|
|
Infrastrukturkoncept |
|
| Författare: Pedro
Carmona Marin, Mats Johansson, Karin Garberg, Leif Nordh,Christina Jonk, Jakob Petrén
|
|
Innehåll |
|
| Nos Networking Operating system. Ett operativt system som gör det möjligt att dela resurser på nätverket, ger även ökad säkerhet då du själv kan bestämma vilka resurser andra skall få tillgång till. Kontrollerar även trafiken till skrivaren. De mest kända märkena är Novell, Windows NT, Banyan Vines. Det vi kör inom våran arbetsgrupp är Windows NT. Nätverkskort I nätverksammanhang (ex i en Windows NT Server-miljö) är en domän grundenheten för säkerheten och administrationen. En domän består av en eller flera servrar och alla servrarna i domänen fungerar också som fristående system. Du kan välja om en dator ska ingå i en domän eller i en arbetsgrupp. Oftast väljer man att datorerna ska ingå i en domän. På så sätt har man större kontroll över vad en användare kan och inte kan göra med datorn. En dator som ingår i en domän får inte en kopia av domänens databas för användarkonton. Däremot kan den på andra sätt dra nytta av domänens databaser för användare och grupper. Genom att använda sig av en domän får man en central administration i arbetsgruppnätet. Domänen har en enda maskin, en primär domänkontrollant (PDC), som sköter all säkerhet. Eftersom säkerhetssystemet är centralt finns det flera möjligheter att kontrollera säkerheten. En centraliserad administration, användaren måste logga in och kontroll av inloggningstider och –platser, är olika funktioner för att förbättra säkerheten i nätverket. Fördelarna med domäner är att säkerheten i nätverket bli mer centraliserad och att de enskilda användarna således måste hålla sig inom ramarna för säkerhetsprinciperna. Säkerheten blir bättre och man har bättre kontroll på säkerheten, dessutom behöver färre utbildas till systemadministratörer. Domäntänkandet som beskrivits ovan kräver att operativsystemet måste vara Windows NT Server. Vårt nätverk på SEMA-education använder inte domänfunktionen. Våra datorer ingår i en arbetsgrupp. Nätverksdomän och internetdomän är inte samma sak. Organiseringen i domäner på internet handlar om att organisera datorerna över hela världen. I IP adresserna finns ingen koppling mellan adressen och t.ex. vilket företag de finns på. Från början vad det tänkt att hantera adresserna i e-post (domänen är den beteckning som kommer efter @) men används nu också för att ange adresser till serverdatorer (t.ex. WWW-servrar och FTP-servrar), som ett slags varumärke. En nätverksdomän handlar om att organisera det egna lokala nätverket för att öka säkerheten och få kontroll över vad användarna kan och inte kan göra. Logga på lokalt och på domän Man kan dela ut resurs på två olika sätt: |
|
| 1) Dubbelklicka på
ikonen Den här datorn Markera och dubbel klicka med höger musknapp på den resursen du vill dela. Sen är det bara att klicka på "Dela ut". |
2)Gå in i Utforskaren. Markera och dubbel klicka med höger musknapp på den resursen du vill dela. Sen är det bara att klicka på "Dela ut" |
Det finns ett antal nätverkstjänster som man kan utnyttja i Windows NT, t ex WINS, DNS, PPP, SLIP m fl. Här kommer vi att begränsa oss till WINS och DNS. WINS är en förkortning för Windows Internet Name Service och DNS står för Domain Name Service. Båda används för kommunikation med TCP/IP-protokollet. WINS är en RFC-kompatibel (Request for Comment) NetBIOS-tjänst som används för att konvertera en IP-adress till ett mer "användar-vänligt" namn. Det finns ett antal mer eller mindre smidiga metoder för att göra sådana konverteringar som t ex IP broadcasts, statiska konverteringsfiler, NetBIOS Name Server och Domain Name System server. IP broadcasts t ex, har den nackdelen att det kräver stor bandbredd på nätverket och kan inte användas i routernätverk. WINS-servrar använder en databas som innehåller NetBIOS-datornamn och tillhörande IP-adresser. När Windows-baserade datorer loggar på nätverket registreras deras datornamn och IP-adress i WINS-databasen. Den replikeras sedan till andra WINS-servrar i LAN eller WAN. (Replikering betyder att databasen kan kopieras). Man skall på detta sätt kunna förhindra att olika användare har samma datornamn i nätverket. DNS Ett begrepp som man bör känna till när det gäller DNS är zon. En zon är en del av en domän, eller rentav hela, som administreras av en DNS-server. Exempelvis mindre företag kan klara sig med en zon, medan större kanske måste delas upp i flera. Data som IP-adresser och DNS-namn för en viss zon lagras i en s k zon-fil. En DNS-server kan vara antingen primär- eller sekundärserver till en annan DNS-server. En primärserver hämtar information för sina zoner från den lokala DNS-databasen. Om någon ändring av data görs inom zonen, t ex lägger till en ny värddator, måste ändringen göras i primärservern så att den läggs in i den lokala zonfilen. DNS-servern kan konfigureras att utnyttja WINS-serverns NetBIOS-namn som DNS-namn. DNS-servern kan även sända DNS-namn till WINS-servern som då kan söka reda på IP-adressen och skicka den tillbaka till DNS-servern. Man kan installera DNS- och WINS-servrar på samma dator eller olika datorer. Enda kravet är att datorerna kör Windows NT 4.0. Microsoft har en Internet Information Server (IIS) som är en World Wide Web server för Windows NT. IIS är helt gratis. Bara man har Windows NT kan man ladda hem den från nätet.Förutom delen som hanterar WWW (http) ingår:
Microsofts Proxy server installeras ’mellan’ ett företags användare och Internet. När en användare vill ansluta Internet kollar först Proxy servern om informationen finns i cacheminnet och kopplar bara upp om det behövs. Proxy servern är företagets enda anslutning mot Internet men den kan hantera att flera användare vill komma åt Internet samtidigt. Proxy servern ger möjlighet att komma åt det mesta som finns på Internet såsom ljud, filmer mm. Man kan precisera vilka användare som ska få åtkomst till vissa saker, man kan sätta behörighet och tidsbegränsningar på inloggning och man kan spåra användning så man vet att personalen utnyttjar internetresursen på rätt sätt. MS BackOffice 4.0 är en integrerad uppsättning serverprogram i ett och samma paket, optimerat för Windows NT server. Enligt Microsoft skall det ge användaren, dvs organisationen en fullständig integrerad plattform för nätverk, intranät och internet. Microsoft menar vidare att MS BackOffice innehåller produkter som ger användaren en effektivare beslutshantering, förbättrad service och en snabbare väg till marknaden i och med att BackOffice innehåller integrerade system som gör det lätt att ta fram den information som krävs. Enligt Microsoft kan man med programmen i BackOffice ge organisationen ett effektivt och säkert sätt för att hantera filer, utskrifter, kommunikation, internet, databaser, meddelanden, arbetsgruppfunktioner, anslutningar till värddatorer, elektronisk handel och systemunderhåll. Programmen är enligt Microsoft kärnan i ett nätverk som enkelt kan byggas ut med nya lösningar. Dessutom stöder programmen varandra fullt ut och kan köras på en enstaka server eller på flera servrar på internet eller i ett nätverk eller intranät. Microsoft Windows NT Server är basen för BackOffice-programmen. Varje program är fullständigt integrerat med denna plattform. BackOffice Server 4.0 innehåller således: Windows NT Server 4.0 Internet Information Server 4.0 Index Server 2.0 Certificate Server Transaction Server 2.0 Message Queue Server Internet Connection Services for Remote Access Service FrontPage 98 Exchange Server 5.5 Proxy Server 2.0 SNA Server 4.0 Microsoft SQL Server 6.5 Site Server 3.0 Systems Management Server 1.2 Seagate Crystal Info 5.0 Integrerad installationsprocedur Web-baserade administrationsverktyg Webplatsexempel Förutom denna produkt erbjuder Microsoft också olika licensalternativ för serverprogrammen som ingår i Backoffice tex:
Brandvägg En brandvägg är ett system av både hårdvara och mjukvara som helt eller delvis skyddar den egna organisationens datanät gentemot externa internetanvändare. Det finns ett stort antal brandväggsprodukter på marknaden. Vad som döljer sig inuti dessa brandväggar är ofta mera oklart då alltifrån filtrerande routers till sk. application gateways kallas för brandväggar. En viktig egenskap hos brandväggskomponenter är att de skall vara så enkla och renodlade som möjligt och helst bara utföra en enda uppgift. Anledningen är att ju mer komplicerad programvara som körs i en dator, desto större är risken att programfel och konfigureringsfel orsakar säkerhetsluckor. Ur den synvinkeln är det olämpligt att samla alla brandväggar i en enda enhet. Servrar är alltid en svag punkt i säkerhetssammanhang. En server som är felaktigt konfigurerad och innehåller programfel kan lättare "tas över" och utnyttjas som en språngbräda för vidare attacker. Därför bör servrar som är nåbara utifrån skyddas. När man bygger en brandvägg grundligt enligt instruktionsboken brukar man konstruera den med hjälp av tre komponenter:
Skyddet mot omvärlden består i första steget av ett yttre filter, vanligen ett paketfilter i nätanslutningsroutern. I Paketfiltret sker filtrering både på IP- och TCP-nivå. Filterfunktionen är dubbelriktad så att olika filterregler kan sättas upp för utgående och inkommande paket. Man kan också begränsa de adresser och tjänster som omvärlden kan komma åt i det skyddade nätet, dels begränsa de egna användarnas tillgång till adresser och tjänster i världen utanför. Där innanför sitter en dator(server) som anger gateway, ett relä för att dela och övervaka alla trafikkopplingar eller de tillämpningar som används t ex ftp och gopher. Det inre filtret har huvudsakligen till uppgift att vara en extra säkerhet om gatewayfunktionen skulle bli korrupt efter en infiltrering från en angripare. Området mellan de båda filtren brukar kallas DMZ (demilitarized zone). Det är ett slags kontrollområde eller riskområde. Det finns i princip tre olika metoder att sålla bort okänd eller potentiellt farlig trafik som väller in på det egna nätet.
Paketfiltrering i en router är den enklaste metoden. Det går att filtrera både ingående och utgående trafik i routern. Det kan till exempel ske med avseende på vilken typ av protokoll som används, vilken ingångsport som skall utnyttjas samt avsändarens respektive mottagarens IP-adress. Sker i en gatewaydator som tittar på trafiken i detalj och separerar den i en inre och en yttre del. Detta kan ske genom att man separera de kopplingar, TCP/IP-koppel som yttre användare försöker upprätta med datorerna i det interna nätet. Separering på tillämpningsnivå Sker också i gatewaydatorn genom att man låter alla tjänster passera genom en så kalla tillämpningsserver eller "proxyserver". Den fungerar i så fall som en barriär, ett slags relä för trafiken som delar varje session i två delar och bara förmedlar tillåtna kommandon och data. En väl utförd brandvägg innehåller alla ovan beskrivna funktioner. |
|
