Сергеев А.П. Офисные локальные сети. Самоучитель

Подождите немного. Документ загружается.

шейся передачи файлов, таким образом пользователь может повторно подключиться к

серверу и продолжить передачу, начиная с момента отказа, вместо

того,

чтобы выпол-

нять повторную передачу файла с самого начала.

Установка

FTP-узла

имеет много общего с установкой

Web-узла,

поэтому ограни-

чимся лишь общими указаниями.

Создание и настройка параметров FTP-узла

Как и в случае с HTTP, IIS создает

FTP-узел

по умолчанию.

РТР-узел

отвечает на

запросы FTP по всем неназначенным IP-адресам. Этот узел можно настроить в каче-

стве единственного FTP-узла, но для работы определенного сервера с различными

доменами вы можете создать дополнительные

РТР-узлы.

Перед или после установки на сервере FTP-узла убедитесь в том, что вы создали

требуемую DNS-зону и

записи,

необходимые для узла. Если DNS-зона еше не уста-

новлена, создайте ее на DNS-сервере и сделайте

соответствующие

записи SOA и NS.

После этого вам необходимо создать запись А или

CNAME,

обозначающую IP-адрес,

который назначен IIS для FTP-узла. Эта запись позволяет подключаться к узлу, ис-

пользуя адрес

URL

ftp://ftp.mcity.org.

После того как вы сделаете соответст-

вующие DNS-записи, приготовьтесь к созданию FTP-узла.

Создание FTP-узла

Для того чтобы создать новый узел, откройте консоль IIS, щелкните правой кноп-

кой мыши на значке сервера в дереве каталогов и выберите команду

СоздатьоУзел

FTP. Затем будет запущен мастер создания

РТР-узла.

После ввода необходимых данных настройка FTP-узла будет завершена.

Настройка свойств узла

После создания FTP-узла можно сконфигурировать его свойства. Для этого щелк-

ните правой кнопкой мыши на значке FTP-узла в консоли IIS и выберите команду

Свойства. Диалоговое окно свойств FTP-узла показано на рис. 15.3. Вы обнаружите,

что свойства FTP-узла похожи на свойства Web-узла, хотя их немного меньше.

Переключатели, расположенные в группе Подключение на

странице

свойств

РТР-

узла, дают вам возможность установить число одновременных подключений и время

ожидания. При высокой нагрузке или при низкой пропускной способности узла мож-

но ограничить число подключений для повышения его эффективности. Увеличение

времени ожидания позволяет снизить напряженность узла при передаче больших

файлов или во время наибольшей загрузки.

Управление

РТР-сервером

Основное средство, используемое для управления службами FTP, — консоль служб

IIS. Как и для Web-узлов, здесь потребуется VPN-подключение к сетевому серверу и

консоль служб IIS для удаленного администрирования

FTP-узлов

сервера. Однако для

управления

FTP-узлами

вы не сможете

воспользоваться

HTML-версией Диспетчера

служб Internet, ибо ее использование ограничено управлением только Web-узлом, за-

данным по умолчанию.

Глава 15. Службы Web и FTP 281

Рис.

15.3.

Диалоговоэ

окно свойств

FTP-узла

Настройка служб SMTP

Протокол SMTP (Simple Mail Transfer Protocol, Простой протокол электронной

почты) используется в качестве протокола передачи электронной почты в Internet.

Служба SMTP,

входящая

в состав IIS, создает виртуальные почтовые серверы, кото-

рые в свою очередь

перенаправляют

сообщения

к указанным почтовым серверам,

обеспечивающим

поддержку пользователей (например, почтовый протокол РОРЗ).

В первую очередь, служба SNMP — это служба отправки сообщений. Ее главное дос-

тоинство состоит в создании множества почтовых серверов, связанных со всеми доме-

нами

сервера. Служба SNMP обрабатывает все почтовые сообщения, как приходящие

от пользователей Internet, так и созданные пользователями Web-узла.

Служба SNMP, входящая в состав Windows 2000, обеспечивает

следующие

возмож-

ности.

Комплексное управление. Служба SNMP использует ту же консоль служб IIS, что и

службы Web, FTP и NNTP, благодаря чему обеспечивается единая точка управления

для всех служб. Кроме того, для контроля службы можно использовать простой про-

токол сетевого управления, SNMP, журнал регистрации событий Windows 2000 и жур-

нал

транзакций

SMTP-службы.

• Сбор и доставка почты. Службу SNMP можно настроить таким образом, чтобы

собирать всю входящую почту в нижнем каталоге

сервера,

предоставляя воз-

можность другим приложениям сервера использовать SMTP-службу для полу-

чения сообщений. Для отправки сообщений приложения могут использовать

каталог загрузки. Нужным образом отформатированные сообщения, помещен-

ные в этот каталог, автоматически доставляются SMTP-службой. Кроме этого,

приложения могут посылать сообщения через

TCP-порты

SMTP-сервера.

• Ограничение сообшений. Служба SNMP предоставляет возможность установить

определенные ограничения для каждого

SMTP-сервера,

например, ограничить

размер сообщений, число получателей и т.п. Чтобы предотвратить использова-

282

Часть

Ш.

Создание

иерархической

сети Windows 2000

ние сервера в качестве ретранслятора рекламных сообщений, установите соот-

ветствующие

ограничения.

Параметры

маршрутизации.

Служба SMTP предоставляет несколько функций

для управления

маршрутизацией

передаваемых сообщений. Сообщения могут

быть переданы адресату непосредственно или через ведущий компьютер в ка-

честве промежуточного ретранслятора. Для более тонкой настройки используй-

те другие параметры.

Безопасные транзакции. Служба SMTP поддерживает как анонимный, так и

санкционированный доступ к каждому виртуальному серверу, а также прото-

кол TLS для кодирования входящих

сообщений.

Регистрация

транзакций.

Пользователю предоставляется возможность всесто-

ронней регистрации операций службы SMTP для решения проблем и отслежи-

вания

использования

сервера.

Обзор службы SMTP

Служба SMTP, входящая в состав IIS, дает возможность компьютеру Windows 2000

Server функционировать в качестве почтового сервера SMTP (агента доставки элек-

тронной почты). Служба SMTP не обеспечивает почтовые ящики на сервере или

пользовательскую поддержку почтового протокола РОРЗ и не предназначена для вы-

полнения задач полнофункционального почтового сервера, как,

например,

Microsoft

Exchange или другие серверные приложения электронной почты. Но в то же время

служба SMTP используется для обработки

сообщений,

приходящих от пользователей

Internet,

локальных сетей или из приложений самого сервера.

Служба SMTP работает, по существу, в качестве агента передачи файлов. Во время

создания виртуального SMTP-сервера вы определяете его домашний каталог. Службы

создают указанный каталог и четыре вложенные папки по умолчанию.

•

Badmail

(Ошибки почты). В этой папке хранятся неотправленные

сообщения,

которые нельзя возвратить отправителю.

• Drop (Сбор). В этой папке содержатся все

входящие

сообщения для доменов,

обработанные виртуальным сервером.

• Pickup (Загрузка). В этой папке хранятся все исходящие

сообщения.

Папка

Pickup (Загрузка) находится под постоянным контролем со стороны SMTP-

службы, и как только сообщение, отформатированное должным образом, по-

мешается в папку, служба забирает его и пытается доставить по назначению.

• Queue (Очередь). В этой папке содержатся сообщения, ожидающие отправки

адресату. Когда сообщение нельзя доставить адресату по какой-либо причине,

оно остается в папке Queue

{Очередь}

для дальнейшей доставки после измене-

ния соответствующих параметров настройки сервера.

Служба SMTP обеспечивает поддержку настроек параметров безопасности и под-

ключений как для входящих, так и для исходящих

сообщений.

Например, можно огра-

ничить число подключений, указать время задержки или ограничить число

выходящих

подключений для домена. Служба SMTP разрешает анонимный доступ, поддерживает

обычную проверку подлинности (пароль и имя пользователя отправляется в тестовом

формате), обеспечивает шифрование данных с использованием протокола TLS и под-

держивает пакет безопасности Windows

(WSP)

— механизм проверки подлинности,

встроенный в Windows 2000. Последняя опция дает возможность использовать один и

тот же пароль на почтовом сервере во время проверки подлинности при условии, что

все клиенты сети работают с электронной почтой,

поддерживающей

WSP.

Версия Out-

look Express, вошедшая в состав Windows 2000, поддерживает протокол

WSP.

Глава 15. Службы Web и FTP 283

Установка службы SMTP

Служба SMTP не устанавливается по умолчанию во время

инсталляции

Windows 2000. Для ее установки вам следует воспользоваться

аплетом

Установка и

удаление программ панели управления.

Настройка службы SMTP

Подобно службам Web и FTP, IIS автоматически создает SMTP-сервер по умолча-

нию, соответствующий всем неназначенным IP-адресам. Вам необходимо настроить

SMTP-сервер по умолчанию для обработки сообщений в качестве резервного вирту-

ального SMTP-сервера, который может быть и локальным.

В дополнение к SMTP-серверу, заданному по умолчанию, вы можете создать лю-

бое количество виртуальных серверов, чтобы обработать

сообщения

для определенных

доменов и IP-адресов. В следующих подразделах будет рассказано о создании и на-

стройке виртуальных SMTP-серверов.

Создание виртуального SMTP-сервера

Для создания нового виртуального SMTP-сервера откройте консоль IIS, щелкните

правой кнопкой мыши на значке сервера и выберите в контекстном меню команду

Создать^Виртуальный

SMTP-сервер. После ввода необходимых сведений будет создан

SMTP-сервер.

Настройка свойств

Служба SMTP предлагает несколько вкладок свойств для настройки общих па-

раметров, которые определяют функции каждого виртуального сервера. Откройте

кон-

соль

IIS,

щелкните

правой кнопкой мыши на значке виртуального SMTP-сервера,

свойства которого требуется изменить, и выберите

опцию

Свойства (рис. 15.4). Здесь

можно настроить все нужные свойства, регулирующие доставку сообщений, а также

некоторые другие свойства.

Настройка служб NNTP

Протокол NNTP (Network News Transport Protocol, Сетевой протокол передачи но-

востей) отвечает за распространение групп новостей по Internet. К сожалению, объем

этой книги не позволяет подробнее остановиться на этом протоколе.

Установка NNTP

Как и для других служб IIS, для установки NNTP следует воспользоваться опцией

Установка и удаление программ в панели управления.

Настройка службы NNTP

Как и для других служб, во время инсталляции

NNTP-службы

IIS создает

вирту-

альный NNTP-сервер по умолчанию. Виртуальному

NNTP-серверу

присвоены по

умолчанию все неназначенные IP-адреса, что связывает его со всеми присвоенными

серверу IP-адресами, которые не назначены каким-либо другим виртуальным NNTP-

284 Часть III. Создание иерархической сети Windows 2000

серверам. Если виртуальный сервер

недоступен,

на запросы пользователей или

NNTP-сервера ответит сервер по умолчанию. Можно изменить параметры настройки

виртуального NNTP-сервера по умолчанию и использовать его в качестве единствен-

ного сервера или же создать несколько виртуальных серверов в соответствии с по-

требностями вашей организации.

(Свойства:

виртуальный

БМТР-смяиато

Маршрутизация

LDAP

Безопасность

ОЙшие

| Доступ j

Сообщения

Досгг

Имя:

IP-aapec

['все

неназначенные!

'И

Допол

Настройка

сведений

пояллюченин.

ис-тсить^емаядачвдл

ресурсам.

"Г"

Вести

журнал-

• ••

Пщмчоченче

Рис. 15.4. Окно свойств сервера SMTP

На рис.

15.5

показано окно свойств сервера NNTP.

Общнэ

Доступ

{

Напройна

J безопасность |

адшжиидгз1наЦ|Сцйа1!1|ДПйдь

Д:тд;

д.

tP-aopW

[все

неназначенные)

;

Лоан/ючение-

- - - -

•

Настройка

параметров

ПОДКЛЮЧЕНИЯ,

для

•

данного

ресурса.

-г

Рис. 15.5. Окно свойств сервера NNTP

Глава

15. Службы Web и FTP

285

Резюме

В этой главе вы ознакомились с одним из важнейших компонентов Windows 2000

Server — службами IIS. Были рассмотрены вопросы установки и администрирования

отдельных компонентов этих служб — серверов HTTP, FTP, SMTP и NNTP. С помо-

щью

этих служб возможно формирование полноценных серверов Internet на платфор-

ме Windows 2000 Server.

Контрольные вопросы

1. Какой протокол применяется для распространения сообщений в Internet?

а)

FTP;

б) SMTP;

в)

NNTP.

2. Какая служба применяется для передачи файлов в Internet?

а)

FTP;

б) SMTP;

в) NNTP.

3. Какая служба реализует распространение групп новостей в Internet?

а)

FTP;

б) SMTP;

в) NNTP.

286 Часть III. Создание иерархической сети Windows 2000

Глава

Безопасность Windows 2000

В этой главе...

4 Криптография

4 Протокол

Kerberos

4 Протокол

IPSec

4 Аутентификация

4 Резюме

В этой главе рассмотрены некоторые основные

понятия,

связанные с обеспечени-

ем безопасности в Windows 2000.

Криптография

История криптографии насчитывает несколько десятков веков. На протяжении по-

следнего тысячелетия она служила для защиты коммуникационных каналов многих

цивилизаций.

За последние несколько лет роль электронных коммуникационных каналов резко

возросла, поэтому обойтись без электронной или цифровой криптографии просто не-

возможно.

Кодирование данных всегда требует от пользователя усилий для обеспечения за-

щиты соединений. Лишь внедрение алгоритмов кодирования в ядро операционной

системы и стандартизированные сетевые протоколы привели к достижению требуе-

мого уровня надежности и "прозрачности".

В настоящее время

Windows

2000 полностью реализует подобные возможности.

Как только сетевой администратор корректно настроит кодирование в Windows 2000 с

помощью политики безопасности, оно станет доступным всем пользователям.

Ключи

Ключ (или криптографический ключ) известен только людям, отправляющим и по-

лучающим

информацию. Это аналог обычного ключа, применяемого для открытия

сейфов или дверей.

Закрытые ключи

Кодирование с использованием закрытого ключа также известно как кодирование

с применением

симметричного

ключа (классическая криптография). При подобном

методе кодирования для шифрования и декодирования данных используется один и

тот же ключ.

Открытые ключи

Кодирование

с использованием открытого ключа подразумевает применение двух

ключей. Один ключ открытый, а второй — закрытый. При кодировании данных мо-

жет использоваться любой из этих ключей, а при декодировании — только закрытый.

Эта технология основана на архитектуре открытого ключа

PKI

(Public Key Infrastruc-

ture),

поддержка которой реализована в Windows 2000.

Для получения обоих ключей выполняется сложный математический процесс, по-

этому они неразрывно связаны между собой. Сообщение, закодированное с

помощью

одного ключа, можно расшифровать только с

помощью

его пары. Предположим, что

требуется отправить закодированное

сообщение.

У получателя есть открытый ключ,

который он предлагает для кодирования сообщений. Вы кодируете сообщение с по-

мощью открытого ключа и отправляете

его.

Получатель в свою очередь декодирует

сообщение с помощью закрытого ключа, связанного с открытым ключом. Никто, да-

же вы, не сможет декодировать сообщение с

помощью

открытого ключа.

Сеансовые ключи

Основная проблема, связанная с распространением открытых ключей, состоит в

том, что алгоритмы кодирования, применяемые для их получения, слишком медли-

тельны. Поэтому используется сеансовый ключ, который, в свою очередь, содержит

"ключ"

для закодированных данных.

• Сеансовый ключ случайным образом генерируется при каждом соединении,

требующем кодирования.

Инициатор

соединения создает сеансовый ключ для

одного подключения или сообщения.

• Затем созданный ключ применяется для кодирования данных.

• Кодирование самого сеансового ключа осуществляется с помощью открытого

ключа получателя. При этом реализуется достаточно высокое быстродействие.

• Закодированные данные и закодированный сеансовый ключ отправляют полу-

чателю, который сначала декодирует сеансовый ключ с помощью закрытого

ключа, а после этого расшифровывает данные с

Помощью

сеансового ключа.

Сертификаты ключей

Сертификаты ключей являются своего рода "контейнерами" для открытых ключей.

В них обычно содержатся: открытый ключ получателя, такой же ключ для создателя

сообщения,

сведения о времени создания ключа, а также список цифровых подписей.

Цифровые подписи

В реальной жизни вы подписываете массу документов, так почему же не делать то

же самое в "цифровом мире"?

Цифровые подписи удостоверяют личность отправителя, а также гарантируют неиз-

менность сообщения на всем пути следования,

В Windows 2000 значительно упрощается использование всех перечисленных выше

механизмов кодирования. Одной из наиболее значимых реализаций является исполь-

зование протокола Kerberos, благодаря чему аутентификация и кодирование данных

становятся возможными не только в среде Windows 2000, но и во всех основных при-

меняемых операционных системах.

288 Часть III. Создание иерархической сети Windows 2000

Протокол Kerberos

Функционирование

протокола Kerberos основано на системе билетов, которые

представляют собой пакеты кодированных данных, выдаваемые центром распростра-

нения ключей

КОС

(Key Distribution Center). Билет выступает в роли

"паспорта",

ко-

торый содержит в себе массу секретной

информации.

Каждый центр распространения

ключей

КОС

отвечает за определенную сферу; в среде Windows 2000 отдельной сфе-

рой является каждый домен. Кроме того, каждый контроллер домена Active Directory

выступает в роли центра распространения ключей

КОС.

Когда вы регистрируетесь в Windows 2000, локальные средства защиты LSA (Local

Security Authority) выполняют авторизацию, предоставляя вам билет TGT

(Ticket

Granting Ticket, Билет для получения билета),

выступаюший

в качестве своего рода

"пропуска". Затем, когда пользователю потребуется доступ к определенным ресурсам

сети, он предъявит свой

TGT-билет

контроллеру домена и запросит билет для полу-

чения доступа к ресурсу. Билет на доступ к определенному ресурсу также известен как

билет службы ST (Service Ticket). Если требуется получить доступ к ресурсу, ваш билет

службы предоставляется ресурсу, после чего пользователь получает доступ к ресурсу, а

его права будут определяться списком контроля доступа ACL для этого ресурса.

Реализация протокола Kerberos в Windows 2000 полностью совместима с пятой

версией этого протокола, разработанной проблемной группой проектирования

Internet

(IETF). Изначально протокол Kerberos был создан в Массачусетсском технологиче-

ском институте. Данная спецификация поддерживается многими производителями

ПО,

поэтому

билеты, выданные в домене Windows 2000 (сфере протокола

Kerberos),

принимают другие области: сети Mac OS, Novell NetWare, UNIX,

AIX,

IRIX и др.

Таким образом, между контроллерами доменов Kerberos (Kerberos Domain Control-

ler, KDC) в

соответствующих

областях можно устанавливать доверительные отноше-

ния. Эти отношения работают точно так же, как и доверительные

отношения

Win-

dows NT, настраиваемые между главными контроллерами доменов РОС. А поскольку

Windows 2000 поддерживает NT LAN Manager (NTLM), поддерживаются и довери-

тельные отношения с наследуемыми доменами Windows.

Однако протокол Kerberos требует более тонких настройки и администрирования,

чем было в доменах Windows NT при использовании NTLM. Это связано с тем, что

пользователи должны проходить проверку со стороны контроллера домена Kerberos

несколько раз в день. Например, если пользователь работает в сети 6 часов подряд,

ему придется пройти проверку

6—8

раз. Если домен поддерживает 1000 пользователей,

это приведет к восьми тысячам

обращений

к контроллеру домена Kerberos.

Кроме того, доверительные отношения между неоднородными сетями не настоль-

ко прозрачны, как между доменами Active Directory, когда контроллеры домена явно

"ручаются" за всех своих пользователей. Доверительные отношения между лесами

Windows 98, Windows 2000 и Windows NT, Windows EXP и другими областями должны

быть настроены вручную администратором. Процесс настройки доверительных от-

ношений с областями UNIX или IRIX может значительно отличаться от настройки

доверительных отношений между областями Windows 2000.

В процессе планирования сети, в которой будут присутствовать несколько доме-

нов,

взаимодействующих

через глобальную сеть WAN, вам следует создать ярлыки

или наилучшим образом настроить маршруты, которые бы использовались при пере-

даче билета из одной сферы в другую. Ярлыки понадобятся для того, чтобы снизить

влияние процесса аутентификации на сетевой трафик.

Глава 16. Безопасность Windows 2000 289

Протокол

IPSec

Протокол

IPSec

(IP Encapsulated Security Protocol, Протокол инкапсулированной

IP-безопасности) реализует механизм защиты протокола Internet IP, используемый в

Windows 2000 в

целях

обеспечения максимальной защиты сетевого трафика. Этот про-

токол применяется лля защиты соединений в

незащищенных

IP-сетях. Вполне естест-

венным выглядит его применение в сети Internet.

Процедуры зашиты и кодирования при установке подключения между двумя ком-

пьютерами имеют место на уровне протокола IP. При этом кодированные пакеты не

фильтруются брандмауэрами или маршрутизаторами, а просто передаются в исходном

виде. Все это совершенно "прозрачно" для пользователей и приложений с каждой

стороны установленного подключения.

Протокол IPSec

функционирует

на четырех уровнях: кодирования и инкапсуляции,

аутентификации и устойчивости к повторениям, управления ключами, а также циф-

ровых подписей и сертификатов.

Для кодирования

IP-адреса

отправителя используется 40/56- или

112/168-

разрядный стандарт кодирования DES. Это пресекает попытки перехватить пакеты, не

давая возможности хакеру определить адрес источника или адрес назначения, без чего

проведение атаки невозможно. Исходный пакет также инкапсулируется в новый пакет

(причем как его заголовок, так и содержание).

Чтобы обеспечить целостность данных, используется алгоритм кодирования

дан-

ных (SHA-I или

MD-5),

который гарантирует, что данные не будут изменены во вре-

мя передачи. Каждой дейтаграмме присваивается определенный номер последова-

тельности. Когда дейтаграмма достигает точки назначения, проверяется ее номер по-

следовательности, который должен лежать в определенном диапазоне значений. Если

номер последовательности выходит за пределы диапазона, дейтаграмма удаляется.

Компонент управления ключами поддерживается восьмой версией протокола

ISAKMP (Internet Security Association Key Management Protocol)/Oakley, который обес-

печивает применение единой архитектуры для выполнения безопасных транзакций

при использовании программных продуктов от различных

поставщиков,

совместимых

с протоколом IPSec. За подтверждение действительности подписей на цифровых сер-

тификатах отвечает стандарт DSS (Digital Signature Standard, Стандарт

цифровых

под-

писей).

Протокол IPSec также поддерживает возможность импортирования уникального

цифрового сертификата компании, соответствующего третьей версии спецификации

Х.509,

IPSec-совместимое

ПО. Это означает, что вы сможете интегрировать IPSec в

инфраструктуру PKI. Интеграция протокола IPSec и инфраструктуры PKI обеспечива-

ет еше больший уровень

защищенности

сети.

Ниже вкратце описан принцип работы протокола IPSec.

• Компьютер А отправляет данные компьютеру Б по

незащищенной

IP-сети.

Прежде чем начнется передача данных, соответствующий алгоритм на компью-

тере А проверит, каким образом должны быть закодированы данные в соответ-

ствии с определенной на этом компьютере политикой безопасности. Правила

политики безопасности определяют, насколько потенциально опасным являет-

ся подключение.

• После назначения необходимых фильтров, компьютер А устанавливает соеди-

нение с компьютером Б, используя протокол IKE (Internet Key Exchange, Про-

токол обмена ключами в Internet). Затем компьютеры обмениваются необхо-

димыми

идентифицирующими

их сведениями в соответствии с методом иден-

тификации, определенным правилом безопасности. В качестве метода

аутентификации могут использоваться протокол

Kerberos,

сертификаты откры-

того ключа и т.д.

290 Часть III. Создание

иерархической

сети Windows 2000