;%:2 %YXSVIR1MGLEIP6EMXL(V,IRHVMO7MIKQYRH0]HME:SPP %YJPEKIZSQ(I^IQFIV F],)6(8:IVPEKJÚV&MPHYRKWQIHMIR+QF, &SHIRLIMQ -RXIVRIX[[[LIVHX]SYHIEXGL [[[LIVHXFYWMRIWWHIEXGL [[[LIVHXZLWHIEX %PPI 6IGLXI ZSVFILEPXIR /IMR 8IMP HIW ;IVOIW HEVJ MR MVKIRHIMRIV*SVQ(VYGO*SXSOSTMI1MGVSJMPQSHIVIMRIQ ERHIVIR :IVJELVIR SLRI WGLVMJXPMGLI +IRILQMKYRK HIW,IVEYWKIFIVW VITVSHY^MIVX SHIV YRXIV :IV[IRHYRK IPIOXVSRMWGLIV 7]WXIQI ZIVEVFIMXIX ZIVZMIPJÂPXMKX SHIV ZIVFVIMXIX[IVHIR (MIWI 9RXIVPEKI [YVHI QMX KVS½IV 7SVKJEPX IVWXIPPX YRH KITVÚJX 8VSX^HIQ OÔRRIR *ILPIV RMGLX ZSPPOSQQIR EYW KIWGLPSWWIR [IVHIR :IVPEK,IVEYWKIFIV YRH %YXSVIR OÔRRIRJÚVJILPIVLEJXI%RKEFIRYRHHIVIR*SPKIR[IHIV IMRI NYVMWXMWGLI :IVERX[SVXYRK RSGL MVKIRHIMRI,EJXYRK ÚFIVRILQIR (MI &MPHYRKWQIHMIR HIW,)6(8:IVPEKW IRXLEPXIR 0MROW F^[ :IV[IMWI EYJ -RXIVRIXWIMXIR ERHIVIV %RFMIXIV %YJ -RLEPX YRH +IWXEPXYRK HMIWIV %RKIFSXI LEX HIV,)6(8 :IVPEK OIMRIVPIM )MRJPYWW,MIVJÚV WMRH EPPIMRI HMI NI[IM PMKIR%RFMIXIVZIVERX[SVXPMGL 1MGVSWSJX 7INDOWS3ERVER %YJFEYYRH:IV[EPXYRKIMRIW2IX^[IVOW Ã Ã Ã ;%:2
INHALTSVERZEICHNIS Windows Server 2003 - Aufbau und Verwaltung eines Netzwerks 1 Informationen zu dieser Unterlage...6 1.1 Voraussetzungen und Ziele... 6 1.2 Aufbau und Konventionen... 7 2 Das Betriebssystem Windows Server 2003...8 2.1 Windows Server 2003... 8 2.2 Die Architektur von Windows Server 2003 und Windows 2000/XP... 10 2.3 Dateisysteme... 11 3 Netzwerk mit Windows...14 3.1 Grundlagen des Netzbetriebes... 14 3.2 TCP/IP... 17 3.3 Vergabe von IP-Adressen... 18 3.4 Verzeichnisdienste... 19 3.5 Sicherheitsfunktionen... 20 3.6 Verwaltungsfunktionen... 21 3.7 Netzwerkinfrastruktur... 22 3.8 Dateiverwaltung, Dateisystem... 22 4 Windows Server 2003 installieren...24 4.1 Vorüberlegungen... 24 4.2 Vorbereitungen... 26 4.3 Netzwerk in der Testumgebung... 27 4.4 Einen Windows Server 2003 installieren... 28 4.5 Anmelden... 31 4.6 Aufbau der Testumgebung... 32 5 Active Directory und der Domänennamespace...34 5.1 Grundlagen zu Active Directory... 34 5.2 Domänennamespace... 35 5.3 Grundlagen zu DNS... 36 5.4 Namensauflösung... 36 5.5 Dynamisches DNS... 38 5.6 Informationsmanagement des Domänennamespace... 38 5.7 Beispiel für einen Domänennamespace... 40 5.8 Aufbau der DNS-Datenbank... 40 6 Neue Domäne aufbauen...42 6.1 Entwurf für die Testumgebung... 42 6.2 TCP/IP konfigurieren... 44 6.3 Installation der Verzeichnisdienste vorbereiten... 46 6.4 Untergeordnete Domäne erstellen... 47 6.5 Domänencontroller zur Domäne hinzufügen... 50 6.6 DNS-Dienst installieren... 51 6.7 DNS erkunden und anpassen... 53 7 Workstations in die Domäne aufnehmen...56 7.1 Dynamic Host Configuration Protocol... 56 7.2 DHCP-Serverdienst einrichten... 57 7.3 DHCP-Server im Active Directory autorisieren... 58 7.4 Windows-Workstations in die Domäne aufnehmen... 59 8 Anpassungen...62 8.1 Computer konfigurieren - Systemsteuerung... 62 8.2 Anwendungsprogramme installieren... 62 8.3 Windows-Komponenten verwalten... 63 8.4 Aktuelle Konfiguration einsehen... 64 8.5 Einstellungen des Betriebssystems ändern... 66 8.6 Hardware-Profile erstellen... 68 8.7 Dienste starten und verwalten... 69 8.8 Geräte verwalten... 71 8.9 Energieverwaltung... 72 9 Hardware hinzufügen...74 9.1 Hardware-Komponenten und Treiber... 74 9.2 Das WDM-Treibermodell... 75 9.3 Plug & Play... 75 9.4 Hardware installieren... 76 9.5 Hardware konfigurieren... 77 9.6 Einzelne Geräte installieren... 79 9.7 Hardware deinstallieren... 80 9.8 Problembehandlung... 81 10 Einführung in Active Directory...84 10.1 Skalierbarkeit und Standards... 84 10.2 Logische Struktur... 85 10.3 Objekt... 86 10.4 Organisationseinheit... 86 10.5 Domäne... 87 10.6 Strukturen und Gesamtstrukturen... 88 10.7 Konventionen für die Benennung von Objekten... 89 10.8 Physische Struktur... 90 10.9 Standort... 91 10.10 Domänencontroller... 92 10.11 Globaler Katalog und Betriebsmaster... 92 10.12 Active Directory erkunden... 94 10.13 In den einheitlichen Domänenmodus wechseln... 95 11 Physische Struktur des Netzwerks erkunden...96 11.1 Standorte und Standortplanung... 96 11.2 Replikationstopologie... 98 11.3 Physische Struktur der Testumgebung... 99 11.4 Der Befehl RUNAS... 99 11.5 Replikationstopologie erkunden... 100 11.6 Globalen Katalogserver erkunden... 101 12 Active-Directory-Objekte verwalten...102 12.1 Benutzerkonto... 102 12.2 Computerkonto... 103 12.3 Container der Domäne erkunden... 103 12.4 Entwurf für die Domäne Nord... 104 12.5 Organisationseinheiten erstellen... 104 12.6 Benutzerkonto erstellen... 105 12.7 Computerkonto erstellen... 107 12.8 Übung... 107 13 Gruppen verwalten...108 13.1 Gruppentypen... 108 13.2 Gruppenbereiche... 108
Inhaltsverzeichnis 13.3 AGDLP-Regel...110 13.4 Gruppenplanung...110 13.5 Gruppenplanung mit globalen und lokalen Gruppen...111 13.6 Globale Gruppe erstellen und verwalten...113 13.7 Lokale Gruppe erstellen und verwalten...114 13.8 Gruppenplanung mit universalen Gruppen...116 13.9 Universale Gruppe erstellen und verwalten...116 14 Dateidienste einrichten...118 14.1 Freigaben und Veröffentlichungen...118 14.2 NTFS-Berechtigungen...119 14.3 Ordner freigeben...120 14.4 Freigaben veröffentlichen...123 14.5 NTFS-Berechtigungen für Ordner vergeben...125 14.6 Objektbesitz verwalten...128 15 Distributed File System einrichten...130 15.1 Distributed File System...130 15.2 Entwurf für ein DFS in der Testumgebung...132 15.3 Eigenständigen DFS-Stamm erstellen...133 15.4 Untergeordneten Knoten hinzufügen...135 15.5 Hierarchie im DFS erzeugen...136 16 Drucker verwalten...138 16.1 Drucker im Netzwerk...138 16.2 Drucker installieren...140 16.3 Drucker konfigurieren...142 16.4 Druckerwarteschlange verwalten...144 16.5 Druckaufträge verwalten...145 16.6 Berechtigungen und Gruppen verwalten...146 16.7 Mehrere Druckerwarteschlangen verwalten...149 16.8 Druckserver verwalten...150 16.9 Probleme beim Drucken beheben...151 17 Benutzerprofile verwalten...152 17.1 Arbeitsumgebung des Benutzers...152 17.2 Benutzerprofil...153 17.3 Basisordner...154 17.4 Serverbasierte Profile, Basisordner erstellen...155 17.5 Benutzerprofile vordefinieren...156 18 Berechtigungen anpassen, Objektverwaltung delegieren...158 18.1 Berechtigungen...158 18.2 Vererbung von Berechtigungen...160 18.3 Objektverwaltung...161 18.4 Verwaltungstools für die Objektverwaltung...161 18.5 Objektbesitz...162 18.6 Berechtigungen und Berechtigungsvererbung überprüfen und verwalten...163 18.7 Objektverwaltung delegieren...165 19 Domänenrichtlinien bearbeiten...168 19.1 Einsatzbereiche von Gruppenrichtlinien...168 19.2 Domänenrichtlinien...169 19.3 Domänenrichtlinien anpassen...171 19.4 Ordnerumleitung konfigurieren...173 19.5 Richtlinienergebnissatz...175 20 Gruppenrichtlinien implementieren...178 20.1 Gruppenrichtlinienobjekt...178 20.2 Gruppenrichtlinienberechtigungen...179 20.3 Verarbeitung der Gruppenrichtlinieneinstellungen...179 20.4 Vererbung von Gruppenrichtlinien...180 20.5 Gruppenrichtlinienimplementierung planen...181 20.6 Gruppenrichtlinien implementieren...182 20.7 Gruppenrichtlinien bearbeiten...184 21 Überwachung und Fernverwaltung...188 21.1 Überwachung und Leistungsanalyse...188 21.2 Ereignisanzeige...189 21.3 Systemmonitor...190 21.4 Netzwerkmonitor...193 21.5 Auslastung eines Servers kontrollieren...196 21.6 Konsole für die Fernverwaltung erstellen...197 22 Die Registrierungsdatenbank...200 22.1 Die Windows-Server-2003-Registrierung...200 22.2 Registrierungsdaten ansehen...201 22.3 Registrierungsdaten bearbeiten...203 22.4 Registrierungsdaten hinzufügen...204 22.5 Schlüsselsicherheit verwalten...204 23 Datenträgerverwaltung...206 23.1 Datenträger...206 23.2 Organisation des Speicherbereichs...207 23.3 Performance versus Ausfallsicherheit...208 23.4 Datenträger einrichten...208 23.5 Volumes verwalten...210 23.6 Dateisystem konvertieren...211 23.7 Datenträger pflegen...212 23.8 Datenträgerkontingente verwalten...214 23.9 Schattenkopien einsetzen...214 24 Datensicherung...218 24.1 Sicherungsarten und -strategien...218 24.2 Regelmäßige Datensicherung...219 24.3 Sicherung wiederherstellen...223 24.4 Berichte einsehen...225 25 System wiederherstellen...226 25.1 Strategien und Wiederherstellungsfunktionen...226 25.2 Erweiterte Startoptionen...227 25.3 Wiederherstellungskonsole...228 25.4 Systemstatusdaten...229 25.5 Automatische Systemwiederherstellung...231 26 Active-Directory-Verzeichnisdienste wiederherstellen...232 26.1 Methoden zum Wiederherstellen von Active Directory...232 26.2 Testumgebung vorbereiten...233 26.3 Active-Directory-Objekt autorisierend wiederherstellen...234 Stichwortverzeichnis...238 I
3 Windows Server 2003 - Aufbau und Verwaltung eines Netzwerks 3 Netzwerk mit Windows,QGLHVHP.DSLWHOHUIDKUHQ6LH Æ ZHOFKH.RQ]HSWHGHV1HW]ZHUNEHWULHEVHVJLEW Æ ZLHGLH,3$GUHVVLHUXQJIXQNWLRQLHUW Æ ZLHOHLVWXQJVIlKLJGLH9HU]HLFKQLVGLHQVWHVLQG Æ ZHOFKH6LFKHUKHLWVXQG9HUZDOWXQJVIXQNWLRQHQ:LQGRZV6HUYHU]XU 9HUIJXQJVWHOOW Æ ZLHGLH1HW]ZHUNLQIUDVWUXNWXUYRQ:LQGRZV6HUYHUXQWHUVWW]WZLUG 9RUDXVVHW]XQJHQ 9 (UIDKUXQJLP8PJDQJPLW:LQGRZVXQG$QZHQGXQJVSURJUDPPHQ 9.HQQWQLVVHEHUGDV%HWULHEVV\VWHP:LQGRZV3URIHVVLRQDO 3.1 Grundlagen des Netzbetriebes Aufbau von Netzwerken &RPSXWHU ZHUGHQ LPPHU KlXILJHU LQ 9HUEQGHQ HLQJHVHW]W XP 5HVVRXUFHQ JHPHLQVDP QXW]HQ ]X N QQHQ 8QWHU5HVVRXUFHQVLQG]%'UXFNHU]XYHUVWHKHQDXIGLHYRQYHUVFKLHGHQHQ5HFKQHUQDXV]XJHJULIIHQZHU GHQVROODEHUDXFK)XQNWLRQHQGLHHWZDHLQ]HQWUDOHU,QWHUQHWVHUYHU]XU9HUIJXQJVWHOOWVLQG5HVVRXUFHQ 8PGLHVH5HVVRXUFHQ]HQWUDO]XJlQJOLFKPDFKHQ]XN QQHQZHUGHQ1HW]ZHUNIXQNWLRQDOLWlWHQEHQ WLJW Grundlagen der Datenkommunikation 'DPLW,QIRUPDWLRQHQ ]ZLVFKHQ &RPSXWHUQ DXVJHWDXVFKW ZHUGHQ N QQHQ PVVHQ GLHVH EHU YHUVFKLHGHQH.RPSRQHQWHQ YHUEXQGHQ ZHUGHQ 8P GLHVH EHVVHU]X YHUVWHKHQ VROO HLQH $QDORJLH YHUZHQGHW ZHUGHQ GLH GDV.RPPXQLNDWLRQVPRGHOOHUNOlUWGDV7HOHIRQ :ROOHQ]ZHL3HUVRQHQPLWHLQDQGHUNRPPXQL]LHUHQEHQ WLJHQVLHGLYHUVH.RPSRQHQWHQ ; (LQHQ7HOHIRQDSSDUDWGHU6FKDOOZHOOHQLQHOHNWULVFKH6LJQDOHXQGZLHGHU]XUFNYHUZDQGHOW ; (LQHQ$QVFKOXVVPLW.DEHOEHUGHQGLHVH6LJQDOHZHLWHUJHOHLWHWZHUGHQN QQHQ ; (LQH7HOHIRQQXPPHUGLHGD]XGLHQWGHQ(PSIlQJHU]XDGUHVVLHUHQ ; (LQHJHPHLQVDPH6SUDFKHRKQHGLHGLH*HVSUlFKVSDUWQHUVLFKQLFKWYHUVWlQGLJHQN QQHQ Netzwerkkarten %HL&RPSXWHUQLVWGLH.RPPXQLNDWLRQJUXQGOHJHQGLGHQWLVFK$XFKVLHEHQ WLJHQHLQHQ$SSDUDWGHUGLHNRP SOH[HUH6SUDFKHGHU3URJUDPPHLQHOHNWULVFKH6LJQDOHEHUVHW]WGLHGDQQEHUGLH/HLWXQJJHVFKLFNWZHUGHQ 'DIUZHUGHQHQWZHGHU1HW]ZHUNNDUWHQRGHU0RGHPVEHQXW]W'HUDPKlXILJVWHQLQPRGHUQHQ1HW]ZHUNHQ HLQJHVHW]WH9HUELQGXQJVDSSDUDWLVWGLH(WKHUQHW.DUWH Anschluss und Verkabelung 'HU $QVFKOXVV HUIROJW PHLVW EHU HLQ.DEHO ZREHL HV YHUVFKLHGHQH.DWHJRULHQ XQG 9HUNDEHOXQJVVWUXNWXUHQ JLEW'LHVHVWDPPHQ]XP7HLODXVYHUVFKLHGHQHQ3KDVHQGHU(QWZLFNOXQJGHU1HW]ZHUNWHFKQRORJLH]XP7HLO GHFNHQVLHDEHUDXFKYHUVFKLHGHQH$XIJDEHQEHUHLFKHDE'LHIUGDVPRGHUQH1HW]ZHUNZLFKWLJVWH.DWHJRULH VLQGGLH7ZLVWHG3DLU.DEHOGLHKlXILJVWH9HUNDEHOXQJVVWUXNWXULVWHLQHVWHUQI UPLJH9HUNDEHOXQJPLWHLQHP ]HQWUDOHQ9HUWHLOHUNQRWHQ
Netzwerk mit Windows 2000 3 Als Verteilerknoten kommen heute in der Regel Hubs oder Switches zum Einsatz. Dabei handelt es sich um Kabelkonzentratoren, die in etwa mit einer Verteilersteckdose zu vergleichen sind. Sowohl Hubs als auch Switches frischen das Signal auf. Switches unterteilen Netzwerke außerdem in Segmente. Übertragungsgeschwindigkeiten Für die Übertragung von Dateien an einen Drucker werden andere Übertragungsmethoden benötigt als für Bildschirmkonferenzen. Entsprechend gibt es unterschiedliche Übertragungsgeschwindigkeiten. Diese werden nicht in Byte, sondern in Bit pro Sekunde angegeben. Die verbreitetsten Geschwindigkeiten im Ethernet- Bereich sind 10 Megabit/s und 100 Megabit/s. Adressen Das Gegenstück einer Telefonnummer ist etwas komplexer. Eine Reihe von Informationen ist nötig, um die einwandfreie Adressierbarkeit auch in komplexen Netzwerken zu gewährleisten. In der Computerwelt erfolgt diese Adressierung in der Regel mittels einer so genannten IP-Adresse, die ein Bestandteil des TCP/IP-Protokollstapels ist. Sprachen Die Protokolle dienen neben der Identifikation auch anderen Zwecken. Sie sind zugleich die Sprache, die Computer benutzen müssen, um sich zu verständigen. Nur wenn die Kommunikationspartner dieselbe Sprache sprechen, kann Kommunikation erfolgreich sein. Darum kommt den diversen Protokollen, die in modernen Netzwerken gebraucht werden, häufig auch eine spezielle Funktion zu, wie etwa der Verbindungsaufbau oder die Suche von Kommunikationspartnern im Netz. Dieser Teil der Netzwerkkommunikation erfolgt jedoch automatisch und erfordert keine Eingriffe vom Benutzer. Darum soll er auch nicht weiter behandelt werden. Die Einstellungen des Benutzers betreffen nur Adressierungs- und Übertragungsprotokolle, wobei in modernen Netzwerken hauptsächlich die aus dem Internet stammende TCP/IP-Protokollfamilie zum Einsatz kommt. Arbeitsgruppen Wenn mehrere Computer in einem Netzwerk als gleichberechtigte Partner stehen, wird dies als Arbeitsgruppe bezeichnet. Ein weiterer Begriff hierfür ist Peer-to-Peer-Netzwerk (Partner-zu-Partner-Netzwerk). Jeder Rechner in der Arbeitsgruppe funktioniert als allein stehende, vollwertige Einheit, die aber bei Bedarf Daten mit anderen Einheiten austauschen kann. Diese Einheiten können sowohl andere Rechner als auch beispielsweise Drucker sein. Das Peer-to-Peer-Konzept eignet sich nur in sehr kleinen Netzwerken mit maximal 10 Benutzern. Wollen Sie dagegen größere Benutzerzahlen und Computerverbände in einem Netzwerk unterbringen, müssen Sie eine Domäne einrichten. Notizen 15
3 Windows Server 2003 - Aufbau und Verwaltung eines Netzwerks Domänen Eine Domäne ist ein Verband von Computern, die hierarchisch strukturiert zusammenarbeiten. Dabei kommt dem Rechner mit Windows 2000/XP Professional die Aufgabe des Clients zu. Die Domäne ist in logischer Hinsicht die Sicherheitsinstanz des Netzwerks. Benutzer melden sich im Netzwerk bzw. in der Domäne an. Hierfür werden Konten für die Benutzer in der Domäne erstellt und verwaltet. Neben den Benutzern verfügen auch die Computer jeweils über ein Konto in der Domäne. Sie werden auf diese Weise in das Sicherheitskonzept der Domäne eingebunden und sind schützenswerte und geschützte Ressourcen. Die Aufgabe, die Domäne zu verwalten und das Sicherheitskonzept des Netzwerks durchzusetzen, obliegt den so genannten Domänencontrollern. Hierfür werden leistungsfähige Computer mit dem Betriebssystem Windows Server 2003 eingesetzt. Die Domänencontroller müssen den Netzwerkbetrieb aufrechterhalten. Um das Netzwerk gegen Ausfälle zu sichern, werden deshalb nach Möglichkeit mehrere Domänencontroller bereitgestellt, die die Domäneninformationen untereinander aktualisieren und weitergeben. Client/Server-Aufgabenverteilungen Ein weiterer Aspekt ist die Verteilung von Aufgaben zwischen verschiedenen Computern in einem Netzwerk. Nicht jeder Computer hat immer dieselben Aufgaben wie ein anderer. Arbeitsstation Domänencontroller File-Server Print-Server Proxy-Server Terminal-Server Die Arbeitsstation wird auch als Workstation bezeichnet. An ihr werden die meisten Programme ausgeführt. Sie ist in den meisten Fällen der Arbeitsplatzrechner, von dem aus der Benutzer auf die anderen Rechnertypen zugreift. Der Domänencontroller hat die Aufgabe, die Zugriffe auf das Netzwerk und seine Komponenten zu regulieren. Auf ihm werden die Benutzerverwaltung und die Sicherheitsstruktur eines Netzwerkes festgelegt. Der File-Server hat die Aufgabe, Daten im Netz zur Verfügung zu stellen. Durch diese Zentralisierung können Benutzer von jeder Arbeitsstation aus auf ihre Daten zugreifen, und auch Bandsicherungen (Backups) können an zentraler Stelle vorgenommen werden. Der File-Server muss nicht in jedem Fall mit einem Server-Betriebssystem laufen. Diese Aufgabe kann auch von einem Client-Betriebssystem wahrgenommen werden, welches dann allerdings weniger leistungsfähig ist. Wenn über das Netzwerk gedruckt werden soll, so kommen meistens Druckserver ins Spiel, auf denen die Druckerverwaltung zentralisiert wird. Der Proxy-Server hat die Aufgabe, den Clients eines Netzwerkes Internetseiten zur Verfügung zu stellen, die dadurch nicht jedes Mal neu aus dem Internet bezogen werden müssen. Auch sind auf ihm häufig Sicherheitsmechanismen integriert, die den Zugang vom und zum Netz regulieren. Eine besondere Rolle hat der Terminal-Server. Er stellt Clients seine Rechenkapazität zur Verfügung, indem auf ihm Programme laufen, die vom Client aus gesteuert werden können. Ein typisches Einsatzgebiet sind städtische Informationssysteme, bei denen nur ein Bildschirm und eine eingeschränkte Tastatur den Zugriff auf das Serversystem erlauben. Die verschiedenen Servertypen müssen nicht auf verschiedenen Computern durchgeführt werden. Ein Domänencontroller kann durchaus auch als Datei- und Druckserver dienen, wenn die Belastung des Rechners dies erlaubt. In großen Netzwerken wird dagegen häufig eine Serverfunktionalität auf mehrere Computer verteilt sein, um so eine effiziente Bereitstellung der Dienste zu gewährleisten. Dienste Dienste sind von Servern bereitgestellte Funktionen. Hinter den Serveraufgaben steckt eine Vielzahl von Diensten. So laufen auf einem Domänencontroller beispielsweise der Anmeldedienst, der Nachrichtendienst, der Schlüsselverwaltungsdienst, Netzwerkdienste usw. Aber auch auf jedem Arbeitsplatzrechner gibt es eine Vielzahl von Diensten. Sie laufen im Hintergrund und ermöglichen es dem Benutzer, auf die Funktionen des Rechners und des Netzwerkes zuzugreifen. 16
Netzwerk mit Windows 2000 3 Netzwerkprotokolle Die Netzwerkprotokolle dienen der Kommunikationssteuerung im Netzwerk. Über sie werden Computer identifiziert und Kommunikationswege etabliert. Sie steuern die Prozesse der Datenübermittlung zwischen den Programmen und dem physikalischen Übertragungsweg sowie zwischen den Computern. Windows unterstützt die meisten Netzwerkprotokolle, so z. B. TCP/IP, IPX/SPX und NetBIOS/NetBEUI. In Windows-Netzwerken wird aus Gründen der Abwärtskompatibilität auf das NetBIOS-Protokoll noch Bezug genommen, so z. B. bei der Benennung von Computern. In modernen Netzwerken wird TCP/IP eingesetzt. Kommunikation mit dem Internet ist ohne TCP/IP nicht möglich. 3.2 TCP/IP Aufbau der IP-Adresse Die IP-Adresse ist die "Telefonnummer" des Computers. Sie hat die Aufgabe, einen Computer eindeutig zu lokalisieren. IP-Adresse: 192.168. 24.105 Subnetzmaske: 255.255.255. 0 Sie ist 32 Bit lang, wird aber aus Gründen der Lesbarkeit für Menschen meist in 4 Gruppen zu 8 Bit dargestellt. Diese 4 Netzwerkadresse: 192.168. 24. 0 Zahlen (Bytes, Oktetts) können Werte zwischen 0 und 255 annehmen. Rechneradresse: IP-Adresse 105 Die IP-Adresse besteht aus zwei Teilen: Netzwerkadresse Rechneradresse (Hostadresse) Je nach Größe des Netzwerks beansprucht die Netzwerkadresse ein, zwei oder drei Byte. Entsprechend bilden dann drei, zwei oder ein Byte die Hostadresse. Bis vor wenigen Jahren war die Aufteilung in Netzwerkadresse und Hostadresse fix. Das heißt, anhand des ersten Bytes einer IP-Adresse konnte man feststellen, in welche so genannte Netzwerkklasse eine IP-Adresse gehörte und wie viele Bytes demzufolge jeweils für Netzwerk- und Host-ID reserviert waren. Mit der Einführung der so genannten klassenlosen IP-Adressen ist es möglich geworden, die Verteilung der Bits auf Netzwerk- und Hostadresse beliebig vorzunehmen. Damit allerdings bei der Kommunikation diese beiden Teile korrekt unterschieden werden können, wird eine zusätzliche Information benötigt, die so genannte Subnetzmaske. Die Subnetzmaske ist, wie die IP-Adresse, 32 Bit lang und enthält an allen Stellen ein 1-Bit, die an entsprechender Position in der IP-Adresse die Netzwerkadresse kennzeichnen. Stellen mit einem 0-Bit markieren demzufolge also Bits, die die Host-Adresse angeben. Netzwerkadresse Die Netzwerkadresse dient der Lokalisation eines Rechners. So können in einer Firma mehrere Netzwerke vorhanden sein, die sich durch unterschiedliche Netzwerkadressen auszeichnen. Wenn ein Computer dann eine Verbindung zu einem anderen Computer aufbauen soll, muss diese Verbindung über einen Rechner vermittelt werden, der eine Verbindung zu beiden Netzen hat. Dieser Vorgang wird als Routing bezeichnet. Routing Routing kommt von dem englischen Wort Route, was so viel wie Weg bedeutet. Der Router hat also die Aufgabe, den Weg zu einer Adresse zur Verfügung zu stellen, die sich in einem anderen Netz befindet. Dieses andere Netz kann auch das Internet sein. Der Router muss sich mindestens in zwei Netzen befinden. Diese Netze können physikalisch (z. B. Glasfaser und Twisted-Pair-Kabel) oder logisch (verschiedene Adressbereiche) unterschiedlich sein. 17
3 Windows Server 2003 - Aufbau und Verwaltung eines Netzwerks Standard-Gateway Den Standardweg in andere Netze vermittelt das so genannte Standard-Gateway. Es handelt sich dabei um die Adresse eines Rechners, dem die Aufgabe zukommt, das Routing in andere Netze zu übernehmen. Am häufigsten wird das Standard-Gateway die Verbindung zum Internet zur Verfügung stellen. 3.3 Vergabe von IP-Adressen Identifikation im Netzwerk Generell werden zur Identifikation eines Rechners im Netzwerk drei Informationen benötigt: Die MAC-Adresse ist eine vom Hersteller direkt der Netzwerkkarte zugewiesene Identifikationsnummer. Dieser Adresse wird die IP-Adresse zugeordnet. Diese wird im Netzwerk vergeben. Benutzer können den Rechner über einen Namen ansprechen. Dieser wird in die IP-Adresse aufgelöst. Adressierung mit konstanter IP-Adresse Die Vergabe einer konstanten IP-Adresse ist in erster Linie für Server vorgesehen. Vor allem Rechner, die das Netzwerk an sich begründen oder zentrale Adressierungsfunktionen für das Netzwerk bereitstellen, müssen immer die gleiche IP-Adresse haben. Domänencontroller DNS-Server DHCP-Server IP-Autokonfiguration Forderung nach automatischer Adressierung Für Computer, die als Workstations genutzt werden, ist die Vergabe einer konstanten IP-Adresse nicht nötig und oft sogar auch nicht ratsam. Eine Workstation muss nicht jeden Tag die gleiche IP-Adresse haben. Tatsächlich lassen sich Workstations viel einfacher verwalten und schneller adressieren, wenn sie IP-Adressen automatisch erhalten. Mechanismen IP-Autokonfiguration dynamische Adressierung mittels DHCP Workstations sind standardmäßig dafür vorgesehen, eine IP-Adresse von einem DHCP-Server zu beziehen. Nur falls ein DHCP-Server nicht verfügbar ist, greift die IP-Autokonfiguration, denn ein Computer mit TCP/IP- Protokoll benötigt beim Hochfahren eine IP-Adresse. Mechanismus und Beschränkung der IP-Autokonfiguration Bei der IP-Autokonfiguration gibt sich der Rechner selbst eine IP-Adresse. Sind weitere Computer im Netzwerk vorhanden, stimmen die Computer ihre IP-Adressen so aufeinander ab, dass Datenaustausch untereinander möglich ist. Die IP-Autokonfiguration ist nur für kleinere Installationen in Netzwerken für Privatanwender gedacht. Von einer Verwendung dieses Features in gewerblich genutzten Netzwerken wird abgeraten. Dynamische IP-Adressierung Es ist möglich, dass der Computer beim Starten automatisch einen spezialisierten Server um die Zuweisung einer Adresse zu seinem Namen ersucht. Dieser Server wird DHCP-Server genannt. 18
Netzwerk mit Windows 2000 3 DHCP steht für Dynamic Host Configuration Protocol und bedeutet, dass einem Rechner eine IP-Adresse zugewiesen wird. Außer der IP-Adresse können dem Rechner auch noch weitere Informationen über Adressen von wichtigen Servern vermittelt werden, die ihm eine reibungslose Kommunikation im Netzwerk ermöglichen und den Aufwand der manuellen Konfiguration minimieren. Die Workstation erhält die IP-Adresse beim Hochfahren aus dem IP-Adressenpool des DHCP-Servers und gibt sie beim Herunterfahren wieder an den DHCP-Server zurück. DHCP unter Windows verfügt darüber hinaus über eine besondere Neuerung: Wenn einem Computer eine Adresse zugewiesen wurde, wird diese Zuordnung anschließend an den DNS-Server weitergeleitet, sofern dieser dynamisches DNS unterstützt. DNS-Server Der DNS-Server (Domain Name System) hält eine Datenbank bereit, in der die Rechnernamen den zugehörigen IP-Adressen zugeordnet sind. Er hat die Aufgabe einer Telefonauskunft für das Netzwerk. Besonders wichtig wird DNS, wenn die Kommunikation mit dem Internet hergestellt werden soll. Wenn eine Adresse nicht aufgelöst werden kann, verweist der DNS-Server auf einen weiteren DNS-Server, bis die Adressauflösung funktioniert oder klar wird, dass die Adresse nicht aufgelöst werden kann. Das DNS-Server-System stammt aus dem Internet, wo meist mit statischen Adresslisten gearbeitet wird. Diese werden in so genannten HOST-Dateien gespeichert. Unter Windows wird DNS jedoch auch zur internen Adressauflösung gebraucht und ist in Verbindung mit DHCP fähig, die Adressen dynamisch zu verwalten. WINS-Server Der Windows Internet Naming Service ist ein Dienst zur dynamischen Adressauflösung unter Windows NT. Er basiert auf NetBIOS. Dies hat gegenüber den älteren Versionen des statischen DNS den Vorteil, dass weniger Verwaltungsarbeit nötig ist. Allerdings ist WINS in heterogenen Netzwerken mit Problemen belastet. Aus Gründen der Abwärtskompatibilität unterstützen aktuelle Windows-Versionen noch die Namenskonventionen von WINS, jedoch sollte in reinen Windows 2000/XP/Server-2003-Umgebungen auf WINS verzichtet werden, da die Verwendung von NetBIOS die Netzlast erhöht. 3.4 Verzeichnisdienste Aufgabe von Verzeichnisdiensten Verzeichnisdienste haben die Aufgabe, die Ressourcen eines Netzwerks für alle selektiv verfügbar zu machen. Ressource ist alles, was zum Netzwerk gehört, z. B. Benutzer, Computer, Dienste, gemeinsam verwendete Anwendungen und gemeinsam verwendete Daten oder Geräte im Netzwerk. Selektion bedeutet Auswahl. Selektiv verfügbar bedeutet Verwenden auf bestimmte, definierte Weise. Verwenden auf bestimmte Weise kann auch heißen Gar-nicht-verwenden. Mit alle schließlich sind sämtliche Personen gemeint, die auf Netzwerkressourcen zugreifen (beispielsweise über ein LAN oder das Internet). Leistungsfähigkeit von Verzeichnisdiensten Die Leistungsfähigkeit eines Verzeichnisdiensts bestimmt sich beispielsweise nach der Anzahl der verwaltbaren Objekte (Ressourcen wie Benutzer, Geräte, Datenbestände usw.) zahlreichen Sicherheitsanforderungen der Unterstützung verschiedener Anforderungen für die Verwaltung (z. B. die Delegierung von Verwaltungsaufgaben oder die Fernverwaltung) der Erweiterbarkeit des Dienstes, um beispielsweise die Fusion zweier Firmen realisieren zu können der Flexibilität bei der Gestaltung, um beliebige Firmenstrukturen oder Hierarchien abzubilden der Performance 19
3 Windows Server 2003 - Aufbau und Verwaltung eines Netzwerks : GHP0D GHU9HUIJEDUNHLWDXFKEHL$XVIDOOHLQHV7HLOV\VWHPV : =XVDPPHQDUEHLWPLW9HU]HLFKQLVGLHQVWHQDQGHUHU+HUVWHOOHU : 8QWHUVWW]XQJXQG,QWHJUDWLRQYRQLQWHUQDWLRQDOHQ6WDQGDUGV : GHU%HUFNVLFKWLJXQJGHU1HW]ZHUNLQIUDVWUXNWXUVFKQHOOHODQJVDPH'DWHQEHUWUDJXQJVZHJH Active Directory 'DV$FWLYH'LUHFWRU\VLQGGLH9HU]HLFKQLVGLHQVWHLQ:LQGRZV1HW]ZHUNHQ%HLP$FWLYH'LUHFWRU\KDQGHOWHV VLFKXPHLQHKLHUDUFKLVFKHXQGYHUWHLOWH'DWHQEDQN6LHEDVLHUWDXI0LFURVRIWHLJHQHQ'DWHQEDQN)XQNWLRQHQ (6(([WHQVLEOH6WRUDJH(QJLQH Leistungsmerkmale des Active Directory $Q]DKOYHUZDOWEDUHU 2EMHNWH,Q HLQHP:LQGRZV1HW]ZHUN N QQHQ EHLVSLHOVZHLVH ELV 0LOOLRQHQ%HQXW]HU REMHNWHYHUZDOWHWZHUGHQ 6LFKHUKHLW 9HUZDOWXQJ (UZHLWHUEDUNHLW )OH[LELOLWlW 3HUIRUPDQFH 9HUIJEDUNHLW,QWHURSHUDELOLWlW 8QWHUVWW]XQJYRQ 6WDQGDUGV %H]XJDXIGLH1HW] ZHUNLQIUDVWUXNWXU :LQGRZVELHWHWEHVWP JOLFKH6LFKHUKHLWLP1HW]ZHUNGXUFK(LQVDW]GHV$XWKHQWLIL ]LHUXQJVSURWRNROOV.HUEHURV9 XQG GLH YHUVFKLHGHQHQ 6LFKHUKHLWVNRQ]HSWH GHU $FWLYH'LUHFWRU\9HU]HLFKQLVGLHQVWH 6RZRKOGLH'HOHJLHUXQJYRQ9HUZDOWXQJVDXIJDEHQDOVDXFKGLH)HUQYHUZDOWXQJZHU GHQGXUFKGLH$FWLYH'LUHFWRU\9HU]HLFKQLVGLHQVWHXQWHUVWW]W (UZHLWHUXQJ HLQHU YRUKDQGHQHQ 6WUXNWXU GXUFK +LQ]XIJHQ QHXHU (OHPHQWH LVW SUR EOHPORVP JOLFK +RKH )OH[LELOLWlW XQG (UZHLWHUEDUNHLW GXUFK 9HUVFKDFKWHOXQJHQ 'LH 9HUVFKDFKWH OXQJVWLHIHLVWLQORJLVFKHU+LQVLFKWXQEHJUHQ]WILQGHWLKUH%HVFKUl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hehuwudjxqjvzhjh EHL GHU +lxiljnhlwghuhehuwudjxqjhqyrq9hu]hlfkqlvlqirupdwlrqhq 3.5 Sicherheitsfunktionen Sicherheit durch die Active-Directory-Verzeichnisdienste 'HU9HU]HLFKQLVGLHQVWYRQ:LQGRZVJHZlKUWGLH6LFKHUKHLWGHV1HW]ZHUNVDXIGHUORJLVFKHQ(EHQH=XGHQ 3ULQ]LSLHQJHK UHQ$QPHOGHDXWKHQWLIL]LHUXQJ*UXSSHQULFKWOLQLHQXQG=XJULIIVEHUHFKWLJXQJHQ
Netzwerk mit Windows 2000 3 Neben Kerberos wird - zur Interoperabilität mit bestehenden Netzwerken - auch weiterhin NTLM, das bisherige standardmäßige Authentifizierungsprotokoll von Windows NT, unterstützt. Verschlüsselungen Verschlüsselungen sind eine Methode, Sicherheit für Daten in physikalischer Hinsicht zu gewähren. Die Verschlüsselung können Sie nutzen für Dateien, z. B. durch den Einsatz von EFS (Encrypted File System). Aber auch Daten auf Reisen können verschlüsselt werden. Hierzu unterstützt Windows verschiedene Authentifizierungsprotokolle, z. B., CHAP, MS-CHAP und EAP. Neben diesen Protokollen, die allein den Datenaustausch für den Anmeldevorgang bewerkstelligen, gibt es zahlreiche Protokolle, die der sicheren Datenübertragung im Allgemeinen dienen. Hierzu gehören beispielsweise IPsec und SSL. 3.6 Verwaltungsfunktionen Remote-Installationsdienste Die Remote-Installationsdienste ermöglichen eine schnelle Installation von Workstations. Wesentliche Elemente dieses Verfahrens sind die Speicherung eines Abbildes einer Workstation mit der gewünschten Konfiguration (Disk-Image) auf einem RIS-Server und die Installation des Betriebssystems über das Netzwerk. Gruppenrichtlinien Die Gruppenrichtlinien sind ein mächtiges Verwaltungsinstrument unter Active Directory. Mit ihnen können beispielsweise die Desktops der verschiedenen Benutzer verwaltet werden und Anwendungen von zentraler Stelle aus auf Workstations verteilt werden. Microsoft Management Console MMC ist eine Verwaltungsplattform, mit der die verschiedenen Programme zur Verwaltung aufgerufen werden können. Sie können die MMC anpassen, indem Sie nur solche Tools aufnehmen, die Sie zur Ausführung der Verwaltungsarbeiten benötigen. Windows Scripting Host Der Windows Scripting Host ist mit Windows 98 eingeführt worden. Der WSH ist ein sprachunabhängiger Script Host. Mit ihm können Sie Skripts vom Desktop oder von der Befehlszeile ausführen. Er ist damit ein Instrument zum Automatisieren von Verwaltungsaufgaben. Notizen 21
3 Windows Server 2003 - Aufbau und Verwaltung eines Netzwerks Telnet Server In jeden Windows-Server ist ein Telnet-Server integriert. Damit können gleichzeitig maximal zwei Verbindungen aufgebaut werden. Windows Management Interface Das WMI ist eine Software-Schnittstelle, mit der Verwaltungsprogramme von entfernten Systemen aus aufgerufen werden können. Terminal Services Terminaldienste ermöglichen Benutzern den Fernzugriff auf einen Computer. Sie übertragen nur die Benutzeroberfläche eines Programms auf den Arbeitsplatz des Benutzers. Der Terminalserver übernimmt die gesamte Rechenleistung für die Datenverarbeitung. Die Terminal Services sind in jeder Windows-Server-2003-Version (außer Windows Server 2003 Web Edition) integriert. Benutzer können sich beispielsweise über VPN mit dem Netzwerk verbinden. 3.7 Netzwerkinfrastruktur DHCP DHCP-Server vergeben an Workstations eindeutige IP-Adressen. Unter Windows müssen DHCP-Server im Active Directory autorisiert werden. DNS DNS spielt im Windows Active Directory eine zentrale Rolle. Es ist Voraussetzung für die Active-Directory- Verzeichnisdienste. DNS unter Windows unterstützt dynamische Aktualisierungen. Dynamische Aktualisierung ist ein Vorgang, bei dem die IP-Adresse einer Workstation automatisch im DNS registriert wird. Hierzu arbeiten DNS-Server und DHCP-Server Hand in Hand. Die Zusammenarbeit zwischen DNS-Servern und DHCP-Servern ermöglicht zudem die dynamische Registrierung von Workstations, die nicht mit dem Betriebssystem Windows 2000 Professional oder XP betrieben werden. In der DNS-Datenbank werden außer der Zuordnung von Workstation-Namen zu IP-Adressen auch Informationen über die vorhandenen Netzwerkdienste gespeichert. Damit können Workstations DNS nutzen, um beispielsweise einen Server zu ermitteln, der die Benutzeranmeldung durchführen kann. 3.8 Dateiverwaltung, Dateisystem Distributed File System Das Distributed File System ermöglicht, eine einzige Verzeichnisstruktur für die Datenbestände einer Organisation oder Abteilung oder der gesamten Firma zu erstellen. Datenträgerkontingente Auf NTFS-Datenträgern können Sie die Speicherplatzbelegung verwalten. Hierzu weisen Sie dem Benutzer Speicherplatz zu, den er dann zum Speichern seiner Dateien verwenden kann. Damit unterbinden Sie, dass Benutzer für ihre Daten zu viel Platz beanspruchen. NTFSv5 NTFS in der Version 5 ist gegenüber der Version 4 um einige neue Funktionen bereichert worden. Hierzu zählt die Entkopplung von Laufwerksbuchstaben dadurch, dass Laufwerke gemountet werden können und anstatt eines Buchstabens einen Namen erhalten. Der Benutzer sieht einen Ordner, dahinter jedoch verbirgt sich dann beispielsweise eine ganze Festplatte. 22
Netzwerk mit Windows 2000 3 Notizen 23