Служба удаленного доступа

Служба удаленного доступа, входящая в состав Microsoft Windows 2000, позволяет удаленным или мобильным работникам подключаться к корпоративным вычислительным сетям, например, по телефонной коммутируемой линии и работать с ресурсами сети как обычно. Удаленный доступ также обеспечивает поддержку виртуальных частных сетей (Virtual Private Network, VPN), чтобы пользователи могли устанавливать безопасное соединение с корпоративной сетью через общественные сети, например, через Интернет.

Сервер удаленного доступа в Windows 2000 Server является частью интегрированной службы маршрутизации и удаленного доступа (Routing and Remote Access Service, RRAS). Пользователи устанавливают соединение с сервером удаленного доступа с помощью клиентского программного обеспечения удаленного доступа. Сервер удаленного доступа — компьютер с ОС Windows 2000 Server и установленной службой маршрутизации и удаленного доступа — аутентифицирует как пользователей, так и сеансы связи удаленных маршрутизаторов. Все службы, доступные пользователю, подключенному к LAN (включая совместное использование файлов и принтеров, доступ к веб-серверам и передачу сообщений по электронной почте), доступны и пользователю, подключенному удаленно.

Клиент удаленного доступа использует стандартные средства для доступа к ресурсам. Например, на компьютере под управлением Windows 2000 подключение дисков и принтеров выполняется при помощи Проводника. Подключения постоянны: пользователи не должны повторно подключать сетевые ресурсы в течение сеанса удаленного доступа. Поскольку имена дисков и имена UNC (Universal Naming Convention, универсальное соглашение об именовании) полностью поддерживаются при удаленном доступе, большинство обычных действий пользователей и работа приложений остаются неизменными при работе через удаленный доступ.

Сервер удаленного доступа под управлением Windows 2000 предоставляет два различных типа соединения удаленного доступа:

Новые возможности удаленного доступа в Windows 2000

Новые возможности службы удаленного доступа Windows 2000 Server перечислены в табл. 19.1.

Таблица 19.1. Удаленный доступ в Windows 2000 Server

Сравнение средств удаленного доступа в Windows 2000 и Windows NT 4.0

В табл. 19.2 перечислены общие задачи конфигурирования удаленного доступа в Windows 2000. Интерфейс пользователя для выполнения этих задач в Windows 2000 отличается от интерфейсов Windows NT 4.0 и Windows NT 4.0 с установленной службой маршрутизации и удаленного доступа (RRAS).

Таблица 19.2. Настройка удаленного доступа Windows 2000 и Windows NT 4.0

Базовые понятия

На сервере удаленного доступа под управлением Windows 2000 установленное сетевое оборудование отображается в виде ряда устройств и портов.

Устройство — аппаратура или программное обеспечение, которое предоставляет службе удаленного доступа порты для установки соединений "точка-точка". Устройства бывают физические, например модем, или виртуальные, например VPN-соединение. Устройства могут поддерживать один порт, например модем, или несколько портов, например банк модемов, который может предоставить 64 независимых входящих аналоговых коммутируемых соединений. Протоколы РРТР или L2TP — примеры виртуальных многопортовых устройств. Каждый из этих туннельных протоколов поддерживает несколько одновременных VPN-соединений.

Порт - отдельный Канал устройства, который может поддерживать одно соединение "точка-точка". Для однопортовых устройств типа модемов "устройство" и "порт" не различаются. Для многопортовых устройств порт — часть устройства, при помощи которого может быть установлено отдельное соединение "точка-точка". Например, адаптер ISDN имеет два В-канала: адаптер ISDN — устройство; каждый В-канал — порт, поскольку соединение "точка-точка" может быть установлено раздельно по каждому В-каналу.

Виртуальное частное соединение, иначе называемое VPN-соединением (Virtual Private Network Connection, соединение виртуальной частной сети) эмулирует соединение "точка-точка". Для эмуляции прямого соединения данные инкапсулируются специальным способом, т. е. снабжаются специальным заголовком, который предоставляет информацию о маршрутизации, чтобы пакет мог достигнуть адресата. Получателем пакета является VPN-клиент, либо VPN-сервер. Часть пути, по которому данные следуют в инкапсулированном виде, называется туннелем.

Для организации безопасной виртуальной частной сети перед инкапсуляцией данные шифруются. Перехваченные по пути следования пакеты невозможно прочитать без ключей шифрования. Участок VPN-соединения, на котором данные передаются в зашифрованном виде, и называется, собственно, виртуальной частной сетью.

VPN-соединения создаются, управляются и уничтожаются с использованием специальных туннельных протоколов или протоколов туннелирования. VPN-клиент и VPN-сервер должны поддерживать один и тот же протокол туннелирования, чтобы создать VPN-соединение. Сервер удаленного доступа под управлением Windows 2000 — VPN-сервер, работающий по протоколам РРТР и L2TP.

Транспортные протоколы и удаленный доступ

Необходимо учитывать протоколы, используемые в настоящий момент в сети — это может повлиять на планирование, интеграцию и настройку удаленного доступа. Удаленный доступ в Windows 2000 поддерживает транспортные протоколы TCP/IP, IPX/SPX, AppleTalk и NetBEUI. Это означает, что можно интегрировать сервер удаленного доступа на базе Windows 2000 в существующую сеть Microsoft, UNIX, Apple Macintosh или Novell NetWare (по протоколу удаленного доступа РРР) или в сеть Apple Macintosh (по протоколу удаленного доступа ARAP). Клиенты удаленного доступа Windows 2000 могут также подключаться к серверам удаленного доступа SLIP (вероятнее

всего, на базе UNIX). При установке удаленного доступа любые протоколы, уже установленные на компьютере (TCP/IP, IPX, AppleTalk и NetBEUI) автоматически разрешаются к использованию для удаленного доступа на входящих и исходящих соединениях. Для каждого протокола нужно задать доступ ко всей сети или только к серверу удаленного доступа (по умолчанию разрешен доступ ко всей сети). Если предоставляется доступ ко всей сети с использованием TCP/IP или IPX, нужно также настроить IP-адрес или номер сети для IPX (для NetBEUI настройка не требуется).

TCP/IP

TCP/IP— один из наиболее популярных транспортных протоколов. Его возможности маршрутизации и масштабирования предоставляют максимальную гибкость при организации корпоративной сети. Каждый удаленный компьютер, который подключается к серверу удаленного доступа под управлением Windows 2000 при помощи РРР и TCP/IP, автоматически получает IP-адрес. Сервер удаленного доступа предоставляет клиенту удаленного доступа IP-адрес, который выделен сервером DHCP или выбран из статического диапазона IP-адресов, назначенных серверу удаленного доступа администратором.

Если сервер удаленного доступа использует для получения IP-адресов DHCP, то он запрашивает 10 IP-адресов от сервера DHCP. Сервер удаленного доступа использует первый IP-адрес, полученный от сервера DHCP, для себя и распределяет оставшиеся адреса клиентам удаленного доступа по мере установления соединений. IP-адреса освобождаются после отключения клиентов и используются многократно. Когда сервер удаленного доступа использовал все 10 IP-адресов, он получает еще 10 адресов. Если сервер DHCP недоступен, то автоматически выделяются частные IP-адреса в диапазоне от 169.254.0.1 до 169.254.255.254. Другой источник адресов — статический пул IP-адресов, который задается в виде IP-адреса и маски.

В сети TCP/IP, кроме предоставления IP-адресов, клиентам может также потребоваться механизм сопоставления имен IP-адресам и наоборот — служба имен. В сети на базе Windows 2000 используются следующие методы: DNS и файл HOSTS для разрешения (resolution) имен хостов; WINS и файл LMHOSTS для разрешения имен NetBIOS. Серверы удаленного доступа поддерживают все эти методы разрешения имен. Сервер удаленного доступа предоставляет клиентам IP-адреса серверов DNS и WINS. Клиенты удаленного доступа в малых сетях, где IP-адреса не изменяются, могут использовать файлы HOSTS или LMHOSTS для разрешения имен.

IPX

IPX — протокол, применяемый в сетях на базе Novell NetWare. Будучи маршрутизируемым, протокол IPX подходит для организации глобальных корпоративных сетей. Сервер удаленного доступа под управлением Windows 2000 может выполнять функции IPX-маршрутизатора, обеспечивающего передачу данных по протоколам RIP и SAP между сервером удаленного доступа и клиентом удаленного доступа, а также поддержку NetBIOS поверх IPX. Серверы удаленного доступа и их клиенты используют протокол конфигурации IPX (IPX Configuration Protocol, IPXCP), который описан в RFC 1552 и позволяет конфигурировать соединение удаленного доступа для IPX. После того как соединение сконфигурировано, сервер удаленного доступа позволяет клиентам удаленного доступа использовать службы доступа к файлам и печати NetWare и приложения Windows Sockets no IPX в глобальной IPX-сети.

Серверы удаленного доступа предоставляют клиентам удаленного доступа, которые подключаются к сети IPX, номер сети IPX и номер узла. Номер сети IPX генерируется автоматически сервером удаленного доступа или статически выделяется из пула сетевых номеров, сконфигурированного администратором.

NetBEUI

NetBEUI — протокол, предназначенный для применения в малых рабочих группах или локальных сетях. Он может быть установлен на сервере удаленного доступа под управлением Windows 2000. Клиентам удаленного доступа на базе Windows NT 3.1, LAN Manager, MS-DOS и Windows for Workgroups требуется наличие протокола NetBEUI для установления соединения.

AppleTalk

Windows 2000 предоставляет клиентам удаленного доступа AppleTalk две возможности:

Функциональные возможности удаленного доступа AppleTalk в Windows 2000 предназначены для поддержки клиентов удаленного доступа Apple Macintosh. Клиент удаленного доступа под управлением Windows 2000 не может использовать AppleTalk по ARAP или AppleTalk по РРР для установления исходящего соединения.

Установка сервера удаленного доступа

Установка программного обеспечения

При инсталляции Windows 2000 Server по умолчанию устанавливается и служба маршрутизации и удаленного доступа (RRAS). Однако изначально она не активизирована.

Чтобы активизировать службу RRAS, в дереве оснастки необходимо развернуть узел Маршрутизация и удаленный доступ (Routing and remote access). Затем в контекстном меню компьютера, для которого нужно запустить службу RRAS, выберите команду Настроить и включить маршрутизацию и удаленный доступ (Configure and Enable Routing and Remote Access). В окне Мастер настройки сервера маршрутизации и удаленного доступа (Routing and Remote Access Configuration Wizard) нажмите кнопку Далее (Next) и выберите опцию, соответствующую той функции, которую будет выполнять служба RRAS, например, переключатель Сервер удаленного доступа (Enable remote access only) или Сетевой маршрутизатор (Enable routing and remote access). Нажмите кнопку Далее (Next) и следуйте командам мастера. В окне запроса нажмите кнопку Да (Yes), чтобы запустить службу маршрутизации и удаенного доступа.

XA XQ

Функции службы RRAS, заданные изначально с помощью мастера настройки, можно изменять и расширять, для этого в дереве оснастки Маршрутизация и удаленный доступ разверните, узел Маршрутизация и удаленный доступ. Затем в контекстном меню компьютера, для которого нужно активизировать удаленный доступ, выберите команду Свойства (Properties). Например, чтобы включить сервер удаленного доступа, на вкладке Общие (General) (рис. 19.1) установите флажок сервер удаленного доступа (Remote access server).

Чтобы настроить порт для удаленного доступа, в дереве оснастки выберите узел Порты (Ports), в контекстном меню узла Порты выберите команду Свойства. В появившемся диалоговом окне Свойства: Порты (Ports Properties) (рис. 19.2) выберите устройство и нажмите кнопку Настроить (Configure).

Рис. 19.2. Порты удаленного доступа

В диалоговом окне Настройка устройства — имя_устройства (Configure Device — имя_устройства) выполните следующие действия (рис. 19.3):

Рис. 19.3. Настройка порта удаленного доступа

Аппаратные требования

Перед установкой сервера удаленного доступа необходимо подключить все аппаратные средства и проверить их функционирование. В зависимости от размеров и конфигурации сети и требований к удаленному доступу, могут понадобиться:

Установка и настройка оборудования

Модемы

Модемы наиболее часто применяются для установления коммутируемого соединения. Модемы предоставляют возможность установления соединения на скорости до 33,6 Кбит/с по обычной аналоговой телефонной линии или 57,6 Кбит/с при наличии специального оборудования на сервере. Чтобы гарантировать правильное функционирование модемов совместно с сервером удаленного доступа Windows 2000, нужно выбрать их из списка аппаратной совместимости Microsoft Windows (MS Windows Hardware Compatibility List). Модемы этого списка были протестированы совместно с сервером удаленного доступа Windows 2000. Модемы от различных производителей и даже различные модели одного производителя могут оказаться частично или полностью несовместимыми.

Хотя модемы, не включенные в список совместимого оборудования, могут работать с сервером удаленного доступа, они еще не проверены на совместимость с программным обеспечением. Если устанавливаются неподдерживаемые модемы, убедитесь, что они используют один из современных протоколов модуляции, компрессии и коррекции ошибок.

Модемы, поддерживаемые Windows 2000, определяются системой автоматически.

Чтобы установить неподдерживаемый модем, необходимо выбрать Панель управления | Параметры телефона и модема (Control Panel | Phone and Modem Options) и в открывшемся диалоговом окне нажать кнопку Добавить (Add). Далее, в окне Установка модема (Install New Modem) мастера установки оборудования установить флажок Не определять тип модема (выбор из списка) (Don't detect my modem; I will select it from a list) и нажать кнопку Далее (Next).

В списках Изготовители (Manufacturers) и Модели (Models) выбрать изготовителя и модель, наиболее соответствующие устанавливаемому модему, а затем нажать кнопку Далее (Next) и следовать дальнейшим командам мастера.

Прямое соединение

Можно объединить два компьютера без модема при помощи прямого последовательного соединения. Для него не требуется сетевой адаптер, но это очень медленное соединение. Конфигурация "нуль-модем" функционирует лучше всего на компьютерах, физически расположенных близко друг от друга.

Чтобы сконфигурировать прямое последовательное соединение, необходимо выбрать значок Панель управления | Параметры телефона и модема и в открывшемся диалоговом окне нажать кнопку Добавить.

В окне Установка модема мастера установки оборудования выбрать флажок Не определять тип модема (выбор из списка), а затем нажать кнопку Далее.

В списке моделей выбрать Последовательный кабель для связи компьютеров

(Communications cable between two computers), затем нажать кнопку Далее, далее следовать дальнейшим указаниям мастера.

Совместно используемые модемы

Служба удаленного доступа Windows 2000 может работать с модемами, совместное использование которых обеспечивается программными и/или аппаратными средствами от сторонних поставщиков. Таким образом, работа службы удаленного доступа возможна и с модемами, не установленными физически в компьютере.

ISDN

Цифровая сеть с интеграцией служб (Integrated Services Digital Network, ISDN) предоставляет намного более быструю связь, чем обычная аналоговая телефонная линия. Аналоговая телефонная линия позволяет устанавливать соединение со скоростями до 57,6 Кбит/с, a ISDN — со скоростями 64 или 128 Кбит/с.

Чтобы использовать линии ISDN совместно с удаленным доступом Windows 2000, необходимы:

Линия ISDN состоит из двух В-каналов и одного D-канала. Каждый В-канал передает данные со скоростью 64 Кбит/с. D-канал является служебным и передает данные со скоростью 16 Кбит/с.

Необходимо установить адаптеры ISDN как на сервере, так и на каждом клиенте. Можно настроить каждый В-канал, чтобы он функционировал как отдельный порт, или настроить оба В-канала, чтобы они функционировали как один порт. Если установленный адаптер ISDN так настроить нельзя, то для логического объединения В-каналов в единый порт можно использовать многоканальное соединение (multilink).

Х.25

Х.25 — сеть, основанная на технологии коммутации пакетов, которая осуществляет надежную передачу данных. Можно подключаться к сети Х.25 при помощи прямого соединения с сетью или через асинхронное соединение, которое представляет собой коммутируемое соединение с PAD (Packet Assembler/Disassembler, сборщик/разборщик пакетов). Сервер удаленного доступа Windows 2000 поддерживает только прямое соединение с сетью Х.25 при помощи смарт-карт Х.25.

Многоканальные соединения

Удаленный доступ Windows 2000 поддерживает многоканальное соединение и протокол ВАР. При помощи многоканального соединения несколько физических линий представляются в виде одного логического соединения, которое используется для приема и передачи данных. Один из примеров — объединение В-каналов ISDN. Многоканальное соединение должно поддерживаться на обоих концах логического соединения. Многоканальное соединение не обеспечивает механизма адаптации к изменению условий, например, добавления дополнительных линий связи при необходимости или отключения ненужных. Эта возможность обеспечивается протоколом ВАР, который динамически управляет многоканальным соединением.

Например, многоканальное соединение с поддержкой ВАР позволяет клиенту и серверу удаленного доступа создать соединение, состоящее из единственного канала. Клиент удаленного доступа может использовать сообщение запроса по протоколу ВАР, чтобы запросить подключение дополнительного канала. Сообщение запроса ВАР определяет тип канала, например телефонное коммутируемое соединение, ISDN или Х.25. Сервер удаленного доступа затем посылает ответное сообщение ВАР, которое содержит телефонный номер предоставляемого порта на сервере удаленного доступа того типа, какой затребован клиентом удаленного доступа в запросе ВАР. Для многоканального соединения можно настраивать критерии подключения и отключения дополнительных линий.

Коммутируемый доступ

Компоненты коммутируемого доступа в Windows 2000 описаны в табл. 19.3.

Таблица 19.3. Компоненты коммутируемого доступа

Серверы коммутируемого доступа

Для администрирования сервера удаленного доступа под управлением Windows 2000 служит оснастка Маршрутизация и удаленный доступ (рис. 19.4). С ее помощью можно просматривать подключенных пользователей и управлять трафиком удаленного доступа. Для коммутируемого доступа сервер должен иметь многопортовый адаптер, модемы и аналоговые телефонные линии или другие соединения с WAN. Если сервер предоставляет доступ к сети, необходимо установить отдельный сетевой адаптер, подключенный к тому сегменту сети, к которому сервер удаленного доступа предоставляет доступ. Серверы удаленного доступа под управлением Windows 2000 можно настроить по окончании работы мастера конфигурирования RRAS. Нужно определить протоколы, используемые в локальной сети (IPX, TCP/IP, AppleTalk и NetBEUI), и будет ли предоставляться доступ ко всей сети или только к серверу удаленного доступа. Также необходимо выбрать параметры шифрования и проверки подлинности.

Рис. 19.4. Окно оснастки Маршрутизация и удаленный доступ (Routing and Remote Access)

Клиенты коммутируемого доступа

Клиентом коммутируемого доступа, который подключается к серверу удаленного доступа под управлением Windows 2000, может быть компьютер с Windows NT, Windows 2000, Windows 98, Windows 95, Windows for Workgroups, MS-DOS, LAN Manager или любой РРР-клиент. Клиент должен иметь установленный модем, аналоговую телефонную линию или другое соединение WAN и программное обеспечение удаленного доступа. Можно автоматически соединяться с серверами удаленного доступа, используя службу AutoRAS (Диспетчер автоподключений удаленного доступа) Windows 2000. Диспетчер автоподключений удаленного доступа исследует каждое соединение, производимое через службу удаленного доступа, и автоматически повторно подключает к серверу удаленного доступа при повторном обращении к ресурсу. Для клиентов Windows 2000 можно автоматизировать процесс соединения, используя простой язык командных файлов и команду rasdiai.

Клиенты РРР Microsoft

Клиенты РРР Microsoft, использующие TCP/IP, IPX или NetBEUI, могут устанавливать соединение с сервером удаленного доступа под управлением Windows NT 3.5 или выше (включая Windows 2000). Клиенты РРР Microsoft

не могут работать с протоколом AppleTalk. Сервер удаленного доступа автоматически аутентифицирует клиентов РРР. Поддержка возможностей удаленного доступа для клиентов коммутируемого доступа РРР производства фирмы Microsoft представлена в табл. 19.4.

Таблица 19.4. Совместимость РРР-клиентов Microsoft

Клиенты РРР сторонних производителей

Клиенты РРР от сторонних производителей, использующие TCP/IP, IPX, NetBEUI или AppleTalk, могут устанавливать соединения с сервером удаленного доступа под управлением Windows 2000. Сервер удаленного доступа автоматически аутентифицирует клиентов РРР. Для этих клиентов не требуется никакой специальной настройки сервера удаленного доступа под управлением Windows 2000. Нужно только удостовериться, что сервер удаленного доступа и клиент РРР настроены на работу с одним и тем же транспортным протоколом и протоколом проверки подлинности.

Клиенты Microsoft RAS

Перечисленные в табл. 19.5 клиенты не могут использовать протокол удаленного доступа РРР, но поддерживаются сервером удаленного доступа под

управлением Windows 2000 при помощи протокола Microsoft RAS. Этот протокол удаленного доступа поддерживает в качестве транспортного только протокол NetBEUI.

Таблица 19.5. Особенности клиентов Microsoft RAS

Клиенты SLIP

Сервер удаленного доступа под управлением Windows 2000 не поддерживает протокол удаленного доступа SLIP (Serial Line Internet Protocol, протокол Интернета для работы по последовательной линии), т. е. клиенты SLIP не могут соединяться с сервером удаленного доступа под управлением Windows 2000.

Клиенты ARAP

Сервер удаленного доступа под управлением Windows 2000 поддерживает протокол удаленного доступа AppleTalk (AppleTalk Remote Access Protocol, ARAP). Клиенты коммутируемого доступа Apple Macintosh могут соединять ся с сервером удаленного доступа под управлением Windows 2000 и использовать протокол AppleTalk, чтобы обратиться к ресурсам корпоративной сети.

Протоколы коммутируемого доступ

Протоколы удаленного доступа управляют передачей данных через глобальную сеть (например, через телефонную сеть или сеть Х.25). Операционная система и транспортные протоколы, используемые клиентами и серверами удаленного доступа, определяют, какой протокол удаленного доступа могут использовать клиенты (табл. 19.6).

Таблица 19.6. Протоколы удаленного доступа, поддерживаемые Windows 2000

Построение виртуальных частных сетей (VPN)

Виртуальные частные сети (Virtual Private Network, VPN) на базе Windows 2000 включают компоненты, указанные в табл. 19.7.

Таблица 19.7. Компоненты VPN

Клиенты VPN

Клиентом виртуальной частной сети, который соединяется с серверами удаленного доступа под управлением Windows 2000, может быть Windows NT 4.0, Windows 95 или Windows 98 (табл. 19.8). Для того чтобы принимать/передавать пакеты TCP/IP серверу удаленного доступа, клиенту требуется сетевой адаптер или модем и аналоговая телефонная линия или другое подключение к WAN (ISDN, X.25 и т. п.).

Таблица 19.8. Протоколы туннелирования для VPN-клиентов Microsoft

Поддержка протоколов проверки подлинности Microsoft для клиентов VPN приведена в табл. 19.9.

Таблица 19.9. Поддержка VPN-клиентов

Клиенты VPN производства третьих фирм, использующие РРТР или L2TP и IPSec, могут устанавливать соединение с сервером удаленного доступа под управлением Windows NT 4.0 (только РРТР) или Windows 2000 (оба протокола). Для клиентов сторонних производителей не требуется специальная настройка сервера удаленного доступа. Однако, если требуется безопасное VPN-соединение, необходимо удостовериться, что клиенты виртуальной частной сети поддерживают соответствующее шифрование. Для РРТР требуется поддержка Microsoft Point-to-Point Encryption (МРРЕ, шифрование Microsoft типа "точка-точка"). Для L2TP требуется шифрование IPSec.

Серверы VPN

Для администрирования сервера удаленного доступа, просмотра состояния подключенных VPN-клиентов и управления трафиком служит оснастка Маршрутизация и удаленный доступ. Для поддержки доступа при помощи виртуальных частных сетей через Интернет сервер обычно имеет постоянное соединение с Интернетом. Можно также использовать и временное соединение с Интернетом, если Интернет-провайдер поддерживает установление коммутируемого соединения по запросу. Соединение с провайдером будет установлено по инициативе провайдера, когда появится трафик, адресованный серверу VPN. Если сервер VPN предоставляет доступ к сети, нужно установить отдельный сетевой адаптер и подключить его к сети, к которой сервер предоставляет доступ. Сервер удаленного доступа можно настроить после того, как мастер конфигурации &.RAS завершит свою работу. Нужно определить протоколы, используемые в локальной сети (IPX, TCP/IP, AppleTalk, и NetBEUI) и то, осуществляется ли доступ по этому протоколу ко всей сети или только к серверу удаленного доступа. Также нужно выбрать параметры шифрования и проверки подлинности.

Протоколы туннелирования

В табл. 19.10 кратко описаны протоколы туннелирования, используемые VPN-сервером в среде Windows 2000.

Таблица 19.10. Протоколы туннелирования

Защита удаленного доступа

Проверка подлинности клиентов удаленного доступа — важная часть системы безопасности. Методы проверки подлинности обычно.используют протокол проверки подлинности во время установления соединения. Windows 2000 также поддерживает доступ без проверки подлинности.

Свойства учетной записи пользователя

В Windows 2000 учетная запись пользователя для автономного сервера или сервера в составе сети на базе Active Directory содержит набор свойств пользователя (табл. 19.11), которые используются при разрешении или запрещении попытки пользователя установить удаленное соединение. Для автономного сервера можно устанавливать свойства пользователя на вкладке Входящие звонки (Dial-in) в окне учетной записи пользователя в оснастке Локальные пользователи и группы (Local Users and Groups). Для сервера на базе Active Directory можно устанавливать свойства на вкладке Входящие звонки (Dial-in) в окне учетной записи пользователя в оснастке Active Directory - пользователи и компьютеры (Active Directory Users and Computers). Нельзя использовать средство User Manager for Domains из состава Windows NT 4.0 для серверов на базе Active Directory.

Таблица 19.11. Свойства учетной записи пользователя

Проверка подлинности

Домен Windows 2000 и Active Directory

Сервер удаленного доступа под управлением Windows 2000 Server может использовать систему безопасности главного контроллера домена (PDC) Windows NT (Windows NT 4.0 Server и более ранние) или систему безопасности Windows 2000 Active Directory (Windows 2000 Server) при получении информации для проверки подлинности пользователей удаленного доступа. Сервер удаленного доступа, работающий под управлением Windows 2000 Server, также хранит аутентификационную и учетную информацию для соединений удаленного доступа.

Служба RADIUS

Служба RADIUS (Remote Authentication Dial-In User Service, служба проверки подлинности удаленных пользователей) соответствует промышленным

стандартам (RFC 2138 и 2139) и предоставляет централизованные услуги по проверке подлинности и учету для служб удаленного доступа. Серверы службы RADIUS используются Интернет-провайдерами и корпоративными заказчиками. Клиентом RADIUS обычно является сервер удаленного доступа.

В состав Windows 2000 Server входит сервер RADIUS, который называется Служба проверки подлинности в Интернете (Internet Authentication Server).

В Windows 2000 поставщиков аутентификационной и учетной информации для сервера удаленного доступа можно задавать независимо друг от друга. Сервер удаленного доступа может, например, в качестве поставщика аутентификационной информации использовать Windows 2000, а в качестве поставщика учетной информации — сервер RADIUS.

Доступ без проверки подлинности

Windows 2000 поддерживает также доступ без проверки подлинности (табл. 19.12), который означает, что серверу удаленного доступа не требуется идентификационная информация пользователя (имя пользователя и пароль).

Таблица 19.12. Варианты доступа без проверки подлинности

Протоколы проверки подлинности ЕАР

При помощи ЕАР (Extensible Authentication Protocol, расширяемый протокол идентификации) можно подключить любой механизм проверки подлинности (аутентификации), который будет проверять достоверность информации о пользователе, установившем соединение удаленного доступа. Точная схема аутентификации, используемая соединением, устанавливается в результате переговоров между клиентом удаленного доступа и сервером удаленного доступа. Можно применять ЕАР для поддержки разных схем аутентификации, например, типа General Token Card (Универсальная жетонная карта), MD5-Challenge (Запрос MD5), TLS (Transport Level Security, Защита транспортного уровня) для поддержки смарт-карт, а также S/Key. Впрочем, можно использовать любые другие схемы, реализуемые в будущем. ЕАР позволяет производить открытые переговоры между клиентом удаленного доступа и сервером удаленного доступа, состоящие из запросов сервера на получение аутентификационной информации и соответствующих ответов клиента. Например, если ЕАР используется с жетонными картами, сервер удаленного доступа может отдельно запросить у клиента удаленного доступа название, PIN-код и емкость жетонной карты. Если на все вопросы получены удовлетворительные ответы, клиент удаленного доступа аутентифицируется и получает разрешение на удаленный доступ к сети.

Специальная схема проверки подлинности ЕАР называется типом ЕАР (ЕАР type). Для успешной проверки подлинности клиента клиент удаленного доступа и сервер удаленного доступа должны поддерживать один и тот же тип ЕАР.

Windows 2000 включает поддержку инфраструктуры ЕАР, два типа ЕАР (EAP-MD5 CHAP и EAP-TLS) и возможность передавать сообщения ЕАР серверу RADIUS (EAP-RADIUS).

Чтобы разрешить проверку подлинности на базе ЕАР, нужно:

MS CHAP

Windows 2000 включает поддержку MS CHAP (Microsoft Challenge Handshake Protocol, протокол проверки подлинности запроса-подтверждения Microsoft), также известный как MS CHAP версии 1. MS CHAP — это протокол проверки подлинности с необратимым шифрованием пароля.

MS CHAP версии 2

Windows 2000 включает поддержку протокола MS CHAP, который предоставляет более сильную защиту для соединения удаленного доступа. MS CHAP v2 решает некоторые проблемы функционирования MS CHAP версии 1 (табл. 19.13).

MS CHAP версии 2 — это протокол взаимной проверки подлинности с односторонним Шифрованием пароля.

Таблица 19.13. Сравнение MS CHAP версий 1 и 2

CHAP

Протокол проверки подлинности CHAP — протокол проверки подлинности типа "запрос-ответ", использующий схему хэширования MD-5 (Message Digest, дайджест сообщения) для шифрования ответа. CHAP используется различными производителями ПО серверов и клиентов удаленного доступа. Сервер удаленного доступа Windows 2000 поддерживает CHAP для проверки подлинности клиентов удаленного доступа сторонних поставщиков.

SPAP

SPAP (Shiva Password Authentication Protocol, протокол проверки подлинности пароля Shiva) использует реверсивный механизм шифрования Shiva. Windows 2000 использует SPAP при соединении с Shiva LAN Rover. Также поступает и клиент Shiva, который соединяется с сервером удаленного доступа под управлением Windows 2000 Server. Эта схема проверки подлинности более безопасна, чем передача данных открытым текстом, но менее безопасна, чем CHAP или MS CHAP.

PAP

Протокол PAP использует пароли, передаваемые открытым текстом, и является наименее сложным протоколом проверки подлинности. Обычно соединение на его основе устанавливается, если клиент удаленного доступа и сервер удаленного доступа не могут договориться о более безопасной форме проверки подлинности.

Когда РАР устанавливается в качестве опознавательного протокола, пароли пользователей передаются открытым текстом. Всякий, кто перехватит пакеты процесса проверки подлинности, может легко прочитать пароль и использовать его для несанкционированного доступа к корпоративной сети. Нежелательно использовать РАР, особенно для соединений VPN. После отключения проверки подлинности на базе РАР на сервере удаленного доступа пароли никогда не будут передаваться открытым текстом. Отключение РАР увеличивает защиту проверки подлинности, но после этого клиенты удаленного доступа, которые поддерживают только РАР, не смогут установить соединение.

ARAP

Клиенты Apple Macintosh могут подключаться к серверу удаленного доступа Windows 2005 при помощи протоколов ARAP (AppleTalk Remote Access Protocol, протокол удаленного доступа AppleTalk) и AppleTalk. Когда удаленный доступ разрешен для гостевой учетной записи ARAP-клиента, сервер будет опрашивать подключающихся пользователей, действительно ли они хотят входить в систему в качестве гостя. Если разрешен доступ без проверки подлинности, пользователи удаленного доступа могут устанавливать соединения без передачи идентификационной информации. Чтобы запретить такой доступ для всех учетных записей, кроме гостевой записи пользователей AppleTalk, нужно создать политику удаленного доступа для пользователей AppleTalk и установить атрибут Framed-Protocol равным AppleTalk Remote Access Protocol (ARAP).

Шифрование данных

Для защиты данных, передаваемых между клиентом и сервером удаленного доступа, можно использовать шифрование. Шифрование данных важно для финансовых учреждений, правоохранительных и правительственных органов и корпорации, которым требуется безопасная передача данных. Для служб, требующих конфиденциальности данных, сетевой администратор может настроить сервер удаленного доступа на использование только шифрованного обмена данными. Пользователи, которые соединяются с таким сервером, должны шифровать свои данные, иначе соединение не производится.

При коммутируемом соединении можно защитить данные, зашифровав их на пути между клиентом и сервером удаленного доступа. Шифрование данных необходимо, если есть риск перехвата данных на линии связи между клиентом и сервером удаленного доступа. Для коммутируемых сетевых соединений Windows 2000 использует шифрование "точка-точка" Microsoft (Microsoft Point-to-Point Encryption, MPPE). MPPE требует применения протоколов проверки подлинности MS CHAP или EAP-TLS.

При VPN-соединении можно защитить данные, зашифровав их на пути между концами виртуальной частной сети (VPN). Необходимо применять шифрование данных для VPN-соединения, если частные данные передаются по сети общего пользования (например, Интернет), где всегда есть риск перехвата данных. Для VPN-соединения Windows 2000 использует шифрование МРРЕ с протоколом РРТР и шифрование IPSec с протоколом L2TP, Поскольку шифрование данных выполняется между VPN-клиентом и VPN-сервером, то на соединении между клиентом удаленного доступа и Интернет-провайдером оно уже не является необходимым.

Шифрование данных для РРР- или РРТР-соединения возможно, только если используются протоколы проверки подлинности MS CHAP или EAP-TLS. Шифрование данных для PТР-соединения основано на механизмах IPSec, для которых специальные протоколы проверки подлинности не требуются.

Правила предоставления удаленного доступа

После того как установлен сервер удаленного доступа, нужнб определить, какие пользователи могут устанавливать соединение с ним. Для Windows 2000 разрешение удаленного доступа определяется политикой удаленного доступа и учетной записью пользователя.

Не нужно создавать отдельные учетные записи только для пользователей удаленного доступа. Серверы удаленного доступа используют учетные записи пользователей, расположенные в общей базе данных учетных записей пользователей согласно общим механизмам защиты Windows 2000.

Защита при подключении

Вот пошаговая схема процесса, происходящего при запросе клиента удаленного доступа к серверу удаленного доступа под управлением Windows 2000:

Защита после подключения

После проверки подлинности удаленного доступа и подключения клиента к LAN клиент удаленного доступа может обращаться только к тем сетевым ресурсам, для которых он имеет соответствующее разрешение. Клиенты удаленного доступа подчиняются общим схемам безопасности Windows 2000 так же, как если бы они физически располагались в LAN. Другими словами, клиенты удаленного доступа не могут выполнять действия, не имея достаточных на то полномочий, и не могут обращаться к ресурсам, для которых они не имеют соответствующих разрешений.

Клиенты удаленного доступа должны быть проверены на подлинность сервером удаленного доступа до обращения к ресурсам и обмена данными по сети. Эта проверка подлинности — шаг, отдельный от регистрации в Windows 2000. При передаче по телефонным линиям пароли пользователей и процесс проверки подлинности можно шифровать.

Можно ограничить клиента удаленного доступа доступом только к общим ресурсам сервера удаленного доступа, а не к ресурсам всей сети, к которой подключен сервер удаленного доступа. Администратор может управлять тем, какая информация будет доступна клиентам удаленного доступа, и ограничивать доступ пользователей в случае нарушения защиты.

Caller ID

При настройке защиты удаленного доступа на использование Caller ID (идентификатор звонящего абонента) задается телефонный номер, с которого пользователь должен осуществлять связь. Если пользователь производит попытку соединения с другого номера, сервер удаленного доступа отклоняет ее.

Ответный вызов

Если применяется ответный вызов, пользователь инициализирует запрос и соединяется с сервером удаленного доступа (табл. 19.14). Сервер удаленного доступа после проверки подлинности пользователя "вешает трубку" и осуществляет ответный вызов по номеру, определенному звонящим пользователем или заданному администратором. Привилегия ответного вызова назначается для каждого пользователя, если ему предоставлено разрешение удаленного доступа.

Таблица 19.14. Варианты ответного вызова

Хосты безопасности

Хост безопасности — устройство проверки подлинности сторонних производителей, которое проверяет, имеет ли вызывающий клиент удаленного доступа разрешение на соединение с сервером удаленного доступа. Эта проверка дополняет систему безопасности, предоставляемую сервером удаленного доступа под управлением Windows 2000.

Хост безопасности располагается между клиентом и сервером удаленного доступа. Хост безопасности предоставляет дополнительный уровень безопасности, требуя наличие некоторого аппаратного ключа для проверки подлинности. Проверка того, что клиент удаленного доступа владеет ключом, производится до подключения к серверу удаленного доступа. Эта открытая архитектура позволяет заказчикам выбирать из ряда хостов безопасности разных провайдеров для увеличения безопасности удаленного доступа.

Блокировка учетной записи

Блокировка учетной записи (Account Lockout) — еще одна отличительная особенность безопасности, которая отменяет разрешение удаленного доступа для учетной записи пользователя после заданного числа неудавшихся попыток проверки подлинности.

Можно использовать блокировку учетной записи, чтобы определить, сколько раз происходил сбой проверки подлинности удаленного доступа до того момента, как разрешение удаленного доступа для учетной записи пользователя будет отменено. Блокировка учетной записи особенно важна для удаленного доступа по VPN-соединению через Интернет. Сторонние пользователи злоумышленники из Интернета могут пытаться получить доступ к интрасети, посылая идентификационную информацию (настоящее имя пользователя и предполагаемый пароль) в течение процесса проверки подлинности VPN-соединения. При атаке с применением словаря пользователь-злоумышленник посылает сотни, даже тысячи пар "имя-пароль" по списку, основанному на общих словах, именах или фразах.

Если разрешить блокировку учетной записи, атака по словарю будет остановлена после заданного числа неудавшихся попыток. Сетевой администратор должен настроить две переменные, управляющие блокировкой учетной записи при удаленном доступе:

Чтобы разрешить возможность блокировки учетной записи, нужно изменить параметры в системном реестре Windows 2000.

Чтобы разрешить блокировку учетных записей, необходимо установить значение параметра MaxDenials больше или равным 1. По умолчанию MaxDenials=0 (блокировка учетной записи запрещена). Параметр MaxDenials — максимальное число неудачных попыток, произошедших до блокировки учетной записи:

HKEY_LOCAL_MACHINE\SYSTEM\CurremControlSet\Services \RemoteAccess\Parameters\AccountLockout\MaxDenials

Чтобы изменить временной интервал до сброса счетчика неудачных попыток, необходимо установить значение параметра ResetTime равным заданному числу минут:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services \RemoteAccess\Parameters\AccountLockout\ResetTime

По умолчанию ResetTime = ОхЬ40 (2,880 мин или 48 ч).

Регистрация и протоколирование

Сервер удаленного доступа Windows 2000 поддерживает два типа регистрации:

Рис. 19.5. Типы регистрируемых событий

Рис. 19.6. Параметры настройки журнала

Чтобы настроить регистрацию проверки подлинности и учетной информации, сначала нужно разрешить сбор учетной информации Windows Далее можно настроить тип регистрируемых действий (учет или действия по проверке подлинности) (рис. 19.5) и параметры журнала (рис. 19.6). Чтобы настроить регистрацию, выполните одно из следующих действий:

Политика удаленного доступа

Политика удаленного доступа - набор условий и параметров соединения которые предоставляют сетевому администратору больше гибкости в настройке разрешений удаленного доступа и атрибутов соединения. Политика удаленного доступа хранится на локальном компьютере. При помощи политики удаленного доступа можно предоставлять разрешения удаленного доступа в зависимости от времени дня, дня недели, группы Windows, к которой принадлежит звонящий пользователь, типа требуемого соединения (коммутируемое или VPN-соединение). Можно определить параметры настройки соединения, которые ограничивают максимальное время сеанса связи, тип аутентификации и шифрования, политику ВАР и фильтрацию IP-пакетов.

В Windows NT 3.5 и 4.0 удаленный доступ предоставлялся на основе простого разрешения удаленного доступа с применением утилит User Manager или Routing and Remote Access Admin. Параметры ответного вызова задавались для каждого пользователя. В Windows 2000 разрешения удаленного доступа предоставляются на основе свойств политики удаленного доступа и учетной записи пользователя.

Важно помнить, что при использовании политик удаленного доступа соединение разрешается, только если параметры настройки соединения соответствуют, по крайней мере, одной из политик удаленного доступа (в соответствии со свойствами учетной записи пользователя и конфигурацией политики удаленного доступа). Если параметры настройки при попытке соединения не соответствуют хотя бы одной из политик удаленного доступа, попытка соединения отклоняется, независимо от свойств учетной записи пользователя. На серверах удаленного доступа под управлением Windows 2000 политика удаленного доступа конфигурируется из оснастки RRAS. На серверах IAS в среде Windows 2000 политика удаленного доступа управляется из оснастки Служба проверки подлинности в Интернете.

Элементы политики удаленного доступа

Политика удаленного доступа — именованное правило, в которое входят следующие элементы: условия, разрешение (право) удаленного доступа, а также профиль.

Таблица 19.15. условия политики удаленного доступа

Таблица 19.16. Параметры профиля политики удаленного доступа

Политика удаленного доступа по умолчанию

Политика удаленного доступа по умолчанию (default policy) работает так: удаленный доступ с ее использованием разрешается, если для устанавливающего входящее соединение пользователя предоставлено разрешение удаленного доступа. Эта политика создается при установке службы маршрутизации и удаленного доступа. Политика по умолчанию имеет следующую конфигурацию:

Установление соединения с использованием политик

Когда пользователь пытается установить соединение, то попытка принимается или отклоняется на основании следующей логики:

Преобразование сетевых адресов (NAT)

Общие понятия

Средство NAT (Network Address Translation, преобразование (трансляция) сетевых адресов) в Windows 2000 позволяет легко подключить домашнюю сеть или сеть малого офиса к Интернету. NAT состоит из следующих компонентов:

Частные адреса

Чтобы устанавливать соединение с ресурсами Интернета, необходимо использовать адреса, распределенные центром Network Information Center (Информационный центр сети Интернет, InterNIC). Такие адреса могут получать трафик от служб межсетевой сети и называются public-адресами (public address). Типичное малое предприятие или офис подразделения получает public-адрес (или адреса) от Интернет-провайдера, который, в свою очередь, получил диапазон public-адресов от InterNIC.

Для того чтобы разрешить нескольким компьютерам в сети малого офиса или в домашней сети устанавливать соединение с ресурсами Интернета, каждый компьютер должен иметь собственный public-адрес. Это требование может привести к нехватке доступных public-адресов.

Чтобы сократить потребность в public-адресах, InterNIC предусмотрел схему многократного использования адресов, зарезервировав идентификаторы сетей для частных нужд. Частные сети входят в следующие диапазоны (задаются идентификатором и маской):

Более подробная информация о диапазонах адресов, зарезервированных для частных интрасетей, приведена в RFC 1597. Адреса в этих диапазонах называются частными адресами.

Частные адреса не могут получать трафик от компьютеров в межсетевой среде. Следовательно, если интрасеть использует частные адреса и устанавливает связь со службами Интернета, частный адрес должен транслироваться в public-адрес. NAT помещается между интрасетью, которая использует частные адреса, и Интернетом, который использует public-адреса. Пакеты, исходящие из интрасети, имеют частные адреса, которые NAT транслирует в public-адреса. Поступающие из Интернета пакеты имеют public-адреса, и NAT транслирует их в частные адреса.

Пример NAT

Если сеть малого предприятия использует идентификатор сети 192.168.0.0 для интрасети и имеется public-адрес a.b.c.d, полученный от Интернет-провайдера, то NAT отображает все частные адреса в сети 192.168.0.0 в IP-адрес a.b.c.d. Если несколько частных адресов отображаются в один public-адрес с использованием NAT, TCP- и UDP-порты выбираются динамически, чтобы отличить один компьютер внутри интрасети от другого.

На рис. 19.9 показано применение NAT для "прозрачного" соединения интрасети с Интернетом.

Рис. 19.9. Пример использования NAT

Если частный пользователь на компьютере с адресом 192.168.0.10 соединяется с веб-сервером по адресу e.f.g.h при помощи веб-браузера, то стек IP пользователя создает IP-пакет со следующей информацией:

Этот IP-пакет затем пересылается NAT для преобразования адресов исходящего пакета к следующим:

NAT хранит отображение {192.168.0.10, TCP 1025} в {a.b.c:d, TCP 5000} в своей внутренней таблице.

Преобразованный таким образом IP-пакет пересылается через Интернет. Когда ответ получен NAT, пакет содержит следующую общую информацию об адресах:

NAT проверяет свою адресную таблицу, отображает public-адреса в частные и передает пакет на компьютер по адресу 192.168.0.10. Посланный пакет содержит следующую информацию об адресах:

Для пакетов, исходящих из NAT, IP-адрес отправителя (частный адрес) отображается в адрес, выданный Интернет-провайдером (public-адрес), а номер, порта TCP/UDP отображается в другой номер порта TCP/UDP.

Для пакетов, приходящих NAT, IP-адрес получателя (public-адрес) отображается в оригинальный адрес интрасети (частный адрес), а номер порта TCP/UDP отображается обратно к оригинальному номеру порта TCP/UDP.

Редакторы NAT

По умолчанию NAT транслирует IP-адреса и TCP/UDP-порты. Если IP-адрес и информация о порте содержатся только в заголовках IP и TCP/UDP, то прикладной протокол также будет правильно транслироваться nat!

Пример — протокол HTTP (Hypertext Transfer Protocol, протокол передачи гипертекста), используемый в WWW (World Wide Web).

Однако имеются приложения и протоколы, которые содержат IP-адрес или информацию о порте TCP/UDP в теле сообщений, а не в заголовках TCP/UDP. Пример — протокол FTP, который для команды ftp port передает десятичное представление IP-адреса в теле команды. Если NAT неправильно транслирует IP-адрес внутри команды FTP, то могут возникнуть проблемы установления соединения.

Также имеются протоколы, которые не используют для передачи данных ни TCP, ни UDP (большинство протоколов использует для доставки пакетов транспортные протоколы TCP или UDP). Например, транспортный протокол РРТР не использует для доставки данных TCP/UDP. Вместо заголовков TCP или UDP используется специальный заголовок общей инкапсуляции маршрутизации (ORE, Generic Routing Encapsulation) и специальное поле Tunnel ID для идентификации потока данных. Если бы NAT не транслировал это поле, то передача данных при помощи протокола РРТР через NAT была бы невозможна.

Если компонент NAT должен дополнительно транслировать и корректировать не только заголовки IP, TCP и UDP, но и служебную информацию в теле пакетов, требуется редактор NAT. Редактор NAT — устанавливаемый компонент, который может корректно изменять не транслируемую иным способом информацию — так, чтобы она могла быть передана через NAT. В составе Windows 2000 имеются NAT-редакторы для протоколов FTP, ICMP, РРТР. Возможно появление NAT-редакторов для трансляции протоколов SNMP, LDAP, Microsoft COM, RPC.

Проектирование сети с преобразованием адресов

Прежде чем реализовать сеть с преобразованием адресов, рассмотрим некоторые аспекты ее построения, описанные в следующих разделах, чтобы избежать проблем.

Частные сетевые адреса

Необходимо использовать IP-адреса, выделенные InterNIC для частных IP-сетей (см. выше). По умолчанию преобразователь адресов для частной сети выбирает адреса из диапазона с идентификатором 192.168.0.0 и маской 255.255.255.0.

Если для IP-сети используются public-адреса, которые не были выданы ни InterNIC, ни Интернет-провайдером, то может оказаться, что используется идентификатор IP-сети другой организации, имеющей выход в Интернет. Этот случай называется некорректной или накладывающейся (overlapping) IP-адресацией. Накладывающиеся public-адреса исключают возможность достижения межсетевых ресурсов по этим адресам. Например, если используется сеть 1.0.0.0 с маской подсети 255.0.0.0, то невозможно достичь ресурсов другой организации, которая также использует сеть 1.0.0.0.

Один или несколько public-адресов

Если используется один public-адрес IP, предоставленный Интернет-провайдером, то дополнительная настройка IP-адреса не требуется. Если используется несколько IP-адресов, выделенных провайдером, необходимо настроить интерфейс NAT на диапазон public-адресов. Для диапазона выделенных IP-адресов следует определить, может ли диапазон public-адресов быть выражен при помощи одного IP-адреса и маски подсети.

Если был выдан ряд адресов, количество которых является степенью 2 (2, 4, 8, 16 и т. д.), имеется вероятность, что диапазон можно выразить при помощи одного IP-адреса и маски подсети. Например если предоставлены четыре public-адреса 200.100.100.212, 200.100.100.213, 200.100.100.214 и 200.100.100.215, предоставленных провайдером, то их можно представить как один адрес 200.100.100.212 с маской подсети 255.255.255.252.

Если IP-адреса нельзя выразить в виде IP-адреса и маски подсети, то можно ввести их как диапазон или ряд диапазонов, указывая начальный и конечный IP-адреса.

Разрешение входящего соединения

Обычно NAT используется в домашней или малой сети, чтобы разрешить исходящие соединения (из частной сети в общую сеть). Приложения типа веббраузеров, работающих в частной сети, создают соединения с ресурсами Интернета. Обратный трафик из Интернета может пересечь NAT, поскольку соединение было инициализировано ранее клиентом, находящимся в частной сети.

Для разрешения входящего соединения необходимо настроить статическую конфигурацию IP на сервере, на котором расположен ресурс, включая IP-адрес (из диапазона IP-адресов, распределяемых с помощью NAT), маску подсети (из диапазона IP-адресов, распределенных NAT), шлюз по умолчанию (частный IP-адрес компьютера с NAT) и сервер DNS (частный IP-адрес компьютера с NAT).

Затем необходимо исключить IP-адрес, присвоенный компьютеру, на котором расположен ресурс, из диапазона IP-адресов, распределяемых компькь тером с NAT.

Наконец, на последнем шаге необходимо настроить специальный порт. Специальный порт — статическое отображение общего адреса и номера порта в частный адрес и номер порта. Специальный порт отображает входящее соединение от пользователя из Интернета в специфический адрес в частной сети. Это позволяет создавать в частной сети веб-серверы, доступные из Интернета.

Конфигурирование компьютера-преобразователя адресов

Чтобы сконфигурировать компьютер-преобразователь адресов, необходимо выполнить следующие действия:

Конфигурирование других компьютеров в сети малого офиса или в домашней сети

Можно настроить протокол TCP/IP на других компьютерах в сети малого офиса или в домашней сети, чтобы они получали IP-адреса автоматически. Когда компьютеры в домашней сети получают свой IP-адрес с компьютера, на котором функционирует NAT, получаемая ими конфигурация будет следующей:

Дополнительные установки преобразователя адресов

Администрирование NAT

Добавление преобразования сетевых адресов (NAT)

Для добавления преобразователя сетевых адресов (NAT) необходимо в окне оснастки Маршрутизация и удаленный доступ в разделе Маршрутизация IP (IP Routing) щелкнуть правой кнопкой мыши на узле Общие (General) и выбрать из появившегося контекстного меню команду Новый протокол маршрутизации (New Routing Protocol).

В диалоговом окне Новый протокол маршрутизации в списке Протоколы маршрутизации (Routing protocols) выбрать узел Преобразование сетевых адресов (NAT) (Network Address Translation (NAT)) и нажать кнопку ОК (рис. 19.10).

Рис. 19.10. Добавление NAT как протокола маршрутизации

Добавление интерфейса для преобразования адресов

Для добавления интерфейса для преобразования адресов необходимо в окне оснастки Маршрутизация и удаленный доступ в разделе Маршрутизация IP (IP Routing) щелкнуть правой кнопкой мыши на узле Преобразование сетевых адресов (NAT) (Network Address Translation (NAT)) и из появившегося контекстного меню выбрать команду Новый интерфейс (New Interface).

Далее, выбрать нужный интерфейс и нажать кнопку ОК.

Рис. 19.11. Добавление NAT — настройка интерфейса

Выполнить одно из следующих действий (рис. 19.11):

Разрешение адресации

Для разрешения адресации следует в окне оснастки Маршрутизация и удаленный доступ в разделе Маршрутизация IP (IP Routing) щелкнуть правой кнопкой мыши на узле Преобразование сетевых адресов (NAT) и в появившемся контекстном меню выбрать команду Свойства.

На вкладке Назначение адресов (Address Assignment) установить флажок Автоматически назначать IP-адреса с использованием DHCP (Automatically assign IP addresses by using DHCP) (рис. 19.12).

Рис. 19.12. Настройка адресации

При необходимости ввести информацию в полях IP-адрес (IP address) и Маска (Mask), чтобы задать диапазон адресов и маску для выделения клиентам DHCP на частной сети. Если требуется исключить некоторые адреса из выделения клиентам DHCP, нужно нажать кнопку Исключить (Exclude) и задать эти адреса.

По окончании настройки нажать кнопку ОК.

Разрешение распознавания имен для преобразования адресов

Чтобы разрешить распознавание имен для преобразования адресов в окне оснастки Маршрутизация и удаленный доступ, в разделе Маршрутизация IP (IP

Routing) щелкните правой кнопкой мыши на узле Преобразование сетевых адресов (NAT) и в появившемся контекстном меню выберите команду Свойства.

В появившемся окне на вкладке Разрешение имен в адреса (Name Resolution) (рис. 19.13) выполните одно из следующих действий:

Рис. 19.13. Настройка разрешения имен

Если нужно, чтобы соединение с Интернетом было установлено, когда компьютер в частной сети посылает запрос на разрешение имени компьютеру с NAT, установите флажок Подключаться к общей сети, когда требуется разрешение (Connect to the public network when a name needs to be resolved), а затем выберите в списке Интерфейс вызова по требованию (Demand-dial interface) соответствующий интерфейс.

Конфигурирование диапазонов IP-адресов для преобразования

Для конфигурирования диапазонов IP-адресов для преобразования в окне оснастки Маршрутизация и удаленный доступ в разделе Маршрутизация IP (IP Routing) разверните узел Преобразование сетевых адресов (NAT), щелкните правой кнопкой мыши на нужном интерфейсе и выберите в появившемся контекстном меню команду Свойства.

На вкладке Пул адресов (Address Pool) (рис. 19.14) нажмите кнопку Добавить (Add) и выполните одно из следующих действий:

Рис. 19.14. Настройка диапазонов адресов

Конфигурирование преобразования специальных портов

Для конфигурирования преобразования специальных портов в окне оснастки Маршрутизация и удаленный доступ в разделе Маршрутизация IP выберите узел Преобразование сетевых адресов (NAT), щелкните правой кнопкой мыши на нужном интерфейсе и в появившемся контекстном меню выберите команду Свойства.

На вкладке Особые порты (Special Ports) (рис. 19.15) в поле Протокол (Protocol) выберите протокол TCP или UDP и нажмите кнопку Добавить.

Рис. 19.15. Настройка преобразования специальных адресов

Настройка сетевых приложений

Для настройки сетевых приложений в окне оснастки Маршрутизация и удаленный доступ в разделе Маршрутизация IP щелкните правой кнопкой мыши Преобразование сетевых адресов (NAT) ив появившемся контекстном

меню выберите команду Свойства. На вкладке Преобразование (Translation) (рис. 19.16) нажмите кнопку Приложения (Applications).

Чтобы добавить сетевое приложение, в диалоговом окне Приложения (Applications) нажмите кнопку Добавить. В диалоговом окне Приложение общего доступа к подключению Интернета (Add Application) введите настройки для сетевого приложения и нажмите кнопку ОК.

Рис. 19.16. Настройка сетевых приложений

Служба факсимильных сообщений

Служба факсов (Fax Service) позволяет посылать и получать факсимильные сообщения без использования дополнительных программ, поскольку все, что для этого нужно, — факс-модем. Можно легко передавать по факсу документы при помощи команды Печать, которая обычно имеется в текстовых процессорах, электронных табличных процессорах и в приложениях других типов. Также можно использовать почтовые программы, чтобы одновременно посылать электронную почту и факсимильные сообщения.

Использование службы факсов

Чтобы послать простое текстовое или графическое сообщение по факсимильной связи, требуются только Windows 2000 и факс-модем. Необходимо убедиться, что модем поддерживает возможности передачи факсимильных сообщений, а не только стандартные возможности передачи данных. Хотя некоторые модемы предоставляют обе возможности, они не взаимозаменяемы. Служба факсов может работать с факсимильными устройствами, которые поддерживают передачу сообщений в стандарте Class 1 или Class 2, например, факс-модемы или факсимильные платы.

Чтобы послать по факсу документ, нужно просто выбрать команду Печать (Print) в том приложении Windows, где открыт документ. Поскольку служба факсов устанавливает факс-принтер автоматически, при передаче сообщения понадобится добавить только информацию о получателе и заметки в Мастере рассылки факсов (Send Fax Wizard) — и факс будет передан.

Факс использует многостраничный формат TIFF (Tagged Image File Format). Можно сканировать отпечатанные изображения и использовать их для передачи по факсу. Не требуется преобразовывать существующую графику в формат TIFF перед передачей факса — служба факсов делает это автоматически. Служба факсов также содержит компонент для предварительного просмотра (Imaging Preview) полученных и посланных факсимильных сообщений.

Для наилучшей работы со службой рекомендуется:

Если заранее известно, что факсимильное устройство будет работать в Windows 2000, лучше подключить или вставить это устройство в компьютер до установки операционной системы.

Если устройство подключается после установки Windows 2000, система должна обнаружить факсимильное устройство при запуске и установить службу факсов и факс-принтер. Если эти компоненты автоматически не установятся при запуске, нужно запустить Мастер оборудования (Hardware Wizard) для поиска и установки устройства.

При наборе номера факс использует информацию о способе набора, установленную в группе параметров Параметры телефона и модема на панели управления. В мастере рассылки факсов (Send Fax Wizard) есть функция отмены телефонных установок и набора номера телефона в том виде, в каком они введены. Монитор факсов (Fax Monitor) позволяет просматривать все события, связанные с передачей факсимильных сообщений. Можно установить ручной ответ на звонки, можно также использовать эту утилиту для отмены приема или передачи факсов.

Рис. 19.17. Оснастка управления службой факсов

Для управления службой применяется оснастка Управление службой факсов (Fax Service Management, рис. 19.17), которая входит в программную группу Стандартные (Accessories).

Возможности службы факсов

Рис. 19.18. Окно свойств факса

Рис. 19.19. Настройка факс-модема для приема и/или передачи факсов

Рис. 19.20. Настройка службы факсов для сохранения принятых сообщений

Телефония

Программное обеспечение для поддержки телефонии — API-интерфейс телефонии (Telephony API, TAPI). TAPI обеспечивает функциональные возможности систем клиент-сервер; таким образом, прикладные телефонные программы на клиентском компьютере могут связываться с выделенным компьютером-сервером, который функционирует как шлюз с телефонным

коммутатором. TAPI также является основой идя использования в прикладных программах сторонних производителей: для интеграции в эти программы функций телефонии, например, для набора номера, для переадресации звонков, для речевой почты, для идентификации звонящего, для конференц-связи при помощи компьютеров.

Ранее невостребованные прикладные программы телефонии применяются все чаще, т. к. разработчики программного обеспечения используют стандартный интерфейс TAPI.

В современных телефонных системах внешний звонок, попадая в общую коммутируемую телефонную сеть, направляется на узел коммутации, который переводит этот звонок на магистральную линию. Когда звонок достигает офиса, офисная АТС (Public Branch Exchange, PBX) направляет этот звонок на соответствующий порт. Выходящие звонки следуют тем же маршрутом в обратном направлении. Звонки между внутренними пользователями офиса направляются от одного телефона к другому внутри РВХ.

Обычно для описания аппаратных средств, объединяющих телефонные линии друг с другом, используется термин "коммутатор", а системы, включающие коммутатор и другие периферийные аппаратные средства, напри-. мер, модемы, называют РВХ. Например, типичная РВХ-станция монтируется на стене, имеет модульный блок со слотами для адаптеров, которые легко подключаются и отключаются. Один такой адаптер может соединять магистральную линию с РВХ, другой подключает несколько линий; часто каждый адаптер является одноплатным компьютером.

Такой компьютер может являться специализированным программно-аппаратным комплексом или это может быть компьютер под управлением операционной системы общего назначения, например, Windows NT/2000 Server. Приложения, работающие на этом компьютере обеспечивают возможности вызова, к примеру, конференц-связи, автоматической переадресации, ручного перевода звонка, ожидания, автоматического повторного набора и т. д. (рис. 19.21).

Другая реализация РВХ — компьютер с адаптерами для: передачи данных, для подключения магистральных линий и расширений. Как ив предыдущем случае, возможности вызова реализуются приложениями, работающими на компьютере.

Имеются две формы интеграции компьютера и телефонии: с применением технологий классической телефонии и IP-телефонии. Классическая телефония использует коммутируемые телефонные сети общего пользования (Public Switched Telephony Networks, PSTN), что позволяет создавать клиейт-серверные телефонные системы, а IP-телефония позволяет использовать компьютерную конференц-связь по локальным сетям (LAN), глобальным сетям (WAN) или через Интернет.

Рис. 19.21. Интеграция сред и служб передачи данных

Рис. 19.22. Службы доступа к телефонии в Windows 2000

В состав Windows 2000 входит ряд стандартных служб доступа — поставщиков телефонных услуг, реализующих различные функции (рис. 19.22).

Интеграция компьютерных и телефонных сетей

Компьютерная телефония позволяет настольным компьютерам взаимодействовать с аппаратными средствами телефонии, обычно РВХ, через механизмы интеграции компьютера и телефонии (Computer-Telephony Integration, CTI). Большинство РВХ реализуют связь с аппаратными средствами CTI, которые соединяют РВХ с одним или более компьютеров (хотя аппаратные средства связи могут быть факультативными, не поставляемыми в стандартной конфигурации РВХ). Связь между РВХ и компьютерами редко бывает простой, поскольку большинство фирм-производителей реализуют СП по-разному. Один производитель применяет для CTI алгоритмы собственной разработки для кодировки данных и передачи их по последовательному каналу, другой может кодировать данные в пакетах TCP/IP в сегменте Ethernet. He существует стандарта кодирования данных для CTI. В результате приложения компьютерной телефонии часто должны понимать специальный язык управления коммутатора, как для каждого принтера, поддерживаемого приложением MS-DOS, требуется отдельный драйвер. Возможно, предпочтительнее использовать один API (TAPI; см. рис. 19.23, на котором приведена архитектура TAPI 3.0), через который множество приложений могут вызывать телефонные службы и обеспечивать один транслятор для каждого РВХ или другого фрагмента телефонных аппаратных средств. Такого рода транслятор называется поставщиком услуг (Service Provider, SP).

Поставщик удаленных услуг TAPI

В TAPI (рис. 19.23) включены отдельные поставщики услуг, включая те, которые позволяют реализовать клиент-серверные возможности, например, Microsoft Windows Remote Service Provider (Поставщик удаленных услуг Microsoft Windows). Поставщик услуг включает следующие компоненты (некоторые из них вызываются из командной строки):

Компоненты на стороне сервера Следующие компоненты должны функционировать на сервере TAPI: Оснастка Телефония (Telephony). Дает возможность управлять телефонными линиями и пользователями. Доступна через оснастку Управление компьютером (Computer Management) — узел Службы и приложения (Services and Applications). Поставщик услуг телефонии (Telephony Service Provider). Поставляется изготовителем телефонного коммутатора. Транслирует обобщенные команды, посылаемые службой TAPI, в специальные команды коммутатора. Рис. 19.23. Архитектура TAPI 3.0 в Windows 2000 Служба Т API (TAP! Service). Связывается с удаленным поставщиком услуг, работающим на стороне клиента. Также связывается с приложениями ТАР!, работающими на сервере (например, с приложением-диспетчером клиентов).

Компоненты на стороне клиента Следующие компоненты должны функционировать на клиентском компьютере: Служба ТАР! (TAPI Service). Связывается с приложениями TAPI и предназначена для обеспечения связи между этими приложениями и поставщиком удаленных услуг TAPI. Поставщик удаленных услуг TAPI (Remote Service Provider TAPI). DLL-библиотека на стороне клиента, которая связывается по сети со службой TAPI, работающей на сервере TAPI.

Заметьте, что эти компоненты не включают клиентские приложения телефонии. Некоторые из универсальных приложений Microsoft могут использовать TAPI, но специализированные приложения, например, управляющие центрами коммутации вызовов, поставляются независимыми поставщиками программного обеспечения (Independent Software Vendors, ISV).

IP-телефония

В организациях обычно поддерживаются раздельные сети для передачи голоса, данных и видеоинформации. Поскольку все сети имеют различные транспортные требования и физически независимы, их установка, поддержка и реорганизация обходятся дорого.

IP-телефония объединяет сети передачи голоса, видео и данных, используя общий транспорт IP для каждого из потоков, по-настоящему собирая отдельные сети в единую технологию.

Клиенты IP-телефонии используют телефон, подключенный к адаптеру PSTN, либо существующие аппаратные средства мультимедиа. IP-телефония поддерживает телефонную, звуковую и видеоконференц-связь, голосовую и видеопочту, а также службы видео по требованию (video on-demand).

Поставщики услуг IP-телефонии

TAPI поддерживает стандарт Н.323 и стандарт групповой конференц-связи IP при помощи соответствующих служб Microsoft Windows 2000.

Н.323 — всеобъемлющий стандарт ITU для передачи мультимедиа (голоса, видео и данных) по сетям без установления логического соединения, например, по сетям IP и Интернет, которые не обеспечивают гарантированное качество обслуживания (QoS). Стандарт описывает управление вызовом, мультимедиа и шириной полосы пропускания для двухточечных и многоточечных конференций. Н.323 поддерживает стандартные звуковые и видеокодеры и декодеры и обеспечивает поддержку совместного использования данных по стандарту Т. 120. Н.323 — стандарт, не зависящий от сети, платформы и прикладного уровня, что позволяет любому терминалу, соответствующему Н.323, взаимодействовать с любым другим терминалом.

В Н.323 сетевой адрес пользователя (в данном случае, IP-адрес пользователя) может изменяться и не может считаться неизменным в течение сеанса. Поставщик услуг Microsoft TAPI "Н.323 использует службу Active Directory для того, чтобы производить преобразование (разрешение) адресов. Специально для этого информация об отображении адреса и имени пользователя хранится и непрерывно обновляется в Службе локатора Интернета (Internet Locator Service, ILS), являющейся компонентом Active Directory.

Групповая конференц-связь по IP

Поставщик услуг групповой конференц-связи IP (IP Multicast Conferencing Service Provider) — расширение для IP, позволяющее осуществлять эффективную групповую связь группы по LAN. При наличии группового IP-протокола пользователи посылают только одну копию данных группе IP-адресов для достижения всех получателей, которые хотят получить данные, с использованием самых коротких деревьев для определения пути. Без использования многоадресного вещания те же самые данные нужно было бы передавать по сети несколько раз, по одной копии для каждого получателя, или передать широковещательно каждому пользователю в сети, что заняло бы полосу пропускания и время на обработку и передачу данных.

TAPI 3.0 использует стандартный Протокол описания сеансов (Session Description Protocol, SDP), разработанный консорциумом IETF для того, чтобы объявлять групповые конференции IP no LAN. Описатели SDP хранятся в Windows 2000 Active Directory — в службе локатора Интернета (ILS).