2001-03-15
Heterogene Netze
Probleme mit Drucker
in /etc/printcap
lp:lp=/dev/lp0:sd=/var/spool/lpd/lp:sh
netz|lp:rm=ca99:rp=lp1:sd=/var/spool/lpd/hugo:sh
Problem: doppelt vergebener Druckerwarteschlangenname(lp)
(Hier
wurde der erste Eintrag beachtet; der Rest wurde ignoriert.)
®vermeiden
Spoolverzeichnis
z.B.
/var/spool/lpd/hugo
muß
mit Definition in /etc/printcap
(sd=...) übereinstimmen; ansonsten: Fehler can't
change to directory....
Eigentümer/Gruppe
chown lp hugo
chgrp lp hugo
Warum?
Programm
lpd arbeitet mit Rechten des Benutzers
lp und der Gruppe lp
Þgehört dem Benutzer lp
nicht das Spoolverzeichnis, so kann es zu Problemen beim Anlegen/Löschen/etc.
von Dateien (Druckjobs) kommen
lpr
lpr -PDrucker Datei Drucker muß existieren
lpr Datei Warteschlange
$PRINTER verwendet
auch
möglich:
lpr < Datei
cat /etc/passwd | grep « users » | sort | lpr
nicht
möglich
/etc/passwd|lpr
lpc
bei
Problemen hilfreich
lpc restart all versucht,
laufenden Daemon zu beseitigen
und
neuen zu starten
Prüfen:
ps ax | grep lpd PID
des Daemons ermitteln
läuft
kein Daemon, dann in Spoolverzeichnissen die Datei lpd.lock löschen
Heterogene Netze
Netware Win98 DOS NT Workstation
MAC
Anw. Anw. Anw.
Dateiserver SQL-Server Anw. DHCP
Druckserver
UNIX NT Server OS/2
Win98 2000Adv.S.
•in einem heterogenen Netzwerk sind Computer mit
verschiedenen Betriebssystemen angeschlossen
•Datenaustausch zwischen den Rechnern möglich
•im Netzwerk werden verschiedene Protokolle verwendet
(AppleTalk, IPX, TCP/IP, SNA, NetBEUI, ...) oder ein gemeinsames Protokoll
(TCP/IP)
Integration von UNIX und Windows
•unter Windows erfolgt dr Zugriff auf gemeinsam genutzte
Laufwerke und Drucker per SMB-Protokoll (Server Message Block
Protokoll)
Win Client SMB
Win Server (NT)
•SMB ist Client/Server-Protokoll; Client stellt eine Anfrage
an den SMB-Server, der diese beantwortet
•hat SMB Client eine Verbindung zum Server hergestellt,
werden SMB-Kommandos gesendet, die den Zugriff auf Freigaben, das Öffnen von
Dateien und beliebige Schreib- und Leseaktionen ermöglichen
SMB unter UNIX
Programmpaket
SAMBA (www.samba.org)
von Australier Andrew Tridgell 1991 entwickelt
®beliebige UNIX-Rechner werden zu leistungsfähigen Datei- und
Druckerservern für Windows-Clienten
Voraussetzung: Clients kommunizieren über TCP/IP mit Server; ansonsten
keine Veränderungen (Erweiterung o.ä. notwendig)
Win-Clienten
arbeiten wie immer („merken“ nicht, daß UNIX-Server im Hintergrund arbeitet)
Möglichkeiten von SAMBA
1.Linux-„Laufwerke“
werden auch von Windows-Rechnern genutzt
2.Windows-„Laufwerke“
werden von Linux-Rechnern genutzt
3.Linux-Drucker
auch von Windows-Rechnern verwenden
4.Windows-Drucker
von Linux-Rechnern verwenden
Samba-Daemonen
smbd Daemon für
SMB-Protokoll
mnbd Daemon für
NetBIOS-Namen
Programme für Samba
/usr/bin
smbclient SMB-Client für
UNIX (Zugriffe von UNIX auf Windows-Server)
smbprint ermöglicht
Drucken auf SMB-Server
smbstatus aktuelle
SMB-Verbindungen des lokalen Hosts anzeigen
smbrun erleichtert
Ausführung von Anwendungen auf SMB-Host
Daemone werden i.d.R.
über inetd.conf gestaret; bei Linux über die entsprechenden Skripte in rc.d in
/etc/rc.config:
START_SMB0=« yes »
Konfiguration von
Samba erfolgt ausschließlich über
/etc/smb.conf
•welche Ressourcen werden nach außen zur Verfügung gestellt
•Einschränkungen festlegen
Konfigurationsdatei „/etc/smb.conf“
•in Abschnitte eingeteilt: global, homes, tmp, printers,
public
global:
•Definition von Variablen, die Samba für die Zuteilung aller
ressourcen nutzt
homes:
•ermöglicht Zugriff eines Remote-Users auf sein
Heimatverzeichnis auf UNIX-Rechner
printers:
•Drucker, die in /etc/printcap definiert sind, können
Klienten zur Verfügung gestellt werden
Beispiel:
Nutzen
eines Linux-Laufwerkes durch Windows-Rechner
einfügen:
[public]
comment=Public Stuff
path=/home/public
public=yes
writeable=yes
printable=yes
Das
Verzeichnis /home/public wird allen
Benutzern zur Verfügung gestellt (Lesen und Schreiben) unter Freigabenamen public
Beispiel2:
alle
sollen lesen, aber nur bestimmte Benutzer (!Gruppez.B. ) soll schreiben dürfen:
[public2]
comment=nicht ganz öffentlich
path=/home/public2
writeable=yes
printable=no
write list=@staff
public=yes
jeder
darf lesen (public=yes), Schreiben
erlaubt für Benutzer, die in der write
list aufgeführt sind (hier: Gruppe staff)
Nu geht's los:
1.Samba-Paket
mit YaST installieren
2./etc/smb.conf
editieren:
[tmp]
comment=temporaeres Verzeichnis
browseable=yes
pulic=yes
writeable=yes
create mode=0755
[etc]
comment=UNIX-Konfiguration
browseable=yes
public=yes
read only=yes
path=/etc
3.nach Änderung
von /etc/smb.conf muß samba neu gestartet werden
cd /etc/rc.d/rc2.d
./S20smb restart
4.von Windows
aus:
Netzwerkumgebung ®Gesamtes
Netzwerk ®...
eigenen
SMB-Server suchen (z.B. ca10)
Wo
erscheint der Samba-Server in der Netzwerkumgebung von Windows?
in
der Arbeitsgruppe (Workgroup), in der der SMB-Server konfiguriert ist
[global]
workgroup=Arbeitsgruppe ca
Zugriffsrechte
•Zugriffe können anonym erfolgen oder mit entsprechendem
Benutzeraccount
•Benutzer ist im Windows angemeldet (z.B. otto)
•greift Windowsbenutzer otto auf UNIX-SMB-Server zu, so wird
geprüft, ob otto als UNIX-Benutzer existiert:
ja Zugriffe auf SMB-Server erfolgen mit
Rechten von UNIX otto
nein Windows otto wird als « Gast »
betrachtet
[global]
guest account=nobody
legt
fest, als welcher UNIX-Benutzer (hier: nobody) ein nicht authentifizierter
SMB-Benutzer auf das UNIX-Dateisystem zugreift; gilt nur in Einträgen, in denen
public=yes gesetzt it; z.B.:
[tmp]
path=/tmp
public=yes
...
Soll
Gast-Zugriff generell nicht möglich sein, so darf kein guest account abgegeben
werden
einfaches
Beispiel:
in
smb.conf
[public]
comment=Jeder darf alles -
wirklich?
public=yes
writeable=yes
browseable=yes
path=/home/public
in
Dateisystem (UNIX)
ls -ld /home/public
drwxr-xr-x root root
public
ls -s /home/public
-rw-r--r-- root root
datei1
-rw-rw-rw- root root
datei2
SMB-Gast
greift auf Freigabe public zu,
welche Rechte hat er auf Datei1, Datei2?
datei1: lesen, nicht schreiben, nicht löschen
datei2: lesen, schreiben, nicht löschen
Statusinformationen
Log
Files
/var/log/log.smb
/var/log/log.nmb
tail -f /var/log/log.smb zeigt die
letzten 10 Zeilen an; -f: jede Zeile, die
neu
dazukommt, wird sofort angezeigt
2001-03-16
Heterogenene Netze
Zu Frage 9:
Test der
Konfigurationsdatei /etc/smb.config
/usr/bin/testparm
Überprüfung
der Konfigurationsdatei /etc/smb.conf
auf korrekte Syntax
Test der
Server-Grundkonfiguration
smbclient -l localhost
®verbindet zu eigenem SMB-Server
Zu Frage 11:
[global]
guest account=nobody
•Zugriffe auf das UNIX-Dateisystem erfolgen unter
Benutzername nobody (UNIX-Benutzer) immer dann, wenn Samba keinen Benutzer
authentifizieren kann (d.h. Benutzername/Kennwort falsch, fehlt,...)
•bei Freigaben, bei denen public=yes wird nobody am obigen
Fall als Benutzer verwendet
UNIX UNIX-Dateisystem
Windows
[public] /home/nobody
SMB-
Protokoll SMB-Server
[public] r-xr-xr-x
nobody
path=/home nobody/datei1 rw-
writeable=yes nobody/datei2 r--
public=yes nobody/datei3 r--
browseable=yes
[global]
•globale Voreinstellung für das gesamte System
keep alive=30 In
welchem Abstand (hier 30 sek.) sollen
Keep-Alive-Pakete
gesendet werden?
Antwortet
Client (z.B. Win95) nicht, so wird
Verbindung
vom Server
getrennt
(Annahme: Client hängt)
log file=/var/log/samba-log.%m für jeden Clienten
wird eine Logdatei mit
dem
Namen samba-log.Rechnername im
Verzeichnis
/var/log geführt (%m: Netbios-
Name
des Clienten)
host allow=192.168.0.18 ca20 ca18 und ca20
zugelassen
host allow=192.168.0/255.255.255.0
alle
mit IP-Nummer 192.168.0.* zugelassen
host allow=lapland,antarktis lapland und
antarktis zugelassen
host allow
192.168.0/255.255.255.0 EXCEPT 192.168.0.7
alle
außer ca07 zugelassen
®nur angegebene
Hosts dürfen zugreifen;
Absicherung
vor unbefugtem Zugriff; auch
auf
einzelnen Freigaben anwendbar (ergänzt
sich)
host deny aufgelistete
Hosts haben keinen Zugriff; bei
Konflikten
hat allow Priorität
valid users=samulat,jan,michael
nur
angegebene Benutzer sind zugelassen;
auch
für jede Freigabe (nur sinnvoll mit
public=no)
valid users=@lager nur Benutzer die der UNIX-Gruppe lager
angehören
security=user jeder
SMB-Benutzer muß ein
Benutzerkonto/Kennwort
unter UNIX haben,
da
Zugriffe auf das Dateisystem mit
Benutzerkonto
erfolgt (Steuerung der
Zugriffsrechte);
Ausnahme: Gast
Kennworte:
/etc/passwd (« normale » UNIX-
Kennworte); falls mit unverschlüsselter
Kennwortübertragung
gearbeitet wird;
ansonsten:
/etc/smbpasswd
encrypted password=yes Samba-Server
arbeitet mit verschlüsselten
Kennworten
(Windows arbeitet ab NT4.0
SP3
generell mit verschlüsselten
Kennworten;
falls mit nicht verschlüsselten
Kennworten
gearbeitet wird, muß unter
Windows
die Registrierung verändert
werden;
siehe
/usr/share/doc/packages/samba/*.reg)
printing=bsd als
Drucksystem wird BSD verwendet
printcap name=/etc/printcap Angabe der
Druckerdefinitionsdatei
load printers=no nicht
alle in /etc/printcap definierten
Drucker
werden
bereitgestellt (Þ[printers] wird
ignoriert;
Drucker müssen einzeln
freigegeben
werden)
time server=yes Samba
ist Standard-Zeitserver im lokalen
Netzwerk;
Windows Clienten können mit
net
time /s /y
(« DOS »-Befehl) ihre Uhrzeit
synchronisieren
[homes]
comment=Heimatverzeichnis des
Benutzers
browseable=no
read only=no
create mode=0750
meldet
sich ein Benutzer an, so wird eine Freigabe unter seinem Benutzernamen erzeugt;
die Freigabe verweist auf das Heimatverzeichnis des Benutzers (entnommen aus /etc/passwd)
browseable=no bewirkt, daß die Freigabe [homes] an sich nicht sichtbar
ist; die automatisch erstellte Benutzerfreigabe ist sichtbar
Drucker freigeben
[Drucker] Freigabename
comment=Drucker auf UNIX Beschreibung
printer name=lp UNIX-Druckername
writeable=yes Schreiben
(=spoolen)
public=yes jeder
hat Zugriff
printable=yes Druckersymbo,
nicht Ordnersymbol
Beispiele:
Privatdirectory
für Fred und Heinz:
[FredHeinz]
comment=Nur Fred und Heinz
path=/usr/somewhere/fred_heinz
valid users=fred heinz
public=no
writeable=yes
printable=no
Public-Verzeichnis
(lesbar), schreibbar nur durch Gruppe Admin
[public]
comment=Public Stuff alle
aufgeführten Benutzer bzw.
path=/usr/somewhere/public Gruppen erhalten
public=yes Schreibberechtigung
(hier: Gruppe
writeable=no admin)
printable=no
write list=@admin
[tmp]
comment=... Benutzer Fred, Hugo und Heinz
path=... dürfen nur lesen, egal, welchen Wert
writeable=yes writeable hat
printable=no
read list=fred hugo heinz
public=yes
Benutzerkennworte unter Samba
Kennwortmechanismus
von UNIX und Windows sind nicht direkt kompatibel (bei verschlüsselten
Kennworten)
Lösung:
Kennwortliste
für Samba, enthält Kennworte im Windows-Verschlüsselungsformat (/etc/smbpasswd)
Vorgehensweise:
•Benutzer normal einrichten (YaST, useradd,...)
•für jeden Benutzer Kennwort in /etc/smbpasswd erstellen:
>smbpasswd -a hugo
Kennwort: ...
Kennwort: ...
Benutzer
hugo wird in /etc/smbpasswd aufgenommen und dessen Kennwort (von Konsole)
verschlüsselt abgelegt
smbpasswd ändert
Kennwort des angemeldeten
Benutzers
smbpasswd -e hogo aktiviert
(enabled) den Eintrag von hugo
smbpasswd -d hugo deaktiviert
(disabled) den Eintrag von hugo
smbpasswd -n hugo leeres Kennwort
ist zugelassen; nur wenn in
smb.conf [global] null password=true
Problem:
1000
Benutzer in UNIX (/etc/passwd); SMB-Server nachträglich installieren; jeder
Benutzer müßte mit smbpasswd -a hinzugefügt werden
cat /etc/passwd | sh
/usr/lib/samba/scripts/mksmbpasswd.sh > \ /etc/smbpasswd
Kennwort:...
Kennwort:...
ÞBenutzer ändert sein Kennwort selbst
ÞAdmin muß nicht jeden Benutzer für Samba manuell einrichten
Zugriff auf Ressourcen mit smbclient
stellt
Verbindung von UNIX zu SMB-Server (Freigabe unter Windows) her
smbclient -LDrucker -L kennzeichnet Host
FUERALLE Disk
...
smbclient \\\\Drucker\\FUERALLE
-UDrucker
(\\\\Drucker\\FUERALLE
ist UNC-Pfad;
-UDrucker
ist Windows-Benutzername)
smb
\> ? smb \> ist Prompt von smb-Shell
smb
\> ls (ähnlich ftp)
smb
\> put ... -U kennzeichnte Benutzer
smb
\> get ...
smb \> quit
2001-03-19
Heterogene Netze
Zu Aufgabe 3:
encrypted password=no
•SAMBA erwartet Kennworte vom Klienten in unverschlüsselter
Form
•Benutzer/Kennwort wird mit lokaler UNIX-Benutzerkontenbank
abgeglichen (wie beim Login)
encrypted password=yes
•SAMBA arbeitet mit
Windows-Verschlüsselungstechnologie
•Abgleich mit /etc/smbpasswd
Problem bei unverschlüsselten
Kennworten
•Windows sendet i.d.R. nur verschlüsselt
®Eingriff in die Registry notwendig
Zu Aufgabe 6:
Windows-User hugo
(SMB-Client)
SMB-Protokoll
SMB Server Linux
UNIX-Dateisystem mit Rechten des lokalen
Benutzers
hugo
Ausnahme: Nicht-authentifizierter
Benutzer (sofern erlaubt)
®Gast; i.d.R. nobody
Zu Aufgabe 9:
Einstellung
für Druckerbenutzung für Jedermann:
[global]
load printers=yes
[printers] zeigt
alle Drucker in /etc/printcap
Setzen,
um Drucker z.B. nur SMB-Nutzern zur Verfügung stehen zu lassen:
[global]
load printers=no Drucker in /etc/printcap werden
nicht freigegeben
[laser]
comment=Drucker für SMB-Nutzer
printable=yes
public=yes
Zu Aufgabe 10:
[FreigabeX]
comment=Dies ist...
path=/usr/somewhere/nichtfuerAlle
write list=hugo erwin meier
@verwaltung
public=no ®nur angegebene
Benutzer (bzw. Gruppen)
dürfen
schreiben
Windows NT Server
Windows
NT ist in zwei Varianten erhältlich
Workstation
Server
Gemeinsamkeiten:
5.gleiche
Kernelarchitektur
6.gleiches User
Interface (Benutzerschnittstelle)
7.gleiche Programmierschnittstelle
8.teilweise
identische Funktionsumfänge
Unterschiede:
•optimiert für Server (Netzwerkanfragen werden schneller
beantwortet)
•Domainkonzept/Domain
Controller
•mehr Dienste (Mac-Unterstützung, DHCP, DNS, mehr
RAS-Verbindungen, BackOffice-Architektur (Client/Server-Anwendungen, z.B. SQL),
...)
Konzeption des Windows NT-Netzwerkes
Microsoft
Networkin baut auf zwei Komponenten auf
•Workgroups (Arbeitsgruppen)
•Domäne
Workgroup
•Ansammlung von Computern, die zu einer Einheit
zusammengeschlossen werden zu Zwecke der geimeinsamen Nutzung von Ressourcen
•®ausschließlich logische Gruppierung
•einzelnen Ressourcen verwalten ihre Gruppen selbst
•keine zentrale
Benutzerverwaltung
•Þhoher Administrationsaufwand, evtl. Sicherheitsproblem
•Bekanntmachung von Ressourcen erfolgt mit Browser-Dienst
•möglich mit
Windows NT Workstation, Win95/98, Windows for Workgroups 3.1x, Windows NT
Server in Variante « alleinstehender Server »
•alle Teilnehmer arbeiten überwiegend als non-dedicated server (Serverdienste
sind « Nebensache »)
•Einsatz: in kleinen
Netzen (bis ca. 15 Arbeitsplätzen)
•sobald Belastung der einzelnen Rechner durch gegenseitige
Zugriffe zu hoch wird, ist anderes Konzept einzusetzen
•nicht möglich: Client/Serveranwendungen (z.B. SQL)
Domäne
•logische Ansammlung
von Computern
•gemeinsame
Benutzer- und Sicherheitsdatenbank (Domänenkonten-Datenbank)
Funktionsweise:
•Benutzer wird in der Domäne von zentralen Rechner angemeldet
(Domain Controller)
•dazu sendet Arbeitstation Benutzername und Kennwort an
zentrale Instanz, die Überprüfung anhand der Datenbank vornimmt
•falls o.k.: Benutzer erhält Ticket (Sicherheits-ID,
Gruppenzugehörigkeit)
•alle anderen Server in Domäne vertrauen Ticket, es erfolgt
nur eine Anmeldung
•jede Domäne verfügt über einzigartigen Domänennamen
•Verwaltung erfolgt zentral in der Domäne
•Vorteil in Bezug auf Sicherheit: Zuweisung von
Berechtigungen und Einschränkungen erfolgt durch eine zentrale Einheit
•Benutzerinformationen existieren nur einmal ÞÄnderungen
müssen auch nur einmal durchgeführt werden
•bei einer größeren Zahl von Servern ist manueller Abgleich
fast unmöglich (auch z.B. Kennwortänderung durch Benutzer)
•NT Server ist eigentlich ausschließlich für Domäneneinsatz
konzipiert
Rollen des NT Servers in eine Domäne
Primary Domain Controller (PDC)
5.wichtigste Rolle
in der Domäne
6.enthält
promäre Kopie der Benutzerkontendatenbank (Benutzer, Gruppen und
Berechtigungen)
7.in größeren
Domänen (mehrere hundert Benutzer) empfiehlt es sich, die Aufgabe dieses
Rechners auf die Anmeldung von Benutzern zu beschränken
Backup Domain Controller (BDC)
•verfügen über Kopie der Domänenkonten-Datenbank
•ein oder mehrere Backup-DC möglich
•sobald ein NT Server zu BDC wird, repliziert er die primäre
Benutzerkonten-Datenbank auf seine Platte
•Änderungen werden
einzeln übernommen
•Änderung an Datenbank nur an Original möglich
•Aufgaben:
•kann Anmeldung vo Benutzern an Domäne vornehmen (®Entlastung des
PDC)
•bei Ausfall des PDC ist Anmeldung durch BDC weiterhin
sichergestellt; Administration nicht mehr möglich (BDC wird zum PDC vom
Administrator heraufgestuft)
alleinstehender Server
Verwendung von NT
Server als reinen Server (z.B. für Dateien)
verfügt über keine
Kopie der Domänenkonten-Datenbank
•in Bezug auf Verwaltung von Benutzern ist er NT Workstation
gleichgestellt
•®es ist nicht
sinnvoll, alle Server mit der Anmeldung zu beschäftigen, weil:
•unnötige Belastung
der Server
•unnötige Erhöhung des Netzverkehrs aufgrund periodischer
Replikationen
Trusted Domains
vertraute Domänen
•irgendwann stößt Domänenkonzept an seine Grenzen, h.b.
Anzahl von Benutzern und Ressourcen ist so groß, daß keine Strukturierbarkeit
mehr möglich ist
•Domänen werden meist auf Basis organisatorischer Einheiten
der Firma aufgebaut (z.B. Entwicklung, Verkauf, Marketing, ...)
•für domänenübergreifenden Zugriff werden vertraute Domänen
eingerichtet
Beispiel:
Hugo
aus DomäneX muß auf Ressourcen der DomäneY zugreifen
®es wird Vertrauensstellung zwischen X und Y aufgebaut, so
daß Y auf Benutzerinformationen aus X zugreifen kann
ÞHugo aus X muß in Y nicht neu definiert werden, Hugo kann
dennoch Rechte in Y erhalten
Gestaltung von vertrauten Domänen
•Single Domain
Modell
•Master Domain
Modell
•Multiple Master
Domain Modell
•Complete Trust
Modell
Single Domain
•keine
Vertrauensstellungen
•es gibt eine Domäne (alle Ressourcen und Benutzer werden
hier verwaltet)
•rein theoretisch mehrere tausend Benutzer pro Domäne möglich
Master Domain Modell
•es wird eine Vertrauensstellung von einer Domäne zu allen
anderen eingerichtet (alle Domänen vertrauen der Maste Domain)
•sämtliche Anwender und Gruppen werden in Master Domain
eingerichtet
•diese werden von restlichen Domänen zur Verwaltung von
Berechtigungen verwendet
•Grenze: ab 15.000 Benutzer nicht mehr möglich (Microsoft)
[ein PDC kann max. von 15.000 Benutzern verwaltet werden]
Multiple Master Domain Modell
•mehrere Master
Domänen werden eingesetzt
•alle Benutzer und globalen Gruppen werden genau einmal
definiert (in einer zugeordneten Master Domäne)
•alle Master Domänen vertrauen sich gegenseitig Þist ein
Benutzer in einer Domäne definiert, so kann er auf das gesamte Netzwerk
zugreifen, ohne erneut definiert zu werden
Complete Trust Modell
•alle Domänen
vertrauen sich gegenseitig
•es können die Anwender der jeweils anderen Domäne zur
Vergabe von Zugriffsberechtigungen verwendet werden
•Aufwand für Verwaltung in Bezug auf Menge von
Vertrauensstellungen hoch
•bei 20 Domänen sind bereits 380 Vertrauensstellungen
notwendig
•Vielfalt der Verhältnisse analog zu Mesh-Verdrahtung
Computer-Suchdienst (Browser-Service)
•damit Ressourcen verwendet werden können, muß man wissen,
welche zur Verfügung stehen
•®Windows NT: Computer-Suchdienst
•den Netzwerkteilnehmern wird eine zentrale Liste zur
Verfügung gestellt, in der alle verfügbaren Ressourcen verzeichnet sind
•Bereitstellung durch spezielle Computer, d.h. Computer, die
den Suchdienst aktiviert haben
•®nicht jeder
Rechner startet diesen Dienst; es kann bereitgestellte Liste verwendet werden
•Minimierung von
Netzwerkverkehr
Verschiedene Rollen
•Master Browser
•Backup Browser
•Potentieller
Browser
•Browser Client
(Non-Browser)
NT kann jede Rolle
übernehmen
Master Browser
•besitzt Hauptliste
der Netzwerk-Ressourcen
•sammelt die entsprechenden Informationen und erstellt Liste
•verteilt Liste an
Backup-Server
Auswahlprozeß
(Sicherstellung, daß nur ein Master pro Domäne existiert
Anstoß des Auswahlprozesses
•Netzwerk-Client
findet Master nicht
•Backup-Browser will sich aktualisieren, findet Master nicht
•Computer, der als bevorzugter Master eingerichtet ist, geht
ans Netz (eigentliche Auswahl nicht notwendig; Auswahlnachricht wird gesendet,
enthält Informationen über Betriebssystem (Art und Version) und aktuelle Rolle
im Suchdienst
•jede Station prüft die eigene Eignung und schickt
entsprechende Nachricht weiter ®beste Eignung wird als neuer Master Browser festgelegt
•jeder Computer meldet sich beim Browser periodisch
•anfangs minütlich, später bis zu 12-Minuten-Abstand
•bekommt Master über 3 Zyklen keine Rückmeldung, so wird
entsprechender Computer aus Liste entfernt
Backup Browser
•verteilt Liste an
die Clienten
•i.d.R. gibt es mehrere Backup-Browser, der Client sucht sich
den Nächsten
•holt sich alle 15 Minuten eine aktuelle Liste vom Master
Potentieller Browser
•sind prinzipiell in der Lage, die Verwaltung der Ressourcenliste
zu übernehmen, machen es aber erste auf Aufforderung
Browser Client
•beziehen Liste vom Master- bzw. Backup-Browser
•®Entlastung der
Prozessorkapazität, Verringern des Netzwerktransfers
Benutzerkonzept von
NT
Bestandteile:
Benutzer, lokale Gruppen, globale Gruppen
Benutzer
•ein Benutzerkonto wird pro Anwender eingerichtet
•®sämtliche
Eigenschaften des Anwenders (z.B. Gruppenzugehörigkeit, Kennwort,...) und
Berechtigungen werden hiermit administriert
Gruppe
•logische
Ansammlung von Benutzern
•Benutzer mit gleichen Anforderungen werden zusammengefaßt
•ein Benutzer kann Mitglied in vielen Gruppen sein
•®Strukturierung
sollte ur Vereinfachung der
Verwaltung an Unternehmensstruktur angepaßt sein
NT Server: Lokale und Globale
Gruppen
Lokale Gruppen
•werden auf lokalen Stationen eingesetzt und sind nur dort
gültig
•NT Workstation kennt nur lokale Gruppen
•lokale Gruppen können globale Gruppen aufnehmen
Globale Gruppen
•werden auf PDC eingerichtet
•sind allen Systemen der Domäne sichtbar
•®Realisierung von domänenübergreifenden Benutzerinformation
•Þlokale
Benutzer müssen nicht eingerichtet werden
Mehrstufiges Modell
1.Benutzer wird
definiert
2.Benutzer
werden in globalen Gruppen zusammengefaßt
3.globale
Gruppen werden lokalen Gruppen zugeordnet
lokalen Gruppen werden Berechtigungen erteilt
2001-03-20
Heterogenene Netze
Integrationsaspekte von NT Server
Einbindung vorhandener Ressourcen
•Netware
•UNIX
•Macintosh
•IBM-Großrechnerwelt
(SNA)
Installation von NT Server
vorbereitende Maßnahmen
•entsprechende
Hardware bereitstellen
•Wahl des Dateisystems für die Installationspartition
(FAT16/NTFS) (sollen auch andere Betriebssysteme eingesetzt werden?)
•Netzwerkkarte?
(Typ/Einstellung)
•Name der Domäne (bzw. Arbeitsgruppe) (hier: Domäne CA)
•Name des Computers (hier ca10)
•Computerkonto
(hier ca10)
•Protokollinformationen zu TCP/IP (eigene Adresse/Subnet
Mask)
192.168.0.10
255.255.255.0
Gateway, DNS Server, DHCP,...
hier: -
•CD-Schlüssel:
040-0522921
•Rolle des NT
Servers
Primary Domain Server
Backup Domain Server
alleinstehender Server
hier: BDC oder Server
•Notfalldiskette
(leere Diskette bereitlegen)
•Größe der Installations-Partition (im allgemeinen 150 MB
ausreichend)
Installationsvarianten
drei Installations-Programme
WinNT unter
MS-DOS (CD: i386)
WinNT32 über
NT-Plattform aufrufbar (Aktualisierung) (CD: i386)
Setupldr NT auf RISC-Maschinen
•Booten von CD oder
•Installation über
Netzwerk
•Netzwerk muß über Client erreichbar sein
z.B. Win95: über DOS-Eingabeaufforderung:
WinNT /B (ohne Bootdisketten zu erstellen)
9.Installationsquelle
(Pfad zu Dateien im Netzwerk)
10.temporäre
Kopie wird angelegt ($WIN_NT$.~LS)
11.Boot-Dateien
werden kopiert ($Win_NT.$BT)
•Lizenzmodus
wählen:
pro Server
•jede Client-Zugriffslizenz ist exakt einem bestimmten Server
zugeordnet (ÞServer
mit drei Client-Lizenzen kann max. drei Benutzer gleichzeitig bedienen)
hier: pro Server;
Anzahl: 25
•Wahl der
Server-Rolle
hier: BDC oder
Server
•Angabe des neuen Domänen-Namens/Wahl des Domänen-Namens
•PDC: Name der
neuen Domäne einrichten
•BDC: Name der
vorhandenen Domäne; Administratorname und Kennwort von PDC notwendig (da
Zugriff auf PDC erfolgt, Konto wird eingerichtet)
Administratorname: Administrator Kennwort: ca
Installationsdaten
•\\Server\Installation\WinNT-Server\i386
•Installations-CD
nach (erfolgreicher) Installation:
Service Pack installieren
•Kopieren:
\\Server\Installation\NT4SP6A
...\NT4SP6A\*.exe ausführen
2001-03-21
Heterogene Netze
Anmeldung
·
lokal
·
Domäne
lokal ®Benutzerkontenbank des lokalen Systems wird verwendet
Benutzer: Administrator
Kennwort: ******
Domäne: CA15
Domäne Domäne: CA
Benutzer-Management
- fast alle Anwendungen und Funktionen des Servers
sind vom Benutzer-Management abhängig
- ®Kernfunktionalität
- Werkzeug: Benutzermanager
für Domänen (unter Verwaltung)
- jede Veränderung bezieht sich auf
Benutzerkontenbank einer Domäne ®Fokus wird automatisch auf
PDC gesetzt
- nach der Änderung erfolgt automatisch eine
Aktualisierung der BDCs (periodisch); ®dauert einige Zeit
- ÞBenutzer
kann sich unter Umständen nach seiner Einrichtung nicht sofort anmelden
Standardbenutzerkonten nach
Einrichten:
Administrator umbenennen (aus
Sicherheitsgründen)
Gast deaktivieren
Konto deaktivieren?
· Benutzer ist eindeutige Sicherheits-ID zugeordnet (wird vom System vergeben)
·
löschen eines Benutzers und neu anlegen unter
gleichem Namen ®Benutzer
ist nicht identisch (wegen neuer Sicherheits-ID) ÞRechte
müssen neu vergeben weden
·
Þzum Ändern
des Benutzernamens immer „Umbenennen“ eines Benutzers
„Kopieren“ des Benutzers: viele gleichartige Benutzer einrichten
Eigenschaften von mehreren Benutzern gleichzeitig ändern
·
mehrere Benutzer selektieren
·
Benutzer ®Eigenschaften
Vordefinierte Gruppen in NT Server (global)
Domänen-Admins Verwalter der Domäne
Standard:
Administrator
wird
automatisch in lokale Gruppe „Administratoren“
jeder
Workstation bzw. Server aufgenommen
Domänen-Benutzer alle definierten Benutzer einer Domäne
wird
automatisch in die lokale Gruppe „Benutzer“
aufgenommen
Domänen-Gäste Standard: Gastbenutzer (deaktiviert)
®sollte
nicht benutzt werden
lokale Gruppen
Administratoren Verwaltung des System; i.d.R. wird kein Benutzer
direkt zugeordnet, da Gruppe „Domain-Admins“ zugeordnet ist
Benutzer alle Benutzer der Station
Gruppe
„Domain-Benutzer“ enthalten
i.d.R.
keine direkte Zuordnung von Benutzern
Server-Operatoren Mitglieder erhalten
grundlegende Rechte für die
Administration
des Servers (z.B. Steuerung von
Diensten, Herunterfahren des Servers)
Sicherungsoperatoren Mitglieder erhalten erforderlichen Rechte
zur
Datensicherung
und Wiederherstellung
Definition neuer Gruppen
- Benutzermanager für Domänen ®Benutzer
®neue
lokale/globale Gruppe
- Vergabe des Gruppennamens
- Vergabe einer erläuternden Beschreibung
- über Eigenschaften können Benutzer und Gruppen
hinzugefügt werden:
lokale Gruppe: Benutzer und globale Gruppen
globale Gruppe: Benutzer
Server Manager
®Server Manager (Gruppe Verwaltung) verwaltet Server und
Domänen
Voraussetzung: Mitglied in einer
der folgenden Gruppen:
Administratoren,
Domänen-Administratoren, Server-Operator
ÞVerwaltung von NT Workstation möglich
Liste der aktuellen Rechner in
Domäne werden angezeigt; durch Auswahl eines Rechnsers kann dieser verwaltet
werden (z.B. CA10)
Computer
Eigenschaften z.B. Benutzer, benutzte Freigaben,
etc.
Freigegebene Verzeichnisse Was ist freigegeben? neue Freigaben
hinzufügen, Freigaben entfernen,
Berechtigungen erteilen
Dienste Aktivierung/Deaktivierung
von
Diensten
Nachricht senden Text an alle Benutzer des Rechners
Nachricht
senden
Heraufstufen zum PDC [nur aktiv auf BDC]
Achtung:
alle Verbindungen zum
aktuellen
PDC und zum BDC, der
heraufgestuft
werden soll, werden
getrennt
Synchronisation bei Auswahl eines
BDC
®Snchronisation
des
entsprechenden
BDC
bei
Auswahl von PDC:
®alle BDCs
der Domäne werden
synchronisiert
Domäne
hinzufügen Rechner
zur Domäne hinzufügen
Domäne
entfernen Rechner
von der Domäne entfernen
Domäne
auswählen Verwaltung
anderer Domänen
Echter Ausfall des PDC
„Server“ (Rechnername) war PDC
®Simulation
durch Ausschalten
Þkein PDC
verfügbar
a)
ist kein BDC vorhanden:
®Problem, da keine Anmeldung mehr möglich;
Lösung: PDC reparieren
b)
BDC vorhanden:
®Anmelden weiterhin möglich
Problem: Benutzermanager
funktioniert nicht
®falls z.B. Berechtigungen etc. geändert werden müssen, muß
ein BDC zum PDC heraufgestuft werden
Wie?
®Server-Manager; irgendein BDC zum PDC heraufstufen
z.B. CA10 heraufstufen
®“alles wieder möglich“
Was passiert, wenn der „alte“ PDC
wieder ans Netz geht?
®Problem: 2 PDC verfügbar ®nicht möglich
®automatische Übernahme bei Aktivierung nicht möglich, da
Änderungen in der Zwischenzeit verloren gehen würden
Þalter PDC hält sich zurück
®Server-Manager ®Computer herabstufen
„alter“ PDC wird zum BDC
degradiert
Þist jetzt BDC (warten oder synchronisieren)
jetzt kann ein normaler
Rollentausch erfolgen (durch Heraufstufung)
ÞUrsprungszustand wurde wieder hergestellt
Beispiel:
a.
PDC „Server“ ist kaputt
®Benutzer-Manager geht nicht
b.
BDC CA10 zum PDC heraufstufen
®alles geht wieder
c.
alte PDC aktiv („Server“ einschalten)
d.
„Server“ zum BDC herabstufen
e.
Rollentausch, d.h. „Server“ zum PDC heraufstufen
Anmeldedienst
·
Kommunikation zwischen Domänen-Controller erfolgt
über Anmeldedienst
·
in bestimmten Zeitabständen findet Kommunikation
statt (Replikationsfrequenz)
·
Standard: 300 Sekunden (5 Minuten)
·
gültiger Bereich: 60 Sekunden bis 3600 Sekunden (1
Minute bis 1 Stunde)
·
Registrierung:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Sevices\NetLogon\Parameters\Pulse
Typ: REG_DWORD
Þwird auf den primären Domänen-Controller gesetzt
Ereignisse
Protokollierung besonderer Systemereignisse
drei Teile: System, Sicherheit,
Anwendung
Anzeige mit Ereignisanzeige (Verwaltung
®Ereignisse)
Einrichten der Protokollierung:
Benutzermanager ®Richtlinien ®Überwachen
je nach Bedarf bei Erfolg/Fehler,
unterteilt in verschiedene Kathegorien
Windows
NT Basic Services
®File Services, Print Services
File Services
·
Dateiname unter NT
·
NT Server: NTFS sollte die Wahl sein
·
Einrichtung und Verwaltung von Datenträgern (sprich:
Festplatte) erfolgt über Festplattenmanager
erweiterte Technologien gegenüber Workstation
Volume Set (Datenträgersatz)
·
Kombination von freien Plattenbereichen zu einer
logischen Einheit
·
auch über Festplattengrenzen hinweg (bis zu 32
Festplatten)
·
bereits unter Netware bekannt
·
im Manager werden gewünschte Bestandteile mit Maus
und gedrückter Strg-Taste ausgewählt
·
Partition ®Datenträgersatz erstellen
·
minimale und maximale Größe angezeigt ®Größe
auswählen
·
Formatierung nur NTFS
·
Risko: fällt eine Platte aus, so ist kompletter
Datenträgersatz unbrauchbar
Stripe Set
·
ähnlich Volume Set
·
®freie
Speicherbereiche werden zu logischem (!) Datenträger zusammengefaßt
·
mind. 2 Festplatten (Hardware) erforderlich
·
die Daten werden über die einzelnen Platten hinweg
gleichzeitig in einer Reihe von 64kB-Blöcken geschrieben
·
I/O-Prozeduren können gleichzeitig abgewickelt werden
®Performance-Erhöhung
·
diese Technologie heißt auch RAID0 (®keine
Fehlertoleranz)
·
Einrichtung (Festplattenmanager):
o mehrere
Festplatten markieren (Strg + Maus)
o Partition
mit Stripe Set erstellen
o Größen der
Partitionen auf einzelnen Festplatten werden angeglichen (evtl. bleiben Reste
übrig)
Festplatten 1
-4
Stripe
Set
Stripe Set
·
Formatierung: NTFS, (FAT)
Fehlertoleranz-Mechanismen
prinzipielle Möglichkeiten
Platten-Spielgelung
Platten-Doppelung
Stripe Sets mit Parität
USV (unterbrechungsfreie
Stromversorgun)
Backup Services
Festplatten-Fehlertoleranz
RAID Redundant
Arrays of Inexpensive Disks
entwickelt
1987 von Gibson, Kratz and Patterson (Berkley University of California)
RAID0: entspricht Stripe Set im NT Server (Stripe Set ohne
Parität)
RAID1 Plattenspiegelung (Disk Mirroring)
RAID2 Stripe Set, Fehlerkorrekturinformationen werden
hinzugefügt (Redundanz schaffen) ®mehr realer Speicherplatz als bei RAID1 verfügbar, dennoch können viele Fehlerfälle behoben werden
RAID3 wie RAID2, aber
Partitionsinformationen (Infos zur Fehlerkorrektur) werden auf extra Festplatte
gespeichert
RAID4 wie RAID3, mit größeren Blöcken ®Vorteile bei Gewinnung der Paritätsinformationen
RAID5 Stripe Set mit Paritätsinformationen auf allen
Festplatten verteilt;
es wird
sichergestellt, daß Datenblöcke und zugehörige
Paritätsinformationen
auf getrennten Festplatten des Sets liegen
bei NT Server
RAID1 = Spiegelung
Im Festplattenmanager
o 2
physikalische Festplatten
o zu
spiegelnde Bereich auswählen (Maus)
o mit
gedrückter Strg-Taste auf freien Bereich einer anderen Festplatte klicken (muß
mindestens so groß sein, wie der zu spiegelnde Bereich)
o ®Fehlertoleranz
®Spiegelung
einrichten
Vorteil unter NT
·
nicht die gesamte Festplatte muß gespiegelt werden ÞTeile
möglich ÞFestplatten
können unterschiedliche Größe haben
·
Þes müssen
nicht identische Platten verwendet werden (Vorteil bei Fehlerfallbeseitigung)
Aufhebung der Spiegelung
·
Festplattenmanager
·
Platte anwählen
·
®Fehlertoleranz
®Spiegelung
beenden
·
Trennung der Spiegelung hat keine Auswirkungen auf
die Daten Þ2
Partitionen mit zu diesem Zeitpunkt gleichen Daten entstehen
RAID5
®Stripe Set mit Parität
·
mindestens 3 physikalische Festplatten
·
Einrichtung wie Stripe Set, aber ®Fehlertoleranz ®Stripe Set
mit Parität erstellen
·
®Redundanz
der Datenhaltung wird gegenüber der Spiegelung deutlich reduziert:
Spiegelung: 100% Redundanz
RAID5 mit 3 Festplatten: 33% Redundanz
RAID5 mit 5 Festplatten: 25% Redundanz
Beispiele:
Spiegelung 2 x 10GB =
Nutzdaten-Platz: 10GB
RAID5 5 x 4GB =
Nutzdaten-Platz: 15GB
Fehlerfall
1 Platte fällt aus
®Weiterbetrieb ist möglich, da fehlende Information aus den
Paritätsinformationen (Redundanz) berechnet werden
ÞLesevorgänge werden 4x langsamer
Þ“schnell handeln“; verlorene Daten regenerieren lassen
(Festplatten-Manager ®Fehlertoleranz
®Regenerieren)
auf unbeteiligte Partition/neue Festplatte
Nutzung der File Services
®gemeinsame Nutzung von Daten durch Freigaben (shares)
- Shares sind in Peer-to-Peer-Netzwerken möglich
(NT-WS, Win98,...)
- auch bei NT Server im Domänen-Umfeld
- einem Share können grundlegende Rechte vergeben
werden
- erweiterte Sicherheit über NTFS-Dateisystem
Þzwei Berechtigungsmethoden
- Einrichtung und Verwaltung von Rechten für ein
Share
- Einrichtung und Verwaltung von Rechten für
Verzeichnisse und Dateien auf NTFS-Datenträger
Share einrichten
- Kontextmenü zur freizugebenden Ressource
Explorer Angabe der
Ressource- Server Manager Vergabe
eines Freigabenamens
Eigenschaften
·
Freigabe eines Verzeichnisses impliziert die Freigabe
aller Unterverzeichnisse
·
Vergabe von Rechten auf Share gilt nur für
Netzwerkzugriff
·
Vergabe von Berechtigungen stark eingeschränkt: kein
Zugriff, Lesen, Ändern, Vollzugriff; für jeden Benutzer/Globale Gruppe/Lokale
Gruppe verfügbar
Berechtigung erteilen/wiederrufen
Server Manager oder Explorer
®Eigenschaften ®Freigabe ®Berechtigungen
zugelassene Benutzer/Gruppen sind
aufgeführt
Berechtigte können
hinzugefügt/gelöscht werden; evtl. „Suchen“, falls Benutzer/Gruppe nicht sofort
sichbar
Server Manager ®Computer
auswählen ®Computer ®Freigegebene
Verzeichnisse
®für detailliertes Sicherheitskonzept sind Berechtigungen der
Freigabe zu wenig
ÞVerwendung von NTFS-Datenträgern
®Umsetzung eines feineren Sicherheitskonzeptes möglich;
beispielsweise können einzelnen Verzeichnissen und Dateien unterschiedliche
Rechte erteilt werden; gilt für lokale Benutzer und Netzwerkbenutzer
NTFS-Zugriffsarten
Lesen (R) Anzeige von Dateien/Verzeichnissen, Lesen von Dateien
Schreiben (W) Hinzufügen von Dateien und
Verzeichnissen
Ausführen (X) Wechsel in Verzeichnis; Ausführen von
Dateien
Löschen (D) Löschen von Dateien/Verzeichnissen
Berechtigungen ändern (P)
Ändern
von Berechtigungen für Dateien/Verzeichnisse
Besitz übernehmen (O)
Besitzübernahme
von Dateien/Verzeichnissen
Zugriffsarten sind zu
Standardberechtigungen zusammengefaßt:
|
Berechtigung |
Verzeichnis |
Datei |
Bedeutung |
|
Kein
Zugriff |
- |
- |
Benutzer darf nicht zugreifen, auch nicht als Mitglied
einer zugriffsberechtigten Gruppe |
|
Anzeigen |
RX |
- |
Dateien/Verzeichnisse nur auflisten; Wechsel in
Unterverzeichnis |
|
Lesen |
RX |
RX |
Dateien und Verzeichnisse lesen, Anwendungen ausführen |
|
Hinzufügen |
WX |
- |
Dateien dürfen im Verzeichnis angelegt werden; vorhandene
Dateien nicht lesen oder ändern |
|
Hinzufügen
und Lesen |
RWX |
RX |
Dateien im Verzeichnis anlegen, vorhandene Dateien lesen,
Programme ausführen |
|
Ändern |
RWXD |
RWXD |
Dateien und Verzeichnisse lesen, hinzufügen, ändern,
löschen, Programme ausführen |
|
Vollzugriff |
Alle |
Alle |
alles ist erlaubt |
2001-03-22
Heterogene Netze
replikation replikation
2001-03-23
Heterogene Netze
LPT1
2001-03-26
Heterogene
Netze
2001-03-27
Heterogene Netze
Überwachung des Geschehens auf dem Server
(Weiterleitung
aktivieren)