ервер «а Windows и Linux Йй£Щ“ние

и LinUX

Администрирование и виртуализация

г- Windows Server—управление, основы безопасности, Active Directory, сеть и сервисы
г- Linux-сервер — процессы, пользователи и группы, маршрутизация, удаленка по SSH
г- Файловый сервер FTP и DHCP-сервер, доменная система имен

Виртуальные сервера на VMware и KVM

^НиГ

<-НиТ

nit.com.ru
Левицкий Н. Д.5 Завьялов А. В.

СЕРВЕР

WINDOWS и LINUX

Администрирование и
виртуализация

><НиТ

уиздательств^^Р

"Издательство Наука и Техника"

Санкт-Петербург
УДК 004.42

ББК 32.973

Левицкий Н. Д., Завьялов А. В.

Сервер на Windows и Linux. Администрирование и виртуализация — СПб.:

Издательство Наука и Техника. 2023. — 544 с., ил.

ISBN 978-5-907592-26-1

В этой книге вы сможете найти полезную информацию по администрированию и
использованию серверов на Windows и Linux, причем как физических (локальных),
так и виртуальных. Вы узнаете об отличиях, недостатках и преимуществах физиче-
ского и виртуального сервера - вполне возможно, что зто поможет вам определиться
с типом сервера для своих личных задач.

В первой части книги будет рассмотрен Windows Server - вы узнаете об управлении
сервером; мониторинге процессов, сервисов и событий; автоматизации администра-
тивных задач; основах безопасности; управлении учетными записями пользователя
и группы, как управлять сетью TCP/IP и использовать сервисы DNS и DHCP. Также
подробно рассмотрим Active Directory - разворачивание, основы администрирова-
ния, доменные службы Active Directory.

Во второй части книги будет рассмотрен Linux-сервер для локальной сети - вы
узнаете об управлении процессами и загрузкой ОС; маршрутизации и настройке
брандмауэра; доменной системе имен; как использовать удаленный вход в систему
по SSH. Отдельно будет рассказано про файловый сервер FTP и DHCP-сервер, при-
ведены примеры использования сервера.

Заключительная часть книги посвящена виртуальным серверам на Windows и Linux
- рассмотрим вопросы преобразования виртуальных машин из одного формата в
другой; какой гипервизор выбрать (на случай, если вы предпочитаете строить
инфраструктуру виртуализации самостоятельно), рассмотрим виртуальный сервер
на базе коммерческого решения - VMWare, а также бесплатного гипервизора - KVМ.

Книга будет полезна как системным администраторам различного уровня, так и
обычным пользова!елям, заинтересованным в изучении серверов и сетевых техно-
логий.

Все права защищены Никакая часть данной книги нс может быть воспроизведена в какой бы то ни было форме без письменного разрешения владельцев
авторских прав

Издательство не несет огветственности за возможный ущерб, причиненный в ходе использования материалов данной книги, а также за доступность
материалов, ссылки на которые вы можете найти в этой книге На момент подготовки книги к изданию все ссылки на интернет-ресурсы были действую-
щими. Информация, содержащаяся в данной книге, получена из источников, рассматриваемых издательством как надежные Тем не менее, имея в виду
возможные человеческие или технические ошибки, издагельство не может гарантировать абсолютную точность и полноту приводимых сведений и не
несет ответственности за возможные ошибки, связанные с использованием книги.

ISBN 978-5-907592-26-1

Контактные телефоны издательства:

(812)412 70 26

Официальный сайт: www.nitcom.ru

© Левицкий Н. Д.

© Издательство Наука и Техника (оригинал-макет)
Содержание

ВВЕДЕНИЕ В ВИРТУАЛЬНЫЕ СЕРВЕРЫ..............................13

8.1.	ВИРТУАЛЬНЫЕ СЕРВЕРЫ........................„...........15

В. 1.1.11реимуществэ и недостатки ..............15

В. 1.2. Стоимость виртуального сервера......... 17

В 1.3. Какие серверы можно виртуализировать?................ 19

В. 1.4. Преимущества собственной виртуальной инфраструктуры.20

В.2.	ВЫБОР ГИПЕРВИЗОРА..............................„.......2С

В.2.1.	Типы гипервизоров........................21

В.2 2. Hyper-V или VMware?......................21

В.2.3.	KVM......................................26

В.2.4.	Что выбрать?.............................27

В.З,	ВИРТУАЛЬНЫЙ СЕРВЕР: СОДЕРЖАНИЕ.........................28

В.3.1.	Сколько стоит физический сервер..........28

В.3.2.	Стоимость содержания физическою сервера..32

В.3.3.	Варианты снижения стоимости владения.....33

В.3.4.	Что лучше? Муки выбора.................. 34

ЧАСТЫ. WINDOWS SERVER.......................................37

ГЛАВА 1. УПРАВЛЕНИЕ СЕРВЕРАМИ НА БАЗЕ WINDOWS
SERVER......................................................37

1.1.	ЗНАКОМСТВО С WINDOWS SERVER 2019.......................38

1.2.	КОНТРОЛЛЕРЫ ДОМЕНА, ОБЫЧНЫЕ СЕРВЕРЫ И СЛУЖБЫ ДОМЕНА ..40

1.2.1.	Работа с Active Di rectory...........................40

1.2.2.	Контроллеры RODC ........................42

1 2.3. Перезапускаемые доменные службы......... 43

1.3.	ИНСТРУМЕНТЫ УПРАВЛЕНИЯ WINDOWS SERVER..................4д

1.4.	КОНСОЛЬ "ДИСПЕТЧЕР СЕРВЕРОВ"...........................45

1.5.	РОЛИ СЕРВЕРОВ, СЛУЖБЫ РОЛЕЙ И КОМПОНЕНТЫ...............46

1.6.	УСТАНОВКА WINDOWS SERVER.............................  55

1.6.1.	Системные требования    .... ........................55

1.6.2.	Минимальный выпуск Essentials........................57

1.6.3.	Выпуски Standard и Daiacer.tei.......................58

1.6.4.	Server Core ....................         59

Ф
1.6.5.	Процесс установки Windows Server..................71

1.6 6. Дополнительные возможности при установке..........76

Принудительное удаление раздела диска во время установки.76

Создание, формазкрование, удаление и расширение разделов диска ..77

Загрузка драйверов устройств при установке...............77

1,7.	УПРАВЛЕНИЕ РОЛЯМИ, СЛУЖБАМИ РОЛЕЙ И КОМПОНЕНТАМИ.....................78

1.7 1. Обзор диспетчера серверов.............................78

1.7,2. Удаленное управление серверами........................83

ДОБАВЛЕНИЕ И УДАЛЕНИЕ РОЛЕЙ, РОЛЕВЫХ СЛУЖБ И КОМПОНЕНТОВ__85

ГЛАВА 2. МОНИТОРИНГ ПРОЦЕССОВ, СЕРВИСОВ
И СОБЫТИЙ.................................................91

2.1.	УПРАВЛЕНИЕ ПРОЦЕССАМИ И	ПРИЛОЖЕНИЯМИ.............................92

2.1.1.	Диспетчер задач...................................93

Вкладка "Процессы"...................................93

вкладка "Подробности". Изменение приоритета процесса.97

Вкладка "Службы". Просмотр системных служб..........102

Вкладка "Производительность"........................103

Вкладка "Пользователи"..............................106

2.1.2.	Управление службами..............................108

Настройка входа в систему...........................111

Реакция на сбой службы..............................112

Отключение служб.........................................113

2.2.	ПРОСМОТР И ПРОТОКОЛИРОВАНИЕ СОБЫТИЙ.............................114

2.2.1.	Основные журналы.................................114

2.2.2.	Доступ к событиям в "Диспетчере серверов"........116

2.2.3.	Средство "Просмотр событий"......................117

Установка параметров журнала событий................121

Сохранение и очистка журналов.......................122

ГЛАВА 3. АВТОМАТИЗАЦИЯ АДМИНИСТРАТИВНЫХ
ЗАДАЧ...........................................................125

3.1.	ГРУППОВАЯ ПОЛИТИКА..............................................126

3.1.1.	Основные сведения о групповой политике...........126

3.1.2.	Порядок применения политики......................128

3.1.3.	Редакторы групповой политики.....................129

3.1.4.	Управление локальной групповой политикой.........130


3.1.5.	Управление политиками сайта, домена или ОЕ.......133

3.1.6.	Административные шаблоны.........................138

3.1.7.	Создание и связь объекта групповой политики......140

3.1.8.	Удаление ссылок и удаление GPO...................141

3.1.9.	Обновление групповой политики....................142

3.1.10.	Если политика не применяется. Мастер результатов групповой политики 145

3.2.	УПРАВЛЕНИЕ ПОЛЬЗОВАТЕЛЯМИ И КОМПЬЮТЕРАМИ	ПОСРЕДСТВОМ

ГРУППОВОЙ ПОЛИТИКИ...........................................146

3.2	1. Управление сценариями пользователя и компьютера..147

3.2.2.	Развертывание программного обеспечения через групповую политику... 150
Основы развертывания ПО...........................150

Развертывание программ в домене....................152

3.2.3.	Настройка автоматических обновлений ОС...........154

3.3.	ПЛАНИРОВЩИК ЗАДАНИЙ.............................................156

ГЛАВА 4 ОСНОВЫ БЕЗОПАСНОСТИ WINDOWS SERVER. 161

4.1.	ШАБЛОНЫ БЕЗОПАСНОСТИ............................................162

4.1.1.	Введение в шаблоны безопасности..................162

4.1.2.	Использование оснасток «Шаблоны безопасности» и «Анализ и
настройка безопасности».................................164

4.1.3.	Изменение настроек для политик учетных записей, локальных
политик и журнала событий...............................166

4.1.4.	Настройка групп с ограниченным доступом..........168

4.1.5.	Включение, отключение и настройка системных служб...170

4.1.6.	Настройка параметров безопасности для реестра и файловой системы.... 171

4.1.7.	Анализ, просмотр и применение шаблонов безопасности.173

4.2.	ПОЛИТИКИ, НА КОТОРЫЕ СТОИТ ОБРАТИТЬ ВНИМАНИЕ....................176

4.2.1.	Удаляем лишние команды из Проводника.............176

4.2.2.	Запрещаем доступ к командной строке и PowerShell.178

4.2.3.	Максимальное время работы пользователя...........180

4.2.4.	Отключение элементов панели управления...........181

4.3.	НАСТРОЙКА МЕЖСЕТЕВОГО ЭКРАНА С ПОМОЩЬЮ ГРУППОВЫХ
ПОЛИТИК........................................................181

ГЛАВА 5 РАЗВОРАЧИВАНИЕ ACTIVE DIRECTORY..............................185

5.1.	ВВЕДЕНИЕ В ACTIVE DIRECTORY.....................................186

5.2.	КОНТРОЛЛЕР ДОМЕНА ТОЛЬКО ДЛЯ ЧТЕНИЯ	(RODC)................194

................................................................  '"'(SB
5.3.	КОМПОНЕНТЫ ACTIVE DIRECTORY.................................195

5.4.	СТРУКТУРЫ ДОМЕНА............................................197

5.4.1.	Домены........................................198

5.4.2.	Лес и дерено домена...........................200

5 4 3 Организационные единицы (подразделения)........202

5.4	4. Сайты и подсети...............................203

5.5	СТРУКТУРА КАТАЛОГА...........................................205

5.5.1.	Хранилище данных..............................206

5.5.2.	Глобальные каталоги...........................207

5.5.3.	Роли FSMO (Flexible Single-Master Operations).209

5.6	. КОРЗИНА ACTIVE DIRECTORY...................................211

ГЛАВА 6 ОСНОВЫ АДМИНИСТРИРОВАНИЯ AD..............................215

6.1.	УТИЛИТЫ УПРАВЛЕНИЯ ACTIVE DIRECTORY.........................216

6.1.1.	Оснастка "Пользователи" и компьютеры Active Directory.218

6.1.2.	Центр администрирования Active Directory......221

6.2.	УПРАВЛЕНИЕ УЧЕТНЫМИ ЗАПИСЯМИ КОМПЬЮТЕРА.....................223

6.2.1.	Создание учетной записи компьютера............223

6.2.2.	Удаление учетной записи компьютера............226

6.2.3.	Сброс заблокированных учетных записей.........226

6.2.4.	Перемещение учетных записей компьютера........227

6.2.5.	Присоединение компьютера к домену.............228

6.3.	УПРАВЛЕНИЕ КОНТРОЛЛЕРАМИ ДОМЕНА.............................231

6.3.1.	Понижение роли контроллера домена.............231

6.3.2.	Просмотр и передача ролей домена..............232

6.4.	УПРАВЛЕНИЕ ОРГАНИЗАЦИОННЫМИ ЕДИНИЦАМИ.......................234

6.4.1.	Создание организационных подразделений........234

6.4.2.	Просмотр и редактирование свойств организационных
подразделений........................................235

6.4.3.	Переименование и удаление организационных подразделений .... 235

6.4.4.	Перемещение организационных подразделений.....236

ГЛАВА 7. УПРАВЛЕНИЕ УЧЕТНЫМИ ЗАПИСЯМИ ПОЛЬ-

ЗОВАТЕЛЯ И ГРУППЫ.........................................237

7.1.	ТИПЫ УЧЕТНЫХ ЗАПИСЕЙ ПОЛЬЗОВАТЕЛЕЙ..........................239
7.2.	ИМЯ ВХОДА И ИДЕНТИФИКАТОРЫ	БЕЗОПАСНОСТИ...........................24Э

7.3.	УЧЕТНЫЕ	ЗАПИСИ Г РУПП............................................241

7.3.1.	Типы групп.........................................242

7.3.2.	Область действия группы............................242

7.3.3.	Идентификаторы безопасности и учетные записи групп.243

7.4.	УЧЕТНЫЕ ЗАПИСИ ПОЛЬЗОВАТЕЛЕЙ И ГРУПП ПО УМОЛЧАНИЮ...............244

7.4.1.	Встроенные учетные записи пользовате лей...........244

7.4.2.	Учетная запись ' Администратор"....................245

7 4.3. Учетная запись "Гость"...........................  246

7.4.4.	Неявные группы и специальные идентификаторы........246

7.4.5.	Группы, используемые администраторами............. 248

7.5.	ВОЗМОЖНОСТИ УЧЕТНОЙ ЗАПИСИ.........................................250

7.5.1.	Привилегии ...................................     251

7.5.2.	Право входа ..................................     255

7.5.3	Встроенные возможности для групп в Active Directory.257

7.6.	ТРЕБОВАНИЯ К ИМЕНАМ ПОЛЬЗОВАТЕЛЕЙ И ПАРОЛЯМ........................258

7.6.1.	Требования к имени учетных записей.................258

7.6.2.	Использование безопасных паролей...................259

7.7.	ПОЛИТИКИ УЧЕТНОЙ ЗАПИСИ............................................260

7.7.1.	Установка политик учетных записей..................260

7.7.2.	Настройка политики паролей.........................262

Вести журнал паролей..................................263

Максимальный срок действия пароля.....................263

Минимальный срок действия пароля......................264

Минимальная длина пароля............................  264

Пароль должен отвечать требованиям сложности..........264

Хранить пароли, используя обратимое шифрование........265

7.7.3.	Политики блокировки учетной записи...............  265

Пороговое значение блокировки.........................266

Продолжительность блокировки учетной записи ..........267

Время до сброса счетчика блокировки................   267

7.7.4.	Политики Kerberos................................. 268

Максимальная погрешность синхронизации часов компьютера .. 269

Принудительное ограничение входа пользователей..	. 269

Политики задания максимального срока жизни............270

7.8.	НАСТРОЙКА ГЛОБАЛЬНЫХ ПРАВ ПОЛЬЗОВАТЕЛЯ.............................270
7.9.	СОЗДАНИЕ УЧЕТНОЙ ЗАПИСИ ПОЛЬЗОВАТЕЛЯ....................271

7.10.	СОЗДАНИЕ УЧЕТНОЙ ЗАПИСИ ГРУППЫ.........................275

7.11.	УПРАВЛЕНИЕ ЧЛЕНСТВОМ В ГРУППЕ..........................277

ГЛАВА 8. УПРАВЛЕНИЕ СЕТЬЮ TCP/IP.............................279

8.1.	ВКЛЮЧЕНИЕ СЕТЕВОГО ОБНАРУЖЕНИЯ..........................280

8.2.	НАС I РОЙКА СЕТИ TCP/IP.................................285

8.3.	НАСТРОЙКА НЕСКОЛЬКИХ ШЛЮЗОВ.............................288

8.4.	СБРОС СЕТИ..............................................289

8.5.	ОТКЛЮЧЕНИЕ БРАНДМАУЭРА..................................290

ГЛАВА 9 СЕРВИСЫ DNS И DHCP...................................297

9.1.	СЕРВИС DNS............................................. 298

91.1.	Интеграция с Active Directory.............298

9.1.2	Настройка разрешения имен на DNS-клиентах..300

9.1.3.	Типы серверов.............................303

9.1.4.	Установка и базовая настройка DNS-сервера.303

9.1.5.	Создание основной зоны....................305

9.1.6.	Создание дополнительного сервера DNS......309

9.1.7.	Обратная зона.............................310

9.1.8.	Управление записями DNS...................310

9.2.	НАСТРОЙКА DHCP..........................................314

9.2.1.	Введение в DHCP...........................314

9.2.2.	Области адресов...........................316

9.2.3.	Установка DHCP-сервера....................317

9.2.4.	Консоль DHCP..............................320

9.2.5.	Интеграция DHCP с DNS.....................321

9.2.6.	Создание суперобластей....................323

9.2.7.	Создание обычных областей.................324

ЧАСТЬ II. LINUX SERVER.......................................329

ГЛАВА 10. УПРАВЛЕНИЕ ЗАГРУЗКОЙ LINUX.........................329

10.1.	ЗАГРУЗЧИКИ LINUX.......................................330

_	Ф
10.2.	ЗАГРУЗЧИК (7ЯСЯ2....................................................  331

10.2.1.	Конфигурационные файлы .............................331

10.2.2.	Выбор метки по умолчанию............................338

10.2.3.	Загрузка Windows....................................338

10.2.4.	Пароль загрузчика GRUB2.............................339

10.2.5.	Установка загрузчика................................341

ЮЛ СИСТЕМА ИНИЦИАЛИЗАЦИИ....................................................342

10.3.1.	Принцип работы......................................343

10.3.2.	Конфигурационные файлы systemd......................345

10.3.3.	Цели................................................347

10.4. УПРАВЛЕНИЕ СЕРВИСАМИ ПРИ ИСПОЛЬЗОВАНИИ SYSTEMD.349

ГЛАВА 11. УПРАВЛЕНИЕ ПРОЦЕССАМИ LINUX..351

11.1. КОМАНДЫ PS, .MCE И KILL............................352

11.1.1.	Получение информации о процессе......352

11.1.2.	Изменение приоритета процесса........358

11.13	Аварийное завершение процесса..........358

11.2.	КОМАНДА ТОР........................................360

11.3.	ИНФОРМАЦИЯ ОБ ИСПОЛЬЗОВАНИИ ПАМЯТИ И ДИСКОВОГО
ПРОСТРАНСТВА.............................................363

11.4.	КОМАНДА FUSER......................................364

11.5.	ПЛАНИРОВЩИКИ ЗАДАНИЙ...............................365

11.5.1.	Планировщик cron.....................365

11.5.2.	Планировщик апасгоп..................368

ГЛАВА 12. ПОЛЬЗОВАТЕЛИ И ГРУППЫ......371

12.1.	ВВЕДЕНИЕ В УЧЕТНЫЕ ЗАПИСИ LINUX........................372

12.2.	ПОЛУЧЕНИЕ ПОЛНОМОЧИЙ ROOT...............................375

12.3.	УПРАВЛЕНИЕ УЧЕТНЫМИ ЗАПИСЯМИ ПОЛЬЗОВАТЕЛЕЙ..............381

12.3.1.	Создание учетной записи пользователя....381

12.3.2.	Файлы /etc/passwd и /etc/shadow.........383

12.3.3.	Изменение и удаление учетных записей ...386

12.3.4.	Группы пользователей....................390

12.4.	ГРАФИЧЕСКИЕ КОНФИГУРАТОРЫ..............................391

12.4. ГРАФИЧЕСКИЕ КОНФИГУРАТОРЫ..................391
12.5.	МОДУЛИ РАМ..................................................392

12.5.1.	Ограничиваем доступ к системе по IP-адресу ...396

12.5.2.	Ограничиваем время входа в систему............398

12.5.3.	Ограничение системных ресурсов с помощью РАМ..399

ГЛАВА 13 МАРШРУТИЗАЦИЯ И НАСТРОЙКА БРАНДМАУЭРА.403

13.1.	ПРОСМОТР ТАБЛИЦЫ МАРШРУТИЗАЦИИ..............................404

13.2.	ИЗМЕНЕНИЕ И СОХРАНЕНИЕ ТАБЛИЦЫ МАРШРУТИЗАЦИИ..................407

13.3.	НАСТРОЙКА БРАНДМАУЭРА IPTABLES_____________________________.._412

13.3.1	. Преобразование сетевого адреса...............413

13.3	2. Цепочки и правила ..........................  414

13.3.3	, Команда iptables..............  .............415

13.3.4	Практический пример............................418

13.4.	НАСТРОЙКА БРАНДМАУЭРА UFW...................................423

13.4.1.	Проверяем состояние брандмауэра.................:... 424

13.4.2.	Базовая настройка . ..........................425

13.4.3.	Создаем правила для других приложений.........427

13.4.4.	Разрешаем )Р-адреса.........................  427

13.4.5.	Запрещаем IP-адреса и службы..................428

13.4.6.	Удалекие/сбро? правил.........................428

13.4.7.	Отключение файрвола......................     429

ГЛАВА 14. УДАЛЕННЫЙ ВХОД В СИСТЕМУ ПО SSH...........................431

14.1.	ПРОТОКОЛ SSH................................................432

14.2.	SSH-КЛИЕНТ..................................................434

14.3.	НАСТРОЙКА SSH-CEPBEPA.......................................436

14.4	ЗАЩИЩЕННОЕ КОПИРОВАНИЕ ФАЙЛОВ................................439

14.5.	ОПТИМИЗАЦИЯ SSH.............................................44С

ГЛАВА 15. ВОПРОСЫ АДМИНИСТРИРОВАНИЯ ВЕБ-СЕРВЕРА.443

15.1.	ВЫБОР ДОМЕННОГО ИМЕНИ.......................................444

15.2.	ВЫБОР ТИПА СЕРВЕРА..........................................445

15.3.	ВЫБОР ОБЛАЧНОГО ПРОВАЙДЕРА..................................448

15.4.	ВЫБОР КОНФИГУРАЦИИ СЕРВЕРА..................................451

*
15.5.	ПЕРЕЕЗД С ХОСТИНГА НА СЕРВЕР..................................451

15.5.1.	Этапы переноса...............................   451

15.5.2.	Копирование файлов сайта на локальный компьютер.452

15.5.3.	Экспорт базы данных на локальный компьютер....  453

15.5	4 Установка веб-сервера, СУБД и другого ПО на VPS..453

15.5.5.	Загрузка файлов с локальной системы на VPS____ 457

15.5.6.	Редактирование конфигурации движка сайта....    458

15 5.7. Импорт базы данных на V?S.....................  459

15.5.8.	Перенос доменного имени.................        4S9

ГЛАВА 16. ФАЙЛОВЫЙ СЕРВЕР FTP.......................................461

16.1.	ВЫБОР FTP-CEPBEPA.............................................462

16.2.	НАСТРОЙКА FTP-CEPBEPA PROFTPI)............................... 463

16.2.1.	Установка и управление сервером.................463

16.2.2.	Файл конфигурацииproftpd.conf.................  464

16.2.3.	Обеспечение безопасности FTP-сервера............470

16.2.4.	Аутентификация с помощью MySQL..................475

16.3.	СЕРВЕР	VSFTPD.................................................411

ГЛАВА 17.	ДОМЕННАЯ СИСТЕМА ИМЕН...................................481

17.1.	РАЗНООБРАЗИЕ DNS-СЕГВЕРОВ.....................................482

17.2.	НАСТРОЙКА КЭШИРУЮЩЕГО DNS-СЕРВЕРА UNBOUND.....................484

17.3.	НАСТРОЙКА КЭШИРУЮЩЕГО СЕРВЕРА НА БАЗЕ «/VO....................485

17.4.	НАСТРОЙКА ПОЛНОЦЕННОГО DNS-CEPBEPA............................489

17.5.	НАСТРОЙКА ВТОРИЧНОГО DNS СЕРВЕРА..............................493

ГЛАВА 18. DHCP-CEPBEP...............................................495

18.1.	НАСТРАИВАТЬ DHCP-CEPBEP ИЛИ НЕТ?..............................496

18.2.	ПРИНЦИП РАБОТЫ ПРОТОКОЛА DHCP.................................496

18.3.	РЕДАКТИРОВАНИЕ КОНФИГУРАЦИИ DHCP..............................497

18	4. DHCP-CEPBEP В БОЛЬШИХ СЕТЯХ..................................501

18.5.	СТАТИЧЕСКИЕ IF-АДРЕСА. ДИРЕКТИВА HOST.........................5С2
18.6.	НАСТРОЙКА DHCP-КЛИЕНТА В UBUNTU............................503

ЧАСТЬ III. ВИРТУАЛИЗАЦИЯ.........................................507

ГЛАВА 19. ВИРТУАЛИЗАЦИЯ WINDOWS-СЕРВЕРА....................507

19.1.	КОНВЕРТИРОВАНИЕ ВИРТУАЛЬНЫХ МАШИН ИЗ ОДНОГО ФОРМАТА В

ДРУГОЙ................................................    508

19.1.1.	Преобразование из Hyper-V в VMWare...........508

Выбор конвертера.................................508

Установка модуля PowerShell для Hypcr-V . .....  509

Подготовка виртуальной машины....................510

Конвертирование с помощью HypervOVAConverter.....511

Конвертирование с помощью StarWind V2V Converter.512

19.1.2.	Перенос сервера из Ата гоп ЕС2 на виргуальную машину VMware.514

19	1.3. Перенос из Azure в VMWare..................516

Команда SaveAzure Vhd............................516

Несколько примеров...............................517

Конвертирование в формат VMDK....................517

19.2.	ВИРТУАЛИЗАЦИЯ WINDOWS-СЕРВЕРА..............................517

1	9.2.1. Преобразование в VMware ................... 517

VMware® vCenter Converter Standalone..........   517

Преобразование в формат OVF......................522

19	2.2. Утилита Disk2Vhd: преобразование в Hyper-V.  522

ГЛАВА 20. ВИРТУАЛЬНЫЙ СЕРВЕР НА БАЗЕ VMWARE
WORKSTATION........................................523

20.1.	УСТАНОВКА VMWARE...........................................524

20.2.	СОЗДАНИЕ ВИРТУАЛЬНОЙ МАШИНЫ................................527

20.3.	ВИРТУАЛИЗАЦИЯ ФИЗИЧЕСКОГО СЕРВЕРА..........................531

ГЛАВА 21. KVМ - БЕСПЛАТНОЕ РЕШЕНИЕ ДЛЯ ВИРТУАЛИЗАЦИИ. 533

21.1.	ЧТО ТАКОЕ KVM..............................................534

21.2.	У СТАНОВКА KVM............................................5.35

21.3.	СОЗДАНИЕ ВИРТУАЛЬНОГО СЕРВЕРА.......................  536

21.4.	СПИСОК КОМАНД V1RSH........................................540

СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ ИНФОРМАЦИИ......................540
Введение в виртуальные

серверы
Вопросы виртуализации и применения облачных технологий сами по себе
заслуживают написания отдельной большей книги. Поэтому, чтобы не рас-
пыляться, в самом начале книги мы рассмотрим несколько фундаменталь-
ных вопросов:

•	Физический или виртуальный сервер - в последнее время наблюдают-
ся тенденции переноса серверов, да и всей инфраструктуры предприятия,
в облако. Вполне возможно, что виртуальный сервер окажется предпо-
чтительным для вас.

•	Выбор гипервизора - если вы предпочитаете строить инфраструктуру
виртуализации самостоятельно, вам нужно задуматься о выборе гипер-
визора.

•	Вопросы преобразования виртуальных машин из одного формата в
другой - этому вопросу уделяется достаточно мало внимания, но от т ого
он не становится менее востребованным. Если предприятие переходит с
одного гипервизора на другой, становится вопрос преобразования вирту-
альных машин.


ВЛ. Виртуальные серверы

В.1.1.	Преимущества и недостатки

Пожар, кража, стихийное бедствие - все это не страшно, если ваш сервер
виртуальный. Просто физическое оборудование будет установлено в удален-
ном дата-центре, который, скорее всего, находится даже в другом городе и
охраняется гораздо лучше, чем ваш офис (физическая охрана, круглосуточ-
ный мониторинг).

Но эго далеко не единственное преимущество виртуального сервера. Следу-
ющее, что нужно учитывать, - простоту и дешевизну обслуживания Управ-
ление сервером, его конфигурацией осуществляется через удобную панель
управления, и вы можете в любой момент сотворить с ним все что угодно.
Например, модернизировать сервер, добавив модуль оперативной памяти
или дополнительный жесткий диск всего за пару кликов мышки.

Вам не нужно беспокоиться, что накопитель выйдет из строя - если это и
произойдет, то это проблемы провайдера, а вы сможете восстановить свою
виртуальную машину из бэкапа. О клонировании сервера нажатием одной
кнопки - отдельный разговор. Вам не нужно ни о чем заботиться - ни о
перепадах напряжения, ни об отключении электричества и т.д. Все это -
проблемы провайдера, которые будет решать именно он.

Из-за перепада напряжения, грозы или просто из-за возраста могут выйти из
строя довольно дорогие компоненты сервера - блок питания, оперативная
память, жесткие диски. Все это влечет за собой следующее:

•	Незапланированный многочасовой простой сервера (пока будут куплены
необходимые комплектующие, пока они будут установлены);

•	Финансовые потери, что следует из простоя;

•	Возможную потерю информации.

Также не нужно забывать о банальном отключении электропитания, потере
связи с Интернетом. Если второе интернет соединсние в большинстве слу-
чаев организовать не проблема, как и настроить автоматическое переклю-
чение на резервный канал в случае, если с основным что-то случится, то с
питанием - беда. Фермы UPS, способные обеспечивать многочасовое пита-
ние серверов, могут позволить себе далеко не все предприятия, а дизельные
генераторы можно размещать далеко не везде, учитывая нормы пожарной
безопасности

Что же касается виртуального сервера, то дата-центр уровня 3 (Tier III) га-
рантирует не более 1.6 часа простоя, при этом коэффициент отказоустой-
чивости составляет 99.982%. Дата-центр оснащен и резервным каналом, и
резервным питанием. Вам не нужно заботиться об этом, лучше сконцентри-
роваться на задачах предприятия, чем заниматься рутинными вопросами.

В таблице В.1 приводятся преимущества и недостатки физического и вирту-
ального серверов.

Таблица В.1. Преимущества и недостатки физического и виртуального
серверов

	Физический	Виртуальный
Преимущества	Настоящий компьютер из плат и проводов  Сразу доступны все ре- сурсы сервера  Более высекая произво- дительность  Больше дискового про- странства доступно	Гораздо дешевле физического сер- вера  Простота обслуживания, не нужен отдельный администратор в штате  Обеспечение работоспособности - не ваша проблема  Быстрое клонирование сервера  Быстрое создание "снимка" сервера, что позволяет восстановить сервер за считанные секунды  Простая модернизация сервера  Оплата только за используемые ре- сурсы, возможность быстро изме- нить конфигурацию сервера  В стоимость уже входит IP-адрес и интернет-канал

  ,
Недостатки	Значительно дороже при покупке и содержании  Всю сумму нужно пла- тить сразу  Требуется администра- тор именно сервера  Необходимо платить за colocation или обеспе- чивать самому надлежа- щие условия для работ ы сервера  Сложность модерниза- ции	Производительность немного ниже, чем у физического сервера  Нельзя увидет ь/пощуг.ать физиче- ски

ВЛ .2. Сгоимость виртуального сервера

Прежде чем говорить о стоимости виртуального сервера, нужно поговорить
о стоимости покупки и содержания физического сервера. Сгоимость физи-
ческого сервера составляет от 150 до 200 тысяч рублей, если мы говорим, ко-
нечно, о сервере, а не престо о мощном системном блоке, который зы будете
использовать в качестве сервера (здесь и далее все цены указаны приблизи-
тельно, так как в зависимости от конкретного времени и ситуации они могут
отличаться). Аналогию можно привести с грузовиком - в его кузове можно
перевозить людей, но он для этого, мягко говоря, не предназначен. Как пра-
вило, у сервера должен быть специальный корпус, позволяющий уст ановить
его в стойку, модули памяти с коррекцией ошибок, SAS-накопители и т.д.
Все это отражается на стоимости.

Кроме покупки самого сервера, не нужно забывать о его содержании. В сто-
имость содержания физического сервера входят следующие составляющие:

•	Стоимость программного обеспечения. Покупая виртуальный сервер, вы
автоматически покупаете и лицензию на право использования того или
иного программного обеспечения, например Microsoft Windows Server. В
случае с физическим сервером за "математику1' придется доплатить
•	Зарплата администратору. Б зависимости от уровня администратора и ва-
шего региона, эта сумма будет составлять 25-100 тысяч рублей в месяц.

•	Стоимость основного и резервного интернет-каналов В стоимость вир-
туального сервера уже входит один выделенный IP-адрес и канал со ско-
ростью 10 Мбит/с. И будьте уверены: канал резервируемый. Никто не
захочет, чтобы серверы клиентов остались без Интернета. Вам же для
своего физического сервера придется обеспечить резервный канал само-
стоятельно.

•	Стоимость электричества. Сервер оснащен блоком питания на 900 Вт
(при полной нагрузке). Стоимость электроэнергии несложно подсчитать
самостоятельно. Сюда же посчитайте затраты на кондиционирование по-
мещения, в котором стоит сервер. - ему нс должно быть слишком жарко,
что особенно актуально для летнего периода.

•	Стоимость системы резервного электропитания. Вы же не хотите, чтобы
работа вашей организации остановилась, если пропадет электричество?

Стоимость виртуального сервера зависит от его конфигурации. Рассмотрим
следующую достаточно простую конфигурацию:

•	4 ядра процессора Xeon Е5 с частотой 3 ГГц;

•	8 Гб ОЗУ;

•	320 Гб SAS-нако пи геля;

•	канал связи 30 Мбит/с;

•	Один выделенный 1Р-адрес.

Все это обойдется вам в менее чем 9 рублей в час или около 6000 рублей в
месяц. Это средняя стоимость, у некоторых провайдеров будет чуть дешев-
ле, у некоторых - чуть дороже (стоимость может сильно отличаться в зави-
симости от времени прочтения данной книги).

При работе с виртуальными серверами нужно помнить следующее:

•	Тарификация, как правило, почасовая. Вы можете отключать его на
ночь, если он вам не нужен. Например, если ваш сервер не является веб-
сервером, а используется как терминальный сервер для работы бухгал те-


ров с 1 С, его можно выключать на ночь и на выходные. 22 рабочих дня по
8 часов обойдутся вам всего в 1500 рублей в месяц.

•	Стоимость вир1уального сервера зависит от используемых ресурсов. Но
вы можете выделять ресурсы по мере необходимости. Это означает, что
вы можете купить сначала сервер с 6 Гб ОЗУ и 120 Гб накопителя, что
обойдется вам всего 4Д)0 р. в месяц. По мере необходимости вы можете
добавить ресурсы. Скажем, первые полгода вам будет достаточно этих
120 Гб, далее вы увеличите размер накопителя Этим вы сэкономите 9600
р. за полгода (6000 4400 = 1600 р./мес)

•	Вы можете возвращать неиспользуемые ресурсы в пул. Представим, что
у вас есть веб-сервер для интернет-магазина. Сейчас для него вы исполь-
зуете 8 Гб ОЗУ. Но на новогодние праздники нагрузка на ресурс увели-
чивается, и вы можете запросить более широкий канал, скажем, не 30, а
все 100 Мбит/с и дополнительный 4 Гб ОЗУ После того, как пик нагрузки
спадет, вы сможете вернуть "лишние" ресурсы в пул и гем самым сэко-
номить.

Даже если не считать стоимость содержания физического сервера, то только
одной стоимости физического сервера (напомню, от 150 тыс. руб.) вам хва-
тит на 25 месяцев использования виртуального сервера. Если же вы будете
экономить и выключать сервер, когда он вам не нужен, то стоимость его вряд
ли превысит 2000 p./мес., следовательно, этой суммы вам хватит на 75 ме-
сяцев. И заметьте: вам не н>жно выкладывать всю сумму сразу, вы платите
ежемесячно.

В.1.3. Какие серверы можно виртуализировать?

Виртуализировать можно все что угодно. Например, вы можете виртуали-
зировать сервер с 1С, чтобы обеспечить непрерывный доступ бухгалтеров к
базе данных предприятия, серзер для CRM, веб-сервер и т.д. Все зависит от
специфики вашего предприятия.

Вас никто не огранивает и с выбором облачных провайдеров, но вы не долж-
ны забывать о законодательстве. Если на серверах хранятся/обрабатываются
персональные данные пользователей, серверы должны находиться в преде-
лах РФ. Об этом нужно помнить, дабы не было никаких проблем.
В. 1.4. Преимущества собственной виртуальной
инфраструктуры

Не всегда можно размещать данные на серверах третьей стороны (в нашем
случае - на серверах дата-центра). Как минимум, это может быть запрещено
политикой компании. Но использовать преимущества виртуальной инфра-
структуры хочется. В этом случае ее, эту инфраструктуру, можно развернуть
самостоятельно. Да, это дорого, но если другого выхода нет, то почему бы
не попробовать.

В результате вы получаете все преимущества виртуализации:

•	Возможность создания и клонирования виртуальных машин. Вы може
те создать шаблоны виртуальных мест. Например, места разработчика.
Когда в компанию придет новый разработчик, подготовка его рабочего
места займет считанные минуты - вы создадите виртуальную машину
на основании шаблона разработчика, и он получит уже готовое рабочее
место с настроенным ПО.

•	Любую виртуальную машину в любой момент можно остановить, переза-
грузить, приостановить и возобновить ее работу.

•	Можно легко выполнить резервное копирование целых серверов.

•	Легкость в миграции виртуальных машин.

•	Возможность создавать снапшоты. Например, если нужно внести серьез-
ные изменения в рабочий сервер, вы можете перед этим создать снапшот.
Если что-то пойдет не так, откат (чтобы вернуть все, как было) займет
пару минут. С физическим сервером такого не выйдет.

В.2. Выбор гипервизора

Технологии виртуализации уже насчитывается более 30 лет. Сегодня вир-
туализация стала ключевой технологией IT и основой сервисов нового по-
коления. Существует множество продуктов виртуализации, и такое многооб-
разие заставляет задуматься: а какой продукт лучше?
Выбирать продукт виртуализации нужно, прежде всего, исходя из потреб-
ностей бизнеса. В одном случае будет хорош один продукт, в другом
- совершенно другой. Многие компании, ищущие решения для виртуали-
зации, выбирают между продуктами VMware, Hyper-V и KVM.

В.2.1.	Типы гипервизоров

Существует два типа гипервизоров.

Гипервизоры первого типа запускаются непосредственно на "железе" и не
требуют установки какой-либо операционной системы. Для работы гипер-
визоров второго типа нужна операционная система - через нее производится
доступ к аппаратной части. Считается, что производительность гипервизо-
ров первого типа выше, поскольку они работают напрямую с оборудовани-
ем.

Примеры гипервизоров 1-го типа: Hyper-V, KVM, ESXi.

Гипервизоры 2-го типа: VMware Workstation, Oracle Virtual Box, OpenVZ.
Нас интересуют только гипервизоры первого типа, так как вторые больше
подходят для индивидуального использования, чем в качестве решений
уровня предприятия.

Hyper-V и WMware - это проприетарные решения, и было бы правильнее
сравнивать именно их. Но есть также и решение с открытым исходным ко-
дом - KVM. Многие предприятия выбирают именно KVM, несмотря на то,
что некоторые независимые эксперты считают это решение довольно сы-
рым и непригодным на корпоративной кухне. Однако, согласно отчету
IT Central Station, 25% операторов связи и 11 % финансовых организаций
выбрали именно KVM. Так что это решение нельзя игнорировать.

Сначала мы рассмотрим проприетарные решения, а затем попытаемся
выяснить, стоит ли использовать KVM.

В.2.2.	Hyper-V или VMware?

Начнем с Hyper-V. Здесь нужно понимать, что есть Windows Server 2016/2019
со стандартной ролью Hyper-V и есть Hyper-V Server 2016/2019. Windows
Server 2016/2019 поставляется в двух редакциях - Datacenter и Standard. У
каждой из них есть роль Hyper-V. С точки зрения виртуализации обе ре-
дакции аналогичны, но есть нюансы, связанные с лицензированием. В ре-
дакции Standard по одной серверной лицензии можно поднять только две
виртуальных машины. В редакции Datacenter можно поднять любое коли-
чество виртуальных машин. В стандартной редакции тоже можно запустить
любое количество виртуальных машин, но это будет нс очень верно с точки
зрения лицензирования. С другой стороны, лицензируется не факт создания
виртуальной машины, а только ОС внутри виртуальной машины. Если нуж-
ны виртуальные Linux-серверы, го можно запустить любое их количество в
стандартной версии Windows Server. В 2016 году в лицензионной политике
Microsoft произошли изменения. Теперь стоимость лицензии на сервер за-
висит от количества ядер на физическом сервере.

Hyper-V Server 2016/2019 - специально для тех, кто не хочет платить за ги-
первизор. Никаких ограничений виртуализации, и при этом он абсолютно
бесплатный. Что-то невероятное, особенно когда речь идет о Microsoft. Но
есть и подводные камни:

1.	Нужно лицензировать все виртуальные машины, работающие под управ-
лением Windows.

2.	Отсутствует графический интерфейс, правда, есть удаленная консоль.

3.	Отсутствие поддержки производителя (но есть обновления)

Хорошего администратора не испугает ни отсутствие поддержки, ни гра-
фического интерфейса. А вот необходимость в лицензировании каждой
Windows-машины - это плохо. Иногда целесообразнее купить Datacenter -
гак будет выгоднее. С другой стороны, если планируете разворачивать толь-
ко Linux-серверы, то данное решение можно действительно назвать бесплат-
ным.

Теперь о VMware ESXi - ядре всех серверных решений виртуализации от
VMware. В отличие от VMware Workstation, ESXi - это не приложение, это,
можно сказать, операционная система, которая устанавливается на голое
оборудование. ESXi похож на Linux - те же команды, те же названия стан-
дартных каталогов, однако он работает полностью на собственном пропри-
етарном ядре VMkemel. Если вам интересно, информацию об этом вы може-
те найти в Сети.
Отдельно купить ESXi нельзя. Если вы хотите купить ESX1, вам нужно ку-
пить VMware vSphere 6. При этом лицензия покупается на каждый физиче-
ский процессор на физическом сервере. Оперативная память и число вирту
альных машин не влияют на стоимость.

Л есть что-то бесплатное? Да, VMware предлагает VMware ESXi Free или
VMware Free vSphere Hypervisor. Бесплатный VMware ESXi требует реги-
страции и может работать в режиме полной пробной версии 60 дней, после
этого нужно или мириться с ограничениями бесплатной версии, или же по-
купать полноценную.

На данный момент у бесплатною VMware Free vSphere Hypervisor нет огра-
ничений для хоста по процессорам и памяти. Зато есть ряд других О1рани-
чений:

•	API продукта доступны только на чтение

•	Виртуальная машина может иметь не более 8 vCPU.

•	Нельзя использовать вместе с Veeam для создания резервных копий

•	Не поддерживается подключение к vCenter Server.

•	Не поддерживаются технологии VM host live migration, VM storage live
migration, не поддерживается высокая доступность.

Обмануть судьбу не получится. Коммерческого решения на базе бесплатного
ESXi создать не выйдет.

Теперь немного цифр Таблица В.2 содержит сравнительные характеристики
гипервизоров MS Hypcr-V и VMware vSphere 6.5.

Таблица В.2. Сравнительные характеристики проприетарных гиперви-
зоров

Система	Ресурс	MS Hyper-V	Free  Hypervisor	Essential Plus	Enterprise Plus
Хост	Логические процессоры	512	576	576	576
	Физическая память, ТБ	24	4	4	12
	vCPU на 1 хост	2048	4096	4096	4096
	ВМ на 1 хост	1024	1024	1024	1024
	Вложенный гипервизор	+	+	+	+

№
Вирту- альная .машина (ВМ)	Виртуальные  CPU на 1 ВМ	240 для поко- ления 2 или 64 для поко- ления 1	8	128	128
	Макс. ОЗУ для  ВМ	12 Тб  для поко- ления 2 или 1 Тб для поко- ления 1	6128 Гб	6128 Гб	6128 Гб
	Макс, дисковое пространство	64 Тб для формата VDHX, 2040 Гб для VHD	62 Тб	62 Тб	62 Тб
	К-во дисков	256	60	60	60
Кластер	Макс, узлов	64	-	64	64
	Макс ВМ	8000	-	8000	8000

Как видите, по масштабируемости представленные гипервизоры очень похо-
жи. Free-версия, конечно, немного урезана - она не поддерживает кластеры,
и виртуальная машина может содерж-ать только 8 вир1уальных процессоров.
Но не это самое главное. Помимо "технических характеристик", нужно рас-
смотреть еще и функционал гипервизоров.

Основной недостаток Hyper-V не увидеть в таблице В.2. К сожалению, дан-
ный гипервизор до сих пор не поддерживает технологию USB Redirection,
которая используется для лроброса аппаратных USB-портов, что позволяет
подключать аппаратные USB-ключи к виртуальным машинам. Вместо нее
пытаются "сосватать" технологию Discrete Device Assignment, но это
несколько не то. К тому же Hyper-V пока не умеет "на лету" добавлять CPU.
Зато Hyper-V позволяет уменьшать размер диска, а не только увеличивать,
как VMware. Сравнение функционала приведено в таблице В.З.
Таблица В.З. Сравнение функиионала гипервизоров

Функция	MS Hyper-V	Ь гее Hypervisor	Essential Plus	Enterprise Plus
VM host live migration	+	-	+	+
VM storage live migration	+	-	-	+
QoS для храни- лища/сети	+	-	-	+
Проброс обору- дования	Discrete Device Assignment	PCI VMDirect- Path/ USB redi rection	PCI VMDi- rectPath/ USB redirection	PCI VM- DireetPath/ USB redirec- tion
Горячее добав- ление	Диски/vNIC/ ОЗУ	Диски/vNIC/USB	Диски/vNIC/ USB	Диски/ vNIC/USB/ CPU/ОЗУ
Горячее удаление	Диски/vNIC/ ОЗУ	Диски/vNIC/USB	Диски/vNIC/ USB	Диски/ vNIC/USB/ CPU
Изменение раз- мера диска	Уменьшение и увеличение	Увеличение	Увеличение	Увеличение
Шифрование ВМ	+	-	-	+

Функционал говорит за себя. Если нужен проброс USB-портов в виртуаль-
ную машину, то однозначно - только VMware, даже бесплатный С другой
стороны, если необходимо шифрование виртуальной машины, то, возможно,
дешевле будет использовать Hyper-V.

Кроме функционала самого гипервизора, нужно оценить еще и средства
управления. У каждого вендора есть свое решение для управления гипер-
визорами. Virtual Machine Manager (VMM) позволяет управлять серверами
Hyper-V, а именно: создавать, клонировать, развертывать виртуальные ма-
шины и многое-многое другое.

У VMware средство управления называется vSphere. vSphere подразумева-
ет использование ESXi-хостов и vCenter Server для их централизованною
управления

Какое средство управления более удобное - судить сложно. Все индивиду-
ально, кто к чему привык. Однако нужно понимать, что в случае с VMware
требуется обязательное наличие VMware vCenter, если вам нужен, напри-
мер, кластер. А вот Virtual Machine Manager (VMM) является опциональным
компонентом, который очень полезен, но совсем не обязателен.

Какой из гипервизоров лучше, сказать нельзя. Все зависит от того, что нуж-
но вам. В некоторых случаях, например, если нужен проброс USB, лучшим
выбором будет VMware - даже бесплатное решение поддерживает эту тех-
нологию. Но нс все готовы мириться с ограничением в 8 виртуальных про-
цессоров. В этом случае нужно или покупать Enterprise-версию, или же ис-
пользовать Hyper-V, который вообще бесплатный (а в случае с Linux даже не
придется покупать лицензии).

В любом случае, даже если вы почти определились с выбором, нельзя за-
бывать о полностью бесплатном KVM.

В.2.3, KVM

KviUl (Kernel-based Virtual Machine) - полное решение виртуализации
для платформ Linux/x86, поддерживающее аппаратные расширения
(Intel VT и AMD-V).

Изначально KVM поддерживал только процессоры х86, но современные
версии KVM поддерживают самые различные процессоры и гостевые ОС, в
том числе Linux, BSD, Solaris, Windows и др.

KVM — простой в использовании, легкий, нетребовательный к ресурсам
и довольно функциональный гипервизор. KVM позволяет в минимальные
сроки развернуть площадку виртуализации. Все Wiki-ресурсы (MediaWiki,
Wikimedia Foundation, Wikipedia, Wikivoyage, Wikidata, Wikiversity) исполь-
зуют именно это решение виртуализации.

Поскольку гостевые операционные системы взаимодействуют с гипервизо-
ром, который интегрирован в ядро Linux, у них есть возможность обращать-
ся напрямую к оборудованию без нужды изменения гостевой ОС. Благодаря
этому KVM считается довольно быстрым решением.

Конечно, KVM - не идеален, и у него есть тоже свои недостатки. Начнем с
того, что нет мощных средств для управления виртуальными машинами и
сервером KVM. Средства, конечно, есть, но они не соответствуют по функ-


ционалу аналогичным средствам для других гипервизоров. Одно из лучших
решений - SoiusVM - универсальная панель управления виртуальными сер-
верами K.VM, Хеп и OpenVZ

Также часто отмечают плохую стабильность гипервизора KVM при выпол-
нении разнообразных задач с интенсивным вводом-выводом. Именно
поэтому некоторые эксперты в сфере виртуализации и называют K.VM сы-
рым решением, которое больше подходит для экспериментов, чем для кор-
поративного применения.

Гипервизор Hyper-V более стабилен, специальные средства миграции вир-
туальной машины в нем надежнее, эффективнее применяется оборудование,
нежели в Linux-KVM. Платформа Microsoft Azure построена на Hyper V, и
это говорит о многом .

В.2.4.	Что выбрать?

Следующие небольшие тезисы помогут вам сделать правильный выбор:

1	VMware - самое дорогое решение, Hyper-V - дешевле (или при исполь-
зовании Hyper-V Server и виртуальных машин с Linux - вообще бесплат-
ное), KVM - изначально бесплатное.

2.	Подсчитывая стоимость системы виртуализации, нужно учитывать еще
и стоимость лицензий программного обеспечения, которое будет уста-
новлено в виртуальных машинах. Именно поэтому Hyper-V значительно
дешевле VMware - при использовании VMware вам все равно придется
покупать лицензии на гостевые ОС.

3.	Hyper-V значительно дешевле и производительнее в гиперконвергентных
решениях.

4.	Таблица В.2 - сугубо информативная, большинство пользователей не
столкнутся с этими ограничениями, и ее не нужно учитывать при выборе
гипервизора. Самое жесткое ограничение - у свободной версии ESX'.

5.	У VMware есть Fault Tolerance, у Microsoft - пока нет. Если эго для вас
важно, задумайтесь над VMware.

6.	У VMware лучше VDI, но у Microsoft организация VDI будет дешевле

7. Hyper-V менее требовательный к ьжелезу"
8.	Хранилище для HyperV дешевле, поскольку VMware тесно связан по ру-
кам и ногам HCL, a Hyper-V может использовать любой SMB 3.0 ресурс
для хранения.

9.	Hyper-V Server - это гипервизор Hyper-V, поставляемый с Соге-версией
Windows без графического интерфейса. Ограничений в нем никаких нет
(в отличие от бесплатной версии VMware), вы можете включить его в до-
мен, управлять им с помощью System Center, бэкапить и т.д. (в отличие от
бесплатного vSphere).

10.	В Hyper-V нет средств вроде Distributed Resource Scheduler или же Storage
DRS, которые в VMware используются для балансировки нагрузок между
ресурсами хостов.

11.	SCVMM в Hyper-V открывает возможности, выходящие за рамки про-
стой серверной виртуализации. Вы можете создавать частные облака.

12.	K.VM - самый неприхотливый к ресурсам гипервизор. Эго нужно учиты-
вать при разработке бюджетных решений виртуализации.

13.	Для KVM можно также использовать интерфейс управления Virsh и GUI-
ин герфейс virtmanager.

14.	Службы поддержки у KVM нет. Если что-то не получается, вы можете
рассчитывать только на сообщество. Впрочем, поддержки нет и у бес-
платного Hyper-V Server.

15.	Существует коммерческий вариант KVM - RHEV (Red Hat Enterprise
Virtualization).

Какой бы выбор вы ни сделали, он будет правильным в вашем случае.

В.З	. Виртуальный сервер: содержание

В.3.1. Сколько стоит физический сервер

Возьмем средней конфигурации физический сервер. Ничего примечательно-
го, пусть это будет HP Proliant DL18G. Конфигурация весьма посредственная
-	8 ядер на Xeon Sliver 4208 2,1 ГГц (не самый мощный Хесп), 16 Гб ОЗУ и
нет ни одного накопителя - их придется купить отдельно. Цена такого вари-
анта (на данный момент) - 201635 рублей.

Добавьте к этому стоимость 1 или 3 накопителей. В двух накопителях осо-
бо нет смысла, поскольку RAID-массив с чередованием вы не построите из
двух дисков, разве что в режиме зеркалирования, когда второй диск будет
точной копией основного диска, но это очень нерационально с точки зрения
расходования ресурсов. Но, тем не менее, такая защита данных лучше, чем
вообще ничего.

Посмотрим, сколько стоят серверные накопители. Здесь все зависит от со-
вести администратора и жадности руководства. Если устанавливать то, что
действительно является серверным диском, а не только называется им, то
цена будет около 15 000 рублей за один диск. За эти деньги вы получите
SAS-диск со скоростью вращения шпинделя 15 000 об/мин, с буфером 16
Мб, но емкостью всего 300 Гб - это вполне нормально для сервера. Конечно,
можно купить обычный SATA-диск со скоростью вращения 7200 об/мин и
ценой 7000 рублей. При этом емкость этого диска будет составлять не 300
Гб, а 1 Тб Если скорость и надежность для вас - не пустой звук, то выбери-
те первый вариант, если же на первом месте экономия - то второй вариант
будет предпочтительнее.

При выборе диска нужно обращать внимание на следующие характеристики:

•	Форм-фактор - наш сервер поддерживает 3.5" диски, поэтому подбира-
емые под него диски должны быть в этом форм-факторе. Другие (2.5") не
подойдут.

•	Интерфейс - наш сервер поддерживает интерфейсы SAS и SATA. Неко-
торые серверы не поддерживают SATA, об этом нужно помнить. Некото-
рые, наоборот, не поддерживают SAS.

•	Скорость вращения шпинделя - чем выше скорость вращения, тем
быстрее будет работать диск. Для сервера нужно подбирать диски со ско-
ростью вращения от 10 000 оборотов в минуту.

•	Размер буфера - чем выше размер буфера, тем быстрее будут происхо-
дить операции записи данных. В то же время тем больше данных вы по-
теряете, если произойдет какой-то сбой до того, как все эти данные будут
перемещены из буфера на сам диск. Мы выбрали диск с небольшим буфе-
ром на сегодняшний день - 16 Мб. Но есть в продаже более продвинутые

*
накопители с размером буфера 128 Мб, правда, и емкость там около 2 Тб,
и цена совсем другая.

•	Состояние -- как ни странно, но обязательно обращайте внимание на
состояние (новый или б/у) покупаемого диска. На том же Яндекс.
Маркете можно найти б/у SAS-диски но цене от 4000 рублей. Гаран-
тии на такие диски, как правило, или нет вообще, или символическая
гарантия 1-3 месяца. Как они будут работать в будущем - никому не
известно. Скорее всего, они свой ресурс уже отработали, их заменили
новыми, а старые - продают. Особенно на других досках объявлений
веселят объявления "серверы из Европы" или "компьютерная техника
из Европы". Жесткие диски изнашиваются из-за вращения, а не из-за
своего месторасположения.

Итак, пусть разум победил над желанием сэкономить и вы остановились на
варианте за 15 000 рублей, но все-таки желание сэкономить присутствовало,
поэтому вы купили два, а не три диска, решив, что 300 Гб суммарного
пространства будет достаточно. В принципе да, если нс заниматься обработ
кой видео и не хранить фотографии тысяч пользователей, то для организа-
ции того же интернет-магазина такого пространства хватит с запасом.

Считаем стоимость сервера:

201635 + 15000 х 2 = 231635

Для обеспечения бесперебойной работы сервера нам нужно помещение с
кондиционером. Будем считать, что таковое имеется, и не будем включать
его в затраты. Стоимость резервного интернет-канала не так высока, и гоже
спишем это на прочие затраты организации, тем более что резервный канал
пригодится не только для сервера, но и для всего офиса А вот о резервном
питании нужно поговорить отдельно.

Выбору ИБИ посвящаются довольно большие и глубокие статьи, в которые
нужно вникать. У нас сейчас другая задача - просчитать примерно, сколько
часов наш сервер сможет проработать от ИБП и узнать стоимость такого
ИБП.

Стоимость серверных ИБП может доходить до 1 млн рублей и даже больше.
Нам, конечно же, такие не нужны, но стоимость "бссперебойника" все равно
будет достаточно высокой.
Мощность источника бесперебойного питания для IT-оборудования опреде-
ляется по тому же принципу, что и для любой другой техники. Необходимо
просуммировать мощности всех подключаемых к устройству потребителей
и сверх этого заложить запас, компенсирующий возможные эксплуатаци-
онные перегрузки (актуальное значение - 30%). Подбор подходящего ИБП
производится по полученному в результате вышеуказанных действий значе-
нию (с округлением в большую сторону).

В технической документации и на заводских этикетках 1Т-оборудования
часто указывается максимальная мощность блока питания, а не действи-
тельное энергопотребление устройства. Рекомендуется уточнить реальную
мощность, погребляемую нагрузкой, данные можно запросить у произво-
дителя либо произвести самостоятельные замеры с помощью электроизме-
рительной аппаратуры (мультиметры, ваттметры).

Номенклатура (мощностные линейки) большинства производителей ИБП
строится на основе полной мощности, измеряемой в вольт-амперах - ВА.
Если мощность электрической нагрузки представлена только в ваттах - Вт
(активная мощность), то перевод в вольт-амперы осуществляется делением
на коэффициент мощности - Р (может обозначаться как coscp или PF), рав-
ный для простейшего ГГ-оборудовапия — 0,6-0,8.

Современное серверное и сетевое оборудование может быть оснащено бло-
ком питания с коррекцией коэффициента мощности (PFC), приближающей
его значение к единице - 0,99. Если уверенности в наличии данной функции
нет, то применяется типовое значение из указанного интервала.

Обратите внимание - в характеристиках источника бесперебойного питания
указываются входной и выходной коэффициенты мощности, зависящие от
электронной схемы самого устройства:

•	Входной — отражает влияние ИБП на внешнюю сеть и не имеет прямого
отношения к подключаемой нагрузке.

•	Выходной — необходим при определении максимальной нагрузки в ват-
тах, которую устройство способно запитать, для этого умножаем полную
мощность ИБП на выходной коэффициент мощности.

Расчет полной мощности защищаемой техники следует проводить, исполь-
зуя соответствующий ей коэффициент мощности, а не значения входного и
выходного коэффициентов ИБП (на практике coscp прописывается в руковод-
стве по эксплуатации большинства потребителей электрической энергии)!
Полная (ВЛ) и активная мощность (Bi) правильно выбранного ИБП должна
быть не меньше соответствующих мощностей подключенных электропри-
емников, а для гарантированно надежной работы - превышать их. Вычис-
лить примерное время работы от ИБП можно по ссылке http://proline.biz.ua/
calculaxor-ups-tiine-count. Для расчета времени вам нужно указать:

•	Среднюю потребляемую мощность - нужно учитывать нс только мощ-
ность блока питания (точнее, потребляемую мощность) сервера, но и
другого оборудования, которое будет подключено к ИБП. Помните о 30%.
Если вы вычислили, что средняя потребляемая мощность будет 700 Вт,
добавим еше 30%. получим 910 Вт.

•	Суммарная емкость аккумуляторов - укажите емкость ИБП, планируемо-
го к покупке. Пусть это будет 1000 Л/час.

•	Остальные параметры оставьте по умолчанию, если вам не понятно их
назначение, нажмите вопросительный знак возле названия параметра.

Получится, что при средней потребляемой мощности в 910 Вт и суммарной
емкости аккумуляторов 1000 А/ч наше оборудование сможет проработать 7
часов 11 минут. Вполне солидно - за это время смогут отремонтировать воз-
никшие проблемы с электропитанием.

Теперь попробуем подобрать ИБП. Поскольку мы не планируем менять ба-
тареи раз в год, то лучше покупать ИБП с небольшим запасом, чтобы плани-
ровать старение батарей. Неплохим вариантом будет ИБП АРС SMC 15001-
2U Smart-UPS С 1500VA (1500 ВА/900 Вт). Цена 136 600 рублей за именно
серверный ИБП с возможностью горячей замены батарей (без выключения
оборудования) и возможностью установки в стойку, это действительно не-
много.

Получилось 368 235 рублей - без стоимости обеспечения охраны помеще-
ния, организации видеонаблюдения и т.д.

В.3.2.	Стоимость содержания физического сервера

Стоимость содержания физического сервера состоит из следующих факто-
ров:
•	Стоимость основного и резервного интернет-каналов. В стоимость
виртуального сервера уже входит один выделенный IP-адрес и канал со
скоростью 10 Мбит/с. И будьте уверены: канал резервируемый. Никто
нс захочет, чтобы серверы клиентов остались без Интернета. Вам же для
своего физического сервера придется обеспечить резервный канал само-
стоятельно и платить за оба канала.

•	Стоимость электричества. Мы уже посчитали, что будем потреблять
900 Вт (при средней нагрузке). На практике эта цифра может быть выше.
Стоимость электроэнергии несложно подсчитать самостоятельно. Сюда
же посчитайте затраты на кондиционирование помещения, в котором сто-
ит сервер - ему не должно быть слишком жарко, что особенно актуально
для летнего периода.

•	Сюимосгь охраны серверной комнаты. Охрана может осуществляться
как собственными силами (в этом случае будут расходы на зарплату ох-
ранникам), так и путем подключения к пульту охранного предприятия. В
любом случае за физическую безопасность оборудования нужно платить.

•	Амортизация оборудования. Ваше железо - это ваше железо. Гаран-
тийный срок составляет 12-24 месяца в зависимости от производителя
оборудования. Даже именитые вендоры вроде HP редко предоставляют
более длительную гарантию. По истечении гарантийного срока любые
комплектующие могут выйти из строя. Как правило, первыми выходят со
строя блоки питания, модули оперативной памяти и жесткие диски. Это
группа риска. Так что можете включить в будущие расходы стоимость пе-
речисленных компонентов. Также добавьте время простоя - пока вы ку-
пите и установите "железо", может пройти несколько часов, а то и дней.
Для кого-то это допустимо, а кто-то может потерять сотни тысяч рублей
прибыли (например, если идет речь о популярном магазине).

Другими словами, есть постоянные затраты, которые вам придется нести
каждый месяц.

В.3.3.	Варианты снижения стоимости владения

Стоимость владения можно снизить:
•	Размещение сервера в дата-ценз ре (colocation) - если сервер уже ку-
плен, его можно разместить в дата-центре. Да, ваш сервер будет физиче-
ски размещен в дата-центре. При этом вам не нужно платить ни за охрану,
ни за электричество, ни за кондиционирование. Вам не нужно заботиться
о резервном канале, об ИБП и т.д. Обо всем этом позаботится провайдер
- и о резервировании канала, и о бесперебойной работе сервера И все
это стоит от 3 до 5 тысяч рублей в месяц. Средняя стоимость размещения
1 юнита с выделенным каналом 100 Мбит/с составляет 3000 рублей в
месяц.

•	Аренда виртуальною сервера - если сервера пока нет, гораздо дешевле
арендовать виртуальный сервер. Средняя стоимость сервера средней кон-
фигурации (4 ядра по 2.8 ГГц, 8 Гб ОЗУ, 100 Гб накопителя) составляет
1790 рублей. Когда ваш проект выйдет за эти рамки, вы можете арендо-
вать виртуальный сервер, приближенный по конфигурации к нашему фи-
зическому (8 ядер по 2.8 ГГц, 16 Гб ОЗУ, 260 Гб накопителя), - он стоит
в среднем 3600 рублей.

•	Виртуализация физическою сервера - если сервер уже настроен, вы
оценили стоимость затрат на его содержание, йогом посмотрели на стои-
мость colocation и поняли, что она всего лишь на 600 рублей дешевле сто-
имости необходимой вам конфигурации сервера. Решение правильное.
Далее будет показано, как виртуализировать физический сервер.

Примечание. Если разместить свой физический сервер в ДЦ, то у
вас становится гораздо меньше головной боли и из всех расходов
остается стоимость colocation, стоимость ПО (если нужно) и зарпла-
та администратору (именно тому человеку, который будет отвечать
за здоровье железа сервера). Конечно, спустя два года добавится и
стоимость технического обслуживания. Гарантия на узлы сервера со-
ставляет как раз 2 года, а в составе сервера есть много механических
частей, которые могут выйти из строя, - вентиляторы, жесткие диски
ит.д.

iHiitiiiiitiiiiiiiiuiiiiiiiiiiniiiiiiiMiitiiiiiiiiiiiiiiiiuiiiiiiiiMiiiiiiiiiiiiiiiiiiiiHiiiiiHiiiiiiiniiiiHiiiiiiiiiiiiiiMiiiiiuiiMiiiiHiiHiiiiiiiimiiiiumiiHiiiiNuiuHiiiHiHHiitiiuHiiiniiiiiiiiiHiitHiimiimiimutiwiHiimiinuiHiiiNunM

В.3.4.	Что лучше? Муки выбора

У виртуального сервера есть свои преимущества. Одно из них - простота
обслуживания. Администратор сервера не нужен как таковой, поскольку
управление сервером, его конфигурацией осуществляется через удобную
панель управления, и вы можете в любой момент сотворить с ним все что
угодно. Например, модернизировать сервер, добавив модуль оперативной
памяти или дополнительный жесткий диск всего за пару кликов мышки.
Все это не требует каких-либо знаний и навыков, и справиться с подобными
задачами может любой пользователь, владеющий компьютером Также ав-
томатически создаются резервные копии сервера (или за дополнительную
плату, или бэкапы уже входят в тариф) и все, что нужно вам, - это настроить
их периодичность.

Также у вас не будет никаких волнений относительно выхода из строя ком-
понентов сервера - если даже что-то и выйдет из строя, то, скорее всего, об
этом вы не узнаете. Во-первых, это проблемы провайдера, во-вторых,
современные системы обеспечения отказоустойчивости, применяемые в
дата-центрах, позволяют минимизировать возможные простои в работе сер-
веров в случае выхода "железа" из строя.

Отдельного внимания заслуживает возможность создания снапшотов -
моментальных снимков сервера Например, вы настраиваете сервер и перед
настройкой делаете снапшот. Если что-то пойдет не так, за считанные мину-
ты вы сможете вернуть все, как было. Да, хранение снапшотов - это платная
функция, но она гою стоит.

Клонирование сервера - это еще одна функция, которая достанется вам в
виде приятного бонуса, если вы арендуете виртуальный сервер Обычным
пользователям она редко нужна, но пригодится интеграторам, которые про-
дают типичные серверы своим клиентам. Все, что вам нужно, - сначала
создать эталонный сервер, а затем клонировать его для каждого клиента.
Максимум, что понадобится, - изменить некоторые настройки, ориентире
ванные на клиента. Но это гораздо быстрее, чем создавать подобный сервер
с нуля.

Арендовать виртуальный сервер в большинстве случаев выгоднее, .проще и
удобнее, чем связываться с физическим сервером. Сегодня, по сути, физи-
ческое оборудование имеет смысл приобретать, если вы сами планируете
предоставлять виртуальные серверы в аренду. Во всех остальных случаях
можно обойтись виртуальным сервером.

Но есть и совершенно другие причины заполучить виртуальный сервер,
например тестирование. Пусть у нас есть работающий сервер и нам нужно
создать его виртуальную копию для всевозможных экспериментов. Такую
копию можно отдать, предположим, разработчикам ПО, чтобы нс вносить
непроверенные изменения в production-сервер Тогда разработчики могут
работать с виртуальным сервером, а вы будете спокойны, что ничего не сло-
мается. Как только все будет готово, можно будет перенести на production-
сервер измененные файлы. Покупать ради такого VDS не очень оправдано,
поскольку он стоит денег. Ведь можно уже на имеющемся сервере развер-
нуть виртуальную машину и предоставить к ней доступ разработчикам. При
этом для вас данная операция будет совершенно бесплатной, если не считать
времени, затраченного на ее реализацию. Ну, почти бесплатной - если буде-
те использовать бесплатное решение.

В большинстве случаев выбор гипервизора зависит от бюджета и от личных
предпочтений администратора. Например, администратору нравится VM-
ware, но нет средств на его покупку, поэтому придется использовать бесплат-
ное решение. Или уже используется какой-то гипервизор, тогда есть смысл
использовать именно его, а не разворачивать еще один. В последних двух
главах книги будет показано, как создать виртуальный сервер на базе ком-
мерческого решения - VMware, а также бесплатного гипервизора -- KVM.
Глава 1.

Управление серверами на
базе Windows Server
Microsoft Windows Server 2019 — мощная, универсальная и по дисфункцио-
нальная серверная операционная система от Microsoft. В Microsoft уделяют
много внимания обратной совместимости, поэтому работа с предыдущими
версиями (Windows Server 2012 и Windows Server 2016) во многом схожа,
в том числе в управлении, настройке средств безопасности, сеги и средств
хранения данных. Поэтому большую часть информации о Windows Server
2019 можно применить и к более старым выпускам этой ОС.

1.1. Знакомство с Windows Server 2019

Существуют различные выпуски Windows Server 2019. Все они поддержива-
ют мнегоядерные процессоры. Важно указать, что компьютер может иметь
всего лишь один процессор (будем называть его физическим процессором),
но у него может быть восемь ядер (так называемые логические процессоры).

Если говорить о версии 2019, то существует три выпуска - Datacenter,
Standard и Essentials. Вкратце особенности этих выпусков приведены а табл
1.1.

Таблица 1.1. Особенности выпусков Windows Server

Выпуск	Подходит для	Компоненты	Модель лицензирования
Datacenter	Среды частного и общедо- ступного облака с высоким уровнем виртуализации	Полный набор функци- ональных возможностей Windows Server с неогра- ниченным количеством виртуатьных экземпляров	Ядро + CAL'

1	Client Access License - клиентская лицензия, позволяющая клиентам подключаться к серверу и использовать его сервисы

..................... ........................................................................
Standard	Среды низкой плотности или невиртуализированной среды	Полный набор функци- ональных возможностей Windows Server с двумя виртуальными экземпля- рами	Ядро + CAL
Essentials	Среды малого бизнеса для серверов, имеющих не бо лее двух процессоров	Упрощенный интерфейс, предварительно настроен- ное взаимодействие с об- лачными службами, один виртуальный экземпляр основных компонентов	Сервер (о!раниче- ние в 25 пользова- телей)

Примечание. Если вас интересуют подробности и вы желаете
больше различных цифр и опций, посетите следующую страничку
https://docs.niicrosoft.com/en-us/windows-server/get-started-19/editions- |
comparison-19.	I

Windows Server 2019 — строго 64 разрядная операционная система (по сути,
она является полностью 64-разрядной, начиная с версии 2012). Поскольку
различные выпуски Windows Server поддерживают те же самые базовые
компоненты и обладают одинаковыми инструментами управления, допу-
скается использовать методы, обсуждаемые в этой книге, независимо от ис-
пользуемого выпуска Windows Server.

После установки ОС Windows Server нужно настроить систему в соответ-
ствии с ее ролью в сеги:

•	Серверы — обычно являются частью рабочей группы или домена;

•	Рабочие группы — группы компьютеров, в которых каждый компьютер
управляется отдельно;

•	Домены — группы компьютеров, которыми можно упразлять коллектив-
но г.ссредством контроллеров доменов, в роли которых может выступать
система на базе Windows Server. Такие системы управляют доступом к
сети, базе данных каталога и общим ресурсам.
1.2.	Контроллеры домена, обычные серверы и
службы домена

При установке Windows Server 2019 на новую систему можно настроить как
обычный сервер (например, веб-сервер или файловый сервер), так и
контроллер домена или автономный сервер. Важно понимать разницу меж-
ду этими типами серверов. Рядовые серверы являются частью домена, но не
хранят информацию каталога. Контроллеры домена отличаются от рядовых
серверов тем, что хранят информацию каталога, производят аутентифика-
цию и предоставляют сервисы для домена. Автономные серверы не явля
ются частью домена. Поскольку у авт ономных серверов собственные базы
данных, они требуют отдельной аутентификации.

1.2.1.	Работа с Active Directory

41Ш11111Ш1Ш11111Ш1ШШ1Ш11Ш11Ш111Ш11Ш111111Ш1т11т11Ш11Н11111Ш1Ш11иш1Ш1111шт11т11М1111Ш111Ш11ПШ11Ш1111Ш111Ш11т11Ш11111Ш111Ш11111Ш111т1111Ш1Шпи1Пшт1111шт111НШ11Ш1Ш^

; Операционная система Windows Server поддерживает модель репли-
кации с несколькими хозяевами (multi-master), подразумевающую,
что любой контроллер домена может обрабатывать изменения ката-

I лога, затем эти изменения могут реплицироваться между остальными
контроллерами домена автоматически.

4llinNIIHNIIIIIIIIIINIIIIIIIIIIIIIIIMIIIIIIIIIIIIIMIIUIIIIIIIIIIIIIMIinillllMIIIHIIinillllllllllllllNIINIIUIIIINIIINIIIIN1llimilllinilllinilllllllllllHimilimilllllllll>INIimUIIIHIIMIIIMIiniinillNIIIIIUIIIIIMIIIIHIINIIIIIIIIIIIIIUIin

Window's Server распространяет всю информацию каталога, называемую
хранилищем данных. Внутри хранилища находятся наборы объектов, пред-
ставляющих учетные записи пользователя, группы, компьютера, а также ин-
формация об общих ресурсах — серверах, файлах и принтерах

Домены, использующие Active Directory, также называются AcliveDirectory-
доменами Хотя эти домены могут работать только на одном контроллере до-
мена, обычно в сети есть несколько контроллеров. В этом случае если один
контроллер будет недоступен, остальные контроллеры домена смогут обра-
батывать аутентификации и выполнять другие критические задачи.

Функциональность каталога обеспечивается целым семейством связанных
служб:
•	Службы сертификатов Active Directory (Active Directory Certificate
Services, AD CS). Предоставляют функциональность, необходимую для
выпуска и освобождения цифровых сертификатов пользователей, кли-
ентских компьютеров и серверов. Служба AD CS использует центры
сертификации (СЛ), ответственные за подтверждение идентификации
пользователей и компьютеров, а также за выпуск сертификатов под-
тверждения этих идентификационных данных. Домены обладают корпо-
ративными корневыми сертификационными центрами, которые являются
сертификационными серверами на вершине сертификационной иерархии
для доменов и пользуются наибольшим доверием в корпоративной сети,
и подчиненные центры сертификации, которые являются членами суще-
ствующей корпоративной сертификационной иерархии. Рабочие группы
имеют свои собственные автономные корневые сертификационные цен-
тры, являющиеся сертификационными серверами на вершине некорпора-
тивной сертификационной иерархии, а также автономные подчиненные
центры сертификации, которые являются членами существующей некор-
поративной сертификационной иерархии.

•	Доменные службы Active Directory (Active Directory Domain Services,
AD DS). Предоставляют службы каталогов, необходимые для установки
домена, включая хранилище данных, в котором содержится информация
об объектах в сети. Служба AD OS использует контроллеры домена для
управления доступом к сетевым ресурсам. Как только пользователи ау-
тентифицировали себя при входе в домен, их учетные записи получают
доступ к ресурсам сети. Для краткости данную службу в этой книге мы
будем называть просто Active Directory (AD), поскольку она является ос-
новной для работы каталога.

•	Службы федерации Active Directory (Active Directory Federation
Services, AD FS). Дополняют функции аутентификации и управления
доступом AD DS, расширяя их до WWW. Как только служба AD FS
настроена, пользователи могут использовать свои цифровые идентифи-
кационные данные для аутентификации в Web. Доступ к внутренним веб-
приложениям осуществляется с помощью веб-браузера.

•	Службы Active Directory облегченного доступа к каталогам (Active
Directory Lightweight Director)' Services, AD LDS). Предоставляют хра-
нилище данных для каталогозависимых приложений, которые не требу-
ют AD DS и которые не должны размещаться на контроллерах доменов
AD LDS не выполняется как служба операционной системы и может ис-
пользоваться как в домене, так и в рабочей группе. Каждое приложение,
которое работает на сервере, может иметь свое хранилище данных, реа-
лизованное с помощью AD LDS.

• Службы управления правами Active Directory (Active Directory Right
Management Services, AD RMS). Предоставляют уровень защиты ин-
формации организации, которая может распространяться за пределы кор-
поративной сети, например, сообщения e-mail, документы, веб-страницы
интрасети — все это может быть защищено от несанкционированного
доступа. Служба AD RMS использует: сервис сертификации для выпу-
ска правильных сертификатов учетных записей, позволяющих иденти-
фицировать пользователей, группы и сервисы; службу лицензирования,
предоставляющую авторизированным пользователям, группам и серви-
сам доступ к защищенной информации; сервис протоколирования, чтобы
контролировать и обслуживать службу управления правами. Как только
доверие будет установлено, пользователи с правильным сертификатом
учетной записи смогут получить права на доступ к информации, опреде-
ляющие, какие пользователи могут получить доступ к информации и что
они смогут с ней сделать.

1.2.2.	Контроллеры RODC

Контроллер домена только для чтения — дополнительный кон-
троллер домена, содержащий копию хранилища данных AD, доступ-
I ную только для чтения. RODC идеально подходит для филиалов, где
не гарантирована физическая безопасность контроллера домена.

За исключением паролей, на RODC хранятся те же объекты и атрибуты, что
и на обычном (перезаписываемом) контроллере домена. Эти объекты и атри-
буты реплицированы в RODC посредством однонаправленной репликации
от перезаписываемого контроллера домена, который работает как партнер
по репликации.

Поскольку RODC по умолчанию не хранят пароли или учетные данные,
кроме их собственной учетной записи компьютера и цели Kerberos (Kerbe-
ros Target), RODC получает учетные записи пользователя и компьютера от
перезаписываемого контроллера домена, который работает под управлением
Windows Server. Если это разрешено политикой репликации пароля, задан-
ной на перезаписываемом контроллере домена, RODC получает и кэширует
учетные записи по мерс необходимости, пока эти учетные данные не изме-
нятся. Поскольку на RODC хранится только подмножество учетных запи-
сей, это существенно сужает число учетных данных, которые могут быть
с компрометирован ы.

1.2.3.	Перезапускаемые доменные службы

Перезапускаемые доменные службы Active Directory (Restartable
Active Directory Domain Services) — функция, позволяющая админи-
стратору запускать и останавливать AD DS.

Служба Доменные службы Active Directory (Active Directory Domain
Services) позволяет легко остановить и перезапустить AD DS, как и любую
другую службу, которая локально запущена на сервере. Пока служба До-
менные службы Active Directory остановлена, можно выполнить задачи
по техническому обслуживанию, которые могут потребовать перезапуска
сервера, например оффлайн-дефрагментацию базы данных Active Directory,
применение обновлений операционной системы или инициирование авто-
ритетного восстановления. При остановленной службе Доменные службы
Active Directory на сервере другие контроллеры домена moi ут обрабатывать
задачи аутентификации и входа в систему. Кэшируемые учетные данные,
смарт-карты и биометрические методы входа в сис гему все еще будут рабо-
тать. Если же в сети нет других доступных контроллеров домена, ни один из
этих методов входа в систему работать не будет. Однако все еще можно будет
войти в систему сервера, используя режим восст ановления служб каталогов
(Directory Services Restore Mode).

Контроллеры домена под управлением Windows Server могут находиться в
одном из трех состояний:

1.	Active Directory запущен — в этом состоянии контроллер домена может
предоставлят ь услуги аутентификации и входа в систему для домена.

2.	Active Directory остановлен — Active Directory остановлен, и контрол-
лер домена больше не может предоставлять услуги аутентификации и
входа для домена. В этом режиме сохраняются некоторые характеристи-
ки рядового сервера и контроллера домена в режиме DSRM (Directory
Services Restore Mode). Как рядовой сервер, этот сервер может присоеди-
няться к домену. Пользователи могут входить интерактивно с помощью
кэшированных учетных данных, смарт-карт и биометрических методов
входа. Пользователи также могут входить по сети с использованием дру-
гих контроллеров домена. База данных Active Directory на локальном кон-
троллере домена находится в отключенном состоянии. Это означает, что
можно выполнять оффлай н-операции AD DS, например дефрагментацию
базы данных, обновление приложений без необходимости перезагрузки
контроллера домена.

3.	Режим восстановления службы каталогов (Directory Services Restore
Mode) — Active Directory в режиме восстановления. В этом режиме раз-
решается проводить авторитетное или неавторитетное восстановление
базы данных Active Directory.

1.3.	Инструменты управления Windows Server

Для администрирования системы Windows Server доступно много инстру-
ментов. Большинство утилит входит в состав следующих инструментов:

•	Панель управления — содержит набор утилит для управления конфигу-
рацией системы. Организовать список этих утилит можно разными спо-
собами.

•	Графические инструменты администратора — ключевые утилиты для
управления сетевыми компьютерами и их ресурсами. Получить доступ к
этим утилитам можно через программную группу Администрирование.

•	Административные мастера — утилиты, предназначенные для автома-
тизации ключевых задач администратора. Доступ к большинству таких
утилит можно получить с помощью Диспетчера серверов — основной
административной консоли Windows Server.

•	Утилиты командной строки — многие утилиты администратора можно
запустить из командной строки.

44J
L4. Консоль ’’Дисне । мер серверов”

Для осуществления базовых задач системного администрирования исполь-
зуется консоль Диспетчер серверов (Server Manager). Эта консоль (далее
просто — Диспетчер серверов) позволяет произвести общую настройку и
задать параметры конфигурации локального сервера, управлять ролями,
компонентами на любом удаленно управляемом сервере предприятия.

Задачи, которые можно выполнить с помощью Диспетчера серверов, тако-
вы:

•	Добавление серверов для удаленного управления;

•	Инициирование удаленных соединений к серверам;

•	Настройка локального сервера,

•	Управление установленными ролями и компонентами;

•	Управление томами и общими ресурсами;

•	Настройка объединения сетевых адаптеров NIC (Network Interface Card);

•	Просмотр событий и предупреждений;

•	Перезапуск серверов.

Рис. 1.1. Диспетчер серверов
Диспетчер серверов идеально подходит для общего администрирования,
но также вам пригодится утилита для более точной настройки параметров
и свойств окружения. Речь идет об утилите Система’, которая используется
для:

•	Изменения имени компьютера;

•	Настройки производительности приложений, виртуальной памяти и па-
раметров реестра;

•	Управления переменными окружения пользователя и системы;

•	Настройки запуска системы и параметров восстановления.

1.5. Роли серверов, службы ролей и компоненты

Подготовка серверов происходит путем установки и настройки следующих
компонентов.

•	Роли серверов - это связанный набор программных компонентов, позво-
ляющих серверу осуществить определенные функции для пользователей
и других компьютеров сети. Компьютер может быть выделен для какой-
то определенной роли, например для роли Доменные службы Active
Directory - тогда он будет контроллером домена. При желании один и тот
же компьютер может выполнять несколько ролей.

•	Службы ролей (или ролевые службы) - эго программные компоненты,
обеспечивающие функциональность роли сервера. У каждой роли есть
одна или несколько ролевых служб. Некоторые роли, например DNS-
сервер или ОНСР-сернер, выполняют одну функцию, и добавление роли
устанавливает эту функцию. Администратор может выбрать, какие служ-
бы ролей нужно установить.

•	Компоненты. Это программные компоненты, предоставляющие допол-
нительную функциональность. Компоненты ->роде Шифрование диска
Bit Locker и Система архивации данных Windows Server устанавлива-
ются отдельно от релей и ролевых служб В зависимости от конфигура-
ции компьютера компоненты могут быть установлены или отсутствовать.
Компоненты сервера подобны компонентам комплектации автомобилей:

2	Как и во всех других версиях Windows, проще всего вызвать эту утилиту с помощью щелчка правой кнопкой мыши на

элементе Этот компьютер в Проводнике - после этого из контекстного меню нужно выбрать команду Свойства
хочешь, чтобы летом поездки были более комфортные, покупаешь авто-
мобиль с климат-контролем; хочешь резервное копирование — устанав-
ливаешь систему архивации данных.

Роли, ролевые службы и компоненты настраиваются с помощью Диспетче-
ра серверов и Консоли управления Microsoft3. Некоторые роли, службы
ролей и компоненты зависят от других ролей, служб ролей и компонентов.
При установке релей, служб ролей и компонентов Диспетчер серверов
запрашивает у администратора подтверждение на выполнение этого дей-
ствия. Аналогично, при попытке удалить компонент, Диспетчер серверов
предупреждает администратора, что нельзя удалить этот компонент, пока не
будут удалены зависимая роль, служба роли или компонент. Все автомати-
зировано, и вам не нужно помнить, от каких служб ролей зависит та или
иная роль - при установке роли необходимые службы будут установлены
автоматически.

Поскольку добавление или удаление ролей, служб ролей и компонентов мо-
жет менять требования к аппаратным ресурсам (о системных требованиях
мы еще поговорим), необходимо внимательно планировать любые измене-
ния в конфигурации и определять, как они отобразятся на общей производи-
тельности сервера. Так как обычно хочется комбинировать дополнительные
роли, что увеличивает нагрузку на сервер, то придется, соответственно, оп-
тимизировать аппаратные средства. Таблица 1.2 содержит обзор основных
ролей, доступных для размещения на сервере под управлением Windows
Server 2019.

Таблица 1.2. Основные роли и связанные ролевые службы

Роль	Описание
	Предоставляют функции, необходимые для выпуска и отзыва циф-
Службы сертифика- тов Active Directory	ровых сертификатов для пользователей, компьютеров клиентов и серверов Службы роли: Центр сертификации, Веб-служба политик регистрации сертификатов, Веб-служба регистрации сертификатов, Сетевой ответчик. Служба регистрации в центре сертификации че- рез Интернет, Служба регистрации на сетевых устройствах

Microsoft Management Console, ММС

4
Доменные службы Active Directory	Предоставляют функционал, необходимый для хранения информа- ции о пользователях, группах, компьютерах и других объектах сети. Установка данной роли превращает компьютер в контроллер доме- на. Контроллеры домена Active Directory предоставляют пользовате- лям и компьютерам сети доступ к запрашиваемым ресурсам сети
Службы федерации Active Directory	Производят аутентификацию и управление доступом для AD DS путем расширения этих функций на WWW. Сервисы и подсервисы роли: Службы федерации, Поддерживающий утверждение агент AD FS 1.1, Агент Windows на основе токенов, Прокси-агент службы федерации
Службы Active Directory облег- ченного доступа к каталогам	Предоставляют хранилище данных для каталогозависимых при- ложений, которые не требуют AD DS и размещения на контроллере домена, tie требует дополнительных служб ролей
С лужбы управле- ния нравами Active Directory	Предоставляют кон эродируемый доступ к защищенным сообще- ниям e-mail, документам, страницам корпоративной сети и другим типам файлов. Требуются службы: Сервер управления нравами Active Directory и Поддержка федерации удостоверений
Сервер приложений	Используется для размещения приложений, построенных с помо- щью ASP.NET, Enterprise Services и Microsoft .NET framework 4.5.  Требует белее 10 служб ролей
DHCP-сервер	Используется для централизованного управления IP-адресацией. DHCP-серверы динамически назначают 1Р-апреса и другие TCP/IP- параметры другим компьютерам сети. Не требует дополнительных ролевых служб
DNS-сервер	Реализует функционал DNS-сервера. Не требует дополнительных ролевых служб
Факс-сервер	Используется для централизованного контроля над от правкой и приемом факсов на предприятии. Факс-сервер может работать как шлюз для факсов и позволяет управлять факс ресурсами: заданиями и отчетами, факс-устройствами на сервере или в сети. Не требует дополнительных служб
Файловые службы и службы храни- лища	Используется для управления файлами и хранилищем. Некоторые роли требуют дополнительных типов файловых служб. Службы роли: BranchCachc для сетевых файлов, Дедупликация данных, Рас- пределенная файловая система. Пространства имен распределенной файловой системы, Репликация DFS, Файловый сервер, Диспетчер ресурсов файлового сервера. Конечный iSCSI-сервер, Загрузка цели iSCSI и Storage Services
Hyper-V	Используется для создания и управления виртуальными машинами и эмулирования физических компьютеров. На виртуальные машины можно установить операционные системы, отличные от операцион- ной системы сервера
Службы политики сети и доступа	Предоставляют службы для управления политиками сетевого досту- па. Ролевые сервисы: Сервер политики сети, Протокол авторизации учетных данных узла и Центр регистрации работоспособности
Службы печати и документов	Предоставляют службы для управления сетевыми принтерами, сете- выми сканерами и соответствующими драйверами. Ролевые серви- сы: Сервер печати, Печать через Интернет, Сервер распределенного сканирования, Служба LPD
Удаленный доступ	Обеспечивает сервисы управления маршрутизацией и удаленным доступом к сетям. Используйте эту роль, если необходимо настро ить виртуальную частную сеть (VPN), трансляцию сетевых адресов (NAT) и другие сервисы маршрутизации. Службы: DirectAccess и  V?N (RAS), Маршрутизация
Службы удаленных рабочих столов	Предоставляют службы, позволяющие пользователям запускать Windows-приложения, установленные на удаленном сервере. При запуске пользователями сервиса на терминальном сервере весь про- цесс выполнения происходит на сервере, по сети передаются только данные от приложения
Volume Activation Services	Предоставляет службы для автоматического управления лицензион- ными ключами томов и активацией ключей томов
Веб-сервер (CIS)	Используется для размещения веб-сайтов и веб-приложений. Веб- сайты, размещаемые на веб-сервере, могут иметь статический и/или динамический контент. Содержит около 10 служб ролей
Служба развертыва ния Windows	Предоставляет сервисы для размещения Windows-компьюгеров на предприятии. Службы ролей: Сервер развертывания, Транспортный сервер
Службы Windows Server	Предоставляет сервисы для Microsoft Update, разрешая предоетаь лять обновления для определенных серверов

Таблица 1.3 содержит обзор основных компонентов операционной системы
Windows Server 2019. Обратите внимание, что далеко не все компоненты
устанавливаются по умолчанию. Наоборот, по умолчанию не устанавлива-
ются даже очень важные компоненты, такие как система архивации данных.

Таблица 1.3. Основные компоненты Windows Server 2019

Компонент	Описание
Фоновая интеллектуальная служба передачи (BITS)	Обеспечивает фоновую интеллектуальную передачу. После установки этого компонента сервер может действовать как BITS-сервер, который способен принимать загрузки файлов от клиентов. Дополнительные подкомпоненты: Расширение сервера IIS и Облегченный сервер загрузки
Шифрование диска Bit- Locker	Обеспечивает основанную на аппаратных средствах защиту данных с помощью шифрования всего тома. Компьютеры, оснащенные модулем Trusted Platform Module (TPM), могут использовать Шифрование диска BitLocker в режиме Startup Key или TPM-Only
Сетевая разблокировка BitLocker	Позволяет автоматически разб локировать BitLocker- защищенные диски операционной системы, если присоеди- ненный к домечу компьютер будет перезапущен. Обычно при нерезафузке компьютера, если его жесткий диск за- шифрован с помощью BitLocker, нужно вводить пароль. Этог компонент позволяет автоматически разблокировать такие компьютеры без ввода пароля или каких-либо других действий со стороны оператора. Однако данный компонент работает только в домене AD и вне домена ею использова- ние невозможно
BranchCache	Предоставляет функциональность, необходимую для клиен- тов и серверов BranchCache
Клиент для NFS	Обеспечивает функциональность для доступа к файлам, на- ходящимся па NFS-серверах год управлением UNIX
Мост для центра обработки данных	Поддерживает набор IEEE-стандартов для улучшения ло- кальных Ethernet-сетей путем обеспечения гарантированной аппаратной пропускной способности
Enhanced Storage	Обеспечивает поддержку устройств Enhanced Storage
Отказоустойчивая класте- ризация	Позволяет нескольким серверам работать вместе для обе- спечения высокого уровня доступности ролей серверов. Можно кластеризнровагь многие типы серверов, в том чис- ле файловый сервер и сервер печати. Серверы баз данных и сообщений — отличные кандидаты для кластеризации
Управление групповой по- литикой	Устанавливает консоль управления групповой политикой для централизованного администрирования групповой по- литики
Служба рукописного ввода	Обеспечивает использование ручки или стилуса, а также распознавание рукописного ввода
Сервер управления IP- адресами	Централизованно управляет пространством IP-адресов и соответствующими серверами инфраструктуры
Клиент печати через Ин- тернет	Позволяет клиентам использовать протокол HTTP для печа- ти на принтерах, подключенных к веб-серверам печати
Служба .SNS-сервера	Предоставляет управление и функции сервера для iSCSI- устройств. Позволяет серверу обрабатывать запросы регистрации и дерегистрации, также запросы от iSCSI- устрсйств
Монитор LPR-порта	Позволяет выполнять печать на принтерах, подключенных к UNIX-компьютерам
Media Foundation	Обеспечивает необходимую функциональность для Windows Media Foundation
Очередь сообщений	Функции управления и еервер-функции для распределенной очереди сообщений. Как правило, доступна группа допол- нительных подкомпонентов
Multipath I/O (МРЮ)	Обеспечивает функциональность, необходимую для исполь- зования путей данных к устройствам хранения данных
.NET Framework 4.5	Предоставляет API для разработки приложений. Допол- нительные подкомпоненты: .NET Framework 4.5, ASP.NET 4.5 и Windows Communication Foundation (WCF) Activation Components
Балансировка сетевой нагрузки (NLB)	Распределяет график между несколькими серверами по про- токолу TCP/IP. Идеальными кандидатами для балансировки нагрузки являются веб-серверы
Протокол однорангового разрешения имен (PNRP)	Предоставляет функциональность Link-Local Multicast Name Resolution (LLMNR), обеспечивая тем самым одно- ранговое разрешение имен
QWavc (Quality Windows Audio Video Experience)	Сетевая платформа для передачи аудио/видео по домашним сетям
Пакет администриро- вания диспетчера RAS- подключений	Фреймворк для создания профилей соединений к удален- ным серверам и сетям
Удаленный помощник	Разрешает удаленному пользователю подключаться к серве- ру для обеспечения или получения удаленной помощи
Удаленное разностное сжатие	Вычисляет и передает различия между двумя объектами данных и минимизирует объем передаваемых данных
Средства удаленного ад- министрирования сервера (RSAT)	Устанавливает средс~ва управления ролями и компонента- ми, которые могут использоваться для удаленного админи- стрирования других Windows-серверов
RPC через НТТР-ирокси	Предоставляет прокси для передачи RPC сообщений от клиентских приложений к серверам через НТТР-прокси. RPC по HTTP — это альтернатива доступа клиента к серве ру через частную сеть
Ilpocibie службы TCP/IP	Устанавливает дополнительные ТСР/1Р-сервисы, в том чис- ле Character Generator, Daytime, Discard, Echo и Quote of the Day
SM ГР-сервер	После установки этого компонента сервер может работать как базовый SMTP-сервер4. В некоторых случаях этого до- статочно, в некоторых нужно будет установить полноцен ный почтовый сервер вроде Microsoft Exchange Server
Служба SNMP	Протокол SNMP используется для централизованного управления сетью, если в сети есть SNMP-совместимые устройства. Также протокол SNMP применяется для мони- торинга сети с помощью программного обеспечения мони- торинга сеги
Подсистема для UNIX- приложений	Предоставляет возможность запуска UNIX-приложений. Дополнительные инструменты управления доступны для загрузки с сайта Microsoft (не рекомендуется использовать)
Клиент Telnet	Используется для подключения к удаленному Telnet-cepeepy и запуска приложений на этом сервере
Сервер Telnet	Представляет функциональность Telnet-сервера. Это уста- ревшая технология, и протокол Telnet не обеспечивает шиф- рования передаваемых дачных, что делает использование небезопасным
Пользовательские интер- фейсы и инфраструктура	Позволяет контролировать параметры пользовательского интерфейса (Графические средства управления и инфра- структура, Возможности рабочего стола, Графическая обо- лочка сервера)
Биометрическая платформа Windows	Поддерживает устройства сканирования отпечатков пальцев
Внутренняя база данных Windows	Реляционное хранилище данных, которое может быть ис- пользовано только функциями и ролями Windows Server, например AD RMS, UDDI Services, WSUS, Windows Share- Point Services и WSRM
Windows PowerShell	Разрешает управлять функциями Windows PowerShell- cepeepa. Windows PowerShell 3.0 и PowerShell ISE устанав- ливаются по умолчанию

.4

SMTP — сетевой протокол для контроля, передачи и маршрутизации сообщений e-ma>i


Windows PowerShell Web Access	Превращает сервер в веб-шлюз для удаленного управления серверами с помощью веб-браузера
Служба активации процес- сов Windows	Обеспечивает поддержку распределенных веб-приложений, которые используют HTTP- и пе-НТТ Р-протоколы
Стандартизир< тайное управление хранилищами Windows	Позволяет обнаруживать запоминающие устройства, управ- лять ними и контролировать их работу. Предоставляет клас- сы для WMI и Windows PowerShell
Система архивации данных Window's Server	Используется для резервного копирования и восстановле- ния операционной системы и любых данных, хранящихся па сервере
Диспетчер системных ре- сурсов Windows (WSRM)	Позволяет управлять использованием ресурсов (не рекомен- дуется)
Фильтр Windows TIFF IFilter	Используется для распознавания текста в файлах соответ- ствующих стандарту TIFF 6.0
Расширение IIS WinRM  /	Позволяет серверу принимать запросы от клиента, исполь- зуя протокол WS-Management
WINS-cepaep	Сервис разрешения имен, который сопоставляет имена ком- пьютеров их IP-адресам. Установка этого компонента пре- вращает компьютер в WINS сервер
Служба беспроводной ло- кальной сети	Позволяет серверу использовать беспроводную сеть
Поддержка WoW64	Поддержка WoW64, необходимая для полной установки сервера. Удаление этого компонента превращает полную установку сервера в установку основных компонентов
Средство просмотра XPS	Программа для просмотра XPS-документов

ZKj
1.6.	Установка Windows Server

Казалось бы, что можно рассказать об устанозке Windows Server? Ведь в
большинстве случаев вам не придется ее устанавливать:

•	Если вы устроились в организацию с уже существующей инфраструкту-
рой, Windows Sewer уже установлена.

•	Если вы покупаете новый сервер, то, как правило, он уже будет постав-
ляться с предустановленной ОС.

•	Арендуемый виртуальный сервер также уже поставляется с предустанов-
ленной ОС

Конечно, есть и частные случаи. Первый - покупка сервера без операцион-
ной системы Такие серверы тоже продаются для экономии - вы покупаете
"железо" без "математики", а затем сами всю згу "математику" будете уста-
навливать. Также возможно придет ся устанавливать Windows Server и в вир-
туальную машину - не все облачные провайдеры предоставляют серверы с
установленной операционной системой.

1.6.1. Системные требования

В большинстве случаев то, что называется на данный момент "сервером",
способно выполнять Windows Server, которая отличается вполне неболь-
шими по современным меркам системными требованиями. Но у вас могут
возникнут ь задачи, кот да вам необходимо знать системные требования
(например, при заказе виртуального сервера). Если речь идет об экономии,
тогда нужно выбирать Windows Server 2019 Essentials (далее мы поговорим
об этом выпуске), который отличается минимальными системными требо-
ваниями:

• Процессор:

» Производительность зависит не только от частоты процессора, но и
от количества ядер и размера кэша, учитывайте это при конфигуриро-
вании сервера - восьмиядерная машина с меньшей рабочей частотой
будет работать быстрее, чем 4-ядерная с более высокой частотой

LS.iS?.l
» Минимальные требования к рабочей частоте - 1 4 ГГц, 64-бит.

» Совместимость с набором команд х64.

» Поддержка NX и DEP.

»	Поддержка CMPXCHG16b, LAHF/SAHF и Prefetch W.

»	Поддержка Second Level Address Translation (EPT или NPT).

• Оперативная память:

»	512 Мб для Essentials.

»	2 Гб для Standard

»	ЕСС (Error Correcting Code) или аналогичная технология.

•	Контроллеры дискового пространства:

» Компьютеры, на которых работ ает Windows Server 2016/2019, должны
включать адаптер с памятью, совместимый со спецификацией архи-
тектуры FCI Express.

» Интерфейс РАТА не поддерживается.

» Windows Server 2016/2019 не работает с A1A/PATA/1DE/E1DE для за-
грузки, подкачки и как с накопителями данных.

» Предположительные минимальные требования к свободному про-
странству на жестком диске для системных разделов - 32 Гб.

•	Сет евой адаптер:

»	Адаптер Ethernet с пропускной способностью от 1 Гбит/с.

»	Совместимость со спецификациями архитектуры PCI Express.

»	Поддержка Pre-boot Execution Environment (PXE).

»	Сетевой адаптер с поддержкой отладки сети (KDNet) может быть по-
лезен, но не является минимальным необходимым условием.

•	DVD-привод (для установки с диска).

•	Система на базе UEFI 2.3.1с и прошивка, поддерживающая безопасную
загрузку.

•	Графическое устройство и монитор с разрешением Super VGA (1024 х
768) и выше (необязательно).

~.

 56 d
•	Клавиатура и мышь (необязательно).

•	Подключение к Интернету (нсобязагельно).

Примечание. Начиная с Windows Server 2016, жесткие диски РАТА
(IDE, EIDE) больше не поддерживаются - ни для загрузки, ни для хра-
нения данных. Если вам нужно работать с такими дисками, обратите
внимание на Windows Server 2012, где еще есть поддержка РАТА

1.6.2.	Минимальный выпуск Essentials

Как уже отмечалось ранее, для версии Windows Server 2019 доступны три
выпуска - Standard, Datacenter и Essentials. Выбор выпуска осуществляется
при установке операционной системы.

Windows Server 2019 Essentials - это серверная операционная
система для малого бизнеса с количеством пользователей до 25 и
устройств до 50. Рансе он назывался Small Business Seiver (SBS) или
Microsoft BackOffice Server.

Редакция Essentials ограничена в возможностях и вариантах лицензирования
и, соответственно, самая дешевая среди семейства. По словам Microsoft, из-
дание Essentials "идеально подходит для малых предприятий с количеством
пользователей до 25 и 50 устройствами". В Essentials отсутствуют "расши-
ренные" функции, такие как поддержка службы миграции хранилищ (SMS),
которые доступны в выпусках Standard и Datacenter. Essentials также ограни-
чена вс многих аспектах.

ОС Windows Server 2019 Essentials поставляется по единой лицензии, кото-
рая включает лицензии клиентского доступа CAL (до 25 пользователей / 50
устройств), имеет более низкую цену и возможность запуска традиционных
приложений и других функций, таких как совместная работа с файлами и
печатью.

Windows Server 2019 Essentials имеет те же лицензии и технические характе-
ристики, что и ее предшественница Windows Server 2016 Essentials Если она
настроена как контроллер домена, то должна быть единственным контрол-
лером домена, выполнять все роли мастера FSMO и не может иметь двусто-
ронние отношения с другими доменами Active Directory. Другими словами,
вы можете сэкономить и выбрать выпуск Essentials - он сможет работать как
контроллер домена.

Windows Server 2019 Essentials включает в себя новую аппаратную под-
держку и улучшения, такие как поддержка Azure Active Directory через AAD
Connect, новые опции Windows Server 2019 Standard, службы миграции па-
мяти и другие. Windows Server 2019 Essentials не поддерживает резервное
копирование и удаленный доступ к сети.

1.6.3.	Выпуски Standard и Datacenter

Основными продуктами семейства Windows Server 2019 являются Windows
Server 2019 Standard и Datacenter.

Windows Server 2019 Datacenter является наиболее полным вы-
пуском семейства продуктов Microsoft Server и, вместе с тем. самым
дорогим, по оценкам Microsoft.

Это отражает увеличение цены по сравнению с MSRI’ аналогичного сервера
версии 2016 года. Выпуск Datacente: Судет примерно в 6 раз дороже выпуска
Standard. А вот выпуск Essentials будет примерно в два раза дешевле, чем
Standard

Лицензия Datacenter предоставляет самый широкий набор функций и воз-
можностей с наименьшим количеством лицензионных ограничений среди
всех выпусков Server. Например, все серверы, которые виртуализированы
на сервере Datacenter, лицензируются автоматически их хостом Datacenter,
учитывая, что хост-сервер и гостевые серверы имеют одинаковую версию.
Такие гости также могут быть автоматически активированы с помощью ак-
тивации виртуальной машины (AVMA).

В Windows Server 2016 была представлена защищенная виртуальная машина
- новая функция, доступная только в выпуске Datacenter. В отличие от этого,
Host Guardian Service был доступен только в выпуске Datacenter Windows
Server 2016, хотя в выпуске Windows Server 2019 служба Host Guardian ста-
ла доступна также и в Standard-версии. Хотя такое и происходит время от
времени, это не правило, а скорее исключение. В итоге: новые возможно-
сти представлены в новых выпусках Windows Server, в то время как другие
функции отключены. Некоторые функции являются эксклюзивными для вы-
пуска Datacenter, тогда как иногда такие функции становятся доступными
для более дешевых вариантов лицензирования.

I Windows Server 2019 Standard и Datacenter - это, по сути, один и тот же
I продукт, отличающийся друг от друга по функциям только благодаря
лицензированию.

Таким образом, выпуски Datacenter и Standard могут быть преобразованы
друг в друга после установки. Это можно сделать после активации, введя
ключ активации, который затем определяет и при необходимости преобра-
зует Windows в соответствующую редакцию. Вкратце: Windows Server 2019
Datacenter может быть активирован в Standard и наоборот.

1.6.4,	Server Core

Выпуски Datacenter и Standard могут быть установлены в режимах Server
Core и Desktop Experience (GUI).

Если выбрана установка Server Core, будет установлен пользовательский ин-
терфейс с ограниченным окружением рабочего стола для локального управ
ления сервером. Этот минимальный интерфейс содержит:

•	Экран входа в систему, который служит для входа в систему и выхода
из нее;

•	Редактор Блокнот (notepad.exe) для редактирования файлов;

•	Редактор реестра (regedit.exe) для управления реестром;

•	Диспетчер задач (taskmgr.exe) для управления задачами и запуска новых
задач;

•	Командную строку (emd ехе) для администрирования;
•	Оболочку PowerShell для администрирования;

•	Утилиту Проверка подписи файла (sigverif.exe) для проверки цифровых
подписей системных файлов;

•	Утилиту Сведения о системе (msinfo32.exe) для получения системной
информации;

•	Установщик Windows (msiexec.exe);

•	Панель Дата и время (timcdata.cpl) для просмотра/установки даты, вре-
мени и часового пояса,

•	Панель Язык и региональные стандарты (intl.cpl) для просмотра/из-
мснения региональных и языковых опций, в том числе форматов и рас-
кладки клавиатуры;

•	Утилиту конфигурации сервера (sconfig), предоставляющую текстовое
меню для управления настройкой сервера.

При запуске сервера с основными серверными компонентами для входа в
систему можно использовать экран входа в систему, точно такой же есть на
сервере с полной установкой системы. В домене действуют стандартные
ограничения входа на серверы, и на сервер может войти только пользователь
с надлежащими правами и полномочиями входа. На серверах, не являющих-
ся контроллерами домена, и серверах в рабочих группах можно использовать
команды NET USER (для добавления пользователей) и NET LOCALGROUP
для добавления пользователей в локальную группу для локального входа в
систему.

После входа в сервер на базе установки с основными серверными компо-
нентами будет доступно ограниченное окружение (нет рабочего стола, есть
только окно командной строки) с командной строкой администратора. Ко-
мандная строка используется для администрирования сервера. Если окно ко-
мандной строки было нечаянно закрыто, открыть новое можно с помощью
следующих шагов:

1.	Нажмите комбинацию клавиш <Ctrl>+<Shift>+<Esc> для запуска Дис-
петчера задач.

2.	Нажмите Подробнее, чтобы отобразить меню Диспетчера задач.

3.	В меню Файл выберите команду Запустить новую задачу.

4.	В окне Создание задачи введите emd и нажмите кнопку ОК.
Этот же способ можно использовать для запуска дополнительной команд-
ной строки. Хотя можно запустить Блокнот и редактор реестра с помощью
команд notepad.exe и regedit.exe вместо cmd, есть возможность запустить
Блокнот и редакзор реестра прямо из командной строки командами notepad
ехе и regedit.exe.

niiiiiiiiiiimiiiuiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiitiiiiillliilliUiilllllllllliKlllllllllllilNIII

Утилита конфигурации сервера (sconfig) предоставляет текстовое
| меню, позволяющее легко выполнить следующие операции (рис. 1.2):

^llllllinillllllllllllllllnllllllNIIIIIIIIIIINIIIlNllllllllllllllllllllllllillllllllllllllllllllllllllllllHIIIIHIIIIItlllllillllllHIIIIIIIItll

iiiiiiiiiiiiiiiiiiiiiiimiiiiiiiiiMiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiitiiiiKiiiiiiiiiiiiiiiiiiiiiiiiiiiiiililiniiUlliiiiuilliilMIIIII

•	Настроить членство в домене или рабочей группе;

•	Добавить локальную учетную запись администратора,

•	Настроить функции удаленного управления;

•	Настроить параметры Windows Update;

•	Загрузить и установить обновления Windows;

•	Включить или отключить удаленный рабочий стол;

•	Настроить сетевые параметры TCP/IP,

•	Настроить дату и время;

•	Выйти из системы, перезагрузить компьюзер и завершить работу
компьютера.

Рис. 1.2. Утилита sconfig
После входа в систему отобразить экран входа в любой момент можно с по-
мощью нажатия комбинации клавиш <Ctrl>4-<Alt>+<Delete>. В установке
сервера с основными серверными компонентами экран входа такой же, что
и в полной установке, пользователь может заблокировать компьютер, пере-
ключить пользователей, выйти из системы, сменить пароль или запустить
диспетчер задач. В командной строке разрешается использовать все стан-
дартные команды и утилиты командной строки, предназначенные для управ-
ления сервером. Однако команды, утилиты и программы будут доступны,
только если они есть в установке сервера с основными серверными компо
нентами.

Таблица 1.4. содержит список полезных команд, которые вам наверняка при-
годятся для администрирования Essentials-выпуска.

Таблица 1.4. Список полезных команд

Команда	Описание
Cscript Scregedit. wsf	Настраивает операционную систему. Исполь- зуйте параметр /di для вывода доступных областей настройки
Diskvaid.exe	Настраивает программный RAID-массив
ipconfig /all	Выводит информацию о настройке IP-адреса компьютера
Netdom RenaraeComputer	Устанавливает имя сервера
Netdom Join	Подключает сервер к домену
Netsh	Предоставляет контекст для управления кон- фигурацией сетевых компонентов. Введите netsh interface ipv4 для настройки параметров IPv4 или netsh interface ipv6 для настройки IPv6
Ocset'jp. exe	Добавляет или удаляет роли, ролевые серви- сы и компоненты
Pnputil.exe	Устанавливает или обновляет драйверы устройств
Sc query type=driver	Выводит уст ановленные драйверы устройств
Slmgr -ato	Средство Windows Software Licensing Management, используется для активации операционной системы. Запускает Cscript slmgr.vbs -ato
Slmgr -ipk	Устанавливает или заменяет ключ продукга. Запускает Cscript slmgr. vbs -ipk
Systeminfo	Выводит подробности конфигурации систе- мы
Wecutil.exe	Создает и управляет подписками на перена- правляемые события
Wevtutil.exe	Позволяет просматривать системные собы- тия
Winrm quickconfig	Настраивает сервер на прием запросов WS- Managcment от других компьютеров. Запу- скает Cscript winrm.vbs quickconfig
Wmic datafile where name="FullFilePath" get version	Выводит версию файла
Wmic nicconfig index=9 call enabledhcp	Настраивает компьютер на использование динамического IP-адреса (вместо статическо- го IP)
Wmic nicconfig index=9 call enablestatic("IPAddress"), ("SubneoMask")	Изменяет IP-адрес компьютера и сетевую маску
Wmic nicconfig index=9 call setgateways("GatewaylPAddr ess")	Устанавливает или изменяет шлюз по умол- чанию
Wmic product get name / value	Выводит список установленных MSI- приложений
Wmic product where name="Name" call uninstall	Удаляет MSI-нриложсние
Wmic qfe list	Выводит список обновлений и исправлений
Wusa.exe PatchName.msu / quiet	Применяет обновление/исправление к опера- ционной системе

Также вам пригодятся базовые команды командной оболочки, представлен-
ные з табл. 1.5. В обычном выпуске толку от них мало, нескольку там есть
полноценный интерфейс пользователя, а вот в Essentials они могут приго-
диться.

Таблица 1.5. Базовые команды командной оболочки Windows

Команда	Описание
ARP	Отображает и модифицирует таблицы преобразования IP- адресов в физические адреса с использованием протокола ARP (Address Resolution Protocol)
ASSOC	От ображает и модифицирует привязку расширений файлов
ATTRIB	Показывает и изменяет атрибуты файлов
CALL	Вызывает один сценарий из другого
CD/CHDIR	Используется для отображения имени текущего каталога и изменения текущего каталога


CHKDSK	Проверяет диск на наличие ошибок и отображает отчет
CHKNTFS	Показывает статус томов. Позволяет добавить/удалить том из списка автоматической проверки, которая осуществляет- ся при запуске операционной системы
CHOICE	Создает список, из которого пользователи могут выбрать один из нескольких вариантов (используется в пакетном сценарии)
CLS	Считает окно консоли
CMD	Запускает новый экземпляр окна командной строки Windows
COLOR	Устанавливает цвет окна командной оболочки Windows
CONVERT	Конвертирует FAT-тома в NTFS
COPY	Копирует или комбинирует файлы
DATE	Отображает/устанавливает системную дату
DEL	Удаляет один или больше файлов
DIR	Отображает список файлов и подкаталогов заданного ката- лога
DISKPART	Вызывает командный интерпретатор, позволяющий управ- лять дисками, разделами и томами, используя отдельную командную строку и внутренние команды DISKPART
DISH	Управляет образами Windows
DOSKEY	Используется для создания макросов, состоящих из команд Windows


ECHO		Отображает сообщения, а также переключает режим ото- бражения команд на экране
ENDLOCAL		Завершение локализации окружения в пакетном файле
ERASE		Стирает один или более файлов
EXIT		Выход из командного интерпретатора
EXPAND		Разархивирует файлы
FIND		Производит поиск текстовой строки в файлах
FOR		Запускает указанную команду для каждого файла из набора файлов
FORMAT		Форматирует дискету или жесткий диск
FTP		Передает файлы
FTYPE		Отображаег/изменяег типы файлов, используемые в ассоци- ации расширений
GOTO		Передает управление содержащей метку строке командного файла
HOSTNAME		Выводит имя компьютера
IF		Осуществляет проверку условия в пакетных программах
IPCONFIG		Отображает конфигурацию TCP/IP
LABEL		Создает, изменяет или удаляет информацию о томе диска
	•	
MD/MKDIR	Создает каталог или подкаталог
MORE	Поэкрапно выводит данные
MOUNTVOL	Управляет точкой монтирования тома
MOVE	Перемещает файлы из одного каталога в другой на одном и том же диске
NBTSTAT	Отображает статуе NetBIOS
NET ACCOUNTS	Управляет учетной записью пользователя и политиками паролей
NET COMPUTER	Добавляет/удаляет компьютер в домен или из домена
NET CONFIG SERVER	Отображает/модифицирует конфигурацию службы Сервер
NET CONFIG WORKSTATION	Отображает/модифицирует конфигурацию службы Рабочая станция
NET CONTINUE	Возобновляет работу приостановленной службы
NET FILE	Отображает открытые файлы на сервере или управляет ими
NET GROUP	Показывает глобальные труппы или управляет ими
NET LOCALGROUP	Показывает локальные группы или управляет ими
NET NAME	Отображает/модифицирует получателей для службы со- общений
NET PAUSE	Приостанавливает службу
NET PRINT	Отображаем/модифицирует задания печати и управляет оче- редью печати
NET SEND	Отправляет еообщение с использованием службы сообще- ний
NET SESSION	Показывает или завершает установленные сеансы
NET SHARE	1 Указывает общие принтеры и каталоги или управляет ими
NET START	Запускает сетевые сервисы или отображает запушенные сервисы
NET STATISTICS	Отображает статистику рабочей станции и сервера
NET STOP	Останавливает сервисы
NET TIME	Отображает/синхронизирует сетевое время
NET USE	Отображает удаленные соединения или управляет ими
NET USER	Управляет локальными учетными записями пользователей
NET VIEW	Отображает сетевые ресурсы или компьютеры
NETSH	Открывает отдельную командную оболочку, позволяющую управлять конфигурацией разных сетевых сервисов на ло- кальном и удаленном компьютерах
NETSTAT	Отображает статус сетевых соединений
PATH	Отображает или устанавливает путь поиска исполняемых файлов в текущем командном окне
PATHPING	Трассирует маршрут и предоставляет информацию о потере пакетов
		 Ф
PAUSE	Приостанавливает обработку сценария и ждет ввод с клави- атуры
PING	Определяет, установлено ли сетевое соединение
POPD	Переходит в каталог, сохраненный командой PUSHD
PRINT	Выводит текстовый файл
PROMPT	Изменяет приглашение командной строки Windows
PUSHD	Сохраняет текущий каталог, а затем переходит в указанный  каталог
RD/RMDIR	Удаляет каталог
RECOVER	Восстанавливает информацию на поврежденном диске
REG ADD	Добавляет новый подключ или запись в реестр
REG COMPARE	Сравнивает подключи или записи реестра
REG COPY	Копирует запись реестра на локальной или удаленной ма- шине
REG DELETE	Удаляет подключ или записи из реестра
REG QUERY	Отображает элементы ключа реест ра и имена подключей (если они есть)
REG RESTORE	Записывает сохраненные подключи и записи обратно в ре- естр
REG SAVE	Сохраняет копию указанных подключей, элементов и их значений в файл

Г"

Mfef
	Сервер на Windows и Linux				. |j£^)dows	
	REGSVR32		Регистрирует и отменяет регистрацию DLL-библиотеки			
	REM		Добавляет комментарии в сценарии			
	REN		Переименовывает файл			
	ROUTE		Управляет таблицами сетевой маршрутизации			
	SET		Отображает или модифицирует переменные окружения Windows. Также используется для вычисления числовых выражений в командной строке			
	SETLCCAL		Начинает локализацию окружения в пакетном файле			
	SFC		Сканирует и проверяет защищенные системой файлы			
	SHIFT		Смещает подставляемые параметры для пакетною файла			
	START		Запускает новое окно командной строки и запускает в нем указанную программу или команду			
	SUBST		Сопоставляет букву диска указанному пути			
	TIME		Отображает или устанавливает системное время			
	TITLE		Устанавливает заголовок окна командной строки			
	TRACERT		Отображает путь между компьютерами			
	TYPE		Показывает содержимое текстового файла			
	VER		Отображает версию Window's			
						
	70 L ’					—		 				. - - 			 -					
VERIFY	Включает или отключает режим проверки правильности записи файлов на диск
VOL	Отображает метку тома диска и серийный номер

Чтобы конвертировать полную установку в установку с минимальным гра-
фическим интерфейсом, нужно удалить компонент Графическая оболочка
сервера. Хотя можно использовать мастер удаления ролей и компонентов,
данную операцию можно выполнить с помощью команды PowerShell:

uninstall-windowsfeature server-gui-shell -restart

Чтобы конвертировать установку с минимальным интерфейсом в полную
установку, нужно добавить компонент Графическая оболочка сервера:

ir.stall-windowsfeature server-gui-shell -restart

Эта команда устанавливает компонент Графическая оболочка сервера и
перезапускает сервер для завершения установки. Если также нужно доба-
вить компонент Возможности рабочего стола, используйте эту команду
вместо предыдущей:^.

ir.stall-windowsfeature server-gui-shell, desktop-experience -restart

1.6.5. Процесс установки Windows Server

Перед началом установки необходимо решить, нужно ли проверить и деф-
рагментировать диски и разделы компьютера перед началом установки. При
желании использовать средства программы установки для создания и фор-
матирования разделов необходимо загрузить компьютер с дистрибутивного
диска. Если загрузка произведена иным способом, эти средства не будут
доступны и управлять разделами можно будет только из командной строки,
используя утилиту DiskPart.
Для осуществления чистой установки Windows Server 2019 выполните сле-
дующие действия.

1.	Загрузитесь с дистрибутивного диска. Для этого нужно вставить
дистрибутивный диск в DVD-привод (при желании можно подготовить
загрузочный USB-диск) и выполнить переза^узку системы. Если про-
цесс загрузки с дистрибут ивною диска не начался, значит нужно изме-
нить параметры BIOS SETUP - выбрать загрузку с дистрибутивного диска.

2.	При запуске компьютера с использованием дистрибутивного носителя
выберите язык, форматы времени и валюты, а также раскладку клавиа-
туры (рис. 1.3) Когда будете готовы начать установку, нажмите кнопку
Далее.

3.	Нажмите кнопку Установить для начала установки.

4.	В корпоративных выпусках ОС Windows Server 2019 не нужно вводить
ключ продукта. Однако в OEM-версиях следует ввести ключ продукта,
как только инсталлятор попросит это сделать (рис. 1.4).

5.	На странице Выберите операционную систему, которую вы хотите
установить выберите нужный вам выпуск операционной системы (рис.

1.5)	. В зависимости от инсталляционного диска в этом же окне произво-
дится выбор варианта Server Core/Desktop Experience.

6.	Лицензионное соглашение Windows Server 2019 отличается от предыду-
щих версий Windows. Прочитайте его, отметьте флажок Я принимаю ус-
ловия лицензии и нажмите кнопку Далее.

7.	На странице Выберите тип установки выберите тип установки, которую
необходимо осуществить. Поскольку выполняется чистая установка, для
замены существующей инсталляции или для настройки нового компью-
тера нажмите кнопку Выборочная: только установка Windows (для
опытных пользователей). Если компьютер загружен с дистрибутивного
диска, кнопка Обновление (Upgrade) будет недоступна.

8.	На странице Где вы хотите установить Windows? выберите диск или
раздел диска (рис. 1.6), на который необходимо установить операцион-
ную систему Существуют две версии этой страницы, поэтому нужно
иметь в виду следующее:

» Кота у компьютера есть один жесткий диск с одним разделом на весь
диск или одной областью нераспределенного пространства, указыва-
ют весь диск, и можно нажать кнопку Далее для выбора этого диска
в качестве назначения установки, Инсталлятор аыоматически создаст
новые разделы при необходимости.

» Когда у компьютера имеется несколько дисков или один диск с
несколькими разделами, нужно либо выбраль существующий раздел
для установки операционной системы, либо создать новый раздел.

» Нельзя выбрать диск, использующий файловую систему FAT/FAT32.
Также нельзя отформатировать диск в этой файловой системе. Если
раздел, на который планируется установить Windows Server, отформа-
тирован как FAT32, нужно конвертировать его в NTFS, нажав кнопку
Форматировать (в этом случае все данные будут потеряны) или с по-
мощью специальных утилит, выполняющих преобразование файло-
вых систем.

9.	Дождитесь завершения установки (рис 1.7). Компьютер будет перезагру-
жен автоматически.

10.	После псреза!рузки вам будет предложено установить пароль для локаль-
ной учетной записи администратора (рис. 1.8). После этого вы увидите
окно входа в систему: нажмите Ctrl + Alt + Del и, используя имя Админи-
стратор и только что указанный пароль, войдите в систему.

Рис. 1.3. Выбор языка и других параметров локализации
Рис. 1.4. Ввод лицензионного ключа

Рис. 1.5. Выбор выпуска Windows Server
Рис. 1.6. Где вы хотите установить Windows

Рис. 1.7. Идет установка ОС
Настройка параметров

ENG

Рис. 1.8. Задание лироля администратора

1.6.6. Дополнительные возможности при установке

Во время установки на странице Где вы хотите уст ановит ь Windows? мож-
но нажать комбинацию клавиш Shift + F10 для доступа к командной строке.
Данную командную строку можно использовать для ввода различных ко-
манд, в частности для ввода команды diskpart, используемой для более гиб-
кого управления дисками. Далее будут рассмотрены несколько сценариев,
которые могут произойти при установке Windows Server.

Принудительное удаление раздела диска во время установки

Во время установки, возможно, не получится использовать желаемый раздел
диска. Причиной может быть неверное значение байта смещения раздела
жесткого диска. Чтобы исправить проблему, необходимо удалить разделы
(что повлечет полную потерю данных) и создать необходимые разделы с ис-
пользованием расширенных параметров программы установки на странице
Где вы хотите установить Windows?.
Удалить нераспознанные разделы диска можно с помощью следующих дей-
ствий:

1.	Нажмите комбинацию клавиш <Shift> < <F 10>, чтобы открыть окно ко-
мандной строки.

2.	Б окне командной строки введите diskpart для запуска утилиты работы с
разделами диска.

3.	Для просмотра перечня дисков компьютера введите list disk.

4.	Выберите диск командой select disk номердиска, где номердиска — это
помер диска, с которым планируется работать.

5.	Для удаления всех разделов на выбранном диске введите clean.

6.	Введите команду exit для выхода из DiskPart

7.	Введите команду exit для завершения работы в окне командной строки.

Создание, форматирование, удаление и расширение разделов
диска

При осуществлении чистой установки (при условии, что компьютер загру-
жен с дистрибутивного носителя) на странице Где вы хотите установить
Windows? появится кнопка Настройка диска, нажав которую можно полу-
чить набор дополнительных возможностей:

•	Создать — создает раздел; после этого нужно отформатировать раздел;

•	Форматировать — форматирует новый раздел так, чтобы он был досту-
пен для установки операционной системы;

•	Удалить - удаляет раздел, который больше не нужен;

•	Расширить — расширяет раздел, увеличивая его размер.

Загрузка драйверов устройств при установке

В процедуре установки существует страница Где вы хотите установить
Windows?, на которой присутствует кнопка Загрузить. Ее можно нажать для
загрузки драйвера жесткого диска или контроллера жесткого диска. Обычно
эту' возможность нужно использовать, ко(да диск, на который планируется
установка операционной системы, не отображается в списке, поскольку не-
доступен его драйвер.

Для загрузки драйвера диска выполните следующие действия:

1.	Во время установки на странице Где вы хотите установить Windows?
нажмите кнопку Загрузить

2.	Ко1да вас попросят вставить инсталляционный носитель в DVD-дисковод
или подключить флешку (USB-диск), сделайте это и нажмите кнопку ОК.
Инсталлятор произведет поиск драйверов устройств на всех сменных но-
сителях.

>j Если инсталлятор найдет несколько драйверов, выберите драйвер, ко-
торый нужно установить, и нажмите кнопку Далее.

» Если инсталлятор нс найдет драйвер устройства, нажмите кнопку Об-
зор для появления окна выбора нанки, выберите папку с драйвером и
нажмите кнопку ОК, а затем кнопку Далее.

Для повторного сканирования сменных носителей на предмет наличия драй-
веров нажмите кнопку Обновить. Если драйвер найти не удалось, нажмите
кнопку со стрелкой назад для возврата на предыдущую страницу инсталля-
тора.

1.7.	Управление ролями, службами ролей и
компонентами

Для управления ролями, ролевыми службами и компонентами используется
консоль Диспетчер серверов. Диспетчер серверсз применяется не только
для установки/удалсния ролей, ролевых Служб и компонентов, но и для про-
смотра конфигурации сервера и статуса этих программных компонентов.

1.7.1.	Обзор диспетчера серверов

Диспетчер серверов — центральная консоль для осуществления начальной
настройки и настройки ролей и компонентов. Данная консоль позволяет
быстро настроить не только новый сервер, но и окружение управления.
Примечание. Обычно Windows Server 2019 автоматически запускает
Диспетчер серверов при входе в систему, и получить доступ к Дис-
петчеру серверов можно через рабочий стол Если не нужно запускать
консоль при каждом входе в систему, выберите меню Управление,
далее — Свойства диспетчера серверов В окне Свойства диспетчера
серверов установите срлажок Не запускать диспетчер серверов авто-
матически при входе в систему и нажмите кнопку ОК.

iiiiiiiiNiiiiimimiuNiiiiiiiaiiiiiiiiiimiiiNiiimiiumiiiiMiNiiiiniiiitimiiHiHiiinimimiiiiimiiniiiimiiiiiniiiiiiiiimiiiniiiiiiiiiiiuiiiiiiiiiiiiim

Откройте Диспетчер серверов или посмотрите на рис. 1.1. Вид по умол-
чанию для Диспетчера серверов — Панель мониторинга. Здесь находятся
ссылки для быстрого добавления ролей и функций на локальные и удален-
ные серверы, добавления серверов для управления ими, а также создания
групп серверов. В меню Управление находятся следующие команды.

•	Добавить роли и компоненты — запускает мастер добавления ролей и
компонентов, позволяющий установить роли, ролевые службы и компо-
ненты на сервер.

•	Добавление серверов — открывает диалоговое окно Добавить серве-
ры, используемое для добавления серверов, которые будут доступны для
управления Список всех добавленных серверов отображается на пане-
ли Вее серверы. Нажмите и удерживайте пальцем или щелкните правой
кнопкой мыши на имени сервера па панели Серверы раздела Все сер-
веры для отображения списка команд управления, в том числе команды
перезагрузки/завершеиия работы, управления компьютером и т. д.

•	Создание группы серверов — открывает одноименное диалоговое окно,
использующееся для добавления серверов в группы, что упрощает управ-
ление ими. Диспетчер серверов автоматически создает группы серверов
на основании ролей. Например, контроллеры домена перечислены в
группе AD DS. Быстро найти информацию о любом контроллере домена
можно с помощью лыбора соответствующего узла.

На левой панели Диспетчера серверов находятся команды для доступа к
Панели мониторинга, локального сервера, всех серверов, доступных для
управления, и групп серверов. Выбрав пункт Локальный сервер (рис. 1.10),
можно управлять базовой конфигурацией локального сервера.
Рис. 1.9. Меню "Управление" диспетчера серверов

Рис. 1.10. Управление свойствами локального сервера

Информация о локальном сервере распределена по нескольким панелям:

•	СВОЙСТВА — показывает свойства компьютера, домена, конфигурации
сети, часового пояса и т. д. Каждое свойство активно — по нему можно
щелкнуть, чтобы вызвать соответствующий интерфейс управления.

•	СОБЫТИЯ — обшая информация об ошибках и предупреждениях, взя-
тая из журналов сервера. Нажмите или щелкните по событию, чтобы по-
лучить больше информации о нем.
•	СЛУЖБЫ — выводит список служб, запущенных на сервере (по имени,
статусу и типу запуска). Для изменения статуса службы используйте кон-
текстное меню.

•	АНАЛИЗАТОР СООТВЕТСТВИЯ РЕКОМЕНДАЦИЯМ — позволя-
ет запустить анализатор соответствия рекомендациям на сервере и про-
смотреть результат. Для начала сканирования нажмите список-меню
Задачи, а потом выберите команду Начать проверку ВРА.

•	ПРОИЗВОДИТЕЛЬНОСТЬ — позволяет настроить и просмотреть ста-
тус предупреждений производительности относительно использования
центрального процессора и памяти.

•	РОЛИ И КОМПОНЕНТЫ — выводит список ролей и компонентов в
порядке их установки на сервер. Для удаления роли или компонента щел-
кните правой кнопкой мыши (или нажмите и удерживайте палец) и вы-
берите команду Удалить роль или компонент.

Панель СВОЙСТВА позволяет произвести начальную настройку сервера.
Для быстрой настройки доступны следующие свойства.

•	Имя компьюгера/Рабочая группа — отображает имя компьютера и
домена. Щелкните по соответствующей ссылке, чтобы отобразить окно
Свойства системы с активной вкладкой Имя компьютера. Затем мож-
но изменить имя компьютера и имя домена, нажав кнопку Изменить.
После чего введите имя компьютера и домена и нажмите кнопку ОК. По
умолчанию серверам назначаются случайным образом сгенерированные
имена, и они настраиваются как часть рабочей труппы WORKGROUP.

•	Ethernet - показывает конфигурацию TCP/IP для проводных Etherr.et-
соединений. Щелкните по соответствующей ссылке, чтобы открыть кон-
соль Сетевые подключения. Для настройки соединения дважды щелкни-
те на нем, а затем нажмите Свойства для открытия одноименного окна.
По умолчанию серверы настраиваются для использования динамической
адресации для IPv4 и IPv6. Консоль Сетевые подключения можно также
вызвать из Центра управления сетями и общим доступом, выбрав задачу
Изменение параметров адаптера.

•	Конфигурация усиленной безопасности Internet Explorer — показыва-
ет статус расширенной безопасности Internet Explorer (IE ESC). Щелкни-
те по соответствующей ссылке для включения или отключения IE ESC.
Данная функция может быть включена/выключена для пользователей, ад-
министраторов либо для тех и других одновременно. IE ESC — средство
защиты, которое уменьшает восприимчивость сервера к потенциальным
атакам, повышая стандартные уровни безопасности в зонах безопасности
Internet Explorer и изменяя настройки этого браузера по умолчанию. По
умолчанию функциональность IE ESC включена для администраторов и
для пользователей.

•	Объединение сетевых карт — показывает сгатус и конфигурацию
объединения сетевых карт. Щелчок по соответствующей ссылке позво-
лит добавить/удалить объединенные сетевые интерфейсы и изменить их
настройки.

•	Код продукта — показывает идентификатор продукта Windows Server.
Щелкните по соответствующей ссылке для ввода кода продукта и акт ива 
цин операционной системы через Интернет.

•	Удаленный рабочий стол — щелкните по соответствующей ссылке, что-
бы отобразить окно Свойства системы с активной вкладкой Удаленный
доступ. Для настройки удаленного рабочего стола установите необходи-
мые параметры и нажмите кнопку ОК. По умолчанию удаленные соеди-
нения к серверу запрещены.

•	Удаленное администрирование — показываем включено ли для этого
сервера удаленное администрирование. Щелкните по соответствующей
ссылке для включения или выключения удаленного администрирования

•	Часовой ломе — показывает текущий часовой пояс для сервера. Щел-
кните по соответствующей ссылке для отображения окна Дата и время.
Далее нажмите кнопку Изменить часовой пояс, выберите нужный часо-
вой пояс и дважды нажмите кнопку ОК.

•	Брандмауэр Windows — показывает статус брандмауэра Windows. Если
брандмауэр активен, это свойство отображаез имя активного профиля и
статус брандмауэра. Щелкните по соответствующей ссылке для отобра-
жения окна утилиты Брандмауэр Windows.

•	Центр обновления Windows — показывает текущий статус Центра об-
новления Windows. Щелчок (или нажатие) по соответствующей ссылке
позволяет вызвать утилиту Центр обновления Windows, которую можно
использовать для автоматического обновления (если обновление отклю-
чено) или проверить наличие обновлений (если обновление включено).
Аналогично, данную утилиту можно вызвать через Панель управления.
•	Последние установленные обновления — показывает, когда было уста-
новлено последнее обновление 110 Windows Server. Щелчок по дате
последней установки позволяет просмотреть, какие именно обновления
были установлены.

•	Последняя проверка наличия обновлений — когда была произведена
последняя проверка наличия обновлений Windows Server.

•	Антивирусная программа "Защитник Windows" — показывает состо-
яние антивирусной защиты, а щелчок по значению этого поля позволяет
включить/выключить антивирусную защиту.

1.7.2. Удаленное управление серверами

Диспетчер серверов и другие консоли управления Microsoft
(Microsoft Management Consoles, ММС) могут использоваться для
| администрирования удаленных компьютеров, входящих как в состав
домена, так и в состав рабочей группы.

Возможно подключение к серверам, работающим под управлением полной
установки, установки с минимальным графическим интерфейсом пользова-
теля и установки Server Core. На компьютере, который будет использоваться
для удаленного управления другими компьютерами, должна быть установ-
лена как минимум ОС Windows 8 или Windows Server 2012, а также Средства
удаленного администрирования сервера.

В Windows Server 2012/2016/2019 Средства удаленного администрирования
сервера могут быть установлены в виде компонента с помощью мастера до
бавления ролей и компонентов (см. далее).

По умолчанию удаленное управление включено для серверов под управле-
нием Windows Server 2012/2016/2019 для двух т ипов приложений и команд:

1.	Приложения и команды, которые используют для управления удаленный
доступ WinRM и Windows PowerShell;

2.	Приложения и команды, которые для удаленного управления исполь
зуют WMI (Windows Management Instrumentation) и DCOM (Distributed
Component Object Model).

Ml
Данные типы приложений и команд разрешены для удаленного управления,
поскольку для них настроены исключения в правилах брандмауэра Windows,
который включен по умолчанию в Windows Server. В брандмауэре Windows
есть исключения для разрешенных приложений, использующих удаленное
управление, включая следующие средства:

•	Windows Management Instrumentation;

•	Windows Remote Management;

•	Windows Remote Management (в режиме совместимости).

В дополнительных параметрах брандмауэра Windows имеются правила для
входящих соединений, которые соответствуют стандартным разрешенным
приложениям.

Для управления компьютером с помощью Диспетчера серверов пользователь
должен быть членом группы Администраторы. Для удаленных соединений
вам нужно войти в систему с использованием встроенной учетной записи
Администратор или настроить ключ реестра LocalAccountTokenFilterPolicy
для разрешения удаленного доступа с вашего компьютера. Для установки
этого ключа используется следующая команда, которую нужно ввести в ко-
мандной строке с привилегиями администратора:

reg add HKLM\SOFTWARE\Micrcsoft\Windows\CurrentVersion\Policies\System /v

LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f

Используя Диспетчер серверов, можно подключиться к удаленным серве-
рам и управлять ими при условии, что сервер добавлен в список для управ-
ления, Для добавления серверов в Диспетчер серверов выполните следую-
щие действия.

1.	Откройте Диспетчер серверов В левой панели выберите пункт Все сер-
веры для просмотра всех добавленных для управления серверов. Если
необходимого сервера нет в списке, в меню Управление выберите ко-
манду Добавление серверов Откроется одноименное диалоговое окно.

2.	В окне Добавление серверов есть две панели:
» Active Directory (выбрана по умолчанию) — позволяет ввести корот-
кое или полное имя удаленного сервера, работающего под управлени-
ем Windows Server. Введите имя сервера и нажмите кнопку Найти;

» DNS — позволяет добавить серверы по имени или IP-адресу. Введите
имя или IP-адрес и нажмите кнопку Поиск.

3.	Дважды щелкните на найденном сервере для помещения его в список
Выбрано.

4.	Повторите действия 2-3 для добавления других серверов. Нажмите кноп-
ку ОК.

Рис. 1.11. Все серверы

1.8.	Добавление и удаление ролей. ролевых
служб и компонентов

В меню Управление есть две ключевые команды для работы с релями и
компонентами

1.	Добавить роли и компоненты — запускает мастер добавления ролей и
компонентов, который используется для установки ролей и компонентов
на сервере, добавленном для управления.

2.	Удалить роли и компоненты — запускает мастер удаления ролей и ком-
понентов, используемый для деинст алляции ролей и компонентов на сер-
верах, доступных для администрирования.

Ф
В ОС Windows Server 2019 можно установить роли, компоненты и виртуаль-
ные жесткие диски на запущенных серверах (без разницы — виртуальных
или физических). Серверы должны быть добавлены в Диспетчер серверов
и находиться в онлайн-режиме Виргуальные жесткие диски, с которыми
необходимо работать, не должны быть в онлайн-режиме, они должны быть
доступны для выбора

Учитывая все эло, добавить роль сервера или компонент можно с помощью
следующих действий:

1.	В консоли Диспетчер серверов в меню Управление выберите команду
Добавить роли и компоненты. Будет запущен мастер добавления ролей
и компонентов. Если мастер отобразит страницу Перед началом работы
(рис. 1.12), прочитайте вступительный текст и затем нажмите кнопку Да-
лее. Можно отказаться ог просмотра этой страницы при каждом закуске
мастера, установив флажок Пропускать эту страницу по умолчанию
перед нажатием кнопки Далее.

2.	На странице Выбор типа установки по умолчанию отмечен переклю-
чатель Установка ролей или компонентов (рис. 1.13). Нажмите кнопку
Далее.

3.	На странице Выбор целевою сервера можно указать, где нужно устано-
вить роли и компоненты — на сервере или виртуальном жестком диске
(рис. 1.14). Когда будете готовы продолжить, нажмите кнопку Далее.

9в» Мастер добавления ролей и компонентов	—	□ X

Тип установки

Выбор сервера

11срсд началом работы	w-usookcw/s

Этот мастер поможет вам установить рели, службы ролей или компоненты. Определите, что
нужно установить. на основании потребностей своей оргаиимции таких как общий доступ к
документам или размещение веб-сайта

чтобы удалить рели, службы релей или компоненты*

Запустить м«тчр удаления релей и компонентов

Прежде чем вы продолжите, убедитесь, что выполнены следующие задачи:

*	Учетная запись администратора защищена надежным паролем

•	Настроены сетевые параметры, такие как статические IP-адреса

•	Установлены новейшие обновления безопасности из Центра обновления Windows

Если мм требуется проверить, выполнены ли какие-либо предшествующие необходимые условия,
закройте мастер, выполните необходимые шаги и запустите мастер снова

Чтобы продолжить, нажмите кнопку 'Далее*.

О Пропускать зту страницу по умолчанию

<	5 ЕЛ | &г«носип>	!

Рис. 1.12. Перед началом работы
Вы Мастер добавления ролей и компонентов

Выбор типа установки

□ X

КОНЕЧНЫЙ СЕРВЕР
WT4-L60GHCFFA

Перед началом работы

Выбор сервера

Выберите тип установки Вы можете установить роли и компоненты на работающем физическом
компьютере, на виртуальной машине или на автономном виртуальном жестком диске (VHOJ

Ф Установка ролей или компонентов

Настройте один сервер путем добавления ролей, служб ролей и компонентов

Установка служб удаленных рабочих столов

Установите службы ролей дл« инфраструктуры виртуальных рабочих столов (VD1). чтобы
создать развертывание на основе виртуальных компьютеров или сеансов.

| < Назад

Отмена

Рис. 1.13. Выбор типа установки

Мастер добавления ролей и компонентов

□ X

Выбор целевого сервера

КОНЕЧНЫЙ СЕРВЕ?
WN-USOGBECmS

Перед немалом работы

Тиг установки

Выберите сервер или виртуальный жесткий диск, на котором будут установлены роли и
компоненты

Роли сервера
Компоненты

'«'! Выберите сервер из пула серверов
О Выберите виртуальный жесткий диск

На этой странице показаны серверы под управлением Window* Server 2012 или более нового
выпуска Windows Server которые были добавлены с помощью команды "Добавит» серверы' в
диспетчере серверов. Не выводятся автономные серверы и добавленные новые серверы, данные
с которых пока полностью не получены,

[ <Ммад 1 Далее > /лмот [ Отмена

Рис. 1.14. Выбор сервера: Windows Server 2019 поддерживает серверы под управ-
лением Windows Server 2019, 2016 и 2012

4. На странице Выбор ролей сервера выберите одну или несколько ролей
для установки. Если для установки роли требуются дополнительные ком-
поненты, будет отображено дополнительное диалоговое окно. Нажмите
кнопку Добавить компоненты для добавления необходимых компонен-
тов в инсталляцию сервера. Нажмите кнопку Далее для продолжения.
Если вам нужно установить компонент сервера, не обязательно выбирать
какую-либо роль. Например, для установки компонента Система архи-
вации данных Windows Server на странице Выбор ролей сервера ниче-
го не выбирайте, а просто нажмите Далее, а на следующей странице уже
выберите необходимый компонент.

Мастер добавления полей и компонентов

□ X

Вь.бор ролей сервера

КОНЕЧНЫЙ СЕРВЕР

WIKKGOGBKFFJS

Выберите одну или несколько ролей для устдиовкм на этом сервере

Роли

Описание

Перед началом работы

Тип установки

Выбор сервера

Компоненты

□ ЩИВНЕ

□ ONStepsep

I

А Аттестация работоспособности устройств

_ Веб-сервер (HS)

[ ] Доменные службы Active Directory

□ Служба опекуна узла

□ Службы Active Directory облегченного доступе и

] Службы Windows Server Update Servites

~1 Службы активации корпоративных лицензия

Q Службы печати и документов

*] Службы политики сети и доступа

J Службы развертывания Windows

~1 Службы сертификатов Active Directory

1 Службы удаленных рабочих столов

] Службы управления правами Active Directorу

П Службы федерации Active Directory

П Удаленный доступ

I i Щ Файловые службы и службы хранилища (Устано

Ьмштлжив • ... > J

DHCP-сервер позволяет
централизованно настраивать
временные IP-адреса и связанные
с ними данные, предоставлять их
клиентским компьютерам, а также
управлять ими.

'[-<Цазад Ддлее» Остановить Отмена

Рис. 1.15. Ныбвр ролей сервера

5.	На странице Выбор компонентов выберите один или несколько компо-
нентов для установки (рис. 1.16). Если нужно установить дополнитель-
ные компоненты, от которых зависит устанавливаемый компонент, будет
отображено соответствующее диалоговое окно. Нажмите кнопку Доба-
вить компоненты для закрытия этого окна и установки требуемых ком-
понентов на сервер. По окончании выбора компонентов нажмите кнопку
Далее

6	В случае с некоторвгми ролями будут показаны дополнительные страни-
цы мастера, на которых нужно будет предоставить дополнительную ин-
формацию относительно использования и настройки роли. Также можно
установить дополнительные ролевые службы как часть роли.
Мастер добавления ролей и компонентов

□ X

Выбор компонентов

конемk-ый СЕРВЕР
WIN-USCGBECFFTS

Перед началом рабсть

выберите один или несколько компонентов для установки на этом сервере.

Т.<" усдмовтя

Компоненты

Выбор сервера

Ролл сервера

Подтвеождекие

[ J System Insights

! j TeinetChent

I Г ; TFTP Client

✓ Windows Defender Antivirus (Установлено)
[ Windows Identity Foundation 3.5

’ Windows PowerShell (Установлено 3 из 5;
ГЗ Windows TIF= miter

C WiNS-cepeep

Z XPS Viewer (Установлено)

|~1 Балансировка сетевой нагрузки

Г Биометрическая платформа Windows

[J Виртуализации сети

L j Внутренняя база данных Windows

| ! Внутрипроцессное веб-ядро HS

IJ Качество обслуживания ввода-вывода

Г ' Клиент для NFS

Г ; Клиент печати через Интернет

0 Монитор IPS порта

Описание

Provides services to collect and
archive Windows Server system data.

Назад J Далее

Рис. 1.16. Выбор компонентов: установка системы архивации

7.	На странице Подтверждение установки компонентов щелкните но
ссылке Экспорт параметров конфигурации для создания отчета уста-
новки, который можно просмотреть в Internet Explorer (рис. 1.17).

Мастер добавления ролей и компонентов	—ОХ

КОНЕЧНЫЙ СЕРВЕР
WIN-tGOGBfCFFJS

Перед ьачв/’эм работы
тил установки

Bbi5op сервера
Рели сервера
Компоненты

Подтверждение установки компонентов

Чтобы установить на выбранном сервере следующие роли, службы ролей или компоненты,
нажмите кнопку ‘Установить'.

[J , Автоматческий перем пускконечного сервера если требуется' ’	.... . ..... ...j

На этой странице могут быть отображены дополнительные компоненты (например, средства
администрирования], так как они были выбраны автоматически. Если вы не хотите устанавливать
эти дополнительные компоненты, нажмите кнопку 'Назад , чтобы снять их флажки.

Система архивации данных Windows Server

Экспорт параметров конфигурации

Указать альтернативный исходный путь

j «Назад , •	> Установить Отмена I

Рис. 1.17. Подтверждение установки компонентов
8.	Для начала установки нажмите кнопку Установить. Если нужно, вклю-
чите параметр Автоматический перезапуск конечного сервера, если
требуется Будьте осторожны с этой опцией при установке компонента/
роли на реальный работающий сервер. Вполне вероятно, его перезапуск
возможен только вне бизнес-времени - тогда можно будет не перезагру-
жать сервер сразу, а сделать это позже - вручную.

9.	О завершении установки выбранных ролей и компонентов сообщит стра
ница Ход установки (рис. 1.18). Просмотрите подробности установки
и убедитесь, что все фазы инсталляции завершены успешно. Нажмите
кнопку Закрыть.

Рис. 1.18. Компонент установлен

Для удаления роли сервера или компонента в меню Управление выберите
команду Удалить роли и компоненты. Далее нужно использовать
мастер удаления ролей и компонентов аналогично установке роли7компо
нента. только нужно галочку в списке роли/компонента не устанавливать, а
снимать. Все предельно просто.
Глава 2.

Мониторинг процессов,
сервисов и событий
Администратору нужно тщательно присматривать за сетевыми системами
сервера. Состояние использования системных ресурсов может измениться
в любой момент и вовсе не в лучшую сторону. Службы могут перестать ра-
ботать. В файловых системах может закончиться свободное пространство.
Приложения могут порождать исключительные ситуации, что приведет к
системным проблемам. Неавторизованные пользователи будут пытаться по-
лучить несанкционированный доступ. Методы, рассмотренные в этой главе,
помогут идентифицировать и разрешить эти и другие системные проблемы.

2.1.	Управление процессами и приложениями

Когда вы запускаете приложение или вводите команду в командной строке,
операционная система запускает один или более процессов. Все запускае-
мые процессы называются интерактивными, поскольку пользователь вза-
имодействует с ними с помощью клавиатуры или мыши. Если приложение
(или программа) активно и выбрано, интерактивный процесс контролирует
клавиатуру и мышь, пока пользователь не завершит программу или не вы-
берет другую.

Однако процесс может работать и в фоновом режиме, такие процессы на-
зывают фоновыми.

«
Фоновые процессы могут выполняться независимо от пользова-
I тельского сеанса, обычно такие процессы запускает сама операцион-
ная система

Пример такого фоновою процесса — задание планировщика, которое за-
пускает сама операционная система. В этом случае пользователь говорит
системе, что ей нужно выполнить команду в указанное время.

2Л.1. Диспетчер задач

Для управления системными процессами и приложениями используется
Диспетчер задач. Есть несколько способов открыть Диспетчер задач в
Windows Server 2019:

•	С помощью комбинации клавиш Ctrl + Shift + Esc.

•	С помощью щелчка правой кнопки мыши на кнопке открытия главного
меню (ранее кнопка Пуск) - в появившемся меню нужно выбрать коман-
ду Диспетчер задач.

•	С помощью команды taskmgr (ее можно ввести в командной строке, в
окне Выполнить, которое появляется при нажатии комбинации Win + R,
или в любом другом средстве запуска приложений).

Вкладка '’Процессы”

У диспетчера задач есть два представления:

1.	Сводка — перечисляются только приложения, запушенные в интерак-
тивном режиме, что позволяет быстро выбирать такие приложения.

2.	Подробный вид — расширенное предоставление, где есть дополнитель-
ные вкладки, которые можно использовать для получения информации
обо всех запущенных процессах, производительности системы, подклю-
ченных пользователях и настроенных службах.

Ф
Находясь в первом представлении, переключиться во второе представление
можно нажатием кнопки Подробнее. Для переключения со второго пред
ставления в первое используется кнопка Меньше. При повторном открытии
диспетчера задач он будет находиться в последнем выбранном представле-
нии

Для администратора представляет интерес именно расширенное представ-
ление. В нем есть несколько вкладок (рис. 2.1), позволяющих работать с за-
пушенными процессами, производительностью системы, подключенными
пользователями и настроенными службами. Вкладка Процессы, также по-
казанная на рис. 2 1, показывает общий статус процессов. Процессы группи-
руются по типу и выводятся в алфавитном порядке в пределах каждою типа.
Есть три общих типа процессов:

1.	Приложения — процессы, запущенные в интерактивном режиме;

2.	Фоновые процессы — процессы, работ ающие в фоновом режиме;

3	Процессы Windows — процессы, запускаемые операционной системой.

Диспетчер задач	—	□ X

Файл Параметры Вид

Процессы Производительность Пользователи Подробности Службы

л	5%	63%

Имя	Состояние	ЦП Память

Приложения (4)

>	«и Server Manager

>	Диспетчер задач

>	0 Параметры

>	'й Проводник

Фоновые процессы (25)

>	® Antimaiware Service Executable

S3 Application Frame Host

S3 COM Surrogate

> S3 COM Surrogate

CTF-загрузчик

A -XSSS- л ---«я—Ш'-»»*.*— к— . -

1^) Меньше

0,6%	152,0	МБ

1.2%	14,8 МБ

0%	192	МБ

0%	22,1	МБ

0%	1612	МБ

0%	4,7	МБ

0%	20	МБ

0%	3,1	МБ

0%	3,7	МБ

Рис. 2.1. Диспетчер задач в расширенном представлении
При просмотре списка процессов учитывайте следующее:

•	Многие Windows-процессы также группируются по узлу службы, под
управлением которой они работают. Узлы службы могут быть такими:
Локальная служба, Локальная система, Сетевая служба. В круглых скоб
ках указывается число сгруппированных процессов. Чтобы просмотреть
фактические процессы, можно развернуть узел. В меню Вид есть коман-
да Развернуть все для разворачивания всех групп процессов для более
простого просмотра.

•	В меню Вид также есть команда Группировать по типу, определяющая,
будут ли процессы группироваться по типу или выводиться просто в ал-
фавитном порядке.

•	Также заметьте, что можно запустить пршрамму прямо из диспетчера за-
дач. Для этого в меню Файл выберите команду Запустить новую зада-
чу. В появившемся окне у вас будет возможность выбрать исполняемый
файл программы и запустить задачу с нравами администратора.

•	Колонка Состояние показывает, выполняется ли приложение или же
остановлено. Если в этой колонке ничего пег, это означает нормальное
выполнение процесса. Любое другое значение в этой колонке свиде-
тельствует о наличии какой-то проблемы, например, приложение мо-
жет «зависнуть», и администратору придется завершить соответству-
ющую ему задачу Однако некоторые приложения могут не от вечать на
запросы системы во время интенсивных вычислений. Поэтому перед
завершением задачи убедитесь, что приложение действительно завис-
ло.

Для завершения процесса нужно выбрать его и нажать кнопку Снять зада-
чу. Однако не нужно пытаться завершить работу Windows-процессов с по-
мощью этой кнопки. При попытке остановить Windows-процесс или груп-
пу процессов диспетчер задач отобразит предупреждение, что завершение
данного процесса может привести к нестабильной работе системы и даже
завершению работы. Чтобы продолжить, нужно установить флажок Не
сохранять данные и завершить работу и нажать кнопку Завершить ра-
боту.
Примечание. Учтите, что даже администратор не может завершить
некоторые системные процессы. Например, при попытке завершить
процесс Antimatwape Service Executable (процесс антивируса) вы полу-
чите сообщение «Отказано □ доступе». Чтобы выключить временно
антивирус, откройте окно Параметры, перейдите в раздел Безопас-
ность Windows, нажмите кнопку Открыть службу «Безопасность
Windows», перейдите в раздел Защита от вирусов и угроз, щелкните
по ссылке Управление настройками, выключите параметр Защита в
режиме реального времени (рис. 2.2). Только так можно отключить
антивирус Защитник Windows. Немного запутанно, но другого способа
ног

iiUHiuiiiuniUHiHiiHHiuiiuiiiiiiiiu>HiiHiiuniimiiiiiiiiHiiuiiiinHimHiHiiiiiiiiiiiiuiiiuiHiiniiiiHiiiiHiiiiiiiiiuiniiiiiiiii>iiiuiiuiiiiiiiuiniuiniuiinuinuunuiniHiiiuHiiiHiiiiiiuiiiuiiiiiiiiHUiiiiiniiuHii»iiiiiiii(iiiiHiiuiiiiuiiuiiiiiiiiHiiiHiHiiniiiiiiiiiiiHiiiiiiiiiiiiiiiiiiiii<iiiiiiiiiiii

Параметры

безопасность Windows

<л1 Главная

Б<

Обновление и безопасность

Сл1 =
пр

Л

о Параметры защиты от вирусов и
других угроз

Просмотрите и обновите параметры защиты от вирусов и угроз для
антивирусной программы "Защитника Windows".

Центр обновления Windows

01

(<!•}

Оптимизация доставки

Безопасность Windows

Защита в режиме реального времени

Обнаруживает и останавливает установку или запуск вредоносных
программ на вашем устройстве. Можно на короткое время отключить
этот параметр, после чего он будет снова включен автоматически

ю









Устранение неполадок



4MD в™

©

Восстановление

Б

Активация

Облачная защита

п

Для разработчиков

I ©

За_.

улучшенную и ускоренную защиту благодаря доступу к
чым о защите в облаке. Для наилучшего результата
включил» функцию автоматической отправки

И > дли f )ЫГ»Й УШИТЫ в Ин

	

0,Х» *

0





Рис. 2.2. Отключение процесса антивируса

Другие колонки вкладки Процессы предоставляют дополнительную инфор-
мацию о выполнении процессов. Эти сведения можно использовать, чтобы
определить, какие процессы потребляют больше всего системных ресурсов.
По умолчанию на вкладке отображаются только столбцы ЦП и Память, но
добавить дополнительные можно, щелкнув правой кнопкой мыши по лю-
бому заголовку и затем выбрав нужный столбец из появившегося меню. В
дополнение к названию и состоянию, доступны следующие столбцы
•	ЦП — процент использования процессора текущим процессом (ио всем
ядрам). Значение в заголовке - общее использование процессора (по
всем ядрам) всеми запущенными процессами;

•	Память общий объем памяти, зарезервированный для процесса. Зна-
чение в заголовке столбца — общее использование физической памяти
сервером;

•	Командная строка — полный путь к исполняемому файлу процесса, а
также любые переданные при запуске аргументы;

•	ИД процесса — числовой идентификатор процесса;

•	Имя процесса — имя процесса или исполняемого файла процесса;

•	Издатель — название издагеля процесса, например Microsoft Corporation;

•	Тип — тип процесса (приложение, фоновый процесс, Windows-процесс).
Эта информация полезна, если опция Группировать по типу в меню Вид
выключена.

Щелчок правой кнопкой мыши по процессу отображает контекстное меню
действий над ним:

•	Снять задачу — завешает задачу приложения;

•	Создать файл дампа — создает файл дампа для отладки;

•	Подробно — открывает страницу Подробности и огображаез на ней
выбранный процесс;

•	Открыть расположение файла — открывает папку, в которой находится
исполняемый файл процесса;

•	Свойства — открывает окно Свойства для соответствующего исполня-
емого файла процесса.

Вкладка "Подробности". Изменение приоритета процесса

llllllllllllllillllOIIIIIIIIIIIUIIIIIillllllllllinilllllllllllHIIIIIUIIIIIIllllllllllllllllllllllllllllMIIIIUIIIINIIItMIIIIIIIIIIIIIIIIL

Вкладка Подробности диспетчера задач (рис. 2.3) предоставляет
подробную информацию о запущенных процессах.
Столбцы, по умолчанию отображаемые на этой вкладке, подобны тем, ко-
торые отображаются на вкладке Процессы. Колонка Виртуализация UAC
отображает состояние виртуализации UAC (User Account Control) для опре-
деленного процесса.

 > Диспетчер задач

файл Параметры Вид
Процессы Производительность Пользователи Подробности службы

Имя

ТОАррНсяьолЕлмпеНо .
с»гие>е

! «ч csmexe
ctf топике

[®'!diihoO еке
PF difhost exe
!®!dwm.exe
Г» explorer exe

fontocvtiostexe

fFJ torrtdfvhojlexe
!'*•] Isaseexe

33 ManagementAgeniH..

yr. rnsdtc.exe

SS MsMpEng.exe
flPJ.14isSr*exe

34 Registry

HF RurrtimeBroKe'-exe
® RuntimeBroterexe
да RurrtinreBroke/ e»e

ИД п_	Состояние

1836	Выполняется

380	Выполняется

460	Выполняется

772	Выполняется

3008	Выполняется

4332	Выполняется

920	Выполняется

1468	Выполняется

752	Выполняется

760	Выполняется

620	Выполняется

2320	Выполняется

1832	Выполняется

2296	Выполняется

3236	Выполняется

88	Выполняется

1840	Выполняется

956	Выполняется

4372	Выполняется

Имя пользователя
Администргтор
СИСТЕМА
СИСТЕМА
Администратор
СИСТЕМА

Админ негра тор
OWM-1

Администратор

UMFD-0
UMFD-1
СИСТЕМА
СИСТЕМА
NETWORK SERVICE
СИСТЕМА
lOCAt SERVICE
СИСТЕМА
Ажминистратоо
Администратор
Администратор

ЦП Пвмдты Сяктивг-. Виртуализация UAC
00	3 616 К	Не разрешено

00	1 384 К	Не разрешено

00	1 392 К	Не разрешено

00	3 832 К	Не разрешено

ОО	3 196 К	Не разрешено

00	2 12В К	Не разрешено

00	28 580 К	Отключено

00	22 2Э6 К	Не разрешено

00	1 100 К	Отслюнено

00	1 4$2 к	Отключено

00	5 448 К	Не разрешено

00.	2 696 К	Не разрешено

00	2 292 К	Не разрешено

00	160 352 К	Не разрешено

00	2 SS2 К	Не разрешено

00	984 К Не разрешено

00	3 320 К Не разрешено

00	19 728 К Не разрешено

00	2 200 К Не разрешено

Меньше

ГмяТш зддачу

Рис. 2.3, Вкладка "Подробности"

Вкладка Подробности интересна администратору дополнительными столб-
цами, предоставляющими много интересной информации о процессе. Если
щелкнуть правой кнопкой мыши по заголовку любого столбца и выбрать
команду Выбрать столбцы, можно добавить дополнительные колонки, ко-
торые пригодятся при решении системных проблем.

Выбор столбцов

Выберите столбцы, которые будут отображаться в
таблице.

□ Имя пакета

Р7! ИД процесса

0 Состояние

Q Имя пользователя

ИД сеанса

□ ИД объекта задания

И ил

Г~| Время ЦП

□ Цикл

□ Рабочий набор (память)

□ Пиковый рабочий набор (память)

Г~| Дельта рабочего набора (память)

| ОК | Отмена

Рис. 2.4. Дополнительные столбцы




Рассмотрим эти пункты чуть подробнее:

•	Базовый приоритет — определяет, сколько системных ресурсов будет
выделено процессу. Для установки приоритета щелкните правой кнопкой
мыши по процессу и выберите команду Задал ь приоритет. Затем выбе-
рите приоритет. Низкий, Ниже среднего, Обычный, Выше среднего,
Высокий, Реального времени. Большинство процессов выполняется с
обычным приоритетом. Наивысший приоритет у процессов реального
времени.

•	Время ЦП — общее процессорное время, использованное процессом с
момента ею запуска. Чтобы просмотреть процессы, использующие боль-
ше всего процессорного времени, отобразите эту колонку и щелкните на
ее заголовке для сортировки записей по процессорному времени.

•	Предотвращение выполнения данных — показывает, включена ли
функциональность DEP для этого процесса.

•	С более высоким уровнем разрешений — показывает, выполняется ли
процесс с правами администратора.

•	Дескрипторы — общее число дескрипторов, связанных с процессом.
Используйте число дескрипторов, чтобы определить, сколько файлов
открыл процесс. Некоторые процессы открывают тысячи файлов, что
расходует системную память. Однако большое количеезво открытых де-
скрипторов не означает, что процесс нужно сразу «убить». Нет. Нужно
выполнить его настройку, чтобы уменьшить количество потребляемых
ресурсов.

•	Операций чтения, Операций записи — общее число операций диско-
вого ввода/вывода (I/O) с момента запуска проекта. Общее число опера-
ций чтения и записи говорит о том, как активно процесс использует диск.
Если число операций чтения,-записи растет непропорционально фактиче-
ской активности сервера, процесс может не использовать кэширование
файлов или же кэширование не настроено должным образом. В идеале
кэширование сокращает потребность в операциях ввода/вывода.

•	Ошибки страницы — ошибки страниц возникают, когда процесс
запрашивает страницу в памяти, которую система не может найти в
запрашиваемом месте. Если страница находится где-то в памяти, ошибка
называется мягкой. Если же запрашиваемая страница находится на дис-
ке, ошибка называется жесткой. Большинство процессоров может обра-
ботагь скромное число мягких ошибок. Жесткие ошибки вызывают су
шественные задержки

•	Выгружаемый пул, невыгружаемый пул — выгружаемый пул —
облает], системной памяти для объектов, которые могут быть записаны
на диск, если они не используются. Невыгружаемый пул — область
системной памяти для объектов, которые не могут быть записаны на
диск. Отметьте процессы, требующие большого объема невыгружаемой
памяти. Если недостаточно свободной памяти на сервере, эти процессы
могут стать причиной большою количества ошибок страниц.

•	Пиковый рабочий набор — наибольшее количество памяти, использу •
емой процессом. Разница, или дельта, между текущим использованием
памяти и пиковым значением также важна. Приложения с большой дель
той между использованием базовой памяти и пиковым рабочим набором,
как например Microsoft SQL Server, нуждаются в выделении большего
объема памяти при запуске — так они будут лучше работать.

•	Платформа платформа, для которой предназначен процесс (32- или
64-битная). 64-разрядные версии Windows могут выполнять 64- и 32-раз-
рядные приложения, используя уровень эмуляции WoW64 (Windows on
Windows 64) x86. Подсистема WoW64 изолирует 32 разрядные приложе
ния от 64-разрядных. Это позволяет избежать проблем с файловой систе-
мой и реестром.

•	ИД процесса — числовой идентификатор процесса.

•	ИД сеанса — идентификатор сеанса, в котором запушен процесс

•	Потоки — текущее число потоков, используемых процессом. Большин-
ство серверных приложений являются многопотоковыми. Многопоточ-
ность допускает параллельное выполнение запросов процесса. Неко-
торые приложения могут динамически управлять числом параллельно
выполняющихся потоков для улучшения производительности приложе-
ния. Однако слишком много истоков может фактически уменьшить про-
изводительность, поскольку операционная система должна слишком
часто переключать контексты потока

•	Виртуализация UAC — показывает, включена ли виртуализация кон-
троля учетных записей (User Account Control, UAC). Виртуализация мо-
жет быть включена, выключена или не поддерживаться процессом. Вир-
туализация необходима для очень старых приложений, написанных для


Windows ХР, Windows Server 2003 и более ранних версий Windows Ког-
да виртуализация контроля учетных записей включена, уведомления об
ошибках и протоколирование ошибок, связанных с визуализированны-
ми файлами и значениями реестра, будут записаны в виртуализированное
расположение, а не в фактическое, в которое процесс пытался записать.
Если виртуализация выключена или не поддерживается, при попытке за-
писать данные в защищенные папки или области реестра процесс пре-
крати! сбою работу.

Примечание. В списке Диспетчера задач есть специальный процесс
— Бездействие системы Нельзя установить приоритет для этого про-
цесса. В отличие от других процессов, для этого процесса выводится
количество свободных ресурсов (которые не используются). Так, 99%
в колонке ЦП (CPU) для бездействия системы означает, что система
практически не используется.

Помните, что одно приложение может запускать несколько процессов. Эт и
процессы зависимы от центрального процесса. Начиная с этого главною
процесса, формируется дерево процесса, состоящее из зависимых процес-
сов. Найти главный процесс приложения можно, щелкнув на нем правой
кнопкой мыши на вкладке Процессы и выбрав команду Подробно. При за-
вершении приложения нужно завершить основной процесс приложения, а
не зависимые процессы. Это гарантирует, что приложение будет корректно
остановлено.

Чтобы закрыть основной процесс приложения и все зависимые процессы,
можно выполнить одно из следующих действий:

•	Находясь на вкладке Процессы, щелкнуть на приложении правой кноп-
кой мыши и выбрать команду Снять задачу;

•	Находясь на вкладке Подробности, щелкнуть правой кнопкой мыши на
главном процессе приложения и выбрать команду Снять задачу;

•	Находясь на вкладке Подробности, щелкнуть правой кнопкой мыши на
главном или зависимом процессе и выбрать команду Завершить дерево
процессов.
Вкладка "Службы". Просмотр системных служб

Вкладка Службы диспетчера задач предоставляет обзор системных
служб.

h i  ин- hi 111-'i111 111    nr-tin iii' пи ini 'ini. inulin hi uni и .чини и in n ull nut- ни. inn пн inn ini hi hi n hi iiituiii in inn. niii niii-ш ,n и in in mi пип i in n in I и. и iiiiiiiiiiiiiiiiiiiiinF

Вкладка отображает имя службы, ИД процесса, описание, состояние и груп-
пу службы. У нескольких служб может быть о тин и тот же ИД процесса (рис.
2.5). Можно быстро отсортировать службы по их ИД процесса, щелкнув по
соответствующему заголовку. Аналогично, можно отсортировать службы по
их состоянию — Выполняется или Остановлено.

Диспетчер задач	—	□ X

Файл Параметры Вид

Процессы Производительность Пользователи Подробности Службы

Имя	ИД п„

^AJRouter
4i,ALG
^AppIDSvc
^Appinfo 1100
'S&AppMgmt
AppRead i ness

ДддррУСИет
$4>AppXSvc
^,AudioEndpo... 1012
^Audiosrv	1900

S&AxInstSV

S&0FE	1932

‘&BITS
3&8rokerlnfra$t.. 724
^BTAGService
^BthAvctpSvc 1076
^bthserv
S&camsvc
4^CeptureServi,,

Описание

Служба маршрута-
Служба шлюза ур.™
Удостоверение л...
Сведения о прил-
Управление прил...
Готовность прило-
Microsoft App-V CL.

Служба разверты.

Средство построе-
Windows Audio
Установщик Activ...

Служба базовой -
Фоновая интелле™
Служба и и фр астр-
Служба звукового™.

Служба AVCTP

Служба поддержк...

Служба диспетче-
CaprureService

Состояние
Осгановле.
Остановлен
Осгановле
Выполняет...
Осгановле.™
Остаковле-
Остановле..
Остановлен
Выполняет
Выполняет».
Осгановле-
Выполняет.
Остамовле.-
Выполняет..
Осгановле...

Выполняет™
Остановлен
Остановлен
Остановлен

Группа

LocalServic...

LocalServic-
netsvcs

netsvcs

AppRead in..

wsappx
LocalSyste-
LocalServia.
AxInstSVGr...
LocalServic-

netsvcs
Dcomlaunch
LocalServic-
LocalService
LocalService
appmodel
LocalService

Мемьше Открыть службы

Рис. 2.5. Просмотр системных служб

Колонка Группа предоставляет дополнительную информацию о контекстах
узла службы, под которым выполняется служба. Для служб, работающих с
ограничениями, эти ограничения указываются в колонке Группа. Напри-
мер, если для локальной службы в коленке указано Local ServiceNoNetwork,
это означает, что у службы нет доступа к сети; также может быть указано
LccalServiceNetworkR.estncied, т.е. у службы ограниченный доступ к сети.
Некоторые службы выполняются через Svchost.exe (параметр -к). Например,
служба RetnoteRegislry запускается командой svchost.exe -к regsve. В колонке
Группа для нее будет значение regsve.


Если щелкнуть правой кнопкой мыши (или нажать и удерживагь палец) по
службе, появится контекстное меню, позволяющее выполнить следующие
операции:

•	Запустить остановленную службу;

•	Остановить работающую службу;

•	Перейти к процессу службы на вкладку Подробност и.

Вкладка "Производительность"

Вкладка Производительность предоставляет общую информацию
об использовании ЦП и памяти и отображает графики и статистику
(рис. 2.6).

Эта вкладка позволяет быстро получить данные об использовании систем-
ных ресурсов.

ft} Дклетиер задач	—	□ X

файл Параметры fiaa
Процессы (Производительность^ Пользователи Подробности Службы

О ЦП
23% 2.71 ГГц

Q Память

2,073,0 ГБ (67%)

О Ethernet
ГУ 0 Кбит/С П 0 кбит/с



Ц П	Intel(R) CorefTM) iS-7200U CPU @ 2.50GHz

Испольчздание Гкордать	Баюычскдои. 171 ГГц

22%	2,71 ГГЦ	’

Виртуальные n&PuiKrepw 2

Приксы п«цж,- Деприпторы Вй{лу)М1>и<1И M4WMW,	Да

65	895	31844	№и	н/д

Времч работы
0:12:19:39

Меньше	Открыв монитор ресурсов	>

Рис, 2,6. Вкладка "Производительность"

Графики на вкладке Производительность предоставляют следующую ин-
формацию:

•	ЦП — график использования ЦП в разрезе времени;
•	Память  — график использования памяти в разрезе времени;

•	Ethernet — график использования сети в разрезе времени.

Для просмотра подробной информации в области справа щелкните по свод-
ному графику на левой панели вкладки. Чтобы увидеть крупный план лю-
бого графика, дважды щелкните по нему Повторный двойной щелчок воз-
вращает прежний режим просмотра.

В меню Вид вы найдете команду Скорость обновления, которая позволяет
изменять скорости обновления графика. При низкой скорости т рафик обнов-
ляется каждые 4 секунды, 2 секунды при обычной скорости и дважды в се-
кунду при высокой скорости.

Информацию с графика ЦП можно использовать для быстрого определения
времени работы сервера (с момента запуска), числа физических процессо-
ров, числа логических процессоров, кэша процессора (LI, L2, L3), а также
определения, включена ли аппаратная виртуализация.

•	Дескрипторы — показывает число используемых дескрипторов ввода
вывода, которые действуют как токены, позволяющие программам полу-
чать доступ к ресурсам. Пропускная способность ввода-вывода и про-
изводительность дисковой подсистемы влияют на систему больше, чем
высокое число дескрипторов ввода-вывода.

•	Потоки — показывает число используемых потоков, пот ок — базовая
единица выполнения в пределах процесса.

•	Процессы — показывает число используемых процессов. Процессы —
это запущенные экземпляры исполнимых файлов программы.

•	Время работы — показывает, как долго система работает с последнего
запу ска.

При выборе режима Память график Использование памяти покажет общее
использование частного рабочего набора за последние 60 секунд. Гисто-
грамма Структура памяти показывает следующее’

•	Используется. — объем памяти, используемый процессами;

•	Изменено — память, содержимое которой необходимо записать на диск,
прежде чем использовать ее в других целях;

•	Зарезервировано — память, содержащая кэшированные данные и код,
которые сейчас не используются;	л
•	Свободно — память, которая сейчас не используется ни для каких целей.

Диспетчер задач	—	□ X

файл Параметры Вад
Процессы Производительность Пользователи Подробности Службы

ш»лгги	Память	3.0ГБ |

О Память	I "	Ц

1,8/3.0 Гб (60%)	____________ Ц

О Ethernet

О О кби-/с П 0 кбит/с	4—-------------------------—--------------------------:

4V	

Агюль^хвкхаъи Доступно •	Н/Д

1г6ГБ(0МБ) 1,3 ГБ ^.^оваиоаграратьо 0МБ

1,4/3,0 ГБ 1,3 ГБ
ружаемьй тул мевы'реоемый пул	

178 МБ 92,0 МБ

Меньше Ч, Охрить монитор ресуосов

Рис. 2.7. Информация о памяти

Общий объем физической памяти сервера выводится в правом верхнем углу
при работе с графиком памяти. Снизу под графиком выводится следующая
информация:

•	Используется — сколько физической памяти используется

•	Доступно — показывает объем физического ОЗУ. доступный для исполь-
зования (включает память, помеченную как «зарезервировано» и «сво-
бодно»). Должно быть не менее 5% свободной физической памяти на
сервере. Если доступно менее 5%, сервер пора модернизировать - или
добавить память в панели управления (если речь идет о виртуальном сер
вере), или установить модуль памяти (для физического сервера).

•	Выделено — показывает виртуальную память, используемую в данный
момент, и общий объем виртуальной памяти. Если первое значение всего
лишь на 10% меньше второго (общий объем), тогда нужно добавить фи-
зическую память и/'или виртуальную память (увеличить файл подкачки).

•	Кэшировано — показывает объем памяти, используемой для системного
кэша.

Выгружаемый пул — предоставляет информацию о некритической па-
мяти ядра, которая используется ядром ОС.
•	Невыгружаемый пул — предоставляет информацию по критической
памяти ядра, которая используется ядром ОС.

При выборе режима Ethernet диспетчер задач отобразит общую информа-
цию об использовании сетевых адаптеров системы. Можно учитывать эти
сведения для быстрого определения процента использования, скорости со-
единения и операционного статуса использования каждою сетевого адапте-
ра, настроенного в системе.

Имя активного сетевого адаптера отображается в правом верхнем углу. Если
в системе есть всего один сетевой адаптер, трафик показывает информацию
об использовании только этого сетевого адаптера. Если у системы сеть не-
сколько сетевых адаптеров, график выводит общую информацию по всем
сетевым соединениям, обо всем сетевом трафике.

Вкладка ’'Пользователи*'

Удаленные пользователи могут использовать удаленный рабочий стол для
подключения к серверу. Удаленный рабочий стол позволяет администриро-
вать системы удаленно, как будто это локальные системы. Операционная
система Windows Server 2019 поддерживает два активных одновременных
сеанса.

Диспетчер задач
файл Параметры Вид
Процессы Производительность Пользователи Подробности Службы

идмователь

 Администратор (20)

Ж Application Frame Host

33 COM Surrogate
jFf СП-загрузчик

Runtime Broker

SB Runtime Broker
3P Runtime Broker
ь Server Manager

S3 $he»i infrastructure ноя

SmartScreen Защитника
3»'l Usermode Font Driver Ноя
es VMware Tool» Core Service
Q Winoow* Shell Experience „
; Диспетчер задач

W Диспетчер окон рабочее
Ц Поиск

В...» .ПмоамЬшш

Меньше

8%	58%

Состояние	ЦП Памяти

7,1»	294,9	Мб

ОТ»	33 МБ

М	21 МБ

0*	1ВМ6

0%	19,3	Мб

0%	2.1Мб

О*	3,2 МБ

0%	1563	Мб

0%	4.1	МБ

0%	62	МБ

О*	1.5 МБ

12*	113	МБ

Приостаноеле	О*	О МБ

26*	16.7	МБ

1J*	28,1	МБ

Приоетамовле»	О*	О МБ

'-—.'ъ.—1 ж_-------.^.1:’	- дм м дес

Отмочить

Рис. 2.8. Вкладка "Пользователи"
Один из способов контролировать подключения удаленного работе! о стола
заключается в использовании диспетчера задач. Откройте диспетчер задач и
перейдите на вкладку Пользователи (рис. 2.8). Данная вкладка показывает
интерактивные сеансы пользователей (как локальные, так и удаленные).

Для каждого сеанса пользователя по умолчанию выводится имя пользовате-
ля, статус, загрузка ЦП, использование памяти Другие колонки можно до-
бавить с помощью правого щелчка мышью по заголовку и выбора нужной
колонки. Доступны следующие варианты:

•	Код — идентификатор сессии;

•	Сеанс — тип сеанса. У пользователя, зарегистрировавшегося в системе
локально, будет тип Console. В других случаях выводятся тип соедине-
ния и используемый протокол, например RDP-TCP для Remote Desktop
Protocol (RDP) и TCP в качестве транспортного протокола;

•	Имя клиента — для удаленных соединений здесь выводится имя ком-
пьютера клиента,

•	ЦП и Память — они пригодятся при решении проблем производитель-
ности, связанных с зарегистрированными в системе пользователями. Об-
щий процент использования по всем пользователям приводится в заго-
ловке таблицы.

Если щелкнуть правой кнопкой мыши на сеансе пользователя, появится кон-
текстное меню со следующими командами:

•	Подключить — позволяет подключиться к сеансу удаленного пользова-
теля, если он неактивен;

•	Отключить — позволяет отключить сеанс удаленного или локального
пользователя и завершить все запущенные пользователем приложения
без сохранения данных;

•	Выход из системы — позволяет осуществить нормальный процесс вы
хода из системы. Приложения будут закрыты с сохранением данных так,
как если бы пользователь выполнил нормальный выход из системы;

•	Отправить сообщение — позволяет отправить консольное сообщение
зарегистрированному пользователю

L .т, < > 
2.1.2.	Управление службами

Службы предоставляют ключевую функциональность рабочим станциям и
сеоверам. Для управления системными службами можно использовать
панель Службы в Диспетчере серверов или узел Службы в оснастке Управ-
ление компьютером.

Откройте Диспетчер серверов и перейдите к панели Службы (в разделе
Локальный сервер).

Рис. 2.9. Панель "Службы"

Панель Службы предоставляет информацию о зарегистрированных в систе-
ме службах в виде таблиц со следующими колонками:

•	Имя сервера - имя сервера, на котором запущена служба;

•	Полное имя сервера — полное доменное имя сервера, на котором за-
пущена служба;

•	Отображаемое имя — отображаемое имя службы, используется для луч-
шего восприятия службы;

•	Имя службы — внутреннее название службы;

•	Описание — краткое описание назначения службы;

•	Состояние — состояние службы (может быть Выполняется, Приост анов-
лена, Остановлена);
•	Гип запуска — тип запуска службы. Службы с автоматическим запуском
зад ружаются при загрузке системы. Пользователи или другие службы мо-
гут запускать службы с типом запуска Вручную. Отключенные службы
не могут быть запущены, пока их статус Отключена.

Если какая-го из колонок у вас не отображается, щелкните на заголовке
таблицы правой кнопкой мыши и выберите необходимые колонки.

Щелчок правой кнопкой мыши по службе открывает контекстное меню,
ь котором будут команды запуска, останова, приостановки, перезапуска и
возобновления работы службы. Однако в этом меню не будет привычной
команды Свойства, позволяющей изменить параметры службы, например,
изменить ее тип запуска.

Запустите оснастку Управление компьютером, перейдите в раздел Служ-
бы и приложения, выберите узел Службы. Вы увидите привычное (если
говорить о настольных версиях Windows) представление для администриро-
вания служб, см. рис. 2.10.

jjp1 Управление компьютером
файл Действие йид Справка

А* Управление компьютер
ч ?i Служебные програм
’ Планировщик зад
- W Просмотр событг
Ы Общие папки

♦' Доильные польз

• ® Производительно
Л Диспетчер устрой;

* В Запоминающие усге
• Система архиваи»

Управление диске

ч г. Службы и приложен1
3 Маршрутизация и
% Службы

л Управляющий зле

CaptureServtce.SbeSl

ДЕ'УГДг!. 1 службу

Описание-

Служба записи ОпеСоге

Имя

vConsentUX_5oa93

ЛкСогеМемад'лд
ft Dev>ceP>cier_5ba93

Dev cesftow_5ba93

^ОНС°-«*иент

'DNS-клиент

:GraphiCs»^rfSvr
ftKt*nR*n для координ.

: Microsoft Apo-V Cbent
JOpenSSH Autnenbcat

5>?iug and ?!ay
n’rirrtW0ricfl0w_5ba93
d* Quality W-ndows Aud‘
..Shared ₽C Account M

ДИСКОВЫХ ПРОСТ .
sJSysMam

& TP AutoConnect Se-vr
tp VC Gatew»y Sennce

Действия

Описание Состояние Тип запуска Вход от имени

Позволяет.

Позволяет,

Служба D-
Graphics р._
Кооодинл.

Manages А...
Agent to h..
Позволяет .
Рабочий п_
Qua.ity WU
Manages о.
Служба уз,
Поддержи.
ThinPnnt с...

Update Orchestrator S , Управляет..

Д VMware АД as Mana®.. Alias Мапа.

------------VMy-аяС _

Расширенный /, С-вндвртный >

Выполняется

Выполняется
Выполняется

Выполняется

Выполняется

Выполняется

Выполняется

Вручную

Отключена

Вручную
Ав’оматнче-

Ал-оматиче.
О’ключена

Вручную гз<,
Опслючеиа

Гохальная сис .

Локальная слу..

Дополчигельн...

Captur«Sew«e_Sbi93

Дояолнительн

Вручную

Вручную

Вручную

Вручную
Автомат ине .

Вручную
Вручную
Автоматиче-
Ав’сматиче

Сетевая служба
Доильная сис.
Се-евая служба
Локальная сис,_
Локальная сис,
Г сильная сис...
Локальная сис.
Доильная слу
Локальная сие.
Се-евая служба
Доильная сис,
Локальная сис.

Локальная сис
Доильная сне..
Гокэлы<ая сас .

Т

Рис. 2.10. Службы

Колонки таблицы с информацией о службах следующие:

• Имя — имя службы. Здесь приводятся только службы, которые устанав-
ливаются в системе. Двойной щелчок по имени службы позволит настро
ить параметры загрузки. Если нужной службы здесь нет, ее можно уста-
новить путем инсталляции соответствующей роли или компонента.
•	Описание — короткое описание сервиса и его назначения.

•	Состояние — показывает статус службы (может быть Выполняется, 11ри-
остановлена, Остановлена).

•	Тип запуска — тип запуска службы. Службы с автоматическим запуском
загружаются при загрузке системы. Пользователи или другие службы мо-
гут запускать службы с типом запуска Вручную. Отключенные службы
не могут быть запущены, иска у них статус Отключена.

•	Вход от имени — учетная запись, от имени которой работает служба. В
большинстве случаев служба запускается от имени Локальная система
(Local System).

Администратору приходится часто запускать, останавливать или приоста-
навливать службы. Для запуска, остановки или приостановки службы щел-
кните но ее имени правой кнопкой мыши и выберите команду Запустить,
Остановить, Приостановить соответственно. Можно также выбрать Пере-
запустить для остановки и повторного запуска сервиса после небольшой па-
узы. Если служба была приостановлена, для восстановления се нормальной
работы выберите команду Продолжить.

Свойства: CaptureService_5ba93 Локальный компьютер)

Общие Вход»систему Восгтановлениа Зависимости

Имяслужбы

Отображаемое
имя:

Описание'

CaptureServK«_5ba93

Служба записи ОпеСоге

Исполняемый файл

C.\W(ndowe\8yetam32\8vchostexe k LocaSenwe -р

Тип запуска	Вручную

Состояние	Остановлена

injnm.	ЙЬмИЬиЫа

Вы можете указать параметры запуска, применяемые при запуске
службы из этого диалогового окна

Параметры запуска |

riTZ Ий

Рис. 2.11. Окно свойств службы

Команда Свойства открывает окно свойств службы (рис. 2.11). Обычно дан-
ное окно используется для изменения типа запуска службы:
•	Автоматически — установите этот тип запуска для автоматического за-
пуска службы во время загрузки системы.

•	Автоматически (отложенный запуск) — выберите этот тип для отсроч-
ки запуска службы, ее запуск будет отложен, пока не будут запушены все
службы, запуск которых нельзя отложить.

•	Вручную — выберите этот тип запуска, когда нужен ручной запуск
службы.

•	Отключена — выберите этот тип для выключения службы.

Настройка входа в систему

I На вкладке Вход в систему можно настроить как от имени системной
учетной записи, так и от имени конкретного пользователя.

Свойства: CapiureService_5ba93 (Локальный компьютер)	X

Общие Вход в систему Восстановление Зависимости

Вход в систему

QC системной учетной записью

Разрешить взаимодействие с рабочим стопом
ф{Сучетнойзаписьюj j	О^зор,

Пародь	••••••••••••••♦

Подтверждение	£••••••••••••»•

I OK J Отмена

Рис. 2.12. Вхид в систему

Необходимо отслеживать любые учетные записи, которые используются со
службами. Эти учетные записи могут быть источником проблем безопасно-
сти, если не настроены должным образом. У таких учетных записей должны
быть самые строгие настройки безопасности и как можно меньше полно-
мочий, позволяющих службе выполнить только необхсди?лые функции. Как

ЕЛЕ
правило, учетные записи, используемые со службами, не требуют многих
полномочий, которые присвоены нормальной учетной записи пользователя,
Например, большинство учетных записей службы не требует прана локаль-
ного входа в систему Каждый администратор должен знать, какие учетные
записи службы используются (так, чтобы лучше отследить использование
этих учетных записей), и должен обрабатывать их, как будто они являются
учетными записями администратора. Это означает использование безопас-
ных паролей, тщательный контроль использования учетной записи, тща-
тельное назначение полномочий учетной записи и т. д.

Реакция на сбой службы

Вкладка Восстановление позволяет настроить реакцию на сбой |
I службы. Например, попытаться перезапустить службу или запустить |
приложение.

Свойства: CaptureService_5ba93 (Локальный компьютер)

Общие Вход в систему Восстановление Зависимости

Действие компьютера выполняемое присвой службы прЯ

Первый сбой	Перезапуск службы

Второй сбой	' Не выполнить никаких действии

Последующие сбои	Не выполнять никаких действий

Cfipflc счетчика Ошибок через ;1	ли

Перезапуск службы через 0	• мин.

□ Включить действия для остановок с о_ыбкани

Выполнение программы

ОК " | Отмене

Рис. 2.13. Вкладка "Восстановление"

Здесь можно указать действия для первого, второго и всех последующих
сбоев.

•	Не выполнять никаких действий операционная система не будет
восстанавливать службу для этого отказа, но она все еще может попы-
таться применить восстановление для предыдущего или последующего
отказов.

•	Перезапуск службы — останавливает и затем запускает службу после
непродолжительной паузы.

•	Запуск программы — позволяет запустить программу или сценарий в
случае сбоя. Сценарий может быть командным сценарием или Windows-
спенарием. Установите полный путь к исполняемому файлу программы,
которую нужно запустить, а также в случае необходимости задайте па-
раметры, которые будут переданы программе при ее запуске. Например,
можно отправлять администратору сообщение о том, что произошел сбой
службы.

•	Перезапуск компьютера — завершает работу и перезагружает компью
тер. Перед выбором этой опции дважды проверьте параметры запуска и
восстановления. Нужно, чтобы система выбрала параметры по умолча-
нию быстро и автоматически.

Отключение служб

Администратор должен убедиться, что серверы и сеть безопасны, а ненуж-
ные службы являются потенциальным источником проблем безопасности.
Например, во многих организациях автор этой книги обнаруживал пробле-
мы безопасности, находил запущенные и не использующиеся WWW-, FTP-
и SMTP-серверы Такие службы предоставляют анонимным пользователям
доступ к серверам, а также открывают сервер для атаки, если он не был
должным образом настроен.

Для отключения службы выполните следующие действия:

•	В оснастке Управление компьютером щелкните правой кнопкой мыши
по службе, которую нужно настроить, и выберите команду Свойства. На
вкладке Общие из списка Тип запуска выберите команду Отключена

•	Отключение службы не означает ее остановку. Отключение только пре-
дотвращает запуск службы при следующей загрузке компьютера, поэтому
риск для безопасности все еще есть. Чтобы завершить службу, нажмите
кнопку Остановить на вкладке Общие окна Свойства, а затем нажмите
кнопку ОК.
2.2. Просмотр и протоколирование событий

Журналы событий предоставляют историческую информацию, которая мо-
жет помочь при отслеживании проблем с системой.

Служба Журнал событий Windows контролирует события Windows.
После запуска этой службы можно будет отследить действия пользо-
вателей и использование ресурсов п журналах событий.

Доступны два вида журналов:

1.	Журналы Windows — сюда записываются системные события, относящи-
еся к приложениям, безопасности, установке и системным компонентам;

2.	Журналы приложений и служб — сюда записываются сведения, относя-
щиеся к приложениям и службам.

2.2.1. Основные журналы

К журналам Windows относятся следующие журналы:

•	Приложение — здесь хранятся записи событий, относящиеся к приложе-
ниям, например сбой SQL Server при доступе к базе данных. Размещение
по умолчанию — %SystemRoot%\Systern32\Wmevt\Logs\Application.evtx.

•	Перенаправленные события — когда настроено перенаправление собы-
тий, этот журнал содержит записи журналов, перенаправленные с других
серверов. По умолчанию журнал находится в %SystemRoot%\System32\
Config\F orwardedHvents.evtx.

•	Безопасность — содержит записи, которые можно использовать для ау-
дита локальных и глобальных i-рупповых политик Этот журнал — один
из наиболее важных, его нужно просматривать очень тщательно. Если
журнал безопасности не содержит событий, наиболее вероятная причина
в том, что локальный аудит не был настроен должным образом либо
настроен глобальный аудит домена — в этом случае необходимо проема-
бривать журналы безопасности на контроллерах домена, а не на рядовых
серверах. По умолчанию журнал называется %SysteniRoot%\System32\
Winevt\ Logs'.Secnrityevtx

•	Установка — записи в этот журнал заносит сама операционная систе-
ма или се компоненты при инсталляции чего-либо. Название журнала по
умолчанию — %SystemRoot%\System32\Winevt\Logs\Setup.evtx.

•	Система — в журнал записывают данные либо операционная система,
либо се компоненты, записи касаются системных событий вроде сбоя
службы при ее запуске Размещение по умолчанию — %SystemRoot%\
Systcm32\Wmcvt\Logs \System.evtx.

К журналам приложений и служб относятся следующие журналы

•	Репликация DFS — регистрирует записи активности DFS-репликации
(Distributed File System). Имя журнала по умолчанию — %SystemRoot%\
Systern32\Winevt\Logs\ DfsReplication.cvtx.

•	Служба каталогов — регистрирует записи AD DS (Active Directory
Domain Services) и связанных служб. Журнал по умолчанию — %System-
Root%\System32\Winevt\Logs\Directory Service evtx.

•	DNS-сервер — регистрирует события DNS-сервера — запросы, ответы и
другую активность DNS, Файл журнала ио умолчанию — %SystemRcot%\
System32\Winevt\Logs\DNS Server.evtx.

•	Служба репликации файлов — регистрирует активность репликации
файлов в системе. Журнал по умолчанию — %SystemRoot%\Systcm32\
Winevt\Logs\File Replication Service.evtx.

•	События оборудования — когда подсистема событий оборудования на-
строена, в этом журнале будут события, относящиеся к оборудованию.
Журнал по умолчанию — %SystemRoot%\System32\Config\Hardware.evtx.

•	MicrosoftWindows — предоставляет журналы событий, относящихся к
Windows-службам и компонентам Журналы организованы по типу ком-
понента и категории события. Операционные журналы генерируются
стандартными операциями связанною компонента. В некоторых случаях
у вас появятся дополнительные журналы для анализа, отладки и записи
задач, связанных с администрированием.
• Windows PowerShell — записывает активность, связанную с исполь-
зованием Windows PowerShell. Имя файла журнала по умолчанию —
%SystemRoot%\System?2\ Winevt\Logs\Windows PowerShell.evtx.

2.2.2.	Доступ к событиям в ’’Диспетчере серверов”

Если при работе с Диспетчером серверов выбрать узел Локальный сервер,
Все серверы или группу серверов, на панели справа появится панель
СОБЫТИЯ (рис. 2.14), которая отобразит события выбранного сервера.
Эту панель можно использовать так:

•	Для локального сервера можно использовать панель СОБЫТИЯ в раз-
деле Локаль-ый сервер или Все серверы с целью просмотра последних
предупреждений и ошибок в журналах приложений и системы;

•	Для автоматически созданной группы серверов: узлы фундируются
по ролям сервера, таким как AD DS или DNS, и администратор может
просмотреть последние события, относящиеся к роли сервера, если это
возможно. Не у всех ролей есть ассоциированный журнал, но зато у не-
которых ролей, например у AD DS, есть несколько ассоциированных
журналов;

•	Для пользовательских групп серверов, созданных администраторами,
используется панель СОБЫТИЯ для просмотра последних событий и
ошибок в журналах приложений и системы.

Рис. 2.14. Просмотр событий через "Диспетчер серверов


Столбцы панели СОБЫТИЯ можно настроить так' щелкните правой кноп-
кой мыши по заголовку таблицы, выберите столбцы, которые нужно доба-
вить или удалить. Столбцы .могут быть следующими:

•	Имя сервера — имя сервера, на котором запущена служба;

•	Полное доменное имя — полное доменное имя сервера, на котором за-
пущена служба;

•	Код — числовой идентификатор определенного события, который может
быть полезен при поиске описания событий в различных базах знаний;

•	Важность — уровень важности события, например ошибка или пред-
упреждение;

•	Источник — приложение, служба или компонент, который зарегистри-
ровал событие;

•	Журнал — журнал, в котором было зарегистрировано событие;

•	Дата и время — дата и время записанного события.

2.2.3.	Средство ’’Просмотр событий”

Получить доступ к журналам событий можно с помощью следующих дей-
ствий:

1	В Диспетчере серверов выберите группу Все серверы или любую группу
серверов на панели слева.

2.	В панели СЕРВЕРЫ щелкните правой кнопкой мыши по серверу, к кото-
рому нужно подключиться.

3.	Выберите команду Управление компьютером для автоматического под-
ключения к выбранному серверу.

4.	В оснастке Управление компьютером можно просматривать и работать с
журналами событий, развернув узел Служебные программы и выбрав
элемент Просмотр событий, как показано на рис. 2.15.
О X

Упрмпеиле компьютером

<2айл Действие £ад Справка
t/ft В"

Й1 Управление «лшьюте^
* ! Служебные програМ

> О Плакировщик зад
v Н Просмотр собыге!

> 'е Настраиваемы’

* .» Журналы Wind.’
£: Приложен*!
й В«к»ЙКяр<»
Я Установка |
Я Система ।
Ц Перенаправь

> я? Журналы лрил!
й Подписки .

> Л Общие папки

 # Локальные польз,'

• О Производительно

Л Диспетчер устрой

* Й5 Запоминающие устр

> Система архивам*
tf Управление диск$
* &> Службы и приложен

> Й Маршрутизация и

Q Службы

Л Управляющий м«

Ключевые слове

Аудит успеха

Аудит успеха

Ч.Аудит успеха

Аудит успеха
^Аудит успеха
Ц, Аудит успеха

Аудит успеха

Y, Аудит успеха

Аудит успеха

Аудит успеха 

Дата и время

01.042020 ft2ftW
0104.202092919
01.042020 92116
014X2020 92316
01.04.2020 90833
01.04.202090833
01 04 2020 90633
01.04.2020 9ЮОЗЗ
01.04.2020 90632

01 04 2020^90832

Источник

Micrown Widows W-
Minosoft Wndows se .
Microsoft Windows se~
Microsoft Widows se„
Microsoft Widows se._
Mfcrowft W-notMt se-
Mtcrowft Windowj w-
Microsoft Windows se-
Microsoft Windows se_
Microsoft windows seT

Событие 4672 Microsoft Windows setunry мхяцлд

Код события Категория задачи л!

4672 Special logon

4624 Logo

4672 Special Logon

4624 logon

5379 User Account Manage..

5379 User Account Manage..

5379 User Account Manage.

5379 User Account Manage,.

5379 User Account Manage.

 Ц1ег Account Manage д

Действия

S3 Открыть СОХ-

* Ссэдать наст-

Общие Подробности

{новому сеансу входа назначат*» специальные привилегии

Имя журналу.	Безопасность

Источник	Microsoft Windows set Дуа;	01.0*202092919

Кед	4672	Кахегория задачи:	Special logon

Уровень:	Сведения	Ключевые слова:	Аудит успеха

Лсдьзоа-.	Н/Д	Компьютер.	WlN-LGOGBECfWS

Код оодрации Сведения
Подробности	Слоем э

Импорт наст-
Очисгит» ж/..
Y Фильтр те>у...

Саойстаа

ЯО Найти.

U Сохранить в...

Привязать з-

Зид

Обновить

Q Справка

К Свойства со-
Й Привязать?,- |
s-<. Колировать ►
W Сохранить в-

i Ъ Пбыпчип.

Рис. 2.15. Просмотр событий

Как показано на рис. 2.14, записи на главной панели средства Просмотр со-
бытий предоставляет быстрый обзор того, когда, где и как произошло со-
бытие. Чтобы получить подробную информацию о событии, просмотрите
подробности на вкладке Общие а нижней части главной панели. Там же вы-
водится уровень события, ключевое слово и дата и время события. Уровни
события могут быть:

• Информация — информационное событие, относится к успешному вы-
полнению действия.

• Аудит успеха — событие, относящиеся к успешному выполнению дей-
ствия.

• Аудит отказа — - события, относящиеся к неудачному выполнению дей-
ствия.

• Предупреждение — предупреждение. Описания предупреждений часто
могут быть полезны для предотвращения будущих проблем.

• Ошибка — некритическая ошибка, например ошибка передачи зоны на
□NS-cepuepe.

• Критическое — критическая ошибка, например завершение работы
службы кластера из-за потери кворума.

{ п»
В дополнение к уровню, дате и времени предоставляется общее описание
события:

•	Источник — приложение, служба или компонент, который зарегистри-
ровал событие;

•	Код — числовой идентификатор определенного события, который может
быть полезен при поиске события в базах знаний;

•	Категория задачи — категория события, которая часто не заполняется,
но иногда может быть использоваться для описания связанного действия;

•	Пользователь — учетная запись пользователя, которая была зарегистри-
рована в системе, когда произошло событие;

•	Компьютер — имя компьютера, на котором произошло событие;

•	Описание — текстовое описание события;

•	Данные — любые данные или код ошибки, переданные событием.

У администратора есть возможность фильтровать журналы событий. Филь-
тры представлений находятся в узле Настраиваемые представления. Если
выбрать узел События управления, станет доступен список всех ошибок
и предупреждений для всех журналов. Если развернуть узел Роли сервера
и выбрать представление, специфичное для роли, можно будет просмотреть
все события для выбранной роли.

Для создания собственного представления используются следующие
действия в оснастке Управление компьютером:

1.	На панели слева выберите узел Настраиваемые представления, затем
нажмите Создать настраиваемое представление на панели справа.
Откроется диалоговое окно, показанное на рис. 2.16.

2.	Раскрывающийся список Дата используется, чтобы задать период вре
мени для события. Можно выбрать события за последний час, последние
12 часов, последние 24 часа, последние 7 дней или последние 30 дней.
Альтернативно можно указать свой диапазон.

3.	Флажки в группе Уровень события используются, чтобы указать, собы-
тия какого уровня вас интересуют. Установите флажок Подробности для
отображения дополнительных деталей события.
4.	Можно создать настраиваемое представление, указав набор журналов
или набор источников событий. Используйте раскрывающийся список
Журналы событий, чтобы выбрать необходимые журналы событий.
Чтобы выбрать несколько журналов событий, отметьте их переключате-
ли. Список Источники событий используется для выбора источников
событий. Чтобы выбрать несколько источников, отметьте их переключа-
тели. Остальные источники будут исключены.

5.	Используйте поля Пользователь и Компьютеры для указания пользо-
вателей и компьютеров, связанных с событиями. Если не указать эти па-
раметры, будут выбраны события, относящиеся ко всем пользователям и
компьютерам.

6	После нажатия кнопки OK Windows отобразит окно Сохранить фильтр
в настраиваемое представление.

7.	Введите имя и описание настраиваемого представления.

8.	Выберите, где нужно сохранить настраиваемое представление. По умол-
чанию настраиваемые представления сохраняются б узле Настраивае-
мые представления.

9.	Нажмите кнопку ОК для закрытия окна Сохранить фильтр в настра-
иваемое представление. Теперь список событий будет отфильтрован.
Просмотрите эти события и исправьте существующие проблемы.

Создание настраиваемого представления	X

[фильтр; XML

ДЧа:	Любое время	«

Уровень события' Q Критическое О Предупреждение О Подробности

к D Ошибка □ Сведения

ф Пс журналу Журнала событий: |

О По источнику Источники событий j

Включение или исключение кодов событий. Введите коды событий или диапазоны
кодов, разделяя йх запятыми. Для исключения условия введите знак минус

Например' 1.3,5-99,-76

<!ке ««сы событий»

Категория задачи: f

Ключевые слова: ’	-

Пользователь:	лоньзоввтели г

Компьютеры:	«Зсе компьютеры»

□листить

°™*

Рис. 2.16. Создание собственного фильтра
Установка параметров журнала событий

Параметры журнала позволяют управлять размером журналов со-
бытий, а также способом обработки журналирования. По умолчанию
максимальный размер журнала событий — максимальный размер
файла.

Когда журнал достигнет этого предела, события будут перезаписаны, чтобы
предотвратить превышение максимального размера файла.

Щелкните на журнале, параметры которого вы хотите изменить, и выберите
команду Свойства.

/Палее вы сможете изменить следующие параметры:

1.	Введите или установите максимальный размер в килобайтах в поле Макс,
размер журнала (КБ). Убедитесь, что диск, содержащий операционную
систему, имеет достаточно свободно! о места для хранения файла журна-
ла указанного вами размера. По умолчанию файлы журналов хранятся в
каталоге %SystemRoot%\Sy$tern32\Winevt\Logs.

2.	Выберите действие при достижении максимального размера. Доступны
опции:

» Переписывать события при необходимости (сначала старые собы-
тия) — при достижении максимального размера журнала события в
журнале будут перезаписаны. Это лучший выбор для системы низкого
приоритета.

» Архивировать журнал при заполнении; не перезаписывать собы-
тия — когда будет достигнут максимальный размер файла. Windows
заархивирует события путем сохранения текущего журнала в каталоге
по умолчанию. Затем Windows создаст новый журнал для хранения
текущих событий.

» Не переписывать события (очистить журнал вручную) — когда
будет достигнут максимальный размер файла, система сгенерирует
сообщения об ошибке ввиду того, что журнал событий полон.
Рис. 2.17. Параметры журнала событий

Сохранение и очистка журналов

Кнопка Очистить журналы позволяет очистить выбранный журнал. Перед
очисткой журнала бывает полезно его сохранить. Для этого закройте окно
параметров журнала, если оно открыто, щелкните правой кнопкой мыши по
журналу, выберите команду Очистить журнал. В появившемся окне
нажмите кнопку Сохранить и очистить (рис. 2.18).

Просмотр событий

Вы можете сохранить содержимое этого журнала, прежде чем очистить его.

Сохранить и очистите Одистить Отмена

Рис. 2.18. Сохранение журнала перед его очисткой

Журналы могут храниться в четырех форматах

1.	Формат файлов событий (evtx), который можно просмотреть с помо-
щью средства Просмотр событий;

122 1
2,	Текстовый формат с разделителем табуляции (txt), который можно
просмотреть в текстовых редакторах и текстовых процессорах или им-
портировать в электронную таблицу или базу данных;

3.	Текст, разделенный занятий (csv), удобный для импорта в электронную
таблицу или базу данных;

4.	Текст формата XML (xml) для сохранения в XML-файле.

Соответственно, при сохранении журнала нужно выбрать один из этих фор-
матов. Выбирайте тот, с которым вам будет проще работать в дальнейшем.
Если вы не используете специальных средств для работы с журналами, toi да
выбирайте CSV - его с легкостью можно будет открыть в любой электрон-
ной таблице, например в MS Excel.

! Ссхра-еьее

Упорйдс,чи;ь

Цокументы

Импорт наст.

Ouz.cwo жу„.

Н«Й'и„

Сохранить «и.

Привязать з..

Вид

Обновить

Слома

Свойстве со,-

рамадаяием запетыми;)

Педвма.

н/Д

Компьютер;

WN-lGOGBKffe

Справа

Код операции;

Подробности: Сдашм.

♦ Загрузки

1$ Документы
4» Изображения

Фильтр теку-
Свойств»

ф Маршрутизация »'
Служб»

Л Управляющий м«1

Привязать з,.
Копировать
Сохранить
Обновить

Им» файла

Тип файда: ДФИлы событий (*.вих)

.Хон (Xmi-файл) f jrmn

Скрыть латки T«xt« разделением табуляцией (‘.И:

Код события категория задачи
ТОО» Отсутствует
0224 Отсутствует

16384 Отсутствует

16394 Отсутствует

325 Обшив
637 Обшив
105 Общие
102 Общие

>6384 Отсутствует

8’98 Отсутствует

Рис. 2.19. Выбор формата журнала перед его сохранением

быстрый доступ

® «рог

Открыть сох..

Создать наст _

Глава 3.

Автоматизация
административных задач
Выполнение ежедневных рутинных задач — не очень эффективное исполь-
зование рабочего гремели. Намного эффективнее автоматизировать эту ра-
боту и сфокусироваться на более важных проблемах — поддержке служб,
повышении производительности, а в результате меньше времени будет
потрачено на приземленные вопросы и больше на то, что действительно
важно.

Для автоматизации многих административных задач вы можете использо-
вать групповые политики (позволяют развернуть одни и те же параметры на
множество компьютеров сети), планировщик заданий и другие компоненты
Windows Server. В этой главе будет показано, как выполнять целый рад ад-
министративных задач посредством групповой политики.

3.1.	Групповая политика

3.1.1.	Основные сведения о групповой политике

iiiiiiiiiiiniwiiuiiiiH)iiHi»iiwmiiiwiuiiiiHiimiiiniiiiuimiiiiiiiii)iiiimiiiiimiiiiimiiiiiHHiiiiiiitiHiiimiiimimiiiiiiiiuiini>iiiiiiinniNiimiHimniiiiiii^

Групповые политики упрощают администрирование, предоставляя |
администраторам централизованное управление привилегиями, пра- |
вами и возможностями как пользователей, так и компьютеров. I
С помощью групповых политик можно сделать следующее:

•	Контролировать доступ к Windows-компонентам, системным ресурсам,
сетевым ресурсам, утилитам Панели управления, рабочему столу и глав-
ному меню;

•	Создать централизованно управляемые каталоги для специальных папок,
например для пользовательской папки Документы;

•	Определить сценарии пользователя и сценарии компьютера, которые бу-
дут запускаться в конкретное время;

•	Настроить политики для блокировки учетных записей, параметры паро-
лей, аудита, назначения прав пользователей и безопасности, но о них мы
поговорим в дальнейшем.

О политике можно думать как о ряде правил, которые помогают управлять
пользователями и компьютерами. Групповые политики можно применить к
нескольким доменам сразу, отдельным доменам, подгруппам в домене или
отдельным системам. Политики, которые применяются к отдельным систе-
мам, называются локальными групповыми политиками и хранятся только
на локальном компьютере. Остальные групповые политики соединены в
объекты и хранятся в хранилище данных Active Directory.

Групповые политики применяются только к системам, работающим под
управлением ОС Windows 200G и более поздних версий Windows. Настрой-
ки групповой политики сохранены в объекте групповой политики (Group
Policy Object, GPO). GPO — это контейнер для применяемых политик и для
их настроек. Несколько GPO можно применить к одному сайту, домену или
организационной единице Поскольку групповая политика описана с ис-
пользованием объектов, применяется много объектно-ориентированных
понятий. Если думать об объектно-ориентированном программировании,
можно предположить, что понятия родительских/дочерних отношений и
наследования применимы к GPO, и это действительно так.

Контейнер — высокоуровневый объект, содержащий другие объ-
екты. Посредством наследования политика, которая применялась к
родительскому контейнеру, наследуется дочерним контейнером.
По существу это означает, что установка политики, применяемой к роди-
тельскому объекту, будет передана и дочернему объекту. Например, если
применяете установку политики в домене, ее установка будет наследована
организационными единицами в домене. В этом случае GPO домена —
родительский объект, a GPO организационных единиц — дочерние объекты.

Порядок наследования — сайт, домен, организационная единица. Это озна-
чает, что настройки групповой политики для сайта будут переданы доменам
этого сайта, затем настройки домена будут переданы организационным еди-
ницам в этом домене.

Наследование можно переопределить. Для этого можно присвоить настрой-
ку политики дочернему контейнеру, которая отличается от настройки поли-
тики для родительского контейнера. Пока переопределение разрешено (т.е.
пока оно не заблокировано), будет применяться установка политики дочер-
него контейнера.

3.1.2.	Порядок применения политики

Определен следующий порядок применения групповых политик:

1.	Локальные групповые политики.

2.	Групповые политики сайта.

3.	Групповые политики домена.

4.	Групповые политики организационной единицы

5.	Групповые политики дочерней организационной единицы.

Если настройки политики конфликтуют, приоритет имеют настройки поли-
тики, которые применялись позже — они перезаписывают более ранние
настройки. Например, политики организационной единицы имеют приори-
тет над другими групповыми политиками домена.

Существует два типа групповых политик - политики, применяемые к
компьютерам, и политики, применяемые к пользователям. Политики
компьютера обычно применяются во время запуска системы, а политики
пользователя — во время входа в систему.


По умолчанию групповая политика обновляется, koi да пользователь ьыхо
дит из системы, во время перезапуска компьютера и автоматически каждые
90-120 минут. Можно изменить это поведение, устанавливая интервал об-
новления групповой политики. Чтобы сделать это, откройте окно командной
строки и введите команду gpupdate

Некоторые настройки пользователя, например, перенаправление папок, не
могут быть обновлены, пока пользователь зарегистрирован в системе. Поль-
зователь должен выйти из системы и затем зайти заново для применения
этих настроек.

| Для автоматического выхода пользователя из системы после обнов-
I пения можно ввести команду gpupdate /lofogg в командной строке или я
поле поиска

Аналогично, некоторые настройки компьютера могут быть определены
только при его запуске. Для применения этих настроек компьютер должен
быть перезагружен. Для этого можно ввести в командной строке или в поле
поиска команду gpupdate /boot.

3.1.3.	Редакторы групповой политики

Чтобы оптимизировать управление групповой политикой, Microsoft удалила
функции управления из инструментов Active Directory и переместила их в
основную консоль, названную Управление групповой политикой1. Для уста-
новки GPMC необходимо установить соответствующий компонент (Управ-
ление групповой политикой) с помощью мастера установки ролей и ком-
понентов. После этого редактор групповой политики будет доступен через
меню Средства диспетчера серверов.

Необходимо понимать, что для редактирования групповой политики суще-
ствует почти два одинаковых редактора:

1.	Редактор стартового объекта групповой политики (Group Policy
Starter GPO Editor) — редактор, который можно использова.ь для соз-
дания и управления стартовыми объектами групповой политики. Как

Group Policy Management Console (GPMC)
подразумевает имя, стартовый GPO призван обеспечить начальную точку
для объектов политики, которые используются всюду по своей организа-
ции. При создании объекта политики можно определить стартовый GPO
как источник или фундамент объекта.

2.	Редактор локальной групповой политики (Local Croup Policy Object
Editor) — применяется для создания и управления объектами полити-
ки для локального компьютера. Как подразумевает имя, локальный GPO
призван обеспечить настройки политики для определенного компьютера
в противоположность настройкам для сайта, домена или организацион-
ной единицы.

3.1.4.	Управление локальной групповой политикой

Компьютеры под управлением современных версий Windows имеют три
уровня локальных объектов групповой политики.

1.	Локальная групповая политика (Local Group Policy). Это только ло-
кальный GPO, позволяющий конфигурациям компьютера и пользователя
применяться ко всем пользователям компьютера.

2.	Административная и неадминистративная локальная групповая
политика (Administrators and Non-Administrators loca’ Group Policy). Со-
держит только настройки конфигурации пользователя и применяется на
основании того, является ли учетная запись членом локальной группы
Администраторы.

3.	Пользовательская локальная групповая политика (User-specific local
Group Policy). Содержит только конфигурацию пользователя и применя-
ется к отдельным пользователям и группам.

Эти уровни локальных GPO обрабатываются в следующем порядке: локаль-
ная групповая политика, административная и кеадминистративная локаль-
ная групповая политика и пользовательская групповая политика.

Внимание! Поскольку доступные настройки пользовательской кон-
фигурации одинаковы для всех локальных GPO, настройки в одном
GPO могут конфликтовать с настройками в другом GPO. DC Windows
разрешает конфликты в настройках, перезаписывая любые преды-
дущие настройки настройками, считанными последними. Windows
использует последнее установленное значение. Кода Windows раз-
решает конфликты, имеет значение только включеннос/ныключенное
состояние настроек. Значение Не задано (Not Configured) не оказывает
никакого эффекта на состояние настройки из предыдущего приложе-
ния политики. Чтобы упростить администрирование домена, можно
отключить обработку локальных GPO на компьютерах под управле-
нием Windows Vista и более поздних версий; включив политику Вы-
ключение обработки локальных объектов групповой политики в GPO
домена. Эта настройка находится в узле Конфигурация компьютера)
Административные шаблоны\Система\Групновая политика групповой
политики.

На всех компьютерах под управлением текущих выпусков Windows есть ло-
кальный GPO. доступный для редакт ирования. Хотя на контроллере домена
тоже есть локальный GPO, его настройки редактировать не нужно.

Самый быстрый способ получить доступ к локальному GPO компьютера
это ввести следующую команду в командной строке или поле поиска при-
ложений:^

gpedit.msc

Для получения доступа к локальному GPO верхнего уровня удаленного
компьютера введите следующую команду в командной строке:

gpedit.msc /gpcomputer: "RemoteCcmputer"

Здесь RemoteComputer — имя или полное имя (FQDN) удаленного компью-
тера. Снова необходимо использовать двойные кавычки, как показано в сле-
дующем примере:

gpedit.msc /gpcomputer: "win-jkfb!291"
Редактор локальной групповой политики

©ейл Действие Дид Справка

« * • £ W Л 1 2 3 4 в 5» 1 Y

2 Система

 Мда,

□ Device Guard

>	iSCSI

Й Kerberos

д' Аудит создания процессов

а Восстановление

£ Восстановление системы

Вход в систему

Групповая политика

>	ы Диагностика

£ Дисковые квоты

а Диспетчер сервера

а - Дисплей

2	Доступ к съемным заломим

, Доступ к устройствам Enhan

3	Завершение работы

3	J Защита DMA ядра

- Защита файлов Windows
Инфраструктура классификг

2 . Параметры завершения pat

Состояние

Разрешает пользователям
выбирать, необходим ли
ввод пароля при
возобновлении работы и>
режима ожидания с
подключен ием

Изменить параметр
политики

Требования

Не ниже Windows Server
2012, Windows 8 или

Windows КТ

Состояние

Комме нтари!

Параметры уменьшения ри v

Описание:

Этот параметр политики
позволяет управлять
возможностью
изменения
пользователем
промежутка времени до

1 Включить вход с помощью удобного ПИН-ко_
i, Выключить вход с графическим паролем
£ Назначить стандартного поставщика учетам -
i, Установка домена по умолчанию для входа
;, Исключить поставиэ'ки учетных данных
L, Запретить пользователю отображать дайны»

Не обрабатывать список запуска старых про_
> Не обрабатывать список однократного залу-
1, Отключить уведомления приложений на жр
,г> Отключить звук запуска Windows

Л1 Не отображать пользовательский интерфейс
i, Не перечислять подключенных польэоввтел-
£ Показать анимацию при первом входе в сис-
I Перечислить локальны* пользователей на к_
, Скрыть точки входа для быстрого переключе

21 параметров

j, Расширенный /Стандартный/^

v г Всегда использовать классический вход в си._

Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана
Не задана

Нет ‘

Нет

Нет

Нет

Нет
мет

Нет
Нет
нет
Нет

Нет
Нет
Нет

Нет
Нет

Нет *

Рис. 3.1. Редактор локальной групповой политики

По умолчанию единственный локальный объект политики, существующий
на компьютере, является локальным объектом групповой политики. Можно
создать и управлять другими объекты при необходимости (за исключением
объектов на контроллерах доменов). Можно создать или получить доступ к
административному объекту локальной групповой политики, к неадмини-
стративному объекту локальной групповой политики и объекту пользова-
тельской локальной групповой политики так:

1. В командной строке или окне Выполнить (Win + R) введите пипс и
нажмите клавишу <Enter>. В консоли управления Microsoft выберите ко-
манду меню Файл, Добавить или удалить оснастку.

2. В диалоговом окне Добавление или удаление оснасток выберите ос-
настку Редактор объектов групповой политики и нажмите кнопку До-
бавить.

3. В окне Выбор объекта групповой политики нажмите кнопку Обзор. В
окне Поиск объекта групповой политики перейдите на вкладку Поль-
зователи.

4. На вкладке Пользователи в колонке Объект групповой политики при-
водятся сведения о том, существует ли объект групповой политики для
того или иного пользователя. Выполните следующие действия:
» Выберите запись Администраторы для создания или получения
доступа к объекту' административной локальной групповой политики.

» Выберите запись Не администраторы для создания или получения
доступа к объекту административной локальной групповой политики.

» Выберите локального пользователя для создания или получения
доступа к пользовательскому локальному ОРО.

5. Нажмите кнопку ОК. Если выбранный объект не существует, он будет
создан. В противном случае будет открыт существующий объект для
просмотра и редак! иродания.

3.1.5. Управление политиками сайта, домена или ОЕ

При разворачивании сервисов Active Directory (AD DS) можно использовать
групповую политику на базе Active Directory. Каждый сайт, домен и орга-
низационная единица могут иметь одну или больше групповых политик. У
групповых политик, перечисленных выше в списке групповой политики, бо-
лее высокий приоритет, чем у политик, перечисленных ниже в списке. Это
позволяет удостовериться, что политики применены всюду но связанным
сайтам, доменам и организационным единицам. Посредством групповых
политик и Active Directory достигается та самая автоматизация настройки
всех компьютеров предприятия.

Например, вам нужно сделать какие-то настройки (все что угодно, например,
запретить запуск определенной службы, запретить доступ к сменным дис-
кам и т.д.) на всех компьютерах сети. Вместо того чтобы настраивать каж
дый компьютер отдельно, вы можете использовать для этого Active Directory
и групповую политику. Конечно, нужно, чтобы в сети был развернут AD, а
настраиваемые компьютеры должны быть членами домена

У каждого домена в организации по умолчанию есть два GPO

1.	GPO политики контроллера домена по умолчанию (Default Domain
Controllers Policy GPC) создается и связывается для организационной
единицы контроллера домена. Этот GPO применим ко всем контроллерам
домена в домене (до тех пор. пока они не будут перемещены из этой ор
ганизационной единицы). Используйте его для управления параметрами
безопасности для контроллеров доменов в этом домене.
2.	GPO политики домена по умолчанию (Default Domain Policy GPO) соз-
дается и связывается для всего домена в пределах Active Directory Ис-
пользуйте этот GPO для установки базовых значений для широкого круга
настроек политик, которые применяются ко всем пользователям и ком-
пьютерам в домене.

Как правило, GPO политики домена по умолчанию — GPO высшего приори-
тета, связанный с уровнем домена. GPO политики контроллеров домена по
умолчанию — GPO высшего приоритета, связанный с контейнером контрол-
леров домена. Можно присоединить дополнительные СРО уровня домена и
контроллеров домена. При этом настройки в GPO наивысшего приоритета
переопределяют настройки в объектах групповой политики более низкого
приоритета. Эти GPO не предназначены для общего управления групповой
политикой.

GPO политики домена по умолчанию используется только для управления
настройками дефолтовых политик учетных записей, и, в частности, есть три
области применения политик учетных записей: политика паролей, полити-
ка блокировки учетной записи и политика Kerberos. Через этот GPO можно
управлять несколькими параметрами безопасности:

•	Учетные записи' Переименование учетной записи администратора;

•	Учетные записи: Состояние учетной записи ''Администратор";

•	Учетные записи. Состояние учетной записи "Гость";

•	Учетные записи: Переименование учетной записи гостя;

•	Сетевая безопасность: Принудительный вывод из сеанса по истечении
допустимых часов;

•	Сетевая безопасность: не хранить хеш-значения LAN Manager при следу-
ющей смене пароля.

Один из способов перезаписи этих настроек — создать GPO с соответству-
ющими настройками и присоединить его к контроллеру домена с более вы-
соким приоритетом.

Объект GPO политики контроллера домена по умолчанию содержит параме-
тры Назначение прав пользователя (User Rights Assignment) и Параметры
безопасности (Security Options), которые шраничивают способы использо-

ЭЕ
вания контроллеров домена. Один из способов перезаписи этих настроек
создать GFO с перезаписывающимися настройками и присоединить его к
контейнеру контроллеров домена с более высоким приоритетом.

Для управления другими областями политики нужно создать GPO и при-
соединить его к домену или соответствующей организационной единице в
пределах домена.

Запустить консоль управления групповой политикой (GPMC) можно из
меню Средства Диспетчера серверов. Также можно в командной строке или
в поле поиска приложений ввести gpmc.rnsc и нажать клавишу <Enter>.

Как показано на рис. 3.2, корневой узел консоли называется Управление
групповой политикой, а ниже есть узел Лес Узел Лес представляет со-
бой лес, к которому консоль подключена в настоящий момент, и называется
именем корневого домена этого леса (на рис 3.2 — Лес: example.com). Если
существуют соответствующие учетные данные, можяо добавить соедине-
ния с другими лесами. Для этого щелкните правой кнопкой мыши по узлу
Управление групповой политикой и выберите команду Добавить лес. 5
диалоговом окне Добавление леса введите имя корневого домена леса в
поле Домен и нажмите кнопку ОК.

Управление групповой политикой
ji файл Действие Вид Окно Справка

* «♦ i й яд?; а; X &! В те

□

,й Управление групповой политикой ;

* Д Лес example <от

* А Домены

v Й example.com
w Default Domain Policy !

> JSj Domain Controllers

* Объекты групповой оолит

Default Domam Contrail#

Default Domain Policy

. t Фильтры WMi

Э Начальные объекты групп!

Ml Сайты
tS Моделирование групповой пол
ч’ Результаты групповой политик^

Default Domain Policy

Облает» Свемнмя Параметры

□оявэоть связи  расположении

•«♦три сот

С GPO связаны следующие свиты, домены и лодращалании

Размещение

1 Й example com

Принудительный

Связь задействована

Пут»
example com

Филы ры безопасное 1 и

Параметры данного объекта групповой политики применяются только для
следующих групп пользователей и компьютеров

' Ине

%Прошедшие проверку

l»IWrMpuBe»*He Состияиив

Добавит».

Хмлить

Объект GTO связан со следующим фильтром WMt

Рис. 3.2. Управление групповой политикой сайта, леса, домена

В узле Лес находятся следующие узлы:
•	Домены — предоставляет доступ к параметрам политики для доменов
в соответствующем лесе. По умолчанию консоль подключена к доме-
ну входа в систему. Если есть другие учетные данные, можете добавить
соединения с другими доменами в связанном лесу. Для этого щелкните
правой кнопкой мыши по узлу Домены и выберите команду Показать до-
мены. В окне Отображение доменов выберите домены, которые нужно
добавить, и нажмите кнопку ОК.

•	Сайты — предоставляет доступ к настройкам политики для сайтов в
соответствующем лесе. Сайты скрыты по умолчанию. Если есть соот-
ветствующие учетные данные, можно подключиться к сайгам. Для этого
щелкните правой кнопкой мыши на узле Сайты и выберите команду По-
казать сайты. В окне Отображение сайтов выберите сайты, которые
нужно добавить, и нажмите кнопку ОК.

•	Моделирование групповой политики — предоставляет доступ к масте-
ру моделирования >рупповой политики, который поможет спланировать
развертывание групповой политики и симулировать настройки с целью
т естирования Также доступны любые сохраненные модели.

•	Результаты групповой политики — предоставляет доступ к мастеру
результатов групповой политики. Для каждого домена, к которсму под-
ключена консоль, все связанные объекты групповой политики и органи-
зационные единицы доступны для работы в одном месте.

Объекты GPO, перечисленные в контейнерах Домены, Сайты в GPMC, яв-
ляются ссылками на GPO, а не самими GPO. Доступ к фактическому GPO
можно получить через контейнер Объекты групповой политики выбран-
ного домена. Обратите внимание на то, что у значков ссылок на GPO есть не-
большие стрелки в левом нижнем углу, подобно ярлыку, а на значках самих
GPO таких стрелок нет.

При запуске консоль GPMC подключится к хранилищу каталогов Active
Directory, запущенному на контроллере домена, который работает как PDC-
эмулятор для домена входа и получает список всех объектов групповой по-
литики и организационных единиц в этом домене Это возможно благода-
ря протоколам LDAP (Lightweight Directory Access Protocol) для доступа к
хранилищу каталогов и SMB (Serxer Message Block) для доступа к каталогу
SYSVOL. Если PDC-эмулятор недоступен по какой-то причине, например,
когда сервер находится в режиме оффлайн, GPMC отобразит подсказку, что-
бы можно было работать с настройками политик на любом другом доступ-
ном контроллере домена. Для смены контроллера домена щелкните правой
кнопкой мыши на узле домена, для которою нужно сменить активный кон-
троллер домена, затем выберите команду Сменить контроллер домена. В
окне Смена контроллера домена текущий контроллер домена приведен в
области Текущий контроллер домена. Используйте область Изменить на,
выберите другой контроллер домена и нажмите кнопку ОК.

С помощью консоли GPMC можно отредактировать GPO, щелкнув на нем
правой кнопкой мыши и выбрав команду Изменить. После этого от кроется
редактор GPO (рис. 3.3). У него есть два основных узла:

•	Конфшурация компьютера — разрешает использовать политики, ко-
торые будут применены к компьютерам, вне зависимост и от того, какой
пользователь вошел в систему;

•	Конфигурация пользователя — позволяет установить политики, кото
рые будут применены к пользователям, вне зависимости от того, на каких
компьютерах они входят в домен.

Редактор управления групповыми политиками

файл Действие йид Справка

•» -I Е2 .4 , В п

Политика Default Doma
v Л* Конфигурация компе
> ,3 Политики
> С : Настройка

v А Конфигурация польз
> из Политики

> "Й Настройка

Имя

^Конфигурация компьютера
А Конфигурация пользователя

Расширенный ДСтандартмый /

Рис. 3.3. Редактор управления групповыми политиками

В узлах Конфигурация компьютера и Конфигурация пользователя нахо-
дятся узлы Полит ики и Настройки. Настройки общих политик находятся в
узле Политики. Параметры общих настроек — в узле Настройки.

Точная конфигурация узлов Конфигурация компьютера и Конфигурация
пользователя зависит or установленных расширений и типа созданной

политики.
В узлах Конфигурация компьютера и Конфигурация пользователя есть
следующие подузлы:

•	Конфигурация программ — политики для настроек программного обе-
спечения. При установке программного обеспечения в узле Конфигура-
ция программ появятся новые подузлы;

•	Конфигурация Windows — набор политик для перенаправления папок,
сценариев и безопасности;

•	Административные шаблоны — набор политик для операционной
системы, компонентов Windows и программ. Административные шабло-
ны настраиваются с помощью файлов шаблонов. При необходимости
можно добавить или удалить файлы шаблонов.

3.1.6. Административные шаблоны

Административные шаблоны предоставляют легкий доступ к
настройкам реестра, которые можно изменить. Набор администра-
тивных шаблонов по умолчанию настроен в редакторе политик для
пользователей и компьютеров

При необходимости можно добавить/удалить административные шаблоны.
Любые изменения, вносимые в политики, доступны через административ-
ные шаблоны, сохранены в реестре.

nil НИИ' 111! nil I I .I.   Uli	Illi      II  >1111   1111 1ПШ11П1.   1	II 11111111 ИН ПИ IIIIIIIIIIIIII ПИНИИ     И11И11111П1И1П

Конфигурации компьютера хранятся в разделе

HKEY-LOCALJVlACHlNE, а конфигурации пользователя — в разделе
HKEY_CURRENT_USER.

Просмотреть настроенные в данный момент шаблоны можно в узле Адми-
нистративные шаблоны редактора политик. Этот узел содержит политики,
которые можно сконфигурировать для локальных систем, организационных
единиц, доменов и сайтов. В конфигурации пользователя и конфигурации
компьютера находятся разные наборы групповой политики. При установке
новых компонентов Windows можно добавить шаблоны с новыми полити-
ками.

Административные шаблоны могут использоваться для управления следую-
щими настройками:

•	Панель управления — содержит настройки Панели управления и ее
утилит;

•	Рабочий стол — настраивает рабочий стол Windows и доступные опции
рабочего стола;

•	Сеть — настраивает сеть и параметры сетевых клиентов для оффлайн-
файлов, DNS-клиентов и сетевых соединений;

•	Принтеры — настраивает параметры принтера, просмотра сеги, снула
и каталога;

•	Общие папки — разрешает публикацию общих файлов и распределен-
ной файловой системы (DFS);

•	Меню "Пуск” и панель задач — контролирует доступные опции и кон-
фигурацию экрана Пуск и панели задач;

•	Система — настраивает параметры системы для дисковых квот, профи-
лей пользователей, входа пользователя, восстановления системы, отчетов
об ошибках и т. д.;

•	Компоненты Windows — определяет доступные опции и конфигурацию
различных Windows-компонентов, в том числе средства Просмотр собы-
тий, Internet Explorer, установщика Windows и обновлений Windows.

Желаете узнать, какие административные шаблонные политики доступны?
Просмотрите подузлы узла Административные шаблоны. Политики мо-
гут находиться в одном из трех состояний:

1.	Не задано — политика не используется, и в реестр не записываются ни-
какие значения.

2.	Включено — политика применена, ее значение сохранено в реестре.

3.	Выключено — политика выключена и не применяется, соответствующая
настройка записана в реестре.
Для включения, выключения и настройки политики используются следую-
щие действия’

1.	В редакторе политик разверните узел Конфигурация пользователях
Административные шаблоны или Конфигурации компьютерах
Административные шаблоны, в зависимости от типа политики, кото-
рую планируется использовать.

2.	На панели слева выбери ге подпапку, содержащую политики, с которыми
нужно работать. Соответствующие политики будут отображены на пра-
вой панели.

3.	Дважды щелкните по политике, чтобы открыть окно Свойства. Описа
ние политики можно прочитать на панели Справка. Описание доступно,
только если оно определено в соответствующем файле шаблона.

4.	Чтобы установить состояние политики, выберите одну из опций:

»	Не задано — политика не сконфигурирована;

»	Включено — политика включена;

»	Выключено — политика отключена.

5.	Если политика включена, установите дополнительные параметры и
нажмите кнопку ОК.

3.1.7.	Создание и связь объекта групповой политики

При работе с объектом политики создание и связь объекта со специфическим
контейнером в пределах Active Directory — разные действия. Можно создать
GPO и не соединять его ни с каким доменом, сайтом или организационной
единицей. Затем, можно создать GPO и подсоединить его к определенному
домену, сайту или организационной единице.

Также можно создать GPO и соединить его автоматически с доменом, сай-
том или организационной единицей. Выбранный метод зависит, прежде
всего, от личных предпочтений и от того, как планируется работа с GPO.
Имейте в виду, что при создании GPO и его соединении с доменом, сайтом,
организационной единицей, GPO будет применен к объектам "пользователь"
и "компьютер" в этом сайте, домене или организационной единице, согласно
параметрам Active Directory, порядку приоритета GPO и другим параметрам.

Для создания и подсоединения GPO к сайту, домену и организационной еди-
нице выполните следующие действия:

1.	В консоли GPMC щелкните правой кнопкой мыши на сайте, домене или
организационной единице, к которым нужно привязать GPO, а затем вы-
берите команду Создать объект групповой политики для этого домена
и связать его.

2	В окне Новый обьекг групповой политики введите описывающее имя
GPO, например GPO безопасной рабочей станции. Если нужно исполь-
зовать исходный GPO в качестве источника для начальных нас! роек, вы-
берите исходный GPO из списка Исходный объект групповой полити-
ки. После нажатия кнопки ОК новый GPO будет добавлен в контейнер
Объекты групповой политики и связан с ранее выбранным сайтом, до-
меном или организационной единицей.

3.	Щелкните правой кнопкой мыши (или нажмите) на новом GPO и выбе-
рите команду Изменить В редакторе политики настройки задайте необ-
ходимые настройки и закройте редактор политики. Когда групповая по-
литика обновится, будут применены настройки из GPO для сайта, домена
или организационной единицы.

3.1.8.	Удаление ссылок и удаление GPO

В консоли GPMC можно остановить использование связанных объектов
групповой политики двумя способами:

1.	Удалить ссылку на GPO но не удалять сам GPO;

2.	Удалить GPO и все ссылки на него.

Удаление ссылки па GPO предотвращает использование соответствующих
настроек политик в сайте, домене или организационной единице, но не уда-
ляет сам GPO. Однако GFO остается соединенным с другими сайтами, до-
менами или opi анизационными единицами. В GPMC можно удалить ссылку
на GPO, щелкнув правой кнопкой мыши по ссылке на GPO в контейнере и
выбрав команду Удалить. Когда консоль попросит подтвердить намерение,
нажмите кнопку ОК. Если удалить все ссылки на GPO с сайтов, доменов
и opi анимационных единиц, GPO продолжит существование в контейнере
Объекты групповой политики, но его настройки не будут иметь никакого
эффекта в организации.

Удаление GPO удаляет GPO и все ссылки на нею. Больше GPO не будет су-
ществовать в контейнере Объекты групповой политики и не будет связан
ни с одним сайтом, доменом или организационной единицей. Есть только
один способ восстановить удаленный GPO — это восстановить его из ранее
созданной резервной копии (если она доступна). Удалить GPO и все ссылки
на этот объект можно в консоли GPMC из узла Объекты групповой поли-
тики. Щелкните правой кнопкой мыши на GPO и выберите команду Уда-
лить. Для подтверждения своего намерения нажмите кнопку Да.

3.1.9.	Обновление групповой политики

При внесении изменения в политику эти изменения применяются немедлен-
но. Однако они не распространяются автоматически. Клиентские компьюте-
ры запрашивают политики в следующих случаях:

•	При запуске компьютера;

•	При входе пользователя;

•	Когда приложение или пользователь запрашивает обновления;

•	Когда истекает интервал обновления групповой политики, установлен-
ный для нее.

Настройки конфигурации компьютера применяются во время запуска опе-
рационной системы. Настройки конфшурации пользователя — при входе
пользователя в систему. Если произошел конфликт между настройками
пользователя и компьютера, у конфигурации компьютера более высокий
приоритет, и именно ее настройки будут примечены.

Как только настройки политики будут применены, настройки будут обнов-
лены автоматически, чтобы можно было гарантировать, что они являются
текущими. По умолчанию интервал обновления для контроллеров домена
— 5 минут. Для других компьютеров интервал обновления — 90 минут с
30-минутными вариациями, чтобы избежать перегрузки контроллера доме-
на многочисленными параллельными запросами клиентов. Это означает, что
актуальный временной промежуток обновления для компьютеров, не являю-
щихся контроллерами домена, составляет 90-120 минут.

Во время обновления групповой политики клиентский компьютер обраща-
ется к доступному контроллеру домена в его локальном сайте. Если есть
изменения в одном или более объекте политики в домене, контроллер до-
мена предоставляет список объектов политики, которые применяются к
компьютеру и к пользователям, которые в данный момент вошли в систему.
Контроллер домена делает это независимо от того, изменились ли номера
версий на всех перечисленных объектах политики. По умолчанию компью-
тер обрабатывает объекты политики, только если изменился номер версии
хотя бы одного из объектов политики. Если какая-то из связанных политик
изменилась, все политики должны быть обработаны снова из-за наследова-
ния и взаимозависимостей между политиками.

Настройки безопасности — известное исключение к правилу об-
работки. По умолчанию эти настройки обновляются каждые 16 часов
(960 минут) независимо от того, содержат ли объекты политики изме-
нения.

Чтобы уменьшить влияние на контроллеры домена и сеть, во время обнов-
лений добавляется случайное смещение до 30 минут (эффективное окно
обновления 960-990 минут). Кроме того, если клиентский компьютер об-
наруживает. что подключается по медленному селевому соединению, он со
общает об этом контроллеру домена, и по сети передаются только настройки
безопасности и административные шаблоны. Это означает, когда компьютер
работает по медленному соединению, буду? применены лишь настройки
безопасности и административные шаблоны. Можно настроить способ об-
наружения медленного соединения.

Необходимо тщательно сбалансировать частоту обновления политики с уче-
том частоты ее изменения. Если политика изменяется редко, можно увели-
чить окно обновления, чтобы уменьшить использование ресурсов. Напри-
мер, можно установить интервал обновления 20 минут на контроллерах
домена и 180 минут на других компьютерах,
Интервал обновления групповой политики для каждого объекта политики
можно настроить индивидуально. Для установки интервала обновления для
контроллеров домена выполните следующие действия:

1.	В консоли GPMC щелкните правой кнопкой мыши на объекте группо-
вой политики, который нужно изменить, и выберите команду Изменить.
Этот GPO должен быть связан с контейнером, который содержит объекты
компьютеров контроллера домена.

2.	В узле Конфигурация компыотера\Политикн\Админис1рат явные
шаблоныК истема'Г рупповая политика дважды щелкните на полити-
ке Установить интервал обновления групповой политики для кон-
троллеров домена Аналогичная политика для компьютеров называется
Установить интервал обновления групповой политики для компью-
теров. В результате будет отображено окно Свойства (рис. 3.4).

3.	Включите политику, выбрав переключатель Включено. Установите базе
вый интервал обновлений з первом поле Мин. Обычно интервал обнов-
ления устанавливают от 5 до 59 минут.

4.	Во втором поле Мин (пролистайте область, чтобы увидеть его) устано-
вите случайную величину времени, которая будет добавлена к интервалу
обновления. Эта случайная величина создает окно обновления, чго пре-
пятствует перегрузке сервера при многочисленных параллельных запро-
сах групповой политики клиентами. Нажмите кнопку ОК.

Рис. 3.4. Установка интервала обновления групповой политики для контролле-

ров домена
Внимание! В GPO для контроллеров домена вам нужно изменять
политику Установка интервала обновления групповой политики для
контроллеров домена. Групповую политику Установить интервал
обновления групповой политики для компьютеров вам нужно изме-
нять в GPC для домена/компьютеров! Если вы измените политику для
компьютеров в GPO для контроллеров домена, она не будет применена к
компьютерам1

Инициировать обновление можно несколькими способами. Можно ввести
команду gpupdate в командной строке или в поле поиска приложений, в
результате будут обновлены и конфигурация компьютера, и конфигурация
пользователя на локальном компьютере. Будут обработаны и применены
только измененные настройки политики. Для обновления всех настроек по-
литики нужно использовать парамет р /Force

Также можно обновлять конфигурации пользователя и компьютера раздель-
но. Для обновления только конфигурации компьютера введите gpupdate /
target:computer в командной строке. Для обновления только конфигурации
пользователя предназначена другая команда — gpupdate /target:user.

Также можно использовать команду gpupdate для выхода пользователя или
перезапуска компьютера после обновления групповой политики. Это полез-
но, поскольку некоторые политики могут быть применены, лишь когда поль-
зовагель входит в систему или только при запуске компьютера. Для выхода
пользователя после обновления добавьте параметр /Logoff, а для перезапу-
ска компьютера после обновления — параметр /Boot.

3.1.10. Если политика не применяется. Мастер результатов
групповой политики

При попытке определить, почему политика не применяется, как ожидалось,
первым делом нужно исследовать результаты групповой политики для поль-
зователя и компьютера, чтобы понять суть проблемы.

Определить, что политики GPO применены, можно так:
•	В консоли GPMC щелкните правой кнопкой мыши по узлу Результаты
групповой политики и выберите команду Мастер результатов группо-
вой политики. Когда мастер запустится, нажмите кнопку Далее.

•	На странице Выбор компьютера установите переключатель Этот
компьютер, чтобы просмотреть информацию для локального компьюте-
ра. Чтобы просмотреть информацию для удаленного компьютера, отметь-
те переключатель Друюй компьютер и затем нажмите кнопку Обзор. В
окне Выбор: "Компьютер" введите имя компьютера и нажмите кнопку
Проверить имена. После того как выберете правильное имя компьюте-
ра, нажмите кнопку Далее.

•	На странице Выбор пользователя выберите пользователя, чью информа-
цию о политике нужно просмотреть. Можно просмотреть информацию о
политике для любого пользователя, который ранее был зарегистрирован
на компьютере. Нажмите кнопку Далее.

•	Просмотрите установленные параметры и нажмите кнопку Далее.
После того как мастер получит необходимую информацию, нажмите
кнопку Готово. По окончании создания отчета он будет выбран в левой
панели, а результаты будут отображены в правой панели.

•	Чтобы определить, какие параметры были применены, просмотрите от-
чет. Информация политики для компьютера и пользователя выводится
отдельно: для компьютера — в разделе Сводка о компьютере, для поль-
зователя — в разделе Сводка о пользователе.

3.2.	Управление пользователями и
компьютерами посредством групповой
политики

Групповую политику можно использовать для централизованного
управления, пользователями и компьютерами, например, вы можете
управлять сценариями, запускаемыми при запуске/завершении ра-
боты компьютера, при входе.'выходе пользователя, также вы можете
использовать групповую политику для развертывания программного
обеспечения на всю сеть.
3.2.1.	Управление сценариями пользователя и компьютера

В Windows Server можно настроить четыре типа сценариев:

1.	Computer Startup выполняется при запуске;

2.	Computer Shutdown — выполняется при завершении работы,

3.	User Logon — выполняется, когда пользователь входит в систему;

4.	User Logoff— выполняется, koi да пользователь выходит из системы.

Windows 200G и более поздние версии поддерживают сценарии, написанные
на языке командной оболочки, с расширением bat и emd или сценарии, кото
рые используют Windows Script Host (WSH). WSH — это компонент Windows
Server, позволяющий использовав сценарии, написанные на языке сценари-
ев вроде VBScript без необходимости вставки сценария в веб-страницу. Для
предоставления доступа к многоцелевой среде WSH основывается на движ-
ках сценариев. Движок сценариев — это компонент, определяющий основ-
ной синтаксис и структуру определенного языка сценариев. Windows Server
поддерживает движки сценариев для VBScript и JScript Также доступны
другие движки.

Операционные системы Windows 7/8/10, Windows Server 2012/2016/2019
также поддерживают сценарии PowerShell. Если Windows PowerShell уста-
новлен на компьютеры, которые обрабатывают определенные GPO, можно
использовать сценарии Windows PowerShell так же, как и остальные сцена-
рии. Есть возможность запуска сценариев Windows PowerShell до или после
других типов сценариев.

Сценарии Computer Startup и Computer Shutdown назначают? как часть
GPO Таким образом, все компьютеры, которые являются членами сайта, до-
мена и организационной единицы или всех трех структур одновременно, вы-
полняют сценарии автоматически, когда загружаются или завершают работу.

Чтобы назначить сценарий запуска или завершения работы, выполните сле-
дующие действия:

• В Проводнике Windows откройте папку, содержащую сценарии, которые
нужно использовать.
•	В консоли GPMC щелкните правой кнопкой мыши по GPO сайга, домена
или организационной единицы, с которыми будете работагь. Выберите
команду Изменить, чтобы открыть редактор GPO.

•	В узле Конфигурация компьютера дважды щелкните на папке Конфи-
гурация Windows, затем перейдите в подпапку Сценарии (запуск/
завершение).

•	Для работы со сценариями запуска щелкните правой кнопкой мыши на
элементе Автозагрузка и выберите команду Свойства. Для работы со
сценариями завершения работы щелкните правой кнопкой на элементе
Завершение работы и выберите команду Свойства. Откроется окно,
подобное изображенному на рис. 3.5.

•	На вкладке Сценарии можно управлять сценариями командной строки
(с расширениями bat или emd) и сценариями Windows Scripting Host. На
вкладке Сценарии PowerShell можно управлять сценариями Windows
PowerShell. Для перехода к папке, в которой находят ся сценарии, нажми-
те кнопку Показать файлы.

•	Скопируйте файлы в окне Проводника Windows и вставьте их в окно,
которое будет открыто после нажатия кнопки Показать файлы.

•	Нажмите кнопку Добавить для назначения сценария. Откроется окно До-
бавление сценария. В поле Имя сценария введите имя сценария, кото-
рый был скопирован в папку Machine\Scripts\Startup или папку Machine\
ScriptsvShdtdown. В поле Параметры сценария введите любые параме-
тры, которые нужно передать сценарию. Повторите этот шаг для других
сценариев.

•	Во время запуска и завершения работы сценарии будут выполнены
в том порядке, в котором они указаны в окне Свойства. Для измене-
ния порядка используйте кнопки Вверх и Вниз. На вкладке Сценарии
PowerShell есть также список, позволяющий выбрать, когда должны за-
пускаться сценарии Windows PowerShell: до или после запуска других
типов сценариев.

•	Если нужно отредактировать имя сценария или ею параметры, выберите
сценарий и нажмите кнопку Изменить Для удаления сценария выберите
его и нажмите кнопку Удалить.

•	Для сохранения изменений нажмите кнопку ОК.
Рис. 3.5. Назначение сценариев компьютера

Сценарии пользователя можно назначить с помошью одного из трех спосо-
бов:

1.	С помощью групповой политики. В этом случае все пользователи, явля-
ющиеся членами сайта, домена или организационной единицы (или всех
трех сразу) автоматически запустят сценарии при входе или выходе.

2	Можно назначить сценарии входа индивидуально, используя консоль
Active Directory - пользователи и компьютеры. В этом случае можно
назначить каждому пользователю или каждой группе отдельный сцена-
рий входа.

3.	Посредством планировщика заданий. Для создания расписаний задач ис-
пользуется мастер создания задачи.

Чтобы назначить сценарии входа или выхода в GPO, выполните следующие
действия:

•	В Проводнике Windows откройте папку, содержащую сценарии, которые
нужно использовать.

•	В консоли GPMC щелкните правой кнопкой мыши по GPO сайта, домена
или организационной единицы, с которыми планируете работать. Выбе-
рите команду Изменить, чтобы открыть редактор GPO.
•	В узле Конфигурация пользователя дважды щелкните на папке Кон-
фигурация Windows, затем перейдите в узел Сценарии (вход/выход из
системы).

•	Для работы со сценариями входа щелкните правой кнопкой мыши на пап-
ке Вход в систему и выберите команду Свойства. Для работы со сце-
нариями выхода щелкните правой кнопкой мыши на папке Сценарии
выхода и выберите команду Свойства Откроется окно, подобное изо-
браженному на рис. 3.6.

•	Далее процесс назначения сценариев аналогичен назначению сценариев
для компьютера.

Рис. 3.6. Назначение сценариев пользователя

3.2.2. Развертывание программного обеспечения через
групповую политику

Основы развертывания ПО

В групповой политике можно развертывать ПО на основе компьютеров и
на основе пользователей. Приложения на базе компьютеров доступны всем
пользователям компьютера и настраиваются в узле Конфигурация
компьютераХКонфигурация программХУстановка программ.

Можно развернуть программы тремя основными способами:
1.	Назначение компьютеру — назначает программное обеспечение на
компьютеры клиента, чтобы установка ПО происходила при запуске ком-
пьютера. Эта техника не требует какого-либо вмешательства со стороны
пользователя, но она нуждается в перезагрузке системы для установки
программ. Установленное программное обеспечение будет доступно
всем пользователям компьютера.

2.	Назначение пользователю — назначает программное обеспечение
пользователям так, что оно будет установлено при входе пользователя в
систему. Эта техника не требует какого-либо вмешательства со стороны
пользователя, не предполагает входа в систему для установки програм-
мы. Установленное программное обеспечение будет доступно только
конкретному пользователю.

3.	Публикация пользователю — публикует программное обеспечение
так, что пользователи могут установить его вручную с помощью утилиты
Программы и компоненты. Эта техника требует вмешательства поль-
зователя для установки прел рам мы или активации установки. Установ-
ленное программное обеспечение будет доступно только конкретному
пользователю.

При использовании назначения пользователю или публикации пользовате-
лю можно объявлять программное обеспечение так, чтобы компьютер мог
установить программу при ее первом использовании. В этом случае про-
граммное обеспечение может быть установлено автоматически в следую-
щих ситуациях:

•	Когда пользователь пытается открыть документ, для работы с которым
нужна программа;

•	Когда пользователь открывает ярлык приложения;

•	Когда другому приложению требуется компонент программы.

При настройке политики Установка программ не нужно использовать су-
ществующие GPO. Вместо этого следует создать объекты GPO, которые
будут настраивать установку программ, и затем привязать эти GPO к соот-
ветствующим контейнерам в групповой политике. При использовании этого
подхода значительно проше повторно развернуть программное обеспечение
и применить обновления.
После создания GPO для разворачивания программного обеспечения нужно
настроить точку распространения.

Точка распространения — это общая папка, которая доступна
j компьютерам и пользователям, для которых вы разворачиваете ПО. I

Как правило, можно подготовить точку распространения путем копирова-
ния файла пакета инсталлятора и всех необходимых приложению файлов
на общий ресурс и настройкой разрешений так, чтобы все эти файлы были
доступны. Для других приложений, например Microsoft Office, можно подго-
товить точку восстановления путем административной установки на общий
ресурс. В случае с MS Office нужно запустить программу установки с пара-
метром /а и указать общий ресурс как назначение установки. Преимущество
административной установки состоит в том, что программное обеспечение
может быть обновлено и повторно развернуто через политику Установка
программ.

Развертывание программ в домене

Политика Установка программ используется только с пакетами
установщика Windows (msi) и пакетами приложений нижнего уровня
ZAW (zap)

=,111 II Illi III I	I	III	I II III II IIII 11 I I 11 I	I I I I I II I III I I I I I I I III I III I 111111111»

При использовании назначения компьютера, назначения пользователя
или публикации можно развернуть ПО с помощью пакетов установщика
Windows. При использовании публикации можно применять как msi-пакеты,
так и zap-пакеты. Необходимо установить разрешения на файле пакета уста-
новщика так, чтобы у соответствующих компьютеров и пользователей был
доступ для чтения.

Поскольку политика Установка программ применяется во время обработки
настроек политики, развертывание приложения на компьютере обрабатыва-
ется при его запуске, а развертывание приложения для пользователя осу-
ществляется при входе в систему. Можно настроить установку с использова-
нием файлов преобразований (msi). Эти файлы изменяют процесс установки
согласно настройкам, которые заданы для определенных компьютеров и
пользователей.

Развернуть программное обеспечение можно с помощью следующих дей-
ствий:

1.	В консоли GPMC щелкните правой кнопкой мыши на GPO, который нуж-
но модифицировать для распространения, и затем нажмите кнопку Из-
менить.

2.	В редакторе политики разверните узел Конфигурация компьютера\
Конфигурация программ\Установка программ или узел Конфигура-
ция пользовагеля\Конфигурация программ\Установка программ в
зависимости от типа разворачивания ПО.

3.	Щелкните правой кнопкой мыши на политике Установка программ. В
появившемся контекстном меню выберите команды Создать, Пакет.

4.	В окне Открытие перейдите к сетевому ресурсу, в котором размещены
пакеты, щелкните на пакете для его выбора и нажмите кнопку Оз крыть.

5.	В окне Развертывание программ выберите один из следующих методов
развертывания и нажмите кнопку ОК (рис. 3.7):

»	публичный — публикует приложение без изменений;

»	назначенный — назначает приложение без изменений;

» особый — развертывание приложения с использованием расширен-
ных параметров настройки.

Развертывание программ	X

Выберите метод развертывания:

Оособый

Выберите этот параметр для назначении ярлыка приложению
без изменений

Отмена

Рис. 3.7. Развертывание программы

igg
После добавления пакета можно изменить его параметры. Для этого дважды
щелкните по нему, чтобы открыть окно Свойства. На вкладке Развертыва-
ние можно изменить тип развершвания и настроить следующие параметры
развертывания и установки.

•	Автоматически устанавливать приложение при обращении к файлу
с соответствующим расширением — связывает приложение с файлами,
которое оно обрабатывает. Программа будет установлена при первом об-
ращении к файлу связанного типа. Используется по умолчанию.

•	Удалять это приложение, если его использование выходит за рамки,
допустимые политикой управления — удаляет приложение, если оно
больше не применимо к пользователю.

•	Не отображать этот пакет в окне мастера установки и удаления про-
грамм панели управления — запрещает отображение приложения в
окне Установка'удаление программ, что предотвращает удаление прило-
жения пользователем.

•	Устанавливать это приложение при входе в систему — при входе
пользователя в систему будет произведена полная установка программы,
а не "объявление" приложения. Эта опция не может быть выбрана, когда
приложение публикуется для пользователя.

•	Пользовательский интерфейс при установке — контролирует, как
будет произведена установка. Значение по умолчанию — Полный, при
этом пользователь увидит все экраны программы установки и все сооб-
щения, При значении Простой пользователь увидит только сообщения об
ошибках и сообщение о завершении установки.

3.2.3. Настройка автоматических обновлений ОС

Автоматические обновления помогают поддерживать операционную систе-
му в актуальном состоянии. Хотя можно настроить автоматические обнов-
ления на основе компьютеров, обычно необходимо настроить эту функцию
для всех пользователей и компьютеров, которые обрабатывают GPO, — это
более эффективная техника управления.

Описанные далее групповые политики будут актуальны для систем Windows
8/10/11/Windows Server 2012/2016/2019. ’
При управлении автоматическими обновлениями через групповую политику
можно выбрать конфигурацию обновления:

•	Автоматическая загрузка и установка по расписанию — обновления
будут автоматически загружены и установлены в соответствии с создан-
ным расписанием. Когда обновления будут загружены, операционная
система уведомит пользователя, что он может просмотреть запланиро-
ванные обновления. Пользователь может установить обновления или по-
дождать, пока придет время запланированной установки.

•	Автоматическая загрузка и уведомление об установке — операцион-
ная система получит все обновления и, когда они станут доступны, уве-
домит пользователя, что они готовы к установке. Пользователь может
принять или отклонить обновления. Принятые обновления будут уста-
новлены. Отклоненные обновления нс будут установлены, но останутся
ь системе, и их можно будет установить позже.

•	Уведомление о загрузке и установке — операционная система увсдом
ляет пользователя перед получением любых обновлений. Если пользова-
тель выберет загрузку обновлений, у него есть еще возможность принять
или отклонить их. Принятые обновления будут установлены. Отклонен-
ные обновления нс будут установлены, но останутся в системе, и их мож-
но будет установить позже.

•	Разрешить локальному администратору выбирать параметры —
позволяет локальному администратору настраивать автоматическое об-
новление Заметьте, что используются любые другие опции, локальные
пользователи и администраторы не могут изменить параметры автомати-
ческого обновления.

Настроить автоматическое обновление можно гак:

1.	В консоли GPMC щелкните правой кнопкой мыши по GPO, с которым
нужно работать, и выберите команду Изменить.

2.	В редакторе политик разверните узел Конфигурация компыотера\
ПолитикиААдминистративные шаблоньЛКомпоненты Windows\
Центр обновления Windows.

3.	Дважды щелкните на политике Настройка автоматического обновле-
ния. В появившемся окне можно включить или отключить управление


автоматическими обновлениями с помощью групповой политики. Для
включения управления автоматическими обновлениями установите пере-
ключатель Включено, для отключения управления — переключатель
Отключено. Нажмите кнопку ОК и пропустите следующие шаги.

4.	Из списка Настройка автоматическою обновления выберите опцию
обновления.

5.	Если выбрана опция Автоматическая загрузка и установка по распи-
санию, можете выбрать день и время установки обновлений. Нажмите
кнопку ОК для сохранения изменений.

3.3.	Планировщик заданий

£1111111111..

| Посредством планировщика заданий можно автоматизировать за-|
пуск различных задач на сернере.

.......................................  пиши....

Вызвать планировщик заданий можно через меню Средства диспетчера
серверов (рис. 3.8).

jy Планировщик заданий

файл Действие £ид Справка
а??

Планировщик заданий f/lod
IЛ Библиотека плаиирсвшЛ

> Xi Microioh

Обзор	мдою*

Действия

'ТлаийвмиЫв.Ладбний. (Док *

Для соддания и управления общими заданиями, автоматически выполняемыми в указанное время
можно использовать планировщик заданий Для начала выбесите команду в меню "Действие'

Задания хранятся а палках библиотеки планировщика заданий. Для просмотр* или выполнения действия
с отдельными заданиями выберите задание а библиотеке планировщик* заданий и щелкните «манду в
меню'Действие'

Подключиться к другом »
Создать простую задачу...
Создать задачу..

Импортировать задачу
Отображать все выпол-»..

! ».ТЖ-’ тч*





Состояние задачи

Отключи-а журнал всех.

Настройка учетной вали..



Состояние задач, начатых в указанный период времен.-

Сводка; эсе-о - 51.0 - выполнение. 5» - успех. О - остановлено. О - ошибка

Вид

Обновить

Справка

В

Название задачи	Резулы, Началовы, 3*еершени, Иницииро.

ffl .NET Framework NGEN v_
S3 .NET Framework NGEN v-,
В Ana*yzeSy»tem (последи..

Я appurivenfieraaity (поел-

В ContoKdator (последие-

В Device (последнее вы”

Последнее обновление в 66.042020 153659

Рис. 3.8. Планировщик заданий

Для создания нозой задачи выполните следующие действия:
1.	На панели Действия выберите команду Создать задачу

2.	В появившемся окне Создание задачи на вкладке Общие введите назва-
ние задачи, ее описание (если нужно).

3.	Нажав кнопку Изменить, можно выбрать учетную запись, оз имени ко
торой будет запущена задача. На рис. 3.9 задача будет выполняться от
имени администратора.

4.	Выберите, для кого нужно выполнять эту задачу - только для пользовате-
лей, вошедших в систему, или для всех пользователей.

5.	Перейдите на вкладку Триггеры и нажмите кнопку Создать. Триггеры
позволяют определить, когда именно будет выполнена задача.

6.	В окне Создание триггера определите, когда именно будет выполнена
задача:

» Однократно - задача будет выполнена один раз в указанное время.

» Ежедневно - задача будет выполняться каждый день в указанное вре-
мя.

» Еженедельно - задача будет выполняться раз в неделю в указанное
время.

» Ежемесячно - задача будет выполняться раз в месяц в указанное вре-
мя.

7.	Определите другие параметры триггера, например, задайте срок действия
задания. После того как будете i отовы, нажмите кнопку ОК.

8.	Перейдите на вкладку Действия и нажмите кнопку Создать.

9.	В окне Создание действия выберите тип действия:

» Запуск программы - единственное рекомендуемое действие.

» Отправить сообщение электронной почты - данное действие не ре-
комендуется Microsoft.

» Вывести сообщение - пользователю будет выведено сообщение в
указанное время (не рекомендуется).

10.	Установите параметры в зависимости от выбранного действия. Для за-
пуска программы нужно указать путь к программе и задать (если нужно)
аргументы и рабочий каталог.
11.	Нажмите кнопку ОК.

12.	Перейдите на вкладку Условия и задайте условия, определяющие необ-
ходимость выполнения задачи:

» Запускать задачу при простое компьютера — будет ли задача запу-
щена при простое компьютера.

» Останавливать при выходе из простоя — выполнение задачи будет
прервано, как только компьютер выйдет из состояния простоя (пользо-
ватель пошевелит мышкой или нажмет любую клавишу).

» Перезапускать при возобновления простоя — задача будет переза-
пущена, если простой возобновится.

» Запускать только при питании от электросети — актуально для но-
утбуков, чтобы не увеличивать разряд аккумулятора.

» Останавливать при переходе на питание от батарей — если вы-
полнение задачи началось, а затем компьютер перешел на питание от
батарей, выполнение задачи будет приостановлено.

» Запускать только при подключении к следующей сети — позволяет
выбрать сеть, при подключении к которой будет выполнено задание.
Для серверов этот параметр неактуален, поскольку они. как правило,
подключены к одной и той же сети.

13.	Перейдите на вкладку Параметры и установите дополнительные пара-
метры задачи:

» Выполнять задачу по требованию — позволяет настроить запуск за-
дания по требованию (то есть вручную) до или после назначенного
запуска.

» Немедленно запускать задачу, если пропущен плановый запуск -
если случилось гак, что задача не была выполнена, например, из-за
отключения электричества, то этот параметр позволит сразу же, как
только появится возможность, выполнить задачу.

» При сбое выполнения перезапускать через — позволяет перезапу-
стить задачу, если произошел сбой.

» Останавливать задачу, выполняемую дольше — если выполнение
задачи заняло больше указанного промежутка времени, ее выполнение
будет прервано
» Принудительная остановка задачи, если она не прекращается по
запросу — если задача не реагирует на "мягкий" останов, она будет
остановлена принудительно.

» Если повтор задачи не запланирован, удалять через — позволяет
удалить задачу, если не запланирован ее повтор

» Если задача уже выполняется, то применять правило — позволяет
применить одно из правил к задаче, если она уже выполняется. До-
пустим, вы создали задачу, которая должна выполняться каждый час.
Но выполнение задачи заняло более часа, поэтому она еще выполняет-
ся, но пришло время снова выполнить ее. По умолчанию применяется
правило Не запускать новый экземпляр, что позволит не запускать
задачу снова, если она еще выполняется.

14.	Нажмите кнопку ОК для создания задачи.

3 Создание задачи	X

Общие Триггеры Действия Условия Параметры

Имд:	]_______________]

Размещение:	\

Автор:	ЕХАМР1_Е\Администратор

Описание:	.

Параметры безопасности

При выполнении задачи использовать следующую учетную запись пользователя:

ЕХАМ?1Е\Адмимистратор	Изменить-.

Выполнять только для пользователей, вошедших в систему

О выполнять для всех пользователей

Не сохранять пароль. Будут досутны ресурсы только локально!с компьютера.
□ Выполнить с наивысшими правами

D Скрытая задача Настроить для: Windows Vista”*, Windows Server”* 2008

Рис. 3.9. Создание задачи

Мы рассмотрели основные вопросы, связанные с автоматизацией админи-
стративных задач.

Глава 4.

Основы безопасности
Windows Server
Методы обеспечения безопасности важны для успешного системного ад-
министрирования Существуют два ключевых способа сконфигурировать
настройки безопасности: использование шаблонов безопасности и политик
безопасности.

4.1.	Шаблоны безопасности

4.1.1.	Введение в шаблоны безопасности

Шаблоны безопасности предоставляют централизованный способ |
управления настройками, связанными с безопасностью рабочих стан-
ций и серверов.	I

Можно использовать шаблоны безопасности для применения их к определе-
ниям групповой политики на конкретных компьютерах

Данные определения политики обычно влияют на следующие политики:

•	Политики учетных записей. Контролируют безопасность паролей,
учетных записей пользователей и безопасность Kerberos.

. 162 £
•	Локальные политики. Управляют аудитом, назначением прав пользова-
телям и другими настройками безопасности.

•	Политики протоколирования событий. Управляют безопасностью для
протоколирования событий.

•	Политики ограниченных групп. Управляют безопасностью локальной
группы.

•	Политики системных служб. Контролируют безопасность и режим за-
пуска локальных служб.

•	Политики файловой системы. Контролируют безопасность файлов и па
пок локальной файловой системы.

•	Политики реестра Контролируют права доступа на ключах реестра, свя-
занных с безопасностью.

Работа с шаблонами безопасности — сложный процесс, состоящий из сле-
дующих шагов:

•	Используйте оснастку Шаблоны безопасности для создания нового
шаблона или выбора существующего шаблона, который нужно изменить.

•	Используйте оснастку Шаблоны безопасности для внесения необходи-
мых изменений в настройки шаблона и для сохранения изменений.

•	Используйте оснастку Анализ и настройка безопаеносги для анализа
различий между выбранным шаблоном и текущими настройками ком-
пьютерной безопасности.

•	При необходимости пересмотрите шаблон после того, как найдете разли-
чия между настройками шаблона и текущими настройками компьютера.

•	Используйте оснастку Анализ и настройка безопасности для примене-
ния шаблона и перезаписи существующих насгроек безопасности.

При работе с шаблонами безопасности нужно определить, можно ли исполь-
зовать существующий шаблон в качестве отправной точки. Другие админи-
страторы, возможно, тоже создали шаблоны, или у организации есть базовые
шаблоны, которые нужно использовать. Также можно создать новый шаблон
и принять его в качестве начальной точки
Примечание Шаблоны безопасности доступны во всех инсталля-
циях Microsoft Windows Server и могут быть импортированы в любой
объект грулпоеой политики. Шаблоны безопасности применяются
только к области Конфигурация компьютера групповой политики. Они
не применяются к области Конфигурация пользователя. R групповой
политике вы найдете применяемые параметры в Конфигурация
компьютера\Конфигурация WindowsUlapaMerpbi безопасности. Неко-
торые параметры безопасности не включены, например те, которые
применяются к беспроводным сетям, публичным ключам, ограничени-
ям программного обеспечения и IP-безопасности.

Совет. Если вы выбираете шаблон, который вы хотите
использовать в качестве начальной точки, вы должны пройти
через каждую установку, которую применяет шаблон. Оценить,
как эта установка влияет на вашу среду. Если установка не
целесообразна, вы должны изменить или удалить ее.

Не используйте оснастку Шаблоны безопасности для применения шабло-
нов. Для применения шаблонов нужно использовать оснастку Анализ и
настройка безопасности. Также вы можете использовать згу оснастку для
сравнения настроек шаблона с текущими настройками компьютера. Резуль-
таты анализа выделяют области, где текущие настройки не соответствуют
настройкам в шаблоне.

4.1.2.	Использонание оснасток «Шаблоны безопасности» и
«Анализ и настройка безопасности»

Вы можете открыть оснастки Шаблоны безопасности и Анализ и настрой-
ка безопасности (рис. 4.1) так:

1.	Запустите консоль управления Microsoft (команда ттс). Один из спосо-
бов сделать это - нажать клавишу Windows, ввести mmc.exe и нажать
Emer.
2.	В консоли управления выберите команду Файл, Добавить или удалить
оснастку.

3.	В окне Добавление и удаление оснасток выберите Шаблоны безопас-
ности и нажмите Добавить.

4.	Выберите Анализ и настройка безопасности, нажмите Добавить, по-
том нажмите ОК.

Добавление и удаление оснасток

Вы можете выбрать оснастки для этой консоли из доступных на компьютере оснасток и затем настроить их. Для расширяемых
оснасток можно настроить требуемое расширение.

Доступные аснастки:	Выбранные оснастки:

Оснастка	Поставщик Л	i Корень консоли	Изменить расширения...

& Анализ и настрой... Корпорация.	Анализ и настройка безопасно

23Диспетчер автори... Корпорация..

^Диспетчер служб .. Microsoft Со.

Л Диспетчер устрой... Корпорация.

^Локальная архив... (с) Корпора.

' Локальные польз... Microsoft Со...	'	j

^Маршрутизация и... Microsoft Со...	ц*авить"'->|

Монитор IP-безоп... Microsoft Со...

^Монитор брандма.. Microsoft Со...

; gt; Общие папки Microsoft Со...

I Папка	Корпорация...

(ЭПланировщик зад... (с) Корпора..

| Просмотр событий (с) Корпора...

j vj Редактор объекте... Microsoft Со... v|	<	>	Дополнительно...

Описание:

"Анализ и настройка безопасности' - это оснастка ММС, позволяющая анализировать и настраивать параметры
безопасности на компьютерах Windows с помощью файлов шаблонов безопасности.

ОК	Отмена

Рис. 4.1. Добавление оснастки Шаблоны безопасности в консоль ттс

По умолчанию оснастка Шаблоны безопасности ищет шаблоны в каталоге
%SystemDrive%\Users\%UserNamc%\Documents\Seciirity\Templates.

Вы мажете добавить другие пути для поиска шаблонов с помощью следую-
щих действий:

1.	Выберите оснастку Шаблоны безопасности в ММС, из меню Действие
выберите команду Новый путь для поиска шаблонов,

2.	В окне Обзор папок выберите папку с шаблонами, например %Sysiem-
Root%\security\templates\policies, и нажмите ОК.

Теперь, когда вы определили местоположение для поиска шаблонов, с кото-
рыми вы будете работагь, выберите шаблон и просмотрите его настройки.
Если готовых шаблонов пока нет, самое время их создать.
Создать новый шаблон можно так:

1.	В оснастке Шаблоны безопасности щелкните правой кнопкой мыши по
пути, в котором нужно создать шаблон, и выберите команду Создать
шаблон.

2.	Введите имя и описание шаблона в появившемся окне.

3.	Нажмите ОК для создания шаблона. Будет создан шаблон, но ни один из
параметров не будет настроен, поэтому вам нужно внимательно настро-
ить шаблон перед его использованием.

4.	После того как вы измените настройки шаблона, щелкните на его назва-
нии и выберите команду Сохранить. Альтернативно, вы можете исполь-
зовать команду Сохранить как, чтобы назначить шаблону новое имя

Консоль! - [Корень консоли\Шабяоиы 6езопасности'\С\изегз\Админигратор\Ооситепи\5есчгНу\Тетпр1ат«\5егует]
% файл Действие Дид Избранное Окно Справка

м Корень консоли	| Имя

ь " -"'-роя»" бпоткнкте	I Толиг»».

-	а. ш.ото»»	и	। лоо»,,..

V :4С^<юМм»-КфИ<>>>и№ш>МЯ5«*<> 1Ж№млсо6ыъ,й

Описание

Политики паролей и блокировки у..,
Политики аудита, прав пользоыге_
Журнал событий

' Л Политики учетных записей

>	4 Локальные политики

Л Журнал событий

“4 Группы с ограниченным доступом

« Системные службы

>	£ Реестр

4 Файловая система

। 1 Группы с ограниченным допу- Группы с ограниченным доступом

j -3 Системные службы

| ОРеестр

«Файловая система

Параметры системной службы
Параметры безопасности реестра
Параметры безопасности Файлово



Рис. 4.2. Шаблон Server создан

4.1.3. Изменение настроек для политик учетных записей,
локальных политик и журнала событий

I Настройки политики учетных записей (узел Политики учетных

Г записей) контролируют безопасность паролей, блокировки учетных

i	записей, а также безопасность Kerberos.

5

Параметры локальных политик (узел Локальные политики) контролиру-
ют безопасность аудита, назначения прав пользователям и другие настройки
безопасности.

'»66 J]
Параметры журнала событий (узел Журнал событий) контролируют без-
опасность журнала событий.

Настройки политики учетных записей, локальных политик и журнала без-
опасности можно изменить с помощью следующих действий:

•	В оснастке Шаблоны безопасности разверните нужный узел, а затем вы-
берите соответствующий подузел, налример Политика паролей или По-
литика блокировки учетной записи.

•	На правой панели параметры политики выводятся в алфавитном порядке
Значение в колонке Параметр компьютера отображает текущее значе-
ние. Если шаблон изменяет настройки так, что политика больше не ак-
тивна. в этой колонке будет значение Не определено.

•	Дважды щелкните на параметре, чтобы отобразить диалог Свойства,
изображенный на рис. 4.3. Для определения назначения параметра пере-
йдите на вкладку Объяснение. Для определения политики в шаблоне
включите флажок Определить следующий параметр политики в
шаблоне. Для отмены применения политики снимите этот флажок.

Рис. 4.3. Изменение настроек шаблона

•	Если вы включите настройку политики, укажите ее значение и любые
другие дополнительные параметры.

•	Нажмите ОК для сохранения изменений. Вы увидите диалог Suggested
Value Changes, показанный на рис. 4.4. Этот диалог информирует вас
о других значениях, которые изменены на основании измененных вами
значений. Например, когда вы изменяете настройки Порот овое значение
блокировки, Windows также может изменить настройки Время до сбро-
са счетчика блокировки и Продолжительность блокировки учетной
записи.

Предлагаемые изменения значений	X

Так как значение 'Пороговое значение блокировки* изменено на "5 ошибок входа в
систему" следующие элементы получат предлагаемые значения

[ Политика	Параметр шаблона	Предлагаемое	знамен..

I д , Время до сброса счетчика блокировки	Не определено	30 мин

Продолжительность блокировки уме	Не определено	30 мин

ОК	.Отмене

Рис. 4.4. Предлагаемые значения

4.1.4.	Настройка трупп с ограниченным доступом

Настройки политики групп с ограниченным доступом управля-1
ют списком членов групп, а также группами, к которым принадлежит |
настроенная группа.

Вы можете настроить ограниченную труппу так:

1.	В оснастке Шаблоны безопасности выберите узел Группы с ограни-
ченным доступом. На правой панели вы увидите уже настроенные груп-
пы с ограниченным доступом в алфавитном порядке. Также перечислены
члены группы.

2.	Для добавления ограниченной группы щелкните правой кнопкой мыши
по узлу Группы с ограниченным доступом и выберите команду Доба-
вить группу. В диалоге Добавление группы нажмите кнопку Обзор.

3.	В диалоге Выбор: «Группы» введите труппу, которую вы хотите ограни-
чить, или нажмите Проверить имена. Если будет найдено несколько со-
впадений, выберите учетную запись, которую вы хотите использовать, и
затем нажмите ОК. Если совпадения не будут найдены, измените введен-
ное вами имя и попытайтесь поискать снова. Повторите этот ша1 столько
раз, сколько будет необходимо, затем нажмите ОК.

4.	В диалоге Свойства, показанном на рис. 4.5, вы можете использовать
опцию Добавить членов группы для добавления членов в труп
пу. Нажмите кнопку Добавить членов группы, а затем укажите чле-
нов группы. Если в группе не должно быть никаких членов, выделите
всех членов и нажмите Удалить. Любые члены, которые не определены
в установке политики для ограниченной группы, будут удалены при при-
менении шаблона безопасности.

5.	13 диалоге Свойства нажмите кнопку Добавить группы для указания
групп, к которым эта группа будет принадлежать. Если вы нс определяете
членство н ipynnax, группы, которым принадлежит эта группа, нс будут
изменены при применении шаблона.

6.	Нажмите ОК для сохранения настроек.

HSJUSKS Свойства	? X

Настройка членства для IISJUSRS

Члены этой группы
«Эта группа должна быть пустой>

j Добавить членов группы.. |
Эта группа вкодит в

Добавить группы

ОК	Отмена ’Примчи й

Рис. 4.5. Свойства группы

Для удаления ограниченной группы выполните эти действия:

•	В оснастке Шаблоны безопасности выберите узел Группы с ограни-
ченным доступом. На панели справа будут в алфавитном порядке вы-
ведены группы. Члены группы будут выведены напротив имени группы.

•	Щелкните правой кнопкой мыши (или нажмите и удерживайте имя груп-
пы пальцем) и выберите команду Удалить. Когда вас попросят подтвер-
дить действие, нажмите Да.
4.1.5.	Включение, отключение и настройка системных служб

Настройки политики для системных служб контролируют об-
щую безопасность и режим запуска локальных служб.

.........................................................HiiiiiiiHiiiiiiiiHntiiiHiiiiiiiiumniiiniiiiiii<iiiiittiiiitiiiiiiiinuiiniiimiiiinuiniiiituiiniiiitniuiiiiiiiiiiiii*niiniiiMniimiiiniiniiHiiniitii»iitiiitiiiii

Вы можете включить, выключить и настроить системные службы

1.	В оснастке Шаблоны безопасности выберите узел Системные службы.
На панели справа будут отображены установленные в данный момент
службы, выводится имя службы, тип запуска и настройка разрешений.
Когда работаете со службами, помните следующее:

» Если шаблон не изменяет гип запуска службы, в колонке Автозагруз-
ка выводится Не определено. В противном случае выводится одно из
следующих значений: Автоматически, Вручную, Отключен.

» Если шаблон не изменяет конфигурацию безопасности службы в ко-
лонке Разрешение, выводится значение Не определено. В противном
случае выводится Настроено.

2.	Дважды щелкните по записи службы, чтобы открыть ее диалог Свой-
ства, изображенный на рис. 4.6. Чтобы определить и применить пара
метры политики, включите флажок Определить следующий параметр
политики в шаблоне. Для очистки политики и отмены ее применения
снимите этот флажок.

3.	Если вы включите настройку политики, укажите тип запуска службы: Ав-
томатический, Вручную, Запрещен. Помните следующее:

» Автоматический - служба будет запущена автоматически при за-
пуске операционной системы. Выберите эту установку для важных
служб, которые точно безопасны. Эти службы будут запушены на всех
компьютерах, к которым применяется шаблон безопасности, если, ко-
нечно. службы установлены на этих компьютерах.

» Вручную - предотвращает автоматический запуск службы, но раз-
решает запуск службы вручную пользователем, приложением или
другой службой. Выберите эту установку, когда нужно ограничить не-
нужные или неиспользуемые службы или когда вам нужно ограничить
службы, которые не совсем безопасны.

.............................................................................................................
» Запрещен - предотвращает запуск службы, автоматический или руч-
ной. Выберите эту установку для службы, запуск которой вы хотите
запретить.

4.	Если вы хотите изменить (или просто просмотреть) конфигурацию безо-
пасности, нажмите кнопку Изменить параметры. Появится диалог Без-
опасность для <Название службы>, в котором вы сможете установить
разрешения для определенных пользователей и групп, которые могут за-
пускать, останавливать и приостанавливать службу на компьютере.

5 Нажмите ОК.

Свойства: DHCP-клиент	? X

Параметр шаблона политики безопасности

распределить следующий параметр политики в шаблоне!

Выберите режим запуска службы.

Q автоматический

Овручную

Запрещен

Изменить параметры..

j ОК] Отмена Применить

Рис. 4.6. Изменяем настройки шаблона для системных служб

4.1.6.	Настройка параметров безопасности для реестра и
файловой системы

Настройки политик для файловой системы контролируют безопас-
ность для файлов и папок в локальной файловой системе. Параметры
политик для реестра контролируют значения ключей реестра, связан-
ных с безопасностью.

Вы можете просмотреть или изменить параметры для определенных в дан
ный момент ключей реестра и путей файловой системы с помощью следую -
щих действий;
1.	В оснастке Шаблоны безопасности выберите узел Реестр или Файло-
вая система, в зависимости от того, с чем вы хотите работать. Па правой
панели будет выведен список всех защищенных путей. Для добавления
пути в список щелкните правой кнопкой мыши на узле Реестр или Фай-
ловая система и выберите команду Добавить раздел или Добавить
файл соответственно.

2.	Дважды щелкните на пути реестра или файловой системы для просмотра
его параметров, как показано на рис. 4.7.

Я* Файл Действие Вид Избранное Окно Спвавка
2 •X S

Корень кс-соли

si Анализ и настройка безопасности

3» Шаблоны безопасности

Емсгр

. SOFTWARE

I СДУ»и\Администратор\Оосите«ч^

3 Server

v ('й Политики учетных записей

> Л Политика паролей

Зв Полигика блокировки учет*

•• 3 Политика Kerberos

« 4S Локальные политики

Й Журнал событий

Группы с ограниченным аосту?

> Системные службы

 2» Реестр

Файловая система

»*’’ СНалм

' (M>uNJ«*<&wrar4
fcT GoogU

1 й V Qvcoi*

b NetveMe»»»»
сожлиск^
Ifc Ь,-’ ГлЫ
it Mfc»o»oB

i	ф ooec

1	да £ Pa*wt

I; Й» К“

HwOp-знные раздал

jMACHWE^OFTWARE^o^eK

Действия

Дополнительные... ►

® Настроит» этот раздал

ф Распространит, норладувныа разрешения на ас»
гшрозцалы

0 Заменить текущие разреаижиа к осек полрешлш

асладуеныпи

Q Запретит» замену разрешения  «том раздал*

Иаме^тте порам» три

Рис. 4.7. Измените параметры шаблона Для файлов и ключей реестра

3.	Чтобы убедиться, что путь или ключ не заменяется, выберите Запретить
замену разрешений в этом разделе, а затем нажмите ОК. Пропустите
оставшиеся шаги этой процедуры.

4.	Чтобы заменить разрешения, выберите Настроить этот раздел, а затем
одну из двух опций:

» Распространить наследуемые разрешения на все подразделы (или
соответствующее название для файлов) - выберите эту опцию для
применения всех наследуемых разрешений к этому пути реестра или
файловой системы и ко всем вложенным путям реестра/файловой
системы. Существующие разрешения будут заменены, только если
они конфликтуют с разрешениями безопасности для этою пути.
» Заменить текущие разрешения во всех подразделах наследуемы-
ми (или соответствующее название для файлов) - выберите эту опцию
для замены всех существующих разрешений для этого пути реестра
или пути файловой системы и для всех вложенных путей реестра или
путей файловой системы. Любые существующие разрешения будут
удалены, останутся только текущие разрешения.

5	Нажмите Изменить параметры в диалоге Безопасность базы данных
для настройки разрешения безопасности для пользователей и групп.
Установка разрешений подобна аналогичной процедуре для файлов/па-
нок на файловой системе NTFS.

6.	Нажмите (Ж дважды для сохранения изменений.

4.1.7. Анализ, просмотр и применение шаблонов безопасности

Как было указано ранее, оснастка Анализ и настройка безопасности ис-
пользуется для применения шаблонов и для их сравнения с текущими на-
стройками компьютера. Применение шаблона позволяет удостовериться,
что параметры шаблона были применены к конфигурации компьютера.
Сравнение настроек может помочь идентифицировать любые несоответ-
ствия между тем, что реализовано в настоящее время, и тем, что определено
в шаблоне безопасности. Это может также быть полезно, чтобы определить,
изменялись ли настройки безопасности в течение долгого времени.

Основной недостаток использования оснастки Анализ и настройка без-
опасности в том, что вы не можете сконфигурировать несколько компью-
теров сразу. Вы можете настроить безопасность только на компьютере, на
котором вы запускаете оснастку. Если нужно использовать этот инструмент,
чтобы развернуть конфигурации безопасности, зы должны войти в систе-
му и запустить ее на каждом компьютере. Этот метод нормально работает
на автономных компьютерах, но является далеко не самым оптимальным в
домене. В домене вам нужно импортировать настройки шаблонов в объект
групповой политики и затем развернуть конфигурацию безопасности сразу
на множестве компьютеров. Об этом мы поговорим позже.

Оснастка Анализ и настройка безопасности использует базу данных для
хранения настроек шаблона безопасности и затем применяет настройки из
этой базы данных. Для анализа и сравнения настройки шаблона перечисле-
Сервер на Windows и

________2 . .        ______________________________________________________^-- .. -,,-iftr - '^Т .

ны как настройки базы данных, а конфигурация компьютера - как настрой-
ки компьютера. Имейте в виду, что если вы активно редактируете шаблон
в оснастке Шаблоны безопасности, вам. нужно сохранить шаблон, чтобы
изменения могли быть проанализированы и использованы,

После создания шаблона (или выбора существующего шаблона) вы можете
проанализировать и затем настроить шаблон следующим образом:

1	Откройте оснастку Анализ и настройка безопасности.

2.	Щелкните правой кнопкой мыши на Анализ и настройка безопасности,
затем выберите команду От крыть базу данных. Будет открыт одноимен-
ный диалог.

3.	По умолчанию путь в диалоге Open Database будет установлен б
%SystemDrive%\Users\%UserName%\Documents\Security\Database. При не-
обходимости смените каталог. В поле Имя файла введите описываю-
щее имя базы данных, например Сравнение конфигурации, и нажмите
Открыть. База данных безопасности будет создана в формате Security
Database Files (расширение .sdb).

4.	Откроется окно Импорт шаблона. По умолчанию путь для поиска
шаблонов - %SystemDrive%\Users\%UserName%\Documents\Security\
Templates. При необходимости вы можете перейти в друтую папку. Выбе-
рите шаблон безопасности, который вы желаете использовать, и нажмите
Открыть. Файл шаблона безопасности имеет расширение .inf.

5.	Щелкните правой кнопкой мыши по узлу Анализ и настройка безопас-
ности и выберите команду Анализ компьютера. Когда вас попросят
установить путь для журнала, нажмите ОК, чтобы использовать путь по
умолчанию.

6.	Дождитесь, пока оснастка выполнит анализ шаблона. Если во время ана-
лиза произойдет ошибка, вы сможете просмотреть журнал ошибок, щел-
кнув правой кнопкой мыши по Анализ и настройка безопасности и
выбрав команду Показать файл журнала.

Когда вы работаете с оснасткой Анализ и настройка безопасности, вы
сможете просмотреть разницу между настройками шаблона и текущими
настройками компьютера. Как показано на рис. 4.8, настройки шаблона вы-
водятся в колонке Параметр базы данных, а настройки компьютера - в


Параметр компьютера. Если настройка не анализируется, выводится Не

определено.

4» Консоль! - (Корень вонсоли\Анаяи! и настройка 6езопасности\Пол/тики учетных мпмсейкПолитика паролей!

'Ц Файл Действие fi/д Избранное Окно Справка

♦	© X Б ИГ

Корень консоли

Ж Анализ и настройка безопасности

* Политики учетных записей

JS Политика паролей

» Политика блокировки учетной записи

4 Локальные политики

J Журнал событий

>	,л Группы с ограниченным доступом

>	Кi Системные службы

>	’ J Реестр

>	-4 Файловая система

Ж Шаблоны безопасности

* 4 ,i C \Use«\AAMHHHCTp^oD\Oocuinents\Se<urii

3 Server

Политика

Вести журнал паролей

Максимальный срок действия пароля

-л Минимальная длина пароля
^Минимальный срок действия пароля

<4 Пароль должен отвечать требованиям слож_

, Хранить пароли, используя обратимое шиф_

Параметр баз.. Параметр компь-
че определено 0 сохраненных па_
Не определено 42 дн.

Не определено 0 зн.

не определено Оди.

не определено Включен

Не определено Отключен

Действий

Политика паролей *

Дополнительные ►

Рис. 4.8. Просмотрите разницу между настройками шаблона и компьютера

Внести изменения в базу данных (то есть изменить значение в колонке
Параметр базы данных) можно следующим образом:

•	В оснастке Анализ и настройка безопасности дважды щелкните на зна-
чении, которое вы хотите изменить.

•	В диалоге Свойства (рис. 4.9) выводится текущее значение, установлен-
ное в настройках компьютера. Если назначение параметра вам непонят-
но, перейдите на вкладку Объяснение.

•	Для определения значения политики включите флажок Определить сле-
дующую политику в базе данных. Для очистки политики и отмены ее
применения выключите этот флажок.

•	Если вы включаете настройку политики, укажите, как значение политики
должно использоваться, указав любые дополнительные параметры.

•	При необходимости повторите этот процесс. Для сохранения изменений
в базе данных щелкните правой кнопкой по узлу Анализ и настройка
безопасности и выберите команду Сохранить.

Г >75
Свойства: Максимальный срок действия пароля	? X

Анализируемый параметр политики безопасности Объяснение

gjp'	Максимальный срок действия пароля

Параметр компьютера

Срок истечения действия пароля

|^/]^прадвлить следующую политику в базе данных)

Срок истечения действия пароля

‘+2	44 АН

Этот параметр влияет только на базу данных Он не изменяет текущие
параметры компьютера

| ОК | Отмене Применить

Рис. 4.9. Изменение настройки политики в базе данных перед применением
шаблона

Когда вы будете готовы применить шаблон, щелкните правой кнопкой мыши
по узлу Анализ и настройка безопасности и выберите команду Настроить
компьютер. Когда вас попросят ввести путь к журналу ошибок, нажмите
ОК для использования пути по умолчанию. Для просмотра журнала ошибок
щелкните правой кнопкой мыши по узлу Анализ и настройка безопасно-
сти и выберите команду Показать файл журнала. Обратите внимание на
любую проблему и примите соответствующие меры.

4.2.	Политики, на которые стоит обратить

внимание

4.2.1.	Удаляем лишние команды из Проводника

Откройте редактор групповой политики (команда gpedit.msc) и перейдите
в раздел Конфигурация пользователя, Административные шаблоны,
Компоненты Windows, Проводник (рис. 4.10 ).
Редактор локвпы-ой групповой палиики

файл Действе Вид £праэк«

Windows RjwerSte)!

быстрый поиск

Виртуализация средгв «аимодейс
Гаджеты рабочею стола

: Диспетчер вложений

! Диспетчер окон рабочего стола
Добавить компоненты в Window U

i Запуск при первом включении комг

1 Звукозапись

! Календарь Window

! Консоль управления (ММС;

Л Магазин

,2 Найти

i Общий сетевой доступ
Отзыв файлов

: Отчеты об ошибках Windows

3 Параметры входа Windows
Параметры презентации
|'1лаиировщик заданий
Планшет

: Политики автозапуска
Пользователыжий интерфейс грани
Пользоватальский интерфейс учет»

Чтобы просмотреть
описание злемипл
выделите «о.

Проигрыватель Windows Mean
Рабочие папки

5 Расположение и датчики

Редактор метода мода

47 параметров

Состояние

' Общее диалоговое окно о’крытмя файлов

Панель кадра проводника

Предыдущие версии

Отключить отображение хкизов и отображ~

Отключить отображение эскизов и огображ-
,L Оталюмить кэширование квоов в скрытых -
.1 Не показывать центр начальной иастюйки ,
7; Включить классическую оболочку

Запрашивать под’вержде*'ие при удалении .

Место, где располагаются все Файлы опрсдед
 Оклюлпь прямую привязку к IPropertySetSi

Отключить эоэможнс."и библиотеки Wlnoo

Отслюнить известные папки

Отслюнить отображение предыдущих поиск-.

Р «решить использование только лольэоват-
Запускать проводник со свернутой лентой

;, Отключить отображение фрагментов в рекси-.

:. Не отслеживать ярлыки «белочки при лере
т Максимальная длина списка «Недавнее догу-
I. Удалить возможности мг леи компакт-дисков

’, Запретить вменение видеоэффектов для ме._
Л Запретить изменение указателя клави»турно_

; \ Расширенный Д Стандартны й /

Состояние

Не задана
Не задана

Не задана

Не задан»

Не задан*
не задана

Незадач*
Не задача
Незлым
Не задана
Не замка
Не задана

Не задана

Не задана

Не задана

Комментарий

Het

Her

Her

Нет
нет
Нет
нет
нет
Не»

нет

Нет
нет

Нет
нет
______B£L





Рис. 4.10. Пирометры Проводника

Как видите, есть много полезных и не очень политик. Рассмотрим несколь-
ко полезных. Гак, политика Скрыть выбранные диски из окна «Мой
компьютер» (рис. 4.11) позволяет удалить значки выбранных дисков из
окна Этот компьютер (в последних версиях Windows это окно называется
именно так).

Sk Скрыть выбранные диски из окна «Мой компьютер»

□

X

И Скрыть выбранные диски из окна «Мой компьютер» _	2	~"’™“

Предыдущий параметр Следующий параметр

Оцемдано К»мм«яриа:

® Включено

гр,6ом„,кмр„и

Не ниже Windows 2000

Параметры:

Справке:

Выберите одну из указанных комбинаций

Ограничить доступ к диску О

Этот параметр политики позволяет скрывать выбранные ‘ Л
диски в окне «Мой компьютер»

Этот параметр политики позволяет удалять значки
выбранных жестких дисков из окна «Мой компьютер» и ,
проводника. Кроме тою. буквы дисков, представляющие t
выбранные диски, не отображаются в стандартном
диалоговом окне «Открыты,

-Если вы вклюоае-е этот параметр политики, выберите
диск или группу дисков в раскрывающемся списке.

Примечание. Этот параметр политики удаляет значки
дисков Пользователи при этом могут получить доступ к
содержимому скрытых дисков с помощью других

Отмена Применить

Рис. 4,11. Ограничиваем доступ пользователей к определенным дискам
Впрочем, если пользователь окажется умным и введет путь диска (напри-
мер, D:\) в окне Проводника, он сможет получить доступ к нему. Для таких
умных пользователей предназначена политика Запретить доступ к дискам
через «Мой компьютер» (рис. 4.12).

Запретить доступ к дискам через «Мой компьютер»	□ X

И Запретить доступ к дискам через «Мой компьютер» _	м 4	-	...

1	Предыдущий параметр Следующий параметр

О Не задано Комментарий:	I	1 а|

Заключено	1

ООпиюмеио Требо.«™я«.еро<>с |ненихе/ЛлЛМ12000	..........-ГТ1

| ______________________________•_______________

Параметры:	Справка:

Выберите одну из указанных комбинаций	Запрещает использовать окно «Мой компьютер* для |

; доступа к содержимому выбранных дисков.

Ограничить доступ к диску О

Если вы включаете этот параметр политики, пользователи
могут просматривать структуру папок выбранных дисков |
в окне «Мой компьютер» или проводнике, но не могут
открывать папки или получать доступ к их содержимому.
Кроме того, они не могут использовать диалоговое окно
Выполнить» или «Подключение сетевого диска» для
просмотра каталогов из этих дисках.

Чтобы использовать этот параметр, выберите диск или
труппу дисков из раскрывающегося списка. Чтобы
разрешить доступ ко всем каталогам дисков, отключите
это* параметр политики или выберите параметр «Не

OK j Отмена Применить

Рис. 4.12. Запретить доступ к дискам

Неплохо было бы еще и запретить пользователю использовать окно Выпол-
нить (открывается при нажатии Win + R) Для этого нужно включить поли-
тику Отключить сочетания клавиш Windows + X. Правда, эта политика
«убьет» все сочетания, в том числе и Win + R, но отдельной политики, кото-
рая бы отключала отдельные команды, в современных версиях Windows нет
(хотя раньше была политика, скрывающая команду Выполнить).

4.2.2,	Запрещаем доступ к командной строке и PowerShell

Окно Выполнить используют самые начинающие пользователи. Продвину-
тые пользователи используют или командную строку, или PowerShell.
Запретить пользователям использовать командную строку можно с помо-
щью политики Конфигурация пользователя, Административные шабло-
ны, Система, Запретить использование командной строки (рис. 4.13)
Также включите опцию Запретить также обработку сценариев в команд-
ной строке, чтобы нельзя было запускать сценарии из командной строки.
Запрет*'!» испоявзомние командной строка	□ X |

>в Запретит* йсполыюввни» командной строго
Предыдущий параметр Следующий параметр

Os-WJK -ЧМИ-ОИ»-

<•' бустючвм©

О Отключена	<_________ „	|„„.п|..гг,.,,	.......—------------------------з

THowbow» Гн'г.аж.ЖШ^ДОС

' Параметр».	Справы»

^Запретит* также обработку сценариев	! Этот ларв»*етр“7юл»т«м мпрец^ет тюлмрввтмйм млускат* ] л

 командной cnx>»ef	окно котыышюй отроки Ото! ее. Этот параметр пелитягл I

,.	так»» опромлает могут ям на этом гомпьммере

Да	м.	аылллнвтхв пакетом* файл*. (СМЕ> и .8*1).

Если этот параметр политоки «ключей и ЛОЛ»»ОВ«т*л*
пытвотся открыт» окно командной строки, систем» амаоднт •
сообщим»* о том, что »то действие мпрашено

Если >»*Т параметр политики отключай или не настроен,
полдеаателм мот>т выполнят* Cmd е»е и пакетом* файлы а
обычном режим*

Примечание Не следует «атфащвт* выполнение пакетным
файлов на компьютере. если на нем применяются сценарии <
вход* «ватод», ««тематического запуска или ,«вершении	I

работы, а также пслвтсватолвы, ислалакуюиртм службы ‘
i j	удаланивм рабочим с толов

т^тгг.^1 Гтыем» Зримеиит*

Рис. 4.13. Запрещаем использование командной строки

Отдельной политики, запрещающей запуск PowerShell, нет, но есть полиги
ка, запрещающая запуск определенных приложений. Она называется Не за-
пускать указанные приложения Windows и находится все в том же разде-
ле Система, Включите ее и запретите запуск powershell.exe и powershell isc.
ехе (рис. 4.14).

«*Ал Дт«<т*н« Вид Спрмка

ti Устам

Коммпнприй

Е. В*кд содержания

Полип.» /1осалы.*1й моылыстар
м Ганфжурацмкомпкютф»
> йд Кмфигурсчдя лмяыыи
> Котфиуращ ,„t
> AAMMMKtpai

V «?. Конфигурации <4 gg Нфяп^кашуитки^прмсжвммаМАлфяк
> С! Квифигурац!

> (Д Кояфигур»ад

ы Адмимчтра) ОИвШ**
> Комгон»

> 4^ Мы»Л ,^1к*с‘*ю

i

Пвивлоj

"2 Рабочий

Сот»

СйСТ«мв

в«Р« П***Р»

Х5 **М.-------------

Списом илрвш

□ ДвсЧц

Д Пари

Н Пвр«4
а пр»ф





трвФсввниа к ввркйй

Рис. 4.14. Запрет запуска PowerShell


Также, пока вы еще не «ушли» из раздела Система, неплохо было бы
запретить запуск редактора реестра. Для этого включите политику Запре-
тить доступ к средствам редактирования реестра

4.2.3.	Максимальное время работы пользователя

Политика Конфигурация пользователя, Административные шаблоны,
Компоненты Windows, Службы удаленных рабочих столов, Узел сеансов
удаленных рабочих столов, Ограничение сеансов по времени, Задать
ограничение по времени для активных сеансов служб удаленных рабо-
чих столов позволяет задать максимальную продолжительность сеанса. Ее
можно установить, например, в 8 часов.

S* Задать ограничение по времени для активных сеансов служб удаленных рабочих столов	□ X

Задать ограничение по времени для активных сеансов служб удаленных рабочих столов

параметр .^ыдукмив пярлхютр

Ой*мл*«о Коммвмтврий;

(ф Йрлемено

О Опмвомвне	_____________ ________________________ - _ _ -Т,

Трвбовмм к вереи» н,мдавоктемЩмSwwMGJ юыWindow Хр””'

Profeutawi

Параметры:	Сорвем-

onnwriMm	"Ч»М~	[•

j	„ л .	i •₽*м*и* • течение которого сеанс служб удаленных

J чаем	раоочж столов может оставаться активным, прежде чем

I"	будет автоматически отключай.

Если вы включаете этот параметр политики, необходимо
выбрать требуе«ао« ограничение по времени в списке
ограничений для активных сеансов. Службы удаленных
рабочих столов автоматически отключают активные сеансы
то истечении утомимте времаяы За д м минуты до
отключения сеанса служб удаленные рабочих столов
погшоытедь получает пр^уяреждмк. после которого он
может ссиравыт» открытые файлы и вакрыть программы.
Для консольного сеанса ограничения по времени <
ктнвиыы севисам не применяются

|Если вы отключаете или не иы. грянемте >тот параметр
политики, на уровне групповой политики он не определен.
По умолчанию с лужбы удалетеюж рабочих столов	v

[ ок "| Г Отмен» Дримемить

Рис. 4.15. Ограничиваем время сеанса

К сожалению, ничто не помешает пользователю снова залогиниться на сер-
вере. Ограничить время входа на сервер можно только с помощью оснастки
Пользователи и компьютеры Active Directory, но далеко не все терминаль-
ные серверы являются контроллерами домена, к сожалению. Разворачивать
контроллер домена только ради этой функции не хочется (например, если
герминальный сервер у вас используется только ради совместною дос гула к
1С, нет смысла настраивать контроллер домена).
Рис. 4J6. Установка времени входа учетной записи

4.2.4.	Отключение элементов панели управления

| С помощью групповых политик можно отключить некоторые элемен-
ты панели управления.

В разделе Конфигурация пользевазеля, Административные шаблоны,
Панель управления находятся две замечательных политики - Скрыть
указанные элементы панели управления и Запретить доступ к панели
управления и параметрам компьютера. Первая позволяет запретить
выбранные элементы панели управления, а вторая вообще запрещает доступ
к панели управления и к параметрам компьютера.

4.3.	Настройка межсетевого экрана с помощью
групповых политик

В последних версиях Windows брандмауэр по умолчанию включен. Однако
его параметры, установленные по умолчанию, удобны не для всех: защита

1I л
активна, но задействованы исключения, обеспечивающие работу компьюте-
ра в локальной сети. В сетях с развернутыми системами управления бранд-
мауэр будет блокировать доступ таких нрофамм. Не будет обеспечиваться и
должный уровень защиты в публичных сетях. Именно поэтому брандмауэры
Windows нуждаются в централизованной настройке с помощью групповых
политик.

Параметры настройки групповой политики брандмауэра Windows можно
найти по следующему пути: Конфигурация компьютера, Администра-
тивные шаблоны, Сеть, Сетевые подключения, Брандмауэр Защитни-
ка Window s (рис. 4.17).

В политике Брандмауэр Защитника Windows вы найдете контейнеры Про-
филь домена и Стандартный профиль. Первый используется при работе
компьют ера в домене, а второй — когда компьютер подключен к сети, где
нет домена W'indows.

Если на предприятии внедрена система удаленного мониторинга, то нужно
открыть для этой программы все порты и включить опцию Разрешать ис-
ключения для удаленного управления — что даст возможность управле-
ния через удаленную консоль.

Редактор локальной групповой политики

файл Действие Аид Справка

£3 Windows Connect Now	•

Ш Автономные файлы

> .1 Беспроводной дисплей

1 Диспетчер подключений Windows

1 Индикатор состояния сетевого поди

I Обнаружение топологии связи (Link

> (1 Параметры TCP/IP

!Параметры взаимодействия клиент

i 5 Параметры конфигурации SSL

л \ й Планировщик пакетов QoS

Й Поставщик сети

s । Проверка подлинности для террито
Рабочая станция Lanman

«3 Сервер Lanman
. 2 Сетевая изоляция
лЗ 'Сетевые подключения

Брандмауэр Защитника Windows

- Служба WLAN

Состояние

П Профиль домена

! Стандартный профиль

! J Брандмауэр Защитника Windows: Разрешить...

Состояние

Не задана

1 параметров

Служба WWAN

Фоновая интеллектуальная служба г v ,
> J ^Расширенный^ Стандартный /"

Комментарий

Рис. 4.17. Настройка параметров брандмауэра Windows при помощи групповых
политик

Для стандартного профиля нужно запретить использование всех исключе-
ний брандмауэра, потому что такой вариант является самым безопасным для
публичной сети, а мы организуем сеть предприятия.
Рекомендуемые пас х ройки параметров групповой политики для брандмауэ-
ра Windows приведены в табл. 4.1.

Таблица 4.1. Рекомендуемые параметры настройки брандмауэра Windows

Параметр	Профиль домена	Стандартный профиль
Защита всех сетевых под- ключений	Включен	Включен
Не разрешать исключения	Не задан	Включен, и настроены исключения для используе- мых программ
Определение входящих исключений программ	Включен, и настроены исключения для ис- пользуемых программ	Включен, и настроены исключения для используе- мых программ
Разрешить локальные ис- ключения программ	Отключен	Отключен
Разрешить входящее ис- ключение удаленного ад- министрирования	Отключен	Отключен
Разрешить исключение для входящего общего доступа к файлам и прин- терам	Отключен	Отключен
Разрешить исключения ICMP	Отключен	Отключен
Разрешить входящие ис- ключения удаленного ра- бочего стола	Включен	Включен
Разрешить исключения входящею трафика для СРпР	Отключен	Отключен

к______J
Запретить уведомления	01 ключей	Отключен
Разрешить ведение жур- нала	Не задан	Не задан
Запретить одноадресные ответы на многоадресные или широковещательные запросы	Включен	Включен
Определять входящие ис- ключения портов	Отключен	Отключен
Разрешить локальные ис- ключения поотов	Отключен	Отключен
Глава 5.

Разворачивание Active
Directory
Доменные службы Active Directory (Active Directory Domain
Services, AD DS) — расширяемая и масштабируемая служба каталогов,
которую можно использовать для активного управления сетевыми
ресурсами.

Администратору нужно четко понимать, как работает Active Directory Дан-
ная технология усовершенствована и имеет множество функций.

5.1. Введение в Active Directory

Active Directory — сердце доменов на базе Microsoft Windows. Практиче-
ски любая административная задача в той или иной мере затра! ивает Active
Directory. Технология Active Directory основана на стандартных интернег-
протоколах и разработана для того, чтобы помочь вам определить четкую
структуру вашей сети.

Служба каталогов Active Directory использует систему доменных имен
(Domain Name System, DNS). DNS — это стандартный интернет-сервис,
объединяющий группы компьютеров в домены. Домены DNS организованы
в иерархическую структуру. Иерархия домена DNS определена на основе
всего Интернета, разные уровни в иерархии идентифицируют компьютеры,
объединяя их в домены и домены верхнего уровня DNS также используется
для преобразования имен узлов в числовые адреса TCP/IP. С помощью DNS
структура иерархии домена Active Directory может быть частью доменной
иерархии Интернета или же может быть отделена от Интернета (частной).
При обращении к компьютерам в домене DNS используется полное домен-
ное имя (fully qualified domain name, FQDN), например dev.example.com.
Здесь dev - имя отдельного компьютера, example - домен организации, а
сот — домен верхнего уровня.

Домены верхнего уровня (top-level domains, TLD) — база DNS-иерархии.
TLD организованы по географическому признаку с использованием двух-
буквенного кода страны (например, ru для России), по типу организации
(например, сот для коммерческих организаций), по функции (например,
info для информационных ресурсов, org - для общественных организаций).

DNS интегрируется в технологию Active Directory, причем так глубоко,
чго сначала нужно настроить DNS в своей сети, а затем уже устанавливать
Active Directory.

В случае с Windows Server 2019 процесс установки Active Directory состоит
из двух частей. Первая часть - это установка программного обеспечения.
Процесс установки начинается в диспетчере серверов выбором команды До-
бавить роли и компоненты, которая запустит Мастер добавления ролей и
компонентов, используемый для установки роли Доменные службы Active
Directory (рис. 5.1, рис. 5.2). В результате будут установлены двоичные фай-
лы, необходимые для роли, а процесс установки будет показан на странице
Ход установки.

Йш Мастер добавления ролей и компонентов

□

Выбор ролей сервера

«ЗИЕЧНЫЙ СЕРВЕР
WN-IGOGBECFF35

Выберите одну или несколько ролей для установки на этом сервере

Роли

Описание

Перед на шом работы

“ил установки

Ьыбср сервера

Компоненты

О ONS-cepeep

О Hypet-V

Г.) Аттестация работоспособности устройств

(. J Доменные службы Active Directory	I

("] клумбе вяенрюуад	I

i L.1 Службы Active Directory облегченного доступа к
LJ Службы Windows Server Update Services

j О Службы рюивоции корпоративных лииен5ий

 С Службы Печати и документов

i Службы политики сети и доступе

।	О Службы развертывания Windows

i	о Службы сертификатов Active Directory

Q Службы удаленных рабочих столов
О Службы управления правами Active Dtrectory
□ Службы федерации Active Directory
О Удаленный доступ

[*) Файловые службы и службы хранилища (Устаяо
О Факс-сервер

DMCP-сервер позволяет
централизованно настраивать
временные IP-адреса и свезенные
с ними данные, предоставлять их
клиентским компьютерам, э также
управлять ими.

Ддлее>

ra»*oevrt ? Отмена I

Рис. 5.1. Установка роли "Доменные службы Active Directory"
Мастер добавления ролей и компонентов

Добавить компоненты, необходимые для

Доменные службы Active Directory?

Вы не можете установить Доменные службы Active Directory,
если также не установлены следующие службы ролей или
компоненты.

а Средства удаленного администрирования сервера

* Средства администрирования ролей
л Средства AD DS и AD LDS

Модуль Active Directory для Windows PowerShell

л Средства ADDS

{Средства] Центр администрирования Active Dire

[Средства; Оснастки и программы командной Ст|

[Средства] Управление групповой политикой

И Включить средства управления {если применимо)

Добавить компоненты

Отмена

Рис. 5.2. Нажмите кнопку "Добавить компоненты" для установки необходи-
мых для работы AD DS компонентов

Мастер добавления ролей к. компонентов

Доменные службы Active Directory

КОНЕЧНЫЙ С6₽В£Р
WIN-LGOGBECFFJS

Перед нецелом заботь;
тип установки
8ь бор снрвеоа
Рода сервера
Компонента;

Подтбвй-кдение

Доменные службы Дейче Directory (AD DS) хранят сведения о пользователях, компьютерах и
других устройствах сети Он* помогают администраторам безопасно управлять этими сведениями
и упрошакя общий доступ к ресурсам и совместную работу пользователей,

На что обратить внимание:

•	Чтобы пользователи могли входить в сеть в случае отключения сервера, установите в каждом
домене как минимум два контроллера домена.

•	Доменные службы X we Directory требуют наличия в cm* усановленмого DNS-cepeepa. Если
DNS -cepeep не установлен, будет предложено установить роль DNS-сервера не данном
компьютере.

Отдельная веб-служба Azure Active Directory предоставляет пользователям
возможность упрощенного управления удостоверениями и доступом, отчетность о
безопасности, единый вход в облако и локальные веб-приложения.

Гдаюлните-ьные сведения о Azure Active Directory

Настoosbwi Office	с подключением Лаке Active Directory



Рис. 5.3. На что обратить внимание при установке

В ходе установки вам будет сообщено, что для обеспечения отказоустойчи-
вой работы сети нужно установить как минимум два контроллера домена и
настроить DNS-сервер - если такая роль еше не установлена, ее будет пред-
ложено установить на этом же компьютере (рис. 5.3). Просмотрите список
устанавливаемого программного обеспечения и нажмите Установить. Все,
можно сделать перерыв на хофе. а потом приступим ко второй части.

Вь Мастер добавления ролей и компонентов

Подтверждение установки компонентов

конечный сервер

WiM-i6QG6EOTJS

Пеоед началом

Тип установки
Вь бор сервера
Роли сервера
Компоненты

чтобы установите на выбранном сервере следующие роли, службы ролей или компоненты,
нажмите кнопку "Установить*.

St Автоматический перезапуск конечного сервера, если требуется

На этой странице могут быть отображены дополнительные компоненты [например, средства
администрированиях гак как они были выбраны автоматически Если вы не хотите устанавливать
эти дополнительные компоненты, нажмите кнопку 'Назад', чтобы снять их флажки.

Доменные службы Active Directory	i

Средства удаленного администрирования сервера

Средства администрирования ролей

Средства AD DS и AD IDS

Модуль Active Directory для Windows PowerShell

Средства AD OS

Центр администрирования Active Directory

Оснастки и программы командной строки AD DS

Управление групповой политикой

< Назад

| Установить Отмена

□ X

Рис. 5.4. Нажмите кнопку "Установить"

Вторая часть развертывания - необходимо Повысить роль этого сервера
до уровня контроллера домена (рис. 5.5). Нажмите данную ссылку, и при-
ступим ко второй части развертывания AD DS. Будет запущен Мастер
настройки доменных служб Active Directory (рис, 5 6).

Мастер добавления ролей и компонентов

Ход установки

КОНЕЧНЫЙ СЕРВЕР

WIN-lGOGSECTWS

Просмотр хода установки

Установка компонента

Требуется настройка. Установка выполнена на УУЧУ-КтОйВЕШЯ

Доменные службы Active Directory

Ч’обы сделать этот компьютер контроллером домена, требуются дополнительные
действия

Повысил» роль jto'o сервеоа до уровня ксн'роллере доме» а

Средства удаленного администрирования сервера

Средства администрирования ролей

Средства AD DS и AD IDS

Модуль Active Directory для Windows PowerShell

Средства АО DS

Центр администрирование Active Directory

я,....  --—.-  ......... .,,_Д	ГТС...———

Этот мастер можно закрыть, не прерывая выполняющиеся задачи Наблюдайте за ходом

। выполнения задачи или откройте зту страницу снова, выбрав не панели команд пункт
'Уведомления', а затем 'Сведения о задаче'

к спорт параметров конфигурации



Рис. 5.5. Установка AD DS завершена
Рис. 5.6. Мастер настройки доменных служб Active Directory

Данный масгер заменяет файл Dcpromo.exe, который использовался для на-
стройки контроллеров домена в старых версиях Windows Server. Мастер так-
же запускает файл Adprep.exe для подготовки надлежащей схемы. Нели ра-
нее Adprep.exe не запускался отдельно, будет установлен первый контроллер
домена на базе Windows Server 2019 в существующем домене/лссу. мастер
попросит ввести соответствующие учетные данные, необходимые для запу-
ска команды Adprep. Для подготовки леса нужно предоставить учетные дан-
ные члена одной из следующих групп: Администраторы предприятия. Ад-
министраторы схемы или Администраторы домеча. Для подготовки домена
необходимо предоставить учетные данные члена группы .Администраторы
домена. При установке первого контроллера домена только для чтения (read-
only domain controller, RODC) в лесу нужно предоставить учетные данные
члена группы Администраторы предприятия.

Ваши действия зависят от текущей инфраструктуры. При настройке новой
сети, когда не было существующих контроллеров домена, нужно выбрать
Добавить новый лес и указать имя корневого домена, например example,
com.

Далее нужно выбрать режим работы леса и режим работы домена. Если вы
не планируете в этом домене использовать старые версии Windows Server,
выбирайте самый новый режим - Windows Server 2016. Да, даже если вы
используете Windows Server 2019, самым новым режимом работы леса явля-
ется Windows Server 2016.	л
Обратите внимание на следующие параметры:

•	Режим работы леса - определяет, какие функции и возможности есть на
уровне леса.

•	Режим работы домена - определяет, какие функции будут доступны на
уровне домена.

•	DNS-сервер - если DNS-сервер еше не был установлен, тогда не выклю-
чайте этот параметр.

•	Глобальный каталог - на начальной установке доменных служб Active
Directory обязателен; когда вы разворачиваете второй контооллер домена,
то можете не устанавливать этот параметр.

•	Контроллер домена только для чтения (RODC) - позволяет настро-
ить этот сервер как контроллер домена только для чтения. При установке
первого контроллера в этом домене данная опция будет недоступна. Но
вы сможете настроить RODC после установки первого контроллера до-
мена. Позже мы еще не раз поговорим о RODC.

•	Пароль для режима восстановления служб каталогов (DSRM) - он
может потребоваться, когда у вас будут проблемы с активным каталогом
или вам нужно будет сбросить пароль доменного администратора. Дан
ный пароль должен отличаться от того, который вы используете для учет-
ной записи Администратор. Сохраните этот пароль в надежном месте.

Мастер насройки доменных служб Active O’fecto'y

□ X

гч	ЦЕЛЕВОЙ СЕРВЕР

Параметры контроллера домена	win-igogbecfhs

Конфигурация рйзеерты

Выберите режим работы нового леса и корневого домена

Режим работы леса.	Windows Server 20 16

Режим работы домена	Windows Server 2016

Укажите вовможжхти контроллера домена

КЙ DNS-iepeep

V. Глобальный ка-алег (GQ

Контроллер домена только для утения (RODC1

Введите пароль для режима восстановления служб каталогов (DSRM)

Пврод^:

Подтверждение пароля

* Назад

Отмена

Рис. 5.7. Параметры контроллера домена
Далее будет момент с делегированием DNS, но так как это у нас новый лес
и домен, то мы этот пункт пропускаем - просто нажмите кнопку Далее (рис.
5.8). Следующий шаг - задаем короткое имя (NetBIOS) домена, обычно
оставляют то, что предлагается мастером установки домена Active Directory.

Рис. 5.9. Короткое имя домена
Затем нужно указать расположение базы данных AI) DS, файлов журналов
и папки SYSvOL. Как правило, предложенные значения нет смысла менять.
Просмотрите заданные параметры (рис. 5.10) и нажмите кнопку Далее, если
все правильно. Нажмите кнопку Установить, чтобы приступить к повыше-
нию уровня сервера. Сервер будет автоматически перезагружен после повы-
шения уровня.

Мастер настройки доменных служб Асме Directory

□ X

Просмотрев параметры

ЦЕЛЕВОЙ СЕРВЕР

WIN-LGOGBECFFJS

Кс»ф»гурэ..ия разверты

Параметры «онтредлера

Параметры DNS

Дополнительные парам
Пути

Проверка гоедеар/тель

Просмотрите выбранные параметры:

Сделать данный сервер первым контроллером домена Actrve Directory в новом лесу.

Имя нового домена, 'exampleсот" Это имя являемся такте именем нового леса.

NetBIOS-имя домена EXAMPLE

Режим работы леса- Windows Server 2016

Режим работы домена- Windows Server 2016

Дополнительные параметры’

Глобальный каталог Да

DNS-сервер: Да

Создать DNS-делегирование Нет

Для автоматизации дополнительных установок эти параметры
можно экспортировать в сценарий Windows Ppwei Shell

, Просмотреть сценарий'

^•опоянитееьные сверни* о вариантам установи

Отмена 1

Рис. 5.10. Просмотр параметров

Ц» Мастер настройки доменных служб Active Directory

□ X

Проверка предварительных ’ребований

ЦЕЛЕВОЙ СЕРВЕР

WIN LGOGBECFFJS

Все проверки готовности к установке выполнены успешно. Чтобы запустить установку, нажмите. Дополнит шю	X I

Конфигурации разверты

Перед установкой доменных служб Active ОивсКиу на этом компьютере нужно проверить, что
Параметры <с--тролле ое выполнены предварительные требования

I аС'Зме’ры DNS	Повторить проверку предварительных лаебоэдний

Дополни^ь-тые парам

Просмо’се’ъ параметры

(*) Просмотр результатов

• На контроллерах домена под управлением Windows Server 2Q19 по умолчанию
применяется параметр безопасности ‘Разрешать алгоритмы шифрования,
совместимые с Windows NT 40“ который не позволяет использовать менее
надежные алгоритмы шифрования при создании сеансов по защищенным
каналам

Дополнительные сведения об этом параметре см в статье 942564 базы знаний
(httpy/go microsoft com/fwtink/?Linkld= 104751).

1 Данный компьютер имеет по крайней мере один физический сетевой адаптер,
свойствам )₽ которого не мазмачен(-ы}статический(-ие) 1р-адрес(-а>. Если для

! Если вы нажмете кногку "Установить" сервер будет автоматически перезапущен после
повышения уровня

{Ъздюбнес ci пре^варит‘'лькых,т(>е6оавнилс

_ < Назад _

Остановить . Отмена
5.2.	Контроллер домена только для чтения
(RODC)

Любой контроллер домена под управлением Windows Server 2008 R2 или бо-
лее поздней версии может быть настроен как RODC. После установки служ-
бы DNS-сервера на RODC последний может также работать как DNS-сервер
только для чтения (read-only DNS, RODNS).

Примечание С одной стороны, возможность использования древ-
1 них версий Windows Server позволяет использовать старые серверы,
I работающие под управлением этих версий, как RODC, что позволяет
сэкономить некоторые средства. С другой стороны, тогда уровень
I леса/доменз придется понижать до уровня этих серверов, что лишит
вас функционала, который предоставляют новые версии Windows
Server. Выбор за вами.

Функции RODC

• RODC тиражирует разделы каталога приложения, которые использует
DNS, включая раздел ForestDNSZones и DomainDNSZones. Клиенты мо-
гут запрашивать RODNS-сервер для разрешения имен. Однако RODNS-
сернер не поддерживает прямые клиентские обновления, поскольку
RODNS не регистрирует записи ресурсов ни для какой размещаемой
зоны Active Directory.

• Когда клиент пытается обновить DNS-записи, сервер возвращает ссыл-
ку. Затем клиент может попытаться обновить DNS-сервер, указанный в
ссылке. Посредством репликации в фоновом режиме сервер RODNS пы-
тается получить обновленную запись от DNS-сервера, который и произ-
вел обновление. Этот запрос репликации делается только для измененной
записи DNS. Данные зоны или домена не передаются во время этого спе-
циального запроса.

Первый установленный в лесу или домене контроллер домена не может
быть контроллером домена только для чтения. Однако можно настроить ис-
следующие контроллеры домена как RODC.
Разворачиваются RODC-контроллеры аналогичным образом: нужно вклю-
чить параметр Контроллер домена только для чтения (RODC) в настрой-
ках контроллера домена.

5.3.	Компоненты Active Directory

V

Функциональный уровень домена задает функциональноеть, доступную в
этом домене. Для доменов Windows Server 2016/2019 доступны следующие
компоненты:

•	Корзина Active Directory — позволяет администраторам отменять оши-
бочное удаление объектов Active Directory аналогично восстановлению
удаленных файлов из обычной Корзины Windows.

•	Управляемые учетные записи служб — представляют специальный
тин доменной учетной записи пользователя для управляемых служб,
которые сокращают приостановки обслуживания и устраняют другие
проблемы путем автоматического управления паролями учетной записи
и SPN (Service Principal Name, имя участника службы).

•	Управляемые виртуальные учетные записи представляют специ-
альный тип локальной учетной записи компьютера для управляемых
служб, которые обеспечивают доступ к сети с идентификацией компью-
тера в окружении домена.

•	Обеспечение механизма аутентификации — улучшает процесс аутен-
тификации, позволяя администраторам управлять доступом к ресурсам
на основе входа пользователя в систему с применением метода входа на
основании сертификата. Таким облазом, администратор может опреде-
лить, какой набор прав доступа есть у пользователя: при входе в систему
с использованием смарт-карты применяется один набор прав доступа,
при входе в систему без смарт-карты другой набор нрав доступа.

•	Оффлайн-соединение с доменом — позволяет администраторам пред-
варительно настраивать учетные записи компьютера в домене, чтобы
подготовить операционные системы к развертыванию. Это дает возмож-
ность компьютерам присоединяться к домену без необходимости связи с
контроллером домена.


•	Модуль Active Directory для Windows PowerShell — предоставляет ко
мандлеты Windows Pow erShell для управления Active Directory. Импорти-
ровать модуль Active Directory можно с помощью команды import-module
activcdircctory, введенной в командной строке PowerShell.

•	Центр администрирования Active Directory — предоставляет ориенти-
руемый на задачу интерфейс для управления Active Directory. В диспет-
чере серверов в меню Средства выберите команду Центр администри-
рования Active Directory.

•	Веб-службы Active Directory представляют веб-интерфейс для доме-
нов Active Directory,

•	Активация с помощью Active Directory — позволяет использовать
AD для автоматической активации клиентов под управлением Windows
8/10/11 и Windows Server 2012/2016/2019. Любой клиент, подключенный
к службе, активирован.

•	Средства управления политикой на основе заявок — предоставляют
доступ и гибкие политики аудита

•	Создание индекса с задержкой — позволяет задерживать создание ин-
декса в каталоге, пока не получен UpdateSchemaNow или пока не пере-
загружен контроллер домена.

•	Расширенная детальная политика паролей — позволяет администра-
торам использовать Центр администрирования Active Directory Windows
Server для создания и управления объектами настроек пароля (passw7ord-
settings objects, FSO).

•	Расширенная Корзина — позволяет администраторам восстанавливать
удаленные объекты с использованием Центра администрирования Active
Drrectory для Windows Server.

•	Групповые управляемые учетные записи службы — позволяет
нескольким службам использовать одну управляемую учетную запись
службы.

•	Ограниченное делегирование Kerberos по доменам — позволяет
управляемым учетным записям службы действовать от имени пользова
телей в доменах и лесах.

Защита Kerberos — улучшает безопасность домена; позволяет присо-
единенному к домену клиенту и контроллеру домена связываться по за
щищенному каналу.


•	Внешнее подключение к домену — позволяет подключение компьютера
к домену по Интернету.

•	Предупреждения относительных идентификаторов — добавляет
предупреждения, поскольку глобальное пространство RID израсходова
но. Добавляет мягкий потолок в 900 млн RID, что предотвращает пере-
определение R1D администратором.

•	Интеграция диспетчера серверов — позволяет выполнять все шаги,
необходимые для разворачивания локальных и удаленных контроллеров
домена.

•	Клонирование виртуальною контроллера домена позволяет без-
опасно развертывать виртуальные копии контроллеров домена. Также по-
могает поддерживать состояние контроллера домена.

•	Присоединение AD к Azure (Лгите Active Directory Join) — предостав-
ляет преимущества локальной Active Directory среды без сопутствующей
сложности владения и управления. Устройства, поставляемые с Windows
10. могут быть включены в Azure AD, и это позволяет компаниям без
полноценного IT-отдела управлять своими корпоративными ресурсами.

•	Управление привилегированным доступом (Privileged Access Manage-
ment) - предназначен для управления лесом, группами безопасности и
членством в группах. Microsoft полагает, что если организации потребо-
вался РАМ, то ее лес Active Directory уже скомпрометирован. Поэтому
при настройке РАМ создаётся новый лес AD. Он изолирован для работы с
привилегированными учётными записями и, так как MIM его только что
создал, чист от любых сторонних действий.

•	Microsoft Passport - предоставляет двухфакторную аутентификацию
при работе с пользовательскими паролями. При использовании Microsoft
Passport IT-админисгратор может больше не беспокоиться о смене паро-
лей пользователей, так как всё равно нужен второй метод аутентифика-
ции.

5.4.	Структуры домена

Active Directory предоставляет логические и физические структуры для се-
тевых компонентов. Логические структуры помогают организовать объекты
каталога и управляют сетевыми учетными записями и общими ресурсами. К
логическим структурам относятся.

1.	Организационные единицы (подразделения) — подгруппа доменов,
которая зеркально отображает бизнес-структуру или функциональную
структуру предприятия;

2.	Домены — группа компьютеров, которые совместно используют общую
базу данных каталога;

3.	Деревья домена — один или более доменов, разделяющих непрерывное
пространство имен;

4.	Лес домена — одно или более деревьев, которые делятся общей инфор-
мацией каталога.

Физические структуры служат для упрощения сетевых коммуникаций и
установки физических 1раниц вокру] сетевых ресурсов Физические струк-
туры, помогающие отображать физическую структуру сети, следующие:

•	Подсети — сетевая группа с определенным диапазоном IP-адресов и
маской сети;

•	Сайты — одна или более подсетей. Сайты используются для настройки
доступа к каталогу и репликации.

5.4.1. Домены

Домен Active Directory — это просто группа компьютеров, разде-
ляющих общую базу данных. Имена доменов Active Directory должны
быть уникальными.

Например, у вас не может быть двух доменов example.сото, но допустимо
иметь родительский домен example.com и дочерние домены dev.example,
com и sales.example.com. Если домен — это фрагмент частной сети, то имя,
присвоенное новому домену, не должно конфликтовать с другими существу-
ющими доменными именами этой частной сети. Если домен — часть Ин-
тернета, то имя, присвоенное новому домену, не должно конфликтовать с

Л*
другими существующими именами Интернета, Чтобы обеспечить уникаль-
ность имени в Интернете, нужно зарегистрировать родительское доменное
имя перед его использованием. Домен можно зарегистрировать через любо-
го регистрат ора доменных имен, например reg.ru.

У каждого домена есть собственная политика безопасности и довери* I
тельные отношения с другими доменами.

Также домены могут охватывать несколько физических расположений. Это
означает, что домен может состоять из множества сайтов, а у этих сайтов мо-
жет быть много подсетей. В базе данных каталога домена находятся объек-
ты, определяющие учетные записи для пользователей, группы и компьюте-
ров, а также совместно используемые ресурсы, такие как принтеры и папки.
Функции домена ограничены и контролируются функциональным уровнем
(режимом работы) домена. Доступно несколько режимов работы домена:

•	Windows Server 2003 — поддерживаются контроллеры домена, работаю-
щие под управлением Windows 2003 и более поздних версий;

•	Windows Server 2008 — поддерживаются контроллеры домена под управ-
лением Windows 2008 и более поздних версий;

•	Windows Server 2008 R2 — поддерживаю гея кон троллеры домена под
управлением Windows 2008 R2 и Windows Server 2012;

•	Windows Server 2012 — поддерживаются контроллеры домена, работаю-
щие только под управлением Windows Server 2012, 2012 R2, 2016, 2019;

•	Window's Server 2012 R2 — поддерживают ся контроллеры домена, рабо-
тающие только под управлением Windows Server 2012 R2, 2016, 2019;

•	Window's Server 2016 — поддерживаются контроллеры домена, работаю-
щие только под управлением Windows Server 2016, 2019

Примечание. Операционная система Windows Server 201Э не имеет
новых режимов работы леса или домена Подробная информация
доступна по адресу https://docs.mlcrosoft com/ru-ru/wlnaows-server/
identrty/ad-ds'active-dlrectory-functional-levels
5.4.2.	Лес и дерево домена

У каждого домена Active Directory есть доменное имя DNS, например
example,сот. Один или более доменов, разделяющих один общий каталог,
называются лесом. Доменные имена в этом лесу могут быть последователь-
ными или непоследовательными в иерархии имен DNS.

Когда у доменов последовательная структура имен, говорят, что они обра-
зуют дерево домена. Представим, что у корневого домена example.com есть
два дочерних домена: sales.example.com и dev.example.com. Эти домены, в
свою очередь, имеют поддомены. Все домены являются частью одного дере-
ва, поскольку у них один и тот же корневой домен.

Получить доступ к доменным структурам можно с помощью оснастки
Active Directory - домены и доверие (рис. 5 12). Данную оснастку мож-
но вызвать в консоли управления Microsoft (Microsoft Management Console,
ММС). Также можно запустить ее из меню Средства диспетчера серверов.
В оснастке находят ся отдельные записи для каждого корневого домена. На
рис. 5.12 активный домен — example.com.

Рис. 5.12. Оснастка Active Directory - домены и доверие

Режимы работы леса/домена определяют доступные возможности домена
или леса доменных служб Active Directory (AD DS). Они также определяют,
какие операционные системы Windows Server можно запускать на контрол-
лерах домена в домене или лесу. Однако режимы работы не влияют на то, ка
кие операционные системы можно запускать на рабочих станциях и рядовых
серверах, которые присоединены к домену или лесу.

При развертывании AD DS задайте для режимов работы домена и леса самое
высокое значение, которое может поддерживать среда. Так вы сможете ис-
пользовать максимальное количество функций AD DS. При развертывании
нового леса будет предложено задать его режим работы, а затем задать ре-
жим работы домена. Для режима работы домена можно установить значение,
превышающее значение режима работы леса. Однако для него нельзя задать
значение, которое будет ниже значения режима работы леса При наличии
разношерстного парка серверов помните, что вы можете повысить режим
работы домена/леса, например, до Windows Server 2016, но не сможете по-
низить его. Следовательно, в его состав уже не смогут входить контроллеры
под управлением более старых версий Windows Server.

Повысить функциональный уровень домена можно с помощью следующих
действий:

1.	Запустите оснастку Active Directory - домены и доверие. В дереве кон-
соли щелкните правой кнопкой мыши по домену, а затем выберите коман-
ду Изменение режима работы домена.

2.	В окне Повышение режима работы домена будет отображено текущее
имя домена и его функциональный уровень.

3.	Для изменения функциональности домена выберите новый функцио-
нальный уровень домеяа из предоставленного списка, а затем нажмите
кнопку Повысить.

4.	Нажмите кнопку ОК. Новый функциональный уровень домена будет ре-
плицирован каждому контроллеру домена. Эта операция может занять
некоторое время в большой организации.

Повысить функциональный уровень леса можно с помощью следующих
действий:

1.	Откройте оснастку Active Directory - домены и доверие. В дереве кон-
соли щелкните правой кнопкой мыши по узлу Active Directory - домены
и доверие, а затем выберите команду Изменение режима работы леса.

2.	В окне Повышение режима работы леса будет отображено имя леса и
текущий режим его работы.
3.	Для изменения режима работы леса выберите новый функциональный
уровень леса и нажмите кнопку Повысить.

4.	Нажмите кнопку ОК. Новый режим работы леса будет реплицирован на
каждый контроллер домена в лесу. В большой организации данная опера-
ция займет некоторое время.

5.4.3.	Организационные единицы (подразделения)

Организационные единицы (ОЕ), или подразделения, являются

I под'руппамм в доменах, которые часто зеркально отражают функцио-1
нальную или деловую структуру организации.

Также можно представлять ОЕ как логические контейнеры, в которые по-
мещаются учетные записи, общие ресурсы и другие организационные еди-
ницы. Например, можно создать ОЕ с названием Sales, IT, Marketing для до-
мена exatnple.com. Позже можно развернуть эту схему, включив дочерние
единицы.

Объекты, помешенные в ОЕ, могут прибыть только из родительского до-
мена. Например, организационная единица, связанная с sales.example.com,
может содержать объекты только для этого домена. Нельзя добавить
объекты из dev.example.com в эти контейнеры, но можно создать отдельную
ОЕ, чтобы зеркально отразить структуру sales.example.com.

Организационные подразделения полезны в организационных объектах для
отражения деловой или функциональной структуры. Но это не единственная
причина использовать ОЕ. Есть и другие причины.

•	Организационные единицы позволяют назначить групповые политики
небольшому числу ресурсов домена без применения этих политик ко все-
му домену. Это помогает устанавливать и управлять групповыми полити-
ками на соответствующем уровне в предприятии.

•	Организационные единицы создают небольшие, более управляемые
представления объектов каталога в домене. Это помогает более эффек-
тивно управлять ресурсами.


•	Организационные единицы позволяют делегировать полномочия и легко
управлять административным доступом к доменным ресурсам. Это по-
могает управлять объемом полномочий администратора в домене. Можно
предоставить пользователю А административные полномочия для одной
организационной единицы, а пользователю Б для всех организацион-
ных единиц в домене.

В оснастке Пользователи и компьютеры Active Directory opi анизацион-
ные единицы представлены в виде папок (рис. 5.13). Эт а утилита выполнена
в виде оснастки для ММС, ее также можно запустить из меню Средства
диспетчера серверов.

...i Acttve Directory - пользователи и компьютеры

файл Действие 2ид Справка

Ф» 4 ЗН; □ 1 ОН»! U ЖТ ЕХ

Д Пользователи и комлькН Имя

> .U Сохраненные запрос вщЩп
dexampie.com , 'Computers

IЖ Domain Controllers

- Fo re ignSecu ri tyPn nd р_.

* Managed Servtce Acco...
i ,‘J Users

Тип
buiitinDomain
Контейнер
Подразделение
Контейнер
Контейнер
Контейнер

Описание

Default container for upgraded computer accounts

Default container for domain controllers

Default container for security identifiers (SIDs) asso .

Default container for managed service accounts

Default container for upgraded user accounts

Puc. 5.13. Оснастка "Пользователи" и компьютеры Active Directory

5.4.4.	Сайты и подсети

Сайт — это группа компьютеров в одной или более IP-подсети, Сайты ис-
пользуются для отображения физической структуры вашей сети. Отобра-
жение сайта независимо от логических структур домена, поэтому нет не-
обходимости устанавливать связь между физической структурой сети и ее
логической доменной структурой. С помощью Active Directory можно соз-
давать множество сайтов в пределах одного домена или создать один сайт,
который будет обслуживать несколько доменов. Диапазоны IP-адресов, ис-
пользуемые сайтом и пространством имен домена, также не связаны.

Можно подумать о подсети как о группе сетевых адресов. В от личие от сай-
тов, где могут быть разные диапазоны 1Р-адрссов, у подсетей есть только
один определенный диапазон IP-адресов и сетевая маска. Имена подсетей
выводятся в форме «сеть / битовая маска», например 192.168.19.0/24. Здесь
адрес сети 192.168.19.9 и маска 255.255.255.0 комбинируются для создания
имени подсети 192.168.19.0/24.

Компьютеры объединяются в сайты па основе их расположения в подсети
или ряде подсетей. Если компьютеры в подсетях могут эффективно взаимо-
действовать друг с другом, говорят, что они хорошо соединены. Идеально,
если сайты состоят из подсетей и компьютеров, которые хорошо соединены.
Если подсети не являются хорошо соединенными, возможно, нужно устано-
вить несколько сайтов.

Есть несколько преимуществ хорошего соединения-

•	Когда клиенты входят в домен, процесс аутентификации сначала ищет
контроллеры домена, которые находятся в том же сайте, что и клиент. Это
означает, что сначала используются локальные контроллеры домена, если
это возможно, что в итоге локализует сетевой график и ускоряет процесс
ауте нти фикации.

•	Информация каталога тиражируется чаще в пределах сайта, чем между
сайтами, что уменьшает сетевой трафик, вызванный репликацией, а так-
же позволяет убедиться, что локальные контроллеры домена быстро по-
лучили актуальную информацию. Также можно использовать соединения
сайта, чтобы настроить, как информация каталога будет реплицировать-
ся между сайтами. Контроллер домена, выделенный для осуществления
межсайтовой репликации, называется сервером-плацдармом (bridgehead-
сервером). Определяя сервер-плацдарм для обработ ки репликации между
сайтами, администратор помешает основную нагрузку на определенный
сервер, а не на любой доступный сервер сайта.

Доступ к сайтам и подселял/ администратор получает через утилиту
Active Directory - сайты и службы. Данная утилита — оснастка для
ММС, и ее можно добавить к любой обновляемой консоли. Также мож-
но запустить оснастку Active Directory - сайты и службы из меню
Средотва диспетчера серверов.
Й) Active Directory — сайты и службы

Файл Действие Дид Справка

«»! аИ1В a j'lDais'....................

йй Active Directory — сайте > имя

S,tes	Ш Detault-First-Site-Name

Inter Site Transports

। Subnets

Размещение

Тип Описание

Сайт

Контейнер...

Контейнер...

Рис. 5.14. Оснастка "Active Directory" - сайты и службы

5.5.	Структура катален а

У Active Directory есть много компонентов, поскольку он основан на мно-
гих технологиях. Данные каталога сделаны доступными для пользователей
и компьют еров через хранилища данных и глобальные каталоги. Несмотря
на то, что задачи Active Directory наиболее влияют на хранилище данных,
глобальные каталоги одинаково важны, потому что они используются во
время входа в систему и для поиска информации. Фактически, если глобаль-
ный каталог недоступен, типичные пользователи не смогут войти в домен.
Единственный способ изменить это поведение заключается в локальном кэ-
шировании состава универсальной группы. У кэширования состава универ-
сальной группы есть преимущества и недостатки, которые мы рассмотрим
чуть позже.

Администратор получает доступ и распределяет данные Active Directory с
помощью протоколов доступа к каталогу и репликации. Протоколы доступа
к каталогу позволяют клиентам связываться с компьютерами, на которых
выполняются службы Active Directory'. Репликация нужна, чтобы убедить-
ся, что обновления данных отправлены контроллерам доменов. Несмотря
на то, что мультимастер репликации — основной метод тиражирования об-
новлений, некоторые изменения в данных должны быть обработаны только
индивидуальными контроллерами домена, которые называются хозяевами
операций (operation master). Одна из функций, которая также изменяет спо-
соб работы мультимастера репликации, — Application Directory Partitions
(разделы каталога приложений).

С помощью разделов каталога приложений администраторы предприятия
(принадлежат к группе Администраторы предприятия) могут создавать раз-
делы репликации в лесу доменов. Эти разделы — логические структуры,
используемые для управления репликацией данных в лесу доменов. Напри-
мер, можно создав раздел, чтобы строго управлять репликацией информа-
ции DNS в домене, предотвращая репликацию информации DNS на другие
системы.

Раздел каталога приложения может появиться как дочерний элемент домена,
дочерний элемент другого раздела приложения или новое дерево в лесу до-
менов. Копии раздела каталога приложения можно сделать доступными на
любом контроллере домена Active Directory, работающем под управлением
Windows Server 2012 (или более поздних версий), в гом числе сервере гло-
бального каталога. Несмотря на то, что разделы каталога приложения по-
лезны в больших доменах и лесах, они добавляют издержек с точки зрения
планирования, администрирования и обслуживания.

5.5.1.	Хранилище данных

а	।	।	। и । । ।	и	।	। и । и । ।	। и । it

I Хранилище данных содержи'’ информацию об объектах, таких как

I учетные записи, совместно используемые ресурсы, организационные
единицы и групповые политики.

Другое название хранилища данных — каталог, что относится к самому
Active Directory. На контроллера? домена хранится файл Ntds.dit (обычно
находится в папке CAWindows'NTDS). Расположение этого файла устанав-
ливается при установке Active Directory, он должен находиться на системном
диске с файловой системой NTFS, отформатированном для использования с
Windows Server 2012 или более поздними версиями. Также можно хранить
данные каталога отдельно от основного хранилища данных. Так лучше де-
лать для групповых политик, сценариев и других типов публичной инфор-
мации, которая хранится на общем системном томе (SYSVOL).
Предоставление общего доступа к информации каталога называ-
ется публикацией.

Например, можно опубликовать информацию о принтере путем предостав-
ления к нему общего доступа по сети. Точно также публикуется информация
о папке — путем предоставления к ней общего доступа.

Контроллеры домена тиражируют большинство изменений в хранилище
данных способом мультимастера. Администраторы сетей небольшого и
среднего размера редко управляют репликацией хранилища данных. Репли-
кация обрабатывается автоматически, но можно настроить ее, чтобы она
соответствовала потребностям крупных организаций или организаций с
особыми требованиями.

Не все данные каталога реплицируются Вместо этого реплицируется только
публичная информация, попадающая в одну из грех категорий:

1.	Данные домена — содержит информацию об объектах домена: учетные
записи, общие ресурсы, организационные единицы и групповые политаки.

2.	Конфигурационные данные — описывают топологию каталога. Содер-
жат список всех доменов, деревьев домена и леса, также расположений
контроллеров домена и глобальных серверов каталога.

3.	Данные схемы — описывают все объекты и типы данных, которые могут
храниться в каталоге. Схема по умолчанию, предоставляемая с Windows
Server, описывает объекты учетных записей, объекты общих ресурсов и
др. Можно расширить схему по умолчанию, определяя новые объекты и
атрибуты или добавляя атрибуты в существующие объекты.

5.5.2.	Глобальные каталоги

Когда состав универсальной группы не кэшируется локально, глобальные
каталоги включают сетевой вход в систему, предоставляя информацию о
составе универсальной группы при инициировании процесса входа в систе-
му. Также глобальные каталоги включают поиск по каталогу по всем доме-
нам леса.

I Контроллер домена, определяемый как глобальный каталог хранит
I в каталоге полную копию всех объектов для его домена и частичную
копию (partial replica) для всех других доменов в лесу
По умолчанию первый установленный в домене контроллер назначается
глобальным каталогом. Если в домене есть только один контроллер домена,
то контроллер домена и глобальный каталог — один и тот же сервер. В про-
тивном случае глобальный каталог находится на специально настроенном
контроллере домена. Также можно добавить глобальные каталоги в домен,
чтобы улучшить время отклика при входе в систему и поиске информации.
Рекомендуется иметь один глобальный каталог для сайта в пределах домена

Контроллеры домена, размещающие глобальный каталог, должны быть хо-
рошо соединены с контроллерами домена, действующими как владельцы
инфраструктуры.

Роль владельца инфраструктуры (infrastructure master) — одна из пяти
операций, которую можно назначить контроллеру домена.



В домене мастер инфраструктуры отвечает за обновление ссылок на объект.
Хозяин инфраструктуры делает это, сравнивая се данные с данными из гло-
бального каталога. Если хозяин инфраструктуры находит устаревшие дан-
ные, он запрашивает обновленные данные из глобального каталога. После
этого мастер инфраструктуры реплицирует изменения другим контроллерам
домена.

Если в домене находится только один контроллер, можно назначить роль ма-
стера инфраструктуры и роль глобального каталога на один и тот же сервер.
Когда в домене два или больше контроллера, глобальный каталог и хозяин
инфраструктуры должны располагаться на отдельных контроллерах домена.
Если это не так, тогда хозяин инфраструктуры не сможет найти устаревшие
данные и больше никогда не будет реплицировать изменения. Единственное
исключение — ситуация, когда все контроллеры домена содержат глобаль-
ный каталог. В этом случае нет разницы, какой из них язлястся мастером
инфоаст ру ктуры.

Одна из основных причин сконфигурировать дополнительные глобальные
каталоги в домене заключается в том, чтобы убедиться в доступности ка-
талога при входе в систему и при поиске по каталогу. Снова, если у домена
есть только один глобальный каталог, который недоступен, и нет локального
кэширования состава универсальных групп, обычные пользователи не смо-
lyr войти в систему, а те, которые уже вошли, не смогут произвести поиск
по каталогу. В этом случае единственные пользователи, которые могут войти
в домен (при недоступности глобального каталога), — члены группы Адми-
нистраторы домена

Поиск в глобальном каталоге очень эффективен. Каталог содержит инфор-
мацию обо всех объектах во всех доменах в лесу. Это позволяет разрешать
поисковые запросы в локальном домене, а не в домене другой части сети.
Локальное разрешение запросов уменьшает сетевую нагрузку и в больший
стве случаев гарантирует более быстрые ответы на поисковые запросы.

5.5.3.	Роли FSMO (Flexible Single-Master Operations)

Роли хозяина операций выполняют задачи, решение которых способом муль-
тимастера непрактично. Определено пять ролей операций, и можно присво
ить эти роли одному или нескольким контроллерам домена. Несмотря на
то, что определенные роли могут быть присвоены только один раз в лесу,
некоторые роли должны быть определены один раз в каждом домене.

У каждого леса Active Directory должны быть следующие роли:

•	Владелец схемы (Schema Master) — контролирует обновления и моди-
фикации схемы каталога. Для обновления схемы каталога нужно полу-
чить доступ к владельцу схемы. Чтобы определить, какой сервер является
текущим владельцем схемы в домене, откройте окно командной строки и
введите команду dsquery server -hasfstno schema.

•	Владелец доменных имен (Domain Naming Master) — контролирует
добавление или удаление доменов в лесу. Для добавления или удаления
доменов нужно получить доступ к владельцу доменных имен. Для опре-
деления, какой сервер является текущим хозяином доменных имен, от-
кройте окно командной строки и введите команду dsquery server-hasfsmo
name.

Эти роли должны быть уникальными в лесу. То есть можно назначить лишь
одного владельца схемы и одного владельца доменных имен в лесу.

У каждого домена Active Directory должны быть следующие роли:

• Владелец относительных идентификаторов (Relative ID master) —
распределяет относительные идентификаторы для контроллеров
—

и	ЦИЦКЦЩЩ

домена. Независимо от того, создается ли объект пользователя, группы
или компьютера, контроллеры домена присваивают этому объекту уни-
кальный идентификатор безопасности. Идентификатор безопасности
состоит из префикса идентификатора безопасности домена и уникаль-
ного относительного идентификатора, назначенного владельцем относи-
тельных идентификаторов. Для определения, какой сервер является теку-
щим владельцем относительных идентификаторов для домена, откройте
окно командной строки и введите команду dsquery server -hasfsmo rid.

•	Эмулятор основного контроллера домена (PDC emulator) — при ис-
пользовании операции смешанного режима эмулятор PDC работает как
Windows NT PDC. Его задача — аутентификация входов Windows NT, из-
менение паролей и репликация обновлений на BDC. Эмулятор PDC явля-
ется сервером времени по умолчанию и как таковой осуществляет син-
хронизацию времени в домене. Чтобы определить, какой сервер является
текущим эмулятором PDC, откройте окно командной строки и введите
команду dsquery server -hasfsmo pdc.

•	Владелец инфраструктуры домена (Infrastructure master) — обновляет
ссылки объектов путем сравнения их данных каталога с глобальным ка-
талогом. Если данные устарели, владелец инфраструктуры запрашивает
обновленные данные из глобального каталога и затем реплицирует из-
менения на другие контроллеры домена. Чтобы определить, какой сервер
является владельцем инфраструктуры, откройте окно командной строки
и выполните команду dsquery сервер -hasfsmo infr.

Эти роли должны быть уникальными в пределах домена. Это означает, что в
пределах домена можно назначить только одного владельца относительных
идентификаторов, один PDC-эмулятор и одного владельца инфраструктуры.
Роли FSMO обычно назначаются автоматически, но при желании мож-
но назначить их вручную. При установке новой сети для выполнения всех
пяти FSMO-ролей назначается первый контроллер домена. Если позже будет
создан дочерний домен или корневой домен в новом дереве, автоматически
будет назначен первый контроллер домена нового домена для выполнения
FSMO-ролей. В новом лесу контроллер домена назначается для выполнения
всех FSMO-ролей. Если новый домен находится в том же лесу, назначают-
ся следующие роли: владелец относительных ID, PDC-эмулятор и владелец
инфраструктуры. Роли хозяина схемы и хозяина доменных имен остаются в
первом домене леса.
Когда в домене только один контроллер домена, то этот компьютер обраба-
тывает все FSMO-роли. Если вы работаете с единственным сайтом, назначе-
ние ролей FSMO по умолчанию является вполне приемлемым. Когда же до-
бавите новые контроллеры домена и новые домены, возможно, понадобит ся
распределить FSMO-роли на другие контроллеры домена.

Если в домене есть два или больше контроллера, можно настроить два вла
дельца операций Здесь один контроллер домена можно сделать владельцем
операций, а второй сервер сделать резервным. Резервный владелец опе-
раций будет использоваться, когда что-то случится с основным сервером.
Убедитесь, что контроллеры домена — прямые партнеры по репликации и
хорошо соединены.

Когда доменная структура вырастет, можно разделить роли между различ-
ными контроллерами домена. Это повысит скорость отклика владельцев
операций. Обратите внимание на текущие обязанности контроллера домена,
который планируется использовать.

5.6. Корзина Active Directory

! Корзина Active Directory добавляет легкую в использовании функ- j
| цию восстановления для объектов Active Directory. При включении
| этой функции все атрибуты удаленного объекта сохраняются, позво- I
I	—	I

ляя восстановить объект в том же состоянии, что и до удаления.

Также можно восстановить объекты из Корзины без инициирования аутен-
тичного восстановления (authoritative restore). Это существенно отличается
ст ранее доступного метода, который использовал авторитетное восстанов 
ление для восстановления удаленных объектов из контейнера Deleted
Objects. Ранее при удалении объекта большая часть нессылочных атрибутов
очищалась, а все ссылочные атрибуты удалялись. В результате даже если
получалось восстановить удаленный объект, то нельзя было восстановить
его состояние.

По умолчанию Корзина выключена, и для ее активации ее необходимо вклю-
чить. Помните, что после включения Корзины вы больше не сможете ее

отключить.

[ЭД;
Для включения Корзины выполните следующие действия:

1.	Из меню Средства выберите команду Центр администрирования
Active Directory

2.	Выберите ваш домен из списка слева.

3.	На панели Задачи (справа) выберите команду Включить корзину (рис.
5.15).

Рис. 5.15. Центр администрирования Active Directory

4.	В появившемся окне нажмите ОК.

5.	В следующем окне внимательно прочитайте предупреждение и снова
нажмите ОК.

6.	Нажмите кнопку Обновить в Центре администрирования Active Directory.
Команда Включить корзину станет недоступной - это свидетельствует о
том, что корзина включена.

Теперь при удалении объекта Active Directory он будет переведен в состо-
яние «логически удален» и перемещен в контейнер Deleted Objects (рис.
5.17). Также изменится его имя. Удаленный объект остается в контейнере
Deleted Objects определенный период времени, который по умолчанию ра-
вен 180 дней.

ГЕО
Центр администрирования Active Directory

X

Обновите центр администрирования Active Directory прямо
сейчас.

Доменные службы Active Directory приступили к включению
корзины для этого леса. Корзина не будет работать надежно, пока
все контроллеры доменов в лесу не реплицирую^ изменение
конфигурации этой корзины.

Рис. 5.16, Предупреждение о включении корзины

Рис. 5.17. Контейнер Deleted Objects

Для восстановления ранее удаленного объекта выполните действия:

1.	Перейдите в контейнер Deleted Object.

2,	Выберите объект, щелкнув на нем.

3.	На панели справа выберите команду Восстановить (рис. 5.18).

Г •.1
Рис. 5.18. Восстановление удаленного объекта

Команда Восстановить в восстанавливает объект в альтернативный контей-
нер в пределах исходного домена или в другой домен в пределах текущего
леса

В этой главе было показано, как развернуть Active Directory, и были
объяснены некоторые основные понятия, без понимания которых невозмож-
на работа с AD.
Глава 6.

Основы
администрирования AD
Базовое администрирование Active Directory фокусируется на ключевых
задачах доменных служб Active Directory — создании учетной за-
писи компьютера или присоединении компьютера к домену. В этой главе
будут рассмотрены средства, которые используются для управления Active
Directory, а также методы для управления компьютерами, контроллерами до-
менов и организационными подразделениями.

6.1.	Утилиты управления Active Directory

Для управления Active Directory используются следующие основные утили-
ты:

•	Центр администрирования Active Directory — для осуществления за-
дач управления;

•	Active Directory - домены и доверие — для работы с доменами, деревья-
ми доменов и лесами доменов;

•	Модель Active Directory для Windows PowerShell — для управления
Active Directory при работе с Windows PowerShell;

•	Active Directory - сайты и службы — для управления сайтами и под-
сетями;
•	Пользователи и компьютеры Active Directory — для управления поль-
зователями, группами, компьютерами и организационными подразделе-
ниями;

•	Управление групповой политикой — для управления способом ис-
пользования групповой политики б организации. Предоставляет доступ
к RSoP для моделирования и журналирования.

Запустить эти средства администрирования Active Directory можно из меню
Средства диспетчера серверов или добавить их в любую консоль ММС.
Разумеется, Active Directory должен быть развернут, иначе эти инструменты
будут недоступны

С компонентом Средства удаленного администрирования сервера уста-
навливается множество утилит поддержки Active Directory. В табл. 6.1 пред-
ставлен список наиболее полезных утилит поддержки для настройки, управ
ления и решения проблем Active Directory.

Таблица 6.1. Утилиты поддержки Active Directory

Утилита	Имя ис- полнимого файла	Описание
Редактирование ADSI (ADS1 Edit)	Adsiedii .msc	Открывает и редактирует Active Directory Services Interface для контейнеров домена, схемы и конфигурации
Active Directory  Administration Tool	Ldp.exe	Осуществляет операции LDAP на Active Directory
Утилита отображения раз- решений (список ACL) объекта доменных служб AD DS (Directory Services Access Control Lists Utility)	Dsacls.exe	Управляет списками контроля доступом (ACL) для объектов в Active Directory
Управление пространства- ми имен, серверами и кли- ентами DFS (Distributed File System Utility)	Dfsutil.exe	Управляет распределенной фай- ловой системой (DFS) и отобра- жает информацию DFS
DNS Server Troubleshooting Tool	Dnscmd.exe	Управляет свойствами DNS- серверов, зонами и записями ресурсов
Replication Diagnostics Tool	Repadinin.exe	Управляет и контролирует репли- кацию с использованием команд- ной строки
Windows Domain Manager	Nerdom	Позволяет управлять доменами и доверительными отношениями из командной строки

6.1.1. Оснастка "Пользователи" и компьютеры Active
Directory

Данная оснастка является одной из основных утилит администратора,
которая используется для управления каталогом. С ее помощью мож-
но управлять всеми задачами, связанными с пользователем, группой
и компьютером, а также организационными утилитами.

Запустить оснастку можно через меню Средства диспетчера серверов. Ко-
манда называется Пользователи и компьютеры Active Directory. Обратите
внимание, что заголовок самой оснастки немного отличается от названия
команды, использующейся для ее вызова: Active Directory - пользователи и
компьютеры (рис. 6.1).

В оснастке Active Directory - пользователи и компьютеры отображается
стандартный набор папок:

•	Builtin — список встроенных пользователей и групп;

•	Computers — контейнер по умолчанию для учетных записей компьюте-
ра;
•	Domain Controllers контейнер по умолчанию для контроллеров до-
мена;

•	ForeignSecurityPrincipals — содержит информацию по объектам из до-
веренного внешнего домена Обычно эти объекты создаются, кшда объ-
екты из внешнего домена добавлены в группу текущего домена;

•	Managed Service Accounts — контейнер по умолчанию для управляемых
учетных записей служб;

•	Users — контейнер по умолчанию для пользователей.

Active Director - пользова’ел/ / ксм''ьютер&|

файл Действие £/д ^правка

Ф - / □	и * -л * _ .V

Пользователи и комрьк Имя

Сохраненные оа-рос jg0.sAaT,п!

“ * ««	«Опаиоса-еРгох,

lllrl	^Proxectee Use's

Computers	a ,

„ e- » , Р>Адм/нистраюр

• Domain Controllers

_	-	_ У*>Адм.’чистратооь домемэ

ForeignSecuntyOrw

Ma^agea Service А- «ААмгиистратоо. осное-о-о /ров--.

' Users	^Адм/чис'оатооь oc-oe-oro уоов-я-

IftAPM/H/C'PdTOPa ОрвД“РИЯ'ид

4ftАдм/-/с’ра’с<рв слемь

tft владельца -создатели групповой пси,*

4ft Гост.* домена

ft Гос’е

4&Груп-а с замещением ре'',/каъ/.' ~

tftrp/Tia с оазоеи-ечием ре^л/каи/.1 ~
tft/здател.- сеэ-.-о/ка’сб

4ft Клонируемые хо-’ооллеоь доме-а

JftКомпьютера деме-а

_ „ , .	4ft Клмтрпплерн, .'аме-а

Тип

Группа безопасности -
Группа безопасности • Г

Группа безопасности - 7
Пользователь

Ги»ппа безопасного - г
Группа безопасности г
Группа безопасное’,- - У
Группа безопаснось- - У
Группа безо пас-ости У
Группа безопасное’/ - '
Группа безопасное’,- - Г
Пользователь

Группа безопасное'.'
Группа безопасное-.- -
Группа безопасности •
Группа безопасное’/ • г
Группа безогзсыост.- - г
Гп«огд безопасное*,- -г

Описание

Грута администр.
DNS-клиен’ь. хот
Участникам этой г
встроенная уче’н
наз-аченные адм
чле«в э’ой групп
нлень этой груп"
наз-ачемкые адм
наз-аченные адм
~ле-ь э’ой груп"
Все гос’и доме-а
встроенная учетн
Парот/ членов да
Пароли членов да
-лень з’о и 'рул г...
те-ь ч’ой 'ру"п

Зсе рабочие стан
все <он’плд|тепы

Рис. 6.1. Оснастка для управления пользователями и компьютерами

Оснастка Active Directory - пользователи и компьютеры обладает расши-
ренными параметрами, которые по умолчанию не отображаются. Для полу-
чения доступа к этим опциям в меню Вид выберите команду Дополнитель-
ные компоненты.

После этого будут доступны следующие дополнительные папки:

• LostAndFound — содержит объекты, которые потеряли родителя. Такие
объекты можно удалить или восстановить;

• NTDS Quotas — содержит данные квотирования службы каталога;

• Program Data — содержит сохраненные в Active Directory данные для
приложений Microsoft;
С ервер па Windows и Linux
----------------------- -- -- .

•	System — содержит встроенные системные параметры;

•	TPM Devices — выводит устройства с сохраненной в Active Directory ин-
формацией владельца TPM (Trusted Platform Module).

По умолчанию оснастка подсоединяется к локальному домену и к первому
контроллеру домена, который ответит на запрос Можно работать с любым
доменом леса, при условии, что есть соответствующие права доступа. Для
смены домена из меню Действия нужно выбрать команду Сменить домен.

В оснастке Active Directory - пользователи и компьютеры есть встроен-
ная функция поиска, которую можно использовать для нахождения учетных
записей, совместно используемых ресурсов и других объектов каталога.
Можно легко произвести поиск по текущему домену, определенному доме-
ну или всему каталогу. Для активации функции поиска выполните команду
меню Действия, Найти.

' Поиск Пользов,, контакты и группы	—	□ X

Файл Правка Вид

Пойти. Пользов,, контакты и груг v Еде example.com	ПбзОр..

’'Пользов. контакты и группы Дополнительно
।------------------------------------------------------------- 1 Найти

Имя:	t———

Описание:

Оцистить все

Рис. 6.2. Что нужно найти

Далее (рис. 6.2) выберите, что нужно найти:

•	Пользователи, контакты и группы — поиск учетных записей пользова-
телей и групп, а также контактов, сохраненных в каталоге;

•	Компьютеры — поиск учетных записей компьютеров по типу, имени и
владельцу;

•	Принтеры — поиск принтеров по имени, модели и функциям;
•	Общие папки поиск общих папок по имени или ключевым словам;

•	Организационные подразделения — поиск организационных подраз-
делений по имени;

•	Пользова гельский поиск — расширенный поиск или LDAP-запрос;

•	Общие запросы — быстрый поиск по именам учетных записей, описа-
ниям учетных записей, отключенным учетным записям, паролям и дням
с момента последнего входа в систему.

6.1.2. Центр администрирования Active Directory

Центр администрирования Active Directory предоставляет ориенти-
рованный на задачу интерфейс для управления Active Directory (рис
6.3).

Рис. 6.3. Центр администрирования Active Directory

Для запуска этой утилиты выберите соответствующую команду из меню
Средст ва диспетчера серверов.

Эту утилиту можно использовать для выполнения множества задач, в том

числе:
•	Подключения к одному или нескольким доменам;

•	Создания учетных записей пользователей, групп и организационных под-
разделений и управления ими;

•	Создания параметров паролей и управления ими;

•	Повышения режима работы леса и домена;

•	Восстановления удаленных объектов из корзины Active Directory.

Центр администрирования Active Directory по умолчанию устанавливается
в Windows Server 2012-2019. а на клиентских компьютерах эта программа
доступна после установки компонента Средства удаленного администри-
рования сервера (RSAT, Remote Server Administration Tools). Эта утилита
использует Windows PowerShell для осуществления административных за-
дач и основана на Microsoft .NET Framework. Оба этих компонента должны
быть установлены и правильно насгроены, иначе нельзя будет использовать
Центр администрирования Active Directory.

В Центре администрирования Active Directory по умолчанию для админи-
стрирования открыт локальный домен. Если нужно работать с другим до-
меном, в меню Управление выберите команду Добавить узлы перехода.

В окне Добавление узлов выберите домен, с которым нужно работать, и
нажмите кнопку ОК. После этого выберите домен, щелкнув по нему на ле-
вой панели.

По умолчанию утилита подключается к первому контроллеру домену, отве-
тившему на запрос. Чтобы соединиться с определенным контроллером до-
мена, щелкните правой кнопкой мыши по имени домена на панели слева и
выберите команду Смена контроллера домена.

Подобно утилите Active Directory - пользователи и компьютеры, Центр
администрирования Active Directory имеет встроенные функции, которые
можно использовать для поиска объектов каталога. Основной поисковый
фильтр, находящийся на левой панели, можно использовать для выбора кон-
тейнера каталога.

Поисковый фильтр поможет быстро найти объекты уровня контейнера в
пределах домена или дочернего организационного подразделения. После
выбора узла домена на панели слева можно использовать фильтр, чтобы бы-
стро найти организационное подразделение высшего уровня или встроен-
ные контейнеры, которые начинаются с введенных в фильтр букв.

•
6.2.	Управление учениями записями компьютера

^iiiiitiiiiiiiiiiiiHiiiHiiiiiiiniiiiuiiiuiiifiiiiiHiiiitiiiiiitiiiiiiHiiiiiiiiiiiiiiiiiiiiiiiiiniiiiiiiiiiiiiniiiiiiiHiiiiiiiiiiiiiiiuiiiiiitiiiioiiiiiiiiiiiiiHiiiiiriiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiuiiiiiiwiiiiiiHiiiiuiiiiiHiiiimiiiuiiiiiiuiiiiuiiiiiiniiiiiiuiiiiiiii^

Учетные записи компьютеров хранятся в Active Directory в виде
объектов. Учетные записи используются для контроля доступа к сети I
и ее ресурсам.

^iiiiiiimiiiiiiiiitiiiiMiiiiniiiitmiiiiiuiiiiiiiiiimiittiiiiiiiiiiiiiiiiiiiiiiiiiuiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiuiiiiiiiuiiii<ii))iiiii)iiiiiiniiii

Администратор может добавить учетные записи компьютера в стандартные
контейнеры, отображенные в оснастке Active Directory - пользователи и
компьютеры. Как правило, учетные записи компькиеров хранятся в кон-
тейнере Computers, контроллеров домена — в Domain Controllers. При же-
лании вы можете создать любые другие организационные подразделения.

6.2.1.	Создание учетной записи компьютера

Создать учетную запись компьютера можно с помощью любого инструмен-
та - как с помощью Центра администрирования Active Directory, так и с
помощью оснастки Active Directory - пользователи и компьютеры.

В первом случае щелкните правой кнопкой мыши на контейнере, в который
нужно поместить учетную запись компьютера, далее выберите команду Соз-
дать, Компьютер. Это откроет окно Создать Компьютер, показанное на
рис. 6.4.

Рис. Ь.4. Создание учетной записи компьютера с помощью Центра админи-
стрирования АО


В оснастке Active Directory - пользователи и компьютеры щелкните пра-
вой кнопкой мыши по контейнеру, в который нужно поместить учетную за-
пись компьютера, затем выберите команду меню Создать, Компьютер

Будет отображено окно Новый объект - Компьютер, изображенное на рис.
6.5.

Новый объект - Компьютер

Создать в: example.com/Computers

Имд компьютера:

Имя компьютера (пред-Windows 2000):

Присоединить к домену этот компьютер могут пользователь или группа
пользователей, указанные ниже.

Имя пользователя или группы:

0 Назначить учетной записи статус пред-Windows 2000 компьютера

ОК

Отмена Справка

Рис. 6.5. Создание учетной записи компьютера посредством оснастки "Active
Directory - пользователи и компьютеры "

Очевидно, что при использовании Центра администрирования Active
Directory у вас будет больше возможностей при создании учетной записи
компьютера — вы сможете заполнить больше полей с информацией о созда-
ваемом объекте. Но нужно ли вам все это? Обычно возможностей оснастки
Active Directory - пользователи и компьютеры вполне достаточно.

Выполните в ней следующие шаги:

1.	Введите имя компьютера.

2.	По умолчанию только члены группы Администраторы домена могут
присоединить этот компьютер к домену. Чтобы разрешить другому поль-
зователю или группе присоединять компьютер к домену, нажмите кнопку
Изменить, а затем выберите учетную запись пользователя или группы в
окне Выбор: «Пользователь» или «Группа».
3.	Если эта учетная запись будет использоваться со старыми операцион-
ными системами, отметьте флажок Назначить учетной записи статус
пред-Windows 2000 компьютера.

4.	Если службы развертывания Windows не установлены, нажмите кнопку
ОК, чтобы создать учетную запись компьютера. В противном случае
нажмите кнопку Далее дважды, а затем — кнопку Готово.

После создания учетной записи в оснастке Active Direclory - пользователи
и компьютеры нужно пометить учетную запись как защищенную. Защи-
щенные учетные записи не могут быть удалены до тех пор, пока предвари-
тельно не будет сброшен флаг защиты.

Для защиты учетной записи компьютера выполните следующие действия:

1.	Убедитесь, что в меню Вид оснастки включен режим Дополнительные
компоненты

2.	Дважды щелкните на учетной записи компьютера, чтобы открыть окно
Свойства

3.	На вкладке Объект установите флажок Защитить объект от случайного
удаления, а затем нажмите кнопку ОК.

Свойства: admin	? X

Входящие звонки Редактор атрибутов Восстановление BitLocker
Общие Операционная система Член групп Делегирование

Репликация паролей Размещение Управляется Объект Безопасность

Каноническое имя объекта

‘example com/Computerj/admin

Кдасс объекта	Компьютер

Создан.	08 04 2020 16.19-50

Изменен	00 04 20201619S1

Номера последовательных обновлений (USN)

ХекущиЯ	41058

Исходный	41054

[^|ЗдщититьобъектЪт случайногоудалени^

ОК ] Отмена Прицепить Справка

Рис. 6.6. Защита от случайного
удаления
6.2.2.	Удаление учет ной записи компьютера

Если учетная запись компьютера больше не нужна, ее можно удалить из
Active Director)-. Вместо удаления можно временно отключить учетную за-
пись и включить ее позже, когда она снова понадобится.

Чтобы удалить, отключить или снова включить учетную запись компьютера,
выполните следующие действия:

1.	Запустите оснасгку Active Directory - пользователи и компьютеры или
Центр администрирования Active Directory. В дереве консоли выбери-
те контейнер, в котором размещена учетная запись компьютера.

2.	Щелкните правой кнопкой мыши по учетной записи компьютера и затем
выберите одну из следующих команд:

» Удалить — удаление учетной записи. Нажмите кнопку Да для под-
тверждения удаления;

» Отключить — временное отключение учетной записи. Затем нажми-
те кнопку Да для подтверждения действия. Красный кружочек с кре-
стиком внутри свидетельствует о том, что учетная запись отключена;

» Включить — включает учетную запись, после чего ее можно снова
использовать.

Если учетная запись защищена, нужно сбросить флаг защиты перед ее уда-
лением. Дважды щелкните на учетной записи компьютера для отображения
окна Свойства, затем выключите параметр Защитить объект от случай-
ного удаления и нажмите кнопку ОК. При использовании оснастки Active
Directory - пользователи и компьютеры этот параметр находится на
вкладке Объект окна Свойства. При использовании Центра администриро-
вания Active Directory этот параметр находится на панели Компьютер.

6.2.3.	Сброс заблокированных учетных записей

Учетные записей компьютера имеют пароли, точно так же как и учетные
записи пользователей. В отличие от учетных записей пользователей, пароли
учетных записей компьютера управляются и обслуживаются автоматически.
Для автоматического управления в домене хранится пароль учетной записи
компьютера, который меняется каждые 30 дней (по умолчанию), а также па-
роль безопасного канала для установки безопасной связи с контроллерами
домена. Пароль безопасного канала также обновляется каждые 30 дней. Оба
пароля должны синхронизироваться Если эти пароли не будут синхронизи-
рованы, то компьютер не сможет войти в домен, а для службы Netlogon будет
зарегистрировано сообщение об ошибке аутентификации с идентификато-
ром 3210 или 5722.

Если это произошло, необходимо сбросить пароль учетной записи компью-
тера. Один из способов сделать это — щелкнуть правой кнопкой мыши на
учетной записи компьютера в окне Active Directory - пользователи и
компьютеры и выбрать команду Переустановить учетную запись После
этого нужно удалить компьютер из домена (сделав его членом рабочей груп-
пы или другого домена), а затем снова подключить компьютер к домену.

6.2.4.	Перемещение учетных записей компьютера

Как правило, учетные записи компьютера помещаютоя в контейнеры
Computers или Domain Controllers или же в контейнеры пользовательских
организационных подразделений. Переместить учетную запись в другой
компьютер можно так: выберите компьютер в оснастке Active Directory -
пользователи и компьютеры, а затем переместите его в другое место. В
Центре администрирования Active Directory переместить пользователей
нельзя.

Можно также использовать следующий метод для перемещения учетной за-
писи компьютера при любом активном инструменте:

1.	В дереве консоли выберите контейнер, в котором расположена учетная
запись компьютера.

2.	Щелкните правой кнопкой мыши и выберите команду Переместить. Бу-
дет отображено одноименное окно (рис. 6.7).

3.	Выберите контейнер, в который нужно переместить компьютер. Пере-
йдите в подконтейнер или дочернее организационное подразделение.
Нажмите кнопку ОК.
Переместить	X

О«р«местить объект в контейнер:

ф-	Computers

S	Domain Contro'lers

fc)	^oreignSecunwPrincipals

ffi-	Keys

ffi	LOStAndFcund

i*i	Managed Senuce Accounts

ffi-	NTDS Quotas

Si	Program Data

System

Lpl	ГРМ Devices	v

OK | Отмена

Рис. 6.7. Окно перемещения учетной записи компьютера

6.2.5.	Присоединение компьютера к домену

Компьютер, присоединенный к домену или рабочей группе, может войти и
получить доступ к сети. Для начала убедитесь, что сетевые компоненты над-
лежащим образом установлены на вашем компьютере. Они должны быть
установлены во время инсталляции операционной системы. Перед подклю-
чением компьютера к домену убедитесь, что протокол TCPZ1P, а также пара-
метры DNS и DHCP настроены надлежащим образом.

Операционная система Windows Server автоматически предоставляет право
Добавление рабочих станиий к домену неявной группе Прошедшие про-
верку. Это означает, что любой пользователь, который регистрируется в до-
мене и проходит аутентификацию, может добавить рабочие станции в до-
мен без необходимых полномочий администратора. Однако из соображений
безопасности количество рабочих станций, которые аутентифицированный
пользователь может добавить в домен, ограничено десятью. Если пользова-
тель превысит этот предел, он получит сообщение об ошибке.

Во время установки операционной системы, вероятнее всего, уже было на-
строено сетевое соединение или же ранее компьютер был соединен с до-
меном или рабочей группой. Если это так, можно соединить компьютер с
новым доменом или рабочей труппой. Для этого вызовите окно Система,
напротив имени компьютера нажмите Изменить параметры. В появившем-
ся окне вы можете нажать кнопку Изменить для присоединения к другому
домену (рис. 6.8. 6.9).

’ Панель управления > Система и безопасного • Система

Панель управления —

и Ikwem, мстит •p*»|

(Гид Справки

| Локальный c<?f! Свойства системы

._ Лпгхгмлтп. гч илоии» сведений о вашем компьютере
X

О-

ь Все серверы i

АО 05	=’

Д DNS

Ь» HS

«2 Файловые слу>

Им» компьютере Оборудование Пополнительно Удаленный доступ

1 ~а Указанные нижа сведения используются для идантификвевж
• компьютера в сети.

kM'crosoft

Windows Server 2019

Зписаиие

Полно* имя.

Димон

Например •ИЯ-с»в«*рпраиэ»одс'«*нчот □•дела'
или "Сервер -1ухгал.т*р«<‘

WIN LGOGBECFFJS ежетр*» ест

еквтрй сот

Соге.ТМ) i5-72QOU CPU 9 2.$0GHz 2 71 GHz

©

Чтовы переименовать компьютер иди
присоединить его к Домну или рабочей групп*,
нажмите кнопку 'Изменить"

«•разрядная операционная сис’ема процессор *64
lepo и сенсорной ввод недоступны дл» Э’О'О экоаиа

С срыть

1 параметры рабочей -руппы
«N-LGOGg«?FJS

№) LGOGBf Cf FJ$ example com



•tasnptecom

OK I Отмене

„7"”	" АкглмййЯ

Рис. 6.8. Свойства системы

Изменение имени компьютера или домена

х

Вы можете изменить имя и принадлежность этого
компьютера Изменения могут повлиять на доступ к
сетевым ресурсам

Имя компьютера

pESKTOP-IU66CN2

Полное имя компьютера
DESKTOP-IU66CN2

Дополнительно

Является пленом

® доцена
|example com

О рабочей группы:

QK j Отмена

Puc. 6-9 Изменение имени компьютера
или домена

.......................................................................................................................................................................................................................................................................................................................    Iiiuilliiliiilliliiiil.........OHL

Примечание Контроллер домена нельзя присоединить к другому

домену. Его нужно сначала понизить до уровня обычного сервера и

только потом присоединять к другому домену. Далее будет показано,

как это сделать.

...........................................................................................................................пни...................t.........
Если имя не удалось изменить, будет отображено соответствующее сообще-
ние, информирующее об этом, или сообщение о том, что учетная запись уже
существует. Данная проблема может возникнуть при попытке изменить имя
компьютера, который уже подключен к домену, либо если этот компьютер
имеет активную сессию в этом домене. Можно закрыть приложение, под-
ключенное к домену, например Проводник, получающий доступ к общей
папке в сети. После этого можно повторить процесс изменения имени
компьютера.

Если есть другие проблемы при соединении с доменом, убедитесь, что у
настраиваемого компьютера правильная конфигурация сети. На компьютере
должны быть установлены сетевые службы и в свойствах TCP/IP должен
быть указан правильный DNS-сервер.

У всех аутентифицированных пользователей есть полномочия Добавление
рабочих станций к домену, и по умолчанию пользователи могут создавать
до 10 учетных записей компьютера при присоединении компьютера к доме-
ну Пользователи, у которых есть полномочия Создание объектов: account,
для контейнера Computers могут создать неограниченное количество учет-
ных записей компьютера в домене. Однако у учетных записей компьютера,
созданных аутентифицированными пользователями, владельцем является
член группы Администраторы домена, а у учетных записей, созданных
пользователями с правами Создание объектов: account, в качестве вла-
дельца устанавливается пользователь, создавший эту учетную запись. Если
предоставить полномочие Создание объектов: account, можно также пре-
доставить полномочие Удаление объектов: account, чтобы пользователи
могли удалить учетные записи компьютера из домена.

Предоставить привилегии Создание объектов: account, Удаление объек-
тов: account (или обе эти привилегии) для контейнера Computers можно с
помощью следующих действий:

1.	Откройте оснастку Active Directory - пользователи и компьютеры
или Центр администрирования Active Directory. В оснастке Active
Directory - пользователи и компьютеры убедитесь, что в меню Вид
активирована команда Дополнительные параметры.

2.	Щелкните правой кнопкой мыши по контейнеру Computers и выберите
команду Свойства.

3.	На вкладке Безопасность нажмите кнопку Дополнительно. В диалого-
вом окне Дополнительные параметры безопасности для «Computers»
нажмите кнопку Добавить, чтобы открыть окно Элемент разрешения
для «Computers».

4.	Щелкните по ссылке Выберите субъект. В окне Выбор: «Пользова-
тель», «Компьютер», «Учетная запись служба» или «Группа» выбе-
рите пользователя или группу, которым нужно предоставить полномочия,
и нажмите кнопку ОК. Задайте привилегии и снова нажмите кнопку ОК

□ X

Элемент разрешения для 'Computers'

Разрешения.

□ Полный доступ

0 Список содержимого

0 Прочитать все свойства

□ Записать все свойства

□ Удаление

□ Удалить поддерево
0 Чтение разрешений

[2] Сменить разрешения

□ Сменить владельца

□ Все проверенные операции записи

П Создать все дочерние объекты
□ Удалить все дочерние объекты
[2Создание объектов' account
Q Удаление объектов, account
0 [Создание объектов aCSResourceLimitsj
□ Удаление объектов aCSResourceUmitj
0 Создвние объектов- appircaPonVenion
□ Удалениеобъектов app>icat>onver$ion
П Создание объектов. certlflcettonAutnortty
□ Удаление объектов certlflcetionAuthonty
□ Создание объектов document
□ Удаление объектов document

,дските.п!.$м|« ™

Q Создание объектов: m$OS-Va!ueType

0 Удаление объектов. msDS-Va’uelype

□ Создание объектов: гпмеее80211-Аэ!«у

^Удалениеобъектов тяеее80211-ЙзЬсу

□ Создание объектов' msfmagmg-PSPs

Q Удаление объектов 'nstmag(ng-?SPs

□ Создание объектов' msKds-PtcvRootKey

□ Удаление объектов- msXds-ProvRootKey

□ Создание объектов. msXds-PnjvServerCcr’,figuration

□ Удаление объектов: msKds-ProvServe'-Conftguration

□ Создание объектов: m5-net-ieee-0O211-GroupPol>cy

□ Удаление объектов: rns-net-ieee-80211-Groupftoticy

□ Создание объектов mt-net-ieee-8023-Groupa3i<cy

Q Удаление объектов mj-net->eee-&023-GroupPohcy

□ Создание объектов: mjPKJ Enterprlse-Oid

□ Удаление объектов m$PKl-Enterprise-Old
□ Создание объектов. rnsPKl-Key-Recovery-Agent

□ Удалениеобъектов msPKl-Key-Recovery-Agent

□ Создание объектов. m»₽Kl-₽rfveteKeyRecovetyAgent

□ Удаление объектов miMti-PrivateKeyRecoveryAgent

□ Создание объектов: msOnnt-ConnecUonFb'icy

□ Удаление объектов msPrlnt-ConnecttonPoiky
,jnCowAHKea6>\eKmn.rn5S£iBCDnrnB.inln(n.	..

Г ' w отмена

Рис. 6.10. Предоставление полномочий

6.3.	Управление контроллерами домена

6.3Л. Понижение роли контроллера домена

Ранее был подробно рассмотрен процесс установки контроллера домена
(развертывания AD DS), сейчас же мы рассмотрим, как понизить роль кон-
троллера домена до уровня обычного сервера, что позволит переместить
этот сервер в другой домен.

Для понижения роли контроллера домена выполните следующие действия:
thdows

1.	В консоли Диспетчер серверов в меню Управление выберите команду
Удалить роли и компоненты, в результате будет запущен мастер удале
ния ролей и компонентов. Если мастер отобразит страницу Перед нача -
лом работы, прочитайте приветствие и нажмите кнопку Далее

2.	На странице Выбор целевого сервера показан пул серверов, добавлен-
ных для управления. Выберите сервер, который нужно настроить, и
нажмите кнопку Далее.

3.	На странице Выбор ролей сервера сбросьте флажок Доменные службы
Active Directory, указав тем самым, что нужно удалить эту роль.

4.	Появится новое окно. В нем установите флажок Удалить средства
управления; чтобы средства управления AD DS были удалены, нажми-
те кнопку Удалить компоненты. После этого нажмите кнопку Продол-
жить. Затем нажмите кнопку Далее дважды

5.	На странице Учетные данные обратите внимание на вашу текущую
учетную запись. Если нужно, предоставьте другие учетные данные с пра-
вами, необходимыми для удаления контроллера домена. Нажмите кнопку
Далее.

6.	Если будет отображена страница Предупреждения, отметьте флажок
Продолжить удаление, а затем нажмите кнопку Далее.

7.	Введите новый пароль и его подтверждение для вашей локальной учет-
ной записи Администратор. Пароли должны совпадать. Нажмите кнопку
Далее.

8.	На странице Подтверждение удаления компонентов есть возможность
установить флажок Автоматический перезапуск конечного сервера,
если требуется Поскольку для полного удаления необходим запуск сер-
вера, можно выбрать эту опцию, а затем подтвердить ее, нажав кнопку
Да. Когда будете готовы продолжить, нажмите Удалить

6.3.2. Просмотр и передача ролей домена

Оснастку Active Directory пользователи и компьютеры могут также
использовать для просмотра или изменения FSMO-ролей На уровне
домена можно работать с ролями для владельцев относительных ID,
владельцев эмулятора первичного контроллера домена и владельцев
инфраструктуры.

zz..................................................ф


Чтобы просмотреть текущие FSMO-роли, выполните следующие действия:

•	В оснастке Active Directory - пользователи и компьютеры щелкните
правой кнопкой мыши по элементу Пользователи и компьютеры Active
Directory в дереве консоли. Из контекстного меню выберите команду Все
задачи | Хозяева операций. Будет открыто окно Хозяева операций, изо-
браженное на рис. 6.11

•	В окне Хозяева операций есть три вкладки. Вкладка RID показывает те-
кущее положение владельца относительных идентификаторов, на вкладке
PDC отображено местоположение текущего владельца эмулятора PDC, а
вкладка Инфраструктура демонстрирует положение текущего мастера
инфраструктуры

Файл Действие Зид Справка

□ Пользователи и компьютеры Active Dire Имя

Сохраненные запросы
Й example сот

Builtm

Computers

Domain Controllers

FofeignSecuntyPrincipals

 24 Keys

LostAndFound

Managed Semite Accounts
> 23 Program Data

4 □ Users

- NTDS Quotas

TPM Devices

.'Сохранен, Хозяева оперений

»йемтр>есо(

WIN LGOGBECFFJS wemp* сот

Хозяин ол«ращ«»

WIN-LGOG0ECFFJS example сот

РОС Инфраструктура

Хоэяиноперации упреапявт рвэи*ч*нм*кпуло* ЙЮ для други»
коятролляроадоняна Эту дот» выполняет толытоодон сервер
донеив

Чтовы п»р*двт» рол» юзяина опарвфтв елмутвцвт«у
компостеру нвжямт» кнопку *Иэманип’

Рис. 6.11. Хозяева операций

Передать текущие операции другим серверам можно так:

1.	В дереве консоли щелкните правой кнопкой мыши на узле Пользовате-
ли и компьютеры Active Direclory, а затем выберите команду Сменить
контроллер домена.

2.	В окне Смена сервера каталогов выберите опцию Этот контроллер до-
мена или экземпляр AD LDS, затем выберите контроллер домена, на
который нужно перенести FSMO-роли, и нажмите кнопку ОК.
3.	В дереве консоли щелкните правой кнопкой мыши на узле Пользователи
и компьютеры Active Directory. В контекстном меню выберите команду
Dee задачи | Хозяева операций.

4.	В окне Хозяева операций перейдите на вкладку RID, PDC или Инфра-
структура (в зависимости от типа роли, которую нужно перенести).

5.	Нажмите кнопку Изменить для передачи роли ранее выбранному
контроллеру домена. Нажмите кнопку ОК.

6.4.	Управление организационными единицами

Организационные единицы помогают организовать объекты, применить
групповую политику к ограниченному числу объектов и т. д. Далее будет
показано, как создавать и управлять организационными подразделениями.

6.4,1.	Создание организационных подразделений

Обычно организационные подразделения создаются для отображения дело-
вой или функциональной структуры организации. Также можно создавать
подразделения из административных соображений, например, если нужно
предоставить права делегирования пользователям или администрагорам.
Можно создать организационные подразделения как подгруппы домена или
как дочерние подразделения в пределах существующего организационного
подразделения.

Для создания организационного подразделения выполните следующие
действия:

•	В оснастке Active Directory - пользователи и компьютеры или Центре
администрирования Active Directory щелкните правой кнопкой мыши
на узле домена или существующего организационного подразделения, в
зависимости от того, куда нужно добавить новое организационное под-
разделение. Из контекстного меню выберите команду Создать | Подраз-
деление.
•	Введите имя организационного подразделения и нажмите кнопку ОК.

•	Теперь можно переместить учетные записи и общие ресурсы в организа-
ционное подразделение.

6.4.2.	Просмотр и редактирование свойств организационных
подразделений

Для просмотра и редактирования свойства организационного подразделения
выполните действия:

1.	Откройте оснастку Active Directory - пользователи и компьютеры или
Центр администрирования Active Directory.

2.	Щелкните правой кнопкой мыши на организационном подразделении,
с которым нужно работать, а затем выберите команду Свойства. Это
отобразит окно Свойства, позволяющее просмотреть и отредактировать
свойства.

6.4.3.	Переименование и удаление организационных
подразделений

Переименовать или удалить организационное подразделение в оснастке
Active Directory - пользователи и компьютеры можно так:

1.	Щелкните правой кнопкой мыши на организационном подразделении,
которое нужно переименовать или удалить.

2.	Для удаления подразделения выберите команду Удалить, затем подтвер-
дите удаление, нажав кнопку Да.

3.	Для переименования подразделения выберите команду Переименовать,
затем введите новое название подразделения и нажмите клавишу <Enter>.

В Центре администрирования Active Directory аналогичным образом
можно удалить подразделение, но для переименования нужно открыть его
окно Свойства, ввести новое имя и нажать кнопку ОК.
6.4.4.	Перемещение организационных подразделений

Любое организационное подразделение можно переместить в любое место
в пределах домена. В оснастке Active Directory - пользователи и компью-
теры просто выберите подразделение и переместите его в нужное место.

В оснастке Active Directory - пользователи и компьютеры и в Центре ад-
министрирования Active Directory организационное подразделение можно
переместить также с помощью команды Переместить:

1.	Щелкните правой кнопкой мыши на папке подразделения, которое нужно
переместить, и выберите команду Переместить.

2.	В окне Переместить развернит е домен и затем выберите контейнер, в
который нужно переместить организационное подразделение Нажмите
кнопку ОК.

Мы только что рассмотрели управление компьютерами, контроллерами до-
менов и организационными подразделениями.
Глава 7.

Управление учетными
записями пользователя и
группы
Управление учетными записями пользователей - одна из самых важных за-
дач администратора Windows Server.

Вам не просто придется создавать и удалять учетные записи, иногда сбра-
сывая их пароль, вам нужно будет балансировать между потребностями
пользователей по мере выполнения их служебных обязанностей и потреб-
ностями организации по защите б ажной или даже секретной информации.
В небольшой организации можно с легкостью предоставить доступ «всем
ко всему», но в таких организациях, как правило, и нет потребности в Active
Directory и Windows Server вообще — все можно решить с помощью рабо-
чих групп. Па таких предприятиях, где число компьютеров не превышает
15-20 штук, можно обойтись вообще без Windows Server, а использовать
только клиентские версии Windows, объединенные в одну рабочую группу
— вполне нормальная практика из соображений экономии. Не нужно ки по-
купать сам Windows Server, ни выделять отдельный компьютер под него. С
ростом числа пользователей администрирование такой сети становится все
менее и менее удобным.

IHIIIlllllllltlilllllllMlllllllltlllHniUIIIUIIIIIIUIIIIIII1llHIIHIIIMIIIIIIIIIIHIIIllllUlllinilHnUllllinlllnillllll1IUtllUIIIIIIIHM^niUlllinil|HKUinilUinilHIHIinniUIIHUHIinillHlllllinillllHIIHIIIinilllllUII!nllHlllHlllllllllt>IUmiiniUIUIII!IIUIIHIIIIIUUIIItlinlnlniUllll<ltllllllllllllllll1IIIIUII

При работе с Windows вы должны понимать, что существуют учетные
записи трех типов - локальные, учетные записи домена и учет-
ные записи Microsoft.
В этой главе уделяется внимание доменным учетным записям и отчасти бу-
дут затронуты локальные.

Операционная система Windows Server предоставляет учетные записи поль-
зователя и труппы (членом которых являются пользователи). Учетные за-
писи пользователя предназначены для отдельных пользователей. Учетные
записи ipynn разработаны для упрощения администрирования множества
пользователей. В отличие от учетной записи пользователя, учетная запись
труппы не может использоваться для входа в систему. Учетные записи груп-
пы часто называют просто группами.

7.1.	Типы учетных записей пользователей

Как уже отмечалось во введении в эту главу, существует три тина учетных
записей:

•	Учетные записи пользователей, определенные в Active Directory, на-
зываются учетными записями пользователей домена Посредством
единого входа в систему учетные записи пользователей домена могут
получить доступ ко всем ресурсам домена. Учетные записи пользовате-
лей домена создаются в оснастке Active Directory - пользователи и
компьютеры.

•	Учетные записи пользователей, определенные на локальном компью-
тере, называются локальными учетными записями пользователей.
Локальные учетные записи пользователей имеют доступ только к локаль-
ному компьютеру и должны пройти аутентификацию перед обращением
к сетевым ресурсам. Создать локальные учетные записи может с помо-
щью утилиты Локальные пользователи и группы.

•	Учетные записи Microsoft. Используются для доступа к многочислен-
ным устройствам и службам Майкрософт: для входа в Skype, Outlook,
com, OneDnve, Windows Phone и Xbox LIVE, для получения доступа к
своим файлам, фотографиям, контактам и настройкам с любого устрой-
ства. Такие учетные записи более характерны для домашних и личных
компьютеров, нежели для корпоративной сети.
7.2.	Имя входа и идентификаторы безопасности

Все учетные записи пользователей идентифицируются с помощью имени
входа. В Windows Server имя входа состоит из двух частей:

1.	Имя пользователя — текстовая метка учетной записи;

2.	Домен пользователя или рабочая группа — рабочая группа или домен,
где существует учетная запись пользователя.

Для пользователя mark, чья учетная запись создана в домене example.com,
полное имя входа будет mark@example.com. Имя входа в старом формате (в
ОС, предшествовавших Windows 2G00) — EXAMPLE\mark

При работе с Active Directory также нужно указать полное имя пользователя
(fully qualified domain name, FQDN).

FQDN-имя пользователя — это комбинация доменного имени
пользователя DNS (Domain Name System), контейнера или организаци-1
онного подразделения, где находится учетная запись поньзова'геля,
и имени пользователя. Для пользователя example.com\users\mark
example.com — это доменное имя DNS. users — контейнер или органи-1
зациэнное подразделение, a mark — имя пользователя.

Учетные записи пользователей также имеют пароли и публичные серти-
фикаты, связанные с ними. Пароли — это аутентификационные строки для
учетной записи. Публичные сертификаты состоят из публичного и частно-
го ключей для идентификации пользователей. Можно войти интерактивно,
используя пароль. Также можно войти, предоставив сертификат на смарт-
карте.

Хотя Windows Ser/er отображает имя пользователя для описания его при-
вилегий и разрешений, ключевыми идентификаторами для учетных записей
являются идентификаторы безопасности (Security Identifiers, SID).

SID — это уникальные идентификаторы, которые генерируются при созда-
нии учетных записей. Каждый SID учетной записи состоит из ID безопас
ности домена и уникального относительного ID (relative ID, RID), который
выделен хозяином относительных идентификаторов.

Операционная система Windows Server использует эти идентификаторы для
отслеживания учетных записей отдельно от имен пользователей. SID приме-
няется для разных целей. Две самые важные цели: простое изменение имен
и безопасное удаление учетных записей (не нужно волноваться, что кто-то
получит доступ к ресурсам, воссоздав учетную запись с таким же именем).

При изменении имени пользователя Windows Server связывает определен-
ный SID с новым именем. При удалении учетной записи SID, связанный с
ней, больше не является действительным. Позже, даже если кто-то создаст
учетную запись с тем же именем пользователя, у новой учетной записи не
будет тех же полномочий и разрешений, как у предыдущей. Потому что у
новой учетной записи будет новый SID.

7.3.	Учетные записи групп

В дополнение к учетным записям пользователей Windows Server предостав-
ляет группы.

Вообще говоря, группы используются для предоставления полномо- |
чий пользователям, выполняющим похожие действия, и упрощения |
администрирования учетных записей.

Если пользователь — участник группы, которая может получить доступ к
ресурсу, то и этот определенный пользователь гоже может получить доступ
к этому ресурсу. Таким образом, можно предоставить доступ пользователю
к различным необходимым ему для выполнения своих обязанностей ресур-
сам, сделав его членом определенной группы. Обратите внимание, несмотря
на то, что можно войти в систему, используя учетную запись пользователя,
нельзя войти в систему с помошью учетной записи группы.

Например, у нас есть отдел продаж, сотрудники которого нуждаются в до-
ступе ко всем ресурсам, относящимся к маркетингу. Вместо предоставления
необходимого доступа к этим ресурсам каждому отдельному сотруднику,
можно сделать пользователей членами группы маркетинга. В этом случае
будут автомагически получены привилегии группы.

Поскольку разные домены Active Directory могут иметь группы с одина-
ковым названием, группы часто указываются в виде домен\группа, напри-
мер examp]e\sales для группы sakes в домене example. При работе с Active
Directory также нужно указать FQDN для группы. FQDN для группы — это
конкатенация DNS-имени, контейнера или организационного подразделе-
ния и имени группы. Для группы example.com\users\salcs: example.com
DNS-имя домена, users — название контейнера или организационного под-
разделения и sales — имя группы.

7.3.1.	Типы групп

ОС Windows Server поддерживает группы трех типов:

1.	Локальные группы группы, определенные на локальном компьюте-
ре. Они используются только на локальном компьютере и создаются с
помощью утилиты Локальные пользователи и группы.

2.	Группы безопасности — группы, которые имеют связанные с ними де-
скрипторы безопасности. Группы безопасности в дсмепах создаются с
помощью оснастки Active Directory - пользователи и компьютеры.

3.	Группы рассылки — группы, которые используются в списках рассыл-
ки электронной почты. Они не имеют дескрипторов безопасности, свя-
занных с ними. Создаются оснасткой Active Directory - пользователи и
компьютеры.

7.3.2.	Область действия группы

В Active Directory есть несколько областей (диапазонов) групп — локаль-
ный домен, встроенный локальный, глобальный и универсальный. Область
группы определяет, что можно сделать, а что — нет. То есть группы можно
создавать и использовать в разных областях.

•	Локальные группы домена — группы в основном используются для
назначения разрешений доступа к ресурсам в пределах одного домена.
Локальные группы домена могут включать членов из любого домена в
лесу и из доверяемых доменов в других лесах Обычно глобальные и уни-
версальные группы являются членами локальных групп ломена. Лучше
всего такие группы использовать для управления доступом к ресурсам,
таким как принтеры и совместно используемые папки.

•	Встроенные локальные группы — группы со специальной областью
группы, имеют разрешения локального домена и часто, для простоты, от-
носятся к локальным группам домена. Разница между локальными встро-
енными группами и другими группами в том, что нельзя создавать или
удалять встроенные локальные группы. Можно только модифицировать
встроенные локальные группы. Упоминание локальных групп домена от
носится и к встроенным локальным группам, если явно не указано иное.

•	Глобальные группы — группы, которые используются преимуществен-
но для определения прав пользователей и компьютеров в одном и том
же домене, разделяющих подобную роль, функцию или работу. Члены
глобальных групп — только учетные записи и группы из домена, где они
были определены.

•	Универсальные группы — группы, используемые преимуществен-
но для определения наборов пользователей или компьютеров, которые
должны иметь широкие разрешения по всему домену или лесу. Членами
универсальных групп могут быть учетные записи пользователей, гло-
бальные группы и другие универсальные группы из любого домена в де-
реве доменов или лесу.

7.3.3.	Идентификаторы безопасности и учетные записи групп

Как и с учетными записями пользователей, ОС Windows Server отслеживает
учетные записи группы с помощью уникальных SID. Это означает, что не-
возможно удалить учетную запись группы, воссоздать ее снова и затем ожи-
дать, что все полномочия останутся теми же. У новой группы будет новый
SID, и все полномочия старой группы будут потеряны.

ОС Window's Server создает маркеры безопасности для каждою входа поль-
зователя. Маркеры безопасности определяют ID учетной записи и S1D всех
групп безопасности, к которым принадлежит пользователь. Размер маркера
увеличивается по мере добавления пользователя в дополнительные 1руппы
безопасности, и у этого есть последствия:
•	Маркер безопасности должен быть передан процессу входа пользователя
перед завершением входа. Когда число групп безопасности высокое, про-
цесс входа занимает больше времени;

•	Чтобы определить права доступа, маркер безопасности отправляется на
каждый компьютер, к которому пользователь хочет получить доступ.
Поэтому у размера маркера безопасности есть прямое влияние на загруз
ку сети.

7.4. Учетные записи пользователей и групп ио
умолчанию

При установке Windows Server 2019 операционная система устанавливает
учетные записи групп и пользователей по умолчанию. Эти учетные записи
разработаны для обеспечения базовой установки, необходимой для построе-
ния сети. По умолчанию доступны учетные записи трех типов:

1.	Встроенные (Built-in) — учетные записи пользователя и группы, устанав-
ливаемые с операционной системой, приложениями и службами.

2.	Предопределенные (Predefined) — учетные записи пользователя и груп-
пы, установленные с операционной системой.

3.	Неявные (Implicit) — специальные группы, также известные как специ-
альные идентификаторы, создаваемые неявно, когда происходит доступ к
сетевым ресурсам.

7.4Л. Встроенные учетные записи пользователей

Встроенные учетные записи пользователей имеют специальное назначение
в Windows Server. Все системы Windows Server имеют несколько встроен-
ных учетных записей пользователей:

• LocalSystem — псевдоучет ная запись для запуска системных процес-
сов и управления задачами уровня системы. Эта учетная запись — часть
группы Админист раторы на сервере и имеет все .грава пользователя на
сервере. Если настраиваете приложения или службы на использование
этой учетной записи, все связанные процессы получат полный доступ к
системе сервера Много служб запускается с помощью учетной записи
Local System. В некоторых случаях эти службы имеют привилегии взаи-
модействовать с рабочим столом. Службы, которым нужны альтернатив-
ные привилегии или права входа, запускаются под учетными записями
LocalService или NetworkService.

•	LocalService — псевдоучетная запись с ограниченными привилегиями,
которая предоставляет доступ только к локальной системе, является
частью группы Пользователи на сервере и имеет те же права, что и учет-
ная запись NetworkService, за исключением, что она ограничена только
локальным компьютером. Настройте приложения и службы на использо-
вание этой учетной записи, когда соответствующим процессам не нужно
получать доступ к другим серверам.

•	NetworkService — псевдоучетная запись для запуска служб с необхо-
димыми дополнительными привилегиями и правами входа в локальную
систему и сеть. Эта учетная запись — часть группы Пользователи на сер
вере и предоставляет меньше разрешений и привилегий по сравнению с
учетной записью LocalSystem (но больше, чем I ,ocalService). В частности,
процесс, запущенный с этой учетной записью, может взаимодействовать
всюду по сети, используя учетные данные учетной записи компьютера.

•	При установке дополнений или приложений на сервер могут быть уста-
новлены другие учетные записи по умолчанию.

7.4.2.	Учетная запись "Администратор"

I Администратор — предопределенная учетная запись, обеспечиваю-
I щая полный доступ к файлам, каталогам, службам и другим объектам.

В Active Directory у учетной записи Администратор есть полный
дсступ и полные полномочия, распространяющиеся на весь домен.

В противном случае у учетной записи Администратор есть доступ только
к локальной системе. Несмотря на то, что некоторые файлы и каталоги мо-
гут быть временно защищены от учетной записи Администратор, она может
взять под свой контроль эти ресурсы в любое время, изменив права доступа.
По умолчанию учетная запись Администратор включена, но можно отклю-
чить или переименовать ее, чтобы улучшить безопасность. Для переимено-
вания учетной записи используется политика безопасности Учетные запи-
си: переименование учетной записи администратора.

По умолчанию учетная запись Администратор для домена — член групп
Администраторы. Администраторы домена, Пользователи домены, Админи-
страторы предприятий, Владельцы-создатели групповой политики и Адми-
нистраторы схемы. Информацию об этих группах можно найти в следую-
щем разделе.

7.4.3,	Учетная запись ’’Гость”

miiniim ига |1и1мн1иит|и1<иинннн<ни1м|ммнн1ыы	II	I I II I II I	II I ...........................................  II

Учетная запись Гость предназначена для пользователей, которым не-
обходим одноразовый или случайный доступ.

MI№IIIMIIimilHIIIIWIIIIIIIIIIIUIIIIIHIIIIIIIIIHIIinill«IIUIIIUIIIHIinillinilHIIIIIUIIIIMIIIIIIIIinillHIIIHIIIHIIIHIIIUIIIII<lllllwlllllllllll>IIIIIIIIIIIIIIIIIIIUIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIHIIIIIIItlllllllllllllllllllllllllllllllllllllllllll1llll1IIIIIIIIIHIIIIIII^

Хотя гости получают ограниченный доступ к системе, нужно быть очень
осторожными при использовании этой учетной записи. При каждом исполь-
зовании этой учетной записи гарантированы потенциальные проблемы без-
опасности. Риск настолько большой, что по умолчанию в Windows Server эта
учетная запись отключена.

Учетная запись Гость по умолчанию является членом групп Гости домена
и Гости. Обратите внимание, что учетная запись Гость, как и другие имено-
ванные учетные записи, также является членом неявной группы Все. Группа
Все обычно имеет доступ к файлам и папкам. Также у этой группы есть на-
бор прав пользователя по умолчанию.

7.4.4.	Неявные группы и специальные идентификаторы

В Windows Server неявные группы назначаются неявно во время входа и
основаны на том, как пользователь получает доступ к сетевому ресурсу.
Например, если пользователь получает доступ к ресурсу с помощью инте-
рактивного входа, пользователь автоматически становится членом неявной
группы Интерактивные. Несмотря на то, что все еще нельзя просмотреть
членство специальных идентификаторов, можно предоставить членство в
неявных группах пользователям, группам и компьютерам.
Чтобы отразить измененную роль, неявные группы также называют специ-
альными идентификаторами. Специальный идентификатор — это труппа,
членство в которой устанавливается неявно, например во время входа в
систему, или явно через специальные разрешения доступа. Как и в случае с
другими группами по умолчанию, доступность определенной неявной груп-
пы зависит от текущей конфигурации.

Список специальных идентификаторов приведен далее.

•	Анонимный вход — в эту группу зачисляется любой пользователь, по-
лучивший доступ к системе посредством анонимного входа. Эта груп-
па разрешает анонимный доступ к ресурсам, например к веб-странице,
опубликованной на корпоративном сервере

•	Прошедшие проверку — в эту группу попадает пользователь, прошед-
ший проверку подлинности. Идентификатор разрешает доступ к общим
ресурсам в пределах домена, например к файлам в общей папке, которые
должны быть доступны всем сотрудникам организации.

•	Пакетные файлы — к этой группе относится любой пользователь, по-
лучивший доступ к системе в качестве пакетного задания. Позволяет за-
пускать запланированные задачи, например, ночное удаление временных
файлов.

•	Группа-создатель — Windows Server использует эту специальную груп-
пу для автоматического предоставления доступа пользователям, являю-
щимся членами той же группы, что и создатель файла или каталога.

•	Создатель-владелец — лицо, создавшее файл или каталог, становится
членом этой специальной группы. Windows Server использует эту группу
для автоматического предоставления разрешений создателю файла или
каталога.

•	Удаленный доступ — любой пользователь, получивший доступ в
систему с помощью коммутируемого соединения, попадает в группу Уда-
ленный доступ. Эта группа позволяет отделить пользователей dial-up от
других типов аутентифицированных пользователей.

•	Контроллеры домена предприятия — контроллеры домена, выполняю-
щие роли уровня предприятия. Эта группа позволяет выполнять опрсде
ленные задачи с помощью транзитивного доверия.

•	Все — все интерактивные, сетевые, dial-up и аутентифицированные поль-
зователи являются членами данной группы. Это специальная группа пре-
ь доставляет широкий доступ к ресурсам системы.
•	Интерактивные — любой пользователь, выполнивший локальный вход
в систему. Данная ipynna позволяет предоставить доступ к ресурсу толь-
ко локальным пользователям.

•	Сеть — членом этой группы является любой пользователь, вошедший в
систему по сети. Данная группа позволяет предоставить доступ к ресурсу
только удаленным пользователям.

•	Proxy — пользователи и компьютеры, получающие доступ к ресурсам
через прокси, попадаю! в эту группу. Группа используется, когда в сети
реализованы прокси-серверы.

•	Пользователи удаленного рабоч» о стола — любой пользователь, полу-
чивший доступ к системе с помощью служб удаленного рабочего стола.
Позволяет пользователям удаленного рабочего стола получать доступ к
приложениям служб удаленного рабочего, стола и осуществлять другие
необходимые задачи с этими службами.

•	Ограниченные — пользователи и компьютеры с ограниченными воз-
можностями.

•	Self — указывает на сам объект и позволяет объекту изменять самого
себя.

•	Служба — любая служба, получающая доступ к системе. Данная груп-
па предоставляет доступ к процессам, запущенным службами Windows
Server.

•	Система — сама операционная система Windows Server. Группа исполь-
зуется, когда операционной системе нужно выполнить действия на уров-
не системы.

7.4.5. Группы, используемые администраторами

I Администратор — тот, у кого есть широкий доступ к сетевым ресур-

I	сам.

Администраторы могут создавать учетные записи, изменять права пользова-
телей, устанавливать принтеры, управлять общими ресурсами и т.д. Основ-
ные группы администратора — Администраторы, Администраторы домена
и Администраторы предприятия. В табл. 7.1 сравниваются группы админи-

стратора.
Таблица 7.1. Обзор групп администратора

Тип группы ад- министратора	Сетевая среда	Действие группы	Членство
А дминис траторы	Домены Active Directory	Локальный домен	Администратор, Ад- министраторы доме- на, Админис 1раторы предприятия
Администраторы	Рабочие группы, компьютеры, нс входящие в домен	Локальное	Администратор
А дминистраторы домена	Домены Active Directory	Глобальное	Администратор
Администраторы предприятия	Домены Active Director}'	Глобальное или универ- сальное	Администратор
Администраторы схемы	Домены Active Directory	Универсаль- ное	Администратор

•	Ад министра горы — это локальная ipynna, предоставляющая полный
административный доступ к отдельным компьютерам или к единственно-
му домену, в зависимости от его расположения. Поскольку у этой учетной
записи есть полный доступ, нужно быть очень осторожными при добав-
лении пользователей в эту группу. Чтобы назначить кого-то администра-
тором локального компьютера или домена, все, что нужно сделать, — это
добавить человека в эту группу. Только члены группы Администраторы
могут изменить эту учетную запись.

•	Администраторы домена - глобальная группа, разработанная, чтобы
помочь управлять ресурсами в домене. Члены этой группы имеют пол-
ный контроль над доменом. Эта группа обладает административным кон
тролем над всеми компьютерами в домене, потому что она — член груп-
пы Администраторы по умолчанию на всех контроллерах домена, всех
рабочих станциях и всех рядовых серверах домена, как т олько они присо-
единяются к домену. Чтобы назначить кого-то администратором домена,
сделайте этого человека членом данной 1рунпы.
•	Администраторы предприятия — глобальная группа, призванная по-
мочь управлять ресурсами леса. Члены этой группы имеют полный кон-
троль над всеми доменами в лесу. Эта группа обладает полным админи-
стративным конзролем над контроллерами домена в предприятии, потому
что эта группа является членом группы Администраторы по умолчанию
на всех контроллерах домена в лесу. Чтобы сделать кого-то администра-
тором предприятия, просто добавьте его в эту группу.

•	Администраторы схемы — универсальная группа, разработанная для
управления схемой в Active Directory. Члены этой группы могут работать
со схемой и изменять схему Active Directory. Перед тем, как кто-либо смо-
жет редактировать схему, нужно сделать его членом этой труппы.

7.5. Возможности учетной записи

В Windows Server можно назначить следующие типы возможностей учетной
записи.

•	Привилегия — тип права пользователя, предоставляющий разрешения
на выполнение определенных административных задач. Можно назна-
чить привилегии учетным записям пользователя и труппы. Примером
привилегии является возможность завершать работу системы.

•	Права входа — тип права пользователя, предоставляющий разрешения
входа в систему. Можно назначить право входа как учетной записи поль-
зователя, так и группы. Примером права входа является право входа ло-
кально.

•	Встроенные возможности — тип права пользоваз еля, который назнача-
ется группам и включает автоматические возможности группы. Встро-
енные возможности предопределены и неизменны, но они могут быть
делегированы пользователям с разрешением управлять объектами, ор-
ганизационными подразделениями и другими контейнерами. Пример
встроенной возможности — возможность создавать, удалять учетные за-
писи пользователей и управлять ими. Эта возможность присвоена опе-
раторам учетной записи и администраторам. Таким образом, если поль-
зователь — участник группы Администраторы, то он может создавать,
удалять учетные записи пользователей и управлять ими.
• Разрешения доступа — тип права пользователя, определяющий опера
ции, которые могут быть выполнены на сетевых ресурсах. Можно назна-
чить разрешения доступа пользователям, компьютерам и группам. При-
мер разрешения доступа — возможность создавать файл в каталоге.

7.5.1. Привилегии

Привилегии — это назначение права пользователя, предоставляю-
щее разрешение на выполнение определенных административных
задач. Можно назначить пдивилегии с помощью групповых политик,
которые могут быть применены к отдельным компьютерам, организа-
ционным подразделениям и доменам.

Хотя можно назначить привилегии как пользователям, так и группам, обыч-
но нужно назначать привилегии группам. В этом случае пользователи авто
магически получат соответствующие права, как только они станут членами
группы. Назначение привилегий группам также упрощает управление учет-
ными записями.

В табл. 7.2 приведено краткое описание каждой привилегии, которую можно
назначить пользователям и группам.

Таблица 7.2. Привилегии пользователей и групп

Привилегия	Описание
Работа в режиме операцион- ной системы	Позволяет процессу допускать любого пользо- вателя к работе в системе без проверки подлин- ности
Добавление рабочих станций к домену	Разрешает пользователям добавлять компьюте- ры в домен
Настройка квот памяти для процесса	Разрешает пользователям изменять максималь- ный сбьем памяти, используемый процессом
Архивация папок и каталогов	Позволяет пользователям архивировать систе- му, независимо от разрешений, установленных для файлов и каталогов
Обход перекрестной проверки	Позволяет пользователям производить обзор деревьев каталога, даже если у этих пользо- вателей отсутствую! разрешения на каталог. Привилегия не позволяет пользователям про- сматривать содержимое кат алога, а только про- изводить его обзор
Изменение системного вре- мени	Разрешает пользователям устанавливать время системных часов
Изменение часового пояса	Разрешает пользователям устанавливать часо- вой пояс системных часов. По умолчанию эта привилегия есть у всех пользователей
Создание файла подкачки	Позволяет пользователям создават ь и изменять размер файла подкачки для виртуальной памя- ти
Создание маркерного объекта	Позволяет процессам создавать маркерные объ- екты, которые могут использоваться для предо- ставления доступа к локальным ресурсам. Про- цессы, которым нужна эта привилегия, должны использовать учетную запись LocalSystem
Создание глобальных объ- ектов	Позволяет процессам создавать глобальные объекты. Эта привилегия по умолчанию есть у учетных записей LocalService и NetworkService
Создание постоянных общих объектов	Позволяет процессам создавать объекты ка- талога в диспетчере обьектов. У большинства компонентов уже есть эта привилегия, и не нужно назначать ее специально
Создание символических ссылок	Определяет для пользователя возможность создавать символические ссылки. Символьные ссылки позволяют файлу или папке появиться в определенном расположении, когда на самом деле этот файл или папка находится в другом расположении. Использование символических ссылок по умолчанию ограничено из соображе- ний безопасности
Отладка программ	Разрешает пользователям осуществить отладку программ
Разрешение доверия к учет- ным записям компьютеров и пользователей при делегиро- вании	Определяет, какие пользователи могут устанав- ливать параметр Делегирование разрешено для пользоват еля или объект а-компьютера
Принудительное удаленное завершение работы	Позволяет пользователям завершать работу компьютера с удаленной системы
Создание аудитов безопас- ности	Разрешает процессам создавать записи журна- ла для аудита доступа к объектам
Имитация клиента после про- верки подлинности	Позволяет веб-приложениям действовать как клиентам во время обработки запросов. Служ- бы и пользователи также могут работать как клиенты
Увеличение рабочего набора процесса	Разрешает пользователю увеличить размер рабочего набора процесса. Рабочий набор про- цесса — это набор страниц памяти, видимых в данный момент процессу в физической памяти. При увеличении рабочего набора снижается количество ошибок страниц и повышается про изводительность
Увеличение приоритета вы- полнения	Позволяет процессам повышать приоритет вы- полнения другого процесса, при условии что у них есть доступ для записи к процессу
Загрузка и выгрузка драйве- ров устройства	Позволяет пользователям устанавливать и деинсталлировать драйверы РпР-устрсйств. Это не влияет на драйверы не-РпР-усзройств которые могут устанавливать только админи- страторы
Блокировка страниц в памяти	Позволяет процессам хранить данные в физи- ческой памяти, запрещая системе выгружать данные в виртуальную память на диск
Управление аудитом и журна- лом безопасности	Позволяет пользователям указывать опции аудита и получать доступ к журналу безопасно- сти. Сначала нужно включить аудит в политике группы
Изменение метки объекта	Позволяет пользовательскому процессу из- менять метки целостности объектов, таких как файлы, разделы реестра или процессы, вла- дельцами которых являются другие пользовате- ли. Эти привилегии могут быть использованы для понижения приоритета других процессов. Процессы, запущенные под учетной записью пользователя, могут модифицировать любой объект, который принадлежит пользователю, без запроса этой привилегии
Изменение параметров среды изготовителя	Разрешает пользователям и процессам изме- нять системные переменные среды
Выполнение задач по обслу- живанию томов	Разрешает администрирование сменных но- сителей, дефрагментацию диска и управление диском
Профилирование одного про- цесса	Разрешает пользователям контролировать про- изводительность несистемных процессов
Профилирование производи- тельности системы	Позволяет пользователям следить за произво- дительностью системных процессов
Отключение компьютера от стыковочного узла	Разрешает отключение лэптопа от стыковочно- го узла и его удаление из сети
Замена маркера уровня про- цесса	Позволяет процессам заменять маркер по умол- чанию для подпроцессов
Восстановление файлов и ка- талогов	Разрешает пользователям восстанавливать за- архивированные файлы и каталоги, независимо от разрешений, установленных для файлов и каталогов
Завершение работы системы	Разрешает пользователям выключать локаль- ный компьютер
Синхронизация данных служ- бы каталога	Позволяет пользователям синхронизировать данные службы каталога на контроллерах до- мена
Смела владельцев файлов и других объектов	Разрешает пользователям сменять владель- цев файлов и любых других объектов Active Directory

7.5.2.	Право входа

| Право входа — право пользователя, предоставляющее полномочия
входа в систему Можно назначить право входа как учетной записи
пользователя, так и учетной записи группы.

Как и в случае с привилегиями, права входа назначаются через групповые
политики, кроме того, права входа проще назначать сразу группам, нежели
отдельным пользователям.

В табл. 7.3 приведено краткое описание каждого права входа, которое можно
назначить пользователям и i руппам.

Таблица 73. Права входа для пользователей и групп

Право входа	Описание
Доступ к диспетчеру учет- ных данных от имени дове- ренного вызывающего	Предоставляет разрешение устанавливать до- веренное соединение с диспетчером учетных данных (Credential Manager). Учетные данные (имя пользователя и пароль или смарт-карта) обе- спечивают идентификацию
<7	...				. ........ —....
Доступ к компьютеру из сети	Предоставляет удаленный доступ к компьютеру
Локальный вход в систему	Предоставляет разрешение войти в систему с клавиатуры компьютера. На контроллерах домена это право по умолчанию ограничено и доступно только следующим группам: Администраторы, Операторы учета, Операторы архива, Операторы печати и Операторы сервера
Разрешить вход в систему через службу удаленных рабочих столов	Предоставляет доступ с помощью службы уда- ленных рабочих столов. Это право необходимо для удаленной помощи и удаленного использова- ния рабочего стола
Отказать в доступе к этому компьютеру из сети	Запрещает удаленный доступ к этому компьютеру по сети
От казать во входе в каче- стве пакетного задания	Запретить право входа в качестве пакетного зада- ния или сценария
Отказать во входе в каче- стве службы	Запрещает вход в качестве службы
Запретить локальный вход	Запрещает локальный вход в систему с использо- ванием клавиатуры компьютера
Запретить вход в систему через службу удаленных рабочих столов	Запрещает вход ь систему с использованием уда- ленных рабочих столов
Вход в качестве пакетного задания	Предоставляет разрешение войти в систему в ка- честве пакетного задания
Вход з качестве службы	Предоставляет разрешение войти в систему в качестве службы. Эдо праве есть у учетной за- писи LocalSystem. Данное право нужно назначить учетной записи службы
7.5.3.	Встроенные возможности для групп в Active Directory

Встроенные возможности, назначаемые группам в Active Directory, зависят
от конфигурации компьютера. С помощью Редактора локальной группо-
вой политики (рис. 7.1) можно просмотреть возможности, которые назна-
чаются каждой группе, раскрыв узел Конфигурация компьютера \ Конфи-
гурация Windows \ Параметры безопасности Локальные политики и
выбрав узел Назначение прав пользователя.

Редактор локально/ 'руппсвой поли"июг

Политика 'Локальный компьютер

конфигурация компьютера
Конфигурация программ
Конфигурация Windows

' Политика разрешения имен

, Сценарий (запусх/завершени<

*• Развернутые принтеры

v 3 Параметры безопасности
- Ч Политику, учетных записей г

Поли-яка

Параметр безопасности

алохировка страниц 9 памя-и

й восстановление файлов и хатало'ов
вход а качестве пакетного задания
вход в качестве службы

i выполнение задач обслуживанию томов

;Й Добавление рабочих станций к домену

Администраторы Операторы сервера,Олераторы архива

Админмстра-оры.Опера’сры архива. Пользователи журнала произв-

MSERV1C£\ALL SERVICES

Админ-истрготы

Прошедшие пооверку

у Локальные политики

Доступ к дисте-черу учетных данных от име-

Ч Поди-мка ауди'э

J9 Доступ < компьютеру из сети

4 Назначение прав полым и Завершение работы системы

все,Прошедшие псоеерку Администраторы npea-Wmclows 2006 досту,.

Л Параметр» безо-асност
Монитор брандмауэра Зашг
Политики диспетчера спиа.'
Политики о’крьчо-'о ключа
Поли-ики о-раииченното t
Политики управления грн/
М Политики 1?-безопасности

Конфигураций расширение
til QoS на основе полигики
Административные шаблоны

Конфигурация пользователя
Конфигурация программ
Конфигурация Windows
Административные шаблоны

Й Зогрузка и выгрузка драйверов устройств

«3 Замена маркера уровня процесса

Запрети?!, вход в систему через службу удои

Запретить локальный вход

Изменение метки объела

₽ Изменение параметров среды из'отовителя

^Изменение системного времени

Изменение часового пояса

Ими-ация клиен-а после проверю’ г одними»

Л Локальный вход в систему

Застройка квот памяти для процесса

Обход перекрестной проверки

Отсазато  доступе < этому компьютеру из се.

Администраторы Операторы серэеса,Отераторы п?ча’и Операторы...

Администраторы Опеогоры печати

LOCAL SERVICE,NETWORK SERV-Ct

Администраторы

LOCAL 5Е8У1СЕ.Адми’-истратсры.Огераторы сервера

LOCAL. SERVICE,АД’лииистра’Оры.Ог-ератосы сервера

LOCAL SEW1CE.NETWORK St RV!C£AAMnnHC*DaropM,!lSjUSRS СЛУЖБА

Адмипистм’оры Операторы учет*.Оператсры сервера,Операторы п„

LOCAL SERVICE.NETWORK 4ЕЙУ1СЕАдминистоаторы
всеЛрошедшие проверку LOCAL SERVICE NETWORK SERVICEAimhhhct

. Отказать so входе в качестве паке'ноге зада»

О-каэать во входе в качестве службы

> JJO-ключение компьютера от стыковоч-ого уз.. Администраторы

Рис. 7.1. Назначение прав пользователя

Описание той или иной политики можно узнать на вкладке Объяс-
нение. Как правило, назначение политики понятно по ее названию,
а колонка Параметр безопасное! и содержит список групп, которым
назначено то или иное право.

э
Свойства: Архивация файлов и каталогов

Параметр локальной безопасности Объяснение

Архивация файлов и каталогов

Это прево пользователя определяет, какие пользователи
могут игнорировать разрешения для файлов каталогов,
реестра и других постоянных объектов с целью архивации
системы

В честности, это право пользователя подобно
предоставлению следующих разрешений пользователю или
группе для всех папок и файлов в системе

Обзор папок/Выпогиение файлов

Содержимое лалки/Чтение данных

Чтение атрибутов

Чтение расширенных атрибутов

Чтение разрешения

Внимание!

Назначение этого права пользователю может представлять
угрозу безопасности. Поскольку невозможно точно знать,
что именно пользователь делает с данными* создает архив,
крадет или копирует с целью распространения - назначайте
это право только доверенным пользователям.

Подробности о политике безопасности и связанных с ней
компонентах Windows см. Па В ^б-у.айте МойкдОССкД

ОК | Отмене .

Рис. 7.2. Вкладка «Объяснение»

7.6.	Требования к именам пользователей и

паролям

7.6.1.	Требования к имени учетных записей

У учетных записей есть отображаемые имена и имена входа.

Отображаемое имя (или полное имя) — имя, отображаемое пользовате-
лям, и имя, показываемое в сеансах пользователя. Имя входа — это имя,
используемое для входа в домен.

Для учетных записей домена отображаемое имя обычно состоит из фами-
лии, имени и отчества, но можно указать любую строку.

Отображаемое имя должно соответствовать следующим правилам:

Локальные отображаемые имена должны быть уникальными на отдель-
ном компьютере;
•	Отображаемые имена должны быть уникальными в пределах домена;

•	Максимальная длина отображаемого имени — 64 символа;

•	Отображаемые имена могут содержать алфавитно-цифровые и специаль-
ные символы.

Имена входа должны следовать этим правилам:

•	Локальные имена входа должны быть уникальными в пределах отдель-
ного компьютера, глобальные имена входа должны быть уникальными в
пределах домена;

•	Имена входа могут состоять из 256 символов. Однако очень непрактично
использовать имена входа длиной более 64 символов;

•	Старые имена входа (в формате для ОС, предшествовавших Windows
2000) назначаются всем учетным записям. По умолчанию в качестве это-
го имени входа используются первые 20 символов обычного имени входа
Имена входа в старом формате гоже должны быть уникальными в преде-
лах домена;

•	Пользователи, входящие в домен с компьютера, могут использовать свои
стандартные имена входа или свои имена в старом формате (для ОС, пред-
шествовавших Windows 2000) независимо от режима работы домела;

•	Имена входа не могут содержать определенные символы. Следующие
символы недопустимы: «/\[];| = ,+ *?<>;

•	Имена входа могут содержать все остальные специальные символу в
том числе пробелы, двоеточия, тире и символы подчеркивания. Однако
использовать данные символы в именах учетных записей — не очень хо-
рошая идея.

7.6.2.	Использование безопасных паролей

Пароль — это чувствительная к регистру строка, которая может содержать
127 символов и более при использовании Active Directory и до 14 символов
при использовании Windows NT Security Manager. Допустимые символы для
паролей — буквы, цифры и другие символы. При установке пароля для учет-
ной записи Windows Server сохраняет пароль в зашифрованном виде ь базе
данных учетных записей.

'2W

_____________________
Но простого наличия пароля недостаточно. Ключ к предотвращению несанк-
ционированного доступа к сетевым ресурсам — использование безопасных
паролей. Разница между среднестатистическим и безопасным паролем —
безопасные пароли трудно подобрать и взломать Сделать пароль сложным
для подбора и взлома можно, используя комбинацию всех доступных типов
символов, в том числе символов разною регистра, цифр и прочих символов.
Например, вместо topsecret в качестве пароля лучше выбрать tOPsECret&
или TOI 2pSeCre7*.

Также можно использовать парольные фразы. В этом случае пароль содер-
жит несколько слов и знаки пункгуации, как в предложении.

Например, «Му very secret passwOrd!». Эта фраза содержит знаки пункту-
ации, цифры и удовлетворяет всем требованиям сложности и невероятно
трудна для взлома.

К сожалению, нет никакой разницы, насколько безопасным будет началь-
ный пароль, пользователь со временем может установить собственный па
роль. Поэтому необходимо установить политики учетных записей, опреде-
ляющие, каким будет безопасный пароль для имеющихся систем. Политики
учетных записей — это подмножество политик, настраиваемых в групповой
политике.

7.7.	Политики учетной записи

7.7.1.	Установка политик учетных записей

Политики учетной записи должны быть сконфигурированы в GPO с
наивысшим приоритетом, связанным с доменом По умолчанию GPO с
наивысшим приоритетом называется Default Domain Policy GPO

Как только будет получен доступ к Default Domain Policy GPO или другому
надлежащему GPO, можно установить политики учетных записей с помо-
щью этих действий:
•	В утилите Редактор управления групповыми политиками (рис. 7.3)
разверните узел Политики учетных записей, находящийся в узле Кон-
фигурация компьютера \ Конфигурация Windows \ Параметры без-
опасности. Дерево консоли покажет имя настраиваемого компьютера
или домена. Убедитесь, что выполняется настройка нужного сетевого
ресурса.

Рис. 7.3. Редактор управления групповыми политиками

•	Теперь можно управлять политиками учетных записей с помощью уз-
лов Политика паролей, Политика блокировки учетной записи и По-
литика Kerberos. Чтобы настроить политику, дважды щелкните по ней
или щелкните правой кнопкой мыши и выберите команду Свойства.
Откроется одноименное окно (рис. 7.4). Все политики могут быть или
определены, или не определены. Это означает, что они могут быть либо
настроены, либо не настроены для использования. Политика, не опреде-
ленная в текущем контейнере, может быть наследована из следующего
контейнера.

•	Установите или сбросьте флажок Определить следующий параметр
политики, чтобы указать, определена ли политика.
Свойства: Пароль должен отвечать требованиям сложное» ? X

Параметр политики безопасности Объяснение

Пароль должен отвечать требованиям сложности

[^(Определить следующий параметр политики^

(Исключен

О фгключен

Рис. 7.4. Свойства групповой политики

Ji&nee будут рассмотрены некоторые политики и рекомендуемые параметры
для них.

7.7.2.	Настройка политики паролей

Политики паролей, приведенные здесь, контролируют безопасность паро-
лей:

1.	Вести журнал паролей.

2.	Максимальный срок действия пароля.

3.	Минимальная длина пароля.

4.	Минимальный срок действия пароля.

5.	Пароль должен отвечать требованиям сложности.

6.	Хранить пароли, используя обратимое шифрование.

Использование этих политик обсуждается в следующих разделах.

'262
Вести журнал паролей

Политика Вести журнал паролей устанавливает, как часто старые
пароли могут использоваться повторно. С помощью этой политики
можно отучить пользователей использовать несколько общих паро-
лей

В журнале паролей Windows Server может хранить до 24 паролей для каж-
дого пользователя.

Чтобы отключить эту опцию, установите число паролей равное 0. Чтобы ак-
тивировать ее, установите значение истории паролей, используя поле Вести
журнал для. После этого Windows Server будет отслеживать старые пароли
на основе истории паролей, уникальной для каждого пользователя. Пользо-
вателям не разрешается устанавливать ранее использованные пароли.

Максимальный срок действия пароля

Политика Максимальный срок действия пароля определяет,
сколько дней пользователи могут хранить пароль перед его обяза- I
...	-1

тельным изменением Цель этой политики — заставить пользователей!

периодически менять свои пароли.

Установите значение, имеющее смысл в конкретной сети. В целом, нужно
использовать более короткий период, когда безопасность очень важна, и бо-
лее длительный период, когда безопасность менее важна.

Можно установить максимальный срок действия пароля от 0 до 999 дней.
Величина 0 означает, что пароли не истекают. Несмотря на желание не уста-
навливать дату истечения пароля, пользователи должны менять пароль ре-
гулярно, чтобы обеспечить безопасность сети. Там, где важна безопасность,
используйте значение 30, 60 или 90 дней. Где безопасность менее важна,
хорошие значения равны 120, 150 или 180 дней.
Минимальный срок действия пароля

Политика Минимальный срок действия пароля определяет,
сколько дней должно пройти пеоед тем, как пользователь сможет из-
менить его. Можно использовать эту политику, чтобы помешать поль-
зователям несколько раз подряд менять пароль, чтобы установить
старый пароль.

................................

Если минимальный срок действия пароля установлен в значение 0, пользо-
ватели сразу могут изменить свои пароли. Чтобы предотвратить это, уста-
новите определенный минимальный срок. Имеет смысл использовать зна-
чения от 3 до 7 дней. Таким образом, пользователи не смогут сразу перейти
на старый пароль, но при необходимости смогут изменить пароль, не до-
жидаясь максимального срока действия. Имейте в виду, что минимальный
срок действия пароля может препятствовать смене скомпрометированного
пароля. Если пользователь не может изменить пароль, это должен сделать
администратор.

Минимальная длина пароля

Политика Минимальная длина паролей устанавливает минималь-1
ное число символов пароля.

Если значение по умолчанию не было изменено, сделайте это немедленно.
Значение по умолчанию в некоторых случаях позволяет устанавливать пу-
стые пароли (пароли с 0 символов), что определенно не очень хорошая идея.

Из соображений безопасности нужно использовать пароли длиной минимум
8 символов. Если необходима еще большая безопасность, установите мини-
мальную длину пароля, равную 14 символов.

Пароль должен отвечать требованиям сложности

ОС Windows Server содержит средства для дополнительного управления па-
ролем. Эти средства заставляют использовать безопасные пароли, которые
устанавливаются в соответствии со следующими требованиями:
•	Минимальная длина паролей — 6 символов;

•	Пароли не могут содержать имя пользователя, например rnarkf, или часть
полного имени, например mark',

•	Пароли должны содержать как минимум три из четырех типов символов:
буквы в нижнем регистре, буквы в верхнем регистре, цифры и нсалфа
витные символы.

Для применения этих правил включите политику Пароль должен отвечать
требованиям сложност и.

Хранить пароли, используя обратимое шифрование

Пароли в базе данных хранятся в зашифрованном виде. Обычно это шифро-
вание не может быть обращено. Единственный случай, когда нужно изме-
нить это повеление, — ситуация, когда организация использует приложения,
которым нужно считать пароль. Если это так, включите политику Хранить
пароли, используя обратимое шифрование для всех пользователей.

При включении этой политики пароли также могут быть сохранены как
обычный текст. Это тоже представляет yi розу безопасности. Помните это.
Намного лучше включить эту опцию для конкретных пользователей, как
только она будет действительно необходима им.

7Л.З. Политики блокировки учетной записи

Политики блокировки учетной записи, приведенные здесь,
контролируют, как и когда учетные записи будут заблокированы до-
меном или локальной системой:

•	Пороговое значение блокировки;

•	Продолжительность блокировки учетной записи;

•	Время до сброса счетчика блокировки
Редактор управления групповыми политиками

□ X

файл Действие Дид Справка

♦ *| ьлИ'-Hu я

Ц Политика Default Domain Policy [W **
v Л» Конфигурация компьютера

v £3 Политики

> i Конфигурация программ .
v i j Конфигурация Windows

>	Политика разрешения i
8^ Сценарии (запуск/завв|

>	ив Развернутые принтеры

* 5а Параметры безопасное
v Л Политики учетных за

>	..Э Политика пароле)
Политика 6локир(
Политика Kerbero:

>	jS Локальные политик*

>	.jg Журнал событий

>	« Группы с ограничен)

>	Сй Системные службы

>	Л Реестр

?	££ Файловая система

>	ВйГ Политики провод НО)

Политика

£ Время до сброса счетчика блокировки

U Пороговое значение блокировки

Продолжительность блокировки учетной за~

Параметр политики

Не определено

О ошибок входа в систе-
ме определено

Рис. 7.5, Политики блокировки учетной записи

Пороговое значение блокировки

......................................                              '4

Политика Пороговое значение блокировки определяет число по- |
пыток входа в систему, которые может сделать пользователь, прежде I
чем учетная запись будет заблокирована.

Если решите использовать управление блокировкой, вам придется балан-
сировать между предотвращением взлома учетной записи и потребностями
пользователей, которые испытывают затруднения при получении доступа к
своим учетным записям.

Очень часто пользователи забывают свои пароли. Если это так, им понадо-
бится несколько попыток входа в систему. У пользователей рабочей группы
также мщут быть проблемы при досгупе к удаленной системе, если их теку-
щие пароли не совпадают с паролями, которые ожидает удаленная система.
Например, удаленная система могла записать несколько неудачных попы-
ток входа в систему, прежде чем пользователь получил приглашение ввести
правильный пароль, потому что Windows Server попытался автоматически

?6б
войти в удаленную систему. В доменной среде это обычно не происходит
благодаря функции единого входа в систему.

Можно установить значение порога блокировки от 0 до 99. Значение 0 уста-
новлено по умолчанию — учетные записи не будут заблокированы из-за
неуспешных попыток входа. Любое друюе значение указывает порог бло-
кировки. Помните, что высокое значение повышает риск взлома системы
хакером. Рекомендуемый диапазон для этого порога — от 7 до 15 попыток.
Этого достаточно, чтобы пользователь ввел правильный пароль, и снижает
вероятность взлома хакером.

Продолжительность блокировки учетной записи

Если чья-то учетная запись будет заблокирована, политика Про-
должительное! ь блокировки учетной записи устанопит время
блокировки. Можно установить продолжительность блокировки от
1 до 99 999 минут или же задать неограниченное время блокировки,
установив значение 0.

Лучшая рекомендация —- блокировать учетную запись навсегда. Тогда толь-
ко администратор сможет ее разблокировать. Это предотвращает повторные
попытки взлома хакерами и засгав.1яет пользователей, чья учетная запись
заблокирована, обратиться за помощью к администратору, что обычно хоро-
шая идея. Поговорив с пользователем, можно определить, что пользователь
делает неправильно, а за гем помочь ему избежать проблем в будущем

Время до сброса счетчика блокировки

ОС Windows Server отслеживает каждую неудачную попытку входа и увели-
чивает число неудачных попыток входа. Чтобы поддерживать баланс между
потенциальными блокировками от допустимых проблем безопасности и
блокировками, которые могут произойти от простой человеческой ошибки,
другая политика определяет, сколько времени поддерживать информацию о
неудачных попытках входа в систему.
Сервер на \\ imlqus и Linux	К H|wlndovvs

С С. Г-..'	МММ С'-'.- ММ	iM' .IP’ ...^я1МШ

Эта политика называется Время до сброса счетчика блокировки. Исполь-
зуйте ее, чтобы сбросить счетчик неудачных попыток входа в 0 после опре-
деленного периода ожидания Способ работы политики прост: если период
ожидания истек с момента последней неудачной попытки входа, счетчик
плохих попыток сбрасывается в 0. Счетчик плохих попыток входа также
сбрасывается, ко)да пользователь успешно входит в систему.

Если политика Время до сброса счетчика блокировки включена, можно
установить любое значение — от I до 99 999 минут. Как и с пороговым
значением блокировки, необходимо выбрать оптимальное значение между
нуждами безопасности и потребностями пользователя. Хорошее значение —
от одного до двух часов. Такой период ожидания должен быть достаточно
продолжительным, чтобы заставить хакеров ждать дольше, чем они хотят,
перед повторной попыткой получить доступ к учетной записи.

Если политика Время до сброса счетчика блокировки не установлена или
отключена, счетчик плохих попыток сбрасывается только при успешном
входе пользователя в систему.

7.7.4. Политики Kerberos

Kerberos — основной механизм аутентификации, используемый в
домене Active Directory. Протокол Kerberos применяет билеты для
проверки идентификации пользователей и сетевых служб. Билеты
содержат зашифрованные данные, которые подтверждают идентифи-
кационные данные в целях аутентификации и авторизации.

Можно контролировать продолжительность билета, его обновление и при-
нудительное ограничение с помощью следующих политик:

•	Принудительное ограничение входа пользователей;

•	Максимальный срок жизни билета службы;

•	Максимальный срок жизни билета пользователя;

•	Максимальный срок жизни для возобновления билета пользователя;

•	Максимальная погрешность синхронизации часов компьютера.
°едактоо угоаеле^ия гоу^'оеь'ли no/>z’z«.avz

Файл ДеЙс’вхе fs.-'д Справка

noiz’ZKa Default Dorna n ?o <cv

'• *- <oMQ,‘'vpauz₽ <ovrt>Kreoa
Dotz’/kz

<0^0z’•уран/я rporpavM

Kci-Oz'yoauzfl W noows

Полгтика оазоешеч/я

Cue^aozz ;заоуск,''заве:

“s Развернутое noz-TepBs

« \ Daoave^Do безо-асчос

Паоаме"» ronz-znz

Уахс/мачьчая so'oeuj’-ос’в c/nxbct-zaauzz. 5 mz-

Макс/маломый cook xzz-z 6/.ie’a -.ОАэЗОва 10 u

Ь*акс/мал»чьм cook х/з-/ б/ пета службы 600 vz>-

УаксгмазьчыЛ срок xz3-z для возоб-зовпе 7 д-
~*о^-'уд/’ел»нЬ е crpa-z-ie-z- зхода ~опьзо Ея.зюце-

Гio/iz’z<cz •>че’-ь х зс-
Tlonz’/^a ~аооле.
пол/’гка блеклое
Политика Kerbero-

Гокалвна е ^ghztz</
Xvp-ai собь.-zz

•	Грд.*т»э< с о'оа-гчен1
Сгсех'^ь е службе

.ч Реес_о

•	Файловая czc’eva

Пол/тгч/ -’иовод-о

Рис. 7.6. Политики Kerberos

Максимальная погрешность синхронизации часов

компьютера

Это одна из политик Kerberos, которую, возможно, следует изменить. По
умолчанию зсе компьютеры в домене должны синхронизироваться с разни-
цей в 5 минут. Если это не так, будет сбой аутентификации.

Если есть удаленные пользователи, входящие в домен без синхронизации
своих часов с сервером времени сети, возможно, нужно скорректировать это
значение. Можно установить любое значение от 0 до 99 999. Значение 0 не
устанавливает погрешность, т. е. удаленные системы должны точно синхро-
низировать время, иначе произойдет сбой аутентификации.

Принудительное ограничение входа пользователей

iiiiiiniiiiiiiiiiiiiniiiiiiniiiiiiiiiiiiHiiiiiiiiiiiiiiiiiiiiiniiiiiiHiiiiiiiiiiiiiiiiiiKiiiiiiiiiiiiiiiiiiiiiiiiiiiiitiiiiiniiiiimiimiiiiiiiiiiitiiiiiiiiiiiiiiiiiiiiiiiiiiiHiiiiiMiiiiitiiiiiiiniiiiiiiiiiiiiiii

Политика Принудительное ограничение входа пользователей
позволяет убедиться, что применены все ограничения, установлен-
ные для учетной записи пользователя.

llinilliiiilil.......niuui.......IIIIIUI.....ЛИИН...................  п.................  г..........и..............  и..................  к....................  I..........................................................................................................................................
Например, если лимитированы часы регистрации пользователя, эта поли-
тика осуществляет ограничение. По умолчанию политика включена, а ее
отключение требуется лишь в очень редких случаях.

Политики задания максимального срока жизни

Политики Максимальный срок жизни билета службы и Мак-
симальный срок жизни билета пользователя устанавливают
максимальную продолжительность действия билета службы или
пользователя. По умолчанию у билетов службы максимальная про-
должительность жизни — 600 минут, у билетов пользователя —10
часов.

i
....................................................    i...ни»......    iiiiiiiih..niu

Можно изменить срок жизни билетов. Для билетов службы допустимый ди-
апазон — от 0 до 99 999 минут, для билетов пользователя — от 0 до 99 999
часов. Значение 0 отключает отслеживание срока жизни. Любое другое зна-
чение устанавливает определенное время жизни.Истекающий билет пользо-
вателя может быть возобновлен при условии, что возобновление допустимо
настройками политики Максимальный срок жизни для возобновления
билета пользователя. По умолчанию максимальный период возобновления
составляет 7 дней. Можно изменить период возобновления на любое значе-
ние от 0 до 99 999 дней. Значение 0 выключает максимальный период воз-
обновления, а любые другие значения устанавливают определенный период
возобновления.

7.8.	Настройка глобальных прав пользователя

При работе в Active Directory для администрирования политик прав пользо-
вателя воспользуйтесь следующими инструкциями:

1.	Откройте GPO, с которым нужно работать, а затем разверните узел Ло-
кальные политики, раскрыв дерево консоли. Этот узел находится в узле
Конфигурация компьютера \ Конфигурация Windows \ Параметры
безопасности.
2.	Выберите политику Назначение прав пользователя для управления
правами пользователя. Для настройки назначения прав пользователя
дважды щелкните на праве пользователя или щелкните правой кнопкой
мыши и выберите команду Свойства.

3.	Включите параметр Определить следующие параметры политики.
После этого нажмите кнопку Добавить пользователя или группу, что-
бы добавить в список учетную запись пользователя/группы.

4.	Нажмите кнопку ОК для закрытия окна Свойства.

Фвйл Действ** вид Справе
♦	В 75

V Лол/мка Defalt Domain Pof-cy [WIN-LGOG8ECH л Политика

й> Конфигурация комлью-ера

* 2' Политик*

" Коифигуазцик программ

* В Конфигурация W nPcwi

> 13 Политика разрешения имен

U Сценарии (эапуи/мвершение)

•- • Развернутые пример»

" 4 Параметр» 6еюп«иости

* J Политик* учетных записей
Й Политике паролей

> ,S Политика блокировки учетной з\
> Политика Кегоепи

* J Локальные политики

3	Полмика аудита

£ Нмнвчвыхе прав пользователя

4	Параметры безопасности

 Л Журнал событий

•	-4 Группы с ограниченным доступом

>	Системные службы

j б Реестр

	ГД Файловая система

Ц Политики проводной сети fiEEE 60.

>	£3 Монитор брандмауэра Защитника
Л Политики диспетчера списка сетей
Й Политики беспроводной сети рЕЕЕ

' «й Политики открытого ключа

>	Я Политики ограниченного исполь*

Параметр .толитжи

« Архивация файлов и каталогов	не

<. Блокировка страниц в намят и	Не 1

м Восстановление фай лов и хл-алсгок	не

Вход е качестве пакетного задания	Не °

5,	Вжм в качестве службы	не

К, Выполнение задач по обслуживанию томов Не
- Добавление рабочих станций к домену не
Доступ к дислгмеру учгных данных от име_ Не|
«Доступ к компьютеру ив сети	Не

II Завершение работы системы	Не

« Загрузка и вь'оуэка драйверов устройств Hei
ь. Замена маркера уровне процесса	не

* Запретить вход в систему через службу удал. Не
ч. Запретить локалы*»-’ вход	Не.

ч Изменение него» объекта	Не'

Изменение параметров среды ивготоеипеля Не
I. Изменение системного времени	Не	I

&,	Изменение часового ложа	Не1

п» Имитация клиента после провертел подлини - Не
4 Локальный вход в систему	Не,

&	Настройка квот памяти для процесса Не'
(к Обход перекрестье? проверки	Не

I. Отказать а доступе к я ому компьютеру из се_ Не

Отказатьво поде в качестм пакетного зада- Не
4 Отказать до акре а качестве службы Не

г. Завершение работ» систем»	? X

Ларин Iр политики бааопасиости Оеъмнвнме

Замрмииь равоти систаии

i| Олр»в«лцт» < жпута»** параметра политики

Отключение компьютера от стыковочного ух. На

ОК От*м*о Прчиин’*

। Досаеигу прл»аомт тм к^'пруплу "]

Рис. 7.7. Настройка глобальных прав пользователя

7.9.	Создание учетной записи пользователя

Учетные записи пользователя и группы позволяют Windows Server
отслеживать и управлять информацией о пользователях, в том числе
разрешениями и привилегиями.

Для создания учетной записи пользователя обычно применяются две следу-
ющие административных утилиты:

• Active Directory - пользователи и компьютеры — используется для ад-

ь министрирования учетных записей через домен Active Directory;
•	Центр администрирования Active Directory — с его помощью также
можно управлять учетными записями Active Directory;

•	Локальные пользователи и группы — используется для администри-
рования учетных записей на локальном компьютере.

Для каждого пользователя, которому необходим доступ к сетевым ресурсам,
необходимо создать учетную запись пользователя. Для создания учетных
записей пользователей домена применяется Центр администрирования
Active Directory или оснастка Active Directory - пользователи и компью-
теры. Локальные учетные записи пользователей можно создать с помощью
утилиты Локальные пользователи и группы.

Создание пользователя в Центре администрирования Active Directory и
оснастке Active Directory - пользователи и компьютеры равносильно. В
результате использования этих оснасток будет создан объект пользователя.
Вы можете использовать то средство, которое вам больше нравится. Далее
будет рассмотрен процесс создания паролей в Центре администрирования
Active Directory.

1.	В дереве консоли Центра администрирования Active Directory пере-
йдите в контейнер, в который нужно поместить учетную запись пользо-
вателя (обычно это контейнер Users), а затем выберите команду Создать,
Пользователь (рис. 7.8). Откроется окно Создать Пользователь,
изображенное на рис. 7.9.

Рис. 7.8. Центр администрирования Active Directory. Пользователи
Создать Пользователь:

ШАЧИ~ Г ] ‘РАЗДЕЛЫ ▼ ]

♦ Учетная запись

Организация

Членство

Парачефы паролей

Профиль

Политика

Приемник команд

Учетная запись

Имя

Отчестве

Полное имя- ♦
8хсд пользователя {..

Вход пользователя {_ example

Пароль

Подтверждение пар

Создать в CM s Users ОС : examp>e IX

С Защита от случайного удаления

Срок д»йствия учетн Никогда
0 Конец

Параметры паооля:	j

• требовать см»ны пароля при следующем входе в си
О Другие параметры пароля

Для интерактивного входа требуется смарт карта

Срок действия пароля не ограничен

Эвлретитъ смену пароля пользователем

Параметры оцифрования;	1

Другие параметры

Организация

Соображаемое имя.

Комната:

Эв почта1

Р₽А,гтпл»м»|*

а Дополнительные сведения

Должность:

Отдел'

Организация

Отмена

Рис. 7.9. Окно создания пользователя

2.	Введите имя, отчество и фамилию в предоставленные текстовые поля.
Эти текстовые поля используются для создания полного имени, которое
также является отображаемым именем

3.	При необходимости внесите изменения в поле Полное имя. Полное имя
должно быть уникальным в пределах домена, максимальная длина — 64
символа.

4.	В поле Вход пользователя (UPN) введите имя входа пользователя. Из
раскрывающегося списка выберите домен, с которым нужно связать учет-
ную запись Это действие установит полное имя входа.

5.	Первые 20 символов имени входа используются для заполнения поля
Вход пользователя (SAMAccountName). Это имя пользователя в старом
формате (для ОС, предшествовавших Windows 2000), оно должно быть
уникальным в пределах домена.

6.	Все другие текстовые поля в окне являются необязательными. Устано-
вите и подтвердите пароль пользователя (при желании). Дополнительно
установите флажок Защита от случайного удаления, чтобы отметить
учетную запись как защищенную в Active Directory. Защищенные учет-
ные записи могут бызь удалены, только если флаг защиты будет удален
перед попыткой удаления учетной записи.
7.	Если нужно, установите параметры пароля:

» Требовать смены пароля при следующем входе в систему — если
флажок установлен, пользователь должен изменить пароль сразу
после входа в систему;

» Запретить смену пароля пользователем — если флажок установлен,
пользователь не сможет изменить пароль;

» Срок действия пароля не ограничен — если флажок установлен,
время действия пароля для этой учетной записи никогда не истекает.
Эта установка переопределяет политику учетной записи домена. Не-
ограниченный срок действия пароля — плохая идея, поскольку она не
мотивирует пользователя изменять свой пароль.

8.	Нажмите кнопку ОК для создания учетной записи пользователя.

Для создания локальной учетной записи пользователя можно использовать
утилиту Локальные пользователи и группы:

1.	В диспетчере серверов выберите команду Средства, а затем Управление
компьютером. Либо можно нажат ь комбинацию клавиш <Windows>-<X>
и выбрать из появившегося меню команду Управление компьютером.

2.	Щелкните правой кнопкой мыши на записи Управление компьютером
в дереве консоли и выберите команду Подключиться к другому
компьютеру. Теперь можно выбрать систему, локальными записями ко-
торой нужно управлять. У контроллеров домена нет локальных поль-
зователей и групп.

3.	В узле Служебные программы выберите узел Локальные пользовате-
ли и группы.

4.	Щелкните правой кнопкой мыши на узле Пользователи, а затем выбе-
рите команду Новый пользователь. Откроется одноименное диалоговое
окно (рис. 7.10). Заполните поля.

5.	Нажмите кнопку Создать.
Нозый пользователь	? X

Пользователь

Полное иля

Списание

Пароль.

Подтверждение

0 Требовать смены пароля при следующем входе в систему
Запретить смену пароля пользователем
Срок действия пароля не ограничен

Q Отключить учетную запись

Справка j	Создать j Закрыть

Рис. 7.10. Создание локального пользователя

7.10.	Создание учетной записи группы

Учетные записи групп применяются для управления привилегиями сразу
для многих пользователей. Создать глобальные учетные записи групп мож-
но в Центре администрирования Active Directory или оснастке Active
Directory - пользователи и компьютеры. Лекальные учетные записи групп
создаются в утилите Локальные пользователи и группы.

Если вы собираетесь создавать учетные записи группы, помните, что учет-
ные записи групп обычно создаются для подобных типов пользователей.
Следующие типы групп, возможно, придется создать:

•	Группы для подразделений в пределах организации — в большинстве
случаев пользователи, которые работают в одном отделе (подразделении),
нуждаются в доступе к одним и тем же ресурсам Часто нужно создавать
группы, организованные по подразделению, например Руководство, Про-
дажи, IT и т. д.

•	Группы для определенных приложений — пользователи часто нужда-
ются в доступе к приложению и ресурсам, относящимся к приложению.
Если создать группу для приложения, можно быть уверены в том, что у
пользователей есть соответствующий доступ к необходимым ресурсам и
файлам приложения.

lZEj
•	Группы для ролей в пределах организации — также можно организо-
вать группы по ролям пользователей в пределах организации. Например,
руководители нуждаются в доступе к одним ресурсам, а супервизоры и
обычные пользователи — к другим. Создавая группы на основе ролей в
организации, можно убедиться, что вы предоставляете пользователям
доступ, в котором они нуждаются.

Для создания глобальной группы нужно выполнить действия:

1.	В Active Directory - пользователи и компьютеры: шелкниге правой
кнопкой мыши по контейнеру, в который нужно поместить группу, затем
выберите команду Создать, Группа. 01 кроется окно Новый объект -
Группа (рис. 7.! 1).

2.	В консоли Центра администрирования Active Directory: щелкните пра-
ной кнопкой мыши по контейнеру, в который нужно поместить группу.
Выберите команду Создать на панели контейнера, а затем команду Груп-
па. Откроется окно Создать Группа.

Новый объект - Группа

X

Создать в: «xample.com/Users

Имя группы:

Ина группы (пред-Windows 2000):

I..'..~....~~.......

Область действия группы	Тип группы

О Докальная в домене	Группа ^еэопасмости

(§) Глобальная	О Группа распространения

О универсальная

' Отмена J

Рис. 7.11. CoidaHue глобальной группы

В большинстве случаев нужно только ввести название группы и нажать
кнопку ОК.
7.11.	Управление членством в i руине

Несколько замечаний относительно членства в группе:

•	Все новые пользсватели домена являются членами группы Пользовате-
ли домена, их основная группа указывается как Пользователи домена:

•	Все новые рабочие станции домена и рядовые серверы являются членами
группы Компьютеры домена, их основная группа — Компьютеры
домена;

•	Все новые контроллеры домена становятся членами группы Контролле-
ры домена, их основная группа — Контроллеры домена.

Управлять членством в группе можно несколькими способами:

•	Включать в группу одну учетную запись;

•	Включать в группу сразу несколько учетных записей;

•	Установить основную группу для отдельных пользователей и компьюте-
ров.

Добавить или удалить учетную запись любого типа можно так:

1.	Дважды щелкните на пользователе, компьютере или группе в оснастке
Active Directory - пользователи и компьютеры или в Центре адми-
нистрирования Active Directory. Откроется окно Свойства учетной за-
писи.

2	На вкладке или панели Член групп выбраны группы, членом которых
является выбранная учетная запись. Нажмите кнопку Добавить, что-
бы сделать учетную запись членом дополнительной группы. Откроется
окно Выбор: «Группа». Теперь можно выбрать группы, членом которых
должна стать учетная запись.

3.	Для удаления учетной записи из группы выберите . руппу и затем нажми-
те кнопку Удалить.

4.	Нажмите кнопку ОК.
Свойства: test

Входящие звонки Объект Безопасность Среда
Сеансы	Удаленное управление

Профиль Служб удаленных рабочих столов	СОМ* Редактор атрибутов

Общие Адрес Учетная запись Профиль Телефоны Организация
Опубликованные сертификаты Член групп Репликация паролей

Отмена

Рис. 7.12. Изменение группы пользователя

На рис. 7.12 пользователь test помещен в две группы - Пользователи доме-
на и Пользователи удаленного рабочею стола. Членство в первой группе
дает возможность пользователю входить в домен и пользоваться всеми пре-
доставляемыми ресурсами домена Членство во второй группе позволяет ис-
пользовать удаленный рабочий стол (RDP) для удаленного входа на сервер.

В этой главе мы рассмотрели основные аспекты управления учетными за-
писями пользователя и группы.
Глава 8.

Управление сетью

TCP/IP
Данная глава посвящена настройке се ги и некоторых сетевых служб. Начнем
с настройки обычной ТСР/1Р-сети.

8.1.	Включение сетевого обнаружения

В Windows Server 2019 имеется расширенный набор сетевых утилит:

•	Обозреватель сети — предоставляет собой основное средство просмо-
тра компьютеров и устройств сети;

•	Центр управления сетями и общим доступом — основная консоль для
просмотра и управления конфигурацией сети и общего доступа;

•	Диагностика сети — предоставляет средство автоматической диагно-
стики для обнаружения и решения сетевых проблем.

Данные утилиты основаны на следующих компонентах:

•	Сетевое обнаружение — компонент, управляющий способностью ви-
деть другие компьютеры и устройства;

•	Служба сетевого расположения — компонент, уведомляющий об изме-
нениях в подключениях узлов и конфигурации сети.
Параметры сетевого обнаружения используемого компьютера определяют,
какие компьютеры и устройства будут доступны в сетевых инструментах
Windows Server.

Параметры обнаружения работают в сочетании с брандмауэром Windows и
способны блокировать или разрешать следующие действия:

•	Обнаружение сетевых компьютеров и устройств;

•	Обнаружение компьютера другими системами.

Параметры сетевого обнаружения должны обеспечить надлежащий уровень
безопасности для каждой из категорий сетей, к которым подключен компью-
тер.

Существует три категории сетей:

1.	Доменная сеть — сеть, в которой компьютеры подключены к домену
предприятия.

2.	Частная сеть — сеть, компьютеры которой являются членами рабочей
группы и лишены прямого выхода в Интернет.

3.	Публичная сеть - сеть в общественном месте, например в кафе или
аэропорту.

Поскольку компьютер храпит настройки отдельно для каждой категории
сети, различные настройки блокирования и разрешения могут использо-
ваться для каждой категории. При первом подключении сетевого адаптера
компьютера к сети Windows устанавливает категорию сети на основании
конфи! урации компьютера. Основываясь на категории сети, ОС Windows
Server автоматически настраивает параметры, которые могут включать или
выключать обнаружение.

Если режим обнаружения включен, то:

Компьютер может обнаруживать другие компьютеры и устройства в сети;
Другие компьютеры и устройства в сети могут обнаруживать этот
компьютер.
Когда обнаружение выключено, то:

•	Компьютер не способен обнаруживать другие компьютеры и устройства
в сети;

•	Другие компьютеры и устройства в сети нс могут обнаруживать этот
компьютер.

Обычно сетевой адаптер устанавливается как публичный, прежде чем
компьютер будет подключен к домену. Обозреватель сети отображает спи-
сок обнаруженных компьютеров и устройств в сети. Для доступа к обозре-
вателю сети запустите Проводник. В окне Проводника выберите Сеть на
панели слева. Однако далеко не всегда в обозревателе вы увидите список
компьютеров. В Windows Server 2016/2019 еще нужно постараться, чтобы на
сервере увидеть содержимое сети.

Первым делом нужно убедиться, что сетевое обнаружение включено в
Центре управления сетями и общим доступом для доменной сеги (рис.
8.1).

•| Дополнительные параметры общего доступе	-	□ X

« Центр упре„ > Дополнительные параметры общего доступе vO Поиа в панели управления Р

1

Изменение параметров общего доступа для различных сетевых профилей

Windows создает отдельный сетевой профиль для каждой ислолмуемой сети Для каждого профиля
вы можете выбрать особые параметры.

Частная	- .....

Гостевая или общедоступная	—..............-	••• (у)

Доменный (текущий профиль)

Сетевое обнаружение

Если включено сетевое обнаружение, этот компьютер может видеть другие компьютеры и
устройства в сети и виден другим компьютерам.

ф Включить сетевое обнаружение

0 Отключить сетевое обнаружение

Общий доступ к файлам и принтерам

Если общий доступ к файлам и принтерам включен, то файлы и принтеры, к которым
ре jрешен общий доступ на этом компьютере, будут доступны другим пользователям а сети,

Ф включить общий доступ к файлам и принтерам
О Отключить общий доступ к файлам и принтерам

йге п»ти

Рис. 8.1. Включение сетевого обнаружения

После включения сетевого обнаружения еще раз просмотрите Дополни-
тельные параметры общего доступа и убедитесь, что параметр включен.
Дело в том. что если отключены некоторые службы, необходимые для сете-
вого обнаружения, этот параметр окажется выключенным даже после вклю-
чения.

Если у вас так и оказалось, убедитесь, что запущены следующие службы
(тип запуска для этих служб нужно установить - Автоматически):

•	Function Discovery Provider Host — fdPHost (Хост поставщика функции
обнаружения) - отвечает за обнаружение в сети других компьютеров;

•	Function Discovery Resource Publication — FDResPub (Публикация ресур-
сов обнаружения функции) - отвечает за то, чтобы другие компьютеры
могли обнаружить в сети ваш компьютер;

•	DNS Client — dnscache (DNS-клиент);

•	SSDP Discovery — SSDPSrv (Обнаружение SSDP);

•	UPnP Device Host — upnphost (Узел универсальных PNP-устройств).

Далее убедитесь, что вы подключены именно к доменной сети. Если вы из-
менили параметры общего доступа для доменной сети, а сами подключены,
например, к частной сети, у вас ничего не выйдет. Тип сети выводится в об-
ласти Просмотр активных сетей. На рис. 8.2 показано, что вы подключены
к доменной сети.

У? Центр управления сетями и общим доступом

V ф if! < Сеть и Инт_

Центр управления сетями и общим доступом

v (j Поиске панели управления

Панель управления —
домашняя страница

Изменение параметров
адаптера

Изменить дополнительные
параметры общего доступа

Просмотр основных сведений о сети и настройка подключений

Просмотр активных сетей

exampte.com

Доменная сеть

Тип доступа:

Подключения:

Интернет

•V t thereto

Изменение сетевых параметров

Настройка широкополосного, коммутируемого или VPN-подключения либо настройка
маршрутизатора или точки доступа.

Г *•* Устранение неполадок

Диагностика и исправление проблем с сетью или получение сведений об устранении
неполадок.

брандмауэр Защитника

Wmdows

Свойства браузера

Рис. 8.2. Просмотр активного сетевого профиля
После включения упомянутых служб вы сможете включить параметр Вклю-
чить сетевое обнаружение - он больше не будет сбрасываться. Чтобы все
заработало как следует, перезагрузите компьютер.

Чтобы включить сетевое обнаружение с помощью групповой политики, вы-
полните следующие действия:

1.	Запустите оснастку Управление групповой политикой (gpmc.msc).

2.	Щелкните праной кнопкой мыши на GPO для контроллеров домена или
даже для всех компьютеров домена, выберите команду Измени! ь.

3.	Перейдите в Конфигурация компьютера, Политики, Административ-
ные шаблоны, Сеть, Обнаружение топологии связи (Link-Layer) и
включите обе политики, как показано на рис. 8.3.

J Редактор у^оазления групповыми политикам*	- О X

файл Действие £ид Справка
0* < ЙИЛ

• Се*ь	* । Состояние	Состояние Комментарий

BranchCache	|£ Бключвет драйвер отображения ввода/выво- бклкчена	Нет

Службы одноранговых сетей Майкрос ij Я Включить драйвер <Oreen«a»{RSWO«)	Включена	Не:

« ONS-клиент

SNMP	й

Windows Connect Now

Автономные файлы

Беспроводной дисплей

Диспетчер подключений Windows
Индикатор состояния сетевого оодклт ;
Обнаружение тсжикижи оям (Unk-l
Параметоы ТС₽ДЭ

Парэме-ры взаимодействия кяиенто Г

 Параметры конфигурации SSL

• /й Планировщик пахетов QoS
. Поставщик сети

Проверка подлинности для территор.,
£ Рабочая станция Lanman

< 3 Сервер Unman
Й Сетевая изоляция
' « Сетевые подключения
. ‘ Служба MAN
- It Служб» WWAN

Фоновая интеллектуальная служба пе> !

;	j. шрифт»

> $1 Система
ч Все параметры
г- (й Настройка	v п

< XI*’"'5\ Расширенный/. Стандартный /

2 параметров

Рис. 8.3. Редактирование групповой политики

4. Закройте редактор групповой политики, откройте консоль и введите ко-
манду gpupdate /force (рис. 8.4).
Рис. 8.4. Применение групповой политики

8.2. Нас i ройка сети 1 CP/IP

Подключение по локальной сети создается автоматически, если в компью-
тере есть сетевой адаптер и он подключен к сети. Если на компьютере уста-
новлено несколько сетевых адаптеров, у каждого из них будет собственное
подключение к локальной сети. Если доступных сетевых подключений не
существует, следует подключить компьютер к сети или создать подключение
другого типа.

Для работы по протоколу TCP/IP компьютеру необходим 1Р-адрес.

В Windows Server существует несколько способов настройки 1Р-адреса;

•	Вручную. IP-адреса, назначаемые вручную, называются статическими
IP-адресами. Такие фиксированные адреса не изменяются, пека админи-
стратор не изменит их. Как правило, статические IP-адреса назначаются
серверам Windows. При этом следует настроить также ряд дополнитель-
ных параметров, чтобы помочь серверу «освоиться» в сети.

•	Динамически. Динамические IP-адреса назначаются во время запуска
компьютера DHCP-сервером (если он установлен в сети). Время от вре-
мени такие адреса могут изменяться. По умолчанию все IP-адреса
компьютера считаются динамическими.
•	Альтернативный адрес (только для IPv4). Когда компьютер настроен на
использование DHCPv4, но в сети нет доступного DHCPv4-cepeepa, ОС
Windows Server автоматически назначает компьютеру частный альтерна-
тивный IP- адрес. По умолчанию альтернативный адрес IPv4 назначается
из диапазона 169.254.0 1—169.254.255.254 с маской подсети 255.255.0.0.
Также можно назначить пользовательский альтернативный 1Ру4-адрес,
что особенно полезно на ноутбуке.

При назначении статическою IP-адреса кроме самого IP-адреса нужно
указать маску подсети, а также, при необходимости, шлюз по умолчанию
для межсетевою взаимодействия. 1Р-адрес — это числовой идентификатор
компьютера. Схемы IP-адресации различаются в зависимости от настройки
сети, но в большинстве случаев они назначаются на основе конкретных се-
тевых сегментов.

Адреса IPv6 сильно отличаются от адресов IPv4.

В IPv6-a.ipecax первые 64 бита представляют идентификатор сети, а остав-
шиеся 64 бита — сетевой интерфейс. В IPv4-aapecax переменное число пер-
вых бигов ибозначаег идентификатор сети, а остальные биты — идентифи-
катор хоста. Допустим, используется протокол IPv4 и компьютер в сегменте
сети 10.0.10.0 с маской подсети 255.255.255.0. Первые три группы битов
обозначают сетевой идентификатор, а доступные для хостов адреса находят-
ся в диапазоне от 10.0.10.1 до 10.0.10.254. Адрес 10.0.10.255 зарезервирован
для широковещательной передачи.

Если компьютер находится в частной сети, не имеющей прямого выхода в
Интернет, следует использовать частные 1Ру4-адреса, приведенные в табл.
8.1.

Таблица 8.1. Частные адреса IPv4

Идентификатор частной сети	Маска сети	Диапазон сетевых адресов
10.0.0.0	255.0.0.0	10.0.0.0-10.255.255.255
172.16.0.0	255.240.0.0	172.16.0.0-172.31.255.255
192.168.0.0	255.255.0.0	192.168.0.0-192.168.255.255

Каждый установленный сетевой адаптер может быть подключен к одной ло-
кальной сети. Подключения создаются автоматически.
Для настройки IP-адреса конкретного подключения выполните следующие
действия:

1.	В Центре управления сетями и общим доступом щелкните по ссылке
Изменение параметров адаптера. На странице Сетевые подключения
щелкните правой кнопкой мыши по соединению, с которым необходимо
работать, выберите команду Свойства.

2.	Дважды щелкните на протоколе TCP/IPv6 или TCP/lPv4 в зависимости от
того, какой тип IP-адреса нужно настроить.

3.	Выберите переключатель Использовать следующий IP-адрес и запол-
ните, соответственно, !Р-адрес, маску подсети Если компьютеру необхо-
дим выход в другие TCP/IP-сети, в Интернет или другие подсети, укажи-
те IP-адрес шлюза по умолчанию в поле Основной шлюз.

4.	Доменная система имен (DNS) необходима для разрешения доменных
имен. Введите адреса предпочитаемого и альтернативного DNS-серверов
в предоставленные поля. Обычно на контроллере домена развернут соб-
ственный DNS-сервер, поэтому его адрес будет 127.0.0.1.

5.	Когда закончите, нажмите кнопку ОК дважды. Повторите этот процесс
для других сетевых адаптеров и IP-протоколов, которые необходимо
настроить.

вне
В окне свойств протокола IP можно также установить и альтернативный IP-
адрес — на вкладке Альтернативная конфигурация (рис. 8.6).

Свойства: JP версии 4 (TCP/lPv4)	X

Общие Альтернативная конфигурация

Если этот компьютер используется в нескольких сетях, введите
параметры альтернативной конфигурации протокола IP

(^Автоматический частный 1Р-адрес

(^Настраиваемой пользователей

IP-адрес:

Мз£ка подсети:	,	.	;

Основной шлюз:	i .	«	. i

Предпочитаемый DNS-cepeep:

Альтернативный DNS-сервер:

Предпочитаемый WINS-сервер:

Альтернативный WINS-сервер:	.	j

Q Выполнить проверку правильности параметров при выхс

ОК	Отмена

Рис. 8.6. Альтернативная конфигурация

S3. Настройка нескольких шлюзов

Для обеспечения отказоустойчивости в случае отказа маршрутизатора мож-
но настроить компьютеры на базе Windows Server так, что они будут исполь-
зовать несколько основных шлюзов. При назначении нескольких шлюзов
Windows Server использует метрику шлюза для определения, какой шлюз
задействовать и в какое время. Метрика шлюза характеризует затраты на
маршрутизацию для данного шлюза. Первым используется шлюз с наимень-
шей метрикой. Если компьютер не может установить связь с этим шлюзом,
W'indows Server пытается использовать шлюз, следующий по возрастанию
метрики.

Выбор лучшего способа настройки нескольких шлюзов зависит от конфи-
гурации сети. Если компьютеры в вашей организации настраиваются при
помощи DHCP, вероятно, лучше задавать дополнительные шлюзы через па-
раметры на DHCP-сервере. Если же компьютеры используют статические
IP-адреса или нужно задавать IP-адреса шлюзов самостоятельно, выполните
следующие действия:
1.	В Центре управления сетями и общим доступом щелкните по ссылке Из-
менение параметров адаптера. На странице Сетевые подключении
щелкните правой кнопкой мыши по необходимому соединению, выбери-
те команду Свойства.

2.	Дважды щелкните на TCP/IPv6 или TCP/IPv4 в зависимости от типа
настраиваемого IP-адреса.

3.	Нажмите кнопку Дополнительно, чтобы открыть окно Дополнитель-
ные параметры TCP/IP, показанное на рис. 8.7.

4	Панель Основные шлюзы показывает шлюзы, которые были настроены
вручную (если таковые имеются). При необходимости введите адреса до -
полнительных шлюзов.

5.	Когда будете готовы, нажмите кнопку ОК.

Дополнительные параметры TCP/IP	X

Параметры IP 0NS WINS

IP-ддреса

IP-адрес	Маска подсети

ОНСР включен

2сновные шлюзы:

Шлюз	Метрика

192.168.0.1	Автоматический

I Добавить... | Изменить Удадить

р] Автоматическое назначение метрики

Рис. 8.7. Настройка нескольких шлюзов

8.4.	Сброс сеги

Если что-то пошло не так и после внесения определенных изменений сеть
не работает, попробуйте выполнить сброс сети. Для этого откройте окно Па-
раметры, перейдите в раздел Сеть и Интернет (рис. 8.8) и выберите коман-
ду Сброс сети.
Параметры

(л) Главная

Состояние

Найти параметр

Показать дрс т}

Сеть и Интернет

£$ Состояние

V Ethernet

*? Набор номера

•Р VPN

@ Прокси-сервер

Изменение сетевых параметров

Настройка параметров адаптера

Пртхм'ир сейбы*	и лмтоекне параметров

подключения.

£L Параметры общего доступа

Определите, к каким данным ем хотите предоставить доступ для
сетей, с которыми устанстьяснр соединение

А Средство устранения сетевых неполадок

Диагностика и устранение прением с сетые

Просмотр свойств сети

Брандмауэр Windows

Центр управления сетями и общим доступом

Рис. 8.8. Сброс сети

Сброс сети нужно выполнять только в самом крайнем случае, когда вы не
понимаете, почему сеть не работает. Попытайтесь разобраться и понять, что
пошло не так — иначе вы потеряете все сделанные ранее настройки.

8.5.	О включение брандмауэра

Часто бывает, что тот или иной компонент работает неправильно из-за
настроек брандмауэра. Проверить, так ли это, достаточно просто. 3
окне Сеть и Интернет выберите команду Брандмауэр Windows (рис.
8.9).

Далее выберите доменный профиль и отключите брандмауэр, как показа-
но на рис. 8.10. Если ваш сетевой компонент заработал, значит, проблема в
брандмауэре и нужно выполнить его настройку. Если же нет, значит, причи-
на в чем-то еще - не забудьте включить брандмауэр, поскольку без него ваше
устройство является уязвимым.
Беюпасноеть Windows

<Г

(й Кабинет

О Защита от вирусов и угроз

М Брандмауэр и безопасность сети

В Управление приложениями/браузером

£2. Безопасность устройства

Брандмауэр и безопасность

© Параметры

сети

Кто и что может получить доступ к вашим сетям.

в. Сеть домена (активный)

Брандмауэр включен.

Частная сеть

Брандмауэр включен.

£3 Общедоступная сеть.

Брандмауэр включен.

Разрешить эмботу с приложением черт*) брандмауэр
Средство устранения кеголлвсж лоделкет-чию « сечи и
Интернету

Видео сообщества Windows

Уэнагь сюлыие о брандмауэре и
сетевой защите

Кто защищает меня?

Управление поставщиками

Изменение свои параметры
конфиденциальности

Просмотрите и измените
параметры конфиденциальности
устройства под управлением
Windows 10.

t 1араметры конфиденциальности

Панель мон»сгори»тгл
кс»н>идечциалы<(х;ти

Заявление с конфидищилльчости

Рис. 8.9. Управление брандмауэром

Безопасность Windows

<-

(й Кабинет

О Защита от вирусов и угроз

М Брандмауэр и безопасность сети

ЁЗ Управление лриложениями/браузером

Q Безопасность устройства

Рабочие сети, которые присоединены к домену.

Активные доменные сети

IP examplexom

Брандмауэр Защитника Windows

Помогает защитить устройство при подключении к
доменной сети

Изменение свои параметры
конфиденциальности

Просмотрите и измените
параметры конфиденциальности
устройства под управлением
Windows 10.

(!араметры конфиденциальности

Панете, мониторинга
кпкфидениивлыхх ти

Заявление о к'мч^а'-ншоальнсхти

0 Межсетевой экран домена выключен. Ваше
устройство может оказаться чувствительным

(♦ J Откл.

@ Параметры

Входящие подключения

Запрещает входящие подключения при работе в
доменной сети

| 1 Блокирует все входящие подключения, в том числе
для приложений, указанных в списке разрешенных
программ

Рис. 8.10. Брандмауэр отключен

Обратите внимание на рис. 8.10. Внизу страницы есть параметр, позволяю-
щий блокировать все входящие подключения. Он полезен, если на сервер ве-
дется атака и вам нужно временно блокировать все входящие подключения.
Для настройки брандмауэра выберите команду Дополнительные настрой-
ки (она находится внизу страницы, поэтому не видна на рис 8.9). После это-
го вы увидите привычное и знакомое окно настройки брандмауэра. Впервые
оно появилось в Windows 7, и за эти годы не то что администраторы, но и
обычные пользоват ели успели с ним познакомиться.

л Монитор брандмауэра Защитника Windows а режиме повышенной безопасности

□

X

Файл Действие Дид Справка

Г В и:

# Монитор брандмауэра

<3 Правила для exoAPuij
КЗ Правила для исходят
Н» Правила безопасно^

• *- Наблюдение

Действия

Вид

Обновить

Восстановить политику -
Диагностика / восстано...

Свойства

Й Справка

Импортировать полити...

Экспорт политики,..

Рис. 8.11. Окно настройки брандмауэра

Вкратце настройка брандмауэра осуществляется так:

•	На панели слева есть возможность выбора правил для входящих и исхо-
дящих соединений. Выберите один из типов правил (рис. 8.12). Вы уви-
дите список правил. Включенные (активные) правила помечены зеленой
галкой слева от названия правила.

•	Правило можно включить и выключить. Это очень удобно: вы можете от-
ключить правило, если оно вам временно не нужно, а не удалять его. Для
включения/выключения правила дважды щелкните на нем. Откроется
окно параметров правила (рис. 8.13). В нем вы увидите флажок Включе-
но - выключите его, если правило необходимо отключить.
Монитор брандмауэра Защитника Windows в режиме повышенной безопасности

□

файл Действие £ид ^правка

# Монитор брандмауэра I
КЗ Правила для входя ш
S3 Правила для исходя^
Ч Правила безопасное

> Ш Наблюдение

Прениле для нходхщих подключений

Действии

Имя

Обнаружение кэширующих уз
Получение содержимого Втал..

Сервер размещенного кэша Эг _
® HP-сервер (входящий трафик

Групп»

ВгапсйСасйе • обнар,.

BranchCacfie - получе

BranchCache сервер .

сТР-сер«ер

S Безопасный ПР-сервер (входя- FTP-cepaep

в Пассивный FTP-сервер (пасек -
втОНБ (UDP-In)

•в» mDNS (UDP-H)

9 mDNS (UDP-In)

Secure Socket Tunneling Protoco..

& Архивация данных Windows (IL.

FTP-сервер
mDNS
mDNS
mDNS

Secure Soctoet Tunneli..

Архивация Windows

Профиль

Все

Все

Все

Все

Все

Все

Включе A

Her

Her

Нет

Да
Да

Да

Создать правило-

Фильтровать по профмл... ►

Фильтровать по сопояи.. ►

Фильтровать по группе

Вид

«» Архивация данных Windows (R_. Архивация Windows

й Беспроводной дисплей (входя-
Обратный канал инфраструктур

в Ваша учетная запись

в Ваша учетная запись

Удаленный рабочий стол — (Т-

Удаленмый рабочий стол — (Т-
в Веб-службы Active Directory П_
9 веб-средство просмотра класс..
& Веб-средство просмотра класс.

Удаленный рабочий стол — п_
Удаленный рабочий с гол —п...

Беспроводной лиспа
Беспроводной диспл
Ваша учетная запись
ваша учетная запись
Веб-доступ к удален,
веб-доступ к удален-
ие 6-службы Active Di,.,
веб-средство проем...
Веб-средство проем _
Дистанционное упра
Дистанционное упрв

Домен

Общий

Все
Все
Все
Все

Домен, ч _
Домен, Ч.
Все

Все
Все
Все
Все

Все
Все

Да
Да
нет
Да
Да
Да

Да
Да

Ла
Нет
Нет

Да
Да

Да
Нет
Нет

Обновить

Экспортировать список..

Справка

Ь

Рис. 8.12. Правила для входящих подключений

Свойства: mDNS (UDP-tnj

X

Область

Опщие

Дополнительно

Программы и службы

Локальны» субъекты

Удаленные компьютеры

Удаленные пользователи

Протоколы и порты

ф Это лредолределенно» правило и некоторые его
свойстве нельзя изменить

Общие

jp Имя_______	_____________________________

Описание

I Правило входящих подключений для трафика mDNS (UDPJ

0 Цклюмено

Действие

разрешить подключение

О Разрешить только безопасное подключение

О Блокировать подключение

Г «

Отмана

Рис. 8.13. Свойства правила

Для создания правила используется кнопка Создать правило. Она на-
ходится на панели справа в списке правил. При создании правила нуж-
но выбрать его тип - для программы (ограничение работ ы определенной
программы.), для порта (ограничение использования определенного пор-

ВЯ®1
та) и некоторые другие. Первые два типа правил (рис. 8.14) используются
чаще всего. Первый позволяет блокировагь/разблокировать протрамму
по ее названию. Для этого не нужно знать, какие сетевые порты исполь-
зует программа, и удобно, если программа может использовать несколько
сетевых портов. Второй тип правила подойдет, если в списке программ
нет нужной вам программы Вам нужно знать, какие порты использует
программа. Далее вы указываете эти порты при создании правила Для
порта (рис. 8.15). Вы можете перечислить порты через запятую или ука-
зать диапазон портов, например 1010-1020 После этого нужно выбрать,
что сделать: разрешить сетевую активность или запретить (рис. 8.16).

< MKTf р ПШН1» лрнклк ЛМ ИОКГ0	I	X

Протокол и порти

ЛрОТОООЛМ • not’d « КОТОрхХ 1ЦЖН0*н»Т« мимм помяло

Мам

ДОГМА К «ОТДОНу (ДО Т ПрМИ«М1ТЫ« »’в лрмия*

	ПютММидоти	ft) Орфтохм тс*

•	О Поотомю ио*

« Прооим

«	1*«	У"»»ИП ПМТМ«<*Т«НИ ОДОТ ЛЦнчиГО (ЧДОМ"»

О В* яоааммм м*ты
f1Одояммдомидонмдом	IWiMtlWtO» ' 'I

*» &Т, Омч»

Рис. 8.15. Указываем порты


# Мэсер сощиио лрмил*длд нового молящего поАллвиенид

Действие

Укажите действие выполняемое при <

lyenoaww

1В дотом правиле

Швог

* Типпровилв

и 'Тротоколипорти

Действие

* ТрофиД.

Утилите рейс we, которое должно внполижтх* когяе помлючеиие ужалетаореет

«евопосяости пооялюметкЛ

<На»ад I Лдлу>] Отмена

X

Рис. 8.16. Действие правила

В настройках правил брандмауэра нет ничего сложного. Если что-то пойдет
не так, всегда можно отключить правило или даже весь брандмауэр. Осто-
рожность нужно соблюдать только при удаленной настройке правил бранд-
мауэра (например, по протоколу RDP) - чтобы не закрыть доступ самому
себе, иначе вам придется получать физический доступ к серверу для его
настройки, а это не всегда удобно.

Глава 9.

Сервисы DNS и DHCP
Сервисы DNS и DHCP являются ключевыми для любой сети на базе Active
Directory. Без сервиса DNS невозможна работа Active Directory, а сервис
DHCP отвечает на назначение динамических IP-адресов узлам сети. В прин-
ципе, без DHCP на сервере можно обойтись - использовать встроенный
DHCP-сервер роутера, но такую блажь могут себе позволить лишь неболь-
шие организации. В крупных организациях, как правило, разворачивают
несколько DHCP-серверов для балансировки нафузки, а встроенные аппа-
ратные серверы - отключают. В результате можно не только балансировать
нагрузку, но и централизованно управлять DHCP, что невозможно при ис-
пользовании DHCP на роутере.

9.1.	Сервис DNS

9.1.1.	Интеграция с Active Directory

Домены Active Directory используют DNS для реализации своей струк-
туры имен и иерархии. Служба каталогов Active Directory и DNS
настолько тесно взаимосвязаны, что перед установкой доменных
служб Active Directory (AD DS) необходимо установить DNS в сети.
При установке первого контроллера домена в сети есть возможность автома-
тически установить DNS, если DNS-серьср не найден. Также можно указать,
должны ли DNS и Active Directory полностью интегрироваться. В большин-
стве случаев на оба вопроса следует дать утвердительный ответ. При полной
интеграции информация DNS хранится в Active Directory, что позволяет вос-
пользоваться всеми преимуществами Active Directory.

Важно понимать различия между частичной и полной интеграцией.

•	Частичная интеграция. При частичной интеграции для хранения ин-
формации DNS используется стандартное хранилище. Информация DNS
хранится в текстовых файлах с расширением dns в заданной по умолча-
нию папке %SystemRoot%'System32\Dns. Обновления DNS проводятся
через единственный полномочный DNS-сервер. Этот сервер задан как
основной DNS-сервер конкретного домена или области внутри домена,
которая называется зоной (zone). Клиенты, использующие динамическое
обновление DNS через DHCP, должны быть настроены на работу с ос-
новным DNS-сервером зоны. В противном случае DNS-ин формация на
них обновляться не будет. Если в сети отсутствует основной DNS-сервер,
проводить динамические обновления через DHCP нельзя.

•	Полная интеграция. При полной интеграции информация DNS хранит-
ся з Active Directory, в контейнере dnsZone. Поскольку DNS-информация
— это часть Active Directory, любой контроллер домена может получить
доступ к данным, и динамические обновления через DHCP можно прово-
дить по модели с несколькими хозяевами. А это позволяет любому кон-
троллеру домена, на котором запущена служба DNS сервер, обрабаты-
вать динамические обновления. Клиенты, использующие динамические
обновления DNS через DHCP, могут работать с любым DNS-сервером
внутри зоны. Еше одно преимущество интеграции с каталогом заключа-
ется б возможности управлять доступом к DNS-информации при помощи
системы безопасности каталога.

В предыдущих версиях DNS-сервера для Windows Server перезапуск DNS-
сервера в больших организациях с большим числом зон, интегрированных
в AD DS, мог длиться часами. Это происходило потому, что данные зон
загружались не в фоновом режиме одновременно с запуском службы DNS.
В целях повышения эффективности DNS-серверсв в Windows Server 2012 и
более поздних версиях они существенно доработаны. Теперь перезагрузки
данных зон из AD DS осуществляют ся в фоновом режиме. Это гарантирует
способность DNS-ссрвера отвечать на запросы, в том числе и из других зон.

9.1.2.	Настройка разрешения имен на DNS-клиентах

Лучший способ наст роить разрешение имен на DNS-клиентах зависит от
конфигурации сети. Если компьютеры используют DHCP, возможно, лучше
настроить DNS через параметры на DHCP-сервере. Если компьютеры ис-
пользуют статические IP-адреса или необходимо указать отдельные параме-
тры DNS на отдельных системах, нужно настроить DNS вручную.

Настроить параметры DNS можно на вкладке DNS окна Дополнительные
параметры TCP/IP

Чтобы открыть это окно, выполните следующие действия:

1.	В Центре управления сетями и общим доступом щелкните по ссылке
Изменение параметров адаптера. В окне Сетевые подключения щел-
кните правой кнопкой мыши по нужному подключению и выберите ко
манду Свойства

2.	Дважды щелкните по протоколу, который хотите настроить — TCP/IPv6

или I CP/IPvd.

Свойства: 1Р версии 4 (TCP/IPv4)	X

Общие Альтернативная конфигурация

Параметры IP можно назначать автоматичесжи. если сеть
поддерживает эту возможность. В противном случае узнайте
параметры IP у сетевого администратора.

(g) Получить IP-адрес автоматически

С'Шспользовать следующий IF-адрес:

;Г *4ЕЧя-	I__- '-‘S '________I

Q Получить адрес ONS-сервера автоматически

ф Использовать следующие адреса DNS-серверов:

Предпочитаемый DNS-cepeep:	| 

Альтернативный DNS-cepeep:

□ Подтвердить параметры при выходе Дополнительно..

ОК [ отмена

Рис. 9.1. Свойства TCP/IPv4

3.	Если используете DHCP и нужно, чтобы адрес DNS-сервера был задан
по DHCP (рис. 9.1), установите переключатель Получить адрес DNS-
сервера автоматически. В противном случае установите переключатель
Использовать следу ющие адреса DNS-сервсров, а затем введите адреса
основного и дополнительного DNS-серверов в соответствующих полях.

4.	Нажмите кнопку Дополнительно, чтобы открыть диалоговое окно До-
полнительные параметры TCP/IP. Перейдите па вкладку DNS и
настройте необходимые параметры:

» Адреса DNS-серверов, в порядке использования — укажите IP-
адрес каждого DNS-сервера, который используется для разрешения
доменных имен Чтобы добавить IP-адрес сервера в список, нажми-
те кнопку Добавить. Нажмите кнопку Удалить, чтобы удалить адрес
выделенною сервера из списка. Чтобы изменить выделенную запись,
нажмите кнопку Изменить. Если указано несколько серверов DNS, их
приоритет определяется очередностью в списке. Если первый сервер
не может ответить на запрос о разрешении имени хоста, запрос по-
сылается на следующий DNS-сервер и т. д. Чтобы изменить позицию
сервера в списке, выделите его и воспользуйтесь кнопками со стрел-
ками вверх и вниз.

» Дописывать основной DNS-суффикс и суффикс подключения —
обычно по умолчанию этот переключатель установлен. Включите этот
параметр для разрешения неполных имен компьютеров в основном
домене. Допустим, происходит обращение к компьютеру server в ро-
дительском домене exarnple.com. Для разрешения имя компьютера бу-
дет автоматически дополнено суффиксом DNS — server.microsoft.com.
Если в основном домене компьютера с таким именем нет, запрос не
выполняется. Основной домен задается на вкладке Имя компьютера
диалогового окна Свойства системы.

» Добавлять родительские суффиксы основного DNS-суффикса —
по умолчанию этот переключатель установлен. Включите его для
разрешения неполных имен компьютеров в иерархии родительских/
дочерних доменов, В случае неудачного запроса в ближайшем роди-
тельском домене, для попытки разрешения запроса используется суф-
фикс родительского домена более высокого уровня Этот процесс про-
должается, пока не будет достигнута вершина иерархии доменов DNS.
Допустим, в запросе указано имя компьютера server в родительском
домене dev.example com. Сначала DNS пытается разрешить имя
компьютера server.dev.example.com, а потом, в случае неудачи, пыта-
ется разрешить имя server.example.com
» Дописывать следующие DNS-суффиксы (по порядку) — устано-
вите этот переключатель, чтобы задать использование особых DNS
суффиксов вместо имени родительскою домена. Нажмите кнопку До-
бавить, чтобы добавить суффикс домена в список. Нажмите кнопку
Удалить, чтобы удалить выделенный суффикс домена из списка. Для
редактирования выделенной записи нажмите кнопку Изменить. Раз-
решается указать несколько суффиксов домена Если первый суффикс
не позволяет разрешить имя, DNS применяет следующий суффикс из
списка. Если первый суффикс нс был разрешен, берется следующий
суффикс и т. д. Чтобы изменить очередность суффиксов домена, выбе-
рите нужный суффикс и измените его положение кнопками со стрел-
ками вверх и вниз

» DNS-суффикс подключения — в этом поле задастся DNS-суффикс
подключения, переопределяющий DNS-имена, уже настроенные на
использование с данным подключением. Обычно имя домена DNS
указывается на вкладке Имя компьютера диалогового окна Свой-
ства системы.

» Зарегистрировать адреса этою подключения в DNS — включите
этот параметр, если нужно зарегистрировать все IP-адреса для этою
соединения в DNS с FQDN-имеками компьютеров. Этот параметр
включен по умолчанию.

» Использовать DNS-суффикс подключения при регистрации в
DNS — установите этот флажок,
если нужно, чтобы все ]Р-адреса
для данного подключения реги-
стрировались в DNS родительско-
го домена.

Дополнительные параметры TCP/IP	X

параметры F dns wits

Адреса OHS-сермроа,  порядке испольаоеання:
[...................................................     м

1__________________________ , А

Следующие три параметра применяются для всем подключений,
нспольауюиап TCF/P. Для разрешении неизвестных имен:

Допжмаять роювмй Мв-с^фим: и суффикс подключения

(71 Добавлять родихальсхие суффиксы основного DNS-суффикса
О Дописывать следующие (Ив-суффиксы (по порядку):

Mrt-Суффы кс подключения:

03ервО»стриреветь «юеса того подключения о DM3
□ йслолмоветь OHS-суФфьяс подключения при регистрации • PNf

ОК | Ошене

Рис. 9.2. Дополнительные параметры TCP/IP
9.1.3.	Типы серверов

Любую систему Windows Server 2019 можно настроить как DNS-сервер.

Доступны четыре типа DNS-серверов:

1.	Основной сервер, интегрированный с Active Directory — DNS-сервер
полностью интегрированный с Active Directory Все данные DNS хранят-
ся непосредственно в Active Directory.

2.	Основной сервер — основной DNS-сервер домена с частичной инте-
грацией с Active Directory. В этом случае основная копия DNS-записей и
конфигурация домена хранятся в текстовых файлах с расширением dns.

3.	Вторичный (дополнительный) сервер — резервный DNS-сервер. Хра-
нит копию DNS-записей, полученную с основного сервера и передачи зон
для обновлений. Вторичный сервер при запуске получает всю необходи-
мую информацию с DNS-сервера,

4.	Сервер пересылки (forward-сервер) — сервер, кэширующий DNS-
информацию после lookup-запросов и всегда передающий запросы на
другие серверы. Сервер пересылки хранит DNS-информацию до обнов-
ления, до истечения срока действия или до перезапуска сервера. В отли-
чие от вторичных серверов forward-сервер не запрашивает полную копию
файлов базы данных зоны. Это означает, что при запуске сервера пере
сылки его база данных пуста

9.1.4.	Установка и базовая настройка DNS-сервера

Для установки DNS-сервера необходимо с помощью мастера добавления
ролей и компонентов добавить роль DNS-сервер. Если вы уже устанавли-
вали Active Directory, то данная роль должна быть установлена автомати-
чески.

После установки DNS-сервера можно использовать консоль Диспетчер
DNS для настройки и управления DNS-сервером. Для вызова консоли
Диспетчер DNS (рис. 9.3) выберите команду DNS из меню Средства в дис-
петчере серверов.
Д, Диспетчер DNS	—	□ X

файл Действие Дид Справка
й »! Е ESI I'sw

Д DNS	I] Название

 WIN-LGOGBEOUS 'I|_|W|N IGOGBECFFIS

Рис. 9.3. Диспетчер DNS

Если настраиваемый сервер не отображается в представлении дерева, нуж-
но подключиться к нему. Щелкните правой кнопкой мыши по узлу DNS в
представлении дерева и выберите команду Подключение к DNS-серверу.
Закись для DNS-сервера должна появиться в представлении дерева консоли
Диспетчер DNS. Щелкните правой кнопкой мыши на записи сервера и вы-
берите команду Настроить DNS-ссрвер. Будет запущен мастер настройки
DNS-сервера. Нажмите кнопку Далее.

На странице Выбор действии по настройке установите переключатель
Настроить только корневые ссылки, чтобы указать, что в этот раз вы хо-
тите создать только базовые структуры.

Мастер настройки DNS-сервера

Выбор действия по настройке

Вы можете выбрать типы зон просмотра, подходящие для размеров сети.
Опытные администраторы могут настроить корневые ссылки.

Выберите действие, которое необходимо выполнить:

Q Создать зону прямого просмотра (рекомендуется для небольших сетей)
Этот сервер является полномочным для DNS-имен локальных ресурсов, но
пересылает все остальные запросы поставщику услуг Интернета или другим
DHS-серверам. Мастер настроит корневые ссылки, но не создаст зону
обратного просмотра.

Q Создать зоны прямого и рбратнота просмотра '’рекомендуется для больших сетей)
Этот сервер может быть полномочным для зон пряного и обратного
просмотра. Он может быть настроен на рекурсивное разрешение имен,
пересылку запросов другим DNS-серверам или на обе функции. Мастер
настроит корневые ссылки.

(ф) Настроить только корневые ссылки (рекомендуется для опытных пользователей)}
Мастер настроит только корневые ссылки. Серверы пересылки, а также эоны
прямого и обратного просмотра вы можете настроить позже.
Нажмите кнопку Далее, а затем - кнопку Готово На этом базовая настройка

DNS-сервера завершена

9.1.5.	Создание основной зоны

После установки службы DNS-сервер на сервер можно сконфигурировав
основной сервер с помощью следующих действий:

]. Запустите консоль Диспетчер DNS. Если необходимый сервер не отобра-
жается, подключитесь к нему, как было описано ранее.

2.	Запись DNS-сервера должна быть выведена в дереве консоли Диспетчер
DNS. Щелкните правой кнопкой мыши на записи сервера и выберите ко-
манду Создать новую зону Будет запущен мастер создания новой зоны
Нажмите кнопку Далее.

3.	Можно выбрать тип зоны. Если основной сервер настраивается с инте-
грацией в Active Directory (на контроллере домена), выберите переключа-
тель Основная зона и убедитесь, что отмечен флажок Сохранять зону
в Active Directory (см. рис. 9.5). Если интеграция DNS с Active Directory
не нужна, выберите переключатель Основная зона и сбросьте флажок
Сохранять зону в Active Directory. Нажмите кнопку Далее

Мастер создания козой зоны

Тип зоны

DNS-сервер поддерживает различные типы зон и хранения информации.

Выберите тип зоны, которую, вы хотите создать:

(g) Основная зонд

Создание копии зоны, непосредственно обновляемой на данном сервере.

ОД°П°лнительная зона

Создание копим эоны, расположенной недругом сервере. Это позволяет
распределять нагрузку основных серверов и обеспечивает отказоустойчивость.

Q Зона-заглушка

Создание копии зоны, содержащей только записи сервера имен (NS), начальные
записи зоны (SOA) и, возможно, связанные записи узлов (тип А). Сервер,
содержащий зону-заглушку, не является полномочным для этой зоны.

р]^охранять зону в Active Directory (доступно только для DNS-сервера,
являющегося доступным для записи контроллером домена)

< Назад Далее >

Отмена

Рис. 9.5. Создание новой зоны
4.	Если зона интегрируется с Active Directory, выберите одну из стратегий
репликации (в противном случае пропустите этот шаг):

» Для всех DNS-серверов, работающих на контроллерах домена в
этом лесу — выберите эту стратегию для самой обширной реплика-
ции. Помните, что лес Active Directory содержит также все деревья
доменов, использующие данные каталога совместно с текущим доме-
ном.

» Для всех DNS-серверов, работающих на контроллерах домена в
этом домене выберите эту стратегию, если нужно реплицировать
DNS-информацию в пределах текущего домена.

» Для всех контроллеров домена в этом домене (для совместимости
с Windows 2000) — выберит е эту стратегию, если нужно реплициро-
вать DNS-информацию всем контроллерам домена в текущем домене,
что необходимо для совместимости с Windows 2000. Хотя эта страте-
гия обеспечивает более широкую репликацию DNS-информации вну-
три домена и обеспечивает совместимость с Windows 2000, не каждый
контролер домена является DNS-сервером (и не нужно настраивать
каждый контроллер домена как DNS-сервер).

Мастер создания новой зоны

Область репликации эоны, интегрированно* в Active Directory

Вы можете указать, каким образом следует реплицировать данные DNS в
вашей сети.

Укажите, каким образом вы хотите реплицировать информацию зоны:

0Для gcex DNS-серверов. работающих на контроллерах домена в этом лесу:
example.com

(§) [для всех DNS-серверов, работающих на" контроллерах домена в этом домене:
lexampto.com

Q Для всех контроллеров домена в этом доиеме (для совместимости с Windows
2000): example.com

Но все контроллеры домена, указанные в области данного раздела каталога:

< цвзад | Далее > Отмена

Рис. 9.6. Область репликации зоны

5.	Нажмите кнопку Далее. Выберите переключатель Зена прямого про-
смотра, а затем нажмите кнопку Далее (рис. 9.7).
Мастер создания новой зоны

Зона прямого ням обратного просмотра

Вы можете использовать зону для прямого или обратного просмотра.

Выберите тип зоны просмотра, которую вы хотите создать:

ф^Зонадрямого npooioTpaj

Зоне прямого просмотра преобразовывает DNS-имена в IP-адреса и
предоставляет информацию о доступных сетевых службах.

(2)3она обратного просмотра

Зона обратного просмотра преобразует IP-адреса в DNS-имена.

Отмена

Рис. 9.7. выбор типа юны

6.	Введите полное DNS-имя зоны. Имя зоны определяет, как сервер или
зона вписываются в доменную иерархию DNS. Например, если создает-
ся основной сервер для домена exampk.com (рис. 9.8), в качестве имени
зоны следует ввести example.com. Нажмите кнопку Далее.

Мастер создания новой зоны

Имя эоны

Каково имя новой зоны?

Имя зоны указывает часть пространства имен DNS, для которой сервер является
полномочным, Оно должно представлять доменное имя вашей организации
(например, micro9oft.com) или часть доменного имени (например,
newzone.mtcro9oft.com). Имя зоны не является именем DNS-сервера,

Имя зоны:

Pexample.com

< Назад | Далее» [ Отмана

згг?:
7.	Если настраивается основная зона, которая не интегрируется с Active
Directory, нужно указать имя файла зоны. Имя файла базы данных зоны
DNS по умолчанию должно быть уже введено. Оставьте это имя без из-
менений или введите новое. Нажмите кнопку Далее.

8	Укажите, будут ли разрешены динамические обновления

» Разрешить только безопасные динамические обновления —
когда зона интегрирована с Active Directory, можно использовать спи-
ски управления доступом для ограничения круга клиентов, которые
могут осуществлять динамические обновления, Когда включена эта
опция, только клиенты с авторизированным и учетными записями
компьютера и одобренными списками управления доступом могут ди-
намически обновлять свои записи ресурсов в DNS.

» Разрешить любые динамические обновления выберите эту
опцию, чтобы разрешить любому клиенту обновлять свои записи ре-
сурсов в DNS. Клиенты могут быть безопасными и небезопасными.

» Запретить динамические обновления — отключает динамические
обновления DNS. Нужно выбрать эту опцию, только если зона не ин-
тегрирована с Active Directory.

9.	Нажмите кнопку Далее. А затем нажмите кнопку Готово для заверше-
ния этого процесса. Новая зона будет добавлена на сервер, базовые DNS-
записи будут созданы автоматически.

Мастер создания новой зоны	X

Завершение мастера
создания новой зоны

I	Работа мастера создания новой зоны успешно

“	завершена. Были заданы следующие параметры:

; Имя:	example.com	/х

[ Тип:	Интегрированная в Active Directory

основная

:	'И

j Тип просмотра: Переслать

Примечание. Вам следует добавить записи в зону или ‘
убедиться, что записи обновлены динамически. Затем
вы можете проверить разрешение имен при помощи
программы NSLOOKUP

Для закрытия мастера и создания новой эоны нажмите
кнопку "Готово".

Рис. 9.9. Зона создана
Ю.Один DNS-сервер может предоставлять сервис для нескольких доменов.
Если у вас есть несколько родительских доменов, например example.сот
и firma.com, нужно повторить этот процесс для настройки остальных зон
просмотра. Также надо настроить зоны обратного просмотра.

11. Нужно добавить записи компьютеров, далее будет показано, как это сде-
лать

9.1.6.	Создание дополнительного сервера DNS

.......................................................

Дополнительные серверы обеспечивают отказоустойчивость DNS-
I службы сети. Если используется полная интеграция с Active Directory,
настраивать дополнительные серверы не нужно.

Достаточно запустить службу DNS на нескольких контроллерах домена, и
Active Director}' будет реплицировать информацию DNS на все контроллеры.
При использовании частичной интеграции следует настроить дополнитель-
ные серверы, чтобы уменьшить нагрузку на основной сервер. R небольшой
или средней сети можно использовать в качестве дополнительных серверов
DN S-серверы инте рнет-провай дера.

Для установки дополнительных серверов с целью повышения отказоустой-
чивости и балансировки нагрузки выполните следующие действия;

1.	Запустите консоль Диспетчер DNS. Если нужного сервера нет в списке,
подклю читесь к нему, как было описано ранее.

2.	Щелкните правой кнопкой мыши на записи сервера, а затем выберите ко-
манду Создать новую зону Будет запущен масчер создания новой зоны.
Нажмите кнопку Далее.

3.	На странице Тип зоны выберите переключатель Дополнительная зона
Нажмите кнопку Далее.

4.	Дополнительные серверы могут использовать как зоны прямого просмо-
тра, так и зоны обратного просмотра. Сначала нужно создать зону прямо-
го просмотра, поэтому выберите переключатель Зона прямою просмо-
тра и нажмите кнопку Далее.

5.	Введите DNS-имя зоны и нажмите кнопку Далее.
6.	В списке Основные серверы введите IP-адрес основного сервера зоны
и нажмите клавишу <Enter>. Мастер попытается проверить сервер. Если
произошла ошибка, убедитесь, что сервер подключен к сети и введен пра-
вильный IP-адрес. Если нужно скопировать данные зоны с других серве-
ров на случай недоступности первого сервера, повторите этот шаг.

7.	Нажмите кнопку Далее, а затем кнопку Готово. В большой сети, возмож-
но, придется настроить зоны обратного просмотра на дополнительных
серверах.

9.1.7.	Обратная зона

Прямые просмотры используются для разрешения доменных имен в IP-
адреса. Обратные просмотры служат для разрешения IP-адресов в доменные
имена. Каждый сегмент сети должен иметь зону обратного просмотра

Зона обратного просмотра создается аналогично зоне прямого просмотра,
только на странице выбора типа зоны (рис. 9.7) нужно выбрать Зона обрат-
ного просмотра, а вместо имени домена нужно указать 1.168 192.in-addr
агра, если адрес сети у вас 192.168.1.0

Если есть несколько подсетей в одной сети, например 192.168.10 и 192.168.11,
можно ввести только часть сети в качестве имени зоны. Например, в этом
случае нужно использовать имя 168.192.in-addr.arpa и разрешить консоли
Диспетчер DNS создать необходимые зоны подсетей, когда они понадобят-
ся.

9.1.8.	Управление записями DNS

После создания необходимых файлов зоны можно добавить в них записи.

Для компьютеров, к которым необходим доступ из Active D'rectory и
доменов DNS, нужно создать записи DNS.

Хотя существует много типов записей DNS, большинство из них не исполь-
зуется часто. Давайте сконцентрируем внимание на тех записях, которые
чаще всего востребованы.

г 31(Н
1.	A (IPv4-aapec) — используется для преобразования имени узла в 1Pv4-
адрес Когда у компьютера есть несколько сетевых карт, 1Р\'4-адресов
(или несколько и сетевых карт, и адресов), для компьютера должно быть
создано несколько записей адреса,

2.	АЛАА (1Рм6-адрес) — используется для преобразования имени узла в
[руб-адрес, Ко1да у компьютера несколько сетевых карт, IPv6 адресов
(или несколько и сетевых карт, и адресов), для компьютера должно быть
создано несколько записей адреса.

3.	CNAME (canonical name, каноническое имя) — устанавливает псевдо
ним для имени узла. Например, можно с помощью этой записи устано-
вить псевдоним www.example.com для узла server.example.com.

4.	MX (mail exchanger) — указывает сервер обмена почты для домена,
позволяющий отправлять сообщения электронной почты корректным
почтовым серверам в домене.

5.	NS (name server) — определяет сервер имен для домена. У каждого ос-
новного и дополнительного сервера должна быть эта запись.

6.	PTR (указатель) — создает указатель, преобразующий 1Р-адрес в имя
узла (обратный запрос).

7.	SOA (start of authority, начало полномочий) — объявляет хост, облада-
ющий наибольшими полномочиями в зоне и потому являющийся наилуч-
шим источником DNS-информации в зоне. Начальная запись зоны (SOA)
должна быть в каждом файле зоны (который создается автоматически при
добавлении зоны). Также она объявляет другую информацию о зоне,
например ответственное лицо, интервал обновления, интервал повтора
ит. д.

Чтобы создать новый элемент узла при помощи записей адреса и указателя,
выполните следующие действия:

1.	В консоли Диспетчер DNS раскройте папку Зоны прямою просмотра
нужного сервера.

2.	Щелкните правой кнопкой мыши на домене, который нужно обновить,
и выберите команду Создать узел (А или АААА). Откроется окно, по
казанное на рис. 9.10.

3.	Введите имя компьютера, например web-server, и IP-адрес, например
192.168.1.21.
4.	Установите флажок Создать соответствующую PTR-запись

5	Нажмите кнопку Добавить узел, а затем кнопку ОК. Повторите этот про-
цесс для добавления других узлов.

6.	Нажмите кнопку Готово, когда закончите.

Новый узел

Имя (если не указано, используется родительский домен):

| [Создать соответствующую PTR-запись

| | Разрешать любому прошедшему проверку пользователю
обновлять DNS-записи с таким же именем владельца

Отмена

Рис. 9.10. Создание А-записи

Для создания записи CNAME выполните следующие действия:

•	В консоли Диспетчер DNS разверните папку Зоны прямого просмотра
нужного сервера.

•	Щелкните правой кнопкой мыши на домене, который нужно обновить, и
выберите команду Создать псевдоним (CNAME).

•	В поле Псевдоним введите псевдоним. Псевдоним — это однокомпо-
нентное имя, например www или ftp.

•	В поле Полное доменное имя (FQDN) конечного узла введите полное
имя компьютера, для которого создается псевдоним.

•	Нажмите кнопку ОК.

Остальные DNS-записи создаются аналогично — путем выбора соответ-
ствующей команды из контекстного меню. Исключение составляет запись
SO А. Для ее изменения щелкните поавой кнопкой мыши на зоне, когооую
нужно обновить, и выберите команду Свойства. Перейдите на вкладку
Начальная запись зоны (SOA) и обновите текстовые поля, показанные на
рис. 9.11.

Рис. 9.11. Редактирование SOA-записи

На вкладке Начальная запись зоны (SOA) доступны следующие пара-
метры:

•	Серийный номер — отражает версию файлов базы данных DNS. Номер
обновляется автоматически при внесении изменений в файлы зоны, но
можно обновить его и вручную. По этому номеру дополнительные сер-
веры определяют, изменилась ли зона. Если серийный номер основного
сервера превышает серийный номер дополнительного сервера, записи из-
менились, и дополнительный сервер может запросить DNS-записи зоны.
Кроме того, можно настроить DNS на уведомление дополнительных сер-
веров об изменениях (что ускоряет процесс обновления).

•	Основной сервер — полное доменное имя сервера, в конце которого сто-
ит точка. Она обозначает конец имени и гарантирует, что к записи не бу-
дет добавлена информация о домене

•	Ответственное лицо — адрес электронной почты липа, ответственного
за домен. По умолчанию здесь стоит имя hostmaster, за которым следует
точка. Это обозначает адрес hosimasrer@aoMeH.corrt. При вводе здесь дру-

Ф
II		I

гого адреса замените точкой символ @ в адресе электронной почты и в
конце адреса также поставьте точку.

•	Интервал обновления — интервал, через который дополнительный сер-
вер проводит проверку обновлений зоны. Если интервал установлен в
60 минут, изменения на дополнительном сервере отобразятся через час.
Можно уменьшить сетевой график, увеличивая это значение.

•	Интервал повтора — время после сбоя, в течение которого дополни-
тельный сервер не загружает базы данных зоны. Если задан интервал 10
минут, после сбоя передачи базы данных зоны дополнительный сервер
ждет 10 минут, прежде чем отправить новый запрос.

•	Срок жизни истекает после — период времени, в течение которого ин-
формация зоны на дополнительном сервере считается достоверной. Если
дополнительный сервер в течение этого времени не может загрузить дан-
ные с основного сервера, данные в кэше дополнительного сервера уста-
ревают, и дополнительный сервер перестает отвечать на DNS-запросы.
Установка этого параметра в 7 дней позволяет данным на дополнитель-
ном сервере быть достоверными неделю.

•	Мин. срок жизни TTL (по умолчанию) — минимальное время жизни
записей на дополнительном сервере. Данное значение можно установить
в днях, часах, минутах или секундах. Когда это время заканчивается, до-
полнительный сервер считает срок действия соответствующей записи ис-
текшим и сбрасывает ее. После этого необходимо отправлять очередной
запрос на основной сервер. Делайте минимальный срок жизни относи-
тельно большим, например 24 часа. Это сократит сетевой трафик и повы-
сит производительность. С другой стороны, нужно помнить, что высокое
значение замедляет распространение обновлений через Интернет.

•	Срок жизни (TTL) записи — время жизни конкретной SOA-записи в
формате ДД:ЧЧ:ММ:СС. Как правило, оно должно совпадать с мини-
мальным временем жизни всех записей.

9.2. Настройка DHCP

9.2.1. Введение в DHCP

Протокол динамической конфигурации узла (Dynamic Host Configuration
Protocol, DHCP) используется для упрощения администрирования доменов
Active Directory, и далее в этой главе будет рассказано, как это сделать.
I Протокол DHCP служит для динамическою назначения конфигураци-
онной информации TCP/IP-клиентам сети.

Протокол не только экономит время, необходимое на настройку клиентов
сети, но и предост авляет централизованный механизм для обновления кон-
фигурации. Для включения DHCP в сети нужно установить и настроить
DHCP-сервер. Этот сервер отвечает за назначение необходимой сетевой ин-
формации.

Работает DHCP так:

1.	Клиентский компьютер выбирает IP-адрсс из подсеги класса В 169.254,0.0
с маской подсети 255.255.0.0, зарезервированной Microsoft. Перед ис-
пользованием 1Ру4-адреса клиент при помощи протокола ARP проверяет,
не занят ли данный 1Ру4-адрес другим клиентом.

2.	Если адрес занят, клиент повторяет шаг 1. После десяти неудачных попы-
ток произойдет ошибка. Если клиент отключен от сети, результат ARP-
тестирования всегда будет успешным, поэтому клиент получит первый
попавшийся IPv4-a,ppec.

3.	Если выбранный IPv4-адрес доступен, клиент соответствующим образом
настраивает сетевой адаптер. Далее клиент пытается связаться с DHCP-
сервером, каждые 5 минут посылая в сеть запрос. После успешной уста-
новки связи клиента с сервером клиент получает аренду и заново настра-
ивает сетеной интеофейс.

Примечание. В случае с IPv6 процедура сложнее, но в общих чертах
похожа

........................................................................................iiiiiiiiiiiiiiiiiiiiHiiiiiiiiioiiiiiiiiiiiiiiiiiiiiiiiiiiiHiiiniiiiiHiiiiiiiiiiiiitniiiniiiiuiiiiiuiiiiiiiiiiiiiiiiiiiiHiiiiniiiiiuiiiiHiiiimiiiuiiiiiHiiuiiiiiimiiiimiiiiiiiiiiiiiiiiiiiiiiHiiiiiHiiiiiMiiiniiiii^

DHCP-сервер в Windows Server может работать в одном из двух режимов:

1.	Режим балансировки нагрузки. В этом режиме администратор указы-
вает процентное соотношение загрузки каждогс сервера. Обычно исполь-
зуется соотношение 50/50, чтобы нагрузка на каждый сервер была оди-
наковой. Но можно использовать другие соотношения, например 60/40,
при этом один сервер будет обрабатывать 60% запросов, другой — 40%.


2.	Режим горячего резервирования. В этом режиме один из серверов дей-
ствует как основной сервер и обрабатывает DHCP-запросы. Другой сер-
вер является резервным и используется, когда произошел сбой основно-
го сервера или на основном сервере закончились IP-адреса для аренды.
Обычно для резервного сервера резервируется 5% IP-адресов.

Настройка отказоустойчивости DHCP предельно проста и не требует класте-
ризации или какой-либо другой расширенной настройки.

Для настройки отказоустойчивости DHCP нужно выполнить следующие
действия.

1.	Установите и настройте два DHCP-сервера. Серверы должны находиться
в одной и той же физической сети.

2.	Создайте область DHCPv4 на одном из серверов. Область — это пул IPv4-
или 1Рх’6-адресов, которые можно назначить клиентам с помощью арен-
ды.

3.	Как только укажете, что другой сервер является партнером отказоустой-
чивости для области DHCPv4, область будет реплицирована партнеру.

9.2.2. Области адресов

Области адресов — это пулы IPv4- и IPve-адресов, которые могут
арендовать клиенты. Протокол DHCP также позволяет предоставлять
адреса в бессрочную аренду. Чтобы зарезервировать конкретный
1Ру4-адрес, свяжите его с МАС-адресом компьютера, которому должен
назначаться этот IPv4-адрес.

В результате клиентский компьютер с указанным МАС-адресом будет всегда
получать заданный 1Ру4-адрес. В протоколе IPv6 резервирование осущест-
вляется посредством указания бессрочной аренды.

Администратором создаются области для определения диапазонов IP-
адресов, доступных DHCP-клиентам. Например, можно назначить диапазон
IP-адресов от 192.168.12.2 до 192.168.12.250 для области Предприятие.
В областях допускается использование открытых или частных 1Ру4-адресов
в следующих сетях:

•	Сети класса А — IP-адреса в диапазоне от 1.0.0.0 до 126.255.255 255;

•	Сети класса В - IP-адреса в диапазоне от 128.0 0.0 до 191.255.255.255;

•	Сети класса С - IP-адреса в диапазоне оз 192.0.0.0 до 223.255.255.255;

•	Сети класса D — IP-адреса в диапазоне от 224.0.0.0 до 239.255.255.255.

Один DHCP-сервер может управлять несколькими областями

Для ТРу4-адресов доступны четыре типа областей:

1.	Обычные области используются для назначения адресов в сетях
классов А, В и С.

2.	Многоадресные области — используются для назначения IP-адресов в
сетях IPv4 класса D. Многоадресные IP-адреса применяются в качестве
второстепенных, в дополнение к стандартным IP-адресам.

3.	Суперобласти — это контейнеры для других областей, которые упроща-
ют управление несколькими областями.

4.	Области отказоустойчивости — области между двумя DHCP-серверами
для повышения отказоустойчивости, предоставления избыточности и
включения балансировки нагрузки.

В IPv6 доступны только обычные области. Хотя можно создавать области,
охватывающие несколько сегментов сети, обычно эти сегменты принадле-
жат к одному классу сети, например к классу С.

9.2.3.	Установка DHCP-сервера

Используя мастер добавления ролей и компонентов, администратор может
установить DHCP-сервер в качестве службы роли, задать ее начальные
настройки и авторизовать сервер в Active Directory. Предоставлять клиентам
динамические IP-адреса могут только авторизованные DHCP-серверы.
Процесс установки выглядит так:

1.	Используя Мастер добавления ролей и компонентов, выберите сервер,
на который вы хотите установить DHCP, и выберите роль DHCP-сервер.

2.	Когда мастер закончит установку выбранных ролей и компонентов, стра-
ница Ход установки сообщит об этом. Просмотрите подробности уста-
новки и убедитесь, что все фазы инсталляции завершены успешно.

3.	Для завершения установки DHCP-сервера нужна дополнительная конфи-
гурация. Щелкните по ссылке Завершение настройки DHCP (рис. 9.12).
Будет запущен мастер настройки DHCP после установки.

Мастер добавления ролей и компонентов

□ X

Ход установки

КОНЕЧНЫЙ СЕРВЕР

w»^U3OG8ECR4S.*xampifca>m

Просмотр хода установки

Установка компонента

Треб}

кик* выполнен» на WIN-K

ECHJS еъелдее охп.

DHCP-сервер

! Запуск мастера действий после установки DHCP

; Эаеергюние брейки ОНСР

Средства DHCP-сврвера

Этот мастер можно закрыть, не прерывая выполняющиеся задачи. Наблюдайте за ходом
выполнения задачи или откройте эту страницу снова, выбрав на панели команд пункт
'Уведомления; в затем 'Сведения о задаче

- Чаглл Далее > ' j \ закрыть j Симеиз

Рис. 9.12. Завершение настройки DHCP

4.	Панель Описание говорит о том, что для делегирования DHCP сервера
будут созданы группы Администратор DHCP и Пользователи DHCP.
Дополнительно, если DHCP-сервер присоединен к домену, ею нужно ав-
торизовать в Active Directory. Нажмите кнопку Далее.

5	На странице Авторизация укажите учетные данные, которые будут ис-
пользоваться для авторизации этого DHCP-сервера доменными служба-
ми Active Directory.

» Текущее имя пользователя отображено в поле Имя пользователя.
Если у вас имеются привилегии администратора в домене, к которому
присоединен DHCP-серьер, и нужно использовать текущие учетные

..........................
данные, нажмите кнопку Фиксировать для авторизации сервера с ис-
пользованием этих учетных данных.

» Если нужно использовать альтернативные учетные данные или нель-
зя авторизовать сервер с использованием текущих учетных данных,
установите флажок Использовать другие учетные данные, а затем
нажмите кнопку Указать. В окне Безопасность Windows введите
имя пользователя и пароль для авторизирсванной учетной записи и
нажмите кнопку ОК. Нажмите кнопку Фиксировать для попытки, ав-
торизации сервера с использованием этих учетных данных.

» Если нужно авторизовать DHCP-сервер позже, установите флажок
Пропустить авторизаиию AD и нажмите кнопку Фиксировать.
Помните, что в домене только авторизованные DHCP-серверы могут
предоставлять клиентам динамические IP-адреса.

6.	Когда мастер закончит псстинсталляционную настройку, просмотрите
сводку, убедитесь, что все задачи были выполнены успешно, и нажмите
кнопку Закрыть.

7	Далее нужно перезагрузить службу DHCP-сервер на сервере, чтобы груп-
пы Администраторы DHCP и Пользователи DHCP могли использо-
ваться. Для этого на левой панели консоли Диспетчер серверов выбери-
те узел DHCP. Далее на главной панели, на панели СЕРВЕРЫ, выберите
DHCP-сервер. На панели СЛУЖБЫ щелкните правой кнопкой мыши
на службе DHCP-сервер и выберите команду Перезапустить службы.

Мастер настройки DHCP после установки

Состояние этапов настройки после установки указано ниже:

Сводка

Создание групп безопасности ...................  Готово

Чтобы изменения, касающиеся групп безопасности, вступили в силу, необходимо
перезапустить службу DHCP-сервера на конечном компьютере.

Авторизация DHCP-сервера	Готово

Закрыть

Рис. 9.J4. Настройка завершена

9,2.4.	Консоль DHCP

После установки DHCP-сервера нужно использовать консоль DHCP для
настройки и управления динамической IP-адресацией. В диспетчере сер-
веров в меню Средства выберите команду DHCP. Основное окно консоли
DHCP показано на рис. 9.14. I данное окно разделено на три панели. Левая
панель содержит список DHCP-серверов в домене (выводятся полные до-
менные имена серверов). Можно развернуть сервер, чтобы увидеть подузлы
IPv4 и IPv6. Если развернуть IP-узлы, будут видны области и параметры,
определенные для соответствующей версии 1Р. Центральная панель показы-
вает расширенное представление выбранного элемента. Правая панель —
панель действий, на ней вы найдете действия, которые можно выполнить
над выделенными объектами.
1? ОНСР

файл Действие Дид £лраака

4» ФI fcl & Л 1 В Q ®

ОНСР ~	~|Ги^~

v wm-igogbecffjs-exampi ii?v4

~ “IPv4	I J,|PV6

Л Параметры cepe

лЁ Политики	|:

, 'Й Фильтры

1» IPv6

□ X

Действия
win-igogbecffjs,example,cam	*

Дополнительные действ.., ►

Рис. 9.15. Консоль DHC P

iHniMiiiniiiH*iiiH)iiiiHiiiiiniiiuiiiiiiHiiHtHiiiHiiiMiiiiiiMiiiiii<iiiiii)iiiii>iiiiiiiiiiiaiiiiMiiiiMiiiiiMiiiiiiiitiiiiiiiiiiiiiiiiiiiiiiiiiiiiiMiiiiiiHiiiHiiiiMiiiiiiHiiiiiiiiiiiuiiHiii*iiiiii<«ii>iii»iiii<<iiii<<iii<i»iiiiit>iiiii>iiiiirt«ii<iiiiiiii>iiii«iiiii<<«iiiiiiiiuiiiiiHiiiiiHiiirMiimiiiMiiiiMiimiiu>iL

Управление DHCP-серверами осуществляется при помощи службы
DHCP-сервер (DHCP Server).

Как и любую другую службу, ее можно запустить, останозить, приостано-
вить и перезапустить в узле Службы оснастки Управление компьютером
или из командной строки. Кроме того, службой DHCP-сервер можно управ-
лять в консоли DHCP. Щелкните правой кнопкой мыши на сервере, которым
хотите управлять, разверните подменю Все задачи и выберите нужную ко-
манду: Запустить, Остановить, Приостановить, Продолжить или Пере-
запустить.

9.2.5,	Интеграция DHCP с DNS

Служба DNS используется для разрешения имен компьютеров в
доменах Active Directory и Интернете, Благодаря протоколу динами-
ческого обновления DNS администратор избавлен от необходимости
регистрировать DHCP-клиентов в DNS вручную. Протокол позволяет
клиенту или DHCP-серверу при необходимости регистрировать в DNS
записи прямого и обратного просмотра.
.......................

При работе DHCP по умолчанию DHCP-клиенты Windows Server 2019 ав-
томатически обновляют соответствующие DNS-записи после получения
IP-адреса в аренду. Записи клиентов, работающих в предыдущих верси-
ях Windows, после предоставления аренды обновляются DHCP-сервером.
Можно изменить этот порядок для DHCP-сервера в целом или для конкрет-
ной области.

I Защита имен — дополнительная функция в Windows Server. Благо-
I даря защите имен DHCP-сервер регистрирует записи от имени клиен-

та, только если никакой другой клиент с этой DNS-информацией не
зарегистрирован.

ёт11111шш11шн1тш111штшш11шш1111шш1111111м1пм1111ш11ш1т11нш11ттш11ш11шпшп1шш111111111и111||шшш11иш1т11111м1111т11|ш1п|1шш^^

Можно настроить защиту имени для IPv4 и IPv6 на уровне сетевого адаптера
или на уровне области. Параметры защиты имен, настроенные на уровне об-
ласти, имеют приоритет над параметрами на уровне IPv4 или IPv6.

Зашита имени предназначена для предотвращения занятия имен. Занятие
имен происходит, когда компьютер с ОС, отличной от Windows, регистри-
рует в DNS имя, которое уже используется на компьютере под управлением
Windows. Включив защиту имен, можно предотвратить занятие имени пе-
Windows-компьютерами. Хотя занятие имени не представляет собой про-
блему при использовании Active Directory, лучше все-таки включить защиту
имен во всех Windows-сетях.

Защита имени основана на идентификаторе конфигурации динамического
узла (Dynamic Host Configuration Identifier, DHC1D) и поддержке записи ре-
сурса DHCID (DHCID RR) в DNS. Запись DHC1D RR — это запись ресурса,
хранимая в DNS и сопоставляющая имена для предотвращения дублирован-
ной регистрации. Запись ресурса используется службой DHCP для хранения
идентификатора компьютера и других сведений об имени, например записи
А АААА компьютера. Сервер DHCP может запросить сравнение и откло-
нить регистрацию компьютера с другим адресом, пытающегося зарегистри-
ровать имя с существующей записью DHCID.

Можно просмотреть и изменить параметры глобальной DNS-интеграции
так:

•	В консоли DHCP разверните узел сервера, с которым нужно работать,
щелкните правой кнопкой мыши на узле IPv4 или IPv6 и выберите ко-
манду Свойства.

ИЛ
□SB

Глава 9. Сервисы DNS n DHCP

•	Перейдите на вкладку Служба DNS. На рис. 9.16 показаны значения
DNS-интегра пии по умолчанию для IPv4 и IPv6. Поскольку параметры
настроены по умолчанию, обычно их не нужно модифицировать.

•	При желании можно включить или выключить функцию защиты имен.
При включенной защите имен DHCP-сервер регистрирует записи о кли-
енте, если никакой другой клиент с этой DNS-информацией не зареги-
стрирован. Для включения или отключения защиты имен нажмите кноп-
ку Настроить. В окне Зашита имен установите или сбросьте флажок
Включить защиту имен и нажмите кнопку ОК

Свойства: IPv4	? X

Общие Служба DNS Фильтры Отработка отказа Дополнительно

Вы можете настроить DHCP-сервер для автоматического обновления
А-эаписей {узлов) и PTR-эаписей (указателей) DHCP-клиентов для
полномочных DNS-серверов.

F Включить динамическое обновление DNS в соответствии с]
мстосйкое______________________________________________I

>• Динамически обновлять DNS-эаписм только по запросу
DHCP-клиент а

С Всегда динамически обновлять DNS-эалиси

R Хдалять А- и PTR-записи при удалении аренды

Г* Динамически обновлять DNS-записи для DHCP-клиентов, не
требующих обновления (например, клиентов с Windows NT 4 0)

f“ Отключить динамические обновления для PTR-ззписей DNS

Защита имени

Защита имени DHCP отключена на уровне сервера.

растроить

ОК ~~] Отмена

Рис. 9.16. Параметры DNS-интеграции для IPv4 и IPv6

9.2.6.	Создание суперобл ас гей

Суперобласть является контейнером для областей IPv4 так же, как и
организационное подразделение — контейнером для объектов Active
Directory. Суперобласти помогают управлять имеющимися в сети об-
ластями и также обеспечивают поддержку DHCP-кгиентов в одной фи-
зической сети, где используются множественные логические IP-сети
или же когда вы создаете суперобласти для объединения IP-адресов
из разных логических сетей в один сегмент физической сети
С помощью суперобласти можно активировать или деактивировать сразу
несколько областей. Также в суперобласти можно просматривать статистику
для всех областей сразу, вместо того чтобы проверять се для каждой области
отдельно.

Для создания сунеробласти нужно выполнить следующие действия:

1.	В консоли DHCP разверните узел сервера, с которым нужно работать, а
затем щелкните правой кнопкой мыши по узлу IPv4, выберите команду
Создать суперобласть (эта команда появится, если есть хотя бы одна
обычная или многоадресная область). Будет запущен мастер создания су-
перобласти. Нажмите кнопку Далее.

2.	Выберите имя суперобласти и нажмите кнопку Далее.

3.	Выберите области, которые нужно добавить в суперобласть. Для выбора
области просто щелкните на ней в списке Доступные области.

4.	Нажмите кнопку Далее, а затем кнопку Готово.

После того как суперобласть создана, в нее можно добавить обычные обла-
сти. Для этого выполните следующие действия:

1.	Правой кнопкой мыши щелкните на области, которую хотите добавить
в существующую суперобласть, и выберите команду Добавить в
суперобласть.

2.	В диалоговом окне Добавление области к суперобласти выберите суие-
робласть.

3.	Нажмите кнопку ОК.

9.2.7.	Создание обычных областей

Область предоставляет пул адресов для DHCP-клиентов Обычная |
область — это область с адресами сетей классов А, В или С. Много- :
адресная область — это область с адресами сетей класса D.

Хотя обычные и многоадресные области создаются по-разному, в управле-
нии они мало чем отличаются друг от друга. Основное отличие состоит в
том, что многоадресные области не позволяют резервировать адреса, а так-
же задавать дополнительные параметры WINS, DNS, маршрутизации и г. д.

Создать обычную область для 1Ру4-адресов можно с помощью следующих
действий:

1.	В консоли DHCP разверните узел сервера, с которым нужно работать, да-
лее щелкните правой кнопкой мыши на узле IPv4. Если необходимо авто-
матически добавить новую область в сунеробласть, выделите се, а затем
щелкните правой кнопкой мыши на нужной суперобласти.

2.	В контекстном меню выберите команду Создать область. Будет запущен
мастер создания области. Нажмите кнопку Далее.

3.	Введите имя и описание области, а затем нажмите кнопку Далее.

4.	Введите начальный и конечный адреса области в поля Начальный IP-
адрес и Конечный IP-адрес на странице Диапазон адресов (рис. 9.17).

Рис. 9.17. Создание области. Диапазон адресов

5.	Нажмите кнопку Далее. Если введенный диапазон IP-адресов охватывает
разные сети, будет предоставлена возможность создать супсробласть, со-
держащую различные области для каждой сети. Нажмите кнопку Да, что-
бы принять это предложение, и перейдите к шагу 8. Если была допущена
ошибка, нажмите кнопку Назад, чтобы исправить введенный диапазон
IP-адресов.
6.	Используйте поля Начальный IPaapec и Конечный IP-адрес на стра-
нице Добавление исключений и задержка, чтобы определить диапазо-
ны JP-адресов, которые будут исключены из области (рис. 9.18). Можно
исключить диапазоны адресов так:

» Для определения диапазона введите начальный и конечный адреса в
поля Начальный IP-адрес и Конечный IP-адрес и нажмите кнопку
Добавить. Чтобы исключить один IP-адрес, введите его и как началь-
ный, и как конечный JP-адрес.

» Исключенные диапазоны адресом отображаются в списке Исключае-
мый диапазон адресов.

» Для удаления диапазона исключения выберите его в списке Исключа-
емый диапазон адресов и затем нажмите кнопку Удалить.

Мастер создания области

Добавлены» исключений и задержка

Исключения являются адресами или диапазонами адресов которые исключаются из
распределения DHCP-сервером Задержка определяет время, на которое будет
задержана передача сообщения DHCPOFFER с сервера

Введите диапазон {Р адресов который необходимо исключить Если вы хотите исключить
один адрес, введите его только  поло "Начальный Р-адрос*.

< Назад Дало» > Отмена

Рис. 9.18. Создание области. Исключения

1. Нажмите кнопку Далее. Укажите продолжительность аренды для диапа-
зона адресов, используя поля Дней, часов, минут, Продолжительность
аренды по умолчанию составляет 8 дней. Нажмите кнопку Далее.

8.	У админисjразора есть возможность настроить общие параметры DHCP
для DNS, WINS, шлюзов и т. д. Если нужно настроить эти параметры
сейчас, выберите переключатель Да, настроить эти параметры сейчас.

В противном случае выберите Нет, настроить эти параметры позже и
пропустите шаги 10-15. Но лучше все-таки настроить их сейчас, чтобы
больше не возвращаться к этому вопросу (рис. 9.19)

9.	Нажмите кнопку Далее. Первым делом необходимо указать основной
шлюз. В поле JP-адрес введите IP-адрес основного шлюза и нажмите
кнопку Добавить. Повторите этот процесс для других шлюзоз по умол-
чанию.

10	Сначала клиенты будут использовать первый шлюз ь списке. Если он не-
доступен, клиенты попытаются получить доступ к следующему шлюзу и
т. д. С помощью кнопок Вверх и Вниз можно изменять порядок шлюзов.

11.	Нажмите кнопку Далее. Настройте параметры DNS для DHCP-клиентов,
как показано на рис. 9.17. Введите имя родительского домена, который
следует использовать для разрешения не полностью определенных имен
компьютеров

12.	В поле IP-адрес введите IP-адрес основного DNS-сервера, а затем нажмите
кнопку Добавить. Повторите этот процесс, чтобы указать дополнитель-
ные серверы. Здесь опять же порядок записей определяет, какой из IP-
адресов будет использован в первую очередь. При необходимости изме-
ните порядок с помощью кнопок Вверх и Вниз. Нажмите кнопку Далее.

13.	Параметры WINS задаются аналогично. Нажмите кнопку Далее
14.	Если нужно активировать область, установите переключатель Да, я хочу
активировать эту область сейчас. В противном случае установите пе-
реключатель Нет, я активирую эту область позже (рис. 9.20).

Мастер создания области

Активировать область

Клиенты могут получать аренду на адреса, только когда область активирована

Активировать эту область сейчас"?

С Да,я хочу активировать эту область сейчас
# FfeT-я активирую эту область позже{

< Назад	j Далее> I Отмена

Рис. 9 20. Область создана

В консоли DHCP неактивная область помечается белым кружком с красной
стрелкой вниз. У активной области значок как у обычной папки.

Чтобы активировать неактивную область, щелкните по ней правой кнопкой
мыши в консоли DHCP и выберите команду Активировать. Чтобы деакти-
вировать активную область, щелкните ее правой кнопкой мыши в консоли
DHCP и выберите команду Деактивировать.

В этой главе были рассмотрены основы администрирования важных сете-
вых сервисов DNS и DHCP.

В этой части книги были рассмотрены основные моменты работы с серве-
ром в Windows. Теперь пришла пора рассмотреть работу с сервером в Linux
Глава 10.

Управление загрузкой
Linux
Начать часть книги, посвященной взаимодействиям с сервером в Linux,
хотелось бы с такого важного момента как загрузка системы, ведь ст того,
какая версия и модификация системы будут вами использоваться, будут за-
висеть многие параметры вашего сервера.

10.L Загрузчики Linux

Существует несколько загрузчиков Linux. На сегодняшний день основным
загрузчиком является GRUB2, который устанавливается по умолчанию во
всех современных дистрибутивах Linux.

Одним из самых ’’древних" загрузчиков является LILO (Linux LOader). Этот
загрузчик давно уже не используется, и ему на смену пришел загрузчик
GRUB (GRand Unified BooLoader). GRUB является более гибким загрузчи-
ком и "понимает'1 много разных файловых систем, в том числе FAT/FAT32,
ext2, ext3, ReiserFS, XFS, BSDFS.

На смену GRUB пришел загрузчик GRUB2. Отличие GRUB — очень
запутанный и неудобный файл конфигурации, но время не стоит на месте, и
этот загрузчик j-же не используется ни з одном современном дистрибутиве
- только GRUB2. К преимуществам GRUB2 можно отнести — поддержку
exi4 (а эта файловая система сейчас стандарт де-факто), загрузку с LVM,
поддержку UEFI. Всех этих вещей в GRUB нет, поэтому его использование
сегодня невозможно.

330
к__
Собственно, GRUB2 сейчас устанавливается во всех современных дистрибу-
тивах, и нет смысла возвращаться на GRUB. Если возникнет необходимость,
вы можете вернуться на обычный GRUB, установив пакет grub-legacy, но
такая возможность есть только для платформы х86.

10.2. Загрузчик GRUB2

10.2.1. Конфигурационные файлы

В каталоге /etc/grub.d хранятся шаблоны, определяющие настройки
GRUB2. Также некоторые его параметры хранятся в файле /etc/default/
grub. По шаблонам из /etc/grub.d и файлу /etc/default/grub прогоаммой
/usr/sbin/grub-mkcorfig создаемся рабочий конфигурационный файл
/boot/grub/grub.cfg, который по задумке разработчиков GRUB2 вы не
должны редактировать вручную.

Поэтому есть две стратегии настройки GRUB2.

Первая заключается в непосредственном редактировании файла /boot/grub/
grjb.cfg Загрузчику GRUB2 все равно, кто или что отредактирует этот файл
— вы или программа gr u b-mk config.

Вторая заключается в редактировании файлов из каталога /etc/grub.d и
файла /etc/default/grub. После чего вы будете должны ввести команду
grub-mkconfig для создания файла /boot/grub/grub.cfg по заданным вами
настройкам.

Чтобы решить, какая из стратегий для вас лучше, нужно знать формат и со-
держимое всех этих файлов.

Начнем с основного файла конфигурации, кот орый сложнее и длиннее фай-
ла конфигурации обычного GRUB (см. лист. 10.1).
Листинг 10.1. Файл конфигурации /boot/grub/grub.cfg

#

#	Не редактируйте этот файл вручную!

#

#	Он автоматически генерируется программой grub-mkconfig по шаблонам

#	из /etc/grub.d и настройкам из /etc/default/grub

#

НАЧАЛО файла /etc/grub.d/00_header ###

if [ -s Sprefix/grubenv ]; then
load_env

fi

# Загрузочная метка по умолчанию

set default="0"

if [ "${prev_saved_entry}" ]; then

set saved entry="$(prev_saved_entry}"

save_env saved_entry

set prev_saved_entry=

save_env prev_saved_entry

set boot once=true

function savedefault (

if [ —z "${boot_once}" ]; then
saved entry="${chosen)"
save_env saved_entry

fi
}

function load_video {

insmod vbe
insmod vga
insmod video_bochs
insmod video_cirrus

}

insmod part_msdos

insmod ext2

# Корневое устройство
set root='(hdO.msdosl)'
search --no-floppy --fs-uuid --set=root b7300e54-fff5-4f31-8002-
bea43c64f344

if loadfont /usr/share/grub/unicode.pf2 ; then
set gfxmode=640x480
load_video
insmod gfxterm

insmod part_msdos

insmod ext2

set root='(hd0,msdosl)'
search --no-floppy --fs-uuid --set=root b7300e54-fff 5-4f31-8002-
bea43c64£344

set locale_dir=($root)/boot/grub/locale

set lang=ru_RU
insmod gettext
fl
terminal_output gfxterm
set timeout=5

#	## КОНЕЦ файла /etc/grub.d/00_header ###

#	## НАЧАЛО файла /etc/grub.d/05_debian_theme It##
insmod part_msdos
insmod ext2

#	Корневое устройство
set root='(hdO,msdosl)'
search —no-floppy —fs-uuid —set=root b7300e54-fff 5-4f 31-8002-bea43c64f 344
insmod png
if background_image /usr/share/images/desktop-base/joy-grub.png; then
set color_normal=white/black
set color_highlight=black/white
else

set menu_color_normal=cyan/blue

set menu_color_highlight=white/blue
fl

#	## КОНЕЦ файла /etc/grub.d/05_debian_theme ###

#	## НАЧАЛО файла /etc/grub.d/10_linux ###

#	Содержит главную загрузочную метку. Далее мы ее рассмотрим подробнее
menuentry 'AstraLinuxCE GNU/Linux with Linux 5.10.0-1038.40-generic' —class
debian --class gnu-linux --class gnu --class os (
load_video
insmod gzio
insmod part_msdos
insmod ext2
set root='(hdO,msdosl)'
search --no-floppy --fs-uuid set=root b7300e54-fff5-4f31-8002-
bea43c64f344

echo 'Loading Linux 5.10.0-1038.40-generic'

linux /boot/vmlinuz-5.10.0-1038.40-generic root=UUID=b7 300e54-fff5-
4f31-8002-bea43c64f344 ro initrd=/install/gtk/initrd.gz quiet

echo 'Loading ramdisk ...'

initrd /boot/initrd.img-5.10.0-1038.40-generic
}
menuentry 'AstraLinuxCE GNU/Linux with Linux 5.10.0-1038.40-generic
(recovery mode)' —class debian --class gnu-linux —class gnu —class os {
load_video
insmod gzio
insmod part_msdos
insmod ext2
set root='(hdO,msdosl)'
search —no-floppy —fs-uuid —set=root b7300e54-fff 5-4f31-8002-
bea43c64f344

echo 'Loading Linux 5.10.0-1038.40-generic...'

linux /boot/vralinuz-5.10.C-1038.40-generic root=UUID=b7300e54-fff5-

4f31-8002-bea43c64f344 ro single initrd=/install/gtk/initrd.gz
echo 'Loading ramdisk ...'
initrd /boot/ini trd.img-5.10.0-1038.40-generic

)

#	## КОНЕЦ /etc/grub,d/10_linux ###

#	*♦ НАЧАЛО /etc/grub.d/20_linux_xen ###

#	## КОНЕЦ /etc/grub.d/20_linux_xen ###

♦	## НАЧАЛО /etc/grub.d/20_merr.test86+ ###

4 Метка для memtest86 - программы для проверки памяти
menuentry "Memory test (memtest86+)" {

insmod part_msdos
insmod ext2
set root='(hd0,msdosl)'

search —no-floppy —fs-uuid —set=root b7300e54-fff5-4f31-8002-
bea43c64f344

linuxl6 /bcot/memtest86+.bin

}

menuentry "Memory test (memtest86+, serial console 115200)" {
insmod part_msdc3
insmod ext2
set root='(hd0,msdosl)'

search —no-floppy —fs-uuid —set=root b7300e54-fff5-4f31-8002-
bea43c64f344

linuxl6 /boot/memtest86+.bin console=ttyS0,115200n8
}

menuentry "Memory test (memtest86+, experimental multiboot)" {
insmod part_msdos
insmod ext2
set root='(hd0,msdosl)'

search —no-floppy —fs-uuid —set=root b7300e54-fff5-4f31-8002-
bea43c64f344

multiboot /boot/memtest86+_multiboot.bin
)

menuentry "Memory test (memtest86+, serial console 115200, experimental
multiboot)" {

insmod part_msdos

insmod ext2

set root='(hd0,msdosl)'

search —no-floppy —fs-uuid —set=root b7300e54-fff5-4f31-8002-
bea43c64f344

multiboot /boot/memtest86+_multiboot.bin console=ttyS0,115200n8

)

### КОНЕЦ /etc/grub.d/20_memtest86+ ###

# Далее этот файл я немного сократил, поскольку дальше в нем нет ничего
интересного


Файл огромный, и его синтаксис напоминает синтаксис bash-сценариев.
Если вы просмотрели этот конфигурационный файл, то вы уже догадались,
что делает программа grub-mkconfig: она собирает воедино все файлы из
каталога /etc/grub.d (кстати, в листинге 10.1 перечислена большая часть из
этих файлов) и внссит в общий конфигурационный файл из /erc/default/grub.

Основная запись из всего листинга 10.1 — это запись menuentry. Именно в
таких записях описываются элементы меню загрузчика GRUB.

mennentry ' AstraLinuxCE GNU/Linux with Linux 5.10.0-1038.40-gsneric '
--class debian --class gnu-linux --class gnu class os {
load_video
insmod gzio
insmod part msdos
insmod ext2
set root='(hd0,msdosl)'
search —no-floppy —fs-uuid —set=root b7300e54-fff5-4f31-8002-
bes43c64f344

echo 'Loading Linux 5.10.0-1038.40-generic...'

linux/boot/vmlinuz-5.10.0-1038.40-generic root=UUID=b7300e54-
fff5-4f31-8002-bea43c64f344 ro initrd=/install/gtk/initrd.gz quiet

echo 'Loading ramdisk ...'
unitrd /boot/initre.img-5.10.0-1038.40-generic
}

В одинарных кавычках после menuentry указывается название за:рузонной
метки. Далее идут параметры, которые вообще можно не указывать, и от
этого Debian загружаться не перестанет. В фигурных скобках — основная
конфигурация.

Директива load.video — это ке что иное, как вызов функции lcad_
video, которая также описана в этом файле конфигурации. Функция
вставляет некоторые модули (команда insmod), необходимые для ра-
боты графического режима. Обратите внимание, что команды insmod
загружают не модули ядра Linux, а модули GRUS2, которые находятся
в каталоге /ooot/grub.

Внутри {} можно использовать команду echo для обозначения различных
этапов загрузки, что и сделано в нашем примере. Можете отказаться от echo,
на загрузку это никак не повлияет.
( срнер на \Yiiul<»»»% и I iim\

Основные команды — это И mix и initrd. Первая указывает путь к ядру Linux
и задает параметры ядра. В нашем случае параметр ядра root указывает
устройство, на котором находится корневая файловая система. Устройство
указано в виде UUID. UUlD-имена очень удобны. Представим, что у вас есть
один жесткий диск SATA и два контроллера. Если вы подключите его ко вто-
рому контроллеру, обычное имя изменится (например, было /dev/sda, а стало
/dev/sdb), а UUID-имя — нет. При желании вы можете указать имя в старом
формате, например, root=/dev/sdal. Параметр ядра го задает монтирование
корневой файловой системы в режиме "только чтение" (это нормально, поз-
же она будет перемонтирована), initrd— задает файл RamDisk, а последний
параметр ядра quiet задает "тихую” загрузку ядра, при которой будут выво-
диться только самые важные сообщения.

Команда initrd задает путь к файлу initrd.

—__________............................................................................................. J

Теперь рассмотрим файл /etc/default 'grub (листинг 10.2).

Листинг 10.2. Файл /etc/default/grub

#	После редактирования этого файла запустите команду 'update-grub' для
# обновления файла /boot/grub/grub.cfg.

#	Для получения полной информации об этом файле введите команду

#	info -f grub -n 'Simple configuration'

#	Загрузочный элемент (menuentry по умолчанию)

GRUB_DEFAULT=0

#	Таймаут

GRUB_TIMEOUT=5

#	Задает название дистрибутива, не изменяйте эту строку

GRUB_DISTRIBUTOR=’lsb release -i -s 2> /dev/null I I echo Debian'

#	Параметры ядра Linux по умолчанию

GRUB_CMDLINE_LINUX_DEFAULT="quiet"

#	Еще одна строка для задания параметров ядра
GRUB_CMDLINE_LINUX="initrd=/install/gtk/initrd.gz"

#	Раскомментируйте эту строку, если вы хотите отключить графический
режим

#GRUB_TERMINAL=console

#	Разрешение в графическом режиме

#	Вы можете использовать только те режимы, которые ваша видеокарта

#	поддерживает через VBE. Просмотреть список

#	таких режимов можно с помощью команды vbeinfo'
#	GRUB_GFXM0DE=640x480

#	Раскомментируйте эту строку, если вы не хотите

#	использовать UUID-имена устройств

#GRUB_DISABLE_LINUX_UUID=true

#	Раскомментируйте, если хотите запретить генерирование меток восстановления

#GRUB_DISABLE_RECOVERY="true"

#	Раскомментируйте, если хотите получить гудок при загрузке GRUB

#GRUB_INIT_TUNE="480 440 1"

Как видите, параметры из файла Zetc/cefault/grub понятны и не нуждаются в
особых комментариях. Но в нем мы узнали о еще одной команде — update-
grub. Так какую из них использовать — update-grub или grub-mkconfigl

На самом деле это почти одна и та же команда. Дело в том, что командаgrub-
mkconfig по умолчанию выводит конфигурацию GR.UB2 на экран, поэтому,
чтобы она записалась в файл Zboot/grubZgrub.cfg. запускать ее нужно так:

sudo grub-mkconfig > /boot/grub/grub.cfg

Или же вы можете ввести команду update-grub, которая сделает то же самое.
Другими словами, команда update-grub — это сценарий, который вызыва-
ет только что приведенную команду. Как по мне, то использовать команду
update-grub удобнее.

Так какую стратегию GRLB2 использовать? Редактировать шаблоны и пара-
метры или сразу конфигурационный файл? Если вы работаете за компьюте-
ром в гордом одиночестве и нет и не предвидится других администраторов,
тогда можете выбрать ту стратегию, которая вам больше нравится.

Если же есть или планируются другие администраторы, то нужно редакти-
ровать шаблоны и параметры вместо редактирования конфигурационного
файла вручную. Дело в том, что если зы внесете изменения непосредствен
но в конфигурационный файл, а потом другой администратор захочет из-
менить какой-то незначительный параметр, например, добавить гудок при
загрузке GRUB2, го команда update-grub перезапишет все сделанные вами
изменения.
J 0.2.2. Выбор метки по умолчанию

Как правило, даже если у вас установлена одна только Linux, у вас будет
несколько загрузочных меток (несколько записей menuentry}. Выбрать метку
но умолчанию можно с помощью параметра GRUBDEFAULT. Нумерация
меток начинается с 0, то есть первой метке соответствует значение 0.

После того, как вы установите другой нсмер метки по умолчанию, нужно
ввести команду update-grub и перезагрузить систему.

Другими словами, последовательность такая: редактируем файл /etc/default/
grub, изменяем значение параметра GRUB_DEFAULT и вводим команду
update-grab.

10.2.3.	Загрузка Windows

Упор в этой книге делается на применение Linux в работе с сервером, при-
чем в разных сферах жизнедеятельности, однако вдруг вы захотите устано-
вить Linux на домашний компьютер, скорее всего, ей придется "сожитель-
ствовать" с Windows.

Чтобы добавить возможность загрузки Windows из GRUB2, нужно отредак-
тировать файл /etc'grub.d/40_custom и добавить в него следующие строки:

menuentry "Windows (on /dev/sdal)" {	
	insmod part_msdos jnsmod ntfs
	set root=' (hd0,msdosl) '  search --no-floppy --fs-uuid --set UUID  drivemap -s (hdC) 5{root}  chainloader +1
}	

Здесь Windows находится на /dev/sdal, и адрес этого раздела указывается в
set root Значение ULID нужно заменить на UUID вашего Windows-раздела.
О том, как "вычислить" UUTD раздела мы уже поговорили, надеюсь, с этим
не возникнет трудностей. Остальные параметры можете оставить без изме-
нения (еще не забудьте исправить hdO в drivemap, если Windows установлена
не на первом жестком диске).
10.2.4.	Пароль загрузчика GRUR2

За1рузчик GRUB позволял только установить пароль — или общий, или на
загрузку определенной метки. Загрузчик GRUB2 более гибкий в этом плане,
поскольку вы можете настроить не только пароли, но и логины. 1акже есть
минимальная система разграничения прав доступа.

Итак, и GRUB2 есть супсрпользо затель, который может редактировать
загрузочные метки.

Существует возможность восстановить пароль root путем передачи
ядру параметра init. Но для этого нужно отредактировать конфигура- j
цию GRU82.

Если вы установите пароль суперпользователя, то изменить конфигурацию
загрузчика вы сможете только после ввода этого пароля.

Также в GRUB2 есть обычные пользователи, которые имеют право только
выбирать загрузочную метку. Они не имеют права редактировать конфигу-
рацию загрузчика. В принципе, можно обойтись одним паролем суперполь-
зователя, но при желании GRUB2 может довольно гибко разграничить права
пользователей.

Давайте сначала добавим пароль суперпользователя. Для этого в файл /etc/
grub.d/00 Jieader добавьте строки:^

set superusers="main_admin"
password main_admin 123456789

Первая команда задаст суперпользователя main_admin, а вторая — задаст
для него пароль. Старайтесь избегать общепринятых имен вроде admin,
root и т.д. Так у злоумышленника, который хочет изменить конфигурацию
GRUB2, будет две неизвестных.

Пароль пока в незашифрованном виде, и это не очень хорошо. Поскольку
если загрузиться с LiveCD или LiveUSB, то его можно будет увидеть. Позже
я покажу, как зашифровать пароль.
Обычные пользователи задаются инструкцией password, например:

password гпе 12345

По сути main_admin тоже был бы обычным пользователем, если бы не
инструкция set superusers, которая делает его суперпользователем.

Представим, что у нас есть следующие строки:

set superusers="main admin"
password main admin 123456789
password me 12345

Пользователь main_admin может загружать операционные системы и
редактировать конфигурацию GRUB2. Пользователь те может только
загружать операционные системы.

Если вы хотите, чтобы определенные метки могли загружать только опреде
ленные пользователи, добавьте к menuentry параметр — users'.

menuentry "Windows" —users me {

insmod part_msdos

insmod ntfs

set root='(hdO,msdosl)'

search --no-floppy --fs-uuid --set UUID
drivemap -s (hdO) ${root}
chainloader +1

}

Теперь зашифруем пароль. Введите команду:

grub-mkpasswd-pbkdf2

Программа запросит пароль, зашифрует его и выведет на экран ею кэш. Вы
увидите что-то подобное:
grub.pbkdf2.sha512.10000.9290F727ED06C38BA4549EF7DE25CF5642659211B7FC076F2D2708
0136.887CFF169EA83D5235D8004742AA7D6187A41E3187DF0CE14E256D85ED97A979080136.88-
7CFF169EA8335235D8004242AA7D6187A41E3187DF0CE14E256D85ED97A97357AAA8FF0A3871A-

B9EEFF458392F462F495487387F685B7472FC6C29E293F0A0

Данный хеш нужно указать вместо пароля пользователя. Однако вместо
инструкции passwd нужно использозать password_pbkdf2.

Например:

password_pbkdf2 me

grub.pbkdf2.sha512.10000.9290F727ED06C38BA4549EF7DE25CF5642659211B7FC076F2D2708
0136.887CFF169EA83D5235D8004742AA7D6187A41E3187DF0CE14E256D85ED97A979080136.88-
7CFF169EA8335235D8004242AA7D6187A41E3187DF0CE14E256D85ED97A97357AAA8FF0A3871A-

B9EEFF458392F462F495487387F685B7472FC6C29E293F0A0

После изменения файлов из каталога /etc/grab.d не забудьте ввести команду
upgrade-grub для обновления основного файла конфигурации.

10.2.5.	Установка загрузчика

Команда установки загрузчика такая же, как и в случае с GRUB:

# /sbin/grub-install <устройство>

Например:

# /sbin/grub-install /dev/sda

Поскольку GRUB2 у нас уже установлен, вряд ли вам придется вводить эту
команду. Исключение может составить разве что переустановка Windows,
которая перезапишет загрузочный сектор своим загрузчиком. Поэтому вам
придется загрузиться с LiveCD, выполнить chroot для вашей старой корне-
вой системы и ввести команду grub-install для установки загрузчика GRUB2.
10.3. Система инициализации

После сноей загрузки ядро передает управление системе инициализации.
Цель этой системы — выполнить дальнейшую инициализацию системы.
Самая главная задача системы инициализации — запуск и управление
системными службами.

Служба (сервис, демон) — специальная программа, выполняющаяся
в фоновом режиме и предоставляющая определенные услуги (или,
как говорят, сервис — отсюда и второе название).

Что превращает обычный компьютер, скажем, в FTP-сервер? Правиль-
но, запущенная служба FTP — тот же ProFTPD или подобная. Вы можете
установить прщрамму ProFTPD и настроить ее на автоматический запуск
системой инициализации. Тогда при каждой загрузке наш компьютер будет
превращаться в FTP-сервер. Аналогично и с другими сервисами — доста-
точно установить определенную программу, чтобы превратить компьютер в
веб-сервер или почтовый сервер. Но стоит вам отключить ее, и компьютер
уже прекращает предоставлять обеспечиваемые программой услуги, следо-
вательно, превращается в самый обычный компьютер.

В мире Linux существовало очень много разных систем инициализации —
init, upstart, init-ng. Все их рассматривать уже нет смысла, поскольку в совре-
менных дистрибутивах используется современная система инициализации
systemd.

systemd — подсистема инициализации и управления службами в Linux,
фактически вытеснившая в 2010-е годы традиционную подсистему init.
Основная особенность — интенсивное распараллеливание запуска служб
в процессе загрузки системы, что позволяет существенно ускорить запуск
операционной системы. Основная единица управления — модуль, одним из
типов модулей являются "службы" — аналог демонов — наборы процессов,
запускаемые и управляемые средствами подсистемы и изолируемые
контрольными группами.
10.3.1. Принцип работы

Система инициализации systemd используется во многих современных дис-
трибутивах. в частности в Fedora, Ubuntu, CenrOS и openSUSE. На данный
момент это самая быстрая система инициализации. В Astra Linux использу-
ется немного модифицированный ее вариант — systemdgenie.

Давайте подумаем, как можно ускорить запуск Linux? Можно пойти по пути
upstart — параллельно запускать службы. Но параллельный запуск — не
всегда хорошо Нужно учитывать зависимости служб. Например, сервис
d-bus нужен многим другим сервисам. Пока сервис d-bus не будет запущен,
нельзя запускать сервисы, которые от него зависят.

Если сначала запускать основные сервисы и ждать, пока они будут запуще-
ны, а потом уже запускать службы, которые от них зависимы, особого вы-
игрыша в производительности по сравнению с init вы не увидите. Но если
сервис d-bus (или любой другой, от которого зависят какие-то другие серви-
сы) запускается долго, то все остальные службы будут ждать его.

Как обойти это ограничение?

При своем запуске службы проверяют, запущена ли необходимая им
служба, по наличию файла сокета. Например, в случае с d-bus — это
файл /var/run/dbus/svstem_bus_socket.

Если мы создадим сокеты для всех служб, тс мы можем запускать их парал-
лельно, особо не беспокоясь, что произойдет сбой какой-то службы при за-
пуске из-за отсутствия службы, от которой они зависят. Даже если несколь-
ко служб, которым нужен сервис d-bus, запустятся раньше, чем сам сервис
d-bus, — ничего страшного. Каждая из этих служб отправит в сокет (главнее,
что он уже открыт!) сообщение, которое обработает сервис d-bus после того,
как он запустится. Вот и все.

Но это не единственное '‘ухищрение", посредством которого осуществля-
ется ускорение запуска компьютера инициализацию которого производит
systemd. Эта система инициализации запускает только необходимые серви-
сы. Остальные же будут запущены по мерс необходимости.

Концепция отложенного запуска используется и в других операционных
системах — например, в MacOS X (там система инициализации называется
launchd) и в Windows (концепция отложенного запуска служб). Так что ре-
шение не очень новое, но зато проверенное.

Основными функциями systemd являются:

•	Активация на основании сокегов — система инициализации systemd
прослушивает сокеты всех системных служб. Сокеты передаются
системным службам сразу после запуска сервисов, благодаря этому осу-
ществляется параллельный запуск сервисов. Также это позволяет переза-
пускать сервисы без потери любых отправленных им сообщений, то есть
пока сервис перезапускается, отправленные ему сообщения накаплива-
ются, и он сможет их обработать после того, как будет запущен.

•	Активация на основании устройств — systemd может запустить опре-
деленные службы, когда станет доступным определенный тип оборудова-
ния. Например, вы подключили Blueiooth-адаптер, может быть запущен
сервис bluetooth

•	Активация на основании d-bus — служба инициализации может запу-
стить сервисы, которые используют d-bus для межпроцессного взаимо-
действия, например, когда клиентское приложение попытается связаться
с системной службой.

•	Активация на основании путей — systemd может запустить службу,
если изменится содержание каталога.

•	Управление точками монтирования и автоматическим монтирова-
нием — система инициализации отслеживает и управляет точками мон-
тирования и автоматического монтирования.

•	Снимки системных состояний — благодаря этой возможности systemd
может сохранить состояние всех модулей и восстановить предыдущее
состояние системы.

•	Параллелизация — systemd запускает системные службы параллельно
благодаря активации на основании сокетов. Параллельная активация су-
щественно сокращает время загрузки системы.

•	Обратная совместимость с SysV — поддерживаются сценарии инициа-
лизации SysV, что упрощает переход на systemd. Однако все устанавли-
ваемые в современных дистрибутивах пакеты служб уже адаптированы
под systemd, поэтому не нужно надеяться, что во время установки пакета
како1 о-то сервиса будут установлены SysV-сценарии. Будут созданы фай-
лы, необходимые для запуска сервиса посредством systemd.
10.3.2. Конфигурационные файлы systemd

Обилие различных конфигурационных файлов systemd может ввести в сту-
пор даже бывалого линуксоида, не говоря уже о пользователе, который впер-
вые видит systemd Когда я впервые познакомился с systemd, у меня было
только одно желание — снести ее и установить вместо нее init Но мы это
не будем делать. Чтобы разобраться со всеми файлами, нужно понимать, как
работает эта система.

В systemd используется концепция модулей (юнитов). Существующие типы
модулей описаны в таблице 10.1.

Таблица 10.1. Типы модулей системы инициализации systemd

Тип	Описание
service	Служба (сервис, демон), которую нужно запустить. Пример име- ни модуля: network.service. Изначально systemd поддерживала сценарии SysV (чтобы управлять сервисами можно было, как при использовании init), по в последнее время в каталоге /etc/ init.d систем, которые используют systemd, практически нет (или вообще нет), а управление сервисами осуществляется только по- средством systemd
target	Цель. Используется для группировки модулей других типов В systemd нет уровней запуска, вместо них используются цели. На- пример, цель multi-user.targei описывает, какие модули должны быть запущены в многопользовательском режиме
snapshot	Снимок. Используется для сохранения состояния systemd Сним- ки могут использоваться для перевода системы из одного состоя- ния в другое, например, в состояние сна и пробуждение
mount	Точка монтирования Представляет точку монтирования. Система инициализации systemd контролирует все точки монтирования. При использовании systemd файл /etc/fstab уже не главный, хотя все еще может использоваться для определения точек монтирова- ния
automount	Автоматическая точка монтирования. Используется для монтиро- вания сменных носителей — флешек, внешних жестких дисков, оптических дисков и т.д.
socket	Сокет. Представляет сокет, находящийся в файловой системе или в Ингернеге. Поддерживаются сокеты AF_INET, AF_INET6, AF_ UNIX. Реализация довольно интересная. Например, если сервису service! .service соответствует сокет service! .socket, то при попыт- ке установки соединения с service 1.socket будет запущен servicel. service
device	Устрсйство. Представляет устройство в дереве устройств. Работа- ет вместе с udev: если устройство описано в виде правила udev, то его можно представить в systemd в виде модуля device
path	Файл или каталог, созданный где-то в файловой системе
scope	Процесс, который создан извне
slice	Управляет системными процессами. Представляет собой группу иерархически организованных модулей
swap	Представляет область подкачки (раздел подкачки) или файл под- качки (свопа)
timer	Представляет собой таймер системы инициализации systemd

Модули хранятся в следующих каталогах:

•	/etc/systemd/system/ — обладает самым высоким приоритетом. Здесь со-
держатся модули, которые созданы и управляются системным админи-
стратором.

•	/run/systemd/system/ — модули, созданные во время выполнения.
Приоритет этого каталога ниже, чем каталога /etc/systemd/system/, но
выше, чем у /usr/lib/systemd/system.

•	/usr/lib/systemd/system/ — модули, которые установлены из пакетов.

Типичный файл модуля типа service приведен в листинге 10.2.

О
Листинг 10.2. Типичный файл модуля типа service

[Unit]

Description=Daemon to detect crashing apps

After=syslog.target

[Service]

ExecStart=/usr/sbin/abrtd

Type=forking

[Install]

WantedBy=multi-user.target

В секции Unit содержится общая информация о сервисе. Эт а секция есть и в
других модулях, а не только в сервисах.

Секция Service содержит информацию о сервисе. Параметр ExecSiart опи-
сывает команду, которую нужно запустить. Параметр Туре указывает, как
сервис будет уведомлять systemd об окончании запуска.

Секция Install содержит информацию о цели, в которой должен запускаться
серзис. В нашем видно, что сервис будет запущен при активации цели multi-
user.target.

Вы можете использовать эту "болванку'' для написания собственного серви-
са. который потом нужно поместить в файл /etc/systemd/system/имЯ-Сервиса.
service. После этого нужно перезапустить саму systemd, чтобы она узнала о
новом сервисе:

# systemctl daemon-reload

10.3.3. Цели

Теперь поговорим о полях.

Файлы целей *.target предназначены для группировки вместе дру-
гих юнитов systemd через цепочку зависимостей. Так, модуль цели
graphical.target, который используется для запуска графического сеан-
са, запускает системные службы GDM (файл gdm.servlce) и Accounts
Service (accounts-dacmon, service), а также актизирует цель multi-user
target.
В свою очередь, цель multi-user.target запускает другие системные службы,
например, D-Bus (dbus.service) и активирует другие цели вроде basic, target.

В systemd имеются предопределенные цели, которые напоминают стандарт-
ный набор уровней запуска.

| Некоторые цели называются runlevelN.target, чтобы упростить переход
бывших пользователей init на systemd, а именно:

•	poweroff.target (runlevelO.target) — завершение работы и отключение
системы;

•	rescue, target (runlevel 1 .target) — однопользовательский режим, среда вос-
становления;

♦	multi-user.target (runieveJ2 target, runleveB.target, runlevel4.target) —
многопользовательский режим, без графического интерфейса;

•	graphical.target (runleve!5.target) — многопользовательский режим с гра-
фическим интерфейсом;

•	reboot, target (runleve!6.target) — завершение работы и перезагрузка
системы.

Управление службами осуществляется с помощью программы systemctl.
Подробнее о службах мы поговорим чуть позже, а пока разберемся, как ис-
пользовать systemctl для завершения работы системы:

•	systemctl halt — останавливает систему;

•	systemctl poweroff— выключает систему;

•	systemctl reboot — перезагружает систему.

Многим пользователям будет удобнее использовать старые команды halt,
poweroff и reboot. Но все же теперь вы знаете, что есть альтернативные спо-
собы завершения работы.
10.4.	Управление сервисами при использовании

systemd

При использовании системы инициализации systemd управление службами
осуществляется посредством программы systemctl. Команда systemctl ис-
пользуется для разных целей, поэтому в таблице 10.2 представлены не все ее
параметры, а только те, которые имеют отношение к сервисам.

Таблица 10.2. Параметры программы systemctl

Параметр	Описание
start <UMH.service>	Запускает сервис
stop <UMH.service>	Останавливает сервис
restart <uMH.service>	Перезапускает сервис
try-restart <и.мя,serviced	Перезапуск сервиса только, если он запущен
reload < имя services	Перезагружает конфигурацию сервиса
status <uuH.service>	Отображает подробное состояние сервиса
is-acrive <UMH.service>	Отображает только строку active (сервис запу- щен) или inactive (остановлен)
list-units —type service —all	Выводит состояние всех серзисов
enable <-UMS.service>	Включает сервис (обеспечивает его автоматиче- ский запуск)
disable <u.sts.service>	Отключает сервис (сервис не будет автоматиче- ски запускаться при запуске системы)

ГЖ1
reenable < имя service >	Деактивирует сервис и сразу его использует
list-unit-files -type service	Выводит список всех сервисов и сообщает, какие из них активированы, а какие — нет

Примеры:

# systemotl	start httpd.service
# systemctl	stop httpd

Первая команда запускает сервис httpd (веб-сервер), вторая — останавлива-
ет. Обратите внимание, что ".service" можно не указывать.

Бывалые пользователи Linux сразу заметят удобства. Ранее, чтобы отклю-
чить службу на определенном уровне запуска, нужно было удалить ее сим-
волическую ссылку из определенного каталога. Аналогично, чтобы служба
запускалась на определенном уровне запуска (например, в графическом ре-
жиме), нужно было создать символическую ссылку. Сейчас всего этого нет,
а есть только команды enable и disable, что гораздо удобнее.
Глава 11.

Управление процессами
Linux
Сервер на Windows и Linux

лпих

Пришло время поговорить об управлении процессами Linux.

11.1.	Команды /лу, nice и А/7/

11.1.1.	Получение информации о процессе

Современные операционные системы устроены так, что каждому процессу
присваивается уникальный номер — РЮ (Process ID, ИД процесса), исполь-
зуя который можно управлять процессом, например, можно завершить про-
цесс или изменить ею приоритет.

Узнать РЮ можно с помошью команды ps. Команда ps, введенная без |
параметров, просто показывает список процессов, запущенных на
текущем терминале.

.....................

Видно, что сейчас запущен bash и сама команда ps (правда, на момент за-
вершения вывода процесс с ID 3535 уже не будет существовать, но на мо-
мент самого вывода такой процесс существовал), см. рис. 11.1.
Рис. 11.1. Команда ps

iiiiiliiiiliililiiiiiliiiiiiliiif>liiiiitiiiiiiiiiiiiiii>iiiiiiLiiiiiiii>iiiiiiiiiiiiiiiiiiiiiitiiiiiiiiiiiiuii>iii)iiiiiiiiiiiiiiiitiiiiii)iiiiii)iiiit)iiiiiiiiiimiiitiiiiiiiiiiiiiiiiiiimiiiiiu

Параметр -а позволяет вывести список всех процессов пользователя

iiliiiiliiiiiiilliiiiHiiiliiiiiillliiiiiiiiiliiilliiiiii>iiiiiiiiiii<iii|iiii)iiiiiiiiiiiifiiiiiiiiiiiii>iiiiiitiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiHiiiiit»»iiifiiiiiHiiiiuiiiiiiiiliiii>liiiiiiiiiiiHiiiiF

Посмотрите на рис. 11.2 — на консоли tty3 запущена программа nano, на
консоли ttyl — программа ps.

Iroote local host ~ltt as -a
FID	TTY	TIME	CMD

1035	tty3	00:00 00	nano

1041	ttyl	00:00:00	ps

[rootPlocalhost ~llt

Puc. 11.2. Команда ps -a

i nun ..................  nun	nun min iiiiiiHiiiiimiiiiiiiiiiiiiiiiiiiiiiiiliiiiiimiiiliiiiiiiliiiiilimiiiHiiiiuiiiiiiliiiiiiil

Если нужно вывести процессы какого-то определенного пользовате-
ля, тогда используйте параметр -и\

$ ps -u root
Вывести абсолютно все процессы можно с помощью опции -А.

4)iii»iiiiiu)iiiihiiiiihiiiii,iiiiuiii< пони iiiiiiiiiii>iii<iiii>iiiiiiiiiitiiiii<iiiiiiiii*iiiitiitu>itit)iiiiiiiiiiiiiiiiiitiiiiiiiiiiif)iiiiituiiiii»uii)ii iiitiniiMiuiiiiiuiiiiiiiiiiuiiiiiiiiiitiililiililiilitiiiiliiiliiliiiiliiimiiuiiluiiiliiiliiiiliiiiiiiiiliiiiiHiiiiiiliiiiiiiiiiiiiiiiiiiiiiiiiiiiuiiitiiiHiiiiiiiiiiiiiHiiiiiiiiiF

Обрат ите внимание на регистр опции! Поскольку в системе процессов будет
очень много, лучше перенаправить вывод программы на команду less для
более удобного просмотра (рис. 11.3):^

$ ps -A I less

Рис. 11.3а. Команда ps -А [ less (начало вывода;

нн ни ин м,
ни tniuiu .Г
m 11й ии м

(>»В т

ни иитда jn|i.
НИЩН.'НИ <1Ь)Ш

IW) ЯН ЯГ я ГЛ
нм.»й»:ии ixonn

ИИ ИЙ ИИ

ЙЙ'МИ'Ш!

ИилШ.ИН



Рис. 11.36. Команда ps -А | less (завершение вывода)

Г 354 ?
tmiiBiiiiiitiiiiiiiiniiiiiiiniiiiiiHiiiiiuiiiiiuiiiiiimiiiuiiiiiiiiiiiiiiiii

Примечание. Для выхода из программы less нажмите q на клавиа-
туре. Листать вывод можно стрелками вверх и вниз.

.....................................................................Illurtll........Ulllllllf



lllllllilllllllllllllllllllllllllllilllllllllllllllllllllllltllllllllllllHIIIIMIIllKIIIIIIIIIIIIIIUIIIIIIIIIIIIHIIIIIIIIIIIIIIIItlllltllllllllll .

Команда ps сортирует процессы no pid Колонка tty — это терминал,

к которому привязан процесс.

iimiiDiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiMiiiimiiiiiiiiiiliiiiui

Если в этой колонке вы видите знак ?, значит, процесс не привязан ни к
одному из терминалов. Как правило, это системные процессы-службы. Они
запускаются без привязки к терминалу. Чтобы отобразить только процессы
без привязки к терминалу, используется опция -х (рис. 11.4).

Рис. 11.4. Команда ps -х | less

Колонка stat — это состояние, в котором находится процесс. Возможные
значения для этой колонки приведены в таблице 11.1. Обратите внимание:
колонка STAT есть только тогда, когда программа запущена с параметром -х.
Если программа запущена с другими параметрами, например -А, вместо нее
будет колонка time, которая сообщает занимаемое процессом процессорное
время.
Таблица 11.1. Возможные состояния процесса

Состояние	Описание
D	Процесс в непрерывном сне (как правило, ожидает вво- да/вывола)
R	Выполняется в данный момент
S	Ожидание (то есть процесс "спит" менее 20 секунд, после чего он переходит или в состояние R или в состоя- ние D)
т	Процесс остановлен
t	То же, что и Т, но причина остановки — останов отлад- чиком
W	Процесс в свопинге (подкачке)
X	Процесс мертв, вы его никшда не увидите
Z	Процесс-зомби — он уже завершен, во не "похоронен" его родителем, то есть процесс-родитель еще не считал код завершения

У команды ps есть несколько синтаксисов установки параметров. Мы ис-
пользовали BSD-синтаксис. Например, для вывода всех процессов в стан-
дартном синтаксисе используется команда -е, а в нашем случае-А.

Вы вольны использовать любой синтаксис, но в случае с BSD-синтаксисом
программа ps выводит дополнительное состояние процесса (работает по-
добно программе ps в системе BSD).

Дополнительное состояние процесса описано в таблице 11.2.
Таблица 11.2. Дополнительное состояние процесса (BSD-синтаксис)

Состояние	Описание
<	Высокий приоритет
N	Низкий приоритет
L	У процесса есть страницы, заблокированные в памяти
S	Эю лидер сессии
1	Процесс является многопотоковым
+	Находится на первом плане в группе процессов

Последняя колонка вывода ps — это CMD. Она содержит команду, которой
был запущен процесс. Не просто название исполнимою файла, но путь (если
он был указан в команде) и переданные программе параметры.

Если программа была запущена без указания полного пути к исполнимому
файлу и вы хотите знать, где он находится, введите команду which, напри-
мер:

$ which nano
/bin/nano

Если вам нужно узнать РЮ определенного процесса, но вам не хочется про-
сматривать длинный список системных процессов, используйте команду
grep как фильтр. Например, следующая команда позволит нам узнать PID
пооцессаsshd(это SSH-сервер):^

# ps -A | grep sshd

Если такой процесс не запущен, вывод будет пуст. Или же вы получите вы-
вод вроде этого:
929 700:00:00 sshd

11.1.2.	Изменение приоритета процесса

Когда мы знаем РЮ процесса, мы можем изменить его приоритет. В неко-
торых случаях полезно изменить приоритет процесса. Например, можно по-
высить приоритет процесса, выполняющего резервное копирование, чтобы
программа успела за ночь создать все необходимые резервные копии и что-
бы этот процесс утром не мешал нормальной работе сервера.

Запустить программу с определенным приоритетом можно командой nice:

# nice -п <приоритет> команда аргументы

Здесь приоритет задается от -20 (максимальный приоритет) до 19 (мини-
мальный). Если процесс уже был запущен и вы не можете его прерывать, но

повысить приоритет нужно, используйте команду гетсе:

# renice -п <приоритет> -р PID

11.1.3.	Аварийное завершение процесса

Если процесс завис и его нельзя завершить, как обычно, тогда для его ава-
рийного завершения используется команда kill. Формат вызова этой ко-
манды следующий:-"^

$ kill [опции] PID

Конечно, перед этим нужно узнать РЮ процесса. На рис. 11.5 изображена
команда kill в действии: сначала я вывел список процессов, чтобы узнать
PID процесса паг.о (1035), затем я ввел команду kill 1035, чтобы "убить1'
этот процесс. Наконец, я вывел список процессов еще раз, чтобы убедиться,
что процесс nano завершен.
I ruotOloiо lliust lit ps П
I-Ш TTY	TIME	CMD

1Й35 tty3	00:00:00	nano

1125 ttijl	00:00:00	ps

I ror>tP locn 1 host “Jit Kill 101*
I. roo tU local host “lit

Puc. U.S. Использование команды kill

Используя параметры программы, можно по-разному завершить процесс.
Самый эффективный сигнал 9 (KILL) — означает аварийное завершение
процесса. Программа нс может игнорировать или как-либо обработать этот
процесс.

IIIIIDIIIIilllllllllllllllllllKlllllllllllllllll lllllllllllbllllll>l1llllllllll>IIIIIIIIIIIIIUIIIIII>llllUllllllllllllllllllllllllllllllllllllllllllllllltllllllllllinilll<............1........

Если нужно попытаться корректно завершить работу программы, ей
отправляют сигнал 15 (TERM), означающий, что программа должна
освободить все занятые ресурсы, сохранить все данные.

iiiiiiiiiHiiiiiiniiiiiiiiiiiiHiiiiiiiiimiiiiiiiiiiiiiiiiiiHiiiiiiiiiiiiiiiiiiiiiiiiniiiiiiiiiiiiiiiuiiiiniiiiiiiii

imiiiiiiniiih

Вот только если программа зависла и не отвечает на запросы пользователя,
этот сигнал мало чем поможет, но попытаться стоит.

Сигнал 19 (STOP) позволяет временно приостановить работу про-
граммы, а сигнал 18 (CONT) — возобновить приостановленный ранее |
процесс.

Для сетевых служб полезен сигнал 1 (HUP), означающий, что процесс дол-
жен перезапуститься и перечитать файл конфигурации. Полезно, когда вы
изменили файл конфигурации и хотите, чтобы демон был перезапущен (хотя

Ф
для этого правильнее использовать команду service). Обычная программа
при получении сигнала 1 завершает работу.

Пример отправки сигнала;

$ kill -9 1035

Если вам лень получать PID процесса, можно завершить его и по имени, ис-
пользуя команду killall, например:

$ killall na.no

Вот только если в вашей системе есть два процесса с именем папо, напри-
мер, один на консоли tty2, а другой — на tty4, то будут завершены оба
процесса. Если это го, чю вам нужно, используйте killall, в противном
случае лучше использовать команду kill для завершения именно того про-
цесса, который можно завершить.

| Еще есть команда xkill, позволяющая "убить" программу, имеющую
графический интерфейс.

Такие программы можно завершить и командой kill, но прсчрамма xkill
предоставляет графический метод завершения. После ввода этой команды
указатель мыши примет вид черепа. Для завершения программы нужно щел-
кнуть по се окну.

11,2.	Команда top

Как было отмечено ранее, программа ps по умолчанию сортирует процессы
по колонке P1D, а не по колонке т [ME. Конечно, можно использовать раз-
личные параметры программы, чтобы добиться нужного нам вывода, но все
равно программа не будет показывать ситуацию в реальном времени. Если
же вам нужно знать, что происходит с вашими процессами в реальном вре-
мени, вам нужно использовать программу top (рис 11.6).


Рис. 11.6. Команда top

Назначение колонок программы описано в таблице 11.3.

Таблица 11.3. Колонки программы top

Колонка	Описание
PID	PID процесса
USER	Владелец процесса (пользователь, запустивший про- грамму)
PR	Приоритет процесса
NI	Значение nice (см. ранее)
VIRT	Виртуальная память, которая используется процессом
RES	Размер процесса, который не перемещается в область подкачки
SHR	Разделяемая память, используемая процессом
S	Состояние процесса (см. табл. 11.1)
%CPU	Процессорное время, занимаемое процессом в данный момент
%МЕМ	Память, используемая процессом
TIME+	Процессорное время, которое было потрачено с момента запуска процесса
COMMAND	Команда запуска процесса

При просмотре списка программы top вы можете управлять сортировкой
процессов с помощью нажатия клавиши F, которая изменяет колонку, пс ко-
торой сортируется список процессов (рис. 11.7). По умолчанию сортировка
выполняется по колонке % CPU.

Рис. 11.7. Вибор колонки, по которой осуществляется сортировка

Нажатие клавиши <Ь> показывает только процессы определенного пользо -
вателя. После нажатия <U> нужно будет ввести имя пользователя, процессы
которого вы хотите просмотреть, или нажать Enter, чтобы просмотреть про-
цессы всех пользователей.

11.3.	Информация об исполыовашш итчи »
дисковою прос гране i ва

Хотя управление памятью и дисковым пространством не совсем относит-
ся к управлению процессами, но эти самые процессы активно "поедают''
как память, так и дисковое пространство, поэтому иногда полезно знать, как
просмотреть информацию об использовании памяти (команда free) и дис-
кового пространства (команда df), см. рис. 11.8.

1 mtH U |<н:<| 1 ho > Г	1Л i rt					
	Lo 1	ItSIJfl	free	shit rod	buf Г /cut. h«.	avajInbio
tom:	ZH3T		137.9НИ	п»пг4‘л.	HI 6	37.4372	17X07'14
Зимр:	IZ4	И	Z096IZ4			
1 гопIP localhost	* JU elf	— и				
I’ilcsystem	I		Ised rtvd1 1 U:	sex Mounted			
tcvtmpfs	яггм	и чн zn	Их /dev			
1 mpi s	H6M	И J Jhn	Ox /dey/slw			
tmpfs	*	1Ч11Г1	<	I0BK 996M	!z /run			
i mp! s	)‘J6M 1 ЯО 1		их /sys/rs*	'C(jrnup		
t mill's	‘	1О1Л J  )96M t		lx ztmp			
tmpf s		И бИоП	Их /run/ust			
t.mjif s	'НИМ	0 7.ИИН	Их jZruiixuSi	1Г/1ИНИ		
1rnntPhicrtihost						

Рис. 1J. 8. Команды free и df -Н

Программа free выводит информацию об использовании памяти
(Мет) и подкачки (Swap). Колонка total — это общее количестпо памя-
ти в килобайтах, used — использованное количество памяти (тоже в
килобайтах), free — свободно памяти, shared— разделяемая память,
buff/cache — размер кэша, available — общий объем доступной
памяти.

Параметр -Н команды df означает вывод информации об объеме в удобных
для восприятия человеком единицах, то есть в мегабайтах и гигабайтах.
Обратите внимание на значение buff/cache в выводе команды free. Оно
показывает, сколько памяти задействовано под буфер ввода/вывода и кэш.
В нашем случае (рис. 11.8) — примерно 323 Мб. На реальном сервере это
значение будет гораздо выше. Немного освободить память можно, очистив
кэш. Для этого введите команду.

sync; echo 3 > /proc/sys/vm/drop_caches

Сначала мы командой sync сбрасываем содержимое буферов на диск, а за-
тем уничтожаем кэш. Если просмотреть затем информацию об использова-
нии памяти, то вы увидите, что размер кэша был уменьшен почти в три раза
(рис. 11.9). Однако помните, что эта команда может негативно отразиться
на стабильности системы и на скорости ее работы. Не всегда очистка кэша
таким вот варварским образом — это хорошо.

ГсиюТЛ?loca	Hrost lit f	ree				
	total		used	free	shared	buff/cache	avai labie
firm:	2039768	132900		1582496	016	324372	1720744
Swap:	2096124		й	2096124		
Il root» local host “lit df -h						
Fi 1 esystem	Size	Used	Avail	Usez Mounted on		
devtmpfs	987M	0	987M	0/ /dev		
impf s	996M	И	996M	0Z zdev/shm ,		
tmpfs	996M	808K	99611	lx /run		
tmpfs	996M	0	996M	0X /sys/fs/cgrcnp		
^dev/sdal	18G	1.3G	17G	7x /		
tmpf s	996M	8.0K	99611	lx /tmp		
tmpfs	Z00M	0	Z00M	0/ zrun/user/0		
tmpf s	Z00M	0	Z00M	0X /run/user/1000		
11 roots local hOst "'Jit sync: <			scho 3	> /proc/sus/vmzdrop_caches		
1root®1oca	I host ~HI free					
	total		used	f rce	shared	buf f/cache	avallabie
Mem	2039768	117052		1000844	016	113072	1771460
Swap:	20961Z4		0	2096124		

IrootGlocalhost ~ltt

Рис. 11.9. До и после ввода команды sync; echo 3 > /proc/sys/va/
diop_caches

11.4.	Команда //о.с/

I Команда fuser позволяет узнать, какой процесс открыл тот или иной
ресурс, например, файл или сетевой порт.
Примеры использования программы:

fuser -va 23/tcp

fuser -va /chroot/etc/resolv.conf

В первом случае мы получим идентификатор процесса, открывшего ТСР-
порт 23, во втором — идентификатор процесса, открывшего файл /chrooi/etc/
resolv.conf. Что делать далее — - решать вам, например, можно "убить" этот
процесс командой kill.

11.5-	Планировщики заданий

11.5.1. Планировщик cron

Планировщик заданий нужен для периодического выполнения
каких-либо заданий.

Задания могут быть самыми разнообразными — очистка временного ката-
лога для экономии места, очистка кэша, обновление баз антивируса, запу-
щенного на почтовом сервере и т.д. Никаких ограничений нет — вы можете
написать па bash небольшой сценарий с необходимыми вам действиями, а
затем настроить планировщик для его псриодическогб выполнения.

Самый древний планировщик заданий — cron. Он появился еще во времена
первых версий UNIX. Но примечагельно то, что в современных дистрибу-
тивах используется его модифицированная версия, которая настраивается
практически так же. Так, в современных версиях дистрибутивов openSUSE
и Fedora используется демон cronic, который является потомком того самого
демона cron.

Не будем вникать в тонкости новой версии, а просто разберемся, как ее
настроить. Как и в том самом cron, в cronie есть файл /etc/crontab — это
таблица расписания планировщика задач.

Формат записей в этом файле следующий:
минуты (0-59) часы (0-23) день (1-31) месяц (1-12) дснь_недели
(0-6, 0 — Вс) команда

В листинге 11.1 приведен пример этого файла по умолчании».

Листинг 11.1. Пример файла /etc/crontab

SHELL=/bin/bash

PATH=/usr/bin:/usr/sbin:/sbin:/bin:/usr/llb/news/bin

MAILTO=root

-*.15 * * * * root test -x /usr/lib/cron/run-crons && /usr/lib/-
cron/run-crons >/dev/null 2>&1

Примечание. Просмотреть (даже просмотреть, не говоря уже о моди-
фикации!) файл /etc/crontab может только пользователь roof. Поэтому
сначала нужно получить права root, а затем уже что-либо делать с
файлом /etc/crontab.

Переменная SHELL задает путь к оболочке, PATH - путь поиска программ,
a MAILTO определяет имя пользователя, которому будет отправлен отчет
о выполнении расписания. В таблице расписания всего одна запись — она
проверяет наличие сценариев в каталогах cron.hourly, cron,daily, cron.weekly
и cron.monthly и их выполнение. Об этом мы поговорим чуть позже.

Представим, что вам нужно выполнять какой-то сценарий каждый день в
8:30. Для этого в /etc/cromab нужно добавить строку:

30	8

/usr/bin/script arguments

Однако планировщик предлагает более удобный способ изменения таблицы
расписания. Представим, что у вас есть команда, которую нужно выполнять
периодически.

Создайте файл myscript со следующим содержимым
#/bin/bash

/путь/ myscript аргументы

Сохраните файл и установите право выполнения для этого файла:

chmod +х myscript

Только что вы создали простейший сценарий, который просто выполняет
вашу команду с заданными аргументами. При желании, необходимости и
знании bash (информацию по этой оболочке вы без особых проблем найдете
в Интернете) вы можете усовершенствовать этот сценарий.

После того, как сценарий создан, его нужно поместить в один из каталогов:

•	/etc/cron.hourly — содержит сценарии, которые будут выполняться каж-
дый час;

•	/etc/cron.daily — содержит сценарии, который будут выполняться еже-
дневно;

•	/etc/cron.weekly — сюда нужно поместить сценарии, которые будут вы-
полняться еженедельно;

•	/etc/cron.monthly — содержит сценарии, которые будут выполнены раз
в месяц.

Просто поместите сценарий в один из этих каталогов и положитесь на cron
— далее вашего вмешательства не требуется.

Также существует возможность создать отдельное расписание для
каждого пользователя. Для этого используется команда crontab.

Однако такая возможность на современных серверах (когда пользователи
не работают с терминалом сервера непосредственно) используется доволь-
но редко. При этом в файл /erc/cron.deny заносятся пользователи, которым
запрещено использовать планировщик cron. Если вам нужно отредактиро-
вать таблицу расписания для каждого пользователя, используйте команду
crontab.
В большинстве случаев команда будет такой:

crontab -е -и <имя пользсвателя>

После этого откроется текстовый редактор (определенный в переменной
окружения EDITOR) для редактирования таблицы расписания указанного
пользователя. Синтаксис такой же, как для общесистемной таблицы распи-
сания.

11.5.2. Планировщик апасгоп

Планировщик апасгоп — еще один форк старого доброго планировщика
стоп. Ситуация с апасгоп такая когда стало понятно, что cron устарел, на-
чали появляться альтернативные планировщики, подобные ему. У каждого
из них были свои преимущества и недостатки, но некоторые разработчики
дистрибутивов остановили свой выбор на планировщике апасгоп Однако
прошло время, и сейчас этот планировщик практически не используется. В
основном используется планировщик cronie, который настраивается прак-
тически так же, как и cron, что и было показано ранее.

Конечно, вам могут встретиться дистрибутивы, в которых по каким-то при-
чинам используется апасгоп. Как правило, это устаревшие версии дистрибу-
тивов. Если же вы обнаружили апасгоп в современной версии дистрибути-
ва, то, скорее всего, это личное предпочтение разработ чиков дистрибутивов.

Основное "визуальное" отличие этого планировщика — наличие фай-
ла /etc/anacrontab вместо просто /etc/crontab

iiiniiiiHiiMiiiiiiiiNiiiuiiiiiiHiiiiiiiHiiHiiiiiiiniiiiiiiiuiiHiiiiiiiiHiiimiiiiiiiiiiiiiiiiiiiiiiiiiiiiifiiiRiiiiuiiiiiiiiiiiiniiiiiii 1111111111111 iiiiiuiiiniuiiiuiiiiiimiiiiiiiiiiniiiiuiiiiiiiiiiiiniimiiiniiiuiiiiuiiiiiiiiiiiniiiiiiiiiiiiiniiiiiiiiiiiHiiiiiiMiiniiiiiiiiiiiimimiitiiiiNiiiiiiiNiiiiiiiiiiiiiiiiiiiniii

Формат записей также другой:

Период

Задержка

1D	Команда

Пример таблицы расписания anacrontab:

1 5	cron.daily	run-parts	/etc/cron.daily

7 10	cron.weekly	run-parts	/etc/cron.weekly

30 75	cron.monthly	run-parts	/etc/cron.monthly
Принцип прост: как и в предыдущем случае, вам нужно поместить ваш
сценарий в один из каталогов /etc/ci on.daily, /etc/сгоп.weekly или /etc/cron
monthly (каталога cron.hourly для этого планировщика не было предусмо-
трено).

По сути, как только вы увидели каталоги cron.daily, cron.weekly или cron
monthly, можете сразу помещать в них свои сценарии, особо не разбираясь,
какой планировщик установлен. Самое главное, чтобы служба cron была
включена.

Глава 12.

Пользователи и группы
12.1. Введение в учетные записи Linux

Операционная система Linux поддерживает регистрацию и одновременную
работу множества пользователей. Обратите внимание: именно одновремен-
ную работу. Раньше, еще во времена UNIX, были компьютеры, к которым
подключалось несколько мониторов и клавиатур

Каждый комплект мснитор+клавиат/ра назывался терминалом и пред-
ставлял собой отдельное рабочее место пользователя Пользователь
входил в систему, а его рабочее место в системе отображалось как
ttyN, где N — номер рабочего места.

Сегодня такие компьютеры уже более не востребованы, их вытеснили персо-
нальные компьютеры, которые и стали называться персональными, посколь-
ку предполагают подключение только одного рабочего места. Мониторов
можно подключить несколько, а устройство ввода — клавиатура — будет
одна. Но даже на таких компьютерах возможна одновременная работа
нескольких пользователей. Например, вы можете войти в систему как обыч
но — посредством графического интерфейса. Другие пользователи смогут
войти через ssh или FTP. И все вы будете работать с системой одновременно.
SSH-пользователи смогут выполнять команды и получать результат их вы-
полнения, FTP-пользователи — обмениваться с вашим компьютером файла-

ми.
Все учетные записи можно разделить на три вида

1.	Учетные записи обычных пользователей;

2.	Учетные записи системных служб;

3.	Учетная запись root.

С учетными записями обычных пользователей все ясно — они имеют право
входить в систему разными способами (если тот или иной способ не запре-
щен настройками системы), для них определен домашний каталог (обычно
/йоте/<имя_пользователя>), пароль и командная оболочка (как правило, в
последнее время используется /binArash).

Права обычных учетных записей:

•	Право на вход в систему — по умолчанию обычный пользователь мо-
жет войти в систему самыми разными способами, если это не ограничено
настройками системы (например, модулями РАМ). Пользователь может
войти локально — через консоль или в графическом режиме через
дисплей-менеджер вроде gdm. Также никто не запрещает (опять-таки
по умолчанию) удаленный вход, например, по SSH или FTP, если на
компьютере, в который осуществляется вход, установлены соответству-
ющие службы.

•	Право на запуск программ, не требующих для своего выполнения
прав root — как правило, такие программы находятся в каталогах /bin
и /usr/bin. А вот из каталога /sbin запустить программу может только су-
перпользователь. Программы, действие которых распространяется на
всю систему, например, программы изменения сетевых интерфейсов,
программы разметки диска, находятся в каталоге /sbin (super-bin). Что
бы запустить эти программы, пользователю нужно получить полномочия
root О том, как это сделать, будет сказано в следующем разделе.

•	Обычный пользователь может создавать, удалять, читать, изменять,
запускать, устанавливать права и выполнять другие операции над фай-
лами, которые находятся в его домашнем каталоге. Как правило, это ка-
тало!’ /Ьоте/<имя_пользователя>. Хотя администратор может назначить
пользователю любой другой каталог, хоть /users/bagira, как правило, этого
никто не делает. Каталог /home может находиться физически на одном
разделе, что и ксоневая файловая система, а может находиться на другом
разделе и даже на другом диске. На крупных серверах, как правило, под
/home отводят целый диск или даже создают RAID-массивы дисков.

•	Право на чтение файлов — обычный пользователь может читать боль-
шую часть файлов за пределами домашнего каталога. Исключения раз-
ве что составляют домашние каталоги других пользоват елей (если эти
другие пользователи явно не разрешили этому пользователю читать их
файлы) и некоторые файлы/каталоги в /etc. Например, файл /etc/passwd
могут читать вое пользователи, а вот файл /etc/shadow — только root.

•	Пользователь не имеет право вносить изменения в конфигурацию
всей системы, то есть устанавливать программы, изменять глобальные
настройки устройств, параметры ядра, параметры загрузчика и т.д.

•	Пользователь имеет право изменить свои пользовательские параме-
тры, например, обои рабочего стола, некоторые переменные окружения,
которые будут влиять только на его работу и т.д.

•	Право на изменение своего пароля, но обычный пользователь не имеет
право изменять пароли других пользователей.

Учетные записи системных служб не имеют право входить в систему. Для
них не задан ни пароль, ни домашний каталог, а в качестве оболочки исполь-
зуется /bin/true или /bin/false — чтобы пользователь, используя учетную за-
пись службы, не мог войти в систему через консоль. От имени таких учетных
записей выполняются различные службы, например, от имени пользователя
www-data выполняется веб-сервер, gdm — учетная запись для GNOME
Display Manager и т.д,

Пользователь root — пользователь с максимальными правами, он может де-
лагь все:

•	Право на изменение любого файла — root может читать, записывать,
удалять любые файлы, в том числе и файлы, в домашних каталогах других
пользователей.

•	Право на изменение конфигурации системы — пользователь root мо-
жет изменять конфигурацию систему посредством редактирования фай-
лов в каталоге ''etc, /ргос, запуска конфигураторов системы.

•	Право па запуск любых программ — root может запустить любую
программу, в каком бы каталоге она ни находилась.
•	Право на создание, удаление, изменение (в том числе изменение паро-
ля) других учетных записей.

•	Право на установку и удаление программ.

Власть пользователя root неограниченна. Так было до определенного мо-
мента, пока не появились системы принудительного контроля доступа вроде
SELinux, LIDS, Tomoyo, которые могут ограничить даже самого root. Вот
только беда подобных систем в том, что по умолчанию они неактивны или
даже не установлены, поэтому пока их не активировать, пользователь root
будет все равно самым главным.

Примечание. Напомним, что когда у вас привилегии пользователя
root, приглашение командной строки заканчивается символом #, а ког-
да вы работаете как обычный пользователь — $

12-2* Получение полномочий root

Самый простой способ получить права root — это войти как root. То есть
при входе в систему еы указываете имя пользователя root и пароль, указан-
ный при установке Проблема в том, что не во всех дистрибутивах этот трюк
сработает.

Учитывая вою опасность, которую несет использование учетной за-
писи root, во многих дистрибутивах учетная запись root отключена, а
вход как root ограничен самыми разными способами.

Например, ь том же дистрибутиве Ubuntu учетная запись root попросту
отключена. Включать учетную запись root не рекомендуется — ведь злоу
мышленник знает, что учетка root есть везде и ему не придется угадывать
имя пользователя, останется только подобрать пароль mot. Л так вы исклю-
чаете даже саму возможность входа как root. Тем более права root можно по-
лучить другим образом, о кодером мы поговорим далее. Л пока рассмотрим
способы блокировки входа (кроме отключения учетной записи) root.

•
Часто вход как root ограничен на уровне менеджера дисплея В дистрибути-
вах, где используется графическая среда KDE и менеджер экрана KDM (К
Display Manager), нужно отредактировать файл /etc/altematives/kdm4-config.
В нем нужно найти директиву AllowRootLogin и присвоить ей значение true,
чем вы разрешите вход как root в графическом режиме.

При использовании GDM (Gnome Display Manager) вход как root ограничен
не столько конфигурацией самого GDM, сколько РАМ-модулями. Нужно
открыть ''etc/pam.d/gdm-password и найти строку, отвечающую за запрет вхо-
да как root (рис. 12.1). Ока может выглядеть, например, так:

Рис. 12.1. Файл .'etc/pam.d/gdm-passwtml

Некоторые дистрибутивы разрешают заходить как root даже в графическом
режиме. Просто они отображают предупреждение о том, что работать как
root небезопасно. Пример такого дистрибутива — Cer.tOS

Настоятельно рекомендуется работать в системе как обычный пользователь,
а максимальные права получать только тогда, когда они вам действительно
нужны. Например, когда понадобится загустить какую то программу, требу-
ющую права root. При этом вам особо ничего не придется делать, кроме как
ввест и пароль.
Рассмотрим пример. Вы установили Ubuntu, при установке создали учетную
запись ubuntu и задали пароль. По умолчанию инсталлятор создает первую
учетную запись так, что она вносится в файл sudoers. В этом файле указы-
ваются все учетные записи, имеющие право выполнять административные
задачи. Когда вы попытаетесь выполнить одну из таких задач, например, до-
бавить нового пользователя, графический интерфейс автоматически запро-
сит у вас ваш пароль. Эго будет не пароль root, а ваш пароль, то есть пароль
пользователя ubuntu (рис. 12 2). Ему разрешено выполнять административ-
ные задачи, просто система пытается убедиться, что вы - это вы, а не некто,
кто оказался за вашим компьютером во время вашего отсутствия.

Рис. 12.2. К вод пользователя

Когда же вам нужна командная строка с правами root, не обязательно даже
переключаться в консоль. Достаточно открыть терминал и ввести команду
su. Она попросит вас ввести пароль root. После ввода пароля вы получаете
терминал с правами root. Это означает, что все команды, котовые вы будете
вводить после ввода команды su и успешной аутентификации, будут выпол-
няться с правами root.

I Примечание. Если учетная запись root отключена, то вы не сможете
использовать команду sudo, так как она предполагает ввод пароля
root, а вы его не знаете.
Когда вы единственный администратор, команда su — идеальный вариант
Но когда администраторов несколько, команда su — не выход, поскольку
пароль root нужно будет сообщить всем остальным администраторам. Если
потом возникнет нестандартная ситуация, выяснить, кто виноват, будет
сложнее.

На этот случай у пользователя root могут быть доверенные лица. Это может
быть помощник администратора, его заместитель — называйте, как хотите.
Есть лица, которым разрешено получать права root. Такие лица вносятся в
файл /etc/sudoers.

Редактировать файл /etc/sudoers можно только через команду visudo (рис.
12.3):

export EDITOR=nano
sudo visudo

Рис. 12.3. Редактирование файла/etc/sudoers

Первая команда устанавливает переменную окружения EDITOR, задающую
удобный текстовый редактор, который будет использоьан для /etc/sudoers.
Вторая команда вызывает утилиту для редактирования файла /etc/sudoers.

Представим, что у нас есть пользователь bagira. которому нужно разрешить
делать все, что можно пользователю root.
Для этого нужно добавить в /etc/sudoers запись вида:

bagira ALL=(ALL:ALL) ALL

Можно также добавить запись:

%sudoALL=(ALL:ALL) ALL

Она означает, что членам группы sudo можно делать все, что можно делать
пользователю root. Тогда всех администраторов-помощников нужно доба-
вить в группу sudo (далее будет показано, как это сделать).

Сохранил о файл и выйдите из редактора. Войдите ка к пользовал ель, кол о-
рому вы предоставили право sudo. В нашем случае это пользователь hagira.
Далее введите команду, которая требует прав root, через команду sudo:

sudo <команда>

Например:

sudo aptitude

Обратите внимание: система запрашивает пароль пользователя, а
не пароль root. Пользователе указывает свой пароль, а система знает,
что ему разрешено получать права root. В итоге наши помощники не
знают пароль root и смогут выполнять определенные действия с пра-
вами root под своим именем

Посмотрите на рис. 12.4. Хотя пользователь внесен в sudoers, ему отказано в
доступе при попытке запуска программы, требующей максимальные права
Системе нужно указать, что вы явно хотите запустить такую программу и
предоставить максимальные права. Для этого нужно использовать команду
sudo, а в качестве аргумента - передать ей команду, которую вы хотите за-
пустить с максимальными правами:

sudo visudo
Рис. 12.4. Нюанс запуска программы с максимальными нравами

Контролировать получение прав sudo можно командой1:

# tail /var/log/auth.log | grep sudo

Посмотрите на рис. 12.5. Например, 4 июля 2020 года в 8:56 пользователь
ubuntu пытался выполнить команду sudo для выполнения команды tail /var/
log/secure. То есть в журнале отображаются не только попытки использова-
ния sudo, но и журналируются даже вводимые пользователями команды.

Если вам нужно получить некоторый анало1 команды su, чтобы вы могли
вводить сразу неограниченное количество команд с максимальными права-
ми без приставки sudo, используйте следующий трюк — запустите с макси-
мальными правами оболочку bash. Все команды, вводимые в этой оболочке,
будут выполнены с максимальными правами:^

sudo bash

Закрыть такой сеанс можно командой exit.

Б некоторых дистрибутивах журнал аутентификации называется secure, а не auth.log
Рис. 12.5. Журнал аутентификации sec ure

Прежде, чем перейти к следующему разделу, разберемся, как включить учет-

ную запись root в Ubuntu. Для этого нужно просто задать пароль:

sudo passwa root

Сначала нужно ввести ваш пароль, затем новый пароль для root, после этого
— подтвердить пароль. После этого вы сможете войти в систему как mot в
консоли. Для входа в графическом режиме нужно редактировать файл, отно-
сящийся к РЛМ, как было сказано ранее. Отметим, что активация пользова-
теля root — занятие небезопасное, гораздо правильнее использовать коман-
ду sudo. На личном компьютере еще такое мероприятие допускается, но на
сервере — такое делать воспрещено.

123. Управление учетными записями пользователей

12.3.1.	Создание учетной записи пользователя

Создагь новую учетную запись пользователя можно командой adduser или
useradd. Чаще всего используется именно первая команда, вторая использу-
ется гораздо реже.
В большинстве случаев adduser просто добавляет в файл /etc/passwd учет-
ную запись пользователя. В дистрибутивах Debian и Lbuntu команда adduser
запрашивает контактную информацию (полное имя пользователя, номера
телефонов и т.д.), а также сразу устанавливает пароль пользователя (рис.
12.6).

Рис. 12.6. Создание нового пользователя в Ubuntu 20.04

Если в вашем дистрибутиве команда adduser не запросила пароль пользо-
вателя, а просто добавила его учетную запись, тогда вам нужно еще ввести
команду passwd <имя п<мъзователя> для установки его пароля, иначе поль-
зователь не сможет войти в сист ему.

Итак, в одних дистрибутивах достаточно команды

# adduser <имя>

В других же нужно ввести две команды:

# adduser <имя>

# passwd <пароль>
Напомню, что для добавления учетной записи пользователя нужны
права root, которые пользователь может получить через su или sudo,
если он внесен в /etc/sudoers и ему разрешена операция добавления
пользователя.

12.3.2.	Файлы /etc/passwd и /ctc/shadow

При добавлении учетной записи происходят следующие действия (вкратце):

•	Добавляется запись в файл /etc/passwd — это небольшая база данных о
пользователях в текстовом формате. Этот файл могут просмотреть все
пользователи.

•	Если при создании учетной записи утилита запрашивает пароль, го он
будет внесен в файл /etc/shaoow. Пароли в этом файле хранятся в зашиф-
рованном виде, а доступ имеет только mot. Команда passwd <имя>, из-
меняющая пароль пользователя, вносит изменения как раз в этот файл.

•	Создается домашний каталог /Ьоте/<имя>, и в него копируется содержи-
мое каталога /etc/skel.

•	Создается почтовый ящик пользователя в каталоге /var/spool/mail.

•	Владельцем каталога /Ьоте/<имя> и всех файлов и каталогов в нем
назначается создаваемый пользователь.

Рассмотрим формат файла /etc/passwd:

имя_пользователя:пароль:UID:GID:полное_имя:домашний_ каталог:оболочка

Вот фрагмент этого файла:

ubuntu:х:1000:1000:ubuntu:/home/ubuntu:/bin/bash
bagira:x:1001:1001::/home/bagi ra:/bin/bash
епМьхтсп

MJe*rrn.

hNMMma

motv conf

12 proxy :x: 13: Us proxy: /bln: /usr/sbtn/nologtn

13 wwwMtcxUliUiwww.datei/var/snru.'/usr/sbln/nologtn
H bockvpi*: 3<f 3<rbackup: /v<r/Mckupit fvtr/tblo/nelogln

10 Ireixi M:39:tredt/var/run/Ircdi/u*r/sbln/nologln

17 gn*ts:x:4>:4i:Cn«t» bug-ftepor tup System (•d*ln}T/var/llb/gnatc:/u*r/*bln/ooL«gln

HP nobody!)«:6S53<t«S34:nobody;/nonexistent:/u»r/»btn/nologin

it sy*tend-net>rtrk:xtlM:ie2:«ysttnd Network Hanagenent,,, i/run/systeod:/usr/sbtri/nologln

M systend-reiolvpixriei;1P3:systend Resolver,,,;/rwn/sy»tendi/usr/sbtn/nologin

21 syttoM-ttaesyocx: ieJ:lM:sy»te*d tine $ynchronlt<tlon.. ,t/run/»ystoAd;/usr/sbln/nologtn

, 3j22 npcsegebus:*: 183:184: :/nonex(stent'./vsr/»btn/noUgln

]l> syslog:x;164:116::/hofle/*yslog:/usr/»btn/nologlft
(24 _ept:x;165:6$534::/nonexlstent:/usr/sbln/nologtn

JiP и<Л<М:х:187: 114:: /run/ijutd<l:/«»r/sbln/nolagtn

127 tcpdunp:xf IM: 115:: /nonexistent:/usr/sbtn/nelogln

j'26 avahl-<vtolpd:x: 189- >l»:*v<hl evtolp deer>on.,,;/ver/Hb/<v<hl-<utolpd;/u»r/sbln/nolopl''

2» u*bnux:x:li6r44:usb»wx daenon.

J 31 dnsn*sq:x: 112:6$U4:dnsMiq,

., :/v*r/ltb/u*twejx: /utr/sbln/nolcflln

: / prec:/u*r / »M«i/погод t n

: /ver/llb/ntsc: /usr/sbln/rsologln

for cops-pk>helper service.:/hone/cvp»-pk-helj>ert/vsr/*bln/-

nolog I q

Ktch-dtspatcber:xiii4:29:Spee<h Otspatcher,,.t/run/»peech-dlspetcber;/trtn/f8lee
hl;x:llt:12l:Av*hl nOHS d«enon., . i/ver/run/<vaM.-d*enon:/usr/sbtn/nolegtn

JS kernoops:x;iM.-eSS34:i<ernfl Oops trecklng Deepen,., :/t /usr/sbln/nplogln

' 30 s<nM:x;li7:123: :/v»r/llb/saned:/usr/ibln/nologln

37 nn-opeovpnixilUilil-.NetworkJHnjper Open Wi,,,;/var/It b/openvpn/crrroot:/usr/»btn/nologtn

31 hpltp:x:lU:7:HPLI» systeti user,..  /run/hpltp:/btn/felse

39 wtioopsle:xil26tl25 /nonexistent:/bln/f»lie

46 colord:x:121:IIP:rolord colour neeagenent dwnon,,,: /vir/llb/colord: /uir/ebtn/rioloflte
> 41 geoclue:x:122U27t :/ver/l<b/geocluet/u»r/sbln/noloftn

42 pul»e:x:12»:12eti,ulse4vdto deenon,, .;/v»r/rye/pul*e:/u«r/tbtn/nologln

43 g<w* initial-setup:*: J24ie«34n/run/gnewf-tnttUl •»etup/:/bln/t*Ue

At

I n / fa I se

<e systevnJ-coce<JvjTti:x:wo-9»;4y»te»>d Core Ounper ;/;/usr/tbln/nologln
47 bagirejx: jOOlilPP! :Begtra,., :/hone/baelre(/Mn/bath

сто «$,<7*6

ir>(H4d

Oasn.
busier

bastcoftf



Puc. 12.7. Файл /eic/passwd

Формат файла /etc/passwd приведен в таблице 12.1.

Таблица 12.1. Формат файла /etc/passwd

Номер поля	Название	Описание
1	Имя пользователя	Имя, использующееся при входе в систе- му
2	Пароль	Поскольку пароль пользователя хранит- ся в файле /etc/shadow, то в файле /etc/ passwd вместо пароля просто указывает- ся символ 'х'
3	UID	Идентификатор пользователя
4	GID	Идентификатор группы пользователя
5	Полное кмя поль- зователя	Устанавливается администратором и ни на что не влияет. В крупных организа- циях имя пользователя помогает устано- вить контакт с пользователем. Это поле может также содержать номер телефона, номер комнаты и прочую информацию, которую запрашивает adduser при созда- нии учетной записи пользователя
6	Домашний каталог пользователя	Обычно это /Ьоте/<имя_пользователя>
7	Оболочка	Программа, которая будет запущена при входе пользователя в систему из консоли (для графического режима это поле не имеет значения). Список доступных обо- лочек хранится в файле /etc/shells

В файле /etc/shadow полей больше, чем в /etc/passwd

Ках и в случае с /etc/passwd, поля разделяются двоеточиями:

1.	Имя пользователя. Совпадает с именем пользователя в файле /etc/passwd

2.	Зашифрованный пароль. Позже мы поговорим о том, как распознать алго-
ритм шифрования, которым был зашифрован пароль.

3.	Количество дней (с 1 января 1970 года), когда пароль был сменен в по-
следний раз.

4.	Число дней до смены пароля. Если в этом поле 0, то пароль может быть
сменен в любой момент.

5.	Количество дней, после которых пароль должен быть сменен. Обычно
здесь значение 999999, которое показывает, что пользователь может ни-
когда не менять свой пароль.

6.	Число дней, в течение которых пользователь получает предупреждение о
необходимости изменить пароль. Обычно такие предупреждения пользо-
ватель получает за неделю (7 дней) до часа "X".
7.	Число дней после окончания действия пароля, когда пользователь еще
может работать со старым паролем. Если после этого срока пользователь
не сменит пароль, учетная запись будет заблокирована.

8.	Число дней, начиная с 1 января 1970, после которых пароль будет забло-
кирован.

9.	Не используется.

Обычно последние три поля не используются. По зашифрованному паролю
можно понять, какой алгоритм шифрования использует система. Посмотри-
те на начало зашифрованного пароля:

•	$1$ MD5. Ранее часто использовался, сейчас чаще используется SHA-
512, поскольку в MD5 обнаружились математические уязвимости;

•	$2$, $2а$ — Blowfish. Чаще используется в FreeBSD/OpenBSD, чем в
Linux;

•	$5$ -SHA-256;

•	$6S — SHA-512. Используется в современных дистрибутивах.

Форматы файлов /etc/passwd и /etc/shadow были приведены "для общего раз
вития", чтобы вы понимали, что происходит.

Модифицировать учетную запись пользователя правильнее с помо- |
щью команды usermod, а не с помощью редактирования файла
/etc/passwd.

Конечно, можно внести небольшие изменения, например, изменить полное
имя пользователя. А вот для изменения остальных параметров, например,
домашнего каталога, правильнее использовать usermod, чтобы потом не де-
лать много ручной работы.

12.3.3. Изменение и удаление учетных записей

Как было отмечено ранее, для модификации учетной записи пользователя
нужно использовать команду userrnod, но прежде поговорим об изменении
пароля, так как изменение пароля — это тоже, по сути, изменение учетной
записи.

Для установки и изменения пароля пользователя используется
команда passwd-.

# passwd <имя>

Если пользователь хочет изменить собственный пароль, то указывать имя не

нужно:

$ passwd

А вот теперь можно приступить к рассмотрению команды usermod. Формат
вызова этой команды следующий:

# usermod [параметры] учетная_запись

Параметры команды usermod описаны в таблице 12.2.

Таблица 12.2. Параметры команды usermod

Параметр	Описание
-а, -append	Добавляет пользователя в дополнительную груп- пу. Используется только с параметром -G
-с, —comment комментарий	Добавляет комментарий для учетной записи пользователя
-d, -home каталог	Задает новый домашний каталог пользователя. Если указать параметр -т, то текущий домашний каталог пользователя будет перенесен в новый домашний каталог, который будет создан, если не существует
-е. —expiredate дата	Указывает дату устаревания учетной записи пользователя. По достижении этой даты учетная запись пользователя будет заблокирована. Дата указывается в формате ГГГГ-ММ-ДД. Если дату не указывать, то устаревание учетной записи бу- дет отключено
-f —inactive дни	После указанного числа дней, которые пройдут после устаревания пароля, учетная запись будет заблокирована. Значение -1 означает, что эта воз- можность не используется, а 0 — запись будет за- блокирована сразу же после устаревания пароля
-g, --gidгруппа	Указывает имя или G1D первичной группы поль- зователя. Группа с таким именем/GID должна существовать Все файлы в домашнем каталоге пользователя, которые принадлежали бывшей первичной группе, теперь будут принадлежать новой группе
-G, —groups груп- па Ц, группа2,..., группа^!]	Список дополнительных групп, в которых на- ходится пользователь. Перечисление групп осу- ществляется через запятую без дополнительных пробелов. Например, -G group 1 ,group2
-1, —login новое_имя	Изменяет имя пользователя на новое имя
-L, —lock	Блокирует учетную запись пользователя. Нельзя использовать этот параметр с -р или -I
-т, —move-home	Перемещает домашний каталог. Используется вместе с параметром d
-о, -nan-unique	При использовании с -и позволяет указать не уникальный UID (идентификатор пользователя)
-р, —password пароль	Шифрованное значение пароля, которое возвра- щает функция crypt. Использовать этот параметр не рекомендуется, поскольку другие пользова- тели увидят незашифрованный пароль в списке процессов
-R, -root chroot	Выполняет изменения в каталоге chroot и ис- пользует файлы конфигурации из этого каталога
-s, —shell оболочка	Задает оболочку для пользователя. Если оболочка не указана, то будет использована оболочка по умолчанию
-и, —uid VID	Задает новый UID пользователя, который должен быть уникальным
-U, —unlock	Разблокирует учетную запись пользователя
-Z, -selinux-user SEUSER	Новый пользователь SELinux для пользователь- ского входа

Рассмотрим несколько примеров:

#	usermod	-d	/home/new_home -m	ubuntu

#	usermod	-L	bagira

#	usermod	-G	admins,sudo mark

Первая команда задает новый каталог для пользователя ubuntu. Теперь он бу-
дет называться /home/new hcme. Старые файлы (из каталога /home/ubuntu)
будут перемешены в новый домашний каталог.

Вторая команда блокирует учетную запись пользователя bagira. Третья ко-
манда вносит пользователя mark в группы admins и sudo.

Теперь рассмотрим команду userdel (см. табл. 12.3):

#	userdel [параметры] пользователь
Таблица 12.3. Параметры команды userdel

Параметр	Описание
-/ -force	Удаляет учетную запись, даже если пользователь работает в системе. Также будет удален домашний каталог и почтовый ящик, даже если другой пользо- ватель использует тот же домашний каталог. Если в файле /etc/login.defs параметр USERGROUPS_ENAB равен yes, то будет удалена и первичная группа поль- зователя, даже если она являет ся первичной и для другого пользователя. Довольно опасный параметр, который может привести систему в нерабочее со- стояние
-г, —remove	Удаляет домашний каталог пользователя и почто- вый ящик Файлы этого пользователя, созданные на других файловых системах, нужно искать и удалять вручную
-R, -root chroot	Выполняет изменения в каталоге chroot и использу- ет файлы конфигурации из этого каталога
-Z, -selinux-user	Удаляет все пользовательские сопоставления SELinux для учетной записи пользователя

Пример удаления учетной записи ubuntu, домашний каталог и почтовый
ящик также будут удалены:^

# userdel -г ubuntu

	12.3.4. Группы пользователей

Для более простого управления пользователями их можно объединять в
группы. Например, можно задать ограничения ресурсов для группы пользо-
вателей. Тогда они будут распространяться на всех пользователей, входящих
в группу, и вам нс придется их устанавливать для каждою пользователя от-
дельно.
Но прежде чем устанавливать права для группы, нужно эту группу создать.

Добавить группу можно командой groupadd, однако ничего плохого не
случится, если вы просто отредактируете файл /etc/group (не groups, а
именно group!) и добавите группу вручную.

При добавлении группы следите, чтобы ID группы был уникальным. Если
же вы нс хотите ни за чем следить, тогда просто введите команду groupadd:

# groupadd [параметры] имя_группы

С параметрами команды groupadd можно ознакомиться в справочной систе-
ме — man groupadd.

12.4.	Графические конфигураторы

Управлять учетными записями пользователя можно и с помощью графических
конфигураторов, что будет привычнее для бывших Windows-пользователей. В
Ubuntu для управления учетными записями пользователей нужно перейти в
окно Настройки, далее - в раздел Пользователи (рис. 12.8).

Рис. 12.8. Графический конфигуратор в Ubuntu


Для управления другими учетными записями нажмите кнопку Разблокиро-
вать, введите свой пароль, после чего вы сможете управлять другими учет-
ными записями — изменять их пароли, создавать и удалять учетные записи
и т.д.

Рис. 12.9. Управление пользователями в Astra Linux

Для сранения, в Astra Linux нужно открыть панель управления, а далее
перейти в раздел Безопасность, выбрать Политика безопасности и в
открывшемся окне перейти в раздел Пользователи (рис. 12.9). Немного за-
путано, но как есть.

12.5.	Модули РАМ

I Подключаемые модули аутентификации РАМ (Pluggable Authentication
I Modules) предоставляют администраторам дополнительные меюды
подтверждения подлинное!и пользователя.

Модули РАМ это не новинка в мире Linux. Они были разработаны очень
давно, но до сих пор есть даже в самых современных дистрибутивах Linux,
поскольку заменить их, по сути, нечем.
Модули РАМ позволяют использовать несколько схем аутентификации.
Большинство приложений, которые нуждаются в проверке подлинности
пользователя, используют РАМ. Модули РАМ позволяют реализовать аль-
тернативную аутентификацию, например, по отпечаткам пальцев или по сет-
чатке глаз, но для этого необходимо дополнительное оборудование, напри-
мер, сканер отпечатков. В этой книге мы рассмотрим традиционный вариант
использования РАМ — когда аутентификация происходит посредством вво-
да пароля с клавиатуры.

Основной файл конфигурации называется /etc/pam.conf. В каталоге /etc/
pam.d/ находится конфигурация для разных сервисов, которые поддержива-
ют РАМ, например, в ,'etc/pam.d/sshd находится конфигурация РАМ-модулей
для SSH, в /etc/pam.d'gdm-passwd — конфигурация пароля для менеджера
дисплея GDM и т.д. В каталоге /etc/security также есть файлы конфигурации,
относящиеся к РАМ, например, файл access.conf управляет доступом в
систему.

Безопасность вашей системы зависит от используемых вами модулей.

Модули хранятся в катагоге /lib/security или /Iib64/security (для 64-6ит-
ных систем), однако некоторые дистрибутивы не следуют этому
стандарту. К примеру, в некоторых системах модули можно найти в
каталоге /usr/lib/security.

♦%

Я

е
а
е
в

') Ч«д«виив

ДбНМММ П»ПМ

гI ₽»вочийстол

[Ч ДОКуМ*НТЫ

й Мгруми

S, UbuMuMO.

«л» corf

О

Umfts core	OMiswd

conf

pwamiity. Mpermu.
ronf care сыЛ



Н



tj К0ЩИИ1

limits, d пятотрке УЖгЯРИЙ «ояЬму

Рис. 12.10. Содержимое каталога /etc/security
При желании можно написать и собственные модули, но для начала следует
разобраться с уже имеющимися.

Ниже приведен список наиболее часто используемых модулей. Болыпе ин-
формации по каждому из них можно получить, набрав man модуль, к при-
меру, man pain_pwcheck.

Обратите внимание, что нет "стандартного списка" модулей. Их состав
варьируется от дистрибутива к дистрибутиву

•	pam_access — разрешает или запрещает доступ, в зависимости от IP-
адреса, имени пользователя, имени хоста или доменного имени и т.п.
По умолчанию, правила доступа определены в файле /gtc/security/access.
conf. Когда пользователь входит, проверяются правила доступа до перво-
го совпадения, и принимается решение, разрешить или запретить доступ.
Также смотрите модуль parr. time — там другие ограничения.

•	parn crackiib и pam_pwcheck — предоставляют функции проверки
прочности пароля (проверки на легкость угадывания или повторяемость)
У пользователя спрашивают пароль, и если тот проходит предустанов-
ленные правила и считается прочным, тогда нужно ввести его еще раз для
проверки правильности ввода

•	pam .deny — безусловно запрещает доступ. Этот модуль можно исполь-
зовать для блокирования пользователей, как политику по умолчанию. См.
также pam _permit.

•	pam_echo — выводит предустановленное текстовое сообщение. См. так-
же pammotd.

•	pam_env — позволяет присвоение значений переменным окружения,
Правила по умолчанию берутся из файла /etc/security/pam env.conf.

•	pam exec — вызывает внешнюю программу.

•	pam_lastlog — выводит дату и время последнего входа в систему,

•	pam limits — устанавливает ограничения на системные ресурсы, ис-
пользуемые пользователем. Ограничения по умолчанию берутся из фай-
ла /etc/security/limits.conf.

•	pam listfile — разрешает или запрещает сервис в зависимости от значе-
ний в файле. К примеру, если вы хотите открыть FTP-доступ лишь для не-
которых пользователей, перечень которых указан в файле /etc/ftpusers ok,
нужно добавить строку:

auth required pam_listfile. so item=user sense=allow file=/etc/
ftpusers_ok onerr=fail

в файл /etc/pam.d/fcpd. См. также модуль pam nolcgin.

•	pain mail — сообщает пользователю о наличии свежей электронной
почты.

•	pammkhomedir — создаст домашний каталог пользователя, если он не
существует на локальной машине. Таким образом, можно использовать
централизованную авторизацию (к примеру, в NIS или LDAP) и создавать
домашние каталоги лишь при необходимости.

•	pam motd — выводит ‘'сообщение дня". См. также модуль pam echo.

•	pam_nobgin — запрещает доступ, когда существует файл /etc/nologin.

•	pam_pcrmit — безусловно разрешает доступ —- очень небезопасно! См.
также модуль pam deny.

•	pam_rootok — разрешает доступ для пользователя root без дополнитель-
ных проверок Обычно этот модуль используется в /etc/pam.d/su, чтобы
пользователь root мог войти под любым другим пользователем даже без
ввода пароля.

Файл должен содержать следующие строки (обратите внимание на вторую
строку, см. модуль pam_wheel):

auth sufficient pam_rootok.so
auth required	pam_wheel.so

auth required	pam_unix.so

•	pam_succeed_if ~~ проверяет некоторые характеристики учетной записи,
к примеру, принадлежность к определенной группе, значение IJID и т.п.

•	pam time — запрещав” доступ к службе в зависимости от дня недели и
времени дня. По умолчанию правила берутся из файла /etc/security/timc.
conf. Однако запрет накладывается лишь на момент входа в систему. Спо-
соба принудительно заставить пользователя выйти из системы нет.

•	pam umask — устанавливает маску создания файлов.
•	pam_unix или pamunixl — классическая аутентификация в UNIX-
стиле, основана на файлах /etc/passwd и /etUshadow. См. также модуль
pamuscrdb.

•	pam userdb — аутентифицирует пользователя с помощью базы данных
См. также модуль pam unix.

•	pam_warn — заносит название службы, номер терминапа, пользователя
и другие данные в системный журнал. Модуль можно использовать везде,
он не влияет на процесс аутентификации.

•	pam wheel — позволяет root-доступ лишь для членов группы wheel.
Часто этот модуль используется для su, чтобы лишь избранные пользова-
тели могли пользоваться этой программой. Пример использования можно
найти в описании модуля pamrootok.

Так как книга не посвящена отдельно РАМ, лучше всего рассматривать РАМ
на отдельных примерах.

12.5.1.	Ограничиваем доступ к системе по IP-адресу

Файл ,'etc/security/access.conf используется модулем pam acccss.so,
чтобы определить, каким пользователям позволено лходить i: систе-
му и с каких IP-адресов.

Если открыт ь файл access.conf, то в нем будет достаточно много различных
примеров, которые хорошо прокомментированы. Если вы знаете английский
язык, то не составит особого труда вс всем разобраться самостоятельно.

Формат этого файла следующий:^

разрешения : пользователи : источники

Разрешение может начинаться с символа "+" (доступ разрешен) или
(доступ закрещен). Если нужно указать несколько пользователей, то их име-
на разделяют пробелом. Если нужно сделать исключение для некоторых
пользователей, то перед их именами указывают служебное слово EXCEPT.
Третье поле может содержать список из одного или более имен консолей
(Uy) для несетевого доступа к системе, имен узлов (для сетевого досту-
па), доменных имен (начинаются с IP-адресов узлов, IP-адресов сетей
(заканчивают ся "."). Также можно указать все источники (ALL), ни один из
источников (NONE) или только локальные источники (LOCAL).

Теперь несколько примеров:

-:ALL EXCEPT root:ttyl

Первая консоль — это только консоль root. Другим пользователям запреще-
но ее занимать. Мы запрещаем доступ (-) всем пользователям (ALL) кроме
(EXCEPT) пользователя root на консоли tty 1.

Следующий пример — разрешение регистрации как root с определенных IP-
адресов:

+ : root	192.168.1.1 192.168.1.4 192.168.1.9
+ : root	127.0.0.1

Если нужно разрешить регистрацию root со всей подсети 192.168 1 0, тогда
укажите адрес этой подсети, указав точку вместо 0:

+ : root : 192.168.1.

Самый жесткий пример — запрещаем root вообще входить в систему:

root : ALL

I Примечание Обратите внимание, что комментарии в этом файле на-1
I чинаются с #, если вы хотите использовать один из примеров, приве- |
I денных в файле, убедитесь, что вы оаскомментировали нужную вам
строку
Чуть выше мы разрешили вход пользователя root с определенных IP-адресов.
К сожалению, одного только редактирования access.conf будет недостаточ-
но. Нужно еще отредактировать соответствующие файлы в /etc/pam.d. Нас
интересует регистрация по SSH (telnet уже не используется, поэтому вы бу-
дете регистрироваться по SSH) и обычная регистрация в системе. Поэтому
нам нужно отредактировать файлы /etc/pam.d/sshd и /etc/pam.d/system-auch.
В этих файлах вам нужно добавить строчку:

account required /lib64/security/pam_access.so

Если у вас 32-разрядная система, тогда нужно добавить немного другую
строку:

account required /lib/security/pam_access.so

12.5.2.	Ограничиваем время входа в систему

Безопасностью системы лучше управлять, когда вы бодрствуете. Поэтому
имеет смысл разрешить регистрацию только в это время, например, с 8:00 до
19:00 (вдруг кто-то немного задержится на работе).

Откройте файл /etc/security/time.conf и добавьте в нею строку

login,-tty* & !ttyp*; 1 root & admin & ; JA1C800-19C0

Здесь мы разрешаем пользователям регистрироваться только с 8:00 по 19:00.
На пользователей root и admin это правило не распрестраняется. Также в
файле time.conf вы найдете еще несколько примеров.

Как и в случае с предыдущим файлом, вам нужно изменить файлы
/etc/pam.d/sshd и /etc/pam.d/system-auth, в которые нужно добавить строку:

account required /lib64/security/pam_time.so

или строку (для 32-разрядной системы):

account required /lib/security/pair._time. so
12.5.3.	Ограничение системных ресурсов с помощью РАМ

С помощью РАМ-модулсй можно ограничить системные ресурсы, что по-
лезно для зашиты системы от DoS-агаки. Принцип DeS-атаки заключается
в том, что злоумышленник узурпирует все ресурсы системы, в результате
обычным пользователям ничего не остается Ограничив системные ресурсы,
вы можете смягчить последствия DoS атаки на ваш сервер. Конечно, полной
защиты этот способ не даст, но все равно ваш сервер будет продолжать рабо-
тать, хоть и медленно Все же это лучше, чем ничего.

Ограничить системные ресурсы можно с помощью
/etc/security/limitsconf.

Формат записей в этом файле такой:

домен тип	ресурс значение

В качестве домена указывается или имя пользователя, или имя труппы
пользователей (@имя). Также можно указать звездочку (*), если ограниче-
ние должно распространяться на всех пользователей.

СЬраничения бывают мягкими (soft) и жесткими (hard). Мягкое ограниче-
ние можно незначительно превысить, жесткое превысить нельзя.

Возможные значения третьего поля задают тип ограничиваемого ресурса и
представлены в таблице 12.4.

Таблица 12.4. Ресурсы, которые можно ограничить с помощью limits.conf

Элемент	Описание
core	Позволяет ограничить размер файла ядра (в килобайтах)
сри	Задает максимальное процессорное время (в минутах)
data	Определяет максимальный размер сегмента данных (в ки- лобайтах)
fsize	Позволяет указать максимальный размер файла (в килобай- тах)
maxlogins	Определяет максимальное количество параллельных реги- страций пользователя. По умолчанию пользователю раз- решается войти неограниченное количество раз разными способами — по SSH, FTP, с разных консолей и т.д.
nofile	Задает максимальное число одновременно открытых фай- лов
nproc	Определяет число процессов, которые может запустить пользователь
priority	Задает приоритет, с которым будут выполняться процессы пользователя или группы
stack	Максимальный размер стека (в килобайтах)

Последнее поле определяет значение лимита Теперь несколько примеров:

*	hard	maxlogins	3
@ssh_users	hard	nproc	5
@ssh users	hard	fsize	24576

В первом случае мы ограничиваем число одновременных pei истраций поль-
зователей до 3 (консоль, XII, если есть, и SSH — этого более чем доста-
точно). Во втором случае пользователям из группы ssh users мы разрешаем
запускать не более 5 процессов одновременно. Также SSH-пользователям не
разрешается создавать файлы размером более 24 Мб.

Обратите внимание: здесь мы просто задаем лимит на максимальный раз-
мер файла В принципе, 24 Мб вполне достаточно даже для хранения фото-
графий с зеркальной камеры и больших документов Word, содержащих изо-
бражения и другие объемные объекты. Л видео и файлы большего размера
пусть пользователи хранят или на своих компьютерах, или входят иным спо-
собом, например, по FTP, где можно более качественно ограничить опера-
ции с файлами.
После редактирования /'etc/security/hmits.conf никакие другие файлы редак-
тировать не нужно. Но описанные вами изменения будут действовать для
новых сеансов пользователей, поэтому желательно перезагрузить систему,
члэбы изменения действовали сразу для всех пользователей.

Если вам нужна дополнительная информация о РАМ, предлагаем ознако-
миться с официальной документацией, доступной по адресу:

https://mirrurs.edge.kernel.org/puh/linux/lihs/pam/

Глава 13.

Маршрутизация и
настройка брандмауэра
В этой части книги поговорим чуть подробнее про IJnux-сервер для локаль-
ной сети.

13.L Просмотр таблицы маршрутизации

Отправляемые данные, как вы знаете, не отправляются целиком - они
разбиваются на меньшие части - пакеты.

Маршрутизация - это процесс перенаправления пакета по различ- |
ным сетям вплоть до места назначения.

В сетях TCP/IP информация маршрутизации хранится в виде таблицы марш-
рутизации. Таблица маршрутизации содержит ряд простых правил. Напри-
мер, если пакет отправляется з сеть 1, он должен быть отправлен на марш-
рутизатор Ml, если пакет отправляется в сеть 2, то его нужно отправить на
маршрутизатор М2. Пакет, отправляемый на любую другую сеть (не 1 и не
2), нужно отправить на маршрутизатор М (шлюз по умолчанию). Получив
пакеты, маршрутизаторы Ml, Ml и М сами знают, чго с ними делать. Воз-
можно, передать дальше другому маршрутизатору, а может, отправить узлу-
получателя пакета. Все зависит от такой же таблицы маршрутизации, но уже
на тех маршрутизаторах. Что будут делать маршрутизаторы с полученными
пакетами - это их дело, наше дело - доставить пакеты до этих маршрутиза-
торов.
Таблица маршрутизации ядра Linux хранит данные о маршрутизации. Каж-
дая строка в этой таблице содержит несколько параметров - адрес сети
назначения, маску сети, флаги, интерфейс и т.д.

Ядро при отправке пакета исследует таблицу маршрутизации: оно опреде-
ляет, в какую сеть направляется пакет - если она есть в таблице маршру-
тизации, то пакет отправляется через заданный в таблице интерфейс. Если
нужной сети в таблице нет, пакет отправляется или на шлюз по умолчанию,
или же (если он не задан) отправителю пакета передается ICMP-сообщение
Network Unreachable" (сеть недоступна).

Вывод команд немного отличается, как видно из рис. 13.1. Здесь видно, что
шлюз по умолчанию - 192.168.52 2. По сути, это самая простая таблица
маршрутизации, какая только может быть.

1 rootylocaIhost	“J# netstat	rn				
Kernel IF routing tabic						
Dostinnt ion	Gateway	Genmask	Flags	MSS	Window	irtt Iface
0.0.0.0	192.168.52.2	0.0.0.0	UG	0	8	0 ens33
192.168.52.0	0.0.0.0	255.255.255.0	U	0	0	0 ens33
IrootO1oca[host	route					
Kernel IP routing table						
Best i nation	Gateway	Genmask	Flags	Metric	Ref	□se Iface
default	gateway	8.8.0.0	UG '	100	0	0 ens33
192.168.52.0	0.0.0,0	25S.255.255.0	U	100	0	0 ens33
(rootylocalhost	~1M					

Рис. 13.1. Команды netstat -гп и route

Разберемся, что содержится в столбцах таблицы маршрутизации;

Столбец Destination хранит адрес сети назначения;

Gateway - шлюз (маршрутизатор), которому нужно отправить пакеты,
чтобы они достигли сети из колонки Destination;
•	Столбец Genmask содержит маску сети;

•	Flags - флаги маршрута.

Флаги могут быть следующими:

•	U — маршрут активен;

•	Н — маршрут для хоста (Н - host), а не для сети;

•	G — флаг шлюза (G - gateway);

•	D — динамический маршрут, который был установлен демоном маршру-
тизации;

•	М — маршрут, который был модифицирован демоном маршрутизации;

•	С — запись кэширована;

•	! — запрещенный маршрут.

Рассмотрим некоторые параметры подробнее:

•	Колонка MSS (Maximum Segment Size) содержит значение MSS - макси-
мальный размер сегмента для TCP-соединений по этому маршруту.

•	Столбец Window показывает размер окна по умолчанию для ТСР-
соединений по этому маршруту.

•	Столбец irtt — это начальное время RTT. В большинстве сетей время
RTT не нужно изменять, но в некоторых медленных сетях время RTT
можно увеличить, чтобы избежать лишних повторений пакетов. Система
отправляет пакет и ждет некоторое время (RTT) от получателя подтверж-
дения получения. Если подтверждения получения не было, тогда система
отправляет пакет еще раз. Б медленных сетях подтверждение получения
может не успеть дойти до отправителя пакета, поэтому RTT увеличивают
(это можно сделать с помощью команды route).

•	Столбец Iface задает интерфейс, используемый для отправки пакета

•	В выводе команды route вместо столбцов MSS и Windows есть колонки
Metric и Ref. Первая содержит метрику, то есть расстояние до маршрути-
затора в хонах (переходах): один хоп - это один маршрутизатор.

*	Столбец Ref содержит количество ссылок на маршрут. Ядром Linux этот
параметр не учитывается.	g
13,2.	Изменение и сохранение таблицы
м а р ш руги за ци и

Для редактирования таблицы маршрутизации используется команда
route. Записи в таблице маршрутизации бывают статическими (до*
бавляются командой route) или динамическими (добавляются по мере
работы системы демоном маршрутизации).

Вот как можно добавить маршрут по умолчанию командой route'.

# route add default gw 192.168.1.1 ethO

Думаю, эта команда понятна: 192.168.1.1 - это новый шлюз по умолчанию,
а пакеты к нему будут отправляться через интерфейс eihO.

При перезагрузке таблица маршрутизации очищается, поэтому она форми-
руется вручную, то есть командами route, а не каким-либо демоном марш-
рутизации. Эти команды нужно добавить в конфигурационные файлы сети
или сценарии инициализации системы, чтобы внесенные вами изменения не
были потеряны.

Шлюз по умолчанию можно сохранить в файле /etc/sysconfig/networking-
scripts/ifcfg-HMH_HHTep©eflca. В листинге 13.1 приводится пример этого файла.

Листинг 13.1 Файл /etc/sysconfig/networking-scripts/ifcfg-имя
интерфейса

DEVICE=ethO

KWADDR=00: ОС:29:Е8:F0:С4

TYFE=Ethernet

ONBOCT=yes

NETMASK=255.255.255.0

1PADDR=192.168.1.101

GATEWAY=192.168 1.1

NETWORK=192.168.1.0
BROADCAST=192.168.1.255

B00T?R070=none

NM_ CONTROLLED~no
Параметр GATEWAY позволяет указать IP-адрес шлюза. Но обычно вам не
придется редактировать файлы настройки сетевых ин'1срфейсов обычных
компьютеров, поскольку такая общая информация, как IP-адрес шлюза, за-
дается DHCP-сервером примерно так:^х

subnet 192.168.1.0 netmask 255.255.255.	0 {
tf Список маршрутизаторов (через	пробел)
option routers	192.168.1.1;

Теперь рассмотрим общий формат вызова команды route.

4 route [операция] [тип] адресат gw шлюз [метрика] [dev интерфейс]

•	Параметр операция может принимат ь значения add и del. Первый добав-
ляет маршрут, а второй - удаляет.

•	Второй параметр (тип) необязательный - он позволяет задать тип марш-
рута: default (маршрут по умолчанию), -net (маршрут к сети), -host (марш-
рут к узлу).

•	Третий параметр, адресат, содержит адрес сети, если вы задаете марш-
рут к сети, или адрес узла, если добавляется маршрут к узлу. Если вы
задаете маршрут по умолчанию, то этот параметр вообще не нужно ука-
зывать.

•	Параметр шлюз задает IP-адрес шлюза. Можно также указать и доменное
имя, но обычно указывается 1Р-адрес,

•	Параметр метрика задает число переходов (маршрутизаторов) на пути к
адресату.

•	Параметр dev нужно указывать, если в системе установлено несколько
сетевых интерфейсов и требуется ут очнить, через какой именно сетевой
интерфейс следует отправить пакеты. Оба последних параметра не явля-
ются обязательными.

Рассмотрим несколько примеров использования команды route'.
# route # route # route	add -net 192.168.16.0 netmask 255.255.255.0 dev ens33 add -net 192.168.16.0 netmask 255.255.255.0 gw 192.168.16.1 add -net 10.100.0.0 netmask 255.0.0.0 reject
# route	del 10.100.0.0

Первая команда добавляет маршрут к сети 192 168.16.0 через устройство
ens33. Как видите, мы не указываем IP-адрес шлюза, а просто указываем имя
интерфейса - все пакеты, адресованные сети 192.168.16.0, будут отправлены
через интерфейс ens33.

Вторая команда добавляет маршрут к сети 192.168.16.0 через шлюз
192.168.16.1. Все пакеты, адресованные этой сети, будут отправлены марш-
рутизатору с IP-адресом 192 168.16 1. В этом случае сетевой интерфейс ука-
зывать не обязательно.

Третья команда задает запрещающий маршрут. Отправка пакетов в сеть
10 100.0.0 запрещена (параметр reject). Последняя команда удаляет ранее
заданный запрещающий маршрут.

"Удаление маршрутов в Linux заслуживает отдельного разговора. Команда
удаления маршрута вьнлядит так:

# route del IP-адрес

В Linux нет параметра -/(как в FreeBSD), который позволяет удалить сразу
все маршруты (то есть очистить таблицу маршрутизации), поэтому вам при-
дется ввести ряд команд route.

Как уже было отмечено, таблица маршрутизации очищается при поре
загрузке. Чтобы этого не произошло, маршруты нужно определить в
файлах конфигурации сети.

В Debian / Astra Linux / старых версиях Ubuntu настройка статических марш-
рутов производится в файле /etc/network/interfaces. Просто добавьте в сек-
цию настройки интерфейса команду up и укажите команду route, которую
нужно выполнить.
Допустим, для настройки маршрутов вы ввели три команды:

route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.17.254 ethO					
route	add -net	192.168.14.0 netmask	255.255.255.0 gw	192.168.17.254	ethO
route	add -net	192.168.22.0 netmask	255.255.255.0 gw	192.168.17.254	ethO

Тогда в файл /etc/network/intcrfaces нужно добавить следующие строки:

up route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.168.17.254 ethO
up route add -net 192.168.12.0 netmask 255.255.255.0 gw 192.168.17.254 ethO
up route add -net 192.168.21.0 netmask 255.255.255.0 gw 192.168.17.254 ethO

В этом примере пакеты ко всем трем сетям направляются на шлюз
192.168.17.254, а он уже сам решает, что с ними делать. Прежде чем мы рас-
смотрим настройку брандмауэра, нужно отметить, как превратить компью-
тер в шлюз. Для этого нужно разрешить пересылку пакетов протокола IPv4
(IPv4 forwarding). Для этого добавьте значение 1 в файл /proc/sys/net/ipv4/
ip_forward:

# echo 1 > /proc/sys/net/ipv4/ip_forward

Конечно, после перезапуска эго значение будет потеряно. Чтобы его сохра-

Итак, ваш компьютер теперь превращен в шлюз. Но сам по себе перенаправ-
лять пакеты он не будет. Нужно задать ряд правил перенаправления пакетов.
Для этого мы будем использовать брандмауэр iptables, который имеется во
всех современных дистрибутивах Именно о нем и пойдет речь в следующем
разделе. Забегая наперед, скажу, что iptables можно использовать не только
для настройки шлюза, но и просто для защиты сервера или рабочей станции
от нежелательных подключений.

В ноных версиях Ubuntu (начиная с версии 18.04) настройка маршрутов осу-
ществляется через файл /etc/netplan/01-netcfg yaml.

, 410
Откройте этот файл:

sudo nano /etc/netplan/01-netcfg.yaml

В нем вы найдете конфигурацию но умолчанию, которая может быть при-
мерно такой:

# This file	describes the network interfaces available on your
system.  # For more network:	information, see netplan(5).
version:	2
renderer: ethernets	networkd
enol:	
dhcp4	: yes

Добавьте следующие строки:

routes :

- to: 192.168.44.0/24

via: 192.168.0.1

Данная конфигурация означает, что маршрут к сети 192.168.44.0/24 (маска
255.255.255.0) будет проходить через маршрутизатор 192.168.0.1.

Полная конфигурация будет выглядеть так:

#	This file describes the	network interfaces available on your system.
#	For more information,	see netplan ( 5) .
network: version: 2 renderer: networkd ethernets:  enol: dhcp4: true routes:		
	- to: 192.168.44.	0/24
	via: 192.168.0.	1
Обратите внимание, что YAML-файл очень требователен к отступам и раз-
метке. Убедитесь, что оператор "routes" находится на расстоянии двух про-
белов от имени интерфейса (в нашем случае enol), к которому вы применя-
ете маршрут.

Сохраните изменения в файле и примените их посредством команды:

sudo netplan apply

Проверим, все ли хорошо:

ip route show

Убедитесь, что вы видите эту строку в выводе предыдущей команды:

192.168.44.0/24 via 192.168.0.1 dev enol proto static

Если вы не видите данный статический маршрут в выводе, значит, что-то не
так с вашей конфигурацией. Вернитесь к YAMI файлу и проверьте размет-
ку/отступы Вы также можете проверить конфигурацию командой:

sudo netplan try

13.3.	Настройка брандмауэра iptahles

Брандмауэр iptables на данный момент считается устаревшим, но до сих нор
используется даже в самых новых версиях дистрибутивов. От .чего пытают-
ся отказаться уже больше 5 лет, но до сих пор этого не произошло и, на наш
взгляд, в ближайшие лет 5 он будет все еще актуален.

Далее мы рассмотрим современный брандмауэр ifw, который, судя по всему,
вытеснит iptables в будущем, хотя на данный момент он даже не устанавли-
вается по умолчанию.


13.3.1.	Преобразование сетевого адреса

Что такое брандмауэр, я надеюсь, объяснять не нужно.

А вот о преобразовании сетевого адреса (NAP, Network Address Transla-
tion) поговорить стоит, чтобы не было лишних вопросов. Пространство IP-
адресов не безразмерное. Рано или поздно 1Ру4-адреса закончатся. Именно
поэтому и был разработан протокол IPv6. Учитывая тенденции роста Ин-
тернета, думаю, что переход на IPv6 состоится в ближайшие годы, но пока
будем говорить исключительно о IPv4, поскольку новый протокол IPv6 пока
используется не в т аком большом количестве.

Если бы реальные IP-адреса раздавались всем желающим, они бы уже давно
закончились. Поэтому обычно при подключении к Интернету клиенту вы-
дается всею один IP-адрес, даже если у вас целая организация. Этот один
реальный IP-адрес, как правило, используется на шлюзе. А во внутренней
сети используются локальные IP-адреса: 10.*.*.* (сеть классаА), 172.16.*.*-
172.31.* * (класс В) и 192.168.*.* (сеть класса С). Эти IP-адреса не могут
пройти через маршрутизатор Интернета - как только маршрутизатор увидит
локальный IP-адрес, пакет сразу же будет отброшен. Но зато такие IP-адреса
вполне подойдут для использования в локальных сетях. Данные IP-адреса
уникальны только в пределах вашей организации. В соседней организации
могут использоваться такие же IP-адреса, как и у вас, но поскольку между
компьютерами организаций нет взаимодействия, в этом нет ничего страш-
ного.

Когда компьютер с локальным IP-адресом 192.168.1.102 отправляет пакет
компьютеру, обладающему реальным IP-адресом, например веб-серверу
www.exampie.com, наш шлюз должен выполнить NAT. То есть он должен
перезаписать локальный IP-адрес так, чтобы он выглядел как реальный.
Поскольку в нашем распоряжении только один реальный IP-адрес (IP-
адрес шлюза), то веб-сервер www.example.com будет "думать", что запрос
пришел от нашего шлюза, и он ничего не будет подозревать о компьюте-
рах, которые находятся за шлюзом. Веб-сервер обработает запрос и отпра-
вит пакет. Наш шлюз получит этот пакет (с ответом) и отправит его
компьютеру 192.168.1.102, перезаписав поле отправителя так, что компью-
тер 192.168.1.102 будет "думать", что ответ пришел непосредственно от
www.example.com.
13.3.2.	Цепочки и правила

При настройке брандмауэра iptables очень важно разобраться с цепочками и
правилами.

Ведь основная задача брандмауэра - это фильтрация пакетов,
проходящих через сетевой интерфейс Когда брандмауэр получает
пакет, он анализирует его и затем принимае* *г решение - принять его
или уничтожить.

Брандмауэр может выполнять и более сложные действия, но обычно доста-
точно этих двух.

Обработка пакета заключается в его прохождении по цепочке правил. Каж-
дое правило состоит из условия и действия. Если пакет соответствует усло-
вию, то выполняется указанное действие. Действие также называется целью.
Если пакет не соответствует условию правила, то он передается следующе-
му правилу. Если же пакет не соответствует ни одному из правил цепочки,
выполняется действие по умолчанию

Цепочки правил существует не сами по себе, а собираются в таблицы.

• Таблица filter является основной таблицей, отвечает за фильтрацию паке-
тов, в ней содержатся правила фильтрации пакетов.

• Таблица па! используется при преобразовании сетевого адреса.

• Есть еще одна таблица - mangle, которая используется, если нужно про-
извести специальные действия над пакетом, отличные от фильтрации и
NAT.

В состав каждой таблицы входят той цепочки: INPUT, OUTPUT и
FORWARD.

Первая используется для входящих пакетов, взорам - для исходящих, а третья
для пересылаемых пакетов. При желании вы можете создать собственную
таблицу, но в ней все разно будут цепочки INPUT, OUTPUT и FORWARD.

Теперь поговорим о действиях над пакетом. Действие ACCEPT принима-
ет пакет. DROP - уничтожает пакет Действие MASQUERADE позволяет
скрыть IP-адрес пакета. Если же в качестве действия указано имя цепочки,
то пакет будет отправлен для обработки в указанную цепочку.

Рассмотрим процесс обработки входящего пакета. Сначала пакет поступает
в цепочку PREROUTING таблицы mangle. После чего, если он не был унич-
тожен правилами таблицы mangle, он попадает в цепочку PREROUTING
таблицы nat. Здесь правила проверяют, нужно ли модифицировать
назначение пакета или нет. После этого пакет направляется или в цепочку
FORWARD (если его нужио передать дальше - другому компьютеру), или в
цепочку INPUT (если пакет адресован этому компьютеру).

Если пакет был адресован этому компьютеру, то он передастся правилам
цепочки INPUT таблицы mangle и filter. Если эти правила не уничтожили
пакет, то он отправляется приложению, например веб-серверу. Приложение
получает данные, обрабатывает их и отправляет ответ. Ответ приложения
преобразуется в пакет, который сначала обрабатывается цепочкой OUTPUT
таблиц mangle, nat и filter, а затем отправляется в цепочку POSTROUTING
и обрабатывается правилами таблиц mangle и nat. Если после всего этого
пакет еще жив, он становится исходящим пакетом и отправляется в сеть.

13.3.3.	Команда iptahles

Для управления правилами брандмауэра используется команда
iptables.

У этой команды очень и очень мною различных параметров. В этой кни-
ге не будет полною руководства по ipiables, потому что есть документация
(man iptables), доступная каждому пользователю. Вместо переписывания ру-
ководства другими словами мы остановимся на практическом применении
ipiables. Сначала рассмотрим часто используемые параметры (чтобы вы по-
нимали, что происходит), а затем настроим шлюз для небольшой организа-
ции.



I Чтобы добавить правило в цепочку, нужно использовать параметр -А: 4,

ff iptaoies -А <цепочка> <правило>
По умолчанию правило будет добавлено в таблицу filter. Если нужно указать

В таблице 13.1 указываются возможные действия, которые вы можете про-
извести с iptables.

Таблица 13.1. Возможные действия над пакетами

Действие	Описание
ACCEPT	Принимает пакет и передает его дальше - в следую- щую цепочку
DROP	Уничтожает пакет, как будто бы его никогда не было
REJECT	Уничтожает пакет, а отправителю пакета сообща- ется об этом с помощью ICMP-сообщения. Пара - метр —reject-with позволяет уточнить тип ICMP- сообщения:  icmp-host-unreachable — узел недоступен;  icmp-net-unreachable — сеть недоступна;  icm.p--port-unreachable — порт недоступен;  icmp-proto-unreachable — протокол недоступен
LOG	Протоколирует информацию о пакете в протокол. Полезно из соображений отладки, когда вы настра- иваете шлюз


RETURN	Возвращает пакет в цепочку, откуда он прибыл. Использовать не рекомендуется, поскольку воз- можны зацикливания - вы можете легко попасть в бесконечный цикл, если будете использовать это действие
SNAT	Выполняет подмену IP-адреса источника (Source NAT, SNAT). Данное действие используется в це- почках POSTROUTING и OUTPUT таблицы nat
DNAT	Выполняет подмену IP-адреса получателя (Destina- tion NAT, DNAT). Поддерживается только в цепочке POSTROUTING таблицы nat
MASQUERADE	Используется в таблице POSTROUTING табли- цы nat. Чем-го похоже на SNAT, но используется при рабою с динамическими IP-адресами, когда возможна "потеря" интерфейса при изменении IP- адреса

Прежде чем мы начнем создавать наш собственный шлюз, нужно рассмо-
треть параметры, касающиеся фильтрации пакетов (табл. 13.2).

Таблица 13.2. Параметры, касающиеся фильтрации пакетов

Параметр	Описание
-source	Указывает источник пакета. Вы можете указывать как доменное имя. так и IP-адрес или даже целую подсеть, например 192.168.5.0/255.255.255.0
-destination	Указывает получателя пакета. Аналогично, можно ука- зывать как доменное имя, так и IP-адрес
—protocol (-р)	Позволяет указать протокол. Вы можете использовать идентификаторы, определенные в файле /etc/protocols
-source-port (-sport)	Указывает порт отправителя. Опцию можно использо- вать вместе с параметром -р
—destination- port (—dport)	Указывает порт получателя. Можно использовать вме- сте с параметром -р
—state	Позволяет указать состояние пакета. Фильтр по состо- янию возможен только при загрузке модуля state (-m state) Возможны следующие состояния пакета: NEW (новое соединение), ESTABLISHED (установленное соединение), RELATED (связанные с соединением па- кеты), INVALID (неопознанные пакеты)
-in-interface (-i)	Указывает входящий интерфейс.
-out-interface (-O)	Указывает исходящий интерфейс

В таблице 13.2 указаны далеко не все параметры, но для организации соб-
ственного шлюза представленных параметров будет более чем достаточно.

13.3.4.	Практический пример

Сейчас рассмотрим практический пример - настройку шлюза небольшой
сети с нуля на базе дистрибутива Debian У нас есть следующие вводные
данные:

•	Внешняя сеть — интерфейс ethO, реальный 1Р-адрес 88.99 88.99 (IP-
адрес приведен для примера).

•	Внутренняя сеть — интерфейс eth 1, IP-адрес сети 192.168 1.0/24 (у вас,
скорее всего, будет другой адрес).

Простым "перебросом" пакетов мы не ограничимся, а постараемся решить
попутные задачи, а именно:

•	Запретить сотрудникам доступ к некоторым сайтам. Администрации
доступ к этим сайтам будет разрешен.
•	Запретить ICQ для сотрудников, но не для администрации.

•	Запретить некоторые нежелательные приложения.

•	Открыть доступ к порту 80 извне для доступа к будущему веб сайгу. Все,
что вам останется сделать, - это установить nginx (или Apache), и ваш
сайт будет виден из Интернета.

•	Открыть доступ к шлюзу извне для его администрирования по SSI 1.

•	Открыть порты 25 и ПО, необходимые для работы будущего почтового
сервера.

•	Администратору (его IP-адрес 192.168.1.10) открываем все, чт о ему будет
нужно.

Создайте каталог /etc/firewall, в котором мы будем хранить все необходимое
для организации нашего шлюза. Сейчас создайте в ней два файла - admins,
txt и black.txt. В первый нужно внести IP-адреса администрации (по одному
IP-адресу в одной строке) - им будут доступны все сайты. Это могут быть
сотрудники IT-отдела, директор, его зам и т.д. - в общем, все вышестоящее
начальство. В файл black.txt нужно внести сайты, доступ к которым нужно
ограничить (тоже по одному сайту в одной строке).

#	mkdir /etc/firewall

#	touch /etc/firewall/admins . txt

#	touch /etc/firewall/black. txt

После этого можно приступить, собственно, к настройке шлюза. Первым де-
лом нам нужно отключить Network Manager и настроить наши интерфейсы
статически. На сервере (шлюзе) Network Manager не нужен, а сетевые интер-
фейсы можно легко настроить с помощью /etc/r.etwork'interfaces.

Сначала введите команду:

# runlevel

Вы узнаете текущий уровень запуска:

# runlevel

N 2
Далее переходим в каталог /etc/rcX.d, где X- это уровень запуска, и удаляем
ссылку на network-manager. Можно также использовать команду:.

#	update-rc.d -f network-manager remove

Далее остановите Network Manager:

#	/etc/init.d/network-manager stop

После этого отредактируйте файл /etc/network/interfaces и сконфигурируйте
сетевые интерфейсы (лист 13.2)

Листинг 13.2. Файл /etc/network/interfaces

#	Локальный интерфейс 1о
auto 1о

iface lo inet loopback

#	Внешняя сеть
auto ethO
iface ethO inet static
address 88.99.88.99
netmask 255.255.255.0
network 88.99.88.99
dns-nameservers 8.8.8.8

#	Внутренняя сеть
auto ethl
iface ethl inet static
address 192.168.1.1
netmask 255.255.255.0
network 192.168.1.0
broadcast 192.168.1.255

Перезапустим сеть:

#	service networking restart
Теперь создайте каталог /ctc/firewal 1 и поместите туда файл firewall.sh, кото-
рый будет содержать команды, превращающие наш обычный компьютер в

шлюз;

#	touch /etc/firewall/firewall. sh

#	chmod +x /etc/firewall/firewall. sh

#	nano /etc/firewall/firewall. sh

Код (Ьайла firewall.sh приведен в листинге 13.3.

Листинг 13.3, Файл fjrewall.sh

#	! /bin/bash

#	Определяем некоторые переменные, чтобы облегчить редактирование
# конфигурации в будущем:

#	внешний IP-адрес и внешний интерфейс

WAN_IP1=88.99.88.99

WAN_IFACEl=ethO

#	Внутренний адрес сервера и внутренний интерфейс
LAN_IP=192.168.1.1

LAN_IFACE=ethl

#	Внутренняя сеть

LOCAL_NFT =192.168.1.0/24

#	loopback

LO_IFACE=10

LO_IP=127.0.0.1

#	Путь к iptables
ip^=/sbin/iptables

#	Черный список

blacklist=( $ (cat "/etc/firewall/black . txt" ) )
admins=( $ (cat "/etc/firewal 1 /admins . txt") )

#	Очищаем все таблицы iptables

Sip -F -t filter

Sip -F -t nat

Sip -F -t mangle

Sip -F

# Правила по умолчанию: запрещаем все, что явно не разрешено
Sip -Р INPUT DROP

Sip -Р OUTPUT DROP

Sip -P FORWARD DROP
#	Превращаем компьютер в шлюз, на всякий случай, если мы забыли сделать

#	это раньше

echo 1 > /proc/sys/net/ipv4/ip forward

#	Включаем NAT, чтобы локальные узлы могли получать доступ к Интернету

Sip -t nat -A POSIROUTING -о $WAN_IFACE1 -в $LOCAL_NET ! -d $LOCAL_NET -j
SNAT —to-source $WAN_IP1

#	Отбрасываем INVALID-пакеты

Sip -A INPUT -m state --state INVALID -j DROP

Sip -A FORWARD -m state --state INVALID -j DROP

#	Разрешаем трафик через loopback

Sip -A INPUT -p all -i SLO_IFACE -j ACCEPT

Sip -A OUTPUT -p all —о $I,O_IFACE -j ACCEPT

#	Разрешаем трафик через внутренний адаптер

#	Между сервером (шлюзом) и локальной сетью разрешаем все

Sip -A INPUT -р all -i SLAN_IFACE -s SLOCAL_NET —match state —state

NEW,ESTABLISHED -j ACCEPT

#	Разрешаем исходящие новые и уже установленные соединения

#	во внутреннюю сеть с адаптера локальной сети

Sip -A OUTPUT -р all -о $LAN_IFACE -d SLOCAL_NET —match state —state
NEW,ESTABLISHED -J ACCEPT

#	Разрешаем новые и уже установленные соединения извне (с внешней сети)

#	к портам 80 (веб-сервер) и 22 (ssh):

Sip -A INPUT -р tcp -i $WAN_IFACE1 -m multiport —dports 80,22,25,110

--match state --state NEW,ESTABLISHED -j ACCEPT

Sip -A OUTPUT -p tcp —о $WAN_IFACE1 -m multiport —sports 80,22,25,110

--match state —state ESTABLISHED,RELATED -j ACCEPT

#	Разрешаем выхсд с сервера во внешнюю сеть, но только на определенные порты

#	Разрешаем порты 80 (HTTP), 443 (SSL) и 53 (DNS)

Sip -A INPUT -i $WAN_IFACE1 -p tcp -m multiport —sports 80, 53,443 -j ACCEPT

Sip -A OUTPUT —о SWAN_IFACE1 -p tcp -m multiport —dports 80,53,443 -j ACCEPT
Sip -A INPUT -i SWAN_IFACE1 -p udp -m multiport —sports 53 -j ACCEPT

Sip -A OUTPUT —о $WAN_IFACE1 -p udp -m multiport —dports 53 -j ACCEPT

*	Открываем админу (192.168.1.10) доступ ко всему, что будет нужно

#	Просмотрите список портов и откройте то, что вам будет нужно

#	tcp

Sip -A FORWARD -р tcp -s 192.168.1.10 ! -d $LOCAL_NET -m multiport

--dports 80,53,443,22,25,110,5190 -j ACCEPT

Sip -A FORWARD -p tcp -d 192.168.1.10 ! -s $LOCAL_NET -m multipor1-

—-sports 80,53,443,22,25,110,5190 -j ACCEPT

# udp

Sip -A FORWARD -p udp -s 192.168.1.10 ! -d $LOCAL_NET -m multiport

--dports 53 -j ACCEPT
Sip -A FORWARD -р udp -d 192.168.1.10 ! -s SLOCAL_NET -m multiport

—sports 53 -j ACCEPT

#	Разрешаем ICQ только администраторам
r=0
for i in "$(admins[@]}"
do

Sip -A FORWARD -p top -d $1 --sport 5190 -j ACCEPT

Sip -A FORWARD -p top -s Si --dport 5190 -] ACCEPT
done

#	Разрешаем избранным (список admins) доступ к сайтам из черного списка
j=0
for j in "$(blacklist[@]}"
do

i=0

for i in "$(admins[@])"
do

Sip A FORWARD -d Si -s $j -j ACCEPT
done

done

#	Всем остальным запрещаем доступ к сайтам из списка blacklist
1=0
for i in "$(blacklist(@])"
do

Sip -A FORWARD -s Si -j DROP

done

# Разрешаем транзит некоторых пакетов	(80	, 443 и 53)
Sip -A FORWARD -р tep -s $LOCAL_NET ! 80,53,443 -j ACCEPT	-d	$LOCAL_NET -m multiport --dports
Sip -A FORWARD -p tep -d SLOCAL_NET ! 80,53,443 -j ACCEPT	— s	SLOCAL_NET -m multiport --sports
Sip -A FORWARD -p udp -s $LOCAL_NET ! 53 -j ACCEPT	-d	$LOCAL_NET -m multiport --dports
Sip -A FORWARD -p udp -d SLOCAL_NET ! 53 -j ACCEPT	-s	$LOCAL_NET -m multiport —sports

После этого нужно обеспечить автоматический запуск нашего сценария /etc/
firewall'firewall.sh.

13.4. Настройка брандмауэра ufw

Традиционно в качестве брандмауэра (фильтра пакетов) в Ubuntu исполь-
зуется iptables, но поскольку Ubuntu позиционируется как простой дистри-
бутив, то и оболочка для iptables была разработана соответствующая - UTF
(Uncomplicated Firewall) - несложный файрвол.
13.4.1.	Проверяем состояние брандмауэра

Первым делом нужно убедиться, что пакет ufw вообще установлен, или

установить его, если это не так:

sudo apt install ufw

Как показано на следующей иллюстрации, уже установлена последняя вер-
сия пакета ufw.

Рис. 13.2. Установлена самая новая версия ufw

Теперь посмотрим состояние брандмауэра:

# ufw status verbose

По умолчанию фильтр пакетов выключен, поэтому вы получите сообщение:

Состояние: неактивен
Нс нужно спешить включать файрвол; сначала ею нужно настроить. Ведь
если порт 22 окажется по умолчанию недоступен, то вы потеряете доступ
к своему серверу, если администрируете его удаленно. Об этом нужно пом-
нить!

13.4.2.	Базовая настройка

По умолчанию брандмауэр запрещает все входящие соединения и раз-|
решает все исходящие.

Такая политика идеальная с точки зрения безопасности (дальше бы поймете
почему) - ведь если кто-то (и вы в том числе) захочет к нему подключиться,
то у него это не получится. В то же время приложения на сервере смогут
создавал исходящие соединения.

Рассмотрим две команды:

ufw default deny incoming
ufw default allow outgoing

Данные два правила как раз и задают политику по умолчанию - запрещают-
ся все входящие соединения и разрешаются все исходящие.

Итак, все входящие соединения запрещены. Чтобы к серверу можно было
"достучаться" по определенному порту, его нужно сначала открыть. UFW
хорош тем, что вам даже не нужно помнить номер порта - нужно знать толь-
ко название сервиса. Например, вот как можно разрешить подключение по
SSH:

ufw allow ssh

При этом UFW сам создаст правило для порта 22 - именно этот порт исполь-
зуется для SSH Брандмауэр знает порты и имена всех распространенных
служб (http, ssh, ftp, sftp и т.д.).

Однако если вы перенастроили ssh на нестандартный порт из соображений
той же безопасности, нужно явно указать номер порта:
После разрешения ssh (это главное, ч гобы сейчас файрвол нам не разорвал
соединение) можно включить ufw командой:

ufw enable

Вы увидите сообщение о том, что межсетевой экран включен и будет запу-
скаться при загрузке системы.

Посмотрите на следующий скриншот (рис. 13.3).

Рис. 13.3. Проиесс настройки ufw

Посмотрим, что произошло Сначала мы разрешили ssh, на что получили
ответ, что правила обновлены;

Правила обновлены

Правила обновлены (v6)

Затем мы включаем файрвол и получаем сообщение, что он активен и будет
запускаться при загрузке системы.

На этом базовая настройка выполнена - ssh успешно работает, и мы можем
приступить к дальнейшей настройке фильтра пакетов

; 42(> J
13.4,3. Создаем правила для других приложений

Теперь нужно разрешить работу других приложений. Как правило, нужно
разрешить службу http (веб-сервер), ftp и постараться нс забыть о https (что
очень важно в последнее время):

ufw	allow	http
ufw	allow	https
ufw	allow	ftp

Сделать то же самое можно было бы и по номерам портов:

ufw	allow	80
ufw	allow	443
ufw	allow	21

При желании можно разрешить целый диапазон портов, указав при этом
транспортный протокол (UDP или TCP):

sudo	ufw	allow	2000:2200/tcp
sudo	ufw	allow	4000:4400/udp

13.4.4.	Разрешаем IP-адреса

Ufw позволяет разрешить определенному IP-адресу доступ ко всем портам
сервера, например:

ufw allow from 46.229.220.16

Если нужно разрешить доступ конкретному IP-адрссу только к определенно-
му порту, го делается это так.

ufw allow from 46.229.220.16 to any port 22
Здесь мы разрешаем не все подключения к ssh, а только подключения с IP-
адреса 46.229.220.16.

Разрешить доступ целою диапазона IP-адресов (например, когда у админи-
стратора динамический IP), можно так:

ufw allow from 123.45.67.89/24 to any port 22

13.4.5.	Запрещаем IP- адреса и службы

Запретить доступ с определенного IP-адреса можно аналогично;

ufw deny from 123.45.67.89

При желании можно запретить все подключения к определенной службе:

ufw deny ftp

13.4.6.	Удаление/сброс правил

Сбросить все правила можно командой:

ufw reset

Но убедитесь, что на момент ввода этой команды вы отключили файрвол,
иначе вы потеряете доступ по ssh.

Удалить конкретное правило можно по номеру.

Сначала введите следующую команду, чтобы узнать номер правила;

ufw status numbered
Рис. 13.4. Список npauici

13.4.7.	Отключение файрвола

Отключить ufw можно командой ufw disable. Отключение может пона-
добиться. если какие-то из правил работают неправильно и нужно
временно отключить файрвол, чтобы разрешить работу тех или иных
сервисов.

.............................Illlllll II null 111ПП11Н1Н1111 linn I ИНН IIIIIIIIIIIITIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIKIIIIIIIIIIIIIIIIIIKIII

Если вь: ранее использовали iptables, то наверняка заметили, что синтак-
сис ufw гораздо проще. Если же до этого вам не приходилось настраивать
брандмауэр, то ufw - оптимальное решение, с которым не составит труда
разобраться даже начинающему администратору.

Глава 14.

Удаленный вход в
систему по SSH
14.1. Протокол SSH

Особенностью SSH-соединения является шифрование всех передаваемых
по нему данных. Если злоумышленник перехватит SSH-трафик, он не узнает
ни логин, ни пароль, ни команды, которые вы передавали на сервер.

В Linux используемся свободная реализация протокола SSH -
OpenSSH.

Данная реализация была определена рабочей группой IETF. Не беспокой-
тесь: OpenSSH так же безопасен, как и SSH. Далее мы будем говорить SSH,
а подразумевать именно OpenSSH.

Для шифрования передаваемых данных SSH-соединение может использо-
вать различные алгоритмы, например BlowFish, 3DES (Data Encryption
Standard), IDEA (International Data Encryption Algorithm) и RS A (Rivest-
Shamir-Adelman algorithm). Алгоритм определяется настройками SSH-
сервера.

Чтобы удаленные пользователи могли подключиться к вашему серверу, на
нем нужно установить демон sshd. Как правило, этот демон содержится в
пакете openssh-server. Клиент SSH, то есть программа, с помощью которой
удаленные пользователи будут подключаться к вашему SSH-серверу, содер-
жится в пакете openssh-client. Итак, на компьютеры, с которых бы планируе-
те подключаться к серверу, нужно установить пакеты openssh-client.

Что делать, если у вас не Linux, а подключаться к SSH-ссрверу вес равно
нужно? Не беспокойтесь! SSH-клиенты созданы для самых разных опера-
ционных систем. Один из самых хороших клиентов для Windows — Bitvise
SSH Client. Он бесплатный, поддерживает создание и загрузку профилей со
единений, что позволяет удаленно администрировать несколько серверов,
поддерживает не только передачу команд, но и файлов (по протоколу sFTP).
Для iOS можно использовать приложение WebSSH, а для Android — SSH
Client. Все эти приложения бесплагны.

Bitvise SSH Client 8.42

Profile:

Login Options Terminal RDF SFTP Services C2S S2C SSH Motes About*

Server

toad profits Host 46 ^2204S3

Pflrt [22 j Q Enable obfuscation

Save profile

iv	Kerberos

SPN

Save profile as

Q| GSS'Kerberos key exchange

Authentication

User name	root

initial method password	v

Q Store encrypted password In profile

Eassword	••••••••

Enable password over kbdi fallback

Elevation	Default

Nev/ profile

L ill

Close profile

1, 09:15:43.965 Bitvise SSH Client 8.42, a fully featured SSH client for Windows.

Copyright (C) 2000-2020 by Bitvfse Limited.

t 09:15:43.965 Visit www.bitvise.com for latest information about our SSH software.

L 09:15:43.965 Run ’BvSsh -help' to leam about supported command-line parameters.

09:15:43.965 Cryptographic provider- Windows CNG (x86) with additions

09:15:44.467 Version status: Improvements available

SFTP GUI auto-complete can deadloch Other minor issues. There is a compatible
update with fixes, improvements,

S 09:15:44.467 Optional update available.

09:15:44.547 Loading last used profile

09-15-44.555 Last used profile loaded successfully

09:15:51.290 Creating new profile aborted

. 09:15:58.541 Loading profile aborted.

J 09:16:10.631 Loading profile

г 09-16:10.635 Profile loaded successfully.

t in 1	E31*

Puc. 14.1. Приложение Bitvise SSH Client
14.2. SSH-KJineiii

Программа ssh является SSH-клиентом и содержится в пакете
openssh-client. Как правило, этот пакет установлен го умолчанию и
вам не нужно его устанавливать вручную.

Формат вызова программы ssh следующий:

ssh [параметры] <адрес_удаденного_компьютера>

Параметры можно не указывать, но раз они есть, знать о них вы обязаны
(табл. 14.1). Хочу предупредить сразу: опций у программы много и в т аблице
14.1 будут представлены только самые полезные или, наоборот, бесполезные
(чтобы привлечь к ним ваше внимание) опции.

Таблица 14.1. Некоторые параметры программы ssh

Параметр	Описание
-1	Заставляет клиент использовать первую версию протоко- ла SSH. Можно использовать только при подключении к очень старым серверам
-2	Клиент будет использовать только вторую версию про- токола SSH. Это означает, чт о если вы с этим параметром попытаетесь подключиться к старому серверу, у вас ниче- го не выйдет. Как правило, ssh автоматически определяет версию протокола и в параметрах -1 и -2 нет смысла
4	Клиент будет использовать только 1Рм4-адреса
-6	Клиент будет использовать только 1Ру6-адреса
-А	Включает перенаправление соединения агента аутентифи- кации. Данный параметр можно включить отдельно для каждого узла в конфигурационном файле. Используйте перенаправление агента с осторожностью. Данная возмож- ность является потенциально уязвимой
-а	Отключает перенаправление соединения агента аутенти- фикации
-Ь адрес	Использует адрес на локальной машине как адрес источ- ника соединения Полезная опция, если у вас установлено несколько !Р-адресов
-С	Запрашивает сжатие всех данных [в том числе stdin, stdout, stderr и данные XII). Уровень сжатия устанавливается опцией CompressionLevel для протокола версии 1. Сжатие данных полезно на модемных линиях и других медленных соединениях, но в быстрых сетях оно только вызовет лиш- ние задержки
-с	Задаст список алгоритмов шифрования, разделенных за- пятыми в порядке предпочтения. Вы можете указать алго- ритмы blowfish, des или 3des. Данная опция используется только для второй версии протокола SSH. Для первой вер- сии протокола можно указать лишь один предпочитаемый протокол
-f	Переводит ssh в фоновый эежим. Полезно, когда вы запу- скаете XII-программу (графическую программу) по SSH
-1 имя	Позволяет указать имя пользователя, под которым вы буде- те регистрироваться на SSH-сервере. Указывать не обяза- тельно. поскольку сервер и так попросит вас ввести логин
-р порт	Указывает порт SSH-сервсра, отличный от используемого по умолчанию (22)
	
	
-q	"Тихий" режим. В нем отображаются только фатальные ошибки. Все, что не важно, выводиться не будет
-X	Включает перенаправление XII. Полезный параметр при запуске графических программ
-X	Отключает перенаправление X11
-V	Подробный режим - антипод для -q
-V	Выводит номер версии

Использовать ssh очень просто. В следующем примере я подключаюсь как
tool к узлу server:

$ ssh -1 root server

14.3.	Настройка SSH-сервера

Теперь приступим к настройке SSH-сервера. Для его установки нужно уста-
новить пакет openssh-server.

После этого нужно запустить сервер командой:

#	service ssh start

Иногда сервис называется sshd, тогда команда будет иной:

#	service sshd start
Сервер сразу же готов к работе, и его вполне безопасно можно использовать
с параметрами по умолчанию.

Конфигурационный файл SSH-сервера называется /etc/ssh/ssha_config.
Пример файла конфигурации sshd config приведен в листинге 14.1 (с ком
ментариями на русском языке).

Листинг 14.1. Пример файла конфигурации sshd config

#	Какой порт будет использоваться для SSH-сервера. Порт по умолчанию - 22

#	Теоретически, номер порта можно изменить, но на практике в этом нет
# необходимости. Защита с помощью изменения номера порта - дело

#	неблагодарное, поскольку есть сканеры портов, которые могут легко вычислить

#	номер порта

Port 22

#	Какие адреса мы будем слушать. Чтобы sshd работал на всех интерфейсах,

#	закомментируйте директиву ListenAddress

♦	ListenAddress ::

♦	ListenAddress 0.0.0.0

#	Номер версии протокола

Protocol 2

#	Ключи для протокола версии 2

НоstKey /etc/ssh/ssh_host_rsa_key

HostKey /etc/ssh/ssh_host_dsa_key

HostKey /etc/ssh/ssh_host_ecdsa_key

#	Для улучшения безопасности включаем разделение привилегий
UsePrivilegeSeparation yes

#	Время жизни (в секундах) и размер ключа сервера версии 1
KeyRegenerationlnterval 3600

ServerKeyBits 768

#	Журналирование

SyslogFacility AUTH

LogLevel INFO

#	Аутентификация:

LoginGraceTime 120

#	Если нужно запретить вход как root по ssh (это не запрещает команду
# su), выключите этот параметр (установите значение по).

PemitRcotLogin yes

StrictModes yes

#	Максимальное количество попыток аутентификации

#MaxAuthTries 3
( срнер па Windows и Linux	r-'s .4  жам
	

#	Использование RSA (yes)
RSAAuthentication yes

#	Аутентификация с открытым ключом
PubkeyAuthentication yes

♦	AuthorizedKeysFile %h/ . ssh/autnori zed_keys

#	Отключаем устаревшую .rhosts-аутентификацию

#	Файлы ~/.rhosts and ~/.sbosts читаться не будут:
IgnoreRb.osts yes
RhostsRSAAuthentication no
HostbaseoAuthenticaticn no

4 Запрещаем (значение no) пустые пароли
PermitEmptyFasswords no

» He используем аутентификацию вызов-ответ
ChallengeResponseAuthentication no

#	Параметры Kerberos

♦KerberosAuthentication no

♦	KerberosGetAFSToken no

♦	KerberosOrLocalPasswd yes
♦KerberosTicketCleanup yes

#	Параметры GSSAP1

♦GSSAPIAuthentication no

#	GSSAPICleanupCredentials yes

#	Xll-форвардинг
XllForwarding yes
XllDisplayOffset 10
# Выводить сообщение дня (можете отключить)

PrintMotd yes

#	Выводить время последнего входа
PrintLastLog yes

#	Использовать постоянные ТСР-соединения
TCPKeepAlive yes

#UseLogin no

♦Maxstartups 10:30:60

♦	Баннер

♦	Banner /etc/issue.net

♦	Разрешать клиенту передавать локальные переменные окружения
AcceptEnv LANG LC_*

♦	Параметры подсистемы sftp
Subsystem sftp /usr/lib/openssh/sftp-server

#	Использовать ли модули РАМ?
UsePAM yes
I лапа 14. Удаленный вход в систему no SSH

Конфигурация по умолчанию вполне пригодна для использования. Я выде-
лил несколько опций, которые вам, возможно, захочется изменить. Осталь-
ные параметры вряд ли вы будете изменять.

14,4.	Защищенное копирование файлов

Иногда возникает необходимость скопировать лажные файлы по защищен-
ному каналу. Заморачиваться с отправкой их почтой с использованием асин-
хронного шифрования как-то не хочется, да и почтой можно передать только
файлы небольших размеров.

Для защищенного копирования файлов используется утилита scp.

Рассмотрим несколько примеров использования этой команды:

$ scp user@example.com:file.txt /horoe/ubuntu

Данная команда копирует файл file.txt с удаленною SSH-сервера example,
com в каталог /home/ubuntu. Вход на сервер будет выполнен от имени поль-
зователя user. Пароль будет запрошен при запуске программы. Файл file.txt
должен находиться в домашнем каталоге пользователя user.

Аналогично, можно скопировать некоторый локальный файл в некоторый
удаленный каталог на SSH-сервере:

$ scp file.txt user@exarrle.com:/some/remote/directory

Теперь усложним задачу. Пусть нам нужно скопировать локальный каталог
dir] и все его содержимое (опция -г) в каталог /horr.e/ubuntuAlir2 удаленного
сервера example.com. Команда будет такой:

$ scp -г dirl user@example.com:/home/ubuntu/dir2
А вот совсем сложный пример. Мы копируем файи! /dir/file.lxt, находящийся
на сервере hostl , в каталог /some/directory сервера host2. На обоих компью-
терах должен быть запущен SSH-сервер.

Команда выглядит так:

$ scp user@hostl:/dir/file.txt user@host2:/some/directory/

14.5.	Оптимизация SSH

SSH-серьер работает довольно быстро, но иногда администраторам прихо-
дится столкнуться с торможением, особенно при входе пользователя.

Ускорить вход пользователя поможет отключение использования
ONS. Добавьте в файл конфигурации sshd_conf директиву.

UseDNS по

В этом случае IP-адреса не будут разрешаться в доменные имена, что су-
щественно повысит производительность, поскольку не будет необходимости
обращаться к DKiS-серверу и ждать от него ответа.

Также нужно использовать постоянные ТСР-соединения:

TCPKeepAlive yes

Еще можно отказаться от вывода сообщения дня, но на вход пользователя
это особо не повлияет:

PrintMotd по

Серьезное "торможение" (порой на несколько секунд) могут добавить РАМ-
модули. Но отключать РАМ-модули полностью не нужно!
Достаточно из файлов /etc/pam.d/login и /etc/pain.d/sshd удалить строки:

session	optional	pam_motd. so	motd=/run/motd.dynamic noupdace
session	optional	pam_motd.so	

После этого регистрация на вашем SSH-сервере будет происходить
мгновенно.

Глава 15.

Вопросы администрирования
веб-сервера
Прежде чем приступить к разработке, например, своего интернет-магази
на, нужно проделать много подготовительной работы - выбрать сервер, до-
менное имя, SSL-сертификаз, настроить программное обеспечение сервера
и установить саму CMS (Content Management System, систему управления
контентом). Только после этого можно начать продавагь что-либо, то есть
занять сервер полезной работой.

15.1.	Выбор доменного имени

Как яхту назовешь, так она и поплывет. Конечно, все зависит от личных
предпочтений руководства магазина, уже существующего названия торго-
вой марки и других факторов. Как технический специалист, могу пореко-
мендовать выбирать доменное имя второго уровня и желательно в домене
.сот (<название>.сот), поскольку вы создаете именно интернет магазин, а
не сайт общественной или правительственной организации.

С течки зрения SEO доменное имя второго уровня лучше, чем третьего,
например sales.example.org. А домен верхнего уровня (TLD) .сот идеально
подходит для коммерческих ресурсов.

Купить доменное имя можно на сервисе регистрации доменных имен,
например на reg.ru, nic.ru и т.д. Если у вас сервер будет не физический, а
виртуальный, совсем не обязательно покупать доменное имя у облачного
провайдера. Хотя, если вам удобнее, вы можете купить и сервер, и домен у
одной организации.
15.2.	Выбор тина сервера

Для вашего интернет-магазина нужен собственный сервер, просто хостинг
не подойдет по причинам низкой производительности и невозможности гиб-
кого управления программным обеспечением Хотя некоторые провайдеры
предоставляют уже готовый хостинг с НО для организации магазина, но как
будет работать такой магазин - никому не понятно. Я же рекомендую не
тратить свое время на подобные продукты (исключение SaaS-услуга с ин-
тернет-ма1 азином, например Shopify, но это уже совсем другой уровень и
если вы выбрали такую, то можете дальше эту книгу не читать, а купить
книгу по Shopify).

Итак, нужен собственный сервер Возможны три варианта:

1.	Физический сервер.

2.	Виртуальный сервер (VDS/VPS).

3.	Выделенный (dedicated) сервер.

От первого варианта прошу вас отказаться. Во-первых, хороший сервер
стоит несколько тысяч евро. Это капитальные затраты, которые можно за-
менить операционными посредством использования виртуального сервера.
Физический сервер можно использовать, если он уже был куплен до вас.

Во-вторых, физические серверы требуют существенных затрат на их обслу-
живание:

•	Нужно производить ремонт, модернизацию, чистку. В случае с виртуаль-
ным сервером все это ложится на плечи провайдера. Вам нс нужно ниче-
го делать и ни на что тратиться.

•	Нужно обеспечить резервное питание. Эго не всегда возможно, посколь-
ку часто альтернативным источником выступает дизель-генератор, а его
можно установить не везде (правила пожарной безопасности и уровень
шума мешают установить его в обычном офисном здании).

•	Необходимы вторая интернет-линия и роутер (маршрутизатор) с возмож
ностью переключения между каналами. Роутер стоит недорого, а вот за
второй интернет-канал вам придется платить каждый месяц, даже если
вы его не используете. Хотя этот пункт менее проблематичен, чем второй.

•	Необходимо обеспечить систему кондиционирования летом во избежа-
ние перегрева сервера.

i Виртуальный сервер ничем по управлению не отличается от физи-
ческого - вы можете установить любое программное обеспечение и
настроить сервер так, как вам нужно

RiniMuiiiiuiMimiiiiiiiiimumiiimiiiiiimiinumuiwiiimimiiiiiiiiiiuimiiHimiuiiMiiwMiiiiiiiiiiiiMiiiiiiiiiiiiuiimiiiiiiiiiiiiiuiMiiHiiiiiiiiniiM^

Зато у виртуального есть масса преимуществ:

•	Перед установкой какого-то расширения или внесением существенных
изменений в работу CMS или самою сервера вы можете сделать сни-
мок (снапшот). В случае если что-то пойдет не так, восстановить все,
как было, можно за считанные секунды. Это основное преимущество
использования виртуализации. На продакшн-серверах данная функцио-
нальность "must have" - пользователи вашего магазина не должны ждать,
пока администратор сделает откат при неудачной настройке.

•	Модернизация сервера занимает считанные минуты. Например, вы мо-
жете докупить дополнительные ядра процессора и дополнительные ги-
габайты оперативной памяти за считанные минуты. Белее того, когда до-
полнительные ресурсы вам булу'т не нужны, вы можете вернуть их в пул
и платить меньше. Например, на время сезонных распродаж (Новый год,
Рождество) вы можете добавить дополнительные ресурсы, а после празд-
ников - вернуть их в пул.

Выделенный (dedicated) сервер - это то же самое, что и физический |
сервер, но установленный в дата-центр облачного провайдера.

Вы покупаете сервер и помешаете его на хранение в дата-центр. Провай-
дер обеспечивает резервирование интернет-соединения, питание и охрану
сервера. Остальные операции, например модернизация сервера, его ремонт,
осуществляются за дополнительную плату. При этом вы не может е сделать
снимок сервера или доустановить, а потом вернуть ресурсы сервера.

Следующая таблица позволяет сравнить эти три вида серверов.

" 446 J
Таблица 15.1. Сравнительная таблица типов серверов

Тип сервера	Преимущества	Недостатки
Физический	Настоящий компьютер из плат и проводов  Сразу доступны все ресурсы сервера  Более высокая производитель- ность	Значительно дороже при покупке и содержании  Всю сумму платим сразу  Требуется администратор именно сервера  Необходимо платить за colocation или обеспечивать самому надлежащие усло- вия для работы сервера  Сложность модернизации
Виртуальный	Гораздо дешевле физического сервера  Простота обслуживания, не ну- жен отдельный администратор в штате  Обеспечение работоспособно- сти - не ваша проблема  Быстрое клонирование сервера  Быстрое создание "снимка" сервера, что позволяет вос- становить сервер за считанные секунды  Простая модернизация сервера Оплата только за используемые ресурсы, возможность быстро изменить конфигурацию сер- вера  В стоимость уже входит IP- адрес и интернет-канал	Производительность не- много ниже, чем у физиче- ского сервера  Нельзя увидегь/пощупать физически
Выделенный	Все преимущества физического серзера  Услуги coiocation уже входят в тариф  Не нужно беспокоиться о том, что сервер может сломаться Физический сервер, который вы получаете сразу, а оплачива- ете - по мере использования	Дороже виртуального сер- вера  Невозможно создать снап- шот, как в случае с вирту- альным сервером, нужно использовать традицион- ные решения резервного копирования

Арендовать виртуальный сервер в большинстве случаев выгоднее, проще и
удобнее, чем связываться с физическим сервером. Сегодня, но сути, физи
ческое оборудование имеет смысл приобретать, если вы сами планируете
предоставлять виртуальные серверы в аренду. Во всех остальных случаях
можно обойтись виртуальным сервером.

15.3. Выбор облачного провайдера

Очень важно не допустить ошибку при выборе облачного провайдера.

Такие ошибки могут очень дорого обойтись - вы потеряете деньги, время,
репутацию. Поэтому мы подготовили список, который необходимо уточнить
у облачного провайдера перед тем, как воспользоваться его услугами:

• Уровень сертификации по Tier узнайте, присвоен ли центру обмена
данных уровень по UTI. С Tier 1 и Tier II нечего связываться. Tier I - все
равно что разместить серверы у себя в офисе, поскольку данный уровень
не предполагает резервирования электропитания Уровень доступности
99.671%, то есть 28.8 часов простоя в год. Самый надежный и доступный
по деньгам - Tier III. Резервируются вес инженерные системы, обеспечи-
ваются возможности ремонта и модернизации без остановки сервисов.
Tier III (99.98% доступности, или 1 6 часа простоя) предполагает построй-
ку второго ЦОД внутри того же здания - ведь все нужно дублировать, в
том числе СКС, электричество, систему охлаждения, у всего серверного
оборудования должны быть независимые подключения к нескольким ис-
точникам питания и т.д. В то же время стоимость будет гораздо ниже, чем
у Tier IV (99.99% доступности).

•	Наличие необходимых лицензий ФСТЭК — помните, что вы будете
хранить на данном сервере персональные данные своих клиентов, поэто-
му наличие лицензий ФСТЭК - необходимое условие.

•	Физическое размещение серверов — ФЗ-152 требует, ч гобы персональ-
ные данных граждан ?Ф хранились только в пределах РФ, поэтому фи-
зическое местоположение играет роль. Как бы вам ни хотелось купить
сервер в США, ничего не выйдет.

•	Были ли раньше анарии на плошадке — были ли на площадке выбран-
ного вами провайдера аварии, и если были, то каковы их причины и какие
меры были приняты. Нужные сведения можно легко найти в Интернете,
равно как и отзывы довольных и не очень клиентов.

•	Наличие тестового режима самый хороший способ протестировать,
подходит ли вам данная площадка или нет. Узнайте у провайдера, есть ли
тестовый режим и как им можно воспользоваться.

•	Чем является виртуальное ядро — облачные провайдеры измеряют
процессорную мощность своих серверов в виртуальных ядрах (vCPC).
Один vCPU может равняться одному физическому ядру процессора, а мо-
жет и четверти (1/4) ядра. Этот вопрос нужно уточнить заранее. Покупая
виртуальную машину с процессором на 4 ядра, получите ли вы 4 ядра или
всего одно ядро (если IvCPU = 0.25 одного ядра)?

•	Базовая скорость интернет-канал а — трафик, как правило, безлимит-
ный, а вот скорость доступа к Интернету может быть разная. Некоторые
провайдеры предоставляют серверы с низкоскоростным интернет-соеди-
нснием 10 Мбит/с, а за более скоростной доступ нужно доплачивать. Не-
которые сразу предоставляют полноценный канал 100 Мбит/с без каких-
либо доплат. Протестировать интернет-канал можно командой:

wget -О - https://raw.github.com/sivel/speedtest-cli/
master/speedtest.ру I python

Вы увидите скорость upload и download. В идеале она должна быть примерно
одинаковой и при соединении 100 Мбит/с у вас должен быть результат не
ниже 76 Мбит/с при прохождении теста.
•	Скорость работы дисковой подсистемы — многие провайдеры предо-
ставляю! серверы с SSD-дисками. Получите тестовый доступ и подклю-
читесь к серверу по ssh. Введите команду:

dd if=/dev/zero of=tsmp bs=lM count=2048

Вы увидите реальную скорость обмена данными с диском. Если провайдер
заявляет, что у вас SSD, а скорость обмена данными меньше 200 Мбайт/с,
ищите другого п ровайдера.

•	Периодичность и стоимость резервного копирования — уточните,
есть ли сервис резервного копирования или резервирование данных при-
дется осуществлять своими силами, го есть покупать еще один виртуаль-
ный накопитель, устанавливать и настраивать про1раммное обеспечение
для бэкапа и т.д. Если сервис есть, то нужно уточнить, сколько он сто-
ит, чтобы вы могли планировать свои месячные затраты на содержание
виртуальной инфраструктуры. Автор этой книги, работая с cloudways,
com, был удивлен, узнав, что поддержка снапшотов есть нс для всех ти-
пов серверов. Для серверов DigitOcean возможности создания снапшотов
нет. Лучше узнать это до того момента, как вам понадобится возможность
создания снапшот а,

•	Тарификация — первым делом нужно уточнить единицу тарификации:
минута, час, день и т.д. Что произойдет, если вы выключите сервер на
некоторое время? Будет ли такой простой бесплатным или будет тарифи-
цироваться только хранение информации? Что будет, если вы измените
конфигурацию сервера в мсныпую сторону? Как и когда это отразится па
стоимости сервера? Допустим, вы заказали сервер с 16 Гб оперативной
памяти, а спустя некоторое время решили, что 16 Гб - это много и будет
достаточно 12 Гб. В 11:00 вы уменьшаете размер оперативной памяти.
Когда это отразится па тарификации? Моментально, через час или в на
чале следующего дня?

•	Скрытые платежи — узнайте, за что еще вам придется платить. Напри-
мер, придется ли доплачивать за панель управления сервером, резервное
копирование и т.д. Постарайтесь по максимуму просчитать, сколько будет
стоить содержание виртуальной инфраструктуры в месяц, чтобы в конце
месяца это не было для вас неприятным сюрпризом.

•	Способы подключения к серверу — как можно подключиться к арендо-
ванному серверу? Обычно предоставляется SSH-доступ, но может быть
еще и доступ через веб-консоль управления сервером, что будет особен-
но полезно, если вы при настройке брандмауэра случайно закроете сами
себе SSH-доступ - такое бывает.

•	Служба поддержки — узнайте график и условия работы службы под-
держки. Какие услуги саппорт (поддержка) оказывает платно, а какие
- нет. Например, если нет всб-консопч, а вы заблокируете сами себя и
обратитесь в саппорт, будет ли настройка брандмауэра платной или вам
помогут бесплатно?

15,4.	Выбор конфигурации сервера

Конфигурацию сервера нужно подбирать исходя из выполняемых им функ-
ций и установленного на сервере ПО. На первых порах вам хватит 4 процес-
сорных ядер и 8 Гб оперативной памяти. Далее будьте готовы к расширению
ресурсов Да, 8 ядер и 32 Гб "оперативки". Если подобная конфигурация
сервера - для вас дорого, тогда стоит остановиться прямо сейчас и обратить
внимание на SaaS-решения - возможно, они окажутся дешевле

Будьте юговы, что в реальных условиях вам понадобится как минимум 16
Гб памяти и 4—6 ядер. Соответственно, данные операционные расходы нуж-
но будет закладывать в работу магазина.

15.5.	Переезд с хостинга на сервер

Сейчас рассмотрим практический пример. Пусть у вас есть хостинг и на нем
есть сайт. Вы хотите перенести сайт на собственный веб-ссрвср (физиче
ский или виртуальный - без разницы).

15.5.1.	Этапы переноса

Перенос сайта на VPS состоит со следующих этапов:

1.	Копирование файлов на локальный компьютер.

2.	Экспорт базы данных.

*
3.	Установка веб-сервера, СУБД и другого ПО на виртуальный сервер (ВС).

4.	Настройка ЛО на VPS.

5.	3ai рузка файлов с локальной системы на ВС.

6.	Редактирование конфигурации движка (CMS).

7.	Импорт базы данных на ВС.

X. Перенос домена.

15.5.2.	Копирование файлов сайга на локальный компьютер

Подключитесь к виртуальному хостингу по FTP. Лучше всего для этого ис-
пользовать FileZJla, поскольку этот FTP-клиент хорошо работает с большим
количеством файлов. Перейдите в каталог, содержащий файлы сайта. Как
правило, это каталог public html. Если вы раньше администрировали сайт,
то наверняка знаете, как называется этот каталог. Если возникли сложности,
обратитесь в саппорт хостинг-провайдера

а

фЛт JbsPnpcai-t-e 2,<д Цереддч* £емся Jrwacw Dou»-* Дог'Г’Ч "W»e sepe

a

чгетхдю скдиимгъ

I "SMOU'UI



. Г+90&.



#47 я лередди угмыча, передай! 124б»Л'  1 случи

Н4ЧХИ4Я оз«Ып	оиРСШп-ЛЛк

#»3л пере*»-услриис new*. BOO'6»iHs I сму-и

'anefx.ntmWiatWVXpng

BwwiM cWT. t“.8*dup\5-!e\

Ь Окад



Acer image
ЗА-Ц7-С2
tooki
M4W

1 -ФЫН







31I02BU.. Всдгоэе- ftpftp

C«2>t®434«tttatBt8»M*4We7



'me 2й01201в_ (taimpe- to to
-1МЖ4С. 040Z2G1T- ftcamee- ftoto
Таяис 14МХП-	to1*#

Регаэс. 3I1020B- fcompt- ftp*®
"^"uc. й’Ч2С1ё, tedme*. ftp*®
•T*nuc, ЗИОЛи.- tkampe. tote
Fl*n«r , ИДЗаО!'- (Icoitim., ftp ftp
П4.ИИС- ЗИМОВ- fictWe- tofts
.Vat. 25.01 дат., taimoe- ftp*®
Пичес. 33102014. ftcdmpe- ftp*®

srvor

__ имурсисное	ДОло< « омеи

ОеоавспновКмЬм i ЭГвижго*

Семл/лоал»*^ si. krs. ч» «оное





/5wWKJitmi/«/h»dar'fv2eri5

1082 Hop-

i /стел»* передам ird,i

^О<^Зм1нзе32.0М>8

Puc. 15.1. Копирование файлов на локальный компьютер


15,5.3.	Экспорт балы данных на локальный компьютер

Войдите в панель управления старого хостинга. В ней часто есть ссылка на
phpMyAdmin -это ппиложение используется для работы с БД.

Далее действия будут такими:

1.	Выберите базу данных^ которую нужно перенести.

2.	Откройте вкладку Экспорт.

3.	Выберите метод экспорта Обычный.

4.	Нажмите кнопку Вперед.

5.	Сохраните дамп.

Рис. 15.2. Экспорт базы данных

15.5.4. Установка веб-сервера, СУБД и другого ПО на VPS

Подключитесь к серверу по ssh. После этого первым делом обновим список

пакетов и сами пакеты:

sudo apt update
sudo apt upgrade
Далее установим Apache (веб-сервер) и файловый менеджер тс (нужен для
упрощения перемещения по файловой системе и редактирования файлов):

sudo apt install apache2 me

Перейдите в директорию /ctc/apache2/sites-enabled и откройте файл 00-de-
fauh.conf. Мы не будем создавать отдельные web-серверы для каждого сай-
та Будем считать, что у нас есть один сайт и его конфигурация как раз будет
храниться в 00-default.conf. Реальный пример конфигурации приведен на
следующем рисунке.

Рис. 15.3. Конфигурация сервера: имя сервера затерто (поскольку производи-
лась настройка реального сервера и его имя скрыто в интересах клиента)

Основные директивы:

•	ServerName - здесь нужно указать домен;

•	DocumentRoot - указывает, где будут храниться документы сайта, мы ис-
пользуем каталог по умолчанию /var/www/html;

•	ServerAdmin - можно указать адрес электронной почты администратора
сервера.
Запустим web-сервер:

sudo systemctl start apache2.service

Установим СУБД MySQL, команды:

sudo apt install mysql-server mysql-client
sudo mysql_secure_installation

Первая команда устанавливает необходимые пакеты - сервер и клиент.

Вторая запускает настройку так называемой безопасной инсталляции, в ходе
которой будут произведены:

1.	Установка пароля для MySQL-пользователя root. Обратите внимание, что
этот пользователь и системный пользователь root - две разные личности,
поэтому постарайтесь, чтобы и пароли у них были разные.

2.	Удаление тестовой БД.

3.	Запрет подключения к серверу баз данных извне, только с локального
узла. Это означает, что к СУБД сможет подключиться ПО, работающее
только на этом VPS, а не все желающие. Не беспокойтесь: к вашему сайту
смогут подключаться все пользователи, просто они не смогут напрямую
подключаться к БД, что нежелательно с точки зрения безопасности.

После этого нужно ввести команду:

mysql -u root -р

CREATE DATABASE site;

CREATE USER siteuser?localhost IDENTIFIED 3Y '123456789',

GRANT ALL PRIVILEGES ON site.* TO siteuser@looalhost IDENTIFIED BY
'password';

FLUSH PRIVILEGES;

exit

Здесь запускается клиент и от имени MySQL-пользователя root выполня-
ются запросы. Первый запрос создает базу данных site, второй - создает
пользователя siteuser, от имени которою CMS будет обращаться к СУБД.
Третий запрос - предоставление полномочий пользователю siteuser ко всем
таблицам базы данных site. Естественно, вместо '12.3456780' укажите какой-
то сложный пароль.

Последний запрос осуШествляет применение полномочий, а команда exit -
выход из клиента mysql.

Для установки PHP и всех необходимых (в большинстве случаев) пакетов
используется вот такая длинная команда:

sudo apt install php php-cli openssl php-curl php-gd php-mcrypt
php-xml php-intl php-zip php-mbstring php-soap php-mysql php-json
libapache2-mod-php php-xsl composer

Она установит последнюю версию интерпретатора, доступную для вашего
дистрибутива. Например, для Ubuntu 16.04 это будет 7.0, для 18.04 — 7.2.

Узнать версию можно командой:

php -v

Рис. 15.4. Версия интерпретатора
Установим максимальный размер памяти для сценария. Откройте файл кон-
фигурации (X - версия):

sudo mcedit /etc/php/7,X/apache2/php.ini

3 нем нужно изменить лимит памяти и сразу сохраниться:

memory_limit = 512М

Добавим необходимые модули Apache (введите команду):

a2enmod rewrite

Также, чтобы нормально работали SEF URL некоторых CMS, нужно открыть
/erc/apache2/sites-enablcd/000-default.conf и добавить в секцию VirtualHost
строки:^

<Directory /var/www/html/magentO—test>
Options Indexes FollowSymLinks RultlYiews
AllowOverride All

</Directory>

Все, можно повторно перезапускать Apache.

15.5.5.	Загрузка файлов с локальной системы на VPS

Загрузите ваши файлы в каталог /var/www/html или любой другой, который
вы указали в DocumentRoot.

nilllUllDllllllllllllllIHlIIIIIIIIIIIIIHIIIIIIIIIIIIIIIIIIinllllllllinilllNIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIIII

I Если для подключения по SSH вы используете Bitvise SSH Client,
загрузить файлы можно в окне Bitvise SFTP. Используйте команду кон-
текстного меню Upload

4uiiiiiiituiiiiiiiiiiiiriMiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiMiiiiiiiiHiiiiiiiiiiiMiiiii>iiiii<iiiiiiiiiii>iiiiiitiiiiiuiiiiiiiiiiii>iiiiii>iiiiiiiiiiiiii>iiiiiiiiiiiiiiiiiiiii>iii<iiiiiiiiiiitniiiiiiiiiiiiiiiiiiiiiiiiiniiiiiiiiiiiiiiiiiiiiiiiuiiii iiiiiiiiiiiiiiiiiiiitiiiiiimiiiiiiiiHiiiiiiiiiiiiiiiniiiiiiiiiiiiiiiiimiiiHiiiiiumiiiiimi
Рис. 15.5. Bitvise SFTP

После этого перейдите в каталог /var/www/html (или любой другой, указан-
ный в конфигурации):

sudc find . -exec chown www-data:www-data (} \;

Команда делает владельцем всех файлов и каталогов пользователя www-data.,
от имени которого работает веб-сервер (сейчас владелец root и пользователь
www-data не сможет перезаписать файлы, созданные суперпользователем,
в результате движок сайта не сможет записать кэш и другую информацию).

15.5.6.	Редактирование конфигурации движка сайта

В файловом менеджере тс откройте для редактирования (кнопка F4) файл
конфигурации движка. Его название и расположение зависит от используе-
мой CMS (например, в случае WordPress - это wp config.php). В нем нужно
"прописать1' новые параметры для доступа к БД:

• Узел - localhost.

Имя пользователя - siteuser.
•	Пароль- 123456789.

•	База данных - site.

Конечно, у вас будут другие, свои значения, которые вы указали при
настройке MySQL.

15.5.7.	Импорт базы данных на VPS

Здесь все просто. Загрузите на сервер (по SSH) дамп базы дачных, получен-
ный при экспорте. Пусть он называется db.sql. Если он сжатый, то сначала

его нужно распаковать:

unzip db.sql.zip

Теперь импортируем его в БД:

mysql —u siteuser -р site < db.sql

Разберемся, что есть что:

•	опция -и задает пользователя БД (siteuser),

•	опция -р говорит о том, что нужно будет спросить пароль этого пользо-
вателя;

•	site - это БД;

•	db.sql - импортируемая БД.

15.5.8.	Перенос доменною имени

Осталось самое малое — открыть панель управления доменным именем.
Если вы покупали домен вместе с хостингом, скорее всего, это будет панель
управления хостингом. Если вы покупали домен у регистратора (например.
на reg.ru), зайдите в личный кабинет. В настройках домена у вас сейчас про-
писаны NS-записи - удалите их Вместо этого создайте A-запись, указываю-
щую на IP-адрес вашего VPS.

Внимание! Многие после этого совершают одну большую ошибку, а
именно - "забывают" пароль от старого хостинга или удаляют аккаунт.
Если домен зарегистрирован непосредственно у регистратора домен-
ного имени (nic ru, reg ru и т.д.), старый аккаунт можно удалить А вот
если вы покупали домен вместе с хостингом, то управление доменом
будет производиться через панель управления старым хостингом. Да,
за хостинг платить не нужно, но раз в году необходимо оплачивать
продление доменного имени. Или же обратитесь в службу поддерж-
ки старого хостинга - они помогут перенести домен в другое место.
Лучше всего перенести домен к регистратору доменных имен, а не к
новому хостеру - так не придется проделывать эту процедуру еще раз
при следующем "переезде".

На этом процедура переезда с виртуального хостинга на сервер завершена.
Глава 16.

Файловый сервер FTP
16.1.	Выбор FTP-сервера

Для Linux разработано очень много различных FTP-серверов.

На данный момент доступны следующие варианты: proftpd, pure-ftpd,
wu-ftpd, vsftpd Попробуем разобраться, какой вариант будет лучше для вас.

Если вам нужно максимум настроек и максимальная гибкость, тогда нужно
выбрать proftpd. Это настоящий монстр (в хорошем смысле этого слова)
по сравнению с остальными серверами. Как правило, данный сервер выби-
рают, если вам нужен полноценный FTP-ссрвер, работающий в Интернете
(а не в закрытой локальной сети), к которому будут подключаться множе-
ство разных FTP-пользователей. Идеально подходит в качестве FTP-сервера
хостинг-провайдера- когда есть один мощный физический сервер, на кото-
ром хранятся сайты множества клиентов Для доступа к файлам этих сайтов
можно использовать как раз proftpd.

Сервер vsftpd (Very Secure FTP Daemon) позиционируется как очень защи-
щенный FTP-сервер. Обслуживает официальные репозитории ftp.debian.
org, ftp.redhat.com, ftp.openbsd.org, ftp.freebsd.org и других дистрибутивов.
Немного настроек, надежда на лучшую защищенность и вроде бы работает
чуть быстрее - вот что можно сказать о vsftpd. Как правило, используется
для организации анонимных архивов, например, часто его используют раз-
работчики дистрибутивов для размещения ISO файлов. Для анонимного
(гостевого) доступа - идеальное решение. Быстро, безопасно, просто.
Серьезное ограничение сервера vsftpd - он не позволяет одновременную
регистрацию обычных и анонимных пользователей. Например, в случае с
proftpd вы можете разрешить регистрацию обычных пользователей (пусть
это будут пользователи, купившие у вас хостинг) и на этом же сервере вы
можете создать публичный каталог downloads, откуда могут скачать файлы
все кто угодно и без регистрации, то есть анонимно. В vsflpd такая конфигу-
рация работать не будет.

Если у вас совсем простой проект и вам нужен сервер, который практически
не нужно настраивать, тогда ваш выбор - pure-ftpd. Сервер простенький, но
на production-серверах я бы его не рекомендовал.

Самый древний вариант - wu-ftpd. Старый и "дырявый" сервер. По причине
его почтенного возраста и не очень совершенной безопасности в книге мы
его рассматривать не будем, как и pure -ftpd. Сначала мы рассмотрим proftpd,
а затем - vsftpd. Какой из них выбрать? Б большой корпоративной сети или
на сервере хостинг-провайдера лучшим вариантом будет proftpd, то есть в
среде, где будет много неанонимных пользователей. Если же в основном у
вас будут анонимные пользователи и не очень много обычных пользовате-
лей, тогда можно смело выбирать vsftpd - не зря его выбрали разработчики
дистрибутивов Linux и он обслуживает их репозитории.

16.2.	Настройка FTP-сервера proftpd

16.2.1.	Установка и управление сервером

Для установки proftpd нужно установить одноименный пакет, который име
ется во всех дистрибутивах Linux.

Конфигурационные файлы сервера хранятся в каталоге /etc/ргoftpd.
Основной конфигурационный файл называется proftpd conf и будет
рассмотрен в следующем разделе. В некоторых дистрибутивах файл
proftpd.conf находится в каталоге /etc, то есть полное его имя - /etc/
proftpd.conf.
Управлять сервером можно с помощью команд:

sudo	systemctl	start proftpd
sudo	systemctl	restart proftpd
sudo	systemctl	stop proftpd
sudo	systemctl	status proftpd

или с помощью таких команд (в устаревших дистрибутивах):

#	service	proftpd	start
#	service	proftpd	restart
#	service	proftpd	stop
#	service	proftpd	status

Первая команда, как обычно, запускает сервер, втирая - перезапускает, тре-
тья - останавливает. Последняя команда показывает состояние сервера.
Когда серверу "плохо", с помощью этой команды можно узнать, что ему "не
нравится". Пока запускать сервер не нужно.

16.2.2.	Файл конфигурации proftpd.conf

Конфигурационный файл proftpd.conf тщательно прокомментирован, однако
я понимаю, что не все знаю г английский язык, поэтому сначала в листинге
16.1 будет приведен файл proftpd.conf с комментариями на русском языке,
а затем мы рассмотрим некоторые директивы подробнее. Кроме простого
перевода, я дополнил этот файл собственными комментариями. Тем более
что в файле конфигурации по умолчанию не указаны все директивы и не все
директивы прокомментированы.

Листинг 16.1. Файл /etc/prcftpd.conf

# Это основной файл конфигурации ProFTPD

# Он настраивает одиночный сервер, поддерживающий кроме всего прочего

# и анонимный вход. Он подразумевает, что у вас созданы

# учетные записи пользователя/группы ’’nobody” и “ftp" для анонимной

# и обычной работы.
#	Название сервера
ServerName	"ProFTPD"

#	Тип сервера - автономный. Не изменяйте это значение

ServerType	standalone

#	Это сервер по умолчанию
Defaultserver on

#	Используем стандартный порт FTP-сервера - 21
Port	21

#	Диапазон портов брандмауэра для PASV
PassivePorts 40000 40999

f Уровень отладки - от 0 до 9

#	по умолчанию - 0

DebugLevel	0

#	SystemLog - задаем файл журнала

SystemLog	/var/log/proftpd/proftpd.log

#	По умолчанию мы не используем IPv6. Если нужна поддержка IPv6, установите
# значение on для этого параметра
UseIPv6	off

#	Обычно значение 022 - отличный выбор, и не изменяйте его за исключением
# случаев, когда вы понимаете, что делаете
Umask	022

#	Для предотвращения DoS-атак установите максимальное число

#	дочерних процессов до 30. Ес#1и вам нужно бо^е 30 одновременных

#	соединений, просто увеличьте это значение. Этот параметр работает только в
# standalone-режиме. В inetd-режиме

#	количество одновременных соединений ограничивает суперсервер xinetd.

#	Значение по умолчанию - 30, но я его сделал меньше - 20. В вашем случек
# нужно экспериментировать и смотреть, сколько одновременных пользователей
# могут работать с сервером
Maxinstances 20

#	Учетные записи пользователя и группы, от имени которых будет работать сервер
User	ftp

Group	ftp

#	Формат журналирования

LogFormat default "th Hut \"‘.r\” Is ob"

LogFormat auth " v j P] h t \"%r\" Is"

LogFormat write " h '1 <u tt \Mt\" ts b"

#		

#	Глобальные параметры описываются в секции Global

#		

<Global>

#		

#	Вход на сервер

#		

yip снь
♦ Поскольку DeferWelcome равно on, то приветствие будет отображено после
♦ аутентификации, а не до нее (off)

ServerIder.t on "FTP server ready"

DeferWelcome on

#	Директива DisplayConnect задает текстовый файл, который

#	будет отображен сразу после подключения пользователя, но до его входа

♦	DisplayConnect /etc/proftpd/msg

♦	Директива DisplayLogin указывает текстовый файл, который будет

♦	показан, когда пользователь зайдет на сервер

♦	DisplayLogin /etc/proftpd/msg

<IfModule mod_ident.c>

♦	Отключаем Ident-запросы (RFC1413)

IdentLookups off

</IfModule>

♦	Если директива UseFtpUsers включена (on), то ProFTPD при подключении

#	пользователя будет искать его имя в файле /etc/ftpusers. Если его там

#	нет, тогда сервер откажет в подключении

UseFtpUsers	off

♦	Подключение на основании /etc/shell. При включенной директиве

♦	будет требоваться "правильная" оболочка. Если к серверу будут

#	подключаться не только Linux/Unix-клиенты, эту директиву нужно
♦ выключить (off)

RequireValidShell off

♦	Максимальное число времени в секундах, которые разрешается

я клиенту потратить на аутентификацию

TimeoutLogin 60

♦	Максимальное число попыток входа

MaxLoginAttempts 3

#	Максимальное число клиентов на один узел. Позже мы поговорим об этой

♦	директиве подробнее

♦MaxClientsPerHost попе

♦	Максимальное число соединений для одного пользователя
♦MaxClientsPerUser 1 "Only one connection at a time."

♦		

♦	Аутентификация	'

#	------------------------------

♦	#♦ РАМ-аутентификация

♦	Включите РАМ-аутентификацию, если она вам нужна (если хотите

♦	контролировать вход в систему по FTP через РАМ)

AuthPAM	off

♦	Измененный AuthPAMConfig-файл

AuthPAMConfig proftpd

#	## РАМ-аутентификация

♦	Задает альтернативный файл паролей. Если нужно, чтобы
#	информация об учетных записях бралась из /etc/passwd,
# укажите его здесь, а еще лучше - закомментируйте следующие
# две опции
AuthUserFile	/etc/proftpd/auth/passwd

#	Задает альтернативный файл групп
AuthGroupFi le	/etc/group

#	#« Порядок модулей аутентификации.

*	Обратите вникание здесь

# я изменил значение по умолчанию: сначала аутентификация
# будет производиться

#	средствами самой ОС, а потом - через файл, заданный в AuthFile
AuthOrder	mod_auth_unix.с mod auth_file.c

#	AuthOrder	mod_auth_file. c

#	Если нужна аутентификация РАМ, то порядок должен быть такой:

#	AuthOrder mod authpam.c* mod_auth_unix.с

#		

#	После логина

#		

#	Задает файл,который будет отображен после входа на сервер
DisplayLogin	welcome.msg

#	Залает файл, который будет отобоажаться при изменении каталога
DisplayChdir	.message

#	Если off, запрещает перезаписывать существующие файлы
AllowOverride off

#	Тайм-аут простоя: если пользователь не проявляет активности,
# соединение будет закрыто
Timeoutldle	600

#	Тайм-аут начала передачи: если пользователь вошел и не начал

#	передачу за 900 секунд (по умолчанию), соединение будет разорвано
TimeoutNoTransfer 900

#	Замирание во время передачи. Подробнее этот параметр мы обсудим позже
TimeoutStalled	300

#	Максимальная продолжительность сессии с момента аутентификации
Timeoutsession	3600

#	------------------------------

#	Сессия

#	

♦	Задает корневую файловую систему пользователя
# Это очень важный параметр, и о нем мы поговорим отдельно
DefaultRoct ~ web,!users

#	Регулярное выражение, задающее параметры командной строки, которые

#	будут блокироваться
DenyFilter	\*.*/

#	Позволяет указать, что именно будет выводиться при листинге
я каталога. Сбычно не нужно изменять этот параметр
ListCptions	"-А +R" strict

#	Еклхчает/выключает glob()-функциональность

UseGlobbing	off
#	Показывать (on) или нет (off) символические ссылки

ShowSymlinks	on

#	Рекомендую выключить этот параметр (off) , чтобы сервер

#	показывал локальное время, а не GMT

Times GMT	off

#	

#	Загрузка и выгрузка файлов

#	

#	Можно ли перезаписывать существующие файлы или нет

AllowOverwrite	off

#	Можно ли клиентам продолжать загрузку (on) или нет (off)

#	Для удобства пользователей рекомендую включить этот параметр
AllowRetrieveRestart on

#	Для более безопасной загрузки включите (on) этот параметр
HiddenStores	on

#	Включает автоматическое удаление частично загруженных файлов
DeleteAbortedStores on

#	AllowStoreRestart off

#		

#	Параметры протоколирования. Смело все оставляйте как есть

#	

WtmpLog off

TransferLog	/var/log/proftpd/xferlog

#	Записываем все попытки входа

ExtendedLog	/var/log/proftpd/auth.log AUTH auth

#	Протоколирование доступа к файлам/каталогам

ExtendedLog	/var/log/proftpd/access.log WRITE,READ write

#	Параноидальный уровень протоколирования...

ExtendedLog	/var/log/proftpd/paranoid.log ALL default

#	SQLLogFile

#	SQLLogFile	/var/log/proftpd/SQL.log

</Global>

#	## Конец глобальных параметров ###

#	Запрещаем использование CHMOD

<Limit SITE_CHMOD>

DenyAll

</Limit>

#	####

#	Включаем другие конфигурационные файлы

#	Include	/etc/proftpd/conf.d/*.conf

#####
#		

#	Настройки анонимного доступа

#-------------------------------

#	Базовая анонимная конфигурация, загрузка файлов на сервер запрещена.

#	Анонимным пользователям можно только скачивать файлы с сервера.

#	Если вам не нужен анонимный вход, просто удалите секцию.

#	<Anonymous>

<Anonymous ~ftp>

#	Limit LOGIN
#<Limit LOGIN>
# Order Allow,Deny
# Allow from .examples.net,113.141.114.1
# Deny from All
#</Limit>

#	Ограничиваем WRITE везде, запрещаем запись полностью
<Limit WRITE>

DenyAl1

</Limit>

#	LoginPasswordPrompt -- будем ли отображать приветствие или нет
LoginPasswordPrompt off

#	DirFakeMode -- прячем настоящие разрешения файлов/каталогов
DirFakeMode 0640

#	DirFakeUser — прячем настоящих владельцев файлов/каталогов
DirFakeUser On

#	DirFakeGroup -- скрываем настоящую группу файла/каталога
DirFakeGroup On

#	Для анонимного входа можно использовать как имя anonymous, так и ftp
UserAlias	anonymous ftp

4 Максимальное число одновременных анонимных пользователей
MaxClients	10

#	Максимальный размер получаемого файла
#MaxRetrieveFileSize 512 Mb

#	Ограничиваем скорость передачи данных до 255 КБайт/с
#TransferRate АРРЕ,RETR,STOR,STOU 255

#	Файл ’welcome.msg’ будет отображаться при входе, а файл ’.message’ при
# каждом новом изменении каталога
DisplayLogin	welcome.msg

DisplayChdir	.message

#	Далее следует закомментированная секция Directory, позволяющая указать
# параметры каталога. В данном случае ограничивается доступ к каталогу
# pub. Получить доступ к нему могут только сети .examples.net и с IP
# 113.141.114.1.

#<Directory pub>
# <Limit ALL>
» Order Allow,Deny  #	Allow from .examples.net,  » Deny from All  #	</Limit>  #</Directory>	113.141.114.:	
# Следующая секция содержит параметры каталога uploads, который # используется для загрузки файлов анонимными пользователями на ♦ Если вам нужна такая возможность, раскомментируйте эту секцию # Мы запретили чтение этсго каталога, но разрешили загрузку в # него файлов.  ♦«Directory uploads/*>  #	«Limit READ>  DenyAll  #	</Limit>  #	«Limit STOR>  AllowAll  #	</Limit>  #</Directory>  </Anonymous>		обычно сервер.

16.2.3.	Обеспечение безопасности FTP-сервера

Рассматриваемый FTP-ссрвер довольно безопасен, но при правильной на-
стройке. Рассмотрим моменты, на которые стоит обратить внимание. Пер-
вым делом нужно исправить директиву DefaultRoot так.-^

DefaultRoot ~

Для каждого пользователя его домашний каталог станет его корневым ката-
логом. Это означает, что пользователь не сможет выйти за пределы его до-
машнего каталога и прочитать ваши системные конфигурационные файлы

В своем домашнем каталоге пользователь может делать все, что ему захо-
чется: загружать з него файлы, загружать файлы на свой компьютер, удалять
файлы и т.д. Как правило, никаких действий по ограничению возможностей
пользователя предпринимать не нужно.

Совсем другое дело - анонимные пользователи. Приведенная выше кон-
фигурация предполагает, что анонимные пользователи не М01ут загружать
файлы на ваш FTP-сервер. С другой стороны, если это - корпоративный
FTP сервер, то нужно разрешить пользователям загружать файлы. Решение
по умолчанию подразумевает загрузку файлов в каталог uploads, который

— •


пользователи не могут прочитать, - это делается, чтобы один анонимный
пользователь не удалил файлы, засуженные другими пользователями:--.

eDirectory uploads/*>

CLimit READ>

DenyAll

</Limit>

CLimit STOR >

AllowAll

</Limit>
c/Directory>

Доступ на запись разрешен всем (AllowAll), но рекомендуется ограничивать
его по IP-адресу, например, разрешить запись только пользователям корпо-
ративной сети: /-ч

eDirectory uploads/*>
CLimit READ>
DenyAll
C/Limit>
CLimit STOR>
DenyAll

Allow from 10.1.1.
c/Limit>

</Directory>

В глобальной секции можно ограничить доступ к серверу только пользова-
телям локальной сети. Повторюсь - только если у вас корпоративный сер-
вер. Это можно сделать путем ограничения операции LOGIN, например’

CLimit LOGIN>

Order deny, allow

DenyAll

Allow from 10.10.1.

C/Limit>

Аутентификация также заслуживает отдельного разювора. В большинстве
случаев вам будет удобнее использовать для аутентификации саму операци-
онную систему Linux:
AuthOrder

mod auth unix.c

Если пользователей немного и все они зарегистрированы через /etc/passwd,
это неплохой вариант При желании можно использовать аутентификацию
РАМ:

AuthOrder

mod—auth_pam. с* mod_auth_unix. с

Когда же пользователей очень мною (несколько сотен или тысяч), удобнее
для аутентификации использовать MySQL. В этом случае учетные записи
FTP-пользоватслсй будут храниться не в /etc/passwd, а в отдельной таблице
MySQL. Настройка этою способа аутентификации будет рассмотрена в сле-
дующем разделе, поскольку все не так просто, как кажется на первый взгляд.

Ускорить аутентификацию может от ключснис следующих директив:

LdentLookups off

UseReverseDns off

Первая строка отключает (dent-запросы (давно уже не используются), вторая
- запрещает разрешать IP-адреса пользователей в доменные имена.

При входе пользователя на сервер его IP-адрес автоматически преобразовы-
вается в доменное имя. Мы отключили данный функционал, чтобы аутен-
тификация проходила быстрее. При желании вы всегда сможете разрешить
IP-адрес в доменное имя вручную, если вам это будет нужно.

Директива TimeoutLogin задает, сколько времени можно потратить |
пользователю на аутентификацию. По умолчанию - 60 секунд.

Сейчас никто не вводит пароль вручную, поэтому нет смысла ждать 60 се-
кунд. FTP-клиент вводит пароль моментально. Зато такая настройка может
"подвесить" сервер, например, злоумышленник подключается к серверу под
множеством учетных записей и заставляет сервер ждать 60 секунд для каж-
дой из них. Так чзо меняем это значение на 10 Десять секунд вполне доста-
точно на предоставление пароля.
TimeoutLogin 10

Сколько клиентов могут подключаться с одного и того же IP-адреса? Если
вы настраиваете корпоративный сервер, то, очевидно, с одного IP-адреса
может подключаться только один клиент:

MaxClientsPerHost 1

Но если вы настраиваете FTP-сервер, к которому будут подключаться поль-
зователи Интернета, нужно помнить о NAE Представьте, что есть другая ло-
кальная сеть с одним реальным IP-адресом (как правило, реальный IP-адрес
есть только на шлюзе). Получается, что к вашему серверу могут подклю-
читься несколько пользователей из этой сети и у всех них будет одинаковый
IP-адрес, хотя сами пользователи будут разные. Обычно такие ситуации -
редкие, поэтому можно ограничиться 2-3 клиентами. Но бывают исключе-
ния - у вас может быть очень популярный сервер, например с музыкальным
контентом, или же вы знаете, что i де-то есть другая сеть, практически все
пользователи которой будут подключаться к вашему серверу. Здесь решать
вам. Пока установим ограничение на уровне 3 пользователей с одного IP-
адреса:

MaxClientsPerHost 3

Директива Maxinstances задает максимальное число одновремен-
ных клиентов.

Чтобы предотвратить DcS-атаку, не устанавливайте большие значения для
этою параметра:^

Maxinstances 20

Однако при настройке сервера хостинг-провайдера, на котором будет 1000
пользователей, а вы разрешили одновременную работу всего двадцати поль-
зователям, может возникнуть ситуация, когда пользователи не смогут войти
на сервер. Здесь нужно исходить из задач и ориентироваться по ситуации. В
одном случае и 20 пользователей - это много, в другом 100 - мало.

Об оперативной памяти можно особо не заботиться, proftpd довольно эко-
номно ее использует. Каждый процесс proftpd занимает около 2.5 Мб, сле-
довательно, 100 процессов займут всего 250 Мб. Самое страшное - эго
загрузка процессора. При закачке одного файла один процесс proftpd зани-
мает от 10 до 30% процессорного времени одного ядра. Вот и считаем, что
если даже один процесс расходует 10% процессорного времени одного ядра,
всего 10 процессов "сожрут" одно ядро процессора. 40 одновременных про-
цессов окажут ощутимое влияние даже на четырехядерный процессор. Вот
поэтому в настройках но умолчанию и рекомендуется не превышать значе-
ние 30 для этого параметра.

Чтобы один пользователь не залогинился 30 раз и не захватил все 30 про-
цессов, рекомендуется ограничить это значение до 1:

MaxClier.tsPerUser 1 "Only one connection at a time."

Первый параметр этой директивы - число соединений.

Второй - сообщение об ошибке, которое будет выведено.

Если у клиента медленное или нестабильное соединение, бывает так, что
он может начать передачу файла, но потом связь может оборваться. Можно
задать тайм-аут, определяющий, сколько нужно ждать в такой ситуации до
разъединения. Медленные и нестабильные соединения уходят в прошлое,
поэтому можно понизить время ожидания с 5 минут (30G секунд) до 2 минут:

TimeoutStalled 120

Эго делается специально, чтобы процесс proftpd завершился как можно
быстрее и не занимал драгоценное процессорное время.
j Максимальная продолжительность сессии с момента аутентификации
I задается директивой Timeout Session. По умолчанию сессия состав-
ляет 1 час, чего вполне хватит даже для загрузки больших файлов.

Например, при относительно низкой скорости загрузки в I Мбайт/с файл
размером 1 Гб загрузится примерно за 1024 секунды. То есть за одну такую
сессию пользователь сможет загрузить три таких файла. Если есть необходи -
мость загрузки больших объемов данных, этот параметр можно увеличить.

Когда все будет готово, запустим сервер:

# service proftpd start

После запуска просмотрим его состояние:

# service proftpd status

Далее попробуем подключиться к серверу;

$ ftp <1Р-эдрес сервера>

16.2.4.	Аутентификация с помощью MySQL

Как уже было отмечено ранее, если у вас очень много пользователей, то це-
лесообразно хранить их учетные записи в базе данных MySQL, а не к файле
/etc'passwd, где лучше хранить пользователей, которым разрешен локальный
вход в систему. Иначе /etc/passwd разрастется до неприличных размеров, что
не есть хорошо, да и управлять таким большим количеством пользователей
через /etc/passwd не очень удобно.

К тому же возможность входа в систему локально любого из FTP-
пользователей-тоже не очень хорошо. Чем больше пользователей, тем боль-
ше вероятность входа в систему любого из них способом, отличным от FTP.
Кроме самого сервера proftpd, нужно доустановить еще и модуль proftpd-
mysql, который обеспечит аутентификацию через MySQL. Как правило, это
делается путем установки соответствующего пакета (пакет proftpd-myscl).

Далее в область глобальных параметров конфи! урационного файла proftpd.

conf нужно добавить строки:

SQLAuthTypes	Plaintext
SQLAuthenticate SQLConnectlnfo SQLUserlnfo 'users'	users  ftpusers@localhost:3306 ftp password  'username' 'password' 'uid' 'gid' 'homedir' 'shell'

Первая строка определяет тип аутентификации. Мы будем хранить в БД па-
роли в открытом виде (в незашифрованном виде), поэтому используем тип
аутентификации Paintext. Можно, конечно, использовать опцию Backend и
шифровать пароли с помощью MySQL-дункции PASSWORD^).

Директива SQLAuthenticate указывает, кого мы будем аутентифици-
ровать - пользователей.

I Директива SQLConnectlnfo задает параметры подключения к MySQL-1
серверу.

......................шин......ним...............nuiiiii.u.niiii.tmiimiimiimimimiiiimiimiiiiimiiHiiiiHiiimiiiiiiiiiiiiiiiiiimiiiiiiiiiiMimiiiiiiiiiiiiiiiiiiiiiiiiitiiiiuiiiiHiiiiiiiiiiiiHiiiF

Здесь:

•	ftpusers - название базы данных, которая будет содержать информацию
о пользователях;

•	localhost - имя MySQL сервера;

•	3306 - порт сервера;

.	ftp - имя MySQL-пользователя (его еще нужно создать!);

• password - пароль MySQL-пользователя.

Директива SQLUserlnfo задает имя и структуру таблицы с информа-
цией о пользователях.
Здесь ’users' - имя таблицы, остальные поля задают, соответственно, имя
пользователя, пароль, U1D, GID, домашний каталог и оболочку.

Далее с помощью phpMyAdmin или клиента mysq) создайте в базе данных
ftpusers следующую таблицу:-^

CREATE TABLE 'users (

'uuid' int(ll) NOT NULL auto_increment,
'username' varchar(32) NOT NULL,
'password' varchar(128) NOT NULL,
'uid' int(ll) NOT NULL,
'gid' int(ll) NOT NULL,
'homedir' varchar(50) NOT NULL,
'shell' varchar(20) NOT NULL,
'last_login' int(15) NOT NULL,
'login_count' int(15) NOT NULL,
'last_err_login' int(15) NOT NULL,
'err_login_count' int(15) NOT NULL,
PRIMARY KEY ('uuid')

) ENGINE=MyISAM;

Собственно, вот и все. Можно приступить к заполнению этой таблицы.
Если вы желаете хранить пароли в зашифрованном виде, используйте тип.
аутентификации Backend и пароли в БД вносите через MySQL-функцию
PASSWORDf)1.

16.3. Сервер vsftpd

Сервер vsftpd гораздо компактнее, особенно это заметно при его настройке.
Здесь нет о1ромною файла с множеством самых разнообразных опций. Зато
настраивается он проще и быстрее.

Для установки сервера vsftpd нужно установить одноименный пакет, кото-
рый имеется во всех современных дистрибутивах Linux и даже в FreeBSD.

Конфигурационный файл vsftpd называется /etc/vsftpd.conf. В листинге 16.2
приводится вполне рабочая конфигурация сервера vsftpd. Нужно обметить,
что последние версии vsftpd не разрешают более одновременную регистра-
цию анонимных и обычных пользователей. Если вам нужно, чтобы на седве

http://dev.mysq!. сот/doc/refman/5.0/en.'enci yplion-functior.s.html#function_password
ре регистрировались как анонимные, так и обычные пользователи, вам нуж-
но использовать proftpd. Это серьезное ограничение, и вы должны решить,
будет ли ваш сервер анонимным или традиционным. Параметр anonymous
enable, позволяет включить/выключить поддержку анонимных пользовате-
лей, а параметр local enable - локальных. В старых версиях вы могли бы
написать эти параметры так:

anonymous_enable=YES
local enable=YES

В новых версиях такая конфигурация работать нс будет. Как правило, vsftpd
используется для загрузки файлов анонимными пользователями, поэтому
данное ограничение не является существенным.

Листинг 16.2. Конфигурационный файл /etc/vsftpd.conf

#	Разрешаем только анонимных пользователей
anonymous_enable=YES

#	Запрещаем загрузку файлов анонимными пользователями
anon_upload_enable=NO

#	Можно ли анонимному пользователю создавать свои каталоги?
anon_mkdir_write_enable=NO

#	Разрешить ли операцию записи (не только сохранение файла, но и удаление, и
# переименование) анонимному пользователю?

anon_other_write_enable=NO

#	Запрещаем регистрацию обычных пользователей
local_enable=NO

#	Из соображения безопасности не изменяйте этот параметр!
chroot_local_user=YES

#	Максимальная скорость передачи данных (в байтах/с)

#	0 - без ограничения
local_max_rats=7200

#	Разрешена ли запись в каталог?
write_enable=NO

#	Выводить ли сообщения при смене директории?

dirmessage_enabl.e=YES

#	Строка, которая будет показана при входе пользователя
Глава 16. Файловый сервер FTP

ftpd_banner="Welcome to FTP service."  #	Включить регистрацию событий?  xferlog_enable=YES  #	Протоколировать все активные FTP-соединения? log_ftp_protocol=NO	
# Разрешать ли соединения только на порт 20 (ftp data) connect_from_port_20=YES	
# Тайм-аут сессии idle_session_timeout=600	
# Тайм-аут передачи данных data_connection_timeout=120	
# Предоставлять вход через РАМ pam_service_name=vsftpd	
#	Для автономной работы (как standalone в proftpd) для # параметра нужно установить значение YES.  #	Если нужно запускать сервер через xinetd, установите listen=YES	следующего  значение NO

После того как вы отредактируете файл конфигурации, сохраните его и за-
пустите сервер:

# service vsEtpd start

Глава 17.

Доменная система имен
17.1, Разнообразие DNS-серверов

Все мы знаем, что такое система доменных имен (DNS, Domain Name
System).

Система DNS отвечает за разрешение числовых IP-адресов в символь-
ные доменные имена.

Например, всем известному сайгу wwwmail.ru соответствует IP-адрес
217.69.139.202 (это один из его IP-адресов). В браузере вы можете ввести
или символьное имя (www.rnail.ru), или этот IP-адрес. Машинам проще ра-
ботать с числами, человеку - с символьными именами.

Рассмотрим процесс разрешения дсменного имени в IP-адрес. Когда зы вво-
дите адрес узла в браузер, браузер обращается к резолверу - это часть
операционной системы, которая отвечает за разрешение доменных имен.
Если доменное имя есть в локальном кэше резолвера, он сразу же вэзвра
щает его браузеру. Браузер, получив IP-адрес узла, отправляет ему запрос,
например GET /, с целью получения корневой страницы (которая обычно
называется index.*).
Если б кэше резолвера нет доменного имени, тогда он обращается к DNS-
серзеру, который указан в настройках сети или же получен от DHCP-
сервера во время автоматической настройки сетевого интерфейса. Как пра-
вило, это DNS-сервер провайдера. DNS-сервер провайдера проверяет свой
кэш. Если в нем будет нужное доменное имя, он отправляет соответствую-
щий ему 1Р-адрес резолверу. Если же нет, тогда DNS-сервер обращается к
DNS-серверу корневого домена .ru. Скорее всего, в его кэше будет нужный
IP-адрес, если же пет, тогда будет произведено обращение к DNS-ссрвсру
домена mail.ru с целью получить IP-адрес узла www. Полученный IP-адрес
будет по цепочке возвращен узлу, который запросил разрешение доменно-
го имени.

Как видите, схема разрешения доменного имени является рекурсивной, а
наш запрос - рекурсивным.

Существуют различные виды DNS-серверов. Даже если у вашей ортони-
зации нет своего домена или же вы предпочитаете, чтобы делегированием
домена занимался ваш регистратор или интернет-провайдер, вы все равно
можете установить кэширующий DNS-сервер. При этом рекурсивными
запросами будут заниматься DNS-серверы провайдера, а вашему серверу
нужно только кэшировать результаты запросов - так вы ускорите скорость
разрешения доменных имен - странички начнут открываться быстрее, а ваши
пользователи будут довольны. Зачем нужен кэшируюший DNS-сервер, если
в каждой системе есть кэш резолвера? В кэше резолвера находятся толь
ко те имена, к которым обращались вы. В кэше кэширующего DNS-сервера
находятся все имена, к которым обращались все пользователи вашей сети.
Следовательно, чем больше пользователей в вашей сети, тем больше будет
эффективность от кэшируюшего DNS-сервера.

Итак, вы уже познакомились с одним типом DNS-сервера - кэширующим.
Есть и обычный сервер DNS - он занимается тем, чем и должен заниматься,
- хранит информацию о вашей доменной зоне. Также он называется первич-
ным DNS-серверсм. На помощь первичному настраивают вторичный DNS
сервер - он будет обрабатывать DNS-запросы, когда первичному серверу
станет "плохо". Далее в этой главе будет показано, как настроить вторичный
DNS-сервер

Настройку DNS-сервера мы начнем с самого простого варианта - с кэширу-
ющего DNS-сервера.
17.2.	Настройка кэширующего DNS-сервера

Unbound

Для настройки кэширующего DNS-сервера раньше было принято исполь-
зовать B1ND9 - тот же пакет, который используется для настройки полно-
ценного DNS-сервера. Ио сейчас вместо него принято использовать пакет
unbound.

Сервер Unbound распространяется под лицензией BSD, обладает модульной
структурой и может работать как в рекурсивном, так и кэширующем режи-
ме. Мы же будем использовать Unbound сугубо в кэширующем режиме.

Основной файл конфигурации называется /etc/unbound/unbound.conf. По
умолчанию он практически пуст, а полный пример со всеми возможными
опциями можно найти в каталоге /usr/share/doc/unbound/examples.

В листинге 17.1 представлен листинг /etc/unbound/unbound.conf, настраива-
ющий Unbound на работу- в кэширующем режиме.

Листинг 17.1. Файл /etc/unbound/unbound.conf

server:

#	Порт, на котором наш сервер будет ’’слушать” запросы
port: 53

#	Описываем интерфейсы, на которых мы будем слушать запросы

#	192.168.1.1 - сервер нашей локальной сети, на котором установлен Unbound
interface: 127.0.0.1
interface: 192.168.1.1
# Исходящий интерфейс (WAN)
outgoing-interface: ххх.хх.хх.хх

#	Сеть, которой разрешен доступ к нашему серверу
access-control: 192.168.1.0/24 allow

#	Разрешаем IPv4 TCP/UDP, запрещаем IPv6

do-ip4: yes
do-ip6: no
do-udp: yes
do-tep: yes
# Пользователь, от имени которого будет запускаться сервер
username: unbound

#	Указываем файл журнала и отключаем использование syslog
logfile: "unbound.log”
use-syslog: no
# Путь к PID-файлу
pidfile: ”/var/run/local_unbound.pid”
# Скрываем версию софта
hide-version: yes

#	Уровень журналирования - 0 (только ошибки)
verbosity: О

#	Следующая строка настраивает Unbound на осуществление криптографической

#	валидации DNSSEC, используя корневой ключ

auto-trust-anchor-file: "/var/lib/unbound/root .key"

Теперь проверим конфигурацию сервера;

# unbound-checkconf

Если сшибок нег, вы получите сообщение;

unoound-checkconf: no errors in /etc/unbound/unbound.conf

Осталось только перезапустить Unbound:

#	service unbound restart

Осталось только настроить DHCP-сервср, чтобы он сообщал всем локальным
узлам вагд новый IP-адрес DNS-сервера. В нашем случае - это 192 168.1.1.

17.3.	Настройка кэширующего сервера на базе bind

Ради контраста сейчас мы попытаемся настроить кэширующий сервер на
базе пакета bind (в некоторых дистрибутивах - Ь'п<19). Первым делом уста-
новим сам bind:

# apt-get install bind9

Примечание BIND9 - это уникальный сервер. Его пакет называется
bind9, каталоге конфигурационными файлами -/etc/bind, а название
кснфи"урационного файла - named.conf. Процесс (исполнимый файл)
называется named К такому многообразию имен придется привы-
кнуть. Главное понимать, что это одно и то же.
Раньше основной конфигурационный файл /etc/bind/narned.conf был до-
вольно большим, если не огромным. Сейчас в нем только три строчки (лист.
17.2).

Листинг 17.2. Файл /etc/bind/named.conf по умолчанию

include "/etc/bind/named.conf.options";

include "/etc/bind/named.conf.local";

include "/etc/bind/named.conf.default-zones";

Обшие параметры теперь вынесены в файл /etc/bmd/named.conf.options.
Локальные зоны описываются в named.conf.local, а зоны по умолчанию - в
named.conf.defauh-zones. Нас в данный момент интересует файл named.conf.
default-zones, в котором описаны зоны по умолчанию. Проследите, чтобы в
этом файле были описаны зоны, представленные в листинге 17.3.

Листинг 17.3. Файл /etc/brnd/named.conf.default-zones

// Корневая зона, содержит корневые серверы имен
zone {

type hint;

file "/etc/bind/db.root" ;
};

// Зона localhost
zone "localhost" {
type master;
file "/etc/bind/db.local";

};

zone "127.in-addr.arpa" {
type master;

file "/etc/bind/db.127";
};

zone "C.in-addr.arpa" {
type master;

file "/etc/bind/db. 0";
};

zone "255.in-addr.arpa" {
type master;

file "/etc/bind/db.255";
Как видите, а этом конфигурационном файле описывается зона корневых
серверов и локальная зона locaihost, которая отвечает за преобразование
имени localhost в IP-адрес 127.0.0.1 и обратно.

Теперь рассмотрим файл /etc/bind/named.conf.cptions (лист. 17.4).

Листинг 17 4. Файл (etc/bind/named.conf.options

options {
directory "/var/cache,aind";

// Здесь описываются forward-серверы

// forwarders (

//	0.0.0.0;

И };

dr.ssec-validation auto;

auth-nxdomain no; # conform to RFC1035
listen-on-v6 { any; };

Все, что нужно, - это добавить IP-адрес DNS-сервера провайдера в блок
forwarders. Именно они будут выполнять всю 1рязную работу по разреше-
нию доменных имен, а наш сервер будет только кэшировать результаты
запроса.

Перед блоком forwarders можно указать параметр forward, который может
принимать значение only или first. В первом случае наш сервер вообще нс
будет предпринимать попыток обработать запрос самостоятельно. Во вто-
ром случае сервер предпримет попытку обработать запрос самостоятельно,
если не получит ответ от серверов, описанных в блоке forwarders. Второе
значение более предпочтительно:-^

forward first;
forwarders {

8.3.8.8 ;

8.8.8.4 ;

};
Вот и все. Перезапустите сервер:

#	service bind9 restart

Просмотрите файл журнала:

#	tail /var/log/daemon.log

Вы должны увидеть сообщение, что сервер запущен, вроде этого:

Jun 29 09:41:42 debian named [-6921 ] : running

Проверим, работает ли наш DNS-сервер. В /etc/resolv.conf на DNS-сервере
добавьте строку:

nameserver 127.0.0.1

Если вы по каким-то причинам не отключили NetworkManager, то он при сле-
дующей перезагрузке перезапишет этот файл. Понятно, что NetworkManager
получит IP-адрес DNS-сервера от DHCP-сервера, но пока вы еще не настро-
или DHCP-сервер, то можете запретить изменение файла /etc/resolv.conf:

# chattr +i /etc/resolv.conf

После этого перезапустите сеть или компьютер
Далее введите команду:

nslookup mail.ru

Вывод будет таким:

Server: 127.0.0.1

Address:	127.0.0.1#53
Non-authoritative answer:

Name:	mail.ru

Address: 217.69.139.202

Name:	mail.ru

Address: 217.69.139.200

Name:	mail.ru

Address:	94.100.180.201

Name:	mail.ru

Address:	94.100.180.200

Как видите, ответ пришел от нашего сервера 127.0 0.1. Мы убедились, что
наш DNS-сервер работает, значит, можно настроить DHCP-сервер, чтобы он
"раздавал" всем вашим клиентам IP-адрес только что настроенного DNS-
сервера. Конечно, поописыва~ь в настройках DHCP-сервера нужно не IP-
адрес 127.0.0.1, а IP-адрес сервера, который вы можете получить командой
ifconfig. запущенной на DNS-сервере.

17.4. Настройка полноценною DNS-сервера

Настройка полноценного DNS-сервера сложнее настройки кэширующего
DNS-сервера. Ведь нам придется настроить одну или несколько зон. которые
будет обслуживать наш DNS-сервер. Домен - это не зона.

Зона - это часть домена, которая управляется определенным CNS- ;
сервером. В случае с небольшими доменами зона = домен.

Но иногда бывает так, чго часть поддоменов одного домена обслуживается
одним DNS-сервером, а другая часть - другим DNS-сервером. Так вот, эта
часть, которая обслуживается определенным DNS-сервером, и есть зона

Представим, что у нас есть домен example.com, который представляет сеть
192.168.1.0. В конфигурацию BIND нужно добавить следующие строки:

zone "example.com" {
type master;

file "example.com";
};	notify no;
zone	"0.1.16°.192.in-addr.arpa" { type master;  file "192 158.1.0";  notify yes;
}	

Данные строки нужно добавить или а файл /etc/bind/namec.conf.local, или
прямо в файл /etc/bind/named.conf после тех строк, которые в нем уже есть

Файл example.com, описанный в первом блоке zone, содержит ко нфигура-
цию прямого преобразования, то есть используется для преобразования до-
менных имен в IP-адреса. Содержимое этого файла приведено в лист. 17.5.

Листинг 17.5. Файл /etc/blnd/example.com

@	IN	SCA ns.example.com, adir.in.example.com, (	
	1  60480  86400  2419200  86400	; серийный номер  ; обновление каждые 60480 секунд  ; повтор каждые 86400 секунд  ; время хранения информации - 672 часа  ; TTL записи
1	IN NS	ns.example.com.
	IN A	192.168.1.1
	IN MX	100 mail.example.com.
WWW	IN CNAME	r.s . example. ccm.
mail	IN A	192.168.1.3
ftp	IN A	192.168.1.2
localhost.	IN A 127	. C . 0.1

Теперь разберемся, что есть что. Первым делом запомните "правило точки".
Если в конце доменного имени ставится точка (посмотрите - ns.example.
com.), то сервер не будет дописывать имя домена example.com к имени. Если
же имя указано без точки, к нему будем дописано имя домена example.com.

Запись SOA описывает начало полномочий. Первое имя после SOA - это
имя данного компьютера - ns.example.com. Затем указывается электронный
адрес администратора сервера. Символ @ зарезервирован, поэтому первая

л
точка считается Выходит, адрес администратора - aQ.min@example.com.
Оставшаяся часть записи SOA прокомментирована б листинге.

Запись NS задает имя DNS-сервера имен, в нашем случае это ns.example.
com, запись А задает ею 1Р-адрес.

Запись MX задает адрес и приоритет (100) почтового сервера. У вас может
быть несколько почтовых серверов, тогда вы можете указать несколько за-
писей MX с разным приоритетом. Чем ниже значение приоритета, тем выше
приоритет сервера, например:

IN MX 100 maill.example.com.

IN MX 200 mail2.example.com.

Далее записи CNAME создают псевдоним для имени www. Это означает,
что веб-сервер тоже запушен на этом компьютере и когда кто-то укажет имя
www.example.com, запрос придет к узлу с IP-адресом 192.168 11.

Запись А используется для преобразования доменною имени в соответству-
ющий ему IP адрес. Как видите, мы задаем IP-адреса для компьютеров с
именами mail, ftp и localhust.

Неужели в сети нет больше компьютеров? Остальные компьютеры, как пра-
вило, являются обычными рабочими станциями, и назначением IP-адресов
им занимается DHCP-сервер. Обычно не нужно разрешать имена этих
компьютеров в IP-адреса, так как никаких соединений с ними устанавливать
не планируется.

Теперь рассмотрим файл обратного преобразования - /erc/bind9/l92.168.1.0
(лист. 17.6).

Листинг 17,6. Файл /etc/blnct9/192.168.1.0

Э IN SOA ns.exampie.com. admin.example.com. (

1	;	серийный номер

60480	;	обновление каждые 60480 секунд

86400	;	повтор каждые 364С0 секунд

2419200	;	впемя хранения информации -	672 часа

86400	; TTL записи

)

@ INNSns.examp.le.com

1	IN PTR ns.exampxe.com.

Ф

Г 441
2	IN PTR ftp.example.com

3	IN PTR mail.example.com

5GENERATE 5-104 $ PTR	ip-192-168-1-$.example.com

Из листинга 17.6 видно, что IP-адрес 192.168.1.1 принадлежит узлу
ns.exaniple.com, 192.168.1.2 — узлу ftp.exainple.com и адрес 192.168.1.3 - узлу
mail.example.com. Последняя запись не обязательна. Она говорит, что узлам
с IP-адресами от 192 168.1.5 до 192.168.1.104 будут соответствовать имена
ip-192-168-l-N-example.com, где N - последнее число IP-адреса. Данная за-
пись нужна, только если вы заботитесь о преобразовании IP-адресов, выдан-
ных вашим DHCP-сервером, в доменные имена

В этом файле вы может е не указывать IP-адреса полностью, но если вы это
делаете, то их нужно указыват ь в обрат ном порядке, например:

1.1.168.192 IN PTR ns.example.com

Точки в конце доменного имени также не нужны. Вот собственно и все Поч-
ти все. Мы еще нс позаботились о защите вашего сервера. Для настройки
удаленного управления сервером нужно подготовить блоки key и controls.
Проще всего это сделать с помощью команды:

# /usr/sbin/rndc-confgen > remote.conf

Далее скопируйте содержимое файла remote.conf в самое начало файла
named.conf или в самое начало файла named.conf.options - в зависимости
от ваших предпочтений (где вы предпочитаете хранить конфигурацию).
Комментарии из remote.conf, которые также будут сгенерированы утилитой,
можно не копировать Вот что нужно скопировать (ключ у вас будет другим):

key "rndc-key" {

algorithm hmac-md5;

secret "sJZkj PskmF9KPkQBwaUtfQ==" ;
};

controls {

default-key "rndc-key";

default-server 127.0.0.1;

default-port 953;
Также в файл named.conf.optiens нужно добавить блок allow-query (внутри
блока options):

allow-query {

192.168.1.0/24;
localhost;

}

Здесь мы разрешаем обращаться к нашему DNS-серверу только пользовате-
лям внутренней локальной сета и узлу localhost.

Также можно обновить файл корневых серверов (это рекомендуется делать
периодически):

#	wget ftp://ftp.internic.net/domain/named.rQot
# ср named.root /etc/bind/db.root

Вот теперь действительно все и можно перезапустить сервер:

#	service bind9 restart

17.5. Haci ройка вторичного D VS-сервсра

В крупных сетях или там, где важна отказоустойчивость, например в сетях
провайдера, важно настроить вторичный DNS-сервер, который будет обслу-
живать запросы клиентов в случае отказа первичного сервера.

Вторичный сервер настраивается так же, как и первичный, вот только тип
зоны задается подчиненная (slave), а в блоке masters указываются первич-
ные DNS-серверы (в нашем случае только один):

zone "example.com" {

type slave;

file "example.com";

masters { 192.168.1.1; };
На первичном сервере в блоке options нужно добавить блок allow-transfer,
в котором указывают IP-адрес вторичною DNS-cepBcpa:-,

options {	ж
allow-transfer { 192-168.1.2; };  }	

Вот теперь действительно все.
Глава 18.

DHCP-сервер
18.1.	Настраивать DHCP-сервер или нет?

В небольшой сети, как правило, в DHCP-ссрвсре необходимости особой нет,
поскольку имеется сетевое устройство вроде Wi Fi маршрутизатора, ''на
боргу'' которого работает небольшой DHCP-сервер, возможностей которого
вполне достаточно для обслуживания такой сети.

Однако в сетях среднего и большого размера, как правило, используются
DHCP-сервсры. Конфигурация таких сетей более сложна и обычно содер-
жит подсети: то есть нужно назначать 1Р адреса не только для основной
сети, но и для нескольких подсетей. Встроенные DHCP-серверы беспро
водных маршрутизаторов (да и такие простые устройства в крупных сетях
редко используются) не обладают необходимым функционалом, поэтому без
полноценного DHCP-сервера будет сложно.

18.2.	Принцип работы протокола DHCP

Протокол DHCP (Dynamx Host Configuration Protocol) используется
для автоматической настройки узлов сети. DHCP-сервер, работающий
в сети, автоматически настраивает все остальные компьютеры и сете-
вые устройства (например, сетевые принтеры, хранилища данных и
т.д.). Компьютеру передается следующая информация: IP-адрес маска
сети, IP-адрес шлюза, IP-адреса DNS-серверов.
При необходимости DHCP-сервер может предоставлять и другую информа-
цию (например, адреса WIN S-серверов, если это необходимо) и выполнять
некоторые защитные функции, например, сервер может не предоставить
IP-адрес устройству, если его М АС-адрес не находится в списке разрешен-
ных, друг ими словами, DHCP-сервер может назначать IP-адреса только гем
устройствам, чьи МАС-адреса "прописаны" з его конфигурационном файле.
Такая защита легко обходится даже опытными пользователями, не говоря
уже о профессионалах, но все же лучше, чем ничего.

DHCP-сервер можно настроить так, чтобы он предоставлял компьютеру с
определенным МАС-адресом один и тот же IP-адрес. Эту функцию очень
удобно использовать для серверов, у которых должны быть постоянные IP-
адреса.

Лет 20 назад DHCP-серверы использовались только в крупных сетях, где
были сот ни узлов. В небольших сетях на несколько десятков узлов 1Р-адреса
назначались вручную. Но позже все осознали преимущества DHCP, и теперь
уже сложно найти сеть, в которой не использовался бы DHCP. Даже в не-
больших домашних сетях есть DHCP-сервер, который, как правило, запущен
па маршрутизаторе, предоставляющем доступ к Интернету. Однако функ-
ционал таких маршрутизаторов обычно оставляет желать лучшего, поэтому
в сетях среднею размера, как уже отмечалось, рекомендуется настраивать
отдельный DHCP-сервер, работающий на стационарном компьютере под
управлением Windows Server или Linux.

Далее в этой главе приводится описание настройки DIICP-сервсра, устано -
вить который можно посредством установки пакета dhep (CentOS), dhep-
server или isc-dhcp-server (последние версии Ubuntu). Название пакета мо-
жет отличаться в зависимости от дистрибутива и его версии.

18.3.	Редактирование конфигурации DHCP

Конфигурация DHCP хранится в двух конфигурационных файлах -
j	dhcpd.ccnf и dhcpd6.conf.

Оба файла находятся в каталоге /etc. В некоторых дистрибутивах эти конфи-
гурационные файлы следует поискать в каталогах /etc/dhcp или /etc/dhcpd
Как вы уже догадались, первый файл используется для протокола IPv4, вто-
рой - для IPv6. Обычно второй не используется, а коншшурация хранится в
первом файле

Директивы файла конфигурации не чувствительны к регистру символов,
поэтому вы можете написать директиву как ddns update-style ad hoc или как
DDNS-UPDATE-STYI.E AD-HOC. Разницы нет. Однако использовать верх-
ний регистр не принято

Комментарии в файле dhcpd.conf начинаю гея с решетки, например:

# Комментарий

Сервер DHCP может предоставлять IP-адреса нескольким подсетям.

Каждая из подсетей описывается в виде блочной директивы subnet.
Параметры конфигурации, описанные за пределами директивы
subnet, применяются ко всем подсетям - это глобальные параме-
тры. А вот параметры конфигурации, описанные внутри директивы
subnet, применяются только к конкретной подсети.

Обычно в самом начале файла конфигурации задаются следующие директивы:

option	domain-name "company.com"
option	domain-name-servers nsl.company.com ns2.company.com

Если ваш DHCP-сервер обслуживает несколько подсетей и у каждой
из них есть собственное доменное имя, тогда опции domain-name и
domatn-name-servers задаются внутри блочной директивы subnet.

Директивы default-lease-time и max-lease-time задают время арен-
ды IP-адреса по умолчанию и максимальное время аренды. IP-адрес
выделяется DHCP-сервером не навсегда, а только на определенное
время. По истечении данного времени IP-адрес возвращается в пул
адресов, а компьютеру назначается другой IP-адрес из пула свобод-
ных адресов.
Вполне вероятно, что компьютеру опять будет назначен тот же адрес, напри-
мер. если б настройках DHCP-сервера указано, чго компьютеру с определен-
ным МАС-адресом должен быть назначен определенный 1Р-адрес.

............................................................................1

Примечание. База данных аренды IP-адресов находится в файле ।
/var/lib/dhcp/dhcpd leases.

Пример установки этих директив (значения указываются б секундах):

default-lease-time 28800;	#	8 часов
max-lease-time 86400;	#	24 часа

Очень важной является директива ddns--update-style, задающая
стиль обновления DNS: непосредственное (ad-hoc) или предваритель-
ное взаимодействие DHC’-DNS (interim).

Разработчики протокола DHCP рекомендуют использовать второй стиль:

ddns-update-style interim;

Теперь рассмотрим блочную директиву subnet, которая описывает параме-
тры определенной подсети. В примере ниже описываются параметры для
подсети 192.168 0.G с маской сети 255 255.255.0 (сеть класса С):->

subnet 192.168.0.0 netmask 255.255	255.0 (
# Список маршрутизаторов (через пробел)	
option routers if Маска подсети	192.168.0.1;
option subnet-mask  # Широковещательный адрес	255.255.255.0;
option broadcast-address # Доменное имя	192.168.0.255;
option domain-name	"company.com
* IP-адрес/имя DNS-сервера. # параметрах	если не задано в глобальных
option domain-name-servers	192.168.0.1;
	# Сервер времени (NTP)	
	option ntp-servers	192.168.0.1;
	# IP-адрес сервера NetBIOS и	его тип узла (если нужно)
	option netbios-name-servers	192.168.0.1;
	option netbios-node-type	8;
	# Диапазон IP-адресов, выделяемый ыиентам сети	
	range 192.168.0.101	192.	168.0.200;
}		

На данный момент в директиве subnet представлены практически все опции.
Но на практике набор опций у вас будет другим. Серверы NetBIOS исполь-
зуется не всеми, как и серверы времени (NTP). Параметры DNS (имя и IP-
адрсса DNS-ссрвсров) обычно выносят в область глобальных параметров,
поскольку они в большинстве случаев одинаковы для всех подсетей.

Если из нашей директивы subnet удалить все ненужное, она будет выглядеть
так:

subnet 192.168	0.0 netmask 255.255.255.0 {
option	routers	192.168.0.1;
option	subnet-mask	255.255.255.0;
range }	192.168.0.101	192.168.0.200;

Мы оставили только список маршрутизаторов, маску подсети и диапазон IP-
адресов, из которого будут выделяться IP-адреса.

В листинге 18.1 приводится пример файла dhcpd.conf для небольшой сети с
несложной топологией.

Листинг 13.1. Пример файла dhcpd.conf для простой сети

ddns-update-style interim;

# Расположение базы данных с арендой IP-адресов
lease-file-name "/var/lib/dhcpd/dhcpd. leases" ;

#	Данный сервер является официальным DHCP-сервером для локальной сети
authoritative;

#	Доменное имя и имена DNS-серверов

option domain-name	"company.com";

option domain-name-servers	nsl.company.com ns2.company.com
# Время аренды default-lease-time max -lease-time	86400;  172800;	#	24 часа  #	48 часов
subnet 192.168.0.0 netmask option routers option subnet-mask range  )	255.255.255.0 {  192.168.0.1;  255.255.255.0;  192.168.0.101	192.168.0.200;

Мы удалили из dhcpd.conf все лишнее, и наш файл получился довольно ком-
пактным (сравните его с файлом по умолчанию, где в качестве примера при-
водятся чуть ли не все мыслимые и немыслимые параметры).

18.4, DHCP-сервер в больших сетях

Далее мы рассмотрим пример более сложной сети с несколькими подсетями
- ради чего, собственно, и есть смысл настраивать DHCP-сервер вручную,
а не использовать встроенный в маршрутизатор DHCP. Общая сеть должна
быть описана в директиве shared-network, а все подсети должны быть описа-
ны директивами subnet внутри директивы shared-network. Пример приведен
ь листинге 18.2.

Листинг 18.2. Пример файла dhcpd.conf для сложной сети

shared-network my_bignet {

#	Доменное имя и имена DNS-серверов

option domain-name	"company.com";

option domain-name-servers	nsl.company.com	ns2.company.com

#	Шлюз по умолчанию
option routers	192.168.0.1;

#	Подсети 192.168.1.0 и 192.168.2.0

subnet 192.163.0.0 netmask 255.255.252.0 {
range 192.168.0.101 192.168.0.200;

}

subnet 192.168.1.0 netmask 255.255.252.0 {
range 192.168.1.101 192.168.1.200;

}
Если для подсетей 192.168.0.0 и 192.168.1.0 нужно указать различные пара-
метры. например разные шлюзы или разные имена DNS-серверов, то соот-
ветствующие параметры нужно указать в директиве subnet для определен-
ной подсети.

18.5.	Статические IP-адреса. Директива host

Иногда нужно привязать некоторые IP-адрсса к МАС-адресам. Это полезно,
если в вашей сети есть несколько компьютеров, IP-адреса которых не долж-
ны изменяться (как правило, это серверы сети и некоторые специальные
компьютеры вроде компьютера администратора).

11НШ1Ш1Н11П1<1НШтШШИШ1ШИ111ННН1ШШ1Н111ИШ11Ш1Ш1111ШиШиШ1иШНШИ111Ш11ИШПШ1П111ИШ1111Ш111'Ш1111Ш11|Ш1111Ш1ПШН'1111111111тШ11НШШ^^^^

Статические IP-адреса описываются с помощью директивы host;..

host server {

option host-name "server",
option routers 192.168.1.1;
hardware Ethernet 00:FF:FB:69:DC>E5;
fixed-address 1Э2.168.1.99;

В данном случае если к сети подключится компьютер с МАС-адресом
00FF:FB:69:DC:E5, ему будет назначен IP-адрес 192.168.1,99. имя узла
server и шлюз по умолчанию 192.168.1.1.

Директиву host нужно поместить в одну из директив subnet, которой принад-
лежит выделяемый IP-адрес, например:

subnet 192.168.1.0 netmask 255.255.255.0 {

option routers 192.168.1.1;

option subnet-mask 255.255.255.0;

range	192.168.1.101	192.168.1.200;

host server {

option host-name "server";

option routers 192.168.1.1;

hardware ethernet 00:FF:FB:69:DC:E5;
fixed-address 192.168.1.99;

)

-------------------------------------------------------------4

4. . . . . ........ ......... ...... « . . .	. . . . ...........
Управлять ОНСР-сэовером можно с помощью команды service.

Следующие команды позволяют запустить, перезапустить или остановить

сервер:

$ sudo systemctl start isc-dhcp-server

$ sudo systemctl enable isc-dhcp-server

$ sudo systemctl stop isc-dhcp-server

или (в старых дистрибутивах) •

#	service	dhcpd	start
#	service	dhcpd	restart
*	service	dhcpd	step

Обратите внимание, как называется сервис ОНСР-серписаг В со-
временных версиях Ubuntu он называется Isc-dhcp-server. В старых
версиях Ubuntu и других дистрибутивов нужный сервис назывался
dhcpd.

18.6.	Настройка DHCP-клиепта в Ubuntu

В Ubuntu 16 04 вы можете настроить интерфейс в файле конфигурации /etc/
netwofk/interfaces

$ sudo nano /etc/network/interfaces

Добавьте эти строчки:

auto ethO

iface ethO inet dhop
Сохраните файл и перезапустите сетевой сервис (или перезагрузите систе-
му).

$ sudo systemctl restart networking

В Ubuntu 18.04 и более новых сетевое управление контролируется програм-
мой Netplan. Вам нужно отредактировать соответствующий файл, например,
в каталоге /ete/netplan/:

$ sudo vim /etc/r.etplan/01-netcfg. yard

Затем включите dhcp4 под конкретным интерфейсом, например под ethemet,
ensO, и закомментируйте статические настройки, связанные с IP:

network:
version: 2
renderer: networkd
ethernets:

ensO:
dhcpl: yes

Сохраните изменения и выполните следующую команду, чтобы применить

изменения:

$ sudo netplan apply

Для получения дополнительной информации смотрите справочные страни-
цы dhepd и dhcpd.conf.

$ man dhepd

$ man dhcpd.conf

В Windows все гораздо проще - нужно включить автоматическое назначе-
ние IP-адреса, как показано на рис. 18.1. Как правило, по умолчанию все и
так уже настроено, и никаких дополнительных действий предпринимать не
нужно.
Глава 18. DHCP-сервер

Параметры If

Свойства

Рис. 18.1. Настройка DHCP-клиента в Windows

Вот мы и рассмотрели процесс настройки сервера и клиента DHCP.

Глава 19.

Виртуализация Windows-
сервера
19.1,	Конвергирование виртуальных машин из
одною формата в другой

19.1.1.	Преобразование из Hyper-V в VMWare

Выбор конвертера

Вы можете использовать штатный инструмент VM Converter Standalone, но
только в случае, когда есть прямая связь между гипервизором ESXi и кон-
вертируемой виртуальной машиной. Если же такой связи нет и есть лишь
.vhd-файл, то можно использовать другие инструменты, например бесплат-
ный конвертер SrarWind V2V Converter (https://www.starwindsoftwarc.com/
converter). Также можно использовать PowerShell-сценарий HypervOVA
С onverter (https ://gith ub. com/ihumster/H у per v О VACon v erter).

Сам процесс конвертации сводится к запуску конвертера, но до этого нуж-
но еще много чего сделать установить дополнительный модуль PowerShell
(если вы будете использовать PowerShell-сценарий), подготовить саму вир-
туальную машину к конвертированию и т.д. Далее мы рассмотрим все под-
готовительные мероприятия, а только затем - приступим к самому процессу
преобразования виртуальной машины из одного формата в другой.

soejj
Установка модуля PowerShell для Hyper-V

Даже если вы планируете использовать инструмент Star Wind V2V Converter,
вы можете установить PowerShell - вдруг что-то пойдет не так и придется
попробовать альтернативный конвертер.

Итак, запустите PowerShell от имени администратора (рис. 19.1).

В D Ф

Фильтры X/

Лучшее соответствие

а Windows PowerShell

Классическое приложение

~j Запуск от имени администратора
Qj Перейти к расположению файла
и Закрепить на начальном кране

Закрепить на панели задач

Е Удалить

Запуск от имени администратора

kt Запустить ISE от имени
администратора

31 Windows PowerShell ISE

Рис. 19J. Запуск PowerShell от имени администратора

Далее нужно ввести одну из команд

Add-WindowsFeature RSAT-Hyper-V-Tools -IncludeAllSubFeature

Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-
Management-PowerShe11

Первая команда предназначена для Windows 8.1/Windows Server 2012, а вто-
рая - для Windows 10/Windows Server 2016/2019.
Для корректной работы сценария конвертирования нужно изменить полити
ку выполнения сценариев. Для этого запустите PowerShell с правами адми-
нистратора и введите команду?--

Set-ExecutionPolicy -Executionpolicy PemoteSigned

Чтобы подтвердить изменение политики, нужно ответить У

Рис. 19.2. Изменение политики выполнения сценариев

Подготовка виртуальной машины

Если производится перенос старой гостевой операционной системы, напри
мер того же Windows Server 2003, нужно убедиться, что в системе инициа-
лизирован драйвер SCSI. Если гостевая ОС установлена на IDE-диск, нужно
подключить к этой виртуальной машине хотя бы один SCSI-диск и убедить-
ся, что он инициализирован в системе.

После этого можно приступить к экспорту виртуальной машины.

Откройте оснастку управления Hyper-V (Панель управления \ Админи-
стрирование \ Управление Hyper-V или Control Panel \ All Control Panel
Items \ Administrative Tools \ Hyper-V Manager).

□Ед
Щелкните правой кнопкой по названию виртуальной машины и выберите
команду Export (рис. 19.3). На момент экспорта виртуальная машина долж-
на быть выключенной. Выберите панку для экспорта виртуальной машины
и дождитесь, пока экспорт будет завершен.

Рис. 19.3. Экспорт виртуальной машины

Конвертирование с помощью HypervOVAConverter

Скачайте архив, содержащий файлы инструмента (ссылка приводилась в
начале статьи). Распакуйте архив, запустите Windows PowerShell с правами
администратора и перейдите в каталог Converter (он появится в результате
распаковки архива).

Команда преобразования будет выглядеть так:

Convert-VM.psl -KypexWMPath <string> -CVAPath <string> [<CommonParameters>]

Сценарию Convert-VM.ps 1 нужно передать два параметра: HyperVVMPath -
путь к экспортированной ранее виртуальной машине, OVA Path - путь к пап-
ке, в которую будет сконвертирована виртуальная машина в формате OVA.

Пример:

Convert-VM.psl -Hyper'VVMPath C:\export\Test\ -OVAPath D:\vrr.ware\
Вам останется только дождаться процесса завершения конвертации.

Если у вас есть vhd-файл (или vhdx-файл), можно использовать другой
инструмент:

Convert-VM.psl -VHDPath <string> -OVAPath <string> [-CPU <byte>] [-Memory

<byte>] [<CcmmonParamerers>]

Здесь:

•	VHDPath - путь к вашему файлу виртуального диска в формате vhd или
vhdx;

•	OVAPath - путь к панке, в которую будет сконвертирована виртуальная
машина в формате OVA.

Также вы можете использовать параметры CPU и Memory. Первый задаст
количество процессоров виртуальной машины (по умолчанию 1), второй -
объем оперативной памяти в мегабайтах (по умолчанию 1024).

Пример;

Convert-VM.psl -VHDPath C:\test.vhd -OVAPath D:\vmware\ -CPU 4 -Memory 8092

Собственно, на этом перенос можно считать завершенным, но у нас есть еще
один инструмент, который нам предстоит рассмотреть.

Конвертирование с помощью StarWind V2V Converter

Данный инструмент подойдет пользователям, предпочитающим графиче-
ский инструмент, а не командную строку Инструмент хоть и бесплатный, но
для его загрузки нужно пройти бесплатную регистрацию.

Использовать этот инструмент очень просто. Нужно выбрать источник (при
этом вы можете задать как локальный файл, гак и "взять" виртуальную ма-
шину прямо с гипервизора), а затем нужно выбрать формат файла назначе-
ния (рис. 19,5).
О StarWind V2V Converter

Source image location

Source image location:

О Local file

О Microsoft Hyper-V Server

Location description;

VMware Server virtual disk image on the
remote ESXi server.

| Next"' |

Cancel

Puc. 19.4. StarWind V2V Converter: выбираем источник

4г O StarWind V2V Con\e*teT

Destination image format

Image format.

О VMware growabfe image

О VMware stream-optimized mage

О VMware pre-allocated ’mage
f'^'vMware ESX server™mage i

О VMware direct conversion to ESXi
О Microsoft VHD growable image
О Microsoft VHD pre -allocated image
О Microsoft VHDX image
OQCOWZdisk image
О Rew image

Format description:

VMware Server virtual disk image (VMDK). Disk
space for ths image is alocated at the creation
time and does not change over time.

| Next» Cancel

Puc. 19.5. StarWind V2VConverter: выбираем назначение

Какой инструмент использовать, зависит от личных предпочтений. Оба
инструмента хорошо справляются с поставленной перед ними задачей.
19.1.2. Перенос сервера из Amazon ЕС2 на виртуальную
машину VMware

Прежде чем приступить к переносу виртуальной машины из Amazon ЕС2,
нужно установить Amazon ЕС2 CLI. Подробнейшее руководство по команд-
ной строке Amazon ЕС2 можно найти в следующем официальном документе
htlp://awsdocs.s3.amazonaws.com/EC2/ec2-clt.pdf.

Далее вам нужно создать S3 Bucket для хранения экспортированных экзем-
пляров и предоставить разрешение VM Jmport/Export на доступ к корзине.
Если у вас уже есть корзина, вы можете использовать ее, а не создавать за-
ново.

Для создания S3 Bucket (корзины) выполните следующие действия:

1.	Откройте консоль Amazon S3 https://console.aws.amazon.com/s3/.

2.	Нажмите Create Bucket.

3.	В появившемся окне в поле Bucket Name введите имя корзины. Оно
должно быть уникальным для всех существующих корзин в Amazon S3,
так что проявите фантазию.

4.	В поле Region введите свой регион.

5.	Создайте корзину.

После создания корзины нужно добавить необходимые права. Выполните
следующие действия:

1.	Откройте консоль Amazon СЗ.

2.	Выберите созданную корзину и нажмите Properties.

3.	В разделе Permissions выберите Add more permissions.

4.	Для добавления права Grantee введите vm-import-ex port(a)amazon.ccm.

5.	Выберите права Upload/Delete и View.

6.	Сохраните.
Вот теперь можно приступить к экспорту виртуальной машины. В команд-
ной строке введите следующую команду:

ec2-create-instance-export-task instance_id -е target_environment - f
disk_image_format -c container format -b s3_bucket

Здесь:

•	instance id— ID виртуальной машины;

•	target-environment — среда назначения (vmware);

•	disk_imageJormat — фермат диска (для VMware - vmdk, для Microsoft
Hyper-V и Citrix Xen - vhd);

•	container Jormat — формат целевого файла (для VMware - ova);

•	s3_bucket — имя целевой корзины.

Пример команды:

ec2-create-instance-export-task i-47d555z8 -е vmware -f vmdk. -c ova -
b ir.ycoolbucket6767

Если вы получите сообщение об ошибке, нужно проверить установку пе-
ременной окружения EC2URL. В Linux можно установить значение этой
переменной командой export.

export ЕС2 URL=https://<service_endpoint>

В Windows установить переменную окружения можно в дополнительных
настройках системы:

1.	Откройте окно Система

2.	На панели слева выберите команду Дополнительные параметры
системы.

3.	В появившемся окне нажмите кнопку Переменные среды.
4.	Нажмите кнопку Создать и создайте переменную с именем EC2URL. В
качестве значения укажите ваш service endpoint

Далее мы рассмо1рим другие варианты экспорта виртуальных машин раз-
ных форматов.

19.1.3.	Перенос из Azure в VMWare

Разберемся, как можно перейти с Microsoft Azure на VMWare. Первым делом
нужно установить Azure PowerShell на саму виртуальную машину, работ аю-
щую под управлением Windows.

Команда Save-AzureVhd

Самый простой способ получить Vhd-файл по работающей виртуальной ма-
шине - это использовать команду Save-AzureVhd

Общий синтаксис выглядит так:^>

Save-AzureVhd [-Source] [-LocalFilePath] [[-NumberOfThreads] ]

[ [-StorageKey] ] [[-Overwrite]]

•	Параметр  Source задает URI для BI ,OB в Azure;

•	Параметр -LocalFilePath - локальный гуть для сохранения VHD.

•	Третий параметр, -NumberOfThreads, указывает количество загружаемых
потоков, которые будут использоваться при загрузке. Значение по умол-
чанию - 8.

•	Параметр -StorageKey указывает ключ хранилища. Если он не указан, ко-
манда попытается определить ключ хранилища учетной записи в исход-
ном URI из Azure.

•	Наконец, параметр -OverWrite позволяет перезаписать существующий
локальный VHD-файл.
Несколько примеров

Сохраняем blob в указанном файле с перезаписью ракового, если он суще-
ствует:

Save-AzureVhd -Source http://myaccount.blob.core.windows.net/ vhdstore/
win7baseimage.vhd -LocalFilePath C:\vhd\Win7Image.vhd -Overwrite

Делаем то же самое, но указываем ключ хранилища для загрузки:

Save-AzureVhd -Source http://myaccount.blob.core.windows.net/ vhdstore/
win7baseimage.vhd -LocalFilePath C:\vhd\Win71mage.vhd -Overwrite
-StorageKey <ключ>

Конвертирование в формат VMDK

После того как VHD-файл загружен, его нужно преобразовать в формат
VMDK. Для этого используйте инструмент Winimage, который вы без про-
блем найдете в Интернете. Для ознакомления доступна его 30-днсвная
версия, чего вполне хватит для переноса множества виртуальных машин в
VMWare, а вот если вы собираетесь использовать его регулярно, то придется
купить. Стоит данный инструмент недорого - порядка 30 долларов, что не-
много для такой полезной утилиты.

19.2. Виртуализация Windows-сервера

19.2.1. Преобразование в VMware
VMware® vCentcr Converter Standalone

Для виртуализации Windows-сервера необходимо преобразовать физиче-
ский сервер в файл формата ovf. OVF fOpen Virtualization Format) — стан-
дарт для хранения и распространения виртуальных машин.
Мы будем использовать инструмент VMware<& vCenter Converter Standalone:
нет смысла использовать сторонние решения, если есть "родное'1. Данный
программный продукт позволяет преобразовать виртуальную и физическую
машину в VMWare.

vCenter Converter можно бесплатно скачать с официального сайта VM-
Ware:

https ://my.vmware.com/en/web/vmware/info/slug/infrastructure_opcrations_
management/vmware_vcentet_converter_standalune/6_2_0

Запустите загруженный файл. Начнется установка, которая особо не отли-
чается от установки других Windows-npoipaMM. Единственный момент: при
установке нужно выбрать Local installation (рис. 19.6).

VMware vCenter Converter Stanoalone

voli'p Irpr

Click the type of setup you prefer then ord< Sett

Й lusts'! Converter on this machine, use mis option tr create arc marage
coiwei ston tasks from this kocai machine omy.

О Cient Server hstalation (advanced)

Set up a client-senrer model fo Convener, use dire option to install the
server, diem or the agent on the machine.

tnsulishieio-------

«Jack tje>i> ~~| Cancel

Puc. 19,6. Выберите локальный тип установки

После установки конвертера запустите его. Нажмите кнопку Convert
Machine (рис. 19.7). Думаю, ее сложно будет не заметить.
йй VMware vferw Converter Si anyone	—	□ X

£H itow 5Л Aerr*iiKr»wn
# Сопт«п даспИ» Ф Ccriflflci» rmchm» Q

V*ttby; * Mi &*>*. ▼ Al twk»c * мсхком

Task 10 I Job Ю '	'] Secret '	....^DtXfiHen | Statu*...........' ’[start'оте’ ' j Er»d trm	‘"

Welcome to VMware vCenter Converter Standalone

кГГЛ- VMware vCt tw Oxwt« Standato-n atow* you to take one of a vaety <й , i»ctin w and convert
t «to a naw VMware wtual nuchre. Th» mach»m you may cww»rt псЫ».

-	РпуясЛ machnes

C twert	. VMware vrtuai nwhr« (.vnx)

Machine . vMwan Co^ioWated Backup (.wo)

Mirosort Vrtual pc or wtuai Srw wtual madwie» |.иж)

-	SVffWltK DrtState Recovery Ъпцн (,w20

-	Acrone True Image Backup (.M)

-	StwageCraft ShadewStor (,ю0

-	Panfeh Vrtuatatton ₽r<xk>C5 (.pn)

	Wyp«-¥ virtual machnes

Puc. 19.7. vCenter Converter

Выберите, какую машину нужно конвертировать. Установите тип машины
Powered-on machine и укажите, что нужно конвертировать локальную ма-
шину (This local machine), рис. 19.8.

Рис. 19.8. Укажите, какую машину нужно конвертировать
Далее нужно выбрать тип машины назначения - выберите VMware Work-
station or other VMware virtual machine, выберите совместимость c VM-
ware 11.0, укажите название виртуальной машины и путь ее сохранения. В
каталоге назначения должно быть достаточно свободного места (рис. 19 9).

Рис. 19.9. Параметры назначения

Чтобы избежать проблем с сетью, отключите все сетевые адаптеры, сняв
флажок Connect at power-on (рис. 19.10).

Bj Conversion

Oolxon»

Set uc the	fix th* conveorxi tut

Siibtti Srttf.n

CfetkNW

Sorrow

*ом» to COPY ЕЖ t

<P\**»ro{»9 .

«С» :39.51GB

- (Jw«c Ed*

vCPU»: 2 (2 sock

Oek controter. S

TIMmo., 4Я

fWtt 1ЙИГ*
.•MWHKed. ЕЖ

SynchrweW
Swmtww* N/A	j

Fha wndvwwat

S>*al W^eeT	I

Remove Uston

ReaMiflw»; ¥M j
w ThrottWio Ed* -

CPU: Mon» j]

Swte. * ThM toot OKmebocr * С\Уи<йА®ч*	(VMwara WorWaOon 11,0 л)

<8» Il a«> j

nooed: connected огскзъ toth»om*»n»two<*
BAT. UNd to Pm Л» ho* » F addrew

Hoat-oefr A pnne* n«twcMi 4»r«d wth th* hwt

W>I tew гита».

Puc. 19.10. Отключите все сетевые адаптеры


В разделе Data to сору убедитесь, что включены переключатели Ignore page
file and hibernation tile и Create optimized partition layout. Первый будет
игнорировать файлы подкачки и гибернации, второй - создаст оптимизиро-
ванную разметку (рис. 19.11).

South SvftaL

РиМпаои system

ОрОол*

Summary

Source:	The ba rradii Destination: ф СЛО»г5\Админ nbadrtvmc (VMware Vftrtatatjoo 11.0.x)

vnevtodomr эд
Copy type: №

<С>:»Л1бв |

▼ Devices Edit
vtyus: 2 (2 sock
Dak control»". S
JL Memory: 4GB

▼ v Netwodts Edt
NIC1: B-ugeo

▼ Services EdE
Totat 193 wvk

▼ Advanced.,. Edi
Syndsprauopn
Synchronise: N/A
final synchranteati
insert VMware T.
Customee Guest
Remove Restore
Reconfigure. Yes I

▼ ThrottUng Edt “J
CPU: Hone	jJ

Qata copy type:	A<*v>nced...

Select the source volumes to copy to the Реягкюп machne, Resite

-wuwn ctict to add or save space.

Select a system and an actwe vobmt, or a systenvartwe vobme to njn the
destnabon rnxhbe.

Source volumes	| Destratfon sat j Destmapo,	| Tot

B#	J

0ot	J геТэ^эГсвТл]

I* jpr-ore p^e Be ano hbematJon Ле
P Create optrmed parttfcn layout

□rt on an ipbor b«bw to *tft t.

Heb | Export d&gnosbc togs...

 < BK* j М«д > I

2±d

Puc. 19.11. Данные, которые будут конвертированы

Нажмите кнопку Next, а затем - кнопку Finish для начала конвертирования
(рис. 19.12).

fB VMware vCemer Converter Standalone	—	□ X

fte View Jisfc idmnwroon цее
Ш Convert opchne $ Configure machine Q

VWtt by: * TWe Show; ▼ Ai tasks и ▼ Recent гик»

Convwaion statue

туре	Convert pfiyscar maefine to-"

Oeated:	«/17/18 4:19 ₽M by OoudA

Status:	Run««o - 25% Comstote

Started;	4/17/18 4:19 PH —

Riinmng trw;	1 mnuto

Estnwteil time remanrHj; 7 nwiutes

Lou htghighta

4/17/18 419 PM

4/17/18 4:19 PM

4/17/18 4:19 PM

4/17/18 4:19 PM

4/17/18 4:19 PM

4/17/18 4:19 PM

Д

Startra MocWevel ctonrrg fcr voljme*
Completed ctonng vobrne fi,\7\Volu«*
StartxiQ block-level donng fix volume
A wapshat of the source system was
Creating a snapshot of the source sys
last Convert phyecai madwie.

Puc. 19.12. Конвертирование в процессе


Зачем в каталоге, который вы указали в настройках конвертера, появятся два
файла - vmx и vmdk. Размер последнего будет большой - ведь это и есть об-
раз диска.

Преобразование в формат OVF

Осталось преобразовать полученный vmdk-файл в формат OVF. Для этого
вам понадобится OVF Tool (https://www.vmware.com/support/developer/ovf7).
Команда преобразования выглядит так:^

ovftcol.Gxe <путь до файла vmx> <путь до файла ovf>

Перед этим нужно сменить каталог - перейдите в каталог, в который вы
установили VMware OVF Tool.

cd 'C:\Prograir Files (x86) \VMwareWMware OVF Tool'

После завершения у вас появится виртуальная машина в формате OVF.

19.2.2. Утилита Disk2Vhd: преобразование в Hyper-V

В прошлом разделе было показано, как преобразовать реальный физиче-
ский сервер в виртуальную машину в формате VMware, но если вы выбрали
Hyper-V, процесс будет другим. Нужно отметить, что процесс преобразова-
ния в VMware довольно запутанный. Если вы выбрали Hyper-V, вам доста-
точно использовать простую утилиту Disk2Vhd:

https://docs.microsoft.com/ru-ru/sysintemals/downloads/disk2vhd.

Просто запустите утилиту на сервере, который нужно виртуализировать, вы-
берите диски, подлежащие виртуализации, и нажмите кнопку Create.

Вот мы и завершили виртуализацию сервера в Windows.
Глава 20.

Виртуальный сервер на
базе VMware Workstation
В прошлой главе мы рассмотрели виртуализацию сервера в Windows. Теперь
давайте разберемся, как это сделать в Lmux.

VMware Workstation - один из самых популярных продуктов вир-
туализации для десктопа Посредством него пользователь сможет
создавать "виртуалки" с практически любой гостевой "операционкой"
- Windows, Linux, Solaris и др.

20.1.	Установка VMWarc

Главу начнем со следующей задачи - создать образ (виртуальный диск)
уже имеющегося сервера и подключить его к виртуальной машине, создан-
ной в VMWare. При этом нет разницы, какой будет операционная систе-
ма, под управлением которой будет работать VMWare. Если у вас VMWare
Workstation уже установлена в Windows, вы можете без проблем создать
виртуальный Linux-сервер в Windows. Никаких проблем с этим не будет, а
процесс создания будет мало отличаться от аналогичного Lmux-процесса
(за исключением сугубо системных отличий, например, путей к файлам).
Поскольку эта глава посвящена Linux, то мы будем рассматривать Linux-
вариант VMWare.

Загрузить инсталлятор VMWare можно (и нужно) с официального сайта:
https ://www. vmware. com/products/works tation-pro/workstation pro-evaluation, html
После загрузки инсталлятора перейдите в папку Downloads и выполните ко-
манду (хххххх нужно заменить версией вашего файла)

chir.od +х VMware-Workstation-Full-xxxxxx. х86 64.bundle

Этим мы разрешим выполнение инсталлятора. Запустите установщик (или
из командной строки, или через графический интерфейс - без разницы).

Учитывая размер файла установщика, нужно немного подождать, пока он
запустится. На первом экране инсталлятора будут отображены условия ли-
цензии, просто нажмите кнопку Next

Далее установщик спросит, хотите ли вы получать обновления VMware при
запуске. Здесь решать только вам, обычно обновления - штука хорошая, но
если все устраивает и нормально работает, то особого смысла в них гоже нет.

Рис. 20.1. Установка VMWare в Linux

Затем вас спросят, хотите ли вы участвовать в программе улучшения каче-
ства (CEIP). Как и в предыдущем случае - решать только вам. Если не желае-
те заморачиваться, просто выберите No. Далее более важный вопрос - нужно
ввести имя пользователя, который будет подключаться к Workstation Server.
Как правило, это пользователь, от имени которого вы сейчас работ аете.
Следующий шаг - выбор каталога для хранения общих виртуальных машин
(далее - ВМ). Если имеется только один раздел, содержащий и файлы ОС,
и пользовательские данные, то этот каталог можно нс изменять. А вот если
создано несколько разделов, то желательно выбрать каталог, находящийся
на самом большом и самом быстром накопителе. Для виртуальных машин
должно быть достаточно дискового пространства (если вы собрались вир-
туализировать уже готовый сервер, посмотрите, какой размер он занимает
прямо сейчас - вам понадобится столько же плюс 10- 20% запаса). Что же
касается скорости, желательно размещать файлы виртуальных машин на
SSD-диске: так ВМ будут работать быстрее.

Рис. 20.2. Выбор каталога для виртуальных машин

Следующие два вопроса: номер порта HTTPS - не нужно изменять эго зна-
чение, особенно если вы не понимаете, зачем это нужно, - и серийный но-
мер продукта Если VMware Workstation пока не приобреталась, серийный
номер можно не вводить, и вы получите 30-дневную бесплатную версию.

Осталось только нажа1Ь кнопку Install для установки программы. Установка
проходит быстро, поэтому долго ждать не придется - через несколько минут
программа будет установлена. Как только установка будет завершена,
нажмите Close, чтобы закрыть инсталлятор.
Рис. 20.3. Установка завершена

20.2<	Создание виртуальной машины

При запуске VMWare будет запрошен пароль пользователя, указанного при
установке. На рис. 20.4 - запущенная VMWare Workstation, напоминающая,
что у нас есть 30-дневный пробный период.

Рис. 20.4. VMWare Workstation для Linux
Нажмите кнопку Create a New Virtual Machine. В появившемся окне вы-
берите метод конфигурации ВМ: Typical или Custom. В первом случае вам
будет задано меньше вопросов, во втором - больше, все просто.

Рис. 20.5. выбор метода конфигурации

Установка гостевой ОС может быть выполнена или с привода CD/DVD, или
путем указания ISO-файла инсталляционного DVD, который можно без
проблем найти в Интернете. В первом случае нужно выбрать Use a physical
drive и указать имя устройства CD/DVD (обычно это /dev/srO), во втором -
Use ISO image и нажать кнопку Browse для выбора ISO-файла с гостевой
ОС. Можно также выбрат ь переключатель I will install the operation system
later, если необходимо установить гостевую систему позже. Нам как раз по-
дойдет этот вариант, и позже вы поймете почему.

Затем нужно выбрать тип гостевой ОС (рис. 20.6). Поддерживаются различ-
ные варианты Microsoft Windows, Linux и другие системы. Поскольку сервер
у нас работает на Linux, го нужно выбрать именно этот вариант.
Рис. 20.6. Выбор типа гостевой ОС

Следующий шаг - выбор имени виртуальной машины и каталога для хране-
ния ее файлов. Обратите внимание: ранее мы выбирали каталог для общих
ВМ. а сейчас выбираем каталог для конкретной виртуальной машины. Впро-
чем, рекомендации те же' должно быть достаточно дискового пространства
и накопитель должен быть достаточно быстрым (желательно SSD).

Размер дискового пространства имеет значение. К счастью, VMware эко-
номно расходует место на диске, поэтому можете указать размер дискового
пространства с запасом - будет использовано ровно столько, сколько нужно.
Другими словами, вы указываете верхнюю границу, а реально виртуальная
машина займет дисковое пространство по факту потребления.

Также выберите режим виртуального диска - Store virtual disk as a single
file (хранить диск ВМ в одном файле) или Split virtual disk into multiple files
(разбить диск ВМ на несколько файлов). В первом случае ВМ (из-за размера
файла) будет сложнее перенести на другой компьютер, но ее производитель-
ность будет выше. Если не шинируете переносить виртуальную машину,
можно выбрать первый вариант.

Далее мастер предоставит сводку по параметрам виртуальной машины (рис.
20.7). Нажав кнопку Customize Hardware, можно изменить параметры обо-
рудования, например, указать количество процессоров, размер оперативной
памяти, тип работы сетевого адаптера и т.д.

Рис. 20.7. Нажмите эту кнопку

В окне Virtual Machine Settings нажмите кнопку Add. Нам нужно добавить
жесткий диск. Выберите Hard Disk, тип интерфейса SCSI, а вот когда
мастер дойдет до выбора диска, тс нужно выбрать Use an existing virtual
disk и указать путь к созданному образу диска вашего сервера. О том, как его
создать, мы поговорим в следующем разделе.
20.3.	Виртуализация физического сервера

Любой физический Li nux-сервер можно относительно легко подвергнуть
виртуализации. Первым делом нужно снять образ диска для VMware с физи-
ческого Linux-сервера.

Никакое дополнительное программное обеспечение для начала виртуализа-
ции нам нс нужно, поскольку образ можно создать стандартной командой
dd'.

dd if=/dev/sda of=/mnt/temp/sda.img bs=8M conv=sync,noerror

Здесь мы параметром if задаем входящий файл — весь диск /dev/sda. В ка-
честве выходного файла (of) мы устанавливаем /mnt/share/sda .img — это и
будет наш образ диска. Параметр bs задает размер блока для ускорения про-
цедуры копирования (по умолчанию 512 байт, следовательно, данные будут
сбрасываться небольшими блоками по 512 байт, что существенно замедлит
процедуру создания образа). Последний параметр указывает на необходи-
мость копирования с игнорированием ошибок и создания точной (бит-в-бит)
копии физического диска.

Примечание. В точке монтирования /mnt/temp должно быть доста- :
точно места. Как минимум, должно быть свободно столько, сколько
займет копируемый физический диск после виртуализации.

После создания образа диска сю нужно преобразовать в образ, подходя-
щий для вашего гипервизора. Как вы уже догадались, в нашем случае - это
VMWare

Далее будет показано, как преобразовать созданный с помощью команды dd
образ ч формат VMWare. Для этого мы будем использовать qemu, точнее
утилиту qemu-img, входящую в состав этого пакета эмуляции.

Для проведения виртуализации физического сервера придется установить
весь пакет

sudo apt install qemu

L4U
Команда конвертирования выглядит так:

qemu-img convert -о сстрасб /mnt/temp/sda.img -О vmdk /mnt/share/vmware.vmdK

Обратите внимание, что в /mrWtemp должно быть достаточно места для хра-
нения файла vmware.vmdk, который также будет большого размера. Создан-
ный vmdk-файл уже можно использовать. Например, вы можете указать его
при создании виртуальной машины в VMWaie Workstation в качестве образа
жесткого диска и сможете загрузиться с него.
Глава 21.

KVM - бесплатное решение
для виртуализации
21.1.	Что такое KVM

шт11111шп11п1нп1п111ишн1ш1ншш11шш1ш11и111ш1ш1111штшни111и11иш11шшш11ш11111ш1шнишипин111ш1т1и11111тш1ш1и11и11111111т1111ш1111111ш^^

Гипервизор KVM (Kernel-based Virtual Machine) — эго программное
обеспечение для виртуализации на платформе Linux, работающее на
разных операционных системах. Гипервизор распределяет ресурсы
между всеми подключенными компьютерами, па которых могут стоять
разные ОС, что позволяет запускать их одновременно.

Здесь нужно понимать важное отличие от решения, которое мы рассматри-
вали в прошлой главе - на базе VMWare Workstation. Решение на базе VM-
Ware подойдет в любительских целях - создать виртуальный сервер, дабы
что-то протестировать, например, попробовать новую версию дистрибутива
Linux, запустить Windows "внутри" Linux, развернуть копию сервера для
тестирования. Однако если вы надумаете предоставлять другим пользова-
телям виртуальные серверы (то есть самому стать облачным провайдером),
VMWare Workstation будет не очень удобным решением, и она не обеспечит
должный уровень масштабируемости. Для этого у VMWare есть другие ре-
шения. А вот KVM отлично справится с этой задачей. Конечно, его можно
использовать и как бесплатное решение виртуализации. Заметьте, в качестве
бесплатного аналога VMWare можно было бы использовать Virtual Box, но
сами по себе решения (VMWare Workstation и Virtual Box) - по сути, одина-
ковые, только VMWare - коммерческий продукт, a Virtual Box - бесплатный,
и в книге не очень полезно для читателя рассматривать два разных продукта
с одинаковым функционалом. Поэтому мы рассматриваем более профессио-
нальное и масштабируемое решение.

□Ей
21*2. Установка KVM

Прежде чем мы приступим к установке, нужно отметить, что все действия
мы будем производить в дистрибутиве Ubuntu. В других дистрибутивах воз-
можны изменения, как минимум, будет использоваться другой менеджер па-
кетов для установки KVM.

Первым делом проверим, поддерживает ли ваш процессор виртуализацию:

grep -Е '(vmxlsvm)' /proc/cpuinfо

Результат выполнения данной команды приведен на рис. 21.1. Вникать осо-
бо в вывод не нужно - главное, что он есть. А вот если в ответ на ввод этой
команды - тишина, значит, ваш процессор не поддерживает виртуализацию.

□ X

remitted b, арр^;саи*е 1а...

.so* login: Non Kay 22 10:56:16 2023 from 188.163.24.40	Ц

	» ^'dedicated,*’# grep -E '(vmx|svn)' /proc/cpuinfo	Ц

•	lags	: fpu vne de pse tsc nsr pae nee cx8 apic sep ntrr pge аса cnov pat pse36 elf lush dtl

।	acpi mx fxsr sse sse2 ss ht tin pbe syscall nx rdtsep In constant_tsc arch_perfnon pebs bts tep_gol
->d nopl xtopology nonstop_tsc epuid aperfnperf pni pclnulqdq dt«64 Monitor ds_cpl vex sax est tn2
меЗ cxl6 xtpr pdem pcid sse4_l sse4_2 x2apic popent tsc_deadline_timer aes xsave avx fl6c rdrand lai
mf_lm cpuid_f*ult epb pti tprshadow vnni flexpriority ept vpio fsgsbase snep eras xsaveopt dthera i 

arat pin pts	I

-	mx flags : vnni preemption_tioer inwpid ept_x_only flexpriority t$c_offset vtpr mtf vapir epi

	vpid unrestricted_gue$t	I

	igs	sc nsr pae act cx8 apic sep ntrr pge аса cnov pat pse36 ciflush dtl

acpi mmx fxsr sse sse2 ss ht ta pbe syscall nx rdtsep la constant_tsc arch^perfnon pebs bts repjjcl
jd nopl xtopology nonstop_tsc epuio aperfnperf pni pclnulqdq dtes64 monitor ds_cpl vex sax est tm2 Л
r .e3 cxl6 xtpr pden pcid sse4_i sse4_2 x2apic popent tsc_deadline_tiner aes xsave avx fl6c rdrand 1Л
«'f_lflt cpuid_fault epb pti tpr_shadcw vnmi flexpriority ept vpid fsgsbase snep eras xsaveopt dthera il
:a arat pin pts	

-	wx flags : vnni preeaption_timer inwpid ept_x_only flexpriority tsc_offset vtpr mtf vapic epl
t vpid unrestricted_guest	В

flags	: fpu vne de pse tsc nsr рае ace cx8 apic sep ntrr pge nca cmov pat p$e36 clflush dt

s acpi nax fxsr sse sse2 ss ht tn pbe syscall nx rdtsep la constant.tsc arch_perfnon pebs bts rep_ga
od nopl xtopology nonstop_tsc epuid aperfnperf pni pclmulqdq dtes64 monitor ds_cpl vox sex est tm2 s
sse3 cxl6 xtpr pdcai pcid sse4_l sse4_2 x2apic popent tsc_deadline_timer ats xsave avx fl6c rdrand la
nf_lm cpuid_fault epb pti tpr_»hadow vnni flexpriority ept vpid fsgsbase seep eras xsaveopt dtherm i
ia arat pin pts

vmx flags : vnni preenption_tiner inwpid ept_x_only flexpriority tsc_offset vtpr mtf vapic ep
t vpid unrestricted_guest

rxags	: fpu vise de pse tsc nsr pae nee cx8 apic sep ntrr pge nca cnov pat pse36 clflush dt

s	acpi mx fxsr sse sse2 ss ht tn pbe syscall nx rdtsep In constant_tsc archjjerfnon pebs bts rep_ge
ad nopl xtopology nonstop_tsc epuid aperfnperf pni pclnulqdq dtes64 monitor ds_cpl vnx sex est tm2 s
ice3 cxl6 xtpr pden pcid sse4_l sse4_2 x2apic popent tsc_deadline_tiner aes xsave avx fl6c rdrand la
nfwlm cpuid^fault epb pti tpr_shadow vnni flexpriority ept vpid fsgsbase seep erms xsaveopt dtherm i
da arat pin pts

vmx flags : vnmi preenption^timer inwpid ept^x^only flexpriority tsc^offset vtpr ntf vapic ер
* vpid unrestrictedguest

Puc. 21.1. Результат выполнения команды grep -E '(vmx svm)’/prcc/cpuinfo
Ubuntu поддерживает KVM на уровне ядра, а для работы с гипервизором
рекомендует использовать библиотеку libvirt, что мы и будем делать далее.
Но сначала нужно проверить поддержку аппаратной виртуализации, и для
этого введем командуй л

kvm -ok

В ответ вы должны увидеть следующий вывод:

INFO: /dev/kvm exists

KVM acceleration can be used

Осталось установить пакеты., необходимые для работы с KVM:

sudo apt install qemu-kvm libvirt-bin ubuntu-vm-builder bridge-utils

При желании также можно установить графическую оболочку для libvirt:

sudo apt install virt-manager

Использовать Virt Manager довольно просто - примерно как и VMWare
Workstation, и вы без проблем сможете освоить его самостоятельно. Мы же
сконцентрируемся на консольном варианте использования.

21.3.	Создание виртуального сервера

В консольном варианте установки, настройки и управления системой неза-
менимым инструментом является утилита virsh. У нее очень много параме-
тров, с которыми вы можете ознакомиться в справочной системе (man virsh).

| Для создания виртуального сервера используется команда virt-install.
Рассмотрим сразу вариант использования этой команды:

sudo virt-install \

—virt-type=kvm \

—name ubuntu2004\

—ram 2048 \

—vcpus=2 \

--os-variant=ubuntu20.04 \

—hvm \

--cdrom=/iso/ubuntu-20.04.l-server-amd64.iso \

—network network=default,model=virtio \

—graphics vne \

—disk path=/var/lib/libvirt/images/ubunt’j2004 . img, size-20,bus=virtio

Разумеется, все эти параметры можно ввести в одну строку, мы же использу-
ем \ для удобства читателя. Разберемся, что есть что. Мы создаем виртуаль-
ную машину с именем ubuntu2004 с 2 Гб оперативной памяти, 2 виртуаль-
ными процессорами.

Гостевая операционная система задается параметром -os-variant.

Мы будем использовать Ubuntu 20.04. Предварительно нужно скачать и по-
местить в каталог /iso (это может быть точка монтирования внешней файло-
вой системы для экономии места на основной файловой системе) ISO-образ
дистрибутива. У нас он называется ubuntu-20.04. l-servcr-amd64.iso.

Образ виртуального диска мы будем хранить в каталоге =/var/lib/libvirt/
images.

Параметр size=20 задает размер виртуального диска в гигабайтах, то есть 20
Гб.

Сетевая карта - стандартная, то есть виртуальная машина будет "ходить" в
Интернет через NAT.

При желании вы можете не загружать ISO-образ, а получить его по сети

Пример:
sudo virt-instal], —name ubuntu-guest —os-variant ubuntu20.04

—vcpus 2 —ram 2048 —location http://ftp.ubuntu.com/ubuntu/dists/
focal/main/installer-amd64/ —network bridge=virbrO,model=virtio

—graphics none —extra-args='console=ttySO,115200n8 serial'

......._............................................................................................................................................

I Параметр --os-variant, как уже отмечалось, указывает гипервизору, под
какую именно ОС следует адаптировать настройки.

.......•  nil,min..   ..   ....................imi."         ж 

Список доступных вариантов ОС можно получить, выполнив команду:

csinfo-query os

Если такой утилиты нет в вашей системе, то ее нужно установить:

sudo apt install libosinfo-bin

После запуска установки в консоли появится вот такая надпись:

Domain installation	still in progress. You can reconnect to the
console to complete	the installation process.

Это вполне нормально. Продолжить установку мы сможем через VNC. Но
сначала нужно посмотреть, на каком порту он работает.

Введите команду

virsh dumpxml ubuntu2004

<graphics type='vnc' port='5900' autoport='yes' listen='127.0.0.1'>

<listen type='address' address='127.0.0.1'/>

</graphics>
Чтобы просмотреть доступные соединения, можно ввести команду

I	sudo netstat -tin.

Это показано на рис. 21.2.

Active Internet connections (only servers)

Proto	Recv-Q	Seno- (|	Local Address	Foreign Address	State
tep	8	8	192 166.122 1:53	б.ё.в.8:*	LISTEN
tep	e	8	0.8 0.0:22	.0.9.9:*	LISTEN
tep	8	J.	r-31	8.0.8:*	LISTEN
tep	e	E	0.9.0.9:! )0 | 			0.8.0.0:*	LISTEN
tep	8	8	8.8 8.8:111	*-	0.0.9:*	LISTEN
tcp6	в	8	:  22	:: :*	LISTEN
tepo	e	e	::1:631	• * * 1г	LISTEN
				: :: *	

Puc. 21.2. Определяем, на каком порту работает виртуальная машина

Порт 5900, на локальном адресе 127.0.0.1. Чтобы подключиться к VNC, не-
обходимо использовать Port Forwarding через ssh. Перед тем как это сделать,
убедитесь, что tep forwarding разрешен у демона ssh.

Для этого нужно проверить настройки sshd:

cat /etc/ssh/sshd_cor.fig | grep AllowTcpForwaraing

Если ничего не нашлось или форвардинг выключен:

AllowTcpForwarding по

Тогда нужно изменить файл так:

AllowTcpForwarding yes

После этого нужно перезагрузить sshd.
Выполняем команду на локальной машине:

ssh -fN -1 login -L 127.0. С. 1:5900:localhost:5900 server_ip

Здесь мы настроили ssh port forwarding с локального порта 5900 на сервер-
ный порт 5900. Вместо server_ip нужно указать ваш IP-адрес во внутрен-
ней сети. Теперь уже можно подключиться к VNC, используя любой VNC-
клиент. Я предпочитаю UltraVNC из-за простоты и удобства.

После успешного подключения на экране отобразится стандартное окно
приветствия начала установки Ubuntu.

Weicome

Espahol

1 Esperanto
Euskara
Ffan«als
Gaellge
Galego
Hrvatski
isienska
Italiano
Kurd!

Latwskl
LietuviJkal
Magyar
Nedertands

No localization (UTF-e)
Norik hokmAI

Try Ubuntu

Install Ubuntu

You can try Ubuntu without making any changes to your computer, directly from tbss CD

Of If you're ready, you can install ubuntualongsfde (of Instead of) yow current operating system. This
shouidn t take too tong

Yau may wish to read the raleweno^c.

Puc. 21.3. Установка Ubuntu в виртуальной машине

21.4.	Список команд virsh

	Чтобы посмотреть запущенные виртуальные хосты (все доступные
	можно получить, добавив -а//):^

sudo virsh list
Остановить виртуальную машину можно так:

sudo virsh stop $VM NAME

Запуск:

sudo virsh start $VM_NAME

Отключение:

sudo virsh shutdown $VM_NAME

j Добавить виртуальную машину в автозапуск (чтобы она запускалась
автоматически при запуске физического сервера) можно командой:

sudo virsh autostart $VM_NAME

Очень часто требуется клонировать систему, чтобы в будущем ис-
пользовать ее как каркас для других виртуальных ОС, для этого ис-
пользуют утилиту virt-clone:^

virt-clone -help

Подробная информация об этой команде есть в справочной системе (man
virt-clone).

Ф
В этой завершающей главе мы рассмотрели виртуализацию сервера в Linux
посредством использования гипервизора KVM Надеемся, что данный мате-
риал был вам полезен.

Список использованных источников информации:

•	http://proline.biz.ua/calculator-ups-time-coi.nt

•	https://docs.microsoft.com/en-us/windows-scrvcr/get-started-19/editions-comparison-19

•	https://docs.microscft.com'ru-ru/windows-servcr/idcntity/ad-ds/active-directory-functioral -
levels

•	http://dev.mysql.eom/doe/refman/5.0/en/encryption-funct!ons.himl#functiori _password

•	ht tps://ww w.s tarw indsoftware .com/con verter

•	https://www. vmware .com/suppor-'developer/ovf/

•	http://awsdocs.s3.amazonaws.com/EC2/ec2-clt.pdf

•	https://docs.mic rosoft com/ru-ru/sysintemals/downloads/disk2vhd

•	https://www.vmware.com/products/workstation-pre/workstation-pro-evaluation.html

•	http:'/ftp.ubuntu.com/ubuntu/dists/focal/main/insialler-amd64/

•	https://it-black.ru/linux/3/

•	https://ru.freepik.com/free-photo/data-server-racks-hub-room-with-big data computer center-blue-
ir.terior-for-hosting-storage-hardware_37159301 .htm#cuery=server%20room&position=4&from
view=search&track=ais

•	https.//www.freepik.com/free-ai-image/integrated-microchip-c:rcuit-board-server-centrel-computer-
processor-with neon lights_395,.8209.htm#query^server&posit’on=16&from_view=search&track=sph


Книги по компьютерным технологиям, медицине, радиоэлектронике

Уважаемые авторы!

Приглашаем к сотрудничеству ио изданию книг по IT-технологиям, электронике,
медицине, педагогике.

Издательство существует в книжном пространстве более 20 лет и имеет большей
практический опыт.

Наши преимущества:

-	Большие тиражи (в сравнении с аналогичными изданиями других издательств);

-	Наши книги регулярно переиздают ся, а автор автоматически получает гонорар с
каждого издания;

-	Индивидуальный подход в работе с каждым автором;

-	Лучшее соотношение иена-качество, влияющее на объемы и сроки продаж, и, как
следствие, на регулярные переиздания;

-	Ваши книги будут представлены в крупнейших книжных магазинах РФ и ближнего
зарубежья, библиотеках вузов, ссузсв, а также на площадках ведущих маркетплейсов.

Ждем Ваши предложения:

тел. (812)412-70-26 / эл. почта: nitmail@nit.com.ru

Будем рады сотрудничеству!

Для заказа книг:

>	интернет-магазин: www.nit.com. ru / ЬЕЗ ПРЕДОПЛАТЫ по ОПТОВЫМ ценам
более 3000 пунктов выдачи на территории РФ, доставка 3-5 дней
белее 300 пунктов выдачи в Санкт Петербурге и Москве, доставка 1-2 дня
тел. (812) 412-70-26
эл. почта: nitrrail@nit.com.ru

>	магазин издательства: г. Санкт-Петербург, пр. Обуховсксй обороны, д.107
метро Елизаровская, 200 м за ДК им. Крупской
ежедневно с 10.00 до 18 30
справки и заказ: тел (812)412-70 26

>	крупнейшие книжные сети и магазины страны

Сеть магазинов «Новый книжный» тел. (495) 937-85-81, (499) 177-22-11

>	маркетплейсы ОЗОН, Wifdberries, Яндекс Маркет, Myshop и др.
Левицкий Н. Д., Завьялов А. В.

Сервер

на

Windows и Linux

Администрирование и виртуализация

Группа подготовки издания:

Зав. редакцией компьютерной литературы: М. В. Финков

Редактор: Е. В. Финков

Корректор: А. В. Громова

12+

ООО "Издательство Наука и Техника"

ОГРН 1217800116247, ИНН 7811763020, КПП 781101001

192029, г. Санкт-Петербург, пр. Обуховской обороны, д. 107, лит. Б. пом. 1-Н

Подписано в печать 05.07.2023. Формат 70x100 1/16.

Бумага газетная. Печать офсетная. Объем 34 п.л.

Тираж 1500. Заказ 5865.

Отпечатано с готовых файлов заказчика
в АО «Первая Образцовая типография»,
филиал «УЛЬЯНОВСКИЙ ДОМ ПЕЧАТИ»

432980, Россия, г. Ульяновск, ул. Гончарова, 14
I *
n •

I

Windows
и Linux

Windows Server - вы узнаете об управлении сервером; мониторинге процессов, сервисов
и событий; автоматизации административных задач, основах безопасности; управлении
учетными записями пользователя и группы, как управлять сегью TCP/IP и использовать
сервисы DNS и DHCP. Также подробно рассмотрим Active Directory - разворачивание, основы
администрирования, доменные службы Active Directory.

Linux-сервер для локальной сети - вы узнаете об управлении процессами и загрузкой ОС;
маршрутизации и настройке брандмауэра; доменной системе имен; как использовать
удаленный вход в систему по SSH. Отдельно будет рассказано про файловый сервер FTP
и DHCP-сервер, приведены примеры использования сервера

Виртуальные сервера на Windows и Linux - рассмотрим вопросы преобразования
виртуальных машин из одного формата в другой; какой гипервизор выбрать; рассмотрим
виртуальный сервер на базе коммерческого решения - VMWare, а также бесплатного
гипервизора - KVM.

НАУКА и ТЕХНИКА

Магме* М д

Справочник

Линуксоида

«Издательство Наука и Техника» г. Санкт-Петербург
Для заказа книг: т. (812) 412-70-26

E mail: nitmail@nit com.ru
Сайт: nit.com.ru

^НнТ

XJII II III1 Alli IKuMF

nit.coni.ru