Lösungen zu Informations- und Telekommunikationstechnik Arbeitsheft, 3. Auflage. RAM empfohlen. RAM maximal

Transkript

1 1. HANDLUNGSSCHRITT Aufgabe 13 Betriebssystem Prozessortakt RAM empfohlen RAM maximal Installationsgröße SMP Anzahl Prozessoren Windows 7 Ultimate 2008 Web 2008 Standard 2008 Enterprise 2008 Datacenter 1 GHz 1 GB 192 GB 20 GB GHz 2 GB 32 GB 40 GB 4 2 GHz 2 GB 32 GB 40 GB 4 2 GHz 2 GB 2 TB 40 GB 8 2 GHz 2 GB 2 TB 40 GB 64 Windows 8 Pro 1 GHz 1 GB 192 GB 20 GB N/A MS Windows XP Professional erlaubt nicht mehr als 10 eingehende Verbindungen zu seinem Datei- und -Druckserver. Die Internetdienste, wie Web- oder FTP-Server, weisen diese Beschränkung nicht auf. MS 2008 kennt keine Beschränkungen für Datei- und - Druckserver. Rechner herunterfahren, neue Prozessoren installieren, Rechner starten. MS 2008 findet die neue Hardware und installiert meistens automatisch die notwendigen Treiber. Passiert dies nicht automatisch, so müssen die Treiber manuell installieren werden, wofür die entsprechende CD erforderlich ist. 2. HANDLUNGSSCHRITT Der DHCP-Server richtet die Clients vollständig ein. Installiert ein Benutzer im Netzwerk einen eigenen DHCP-Server, so können die Clients u. U. ganz andere Parameter bekommen, als der Administrator vorgesehen hat. Das führt zum Zusammenbruch des gesamten Netzwerks. Bildungshaus Schulbuchverlage Westermann Schroedel Diesterweg Schöningh Winklers GmbH Seite 37

2 Gegenmaßnahmen können nur in der Domäne eingerichtet werden. Hier autorisiert der Administrator seine DHCP-Server. Die nicht autorisierten DHCP-Server werden von dem DC heruntergefahren. Wenn dies nicht möglich ist, bekommt der Administrator die Meldung, dass nicht autorisierte DHCP-Server in der Domäne aktiv sind. Dynamische Updates für alte DNS-Clients. Der DHCP-Server kann dem DNS-Server die vergebenen IP-Adressen samt Rechnernamen zwecks Namensauflösung mitteilen. Das ist für alte Versionen von Betriebssystemen wichtig, die über diese Eigenschaft nicht verfügen. Der DHCP-Relay-Agent befindet sich in dem Netzwerksegment, wo kein DHCP-Server installiert ist. Er besitzt eine feste IP-Adresse und kann den DHCP-Server über den Router erreichen. Der DHCP-Relay-Agent übernimmt die Anfragen der DHCP-Clients in seinem Segment und leitet sie an den DHCP-Server weiter. Diese Anfragen selbst werden von dem Router normalerweise nicht weitergeleitet, da sie auf Rundsendungen basieren. Anschließend erhält der DHCP-Relay-Agent die Antworten des DHCP-Servers und leitet sie an die DHCP-Clients in seinem Segment weiter. Auf diese Weise kann der DHCP-Server Rechner mit IP-Adressen und Konfigurationsparametern versorgen, die sich in anderen IP- Netzwerken befinden. d) Für einen Client kann in der Datenbank des DHCP-Servers eine IP- Adresse reserviert werden. Dabei wird dieser IP-Adresse eine bestimmte MAC-Adresse zugeordnet. Nur der Rechner, der diese MAC- Adresse besitzt, bekommt die reservierte IP-Adresse. Reservierungen sind sinnvoll, wenn ein Computer immer dieselbe IP-Adresse erhalten muss, sich die anderen Parameter aber ändern können, z. B. das Standardgateway. 3. HANDLUNGSSCHRITT Die NTLM-Authentifizierung wurde mit MS Windows NT 4 eingeführt. Die neuesten Windows-Betriebssysteme unterstützen sie aus Kompatibilitätsgründen. Beim Anmeldenamen wird nicht zwischen Groß- und Kleinschreibung unterschieden, sondern nur bei der Kennworteingabe. Als Verschlüsselungsalgorithmen sind RSA und MD4 implementiert. Die Kerberos-Authentifizierung wird ab MS Windows 2000 unterstützt. Dafür existieren ein Protokoll (Kerberos V) und entsprechende Dienste. Im Netzwerk gibt es einen Server KDC (Key Distribution Center), der eine Datenbank mit den Benutzerkonten und erlaubten Diensten verwaltet. Meldet sich ein Benutzer im Netzwerk an, so erhält er vom KDC ein Ticket. Das Ticket wird auf dem Rechner des Benutzers gespeichert und gilt nur eine begrenzte Zeit (normalerweise acht Stunden). Beim Zugriff auf Netzwerkdienste sucht der Client automatisch dieses Ticket und sendet es an den Server. Während der Abmeldung des Benutzers wird das Ticket gelöscht. Kerberos geht davon aus, dass Bildungshaus Schulbuchverlage Westermann Schroedel Diesterweg Schöningh Winklers GmbH Seite 38

3 das Netzwerk sicher ist, und benutzt deshalb für das Versenden von Anmeldenamen und Kennwörtern Klartext oder relativ einfache Hash- Algorithmen. Public Key Infrastructure. Diese Infrastruktur besteht aus den Zertifizierungsservern sowie den Diensten und Benutzern, die Zertifikate anfordern und einsetzen. Die Server sind hierarchisch angeordnet. Die Clients (oder die Server in ihren Auftrag) generieren ein Schlüsselpaar. Der private Schlüssel verbleibt im Besitz des Clients, der öffentliche Schlüssel wird an die Kommunikationspartner übermittelt. Der öffentliche Schlüssel wird oft in ein Zertifikat verpackt. Da dieses Zertifikat mit dem privaten Schlüssel des Zertifizierungsserver verschlüsselt ist, kann die Identität des Besitzers nicht gefälscht werden. Selbstverständlich muss die Zertifizierungsstelle die Identität des Besitzers vorher gründlich prüfen, wodurch PKI den zurzeit sichersten Datenaustausch und die unverfälschte Identität des Besitzers gewährleistet. Client, Server, Sicherer Server. Ist auf einem Rechner die IP- Sicherheitsrichtlinie Client aktiviert, so versucht der Rechner immer die Kerberos-Authentifizierung beim Server anzufordern. Ist der Server nicht dazu imstande (MS Windows NT 4), so wird die Authentifizierung auf NTLM herabgesetzt. Ist auf einem Rechner die IP-Sicherheitsrichtlinie Server aktiviert, so versucht der Rechner die eingehenden Authentifizierungsanforderungen immer auf Kerberos-Level durchzuführen. Ist der Rechner dazu nicht imstande (MS Windows NT 4), so wird die Authentifizierung auf NTLM herabgesetzt. Die Richtlinie Sicherer Server unterscheidet sich von der IP- Sicherheitsrichtlinie Server dadurch, dass die Authentifizierung niemals auf NTLM herabgesetzt wird. Deswegen gelten die Netzwerke mit MS Windows NT/9x/ME weniger sicher als die Netzwerke mit MS Windows 2000/XP/2003/7/8/2008/ HANDLUNGSSCHRITT 4 HTTP-Server (Port 80), SMTP-Server (Port 25), NNTP-Server (Port 119), FTP-Server (Port 20, 21) in den Webbrowser eingeben oder Portnummer des Webservers auf 80 ändern SSL-Verschlüsselung verwenden. Der Administrator des Webservers bestellt bei der Zertifizierungsstelle ein Zertifikat mit dem öffent- Bildungshaus Schulbuchverlage Westermann Schroedel Diesterweg Schöningh Winklers GmbH Seite 39

4 lichen Schlüssel des Web-Servers und legt es auf dem Webserver ab. Der Benutzer des Webbrowsers erhält den öffentlichen Schlüssel der Zertifizierungsstelle. Beim HTTPS-Zugriff auf den Webserver bekommt er sein Zertifikat und entschlüsselt es mit dem öffentlichen Schlüssel der Zertifizierungsstelle. Somit besitzt er den öffentlichen Schlüssels des Webservers und kann mit ihm die Daten verschlüsselt austauschen. Die Informationen, die der Browser mit dem öffentlichen Schlüssel des Webservers verschlüsselt, kann nur der Webserver selbst entschlüsseln. Auf diesem Schritt wird der symmetrische Schlüssel ausgehandelt und ausgetauscht, da er eine schnellere Verund Entschlüsselung erlaubt. Außerdem empfängt der Browser mit dem Zertifikat die Identität des Webservers. Die eigentliche Webseite wird mit dem symmetrischen Schlüssel ver- und entschlüsselt, wobei dieser Schlüssel regelmäßig erneuert wird. 5. HANDLUNGSSCHRITT Der Terminalserver erlaubt dem Terminal-Client, Anwendungen auf dem Rechner zu starten, auf dem der Terminalserver installiert ist, und stellt ihm seine grafische Oberfläche zur Verfügung. Somit kann der Terminal-Client den Rechner mit dem Terminalserver vollständig verwalten. Drei wichtige Hardwarekomponente werden dem Terminal- Client zur Verfügung gestellt: Prozessor, Arbeitsspeicher und Datenträger. administrative Verwaltung des Rechners Verwendung der Ressourcen des leistungsfähigeren Rechners, Einsatz von Anwendungen, die keine Client-Server-Architektur besitzen. großer Arbeitsspeicher, große Datenträger, schneller Prozessor, Fehlertoleranz (RAID), schnelle Netzwerkkarte (mindestens 1 Gbit/s) d) zentrale Administration, zentrale Sicherung, hohe Datensicherheit, Anwendungen können von dem Benutzer nicht geändert und nicht beschädigt werden, zentraler Kopierschutz, zentrale Updates e) SSH: Konsolenbefehle und deren Ausgabe werden verschlüsselt in Textform übertragen Telnet: Konsolenbefehle und deren Ausgabe werden unverschlüsselt in Textform übertragen, deswegen ist Telnet nicht sicher VNC: Befehle, Mausaktionen und deren Ausgabe werden in grafischer Form übertragen f) Bildungshaus Schulbuchverlage Westermann Schroedel Diesterweg Schöningh Winklers GmbH Seite 40

5 Der Drucker muss installiert und im Netzwerk freigegeben werden. Die Rechte müssen so angepasst sein, dass der Vertreter aus dem Netzwerk auf den Drucker zugreifen kann. Auf dem zentralen Server muss ein neuer Netzwerkdrucker installiert und mit dem freigegebenen Drucker auf dem Laptop verbunden werden. Bildungshaus Schulbuchverlage Westermann Schroedel Diesterweg Schöningh Winklers GmbH Seite 41