Сергеев А.П. Офисные локальные сети. Самоучитель

Подождите немного. Документ загружается.

• Как только соединения установлены, между компьютерами определяется один

из двух типов соглашений, называемых безопасными связями (SA, Security

Association). Первый тип, Phase I IKE SA, определяет, на какой

основе

будут

базироваться доверительные отношения между компьютерами. Второй тип

со-

глашения определяет, каким образом компьютеры будут обеспечивать безопас-

ность

взаимодействующих

приложений. Этот тип называется Phase If

IPSec

Sec

Sas, он задает методы защиты и ключи для каждого направления соединения.

Протокол IKE отвечает за автоматическое создание и обновление общего клю-

ча для каждого соглашения SA. Закрытые ключи создаются независимо на

обоих концах соединения, что избавляет от необходимости передавать их по

сети.

• Компьютер А "подписывает" все

исходящие

пакеты, подтверждая их

целост-

ность, а также кодирует (или не делает этого) пакеты в соответствии с

раньше

определенными методами. После этого пакеты передаются компьютеру Б.

• Компьютер Б проверяет пакеты на предмет целостности данных и при необхо-

димости декодирует их. После этого данные передаются стандартным образом

приложению.

Несмотря на то, что протокол IPSec изначально предназначался для обеспечения

защиты данных в

незащищенных

сетях, он также может применяться и в intranet-

сетях, особенно на базе Windows 2000 Server.

Аутентификация

Как только пользователь регистрируется в сети, он получает доступ к ее ресурсам с

некоторой задержкой. Сначала он попадает в некую зону проверки (на несколько

миллисекунд)

в целях выполнения аутентификации,

Процедура аутентификации в Windows 2000

Если пользователь или компьютер регистрируется в домене, он взаимодействует с

целым рядом функций, образующих службу регистрации в Windows. Эта служба

обычно называется WinLogon. Она интегрирована в состав протокола

Kerberos,

кото-

рый обеспечивает

полную

поддержку архитектуры Single Sign-On в Windows 2000.

После

регистрации

в домене пользователь продолжает использовать протокол

безопасности, лучше всего понятный его клиентскому приложению. Это может

быть

протокол Kerberos, NTLM или Secure Sockets

Layer/Transport

Layer Security

(SSL/TLS).

Взаимодействие с любым из этих протоколов производится на "прозрачной" основе

для пользователя.

Модель

аутентификации

в Windows 2000 подобна Windows NT и практически лю-

бой компьютерной системе в мире. Эта модель не приводит к появлению больших

проблем.

Одно- и двухфазная аутентификации

Регистрация в сети представляет собой двухфазный процесс, т.е. пользователь или

устройство должны предоставить два параметра механизмам сетевой аутентификации:

• идентификатор пользователя (учетная запись);

• пароль.

Каждой учетной записи пользователя должен соответствовать пароль. Для

того

чтобы система аутентификации "пропустила" пользователя, он должен ввести пароль.

Глава 16, Безопасность Windows 2000 291

Однако тут возможны некоторые

"накладки".

Система не сможет определить, кто

ввел пароль — пользователь, хакер или программа подбора паролей.

Помимо имени пользователя и пароля в качестве примера средств

двухфакторной

проверки подлинности можно привести смарт-карты, магнитные карты и т.д., однако

и они не обеспечивают сверхнадежной защиты.

Намного больший уровень безопасности и удобства обеспечивает однофазная ау-

тентификация.

В этом случае установка подлинности пользователя осуществляется с

помощью

проверки его биометрических характеристики (сетчатка глаза, отпечатки пальцев, осо-

бенности голоса и

т.д.)-

Резюме

Последняя глава книги посвящена вопросам обеспечения безопасности при работе

с Windows 2000 Server. Данная тема относится к разряду "вечных", поскольку опас-

ность при работе в Internet и в локальных сетях существует всегда, — это одна из раз-

новидностей вечной борьбы между изобретателями меча и щита.

Контрольные вопросы

1. Почему ключ называется симметричным?

а) используются одинаковые ключи при кодировании/декодировании;

б) симметричным является алгоритм функционирования;

в) структуре ключа присуще свойство симметрии.

2. На чем основано

функционирование

протокола

Kerberos?

а) на системе билетов;

б) на системе разрешений;

в) на системе прав доступа.

3. Двухфазной аутентификации присущ более высокий уровень

безопасности,

чем

однофазной. Так ли это?

а)

нет;

б) да;

в) разница отсутствует.

292 Часть III. Создание иерархической

сети

Windows 2000

ПРИЛОЖЕНИЯ

В этой части...

Выбор и установка модема

Ответы к тестовым

заданиям

упражнениям

Приложение А

Выбор и установка модема

В этом приложении...

Принципы работы модема

Протоколы удаленного доступа

Выбор и установка модема

4 Настройка модемного соединения

В настоящее время с помощью модемов (сокращение от термина "модулятор-

демодулятор") чаще всего осуществляется подключение локальной сети к Internet.

Причем в качестве каналов передачи данных могут использоваться радиолинии, ка-

бельные системы или даже силовые электрокабели. Поэтому именно описанию рабо-

ты этих устройств будет

посвящено

настоящее приложение.

Принципы работы модема

Все данные, обрабатываемые компьютером, имеют цифровую форму. Для передачи

информации по телефонным линиям связи (dial-up) требуется ее преобразование в

аналоговую форму. Именно эта задача выполняется модемами. Даже если каналы свя-

зи поддерживают

цифровой

формат передачи данных, все равно требуются модемы

для согласования величин входных/выходных сопротивлений, частот дискретизации,

амплитудных значений, преобразования значений несущих частот и некоторых других

параметров.

В процессе преобразования сигнала из цифровой формы в аналоговую выполня-

ются две главных задачи. Во-первых, адаптируется полоса частот, занимаемая исход-

ным сигналом, в соответствии с полосой пропускания канала связи. При этом может

использоваться вся доступная полоса пропускания или только определенная ее часть

(в случае частотного разделения каналов). Во-вторых, выполняется гибкая подстройка

амплитуды и мощности сигнала в целях достижения большего значения параметра

"сигнал/шум".

Чаще всего модемы применяются для передачи данных по обычным телефонным

линиям связи. В этом случае полоса пропускания ограничена значением 3100 Гц, а

сам сигнал может искажаться или даже прерываться. Этот тип модемов достиг конеч-

ного этапа своей эволюции. В частности, скорость передачи данных достигла макси-

мального теоретически возможного значения (определяемого теоремами Шеннона) —

33 600 бит/с, и алгоритмы обработки сигналов доведены до совершенства.

На рис.

A.I

приведена структурная схема модема.

Все каналы связи, используемые для передачи данных, делятся на непрерывные и

дискретные. Бывают также и смешанные каналы связи (что-то среднее между двумя

этими типами). В непрерывном канале связи предусмотрена передача сигнала в ана-

логовой форме, поэтому в данном случае применяется модуляция/демодуляция сигна-

ла. Примером непрерывного канала связи может служить обычная телефонная линия.

Для передачи данных по этому каналу связи

задействуются

все три функциональных

модуля,

схематически изображенных на рис. А.1. Дискретный канал

связи

поддержи-

вает

передачу

данных в цифровой форме. В связи с этим отсутствует необходимость в

использовании блока модулятора/демодулятора. Примерами подобного канала связи

могут служить радиоканал, телевизионный кабель, линия ISDN или оптоволокно.

Приемопередатчик

Кодер/декодер

Модулятор/демодулятор

Рис. А.1. Структурная схема модема

А теперь кратко опишем основные

функциональные

модули модема, изображен-

ные на рис.

А.1.

Модуль

приемника/передатчика

используется для приема/передачи

сигналов,

поступающих

из интерфейса (генерируемых интерфейсом). При этом про-

изводится усиление и фильтрация сигналов.

Модуль кодера/декодера обеспечивает коррекцию

ошибок,

а также сжатие переда-

ваемых данных. Исправление (коррекция) ошибок,

"вкрадывающихся"

в пакеты пе-

редаваемых данных, становится возможным благодаря включению в передаваемые

данные избыточного циклического кода (CRC, Cyclic Redundancy Check). При этом

производится вычисление кода CRC передающим и принимающим компьютерами, а

также сравнение результатов вычислений. Если результаты совпадают, следовательно,

ошибок при передаче данных не произошло. Если же имеются расхождения, пере-

дающему

компьютеру отсылается запрос на повторную передачу пакета данных.

Сжа^

тие данных обеспечивается с

помощью

протокола

V42bis.

Процедура сжатия данных

основана на свойстве повторяемости цепочек символов в словах. В процессе реализа-

ции алгоритма сжатия информации генерируются так называемые динамические сло-

вари, представляющие собой древообразные структуры. В качестве узлов дерева вы-

ступают отдельные символы. По каналам передачи данных пересылаются отдельные

части словарей (пути дерева), которые включают "сокращаемые" цепочки символов.

Благодаря динамическому словарю, который соответствует модему-приемнику, проис-

ходит "восстановление" цепочек символов, в результате чего

восстанавливаются

ис-

ходные слова.

Блок модулятора/демодулятора предназначается для модуляции/демодуляции сиг-

нала, передаваемого по непрерывному каналу связи. В современных модемах исполь-

зуется метод модуляции ТСМ (Trellis Coded Modulation). Этот метод представляет со-

бой усовершенствование так называемого амплитудно-фазового метода модуляции

(QAM). Именно метод ТСМ предусматривается стандартом V.34, который наиболее

распространен на момент написания книги. Все современные модемы поддерживают

стандарт

V.90,

предусматривающий передачу данных со скоростью до 56 Кбит/с

(правда, только в направлении от провайдера к пользователю). Процесс модуля-

ции/демодуляции

осуществляется

помощью

аналого-цифровых (цифро-аналоговых)

преобразователей

(АЦП/ЦАП).

Приложение А. Выбор и установка модема

295

Протоколы удаленного доступа

В процессе установки модемных подключений используется один

общий

сете-

вой/транспортный (локальный) протокол, например TCP/IP, IPX/SPX или NetBEUI.

Этот протокол поддерживает передачу данных в локальных сетях, а также обеспечива-

ет их преобразование в целях дальнейшей передачи в глобальных сетях.

В процессе

осуществления

удаленного доступа используется так называемый ка-

нальный протокол. В качестве подобного протокола применяется РРР

(Point-to-Point

Protocol) или SLIP (Serial Line Internet Protocol). Если же удаленный доступ

осуществ-

ляется с помощью канала VPN, может использоваться протокол РРТР (Point-to-Point

Tunneling Protocol) или L2TP (Layer 2 Tunneling Protocol).

Процесс идентификации удаленных клиентов осуществляется с

помощью

протоко-

лов PAP (Password Authentication Protocol), SPAP (Shiva PAP), CHAP (Challenge

Handshake Authentication Protocol) и ЕАР (Extensible Authentication Protocol). Более

подробное описание этих протоколов можно найти в соответствующих главах книги, а

теперь перейдем к вопросам, связанным с выбором и установкой модема.

Выбор и установка модема

Прежде чем приступить к непосредственным операциям, связанным с выбором и

установкой модемов, следует определиться с областью его применения. Все модемы

можно условно разделить на несколько групп по следующим признакам.

•

Типы каналов связи. Телефонные модемы, радиомодемы, кабельные модемы, а

также модемы, использующие сети электропитания.

• Характеристики и виды предоставляемых услуг. Факс-модемы, голосовые моде-

мы (voice), модемы, поддерживающие протоколы V.34 или V.90.

•

Особенности

аппаратной реализации. Программные модемы (так называемые

win-модемы), аппаратные модемы, цифровые модемы (HDSL-модемы, под-

держивающие стандарт V.90), внутренние/внешние модемы.

Выбор модема обуславливается характером выполняемых задач. В частности, в це-

лях эпизодического подключения локальной сети к Internet вполне достаточно теле-

фонного модема, который поддерживает стандарт V.34. Если же локальная сеть объе-

диняет несколько десятков компьютеров, которые (теоретически) могут одновременно

подключаться к Internet, потребуется несколько телефонных модемов

V.90

(объединенных в модемную

стойку),

а еще лучше — кабельный (или ISDN) модем.

Если клиенты удаленного доступа постоянно перемещаются, лучше воспользоваться

модемом, ориентированным на канал беспроводного доступа.

Набор

АТ-команд

В процессе установки и диагностики модема могут оказаться полезными АТ-

команды,

поддерживаемые всеми Hayes-совместимыми модемами. Эти команды опе-

рируют данными, которые содержатся в

S-регистрах

модема. Подробные сведения о

наборе АТ-команд, применяемых конкретным модемом, можно найти в руководстве

по эксплуатации. Ниже приводится описание наиболее общих команд, "понимаемых"

практически всеми модемами. Для ввода АТ-команд можно воспользоваться стан-

дартной утилитой Hyper Terminal, которая входит в комплект поставки любой ОС из

семейства Windows 9x/2000 (рис. А.2).

296 Часть IV. Приложения

Новое

подключение

HyperTtmwvtl

Файл

-Пр»кв-

Вид

Вьоов

Передача

Cnpieka

Отключен)

Автоеы&р

Аетовыбор-

Рис. А.2. Окно утилиты

Hyper

Temiinal

Таблица

А.1.

Перечень

основных

АТ-команд

Команда Описание

AT Начало

(префикс)

командной строки. После получения этой команды модем автоматически подстраи-

вает скорость передачи и

формат

символов в соответствии с параметрами терминала

А Ручной ответ. Эта команда переключает модем из

командного

режима на режим

ожидания

сигнала

несущей вызывающего модема. После получения сигнала несущей модем реализует процедуру ответа

на вызов

(автоматический

ответ). Если модем работает на выделенных линиях

связи,

то он отвечает

путем генерирования несущей без

указания

частоты. В этом случае если автоматический ответ (auto-

answer) выключен (SO = 0] и происходит вызов, то для установки связи следует воспользоваться ко-

мандой АТА

А/

Модем повторяет предыдущую командную строку. Команда вводится без префикса (AT) и

нажатия

клавиши Enter

Вп

Выбор коммуникационного стандарта:

= О

CCITT

V.21, V.22, V,22bis, n = 1 BELL

103/202A

Ds Автоматический набор номера. После получения этой команды модем начинает набор номера и при

установке связи переходит в режим передачи. Команда включает телефонный номер, в состав которо-

го могут входить следующие

управляющие

параметры: s = Р обозначает, что цифры телефонного

номера после

символа

Р модем должен набирать в импульсном режиме (используются

символы

0-9);

s = т

обозначает,

что цифры телефонного номера после символа т модем должен набирать в тоно-

вом режиме (разрешено использовать символы 0-9,

А-0,'

а также

#);

s = , обозначает паузу пе-

ред набором следующей цифры; s = ; — если

применяется

как последний знак в командной стро-

ке, то

модем

после набора номера переходит в командный режим работы; s

модем ожидает

5-секундной

тишины на линии, если она не появится в течение 30 с (содержимое регистра S7), модем

отключается,

и отвечает

ыо

ANSWER. Параметр s = ! означает, что если знак

стоит перед зна-

ками

последовательности

набора, модем переходит в

состояние

ON HOOK (кладет трубку) на 0,5 с, а

затем снова переходит в состояние OFF HOOK (снимает трубку). Параметр s

s — модем набирает

телефонный номер,

записанный

в памяти EEROM.

R — при

записи

как последний символ в командной строке устанавливает модем после набора

номера в режим ответа, но только в том случае, если модем звонит другому модему.

s =

- модем ожидает ответ станции (длинный гудок) перед дальнейшим набором телефонного

номера (например

выход

на

автоматическую

междугороднюю

связь}

Приложение А. Выбор и установка модема

297

Окончание

табл. А.

Команда Описание

Включение/отключение

локального эха. После ввода команды

модем

возвращает эхо каждого пе-

редаваемого ему символа. Команда

ЕО

блокирует эту функцию

Нп

Управление линией. Эта команда используется при завершении телефонной связи: n

о — отклю-

чение модема от линии, п

1-подключение

модема к линии

Заводской код и контрольная сумма: п = 0 — сообщение кода продукта; n

— подсчет кон-

трольной суммы

программы,

содержащейся

в ROM (EPROM|; n = 2 — модем

проверяет

состояние

внутренней памяти ROM и возвращает

сообщение

ОК или ERROR (в зависимости от

результатов

про-

верки)

Ln Установка громкости сигнала встроенного динамика

(громкоговорителя),

n =

0,1—

низкая; n = 2 — средняя; n = 3 — высокая

Мп

Управление

динамиком

(громкоговорителем),

n =

о—динамик

выключен; n =

1—динамик

вклю-

чен только

но

время

набора

номера и выключается после

обнаружения

несущей; n = 2 — динамик

включен

все время; n = 3

—динамик

включается после набора последней цифры номера и выклю-

чается после обнаружения несущей отвечающего

модема

Qn Управление ответом

модема,

n = о — ответ включен; n =

1—

ответ выключен.

Независимо

от

со-

стояния

или

модем всегда сообщает содержание

S-регистров,

код продукта, контрольную сум-

му и

результаты

прохождения теста (см. команды

з,

I, а также

&т)

О После выполнения команды модем настраивается на режим передачи данных и отвечает CONNECT

(если

до этого он находился в командном режиме)

Sr Управление

S-регистрами

Sr?

Считывание содержимого S-регистра с номером

Sr=nnn

Ввод

числового параметра nnn в S-регистр с номером

г.

Все АТ-команды модифицируют содержи-

мое одного или нескольких

S-регистров.

Некоторые

S-регистры

содержат временные параметры, ко-

торые можно

поменять

только командой S

Vn Выбор типа ответа

модема,

n =

о—ответ

цифровым кодом, n = 1 — ответ в символьном виде на

английском языке

Yn Способ отключения модема от линии.

Существует

два способа отключения модема от линии: обыкно-

венный, когда модем получит неактивный сигнал DTR; и специальный, когда модем получит от уда-

ленного модема сигнал перерыва.

Команда АТНО

направляет

сигнал перерыва, который длится 4

секунды,

о — модем отключается

обыкновенным образом (см. команду

&D);

—•

модем отключается после получения сигнала из

линии

"Обнуление"

модема (процессор считывает конфигурацию модема из памяти NOVRAM)

+++ Последовательность выхода.

Благодаря

этой команде можно перейти из режима передачи в командный режим работы модема без

прерывания сеанса

связи.

Команда требует

"тишины

в линии" перед и после направления последова-

тельности выхода. Величина этого времени определена в регистре

S12

(обычно

50 =

с)

Установка модема

Установка современного модема в ОС семейства Windows 9x/2000 не представляет

особых трудностей. Для этого достаточно воспользоваться мастером установки нового

оборудования, окно которого показано на рис. А.З (в Windows 2000).

Если устанавливаемый модем поддерживает технологию Plug&Play, его инсталля-

ция произойдет в автоматическом режиме. В противном случае придется немного

"повозиться" с установкой прерываний и адресов

ввода-вывода.

Если модем устанавливается корректно, он сразу же начинает работать. В случае

возникновения каких-либо проблем можно воспользоваться простейшим средством

298

Часть IV. Приложения

диагностики, обеспечиваемым

аплетом

Телефон и модем в Windows 2000. Дважды

щелкните

на значке этого аплета, затем выберите вкладку Модемы и

щелкните

на

кнопке Свойства. В отобразившемся диалоговом окне выберите вкладку Диагностика и

щелкните на кнопке Опросить модем. Если все в порядке, отобразится окно, показан-

ное на

рис. А.4.

[Мастер

установки

оборудование

Выбор

действия

оборзаооонмем

Какое

действие

оборудованием

еы

устнте

выполнить

Выверите

процведч

ойоджинния

обмквоелиия

мжмчгв

кнопку

"Далее".

этот

параметр,

ее/ц

добавляете*

компьютер

новое

а?гройствп.

ия4

одмо

из

астрсйсгв

неработоспособно

Швлигь/иэалвчь

устройство

этот

параметр,

если

даапяете

JJCTPQUCTIW

или

готовите

к мзвявчония

Иет

Рис.

А.З.

Этот мастер позволяет установить новое оборудование

Збщие

Диагност»

а |

Догсо»митвл>ные

п*рв«етвы

связи

}

Сведений

мооеп-л

- —

—

Поле

Haidware ID

Комета

AT.FCLASS

ATttCLS-7

ATM

Зшчвнив

SERENUM\RSS0272

! Огввг

O.U.1.0

0,1,28

—

255

OK И

j Опрогитъмояем |

Ведение

журнала

.Набавить

ждоная

Просмотр

*!кнвла

.... .____•

OK.

j Отмена

Рис.

А.4.

Пример успешно проведенной

диагностики модема

После успешного завершения установки модема следует перейти к настройке са-

мого модемного соединения.

Приложение А. Выбор и установка модема

299

Настройка модемного соединения

После завершения установки модема "на порядок дня" ставится задача настройки

всех компонентов модемного соединения с тем, чтобы достичь максимальной скоро-

сти передачи данных. Во-первых, следует позаботиться о том, чтобы были установле-

ны самые последние версии драйверов и

"прошивок"

для модема. Все это можно най-

ти на Web-узлах производителей модемов.

Во-вторых, нужно настроить величины буферов FIFO, а также скорости передачи

портов. Здесь рекомендуется устанавливать максимальные значения (например, для

порта определяется скорость передачи данных

115200).

На этом этапе также выбира-

ется вид контроля передачи данных. Лучше остановиться на аппаратном контроле,

ибо программный контроль слишком требователен к ресурсам.

Уделите внимание настройкам параметров протокола TCP/IP. Именно от этого бу-

дет зависеть производительность модемного соединения в целом.

Повысить скорость модемного соединения можно также путем

установки

несколь-

ких модемов, работающих в

параллельном

режиме.

300 Часть IV. Приложения