузку. А в случае выхода из строя первичного контроллера домена любой вторичный контроллер может взять на себя выполнение его функций.
В сетях со сложной административной структурой домены могут быть связаны доверительными отношениями (Trust Relationships), которые позволяют назначать бюджетам, принадлежащим к одному домену, определенные права доступа к ресурсам серверов другого домена.
Благодаря своей архитектуре NTDS обеспечивает делегирование административных полномочий и единичную регистрацию в сети. Где бы ни находился пользователь, ему достаточно однократно указать свое имя и пароль, чтобы в дальнейшем получить доступ ко всем открытым для него ресурсам. Любой сервер (или серверное приложение, такое как Microsoft Exchange) сам найдет домен, в котором определен бюджет пользователя, и обеспечит отсылку контроллеру этого домена запроса на аутентификацию данного пользователя.
Используя механизм доверительных отношений, можно отделить управление бюджетами и политикой безопасности от непосредственного управления доступом к ресурсам. Так, бюджеты всех корпоративных пользователей могут создаваться в единственном домене (например, в штаб-квартире компании), а администраторы доменов, расположенных в филиалах, могут просто использовать эти бюджеты для управления доступом соответствующих пользователей к локальным ресурсам своих доменов.
Один домен NTDS может содержать до 40000 объектов, что позволяет службе каталогов Windows NT одинаково эффективно работать как в небольших, так и в корпоративных сетях.
|
|
В сети на основе Windows NT можно каким-то образом ограничивать полномочия пользователей и предопределять параметры рабочей среды на их компьютерах. Какими средствами нужно для этого воспользоваться?
В формировании рабочей среды пользователей участвуют три механизма: профили пользователей, системная политика и процедуры регистрации в сети. При этом саму рабочую среду составляют такие компоненты, как ярлыки, расположенные на Рабочем столе, пункты меню Start, подключенные сетевые диски, хранитель экрана, фоновый рисунок, языковые свойства, а также возможность (или невозможность) выполнять определенные действия в отношении системы и, конечно, специфические параметры приложений.
Процедуры регистрации в сети назначаются пользователям администратором и выполняются в начале каждого сеанса работы. Обычно они содержат команды для автоматического подключения наиболее часто используемых сетевых ресурсов и синхронизации времени с сервером.
Профили пользователей позволяют администратору предопределить многие параметры настройки системы и установленных приложений. Сетевые профили позволяют воссоздать для каждого пользователя его индивидуальную рабочую среду вне зависимости от того, на каком компьютере он работает в данный момент. Принудительные профили дают администратору возможность жестко зафиксировать рабочую среду пользователя и защитить ее от внесения каких-либо изменений.
Системная политика, являясь атрибутом домена Windows NT, описывает набор ограничений, которые распространяются на определенных пользователей, запрещая им выполнять указанные действия на компьютерах данного домена. Например, пользователю может быть запрещено запускать Панель управления, просматривать Сетевое окружение или присоединять сетевые ресурсы.
В заключение хочется особо отметить бесплатный продукт Microsoft, называемый Zero Administration Kit, который поможет вам существенно упростить использование перечисленных механизмов. Данный пакет можно бесплатно загрузить с Web-узла Microsoft.
|
|
Набор команд стандартного командного процессора Windows NT слишком беден, чтобы с его помощью можно было эффективно автоматизировать стандартные процедуры администрирования в условиях крупной сети. Существуют ли какие-нибудь средства, позволяющие решить эту проблему?
В данном случае наиболее логичным решением будет использование так называемого сервера сценариев (Windows Scripting Host) из набора дополнений Windows NT Option Pack (который теперь входит в стандартную поставку операционной системы).
Windows Scripting Host привносит в Windows NT механизм интерпретации сценариев, написанных на языках VBScript или JavaScript. Кроме того, Windows Scripting Host инкапсулирует основные функции операционной системы в объекты, доступные из сценариев. Например, объект «registry» позволяет создавать, удалять и модифицировать ключи и значения реестра, а объект «shell» — создавать ярлыки, манипулировать переменными среды и т.д. Естественно, из сценариев можно обращаться не только к объектам операционной системы, но и к любым зарегистрированным серверам OLE Automation, например, автоматически строить диаграммы в Microsoft Excel.
Сами сценарии представляют собой обычные текстовые файлы с расширениями «.VBS» или «.JS», содержащие конструкции языков VBScript или JavaScript. При этом операционная система выполняет их так же, как традиционные командные файлы, что позволяет использовать сценарии для автоматизации любых рутинных операций, а также для создания гибких и эффективных процедур регистрации пользователей в сети.
|
|
Известно, что Windows NT может поддерживать до 32 процессоров. Однако нам не удалось настроить систему таким образом, чтобы она использовала более четырех процессоров. В чем может быть проблема?
Действительно, внутренняя архитектура Windows NT позволяет ей поддерживать до тридцати двух симметричных процессоров. Однако версия Windows NT, входящая в стандартную поставку, способна поддерживать максимум четыре процессора, что удовлетворяет потребностям подавляющего числа пользователей.
Если вы решили установить Windows NT на более мощный сервер, то необходимо приобрести соответствующую версию системы —Windows NT Server Enterprise Edition, которая позволит увеличить число процессоров до восьми. Кроме того, Windows NT Server Enterprise Edition обладает целым рядом дополнительных возможностей и специально оптимизирована для эффективной работы в условиях большой вычислительной нагрузки.
Версии Windows NT, которые способны поддерживать более восьми процессоров, называются OEM-версиями (Original Equipment Manufacturer) и поставляются непосредственно изготовителями серверов, как правило, в предустановленном виде. Такой подход продиктован в первую очередь сложностью оборудования данного класса и необходимостью тонкой настройки системы с учетом специфики конкретной модели сервера.
Возвращаясь от серверов-гигантов к машинам среднего класса, хочется отметить, что после добавления в сервер второго процессора следует воспользоваться утилитой UPTOMP.EXE (из состава Windows NT Server 4.0 Resource Kit), которая осуществит замену однопроцессорных компонентов ядра операционной системы соответствующими многопроцессорными компонентами.
КомпьютерПресс 10'1999
