Построение сетей на базе Microsoft Windows NT Server
В сетях, построенных на платформе Microsoft Windows NT Server, рабочие станции клиентов сети подключаются к выделенным серверам, а серверы, в свою очередь, группируются в домены. Домены в сетях на базе Windows NT Server играют центральную роль. Определим домен как объединение одного или нескольких серверов, обеспечивающее единую базу учетных записей пользователей.
Домен — основная единица Windows NT Server — представляет собой группу компьютеров, использующих общую базу данных и общую политику безопасности. Домен включает в себя компьютер, выполняющий роль основного контроллера домена (primary domain controller — PDC), а также компьютер, выполняющий роль резервного контроллера домена (backup domain controller — BDC) и, по крайней мере, одну рабочую станцию. В состав домена могут входить и дополнительные резервные контроллеры домена, а также дополнительные серверы и рабочие станции.
Сервером в сети Windows NT Server называют компьютер, который работает под управлением операционной системы Windows NT Server, но может и не являться контроллером домена.
Можно сказать, что домен — это такая рабочая группа, в состав которой входит сервер. Она остается логическим объединением пользователей, совместно использующих общую информацию или занимающихся одним видом деятельности. Цель остается все той же: дать возможность членам группы совместно использовать информацию и таким образом облегчить им совместную работу и повысить производительность. наличие в домене сервера позволяет осуществлять администрирование и управление из единого центра.
Доменная организация упрощает централизованное управление сетью и позволяет использовать Windows NT Server в качестве сетевой операционной системы предприятия любого масштаба. Доменная служба каталогов обеспечивает пользователям однократную регистрацию в сети для доступа ко всем серверам и ресурсам информационной системы независимо от места регистрации. Доменная организация облегчает создание сетей методом объединения существующих сетевых фрагментов.
В серверных сетях, как правило, все совместно используемые каталоги располагаются на выделенных серверах, а совместно используемые принтеры подключены к специализированным серверам печати. Однако это ни в коей мере не ограничивает возможности пользователей по предоставлению ресурсов своих рабочих станций в совместное использование так, как это делается в одноранговых сетях.
Для организации доменов в сети и установления в ней определенных отношений и правил используется Microsoft Windows NT Server, выступающий в качестве контроллера домена. Контроллер домена может быть главным или резервным. В одном домене может быть только один главный контроллер домена и несколько резервных. На главном контроллере домена хранится база учетных записей пользователей этого домена, в которой записаны уникальные параметры пользователей и их привилегии. Резервные контроллеры, как это следует из их названия, хранят только копии этой базы на тот случай, если в какой-то момент времени главный контроллер будет недоступен. Когда пользователь рабочей станции регистрируется в сети, происходит его идентификация на главном или одном из резервных контроллеров домена. Если пароль и имя пользователя совпадают с введенными, то пользователь регистрируется в домене.
При введении администратором нового пользователя в домен изменения в базу пользователей могут быть внесены только на главном контроллере домена. Если главный контроллер недоступен, то новый пользователь не получит учетной записи в данном домене.
Сеть Windows NT Server может состоять из одного или нескольких связанных между собой доменов, как, например, корпоративная сеть, в которую входят тысячи отдельных рабочих станций, разбросанных по всему миру. В последнем случае отдельные рабочие станции объединяются в домены исходя из заданных требований доступа. Эффективность доменов состоит в том, что сеть легко расширяется или сужается, обеспечивая соответствующие модели доменов и различные их варианты и сочетания.
На крупном предприятии, как правило, создается несколько доменов. Принципы разделения сети на домены разные, например, по функциональному назначению (отдел кадров, бухгалтерия, плановый отдел, администрация...) или по территориальному расположению (класс 1, класс 2, класс 3...). По умолчанию пользователи одного домена не имеют прав доступа к ресурсам другого домена. Однако имеется механизм предоставления пользователям различных доменов возможности совместно использовать ресурсы путем установления доверительных отношений между доменами.
Модель доменов Windows NT обеспечивает:
§ гибкость при разработке конфигурации;
§ централизованное администрирование сети;
§ гибкость при добавлении новых пользователей и смене ограничений доступа;
§ единую базу данных учетных записей пользователей;
§ объединенную систему безопасности для всего домена;
§ простоту предоставления прав доступа к файлам и каталогам.
Последовательное администрирование всех компьютеров, которое необходимо выполнять в одноранговой сети, ограничивает эффективность рабочей группы.
В системе с Windows NT Server ограничения определяются только структурой организации. Вся компания целиком, даже крупная, может представлять собой один домен.
В сети может быть любое количество компьютеров, а администрирование и управление осуществляется централизованно. Все пользователи могут получить доступ к своим ресурсам с любого компьютера, входящего в домен. Разрешения на доступ к файлам и каталогам выдаются отдельным пользователям (или группам пользователей), а не компьютерам.
В сети, организованной в виде домена, системный администратор может вносить изменения с любого входящего в нее компьютера. Необходимо лишь зарегистрироваться на компьютере, работающем в домене под управлением Windows или Windows NT Server, и сделать необходимые изменения. При этом можно добавлять или удалять пользователей, изменять ограничения их доступа. Все изменения происходят в едином центре административного управления - на основном контроллере домена, после чего они немедленно вступают в силу во всем домене, так как Windows NT Server автоматически синхронизирует базу данных учетных записей пользователей домена. Это в значительной мере упрощает работу системного администратора, поскольку отпадает необходимость выполнять одни и те же действия на всех компьютерах.
Windows NT Server увеличивает гибкость сети, обеспечивая так называемое свободное управление доступом (discretionary access control). В этой системе можно точно указать уровень доступа каждого пользователя к ресурсам другого пользователя; предоставить пользователю доступ к отдельному файлу, файлам в каталоге, ко всему каталогу. Windows NT Server предоставляет в этом отношении настолько широкую возможность выбора, насколько это нужно. При этом каждому пользователю требуется знать только один пароль.
Одним из примеров системы на Windows NT Server со свободным управлением доступом на уровне пользователей является домен, в котором одни пользователи могут вносить изменения в документ, другие – только читать этот документ, а третьи – не смогут его даже увидеть.
Типовую конфигурацию домена можно представить так, как показано на рис. 2, где перемешаны операционные системы, серверы и рабочие станции.
 |
Рис. 2. Пример структуры сетевого домена.
Основной контроллер домена является самым важным компьютером домена. Он реализует безопасность домена, является основным местом хранения базы данных учетных записей и основным держателем совместно используемых ресурсов домена (т.е. являться сервером).
Изменения в базе данных учетных записей пользователей делаются только на основном контроллере домена, а затем переносятся на резервные контроллеры, где хранятся копии базы данных, доступные только для чтения. Когда вы регистрируетесь в качестве администратора, все сделанные вами изменения производятся в базе данных на основном контроллере домена, даже если в действительности вы работаете на другом компьютере.
Средство, с помощью которого осуществляется работа с учетными записями пользователей, называется User Manager for Domains (Диспетчер пользователей доменов). При запуске этой программы Вы выбираете не сервер, на котором надо зарегистрироваться, а домен, который хотите администрировать.
Домен Windows NT Server может, а в большинстве случаев должен включать в себя хотя бы один резервный контроллер домена. Каждый такой резервный контроллер содержит копию базы данных учетных записей и может обрабатывать вход (регистрацию) пользователей и подтверждать их права на доступ к ресурсам. Это позволяет довольно просто обеспечить резервирование критичных совместно используемых ресурсов системы на случай катастрофических неполадок на основном контроллере домена. Один из резервных контроллеров домена может быть переведен в режим основного контроллера, и сеть продолжит нормально функционировать (не будет лишь доступа к ресурсам, которые физически находились на основном контроллере домена). В небольшом домене с ограниченным числом пользователей наличие резервного контроллера не так уж и обязательно, но все же он лишним не будет. Если в сети имеется только основной контроллер домена, то вся сеть станет неработоспособна, когда этот сервер окажется недоступным.
Компьютер под управлением Windows NT Server может выполнять функцию как основного контроллера домена, так и резервного или вообще не являться контроллером. В этом случае он является сервером.
Рабочие станции могут работать под управлением MS-DOS, OS/2, Microsoft Windows 3.x, Windows для рабочих групп, Microsoft Windows 95, Microsoft Windows NT Workstation или Macintosh OS. Для MS-DOS, OS/2, Macintosh OS и Windows 3.x требуются клиентские лицензии и сетевое программное обеспечение. В остальных операционных системах сетевое программное обеспечение входит в состав базовой поставки. Накладные расходы и требования к аппаратной части для Windows 95/98 значительно ниже, чем для Windows NT Workstation.
Windows 95/98 не следует использовать на рабочей станции для разработки программного обеспечения. На этих рабочих станциях выгоднее использовать Windows NT Workstation ввиду ее большей устойчивости и изоляции процессов.
Windows NT Workstation обычно требует значительно больше памяти и вычислительной мощности по сравнению с Windows 95/98. И хотя Windows 95/98 лучше предшествующих версий Windows защищена от некорректно ведущих себя процессов, вышедшая из-под контроля программа все еще может привести к завершению работы самой системы. Для Windows NT Workstation вероятность этого значительно ниже.
Некоторые рабочие станции могут входить в состав рабочей группы, не принадлежа при этом домену. Windows 95, Windows NT Workstation и Windows для рабочих групп предоставляют пользователю возможность работать в составе рабочей группы или домена. Но для того чтобы воспользоваться преимуществами доменной структуры, компьютеры должны быть настроены так, чтобы выполнялся вход в домен. Действуя в рамках рабочей группы, они не смогут использовать базу данных учетных записей пользователей Windows NT Server и пользоваться ресурсами, доступ к которым контролируется с помощью этой базы.
Доменная модель
Служба доменов Microsoft впервые появилась еще в 1987 году в составе LAN Manager, где она работала на базе OS/2.1. С тех пор система доменов претерпела минимальные изменения.
Доменная архитектура (домены NT не следует путать с доменами Internet) предполагает, что серверы, компьютеры, пользователи, принтеры объединяются в логические группы, так называемые домены.
Такие домены на предприятии создаются чаще всего по организационному принципу: отдел кадров имеет свой домен, бухгалтерия - свой, и т. д.
Внутри домена управление пользователями, глобальными группами пользователей, компьютерами NT и принтерами осуществляется централизованно.
Кроме того, на компьютерах NT домена администратор может определить локальных пользователей и локальные группы пользователей данного конкретного компьютера или группы серверов.
Домен представляет собой группу компьютеров, использующих общую базу данных и общую политику безопасности.
Домен включает в себя компьютер, выполняющий роль основного контроллера домена (primary domain controller — PDC), хотя бы один компьютер, выполняющий роль резервного контроллера домена (backup domain controller — BDC) и по крайней мере одну рабочую станцию. В состав домена могут входить дополнительные резервные контроллеры домена, а также дополнительные серверы и рабочие станции.
Информация об общих сетевых объектах домена хранится на контроллерах домена. Главный контроллер домена является основным хранилищем, работающим в режиме чтения и записи информации. Один домен может иметь только один главный контроллер. Отсюда следует, что домены NT плохо подходят для распределенных сетей..
Резервные контроллеры домена также хранят информацию об общих сетевых объектах, но функционируют исключительно в режиме чтения. Назначение их состоит, в первую очередь, в повышении отказоустойчивости, а также в снижении нагрузки на главный контроллер.Один домен может иметь любое число резервных контроллеров.. База данных по домену хранится в защищенной области системного реестра контроллеров домена.
Разница между главным и резервным контроллерами заключается в том, что без функционирующего главного контроллера создать новую учетную запись пользователя или включить новый сервер в состав домена невозможно. В то же время если пользователь уже имеет учетную запись, то зарегистрироваться в домене он сможет с помощью как главного контроллера, так и резервного контроллера..
Один и тот же сервер NT не может выступать в качестве контроллера для нескольких доменов.
Кроме контроллеров домены включают серверы и рабочие станции NT, не выполняющие функции контроллеров. Домены NT способны поддерживать лишь ограниченное количество объектов (пользователей, групп пользователей, компьютеров) в домене, хотя этот предел достаточно велик и составляет несколько десятков тысяч объектов.
Сервером в сети Windows NT Server называют компьютер, который работает под управлением операционной системы Windows NT Server, но не является контроллером домена.
Рис.3
База данных каталогов имеется на каждом компьютере под управлением Windows NT, однако централизованное администрирование учетных записей пользователей домена и единую политику защиты ресурсов обеспечивает только база данных каталогов контроллера домена.
Каждому пользователю домена для доступа к ресурсам сети нужна только одна учетная запись и один пароль. Например, изменение пароля пользователя будет автоматически зарегистрировано на всех компьютерах домена.
Можно сказать, что домен — это такая рабочая группа, в состав которой входит сервер. Она остается логическим объединением пользователей, которых связывают друг с другом не только провода, протянутые между компьютерами; другими словами — пользователей, совместно использующих общую информацию или занимающихся одним видом деятельности.
Цель остается все той же: дать возможность членам группы совместно использовать информацию и таким образом облегчить им совместную работу и повысить производительность. Ключевым отличием является наличие в домене сервера, что позволяет осуществлять администрирование и управление из единого центра.
Сеть Windows NT Server может состоять из одного домена или из нескольких связанных между собой доменов, как, например, корпоративная сеть, в которую входят тысячи отдельных рабочих станций, разбросанных по всему миру. В последнем случае отдельные рабочие станции объединяются в домены исходя из заданных требований доступа. Вся прелесть концепции доменов состоит в том, что сеть легко расширяется или сужается, обеспечивая соответствующие модели доменов и различные их варианты и сочетания.