Операционная система Windows Server 2003

Системы Windows Server 2003 могут устанавливаться как обновления уже существующих систем с сохранением инсталлированного программного обеспечения, настроек пользователей, системы и служб. Обеспечивается обновление почти всех серверных версий Windows, начиная с Windows NT 4.0 Server (SP 5.0 и выше). Исходные системы и редакции Windows Server 2003, до которых можно обновить эти системы, перечислены в табл.1.2 главы 1 "Планирование и установка системы".

Основные требования, выдвигаемые при проектировании системы

Системы семейства Windows Server 2003 предлагают все серверные возможности ОС Windows 2000 Server (включая совершенно новые средства), реализованные на обновленном ядре ОС Windows XP с учетом возросших требований к надежности и безопасности систем и данных. Можно выделить несколько целей, которые ставились при разработке линейки систем Windows Server 2003.

Простота управления и снижение общей стоимости владения (Total Cost of Ownership, TCO)

Для решения этой задачи в Windows Server 2003 использованы многие решения, прошедшие обкатку в предыдущих системах Microsoft, например, пользовательский интерфейс, консоль управления ММС (Microsoft Management Console), развитые средства удаленного администрирования, установки и удаления программ и встроенной диагностики процесса загрузки. Упрощен и автоматизирован сам процесс инсталляции системы.

Системы Windows Server 2003 в сочетании с клиентами, работающими под управлением Windows 2000 и Windows XP Professional, реализуют возможности технологии IntelliMirror, объединяющей в себе развитые средства администрирования:

централизованное администрирование корпоративной сети с использованием шаблонов политик безопасности и Active Directory; при этом используются как "старые" групповые политики, работающие и в среде Windows 2000, так и "новые", требующие доменов на базе Windows Server 2003 (количество групповых политик значительно увеличено даже по сравнению с Windows XP);

управление инсталляцией, обновлением, восстановлением и удалением программных продуктов;

поддержка рабочей конфигурации (документов, приложений и настроек системы) для мобильных пользователей;

удаленная инсталляция операционной системы с сервера, что упрощает замену или подключение компьютеров.

Повышение надежности и защищенности систем

Защищенность информации обеспечивается благодаря использованию модифицированной файловой системы NTFS 5.0, шифрующей файловой системы (EFS), коммуникационных протоколов, позволяющих создавать закрытые виртуальные частные сети (VPN), протокола аутентификации Kerberos (в доменах Active Directory) и технологий управления доступом, таких как смарт-карты.

Семейство Windows Server 2003 обеспечивает лучшую поддержку существующих приложений и драйверов по сравнению с Windows 2000. Системы имеют значительно расширенный список совместимых аппаратных устройств. Поддерживаются устройства нового поколения: компьютеры с возможностями управления питанием, шины AGP, USB и IEEE 1394, DVD-диски, адаптеры ATM, кабельные модемы и т.д.

В системах минимизирована необходимость перезагрузки (после добавлений протоколов или новых устройств и т.п.), повышена надежность драйверов устройств и предусмотрена возможность "отката" к предыдущей версии драйвера, используется новая служба Windows Installer, определяющая требования к процессу инсталляции программных продуктов. Для запуска устаревших программ можно также использовать мастер совместимости Program Compatibility Wizard.

Компания Microsoft провела целый ряд мероприятий, направленных на улучшение защищенности своих продуктов, в особенности при их работе в открытой сетевой среде - в частности, в Интернете. В результате многие возможности систем по умолчанию выключены, т.е. недоступны для злоумышленников. В первую очередь это относится к службам Интернета (Internet Information Services) и программам Internet Explorer и Outlook Express. Чтобы разрешить "активный" код и выполнение действий со стороны клиентов, администратор должен предпринять определенную последовательность осознанных действий, за которые уже он будет нести ответственность. Таким образом, неконтролируемый доступ к информации и системе становится значительно менее вероятным.

Обеспечение масштабируемости и высокой производительности

В системах Windows Server 2003 используется традиционное для линейки Windows NT/2000 многозадачное выполнение приложений, обеспечивается масштабируемая поддержка памяти и процессоров, служба индексирования ускоряет поиск информации на локальных дисках. Использование кластеров и поддержка ОЗУ большого объема позволяют создавать высокопроизводительные платформы для критически важных задач.

Общая характеристика систем

Сначала уточним, на какие задачи ориентирована каждая редакция семейства Windows Server 2003.

Windows Server 2003, Standard Edition.

Универсальная сетевая система общего назначения, предназначенная для корпоративного использования при решении самых разных задач: поддержка служб печати и файловых сервисов, маршрутизация и удаленный доступ, обеспечение работы СУБД и т.д. Предназначается небольшим компаниям или подразделениям крупных фирм.

Windows Server 2003, Enterprise Edition.

Является платформой для развертывания бизнес-задач любого масштаба, включая службы Интернета, при этом обеспечивается большая производительность и отказоустойчивость, чем достигается при использовании Windows Server 2003, Standard Edition. Это достигается за счет большего числа поддерживаемых процессоров (в том числе и процессоров Itanium), кластеризации и увеличенного объема памяти.

Windows Server 2003, Datacenter Edition.

Самая мощная из всех редакций Windows Server 2003, она ориентирована на обеспечение максимального уровня производительности и надежности для критически важных приложений и задач. В этой редакции отсутствуют некоторые службы, использование которых целесообразно лишь в небольших компаниях или группах.

Windows Server 2003, Web Edition.

Как понятно из названия, данная редакция - новый продукт в семействе серверов Microsoft - в первую очередь предназначена для веб-хостинга и поддержки XML веб-служб в небольших организациях и подразделениях. Эта редакция поставляется только через партнеров Microsoft и не продается как "коробочный продукт".

Основные возможности систем Windows Server 2003.

Рассмотрим немного подробнее основные возможности систем семейства Windows Server 2003. Сначала разберем принципиально новые средства, появившиеся впервые в этих системах, а затем перечислим главные возможности, которые существовали и ранее, в предыдущих системах Microsoft - Windows 2000 (серверные службы) и Windows ХР (ядро, средства управления).

Этот краткий обзор имеющихся в Windows Server 2003 средств позволит читателю лучше ориентироваться в материале книги и представить значение того или иного средства для системы в целом. В скобках указаны номера глав, описывающих наиболее важные возможности систем.

Служба Active Directory и Windows Server 2003.

В Windows Server 2003 служба Active Directory не претерпела революционных изменений по сравнению с версией, имеющейся в Windows 2000, ее условно можно называть Active Directory 1.1 Контроллеры под управлением Windows 2000 Server и Windows Server 2003 могут сосуществовать в одном домене (и даже вместе с Windows NT 4.0 BDC), однако все новые возможности Active Directory реализуются только тогда, когда все контроллеры доменов в лесе работают под управлением Windows Server 2003.

Перечислим ниже главные особенности Active Directory на базе Windows Server 2003.

На смену смешанному (mixed) и основному (native) режиму доменов Windows 2000 пришли функциональные уровни (functional levels), которые определяют возможности доменов и леса (глава 18). Например, изменение имени контроллера домена или домена возможно только на функциональном уровне Windows Server 2003.

Улучшения в административных оснастках для управления доменами (глава 20). Например, включены возможности хранимых запросов и одновременного изменения свойств нескольких объектов каталога, улучшены средства поиска.

Утилиты командной строки для управления Active Directory (глава 20).

Установка контроллеров домена из архивной копии (глава 19). Эта возможность позволяет уменьшить количество реплицируемой информации за счет того, что основная часть каталога копируется из архива, а по сети передаются только последние изменения каталога.

Кэширование информации о членах универсальных (universal) групп. В многодоменных конфигурациях с несколькими сайтами эта функция позволяет уменьшить трафик, возникающий при аутентификации пользователей, или вообще отказаться от желательного присутствия сервера глобального каталога в каждом сайте.

Разделы приложений (application directory partiotions). Разделы каталога, создаваемые пользователями или приложениями. Имеют свою топологию репликации, при которой контроллеры домена - носители реплики некоторого раздела каталога - определяются выборочно администратором; на других контроллерах этот раздел будет отсутствовать.

Объектный класс InetOrgPerson может использоваться для переноса информации из других LDAP-совместимых каталогов. Этот класс является субъектом безопасности, и ему можно назначать права и разрешения.

Возможность переименования (изменения DNS - и NetBIOS-имен) контроллеров домена и доменов. При этом нельзя только переопределить корневой домен леса, т.е. передать его функции другому домену в лесе.

Установление доверительных транзитивных отношений между лесами, при которых пользователи одного домена могут аутентифицироваться для доступа ко всем или некоторым ресурсам другого леса.

Улучшения механизма репликации Active Directory. В частности, значительно уменьшен трафик, возникающий при изменении членства в группе (поскольку реплицируется не весь атрибут members, а только измененный элемент) и при репликации данных Глобального каталога.

Динамические объекты, которые имеют установленный срок жизни. Если приложение не обращается к таким объектам в течение заданного интервала времени, то объекты автоматически удаляются из каталога.

Новые возможности Windows Server 2003.

Ниже мы перечислим некоторые функции, появившиеся в качестве стандартных компонентов только в Windows Server 2003. Пусть вас не смущает их небольшое количество, поскольку громадное количество ценных усовершенствований Windows Server 2003 выполнено в модулях, службах и программах, существовавших в предыдущих версиях Windows.

Manage Your Server Wizard.

Программа-мастер, позволяющая централизованно управлять всеми функциями (ролями) сервера и вызывать по мере необходимости специализированные административные инструменты и утилиты.

Network Load Balancing (NLB).

Функция балансировки сетевой нагрузки обеспечивает масштабируемость и отказоустойчивость серверных служб за счет распределения нагрузки между несколькими компьютерами. К числу таких серверных служб относятся: веб-службы, службы Windows Media и Terminal Services, средства виртуальных частных сетей, брандмауэра и proxy.

Службы электронной почты (РОРЗ).

В Windows Server 2003 реализована поддержка протокола РОРЗ. Эту возможность обеспечивают службы E-mail Services. Протокол РОРЗ в совокупности со службой SMTP позволяет использовать сервер Windows Server 2003 для организации простейшей, но полнофункциональной системы обмена сообщениями электронной почты. Для работы со службой электронной почты пользователи могут использовать любого почтового клиента, поддерживающего протокол РОРЗ (например, Microsoft Outlook Express) (глава 16).

Active Directory Migration Tool (ADMT) v 2.0.

На дистрибутивном диске Windows Server 2003 имеется утилита ADMT v.2.0, с помощью которой можно копировать учетные записи пользователей, групп и компьютеров из доменов Windows NT 4.0 и лесов Active Directory в другой лес Active Directory, находящийся на функциональном уровне не ниже Windows 2000 native. Версия 2.0 отличается тем, что может переносить текущие пароли учетных записей и упрощает миграцию пользовательских профилей.

Теневое копирование томов.

Функция теневого копирования (shadow copy) решает две задачи. Во-первых, она позволяет резервировать данные на томах, где имеются файлы, открытые пользователями. Во-вторых, она позволяет периодически делать копии общих папок и создавать тем самым "оперативные" архивы измененных файлов. Удаленный пользователь при необходимости может вернуться к предыдущей версии файла или восстановить удаленные данные (глава 8).

Возможности, унаследованные от Windows XP Professional.

Теперь рассмотрим новые средства, появившиеся в составе ОС Windows XP Professional и включенные в Windows Server 2003.

Примечание Нужно отметить, что в Windows Server 2003 не поддерживаются две специфические технологии Windows XP: быстрое переключение пользователей (Fast User Switching) и функция восстановления системы (System Restore). Кроме того, отсутствует программа обмена мгновенными сообщениями Windows Messenger. Текущую версию для Windows XP можно свободно загрузить с вебсайта Microsoft и использовать на серверных платформах.

Удаленный доступ к рабочему столу. (Remote Desktop).

Службы терминалов, Terminal Services, когда-то входившие в самостоятельный продукт, Windows NT 4.0 Terminal Edition, являются стандартным компонентом серверных версий Windows 2000 и позволяют клиентам Windows for Workgroups, Windows 9x, Windows NT 3.51 и 4.0 и Windows 2000 Professional, а также Windows-терминалам удаленно (в локальной сети или по коммутируемым линиям) выполнять 16 - и 32-разрядные приложения на серверах Windows 2000, либо администрировать их. В Windows XP Professional имеется однопользовательская версия служб терминалов. Средство Remote Desktop позволяет удаленно подключиться к компьютеру и использовать все его возможности. Также реализовано средство Remote Assistance, которое по запросу пользователя позволяет удаленному эксперту (из службы поддержки Microsoft или просто хорошему знакомому) наблюдать все, что происходит на экране вашего компьютера, вести с вами диалог и при необходимости (и соответствующем разрешении!) самому выполнять нужные действия. Оба средства имеются в Windows Server 2003, причем в режиме Remote Desktop разрешены две одновременные сессии. Для использования этих средств на компьютере с Windows Server 2003 сам Terminal Server устанавливать не требуется (глава 10).

Откат драйверов (Device Driving Roolback).

Эта Возможность позволяет практически ликвидировать один из самых главных источников нестабильности системы - последствия установки нового драйвера устройства. Если система перестала нормально работать или загружаться, вы с легкостью можете загрузить предыдущую, рабочую конфигурацию (глава 23).

Восстановление системы.

Модифицированное средство восстановления системы - Automated System Recovery (ASR), позволяет вернуть систему "к жизни" в очень тяжелых случаях. К сожалению, утилита Backup не может записывать данные непосредственно на сменный носитель типа привода дисков CD-R и CD-RW (глава 16).

Запись на диски CD-R и CD-RW.

Встроенная поддержка устройств записи на диски CD-R и CD-RW позволяет легким движением руки сохранять критические данные большого объема и создавать архивы. При этом применяются распространенные стандарты, что позволяет использовать записанные диски на других компьютерах и устройствах. Нужно только помнить о том, что в системах Windows Server 2003 служба записи на носители такого типа по умолчанию выключена (глава 5).

Поддержка ZIP-архивов.

Теперь, чтобы работать с архивами в формате ZIP, совсем не нужно ставить в систему программу-архиватор (например, Win-Zip) - система может работать с архивами как с обычными папками, просматривая их или записывая в них информацию.

Встроенный брандмауэр (Internet Connection Firewall).

Пользователи Windows Server 2003 в небольшой сети могут оградить себя от опасных вторжений из Интернета с помощью простого, но действенного брандмауэра, позволяющего обезопасить компьютер от хакерских атак (глава 12).

Встроенный сетевой мост (Network Bridge).

При наличии нескольких сетевых адаптеров можно организовать программный сетевой мост, объединяющий несколько сетевых сегментов в один сегмент (в одну IP-подсеть).

Windows Media Player 9.0.

Новая версия (в составе Windows XP поставляется WMP 8.0) проигрывателя файлов мультимедиа позволяет слушать и смотреть файлы самых разных форматов, а также слушать потоковые веб-радиостанции. Новые возможности - чтение аудиодисков с записью на жесткий диск и запись на диски CD-R и CD-RW (в формате обычного аудиокомпакт-диска) - делают Windows Media Player эффективным средством для создания собственной фонотеки. Компания Microsoft решила включить эту программу даже в серверную ОС.

Совместное использование факсов.

Пользователи сети на базе Windows XP и Windows Server 2003 могут пользоваться факсимильным аппаратом, подключенным к любому из компьютеров. (В Windows 2000 нельзя было делать факсы общими устройствами) Факсы можно и отправлять, и принимать (глава 14).

Перенос пользовательских настроек (File and State Transfer Wizard).

Одной из проблем, возникающих при замене компьютера или установке новой копии операционной системы, является перенос личных файлов, настроек рабочего стола, почтовых программ, файлов cookie и избранных страниц и т.п. Программа-мастер File and State Migration Wizard, записанная на дистрибутивном компакт-диске Windows XP, позволяет импортировать многие настройки пользователя из систем Windows 9x/ME, Windows NT 4.0, Windows 2000/XP и Windows Server 2003 и использовать их после установки новой системы. Кроме того, имеется средство миграции пользовательских настроек, User Settings Migration Tool, представляющее собой утилиты командной строки, выполняющие те же самые операции. С системами Windows Server 2003 можно применять оба средства, но в дистрибутиве системы присутствует только User Settings Migration Tool (глава 1).

Определение действующих групповых политик (Resultant Set of Policy, RSoP).

При работе в домене, где для администрирования пользователей применяются различные групповые политики, возникают сложности с определением результирующих параметров безопасности с учетом наследования и иерархии политик, организации подразделений в домене и подобных факторов. Оснастка Resultant Set of Policy позволяет упростить работу с групповыми политиками, их планирование и отладку. В среде оснастки Active Directory Users and Computers ее можно запускать в двух режимах: режим планирования позволяет моделировать поведение любых пользователей в любом контейнере, а режим ведения журнала возможен лишь для конкретного пользователя на конкретном компьютере (глава 21).

Справка и поддержка (Help and Support Center).

Справочная служба в Windows Server 2003 названа Центром справки и поддержки, поскольку в сочетании со средством Remote Assistance и при наличии подключения к Интернету она превращается в мощное средство поиска необходимой информации, как на локальном компьютере, так и в базе знаний Microsoft Knowledge Base, а также получения помощи от удаленных пользователей или профессионалов. Однако при этом не нужно забывать о том, что очень много дополнительных сведений находится в справках конкретных утилит и оснасток, и следует также смотреть справку в каждой программе или оснастке (глава 5).

Возможности, появившиеся в Windows 2000.

Как уже говорилось, семейство Windows Server 2003 является развитием систем Windows 2000 и наследует все ее возможности, при этом многие из них модернизированы и улучшены (используются более новые версии модулей и программ). Перечислим наиболее важные средства Windows Server 2003, которые появились уже в Windows 2000.

Dynamic DNS (DDNS) - служба динамических доменных имен, позволяющая компьютерам автоматически регистрировать и обновлять имена хостов и IP-адреса на DDNS-сервере (подобно тому, как служба WINS, Windows Internet Naming Service, обеспечивает динамическое обновление таблиц преобразования NetBIOS-имен в IP-адреса). В Windows Server 2003 служба DNS имеет несколько принципиально новых возможностей (глава 13).

Распределенная файловая система (Distributed File System, DPS) - обеспечивает возможность разделения файловой структуры между несколькими серверами и, при необходимости, повышает отказоустойчивость благодаря дублированию элементов файловой структуры на различных серверах (глава 8).

Службы терминалов, Terminal Services - службы терминалов являются стандартным компонентом серверных версий Windows 2000. В Windows Server 2003 службы терминалов установлены всегда и используются в двух конфигурациях:

описанный выше режим Remote Desktop for Administration задан по умолчанию и не требует никакого лицензирования; в этом режиме разрешены лишь две сессии удаленного администрирования;

режим Terminal Server нужно устанавливать явно с панели управления; в этом режиме службы терминалов настраиваются для полноценного использования компьютера в качестве сервера приложений, при этом требуются клиентские лицензии.

С помощью программного обеспечения сторонних производителей, например, Citrix MetaFrame, к службам терминалов можно подключать множество других клиентов, в том числе и не-Windows (глава 17).

Службы сертификации (Certificate Services) - позволяют использовать аутентификацию пользователей с применением открытых ключей по протоколу SSL/TLS (Secure Sockets Layer/Transport Layer Security). Эти протоколы обеспечивают защиту данных, передаваемых через Интернет (глава 22).

Службы качества обслуживания (Quality of Service, QoS) - позволяют совместимым с QoS приложениям резервировать полосу пропускания и менять приоритет передаваемых данных (глава 17).

Служба маршрутизации и удаленного доступа - позволяет использовать компьютер как сервер удаленного доступа или маршрутизатор в IP-сетях. Можно также маршрутизировать протокол AppleTalk. Маршрутизация протокола IPX в Windows Server 2003 не поддерживается (глава 14).

Службы Интернета (Internet Information Services, IIS) - позволяют организовать на компьютере службы FTP и HTTP. В составе Windows Server 2003 поставляются службы IIS 6.0, имеющие значительно большую производительность, чем версия 5.0. Это объясняется тем, что процессор протокола HTTP теперь работает не в пользовательском режиме, а в режиме ядра. Имеются новые средства удаленного администрирования служб IIS через Интернет (глава 16).

Браузер Internet Explorer (версия 6.0.3790.0) - последняя версия популярного веб-браузера от Microsoft, обеспечивающая наиболее полную интеграцию с операционной системой.

DirectX 8.1 (4.08.01.0810) - новейшая версия графических интерфейсов API от Microsoft, разработанная специально для возрастающих потребностей рынка компьютерных игр. Для диагностики и просмотра свойств драйверов DirectX запустите из командной строки утилиту DxDiag. exe.

Встроенная поддержка технологии Plug and Play, давшая толчок распространению Windows 2000 на рынке переносных компьютеров (глава 2).

Поддержка Universal Serial Bus (USB), обеспечивающая подключение к компьютеру множества (до 127 на один порт) разнообразных устройств с последовательной передачей данных со скоростью до 12 Мбит/с.

Поддержка нового стандарта для скоростных соединений IEEE 1394 (FireWare), позволяющего использовать полосу пропускания до 100, 200 и даже 400 Мбит/с.

Advanced Configuration and Power Interface (ACPI Power) - усовершенствованный стандарт управления конфигурацией и питанием, обеспечивающий лучшее управление периферийными устройствами по сравнению с Windows NT 4.0 и полноценную реализацию Plug and Play.

Поддержка FAT32, улучшенной версии файловой системы FAT (File Allocation Table), используемой в Windows 9x/ME.

Улучшенная версия файловой системы NT File System (NTFS), работающей быстрее и имеющей множество новых возможностей, таких как выделение дисковых квот для каждого пользователя, создание точек соединения, шифрование файлов (EFS), расширение дисковых томов NTFS без перезагрузки системы и др. (глава 4).

Встроенные средства дефрагментации дисков, работающие с файловыми системами FAT, FAT32 и NTFS (глава 8).

Драйвер NDIS 5.1 - новая сетевая архитектура, поддерживающая широковещание и резервирование полосы пропускания.

Win32 Driver Model (WDM) - новая архитектура драйверов для 32-разрядных систем Windows. Драйверы WDM также используются в Windows 98. Эти драйверы более стабильны и имеют модульную, расширяемую архитектуру.

Поддержка смарт-карт - компания Microsoft рассматривает множество способов использования смарт-карт для аутентификации в персональных компьютерах.

Дополнительные мониторы (Multiple monitors) - возможность подключения до десяти (в Windows 2000 - до четырех) мониторов, которые операционная система (и, следовательно, приложения) рассматривает как один монитор. Такая возможность имеет большие перспективы, например, мониторинг сложных баз данных или создание "объемных" видеоигр. Функция Dualview для переносных компьютеров.

Поддержка Accelerated Graphics Port (AGP) - нового стандарта трехмерной графики, повышающего производительность "обычных" компьютеров.

Сервер сценариев, Windows Scripting Host (WSH) 5.6 - средство для выполнения сценариев, запускаемое из графической среды или из командной строки. Поддерживаются языки VBScript и JavaScript. Эта независимая от языка архитектура позволяет писать сценарии и на других языках, а также разрабатывать собственные интерпретаторы командных сценариев. (глава 10).

Планировщик задач, Task Scheduler - средство для планирования (диспетчеризации) задач, пришедшее на смену команде AT (глава 10).

Возможность вторичного входа в систему, служба RunAs - позволяет пользователю, уже зарегистрированному в системе, войти в систему под другим именем (глава 10).

Консоль управления Microsoft Management Console (MMC) - новая оболочка для административных утилит, обеспечивающая универсальный пользовательский интерфейс для всех системных инструментов среды NT, собственных системных утилит операционной системы и средств администрирования, входящих в другие программные продукты (глава 6).

Средства управления распределенными ресурсами с помощью веб-технологий (Web-Based Enterprise Management, WBEM) - стандарт, призванный упростить управление драйверами и приложениями, расширить возможности администрирования и, как следствие, снизить общую стоимость владения (ТСО).

Распределенная модель компонентных объектов (Distributed COM, DCOM) - платформа для построения распределенных приложений.

Служба компонентов, Component Service - позволяет более эффективно управлять различными программными компонентами по сравнению с традиционными технологиями, использующими механизм транзакций.

Групповые политики (Group Policies) - наборы конфигурационных параметров, которые могут назначаться как изолированному компьютеру, так и компьютеру, входящему в домен Active Directory (на базе Windows 2000 и Windows Server 2003). Управление с использованием политик позволяет ограничивать возможности клиентских систем, автоматизировать обновление операционной системы, инсталляцию приложений и работу с пользовательскими профилями (глава 21).

Windows Installer - технология, управляющая процессом инсталляции программного обеспечения в среде Windows (входит в состав технологии IntelliMirror®). Наибольшей эффективности от ее использования можно добиться в домене Active Directory с клиентами Windows 2000/XP/Server 2003. С помощью технологии Windows Installer можно значительно уменьшить вероятность конфликтов DLL и улучшить конфигурируемость настольных приложений.

Служба индексирования, Indexing Service - стандартная служба для индексации содержимого и атрибутов документов, хранящихся на локальных дисках; ускоряет поиск информации и расширяет возможности поиска (глава 16).

IP Security - средство защиты соединений, использующих протокол TCP/IP, позволяет применять и настраивать политики безопасности для сетевых соединений и шифровать передаваемые данные. В Windows Server 2003 протокол IPSec может транслироваться через NAT (глава 22).

Active Directory Services Interface (ADSI) - стандартный интерфейс для разнообразных служб каталогов; обеспечивает также унифицированный доступ к другим каталогам, для которых имеется соответствующий поставщик услуг (ADSI-provider).

Служба очередей, Message Queuing - система передачи сообщений и запросов, реализующая надежную доставку сообщений и данных в распределенной среде.

Поддержка Asynchronous Transfer Mode (ATM) средствами операционной системы, обеспечивающая приложениям все возможности ATM.

Аутентификация Kerberos - протокол безопасности, используемый в распределенных средах для аутентификации пользователей. Стандартный протокол аутентификации компьютеров с Windows 2000/XP/Server 2003 в доменах Active Directory (глава 22).

Поддержка Инфраструктуры открытых ключей (Public Key Infrastructure, PKI) - позволяет использовать криптографические методы для организации виртуальных сетей (VPN) и для шифрования локальных данных и данных, передаваемых через электронную почту, а также для идентификации пользователей в глобальных сетях (цифровые подписи) (глава 22).

Новые технологии, готовящиеся к выпуску

Одновременно с Windows Server 2003 компания Microsoft вела разработку нескольких программных продуктов, которые следует отметить особо, поскольку они будут иметь важное значение в корпоративных сетях на базе систем Windows 2000/XP/Server 2003.

Group Policy Management Console (GPMC).

Консоль управления групповыми политиками предоставляет единый интерфейс для работы с многочисленными объектами групповых политик (Group Policy Object, GPO), используемыми в доменах на базе Active Directory. Перечислим наиболее важные и интересные возможности консоли GPMC:

средства сохранения и восстановления объектов GPO;

экспорт и импорт объектов GPO и WMI-фильтров;

упрощенное управление безопасностью и делегированием групповых политик;

получение результирующих политик;

возможность использования сценариев для управления объектами GPO (кроме изменения их установок) и самой консолью GPMC.

Консоль GPMC может работать на компьютерах с 32-разрядными версиями Windows Server 2003 и Windows XP SP1 и применяться для управления доменами Active Directory на базе Windows 2000 Server SP2 и Windows Server 2003.

Окончательная версия GPMC доступна на веб-сайте Microsoft.

Active Directory in Application Mode (ADAM).

Active Directory in Application Mode представляет собой автономную версию Active Directory, которая может работать на любых компьютерах под управлением Windows Server 2003 и Windows XP SP1 (для задач проектирования) и выполнять функции службы каталога (LDAP-сервера) для корпоративных и иных приложений. ADAM имеет свою топологию репликации и не конфликтует со службой Active Directory, развернутой на контроллерах домена.

Бета-версия Active Directory/Application Mode (ADAM) доступна на вебсайте Microsoft.

Real-Time Communications (RTC) Server.

Данный продукт предназначен для развертывания службы обмена мгновенными сообщениями (Instant Messaging) в корпоративной среде. Клиентом этой службы является достаточно известная программа Windows Messenger, и компания Microsoft активно внедряет средства групповой работы на базе RTC Server во многие свои программные продукты. Программа Windows Messenger помимо обмена сообщениями позволяет пользователям вести аудио/ видеодиалог, обмениваться файлами и совместно работать с приложениями. При этом возможен контакт с абонентами, находящимися как внутри корпоративной сети, так и в Интернете (при условии, что они имеют.net Passport). Windows Messenger использует протокол Session Initiation Protocol (SIP), поддерживаемый сервером RTC Server.

Предварительные варианты RTC Server тестировались в бета-версиях Windows Server 2003, но в окончательном виде компания Microsoft планирует выпустить этот продукт в виде дополнительного бесплатного модуля осенью 2003 г. Очень рекомендуем обратить внимание на данную серверную службу.

Возможности DNS-сервера в Windows Server 2003

Служба DNS в Windows 2000 Server и Windows Server 2003 обладает общими функциональными возможностями, перечисленными ниже.

DNS-сервер, полностью соответствующий стандартам RFC. Служба DNS базируется на открытых протоколах и полностью соответствует промышленным стандартам (RFC).

Способность взаимодействия с другими реализациями DNS-серверов. Поскольку служба DNS построена на основе существующих стандартов, она успешно взаимодействует совместно с большинством других реализаций DNS, например, использующих программное обеспечение Berkeley Internet Name Domain (BIND).

Поддержка Active Directory. Как уже упоминаюсь ранее, служба DNS является обязательным условием развертывания Active Directory. Служба DNS используется как основной механизм обнаружения ресурсов в Active Directory-доменах. В свою очередь, DNS-серверы могут использовать каталог Active Directory для размещения баз данных зон. При этом процесс репликации зон осуществляется непосредственно средствами Active Directory.

Интеграция с другими сетевыми службами Microsoft. Служба DNS обеспечивает интеграцию с другими службами Windows и содержит функции, не описанные в RFC. Это касается интеграции со службами WINS и DHCP.

Улучшенные административные инструменты. Для управления DNS-серверами администратор может использовать специальную оснастку с улучшенным графическим интерфейсом. Кроме того, в составе операционной системы имеется целый ряд мастеров конфигурации, позволяющих выполнять повседневные задачи по администрированию сервера. Также имеется ряд дополнительных утилит, помогающих управлять и поддерживать серверы DNS и клиентов в сети.

Поддержка протокола динамического обновления в соответствии с RFC. Служба DNS позволяет клиентам динамически обновлять ресурсные записи при помощи динамического протокола обновления DNS (стандарт RFC 2136). Это облегчает администрирование DNS, избавляя от необходимости вносить эти записи вручную. Компьютеры под управлением Windows 2000, Windows XP и Windows Server 2003 могут динамически регистрировать свои доменные имена.

Поддержка инкрементных передач зоны между серверами. Передача зоны осуществляется между DNS-серверами в качестве средства синхронизации отдельных экземпляров базы данных зоны. Стандартная процедура передачи зоны предполагает копирование всей базы данных зоны с одного сервера на другой. Инкрементная передача зоны позволяет копировать только сведения об изменениях.

Поддержка новых типов ресурсных записей. Служба DNS обеспечивает поддержку нескольких новых типов ресурсных записей (RR): записи SRV (расположение службы) и АТМА (адрес ATM), что значительно расширяет возможности использования DNS в глобальных сетях.

Кроме того, реализация службы DNS в Windows Server 2003 имеет несколько новых функциональных возможностей, отличающих ее от реализации в предыдущих версиях Windows (в частности Windows 2000).

Выборочное перенаправление запросов (Conditional forwarding). Данный механизм позволяет осуществлять перенаправление запросов клиентов на различные DNS-серверы, основываясь на информации о доменном имени, содержащемся в запросе. Механизм выборочного перенаправления может быть использован как средство организации взаимодействия двух лесов доменов, реализующих собственные пространства имен DNS.

Упрощенные зоны (Stub Zones). Упрощенная зона представляет собой фрагмент зоны, содержащий только те ресурсные записи, что необходимы для нахождения DNS-серверов, являющихся носителями полной версии зоны. Основное назначение упрощенной зоны - идентификация DNS-серверов, которые способны выполнить разрешение доменных имен, принадлежащих к этой зоне.

Новые способы хранения базы данных зоны в каталоге Active Directory. В случае, когда DNS-сервер установлен на контроллере домена, для размещения содержимого зоны могут использоваться специальные разделы при/южений (application partitions). При этом указанные разделы приложений могут размещаться только на тех контроллерах домена, которые являются DNS-серверами.

Улучшенные механизмы обеспечения безопасности службы DNS. Система доменных имен (DNS) разрабатывалась как открытый протокол, что делает ее достаточно чувствительной к разнообразным атакам. В связи с этим в Windows Server 2003 разработчиками в реализацию службы DNS был добавлен целый ряд функциональных возможностей, направленных на защиту этой службы от различных атак (в том числе и от атак типа "отказ в обслуживании" - Denial of Services, DoS).

Расширенные возможности протоколирования событий, связанных с функционированием DNS-сервера. В Windows Server 2003 администратор может получить в свое распоряжение более подробную аналитическую информацию о функционировании DNS-сервера. Эти сведения позволят ему, с одной стороны, получить информацию о режиме работы сервера, а с другой стороны, выявить причины неполадок в случае их возникновения.

Поддержка протокола DNSSEC (DNS Security Extensions). Протокол DNSSEC определен в стандарте RFC 2535. Реализованная в Windows Server 2003 поддержка этого протокола позволяет DNS-серверам выступать в качестве дополнительных носителей DNSSEC-совместимых защищенных зон. Поддерживаются ресурсные записи типа KEY, SIG и NXT. Поддержка подписанных зон или ресурсных записей в Windows Server 2003 не реализована.

Поддержка механизма EDNSO (Extension Mechanisms for DNS). Механизм EDNSO позволяет использовать UDP-пакеты размером больше 512 октетов.

Управление процессом автоматической регистрации серверов имен в базе данных зоны. В Windows Server 2003 администратор может запретить автоматическую регистрацию серверов имен (что фактически равносильно запрещению автоматического создания ресурсных записей NS-типа) в базе данных зоны.

Новые групповые политики для управления настройками DNS на клиентских компьютерах и контроллерах домена.

Возможности DNS-клиентов.

В составе Windows Server 2003 имеется служба DNS-клиента. DNS-клиент осуществляет взаимодействие с DNS-сервером с целью разрешения доменных имен в IP-адреса. При этом реализация DNS-клиента в Windows Server 2003 характеризуется следующими возможностями:

клиентское кэширование. Ресурсные записи (RR), полученные как ответы на запросы, добавляются в клиентский кэш. Эта информация хранится в течение заданного времени и может использоваться для ответа на последующие запросы;

кэширование отрицательных ответов. В дополнение к кэшированию положительных ответов на запросы от серверов DNS, служба DNS также кэширует отрицательные ответы на запросы. Отрицательный ответ приходит, если ресурсная запись с запрошенным именем не существует. Кэширование отрицательных ответов предотвращает повторные запросы для несуществующих имен, снижающие производительность клиентской службы;

блокировка неотвечающих серверов DNS. Клиентская служба DNS использует список поиска серверов, упорядоченных по предпочтению. Этот список включает все серверы DNS, настроенные для каждого из активных сетевых подключений в системе. Система способна перестраивать этот список, основываясь на следующих критериях: предпочтительные серверы DNS имеют высший приоритет, а остальные серверы DNS чередуются. Неотвечающие серверы временно удаляются из списка.

Новые возможности службы удаленного доступа в Windows Server 2003.

Служба маршрутизации и удаленного доступа, реализованная в Windows Server 2003, характеризуется новыми функциональными возможностями, перечисляемыми ниже.

Поддержка механизма разделяемых ключей для аутентификации в случае использования протоколов L2TP/IPSec. Разделяемым ключом (pre-shared key) называется последовательность символов, известная клиенту и серверу удаленного доступа. Этот ключ используется для аутентификации участников соединения удаленного доступа в ситуации, когда применяются защищенные протоколы L2TP/IPSec. Использование механизма разделяемых ключей позволяет администратору отказаться от развертывания инфраструктуры открытых ключей (Public Key Infrastructure, PKI).

Интеграция механизма трансляции сетевых адресов (NAT) со встроенным брандмауэром. Реализованный в Windows Sewer 2003 встроенный брандмауэр может быть использован для фильтрации пакетов, обрабатываемых транслятором сетевых адресов. Благодаря этому администратор может обеспечить должный уровень безопасности корпоративной сети при организации ее взаимодействия с открытыми сетями (такими, как Интернет).

Поддержка защищенных соединений, осуществляемых посредством протоколов L2TP/IPSec, механизмом трансляции сетевых адресов (NAT). Windows Server 2003 позволяет использовать механизм трансляции сетевых адресов для организации виртуальных частных сетей. Фактически речь идет о том, что соединение с виртуальной частной сетью может быть создано через интерфейс NAT.

Поддержка широковещательного метода разрешения имен вместо использования серверов имен. В сети Windows Server 2003 пользователи могут использовать символические имена для ссылки на ресурсы. Однако для установки соединения эти имена должны быть разрешены в соответствующие IP-адреса. Традиционным методом разрешения имен в корпоративной сети является использование специальных серверов имен (таких, как WINS и DNS). Однако в небольших сетях развертывание этих служб может быть неоправданным. Чтобы предоставить удаленным пользователям возможность использования символических имен для ссылки на ресурсы корпоративной сети, администратор может разрешить использование широковещательных рассылок для разрешения этих имен в IP-адреса. В сетях, насчитывающих десятки и сотни удаленных пользователей, использование широковещательных рассылок может привести к падению производительности сети. С другой стороны, если корпоративная сеть реализована в виде нескольких физических подсетей, соединенных маршрутизаторами, использование широковещательных рассылок для разрешения имен может быть неэффективным, поскольку широковещательные сообщения маршрутизаторами не ретранслируются.

Далее следует отметить другие характерные особенности службы удаленного доступа Windows Server 2003, значительно расширяющие возможности администратора.

Интеграция с Active Directory. Сервер удаленного доступа Windows Server 2003, являющийся частью домена Windows и зарегистрированный в каталоге, может обращаться к параметрам настройки удаленного доступа пользователя (например, к разрешениям удаленного доступа и параметрам ответного вызова), которые хранятся в Active Directory. После регистрации сервера удаленного доступа в Active Directory им можно управлять и отслеживать его состояние при помощи стандартных инструментов.

Поддержка протокола аутентификации MS-CHAP версии 2. Протокол проверки подлинности запроса-подтверждения (Microsoft Challenge Handshake Authentication Protocol, MS-CHAP v2) предназначен для аутентификации участников соединения и создания ключей шифрования непосредственно во время установления соединения удаленного доступа. Протокол MS-CHAP v2 может быть также использован для аутентификации участников соединения при построении виртуальных частных сетей.

Поддержка протокола аутентификации ЕАР. Расширяемый протокол аутентификации ЕАР (Extensible Authentication Protocol) позволяет использовать новые методы проверки подлинности участников подключения удаленного доступа, включая реализацию защиты, основанную на смарт-картах. Интерфейс ЕАР позволяет подключать модули проверки подлинности сторонних производителей.

Поддержка протокола ВАР. Протокол распределения полосы пропускания ВАР (Bandwidth Allocation Protocol), а также протокол управления распределением полосы пропускания ВАСР (Bandwidth Allocation Control Protocol) повышают эффективность работы многоканальных РРР-соединений, динамически подключая или отключая дополнительные каналы, приспосабливаясь к изменению трафика.

Механизм политик удаленного доступа. Под политикой удаленного доступа понимается набор условий и параметров настройки соединения, предоставляющих сетевым администраторам большую гибкость по установке и настройке разрешений удаленного доступа и атрибутов соединений.

Поддержка клиентов удаленного доступа Macintosh. Служба маршрутизации и удаленного доступа Windows Server 2003 позволяет обслуживать подключение клиентов удаленного доступа Apple Macintosh, использующих протокол AppleTalk вместе с протоколом удаленного доступа ARAP (AppleTalk Remote Access Protocol) или с протоколом РРР.

Поддержка широковещательных адресов IP (IP multicast). Используя механизм IGMP router and proxy версии 2 (маршрутизатор и посредник IGMP), сервер удаленного доступа может поддерживать обмен групповым IP-трафиком между клиентами удаленного доступа и Интернетом или корпоративной сетью.

Устройства и порты службы удаленного доступа.

На сервере удаленного доступа под управлением Windows Server 2003 установленное сетевое оборудование отображается в виде ряда устройств и портов. Под устройством (devices) понимается аппаратное или программное обеспечение, которое предоставляет службе удаленного доступа порты для установки соединений "точка-точка". Различают устройства физические (такие, например, как модем) и виртуальные (например, VPN-подключение). Устройство может поддерживать как один порт (например, модем), так и несколько портов (например, модемный пул, способный предоставить 64 независимых входящих аналоговых коммутируемых соединения). Протоколы РРТР или L2TP - примеры виртуальных многопортовых устройств. Каждый из этих туннельных протоколов поддерживает несколько одновременных VPN-подключений.

Под портом (port) понимается отдельный канал устройства, способный поддерживать одно соединение "точка-точка". Для однопортовых устройств типа модема понятия "устройство" я "порт" совпадают.д.ля многопортовых устройств порт представляет собой часть устройства, посредством которого может быть установлено отдельное соединение "точка-точка". Например, адаптер ISDN имеет два В-канала. В этом случае адаптер ISDN рассматривается как устройство, а каждый В-канал как порт, поскольку соединение "точка-точка" может быть установлено раздельно по каждому из В-каналов.