Netzwerkadministration

Transkript

1 Lerneinheit 1: Netzwerkplanung Netzwerkadministration In diesem Kapitel installieren und administrieren wir ein lokales Netzwerk mit Hilfe von Servern und Domänencontrollern. Wir planen und dokumentieren ein Netzwerk mit Netzwerkdiagrammen. Wir installieren Fileserver und Printserver und beschäftigen 4uns mit der Verwaltung von Domänen mit dem Active Directory. Lerneinheit 1: Netzwerkplanung Lernen Netzwerkdiagramme Domänen Lokale Anmeldung Domänenanmeldung Lerneinheit 2: Serverinstallation Lernen Windows-Server installieren Benutzerverwaltung Freigaben und Zugriffsrechte Netzlaufwerke zuordnen Administrative und versteckte Freigaben Printserver Lerneinheit 3: Domäneninstallation Lernen Verzeichnisserver einrichten Domain Name System (DNS) Dynamic Host Configuration Protocol (DHCP) Lerneinheit 4: Domänenverwaltung Lernen Active Directory planen Domänenbenutzer Benutzergruppen Benutzerprofile Gruppen- und Sicherheitsrichtlinien Kapitelrückblick Ich bin Ms. Check! Ich kenne mich sehr gut aus und habe auf jede Frage eine verständliche Antwort. 4 Netzwerkadministration Ich bin Mr. What! Ich kenne mich ganz gut aus, habe aber immer wieder einige Zwischenfragen Netzwerkmanagement 111

2 Lernen Lerneinheit 1 Netzwerkplanung Alle SbX-Inhalte zu dieser Lerneinheit findest du unter der ID: In dieser Lerneinheit erstellen wir Netzwerkdiagramme zur Planung von lokalen Netzwerken und wir lernen den Unterschied zwischen Peer-Netzen und Domänen kennen. Wir beschäftigen uns mit der Erstellung von Netzwerkdiagrammen und den dafür erforderlichen aktiven Netzwerkkomponenten, dem Zugriff auf Server in Domänen und Peer-Netzen sowie der unterschiedlichen Handhabung der Benutzerverwaltung in Domänen und auf lokalen PCs. Lernen 1 Netzwerkdiagramme Netzwerke dokumentieren Wir haben bereits einige aktive Komponenten eines Netzwerks, z. B. Hub, Switch und Accesspoint, kennengelernt. Für den Aufbau eines LANs sind weitere Komponenten erforderlich, die unterschiedliche Dienste anbieten. Die Netzwerksymbole aus der Bildschirmpräsentation in SbX kannst du für deine eigenen Netzwerkdiagramme verwenden, indem du sie über die Zwischenablage kopierst. Die Symbole stammen ursprünglich aus Microsoft Visio. Fileserver Printserver Accesspoint Switch Clients Mailserver Webserver Proxy Eine Bildschirmpräsentation mit allen Abbildungen zum Schritt LERNEN findest du unter der ID: Datenbankserver Verzeichnisserver Firewall Netzwerkdiagramm mit aktiven Netzwerkkomponenten Router Internet 1 Ein Server bietet bestimmte Dienste in einem Netzwerk an, die von Clients in Anspruch genommen werden. Ein Server ist eine Netzwerkkomponente (Hard- und Software), die den Netzwerkbenutzern bestimmte Dienste, z. B. das Speichern von Dateien oder das Drucken auf Netzwerkdruckern, anbietet. Auf einer Hardwareplattform, z. B. einem PC, können auch mehrere Serverdienste installiert sein. Zur Erhöhung der Verarbeitungsgeschwindigkeit und zur Verbesserung der Sicherheit werden in der Praxis Serverdienste auf mehrere Server-PCs verteilt, z. B. werden Web- und Datenbankserver häufig getrennt. 112 Netzwerkmanagement

3 Lerneinheit 1: Netzwerkplanung Fileserver Printserver Datenbankserver Verzeichnisserver Mailserver Webserver Proxyserver Hub/Switch Wichtige Serverdienste sind: Fileserver: Er speichert Ordner und Dateien der Benutzer und regelt den Zugriff darauf. Alle Windowsversionen seit Windows for Workgroups 3.11 bieten Filesharing-Funktionen. Bei Windows 2000, XP und Vista ist der Zugriff auf eine Freigabe (Share) für maximal zehn User gleichzeitig eingeschränkt. Die Windows-Server-Versionen erlauben unbeschränkten Zugriff auf Laufwerks- und Druckerfreigaben. Printserver: Dieser verwaltet die Druckaufträge der Benutzer in einer Warteschlange (Queue) und leitet sie an Netzwerkdrucker weiter. Datenbankserver: Er verwaltet Datenbanken und regelt den Zugriff der Benutzer darauf. Beispiele für Datenbankserver sind Microsoft SQL-Server und MySQL. Verzeichnisserver: Diese Server verwalten alle Ressourcen eines Netzwerkes, auch Domänen genannt, in einer Verzeichnisdatenbank, z. B. Active Directory oder LDAP, insbesondere PCs, Drucker, Benutzer und Benutzergruppen. Mailserver: Er versendet und empfängt s von Benutzern und verwaltet deren -Konten. Ein Beispiel für einen Mailserver ist Microsoft Exchange. Webserver: Sie verwalten statische Websites und ermöglichen die Programmierung dynamischer Websites mit Skriptsprachen. Microsoft bietet dafür mit seinem Internet Information Server (IIS) die Skriptsprache VB-Script im Zusammenhang mit Active- Server-Pages (ASP) an. Ein kostenloser Webserver zur Programmierung mit PHP ist z. B. Apache. Proxyserver: Er regelt den Zugang zum Internet mit Hilfe einer integrierten Firewall (Paketfilter und Contentfilter) und speichert Internetseiten, um einen allfälligen wiederholten Zugriff zu beschleunigen (Caching). Ein Beispiel für einen Proxyserver ist der Microsoft ISA-Server. 2 Ein Hub oder Switch verbindet alle aktiven Netzwerkkomponenten. Hubs und Switches sind aktive Kopplungselemente. Hubs arbeiten auf Basis des OSI- Layers 1, Switches mindestens auf Basis des OSI-Layers 2. Router Firewall Mr. What und Ms. Check 3 Ein Router verbindet das LAN mit einem anderen Netzwerk. Router arbeiten auf Basis des OSI-Layers 3 und sind protokollabhängig, z. B. ein Router für TCP/IP. 4 Eine Firewall blockiert regelwidrigen Datenverkehr. Portfilter-Firewalls arbeiten auf der Ebene der Transportschicht, z. B. TCP oder UDP. Auf der Ebene der Anwendungsschicht arbeiten hingegen Contentfilter-Firewalls. Könnte ich in einem Netzwerk alle Serverdienste auf einem einzigen PC vereinen? Ja, das ist möglich und wird vor allem bei sehr kleinen Netzen gemacht. Allerdings musst du bedenken, dass bei einem Ausfall des Servers kein einziger Netzwerkdienst zur Verfügung steht. 4 Netzwerkadministration Welche lizenzrechtlichen Regelungen gibt es seitens Microsoft zur Verwendung von Servern? Für jeden Client-PC benötigst du eine Lizenz für das darauf installierte Betriebssystem, z. B. Windows XP, und eine zusätzliche Client-Access-License (CAL). Für einen Server benötigst du das entsprechende Server-Betriebssystem, z. B. Windows 2003 Server. Netzwerkmanagement 113

4 Lernen L 1: Netzwerkdiagramm mit Microsoft Visio Microsoft Visio ist ein Grafikprogramm für die Erstellung von Diagrammen, z. B. Netzwerkdiagrammen oder UML-Diagrammen für die Softwareentwicklung. Visio gehört zur Microsoft-Office-Familie, muss jedoch separat erworben werden. Nach dem Start von Visio wird die Diagrammkategorie ausgewählt, z. B. Netzwerk. In der Softwareentwicklung wird Visio z. B. zum Zeichnen von ER- Modellen oder ereignisgesteuerten Prozessketten (EPK) verwendet. Microsoft Visio Für Standard-Netzwerkdiagramme verwenden wir eine Vorlage. Es ist auch möglich, die Shapes aus verschiedenen Kategorien und Vorlagen für ein Diagramm zu übernehmen. Die einzelnen Shapes werden mit der Maus in den Arbeitsbereich gezogen und mit Hilfe des Symbols Automatischer Verbinder verknüpft. Die Eigenschaften eines Shapes, wie z. B. Seriennummer oder Standort, werden im Eigenschaftenfenster festgelegt. Shapes Mit dem Symbol Automatischer Verbinder werden die Shapes verknüpft. Vorlage Shape-Eigenschaften Netzwerkdiagramm mit Visio 114 Netzwerkmanagement

5 Lerneinheit 1: Netzwerkplanung Netzwerkdiagramme zeichnen Eine PowerPoint-Vorlage zur Erstellung von Netzwerkdiagrammen findest du unter der ID: Gestelldiagramm Netzwerkdiagramme dienen der Dokumentation eines Netzwerkes. Die folgenden Formen von Netzwerkdiagrammen werden häufig erstellt: Struktur der Verkabelung: Dieses Diagramm beinhaltet die Verkabelungstopologie, z. B. Ring oder Baum, und die passiven Komponenten der Verkabelung, z. B. 19-Zoll-Schränke, Patchfelder usw. Häufig werden diese Diagramme in bestehende Raumpläne eingezeichnet. Gestelldiagramm: Das Gestelldiagramm ist ein Detailplan eines Gebäude- oder Stockwerkverteilers und seiner Komponenten, z. B. LWL- und Kupferpatchfelder, Switches, Router, Notstromversorgung usw. Serverdiagramm: In diesem Diagramm werden alle Serverkomponenten (Hardware) einschließlich der Router, Switches und Firewalls abgebildet. Verzeichnisdiagramm: In einem Verzeichnisdiagramm werden alle Elemente der Netzwerkdatenbank, z. B. Active Directory oder LDAP, veranschaulicht. Die wichtigsten Elemente sind Server, PCs, Drucker, Benutzer und Benutzergruppen. Gemischtes Netzwerkdiagramm: Die Elemente der einzelnen Diagrammtypen werden manchmal auch kombiniert, z. B. Struktur der Verkabelung und Serverdiagramm. Verzeichnisdiagramm Mr. What und Ms. Check Wofür dienen die verschiedenen Netzwerkdiagramme? Netzwerkdiagramme dokumentieren den Aufbau und die Struktur eines Netzwerkes oder eines Teilnetzes. Sie ermöglichen den raschen Überblick und erleichtern damit die Fehleranalyse sowie die Einschulung neuer Mitarbeiter. Domäne = engl. Domain 2 Domänen Bestandteile lokaler Netzwerke Unter einer Domäne verstehen wir alle Ressourcen eines Netzwerkes, insbesondere Server, Client-PCs, Drucker, Benutzer und Benutzergruppen. 1 Eine Domäne wird von einem Verzeichnisserver (Domänencontroller) verwaltet. Die Ressourcen der Domäne werden in einer Verzeichnisdatenbank gespeichert. In Windows Servern heißt diese Datenbank Active Directory. 4 Netzwerkadministration 2 In einer Domäne erfolgt die Authentifizierung eines Benutzers über den Verzeichnisserver. Der große Vorteil einer Domäne besteht darin, dass sich ein Benutzer nicht auf jedem Server getrennt anmelden muss, sondern zentral am Verzeichnisserver. Sein Benutzeraccount gilt für alle Domänenressourcen. Die Administration der Benutzer, z. B. die Rechtevergabe, erfolgt zentral über das Benutzerkonto bzw. dessen Gruppenzugehörigkeit im Domänenverzeichnis. Netzwerkmanagement 115

6 Lernen Die Verteilung von Diensten auf mehrere Server wird als Load- Balancing bezeichnet. 3 Mehrere Verzeichnisserver replizieren ihre Datenbanken automatisch über das Netzwerk. Wenn der Verzeichnisserver ausfällt, kann sich ein Benutzer in der Domäne nicht mehr anmelden. Damit würde de facto das gesamte Netzwerk ausfallen. Um dies zu verhindern, werden mehrere Verzeichnisserver in einer Domäne installiert. Diese replizieren ihre Verzeichnisse automatisch in Intervallen von einigen Sekunden. Fällt einer der Verzeichnisserver aus, kann problemlos über den zweiten weitergearbeitet werden. Im Normalbetrieb ergibt sich noch ein weiterer Vorteil: die Belastung der Verzeichnisserver beim Login reduziert sich, da diese Arbeit auf mehrere Server aufgeteilt wird. Single-Sign-On: Mit der Anmeldung am Verzeichnisserver der Domäne erhält der Benutzer Zugriff auf alle Domänenressourcen. Login Zugriff Domäne Single-Sign-On in einer Domäne Domänenhierarchie Ein LAN besteht aus allen Benutzern, Benutzergruppen sowie den Hardwareressourcen eines Standortes. Eine Domäne kann sich über mehrere Standorte erstrecken, wenn die Verzeichnisserver z. B. über eine Standleitung verbunden sind. Um die Administration großer Domänen zu vereinfachen, werden Domänenstrukturen in Hierarchien eingeteilt. Eine Domäne wird in einem Diagramm als Dreieck dargestellt. Domain bmw.at Domäne = engl. Domain noe.bmw.at stmk.bmw.at Tree Struktur = engl. Tree Gesamtstruktur = engl. Forest angerer.bmw.at apfelgruber.bmw.at Forest Domänenhierarchie 116 Netzwerkmanagement

7 Lerneinheit 1: Netzwerkplanung Eine Organisationseinheit (= engl. Organisational Unit) wird mit OU abgekürzt. 1 Eine Domäne wird durch einen Domänenadministrator verwaltet und beinhaltet Organisationseinheiten mit sich darin befindlichen Objekten. Die Domäne des Autohauses Apfelgruber beinhaltet z. B. die OUs Geschäftsführung und Werkstatt. In diesen OUs befinden sich die Benutzer, die Benutzergruppen und die PCs der Mitarbeiter/innen. 2 Ein Tree (Struktur) fasst mehrere Domänen mit Vertrauensstellungen zusammen. Alle Domänen der BMW-Händler in Niederösterreich werden z. B. zu einer Domänenstruktur (Tree) zusammengefasst. 3 Ein Forest (Gesamtstruktur) fasst mehrere Strukturen mit Vertrauensstellungen zusammen. Die Bundesländer-Strukturen der BMW-Händler werden zu einer österreichweiten Gesamtstruktur (Forest) zusammengefasst. Mr. What und Ms. Check Benötigt jede Domäne ihren eigenen Verzeichnisserver? Ja, aber die Verzeichnisserver können ihre Datenbanken untereinander replizieren und einander vertrauen. Ein Administrator einer Gesamtstruktur könnte z. B. das Recht haben, Administratoren oder Benutzern in einzelnen Domänen Rechte zu entziehen. 3 Lokale Anmeldung Authentifizierung in einem kleinen lokalen Netzwerk SAM = Security Access Manager Jeder Windows-PC hat seine eigene Benutzerverwaltung, den Security Access Manager (SAM). Die darin angelegten Benutzerkonten werden auch als lokale Benutzer bezeichnet, da sie nur lokale Rechte auf dem PC haben. Möchte ein Benutzer auf eine Freigabe eines anderen Rechners zugreifen, muss er im SAM des gewünschten Ziel-PCs ein Benutzerkonto haben. Benutzer Adam Benutzerkonto Adam Zugriff kein Zugriff Benutzerkonto Adam Benutzerkonto Berta 4 Netzwerkadministration Arbeitsgruppe Anmeldung über das SAM-Benutzerkonto Beachte Wenn sich ein Benutzer in einer Arbeitsgruppe auf fünf Servern anmelden möchte, muss sein Konto auf jedem Server angelegt werden. In einer Domäne würde die einmalige Erstellung des Benutzerkontos auf einem Verzeichnisserver genügen. Netzwerkmanagement 117

8 Lernen Ü 1: Erstelle auf deinem PC das Benutzerkonto Meister mit dem Passwort meister. Die Computerverwaltung findest du in der Systemsteuerung unter Verwaltung. Ü 2: Füge dem Benutzer Meister die Benutzergruppe Administratoren hinzu. Mr. What und Ms. Check In den Übungsbeispielen wurde ein lokaler Administrator-Account angelegt. Welche Konsequenzen hat Wenn jemand den Namen des Kontos und das für die Sicherheit meines PCs? das Passwort dazu kennt, kann er sich auf deinem PC anmelden. Der Administrator hat auf deinem PC alle Rechte, z. B. auch das Recht, andere Benutzer anzulegen und zu löschen. Die Verwendung von Arbeitsgruppenbenutzern eignet sich nur für sehr kleine Netzwerke, z. B. für den Heim- und Small-Office-Bereich, da ein Benutzer auf jedem Server manuell angelegt werden muss. Außerdem ist bei den Desktop-Versionen von Windows, z. B. XP oder Vista, der gleichzeitige Zugriff auf zehn Benutzer (concurrent users) beschränkt. 118 Netzwerkmanagement

9 Lerneinheit 1: Netzwerkplanung 4 Domänenanmeldung Authentifizierung gegenüber dem Verzeichnisserver Der Verzeichnisserver (= engl. Domain Controller) wird mit DC abgekürzt. In einer Domäne übernimmt der Verzeichnisserver die Verwaltung der Benutzerkonten. Meldet sich ein Benutzer an, prüft der Verzeichnisserver die Zugriffsrechte des Benutzers. Mit seinen Zugriffsrechten darf der Benutzer alle Dienste der Domäne verwenden, egal auf welchem PC, Server oder Drucker. Benutzer Adam Login Zugriff Alle Benutzerkonten der Domäne Domäne Anmeldung über den Verzeichnisserver der Domäne Beachte Ein Domänen-Administrator hat administrative Zugriffsrechte auf alle PCs, Server und Drucker der Domäne. Mit der Integration eines Gerätes in die Domäne wird dieses der Kontrolle durch die Administratoren der Domäne unterworfen. Ist ein Client-PC in eine Domäne integriert, haben wir die Wahl zwischen einem lokalen Login und einem Domänen-Login. Wenn ein Client-PC nicht in die Domäne integriert wurde, wie z. B. ein Schulnotebook, kann der Benutzer trotzdem auf einen Server der Domäne zugreifen, indem er den Domänennamen seinem Domänen-Benutzernamen hinzufügt, z. B. apfelgruber\ ulli oder ulli@apfelgruber. Ein Memberserver ist ein Server in einer Domäne. Mr. What und Ms. Check L 2: Verbindung mit einem Memberserver herstellen Markus Schauer hat den Domänen-Benutzernamen MaSchauer und möchte sein Notebook mit dem Domänen-Memberserver Schule verbinden. Die Domäne heißt hak. Im Arbeitsplatz bzw. Explorer gibt Markus als Adresse den Servernamen \\Schule ein. Daraufhin wird er nach seinem Domänen-Login gefragt. Er tippt den Domänennamen und seinen Benutzernamen durch einen Backslash getrennt ein: hak\maschauer. Nach der Eingabe des Passworts erscheinen die Freigaben des Servers. Ich bin Administrator auf meinem Notebook und mein Notebook ist Mitglied der Schul-Domäne. Bin Nein, du bist ein lokaler Administrator ich dadurch Domänen-Administrator? auf deinem Notebook. Über dir steht der Domänen-Administrator der Schule, der administrative Rechte auf deinem Notebook hat. Allerdings nur dann, wenn dein Notebook ein Mitglied der Schul-Domäne ist. 4 Netzwerkadministration Netzwerkmanagement 119

10 Lernen Übungsbeispiele Ü 3: Beschreibe die Vorteile der Domänenanmeldung gegenüber der Arbeitsgruppenanmeldung! Ü 4: Welche Serverdienste werden in einem LAN benötigt? Erkläre die Begriffe! Ü 5: Welche Bestandteile hat ein Domänenverzeichnis, wie z. B. Active Directory? Häufig ist die Eingabe eines Passwortes mit mindestens einer Ziffer gefordert. Eine einfache Lösung für Übungen ist das Kennwort passw0rd, bei dem der Buchstabe O durch die Ziffer 0 ersetzt wird. Ü 6: Erkläre die Unterschiede zwischen File-, Datenbank- und Verzeichnisserver! Ü 7: Erstelle im SAM deines PCs/Notebooks den Administrator-Benutzer mit dem Namen Idefix und dem Passwort passw0rd! ID: 1411 Zusätzlich findest du in SbX weitere Übungsaufgaben. In dieser Lerneinheit haben wir uns mit der Erstellung von Netzwerkdiagrammen sowie mit der Anmeldung in Arbeitsgruppen und Domänen beschäftigt. Serverdienste Netzwerkdiagramm Domain Tree Ein Server ist eine Softwarekomponente, die einen bestimmten Dienst zur Verfügung stellt, z. B. Fileserver, Printserver, Datenbankserver, Verzeichnisserver, Mailserver, Webserver oder Proxyserver. Auf einer Hardwareplattform, z. B. einem PC, können mehrere Serverdienste installiert sein. Netzwerkdiagramme dienen der Dokumentation und Fehleranalyse in einem Netzwerk. Folgende Netzwerkdiagramme werden in der Praxis häufig verwendet: Verkabelungsstruktur, Gestelldiagramm, Serverdiagramm, Verzeichnisdiagramm sowie Mischformen. Eine Domäne (engl. Domain) wird von einem Verzeichnisserver verwaltet und beinhaltet alle Ressourcen eines Netzwerkes, wie z. B. Benutzer, Benutzergruppen, PCs, Server und Drucker. Mehrere Domänen mit Vertrauensstellungen werden zu einer Struktur (engl. Tree) zusammengefasst. 120 Netzwerkmanagement

11 Lerneinheit 1: Netzwerkplanung Forest SAM Arbeitsgruppe Domänenanmeldung Mehrere Strukturen ergeben eine Gesamtstruktur (engl. Forest). Benutzer, die im Security Access Manager (SAM) in Windows angelegt werden, bezeichnet man als lokale Benutzer. Demnach hat ein Administratorkonto im SAM lokale Administratorrechte. In einer Arbeitsgruppe werden die Benutzerkonten auf den einzelnen PCs separat in den jeweiligen SAMs verwaltet. Um auf die Daten eines Rechners zugreifen zu können, muss auf diesem Rechner ein Benutzerkonto im SAM angelegt werden. In einer Domäne erfolgt die Authentifizierung gegenüber dem Verzeichnisserver. Durch einen einzigen Anmeldevorgang (Single-Sign-On) erhält der Benutzer seine festgelegten Zugriffsrechte auf alle Domänenressourcen. ID: 1412 Zusätzlich zu dieser Zusammenfassung findest du in SbX eine Audio-Wiederholung zur Wiedergabe mit dem Audio-Player und als MP3-Datei sowie eine Bildschirmpräsentation. Kontrollfragen und -aufgaben 1. Was ist ein Serverdienst? 2. Beschreibe die Inhalte von mindestens drei verschiedenen Typen von Netzwerkdiagrammen! 3. Was ist ein Verzeichnisserver? 4. Wodurch unterscheidet sich ein Tree von einem Forest? Nenne ein Beispiel! 5. Welche Rechte hat ein SAM-Benutzerkonto auf andere Ressourcen einer Domäne? 6. Was bedeutet Single-Sign-On? 7. Erkläre den Unterschied zwischen lokaler Anmeldung und Domänenanmeldung! ID: Wie kann ein lokaler Benutzer auf Domänenressourcen zugreifen? Zusätzlich findest du in SbX ein Quiz mit automatischer Aufgabenkontrolle sowie weitere Kontrollaufgaben. Lerncheck Ich kann jetzt 4 Netzwerkadministration w... mit Hilfe von Netzwerkdiagrammen ein Netzwerk dokumentieren. w... den Unterschied zwischen Arbeitsgruppen und Domänen erklären. w... Domänenhierarchien mit den Begriffen Domain, Tree und Forest strukturieren. w... die unterschiedliche Authentifizierung in Arbeitsgruppen und Domänen sowie den Begriff Single-Sign-On beschreiben. In der nächsten Lerneinheit beschäftigen wir uns mit der Installation eines Servers für eine Arbeitsgruppe. Wir legen Benutzer und Benutzergruppen an und berechtigen diese für den Zugriff auf Laufwerks- und Druckerfreigaben. Netzwerkmanagement 121

12 Lernen Lerneinheit 2 Serverinstallation Alle SbX-Inhalte zu dieser Lerneinheit findest du unter der ID: In dieser Lerneinheit installieren und konfigurieren wir einen neuen Server. Wir beschäftigen uns mit der Erstellung von Benutzerkonten sowie Benutzergruppen, der Freigabe von Laufwerken und Verzeichnissen, den Sicherheitseinstellungen für freigegebene Verzeichnisse sowie der Freigabe und Verwendung von Netzwerkdruckern. Lernen Das Festplattenimage findest du unter der ID: Statt der DVD kann in Virtual PC das ISO- Image der Server-DVD verwendet werden. Einstellungen des virtuellen PCs Tipp: Kopiere die ISO-Datei der Server-DVD auf dein Notebook bzw. deinen PC, damit du für spätere Erweiterungen des Serverbetriebssystems direkt darauf zugreifen kannst. 1 Windows-Server installieren Schritt-für-Schritt-Anweisung zur Servereinrichtung Die Installation des Windows-Servers 2008 kann entweder auf einem Übungsgerät oder auf einem virtuellen PC, z. B. mit Microsoft Virtual PC, durchgeführt werden. Das Festplattenimage für Virtual PC steht über SbX und Sb+ zum Download zur Verfügung. Für die Installation werden die Windows-2008-Server-DVD oder das ISO-Image der DVD benötigt. Systempartition einrichten und Dateien kopieren Bevor wir einen Server installieren, ziehen wir das Netzwerkkabel ab, damit keine Viren oder Würmer das Gerät verseuchen. Dazu stellen wir in Virtual PC die Netzwerkkarte auf lokal um. Das ISO-Image der Server-DVD kann trotzdem über das Netzwerk verwendet werden. Nun legen wir die Installations-DVD in das Laufwerk ein und starten den Server. Im virtuellen PC verwenden wir dafür die ISO-Datei der Server-DVD über den Menüpunkt ISO-Abbild erfassen im Menü CD. Das Uhrzeit-/Währungsformat ändern wir bei Bedarf in Deutsch (Österreich) und starten anschließend die Installation. Wir wählen Windows Server 2008 Standard (Vollständige Installation) aus und akzeptieren die Lizenzbedingungen. Wir klicken auf Benutzerdefiniert und aktivieren im nächsten Dialog die erweiterten Laufwerksoptionen. Durch eine Reduzierung der Partitionsgröße können mehrere Partitionen erstellt werden. Eine Bildschirmpräsentation mit allen Abbildungen zum Schritt LERNEN findest du unter der ID: Partitionierung der Festplatte für die Serverinstallation Nachdem eine Partition für die Installation des Betriebssystems erstellt wurde, können wir weitere Partitionen anlegen, z. B. für Daten oder Serveranwendungen. 122 Netzwerkmanagement

13 Lerneinheit 2: Serverinstallation Konfiguration des Betriebssystems Nachdem die Dateien des Betriebssystems auf die Festplatte kopiert wurden, müssen wir ein sicheres Passwort für den Administrator festlegen. Als Passwort verwenden wir "Passw0rd", wobei wir als sechstes Zeichen die Ziffer 0 eingeben. Nach der Anmeldung erscheint ein Dialog mit den Aufgaben der Erstkonfiguration von Windows Server Aufgaben der Erstkonfiguration Das Setup-Programm von Windows Server 2008 verwendet die automatische Netzwerkkonfiguration, d. h., dass der neue Server von einem im Netzwerk bereits vorhandenen DHCP-Server automatisch eine IP- Adresse bezieht. Es ist empfehlenswert, die Aufgaben der Erstkonfiguration Schritt für Schritt durchzuführen. Die Zeitzone wurde bereits vom Installationsprogramm korrekt eingestellt. Wir klicken auf Netzwerk konfigurieren und ändern die aktuelle Einstellung. Achtung: Wenn du mit Virtual PC und einer nicht lokalen Netzwerkkarte arbeitest, musst du ein von der Schule getrenntes IP-Netz verwenden. Andernfalls könntest du Probleme im Schulnetzwerk verursachen! Das Standardgateway ist die IP-Adresse des Routers in das Internet, z. B. die des Proxys. Aktuelle Netzwerkeinstellungen ändern Wir wählen das Netzwerkprotokoll TCP/IPv4 und klicken auf Eigenschaften. Im folgenden Dialog werden die IP-Adresse, die Subnetzmaske, das Standardgateway und die Adressen der DNS-Server eingetragen. Ü 1: Überprüfe die Netzwerkverbindung zu deinem Server. Die Funktion der Netzwerkverbindung wird mit dem Ping-Befehl überprüft. 4 Netzwerkadministration Computername ändern Wir schließen alle Dialoge der Netzwerkkonfiguration und folgen der Erstkonfiguration, indem wir den Namen des Servers ändern. Wir klicken auf Computername und Domäne festlegen und im nachfolgenden Dialog auf die Schaltfläche Ändern. Eine sinnvolle Namenskonvention für deinen Server lautet z. B. Server1, wobei du statt der Ziffer 1 deine Katalognummer verwendest. Vorläufig belassen wir unseren neuen Server in der angegebenen Arbeitsgruppe Workgroup. Du könntest alternativ den Server in eine Domäne aufnehmen (mehr dazu erfährst du in Lerneinheit 3). Netzwerkmanagement 123

14 Lernen Achtung: Im virtuellen PC muss die Netzwerkkarte von lokal auf die Netzwerkkarte des Rechners umgestellt werden. Server aktualisieren Nach der Änderung des Computernamens muss der Server neu gestartet werden. Die nächste Aufgabe der Erstkonfiguration ist die Aktualisierung des Betriebssystems durch die Installation von Sicherheitsupdates und Patches über das Internet. Daher müssen wir jetzt das Netzwerkkabel an unseren Server anschließen. Über den Proxy der Schule können wir die Sicherheitsupdates herunterladen, wenn sich der Server im Schulnetzwerk befindet. Hinweis: Die Durchführung der Updates und Patches ist für unsere Testumgebung nicht erforderlich und kann entfallen. Automatische Windows-Updates aktivieren Beachte Überspringe die Installation der Sicherheitsupdates, wenn du keinen Internetzugang hast. Für die Testumgebung ist dieser Schritt nicht unbedingt erforderlich. Die Erstkonfiguration des Servers ist nun abgeschlossen. Um den Dialog künftig nicht mehr zu erhalten, aktivieren wir das Kontrollkästchen ganz unten und schließen ihn. Ereignisprotokoll = engl. Eventlog Ereignisprotokoll überprüfen Um sicherzugehen, dass der Server einwandfrei arbeitet, überprüfen wir das Ereignisprotokoll über Start Verwaltung Ereignisanzeige. Wir klicken das Protokoll System in Windows- Protokolle an und sehen rechts die Ereignisse, die in drei Hinweistypen unterteilt sind: Informationen, Warnungen und Fehler. Hinweistypen des Ereignisprotokolls Ereignisprotokoll 124 Netzwerkmanagement

15 Lerneinheit 2: Serverinstallation Hinweis Wenn du mit einem virtuellen PC arbeitest, solltest du an dieser Stelle die Netzwerkkarte auf lokal umstellen. Damit verhinderst du Konflikte mit bestehenden Netzwerken bzw. den Servern deiner Mitschüler/innen. Mr. What und Ms. Check Wodurch unterscheidet sich die Installation eines Server- von jener eines Desktop-Betriebssystems? Der Installationsvorgang verläuft völlig ident. Bei einem Desktop musst du die Netzwerkkonfiguration nicht durchführen, wenn du keinen Internetzugang benötigst ein Server ohne Netzwerkkonfiguration ist dagegen für Netzwerkteilnehmer nicht verwendbar und somit sinnlos. Nachdem wir den Server fertig installiert und die Netzwerkverbindung konfiguriert haben, beginnen wir mit der Anlage der Benutzerkonten. 2 Benutzerverwaltung Benutzer und Benutzergruppen Das Erstellen von Benutzern ist auch über den Server-Manager möglich: Konfiguration Lokale Benutzer und Gruppen Wir haben bereits erfahren, dass lokale Benutzer und Gruppen im SAM verwaltet werden. Unter Start Verwaltung Computerverwaltung wählen wir Lokale Benutzer und Gruppen aus und klicken auf Benutzer. Über das Kontextmenü können wir einen neuen Benutzer hinzufügen. Neue Benutzergruppen können über die Option Gruppen angelegt werden. Neues Benutzerkonto erstellen L 1: Benutzerkonto erstellen Der Benutzer Max Huber erhält das Benutzerkonto mhub mit dem Kennwort max. Der Benutzer muss nach dem ersten Login das Kennwort ändern. 4 Netzwerkadministration Netzwerkmanagement 125

16 Lernen Ü 2: a) Erstelle Benutzerkonten für Julia Klar sowie Peter Hofer und füge beide der Gruppe Einkauf hinzu. b) Erstelle die Benutzergruppe Verkauf und füge ihr die Benutzer Robert Mann und Doris Emser hinzu. c) Doris Emser gehört zusätzlich der Benutzergruppe Einkauf an. Mr. What und Ms. Check Warum sollte ich für jeden Benutzer eine Gruppe anlegen? Zu einer guten Netzwerkplanung gehört, dass das Netz auch nach einer Erweiterung leicht administrierbar bleibt. Wenn du Berechtigungen auf Benutzerebene vergibst, ist das zwar bei zwei oder drei Usern noch kein großer Zusatzaufwand, aber stell dir einmal eine Freigabe für 100 oder 1000 User vor viel Spaß! Damit Benutzer die Daten in einem Ordner lesen bzw. verändern können, müssen wir den Ordner für sie freigeben. Mit der Freigabe eines Laufwerkes oder Ordners wird der Server zu einem Fileserver, mit der Freigabe eines Druckers zu einem Printserver. 3 Freigaben und Zugriffsrechte Datei- und Druckdienste einrichten Wichtige Dienste bzw. Rollen auf einem Server sind Dateidienste zur Freigabe von Laufwerken bzw. Verzeichnissen (Fileserver) und Druckdienste (Printserver) für andere Netzwerkbenutzer. In Windows Server 2008 werden Rollen über den Server-Manager hinzugefügt. In älteren Server-Versionen wurden die Rollen für Datei- und Druckdienste automatisch installiert. Die Freigabe von Ressourcen ist über das Kontextmenü eines Laufwerkes, eines Ordners oder eines Druckers möglich. Wir erstellen am Laufwerk C: (bzw. D:, falls es diese Partition für Daten gibt) einen neuen Ordner mit dem Namen Daten. Im Kontextmenü wählen wir Eigenschaften aus. Im Register Freigabe klicken wir auf die Schaltfläche Erweiterte Freigabe und wählen den Freigabenamen, der standardmäßig dem Namen des Ordners entspricht. Nun klicken wir auf die Schaltfläche Berechtigungen und wählen für die Gruppe Jeder die Option Vollzugriff. Die Rollen Dateidienste und Druckdienste müssen hinzugefügt werden. Die Berechtigungen für die Freigabe werden immer auf Vollzugriff für alle Netzwerkteilnehmer, das ist die Gruppe Jeder, eingestellt. Hinweis: Die Zugriffsrechte auf Ordner und Dateien regelt die Access Control List (ACL) im Register Sicherheit. Berechtigungen der Freigabe 126 Netzwerkmanagement

17 Lerneinheit 2: Serverinstallation Beachte Die Option Berechtigungen bezieht sich auf das Recht zur Benutzung einer Freigabe. Zusätzlich gibt es die Sicherheitseinstellungen für Ordner und Dateien. Es ist empfehlenswert, den Zugriff auf Freigaben immer zu erlauben und erst bei den Sicherheitseinstellungen die gewünschten Rechte zu vergeben. Nachdem die Freigabe Daten für die Gruppe Jeder erstellt wurde, legen wir die Zugriffsrechte auf den Ordner Daten über die Sicherheitseinstellungen fest. Sicherheitseinstellung = Access Control Entry (ACE) Die ACEs eines Ordners oder einer Datei werden in der Access Control List (ACL) zusammengefasst. Beachte Sicherheitseinstellungen Über die Schaltfläche Hinzufügen können Benutzergruppen bzw. Benutzerkonten zum Zugriff auf einen Ordner berechtigt werden. Wie wir bereits erfahren haben, sollten wir die Sicherheitseinstellungen nur für Gruppen vornehmen. Für die Sicherheitseinstellungen stehen folgende Optionen zur Auswahl: Sicherheitseinstellungen eines Ordners Sicherheitseinstellungen können zugelassen oder verweigert werden. Ordnerinhalt anzeigen: Erlaubt das Auflisten von Ordner- und Dateinamen, nicht jedoch den Zugriff darauf. Lesen: Erlaubt das Lesen von Ordnern und Dateien sowie die Anzeige der Dateiattribute. Lesen, Ausführen: Erlaubt zusätzlich zum Lesen auch das Ausführen von Programmdateien. Schreiben: Erlaubt das Erstellen neuer Dateien sowie das Überschreiben, nicht jedoch das Löschen. Ändern: Erlaubt zusätzlich zum Schreiben auch das Ändern und Löschen von Dateien. Vollzugriff: Erlaubt zusätzlich das Ändern der Sicherheitseinstellungen. Das Verweigern von Sicherheitseinstellungen wird gegenüber dem Zulassen vorrangig behandelt. 4 Netzwerkadministration L 2: Sicherheitseinstellungen analysieren Für die Freigabe GF werden folgende Sicherheitseinstellungen definiert: Gruppe GF: Ändern zulassen; Gruppe Einkauf: Lesen, Ausführen zulassen, Ändern verweigern; a) Welche Rechte haben Benutzer der Gruppe GF? b) Welche Rechte haben Benutzer der Gruppe Einkauf? c) Welche Rechte hat ein Benutzer, der beiden Gruppen angehört? Lösungen: a) Ändern, b) keine, c) keine Netzwerkmanagement 127

18 Lernen Beachte Das Register Sicherheit bezieht sich auf das Recht zur Benutzung eines Ordners oder einer Datei. Die Access Control Entries (ACEs) für einen Ordner bzw. eine Datei werden in der Access Control List (ACL) gespeichert und sind nur für NTFS-Datenträger verfügbar. Die Sicherheitseinstellungen der ACL können auch mit einem Konsolenbefehl bearbeitet werden, z. B. um mit Hilfe eines kleinen Programmes (Skript) eine Änderung automatisiert durchzuführen. Der Befehl CACLS Die Sicherheitseinstellungen der Ordner und Dateien (Access Control Entries, ACEs) werden in der Access Control List (ACL) des NTFS-Dateisystems gespeichert. Mit dem Befehl CACLS kann eine ACL angezeigt und verändert werden. Anzeigen der ACL von Daten mit dem Befehl CACLS Vererbung der Sicherheitseinstellungen Ein großer Vorteil der ACLs besteht darin, dass sie Einstellungen von übergeordneten Ordnern erben können. Wir erstellen z. B. im Ordner Daten den neuen Ordner Einkauf und sehen uns die Sicherheitseinstellungen an. Diese werden vom Ordner Daten automatisch an den untergeordneten Ordner Einkauf vererbt. Die Sicherheitseinstellungen eines übergeordneten Ordners werden in den Unterordner vererbt. Zusätzlich können im Unterordner weitere Berechtigungen (ACEs) definiert werden. Ist keine Vererbung erwünscht, kann diese auch aufgehoben werden. Vererbung der ACL in einen Unterordner 128 Netzwerkmanagement

19 Lerneinheit 2: Serverinstallation Es gibt Situationen, in denen die Vererbung von ACLs nicht erwünscht ist. Für den Ordner Einkauf können wir problemlos weitere Rechte hinzufügen, indem wir Vollzugriff aktivieren. Aber wie können wir Rechte entfernen? Eine Möglichkeit besteht darin, Rechte zu verweigern. Von dieser Vorgehensweise ist auf jeden Fall abzuraten, da Rechte-Kollisionen vorprogrammiert sind. Wenn wir z. B. der Gruppe Einkauf nur Lesen und Ausführen im Ordner Einkauf erlauben wollen, können wir dies durch die Verweigerung von Ändern nicht erreichen, denn dadurch werden alle Rechte verweigert auch das Leserecht. Zur Lösung dieser Aufgabenstellung müssen wir die Vererbung brechen. ACL-Vererbung brechen Wir klicken auf die Schaltfläche Erweitert und danach auf Bearbeiten. Der Dialog zeigt die ACL des Ordners inklusive der Informationen zur Vererbung an. Wir brechen die Vererbung, indem wir die Checkbox Vererbbare Berechtigungen des übergeordneten Objektes einschließen deaktivieren. Vererbung ist aktiv ACL-Vererbung anzeigen Wenn wir das Häkchen für die Vererbung entfernen, erhalten wir die folgende Auswahl: 4 Netzwerkadministration ACL-Vererbung brechen Mit der Schaltfläche Kopieren werden die ACL-Einträge kopiert, die Option Entfernen löscht alle ACEs des Ordners. Die Vererbung wird in beiden Fällen deaktiviert. Die Vererbungshierarchie beginnt mit dem Ordner Einkauf erneut. Wird ein neuer Unterordner im Ordner Einkauf erstellt, erbt dieser zwar die ACL von Einkauf, nicht aber jene des übergeordneten Ordners Daten, da die Vererbung durchbrochen wurde. Netzwerkmanagement 129

20 Lernen Durchbrochene ACL-Vererbung Mr. What und Ms. Check Hat das Brechen der Vererbung auch Nachteile? Um für einen ganzen Verzeichnisbaum eine zusätzliche Berechtigung zu erstellen, kannst du die Vererbung zu deinem Vorteil nützen. Du musst nur im obersten Ordner die ACE anlegen, den Rest erledigt die Vererbung. Bei jeder Vererbungsunterbrechung musst du jedoch neuerlich eine ACE erstellen. Das kann mühsam sein. Wir haben bereits Benutzer und Gruppen sowie Freigaben, Berechtigungen und Sicherheitseinstellungen angelegt. Im nächsten Schritt sollen die Benutzer die Freigaben des Servers verwenden. 4 Netzlaufwerke zuordnen Virtuelle Laufwerke Die freigegebenen Ressourcen eines Servers, z. B. Ordner oder Drucker, werden angezeigt, wenn wir den Servernamen im Arbeitsplatz oder im Explorer als Adresse eingeben, z. B. \\Server1. Freigabe auf dem Server Netzlaufwerk über das Kontextmenü zuordnen Laufwerksbuchstabe dauerhaft Netzlaufwerk zuordnen 130 Netzwerkmanagement