Microsoft Windows Server 2008 W2008AVN. Autor: Michael Raith. 1. Ausgabe vom 6. Oktober HERDT-Verlag für Bildungsmedien GmbH, Bodenheim

Transkript

1 W2008AVN Autor: Michael Raith 1. Ausgabe vom 6. Oktober 2008 Microsoft Windows Server 2008 HERDT-Verlag für Bildungsmedien GmbH, Bodenheim Internet: Alle Rechte vorbehalten. Kein Teil des Werkes darf in irgendeiner Form (Druck, Fotokopie, Mikrofilm oder einem anderen Verfahren) ohne schriftliche Genehmigung des Herausgebers reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden. Aufbau und Verwaltung eines Netzwerks W2008AVN Dieses Buch wurde mit großer Sorgfalt erstellt und geprüft. Trotzdem können Fehler nicht vollkommen ausgeschlossen werden. Verlag, Herausgeber und Autoren können für fehlerhafte Angaben und deren Folgen weder eine juristische Verantwortung noch irgendeine Haftung übernehmen. Die in diesem Buch und in den abgebildeten bzw. zum Download angebotenen Dateien genannten Personen und Organisationen, Adress- und Telekommunikationsangaben, Bankverbindungen etc. sind frei erfunden. Übereinstimmungen oder Ähnlichkeiten mit lebenden oder toten Personen sowie tatsächlich existierenden Organisationen oder Informationen sind unbeabsichtigt und rein zufällig. Die Bildungsmedien des HERDT-Verlags enthalten Links bzw. Verweise auf Internetseiten anderer Anbieter. Auf Inhalt und Gestaltung dieser Angebote hat der HERDT- Verlag keinerlei Einfluss. Hierfür sind alleine die jeweiligen Anbieter verantwortlich.

2 I Microsoft Windows Server Aufbau und Verwaltung eines Netzwerks 1 Informationen zu diesem Buch Voraussetzungen und Ziele Aufbau und Konventionen Das Betriebssystem Windows Server Windows Server Dateisysteme Netzwerk mit Windows Grundlagen des Netzbetriebes TCP/IP Vergabe von IP-Adressen Verzeichnisdienste Sicherheitsfunktionen Verwaltungsfunktionen Netzwerkinfrastruktur Dateiverwaltung, Dateisystem Windows Server 2008 installieren Vorüberlegungen Vorbereitungen Netzwerk in der Testumgebung Einen Windows Server 2008 installieren Anmelden Aufbau der Testumgebung Active Directory und der Domänennamespace Grundlagen zu Active Directory Domänennamespace Grundlagen zu DNS Namensauflösung Dynamisches DNS Informationsmanagement des Domänennamespace Beispiel für einen Domänennamespace Aufbau der DNS-Datenbank Neue Domäne aufbauen Entwurf für die Testumgebung TCP/IP konfigurieren Installation der Verzeichnisdienste vorbereiten Untergeordnete Domäne erstellen Domänencontroller zur Domäne hinzufügen DNS-Dienst installieren DNS erkunden und anpassen Workstations in die Domäne aufnehmen Dynamic Host Configuration Protocol DHCP-Serverdienst einrichten Windows-Workstations in die Domäne aufnehmen Anpassungen Computer konfigurieren - Systemsteuerung Anwendungsprogramme installieren Windows-Komponenten verwalten Aktuelle Konfiguration einsehen Einstellungen des Betriebssystems ändern Dienste starten und verwalten Geräte verwalten Energieverwaltung Hardware hinzufügen Hardware-Komponenten und Treiber Das WDM-Treibermodell Plug & Play Hardware installieren Hardware konfigurieren Einzelne Geräte installieren Hardware deinstallieren Problembehandlung Einführung in Active Directory Skalierbarkeit und Standards Logische Struktur Objekt Organisationseinheit Domäne Strukturen und Gesamtstrukturen Konventionen für die Benennung von Objekten Physische Struktur Standort Domänencontroller Globaler Katalog und Betriebsmaster Active Directory erkunden Den Domänenmodus wechseln Physische Struktur des Netzwerks erkunden Standorte und Standortplanung Replikationstopologie Physische Struktur der Testumgebung Der Befehl RUNAS Replikationstopologie erkunden Globalen Katalogserver erkunden Active-Directory-Objekte verwalten Benutzerkonto Computerkonto Container der Domäne erkunden Entwurf für die Domäne Nord Organisationseinheiten erstellen Benutzerkonto erstellen Computerkonto erstellen Übung Gruppen verwalten Gruppentypen Gruppenbereiche AGDLP-Regel HERDT-Verlag

3 Inhalt I 13.4 Gruppenplanung Gruppenplanung mit globalen und lokalen Gruppen Globale Gruppe erstellen und verwalten Lokale Gruppe erstellen und verwalten Gruppenplanung mit universalen Gruppen Universale Gruppe erstellen und verwalten Dateidienste einrichten Freigaben und Veröffentlichungen NTFS-Berechtigungen Ordner freigeben Freigaben veröffentlichen NTFS-Berechtigungen für Ordner vergeben Objektbesitz verwalten Distributed File System einrichten Entwurf für ein DFS in der Testumgebung Domänenbasierten Namespace erstellen DFS verwalten DFS erkunden und testen Drucker verwalten Drucker im Netzwerk Drucker installieren Drucker konfigurieren Druckerwarteschlange verwalten Druckaufträge verwalten Berechtigungen und Gruppen verwalten Mehrere Druckerwarteschlangen verwalten Druckserver verwalten Benutzerprofile verwalten Arbeitsumgebung des Benutzers Benutzerprofil Basisordner Serverbasierte Profile, Basisordner erstellen Benutzerprofile vordefinieren Berechtigungen anpassen, Objektverwaltung delegieren Berechtigungen Vererbung von Berechtigungen Objektverwaltung Verwaltungstools für die Objektverwaltung Objektbesitz Berechtigungen und Berechtigungsvererbung überprüfen und verwalten Objektverwaltung delegieren Domänenrichtlinien bearbeiten Einsatzbereiche von Gruppenrichtlinien Domänenrichtlinien Domänenrichtlinien anpassen Ordnerumleitung konfigurieren Richtlinienergebnissatz Gruppenrichtlinien implementieren Gruppenrichtlinienobjekt Gruppenrichtlinienberechtigungen Verarbeitung der Gruppenrichtlinieneinstellungen Vererbung von Gruppenrichtlinien Gruppenrichtlinienimplementierung planen Gruppenrichtlinien implementieren Gruppenrichtlinien bearbeiten Überwachung und Fernverwaltung Überwachung und Leistungsanalyse Ereignisanzeige Systemmonitor Netzwerkmonitor Auslastung eines Servers kontrollieren Konsole für die Fernverwaltung erstellen Die Registrierungsdatenbank Die Windows-Server-2008-Registrierung Registrierungsdaten ansehen Registrierungsdaten bearbeiten Registrierungsdaten hinzufügen Schlüsselsicherheit verwalten Datenträgerverwaltung Datenträger Organisation des Speicherbereichs Performance versus Ausfallsicherheit Datenträger einrichten Volumes verwalten Dateisystem konvertieren Datenträger pflegen Datenträgerkontingente verwalten Schattenkopien einsetzen Datensicherung Sicherungsarten und -strategien Regelmäßige Datensicherung Sicherung wiederherstellen System wiederherstellen Strategien und Wiederherstellungsfunktionen Erweiterte Startoptionen Eingabeaufforderung Systemstatusdaten Complete PC-Wiederherstellung Active-Directory-Verzeichnisdienste wiederherstellen Methoden zum Wiederherstellen von Active Directory Testumgebung vorbereiten Active-Directory-Objekt autorisierend wiederherstellen Stichwortverzeichnis HERDT-Verlag 3

4 3 Microsoft Windows Server Aufbau und Verwaltung eines Netzwerks 3 Netzwerk mit Windows In diesem Kapitel erfahren Sie welche Konzepte des Netzwerkbetriebs es gibt wie die IP-Adressierung funktioniert wie leistungsfähig die Verzeichnisdienste sind welche Sicherheits- und Verwaltungsfunktionen Windows Server 2008 zur Verfügung stellt wie die Netzwerkinfrastruktur von Windows Server 2008 unterstützt wird Voraussetzungen Erfahrung im Umgang mit Windows und Anwendungsprogrammen Kenntnisse über das Betriebssystem Windows XP oder Windows Vista 3.1 Grundlagen des Netzbetriebes Aufbau von Netzwerken Computer werden immer häufiger in Verbünden eingesetzt, um Ressourcen gemeinsam nutzen zu können. Unter Ressourcen sind z. B. Drucker zu verstehen, auf die von verschiedenen Rechnern aus zugegriffen werden soll, aber auch Funktionen, die etwa ein zentraler Internetserver zur Verfügung stellt, sind Ressourcen. Um diese Ressourcen zentral zugänglich machen zu können, werden Netzwerkfunktionalitäten benötigt. Grundlagen der Datenkommunikation Damit Informationen zwischen Computern ausgetauscht werden können, müssen diese über verschiedene Komponenten verbunden werden. Um diese besser zu verstehen, soll eine Analogie verwendet werden, die das Kommunikationsmodell erklärt: das Telefon. Wollen zwei Personen miteinander kommunizieren, benötigen sie diverse Komponenten: Einen Telefonapparat, der Schallwellen in elektrische Signale und wieder zurückverwandelt Einen Anschluss mit Kabel, über den diese Signale weitergeleitet werden können Eine Telefonnummer, die dazu dient, den Empfänger zu adressieren Eine gemeinsame Sprache, ohne die die Gesprächspartner sich nicht verständigen können Netzwerkkarten Bei Computern ist die Kommunikation grundlegend identisch. Auch sie benötigen einen Apparat, der die komplexere Sprache der Programme in elektrische Signale übersetzt, die dann über die Leitung geschickt werden. Dafür werden entweder Netzwerkkarten oder Modems benutzt. Der am häufigsten in modernen Netzwerken eingesetzte Verbindungsapparat ist die Ethernet-Karte. Anschluss und Verkabelung Der Anschluss erfolgt meist über ein Kabel, wobei es verschiedene Kategorien und Verkabelungsstrukturen gibt. Diese stammen zum Teil aus verschiedenen Phasen der Entwicklung der Netzwerktechnologie, zum Teil decken sie aber auch verschiedene Aufgabenbereiche ab. Die für das moderne Netzwerk wichtigste Kategorie 12 HERDT-Verlag

5 Netzwerk mit Windows 3 sind die Twisted-Pair-Kabel, die häufigste Verkabelungsstruktur ist eine sternförmige Verkabelung mit einem zentralen Verteilerknoten. Als Verteilerknoten kommen heute in der Regel Hubs oder Switches zum Einsatz. Dabei handelt es sich um Kabelkonzentratoren, die in etwa mit einer Verteilersteckdose zu vergleichen sind. Sowohl Hubs als auch Switches frischen das Signal auf. Switches unterteilen Netzwerke außerdem in Segmente. Übertragungsgeschwindigkeiten Für die Übertragung von Dateien an einen Drucker werden andere Übertragungsmethoden benötigt als für Bildschirmkonferenzen. Entsprechend gibt es unterschiedliche Übertragungsgeschwindigkeiten. Diese werden nicht in Byte, sondern in Bit pro Sekunde angegeben. Die verbreitetsten Geschwindigkeiten im Ethernet- Bereich sind 100 Megabit/s und 1 Gigabit/s. Adressen Das Gegenstück einer Telefonnummer ist etwas komplexer. Eine Reihe von Informationen ist nötig, um die einwandfreie Adressierbarkeit auch in komplexen Netzwerken zu gewährleisten. In der Computerwelt erfolgt diese Adressierung in der Regel mittels einer sogenannten IP-Adresse, die ein Bestandteil des TCP/IP-Protokollstapels ist. Sprachen Die Protokolle dienen neben der Identifikation auch anderen Zwecken. Sie sind zugleich die Sprache, die Computer benutzen müssen, um sich zu verständigen. Nur wenn die Kommunikationspartner dieselbe Sprache sprechen, kann Kommunikation erfolgreich sein. Darum kommt den diversen Protokollen, die in modernen Netzwerken gebraucht werden, häufig auch eine spezielle Funktion zu, wie etwa der Verbindungsaufbau oder die Suche von Kommunikationspartnern im Netz. Dieser Teil der Netzwerkkommunikation erfolgt jedoch automatisch und erfordert keine Eingriffe vom Benutzer. Darum soll er auch nicht weiter behandelt werden. Die Einstellungen des Benutzers betreffen nur Adressierungs- und Übertragungsprotokolle, wobei in modernen Netzwerken hauptsächlich die aus dem Internet stammende TCP/IP-Protokollfamilie zum Einsatz kommt. Arbeitsgruppen Wenn mehrere Computer in einem Netzwerk als gleichberechtigte Partner stehen, wird dies als Arbeitsgruppe bezeichnet. Ein weiterer Begriff hierfür ist Peer-to-Peer-Netzwerk (Partner-zu-Partner-Netzwerk). Jeder Rechner in der Arbeitsgruppe funktioniert als allein stehende, vollwertige Einheit, die aber bei Bedarf Daten mit anderen Einheiten austauschen kann. Diese Einheiten können sowohl andere Rechner als auch beispielsweise Drucker sein. Das Peer-to-Peer-Konzept eignet sich nur in sehr kleinen Netzwerken mit maximal 10 Benutzern. Wollen Sie dagegen größere Benutzerzahlen und Computerverbände mit einem noch zu bewältigenden Verwaltungsaufwand in einem Netzwerk unterbringen, sollten Sie eine Domäne einrichten. Domänen Eine Domäne ist ein Verband von Computern, die hierarchisch strukturiert zusammenarbeiten. Dabei kommt dem Rechner mit Windows 2000/XP/Vista die Aufgabe des Clients zu. Die Domäne ist in logischer Hinsicht die Sicherheitsinstanz des Netzwerks. Benutzer melden sich im Netzwerk bzw. in der Domäne an. Hierfür werden Konten für die Benutzer in der Domäne erstellt und verwaltet. Neben den Benutzern verfügen auch die Computer jeweils über ein Konto in der Domäne. Sie werden auf diese Weise in das Sicherheitskonzept der Domäne eingebunden und sind schützenswerte und geschützte Ressourcen. Die Aufgabe, die Domäne zu verwalten und das Sicherheitskonzept des Netzwerks durchzusetzen, obliegt den sogenannten Domänencontrollern. Hierfür werden leistungsfähige Computer mit dem Betriebssystem Windows Server 2008 eingesetzt. Die Domänencontroller müssen den Netzwerkbetrieb aufrechterhalten. Um das Netzwerk gegen Ausfälle zu sichern, werden deshalb nach Möglichkeit mehrere Domänencontroller bereitgestellt, die die Domäneninformationen untereinander aktualisieren und weitergeben. HERDT-Verlag 13

6 3 Microsoft Windows Server Aufbau und Verwaltung eines Netzwerks Client/Server-Aufgabenverteilungen Ein weiterer Aspekt ist die Verteilung von Aufgaben zwischen verschiedenen Computern in einem Netzwerk. Nicht jeder Computer hat immer dieselben Aufgaben wie ein anderer. Arbeitsstation Domänencontroller File-Server Print-Server Proxy-Server Terminal-Server Die Arbeitsstation wird auch als Workstation bezeichnet. An ihr werden die meisten Programme ausgeführt. Sie ist in den meisten Fällen der Arbeitsplatzrechner, von dem aus der Benutzer auf die anderen Rechnertypen zugreift. Der Domänencontroller hat die Aufgabe, die Zugriffe auf das Netzwerk und seine Komponenten zu regulieren. Auf ihm werden die Benutzerverwaltung und die Sicherheitsstruktur eines Netzwerkes festgelegt. Der File-Server hat die Aufgabe, Daten im Netz zur Verfügung zu stellen. Durch diese Zentralisierung können Benutzer von jeder Arbeitsstation aus auf ihre Daten zugreifen, und auch Sicherungen (Backups) können an zentraler Stelle vorgenommen werden. Der File-Server muss nicht in jedem Fall mit einem Server-Betriebssystem laufen. Diese Aufgabe kann auch von einem Client-Betriebssystem wahrgenommen werden, welches dann allerdings weniger leistungsfähig ist. Wenn über das Netzwerk gedruckt werden soll, so kommen meistens Druckserver ins Spiel, auf denen die Druckerverwaltung zentralisiert wird. Der Proxy-Server hat die Aufgabe, den Clients eines Netzwerkes Internetseiten zur Verfügung zu stellen, die dadurch nicht jedes Mal neu aus dem Internet bezogen werden müssen. Auch sind auf ihm häufig Sicherheitsmechanismen integriert, die den Zugang vom und zum Netz regulieren. Eine besondere Rolle hat der Terminal-Server. Er stellt Clients seine Rechenkapazität zur Verfügung, indem auf ihm Programme laufen, die vom Client aus gesteuert werden können. Ein typisches Einsatzgebiet sind städtische Informationssysteme, bei denen nur ein Bildschirm und eine eingeschränkte Tastatur den Zugriff auf das Serversystem erlauben. Die verschiedenen Servertypen müssen nicht auf verschiedenen Computern durchgeführt werden. Ein Domänencontroller kann durchaus auch als Datei- und Druckserver dienen, wenn die Belastung des Rechners dies erlaubt. In großen Netzwerken wird dagegen häufig eine Serverfunktionalität auf mehrere Computer verteilt sein, um so eine effiziente Bereitstellung der Dienste zu gewährleisten. Dienste Dienste sind von Servern bereitgestellte Funktionen. Hinter den Serveraufgaben steckt eine Vielzahl von Diensten. So laufen auf einem Domänencontroller beispielsweise der Anmeldedienst, der Nachrichtendienst, der Schlüsselverwaltungsdienst, Netzwerkdienste usw. Aber auch auf jedem Arbeitsplatzrechner gibt es eine Vielzahl von Diensten. Sie laufen im Hintergrund und ermöglichen es dem Benutzer, auf die Funktionen des Rechners und des Netzwerkes zuzugreifen. Netzwerkprotokolle Die Netzwerkprotokolle dienen der Kommunikationssteuerung im Netzwerk. Über sie werden Computer identifiziert und Kommunikationswege etabliert. Sie steuern die Prozesse der Datenübermittlung zwischen den Programmen und dem physikalischen Übertragungsweg sowie zwischen den Computern. Windows unterstützt die die Netzwerkprotokollfamilie TCP/IP in den Versionen 4 und 6. In Windows- Netzwerken wird aus Gründen der Abwärtskompatibilität auf das NetBIOS-Protokoll noch Bezug genommen, so z. B. bei der Benennung von Computern. In modernen Netzwerken wird TCP/IP eingesetzt. Kommunikation mit dem Internet ist ohne TCP/IP nicht möglich. 14 HERDT-Verlag

7 Netzwerk mit Windows TCP/IP IPv4-Adressen Die IP-Adresse ist die "Telefonnummer" des Computers. Sie hat die Aufgabe, einen Computer eindeutig zu lokalisieren. In Version 4 ist sie 32 Bit lang, wird aber aus Gründen der Lesbarkeit für Menschen meist in 4 Gruppen zu 8 Bit dargestellt. Diese 4 Zahlen (Bytes, Oktetts) können Werte zwischen 0 und 255 annehmen. Die IP-Adresse besteht aus zwei Teilen: IP-Adresse: Subnetzmaske: Netzwerkadresse: Rechneradresse: 105 IP-Adresse Netzwerkadresse Rechneradresse (Hostadresse) Je nach Größe des Netzwerks beansprucht die Netzwerkadresse ein, zwei oder drei Byte. Entsprechend bilden dann drei, zwei oder ein Byte die Hostadresse. Bis vor wenigen Jahren war die Aufteilung in Netzwerkadresse und Hostadresse fix. Das heißt, anhand des ersten Bytes einer IP-Adresse konnte man feststellen, in welche sogenannte Netzwerkklasse eine IP-Adresse gehörte und wie viele Bytes demzufolge jeweils für Netzwerk- und Host-ID reserviert waren. Mit der Einführung der sogenannten klassenlosen IP-Adressen ist es möglich geworden, die Verteilung der Bits auf Netzwerk- und Hostadresse beliebig vorzunehmen. Damit allerdings bei der Kommunikation diese beiden Teile korrekt unterschieden werden können, wird eine zusätzliche Information benötigt, die sogenannte Subnetzmaske. Die Subnetzmaske ist, wie die IP-Adresse, 32 Bit lang und enthält an allen Stellen ein 1-Bit, die an entsprechender Position in der IP-Adresse die Netzwerkadresse kennzeichnen. Stellen mit einem 0-Bit markieren demzufolge also Bits, die die Host-Adresse angeben. IPv6-Adressen IPv6-Adressen sind statt der bei v4 benutzen 32 -Bit 128 -Bit lang. Gleichzeitig mit der deutlich längeren Adresse in IPv6 ändert sich auch die Darstellungsweise. Statt der auf IPv4 gewohnten Dezimalschreibweise mit Punkten (wie zum Beispiel ) wird die Doppelpunkt-Hexadezimal-Notation verwendet. Im englischen Sprachraum wird diese Schreibweise weniger umständlich als "colon hex" bezeichnet. Subnetzmasken gibt es nicht mehr. Stattdessen wird, um Präfixe oder Netzwerkbereiche anzugeben, die modernere CIDR-Schreibweise genutzt, die nach einem Schrägstrich "/" die Anzahl der gültigen Bits angibt. Jeweils 2 Bytes werden zu einem 4-stelligen Block hexadezimaler Zahlen zusammengefasst, die durch einen Doppelpunkt getrennt sind. Eine IPv6-Adresse könnte also zum Beispiel so aussehen: 2001:0db8:85a3:08d3:1319:8a2e:0370:7344 In Adressen, in denen mehrere Gruppen von Nullen vorkommen, ist es erlaubt, eine Gruppe von Nullen durch aufeinanderfolgende Doppelpunkte herauszukürzen. Also kann man anstatt: 2001:0db8:0000:0000:0000:0000:1428:57ab einfach 2001:0db8::1428:57ab schreiben. Allerdings wäre eine Kurzschreibweise, wie "::" unzulässig, da nicht mehr klar wäre, wie viele Nullen an welcher Stelle aufzufüllen sind. HERDT-Verlag 15

8 3 Microsoft Windows Server Aufbau und Verwaltung eines Netzwerks Eine Aufteilung in verschiedene Netzwerkklassen, wie man sie aus IPv4 kannte, gibt es in IPv6 nicht mehr. Üblicherweise stellen die ersten 64 Bit die Netzwerk-ID und die letzten 64 Bit die Host ID dar. Es gibt jedoch, ähnlich wie in IPv4, spezielle Adressen mit Sonderfunktionen: :: /128 ist eine undefinierte IPv6-Adresse - entspricht der IPv4-Adresse ::1 /128 ist das lokale Interface - entspricht der IPv4-Adresse fe80::/10 ff00 /8 0:0:0:0:0:ffff::/96 fc00::/7 sind linklokale Adressen, die im Rahmen einer Autokonfiguration verwendet werden könnten und die nicht geroutet werden sollen stellen Multicast-Adressen dar sind sogenannte Mapped IPv6-Adressen. Die letzten 32 Bit enthalten hier die IPv4-Adressen von konvertierten IPv4-Paketen. Auf diese Weise können Router IPv4-Pakete auch durch IPv6-Netzwerke befördern. stehen für sogenannte ULA - Unique Local Adresses. Adressen mit dem Präfix fc sind global zugewiesene, eindeutige ULAs, während Adressen mit dem Präfix fd lokal generierte ULAs anzeigen. Nach dem Präfix kommt eine 40-Bit Site-ID, die den Standort angibt, gefolgt von 16 Bit für die Subnet-ID. Die letzten 64 Bit sind die Host ID. Dieses System tritt die Nachfolge der privaten IP-Adressen aus dem IPv4-Bereich an, da es eine unkomplizierte lokale Vergabe von Adressen ermöglicht. Im Gegensatz zum IPv4 wären diese IP- Adressen allerdings aus den öffentlichen Netzwerken ohne NAT-Probleme direkt adressierbar. Netzwerkadresse Die Netzwerkadresse dient der Lokalisation eines Rechners. So können in einer Firma mehrere Netzwerke vorhanden sein, die sich durch unterschiedliche Netzwerkadressen auszeichnen. Wenn ein Computer dann eine Verbindung zu einem anderen Computer aufbauen soll, muss diese Verbindung über einen Rechner vermittelt werden, der eine Verbindung zu beiden Netzen hat. Dieser Vorgang wird als Routing bezeichnet. Routing Routing kommt von dem englischen Wort Route, was so viel wie Weg bedeutet. Der Router hat also die Aufgabe, den Weg zu einer Adresse zur Verfügung zu stellen, die sich in einem anderen Netz befindet. Dieses andere Netz kann auch das Internet sein. Der Router muss sich mindestens in zwei Netzen befinden. Diese Netze können physikalisch (z. B. Glasfaser und Twisted-Pair-Kabel) oder logisch (verschiedene Adressbereiche) unterschiedlich sein. Standard-Gateway Den Standardweg in andere Netze vermittelt das sogenannte Standard-Gateway. Es handelt sich dabei um die Adresse eines Rechners, dem die Aufgabe zukommt, das Routing in andere Netze zu übernehmen. Am häufigsten wird das Standard-Gateway die Verbindung zum Internet zur Verfügung stellen. 3.3 Vergabe von IP-Adressen Identifikation im Netzwerk Generell werden zur Identifikation eines Rechners im Netzwerk drei Informationen benötigt: Die MAC-Adresse ist eine vom Hersteller direkt der Netzwerkkarte zugewiesene Identifikationsnummer. Dieser Adresse wird die IP-Adresse zugeordnet. Diese wird im Netzwerk vergeben. Benutzer können den Rechner über einen Namen ansprechen. Dieser wird in die IP-Adresse aufgelöst. 16 HERDT-Verlag

9 Netzwerk mit Windows 3 Adressierung mit konstanter IP-Adresse Die Vergabe einer konstanten IP-Adresse ist in erster Linie für Server vorgesehen. Vor allem Rechner, die das Netzwerk an sich begründen oder zentrale Adressierungsfunktionen für das Netzwerk bereitstellen, müssen immer die gleiche IP-Adresse haben. Domänencontroller DNS-Server DHCP-Server IP-Autokonfiguration Forderung nach automatischer Adressierung Für Computer, die als Workstations genutzt werden, ist die Vergabe einer konstanten IP-Adresse nicht nötig und oft sogar auch nicht ratsam. Eine Workstation muss nicht jeden Tag die gleiche IP-Adresse haben. Tatsächlich lassen sich Workstations viel einfacher verwalten und schneller adressieren, wenn sie IP-Adressen automatisch erhalten. Mechanismen IP-Autokonfiguration dynamische Adressierung mittels DHCP Workstations sind standardmäßig dafür vorgesehen, eine IP-Adresse von einem DHCP-Server zu beziehen. Nur falls ein DHCP-Server nicht verfügbar ist, greift die IP-Autokonfiguration, denn ein Computer mit TCP/IP- Protokoll benötigt beim Hochfahren eine IP-Adresse. Mechanismus und Beschränkung der IP-Autokonfiguration Bei der IP-Autokonfiguration gibt sich der Rechner selbst eine IP-Adresse. Sind weitere Computer im Netzwerk vorhanden, stimmen die Computer ihre IP-Adressen so aufeinander ab, dass Datenaustausch untereinander möglich ist. Die IP-Autokonfiguration ist nur für kleinere Installationen in Netzwerken für Privatanwender gedacht. Von einer Verwendung dieses Features in gewerblich genutzten Netzwerken wird abgeraten. Dynamische IP-Adressierung Es ist möglich, dass der Computer beim Starten automatisch einen spezialisierten Server um die Zuweisung einer Adresse zu seinem Namen ersucht. Dieser Server wird DHCP-Server genannt. DHCP steht für Dynamic Host Configuration Protocol und bedeutet, dass einem Rechner eine IP-Adresse zugewiesen wird. Außer der IP-Adresse können dem Rechner auch noch weitere Informationen über Adressen von wichtigen Servern vermittelt werden, die ihm eine reibungslose Kommunikation im Netzwerk ermöglichen und den Aufwand der manuellen Konfiguration minimieren. Die Workstation erhält die IP-Adresse beim Hochfahren aus dem IP-Adressenpool des DHCP-Servers und gibt sie beim Herunterfahren wieder an den DHCP-Server zurück. DHCP unter Windows verfügt darüber hinaus über eine besondere Neuerung: Wenn einem Computer eine Adresse zugewiesen wurde, wird diese Zuordnung anschließend an den DNS-Server weitergeleitet, sofern dieser dynamisches DNS unterstützt. DNS-Server Der DNS-Server (Domain Name System) hält eine Datenbank bereit, in der die Rechnernamen den zugehörigen IP-Adressen zugeordnet sind. Er hat die Aufgabe einer Telefonauskunft für das Netzwerk. Besonders wichtig wird DNS, wenn die Kommunikation mit dem Internet hergestellt werden soll. Wenn eine Adresse nicht aufgelöst werden kann, verweist der DNS-Server auf einen weiteren DNS-Server, bis die Adressauflösung funktioniert oder klar wird, dass die Adresse nicht aufgelöst werden kann. HERDT-Verlag 17

10 3 Microsoft Windows Server Aufbau und Verwaltung eines Netzwerks Das DNS-Server-System stammt aus dem Internet, wo meist mit statischen Adresslisten gearbeitet wird. Diese werden in sogenannten HOST-Dateien gespeichert. Unter Windows wird DNS jedoch auch zur internen Adressauflösung gebraucht und ist in Verbindung mit DHCP fähig, die Adressen dynamisch zu verwalten. WINS-Server Der Windows Internet Naming Service ist ein Dienst zur dynamischen Adressauflösung unter Windows NT. Er basiert auf NetBIOS. Dies hat gegenüber den älteren Versionen des statischen DNS den Vorteil, dass weniger Verwaltungsarbeit nötig ist. Aus Gründen der Abwärtskompatibilität unterstützen aktuelle Windows- Versionen noch die Namenskonventionen von WINS. Obwohl WINS inzwischen als überholter Dienst zur Namensauflösung gilt, existieren noch erstaunlich viele Anwendungs- und Dienstimplementationen, die zuverlässiger laufen, wenn im Netzwerk auch ein WINS-Server vorhanden ist. 3.4 Verzeichnisdienste Aufgabe von Verzeichnisdiensten Verzeichnisdienste haben die Aufgabe, die Ressourcen eines Netzwerks für alle selektiv verfügbar zu machen. Ressource ist alles, was zum Netzwerk gehört, z. B. Benutzer, Computer, Dienste, gemeinsam verwendete Anwendungen und gemeinsam verwendete Daten oder Geräte im Netzwerk. Selektion bedeutet Auswahl. Selektiv verfügbar bedeutet Verwenden auf bestimmte, definierte Weise. Verwenden auf bestimmte Weise kann auch heißen Gar-nicht-verwenden. Mit alle schließlich sind sämtliche Personen gemeint, die auf Netzwerkressourcen zugreifen (beispielsweise über ein LAN oder das Internet). Leistungsfähigkeit von Verzeichnisdiensten Die Leistungsfähigkeit eines Verzeichnisdiensts bestimmt sich beispielsweise nach der Anzahl der verwaltbaren Objekte (Ressourcen wie Benutzer, Geräte, Datenbestände usw.) zahlreichen Sicherheitsanforderungen der Unterstützung verschiedener Anforderungen für die Verwaltung (z. B. die Delegierung von Verwaltungsaufgaben oder die Fernverwaltung) der Erweiterbarkeit des Dienstes, um beispielsweise die Fusion zweier Firmen realisieren zu können der Flexibilität bei der Gestaltung, um beliebige Firmenstrukturen oder Hierarchien abzubilden der Performance dem Maß der Verfügbarkeit - auch bei Ausfall eines Teilsystems Zusammenarbeit mit Verzeichnisdiensten anderer Hersteller Unterstützung und Integration von internationalen Standards der Berücksichtigung der Netzwerkinfrastruktur (schnelle/langsame Datenübertragungswege) Active Directory Das Active Directory sind die Verzeichnisdienste in Windows-Netzwerken. Beim Active Directory handelt es sich um eine hierarchische und verteilte Datenbank. Sie basiert auf Microsoft-eigenen Datenbank-Funktionen (ESE, Extensible Storage Engine). 18 HERDT-Verlag

11 Netzwerk mit Windows 3 Leistungsmerkmale des Active Directory Anzahl verwaltbarer Objekte Sicherheit Verwaltung Erweiterbarkeit Flexibilität Performance Verfügbarkeit Interoperabilität Unterstützung von Standards Bezug auf die Netzwerkinfrastruktur In einem Windows-Netzwerk können beispielsweise 1,5 bis 20 Millionen Benutzerobjekte verwaltet werden. Windows bietet bestmögliche Sicherheit im Netzwerk durch Einsatz des Authentifizierungsprotokolls KerberosV5 und die verschiedenen Sicherheitskonzepte der Active-Directory-Verzeichnisdienste. Sowohl die Delegierung von Verwaltungsaufgaben als auch die Fernverwaltung werden durch die Active-Directory-Verzeichnisdienste unterstützt. Erweiterung einer vorhandenen Struktur durch Hinzufügen neuer Elemente ist problemlos möglich. Hohe Flexibilität und Erweiterbarkeit durch Verschachtelungen. Die Verschachtelungstiefe ist in logischer Hinsicht unbegrenzt, findet ihre Beschränkungen jedoch in den physischen Gegebenheiten. Sie haben die Möglichkeit, Hierarchien mit mehr als zwei Stufen zu bilden. Hohe Performance z. B. durch Begrenzung der zu übertragenden Datenmengen Hohe Verfügbarkeit wird durch die Bereitstellung von Redundanz der Verzeichnisinformationen erreicht. Weitere Funktionen sind Fehlertoleranz und die Möglichkeit, die Verzeichnisdienste auf einem Server nach einem Ausfall wiederherzustellen. Die Verfügbarkeit wurde auch durch Verbesserung des Treibermodells erhöht. Windows bietet Unterstützung für die weit verbreiteten Verzeichnisdienste der verschiedenen Hersteller. Hierzu stellt es die Zugriffe auf alle Active-Directory-Funktionen über standardisierte Schnittstellen bereit und beinhaltet außerdem verschiedene Mechanismen zur Synchronisation. Unterstützung für alle internationalen Standards, die momentan für den Netzwerkbetrieb in LAN und WAN etabliert sind Berücksichtigung von Geschwindigkeiten verschiedener Übertragungswege bei der Häufigkeit der Übertragungen von Verzeichnisinformationen 3.5 Sicherheitsfunktionen Sicherheit durch die Active-Directory-Verzeichnisdienste Der Verzeichnisdienst von Windows gewährt die Sicherheit des Netzwerks auf der logischen Ebene. Zu den Prinzipien gehören Anmeldeauthentifizierung, Gruppenrichtlinien und Zugriffsberechtigungen. Kerberos Kerberos in der Version 5 ist das Standardprotokoll für die Benutzerauthentifizierung im Windows-Netzwerk. Bei Einsatz des Kerberos-Protokolls können Server Zugriffe des Clients auf andere Server ermöglichen, indem sie jeweils ein Sitzungsticket für eine Anwendung oder einen Dienst anfordern. Neben Kerberos wird - zur Interoperabilität mit bestehenden Netzwerken - auch weiterhin NTLM, das bisherige standardmäßige Authentifizierungsprotokoll von Windows NT, unterstützt. Verschlüsselungen Verschlüsselungen sind eine Methode, Sicherheit für Daten in physikalischer Hinsicht zu gewähren. Die Verschlüsselung können Sie nutzen für Dateien, z. B. durch den Einsatz von EFS (Encrypted File System). Aber auch Daten auf Reisen können verschlüsselt werden. Hierzu unterstützt Windows verschiedene Authentifizierungsprotokolle, z. B., CHAP, MS-CHAP und EAP. Neben diesen Protokollen, die allein den Datenaustausch für den Anmeldevorgang bewerkstelligen, gibt es zahlreiche Protokolle, die der sicheren Datenübertragung im Allgemeinen dienen. Hierzu gehören beispielsweise IPsec und SSL. HERDT-Verlag 19

12 3 Microsoft Windows Server Aufbau und Verwaltung eines Netzwerks 3.6 Verwaltungsfunktionen Windows-Deployment-Dienste (Windows Deployment Services, WDS) Die Windows-Deployment-Dienste ermöglichen eine schnelle Installation von Workstations. Wesentliche Elemente dieses Verfahrens sind die Speicherung eines Abbildes einer Workstation mit der gewünschten Konfiguration (Disk-Image) auf einem WDS-Server und die Installation des Betriebssystems über das Netzwerk. Gruppenrichtlinien Die Gruppenrichtlinien sind ein mächtiges Verwaltungsinstrument unter Active Directory. Mit ihnen können beispielsweise die Desktops der verschiedenen Benutzer verwaltet werden und Anwendungen von zentraler Stelle aus auf Workstations verteilt werden. Microsoft Management Console MMC ist eine Verwaltungsplattform, mit der die verschiedenen Programme zur Verwaltung aufgerufen werden können. Sie können die MMC anpassen, indem Sie nur solche Tools aufnehmen, die Sie zur Ausführung der Verwaltungsarbeiten benötigen. Windows Powershell Die Powershell ist Microsofts Neuauflage der in die Jahre gekommenen CMD.EXE-Eingabeaufforderung. Mit vielfältigen Befehlen und Verknüpfungsoptionen ist sie ein mächtiges Werkzeug für einen Systemadministrator. Windows Management Interface Das WMI ist eine Software-Schnittstelle, mit der Verwaltungsprogramme von entfernten Systemen aus aufgerufen werden können. Terminal Services Terminaldienste ermöglichen Benutzern den Fernzugriff auf einen Computer. Sie übertragen nur die Benutzeroberfläche eines Programms auf den Arbeitsplatz des Benutzers. Der Terminalserver übernimmt die gesamte Rechenleistung für die Datenverarbeitung. Die Terminal Services sind in jeder Windows-Server Version (außer Windows Web Server 2008) integriert. Benutzer können sich beispielsweise über VPN mit dem Netzwerk verbinden. 20 HERDT-Verlag

13 Netzwerk mit Windows Netzwerkinfrastruktur DHCP DHCP-Server vergeben an Workstations eindeutige IP-Adressen. Unter Windows müssen DHCP-Server im Active Directory autorisiert werden. DNS DNS spielt im Windows Active Directory eine zentrale Rolle. Es ist Voraussetzung für die Active-Directory- Verzeichnisdienste. DNS unter Windows unterstützt dynamische Aktualisierungen. Dynamische Aktualisierung ist ein Vorgang, bei dem die IP-Adresse einer Workstation automatisch im DNS registriert wird. Hierzu arbeiten DNS-Server und DHCP-Server Hand in Hand. Die Zusammenarbeit zwischen DNS-Servern und DHCP- Servern ermöglicht zudem die dynamische Registrierung von Workstations, die nicht mit den Betriebssystemen Windows 2000 Professional, XP oder Vista betrieben werden. In der DNS-Datenbank werden außer der Zuordnung von Workstation-Namen zu IP-Adressen auch Informationen über die vorhandenen Netzwerkdienste gespeichert. Damit können Workstations DNS nutzen, um beispielsweise einen Server zu ermitteln, der die Benutzeranmeldung durchführen kann. 3.8 Dateiverwaltung, Dateisystem Distributed File System Das Distributed File System ermöglicht, eine einzige Verzeichnisstruktur für die Datenbestände einer Organisation oder Abteilung oder der gesamten Firma zu erstellen. Datenträgerkontingente Auf NTFS-Datenträgern können Sie die Speicherplatzbelegung verwalten. Hierzu weisen Sie dem Benutzer Speicherplatz zu, den er dann zum Speichern seiner Dateien verwenden kann. Damit unterbinden Sie, dass Benutzer für ihre Daten zu viel Platz beanspruchen. NTFSv6 NTFS in der Version 6 ist gegenüber der Version 5 um einige neue Funktionen bereichert worden. Hierzu zählen beispielsweise die Selbstheilungsfunktion und die Transaktionsorientierung bei Festplattenzugriffen. HERDT-Verlag 21