22
доменного имени например: «www.contoso.com». Для правильной работы
механизма разрешения доменных имен сервер снабжен исходным кешем
известных адресов корневых серверов имен. Предполагая, что у сервера нет
кэшированных записей для ускорения процесса, процесс разрешения
начинается с запроса на один из корневых серверов. В типичной операции
корневые серверы не отвечают напрямую, но отвечают ссылкой на более
авторитетные серверы, например, запрос для «www.contoso.com» относится к
серверам «com.». Теперь сервер запрашивает серверы, на которые он получил
ссылку, и итеративно повторяет этот процесс, пока не получит авторитетный
ответ. Чтобы повысить эффективность, уменьшить трафик DNS через интернет
и повысить производительность в приложениях, система доменных имен
поддерживает серверы DNS-кешей, которые хранят результаты запросов DNS
в течение определенного периода времени, определяемого в конфигурации
указанной записи имени домена (Time-to-live). Как правило, такие кэширующие
DNS-серверы также реализуют рекурсивный алгоритм.
Применение кеширующего DNS сервера в офисной сети позволяет
существенно упросить доступ пользователей и приложений как к внутренним
ресурсам, так и позволит им взаимодействовать с огромным числом ресурсов,
расположенных за пределами сети – в интернете.
1.3.3 Служба каталогов
Служба каталогов — это средство иерархического представления
ресурсов сети, принадлежащих одной организации. В этом каталоге каждый
ресурс будь то пользователь, компьютер, сетевая служба и т.д. может
принадлежать к одному или более классу. Класс ресурса описывает набор
свойств определенного типа сущности к которому принадлежит ресурс.
В сетях, выстраиваемых на основе операционных систем семейства
Windows Server, за реализацию службы каталогов отвечает сервис Microsoft
23
Active Directory. Она является центральным инструментом управления сетями
на основе ОС Windows.
Сервер, на котором работают доменные службы Active Directory (AD DS),
называется контроллером домена. Он аутентифицирует и авторизует всех
пользователей и компьютеры в сетевом домене Windows, назначает и
применяет политики безопасности для всех компьютеров и управляя
конфигурацией клиентских компьютеров и программного обеспечения.
Например, когда пользователь входит в компьютер, который является частью
домена Windows, Active Directory проверяет предоставленный пароль и
определяет, членом каких групп является пользователь и какие права в системе
ему должны быть предоставлены на основании членства в этих группах. Кроме
того, AD DS позволяет хранить и управлять информацией, предоставляет
механизмы аутентификации и авторизации и устанавливает структуру для
развертывания других связанных сервисов: службы сертификации,
федеративных служб, облегченной службы каталогов и службы управления
правами.
В качестве службы каталогов экземпляр Active Directory состоит из базы
данных и соответствующего исполняемого кода, отвечающего за обслуживание
запросов и ведение базы данных. Исполняемая часть, известная как Directory
System Agent, представляет собой набор служб и процессов Windows.
Структуры Active Directory — это сведения о объектах. Объекты можно
разделить на две широкие категории: ресурсы (общие папки, принтеры и т.д.) и
субъекты безопасности (учетные записи пользователей и компьютеров и
группы). Структуру Active Directory, которая содержит объекты, можно
просмотреть на нескольких уровнях. Лес, дерево и домен являются
логическими подразделениями в сети Active Directory. Домен определяется как
логическая группа сетевых объектов (компьютеров, пользователей, устройств),
которые используют одну и ту же базу данных Active Directory. Дерево
24
представляет собой совокупность одного или нескольких доменов и деревьев
доменов в непрерывном пространстве имен, связанных в транзитивной
иерархией доверия. Лес — это совокупность деревьев, которые имеют общий
глобальный каталог, схему каталогов, логическую структуру и конфигурацию
каталога. Лес представляет собой границу безопасности, в которой доступны
пользователи, компьютеры, группы и другие объекты.
Объекты, хранящиеся в домене, могут быть сгруппированы в
организационные единицы (OU). OU могут предоставлять иерархию домену,
облегчать его администрирование и могут отображать структуру организации в
управленческом или географическом плане. База данных Active Directory
разделена на разделы, каждый из которых содержит определенные типы
объектов и следует определенному шаблону репликации. Microsoft также
называет эти разделы «контексты именования». Раздел «Схема» содержит
определение классов объектов и атрибутов в лесу. Раздел «Конфигурация»
содержит информацию о физической структуре и конфигурации леса
(например, топология сайтов). Оба этих раздела реплицируются для всех
доменов в лесу. Раздел «Домен» содержит все объекты, созданные в этом
домене, и реплицируется только в пределах своего домена. Active Directory
синхронизирует изменения с использованием репликации с несколькими
мастерами. Репликация по умолчанию использует механизм «pull», а не «push»,
что означает, что реплики вытягивают изменения с сервера, на котором было
произведено изменение.
Различные уровни совместимости с Active Directory могут быть
достигнуты в большинстве Unix-подобных операционных систем через
совместимые со стандартами LDAP-клиенты, но эти системы обычно не
интерпретируют многие атрибуты, связанные с компонентами Windows, такие
как групповые политики.
25
В итоге служба каталогов Active Directory представляет собой
комплексный и практически обязательный инструмент для построения сетей на
основе Windows, так как предоставляет в руки администраторов сети широкий,
структурированный набор средств для управления практически всеми
ресурсами сети предприятия.
1.3.4 Файловый сервер
Файловый сервер — это компьютер, подключенный к сети, который
обеспечивает средства для доступа к общим дискам, то есть к совместному
хранению файлов любого типа (текст, изображения, звук, видео), к которым
могут обращаться рабочие станции, в локальную сеть. Термин сервер
подчеркивает роль машины в схеме клиент-сервер, где клиентами являются
рабочие станции с использующие сетевое хранилище. Обычно файловый
сервер не выполняет вычислительные задачи и не запускает программы от
имени своих клиентов. Он предназначен, прежде всего, для хранения и
извлечения данных, в то время как вычисления выполняются рабочими
станциями.
Файловые серверы могут быть классифицированы по методу доступа: к
файловым серверам Интернета чаще всего обращение происходит по
протоколам передачи файлов (FTP, SFTP) или по HTTP (но в отличии от веб-
серверов, файловые серверы не предоставляют динамический веб-контент в
дополнение к статическим файлам). Обычно серверы в локальной сети
предоставляют доступ по протоколу SMB (в среде Windows) или протоколу
NFS (для Unix-подобных операционных систем). Server Message Block (SMB),
одна из ранних версий которого также известна как «Common Internet File
System» (CIFS), работает как сетевой протокол прикладного уровня, в основном
используется для обеспечения совместного доступа к файлам, принтерам и
последовательным портам. Он также обеспечивает аутентифицированный
26
механизм взаимодействия между процессами. Протокол SMB оптимизирован
разработчиками для использования в локальных сетях.
Как частные случаи файлового сервера можно рассмотреть сервер
печати и Network Attached Storage (NAS). В первом случае серверы печати
используются для распространения драйверов на клиентские компьютеры, а
также для централизованного предоставления доступа к принтерам в сети,
обработки и управления заданиями печати. NAS же, как правило, представляет
собой специализированное устройство основной задачей которого является
предоставление сервиса для хранения файлов другим участникам сети. За
частую NAS не имеют полнофункциональной операционной системы, не
подразумевают запуск стороннего программного обеспечения. Системы NAS
содержат один или несколько жестких дисков, которые часто располагаются в
логических, избыточных контейнерах хранения или RAID-массивах.
Использование файлового сервера в офисной сети позволяет
осуществлять обмен файлами между пользователями сети через
централизованное хранилище, упрощает управление доступом к этим файлам,
расширяет возможности повышает надежность хранения информации в сети.
1.3.5 Сервер баз данных
Сервер баз данных — это сервер, на котором размещается приложение
базы данных, которое предоставляет услуги базы данных другим
компьютерным программам или компьютерам в сети. Системы управления
базой данных часто предоставляют функциональность сервера баз данных.
Некоторые системы управления базами данных (СУБД), к примеру, MySQL
полагаются исключительно на модель клиент-сервер для доступа к базе данных
в то время, как другие, например SQLite, предназначены для использования в
качестве встроенной базы данных. Большинство приложений баз данных
используют в своей работе языки запросов. Каждая база данных понимает свой
27
язык запросов и преобразует представленный запрос в форму, понятную
серверу, а затем выполняет его для получения результатов.
Сервер баз данных может не являться необходимым элементом
конкретной офисной сети, но с другой стороны его использование совместно с
различным программным обеспечением, таким как системы бухгалтерского
учета, САПР, системы планирования ресурсов предприятия и т.д. может
существенно расширить возможности, предоставляемые сетью сотрудникам
организации.
1.3.6 Сервер приложений
Серверы приложений — это системное программное обеспечение,
предоставляющее среду выполнения для кода веб-приложений или настольных
приложений. Серверы приложений состоят из коннекторов веб-серверов,
языков программирования, библиотек среды выполнения, соединителей базы
данных и кода администрирования, необходимых для развертывания,
настройки, управления и подключения этих компонентов. Сервер приложений
достаточно часто является посредником между сервером баз данных и
клиентским приложением или веб-сервером. Как правило он выполняет
сложные вычислительные операции, которые не могут быть поручены ни
серверу баз данных, ни клиенту из соображений производительности,
отказоустойчивости или конфиденциальности.
Серверы приложений можно условно разделить на три группы:
Классические серверы приложений, Веб-серверы и серверы мобильных
приложений. С одной стороны, все они представляют собой части
промежуточного программного обеспечения, которые соединяют серверные
системы с пользователями, которым необходимо получить к ним доступ, но
технология в каждом из трех отличается.
28
Классические серверы приложений предоставляют бек-энд бизнес-
логики через различные протоколы, в том числе HTTP, а также обеспечивают
безопасность, обработку транзакций, объединение ресурсов и обмен
сообщениями.
Веб-серверы обеспечивают функции кэширования и масштабирования,
требуемые для веб-приложений и часто не предоставляемые классическими
серверами приложений. Они конвертируют HTTP-запросы в статический
контент и способны эффективно работать как в локальной сети, так и в
интернете.
Серверы мобильных приложений является промежуточным
программным обеспечением, которое делает доступными для мобильных
приложений серверные системы. Широкое распространение мобильных
устройств представляет потребность учитывать их особенности работы, такие
как невысокая производительность, прерывистая связь и невысокая
безопасность. Серверы мобильных приложений позволяют заполнить эту
специфическую нишу. Они заботятся о безопасности, управлении данными и
автономных требованиях, не удовлетворяемых существующей
инфраструктурой, и представляют контент мобильным приложениям по
технологии REST (Representational State Transfer — «передача состояния
представления»).
Сервер приложений также, как и сервер баз данных не является
неотъемлемой частью инфраструктуры офисной сети, но спользование
серверов приложений как правило совместно с серверами баз данных
существенно расширяет возможности, предоставляемые сетью как изнутри
организации, так и за ее пределами.
1.3.7 Службы удаленного доступа
29
Службы удаленного доступа в офисной сети ориентированы на
предоставление доступа из-за пределов сети к различным сетевым ресурсам
организации. По типу предоставляемого доступа эти службы можно разделить
на две группы: Службы виртуальных частных сетей и службы доступа к
удаленным рабочим столам.
Виртуальная частная сеть (VPN) – это обобщенное название для
группы технологий, которые обеспечивают сетевые соединения поверх другой
сети, на пример интернета. Они расширяют частную сеть в общедоступной сети
и позволяет пользователям отправлять и получать данные в общих или
общедоступных сетях, как если бы их вычислительные устройства были
напрямую подключены к частной сети. VPN могут позволить сотрудникам
безопасно обращаться к корпоративной интрасети, находясь за пределами
офиса. Они используются для безопасного подключения географически
разделенных офисов организации, создавая одну единую сеть. Чтобы
предотвратить раскрытие конфиденциальной информации, VPN обычно
разрешают только аутентифицированный удаленный доступ с использованием
протоколов туннелирования и различных методов шифрования методов
шифрования. VPN-сервисы могут быть классифицированы:
По протоколу, используемому для туннелирования трафика
По назначению (Intranet, Extranet, Remote Access, Client-Server)
По типу топологии соединений, например, «сайт-сайт» или «сеть-сеть»
По уровню безопасности (защищенные или доверительные)
По уровню сетевого протокола сетевой модели OSI
Службы удаленных рабочих столов (RDS), известные также как
службы терминалов в Windows Server, являются одним из компонентов
Microsoft Windows, который позволяет пользователю управлять удаленным
компьютером или виртуальной машиной по сетевому соединению. RDS — это
30
реализация компанией Microsoft тонкого клиента, где программное
обеспечение Windows и весь рабочий стол компьютера, работающего под
управлением RDS, становятся доступными для удаленной клиентской машины,
поддерживающей протокол удаленного рабочего стола (RDP). С RDS в
клиентскую систему передаются только пользовательские интерфейсы
программного обеспечения. Все входные данные клиентской системы
передаются на сервер, где и происходит непосредственное выполнение
программного обеспечения.
Сточки зрения архитектуры системы RDS сервисы можно разделить на
определенные роли:
Шлюз удаленных рабочих столов (Remote Desktop Gateway) позволяет
авторизованным пользователям подключаться к виртуальным рабочим столам,
приложениям RemoteApp и сессионным рабочим столам через частную сеть
или Интернет.
Брокер соединений удаленных рабочих столов (Remote Desktop
Connection Broker) позволяет пользователям повторно подключаться к
существующим виртуальным рабочим столам, программам RemoteApp и
рабочим столам на основе сеансов. Он обеспечивает равномерное
распределение нагрузки между серверами хостов сеансов удаленных рабочих
столов в коллекции сеансов или в пул виртуальных рабочих столов в
объединенной коллекции виртуальных рабочих столов и обеспечивает доступ к
виртуальным рабочим столам в коллекции виртуальных рабочих столов.
Узел сеансов удаленного рабочего стола (Remote Desktop Session Host)
позволяет серверу размещать программы RemoteApp или рабочие столы,
основанные на сеансах. Пользователи могут подключаться к серверам в
коллекции сеансов для запуска программ, сохранения файлов и использования
ресурсов на этих серверах. Пользователи могут получить доступ к серверу
31
сеансов удаленных рабочих столов с помощью клиента удаленного рабочего
стола или с помощью программ RemoteApp.
Узел виртуализации удаленных рабочих столов (Remote Desktop
Virtualization Host) позволяет пользователям подключаться к виртуальным
рабочим столам и приложениям RemoteApp основанным на технологии
виртуальных машин.
Узел веб-доступа к удаленным рабочим столам (Remote Desktop Web
Access) позволяет пользователям получать доступ к RemoteApp и Desktop
Connection через веб-браузер.
Узел лицензирования удаленных рабочих столов (Remote Desktop
Licensing) осуществляет управление лицензиями необходимыми каждому
пользователю и устройству для подключения к узлам сеансов или
виртуализации.
В итоге использование служб удаленного доступа позволяет расширить
возможности локальной офисной сети путем предоставления доступа
сотрудникам, находящимся за пределами офиса, наладить сообщение с
удаленными филиалами организации, а также сократить расходы на клиентское
оборудование путем создания инфраструктуры тонких клиентов, которые
обладают значительно меньшей стоимостью по сравнению с полноценными
рабочими станциями.
В данной главе были рассмотрены основные теоретические аспекты,
которые следует учитывать при проектировании офисной сети. Проведен
анализ физических и логических сетевых топологий, рассмотрены базовые
принципы функционирования сетевых операционных систем, приведено
описание ключевых типов сетевых служб и их роли в организации сети.