Что такое Bindery Synchronisation (синхронизация связей)?

Что такое Bindery Synchronisation (синхронизация связей)?

Это средство позволяет включить объекты сервера с Bindery в контекст NDS таким образом, что они будут доступны в обеих системах защиты, а изменения их свойств, выполняемые с помощью сервиса Каталогов (и создание новых объектов) будет автоматически отражаться и в базе Bindery. На сервере NetWare 4.x для этих целей доступен первый контекст списка BINDERY EMULATION, в него можно включить до 12 серверов NetWare 3.x со своими объектами. Совокупность этих серверов (включая и сервер NetWare 4.x) называется кластером синхронизации Bindery (Bindery Synchronization Cluster).

При установленной синхронизации изменения объектов кластера (создание пользователей и изменение их параметров) можно выполнять только с помощью NWADMIN или NETADMIN, использование SYSCON приведет к потере синхронизации. Эти изменения следует производить при работающих серверах 3.x.

Что такое обаружение и захват нарушителя ("Intruder Detection/Lockout")?

Что такое обаружение и захват нарушителя ("Intruder Detection/Lockout")?

Это средство усиления защиты от попыток подбора пароля при регистрации, которое может быть специально включено с помощью опций администратора SYSCON или NWADMIN (NETADMIN). Когда оно включено, после заданного числа (по умолчанию 7) безуспешных попыток входа под одним и тем же именем бюджет пользователя с данным именем блокируется на заданное время (15 минут), в течение которого нельзя войти даже с правильным паролем. Кроме того, это событие с указанием адреса станции регистрируется на консоли и в файле NET$ACCT.DAT.

Счетчик неверных попыток сбрасывается при успешной регистрации или через установленное время (30 минут), прошедшее с момента последней попытки.

Если попытки входа под одним именем "разбавлять" попытками с другим именем, обнаружение все равно будет срабатывать.
В сетях с NDS захват включается отдельно в каждом контейнере, в сетях с базой Bindery - на каждом сервере.

Эта функция может заблокировать бюджет администратора, что является одной из причин, по которым имеет смысл создать запасной бюджет администратора с эквивалентностью ему по защите с другим именем.

Что такое объект-псевдоним?

Что такое объект-псевдоним?

Псевдоним (Aliace) - специальный тип объекта NDS, фактически определяющий только ссылку на реальный объект, обычно расположенный в другом месте каталога. Все действия с псевдонимом возможны в пределах прав, предоставляемых в реальном объекте и в точности отражаются на реальном объекте. Псевдонимы служат средством сокращения имен (при "дальнем" доступе к объекту другого контекста пришлось бы указывать его полное имя, а для псевдонима - "соседа" по контексту достаточно его краткого имени CN.

Для файловой системы приблизительным аналогом псевдонима является объект Directory Map, связанный с каталогом тома любого контекста. На этот объект возможна ссылка в сетевых именах каталогов (например, в командах MAP), причем как прямая, так и через псевдонимы.

Что такое шаблоны (User_Template) и профили (Profile) пользователей?

Что такое шаблоны (User_Template) и профили (Profile) пользователей?

Шаблон USER_TEMPLATE представляет собой объект Каталога, который создается почти так же, как и пользователи, и имеет те же свойства. Эти свойства можно будет использовать по умолчанию при создании новых пользователей в том же контексте, где создан данный шаблон.

Профиль Profile является объектом своего специального класса и предназначен для хранения общей процедуры регистрации, которую можно назначить для любых пользователей (в отличие от личной и контейнерной, привязанных к конкретным пользователям и их положению в Каталоге).

Изменения в шаблоне могут действовать только на свойства создаваемых после этого пользователей данного контейнера, а изменения в профиле - на всех пользователей любых контейнеров, которым назначено его использование.

Для создания шаблона создается объект класса USER с именем USER_TEMPLATE и фамилией (Last Name) TEMPLATE. В личном каталоге ему отказывают, и от переноса в него информации из USER_TEMPLATE также следует отказаться (он не барон Мюнхаузен).

Что такое Unknown Object?

Что такое Unknown Object?

Unknown Object - неизвестный объект NDS, класс которого невозможно определить. В утилитах Windows он обозначается иконкой с вопросительным знаком. Эти объекты могут появляться в результате повреждения базы NDS. При переименовании сервера неизвестными объектами становятся объекты его томов, имеющие ссылки на старое имя сервера. B ранних версиях NetWare 4 неизвестными объектами становились псевдонимы удаленных объектов, в 4.1 при удалении объекта автоматически удаляются и все его псевдонимы.

Для чего NDS разбивают на разделы и создают множество их дубликатов?

Для чего NDS разбивают на разделы и создают множество их дубликатов?

Множество дубликатов устраняет единую точку отказа NDS - сервер, хранящий базу. Отказ сервера с одним из дубликатов может снизить производительность сети, но не вывести ее из строя. Кроме того, множество дубликатов позволяет локализовать трафик внутри отдельных локальных сетей при обращениях к базе NDS, что существенно повышает быстродействие системы. Разбиение дерева на разделы позволяет оптимизировать размещение и размеры хранимых дубликатов.

Электропитание оборудования сетей

12. Электропитание оборудования сетей

К системе электропитания сетевого оборудования предъявляются особенно высокие требования в связи с распределением устройств по большому пространству и потенциально большему урону от потери информации по вине электропитания.

Целостность данных на файл-сервере обеспечивается программными средствами в предположении, что компьютер будет выключаться только после закрытия файл-сервера. Реально это условие может нарушаться из-за неполадок в электросети, с которыми можно бороться с помощью различных защитных устройств.

Как быть, если на разных станциях требуются разные загрузочные образы?

Как быть, если на разных станциях требуются разные загрузочные образы?

При необходимости загрузки на разных станциях систем, различающихся до точки передачи управления (например, использующих различные файлы CONFIG.SYS или сетевые адаптеры с различной аппаратной конфигурацией), в SYS:LOGIN создается необходимое множество загрузочных образов с различными именами и текстовый файл BOOTCONF.SYS, связывающий файлы-образы с сетевыми адресами адаптеров. В начале загрузки станция запрашивает файл BOOTCONF.SYS и берет из него имя соответствующего образа. При отсутствии BOOTCONF.SYS делается запрос на файл NET$DOS.SYS или IBM$DOS.SYS. При невозможности получения требуемого образа загрузка прерывается с сообщением Error opening image file.

Некоторые версии загрузчиков до запроса NET$DOS.SYS ищут файл со своим специфическим именем, соответствующим типу адаптера.

При различиях в файлах AUTOEXEC.BAT загрузочных образов клиентские оболочки должны запускаться из .BAT-файлов, имеющих уникальные имена и запускаемых из AUTOEXEC.BAT. Копии этих файлов должны присутствовать в SYS:LOGIN и новых текущих сетевых директориях.

Напомним, что строка .BAT-файла, содержащая только имя другого .BAT-файла, передает ему управление без возврата к следующей строке первого файла, в то время как строка CALL bat_name вызывает другой .BAT-файл и возвращается к исходному после его отработки.

Файл BOOTCONF.SYS для каждой удаленно загружаемой станции содержит строку вида 0xnet_num,addr = fname.ext [comment], где net_num и addr - шестнадцатеричный номер сети и MAC-адрес адаптера, fname.ext - имя файла, хранящего образ загрузки для данной станции, comment - необязательный комментарий. В номере сети начальные нули могут быть опущены.

Необязательный загружаемый модуль RPL.NLM (NetWare 3.11+) расширяет возможности BOOTCONF.SYS, допуская использование в нем метасимволов "?" и "*" для задания группы адресов, указание нескольких файлов-образов для выбора загрузочного сценария пользователем, замены всех появлений в файле-образе ASCII строки-1 на строку-2 перед посылкой их на станцию для дополнительных изменений исполнения образа.

Как добавить и удалить раздел Каталога?

Как добавить и удалить раздел Каталога?

Для добавления нового раздела нужно выбрать подсветкой контейнер, принятый за его начальную точку, и нажать кнопку Create as New Partition (в PARTMGR - клавишу F10). Это самое быстрое действие с разделами, которое уложится в десяток минут.
Удалить раздел нельзя, его можно только объединить с вышестоящим, для чего служит кнопка Merge Partitions (в PARTMGR - пункт Merge With Parent Partition из меню, вызываемого по клавише F10). Этот процесс может затянуться до часа.

Как хранятся протоколы аудита и что происходит при их переполнении?

Как хранятся протоколы аудита и что происходит при их переполнении?

Система хранит два типа файлов - история аудита (Audit History), отражающая все запуски AUDITCON и протоколы аудита (Audit File).
Протоколы аудита событий NDS каждого контейнера и тома записываются в отдельные файлы. Эти файлы (даже их имена) не просматриваются никакими средствами, кроме AUDITCON. При достижении ими порогового размера на консоль сервера и на станции пользователей (у которых не запрещен прием сообщений) выдается предупреждение. При достижении максимально допустимого размера файл архивируется в старый (Old file) и очищается. Старые файлы хранятся в архиве, а когда их количество достигает заданного предела, архив преобразуется в отключенный (Old offline) и начинается новый.
Реакция системы на переполнение файлов аудита задается в опциях конфигурирования AUDITCON, там же возможны и ручные действия с файлами.
Пороговый размер и предупреждение всех пользователей задается параметрами Audit File Treshold Size и Broadcast Errors to All Users, час начала архивирования (0-23) и количество хранимых в архиве старых файлов (1-15) задается параметрами Hour of Day to Archive и Number of Old Audit Files to Keep, максимальный размер рабочего файла - Audit File Maximum Size.
При достижении максимального размера система может по выбору автоматически архивировать файл (Archive Audit File) или прекращать регистрацию событий (Disable Event Recording). Для аудита томов можно установить и автоматическое размонтирование тома при переполнении его файла аудита (Dismount Volume), что несколько противоречит провозглашенному принципу пассивности аудита.

Как контролировать состояние базы Bindery и ее соответствие объектам?

Как контролировать состояние базы Bindery и ее соответствие объектам?

Теоретически, при исправно работающей TTS, бесперебойном питании сервера, соблюдении правил запуска и остановки сервера база не требует вмешательства. В жизни это не всегда так, и периодически рекомендуется проверять целостность базы. Кроме того, сигналом к этому действию являются необъяснимые отказы в регистрации, в работе системы печати и другие загадочные неприятные явления.

Проверку целостности и коррекцию Bindery осуществляет утилита BINDFIX.EXE, которая, предварительно копируя рабочие файлы базы в резервные (NET$OBJ.OLD, NET$PROP.OLD и NET$VAL.OLD), создает новые рабочие файлы. На действия по удалению лишних объектов (например, почтовых каталогов несуществующих пользователей) утилита запрашивает у оператора подтверждение. Для отмены действий BINDFIX имеется утилита BINDREST.EXE, которая переименовывает файлы .OLD в файлы .SYS. Файлы .OLD могут быть скопированы на любой диск станции, сохранены и впоследствии восстановлены и переименованы посредством BINDREST, что можно использовать для архивации Bindery.

Имейте всегда хотя бы одну копию Bindery на внешнем носителе.

Как модифицировать процедуру удаленной загрузки?

Как модифицировать процедуру удаленной загрузки?

Стандартный способ внесения изменений в загрузочный образ через исправления на дискете и с помощью DOSGEN неудобен и обязательно требует наличия станции с дисководом. Более удобный способ - применение утилиты MAPGEN из BootWare, позволяющей отображать ранее созданный файл-образ на локальный диск A: или B: рабочей станции, возможно и реально отсутствующий. Размер свободной оперативной памяти этой станции, включая XMS и EMS, должен быть достаточным для размещения в нем образа диска и загрузки текстового редактора, если есть необходимость редактирования CONFIG.SYS или .BAT-файлов образа. Работа с образом не отличается от работы с реальным диском, за исключением невозможности обновления версии DOS. Результаты работы сохраняются в файле-образе, RPLFIX не используется.

Как ориентироваться в дереве Каталогов, используя NWADMIN?

Как ориентироваться в дереве Каталогов, используя NWADMIN?

Утилита позволяет просматривать структуру каталога, представляя контейнеры как в сжатом, так и в развернутом виде, причем в одном окне могут присутствовать и те, и другие отображения. Чтобы развернуть контейнер (показать все вложенные в него объекты) или его свернуть, достаточно двойного щелчка по его изображению, можно также в меню View выбрать пункт Expand или Collapse соответственно. Допускается выводить не все типы объектов, а только выбранные с помощью пункта Include меню View. Начальный контекст дерева выбирается пунктом Select Context меню View. С помощью пункта Browse меню Tools можно открыть новое окно для просмотра.

Поиск какого-либо объекта в Каталоге позволяет произвести пункт Search меню Object. Здесь можно задать имя контекста, с которого начнется поиск (вниз по перевернутому дереву), тип(ы) и атрибуты, по которым ищется объект. Для указания всех типов выбирается "Top", атрибуты (имя также является атрибутом) могут проверяться как на совпадение с условием поиска, так и просто на заданность его значения (некоторые атрибуты объектов могут не иметь значений).

Для действий над подсвеченным объектом и доступа к его свойствам можно выбрать меню Object или щелкнуть правой кнопкой по данному объекту.

Как переименовать дерево Каталогов?

Как переименовать дерево Каталогов?

Для переименования дерева на сервере, несущем главный дубликат его корневого раздела, загружается утилита DSMERGE.NLM, имеющая пункт Rename This Tree в главном меню. Для переименования необходимо знать имя и пароль пользователя, имеющего право SUPERVISOR в корневом разделе.

Переименование дерева должно отражаться в установке PREFERRED TREE клиента .

Как переименовать объект Каталога?

Как переименовать объект Каталога?

В утилите NWADMIN необходимо выбрать объект (переместить на него подсветку), и выбрав пункт Rename в меню Object, ввести новое имя.

В утилите NETADMIN, установив подсветку на данный объект, нужно нажать F10 для вызова меню действия над объектами (Acctings), и, выбрав пункт Rename, ввести новое имя.

Как переместить объект Каталога?

Как переместить объект Каталога?

Для перемещения объекта-листа он помечается подсветкой, после чего в меню Object (Acctings в NETADMIN) выбирается опция Move и новый контекст для этого объекта.

Перемещать можно и несколько помеченных объектов одновременно.

Для перемещения объекта-контейнера необходимо, чтобы он являлся начальной точкой раздела и этот раздел не имел разделов-потомков. В этом случае его можно перемещать средствами обслуживания разделов (и только ими). Добиться удовлетворения данным требованиям можно теми же средствами обслуживания разделов (см. следующие вопросы).

Как переместить раздел?

Как переместить раздел?

Для того, чтобы раздел можно было переместить, он не должен содержать разделов-потомков. Если они есть, их предварительно объединяют с родительскими до самого перемещаемого раздела. Перемещение раздела является перемещением контейнера, и в отличие от других операций с разделами, может быть заметно для пользователей, поскольку изменяются полные каталоговые имена всех его объектов. Этот процесс самый долгий, он может занимать до нескольких часов.
Переместить раздел позволяет только NWADMIN. Пометив контейнер, соответствующий началу перемещаемого раздела, с помощью кнопки Move Partition пользователь попадает в меню выбора контейнера места назначения. По возвращении из этого меню предлагается на месте перемещаемого контейнера создать его псевдоним (кнопка Create Aliace In Place of Moved Container), что весьма полезно для обеспечения доступа к нему пользователей, еще не отследивших данной революции.

Больше всего в псевдониме заинтересованы пользователи, у которых в клиенте (в файле NET.CFG строка NAME CONTEXT) перемещенный контекст был текущим.

Как перенести старые процедуры регистрации пользователей Bindery в NDS?

Как перенести старые процедуры регистрации пользователей Bindery в NDS?

Для копирования процедур регистрации пользователей, перенесенных в NDS при обновлении старого сервера, необходимо войти в контекст, содержащий этих пользователей, и, сделав текущим каталог SYS:SYSTEM обновленного сервера, выполнить команду

UIMPORT UIMPORT.CTL UIMPORT.DAT

Системная процедура регистрации преобразуется в процедуру регистрации данного контейнера.

Старые процедуры, хранящиеся в текстовых файлах, будут выполняться только при входе клиента со старой оболочкой NETx (или VLM с отключенным протоколом NDS).

Как получить доступ к ресурсам сети?

Как получить доступ к ресурсам сети?

Ресурсы сети предоставляются клиентам после регистрации. Для регистрации рабочая станция должна установить соединение с сервером, что происходит при успешной загрузке ее сетевой оболочки, когда она дает широковещательный запрос ближайшего сервера (Get Nearest Server, GNS) или указанного как предпочтительного (Preferred server). Соединение устанавливается с первым откликнувшимся сервером.

На станции с сетевого диска запускается утилита LOGIN.EXE, которая запрашивает имя пользователя. Имя в специальном пакете передается на сервер, с которым установлено соединение, или указанный явно в команде LOGIN (предварительно производится попытка установить с ним соединение).

На сервере NetWare 3.x имя пользователя (Login_Name) ищется в базе данных Bindery, и, если данному пользователю не установлен беспарольный вход, делается запрос на ввод пароля. Если система не обнаружит противопоказаний, выполняется процедура регистрации пользователя на сервере. Если регистрация по каким-либо причинам не разрешена, пользователь получает отказ в доступе (Access Denied) и соединение остается в состоянии Not-Logged-In.

Клиент на сервере может зарегистрироваться только под именем (login_name), предварительно занесенным в базу данных Bindery этого сервера администратором сети. В многосерверной сети NetWare 3.x для того, чтобы получить доступ к ресурсам любого сервера, надо на нем зарегистрироваться. Рабочая станция может одновременно быть подключена не более чем к 8 серверам.

В NetWare 4.x для получения доступа ко всей сети пользователь входит в Каталог под именем объекта "пользователь", предварительно созданном в одном из его контекстов. Имя контекста, отличного от контекста по умолчанию, должно явно указываться при входе в сеть.

Как получить доступ к серверам разных деревьев Каталогов?

Как получить доступ к серверам разных деревьев Каталогов?

В NetWare 4.x пользователь может быть зарегистрирован только в одном дереве, что может быть использовано в целях повышения безопасности. При этом к серверу другого дерева можно обратиться только в режиме эмуляции Bindery, если, конечно, она на нем включена и требуемые ресурсы определены в контексте Bindery.

Как происходит удаленная загрузка?

Как происходит удаленная загрузка?

Удаленный загрузчик симулирует загрузку DOS с диска A:, подставляя вместо данных из секторов реального диска данные, полученные по сети из открытого файла-образа - пока единственного доступного файла на сервере. Таким образом загрузчик Boot загружает системные файлы DOS и передает им управление, далее происходит загрузка с отработкой CONFIG.SYS из образа. В процессе отработки .BAT-файлов (AUTOEXEC или других) загружаются необходимые драйверы сетевого адаптера и клиент сети (NETX или VLM). Успешная загрузка клиента приводит к важному событию: появляется доступный сетевой диск (обычно F:), отображающий каталог SYS:LOGIN сервера. Одновременно закрывается файл-образ и восстанавливается отображение диска A: на реальный привод, ранее перехваченное удаленным загрузчиком, загрузчик освобождает занимаемую память. Кроме того, NETX (или VLM) передает управление в точку, следующую за строкой его запуска в .BAT-файле с тем же именем, из которого он был запущен, но расположенного в директории SYS:LOGIN. Это событие называют NETX (или VLM) Transfer Point - точка передачи управления.

Все программы, загруженные до точки передачи управления, "ощущают" себя запущенными с логического диска A:, и DOS будет пытаться загружать COMMAND.COM с диска A:. По этой причине командный процессор (COMMAND.COM) должен переопределяться на доступный сетевой диск командой

COMSPEC = pathname

в процедуре регистрации LOGIN или более надежным способом -

SET COMSPEC = pathname

в .BAT-файле, вызываемом LOGIN-командой

EXIT "fname.BAT".

Программы, чувствительные к маршруту запуска, следует по возможности загружать после NETX (VLM) из каталога SYS:LOGIN, уже доступного по чтению, или после LOGIN с сетевых дисков, спланированных во время или после регистрации пользователя в сети. Возможно и применение DOS-команды SUBST для подмены имени диска.
При использовании EMM386 он должен загружаться из CONFIG.SYS с дополнительными параметрами вида

DEVICE = EMM386.EXE X = start, end Y= Path\EMM386.EXE

где start,end - граничные параграфы памяти адаптера (см.4.4.), Path - полный путь к файлу EMM386.EXE на сетевом диске. Отсутствие параметров X и Y может приводить к зависанию во время запуска EMM386 и ошибке "Invalid path for EMM386" при запуске Windows в расширенном режиме соответственно.

Как работать с атрибутами объекта Каталога?

Как работать с атрибутами объекта Каталога?

Для работы с атрибутами объекта в NWADMIN достаточно нажать Enter на подсвеченном объекте или выбрать пункт Details в меню Object или в меню, раскрывающемуся при правом щелчке по данному объекту.

В утилите NETADMIN, установив подсветку на данный объект, нужно нажать F10 для вызова меню действия на д объектами (Acctings), и выбрать пункт View or Edit Properties of This Object.

Как сконфигурировать Boot ROM (Adapter ROM)?

Как сконфигурировать Boot ROM (Adapter ROM)?

Разрешение работы ROM задается при необходимости, размер указывается в соответствии с применяемой микросхемой, базовый адрес выбирается по тем же соображениям, что и для Adapter RAM. Использование теневой памяти (Shadow ROM) для ускорения работы смысла не имеет, поскольку программный код ROM адаптера за редкими исключениями исполняется однократно только в процессе загрузки системы.

Некоторые старые версии прошивок ROM могут работать только с ограниченным набором сочетаний адреса порта и номера прерывания, часто эти сочетания привязываются к конкретным значениям базового адреса ROM. При наличии в системе дискового адаптера с собственным ROM BIOS, порядок сканирования и инициализации расширений BIOS, определяемый начальными адресами модулей, может быть таким, что эти векторы перекроются при инициализации дискового контроллера. В этом случае для обеспечения удаленной загрузки придется поменять значение адреса ROM.

Как создаются разделы и дубликаты Каталога?

Как создаются разделы и дубликаты Каталога?

Разделы и дубликаты создаются системой автоматически при инсталляции. Если при инсталляции (обновлении) сервера утилитой INSTALL для него создается новый объект-контейнер, то при этом автоматически создается и раздел, начинающийся от этого контейнера (к этому случаю относится и начальная установка NDS в сети). Если при инсталляции сервер включается в уже существующий объект-контейнер, то на нем автоматически создается дубликат чтения-записи для существующего раздела.

Как создать базу Bindery?

Как создать базу Bindery?

База данных создается автоматически при создании каталога SYS:SYSTEM во время инсталляции сервера.
В работающем (инсталлированном) сервере при ручном создании нового тома SYS: или переименовании другого тома в том SYS: (штатный SYS: при этом размонтирован, недоступен физически или переименован) также автоматически создается каталог SYSTEM, а в нем чистая Bindery с беспарольными пользователями SUPERVISOR и GUEST. Этим свойством можно пользоваться в критических ситуациях с утерей пароля супервизора для восстановления Bindery с резервной копии.

Как создать новых пользователей?

Как создать новых пользователей?

В NetWare 3.x создание, обслуживание и удаление пользователей из базы осуществляется с рабочей станции утилитой SYSCON.EXE.

Утилита SYSCON.EXE обеспечивает управление пользователями и группами, взаимодействуя с Bindery. С ее помощью задаются все их свойства (кроме относящихся к системе печати):

Имя пользователя (группы) - может быть модифицировано по клавише F3;

Имена пользователей и групп могут использоваться в условных операторах процедур регистрации для ветвления, имя пользователя может использоваться как переменная в командах WRITE и в качестве части имени каталога или файла. Последнее обстоятельство делает целесообразным 8-символьное ограничение длины имени регистрации, хотя допустима длина до 47 символов.

Полное имя (Full Name) пользователя (группы) - произвольное символьное поле; Идентификатор (User ID, Group ID) - восьмиразрядное шестнадцатеричное число, назначаемое системой при создании объекта. User ID используется как имя почтового каталога пользователя в каталоге SYS:MAIL (с отброшенными начальными нулями);

SUPERVISOR всегда имеет идентификатор 00000001 (каталог SYS:MAIL/1).

Отношения подчиненности по управлению бюджетом задаются двумя списками: Managed Users and Groups (кому является менеджером) и Managers (кого имеет менеджером); Вхождения пользователей в группы задается для групп списком членов, для пользователей - списком принадлежности к группам; Ограничения регистрации (защита); Ограничение бюджета (временный запрет регистрации, введенный менеджером); Дата истечения бюджета - со следующего за ней дня регистрация под данным именем запрещается; Ограничения на время работы (задается график разрешенного времени в получасовых интервалах на все дни недели); Ограничение на количество станций, на которых можно одновременно зарегистрироваться под данным именем; Процедура регистрации; Опекунские назначения в файлы и каталоги;

Установка ограничений и изменение балансов бюджетов по умолчанию в опциях администратора SYSCON позволяет управлять созданием личного каталога, балансом (при установленной системе учета) и ограничениями бюджета для вновь создаваемых пользователей.

Для создания большого числа равноправных пользователей удобны утилиты MAKEUSER.EXE и USERDEF.EXE.

В NetWare 4.x обслуживание пользователей выполняется утилитами NETADMIN или NWADMIN. Возможные права и ограничения аналогичны NetWare 3.x с поправкой на систему имен.

Создание типовых пользователей облегчается применением шаблонов (User Template) и утилиты UIMPORT.

Как создать объект Каталога?

Как создать объект Каталога?

В утилите NWADMIN необходимо выбрать контейнер (переместить на него подсветку), в котором создается объект, после чего нажать Insert или выбрать пункт Create в меню Object или в меню, раскрывающемуся при щелчке правой кнопкой мыши по интересующему контейнеру. Далее, необходимо в раскрывшихся меню описать объект.

В утилите NETADMIN в главном меню выбирается управление объектами (Manage Objects, и в нужном контексте объект создается по клавише Insert (или пунктом Create меню Acctings, появляющемуся при нажатии F10).

Как связать UPS с операционной системой NetWare?

Как связать UPS с операционной системой NetWare?

Для полноценного использования UPS его необходимо подключить к какому-либо интерфейсу сервера и установить соответствующую программную поддержку. Варианты подключения зависят от модели UPS и возможностей сервера.

Для популярных UPS фирмы APC возможно подключение через специальную плату (UPS Board), порт PS/2-Mouse или COM-порт. Первые два способа позволяют для Back и Smart UPS использовать штатный модуль NetWare UPS.NLM (PS/2-Mouse гарантированно работает только на серверах PS/2). Более интересный вариант - COM-порт, для его использования необходим пакет PowerChute plus и соединительный кабель (все это входит в поставку PowerChute plus). Для Smart UPS пакет PowerChute plus кроме предупреждений и закрытия сервера обеспечивает планирование включения-отключения питания, диагностику и плановое тестирование UPS, непрерывное наблюдение за напряжением сети, ведение журнала состояния питающей сети.

Как удалить объект Каталога?

Как удалить объект Каталога?

Удаление аналогично созданию (см. предыдущий вопрос), только подсветка устанавливается на удаляемый объект, а клавиша Insert или пункт Create заменяется на Delete.

Как устанавливаются пароли для аудита?

Как устанавливаются пароли для аудита?

Первоначальные пароли для каждого контейнера, в котором устанавливается наблюдение за событиями NDS, и для каждого наблюдаемого тома устанавливаются администратором. Эти пароли, как обычно, невидимы, и при задании требуется повторный ввод для подтверждения, пустые пароли не допускаются (должен быть хотя бы один символ). Начальные пароли сообщаются аудитору, который в процессе конфигурирования доверенных ему объектов наблюдения устанавливает свои пароли.

Забытый пароль невозможно переустановить. Потеря пароля приводит к необходимости переустановки NetWare.

С помощью опций настройки (пункт главного меню AUDITCON) возможно задать двухуровневые пароли аудита (Force Dual-Level Audit Passwords), при этом один пароль используется для просмотра к аудиторской информации, а другой - для изменения конфигурации.

Как установить Bindery Synchronisation?

Как установить Bindery Synchronisation?

Для установки синхронизации Bindery на сервере NetWare 4.x загружается меню-утилита NETSYNC4.NLM. В ходе инсталляции определяются серверы NetWare 3.x, включаемые в кластер; для них определяются пароли запуска модуля синхронизации и предлагается установка файлов поддержки и копирование их Bindery-объектов в NDS.

Перед переносом информации из Bindery проверьте уникальность имен: NDS, в отличие от Bindery, не допускает совпадения имен объектов разных типов. Кроме того, не должно быть совпадающих имен на серверах NetWare 3.x, объединяемых в кластер.

Для установки необходимо использовать имена доступа к серверам NetWare 3.x, дающие все права в системных каталогах SYS:SYSTEM, SYS:PUBLIC и SYS:LOGIN, в эти каталоги загружаются и обновляются некоторые модули, в файлы AUTOEXEC.NCF добавляются команды
LOAD REMAPID.NLM
LOAD NETSYNC3 serv4_name

Модуль REMAPID.NLM предназначен для согласования обработки паролей NetWare 3.x и 4.x.

Серверы NetWare 3.x будут включены в кластер после их перезагрузки и ввода пароля, заданного при конфигурировании.

На сервере NetWare 4.x в файл AUTOEXEC.NCF добавляется команда

LOAD NETSYNC4

С помощью меню модуля NETSYNC3.NLM с консоли сервера NetWare 3.x возможно перенести в NDS и принт-сервер, что явится первым шагом модернизации системы печати.

Как установить удаленную загрузку?

Как установить удаленную загрузку?

Для обеспечения удаленной загрузки необходимо в сетевой адаптер установить микросхему Boot ROM и создать загрузочный образ на файл-сервере.
Загрузочный образ в Novell NetWare представляет собой файл NET$DOS.SYS, созданный утилитой DOSGEN.EXE, находящийся в каталоге SYS:SYSTEM для доступного файл-сервера. Он содержит элементы загрузочной дискеты: загрузчик, системные файлы DOS, COMMAND.COM, CONFIG.SYS, AUTOEXEC.BAT и все драйверы и программы, необходимые для загрузки и настройки DOS и клиентской оболочки, обеспечивающей возможность регистрации пользователя в сети.

Как запускать утилиту NWADMIN?

Как запускать утилиту NWADMIN?

Утилита NWADMIN.EXE работает в среде Windows и для ее запуска имеет смысл в какой-либо программной группе (на рабочем столе или в папке Windows 95) создать программный элемент, выполняющий команду d:\PUBLIC\NWADMIN. Здесь d: - имя сетевого диска, спланированного на том SYS:, рабочий каталог указывать не требуется.

Как защитить коммуникационное оборудование от пропадания питания?

Как защитить коммуникационное оборудование от пропадания питания?

Для обеспечения бесперебойности работы сети все коммуникационные устройства, естественно, должны иметь бесперебойное питание. Для таких элементов сети, как хабы, концентраторы, маршрутизаторы и т. д., обычно невозможно запустить программную поддержку конкретного UPS. В этом случае питающий их UPS должен обеспечить резервное питание на время до аварийного закрытия сервера, для того чтобы можно было успеть аккуратно завершить работу приложений.

Весьма полезным свойством внутреннего ПО UPS (или специального адаптера, подключающего один или несколько UPS с интерфейсом RS-232 к среде передачи локальной сети) является поддержка протокола SNMP. Это обеспечивает централизованное управление UPS, питающих коммуникационное оборудование.

Как заземлять устройства, находящиеся в разных места?

Как заземлять устройства, находящиеся в разных места?

При заземленных корпусах устройств, сильно разнесенных территориально, между их корпусами будет разность потенциалов, обусловленная падением напряжения на заземляющих проводах.
Все адаптеры локальных сетей (Ethernet, ARCNet и пр.), использующих в качестве среды передачи электрический кабель, имеют гальваническую развязку выходного разъема от схемной земли, обеспечивающую их нечувствительность к разности потенциалов между схемными землями устройств в пределах гарантированного напряжения изоляции. Для интерфейсов с внутренними трансиверами (ARCNet, Ethernet тонкий и на витой паре) типовое напряжение изоляции - 100 В, что подразумевает НЕОБХОДИМОСТЬ ЗАЗЕМЛЕНИЯ аппаратуры.

При использовании внешнего трансивера Ethernet с гарантированным напряжением изоляции 5 кВ острота проблемы снимается.

Разводка заземления отдельным кабелем не всегда удобна и часто неэффективна с точки зрения защиты от помех, поскольку при этом могут образовываться замкнутые контуры с широким охватываемым пространством - своеобразные антенны. Разводку питания к устройствам удобно выполнять трехпроводным кабелем, один из проводов которого используется для защитного заземления. При этом древовидная схема заземления получается естественным образом, защитный провод в корневой части этого дерева заземляют или зануляют (с гарантией того, что этот нуль не станет фазой).

Все устройства, электрически соединяемые между собой, желательно питать от одной фазы сети.

Какие действия возможны над объектами Каталога?

Какие действия возможны над объектами Каталога?

После создания объекта его при необходимости можно переименовать, переместить в другой контейнер, изменить его атрибуты и, наконец, удалить. Эти действия можно выполнить с помощью утилиты NETADMIN в среде DOS или, что удобнее, утилитой NWADMIN в среде Windows.

Для выполнения этих действий необходимо иметь соответствующие права в данном объекте, а при перемещении - и в новом целевом контексте.
С корневым объектом [Root] невозможны никакие действия. Его можно только создать при инсталляции сервера.

Какие действия возможны с дубликатами разделов Каталога?

Какие действия возможны с дубликатами разделов Каталога?

Возможно добавление нового дубликата, изменение типа, удаление и синхронизация дубликатов. Эти действия выполняются в окне Partition Replicas, доступного по кнопке Replicas меню Partition Manager (в PARTMGR - пункт View/Edit replicas из меню, вызываемого по клавише F10). В окне появляется список дубликатов, их типов и состояния. Для добавления нового дубликата выбранного раздела задается его тип и сервер, на котором он должен храниться.

Удаляя дубликат или изменяя его тип, следует помнить следующие правила:

Для каждого раздела должен существовать один главный дубликат (им становится первый созданный, а если этот тип вручную присваивается другому - бывший главный автоматически становится дубликатом чтения-записи). При изменении структуры раздела (создании в нем нового или объединения разделов) он должен быть доступен. При необходимости его удаления главным должен предварительно быть назначен другой дубликат. Дубликатов чтения-записи может быть несколько, для операций по созданию или изменению объектов внутри раздела достаточно доступности хотя бы одного из них. Дубликаты только для чтения могут использоваться только как резервные копии дубликатов чтения-записи и главного, а также для доступа к его объектам пользователей других разделов.

Для входа в сеть пользователя должен быть доступен дубликат чтения-записи или главный.

Синхронизация дубликатов позволяет восстанавливать их путем рассылки информации из признанного верным дубликата во все остальные (Send Updates) или наоборот, принимать в дубликат информацию от главного (Receive Updates).

Какие ограничения накладываются на Каталоговые имена?

Какие ограничения накладываются на Каталоговые имена?

Имя (Common Name) любого объекта, кроме двухсимвольного объекта-страны Country, может содержать от 1 до 64 символов. Имена всех объектов в пределах одного контекста должны быть уникальными (Bindery допускала совпадение имен объектов разных классов).

В именах допустимо применение любых букв и цифр, а также некоторых спецсимволов. Запрещено применение скобок, точек и знаков процентов. Некоторые спецсимволы (плюс (+), точка (.), знак равенства (=)) можно использовать, предваряя их обратным слэшем (\). Для облегчения запоминания, спецсимволами, кроме безобидных минусов и подчеркиваний, лучше не пользоваться.

Имена нечувствительны к регистру, однако выводятся в том виде, в котором записаны.

При использовании символов национальных языков возможны сюрпризы перекодировки, если на сервере и станции установлены разные кодовые страницы.

Какие ресурсы доступны пользователям в режиме эмуляции связей (Bindery Emulation)?

Какие ресурсы доступны пользователям в режиме эмуляции связей (Bindery Emulation)?

В режиме эмуляции Bindery доступны пользователи, тома, очереди печати контекстов, внесенных в список эмуляции. Этот список изначально включает в себя только имя контекста, в котором находится сам сервер. Список можно изменить командой консоли сервера

SET BINDERY CONTEXT = ou_name[;ou_name]

перечислив в нем до 16 имен контекстов.

На данном сервере должны находится главные дубликаты (или дубликаты чтения-записи) разделов, в которых находятся элементы данного списка.

Режим эмуляции Bindery с данным списком контекстов доступен только пользователям, включенным в контекст, в котором находится сам сервер. Пользователи других контекстов к данному серверу могут подключиться только через сервис Каталогов.

Какие серверы допускают удаленную загрузку станций по протоколу Novell RPL?

Какие серверы допускают удаленную загрузку станций по протоколу Novell RPL?

Кроме серверов NetWare 3.x - 4.x этот протокол поддерживает и сервер Personal NetWare . Для этого на нем создается сетевой каталог с именем LOGIN, в который помещаются файлы, необходимые для загрузки: NET$DOS.SYS и AUTOEXEC.BAT. Из него же запускается NEARSERV.EXE - резидентная программа, обеспечивающая ответы на запрос ближайшего сервера и удаленную загрузку. При необходимости использования множества образов создается файл BOOTCONF.SYS. Для протокола RPL используется резидент RPL.COM и соответствующие .RPL-файлы.

Если в сети присутствуют серверы "больших" NetWare, удаленная загрузка из NetWare Lite работать не будет.

Какие сюрпризы возможны при эмуляции Bindery?

Какие сюрпризы возможны при эмуляции Bindery?

При наличии одноименных объектов в разных контекстах, помещенных в список контекстов эмуляции, доступен будет только объект контекста, который стоит в списке раньше.
Кроме этого действуют следующие ограничения для пользователей с оболочкой NETx:

псевдонимы не могут использоваться как точное подобие реальных объектов; из процедур регистрации выполняются только созданные утилитой SYSCON (текстовые файлы) личные и системные процедуры; из атрибутов объектов доступны только те, у которых имеются прямые аналоги в NetWare 3.x; конфигурации заданий на печать, созданные в NetWare 4.x, недоступны - работают только старые.

Какие средства могут использоваться для улучшения качества электропитания?

Какие средства могут использоваться для улучшения качества электропитания?

Сетевой LC-фильтр задерживает высокочастотные помехи из сети и в сеть от импульсных блоков питания.

Ограничитель перенапряжений (Surge Protector) подавляет высоковольтные выбросы, как относительно длинные коммутационные (до 10 мс), возникающие при переключениях мощных цепей, так и короткие - грозовые. Энергия импульсов перенапряжений поглощается полупроводниковым варистором. При хорошем подборе параметров варистор может спасать и от длительных значительных повышений напряжения сети, например, из-за перекоса фаз. В этом случае варистор будет ограничивать напряжение, выделяя значительную мощность, что приведет к его пробою на коротокое замыкание и отключению питания предохранителями токовой защиты (если они есть и рассчитаны на соответствующий ток).

Стабилизатор напряжения (электронный или феррорезонансный) стабилизирует выходное напряжение при плавных изменениях входного. Плохие динамические характеристики феррорезонансных стабилизаторов при резком изменении напряжения и величины нагрузки ограничивают возможности их применения. Электронные устройства на активных компонентах не получили широкого распространения из-за приближения их цен к ценам на UPS.

От внезапного пропадания напряжения сети предохраняют источники бесперебойного питания UPS (Uninterruptible Power System). В их состав обязательно входят аккумуляторные батареи, выпрямитель входного напряжения и инвертор, обеспечивающий нагрузку напряжением переменного тока.

Какие возможности аудита имеются в NetWare 3.x?

Какие возможности аудита имеются в NetWare 3.x?

В версиях NetWare до 4 возможности аудита весьма скромны: на сервере в каталоге SYS:SYSTEM накапливается двоичный файл-протокол NET$ACCT.DAT, в котором фиксируются регистрации и разрегистрации пользователей на сервере, факты срабатывания системы захвата нарушителя и некоторые другие события. Этот файл в текстовом виде выводится на консоль или в файл (командой PAUDIT -C fname) утилитой PAUDIT.EXE. После вывода отчета файл NET$ACCT.DAT можно удалить, а система по первому событию автоматически создаст новый.

Какие возможности может предоставлять специализированное ПО UPS?

Какие возможности может предоставлять специализированное ПО UPS?

Современные модели UPS имеют в своем составе микроконтроллер, который в совокупности со специализированным ПО серверов и станций, поставляемым для конкретных моделей, может предоставлять широкий спектр услуг, в зависимости от интерфейса связи UPS с системой.

Телеметрия. Информация о состоянии питающей сети, батареи и других узлов, температуре внутри UPS, величине нагрузки и т. д. передается в систему сбора, обработки и отображения информации. Система может прогнозировать время работы от батарей и соответственно корректировать задержку закрытия сервера.

Телеуправление. Двунаправленный интерфейс с UPS обеспечивает подачу управляющих команд - отключение, запуск диагностических тестов и т. д.

Планирование включения и выключения. Администратор может задать график работы сервера, указывая время включения и отключения питания на каждый день недели. Программа при наступлении времени отключения посылает предупреждение всем клиентам, через некоторое время инициирует закрытие сервера и программирует UPS на отключение питания через определенный интервал времени и повторное включение в заданное время. После отключения по команде, UPS переходит в режим ожидания и своим внутренним таймером отсчитывает время до включения. В заданное время UPS включает питание нагрузки, сервер автоматически загружается и следующее запланированное отключение произойдет по инициативе программы, работающей на сервере.

Возможности взаимодействия по сети оператора с UPS определяются его ПО. Популярный PowerChute ("парашют") для Smart UPS фирмы APC, OnliNet Basic для UPS фирмы EXIDE, обеспечивают вышеперечисленные функции для различных ОС, они вполне удовлетворительны для систем с одним UPS. В системах с более сложным питанием желательно использовать более "сетевые" варианты ПО, обеспечивающие централизованное управление сетями UPS. Для UPS фирмы EXIDE это OnliNet Network, OnliNet NVX и др.

Какими средствами обслуживаются разделы Каталога и их дубликаты?

Какими средствами обслуживаются разделы Каталога и их дубликаты?

Обслуживание - добавление, объединение, перемещение разделов; добавление, удаление и изменение типа дубликата - выполняется с помощью диспетчера разделов (Partition Manager) меню инструментов (Tools) утилиты NWADMIN. В среде DOS эти операции производятся опцией Manage Partitions утилиты PARTMGR.EXE.

Операции с разделами могут занимать от нескольких минут до нескольких часов, в зависимости от количества объектов в разделе, количества дубликатов и типа операции, о чем выдается предупреждение. Во время выполнения этого процесса все серверы-участники операции должны быть включенными и доступными по сети. Если во время операции какой-то из серверов останавливается, для предотвращения зависания может потребоваться прекращение операции. В этом случае используется кнопка (пункт меню PARTMGR) Abort Partition Operation.

Операция может быть прервана не на всех ее этапах, возможность прерывания зависит от состояния дубликатов-участников операции. Их состояние выводится в окне при попытке прерывания процесса.

Когда в Каталоговых именах применяются точка перед именем, точка в конце имени и кавычки?

Когда в Каталоговых именах применяются точка перед именем, точка в конце имени и кавычки?

Точка, предшествующая Каталоговому имени объекта, указывает на то, что имя является полным и содержит все элементы, вплоть до расположенных под самым корнем (Country или Organisation, если Country отсутствует).

Точка в конце имени означает, что указанное имя начинается от вышестоящего (по отношению к текущему контексту) контейнера. Несколько точек означают подъем на соответствующее количество уровней.

Кавычки обязательно используются, если имя содержит пробелы, что вполне допустимо по правилам именования.

В принципе возможно задание имен, содержащих только пробелы (причем разное их количество), но такие объекты при просмотре будут выглядеть весьма странно, и при работе с утилитами возможны проблемы обращения к этим объектам. Для удобства пользователей следует избегать нагромождения "хитростей" в именах, но если перед вами стоит задача запутывания противника, NDS предоставляет для этого некоторые возможности.

Можно ли копировать Bindery обычными средствами DOS?

Можно ли копировать Bindery обычными средствами DOS?

Рабочие файлы Bindery недоступны для чтения (и, тем более, для записи) с рабочих станций, как неразделяемые и всегда занятые системой, и их нельзя просто скопировать, даже и сетевой утилитой NCOPY.

Запуск утилиты BINDFIX.EXE копирует рабочие файлы базы в резервные (NET$OBJ.OLD, NET$PROP.OLD и NET$VAL.OLD) и создает новые рабочие файлы. Резервные файлы могут копироваться любыми средствами DOS, а при необходимости восстановления эти файлы копируют в SYS:SYSTEM и запускают утилиту BINDREST.EXE, которая переименовывает файлы .OLD в файлы .SYS.

Штатным средством копирования Bindery является утилита SBACKUP.NLM, которая, для версий 3.12 и старше работает только со стримерами SCSI (до версии 3.11 включительно базу можно было копировать и утилитой NBACKUP.EXE, которая исключена из 3.12, но может с ней работать).

Можно ли объединять деревья Каталогов?

Можно ли объединять деревья Каталогов?

Два дерева могут быть объединены, при этом объекты (контейнеры и листья) одного - исходного (Source Tree) - дерева переносятся в другое - целевое (Target Tree). Объединяемые деревья должны иметь несовпадающие имена и не иметь одноименных контейнеров, расположенных под корнем.

Перед объединением серверы, несущие главные дубликаты корневого раздела, должны быть доступны и синхронизированы относительно общего источника времени. Желательно объединение деревьев производить при всех включенных серверах и при отсутствии в сети работающих пользователей.

Объединение производится утилитой DSMERGE, запускаемой на сервере с главным дубликатом корневого раздела исходного дерева. Утилита позволяет проверять доступность и временную синхронизацию серверов. Для этой проверки перед объединением она должна запускаться и на сервере целевого дерева. Для объединения необходимо знать имена и пароли пользователей, имеющих право SUPERVISOR в корневых разделах объединяемых деревьев.

Можно ли удалить объект-контейнер?

Можно ли удалить объект-контейнер?

NetWare 4.1 позволяет удалять контейнеры, но предварительно из них должны быть удалены (или перемещены в другие контейнеры) все вложенные объекты (как листья, так и контейнеры)

На какие параметры UPS следует обращать внимание?

На какие параметры UPS следует обращать внимание?

Для любых UPS существенно качество инвертора (коэффициент гармоник выходного напряжения у лучших моделей не превышает 3%), у простейших моделей (Back UPS фирмы APC) генерируется меандр, сглаживаемый фильтром нижних частот.

Порог переключения на резервное питание влияет на срок эксплуатации батарей, однако его снижение в UPS OFF-LINE, облегчая режим батарей ухудшает стабильность выходного напряжения.

Время работы от резервного источника, зависящее от емкости, степени заряда батареи и величины нагрузки, должно обеспечивать закрытие файл-сервера для предотвращения потери данных.

Важным параметром является возможность "холодного" запуска (при заряженных батареях, но отсутствии входного напряжения). Если блок не имеет такой возможности, то с ним в критический момент, возможно, придется идти "прикуривать" к действующей питающей сети (а за счет батарей UPS весьма тяжелы).

Нужно ли заземлять коаксиальный кабель?

Нужно ли заземлять коаксиальный кабель?

Каждый сегмент коаксиального кабеля должен заземляться в одной и только одной точке.

Штатное требование заземления одного из терминаторов не всегда выполнимо, поскольку изменение топологии может приводить к блужданию этого конца, а заземление через корпус компьютера штатным коротким "хвостиком" нарушит заземление сегмента при необходимости отключения компьютера от сети. Разумный вариант - заземление сегмента около главного сервера или другого ответственного и неподвижного узла сети с помощью хомута, надетого на T-коннектор. Следует помнить, что Т-коннектор, присоединенный к разъему сетевого адаптера, не должен соприкасаться с другими разъемами, в противном случае возможны помехи в сети. Проблема изоляции разъемов не возникает при использовании витой пары с RJ-45, а также внешних трансиверов, подключенных через кабель-спуск.

В случае необходимости связи компьютеров в тяжелых условиях питания (высоковольтная аппаратура, импульсные помехи, перепады земляного потенциала, например, на электростанциях и подстанциях) идеальное решение - применение оптоволоконного кабеля.

Нужно ли заземлять сети на витой паре (UTP)?

Нужно ли заземлять сети на витой паре (UTP)?

Неэкранированная витая пара не предусматривает заземления каких-либо проводов. Пластмассовые разъемы RJ-45 обеспечивают недоступность токоведущих частей (в отличие от BNC-разъемов.
Современные хабы часто выпускаются в малогабаритном пластмассовом исполнении с внешним источником питания, включаемым в обычную двухполюсную розетку. Заземление таких хабов не предусматривается, но при этом подразумевается, что все подключенные к нему узлы ЗАЗЕМЛЕНЫ. При незаземленных устройствах между портами хаба может появиться напряжение 100-180 вольт (смотри выше), что вполне может вывести хаб и адаптеры из строя. А если хаб интеллектуальный, то денежные потери будут ощутимыми.
Правила заземления в документации по импортной аппаратуре приводятся не всегда, поскольку подразумевается, что трехполюсная вилка всегда должна включаться в соответствующую розетку с заземлением.

Организация объектов и безопасность сети

11. Организация объектов и безопасность сети

Сеть должна обеспечивать удобство доступа к своим ресурсам - дисковым томам, разделяемым принтерам, устройствам архивации, модемам и другим устройствам коллективного использования - в сочетании с эффективной системой их защиты от несанкционированного доступа. Эти функции с успехом решены в NetWare, разные поколения имеют свои характерные отличия, но в них прослеживаются и общие принципы защиты ресурсов. В NetWare 4.x также имеется развитая система сетевого аудита - пассивной системы всестороннего и независимого (даже от самого главного администратора!) наблюдения за действиями пользователей.

Организация сетей NetWare 3.x

11.1 Организация сетей NetWare 3.x

Серверо-центрическая организация сетей NetWare 3.x построена на основе баз данных Bindery, отдельных и независимых для каждого сервера. Базу называют плоской (flat base) в том смысле, что все ее объекты имеют одинаковое отношение к организующему общему элементу - серверу. В многосерверной сети серверы со своими базами находятся в общем линейном списке, и поиск требуемого сервера ведется перебором списка. Из этого естественно вытекает требование к уникальности имен серверов в пределах общей сети.

База данных Bindery состоит из трех системных файлов, находящихся в каталоге SYS:SYSTEM. Файл NET$OBJ.SYS содержит список именованных объектов: пользователей, рабочих групп, файл-серверов, серверов и очередей печати. Файл NET$PROP.SYS содержит списки характеристик объектов: пароль, ограничения и балансы бюджетов, списки разрешенных пользователей, членство в группах, учитываемые ресурсы. Файл NET$VAL.SYS содержит наборы значений свойств объектов.

База каждый раз открывается при монтировании тома SYS: и закрывается при его размонтировании, ее целостность защищается средствами TTS. Открытое состояние базы является обязательным условием для регистрации пользователей.

Система оперирует категориями пользователь (User), идентифицируемый именем регистрации Login_Name, и группа (Group), идентифицируемая именем Group_Name. Группы облегчают управление множеством пользователей, сокращая объем вводимой информации для управления их свойствами. Каждый пользователь может принадлежать к нескольким группам.

Пользователь SUPERVISOR и группа EVERYONE создаются системой и не могут быть удалены. SUPERVISOR обладает абсолютными правами на сервере, и эти права не могут быть ограничены. Каждый пользователь автоматически становится членом группы EVERYONE, хотя впоследствии может быть из нее исключен. При инсталляции также создается пользователь GUEST (гость), обладающий, в дополнение к правам члена EVERYONE, правами чтения и сканирования своего почтового каталога и первоначально неограниченным бюджетом.

Организация сетей NetWare 4.x

11.2 Организация сетей NetWare 4.x

В сети с сервисом Каталогов (NetWare Directory Service, NDS) все объекты сети включены в общую иерархическую структуру - Каталог, или дерево Каталогов, который может охватывать большое количество серверов и станций, иметь свои "филиалы" в произвольных местах, связанных любыми коммуникациями. При этом большое количество объектов не затрудняет их поиск благодаря иерархической организации (преимущество по сравнению с "плоской" bindery). В одной сети может присутствовать несколько деревьев Каталогов, но клиент сети может быть зарегистрирован только в одном из них. База данных объектов едина для каждого дерева, ее копии хранятся на разных серверах. При регистрации в Каталоге пользователь получает доступ (в пределах отпущенных ему прав) сразу ко всем активным ресурсам сети (точнее, данного дерева), а не одиночного сервера, как в NetWare 3.x.

Все классы элементов Каталога имеют пиктографические изображения, используемые в утилитах Windows. В утилитах DOS приходится обходиться без них, и путешествие по Каталогу напоминает работу с дисковыми каталогами DOS без оболочки.

Дерево изображается в перевернутом виде, его корень является вершиной иерархической структуры Каталога. Корень изображается планетой Земля и обозначением [Root].

Дерево имеет ветви - контейнеры (Container), на которых расположены другие ветви и объекты-листья (Leaf Object) - серверы, пользователе, тома, принтеры и пр., ради которых это дерево и выращивалось. В NetWare определено 19 типов объектов-листьев и имееется интерфейс прикладного уровня (API), позволяющий определять объекты дополнительных классов и включать их в организационную структуру Каталога.

Каждый объект Каталога может принадлежать только одному контейнеру.

В NetWare 4.x определено 3 типа контейнеров.

Контейнер-страна (Country container object) может располагаться только непосредственно под корнем, его имя - двухбуквенное сокращение названия страны в стандарте ISO (Россия - RU), обозначение в структуре имен - C (например, C=RU).

Откуда берется напряжение на корпусе компьютера?

Откуда берется напряжение на корпусе компьютера?

Каждое сетевое устройство - компьютер, принтер, повторитель, хаб и т. д. - питается от электросети и обычно имеет сетевой фильтр с конденсаторами, пропускающими высокочастотные помехи на его корпус, обычно связанный со схемной "землей". По правилам техники безопасности корпус должен заземляться или зануляться, несоблюдение этого правила приводит к появлению на корпусе включенного устройства переменного напряжения около 110 В, хотя и с ограниченным током короткого замыкания. Это напряжение опасно и для человека, и для электронных схем, поскольку разность потенциалов между схемными землями соединяемых устройств может оказаться достаточно высокой.

Отражение и дублирование сервера

Отражение и дублирование сервера

Надежность хранения данных обеспечивается встроенными средствами SFT операционной системы. Более высокий уровень отказоустойчивости обеспечивается применением SFT III - операционной системы с зеркальным сервером. Эта система подразумевает наличие сервера-дублера, совпадающего с основным сервером по объему оперативной (не менее 12 Мбайт) и дисковой памяти, подключенным локальным сетям и даже по применяемому видеоадаптеру. Серверы связываются между собой через специальные скоростные MSL (Mirrored Server Link) адаптеры по специальной линии связи. В зависимости от модели MSL-адаптера и линии связи (коаксиал, витая пара или оптоволокно) допускается удаленность серверов от десятков метров до нескольких километров, что обеспечивает живучесть сети даже при пожарах, авариях и стихийных бедствиях.

В нормальном режиме все запросы обслуживаются только основным сервером, а MSL обеспечивает на резервном сервере состояние памяти и дисковой системы, идентичное основному. В случае аварии основного сервера в работу включается резервный. Новая версия оболочки (запросчика) позволяет рабочей станции автоматически (без обращения к пользователю) переключаться на резервный сервер в случае потери соединения с основным сервером.

Зеркальные серверы позволяют производить техобслуживание, требующее остановки сервера, без прерывания работы пользователей. Вся информация о сбоях и ошибках выводится на консоль и записывается в файл-журнал. SFT III - первый продукт Novell, поставляемый со средствами тестирования, позволяющими имитировать сбои и системные ошибки и анализировать реакцию системы.

SFT III в зависимости от версии может вносить ограничения на используемые сетевые продукты. По причине исключительной редкости применения (только в самых ответственных сетях) цена аппаратных и программных средств довольно высокая.

Для NetWare 4.x поддержка зеркального сервера SFT III включена в обычную поставку на CD-ROM в виде опции утилиты INSTALL.

Дублирование сервера, в отличие от SFT III, является стандартной мерой обеспечения надежности хранения данных и означает периодическое копирование томов (каталогов, файлов) на внешний по отношению к серверу носитель. Дублирование возможно на другой сервер, локальный диск станции (внутренний или сменный), магнитную ленту или дискеты. В случае потери данных на сервере они могут быть восстановлены с копии с сохранением их сетевых атрибутов, списков доверенных пользователей и групп. В зависимости от требований к надежности и свежести копий применяется различное количество носителей для каждого набора данных и дисциплина их чередования. В любом случае носителей должно быть не менее двух с тем, чтобы всегда была хоть одна целая копия (отказ сервера во время копирования может привести к потере данных и на сервере, и на используемом носителе одновременно).

По каким причинам можно получить отказ в регистрации ("Access denied")?

По каким причинам можно получить отказ в регистрации ("Access denied")?

Если вы набрали существующее имя пользователя, то могут сработать следующие устанавливаемые ограничения регистрации (нарушение любого из них приведет к отказу при попытке регистрации):

неверный или устаревший пароль; попытка регистрации в неразрешенное время; запрет (временный) бюджета оператором; истечение срока действия бюджета; недопустимый адрес станции для входа под данным именем; все разрешенные подключения под данным именем использованы; достигнут минимально допустимый баланс бюджета (при установленном учете ресурсов); разрушение Bindery или Каталога (редкий и неприятный случай).

С помощью SYSCON каждому пользователю могут быть установлены ограничения регистрации:

требование пароля с заданием его минимальной длины, требования периодической смены и уникальности, количества разрешенных регистраций со старым паролем по истечении срока его действия, возможности самостоятельной смены пароля пользователем (при этом ему разрешается и модификация своей процедуры регистрации); задание списка физических станций (адресов сетей и узлов), с которых возможна регистрация под данным именем; ограничения на время регистрации.

Администратор может установить и общие для всех пользователей ограничения на время регистрации с помощью "Опций администратора" SYSCON.

В NetWare 4.x аналогичные функции выполняют утилиты NETADMIN и NWADMIN.

Почему менеджер рабочей группы не может управлять свойствами пользователей, в них входящих?

Почему менеджер рабочей группы не может управлять свойствами пользователей, в них входящих?

Потому, что для управлением свойствами конкретных пользователей надо являться менеджером их бюджетов. Управление только группой этого не предусматривает, что правильно, поскольку пользователь может являться членом многих (или никаких) групп, коллекционируя права, предоставляемые каждой группе.

Почему необходимо заземление сетевого оборудования?

Почему необходимо заземление сетевого оборудования?

Если два незаземленных устройства соединяются интерфейсом, не обеспечивающим гальванической развязки (например, через COM- или LPT-порты), то через общий провод интерфейсного кабеля потечет уравнивающий ток (переменный с высокочастотными составляющими), приводящий к помехам. В случае неконтакта в общем проводе эта сотня вольт будет приложена к сигнальным цепям интерфейса, что, как правило, приводит к выгоранию микросхем адаптеров и даже всего устройства.

Если незаземленные устройства питаются от разных фаз трехфазной сети, между их корпусами будет разность потенциалов около 180 Вольт, что уж совсем много.

Почему при переходе на MS-DOS 5.0 станция перестает загружаться по сети?

Почему при переходе на MS-DOS 5.0 станция перестает загружаться по сети?

Многие старые версии Boot ROM при использовании DOS 5.0 и старше требуют коррекции образа утилитой RPLFIX, без коррекции в процессе загрузки произойдет зависание. Новые версии, имеющие автоматическую настройку на версию DOS, наоборот, зависают на скорректированных образах. Для них уже скорректированный образ можно восстановить утилитой UNRPLFIX из BootWare.

Почему при установке нового сервера удаленная загрузка стала нестабильной?

Почему при установке нового сервера удаленная загрузка стала нестабильной?

Скорее всего, на новом сервере не установлены все файлы, необходимые для удаленной загрузки (образы и, если их много - BOOTCONF.SYS).

В многосерверной сети удаленная загрузка создает дополнительные проблемы, обусловленные механизмом ее реализации. При инициализации станция дает широковещательный запрос на обслуживание удаленной загрузки и устанавливает соединение с первым из откликнувшихся серверов. Поскольку выбор сервера случаен, все необходимые для удаленной загрузки файлы должны дублироваться на всех доступных серверах, что при большом количестве серверов и образов создает эксплуатационные проблемы при необходимости модернизаций.

Существенно облегчить работу администратора NetWare позволяет использование средств BootWare for NetWare: BootWare Manager - программа просмотра, диагностики и модификации загрузочных последовательностей станций, работающая в среде Windows, и серверный модуль MSD.NLM (Multi-Server Director), позволяющий не копировать загрузочные файлы на все серверы многосерверной сети.

MSD.NLM запускается на одном из серверов NetWare 3.x или 4.x и поддерживает список до 2048 станций, определяя для каждой местонахождение ее загрузочных файлов. Список представляет собой файл BOOTCONF.SYS с расширенным синтаксисом, включающим имя файл-сервера для конкретной станции. Для станций, не входящих в список, можно создать дежурные загрузочные образы, выбираемые MSD по типу адаптера станции, запрашивающей загрузку. Для ускорения поиска MSD работает с копией BOOTCONF.SYS в памяти сервера. На консоль MSD выводится детальная информация по загрузке станций.

MSDEDIT.EXE - специализированный редактор файла BOOTCONF.SYS в среде DOS, дублирующий эту функцию программы BootWare Manager.

MSD совместим со старыми и новыми версиями Boot ROM в обе стороны. Специфические функции MSD реализуются только с MSD-ориентированными версиями Boot ROM, для стандартных версий присутствие MSD незаметно. MSD-ориентированный Boot ROM не получив за определенное время ответа на специфический запрос (возможно, из-за отсутствия сервера с MSD), переходит на загрузку по обычной схеме с сообщением MSD: no reply.

Почему строка процедуры регистрации разбивается на кусочки?

Почему строка процедуры регистрации разбивается на кусочки?

Символ "\" в процедуре регистрации является префиксом управляющей комбинации (см. табл. 9.1), вместо него используется символ "/". Если об этом забыть, то строка

EXIT "C:\RUNSTART.BAT"

будет трактоваться как две команды

C:
UNSTART.BAT

на что наверняка последует ответ системы

Bad command or filename.

Поддается ли учету работа пользователей сервера?

Поддается ли учету работа пользователей сервера?

На сервере может быть установлена система учета используемых ресурсов с целью взимания платы. Учету поддается:

количество считанных блоков (Blocks Read); количество записанных блоков (Blocks Written); количество сервисных запросов (Service requests) (таких, как просмотр каталога и т. д.); использование дисковой памяти (Disk Storage) в блоко-днях (интеграл по времени количества хранимых блоков); время соединения (Connect Time).

Общий подсчет ресурсов сервера, используемых всеми пользователями за отчетный период, осуществляется утилитой ATOTAL.EXE.

Общая стоимость использованных ресурсов подсчитывается с учетом коэффициентов оплаты для каждого ресурса. Коэффициенты оплаты для каждого из ресурсов устанавливаются для каждого получасового интервала в течении суток на каждый день недели.

Установка и управление системой учета в NetWare 3.x выполняется утилитой SYSCON, а в NetWare 4.x - управлением свойствами (Accounting) объекта-сервера с помощью NWADMIN (NETADMIN).

Для пользователя, которому устанавливается плата за ресурсы, назначается его баланс бюджета, уменьшающийся по мере расходования ресурсов. Отрицательное значение баланса означает задолженность клиента по оплате. Если пользователю не разрешен неограниченный кредит, то по снижении бюджета ниже заданной границы, регистрация пользователя запрещается. При внесении платы администратор бюджета пользователя корректирует его текущий баланс бюджета. Информация о расходе учитываемых ресурсов каждым пользователем выводится утилитой PAUDIT.EXE.

При использовании пакетных драйверов

При использовании пакетных драйверов, загружаемых перед протоколом IPX, удаленная загрузка зависает. Как быть?

Эти проблемы удаленной загрузки обычно возникают из-за перехвата этими драйверами управления адаптером и разрушения принятого пакета при инициализации до завершения загрузки. Один путь решения - создание при загрузке станции RAM-диска, копирование на него пакетных драйверов и IPX и исполнение их уже без использования образа. Другой путь - задержка инициализации драйверов до загрузки IPX, возможная в некоторых версиях драйверов.

При использовании сетевой карты

При использовании сетевой карты EMM386 работает с загадочными ошибками, а при попытке удаленной загрузки станции по сети происходит зависание в самом начале процесса, в чем дело?

Эта ситуация возникает, когда при сканировании UMA EMM386 обнаруживает RAM адаптера и пытается использовать ее для своих нужд. При удаленной загрузке сканирование сразу разрушает принятый пакет, необходимый для загрузки ОС, и компьютер зависает. Без удаленной загрузки разрушение данных во владениях EMM произойдет в произвольный момент, когда придет пакет, адресованный данному адаптеру, - поэтому такая ошибка локализуется с трудом. Выход из положения - исключить область RAM адаптера из использования EMM386 заданием параметра "X=Start,End" в командной строке запуска, где Start и End - адреса начального и конечного параграфов области RAM адаптера (четырехзначные шестнадцатеричные числа).

При установленной системе аудита иногда самопроизвольно размонтируется том, почему?

При установленной системе аудита иногда самопроизвольно размонтируется том, почему?

Вероятно, переполнился файл аудита данного тома, а в конфигурации AUDITCON установлено автоматическое размонтирование тома при переполнении его файла аудита (Dismount Volume). Помочь здесь может только аудитор.

Распространяется ли ли неограниченная

Распространяется ли ли неограниченная власть пользователя SUPERVISOR на сервис Каталогов после обновления версии NetWare?

Нет, более того, в отличие от остальных пользователей, SUPERVISOR в NetWare 4.x не переносится вообще.

Полный объем прав при первоначальной установке NetWare 4.x получает автоматически создаваемый пользователь ADMIN, но, в отличие от SUPERVISOR, он может быть и удален. Перед этим, конечно, необходимо создать пользователей-администраторов подразделений и наделить их соответствующими паролями.

С чем связано сообщение "Batch File Missing" при удаленной загрузке?

С чем связано сообщение "Batch File Missing" при удаленной загрузке?

Эта неприятность связана с эффектом подмены диска в точке передачи управления. Для корректного исполнения .BAT-файла, из которого запускался NETX или VLM, его копия с тем же именем должна находиться в каталоге SYS:LOGIN, который станет текущим после исполнения NETX (VLM). Если процедура регистрации меняет назначения текущего каталога, то еще одна копия .BAT-файла должна присутствовать в этом новом текущем каталоге. Строго говоря, эти .BAT-файлы должны совпадать только по количествам символов до точки передачи управления, что можно использовать для оперативной смены процедуры загрузки без изменения образа.

Если последней командой .BAT-файла является команда LOGIN, символы CR, LF (0Dh, 0Ah), стоящие в конце этой строки, должны быть удалены редактором или утилитой BATCRLF, входящей в комплект BootWare.

Сетевой аудит в NetWare 4.x

Сетевой аудит в NetWare 4.x

Аудит в NetWare 4.x позволяет отслеживать действия пользователей по работе с деревом Каталогов NDS, а также события файлов, каталогов, очередей, серверов и пользователей.

Аудит NDS устанавливает наблюдение за событиями дерева Каталогов, относящимися к данному контейнеру (возможно наблюдение 27 классов событий), выполняемыми определенным списком пользователей разных контейнеров.

Установка аудита относится только к указанному контейнеру и не распространяется на дочерние контейнеры, для которых при необходимости аудит включается явно.

Аудит событий файлов и каталогов позволяет отслеживать открытие, закрытие, создание, удаление, восстановление, чтение, запись, перемещение и модификацию. Возможен сбор информации о событиях, вызванных любыми пользователями (Global Events), о событиях, связанных с определенным файлом и определенным пользователем (User and File events) и о событиях, связанных с действиями любых пользователей над данным файлом или выбранных пользователей над любыми файлами (User or File Events).

События очередей печати включают создание, удаление и изменение очередей, создание и обслуживание заданий печати.

События сервера включают изменение даты и времени, остановку и загрузку сервера, монтирование и размонтирование томов и некоторые другие.

Пользовательские события включают вход и выход из сети, изменение учетной информации.

При просмотре или создании файлов отчетов для сокращения объема выводимой информации могут применяться фильтры пользователей и событий.

Аудит объектов назначается администратором, и после передачи паролей аудиторам (можно и нескольким) управляется ими. Все действия по системе аудита выполняются только с помощью утилиты AUDITCON.EXE.

Для обеспечения возможности одновременной работы нескольких аудиторов в опциях AUDITCON необходимо установить Allow Concurrent Auditor Logins.

Система аудита сугубо пассивная, она не ограничивает действий пользователей, а только наблюдает за ними.

|

|

Опубликовано -- 14 октября 1999 г.

База данных дерева Каталога может быть поделена на разделы (Partitions), которые могут храниться на разных серверах сети. Раздел представляет собой логическую часть дерева, начинающуюся от какого-либо контейнера и включающую все нижестоящие объекты. При установке NetWare 4.x создается корневой раздел (Root Partition).

Родительский раздел (Parent Partition) может содержать разделы-потомки (Chirld Partition). Корневой раздел является самым старшим из разделов Каталога.

Раздел базы может иметь дубликаты - копии, хранящиеся на разных серверах. Дубликаты существуют трех видов:

Главный дубликат (Master replica) - ОС считает его эталоном при операциях по изменению структуры.

Дубликат для чтения-записи (Read-Write Replica) - информация в нем может обновляться с последующей передачей в главный дубликат (своего рода кэш-буфер записи).

Дубликат только для чтения (Read-Only Replica) - информация с него может только считываться (кэш-буфер чтения).

При обращении объекта к серверу, не хранящему дубликатов раздела этого объекта, сервер строит себе список обратных ссылок (backlink), которые периодически проверяются на совместимость с базой раздела.

ОС имеет сложный механизм синхронизации дубликатов, основанный на времени внесения изменений.

Создание и обслуживание Каталога выполняется утилитами NETADMIN и NWADMIN.

Разбиение на разделы и создание дубликатов на разных серверах сети позволяет повысить надежность хранения базы данных Каталога и увеличить скорость отклика на запросы к базе.

Неудачное разбиение и расположение дубликатов может замедлить работу сети из-за обилия дальних запросов и повышения трафика синхронизации дубликатов.

К системе обслуживания каталогов относится ряд SET-команд сервера.

Все пользователи Каталога для удобства администрирования могут объединяться в любые группы (Group), для которых деление на контейнеры не является преградой.

Привилегии пользователей и групп определяются правами, назначенными им в объектах и атрибутах объектов Каталога (нет жесткого деления привилегий, как это было в Bindery).

Удобным средством предоставления прав являются организационные списки (Organizational Role). Это объекты Каталога, которым можно назначить определенные права. Далее каждый пользователь, включенный в этот список, получает эквивалентность ему по защите.

В Bindery эквивалентность по защите назначалась по отношению к реальному пользователю, что нарушало его суверенитет.

Доступ к сервису Каталогов (NDS) имеют только клиенты NetWare 4.x (для станций DOS/Windows это запросчик VLM, для Windows 95 - клиент Microsoft с установленной службой каталогов или клиент Novell). Для обеспечения преемственности версий в NetWare 4.x существует эмуляция Bindery, позволяющая старым клиентам (с оболочкой NETx) подключаться к серверу NetWare 4.x под именами пользователей, находящихся с ним в одном контексте и пользоваться ресурсами ограниченного списка контекстов.

Удаленная загрузка

10. Удаленная загрузка

Средства удаленной загрузки (Remote Programm Loading, Remote Booting, Remote Reset) позволяют загружать операционную систему - DOS, Windows 3.x, Windows for Workgroups и даже Windows 95 - из образа, хранящегося на файл-сервере локальной сети. Основное назначение этих средств - удешевление рабочих станций за счет изъятия из них накопителей на жестких и даже гибких дисках и обеспечение безопасности (в смысле конфиденциальности и антивирусной защиты) хранения данных, а также возможность централизованного управления операционной средой многочисленных однотипных пользователей (например, в учебных классах).

Три класса сетей: NetWare, TCP/IP и сети, использующие протокол RPL (Microsoft LAN Manager, IBM LAN Server и Banyan VINES) имеют существенно отличающиеся процедуры удаленной загрузки. Наиболее популярна удаленная загрузка DOS по протоколу Novell Remote Programm Loader в локальных сетях NetWare с архитектурой Ethernet.

Удаленный загрузчик не находит

Удаленный загрузчик не находит сервера с файлом-образом, хотя при загрузке клиента с дискеты нет проблем. В чем дело?

Очевидно, дело в используемых типах фреймов. Различные версии BootROM используют типы фреймов 802.3, 802.2 и Ethernet_II, некоторые из них поддерживают любой тип, некоторые требуют предварительного указания типа, некоторые поддерживают только один фиксированный тип. Используемый тип фрейма должен поддерживаться файл-сервером и быть связанным с протоколом IPX в этой сети.

Первый из указанных фреймов в секции Link Driver файла NET.CFG, являющийся типом по умолчанию и используемый RPLODI, может отличаться от используемого удаленным загрузчиком. Если в секции указано несколько типов фреймов, а IPX связан не с первым, то в NET.CFG необходима привязка IPX к конкретному типу фрейма (например, 802.2) строкой

Protocol IPX E0 Ethernet_802.2

Защита от несанкционированного подключения к сети

Защита от несанкционированного подключения к сети

Защиту регистрации можно попытаться взломать, посылая серверу "самодельные" пакеты запросов, в которых используется информация из перехваченных пакетов сеансов легальных пользователей. Технически мониторинг всех пакетов сети с шинной топологией возможен на любой рабочей станции при соответствующих возможностях сетевого адаптера и программного обеспечения. Организационной мерой пресечения попыток таких нарушений является ограничение физического доступа потенциальных нарушителей к станциям сети.

Для архитектуры Ethernet несанкционированное подключение к толстому кабелю можно осуществить незаметно для системы (если передатчик нарушителя не обнаружит себя посылкой пакета, в котором будет содержаться адрес узла, отличный от известных администратору сети). При визуальном осмотре кабеля лишний трансивер, скорее всего, будет замечен.

Для тонкого кабеля незаметное подключение возможно лишь при использовании существующих разъемов (разрыв сегмента на несколько секунд не приведет к потере соединений). При разрезании кабеля и установке новых разъемов эта процедура, занимающая несколько минут, почти наверняка приведет к потере какого-либо установленного соединения, что может привлечь внимание пользователей. Драйвер сетевого адаптера сервера этого не заметит, поскольку обрыв кабеля распознается при отсутствии обоих терминаторов, а в этом случае на каждом обрезке сегмента останется по одному из них.

Для витой пары дополнительное подключение возможно лишь к свободным портам хабов, а использование интеллектуальных хабов со встроенной защитой вообще не позволит осуществить подключение без ведома администратора.

Оптоволокно в качестве среды передачи также сильно затрудняет несанкционированный доступ.

Мониторинг пакетов может иметь целью "подглядывание" пароля, обеспечивающего доступ к важным ресурсам. NetWare-386 по умолчанию использует шифрованные пароли. Если сервер работает в сети совместно с серверами 2.0 или 2.1x с необновленными утилитами, или со станциями, использующими оболочку из версии 2.x, необходимо разрешить использование и нешифрованных паролей консольной командой

Защита посредством назначения прав доступа и атрибутов

Защита посредством назначения прав доступа и атрибутов

Защита через права обеспечивает разграничение доступа к каталогам и файлам. Здесь необходимо следить за опекунскими назначениями, масками прав и назначениями эквивалентности по защите. Особого внимания заслуживает каталог SYS:SYSTEM, который содержит ключевые элементы защиты.

Файл AUTOEXEC.NCF может содержать пароль удаленной консоли в команде LOAD REMOTE, дающий доступ к консоли сервера с рабочей станции.

В NetWare 4.x используйте шифрование пароля удаленной консоли (см. вопрос в главе 1)

Этот же каталог является единственным хранителем .NLM-файлов после выполнения команды SECURE CONSOLE, и гарантированное отсутствие в нем пиратских модулей усиливает защиту системы.

На сервере NetWare 3.x файлы Bindery, хранящие имена, пароли и привилегии всех пользователей, при наличии права записи в SYS:SYSTEM, можно подменить, записав свои файлы NET$OBJ.OLD, NET$PROP.OLD и NET$VAL.OLD и выполнив утилиту BINDREST.

Для усиления защиты в особо ответственных случаях стоит удалить INSTALL.NLM из каталога SYS:SYSTEM, чтобы исключить возможность переименования томов с консоли сервера, в результате которого при некотором знании системы можно получить новую Bindery с двумя пользователями GUEST и SUPERVISOR, не требующими пароля, но обладающими своими штатными правами. В "мирных целях" при наличии копий старой Bindery эти манипуляции можно использовать для переустановки потерянного пароля супервизора с сохранением всех пользователей и групп.

Рядовые пользователи не должны иметь никаких прав в каталоге SYS:SYSTEM. В каталогах SYS:PUBLIC и SYS:LOGIN они должны иметь права сканирования и чтения [R F] для нормального использования утилит, в каталоге SYS:MAIL - права создания и записи [W C] для использования электронной почты.

Право контроля доступа [A] в корневом каталоге означает возможность присвоения любого права доступа во всем томе.

Защита файлов и каталогов с помощью атрибутов подразумевает взвешенное назначение права модификации, позволяющего снимать сдерживающие атрибуты.

Защита регистрации

Защита регистрации

В NetWare защита регистрации включает в себя систему имен и паролей пользователей, ограничения времени и списка возможных станций.

Блокировать попытку подбора правильного сочетания имени и пароля пользователя помогает активизация системы обнаружения/захвата нарушителя (Intruder Detection/Lockout) "Опций администратора" SYSCON.EXE. Система позволяет выявить нарушителя, пытающегося зарегистрироваться с неверным паролем подряд более заданного количества раз (по умолчанию - 7). Счетчик ошибок обнуляется при успешной регистрации или по истечении периода времени сброса неверных попыток с момента последней ошибочной попытки (по умолчанию - 30 мин). Если включен захват нарушителя, то по достижении порога ошибочных попыток бюджет пользователя, именем которого пытаются воспользоваться, блокируется на время, определенное периодом блокирования бюджета (по умолчанию 15 мин).

При установленном сервисе системы учета на сервере создается двоичный файл регистрации событий NET$ACCT.DAT. В нем содержится хронология всех регистраций и разрегистраций пользователей на сервере, а также фиксируются попытки регистрации нарушителей. Просмотр журнала в текстовом виде и его очистку выполняет утилита PAUDIT.EXE.

---