Администрирование корпоративной сети на основе Microsoft Windows 2000 Advanced Server (стр. 13 из 15)
Второе преимущество доменов сделано для удобства пользователей: когда пользователи просматривают сеть в поисках доступных ресурсов, они видят сеть, сгруппированную в домены, а не разбросанные по всей сети серверы и принтеры.
5.5.4. Требования к домену
Первичный контроллер домена должен быть сервером, работающим под управлением Windows 2000 Server. Все изменения базы данных, учетных карточек пользователя и групп домена должны выполняться в базе данных первичного контроллера домена.
Резервные контроллеры домена, работающие под управлением Windows 2000 Server, хранят копию базы данных учетных карточек домена. База данных учетных карточек копируется во все резервные контроллеры домена.
Все резервные контроллеры домена дополняют первичный контроллер и могут обрабатывать запросы на начала сеанса от пользователей учетных карточек домена. Если домен получает запрос на начало сеанса, первичный контроллер домена или любой из резервных контроллеров домена может идентифицировать попытку начала сеанса.
Дополнительно к первичным и резервным контроллерам домена, работающим под управлением Windows 2000 Server, есть другой тип серверов. Во время установки Windows 2000 они определяются, как “серверы”, а не контроллеры домена. Сервер, который входит в домен, не получает копию базы данных пользователей домена. [12]
5.5.5. Выбор модели организации сети
Проанализировав организационно-штатную структуру предприятия, можно заключить, что оптимальным выбором является модель основного домена. Ее достоинства и недостатки сведены в табл. 5.1.
Таблица 5.2
Преимущества и недостатки модели основного домена.
5.6. Служба RoutingandRemoteAccess
Служба RoutingandRemoteAccess (Маршрутизация и удаленный доступ) — это фактически полноценный многофункциональный маршрутизатор, поддерживающий множество протоколов. Используйтся RoutingandRemoteAccess для поддержки маршрутизации в частных сетях и между разными сегментами сети.
Функции, обеспечиваемые службой RoutingandRemoteAccess:
поддержка множества протоколов, в том числе IP, IPX и AppleTalk;
-одноадресная (unicast) IP-маршрутизация средствами протоколов:
1. Open Shortest Path First (OSPF);
2. Routing Information Protocol (RIP) версий 1 и 2, протоколмаршрутизации IP;
- многоадресная(multicast) IP-маршрутизациясредствамимаршрутизатора IGMP (Internet Group Membership Protocol), втомчислеприработеврежимепрокси-сервера;
- маршрутизация вызова по требованию по коммутируемым WAN-подключениям;
- поддержка VPN-сетей по туннельному протоколу Point-to-PointTunnelingProtocol (PPTP);
- поддержка VPN-сетей по туннельному протоколу LayerTwoTunnelingProtocol (L2TP);
- фильтрация IP- и IPX-пакетов;
- агент ретрансляции DHCP (DHCPRelayAgent) для IP;
- поддержка носителей, в том числе Ethernet, TokenRing, FiberDistributedDataInterface (FDDI), ATM (AsynchronousTransferMode), IntegratedServicesDigitalNetwork (ISDN), T-Carrier, FrameRelay, xDSL, кабельных модемов, Х.25 и аналоговых модемов.
5.7. Измерение сетевого трафика
Наблюдение за сетевой активностью включает:
-наблюдение за производительностью сервера;
-измерение общего сетевого трафика.
С сетевой активностью связано большое количество счетчиков. Все сетевые компоненты - Server, Redirector, протоколы NetBIOS, NWLink, TCP/IP - генерируют набор статистических параметров. Ненормальное значение сетевого счетчика часто говорит о проблемах с памятью, процессором или диском сервера. Следовательно, наилучший способ наблюдения за сервером состоит в наблюдении за сетевыми счетчиками в сочетании с наблюдением за такими счетчиками, как %Processor Time, %Disk Time и Pages/sec.
Например, если сервер показывает резкое увеличение счетчика Pages/sec одновременно с падением счетчика Total bytes/sec, то это может говорить о том, что компьютеру не хватает физической памяти для сетевых операций.
Расчет сетевой нагрузки
где : n – количество запросов;
- продолжительность передачи ед.объема информацииТ – время работы сети
А=0.25
Во время работы пользователя в среднем за один диалоговый шаг передается 1,5 - 2,0 Кб данных, а одна операция требует в среднем прохода по 3 - 4 экранам, поэтому средний объем операции принимается равным 16000 байт. Для того, чтобы обеспечить требуемое время ответа (response time) утилизация сети не должна превышать 50%. Оптимальной считает нагрузка 30% , в нашей сети получена нагрузка 25%, что свидетельствует об оптимальной работе сети.
6. Защита информации в сети
Исследование и анализ многочисленных случаев воздействий на информацию и несанкционированного доступа к ней показывают, что их можно разделить на случайные и преднамеренные.
Для создания средств защиты информации необходимо определить природу угроз, формы и пути их возможного проявления и осуществления в автоматизированной системе. Для решения поставленной задачи все многообразие угроз и путей их воздействия приводится к простейшим видам и формам, которые были бы адекватны их множеству в автоматизированной системе.
Исследование опыта проектирования, изготовления, испытаний и эксплуатации автоматизированных систем говорят о том, что информация в процессе ввода, хранения, обработки и передачи подвергается различным случайным воздействиям.
Причинами таких воздействий могут быть:
- отказы и сбои аппаратуры;
- помехи на линии связи от воздействий внешней среды;
- ошибки человека как звена системы;
- системные и системотехнические ошибки разработчиков;
- структурные, алгоритмические и программные ошибки;
- аварийные ситуации;
- другие воздействия.
Преднамеренные угрозы связаны с действиями человека, причинами которых могут быть определенное недовольство своей жизненной ситуацией, сугубо материальный интерес или простое развлечение с самоутверждением своих способностей, как у хакеров, и т.д.[12]
Нет никаких сомнений, что на предприятии произойдут случайные или преднамеренные попытки взлома сети извне. В связи с этим обстоятельством требуется тщательно предусмотреть защитные мероприятия.
Для вычислительных систем характерны следующие штатные каналы доступа к информации:
- терминалы пользователей, самые доступные из которых это рабочие станции в компьютерных классах;
- терминал администратора системы;
- терминал оператора функционального контроля;
- средства отображения информации;
- средства загрузки программного обеспечения;
- средства документирования информации;
- носители информации;
- внешние каналы связи.
Принято различать пять основных средств защиты информации:
- технические;
- программные;
- криптографические;
- организационные;
- законодательные.
6.1. Анализ возможностей системы разграничения доступа Windows2000 AdvancedServer
Windows 2000 AdvancedServerимеет средства обеспечения безопасности, встроенные в операционную систему. Ниже рассмотрены наиболее значимые из них.
6.1.1. Слежение за деятельностью сети
Windows 2000 Server дает много инструментальных средств для слежения за сетевой деятельностью и использованием сети. ОС позволяет просмотреть сервер и увидеть, какие ресурсы он использует; увидеть пользователей, подключенных к настоящему времени к серверу и увидеть, какие файлы у них открыты; проверить данные в журнале безопасности; записи в журнале событий; и указать, о каких ошибках администратор должен быть предупрежден, если они произойдут. [3]
6.1.2. Начало сеанса на рабочей станции
Всякий раз, когда пользователь начинает сеанс на рабочей станции Windows 98, экран начала сеанса запрашивает имя пользователя, пароль и домен. Затем рабочая станция посылает имя пользователя и пароль в домен для идентификации. Сервер в домене проверяет имя пользователя и пароль в базе данных учетных карточек пользователей домена. Если имя пользователя и пароль идентичны данным в учетной карточке, сервер уведомляет рабочую станцию о начале сеанса. Сервер также загружает другую информацию при начале сеанса пользователя, как например установки пользователя, свой каталог и переменные среды.