plik

Marek Pyka
ITA-108 Technologie sieciowe

Moduł 0 wersja 1

Strona 3/7

Spis treści

Wprowadzenie

Moduł I – Wprowadzenie do sieci komputerowych

I-1

Moduł II – Omówienie i analiza TCP/IP

II-1

Moduł III – Zarządzanie adresacją IP w sieciach komputerowych

III-1

Moduł IV – Konfigurowanie tras pakietów IP w sieciach komputerowych IV-1
Moduł V – Automatyczne zarządzanie adresacją IP

V-1

Moduł VI – Rozpoznawanie nazw hostów przy użyciu systemu DNS

VI-1

Moduł VII – Bezprzewodowe sieci komputerowe

VII-1

Moduł VIII – Serwer Aplikacji IIS 7.0

VIII-1

Moduł IX – Usługi terminalowe

IX-1

Moduł X – Bezpieczeństwo infrastruktury sieciowej

X-1

Marek Pyka
ITA-108 Technologie sieciowe

Moduł 0 wersja 1

Strona 5/7

Informacje o kursie

Opis kursu
Niniejszy  kurs  stanowi  przegląd  technologii  związanych  z  dziedziną  sieci
komputerowych  oraz  ich  implementacją  w  systemach  operacyjnych  firmy
Microsoft.  Zawartość  merytoryczną  kursu  stanowi  zarówno  zestaw
informacji  ogólnych  na  temat  funkcjonowania  sieci  komputerowych  jak
i  implementacja ogólnie  przyjętych  standardów  na  platformie  serwerowej.
Autor podręcznika położył główny nacisk na przedstawienie najważniejszych
cech  systemu  Windows  Server  2008  związanych  z  wdrażaniem  wydajnych
i  bezpiecznych  rozwiązań  sieciowych.  Zawarte  w  modułach  informacje
stanowią wyłącznie materiał poglądowy, stanowiący uzupełnienie dla cyklu
wykładów  z  przedmioty  Sieci  Komputerowe.  Zawartość  merytoryczna
modułów  umożliwi  Ci  przyswojenie  wiedzy  o  działaniu  i  budowie  sieci
komputerowych,  analizie  protokołów  i  aplikacji  sieciowych  oraz  wdrażaniu
rozwiązań Windows Server 2008 w środowisku sieciowym przedsiębiorstw.
Przygotowane  zadania  i  laboratoria  oparte  są  o  rzeczywiste  problemy
i  praktyczne  rozwiązania  realizowane  podczas  wdrożeń  technologii
Windows Server 2008 w środowiskach przemysłowych.

Cel kursu
Celem  kursu  jest  zapoznanie  Cię  z  problematyką  planowania,  wdrażania
i  zabezpieczania  infrastruktury  sieciowej  opartej  o  najnowsze  technologie
serwerowe Windows Server 2008.

Uzyskane kompetencje
Po zrealizowaniu kursu będziesz:

•

potrafił instalować role Windows Server 2008

•

rozumiał korzyści jakie daje organizacji Windows Server 2008

•

wiedział w jaki sposób dokonywać analizy protokołów i aplikacji

sieciowych

•

potrafił zarządzać podstawowymi usługami sieciowymi tj. DHCP,

DNS, Routing

•

znał problemy związane z budowaniem wydajnych i bezpiecznych

rozwiązań sieciowych

•

potrafił zaplanować wdrożenie technologii Windows Server 2008

zgodnie z potrzebami przedsiębiorstwa.

Wymagania wstępne
Do zrealizowania tego kursu powinieneś posiadać:

•

wiedzę teoretyczną z wykładów Systemy Operacyjne i Sieci

Komputerowe

•

umiejętności praktyczne w administracji Windows Server 2008

•

podstawową wiedzę z obsługi sieci lokalnych i sieci Internet

•

doświadczenie w obsłudze środowiska maszyn wirtualnych Virtual

PC 2007 lub Virtual Server 2005 R2.

Marek Pyka
ITA-108 Technologie sieciowe

Moduł 0 wersja 1

Strona 6/7

Zakres tematyczny kursu

Opis modułów
W Tabeli 1 przedstawiony został opis modułów, zawierający podział na
zajęcia. Każde z zajęć trwa 90 minut. Wykładowca może dostosować
harmonogram do swoich potrzeb oraz zaangażowania studentów.

Tabela 1 Opis modułów podręcznika
Numer moduł
Tytuł

Opis

Moduł 1
Wprowadzenie do sieci
komputerowych

W module 1 zostaną zaprezentowane informacje na
temat topologii i technologii sieciowych. Student
zostanie

również

zaznajomiony

modelem

referencyjnym ISO OSI.

Moduł 2
Omówienie i analiza
TCP/IP

W tym module przedstawione zostaną informacje
związane

implementacją

protokołu

TCP/IP

w  systemach  sieciowych.  Omówione  zostaną  aspekty
związane  z  wdrażaniem  i  analizą  stosu  TCP/IP.
Przedstawione  zostaną  również  programy  służące  do
analizy  zawartości  pakietów  sieciowych  przesyłanych
pomiędzy hostami sieciowymi.

Moduł 3
Zarządzanie adresacją
IP w sieciach
komputerowych

Moduł  3  traktuje  o  zasadach  budowy  adresów  IPv4
i  IPv6.  Studenci  zostaną  zapoznani  z  zasadami  podziału
sieci  na  podsieci  oraz  z  zarządzaniem  maskami
sieciowymi zgodnie z metodą CIDR.

Moduł 4
Konfigurowanie tras
pakietów IP w sieciach
komputerowych

W module tym studenci zostaną zapoznani z zasadami
wyznaczania tras dla pakietów IP w środowisku sieci LAN
i WAN. Przybliżone zostaną informacje na temat
działania protokołów routingu i protokołów routujących.

Moduł 5
Automatyczne
zarządzanie adresacją
IP

Zawartość

modułu

stanowi

zbiór

informacji

niezbędnych do wydajnego zarządzania przestrzenią
adresów

przedsiębiorstwa.

Studenci

zostaną

zapoznani z zasadami instalacji i konfiguracji roli serwera
DHCP na platformie Windows Server 2008.

Moduł 6
Rozpoznawanie nazw
hostów przy użyciu
systemu DNS

W  module  6  zostaną  przedstawione  informacje  na
temat  zarządzania  przestrzenią  nazw  domenowych
w  przedsiębiorstwie.  Omówione  zostaną  podstawowe
problemy

związane

wdrażaniem

roli

DNS

w przedsiębiorstwie.

Moduł 7
Bezprzewodowe sieci
komputerowe

Moduł 7 traktuje o zasadach wdrażania sieci
bezprzewodowych

środowisku

domowym

jak

i firmowym. Ćwiczenia praktyczne umożliwiają dogłębne
zapoznanie

się

bezpieczeństwem

sieci

komputerowych.

Moduł 8
Serwer Aplikacji IIS 7.0

Przedstawione  w  module  8  informacje  mają  przybliżyć
studentom  rolę  jaką  może  pełnić  serwer  aplikacyjny
w  przedsiębiorstwie.  W  ramach  modułu  opisane  są
informacje o wdrażaniu aplikacji serwera WWW i FTP.

Moduł 9
Usługi terminalowe

Zbiór usług opisywanych w module 9 umożliwia
administratorom

wdrożenie

usług

terminalowych

środowisku

wykorzystującym

użytkowników

mobilnych i oddziały zdalne.

Moduł 10
Bezpieczeństwo
infrastruktury
sieciowej

W module 10 przedstawiona zostanie strategia
wielowarstwowej ochrony zasobów przedsiębiorstwa
oraz

omówione

będą

najważniejsze

technologie

zabezpieczeń infrastruktury systemu Windows Server
2008

Marek Pyka
ITA-108 Technologie sieciowe

Moduł 0 wersja 1

Strona 7/7

Mapa zależności między modułami
Tabeli 2 przedstawiono mapę zależności między modułami, zawierająca
podział na zajęcia.

Tabela 2 Mapa zależności modułów
Numer moduł

Obowiązkowy dla
modułów

Zalecany dla
modułów

Status modułu w
kursie

Moduł 1

Moduły: 2, 3

Moduły: 7, 10

Obowiązkowy

Moduł 2

Moduły: 3, 4, 6

Moduły: 7, 10

Obowiązkowy

Moduł 3

Moduły: 4, 5

Moduły: 6

Obowiązkowy

Moduł 4

Moduły: 5

Brak

Obowiązkowy

Moduł 5

Moduły: 7

Moduły: 8, 9

Obowiązkowy

Moduł 6

Moduły: 8

Moduły: 9, 10

Obowiązkowy

Moduł 7

Moduły: 10

Brak

Obowiązkowy

Moduł 8

Brak

Moduły: 9

Nieobowiązkowy

Moduł 9

Brak

Nieobowiązkowy

Moduł 10

Brak

Obowiązkowy

Przedstawione  powyżej  zależności  pomiędzy  modułami  ukazują  logiczną
kontynuację  informacji  w  nich  zawartych.  Obowiązkowość  modułu
w drzewie zależności oznacza iż informacje w nim zawarte są niezbędne do
przyswojenia  wiedzy  z  modułów  zależnych.  W  sytuacji  gdy  informacje
zawarte w module są wykorzystywane w innych modułach lecz nie stanowią
wiedzy podstawowej dla jego realizacji, moduł taki  jest wtedy zalecany do
zapoznania się z nim. W przypadku modułów, które nie posiadają żadnych
określonych  zależności,  możemy  je  wtedy  traktować  jako  moduły  nie
obowiązkowe, choć zalecane dla odpowiedniego przyswojenia wiedzy.

Przedstawiona  lista  modułów  sugeruje  też  status  modułu  i  jego
obowiązkowość  w  realizacji  materiału  podręcznika.  Aby  uzyskać
dostateczną  wiedzę  na  temat  technologii  sieciowych  i  ich  wykorzystania
w  środowisku  sieciowym  przedsiębiorstw,  powinieneś  zapoznać  się
z wszystkimi modułami o statusie „Obowiązkowy”. Wiedza w nich zawarta
umożliwi

planowanie

budowanie

infrastruktury

sieciowej

wykorzystującej platformę serwerową Windows Server 2008.

ITA-108 Technologie sieciowe

Marek Pyka

Moduł I

Wersja 1

Wprowadzenie do sieci

komputerowych

Spis treści

Wprowadzenie do sieci komputerowych .................................................................. ........................... 1

Informacje o module ............................... ................................................... .......................................... 2

Przygotowanie teoretyczne ......................... ................................................... ..................................... 3

Przykładowy problem ............................... ................................................... ................................ 3

Podstawy teoretyczne............................... ................................................... ................................ 3

Przykładowe rozwiązanie ........................... ................................................... ............................. 18

Porady praktyczne ................................. ................................................... ................................. 20

Uwagi dla studenta ................................ ................................................... ................................. 20

Dodatkowe źródła informacji........................ ................................................... .......................... 20

Laboratorium podstawowe ........................... ................................................... .................................. 21

Problem 1 (czas realizacji 20 min) ................................................................... ........................... 21

Problem 2 (czas realizacji 25 min) ................................................................... ........................... 21

Laboratorium rozszerzone .......................... ................................................... .................................... 22

Zadanie 1 (czas realizacji 45 min) ................ ................................................... ............................ 22

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 2/22

Informacje o module

Opis modułu
W  ramach  modułu  zostaną  przedstawione  zagadnienia  elementarne
dotyczące sieci komputerowych. Omówione zostaną aspekty związane z ich
budową  i  funkcjonowaniem  oraz  wykorzystaniem  fizycznych  urządzeń
sieciowych. Zapoznasz się również z modelem ISO/OSI oraz jego wpływem
na rozwój technologii sieciowych.

Cel modułu
Celem modułu jest przedstawienie podstaw funkcjonowania sieci
komputerowych zarówno od strony logicznej, jak i fizycznej.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

•  wiedział, jakie typy sieci są obecnie wykorzystywane
•  znał zastosowanie podstawowych urządzeń sieciowych
•  wiedział, jakie topologie mogą być wykorzystywane
•  znał pojęcia związane z protokołami sieciowymi
•  rozumiał model ISO/OSI oraz wiedział, jaki wpływ ma na rozwój

sieci komputerowych

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

• posiadać podstawową wiedzę z zakresu sieci komputerowych
• dysponować wiedzą z zakresu obsługi systemów operacyjnych

Windows, a w szczególności Windows Server 2008

Mapa zależności modułu
Przed przystąpieniem do realizacji tego modułu nie jest wymagane
zapoznanie się z materiałem zawartym w innych modułach.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 3/22

Przygotowanie teoretyczne

Przykładowy problem

Ostatnie lata wykazały, iż siłą każdego przedsiębiorstwa jest wydajna i bezpieczna infrastruktura IT.
Głównym  elementem  tej  infrastruktury  są  sieci  komputerowe  oraz  usługi  w  nich  realizowane.
Świadomy tych faktów pojąłeś decyzję o specjalizowaniu się w tej dziedzinie już na studiach. Teraz
pracując,  jako  inżynier  systemowy  musisz  podejmować  przedsięwzięcia  umożliwiające  sprawne
zarządzanie  i  konfigurację  sieci.  Pierwszym  zadaniem,  które  masz  zrealizować  w  nowej  pracy  jest
zaprojektowanie  i  wykonanie  infrastruktury  sieciowej  dla  przedsiębiorstwa.  Rozpoczynając  prace
nad  jej  budową  musisz  rozważyć  wiele  aspektów,  takich  jak  topologia  sieci,  technologie  w  niej
wykorzystywane oraz aspekty bezpieczeństwa. Swoją pracę podzieliłeś na etapy, z których pierwszy
dotyczy  wykonania  projektu  infrastruktury  i  wyboru  urządzeń  aktywnych  oraz  odpowiedniej  ich
konfiguracji. Wykonanie projektu oraz zaplanowanie  konfiguracji urządzeń umożliwi uniknąć wielu
problemów  związanych  z  bezpieczeństwem  oraz  wydajnością,  które  powodować  mogą  burze
rozgłoszeń czy kolizje pakietów w sieci.

Podstawy teoretyczne

Zakres sieci

Zakres sieci zależy w głównej mierze od jej położenia geograficznego. Sieć może zawierać od kilku
komputerów w pojedynczym biurze firmy do milionów komputerów połączonych ze sobą na
dużych odległościach. Stąd też mówiąc o zakresie sieci bierzemy w głównej mierze pod uwagę jej
wielkość, odległości, jakie dzielą komputery między sobą oraz jakie urządzenia są wykorzystywane
do jej budowy. Rozróżniamy następujące zakresy sieci:

•  WAN (ang. Wide Area Network)
•  MAN (ang. Metropolitan Area Network)
•  Sieci kampusowe
•  LAN (ang. Local Area Network)
•  PAN (ang. Private Area Network)

W  pierwszej  fazie  rozwoju  sieci  komputerowych  rozróżniano  wyłącznie  dwa  typy:  sieci  rozległe
(WAN), łączące uczelnie, ośrodki obliczeniowe i inne placówki naukowobadawcze oraz sieci lokalne
(LAN), stosowane do łączenia komputerów w poszczególnych ośrodkach. Wraz z popularyzacją sieci
uczelnianych i ich rozwojem pojawił się termin „sieci kampusowe”, oznaczający sieć komputerową
jednej lub kilku uczelni powstałą w wyniku połączenia wewnętrznych sieci lokalnych. Sieci miejskie
(MAN)  charakterystyczne  dla  dużych  aglomeracji  skupiają  sieć  uczelni,  urzędów  oraz  firm
komercyjnych,  a  także  istnieje  specyficzna  dla  tego  środowiska  infrastruktura  techniczna
(przykładem  takiej  sieci  może  być  ŚASK  –  Śląska  Akademicka  Sieć  Komputerowa).  Popularyzacja
sieci  bezprzewodowych,  połączeń  Bluetooth,  lub  domowych  sieci  Ethernet  zaowocowała
pojawieniem się kolejnego terminu definiującego prywatne sieci komputerowe (PAN).

Podstawowe składniki sieci

Do podstawowych składników sieci zalicza się:

•  karty sieciowe
•  okablowanie strukturalne
•  urządzenia aktywne

Karty sieciowe

Karty  sieciowe  stanowią  fizyczny  interfejs  między  komputerem,  a  kablem  sieciowym  lub  medium
bezprzewodowym.  Interfejsy  sieciowego  instalowane  są  w  gniazdach  rozszerzeń  na  każdym
komputerze  oraz  serwerze  w  sieci.  Po  zainstalowaniu  karty  sieciowej  medium  sieciowe  jest
podłączane  do  gniazda  na  karcie  w  celu  zapewnienia  dostępu  komputera  do  sieci.  Dane

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 4/22

transmitowane  przez  kabel  lub  inne  medium  do  karty  sieciowej  formatowane  są  w  postaci
pakietów. Pakiet jest to logiczna grupa informacji, obejmująca nagłówek zawierający informacje
o lokalizacji oraz dane użytkownika. Nagłówek posiada pola adresowe, zawierające informacje
na temat adresu przeznaczenia danych i ich źródła. Karta sieciowa odczytuje adres przeznaczenia
w  celu  sprawdzenia,  czy  pakiet  jest  adresowany  do  tego  komputera.  Jeśli  tak,  karta  sieciowa
przekazuje pakiet do systemu operacyjnego w celu dalszego przetworzenia. Jeśli nie, karta sieciowa
odrzuca pakiet.
Każda  karta  sieciowa  jest  identyfikowana  na  podstawie  unikalnego  adresu  zapisanego  w  układzie
elektronicznym  na  karcie.  Jest  on  nazywany  adresem  fizycznym  lub  adresem  MAC  (ang.  Media
Access Control).
Karta sieciowa pełni następujące funkcje:

• odbiera dane z systemu operacyjnego i konwertuje je do postaci sygnału elektrycznego

transmitowanego przez medium sieciowe

• odbiera sygnały elektryczne z medium sieciowego i konwertuje je do postaci danych

zrozumiałych przez system operacyjny

• określa, czy dane odebrane są adresowane do tego komputera.
• steruje przepływem danych między komputerem a urządzeniami podłączonymi do

medium

• identyfikuje komputer na podstawie adresu MAC

Warstwa fizyczna sieci

Ustanowienie  reguł  przesyłania  i  kodowania  sygnałów  ma  swoiste  znaczenie  w  wykorzystaniu
istniejącego pasma przesyłu danych.
Powszechnie  stosowane  są  dwie  metody  podstawowe  przesyłania  sygnałów,  wąskopasmowa
(ang. baseband) i szerokopasmowa (ang.  broadband). W ich zastosowaniu jest widoczny podział –
transmisje w sieci LAN są zwykle prowadzone przy pomocy metody wąskopasmowej, a transport
w  sieci  WAN  przeważnie  za  pomocą  metody  szerokopasmowej  z  uwagi  na  większe  obciążenie
medium.

Okablowanie sieciowe

Istnieje wiele typów okablowania sieciowego wykorzystywanych do łączenia urządzeń sieciowych.
Przykładem  takich  kabli  mogą  być  kable  koncentryczne,  STP  (ang. Shielded  Twisted  Pair),  UDP
(ang. Unshielded  Twisted  Pair)  czy  kable  światłowodowe  (ang.  fiber  optic).  Wszystkie  kable
podlegają  klasyfikacji  i  ze  względu  na  nią  należą  do  różnych  kategorii.  Nad  standaryzacją
stosowanych kabli i ich połączeń czuwają międzynarodowe urzędy standaryzacji takie jak TIA oraz
EIA.

Kabel STP/UTP/FTP – „skrętka”

Skrętka (ang. twisted pair cable) to obecnie najbardziej popularne medium transmisyjne w sieciach
lokalnych.  W  zależności  od  przepustowości  możemy  podzielić  ją  na:  10BASE-T,  100BASE-T,
1000BASE-T.  Używana  jest  także  w  telefonii.  Wyróżnia  się  dużą  niezawodnością  i  niewielkimi
kosztami  realizacji  sieci,  zbudowana  z  izolowanych  przewodów,  z  których  dwa  przewody  są
splecione  i  tworzą  medium,  którym  mogą  być  przesłane  dane.  Skrętki  możemy  podzielić  na:
ekranowane (STP, FTP) i nieekranowane (UTP). Różnią się one tym, iż ekranowane posiadają folię
ekranującą (FTP) bądź ekran w postaci oplotu (STP), a pokrycie ochronne jest lepszej jakości,
więc w efekcie zapewnia mniejsze straty transmisji i większą odporność na zakłócenia.
STP –  to  medium  wykonane  z  dwóch  skręconych  przewodów  wraz  z  ekranem  w  postaci  oplotu.
Para  ekranowana  jest  bardziej  odporna  na  zakłócenia  impulsowe  oraz  szkodliwe  przesłuchy  niż
skrętka UTP. Rysunek kabla STP znajduje się na Rys. 1.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 5/22

Rys. 1 Schemat kabla STP

FTP –  skrętka  foliowana  –  to  skrętka  miedziana  ekranowana  za  pomocą  folii  wraz  z  przewodem
uziemiającym. Przeznaczona jest głównie do budowy sieci komputerowych (Ethernet, Token Ring)
o długości nawet kilku kilometrów. Stosowana ostatnio również na krótszych dystansach w sieciach
standardu  Gigabit  Ethernet  (1  Gb/s)  z  wykorzystaniem  wszystkich  czterech  par  okablowania
miedzianego kat. 5. Rysunek 2 przedstawia schemat kabla FTP.

Rys. 2 Schemat kabla FTP

UTP – skrętka nieekranowana – jest powszechnie stosowana w sieciach telefonicznych (jedna, dwie
lub cztery pary) i komputerowych (cztery skrętki w kablu). Przy przesyłaniu sygnałów cyfrowych za
pomocą skrętek UTP (cztery pary) uzyskuje się standardowa przepływności do 100 Mb/s (kat. 5),
oraz 1 Gb/s w technologii Gigabit Ethernet. Poniżej znajduje się schemat kabla UTP.

Rys. 3 Schemat kabla UTP

Poza wyżej wymienionymi rodzajami skrętek można spotkać także połączenia tych rozwiązań:

• F-FTP – każda para przewodów otoczona jest osobnym ekranem z folii, cały kabel jest

również pokryty folią

• S-FTP – każda para przewodów otoczona jest osobnym ekranem z folii, cały kabel

pokryty jest oplotem

• S-STP – każda para przewodów otoczona jest osobnym ekranem (oplotem), cały kabel

pokryty jest oplotem

Zalety:

• jest najtańszym medium transmisji (jeśli chodzi o cenę metra, bez uwzględniania

dodatkowych urządzeń)

•  wysoka prędkość transmisji (do 1000Gb/s)
•  łatwe diagnozowanie uszkodzeń
•  prosta instalacja
•  odporność  na  poważne  awarie  (przerwanie kabla  unieruchamia  najczęściej  tylko  jeden

komputer lub segment sieci)

• jest akceptowana przez wiele rodzajów sieci

Wady:

• niższa długość odcinka kabla niż w innych mediach stosowanych w Ethernecie (do 100

metrów)

• mała odporność na zakłócenia (skrętki nieekranowanej)
• niska odporność na uszkodzenia mechaniczne – konieczne jest instalowanie specjalnych

listew naściennych itp.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 6/22

Standardy zakańczania kabla

Dla połączenia komputera z koncentratorem lub przełącznikiem stosuje się tzw. kabel prosty
(ang. straight-thru cable), który z obu stron podłączony jest tak samo wg standardu 568A lub 568B.
Schemat tych standardów przedstawiony jest na rysunku 4.

Rys. 4 Schemat kabla prostego w kategorii A i B

Dla  połączenia  bezpośrednio  dwóch  komputerów  bez  pośrednictwa  przełącznika  konieczna  jest
zamiana par przewodów w taki sposób, aby sygnał nadawany z jednej strony mógł być odbierany
z drugiej. Ten kabel nosi nazwę kabla krzyżowego (ang. cross-over cable) i charakteryzuje się tym,
że  jeden  koniec  podłączony  jest  wg  standardu  568A,  zaś  drugi  –  568B. Schemat  budowy  kabli
krzyżowych w standardach A i B został przedstawiony na poniższym rysunku.

Rys. 5 Schemat kabla krzyżowego w kategorii A i B

Światłowód

Światłowód ma  inną  zasadę  działania  w  stosunku  do  przewodów  miedzianych,  bowiem  sygnały
elektryczne  zamieniane  są  na  impulsy  świetlne  przy  pomocy  laserowego  źródła  światła.  Kabel
światłowodowy  zakończony  jest  układem  nadajnika  i  odbiornika,  które  służą  do  zamiany  tychże
sygnałów. Kabel światłowodowy składa się z jednego lub więcej włókien światłowodowych.
Światłowody  ze  względu  na  ich  budowę,  właściwości  i  zastosowanie  możemy  podzielić  na  dwa
główne typy:

• Światłowody jednomodowe – rdzeń zbudowany jest z wielu warstw mających inne

współczynniki załamania światła, nie istnieje zjawisko całkowitego odbicia
wewnętrznego na granicy rdzenia i płaszcza. W takim światłowodzie propagowany jest
tylko jeden mod.

• W wyniku takiej budowy zjawisko dyspersji uległo znacznemu zmniejszeniu, a długość

pojedynczego odcinka sieci zwiększyła się do 60 km.

• Światłowody wielomodowe – promień świetlny wprowadzany jest do włókna pod

wieloma różnymi kątami zwanymi modami. Medium tego typu ma niestety wady –
powstaje dyspersja podczas drogi promienia, która powoduje ograniczenie maksymalnej
długości odcinka przewodu do 5 km.

Zalety:

• większa przepustowość w porównaniu z kablem miedzianym
• zdolność przesyłania informacji na znaczne odległości

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 7/22

• niewrażliwość na zakłócenia i przesłuchy elektromagnetyczne
• wyeliminowanie przesłuchów międzykablowych

Wady:

• cena
• mniejsza odporność na uszkodzenia mechaniczne w porównaniu z przewodem

miedzianym

Kabel koncentryczny

Kabel  koncentryczny,  składa  się  z  dwóch  koncentrycznych  (czyli  współosiowych)  przewodów.
Najczęściej  spotykany  rodzaj  kabla  koncentrycznego  składa  się  z  pojedynczego  przewodu
miedzianego,  znajdującego  się  w  materiale  izolacyjnym.  Mimo  że  kable  koncentryczne  wyglądają
podobnie,  mogą  charakteryzować  się  różnymi  stopniami  impedancji.  Rozróżniamy  dwa  rodzaje
kabli koncentrycznych: cienki kabel koncentryczny (zwany też potocznie „cienkim Ethernetem”)
o  oznaczeniu  10Base2  oraz  gruby  kabel  koncentryczny  (zwany  potocznie  „grubym  Ethernetem”)
oznaczany  jako  10Base5.  Kable  te  są  dobrym  rozwiązaniem  dla  organizacji,  które  muszą
transmitować  dane  na  duże  odległości  przy  zachowaniu  prostej  infrastruktury  sieciowej.  Cienki
kabel  koncentryczny  może  przesyłać  sygnały  na  odległość  około  185 m  z  prędkością  10 Mb/s,
natomiast  gruby  kabel  koncentryczny  przesyła  sygnały  na  odległość  bliską  500 m  z  prędkością
10 Mb/s.
Zalety:

• Potrafi obsługiwać komunikację w pasmach o dużej szerokości bez potrzeby

instalowania wzmacniaków. Kabel koncentryczny był pierwotnym nośnikiem sieci
Ethernet.

Wady:

• Kabel koncentryczny jest dość wrażliwą strukturą. Nie znosi ostrych zakrętów ani nawet

łagodnie przykładanej siły gniotącej. Jego struktura łatwo ulega uszkodzeniu, co
powoduje bezpośrednie pogorszenie transmisji sygnału.

Dodatkowymi czynnikami zniechęcającymi do stosowania kabli koncentrycznych są ich koszt
i rozmiar. Okablowanie koncentryczne jest droższe aniżeli skrętka dwużyłowa ze względu na
jego bardziej złożoną budowę.

Łączność bezprzewodowa

Urządzenia  do  komunikacji  bezprzewodowej  są  używane  do  podłączenia  do  sieci,  gdy  użycie
standardowych  kart  sieciowych  i  okablowania  jest  technicznie  lub  ekonomicznie  niewykonalne.
Sieci komunikujące się drogą bezprzewodową są połączone  z sieciami LAN za pomocą urządzeń  do
komunikacji bezprzewodowej, takich jak Access Point lub router bezprzewodowy.
Istnieją  dwie  podstawowe  techniki  komunikacji  bezprzewodowej  w  sieciach  LAN:  transmisja  na
podczerwień oraz transmisja radiowa.

Transmisja na podczerwień

W sieciach wykorzystujących transmisję na podczerwień dane między urządzeniami przesyłane są
za pomocą wiązki podczerwieni. Między urządzeniami nadawczymi a urządzeniami odbiorczymi
musi być wolna przestrzeń, gdyż każda przeszkoda na drodze sygnału zakłóca komunikację.
W takich systemach musi być generowany bardzo silny sygnał, ponieważ słaby sygnał jest podatny
na zakłócenia ze strony innych źródeł światła jak np. okna.

Transmisja radiowa

Do funkcjonowania sieci radiowych konieczne jest posiadanie nadajnika i odbiornika pracujących
na  określonych  częstotliwościach.  Ten  tym  łączności  nie  wymaga  wolnej  przestrzeni,  ponieważ
używane  są  fale  radiowe.  Jednakże  transmisja  radiowa  jest  zakłócana  przez  stal,  zbrojone  ściany

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 8/22

i silne źródła pola elektromagnetycznego. Przykładem tego typu transmisji mogą być
bezprzewodowe sieci komputerowe (WiFi) oraz Bluetooth.

Urządzenia sieciowe

Urządzenia sieciowe umożliwiają firmą na rozbudowę ich infrastruktury z zapewnieniem
odpowiedniej wydajności i bezawaryjnej pracy. Do najczęściej używanych urządzeń zaliczamy:

• wzmacniaki (ang. repeater) i koncentratory (ang. hub) – retransmitują sygnał

elektryczny odbierany w dowolnym z portów do wszystkich pozostałych portów,
zapewniając odpowiedni poziom sygnału

• mosty (ang. bridge) – umożliwiają przesyłanie danych pomiędzy segmentami sieci LAN
• przełączniki (ang. switch) – wieloportowe mosty, których zadaniem jest szybkie

przesyłanie sygnałów pomiędzy portami

• routery (ang. router) – umożliwiają wyznaczanie drogi pakietów pomiędzy sieciami LAN

oraz WAN, w zależności od adresów przeznaczenia

• bramy (ang. gateway) – umożliwiają przesyłanie danych w sieciach LAN lub WAN oraz

umożliwiają komunikację pomiędzy sieciami wykorzystującymi różne protokoły

Rozbudowa sieci możliwa jest również poprzez udostępnianie użytkownikom dostęp do zdalnych
lokalizacji. W celu realizacji połączeń dostępu zdalnego wymagane są trzy składowe: klient dostępu
zdalnego, serwer dostępu zdalnego oraz fizyczne połączenie. Najczęściej dostęp zdalny
użytkowników realizowany jest za pomocą:

•  publicznych sieci telefonicznych PSTN (ang. Public Switched Telephone Network)
•  cyfrowej sieci telefonicznej ISDN (ang. Integrated Services Digital Network)
•  sieci pakietowej X.25
•  linii ADSL (ang. Asymmetric Digital Subscriber Line)
•  transmisji pakietowych sieci komórkowych GPRS (ang. General Packet Radio Service)

Wzmacniaki i koncentratory

Wzmacniaki i koncentratory są używane do rozbudowy sieci przez dodanie dwóch lub więcej
segmentów okablowania.
Wzmacniaki odbierają sygnały i retransmitują je z oryginalną mocą i charakterystyką. Dzięki
zastosowaniu wzmacniaków długość wykorzystywanego kabla może być zwiększona. Urządzenia te
nie zajmują się żadną dodatkową funkcją. Za pomocą wzmacniaków można:

•  połączyć dwa segmenty podobnego lub różnego okablowania
•  regenerować sygnał w celu zwiększenia odległości transmisji
•  przesyłać dwukierunkowo ruch w sieci
•  połączyć dwa segmenty tanim kosztem

Koncentratory są to urządzenia umożliwiające łączenie komputerów w topologie gwiazdy. Cechują
się  dużą  ilością  portów  (niektóre  urządzenia  osiągają  nawet  48  portów).  Podczas  przesyłu
informacji  każdy  pojedynczy  pakiet  wysyłany  jest  do  wszystkich  aktywnych  portów.  Ta  cecha
wykorzystywana  jest  do  prowadzenia  podsłuchu  sieciowego  całej  transmisji  pomiędzy
komputerami.  Administratorzy  często  wykorzystują  te  urządzenia  świadomie  w  odpowiednim
segmencie  sieci  aby  włączyć  analizatory  sieciowe  lub  proste  systemy  wykrywania  naruszeń
bezpieczeństwa. Rozróżniamy dwa typy koncentratorów:

• pasywne – przesyłają sygnał bezpośrednio do portów bez przetwarzania sygnału
• aktywne – odbierają sygnał, przetwarzają go i retransmitują do wszystkich portów

w oryginalnej postaci

Koncentratory umożliwiają:

• łatwą rozbudowę sieci komputerowej
• łączenie różnych typów okablowanie poprzez różne porty (najczęściej spotykane są

porty umożliwiające połączenie kabli typu skrętka oraz koncentrycznych)

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 9/22

• centralne monitorowanie aktywności i ruchu sieciowego

Most

Most  jest  urządzeniem  przesyłającym  pakiety  danych  między  segmentami  sieci używającymi  tego
samego  protokołu  komunikacyjnego.  Most  przesyła  na  raz  jeden  sygnał.  Jeśli  pakiet  jest
adresowany  do  komputera  w  tym  samym  segmencie  co  komputer  wysyłający,  most  zatrzymuje
pakiet wewnątrz tego segmentu, w przeciwnym wypadku przesyła go do odpowiedniego segmentu.
Decyzja  o  przesłaniu  pakietu  podejmowana  jest  na  podstawie  adresu  MAC.  Jeżeli  pakiet  został
przesłany, informacje o adresie MAC zapisywane są w tablicy adresów określającej każdy komputer
oraz jego lokalizację w segmentach sieci. Kiedy most odbiera jakiś pakiet porównuje adres źródłowy
z adresami w tabeli, jeżeli na liście nie znajduje się taki adres, to jest on do niej dodawany, a pakiet
rozsyłany jest  do wszystkich segmentów. Za pomocą mostu można:

•  zwiększyć liczbę segmentów
•  uwzględnić zwiększenie ilości komputerów w sieci
•  zmniejszyć wpływ nadmiaru liczby komputerów w sieci
•  podzielić przeciążoną sieć na odseparowane segmenty
•  podłączyć różne typy okablowania

Przełącznik

Przełączniki  działają  podobnie  jak  mosty,  lecz  oferują  bardziej  bezpośrednie  polaczenie  między
komputerem źródłowym i docelowym. Kiedy przełącznik odbierze pakiet danych, tworzy oddzielne
wewnętrzne  połączenie  między  dwoma  portami  i  bazując  na  informacji  zawartej  w  nagłówku
każdego  pakietu  przesyła  pakiet  dalej  jedynie  do  portu  komputera  przeznaczenia.  Dzięki  temu
połączenie  jest  odizolowane  od  innych  portów,  a  komputery  źródłowy  i  przeznaczenia  mogą
pracować z pełna przepustowością sieci. Za pomocą przełącznika można:

•  przesyłać pakiety bezpośrednio z komputera źródłowego do komputera przeznaczenia
•  umożliwić większe prędkości transmisji danych
•  niwelować występowanie kolizji w sieci

Router

Router  pełni  podobne  funkcje  jak  most  lub  przełącznik,  lecz  posiada  dodatkowe  możliwości.
Przesyłając  dane  między  różnymi  segmentami  sieci,  routery  sprawdzają  nagłówek  pakietu,  aby
określić  najlepszą  drogę  przesłania  pakietu.  Router  zna  ścieżki  do  wszystkich  segmentów  sieci,
dzięki informacjom przechowywanym w tabeli routingu. Routery umożliwiają współdzielenie przez
wszystkich użytkowników pojedynczego łącza do sieci Internet lub sieci WAN.  Za pomocą routera
można:

• Wysyłać pakiety bezpośrednio do komputera przeznaczenia w innej sieci lub segmencie.

Routery używają bardziej kompletnego adresu pakietu niż mosty w celu określenia,
który router lub klient ma jako następny odebrać pakiet. Routery zapewniają, że pakiety
wędrują do miejsca przeznaczenia najbardziej efektywną trasą. Jeśli połączenie między
dwoma routerami ulegnie awarii, router wysyłający może określić alternatywny router
w celu zapewnienia dalszego przesyłania pakietów.

• Zmniejszyć obciążenie sieci. Routery czytają tylko zaadresowane pakiety sieciowe

i przesyłają  informacje  tylko  wtedy,  gdy  adres  sieci  jest  znany,  dlatego  routery  nie
przesyłają  uszkodzonych  danych.  Taka  możliwość  kontroli  przesyłanych  danych  przez
router  zmniejsza  ruch  między  sieciami  i  pozwala  routerom  na  bardziej  efektywne
wykorzystanie połączeń,

niż jest to możliwe przy zastosowaniu mostów.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 10/22

Brama

Bramy umożliwiają komunikację między różnymi architekturami sieciowymi. Brama pobiera dane
z jednej sieci i przepakowuje je w ten sposób, że każda sieć może zrozumieć dane pochodzące
z innej sieci. Brama pełni rolę tłumacza dla wykorzystywanych technologii sieciowych. Za pomocą
bramy można połączyć dwa systemy, które różnią się:

•  architekturą
•  zestawem zasad określających komunikację
•  strukturą danych

Mechanizmy dostępu zdalnego

System  Windows  umożliwia  zdalne  łączenie  się  użytkowników  do  sieci  za  pomocą  różnych  typów
urządzeń,  takich  jak  modemy.  Klient  zdalnego  dostępu  łączy  się  z  serwerem  zdalnego  dostępu,
który  pełni  rolę  routera  lub  bramy  do  zdalnej  sieci.  Dwa  rodzaje  zdalnego  dostępu  obsługiwane
w systemach Windows to: zdalny dostęp za pomocą połączeń  dial-up oraz wirtualna sieć prywatna
VPN (ang. Virtual Private Network).

Zdalny dostęp za pomocą Dial-up

System Windows Server 2008  umożliwia zdalny dostęp dial-up dla użytkowników dzwoniących do
firmowych  sieci  intranet.  Urządzenie  dial-up  zainstalowane  na  serwerze  zdalnego  dostępu
z  systemem  Windows  Server  odpowiada  na  wywołanie  przychodzące  od  zdalnego  klienta.
Oprogramowanie  serwera dial-up  odpowiada  na  wywołanie,  uwierzytelnia  klienta  i  przesyła  dane
między zdalnym klientem a firmową siecią intranet.

Wirtualna sieć prywatna (Virtual Private Network)

Wirtualna  sieć  prywatna  w  celu  zapewnienia  bezpieczeństwa  przesyłania  danych  oraz  weryfikacji
użytkownika  wykorzystuje  technologie  kryptograficzne.  Połączenie  VPN  udostępnia  te
zabezpieczenia  w  procesie  tak  zwanego  tunelowania.  Tunelowanie  jest  metodą  wykorzystania
infrastruktury internetowej do bezpiecznego transferu danych z jednej sieci do drugiej. Połączenie
VPN  umożliwia  zdalnym  użytkownikom  i  pracownikom  zestawiać  bezpieczne  połączenia
z  serwerem firmowym, który jest połączony zarówno z siecią LAN, jak również z siecią publiczną.
Z  perspektywy  użytkownika  połączenie  VPN  jest  połączeniem  punkt-punkt  między  komputerem
użytkownika  i  serwerem  firmowym.  Sieć  pośrednicząca  jest  dla  użytkownika  przezroczysta,
ponieważ połączenie wygląda jakby było zestawione bezpośrednio z siecią LAN przedsiębiorstwa.

Topologie sieciowe

Topologia  sieciowa  określa  układ  komputerów,  okablowania  i  innych  urządzeń  w  sieci.  Jest  to
fizyczna  mapa  sieci.  Wybór  topologii  sieciowej  ma  wpływ  na  rodzaj  i  możliwości  urządzeń
sieciowych,  zarządzanie  nimi oraz możliwości  przyszłej  rozbudowy.  Istnieją  dwa  rodzaje  topologii,
fizyczna oraz logiczna:

• topologia fizyczna opisuje, w jaki sposób fizyczne urządzenia są połączone w sieci
• topologia logiczna opisuje sposób przesyłania danych przez fizyczne urządzenia sieciowe

Istnieje pięć podstawowych topologii sieciowych:

• magistrala – komputery przyłączone są do współdzielonego kabla
• gwiazda – komputery przyłączone są do segmentów kabla wychodzących z centralnej

lokalizacji lub koncentratora

• pierścień – komputery przyłączone są do kabla, który tworzy pierścień wokół centralnej

lokalizacji

• topologia pełnych połączeń – komputery są połączone każdy z każdym, za pomocą

kabla.

• topologia mieszana – dwie lub więcej topologii wykorzystywanych razem

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 11/22

Magistrala

W topologii magistrali każdy komputer jest podłączony do jednego kabla lub segmentu łączącego je
w  jednej  linii.  W tej  liniowej  topologii  pakiet  jest transmitowany  do  wszystkich  kart sieciowych w
danym segmencie. Ze względu na sposób transmisji sygnału elektrycznego przez kabel, końce kabla
muszą  być  zamknięte  przez  urządzenia  nazywane  terminatorami,  działające  jako  granice  dla
sygnału  i  segmentu.  Jeśli  kabel  jest  przerwany  w  dowolnym  miejscu  lub  jeśli  końce  kabla  nie  są
zamknięte  terminatorami,  sygnał  elektryczny  przesyłany  jest  tam  i  z  powrotem  przez  sieć,
co uniemożliwia komunikację w całym segmencie. Rys. 6 przedstawia topologię magistrali.

Rys. 6 Topologia magistrali

Na  wydajność  magistrali  ma  wpływ  również  ilość  podłączonej  do  niej  komputerów.  Im  więcej
komputerów  jest  podłączonych  do  magistrali,  tym  więcej  komputerów  czeka  na  możliwość
przesłania  danych,  a  co  za  tym  idzie,  sieć  jest  coraz  wolniejsza.  Poza  tym  ze  względu  na  sposób
komunikacji komputerów w topologii magistrali generowanych jest dużo kolizji. Kolizje jest to ruch
generowany  w  sieci  przez  komputery,  które  w  tym  samym  czasie  próbują  komunikować  się
z innymi komputerami.

Gwiazda

W  topologii  gwiazdy  kabel  sieciowy  z  każdego  komputera  jest  podłączony  do  centralnego
urządzenia  zwanego  koncentratorem  lub  przełącznikiem.  W  topologii  gwiazdy  sygnał  jest
przesyłany  z  komputera  przez  koncentrator  do  wszystkich  komputerów  w  sieci  lub  w  przypadku
przełącznika do określonego hosta. Zaletą topologii gwiazdy jest to, że uszkodzenie kabla lub portu
na urządzeniu uniemożliwia komunikację tylko jednemu komputerowi i nie ma wpływu
na pozostałe. Schemat połączeń typu gwiazda przedstawiony jest na Rys. 7.

Rys. 7 Topologia gwiazdy

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 12/22

Wadą stosowania tej topologii jest to, że został wprowadzony pojedynczy punkt awarii. Jeśli
koncentrator ulegnie awarii, cala sieć przestanie funkcjonować. Poza tym w topologii gwiazdy
również występują kolizje.

Pierścień

W  topologii  pierścienia  komputery  połączone  są  w  zamkniętej  pętli.  Sygnał  wędruje  w  pętli  od
komputera do komputera, który pełni rolę wzmacniaka regenerującego sygnał i wysyłającego go do
następnego komputera. W większej skali sieci LAN mogą być połączone w topologii pierścienia za
pomocą grubego kabla koncentrycznego lub światłowodu.
Metoda  transmisji  danych w  pętli  nazywana  jest  przekazywaniem  żetonu  dostępu.  Żeton  dostępu
jest  określoną  sekwencją  bitów  zawierających  informację  kontrolną.  Przejęcie  żetonu  zezwala
urządzeniu  w  sieci  na  transmisję  danych  w  sieci.  Każda  sieć  posiada  tylko  jeden  żeton  dostępu.
Komputer  wysyłający  usuwa  żeton  z  pierścienia  i  wysyła  dane  przez  sieć.  Każdy  komputer
przekazuje  dane  dalej,  dopóki  nie  zostanie  znaleziony  komputer,  do  którego  pakiet  jest
adresowany.  Następnie  komputer  odbierający  wysyła  komunikat  do  komputera  wysyłającego
o odebraniu danych. Po weryfikacji, komputer wysyłający tworzy nowy żeton dostępu i wysyła go
do sieci.
Zaletą topologii pierścienia jest lepsza metoda zarządzania ruchem w sieci niż w sieciach o topologii
magistrali. Poza tym w topologii pierścienia zmniejszony został poziom zakłóceń. Wadą tej topologii
jest  to,  że  w  danym  momencie  czasu  w  pojedynczym  pierścieniu  może  nadawać  tylko  jeden
komputer.  Dodatkowo  topologie  pierścienia  są  zwykle  droższe  od  innych  topologii.  Schemat
topologii pierścienia został zaprezentowany na Rys. 8.

Rys. 8 Topologia pierścienia

Topologia pełnych połączeń

W  topologii  pełnych  połączeń  komputery  są  połączone  każdy  z  każdym  za  pomocą  oddzielnego
okablowania. Taka konfiguracja powoduje, że istnieją dodatkowe ścieżki połączeń  sieciowych i jeśli
jeden  kabel  ulegnie  awarii,  łączność  można  nawiązać  przez  inny  kabel  i  sieć  funkcjonuje  nadal.
W  większej  skali  wiele  sieci  LAN  może  być  ze  sobą  połączonych  w  topologii  pełnych  połączeń  za
pomocą  dzierżawionych  linii  telefonicznych,  grubego  kabla  koncentrycznego  lub  światłowodu.
Ponieważ  istnienie  wielu  dodatkowych  ścieżek  sieciowych  wymaga  więcej  okablowania  niż
w  przypadku  innych  topologii,  topologia  ta  jest  bardziej  kosztowna.  Schemat  topologii  pełnych
połączeń został przedstawiony na Rys. 9.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 13/22

Rys. 9 Topologia pełnych połączeń

Topologia mieszana

W  topologii  mieszanej,  dwie  lub  więcej  topologii  połączone  są  w  jedną  sieć.  Sieci  są  rzadko
projektowane w postaci pojedynczej topologii. Najczęściej używa się dwóch topologii mieszanych:
topologia gwiazda-magistrala oraz topologia gwiazda-pierścień.
W  topologii  gwiazda-magistrala  kilka  sieci  o  topologii  gwiazdy  jest  połączonych  w  układzie
magistrali.  Ta  topologia  wykorzystywana  jest,  gdy  konfiguracji  gwiazdy  nie  da  się  bardziej
rozbudować.  W  topologii  gwiazda-magistrala  awaria  jednego  komputera  nie  wpływa  na  działanie
reszty sieci, jednakże jeśli awarii ulegnie koncentrator łączący wszystkie komputery gwiazdy, wtedy
wszystkie  komputery  podłączone  do  tego  urządzenia  nie  będą  mogły  komunikować  się  w  sieci.
Schemat tego typu połączeń został zaprezentowany na Rys. 10.

Rys. 10 Topologia mieszana gwiazda-magistrala

W topologii gwiazda-pierścień komputery są połączone do centralnego urządzenia jak w topologii
gwiazdy,  jednakże  urządzenia  te  są  połączone  miedzy  sobą  w  topologii  pierścienia.  Podobnie  jak
w  przypadku  topologii  gwiazda-magistrala,  awaria  jednego  komputera  nie  wpływa  na  działanie
reszty sieci. Dzięki metodzie przekazywania żetonu  każdy komputer w topologii gwiazda-pierścień
ma równe szanse na komunikację. Dzięki temu możliwy jest większy ruch między segmentami niż
w przypadku sieci o topologii gwiazda-magistrala

Topologię gwiazda-pierścień przedstawia Rys. 11.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 14/22

Rys. 11 Topologia mieszana gwiazda-pierścień

Warstwa logiczna sieci

Technologie sieciowe

W celu zapewnienia komunikacji w sieciach LAN i WAN wykorzystywane są różnego rodzaju
technologie sieciowe. Odpowiedni wybór technologii umożliwia osiąganie wysokiej wydajności sieci
oraz innych korzyści ekonomicznych. Do najpopularniejszych technologii sieciowych zaliczamy:

•  Ethernet
•  Token Ring
•  ATM
•  FDDI
•  Frame Relay

Technologie te różnią się metodami dostępu do medium oraz sposobem organizacji przesyłanych
danych.

Ethernet

Ethernet  jest  popularną  technologią  stosowaną  w  sieciach  LAN,  używającą  metody  dostępu
z wykrywaniem  kolizji  CSMA/CD  (ang.  Carrier  Sense  Multiple  Access  with  Collision  Detection)
i różnego  rodzaju  okablowania.  Technologia  Ethernet  jest  pasywna,  co  znaczy,  że  nie  wymaga
własnego źródła zasilania, a co za tym idzie, nie ulega awarii dopóki kabel nie jest fizycznie odcięty
lub  niewłaściwie  zakończony.  W  technologii  Ethernet  może  być  używanych  wiele  protokołów
komunikacyjnych  oraz  można  łączyć  mieszane  środowiska  komputerowe,  jak  Netware,  UNIX,
Windows oraz Macintosh.
CSMA/CD jest zestawem reguł określających, w jaki sposób urządzenia sieciowe mają reagować na
sytuację,  w  której  dwa  urządzenia  próbują  równocześnie  wysyłać  dane  do  sieci.  Równoczesna
transmisja danych przez wiele komputerów powoduje kolizję. Aby temu zapobiec, każdy komputer
kliencki oraz serwer sprawdzają, czy możliwe jest prowadzenie transmisji, jednakże w dużych, w źle
zaprojektowanych sieciach wykrycie stanu łącza może okazać się utrudnione lub wręcz niemożliwe.
Po wykryciu kolizji urządzenie czeka losowy przedział czasu i ponownie próbuje wysłać dane. Jeśli
ponownie  urządzenie  wykryje  kolizję,  czeka  dwukrotnie  dłużej,  zanim  ponowi  próbę  wysłania
danych. Mechanizm powyższy nazywa się algorytmem odstąpienia (ang. backoff algorithm).
Sieci Ethernet osiągają obecnie prędkości pomiędzy 10 Mb/s i 1 Gb/s (coraz szerzej stosowany jest
już  standard  10  Gb/s)  i  zależą  one  w  głównej  mierze  od  klasy  urządzeń  i  stosowanych  kabli
sieciowych.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 15/22

Token Ring

Sieci Token Ring są implementowane w postaci topologii pierścienia. Fizyczna topologia sieci Token
Ring  jest  topologią  gwiazdy,  gdzie  wszystkie  komputery  są  podłączone  do  koncentratora  MSAU
(ang.  Multistation  Access  Unit).  Logiczny  pierścień  reprezentuje  drogę  przekazywania  żetonu
między komputerami podobną do pierścienia. Kiedy pierwszy komputer w sieci Token Ring zostanie
włączony,  sieć  generuje  żeton  dostępu.  Żeton  dostępu  wędruje  do  każdego  komputera
w pierścieniu, dopóki jakiś komputer nie przejmie nad nim kontroli.
Kiedy  komputer  przejmie  żeton  dostępu,  może  wysłać  ramkę  danych  przez  sieć.  Ramka  wędruje
przez pierścień aż osiągnie komputer, którego adres znajduje się w ramce. Komputer przeznaczenia
kopiuje  ramkę  do  pamięci  i  oznacza  pole  statusu  ramki  sygnalizując,  że  odebrał  dane.  Ramka
kontynuuje wędrówkę przez pierścień dopóki nie dotrze do komputera wysyłającego, informując go
o  powodzeniu  transmisji.  Następnie  komputer  wysyłający  usuwa  ramkę  z  pierścienia  i  generuje
nowy żeton dostępu.
Prędkość transferu w sieciach Token Ring wynosi od 4  do 16 Mb/s.

ATM

Sieć ATM (ang. Asynchronous Transfer Mode) jest siecią z przełączaniem pakietów, w której pakiety
wysyłane  w  sieciach  LAN  lub  WAN  mają  stały  rozmiar.  Pakiety  o  stałym  rozmiarze,  nazywane
komórkami,  są  pakietami  danych  zawierającymi  jedynie  podstawowe  informacje  o  ścieżce,
pozwalające  urządzeniom  przełączającym  na  szybkie  przekazywanie  pakietów.  Komunikacja
odbywa  się  w  systemie  punkt-punkt,  zapewniając  każdej  stacji  stałą,  wirtualną  ścieżkę  wymiany
danych. Dzięki dużej przepustowości sieć ATM nadaje się do przesyłania:

•  głosu
•  wideo w czasie rzeczywistym
•  dźwięku o jakości CD
•  zdjęć, takich jak obrazy radiologiczne w czasie rzeczywistym
•  megabitowych danych

Prędkość transferu w sieciach ATM wynosi od 155 do 622 Mb/s.

FDDI

Technologia FDDI (ang. Fiber Distributed Data Interface) umożliwia realizację szybkich połączeń dla
różnych rodzajów sieci. Sieć FDDI składa się z dwóch podobnych strumieni danych przepływających
w przeciwnych kierunkach w dwóch pierścieniach. Pierwszy pierścień  jest nazywany pierścieniem
podstawowym,  a  drugi  pierścieniem  zapasowym.  Jeśli  wystąpią  problemy  z  pierścieniem
podstawowym,  takie  jak  awaria  pierścienia  czy  przerwanie  kabla,  pierścień  samoczynnie  zmieni
swoją konfigurację, transmitując dane do pierścienia zapasowego, który kontynuuje transmisję.
Prędkość transferu w sieciach FDDI wynosi 100 Mb/s.

Frame Relay

Frame Relay jest siecią z przełączaniem pakietów, w której pakiety wysyłane poprzez sieci LAN lub
WAN mają zmienny rozmiar. Zmiennej długości pakiety zawierają dodatkowe informacje dotyczące
adresowania i obsługi błędów konieczne do dostarczenia pakietów do odbiorcy.
Komunikacja odbywa się w sieci, która zapewnia każdej stacji stałą, wirtualną ścieżkę wymiany
danych. Ten rodzaj sieci używa cyfrowych lub światłowodowych połączeń, umożliwiających szybki
transfer danych. Przełączanie pakietów opiera się na metodzie dzielenia dużych bloków danych na
mniejsze kawałki (pakiety) przy wysyłaniu danych poprzez sieć WAN.
Prędkość transferu w sieci Frame Relay zależy od prędkości, jaką udostępnia dostawca poprzez
cyfrowe linie dzierżawione.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 16/22

Protokoły sieciowe

Protokoły  w  swojej  istocie  stanowię  element  oprogramowania  i  jako  takie  muszą  zostać
zainstalowane na składnikach sieci, które mają z nich korzystać. Komputery mogą komunikować się
ze  sobą  tylko  pod  warunkiem,  że  korzystają  z  tego  samego  protokołu.  W  danym  środowisku
sieciowym mogą być wykorzystywane bardzo różne protokoły. Chociaż każdy protokół jest w stanie
zapewnić  podstawową  obsługę  procesu  komunikacji  w  sieci,  każdy  też  ma  pewne
charakterystyczne  funkcje,  przeznaczone  do  realizacji  specyficznych  zadań.  Aby  zrozumieć
poszczególne  funkcje  różnych  protokołów,  konieczne  jest  poznanie  standardowego  modelu
opisującego komunikację w sieci — modelu OSI (ang. Open Systems Interconnection).

Model ISO/OSI

Model  ISO/OSI  składa  się  z  zestawu  siedmiu  warstw  protokołów,  z  których  każda  odpowiada  za
realizację pewnych funkcji umożliwiających transmisję danych w obrębie sieci. Zgodnie z modelem
koncepcyjnym OSI, aby możliwa była prawidłowa transmisja danych w sieci, kilka protokołów musi
pracować razem. W praktyce jest to realizowane poprzez zastosowanie stosu  protokołów. Podczas
przesyłania  danych  zgodnie  z  modelem  ISO/OSI,  muszą  one  zostać  podzielone  na  pakiety.  Przy
przejściu przez poszczególne warstwy do pakietu dodawane są specyficzne informacje.  To na jakiej
warstwie  pracuje  dany  protokół  determinuje  jego  funkcje  i  przeznaczenie.  Rys.  12  przedstawia
schemat modelu referencyjnego ISO/OSI oraz typów protokołów sieciowych.

Rys. 12 Model ISO/OSI

Poszczególne warstwy modelu ISO/OSI spełniają następujące zadania:

• Warstwa 1 – Fizyczna (Layer 1, Physical layer) – najniższa warstwa modelu,

odpowiedzialna  za  media  fizyczne  łączące  hosty  w  sieci.  Specyfikuje  ona  medium
fizyczne  oraz  definiuje  sygnały  użyte  w  przesyle  informacji  (elektryczne,  optyczne,
radiowe).  Do  funkcjonalności  tej  nazwy  można  także  przypisać  specyfikację  interfejsu
sieciowego – NIC (ang. Network Interface Card), taktowanie tego interfejsu, kodowanie
binarne sygnałów oraz sprawdzanie błędów transmisji.

• Warstwa 2 – Łącza danych (Layer 2, Data Link layer) – odpowiada za sterowaniem

przepływem  przesyłanych  informacji  oraz  synchronizację  transmisji.  Warstwa  druga
określa  dostęp  do  mediów  oraz  adresuje  porty  z  wykorzystaniem  adresów  MAC.
W  warstwie  łącza  danych  odbywa  się  kontrola  sumy  kontrolnej.  Równie  istotnymi
funkcjami  warstwy  drugiej  są  operacje  na  ramkach,  takie  jak  ich  mostkowanie
i przełączanie ramek.

• Warstwa 3 – Sieciowa (Layer 3, Network Layer) – najistotniejszą funkcjonalnością

warstwy trzeciej jest stosowanie protokołów adresowania w sieci, których przykładem
może być protokół IP.

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 17/22

• Warstwa 4 – Transportowa (Layer 4, Transport Layer) – zapewnia komunikację

w dwóch trybach: połączeniowym z TCP oraz bezpołączeniowym z UDP. Jej
dodatkowymi zadaniami jest segmentowanie danych oraz zarządzanie niezawodną
komunikacją typu end-to-end.

• Warstwa 5 – Sesji (Layer 5, Session Layer) – odpowiedzialna za rozpoczęcie

i zakończenie, a także sterowanie konwersacjami między dwoma aplikacjami. Jej
funkcjonalność można określić jako sterowanie i zarządzanie wieloma wiadomościami
przesyłanymi dwukierunkowo.

• Warstwa 6 – Prezentacji (Layer 6, Presentation Layer) – zapewnia zgodność formatów

informacji oraz kompresję i szyfrowanie danych w przypadku ich wykorzystania.

• Warstwa 7 – Aplikacji (Layer 7, Application Layer) – jest to najwyższa warstwa modelu,

znajdująca się najbliżej użytkownika. Jej głównym zadaniem jest kontrola integralności
danych oraz odtwarzanie błędnych informacji.

Stosy protokołów

Do  podstawowych  stosów  protokółów  zaliczyć  można  TCP/IP,  IPX/SPX    oraz  AppleTalk.  Każdej
warstwie  stosu  protokołów  przyporządkowany  jest  jeden  protokół,  odpowiedzialny  za  wykonanie
zadania  należącego  do  tej  warstwy,  jednak  ogólnie  rzecz  biorąc,  odpowiedzialność  za  wykonanie
poszczególnych  zadań  zapewniających  prawidłową  komunikację  spoczywa  na  trzech  typach
protokołów:

• Protokoły aplikacji – zapewniają wymianę danych pomiędzy aplikacjami pracującymi w

sieci. Przykładem często stosowanego protokołu aplikacji jest protokół FTP (ang. File
Transfer Protocol) oraz SMTP (ang. Simple Mail Transfer Protocol).

• Protokoły transportu – odpowiadają za prowadzenie sesji komunikacyjnych pomiędzy

komputerami oraz zapewniają, że dane są poprawnie przekazywane pomiędzy
komputerami. Często stosowanym protokołem transportu jest protokół TCP (ang.
Transmission Control Protocol).

• Protokoły sieci – zapewniają tzw. usługi połączeniowe. Protokoły te określają reguły

komunikowania się w poszczególnych środowiskach sieciowych. Często stosowanym
protokołem, odpowiedzialnym za usługi sieciowe, jest protokół IP (ang. Internet
Protocol).

Przesyłanie danych

Efektywne zarządzanie procesem komunikacji w dużych sieciach jest bardzo trudne z powodu zbyt
dużego natężenia ruchu. Administratorzy sieci mogą rozwiązać ten problem dzieląc dużą sieć na
kilka segmentów. Dane w sieci mogą być przesyłane z jednego segmentu sieci do drugiego wzdłuż
dowolnej z istniejących ścieżek. Przesyłanie danych pomiędzy segmentami sieci nosi nazwę
routingu. Protokoły można podzielić na dwie kategorie:

• Protokoły routowalne – są w stanie zapewnić transmisję danych z jednego segmentu

sieci do innego wzdłuż dowolnej ścieżki łączącej dwa segmenty sieci. Przykładowymi
routowalnymi protokołami są protokoły TCP/TP oraz IPX/SPX.

• Protokoły nieroutowalne – nie zapewniają transmisji danych z jednego segmentu sieci

do innego. Komputery korzystające z protokołów nieroutowalnych mogą komunikować
się tylko z komputerami znajdującymi się w tym samym segmencie sieci. Protokoły
NetBEUI (ang. Network Basic Input/Output System) oraz DLC (ang. Data Link Control) są
przykładami protokołów nieroutowalnych.

Typy transmisji danych

Możemy wyróżnić następujące typy transmisji danych:

• Unicast – w przypadku transmisji typu unicast oddzielna kopia danych przesyłana jest

ze źródła do każdego komputera będącego klientem, który ich zażąda. Transmisja typu

Marek Pyka
ITA-108 Technologie sieciowe

unicast nie jest j
danych, poniewa

• Broadcast – w tr

przesyłana do w
co komputer wys
dane mają zostać
typie transmisji d
niepotrzebne obn

• Multicast – w

wysyłana tylko do
liczne kopie tych
aplikacji multim
internetowych w
klienckimi.

Narzędzia monitorowania

Microsoft Network Monitor

Najodpowiedniejszym narz
wykorzystywanych protoko
Narzędzie to jest omówione

Podsumowanie

W rozdziale tym zostały
Zamieszczone w tym rozdzi
związane z technologiami sie

Przykładowe rozwiązanie

Jako inżynier systemowy
przedsiębiorstwa posiadające
prawdopodobieństwa wyst
administratorze odziedziczyłe

Rys

Przedyskutuj powyższą infra
na poniższe pytania:

Jakie elementy rozpozn

Wprowadze

Strona 18/22

st jednak zbyt efektywna, jeśli wiele komputerów

waż źródło musi wtedy nadać wiele jednakowych ko

trakcie transmisji danych typu broadcast pojedyn

o wszystkich klientów znajdujących się w tym sa

wysyłający. Transmisja typu broadcast nie jest jedna

stać wysłane tylko do części komputerów w segmen

sji dane są odbierane i przetwarzane przez każdego

obniżenie wydajności sieci.

przypadku transmisji typu multicast pojedync

o do klientów, którzy ich zażądali. Przez sieć nie mu
ych samych danych. Ogranicza to ruch w sieci i um

ltimedialnych bez niepotrzebnego przeciążenia

h wykorzystuje transmisję typu multicast do komu

ania protokołów sieciowych

Monitor

narzędziem służącym do monitorowania ruc

okołów sieciowych są narzędzia klasy Microso

ne w module 2 tego kursu.

ły omówione podstawowe informacje na temat

zdziale informacje stanowią podstawę do dalszych

i sieciowymi.

anie

wy masz dokonać projektu budowy infrastru

ającego oddziały zdalne. Podczas projektu musisz pa

wystąpienia kolizji podczas przesyłania pakiet

czyłeś plan sieci jak na Rys. 13.

Rys. 13 Schemat infrastruktury sieciowej przedsiębiorstwa

nfrastrukturę z kolegami i koleżankami z grupy. Sp

poznajecie?

Moduł I

adzenie do sieci komputerowych

erów zażąda tych samych

h kopii informacji.

edyncza kopia danych jest

samym segmencie sieci,

dnak zbyt efektywna, jeśli

encie, ponieważ przy tym

dego klienta. Powoduje to

yncza kopia danych jest

muszą więc być wysyłane

i umożliwia wprowadzenie
enia sieci. Wiele usług

munikacji z komputerami

ruchu sieciowego oraz

rosoft Network Monitor.

at sieci komputerowych.

zych rozważań na tematy

astruktury sieciowej dla

z pamiętać o zmniejszeniu

kietów. Po poprzednim

. Spróbujcie odpowiedzieć

Marek Pyka
ITA-108 Technologie sieciowe

Jakie technologie sieciowe m
Jaką topologie sieciowe są uk
Pierwszym  zadaniem,  które
z przyjętymi ogólnie  zasadam
Do  wykonania  schematu  i
sieciowe:

Symbol

Opi

100

ATM

Rou

Rou
W/

Wir
Rou

Tra
Wir

Inte

Przykładowy fragment prze
przedstawia segment sieci oz

Rys. 14

Wprowadze

Strona 19/22

e mogłyby być zastosowane w niniejszej infrastruktu

ą ukazane na powyższym rysunku?

tóre sobie wyznaczyłeś to przerysowanie powyżs

adami.

tu infrastruktury wykorzystaj następujące, ogóln

Opis

Symbol

10-Base-T Hub

100-Base-T Hub

ATM Switch

Switch

Router

Router
W/Firewall

Wireless
Router

Transport
Wireless

Internet

przerysowanej infrastruktury znajduje się na

ci oznaczony napisem „Switched LAN’s”

14 Schemat infrastruktury sieciowej przedsiębiorstwa- standar

Moduł I

adzenie do sieci komputerowych

ukturze?

yższego rysunku zgodnie

gólno dostępne symbole

Opis

Bridge

IDS

FDDI Concentrator

VPN

SSL

NAT

PBX

Firewall

Universal
Gateway

a Rys. 14. Rysunek ten

ndard

Marek Pyka
ITA-108 Technologie sieciowe

Czy potrafiłbyś wykona
Czy już na tym etapie p

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że znaj

prowadzenie czyn

•  Naucz się dobrze
•  W budowie sieci w
•  Unikaj kolizji i bur
•  Unikaj instalowan
•  Pamiętaj, że praca
•  Jeżeli to możliwe
•  Zapoznaj się dokła
•  Przeanalizuj działa

Uwagi dla studenta

Jesteś przygotowany do reali

•  znasz model ISO/
•  rozumiesz działan
•  wiesz, jaką rolę w
•  znasz problemy w
•  zapoznałeś  się  z

ISO/OSI, unicast,

Pamiętaj o zapoznaniu się z
że rozumiesz omawiane w
zawartego w uwagach, prz
z wykładów.

Dodatkowe źródła inform

http://pl.wikipedia.org/w

Bardzo szczegółowy
związanych.

2. http://pl.wikipedia.org/w

Zbiór informacji na te

Karol Krysiak, Sieci kompu

Bardzo dobry podręc

Mark Sportack, Sieci komp

Książka przybliża po
współczesnemu info
pozwalając na pozna

5. Brian Komar, TCP/IP dla k

Książka omawia zaró
jak i praktyczne s
operacyjnych stosow

Wprowadze

Strona 20/22

onać pełny schemat infrastruktury?

ie potrafisz wykazać słabe strony tego projektu?

znajomość zasad działania urządzeń sieciowych mo

czynności administracyjnych w przyszłej pracy.

rze przygotowywać kable sieciowe w obu standarda

ieci wykorzystuj przełączniki i unikaj koncentratorów

i burz rozgłoszeń dzięki segmentacji sieci.

wania zbędnych protokołów.

raca w jednej dużej domenie rozgłoszeniowej zmnie

iwe stosuj multicast jako metodę przesyłania danych

okładnie z modelem ISO/OSI.

ziałanie urządzeń zgodnie z modelem ISO/OSI.

realizacji laboratorium jeśli:

SO/OSI
ałanie urządzeń sieciowych
lę w budowaniu sieci odgrywają routery i przełącznik

y wynikające z stosowania koncentratorów w sieci

ię z pojęciami dotyczącymi modułu takimi jak ko
ast, multicast czy broadcast.

ę z uwagami i poradami zawartymi w tym module. U

w nich zagadnienia. Jeśli masz trudności ze

przeczytaj ponownie informacje z tego rozdziału

ormacji

g/wiki/Model_OSI

łowy opis modelu OSI wraz z odnośnikami do

g/wiki/Protokoły_sieciowe

na temat budowy i działania protokołów sieciowych

mputerowe. Kompendium, Helion 2003

dręcznik ogólnej wiedzy o sieciach komputerowych

omputerowe. Księga eksperta, Helion 2004
podstawowe założenia sieci komputerowych, któ

informatykowi. Krok po kroku wprowadzi Cię w

znanie ich architektury i zrozumienie zasad działania

dla każdego. Helion 2002

zarówno teoretyczne podstawy funkcjonowania sie

e sposoby konfigurowania protokołów w różn
sowanych we współczesnych sieciach.

Moduł I

adzenie do sieci komputerowych

może znacznie ułatwić Ci

rdach.

rów.

niejsza wydajność sieci.

nych.

czniki
ieci

kolizja, pakiet, protokół,

le. Upewnij się,

ze zrozumieniem tematu

ziału i zajrzyj do notatek

do innych stron z nim

ych

ch.

które powinny być znane

ię w problematykę sieci,

łania.

sieci opartych na TCP/IP,

różnorodnych systemach

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 21/22

Laboratorium podstawowe

Problem 1 (czas realizacji 20 min)

Chcesz dokonać wyboru urządzeń sieciowych do projektu sieci, który właśnie opracowujesz. Musisz
zastanowić się nad zastosowaniem odpowiednich urządzeń w odpowiednim miejscu infrastruktury.
Zanim dokonasz wyboru musisz zebrać kilka podstawowych informacji.
To ćwiczenie pomoże w lepszym poznaniu siedmiu warstw modelu OSI. Szczególny nacisk położono
na sposób, w jaki są one powiązane z najpopularniejszym urządzeniami sieciowymi. Siedem warstw
modelu  OSI  jest  najczęściej  wykorzystywane  do  opisywania  i  porównywania  oprogramowania
i  sprzętu  sieciowego  pochodzącego  od  różnych  producentów.  Znajomość  modelu  i  umiejętność
wzajemnego  powiązania  warstw  modelu  i  urządzeń  sieciowych  na  nich  działających  jest  bardzo
ważna. Uzyskane informacje zapisz poniżej

Nr. warstwy

Nazwa warstwy

Typ urządzenia

Jednostka enkapsulacji

Problem 2 (czas realizacji 25 min)

Twoim  zadaniem  jest  przygotowanie  składającego  się  z  czterech  par  (ośmiu  żył)  kabla  prostego,
czyli takiego, w którym kolor przewodu na styku 1 po jednym końcu kabla będzie taki sam, jak kolor
przewodu  na  styku  1  na  drugim  końcu.  Styk  2  na  jednym  końcu  będzie  taki  sam,  jak  styk  2  na
drugim  itd.  Kabel  powinieneś  utworzyć  na  podstawie  standardów  TIA/EIA  T568B  lub  T568A  sieci
Ethernet  10BASE-T,  które  określają  kolor  przewodu  na  każdym  styku.  Standard  T568B,  zwany
również  specyfikacją  AT&T,  jest  bardziej  popularny  w  Stanach  Zjednoczonych,  ale  wiele  instalacji
jest tworzonych na podstawie standardu okablowania T568A, zwanego również standardem ISDN.
Przed  rozpoczęciem  ćwiczenia  nauczyciel  lub  asystent  powinien  zaopatrzyć  Cię  w  szpulę  skrętki
nieekranowanej UTP kategorii 5, złącza RJ-45 (8-stykowe), narzędzie do zaciskania złączy RJ-45 oraz
przyrząd  do  testowania  ciągłości  kabli  Ethernet/RJ-45.  Praca  odbywa  się  indywidualnie  lub
w grupach. Potrzebne będą następujące elementy:

•  odcinek kabla kategorii 5 o długości od 0,6 do 0,9 m na każdą osobę lub zespół
•  cztery złącza RJ-45, w tym dwa zapasowe
•  narzędzie do zaciskania złączy RJ-45 na końcach kabla
•  przyrząd  do  testowania  ciągłości  okablowania  sieci  Ethernet,  służący  do  badania  kabli

prostych i z przeplotem, T568A lub T568B

• kleszcze do cięcia kabli

Za pomocą zaciskarki przygotuj gniazdo RJ-45 do instalacji w gniazdku ściennym. Umiejętności te są
przydatne w przypadku instalowania niewielkiej liczby kabli w biurze lub w mieszkaniu. Zaciskarka
jest wyposażona w mechanizm sprężynowy, który umożliwia wciśnięcie przewodów między
metalowe styki przy jednoczesnym ściągnięciu izolacji z przewodów. Pozwala to na uzyskanie

Marek Pyka

Moduł I

ITA-108 Technologie sieciowe

Wprowadzenie do sieci komputerowych

Strona 22/22

dobrego połączenia elektrycznego między przewodami a stykami w gnieździe. W zadaniu używane
będą kable kategorii 5 lub kategorii 5e oraz gniazda T568B kategorii 5 lub 5e. Gniazda takie służą
zwykle do przyłączenia komputera PC do sieci. W tym celu stosowane są przeważnie połączeniowe
kable  proste  kategorii  5  lub  5e  ze  złączami  RJ-45.  W  przypadku  sieci  Fast  Ethernet  (100  Mb/s)
i  Gigabit  Ethernet  (1000  Mb/s)  istotne  jest  zastosowanie  gniazd  kategorii  5  lub  5e  i  paneli
połączeniowych  z  okablowaniem  kategorii  5  lub  5e.  Wciskanie  przewodów  do  gniazda
umieszczanego  przy  komputerze  przebiega  tak  samo,  jak  w  panelu  połączeniowym  w  węźle
dystrybucji okablowania. Potrzebne będą następujące elementy:

•  kabel kategorii 5 lub 5e o długości 60–90 cm
•  dwa gniazda RJ-45 kategorii 5/5e (oraz jedno zapasowe);
•  gniazdko ścienne kategorii 5 lub 5e
•  zaciskarka typu 110
•  kleszcze do cięcia kabli

Laboratorium rozszerzone

Zadanie 1 (czas realizacji 45 min)

Twoim zadaniem jest przygotowanie przeznaczonej dla biura terenowego propozycji zastąpienia
koncentratorów przełącznikami oraz rozważenie co najmniej dwóch różnych rozwiązań
i szczegółowe opracowanie propozycji. Szczegółowe założenia są następujące:

• Firma posiada oddział terenowy, w którym działa sieć Ethernet oparta na

koncentratorach. Ponieważ liczba usług dostępnych w sieci rośnie, przeciążenia stają się
poważnym problemem. Aktualnie na każdym z trzech pięter w węźle dystrybucji
okablowania jest jeden lub kilka koncentratorów, które obsługują 30-35 komputerów,
natomiast na parterze jest 65 komputerów.

• Wszystkie cztery kondygnacje są dołączone do przełącznika mającego 8 portów o

szybkości  10  Mb/s,  który  został  dodany  wcześniej  w  celu  zmniejszenia  problemów  z
przeciążeniami.  Chociaż  to  rozwiązanie  przyniosło  znaczną  poprawę,  teraz  już  nie
wystarcza.  Do  tego  8-portowego  przełącznika  dołączone  są  również  dwa  serwery  i
router połączone z Internetem.

• Okablowanie oddziału jest względnie nowe i zgodne ze standardami kategorii 5.

Aktualnie firma nie jest zainteresowana żadnymi większymi zmianami w okablowaniu.

• Co najmniej 75% ze 160 stacji roboczych jest wyposażone w karty sieciowe o szybkości

10/100 Mb/s, działające w trybie pełnego dupleksu. Wszystkie laptopy mają nowsze
karty sieciowe. Wszystkie nowe komputery są wyposażone w podobne karty sieciowe.

• Zastanów się, co zrobić z aktualnie wykorzystywanym przełącznikiem. Czy możliwe jest

uzyskanie większej szerokości pasma połączenia obu serwerów?

•  Wymagania obejmują następujące elementy:
•  Zastąpienie wszystkich koncentratorów przełącznikami.
•  Wymiana kart sieciowych o szybkości 10 Mb/s w komputerach stacjonarnych.
•  Każde połączenie z hostem powinno obsługiwać co najmniej szybkość 10/100 Mb/s.
•  Rozpocznij od zbierania informacji na temat cen i parametrów urządzeń.
•  Wyniki zanotuj w tabeli, najlepiej użyj do tego programu Excel.

ITA-108 Technologie sieciowe

Marek Pyka

Moduł II

Wersja 1

Omówienie i analiza TCP/IP

Spis treści

Omówienie i analiza TCP/IP ........................ ................................................... ...................................... 1

Informacje o module ............................... ................................................... .......................................... 2

Przygotowanie teoretyczne ............................................................................ ..................................... 3

Przykładowy problem ............................... ................................................... ................................ 3

Podstawy teoretyczne............................... ................................................... ................................ 3

Przykładowe rozwiązanie ........................... ................................................... ............................. 17

Porady praktyczne ................................. ................................................... ................................. 17

Uwagi dla studenta ................................ ................................................... ................................. 17

Dodatkowe źródła informacji........................ ................................................... .......................... 18

Laboratorium podstawowe ........................... ................................................... .................................. 19

Problem 1 (czas realizacji 20 min) ................................................................... ........................... 19

Problem 2 (czas realizacji 25 min) ................................................................... ........................... 22

Laboratorium rozszerzone .......................... ................................................... .................................... 22

Zadanie 1 (czas realizacji 45 min) ................ ................................................... ............................ 23

Zadanie 2 (czas realizacji 45 min) ................ ................................................... ............................ 23

Zadanie 3 (czas realizacji 90 min) ................ ................................................... ............................ 24

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 2/24

Informacje o module

Opis modułu
W  tym  module  znajdziesz  informacje  dotyczące  zasady  działania  stosu
protokołów  TCP/IP,  jego  implementacji  w  systemie  Windows  Server  2008
oraz analizy i rozwiązywania problemów z komunikacją sieciową. Zapoznasz
się  z  zasadami  analizy  pakietów  TCP/IP  w  środowisku  sieciowym  Windows
Server  2008.  Zawarte  w  module  tym  zadania  umożliwią  Ci  zapoznanie  się
z procesem planowania, wdrażania i analizy protokołu TCP/IP w organizacji.

Cel modułu
Celem

modułu

jest

przedstawienie

zasad

funkcjonowania

sieci

komputerowych opartych o protokół TCP/IP oraz przedstawienie
problematyki analizy przebiegu komunikacji zgodnie z modelem TCP/IP.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

•  wiedział, jaką rolę w sieci pełni protokół TCP/IP
•  rozumiał jego implementację w systemie Windows Server 2008
•  potrafił  dokonać  analizy  pakietów  przesyłanych  w  sieciach

komputerowych

• wiedział, w jaki sposób wykorzystywać oprogramowanie Network

Monitor do analizy pakietów.

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

•  znać podstawy działania sieci komputerowych
•  rozumieć działanie urządzeń sieciowych
•  być zaznajomionym z modelem referencyjnym ISO/OSI
•  znać zasady pracy w środowisku Windows Server 2008

Mapa zależności modułu
Zgodnie z mapą zależności przedstawioną na Rys. 1, przed przystąpieniem
do realizacji tego modułu należy zapoznać się z materiałem zawartym
w module 1.

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 3/24

Przygotowanie teoretyczne

Przykładowy problem

Umiejętność  analizy  przebiegu  transmisji  sieciowej  jest  bardzo  ważnym  narzędziem  dla
administratora. Większość wiedzy o wykorzystywanych w infrastrukturze aplikacjach i protokołach
uzyskasz  właśnie  z  analizy  przesyłanych  pakietów.  Sprawne  wykorzystywanie  narzędzi  takich  jak
monitory  sieciowe  da  Ci  również  możliwość  analizy  przebiegu  ataków  informatycznych
na infrastrukturę IT. Jednym z zadań, w których będziesz musiał wykazać się tą umiejętnością jest
wyszukiwanie  w  infrastrukturze  zarażonych  komputerów  różnorakimi  wirusami  i  robakami
internetowymi  oraz  komputerów  wykorzystujących  nieautoryzowane  oprogramowanie  takie  jak
Emule czy Gadu-Gadu.
Przeprowadź analizę najpopularniejszych protokołów sieciowych oraz wykorzystujących je aplikacji
użytkowej,  w  oparciu  o  wyniki  przygotuj  plan  zabezpieczenia  jej  przed  atakami
teleinformatycznymi.

Podstawy teoretyczne

Protokół TCP/IP zaimplementowano w niemal wszystkich liczących się systemach operacyjnych,
począwszy

mikrokomputerów

skończywszy

komputerach

typu

mainframe

i superkomputerach. Dzięki stosowaniu sieci opartych o TCP/IP możliwa jest komunikacja różnego
rodzaju  sprzętu,  aplikacji  i  systemów  operacyjnych.  Wykorzystanie  tego  protokołu
w  przedsiębiorstwie  zapewnia  routing  pakietów  IP  (opisany  szczegółowo  w  dalszej  części  tego
podręcznika) oraz dostęp do wielu usług tj. WWW czy przesyłanie poczty.
TCP/IP  to  pakiet  zgodnych  ze  standardami  przemysłowymi  protokołów  zapewniających
komunikację w środowisku heterogenicznym. Zadania do wykonania podczas komunikacji TCP/IP są
dzielone między protokoły znajdujące się w czterech różnych warstwach stosu TCP/IP.
Budowa stosu TCP/IP została przedstawiona na Rys. 2.

Rys. 2 Budowa stosu TCP/IP

Stos protokołów TCP/IP obejmuje następujące cztery warstwy:

•

aplikacji,

•  transportu,
•  Internetu,
•  łącza.

Podzielenie funkcji sieciowych na stos oddzielnych protokołów zamiast utworzenia jednego
protokołu ma kilka zalet:

• Oddzielne protokoły ułatwiają obsługę różnych systemów komputerowych.
• Tworzenie lub modyfikowanie protokołów w celu obsługi nowych standardów nie wymaga

modyfikacji całego stosu protokołów.

• Dzięki dostępności wielu protokołów w tej samej warstwie aplikacje mogą wybierać tylko te

protokoły, które zapewnią wymagany poziom usług.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 4/24

• Ponieważ stos jest podzielony na warstwy, personel wyspecjalizowany w zakresie

poszczególnych warstw może w tym samym czasie opracowywać różne protokoły.

Zależność protokołu TCP/IP od modelu ISO/OSI

Model OSI definiuje różne warstwy związane z pakowaniem, wysyłaniem i odbieraniem transmisji
danych w sieci. Zadania te wykonuje warstwowy pakiet protokołów składających się na stos TCP/IP.
Model  odniesienia  TCP/IP,  zwany  modelem  DoD  (Departament  of  Defense),  inaczej  niż  OSI  nie
przypisuje  sztywno  funkcji  do  każdej  warstwy,  jest  więc  bardziej  elastyczny  od  modelu  OSI.
Podstawowa  różnica  między  modelem  OSI  a  DoD  polega  na  braku  stałej  gwarancji  dostarczania
pakietów  przez  warstwę  transportową.  Protokoły  TCP  i  IP  łącznie  zarządzają  przepływem  danych
przez  sieć  w  obydwu  kierunkach.  Analogie  w  budowie  stosu  TCP/IP  do  modelu  referencyjnego
ISO/OSI przedstawia Rys. 3.

Rys. 3 Zależności stosu protokołów TCP/IP do modelu ISO/OSI

Warstwa aplikacji stosu TCP/IP

Warstwa  aplikacji  odpowiada  warstwom  aplikacji,  prezentacji  i  sesji  modelu  OSI.  Udostępnia  ona
usługi  i  narzędzia,  dzięki  którym  aplikacje  mogą  uzyskiwać  dostęp  do  zasobów  sieciowych.
W  warstwie  tej  znajdują  się  dwie  następujące  usługi,  które  zapewniają  dostęp  do  zasobów
sieciowych: Windows Sockets oraz NetBIOS (Network Basic Input/Output Systems). Zarówno usługa
Windows Sockets, jak i system NetBIOS, zapewniają standardowe interfejsy aplikacji, dzięki którym
programy mogą uzyskiwać dostęp do usług sieciowych.

Adres IP

Aby komunikacja sieciowa mogła się rozpocząć, lokalizacja komputera źródłowego oraz
docelowego w sieci musi być znana. Lokalizacja jest określana przez unikalny numer, zwany
adresem IP, który jest przypisywany do każdego komputera w sieci.

Port TCP/UDP

Port jest identyfikatorem aplikacji działającej na komputerze. Port jest związany z protokołami TCP
lub UDP warstwy transportowej i jest znany jako port TCP lub port UDP. Port może mieć dowolny
numer z zakresu liczb od 0 do 65535. Porty TCP/IP podstawowych aplikacji serwerowych są
zarezerwowane z numerami poniżej 1024, w celu zapobiegania konfliktom z innymi aplikacjami.
Na przykład, serwer FTP używa portów TCP 20 i 21.

Gniazdo

Gniazdo jest złożeniem adresu IP i portu TCP lub portu UDP. Aplikacja tworzy gniazdo przez
określenie adresu IP komputera, rodzaju usługi (TCP dla gwarancji dostarczenia danych, lub UDP)
oraz portu, który aplikacja monitoruje. Adres IP pomaga określić i zlokalizować komputer docelowy,
a port określa aplikację, do której dane są wysyłane.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 5/24

Warstwa transportowa

Warstwa transportu odpowiada warstwie transportu modelu OSI i gwarantuje dostarczenie
pakietów oraz zapewnia komunikację typu end-to-end przy użyciu jednego z dwóch protokołów.

TCP

Protokół  TCP  (  Transmission  Control  Protocol)  jest  protokołem  transportowym  wchodzącym
w  skład  stosu  TCP/IP  oferującym  niezawodną,  zorientowaną  na  połączenie  usługą  transportową
między  dwoma  komputerami.  Taka  komunikacja  nazywana  jest  emisją  pojedynczą  (unicast).
W  komunikacji  zorientowanej  na  połączenie,  zanim  komputery  rozpoczną  wymianę  danych,  musi
być nawiązana sesja.
Po  nawiązaniu  sesji,  dane  są  przesyłane  jedynie  przez  takie  pojedyncze  połączenie.  Komunikacja
zorientowana  na  połączenie  oznacza  również  niezawodną  komunikację,  ponieważ  gwarantuje
dostarczenie danych do miejsca przeznaczenia.

Wymiana danych za pomocą protokołu TCP

Protokół  TCP,  w  celu  zwiększenia  wydajności  wysyła  pakiety  w  grupach.  Przypisuje  numer  do
każdego pakietu i dzięki potwierdzeniu odbioru, sprawdza, czy komputer docelowy odebrał grupę
pakietów.  Jeśli  komputer  docelowy,  w  określonym  przedziale  czasu  nie  potwierdził  odebrania
każdej wysłanej grupy pakietów, komputer źródłowy ponownie wysyła dane.
Oprócz dodania numeru i żądania potwierdzenia odbioru pakietu, TCP dołącza do pakietu również
numery  portów  aplikacji  źródłowej  i  aplikacji  przeznaczenia.  Komputer  źródłowy  używa  portu
docelowego,  w  celu  wysłania  pakietu  bezpośrednio  do  właściwej  aplikacji  na  komputerze
docelowym,  a  komputer  docelowy  używa  portu  źródłowego,  w  celu  odpowiedzi  do  właściwej
aplikacji źródłowej.

Potrójne „uściśnięcie ręki”

Ponieważ  TCP  jest  niezawodnym  protokołem  komunikacyjnym,  zanim  dwa  komputery  rozpoczną
wymianę  danych  za  pomocą  protokołu  TCP,  muszą  nawiązać  połączenie.  Takie  połączenie  jest
połączeniem wirtualnym, zwanym sesją. Dwa komputery używające TCP nawiązują połączenie lub
sesję  TCP  w  procesie  zwanym  potrójnym  „uściśnięciem  ręki”.  Proces  ten  synchronizuje  numery
kolejnych pakietów oraz dostarcza inne informacje niezbędne do nawiązania sesji.
Potrójne „uściśnięcie ręki” przebiega w następujący sposób:

Komputer źródłowy inicjuje połączenie przez wysłanie informacji sesyjnej, zawierającej

numer oraz rozmiar pakietu.

Komputer docelowy odpowiada, wysyłając swoją informację sesyjną.

Komputer źródłowy zgadza się i wysyła potwierdzenie odebranych informacji.

UDP

Protokół  UDP  (User  Datagram  Protocol)  jest  protokołem  warstwy  transportowej  identyfikującym
aplikację  docelową  w  komunikacji  sieciowej.  Protokół  UDP  oferuje  bezpołączeniową  usługę
transportową umożliwiającą szybką, lecz zawodną metodą dostarczania danych. UDP nie wymaga
potwierdzenia  odebrania  danych  i  nie  ponawia  wysłania  danych,  w  przypadku  ich  utraty  lub
uszkodzenia.  Oznacza  to,  że  mniej  danych  jest  przesyłanych,  lecz  ani  odebranie  pakietów,  ani
prawidłowy  porządek  odebranych  pakietów  nie  jest  potwierdzany  lub  gwarantowany.  Protokół
UDP  jest  używany  przez  aplikacje  wysyłające  dane  do  wielu  komputerów  przez  rozgłaszanie  lub
multiemisję (multicast).

Warstwa internetowa

Warstwa Internetu odpowiada warstwie sieci modelu OSI. Protokoły w tej warstwie składają dane
z  warstwy  transportu  w  jednostki  zwane  pakietami,  adresują  je  i  przesyłają  do  odpowiednich
lokalizacji.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 6/24

Protokół IP (Internet Protocol) służy do określania lokalizacji komputera docelowego w komunikacji
sieciowej. Protokół IP jest bezpołączeniowym, zawodnym protokołem odpowiedzialnym głównie za
adresowanie pakietów oraz wybór trasy pakietów między komputerami w sieci. Chociaż protokół IP
zawsze  próbuje  dostarczyć  pakiet,  pakiet  może  zostać  utracony,  uszkodzony,  dostarczony
w niewłaściwej kolejności, powielony lub opóźniony.
W przypadku wystąpienia tego typu błędów protokół IP nie próbuje odzyskać danych, przez żądanie
ponownego  ich  wysłania.  Za  żądanie  potwierdzenia  odbioru  pakietów  oraz  odzyskiwanie
utraconych  danych  jest  odpowiedzialny  protokół  wyższej  warstwy,  na  przykład  protokół  TCP  lub
sama warstwa aplikacji.

Działanie protokołu IP

Protokół  IP  można  sobie  wyobrazić  jako  urząd  pocztowy  w  stosie  TCP/IP,  gdzie  ma  miejsce
sortowanie i dostarczanie pakietów. Pakiety są przekazywane w dół do protokołu IP, przez protokół
UDP  lub  TCP  z  warstwy  transportowej  lub  do  góry  z  warstwy  interfejsu  sieciowego.  Głównym
zadaniem protokołu IP jest wybór trasy pakietów, aż do osiągnięcia ich celu.
Każdy  pakiet  zawiera  adres  IP  hosta  wysyłającego  oraz  adres  IP  hosta  docelowego.  Te  adresy  IP
w  pakiecie  pozostają  niezmienione  przez  całą  drogę  pakietu  przez  sieć.  Protokół  IP  jest  również
odpowiedzialny  za  to,  że  pakiet  nie  pozostanie  w  sieci  na  zawsze,  dzięki  określeniu  ograniczonej
liczby  sieci  przez  które  pakiet  może  przejść.  Jest  to  zrealizowane  przez  przypisanie  do  każdego
pakietu parametru TTL (Time to Live). Parametr TTL określa maksymalny przedział czasu, przez jaki
pakiet może podróżować w sieci, zanim zostanie wygaszony.

ICMP

Protokół ICMP (Internet Control Messager Protocol) oferuje możliwość rozwiązywania problemów
oraz wysłania komunikatów o błędach, w przypadku niedostarczenia pakietów. Dzięki protokołowi
ICMP,  komputery  i  routery  mogą  informować  o  błędach  oraz  wymieniać  ograniczone  informacje
kontrolne  i  statusowe.  Na  przykład,  jeśli  protokół  IP  nie  może  dostarczyć  pakietu  do  komputera
docelowego,  protokół  ICMP  wysyła  komunikat  Destination  Unreachable  (cel  nieosiągalny)  do
komputera źródłowego. Mimo, że do przesyłania danych między routerami jest używany protokół
IP, protokół ICMP zwraca komunikaty o błędach oraz komunikaty kontrolne w imieniu IP. Protokół
ICMP  nie  czyni  protokołu  IP  niezawodnym,  ponieważ  same  komunikaty  ICMP  nie  żądają
potwierdzenia i dlatego są zawodne.

IGMP

Protokół IGMP (Internet Group Management Protocol) jest protokołem zarządzającym
członkostwem na listach multiemisji IP w sieci TCP/IP. Multiemisja IP jest procesem, w którym
informacje są przesyłane do określonej grupy odbiorców, zwanej grupą multiemisji. Protokół IGMP
zarządza listą komputerów należących do każdej grupy multiemisji.

Zarządzanie multiemisją IP

Wszyscy  członkowie  grupy  multiemisji  nasłuchują  ruchu  IP  skierowanego  do  określonego  adresu
multiemisji IP i odbierają pakiety wysłane na ten adres IP. Jednakże, ponieważ Multiemisja odnosi
się  do  wielu  komputerów,  pakiety  są  wysyłane  za  pomocą  zawodnego  protokołu  UDP,
niegwarantującego  dostarczenia  pakietów  do  grupy  multiemisji.  Kiedy  wiele  komputerów
potrzebuje  dostępu  do  informacji,  takich  jak  strumień  mediów,  używany  jest  adres  IP
zarezerwowany  dla  multiemisji.  Routery  skonfigurowane  do  obsługi  adresów  multiemisji  IP,
odbierają

takie

informacje

i przesyłają je do wszystkich członków grupy multiemisji, do których został przypisany adres
multiemisji IP.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 7/24

ARP

Protokół ARP (Address Resolution Protocol) działający na warstwie internetowej stosu TCP/IP, jest
odpowiedzialny za rozwiązanie adresów dla wychodzących pakietów. Rozwiązywanie adresu jest
procesem, w którym adresy IP są mapowane do adresów MAC. Karta sieciowa używa adresu MAC
do sprawdzenia, czy pakiet jest adresowany do tego komputera. Bez adresu MAC, karta sieciowa
nie jest w stanie określić, czy przekazać dane do wyższej warstwy, w celu dalszego przetworzenia.
Kiedy wychodzący pakiet zostanie przygotowany do wysłania przez warstwę IP, musi zostać dodany
źródłowy i docelowy adres MAC.

Pamięć podręczna ARP

Protokół ARP przechowuje tabelę zawierającą adresy IP i odpowiadające im adresy MAC. Obszar
pamięci, w którym tabela jest przechowywana, nazywany jest pamięcią podręczną ARP. Pamięć
podręczna ARP każdego komputera zawiera mapowania jedynie tych komputerów i routerów, które
są w tym samym segmencie.

Rozwiązywanie fizycznego adresu

Protokół  ARP  porównuje  adres  IP  każdego  wychodzącego  pakietu,  z  pamięcią  podręczną  ARP,
w celu określenia adresu MAC, do którego pakiet ma zostać wysłany. Jeśli odpowiedni wpis istnieje,
adres  MAC  jest  odczytywany  z  pamięci  podręcznej.  Jeśli  nie,  protokół  ARP  wysyła  rozgłoszenie
z żądaniem uzyskania adresu MAC od komputera z określonym adresem IP.

Warstwa łącza

Warstwa łącza (zwana czasem warstwą sieci lub warstwą łącza danych) odpowiada warstwie łącza
danych i warstwie fizycznej modelu OSI. Warstwa ta określa wymagania dotyczące wysyłania
i odbierania pakietów. Odpowiada ona za umieszczanie danych w sieci fizycznej i odbieranie ich
z takiej sieci.

Omówienie procesu komunikacji TCP/IP

Omówienie procesu komunikacji wykorzystującej protokół TCP/IP można przeprowadzić
na podstawie analogii do standardowego przesyłania korespondencji pocztowej. Przebieg takiej
komunikacji został przedstawiony na Rys. 4.

Rys. 4 Przebieg komunikacji w protokole TCP/IP

Proces  komunikacji  za  pomocą  TCP/IP  jest  inicjowany  przez  aplikację  na  komputerze  źródłowym,
która przygotowuje dane do przesłania w formacie odczytywalnym przez aplikacje na komputerze
docelowym.  Proces  ten  jest  analogiczny  do  napisania  listu  w  języku  zrozumiałym  dla  odbiorcy.
Następnie  dane  są  kojarzone  z  docelową  aplikacją  i  komputerem  (proces  analogiczny  do
adresowania listu, gdzie adresem odbiorcy jest adres komputera odbiorcy. Po zakończeniu procesu
adresowania  dane  są  zaopatrywane  w  dodatkowe  informacje  tj.  żądanie  potwierdzenia  odbioru
i  wysyłane  są  do  odbiorcy.  Medium  transmisyjne  używane  do  przesyłania  danych  zależy  od
powyższych  czynności,  podobnie  jak  transport  listu  pomiędzy  urzędami  gdyż  jest  zależny  od
zawartości i odległości (np. statek, samolot samochód).

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 8/24

Analiza procesu przesyłania danych w protokole TCP/IP

Protokół  TCP/IP  transmituje  dane  przez  sieć,  dzieląc  je  na  mniejsze  porcje,  zwane  pakietami.
Pakiety są często określane różnymi terminami, w zależności od protokołu, z którym są powiązane.
Podział  danych  na  pakiety  jest  konieczny,  ponieważ  przesłanie  dużej  porcji  danych  przez  sieć
zajmuje dużo czasu i może ograniczyć jej funkcjonowanie. Ponieważ małe pakiety nie zatykają sieci,
inne  komputery  mogą  również  przesyłać  dane.  Jeśli  jakiś  pakiet  zostanie  uszkodzony,  tylko  ten
pakiet  musi  być  ponownie  wysłany,  zamiast  wszystkich  danych.  Kiedy  pakiet  jest  wysyłany  przez
warstwę  interfejsu  sieciowego,  jest  on  nazywany  ramką.  Ramka  składa  się  z  różnych  elementów,
pełniących  określone  funkcje  w  przepływie  danych  na  warstwie  interfejsu  sieciowego.  Proces
przepływu danych składa się z kilku etapów, wliczając w to organizację danych w małe pakiety na
komputerze źródłowym i ich odtworzenie w oryginalnej formie na komputerze docelowym. Każda
warstwa  stosu  protokółów  TCP/IP  jest  związana  z  podobnymi  czynnościami  na  komputerze
źródłowym i docelowym.

Terminologia pakietów TCP/IP

Kiedy pakiet danych jest przekazywany między warstwami w stosie TCP/IP, każdy protokół dodaje
swój własny nagłówek. Pakiet, wraz z dodawanymi do niego informacjami, jest określany innymi
technicznymi nazwami identyfikowanymi z różnymi protokołami. Te nazwy to segment, komunikat,
datagram oraz ramka.

• Segment - jest związany z transmisją za pomocą protokołu TCP. Zawiera nagłówek TCP,

dodany do danych aplikacji.

• Komunikat - jest związany z transmisją za pomocą zawodnych protokołów, jak ICMP, UDP,

IGMP oraz ARP. Składa się z nagłówka protokołu, dodanego do danych aplikacji lub danych
protokołu.

• Datagram - jest związany z transmisją za pomocą protokołu IP. Składa się z nagłówka IP,

dodanego do danych warstwy transportowej i jest również uważany za zawodny.

• Ramka - jest związana z transmisją na warstwie interfejsu sieciowego i składa się z nagłówka

dodanego na warstwie interfejsu sieciowego i danych z warstwy IP.

Elementy ramki

Poniższy Rys. ukazuje w uproszeniu elementy składowe ramki TCP/IP.

Rys. 5 Elementy składowe ramki

Ramka (określenie pakietu danych na warstwie interfejsu sieciowego) składa się z trzech
elementów: nagłówka, danych oraz pola weryfikacji.
Nagłówek
Nagłówek zawiera:

•  Preambułę informującą o rozpoczęciu nadawania pakietu.
•  Adres źródłowy.
•  Adres przeznaczenia.

Dane
Informacje wysyłane przez aplikację. Ten element pakietu może się różnić rozmiarem, w zależności
od ograniczeń sieci. Rozmiar sekcji danych w większości sieci wynosi od 0,5 kilobajta (kB) do 4 kB. W
sieci Ethernet, rozmiar danych wynosi około 1,5 kB .
Ponieważ rozmiar większości oryginalnych danych jest większy od 4 kB, dane muszą być podzielone

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 9/24

na odpowiednio mniejsze kawałki, aby można je było umieścić w pakiecie. Transmisja dużego pliku
może wymagać podziału na wiele pakietów.
Pole weryfikacji
Zawartość  pola  weryfikacji  zależy  od  protokołu  warstwy  interfejsu  sieciowego.  Jednakże,  pole  to
zawiera  zwykle  informację  kontroli  poprawności  ramki,  zwaną  sumą  kontrolną  CRC  (Cyclical
Redundancy Check).

Przepływ danych

Pakiety danych przesyłane między komputerami, wędrują przez warstwy stosu protokołów TCP/IP.
Kiedy  pakiety  przechodzą  przez  każdą  warstwę,  protokoły  na  tej  warstwie  dodają  określone
informacje do nagłówka. Informacje dodawane przez każdy protokół zawierają informacje kontroli
poprawności,  zwane  sumami  kontrolnymi.  Suma  kontrolna  jest  używana  do  sprawdzenia,  czy
informacje w nagłówku dodane przez protokół są takie same na komputerze docelowym, podobnie
jak  CRC,  służy  do  sprawdzenia  poprawności  całego  pakietu.  Przepływ  danych  został
zaprezentowany na Rys. 6.

Rys 6. Przepływ danych przez protokół TCP/IP

Informacje  dodane  przez  protokół  na  danej  warstwie  są  traktowane  jak  dane  przez  protokoły
warstwy niższej. Kiedy pakiet jest odbierany, odpowiednia warstwa odrzuca nagłówek, a pozostały
pakiet traktuje jako dane. Następnie pakiet jest przekazywany wyżej do odpowiedniego protokołu
w stosie.
Warstwa aplikacji
Proces  transmisji  danych  rozpoczyna  się  na  warstwie  aplikacji  w  stosie  protokołów  TCP/IP.
Aplikacja,  jak  np.  program  Ftp,  inicjuje  proces  na  komputerze  źródłowym,  przygotowując  dane
w formacie zrozumiałym dla aplikacji na komputerze docelowym. Całym procesem steruje aplikacja
na komputerze źródłowym.
Warstwa transportowa
Z  warstwy  aplikacji,  dane  wędrują  do  warstwy  transportowej.  Na  warstwie  tej  znajdują  się
protokoły  TCP  oraz  UDP.  Aplikacja  inicjująca  transmisję  negocjuje  wybranie  protokołu  (TCP  lub
UDP) a suma kontrolna jest dodawana dla obu protokołów TCP oraz UDP.
Warstwa internetowa
Po  dodaniu  informacji  na  warstwie  transportowej,  pakiet  danych  jest  przekazywany  do  warstwy
internetowej  w  stosie  protokołów  TCP/IP.  Na  tej  warstwie  protokół  IP  dodaje  następujące
informacje w nagłówku:

•  Adres źródłowy IP
•  Adres docelowy IP
•  Protokół transportowy

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 10/24

• Wartość sumy kontrolnej
• Parametr Time to Liv e (TTL) określający czas życia pakietu

Oprócz dodania tych informacji, warstwa internetowa jest również odpowiedzialna za rozwiązanie
adresu IP odbiorcy do jego adresu MAC. Protokół ARP dokonuje tego rozwiązania. Adres MAC jest
dodany  do  nagłówka  pakietu,  a  następnie  pakiet  jest  przekazany  niżej  do  warstwy  interfejsu
sieciowego.
Warstwa interfejsu sieciowego
Warstwa  interfejsu  sieciowego  dodaje  dwa  rodzaje  informacji  (preambułę  oraz  sumę  kontrolną
CRC)  do  pakietu  otrzymanego  z  warstwy  IP.  Preambuła  jest  to  sekwencja  bitów  określająca
rozpoczęcie  ramki.  Suma  kontrolna  CR  C  jest  wynikiem  matematycznego  wzoru,  dodawanego  na
końcu ramki, w celu sprawdzenia czy ramka nie została uszkodzona.
Host docelowy
Kiedy  ramki  zostaną  odebrane  przez  komputer  docelowy,  warstwa  interfejsu  sieciowego  na  tym
komputerze usuwa preambułę i ponownie oblicza CRC.  Jeśli jej wartość odpowiada wartości przed
transmisją, sprawdzany jest adres MAC odbiorcy w ramce.
Jeżeli  adres  MAC  jest  adresem  rozgłoszeniowym  lub  adres  MAC  odpowiada  adresowi  odbiorcy,
ramka  jest  przekazywana do  protokółu  IP  na  wyższej  warstwie  internetowej, w  przeciwnym  razie
ramka jest usuwana.

Implementacja stosu TCP/IP w Windows Server 2008

Podstawową zmianą odróżniającą Windows Server 2008 od jego poprzedników jest implementacja
nowego stosu TCP/IP. W Windows Server 2008 stos TCP/IP został przepisany od nowa dzięki czemu
stał się on bardziej funkcjonalny i bezpieczniejszy. W śród wielu zmian można zauważyć pojawienie
się nowych funkcjonalności, obsługa natywna protokołu IPv6, nową wersję protokołu SMB 2.0,
która cechuje się zwiększoną szybkością przesyłania danych i stabilnością transmisji. Architekturę
nowego stosu TCP/IP przedstawia Rys. 5.

Rys. 5 Stos TCP/IP NG w Windows Server 2008

Stos TCP/IP nowej generacji oferuje całkowicie przeprojektowaną funkcjonalność TCP/IP, zarówno
dla wersji IPv4, jak i IPv6 protokołu IP (Internet Protocol). Nowa funkcjonalność spełnia jakościowe
wymagania bardzo zróżnicowanych środowisk i technologii sieciowych obecnej doby.
Pojawiły się nowe lub zostały udoskonalone następujące funkcje i możliwości:

•  automatyczne dostrajanie okna odbiorczego
•  funkcja Compound TCP
•  zwiększona przepustowość
•  wykrywanie niedostępności sąsiadów w ruchu IPv4
•  testowanie nieaktywnych bram
•  wykrywanie routerów PMTU działających jak czarne dziury
•  routing compartments

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 11/24

•  obsługa platformy Network Diagnostics Framework
•  obsługa statystyk ESTATS
•  obsługa platformy Windows Filtering Platform

Automatyczne dostrajanie okna odbiorczego (Receive Window Auto-Tuning)

Funkcja  ta  optymalizuje  rozmiar  okna  odbiorczego  osobno  dla  każdego  nawiązanego  połączenia,
mierząc  iloczyn:  pasmo-opóźnienie  oraz  współczynnik  retrieval  rate  komunikującej  się  aplikacji.
Wykorzystanie  pasma  sieci  podczas  transferów  danych  rośnie  wraz  ze  wzrostem  przepływności
między komunikującymi się aplikacjami.

Funkcja Compound TCP

Używana dla połączeń TCP o dużym oknie odbiorczym realizowanych w sieciach o dużym iloczynie
pasmo-opóźnienie funkcja Compound TCP agresywnie zwiększa ilość danych wysyłanych w porcji,
dbając przy tym o to, aby takie zachowanie nie wpływało negatywnie na inne połączenia TCP.

Zwiększona przepustowość

Stos TCP/IP następnej generacji jest zgodny z następującymi standardami RFC (Request for
Comments) wprowadzonymi dla zoptymalizowania przepustowości w środowiskach o wysokich
stratach:

•  RFC 2582: Modyfikacja NewReno algorytmu Fast Recovery.
•  RFC 2883: Poszerzenie opcji Selective Acknowledgement (SACK) dla TCP.
•  RFC 3517: Algorytm Loss Recovery dla TCP oparty o Conservative Selective Acknowledgment

(SACK).

• RFC 4138: Algorytm Forward RTO-Recovery (F-RTO): wykrywanie w połączeniach TCP

przekroczeń czasu zbędnych ponownych transmisji (Spurious Retransmission Timeouts)
i protokół Stream Control Transmission (SCTP).

Wykrywanie niedostępności sąsiadów w ruchu IPv4

Neighbor  Unreachability  Detection  to  funkcja  protokołu  IPv6:  węzły  sieci  ciągle  sprawdzają,  czy
sąsiednie  węzły  są  dostępne,  przez  co  można  szybciej  wykrywać  błędy  i  omijać  je  w  sytuacji,  gdy
któryś z węzłów nagle stanie się niedostępny. Funkcja weryfikuje, czy sąsiedni węzeł jest dostępny,
wymieniając  z  nim  komunikaty  ARP  (Address  Resolution  Protocol)  Request  i  ARP  Reply  albo
posiłkuje się w tym celu protokołami wyższych warstw, np. TCP.

Testowanie nieaktywnych bram

Stos TCP/IP nowej generacji okresowo podejmuje próby wysłania pakietów TCP przez bramę, która
została uprzednio zakwalifikowana, jako niedostępna. Jeśli któraś z takich prób zakończy się
pomyślnie, stos z powrotem przełączy ruch TCP na tę bramę, jako bramę standardową. Funkcja fail-
back może zaowocować większą przepustowością, jeśli ruch wróci do podstawowej bramy w danej
podsieci.

Routing compartments

Aby  zapobiec  niepożądanemu  przekazywaniu  ruchu  pomiędzy  interfejsami  wirtualnych  sieci
prywatnych  (VPN),  stos  TCP/IP  następnej  generacji  obsługuje  separację  tablicy  routingu  (routing
compartments). Podział tablicy routingu to połączenie zestawu interfejsów VPN z sesją logowania,
która  operuje  swymi  własnymi  tabelami  routingu  IP.  Ten  sam  komputer  może  mieć  wiele
wzajemnie izolowanych przedziałów tablicy routingu, jednak każdy interfejs może należeć tylko do
jednego przedziału.

Platforma Network Diagnostics Framework

Network Diagnostics Framework to bogata platforma, mająca za zadanie wspierać użytkowników
w diagnozowaniu problemów sieciowych i przywracaniu działania sieci.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 12/24

Platforma Network Diagnostics Framework może diagnozować następujące kwestie, odnoszące się
do komunikacji TCP/IP:

•  niepoprawny adres IP
•  niedostępna standardowa brama (router)
•  niepoprawna standardowa brama
•  niepowodzenie przy określaniu nazwy NetBIOS over TCP/IP (NetBT)
•  niepoprawne ustawienia DNS
•  zajęty port lokalny
•  nie pracuje klient DHCP
•  brak odległego odbiorcy
•  odłączone media
•  zablokowany port lokalny
•  za mało wolnej pamięci.

Statystyki ESTATS

Stos  TCP/IP  następnej  generacji  obsługuje  przedłożoną  przez  Internet  Engineering  Task  Force
propozycję  "TCP  Extended  Statistics  MIB",  w  której  zdefiniowano  poszerzone  dane  statystyczne
obrazujące  pracę  TCP.  Analizując  statystyki  ESTATS,  dotyczące  połączenia  można  określić,  co  jest
wąskim  gardłem  w  tym  połączeniu:  aplikacja  wysyłająca,  aplikacja  odbierająca,  czy  też  łącza.
Zapisywanie  statystyk  ESTATS  jest  domyślnie  wyłączone,  funkcję  można  włączyć  dla  wykonania
konkretnego połączenia. W oparciu o statystyki ESTATS niezależni dostawcy oprogramowania (ISV)
mogą pisać silne narzędzia do diagnostyki i analizy przepustowości sieci.

Platforma Windows Filtering Platform

Windows  Filtering  Platform  (WFP)  to  nowa  platforma  stosu  TCP/IP  następnej  generacji
udostępniająca niezależnym dostawcom oprogramowania (ISV) interfejsy programistyczne API tak,
że  mogą  oni  uczestniczyć  w  podejmowaniu  decyzji  dotyczących  filtrowania  pakietów  na  kilku
poziomach  stosu  protokołów  TCP/IP  oraz  w  kilku  miejscach  systemu  operacyjnego.  W  platformie
zintegrowano  obsługę  takich  cech  zapór  firewall  następnej  generacji  jak  łączność  uwierzytelniana
czy  dynamiczne  konfigurowanie  zapór  uzależnione  od  wykorzystania  przez  aplikacje  interfejsu
Windows Sockets API (zasady uzależnione od konkretnych aplikacji). Używając platformy, dostawcy
oprogramowania  mogą  tworzyć  zapory,  oprogramowanie  antywirusowe,  diagnostyczne,  inne
aplikacje i usługi. Zapora Windows Firewall oraz protokół IPSec w systemach Windows Server 2008
i Windows Vista korzystają z WFP API.

Obsługa protokołu IPv6

Razem ze stosem TCP/IP następnej generacji wprowadzono następujące modyfikacje protokołu
IPv6:

•

standardowo włączona obsługa protokołu IPv6

•

podwójny stos IP

•

konfigurowanie w interfejsie graficznym

•

modernizacja adresacji Teredo

•

zintegrowana obsługa protokołu IPsec

•

protokół Multicast Listener Discovery, v 2

•

Link-Local Multicast Name Resolution

•

IPv6 przez PPP

•

losowe identyfikatory kart sieciowych

•

obsługa DHCPv6.

Zapewnienie jakości połączeń (Quality of Service)

Mechanizmy QoS były już implementowane we wcześniejszych wersjach systemów Windows,
jednakże ich wydajność i stabilność pozostawiała wiele do życzenia. Systemy Windows Server 2003

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 13/24

i  Windows  XP  wykorzystywały  do  tego  celu  interfejs  programowy  API  Generic  QoS.  Dzięki  temu
mogły  one  zarządzać  jakością  połączeń  poprzez  ustalanie  priorytetów  dostarczanych  pakietów.
Implementacja  QoS  w  systemach  Windows  Server  2008  i  Windows  Vista  zapewnia  obsługę  na
o  wiele  wyższym  poziomie.  Zasady  jakościowe  umożliwiają  obecnie  określenie  parametrów
transmisji na podstawie:

•  nazw aplikacji generujących ruch sieciowy
•  określonych adresów IPv4 lub IPv6 aplikacji źródłowej lub docelowej
•  portów TCP lub UDP używanych przez aplikacje.

Definicja powyższych reguł QoS realizowana jest w oparciu o Zasady Grupy (GPO) systemów
Windows Server 2008 i Windows Vista.

Server Message Block 2.0

Blok komunikatów serwera (SMB), znany także jako protokół CIFS (Common Internet File System),
jest  protokołem  udostępniania  plików  używanym  domyślnie  na  komputerach  z  systemem
Windows.  System  Windows  zawiera  klienta  SMB  (składnik  Klient  systemu  Microsoft  Windows)
i  serwer  SMB  (składnik  Udostępnianie  plików  i  drukarek  systemu  Microsoft  Windows).  Protokół
SMB  1.0  został  zaprojektowany  15  lat  temu  dla  pierwszych  sieciowych  systemów  operacyjnych
Windows,  takich  jak  Microsoft  LAN  Manager  i  Windows  for  Workgroups.  Zmiana  wydajności
protokołu  SMB  2.0  została  przedstawiona  na  Rys.  6,  gdzie  na  wykresie  zaznaczono  wzrost
wydajności pobierania plików pomiędzy systemami obsługującymi SMB 1.0 a SMB 2.0.

Rys. 6 Pomiar wydajności pobierania plików dla SMB 2.0

Funkcja  SMB  w  systemie  Windows  Server  2008  obsługuje  wersję  SMB  1.0  oraz  wersję  SMB  2.0,
która zaprojektowana jest dla potrzeb obecnych złożonych środowisk sieciowych i serwerów nowej
generacji.  Protokół  SMB  2.0  zapewnia  szereg  udoskonaleń  komunikacji,  takich  jak  większa
wydajność  komunikacji  z  plikami  udostępnianymi  przez  łącza  cechujące  się  dużymi  opóźnieniami
oraz  wyższe  bezpieczeństwo  dzięki  zastosowaniu  techniki  wzajemnego  uwierzytelnienia
i  podpisywania  komunikatów.  Dzięki  przepisaniu  od  nowa  protokołu  SMB  2.0  ograniczono  ilość
poleceń z 80 do 16 oraz zmieniono mechanizm przesyłania i potwierdzania pakietów. Porównanie
działania protokołów SMB 1.0 i SMB 2.0 znajduje się na Rys. 7.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 14/24

Rys. 7 Przebieg transmisji w protokołach SMB 1.0 i SMB 2.0

Lista najważniejszych cech SMB 2.0:

• Obsługa wysyłania wielu poleceń SMB w tym samym pakiecie. Zmniejsza to liczbę pakietów

przesyłanych między klientem i serwerem SMB, która to cecha była wadą wersji SMB 1.0.

•  Obsługa o wiele większych rozmiarów buforów w porównaniu z wersją SMB 1.0.
•  Zwiększenie restrykcyjnych stałych w protokole, które mają umożliwiać skalowalność.
•  Na przykład zwiększono liczbę dojść do równocześnie otwartych plików na serwerze i liczbę

udziałów plików dozwolonych na serwerze.

•  Obsługa trwałych dojść, umożliwiająca przetrwanie krótkich przerw w dostępności sieci.
•  Obsługa łączy symbolicznych.
•  Przyspieszone przesyłanie numerów sekwencyjnych
•  Podpisywanie SHA-256 (MD-5 w SMBv1)
•  Bardziej niezawodne wznawianie sesji
•  Szyfrowanie plików po stronie klienta
•  Linki symboliczne w udziałach sieciowych (domyślnie wyłączone)

Narzędzia analizy komunikacji protokołów TCP/IP

Do stosu protokółów TCP/IP firmy Microsoft dołączone zostały podstawowe programy narzędziowe
TCP/IP umożliwiające komputerowi z systemem Windows na dostęp do szerokiej gamy informacji
w sieci. Za pomocą tych narzędzi można między innymi sprawdzić, czy dany komputer jest dostępny
w sieci.
Programy diagnostyczne umożliwiają użytkownikom wykrycie i rozwiązanie problemów z siecią.
Do programów tych można zaliczyć:

• Arp: Wyświetla i modyfikuje pamięć podręczną protokołu ARP (Address Resolution

Protocol).
arp <przełącznik> np. arp -a

• Hostname: Wyświetla nazwę hosta lokalnego komputera.

hostname

• Ipconfig: Wyświetla i aktualizuje bieżącą konfigurację TCP/IP, włącznie z adresem IP.

ipconfig <przełącznik> np. ipconfig /all

• Nbtstat: Wyświetla lokalną tablicę nazw NetBIOS, zawierającą mapowanie przyjaznych dla

użytkownika nazw komputerów do ich adresów IP.
nbtstat <przełącznik> np. nbtstat -a

• Netstat: Wyświetla stan sesji TCP/IP.

netstat <przełącznik> np. netstat -r

• Ping: Sprawdza konfigurację IP oraz czy istnieje połączenie między dwoma komputerami.

Polecenie Ping wysyła żądanie ICMP z komputera źródłowego, a komputer docelowy
odpowiada komunikatem ICMP.
ping [adres ip] <przełącznik> np. ping 192.168.1.100 -a

• Tracert: Sprawdza trasę przebytą przez pakiet do miejsca przeznaczenia.

tracert <przełącznik> [adres hosta/nazwa hosta] np. tracert –h 10
www.wp.pl

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 15/24

• Pathping: Sprawdza trasę przebytą przez pakiet z równoczesnym pomiarem jakości łącza.

pathping < przełącznik> [adres hosta/nazwa hosta] np.

pathping -4

www.onet.pl

• Nslookup: umożliwia analizę poprawności rozpoznawania nazw przez zdefiniowane

serwery DNS
nslookup [opcja] np. nslookup -server

• Route: Zarządza trasami oraz umożliwia wyświetlanie tablic routingu.

route [polecenie] np.

route PRINT

Analiza stanu połączenia

Powyższy zestaw narzędzi może być wykorzystany do analizy stanu połączenia komputera z siecią
Internet. Załóżmy, że nasz komputer nie ma połączenia z siecią Internet i chcemy dokonać analizy
co jest tego powodem. W tym celu można wykorzystać algorytm testowania połączeń składający
się z następujących kroków:

Sprawdzenie poprawności konfiguracji IP Hosta –

ipconfig /all

. W wyniku testu

powinien być wyświetlony adres IP komputera, jeżeli wykonując to polecenie uzyskasz
adres typu: 0.0.0.0 lub 169.254.x.y to musisz być świadomy problemów z dostępem do
serwera DHCP.

Wydanie polecenia ping na adres wewnętrznej pętli zwrotnej –

ping 127.0.0.1, ping

localhost, ping ::1:

(dla IPv6). Poprawność odpowiedzi świadczy o funkcjonowaniu

stosu TCP/IP.

Wydanie polecenia ping na adres zewnętrzny hosta uzyskany w kroku pierwszym. Ten test

poświadczy poprawne działanie interfejsu sieciowego. Trzy pierwsze kroki potwierdzają
poprawną konfigurację hosta.

Przeprowadzenie testu dostępności innych hostów w sieci –

ping x.y.z.w.

Jeżeli odpowiada którykolwiek z komputerów znajdujących się w Twoim otoczeniu możesz
być pewna(y), że przełącznik do którego jesteś podłączona(y) działa poprawnie.

Sprawdzenie dostępności bramy –

ping adres bramy

(najczęściej bramy mają adres

o końcowym numerze równym 1 lub 254, lecz zależy to od podziału sieci na podsieci). Jeżeli
w wyniku testu otrzymasz odpowiedź z adresu bramy to możesz być pewien(a), że cała
infrastruktura przedsiębiorstwa działa poprawnie.

Testowanie komunikacji z Internetem –

ping adres domenowy np. ping www.wp.pl.

Wydanie tego polecenia umożliwi sprawdzenie dwóch rzeczy: po pierwsze poprawność
przesyłania pakietów w sieci poprzez bramę przedsiębiorstwa, po drugie poprawność
rozpoznawania nazw przez serwery DNS.

Analizator pakietów Microsoft Network Monitor

Oprogramowanie

Microsoft

Network

Monitor

dostępne

jest

pod

adresem:

http://www.microsoft.com/downloads/details.aspx?familyid=18b1d59d-f4d8-4213-8d17-
2f6dde7d7aac&displaylang=en#filelist
NetworkMonitor jest oprogramowaniem klasy analizatorów sieciowych zwanych też potocznie
snifferami od angielskiego słowa sniffing.
Za pomocą Monitora sieci można:

•  Lokalizować problemy z połączeniem typu klient-serwer.
•  Identyfikować komputery wysyłające znaczną liczbę żądań usługi.
•  Przechwytywać ramki (pakiety) bezpośrednio z sieci.
•  Wyświetlać i filtrować przechwycone ramki.
•  Identyfikować nieautoryzowanych użytkowników w sieci.

Instalacja oprogramowania jest intuicyjna i nie różni się od standardowych programów systemu
Windows.

Marek Pyka
ITA-108 Technologie sieciowe

Przechwytywanie ramek

Aby przechwytywać ramki za

Outwork okno Micro

Wybierz interfejs sie

Rozpocznij proces pr

na pasku narzędzi.

Aby zatrzymać przec

na pasku narzędzi. N

Monitor sieci można równie
filtr o nazwie http.cf, wpisz n
filtru:
start netmon /capture

Filtracja wyników

W ciągu kilku sekund przech
tysiące ramek, które zostały
filtry przechwytywania, aby d

Typy przechwytywanych da

Podczas przechwytywania pr
Monitora sieci znajduje się
opisano pola wyświetlane dla

Pole

Opis

Ramka

Liczba rame

Godzina

Czas (w sek
przechwyce

Źrd MAC adr

Adres sprzę
przypadku k
zamiast adr
Komputer,

Cel MAC adr

Adres sprzę
wstawiane s
ostatecznie pr

Protokół

Protokół do
wygenerow

Opis

Informacje

Źrd Inny adr

Inny adres s

Cel Inny adr

Inny adres (

Typ Inny adr

Typ adresu

Aby pracować z du
stronicowania system
wyświetleniem.

Podsumowanie

W  rozdziale  tym  zostały  pr
protokołu  TCP/IP  na  platfor
powinieneś  rozumieć  jak  dz
składowe. Powinieneś wiedz
referencyjnym  ISO/OSI.  Zap
sprawną analizę sieci kompu

Strona 16/24

ki za pomocą Monitora sieci:

icrosoft Network Monitor.

s sieciowy, którego chcesz używać (jeśli nie jest jeszc

s przechwytywania, klikając przycisk Rozpocznij prze

rzechwytywanie, kliknij przycisk Zatrzymaj i wyświetl

zi. Nie zamykaj okna przechwytywania.

nież obsługiwać z wiersza polecenia. Jeśli na przy

isz następujące polecenie, aby uruchomić Monitor s

refilter d:\captures\http.cf

zechwytywania pakietów w obciążonej sieci może
stały wygenerowane przez wiele różnych systemów

by do analizy były zapisywane tylko określone ramki

danych

ia przykładowego ruchu w sieci w oknie Podsumow

się lista ramek uporządkowanych chronologiczni

e dla każdej z przechwyconych ramek.

amek w próbce
sekundach), jaki upłynął od rozpoczęcia przechwyty

ycenia danej ramki.

przętowy interfejsu sieciowego w komputerze, który

ku komputera o przyjaznej nazwie, takiej jak nazwa

adresu będzie wyświetlana ta nazwa.

ter, na którym uruchomiono narzędzie do analizy, m

ętowy interfejsu sieciowego w komputerze, który odebrał

ane są nazwy przyjazne. Tworząc książkę adresową komputeró

znie przechwycić tylko nazwy przyjazne.

ł dominujący w ramce. W każdej ramce znajdują się

rowane przez protokoły w kilku różnych warstwach

cje na temat funkcji ramki z uwzględnieniem protok

res służący do identyfikacji komputera, który przesła
res (np. adres IP) służący do identyfikacji komputera

esu użytego w polach Źrd Inny adr i Cel Inny adr.

dużymi plikami przechwytywania, należy zwi

stemu Windows i zapisywać duże pliki przech

y przedstawione najważniejsze informacje związan

tformie Windows Server 2008. Po zapoznaniu się

działa protokół TCP/IP, jaki jest zbudowany i jaką

iedzieć jakie są zależności pomiędzy stosem protoko

Zapoznanie się dogłębne z przedstawionymi nar

puterowych oraz realizację następnych modułów k

Moduł II

Omówienie i analiza TCP/IP

eszcze wybrany).

przechwytywanie

ietl przechwycenie

przykład został utworzony

or sieci korzystający z tego

zostać przechwyconych

mów. Można zdefiniować

mki.

owanie przechwytywania

icznie. W poniższej tabeli

ytywania do momentu

tóry przesłał ramkę. W

zwa NetBIOS, w polu tym

y, ma nazwę LOCAL.

ł ramkę. Jeśli to możliwe,

puterów w sieci, można

się informacje

ach modelu OSI.

otokołu z pola Protokół.

esłał ramkę

tera, który odebrał ramkę

zwiększyć rozmiar pliku

echwytywania przed ich

ązane z funkcjonowaniem

się z zawartością modułu

jaką rolę pełnią protokoły
okołów TCP/IP a modelem

narzędziami umożliwi Ci

w kursu.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 17/24

Przykładowe rozwiązanie

Znajomość budowy pakietu stanowi podstawową wiedzę z działania protokołu TCP/IP. Aby ją
zdobyć należy odpowiednio długi czas poświęcić na przechwytywanie i analizę zawartości pakietów.
Zanim jednak przejdziemy do zadania związanego z przechwytywaniem pakietów spróbuj, bazując
na swojej wiedzy, określić jakie informacje dodawane są do pakietów na poszczególnych warstwach
protokołu TCP/IP.
Załóżmy, że wysyłany jest pakiet ping do hosta sieciowego. Uzupełnij poszczególne informacje
które będą wchodziły w skład pakietu.

Poprawność odpowiedzi przedyskutuj w grupie, z nauczycielem prowadzącym lub zweryfikuj
z wynikami laboratorium podstawowego.

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że znajomość zasad działania i budowy protokołów TCP/IP może znacznie ułatwić

Ci prowadzenie czynności administracyjnych w przyszłej pracy.

•  W środowisku rozproszonym zaplanuj monitorowanie ruchu pomiędzy oddziałami.
•  Wypracuj sobie metody analizy ruchu sieciowego w sytuacjach awaryjnych.
•  Pamiętaj,  że  oprogramowanie  to  jest  dostępne  dla  wszystkich,  co  powoduje  że  cała

transmisja TCP/IP może być podsłuchiwana przez osoby niepowołane.

• Zaplanuj rozwiązania do budowania bezpiecznych kanałów komunikacyjnych zwłaszcza dla

danych wrażliwych tj. konta dostępu do poczty czy też przesyłanie poleceń administracyjnych
po protokole LDAP.

• Pamiętaj, że przełączniki nie chronią przed podsłuchem, a jedynie go utrudniają – poszukaj

informacji na temat zatruwania tablic ARP przełączników.

• Dobra znajomość działania stosu TCP/IP świadczy o klasie administratora!

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium jeśli:

• jesteś zaznajomiony z modelem ISO/OSI
• znasz zależności pomiędzy stosem TCP/IP a ISO/OSI

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 18/24

• rozumiesz jak zmiany stosu TCP/IP w Windows Server 2008 wpływają na wydajność sieci

przedsiębiorstwa

• potrafisz przeprowadzić analizę przechwyconych ramek, przefiltrować wyniki, odnaleźć

konkretne informacje

• zapoznałeś się z pojęciami dotyczącymi modułu tj. ramka, pakiet, TCP/IP, multicast, unicast

itp.

Pamiętaj o zapoznaniu się z uwagami i poradami zawartymi w tym module. Upewnij się, że
rozumiesz omawiane w nich zagadnienia. Jeśli masz trudności ze zrozumieniem tematu zawartego
w uwagach, przeczytaj ponownie informacje z tego rozdziału i zajrzyj do notatek z wykładów.

Dodatkowe źródła informacji

http://pl.wikipedia.org/wiki/Microsoft_Windows_Server_2008

Opis środowiska Windows Server 2008 oraz podstawowych ról serwerowych.

http://www.microsoft.com/poland/technet/article/default.mspx

Zbiór artykułów ekspertów w tym też kilka na temat Usług Terminalowych Windows Server
2008

Karol Krysiak, Sieci komputerowe. Kompendium, Helion 2003

Bardzo dobry podręcznik ogólnej wiedzy o sieciach komputerowych.

Mark Sportack, Sieci komputerowe. Księga eksperta, Helion 2004

Książka  przybliża  podstawowe  założenia  sieci  komputerowych,  które  powinny  być  znane
współczesnemu  informatykowi.  Krok  po  kroku  wprowadzi  Cię  w  problematykę  sieci,
pozwalając na poznanie ich architektury i zrozumienie zasad działania.

5. http://www.microsoft.com/poland/windowsserver2008/branch-office.mspx

Bardzo ciekawy artykuł traktujący o zastosowaniu Windows Server 2008 w
przedsiębiorstwie opartym o oddziały zdalne. Poruszane w nim są zagadnienia związane z
SMB2.0 oraz nowym stosem TCP/IP

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium podsta

Problem 1 (czas realizacj

Przeprowadzić analizę pakiet
w sieci Internet.

Poniższe ćwiczenie wy
się wyłącznie z maszyn

Do wykonania tego ćwiczeni
CL01 na rzeczywisty interfejs

Zadanie

Tok

Instalacja

oprogramowania
Network Monitor
3.1

Aby
pob
http
f4d8

•
•

•
•
•
•

Przechwytywani

e i analiza pakietów

•
•

•

•
•

•

•
•

Strona 19/24

stawowe

acji 20 min)

kietów w komunikacji komputera klienckiego z usług

e wykonaj na serwerze ITA-CL01. Jako, że nasze środ

szyn wirtualnych, podsłuchiwanie transmisji jest zna

zenia konieczne będzie przełączenie interfejsu siecio

rfejs z dostępem do sieci Internet

Tok postępowania

Aby zainstalować oprogramowanie Microsoft Ne
pobrać je spod adresu:
http://www.microsoft.com/downloads/details.aspx
f4d8-4213-8d17-2f6dde7d7aac&displaylang=en#file

Zalogować się na komputerze ITA-CL01 jako Adm
Uruchomić pobrany plik instalacyjny Net

NM31_Release_x86.exe

  W oknie instalatora, na stronie powitania kliknąć
  Zaakceptuj umowę licencyjną i kliknij przycisk Da
  W oknie wyboru opcji wybierz Complete i naciśn
  Rozpocznij  instalację  oprogramowania  i  po  je

przycisk Finish.

Zaleca się przed przystąpieniem do realizacji t
się dołączonym do oprogramowania zestawem

Zalogować się na komputerze ITA-CL01 jako Adm
Uruchomić program Network Monitor wyb

>Programs->NetworkMonitor 3.1

W głównym oknie programu na karcie Start P

networks zaznaczyć Połączenie lokalne, któr
przechwytywania pakietów

W panelu Capture Network Traffic kliknąć Creat
Po pojawieniu się nowej karty kliknąć przycisk

pasku narzędzi aby rozpocząć przechwytywanie

Uruchomić przeglądarkę internetową i p

www.onet.pl

W oknie programu Network Monitor kliknąć p

narzędzi

Przejrzyj wartość kolumny Protocol Name, dla lo
Jej zawartość określa nazwę protokołu apli

modelem ISO/OSI

Moduł II

Omówienie i analiza TCP/IP

sługami serwerowymi

środowisko testowe składa

znacznie ułatwione.

ieciowego komputera ITA-

Network Monitor należy

spx?familyid=18b1d59d-

#filelist

Administrator.

Network Monitor 3.1

knąć Dalej.

Dalej.

ciśnij przycisk Dalej.

o jej zakończeniu kliknij

cji tego zadania zapoznać

wem plików pomocy.

Administrator.

wybierając menu Start-

rt Page w panelu Select

które zostanie użyte do

reate a new capture tab..

cisk z symbolem play na

nie pakietów
i przejść na witrynę

ąć przycisk stop na pasku

la losowych pakietów.

aplikacyjnego zgodnie z

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 21/24

• Rozwiń gałąź IPv4, w której zawarte są informacje o logicznych

adresach nadawczych i odbiorczych (IP), czas życia (TTL), które to
informacje pochodzą z nagłówka 3 warstwy modelu OSI bądź z
warstwy 2 sieciowej modelu TCP/IP.

• Rozwinąć gałąź Tcp. Nazwa Tcp świadczy o protokole połączeniowym,

jaki został użyty do przesłania pakietu. W tej gałęzi znajdują się dane z
4 warstwy (transportowej) model ISO (lub z warstwy 3 modelu
TCP/IP), w których skład wchodzą porty źródłowy (srcPort)i docelowy
pakietu

(dstPort),

flagi

pakietu

(Flags),

numer

sekwencyjny(SequenceNumber), rozmiar okna (Window), jak również
suma kontrolna (Checksum).

• Rozwinąć gałąź Http. Jej zawartość to dane protokołu Http

pracującego w warstwie 7 – Aplikacji modelu OSI jak również
występujące w 4 warstwie model TCP/IP

Marek Pyka
ITA-108 Technologie sieciowe

Problem 2 (czas realizacj

Przeprowadzić analizę przech
a usługami sieciowymi zgodn

Przesyłanie pakietów

Użytkownik łączy się

następnie loguje się
i odbiera pocztę

Połączenie z serwer

dostępny na uczelni)

Użytkownik wysyła p

Z komputera klienta

Zwróć szczególną u
sposób są przesyłan

Laboratorium rozszer

Uruchomienie  analizatora
przesyłanych  i  rejestrowany
internetowego,  który  zainf
i  wydzielenie  ruchu  popraw
ziarenka maku…). W celu wy

Strona 22/24

acji 25 min)

zechwyconych pakietów przesyłanych pomiędzy kom

odnie z poniższymi scenariuszami:

tów ping pomiędzy klientem a serwerem 212.77.10

y się z serwerem pocztowym publicznie dostępny

się do konta pocztowego (bez włączonego SSL o

werem FTP i zalogowanie użytkownika do serwera

elni)

ła pocztę email z klienta Outlook 2007 lub Windows

nta prowadzona jest rozmowa przy pomocy komuni

ą uwagę na zawartość pakietów. Spróbuj odnaleźć j

yłane. Jakie informacje są dla Ciebie najciekawsze?

szerzone

ra sieciowego w sieci zaowocowało tysiącam

anych w ciągu sekundy. Gdzieś w śród nich znajd

ainfekował twoją sieć. Teraz pozostaje wyłączn

prawnego od niechcianego (kurde, myślisz sobie

wydzielenia ruchu pożądanego zbuduj środowisko t

Rys. 8 Środowisko analizy pakietów sieciowych

Moduł II

Omówienie i analiza TCP/IP

komputerem klienckim

.100.101

pnym tj. wp, onet, gmail,

SL oraz z włączonym SSL)

era (dowolny serwer FTP

ows Mail

unikatora GG i Skype.

eźć jakie dane i w jaki

cami różnych pakietów

ajdują się pakiety robaka

cznie przefiltrowanie ich

obie, jak ten kopciuszek,

ko testowe jak na Rys. 8.

Marek Pyka

Moduł II

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 23/24

Zadanie 1 (czas realizacji 45 min)

W pierwszej kolejności zdecydowałeś(łaś) się na zmierzenie jaka ilość ruchu w sieci została
wygenerowana przez transmisje:

ARP

ICMP (np. ping)

NetBIOS

a następnie na podstawie rozmiaru przechwyconej próbki obliczyć liczbę megabitów na godzinę
generowanych przez te protokoły.

Zadanie 2 (czas realizacji 45 min)

Przeprowadzenie pomiaru wydajności przesyłania plików w protokole SMB 2.0. W celu
przeprowadzenia testów wydajności zbuduj środowisko testowe jak na Rys. 9.

Rys. 9 Środowisko testowe dla protokołu SMB 2.0

Do testów przygotuj jeden plik binarny o wielkości 100 MB oraz 10 plików binarnych o wielkości 10
MB każdy. Pomiar szybkości przesyłania przeprowadź za pomocą np. LanMark XT, którego
ewaluacyjną wersję można pobrać ze strony http://layer1software.com/. Wyniki pomiarów zapisz
w poniższej tabeli.

Pliki

System Operacyjny

Czas przesyłania

Prędkość

Min Max

Średnia

prędkość

10 x 10 MB

Windows

Vista

–

Windows XP

Windows

–

Windows Server 2003

Windows

Vista

–

Windows Server 2003

Windows

–

Windows Server 2008

Windows

Vista

–

Windows Server 2008

1 x 100 MB

Windows

Vista

–

Windows XP

Windows

–

Windows Server 2003

Windows

Vista

–

Windows Server 2003

Windows

–

Windows Server 2008

Windows

Vista

–

Windows Server 2008

Marek Pyka
ITA-108 Technologie sieciowe

Zadanie 3 (czas realizacji

Chcąc poznać anatomie atak
NetTools 5, Nmap oraz Cain
Dysponując tymi dwoma nar

• Pełne skanowanie por
• Dostęp do udziałów

złamania haseł, przy p

• Używając oprogramow
• Przeprowadź analizę in

5.0

Cała transmisja realizowa
i przeanalizowana.

Warto zauważyć dodat
być wykorzystana w au

jest dla systemów starszych
niedługo pojawią się ich aktu

Strona 24/24

acji 90 min)

ataku komputerowego pobrałeś z sieci oprogramow

Cain&Abel (programy znajdują się w katalogu narzę

narzędziami przeprowadziłeś następujące testy :

portów kontrolera domeny przy pomocy narzędzia N

ów sieciowych udostępnianych przez kontroler d

zy pomocy narzędzia Cain&Abel

mowania atSynek Spoofek przeprowadź ataki SYN Flo
izę innych ataków, które przeprowadzisz przy pomo

owana przez te narzędzia musi być przez

datkowe możliwości prezentowanych programów

autoryzowanej analizie sieci przedsiębiorstwa. Wi

zych niż Windows Vista i Windows Server 2008 j

aktualizacje.

Moduł II

Omówienie i analiza TCP/IP

owanie atSynek Spoofek,

arzędzia do tego modułu).

zia Nmap

er domeny wraz z próbą

N Flood i IP Spoofing.

mocy narzędzia Net Tools

ez Ciebie przechwycona

ów. Większość z nich może

Większość narzędzi pisana

08 jednakże na pewno za

ITA-108 Technologie sieciowe

Marek Pyka

Moduł III

Wersja 1

Zarządzanie adresacją IP w sieciach

komputerowych

Spis treści

Zarządzanie adresacją IP w sieciach komputerowych .................................................... ..................... 1

Informacje o module ............................... ................................................... .......................................... 2

Przygotowanie teoretyczne ............................................................................ ..................................... 3

Przykładowy problem ............................... ................................................... ................................ 3

Podstawy teoretyczne............................... ................................................... ................................ 3

Przykładowe rozwiązanie ........................... ................................................... ............................. 13

Porady praktyczne ................................. ................................................... ................................. 13

Uwagi dla studenta ................................ ................................................... ................................. 13

Dodatkowe źródła informacji........................ ................................................... .......................... 14

Laboratorium podstawowe ........................... ................................................... .................................. 15

Problem 1 (czas realizacji 20 min) ................................................................... ........................... 15

Problem 2 (czas realizacji 25 min) ................................................................... ........................... 16

Laboratorium rozszerzone .......................... ................................................... .................................... 17

Zadanie 1 (czas realizacji 45 min) ................................................................... ............................ 17

Zadanie 2 (czas realizacji 45 min) ................................................................... ............................ 17

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 2/18

Informacje o module

Opis modułu
W tym module znajdziesz informacje dotyczące budowy adresacji IPv4 i IPv6
oraz  zasad  przydzielania  ich  w  organizacji.  Podczas  zajęć  dowiesz  się  jak
konfigurować  adresy  IP  w  środowisku  Windows  Server  2008  oraz  jak
wykorzystywać maski sieciowe do wdrażania podsieci.

Cel modułu
Celem modułu jest przedstawienie zasad tworzenia sieci komputerowych
wykorzystujących adresację IPv4 i IPv6. Przybliżone zostaną zasady podziału
sieci na podsieci przy pomocy masek sieciowych.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

•  znał klasy adresów IP
•  rozumiał jaką rolę pełni adres IP
•  potrafił dokonać analizy celowości stosowania adresacji IPv6

w organizacji

• znał budowę adresów IPv4 i IPv6

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

Mapa zależności modułu
Zgodnie z mapą zależności przedstawioną na Rys. 1, przed przystąpieniem
do realizacji tego modułu należy zapoznać się z materiałem zawartym
w module 1 oraz module 2 tego kursu.

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 3/18

Przygotowanie teoretyczne

Przykładowy problem

Poprawne  zarządzanie  adresami  IP  w  przedsiębiorstwie  ma  ogromne  znaczenie  dla  wydajności
i  bezpieczeństwa  całej  infrastruktury.  Pracując  jako  administrator  szybko  zauważysz,  że  bez
odpowiedniego  projektu  i  dużej  dyscypliny  w  zarządzaniu  adresacją  IP,  zarządzanie  infrastrukturą
staje  się  utrudnione.  Częstym  problemem  w  przedsiębiorstwach  jest  nie  prowadzenie
dokumentacji  wykorzystywanych  adresów  IP  zarówno  wewnętrznych  jak  i  publicznych.  W  trakcie
pełnienia zadań administracyjnych będziesz bardzo często posługiwał się bezpośrednio adresami IP
swoich  urządzeń  aktywnych  czy  też  serwerów.  Przygotowanie  odpowiednich  procedur
w zarządzaniu IP da Ci sprawne narzędzie i kontrolę nad infrastrukturą.
Jako inżynier systemowy masz dokonać projektu ujednolicenia adresacji IP w całej organizacji oraz
zaplanowanie  wykorzystania  adresacji  wewnętrznej  klasy  A.  W  ramach  projektu  masz  rozważyć
celowość stosowania adresacji IPv4 lub IPv6, ponadto masz też uwzględnić projekt podziału sieci na
podsieci.

Podstawy teoretyczne

Aby  dowolny  komputer  mógł  komunikować  się  w  sieci,  musi  mieć  przypisany  unikalny  adres  IP.
W przypadku adresowania IP z podziałem na klasy, w trakcie przypisywania każdemu komputerowi
adresu IP wykorzystywane są trzy klasy adresów. Wielkość oraz typ sieci determinują klasę adresu
IP stosowaną do określania adresów IP dla komputerów i innych hostów w sieci.
Adres  IP  stanowi  unikalny  identyfikator,  który  pozwala  rozróżniać  komputery  w  sieci  i  ułatwia
odnalezienie  części  sieci,  w  której  dany  komputer  się  znajduje.  Każdy  komputer  czy  inny  składnik
sieci,  taki  jak  router,  który  komunikuje  się  za  pomocą  pakietu  protokołów  TCP/IP,  musi  mieć
przypisany  adres  IP.  Adres  IPv4  składa  się  z  czterech  liczb,  z  których  każda  może  przyjmować
wartości od 0 do 255. Ideę wykorzystywania adresów IP przedstawia Rys. 2.

Rys. 2 Schemat wykorzystania adresacji IP w przedsiębiorstwie

Składniki adresu IP

Adres IP składa się z dwóch elementów —identyfikatora hosta oraz identyfikatora sieci.

Identyfikator sieci

Pierwszą część adresu IP stanowi identyfikator sieci, który określa segment sieci, w którym znajduje
się dany komputer. Komputery znajdujące się w tym samym segmencie sieci muszą mieć taki sam
identyfikator sieci, tak jak domy znajdujące się w jednym obszarze muszą mieć taki sam kod
pocztowy.

Identyfikator hosta

Drugą część adresu IP stanowi identyfikator hosta, pozwalający zidentyfikować komputer, router
lub inne urządzenie w danym segmencie. Każdy host w obrębie segmentu musi posiadać unikalny

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 4/18

identyfikator, tak jak każdy dom musi mieć odrębny adres w obszarze określanym jednym kodem
pocztowym.

Klasy adresów IP

Adresy  IP  są  podzielone  na  klasy.  Adresy  zarejestrowane  są  przydzielane  przez  usługodawcę
internetowego  lub  organizację  IANA  (ang.  Internet  Assigned  Numbers  Authority).  Klasa  adresu
zależy od rozmiaru i typu danej sieci.
Klasa  adresu  określa  bity  stanowiące  identyfikator  sieci  oraz  bity  stanowiące  identyfikator  hosta.
Określa również maksymalną liczbę sieci i hostów w sieci. Istnieje pięć klas adresów IP: od A do E.
Protokół  TCP/IP  wersji  4  w  systemie  Microsoft  Windows  Server  2008  i  wszystkich  starszych
wersjach systemu Windows umożliwia przypisywanie hostom adresów klasy A, B oraz C .
Jak  pokazano  na  Rys. 3,  cztery oktety  tworzące  adres  IP  są  umownie  reprezentowane  za  pomocą
liter w, x, y oraz z.

Rys. 3 Klasy adresów IPv4

Klasa A

Adresy  klasy  A  są  przypisywane  sieciom  obejmującym  dużą  liczbę  hostów.  Klasa  A  umożliwia
identyfikację  126  sieci  przy  użyciu  pierwszego  oktetu  jako  identyfikatora  sieci.  Pierwszy  lub
najbardziej znaczący bit w tym oktecie zawsze ma wartość zero. Następnych siedem bitów w tym
oktecie tworzy identyfikator sieci. 24 bity w pozostałych oktetach tworzą identyfikator hosta, dzięki
czemu  w  sieci  może  się  znajdować  126  sieci  i  około  17  milionów  hostów.  Numery  sieci  klasy  A
w oktecie w pochodzą z zakresu od 1 do 127.

Klasa B

Adresy  klasy  B  są  przypisywane  sieciom  średnim  i  dużym.  Klasa  B  umożliwia  identyfikację  16  384
sieci  przy  użyciu  dwóch  pierwszych  oktetów  jako  identyfikatora  sieci.  Pierwsze  dwa  najbardziej
znaczące bity w pierwszym oktecie mają zawsze wartość 10. Pozostałych 6 bitów wraz z kolejnym
oktetem  uzupełniają  identyfikator  sieci.  16  bitów  w  trzecim  i  czwartym  oktecie  reprezentuje
identyfikator hosta, dzięki czemu w sieci może się znajdować ok. 65 000 hostów. Numery sieci klasy
B w oktecie w pochodzą z zakresu od 128 do 191.

Klasa C

Adresy  klasy  C  są  przypisywane  małym  sieciom  lokalnym  (LAN).  Klasa  C  umożliwia  identyfikację
około 2 milionów sieci przy użyciu trzech pierwszych oktetów jako identyfikatora sieci.
Trzy pierwsze najbardziej znaczące bity w adresie klasy C mają zawsze wartość 110. Pozostałych 21
bitów  w  pierwszych  trzech  oktetach  uzupełnia  identyfikator  sieci.  8  bitów  w  ostatnim  oktecie
reprezentuje identyfikator hosta, dzięki czemu sieć może obejmować 254 hosty. Numery sieci klasy
C w oktecie w pochodzą z zakresu od 192 do 223.

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 5/18

Klasy D i E

Klasy D i E nie są przypisywane hostom. Adresy klasy D są stosowane do multiemisji, a adresy klasy
E są niedostępne do zastosowań ogólnych, gdyż są zarezerwowane do wykorzystania w przyszłości
przy konsolidacji sieci IPv4 i IPv6.

Określanie klasy adresu IP przy pomocy domyślnych masek sieciowych

Każda klasa adresów ma domyślną maskę podsieci. W przypadku dzielenia sieci na segmenty lub
podsieci można podzielić adres IP sieci za pomocą domyślnej maski podsieci danej klasy. W tabeli 1
przedstawiono wartości bitów oraz liczby sieci i hostów w trzech pierwszych klasach.

Tab. 1 Klasy adresów IP

Klasa

Pierwsze bity

Wartość
pierwszego
Bajtu

Liczba bitów
identyfikatora
sieci

Liczba bitów
identyfikatora
hosta

Liczba sieci

Liczba hostów

1 -127*

126

16777214

128 – 191

16384

65534

110

192 – 223

2097152

254

* identyfikator 127.0.0.0 jest zarezerwowany dla testów wewnętrznej pętli zwrotnej komputera.

Zasady przypisywania poprawnych adresów IP hostom

Nie ma żadnych wyraźnych reguł przypisywania adresów IP w sieci, istnieją jednak wskazówki,
którymi można się kierować w celu przypisania prawidłowych identyfikatorów sieci i hostów.
Przypisując adresy IP hostom warto uwzględnić następujące zasady:

• W pierwszym oktecie identyfikatora sieci nie wolno wprowadzać wartości 127. Jest to

wartość zarezerwowana do celów diagnostycznych.

• Adresów publicznych należy używać tylko w uzasadnionych przypadkach.
• Należy używać adresów z zakresów adresów prywatnych zarezerwowanych przez organizację

IANA.

• Nie wolno określać identyfikatora hosta w sieci danej klasy przy użyciu samych jedynek

binarnych. Jeśli wszystkie bity mają wartość 1, adres będzie traktowany jak adres emisji.

• Nie wolno określać identyfikatora hosta w sieci danej klasy przy użyciu samych zer.

Jeśli wszystkie bity mają wartość 0, to niektóre wersje protokołu TCP/IP będą traktować taki
adres jak adres emisji.

• Nie wolno duplikować identyfikatorów hostów w ramach danego segmentu sieci.

Podział sieci na podsieci

Dodawanie  dodatkowych  segmentów  sieci  może  nastąpić  za  pomocą  fizycznych  urządzeń,  takich
jak  routery  lub  mosty.  Każdą  sieć  można  w  ten  sposób  również  podzielić  na  mniejsze  segmenty
w  celu  zwiększenia  jej  wydajności.  Segmenty  sieci  oddzielone  od  siebie  routerami  noszą  nazwę
podsieci.  W  trakcie  tworzenia  podsieci  identyfikator  sieci  jest  współdzielony  przez  hosty
w poszczególnych podsieciach. Aby ustalić nowy identyfikator sieci dla każdej podsieci, należy użyć
maski  podsieci,  określającej,  jaka  część  adresu  IP  ma  być  wykorzystana  jako  nowy  identyfikator
sieci.

Podsieci

Podsieć to fizyczny segment sieci, oddzielony od reszty sieci przy użyciu co najmniej jednego
routera. W sieci może istnieć wiele podsieci. Sieć wielu podsieci połączonych routerami często jest
nazywana intersiecią.

Adresacja IP w podsieciach

Adres IP każdej podsieci jest tworzony na podstawie głównego identyfikatora sieci. Po podzieleniu
sieci na podsieci należy dla każdej z nich utworzyć unikatowy identyfikator. Aby utworzyć

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 6/18

identyfikator podsieci należy podzielić bity identyfikatora hosta na dwie części. Pierwsza część
będzie identyfikować podsieć, a druga host.

Korzyści wykorzystywania podsieci

Organizacje korzystają z podsieci w celu rozbudowy istniejącej sieci o wiele segmentów fizycznych.
Zastosowanie podsieci umożliwia:

• łączenie różnych technologii sieciowych, takich jak Ethernet i Token Ring
• przezwyciężanie ograniczeń wynikających ze stosowania obecnych technologii, takich jak

maksymalna dozwolona liczba hostów w segmencie

• dzielenie segmentu na kolejne segmenty, co zwiększa dozwoloną całkowitą liczbę hostów
• zmniejszanie obciążenia sieci przez segmentację ruchu i ograniczenie liczby emisji

przesyłanych w poszczególnych segmentach

Zasady tworzenia podsieci

Przed wdrożeniem podsieci należy wziąć pod uwagę aktualne oraz przyszłe wymagania,
aby umożliwić jej rozbudowę. Aby utworzyć podsieć:

•  Ustal liczbę segmentów fizycznych sieci.
•  Ustal liczbę wymaganych adresów hostów w każdym segmencie fizycznym.
•  Każda karta sieciowa w segmencie fizycznym wymaga przynajmniej jednego adresu IP.

Hosty TCP/IP mają zwykle po jednej karcie.

•  Na podstawie wymagań ustalonych w krokach 1 i 2 zdefiniuj:
•  Jedną maskę podsieci dla całej sieci.
•  Unikatowy identyfikator podsieci dla każdego segmentu fizycznego.
•  Zakres identyfikatorów hostów dla każdej podsieci.

Maska podsieci

W przypadku zastosowania podziału na klasy, liczba  dostępnych sieci i hostów dla poszczególnych
klas  adresów  jest  z  góry  ograniczona.  W  rezultacie  danej  organizacji  przydzielany  jest  jeden  stały
identyfikator  sieci  oraz  pewna  określona  liczba  hostów,  zależna  od  klasy  adresu  IP.  Jeśli  danej
organizacji został przyznany tylko jeden identyfikator sieci, może w niej funkcjonować tylko jedna
sieć, licząca określoną liczbę hostów. Jeśli liczba hostów będzie zbyt duża, sieć nie będzie w stanie
efektywnie działać.

Struktura maski podsieci

Podział  identyfikatora  sieci  jest  możliwy  dzięki  zastosowaniu  maski  podsieci.  Maska  podsieci
stanowi  rodzaj  filtra,  który  pozwala  oddzielać  w  adresie  IP  identyfikator  sieci  od  identyfikatora
hosta, lecz nie podlega ograniczeniom wynikającym z podziału na klasy. Maska podsieci, podobnie
jak adres IP, składa się z czterech oktetów, które definiują wartości od 0 do 255.
W  przypadku  zastosowania  podziału  na  klasy,  każda  z  tych  liczb  może  przyjmować  tylko
dopuszczalną wartość maksymalną 255 lub minimalną 0.

Domyślne maski podsieci

W przypadku zastosowania podziału na klasy, ka5da klasa adresów posiada domyślną maskę
podsieci. Dla adresów klasy A maska wynosi 255.0.0.0, dla klasy B 255.255.255.0 i dla klasy C
255.255.255.0.

Definiowanie identyfikatorów podsieci

Definiując identyfikator podsieci należy pamiętać, że liczba bitów hosta musi być taka sama jak w
masce podsieci. Należy oszacować liczbę możliwych kombinacji bitów, a następnie
przekonwertować je na format dziesiętny. Przykładowo jeżeli maska podsieci wynosi:

255.

224.

11111111 11111111 11100000 00000000

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 7/18

to dla takiej maski możliwe jest utworzenie 8 podsieci. O wartości tej świadczy ilość jedynek na
ostatniej pozycji maski.

Maska

Podsieci

000 00000

0 – 31

001 00000

32 – 63

010 00000

64 – 95

011 00000

96 – 127

100 00000

128 – 159

101 00000

160 – 191

110 00000

192 – 223

111 00000

224 - 255

Inną metodą wyznaczania identyfikatorów jest przeliczenie ilości zer w ostatnim identyfikatorze
sieci i przekonwertowanie tej liczby na wartość dziesiętną podnosząc liczbę 2 do uzyskanej wartości
potęgi. Np. w naszym przypadku ilość zer wynosi 5, a więc podnosząc 2 do potęgi 5 uzyskujemy 32,
co informuje nas, o ile mają być zwiększane identyfikatory podsieci. Ta metoda jest o wiele
wydajniejsza niż poprzednia, zwłaszcza dla masek, których ilość jedynek jest większa niż 4.

Optymalne przydzielanie adresów IP

Wyczerpywanie  się  puli  adresów  IP  doprowadziło  do  powstania  nowego  systemu  adresowania,
noszącego nazwę metody CIDR (ang.  Classless Inter-Domain Routing). W przypadku metody CIDR,
adresy IP oraz maski podsieci przedstawiane są w zapisie binarnym, co pozwala dzielić tradycyjne
sieci  o  stałym  rozmiarze.  Dzięki  temu  metoda  CIDR  stanowi  bardziej  efektywny  sposób
przydzielania adresów IP niż metoda podziału na klasy.

Wykorzystanie zapisu binarnego dla adresu IP

Komputery, w trakcie realizacji wewnętrznych procesów przetwarzania danych wykorzystują zapis
binarny,  ponieważ  wewnętrzna  komunikacja  odbywa  się  za  pomocą  sygnałów,  które  mogą
występować tylko w dwóch stanach: włączony lub wyłączony.
W przypadku zastosowania metody CIDR, adres IP oraz maska podsieci są konwertowane na zapis
binarny. Zgodnie z metodą CIDR adresy IP składają się z zestawu 32 wartości, zamiast tylko czterech
wartości,  stosowanych  w  przypadku  podziału  na  klasy.  Podział  taki  dopuszcza  stosowanie  wielu
różnych  rozmiarów  sieci,  co  pozwala  zoptymalizować  sposób,  w  jaki  przypisywane  są  adresy  IP.
Użycie  metody  CIDR  powoduje,  że  firmy  mogą  otrzymywać  adresy  IP  w  liczbie  bardziej
odpowiadającej ich wymaganiom, dzięki czemu zdecydowanie mniejsza liczba adresów IP pozostaje
niewykorzystana.  W  metodzie  CIDR    domyślna  maska  podsieci  nie  jest  określana  na  podstawie
adresu IP. Zamiast tego każdemu hostowi nadawana jest niestandardowa maska podsieci, a każdy
router przesyła adres IP jako część pakietu danych.

Maski podsieci w zapisie binarnym

Maski podsieci składają się zawsze z ciągłego zakresu wartości maksymalnych, po którym następuje
ciągły  zakres  wartości  minimalnych.  W  zapisie  binarnym  przekłada  się  to  na  serię  sąsiednich
jedynek, po których następuje seria zer. Sąsiednie cyfry o wartości 1 wskazują część adresu IP, który
odpowiada  identyfikatorowi  sieci,  natomiast  sąsiednie  cyfry  o  wartości  0  wskazują  identyfikator
hosta.

Zapis adresu IP w notacji CIDR

Adres IP w zapisie CIDR oprócz wartości dziesiętnych oddzielonych kropkami zawiera także maskę
bitową.  Maska  bitowa  określa  liczbę  kolejnych  jedynek  maski  podsieci  w  zapisie  binarnym,  która
jest związana z danym adresem IP.
Na  przykład  dla  adresu  IP  przedstawionego  w  zapisie  CIDR  jako  10.217.123.7/20,  pierwszych  20
bitów maski podsieci stanowią jedynki. Gdybyśmy chcieli przedstawić ten zapis w notacji klasycznej,
maska sieciowa wynosiłaby: 255.255.240.0.

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 8/18

Zależność pomiędzy CIDR a klasami adresów IP

W zapisie CIDR adres IP, podany wraz z maską bitową /20, może należeć do każdej ze stosowanych
klas adresów A, B lub C.
W poniższej tabeli została zamieszczona lista praktycznych masek sieciowych w notacji CIDR.

Zapis CIDR

Maska podsieci

Liczba podsieci

255.0.0.0

256 sieci klasy B

255.128.0.0

128 sieci klasy B

/10

255.192.0.0

64 sieci klasy B

/11

255.224.0.0

32 sieci klasy B

/12

255.240.0.0

16 sieci klasy B

/13

255.248.0.0

8 sieci klasy B

/14

255.252.0.0

4 sieci klasy B

/15

255.254.0.0

2 sieci klasy B

/16

255.255.0.0

1 sieć klasy B lub 256 klasy C

/17

255. 255.128.0

128 sieci klasy C

…

/24

255.255.255.0

1 sieć klasy C

/25

255. 255. 255.128

½ sieci klasy C

/26

255. 255. 255.192

¼ sieci klasy C

/27

255. 255. 255.224

1/8 sieci klasy C

/28

255. 255. 255.240

1/16 sieci klasy C

Wyznaczanie identyfikatora sieci w notacji CIDR

Aby obliczyć identyfikator sieci dla adresu, którego zapis jest podany w notacji CIDR należy:

• Dokonać konwersji adresu IP na format binarny.
• Korzystając z maski bitowej, określić liczbę bitów adresu IP, które składają się na

identyfikator sieci.

• Uzupełnić identyfikator sieci o brakujące zera, nadając mu pełną, złożoną z czterech oktetów,

strukturę.

W  zapisie  adresu  IP  10.217.123.7/20  wskazane  jest,  że  maska  podsieci  zawiera  20  sąsiednich
jedynek,  tak  więc  identyfikator  sieci  składa  się  z  pierwszych  20  bitów  adresu  IP,  po  których
umieszczone są zera.

00001010 11011001 01111011 00000111
11111111 11111111 11110000 00000000

00001010 11011001 01110000 00000000

Na podstawie powyższych informacji identyfikator podsieci ma adres 10.217.112.0

Określanie adresów hostów

Zastosowanie  metody  CIDR  pozwala  w  prosty  sposób  obliczać  ilość  dostępnych  identyfikatorów
hosta na podstawie maski podsieci i związanego z nią bloku adresów IP.
W  ramach  metody  CIDR  stosowany  jest  podział  na  podsieci  oraz  tworzenie  nadsieci,  co  pozwala
zoptymalizować sposób, w jaki przydzielane są adresy IP.
Termin tworzenie nadsieci oznacza łączenie wielu różnych adresów tak, aby można było nadać im
jeden  identyfikator  sieci.  Podział  na  podsieci  daje  możliwość  rozdzielenia  dużej  sieci  na  wiele
podsieci.
Ilość  hostów,  które  mogą  mieć  taki  sam  identyfikator  sieci,  oblicza  się  na  podstawie  ilości  zer
w masce podsieci. Jeśli ilość zer oznaczymy literą n, to ilość hostów obliczyć będzie można ze wzoru
2n-2. Dwa adresy, które są we wzorze odejmowane, są zarezerwowane dla identyfikacji sieci oraz
adresu rozgłoszeniowego.

Typy adresów IP

Wszystkie komputery w sieci, które są dostępne z Internetu, wymagają zarejestrowanego adresu
IP, ale nie każdy komputer mający dostęp do Internetu wymaga takiego adresu. W zależności od
wymagań danej sieci można korzystać z prywatnych lub publicznych adresów IP.

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 9/18

Prywatne adresy IP

Prywatne adresy IP to specjalne adresy sieciowe, które są przeznaczone dla sieci prywatnych i nie
są  na  nikogo  zarejestrowane.  Adresy  takie  można  przypisywać  bez  udziału  usługodawcy
internetowego  i  organizacji  IANA.  Adresy  prywatne  można  przypisywać  komputerom,  które  nie
muszą  być  dostępne  z  Internetu.  Prywatny  adres  IP  nie  zostanie  nigdy  przypisany  jako  adres
publiczny i nigdy nie będzie duplikatem adresu publicznego.
Następujące adresy IP są zarezerwowane dla sieci prywatnych:

•  od 10.0.0.0 do 10.255.255.255
•  od 172.16.0.0 do 172.31.255.255
•  od 192.168.0.0 do 192.168.255.255

Więcej informacji na temat prywatnych adresów IP można znaleźć w specyfikacji RFC 1918.

Publiczne adresy IP

Adresy  publiczne  są  przypisywane  przez  organizację  IANA  i  składają  się  z  identyfikatorów  sieci
określonej  klasy  lub  bloków  adresów  CIDR  (nazywanych  blokami  CIDR)  gwarantujących  globalną
unikatowość  w  Internecie.  Liczba  adresów  publicznych,  które  można  przypisać,  jest  ograniczona.
Po  przypisaniu  adresów  publicznych  do  określonych  lokalizacji  trasy  są  zapisywane  w  pamięci
routerów  internetowych,  aby  ruch  wysłany  pod  przypisane  adresy  publiczne  trafił  do  tych
lokalizacji. Ruch kierowany pod docelowe adresy publiczne jest przesyłany w Internecie.
Jeśli  organizacji  został  przypisany  na  przykład  blok  CIDR  w  postaci  identyfikatora  sieci  i  maski
podsieci, to ta para identyfikator sieci-maska podsieci również jest zapisana jako trasa w routerach
internetowych.  Pakiety  IP  przeznaczone  dla  adresu  w  bloku  CIDR  są  przesyłane  do  właściwego
miejsca docelowego.

Adresacja IPv6

Budowa adresu IPv6

Zwykle adres IPv6 podaje się w postaci heksadecymalnej (szesnastkowej), oddzielając porcje 16
bitów dwukropkiem:

2001:0470:1F00:FFFF:0000:0000:006A/127

Wykorzystując kompresję zer możliwe jest skrócenie adresu do formy, która jest bardziej czytelna:

2001:470:1F00:FFFF::6A/127

Zezwala  się  na  skrócenie  jednego  ciągłego  bloku  zer  i  zastąpienie  go  podwójnym  dwukropkiem.
Opuszcza  się  także  początkowe  zera  w  blokach.  W  powyższym  adresie  została  dołączona
127-bitowa  maska  („/127”).  Podobny  zapis  jest  stosowany  w  adresach  URL,  gdzie  adres  IPv6
zawiera się w nawiasach kwadratowych:

http://[2001:0470:1F00:FFFF:0000:0000:006A]:8080/

Adresy IPv6 mogą wydawać się ciężkie do zapamiętania użytkownikom końcowym.
Należy pamiętać jednak, że w większości przypadków adresy te zostaną przetłumaczone na nazwy
przez serwery DNS.

Typy adresów IPv6

Podobnie jak w IPv4, IPv6 adres został podzielony na części, które definiują typy adresów.
Wyróżnia się następujące typy adresów:

• Unicast – adres ten identyfikuje pojedyncze interfejsy unicast. Pakiety zaadresowane do tego

typu adresu trafiają zawsze do pojedynczego interfejsu.

• Multicast – adres ten identyfikuje interfejsy grupowe multicast. Pakiety zaadresowane do

tego typu adresu trafiają zawsze do adresów, które zostały zidentyfikowane w adresie.
Wykorzystywany do komunikacji jeden-do-wielu.

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 10/18

• Anycast – adres ten identyfikuje interfejsy grupowe. Pakiety zaadresowane do tego typu

adresu trafiają zawsze do najbliższego (o najmniejszej trasie pakietu) zidentyfikowanego
pojedynczego interfejsu. Wykorzystywany do komunikacji jeden-do-jednego-z-wielu.

Każdy  z  adresów  IPv6  identyfikuje  poszczególny  interfejs.  Węzły są  identyfikowane  poprzez  adres
unicast,  który  został  przypisany  do  jednego  z  jego  interfejsów.  Każdy  adres  posiada  określoną
sekwencję bitów, która bezpośrednio go charakteryzuje. Adresy danego typu zaczynają się zawsze
od tej samej sekwencji – prefiksu. Dzięki temu możliwe jest odróżnienie adresów od siebie, tak jak
w IPv4. Prefiks IPv6 jest analogią do CIDR w IPv4.
Prefiks  wskazuje  na  bity,  które  mają  stałe  wartości  lub  na  identyfikatory  sieciowe,  np.
2001:470:1F00:FFFF::6A/48  jest  prefiksem  trasy,  a  2001:470:1F00:FFFF::6A/64  określa  prefiks
podsieci.  Zamiast  maski  jak  w  protokole  IPv4,  w  IPv6  używana  jest  notacja  długości  prefiksu.
Stosowana  technika  multinetting  polega  na  przypisaniu  grupowych  prefiksów  podsieci  do  tego
samego łącza.

Adresy unicast

Adresy Unicast dzielą się na poszczególne podtypy:

•  Global – tzw. adresy główne
•  Link-local – adresy lokalne łącza
•  Site-local – adresy lokalne węzła
•  Adresy Specjalne

Adres global odpowiada adresom publicznym w IPv4. Identyfikowany jest przez prefiks 001. Adres
link-local  jest  adresem  ograniczonym  zasięgiem  do  lokalnego  połączenia  np.  podsieć,  VLAN  itp.
Identyfikuje  się  je  przez  prefiks  1111  1110  10,  czyli  FE80:0:0:0.  Jeżeli  w  sieci  nie  ma  routera,  to
adresy  te  wykorzystywane  są  przez  poszczególne  komputery  do  komunikacji  między  sobą.  Adres
ten  jest  wymagany  do  działania  Neighbor  Discovery,  podlega  autokonfiguracji  i  nie  przekazuje
ruchu  poza  łącze  wewnętrzne  (jest  nie  routowalny).  Powstaje  na  podstawie  adresu  MAC
(najmłodsze 64 bity).
Adres  site-local  jest  adresem  będącym  odpowiednikiem  adresów  prywatnych  w  protokole  IPv4
(10.0.0.0/8,  172.16.0.0/12,  192.168.0.0/16).  W  przeciwieństwie  do  adresów  link-local,  adresy
site-local  nie  są  konfigurowalne  automatycznie.  Do  ich  konfiguracji  wykorzystuje  się  DHCPv6  lub
konfiguruje się je ręcznie. Posiadają prefiks 1111 1110 11, czyli FEC0:0:0/48, a ich zasięg ogranicza
się  do  danej  sieci.  Oznacza  to,  że  routery  nie  mogą  przekazywać  ruchu  pochodzącego  z  tych
adresów poza wyznaczony obszar.
Podobnie jak w IPv4, w IPv6 również są adresy specjalne:

• Nieokreślony – wykorzystywany do określenia adresu, który nie został przypisany do

wybranego interfejsu. Oznacza się go grupą zer 0:0:0:0:0:0:0:0 lub ::, podobnie jak w IPv4 dla
takiego adresu wykorzystywano zapis 0.0.0.0. Adres ten jest przypisywany podczas, gdy host
szuka adresów do przypisania, bądź weryfikuje przypisany adres.

• Pętli zwrotnej (czyli loopback) – wykorzystywany do określania własnego interfejsu,

identyfikuje się go jako: 0:0:0:0:0:0:0:1 lub ::1. Jest odpowiednikiem 127.0.0.1 w IPv4.

Adresy multicast

Adresowanie grupowe w IPv6 identyfikowane jest przez ciąg 11111111. Adres grupowy jest łatwo
rozpoznawalny, ponieważ zawsze zaczyna się od FF i nie może być wykorzystany jako adres
źródłowy. Oprócz prefiksu, w nagłówku znajdują się także flagi, podobnie jak w IPv4. Identyfikacja
węzłów dla tzw. node-local, site-local i link-local obejmuje następujące adresy:

•  FF01::1 – adres grupowy node-local o zasięgu all-nodes
•  FF01::2 – adres grupowy node-local o zasięgu all-routers
•  FF02::1 – adres grupowy link-local o zasięgu all-nodes
•  FF02::2 – adres grupowy link-local o zasięgu all-routers
•  FF05::2 – adres grupowy site-local o zasięgu all-routers

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 11/18

Adresy anycast

• Adres anycast obecnie używany jest tylko i wyłącznie, jako adres docelowy przypisany do

routera. Adres tego typu znajduje się poza pulą adresową adresów unicast. Pakiety, które
docelowo zostają przesłane na adres anycast, zwykle przesyłane są do najbliższego interfejsu,
do którego omawiany adres został przypisany.

Konfiguracja adresów IPv6

Autokonfiguracja jest jednym z ciekawszych i bardziej przydatnych aspektów zarządzania IPv6. Do
autokonfiguracji nie potrzebujemy DHCPv6, ponieważ host konfiguruje adres link-local sam, dla
każdego interfejsu. Informacje o autokonfiguracji zostały umieszczone w RFC 2462.
W autokonfiguracji wyróżnia się trzy sposoby przypisywania adresów:

• Stateless – Konfiguracja jest ściśle powiązana z wiadomościami routerów Router

Advertisement.

• Stateful – Konfiguracja opiera się na protokołach konfiguracji, np. DHCPv6, który

automatycznie nadaje adresy oraz opcje konfiguracyjne.

• Oba – Konfiguracja opiera się na wiadomościach Router Advertisement, Prefix Information

oraz MAC i OSC ustawione w wartość 1.

Adresy konfigurujące się automatycznie mogą znaleźć się w następujących stanach:

• Tentative (tymczasowy) – przybranie tej formy adresu oznacza, że następuje weryfikacja

adresu (detekcja duplikatów). Węzeł może odpowiadać jedynie na wiadomości grupowe
Neighbor Advertisement, nie może odebrać ruchu typu unicast.

• Valid (poprawny) – przybranie tej formy adresu oznacza, że adres jest unikalny i od tej pory

do komunikacji można wykorzystywać IPv6.

• Preferred (preferowany) – przybranie tej formy umożliwia wysyłanie i odbieranie unicast do

adresu preferowanego.

• Deprecated (zdewaluowany) – adres tego typu nie nawiązuje nowych połączeń, mimo tego,

że nadal jest aktywny. Połączenie, które już istnieje, może wykorzystywać ten adres, można
wysyłać i odbierać na niego ruch.

• Invalid (niewłaściwy) – adres tego typu nie pozwala na nawiązanie żadnych połączeń unicast.

Stan ten przyjmowany jest w sytuacji, gdy czas życia adresu aktywnego wygasa.

• Autokonfguracja, z wyjątkiem adresów link-local, przeznaczona jest tylko dla hostów.

Narzędzia konfiguracji adresów IP

Do zarządzania konfiguracją adresów IP można wykorzystać następujące metody:

Właściwości protokołu internetowego (TCP/IP)

Zmiana konfiguracji adresu IP może zostać przeprowadzana przy wybraniu okna właściwości
interfejsu sieciowego. W oknie tym możliwe jest dokonanie konfiguracji zarówno dla adresów IPv4
oraz IPv6. Przykładowe okno konfiguracji IP znajduje się na rysunku 4.

Rys. 4 Okno właściwości interfejsu sieciowego dla adresów IPv4 i IPv6

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 12/18

Aby wywołać okno właściwości interfejsu sieciowego wykonaj następujące kroki:

•  uruchom Network and Sharing Center z Control Panel
•  wybież z prawego menu opcji Manage Network Connections
•  kliknij prawym klawiszem myszy interfej, którego adresację IP chcesz zmodyfikować i wybierz

Properties

•  zaznacz protokół IPv4 i kliknij przycisk Properties
•  pojawi się okno jak na rysunku 4
•  powtórz powyższe kroki dla protokołu IPv6

Narzędzia wiersza linii poleceń

• Do zarządzania adresacją IP z wiersza linii poleceń można wykorzystać następujące

polecenia:

• Ipconfig – wyświetla i aktualizuje bieżącą konfigurację TCP/IP, włącznie z adresem IP.
• netsh – bardzo rozbudowany wiersz linii poleceń, umożliwiający zarządzanie stosem TCP/IP

oraz adresacją IP na komputerach pod kontrolą systemów Windows.

• Aby wykorzystać polecenia netsh do zmiany adresu IP dla interfejsu o nazwie „Połączenie

lokalne”, należy wykonać następujące polecenia:

interface ip
set address name="Połączenie lokalne" source=static addr=192.168.1.20
mask=255.255.255.0
set address name="Połączenie lokalne" gateway=192.168.1.1 gwmetric=0
set dns name="Połączenie lokalne" source=static addr=192.168.1.1
register=PRIMARY
add dns name="Połączenie lokalne" addr=194.204.159.1 index=2
set wins name="Połączenie lokalne" source=static addr=none

Polecenia skryptowe

Przeprowadzenie zmiany adresu IP na interfejsie sieciowym może zostać przeprowadzone również
za pomocą języków skryptowych tj. VBS lub PowerShell. Przykład wykorzystania VBS znajduje się
poniżej:

Set oLocator = New SWbemLocator
Set oServices = oLocator.ConnectServer(, "root\cimv2")
Set oObject = oServices.Get("Win32_NetworkAdapterConfiguration.Index=0")
Dim asIPAddress
Dim asSubnetMask
asIPAddress = Array("xxx.xxx.xxx.xxx")
asSubnetMask = Array("xxx.xxx.xxx.xxx")
Set oMethod = oObject.Methods_("EnableStatic")
Set inParam = oMethod.InParameters.SpawnInstance_()
inParam.IPAddress = asIPAddress
inParam.SubnetMask = asSubnetMask
Set outParam = oObject.ExecMethod_("EnableStatic", inParam)
If outParam.returnValue = 0 Then
MsgBox "Method Succeeded."
Else
MsgBox "Method Failed. " & CStr(outParam.returnValue)
End If

W powyższym kodzie w miejsce „xxx.xxx.xxx.xxx” należ wpisać odpowiednio poprawny adres IP
oraz maskę sieciową.

Podsumowanie

W rozdziale tym zostały przedstawione najważniejsze informacje związane z adresowaniem IP.

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 13/18

Po zapoznaniu się z zawartością modułu powinieneś rozumieć jak zbudowany jest adres IPv4 i IPv6,
wiedzieć jaką rolę w zarządzaniu adresacją IP odgrywa maska sieciowa i potrafić zaplanować
wykorzystanie adresacji IP w rozproszonej infrastrukturze sieciowej.

Przykładowe rozwiązanie

Dokonaj projektu wykorzystania adresów IP dla przedsiębiorstwa, które zakupiło pulę adresów IP
w  sieci  o  identyfikatorze  157.54.0.0/16.  Przeprowadzany  przez  Ciebie  projekt  ma  zagwarantować
optymalne  wykorzystanie  adresów  IP.  W  ramach  projektu  należy  utworzyć  jedną  podsieć
obsługującą maksymalnie 32 000 hostów, 15 podsieci obsługujących maksymalnie po 2000 hostów
oraz osiem podsieci obsługujących maksymalnie po 250 hostów.

Utworzenie podsieci dla 32000 hostów

Aby  spełnić  wymaganie  dotyczące  utworzenia  jednej  podsieci  zawierającej  około  32  000  hostów,
należy  dodać  bit  o  wartości  1  do  identyfikatora  sieci  danej  klasy  157.54.0.0.  Spowoduje  to
utworzenie  2  podsieci: 157.54.0.0/17  i 157.54.128.0/17.  Taki  podział  zezwala na  działanie  32  766
hostów w jednej podsieci. 157.54.0.0/17 został wybrany na identyfikator sieci, co jest zgodne
z wymaganiami.

Utworzenie 15 podsieci dla 2000 hostów

Aby spełnić wymaganie dotyczące utworzenia 15 podsieci zawierających około 2000 hostów, należy
dodać 4 bity do identyfikatora podsieci 157.54.128.0/17. Spowoduje to utworzenie 16 podsieci
(157.54.128.0/21, 157.54.136.0/21 do 157.54.240.0/21, 157.54.248.0/21) i umożliwi działanie 2046
hostów w jednej podsieci. Pierwszych 15 identyfikatorów podsieci (157.54.128.0/21 do
157.54.240.0/21) zostało wybranych na identyfikatory sieci, co jest zgodne z wymaganiami.

Utworzenie 8 podsieci dla 250 hostów

Aby spełnić wymaganie dotyczące utworzenia 8 podsieci z maksymalnie 250 hostów, należy dodać
3 bity do identyfikatora podsieci 157.54.248.0/21. Spowoduje to utworzenie 8 podsieci
(157.54.248.0/24, 157.54.249.0/24 do 157.54.254.0/24, 157.54.255.0/24) i umożliwi działanie 254
hostów w jednej podsieci. Wszystkie osiem identyfikatorów podsieci (157.54.248.0/24 do
157.54.255.0/24) zostało wybranych na identyfikatory sieci, co jest zgodne z wymaganiami.

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że znajomość zasad działania i budowy protokołów adresacji IP może znacznie

ułatwić Ci prowadzenie czynności administracyjnych w przyszłej pracy.

•  W środowisku rozproszonym zaplanuj wykorzystanie podsieci.
•  Wypracuj sobie metody przydzielania adresów IP.
•  W  środowisku  wykorzystującym  routery  staraj  się  agregować  tablice  routingu  przy

wykorzystaniu metody CIDR.

•  Dla dużych środowisk sieciowy wykorzystuj automatyczne zarządzanie adresacją IP.
•  Pamiętaj, że praca w jednej dużej domenie rozgłoszeniowej zmniejsza wydajność sieci.
•  W sieci LAN wykorzystuj adresację wewnętrzną.
•  Planując dostęp użytkowników do sieci Internet rozważ stosowanie technologii NAT.
•  IPv6 za niedługo stanie się standardem, zaplanuj więc wykorzystanie go w Twojej sieci.

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium jeśli:

•  jesteś zaznajomiony z protokołem TCP/IP
•  rozumiesz budowę adresu IPv4 i IPv6
•  wiesz jaką rolę w budowaniu podsieci odgrywają maski sieciowe

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 14/18

•  znasz problemy wynikające z stosowania adresowania IP opartego na klasach
•  wiesz jak wykorzystywać notację CIDR do optymalnego zarządzania adresacją IP
•  zapoznałeś  się  z  pojęciami  dotyczącymi  modułu  tj.  adres  IP,  maska  sieciowa,  notacja  CIDR,

podsieć, nadsieć, budową adresów IPv6.

Dodatkowe źródła informacji

http://pl.wikipedia.org/wiki/Adres_IP

Opis funkcjonowania adresacji IPv4 wraz z odsyłaczami do pokrewnych stron.

2. http://pl.wikipedia.org/wiki/IPv6

Zbiór informacji na temat budowy i wdrażania adresacji IPv6

Karol Krysiak, Sieci komputerowe. Kompendium, Helion, 2003

Bardzo dobry podręcznik ogólnej wiedzy o sieciach komputerowych.

Mark Sportack, Sieci komputerowe. Księga eksperta, Helion 2004

5. Brian Komar, TCP/IP dla każdego. Helion 2002

Książka omawia zarówno teoretyczne podstawy funkcjonowania sieci opartych na TCP/IP,
jak i praktyczne sposoby konfigurowania protokołów w różnorodnych systemach
operacyjnych stosowanych we współczesnych sieciach.

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 15/18

Laboratorium podstawowe

Problem 1 (czas realizacji 20 min)

Jako inżynier systemowy masz za zadanie przeprowadzić konfigurację IP dla komputerów klienckich
w całej sieci przedsiębiorstwa. Wszystkie komputery, które podlegają Twojej bezpośredniej
administracji będą przez Ciebie skonfigurowane ręcznie, natomiast dla komputerów w oddziałach
zdalnych zostaną przygotowane skrypty netsh umożliwiające ich przekonfigurowanie.
Dokonaj konfiguracji adresu IP w trybie graficznym systemu operacyjnego.

Zadanie

Tok postępowania

Konfiguracja

statycznego
adresu IP i
adresów
serwerów DNS

• Zalogować się na komputerze ITA-CL01.
• Kliknąć prawym klawiszem ikonę połączenia sieciowego na pasku zadań

i wybrać Centrum sieci i udostępniania.

• W lewym panelu okna Centrum sieci i udostępniania kliknąć Zarządzaj

połączeniami sieciowymi.

• W oknie Połączenia sieciowe zaznaczyć ikonę połączenia (Połączenie

lokalne), kliknąć prawym klawiszem i wybrać Właściwości.

• W oknie Kontrola konta użytkownika kliknąć Kontynuuj.
• Kliknąć na elemencie Protokół internetowy w wersji 4 (TCP/IPv4), a

następnie kliknąć Właściwości.

• W oknie właściwości protokołu wybrać Użyj następującego adresu IP,

aby ustawić statyczny adres IP.

• W pole Adres IP wprowadzić wybrany dla tego komputera adres IP, np.

10.10.0.100.

•  W pole Maska podsieci wprowadzić maskę, np. 255.255.255.0.
•  W pole Brama domyślna wprowadzić adres bramy sieci, np. 10.10.0.1.
•  W  pole  Preferowany  serwer  DNS  wprowadzić  IP  serwera  DNS,  np.

(10.10.0.1).

• W pole Alternatywny serwer DNS wprowadzić IP zapasowego serwera

DNS.

•  Kliknąć przycisk Zaawansowane.
•  Na stronie Ustawień protokołu IP można korzystając z przycisków Dodaj
•  wprowadzić  dodatkowe  adresy  IP  tego  komputera,  jak  również

dodatkowe adresy bram sieci.

• Kliknąć przycisk OK, aby zatwierdzić zmiany.

Konfiguracja

suffix DNS

•  Wybrać właściwości dla Protokół internetowy w wersji 4 (TCP/IPv4).
•  Kliknąć przycisk Zaawansowane.
•  Kliknąć na zakładce DNS.
•  Aby  ustawić  suffix  DNS  należy  wypełnić  pole  Suffix  DNS  dla  tego

połączenia wartością ITA.lokalna.

• Kliknąć przycisk OK, aby zatwierdzić zmiany.

Konfiguracja

adresu serwera
WINS

•  Wybrać właściwości dla Protokół internetowy w wersji 4 (TCP/IPv4).
•  Kliknąć przycisk Zaawansowane.
•  Kliknąć na zakładce WINS.
•  Korzystając  z  przycisku  Dodaj  pod  listą  z  adresami  serwerów  WINS

uzupełnić listę o adresy serwerów WINS 10.10.0.50.

• Kliknąć przycisk OK, aby zatwierdzić zmiany.
• Kliknąć przycisk Zamknij.

Testowanie

konfiguracji

• Uruchom konsolę systemową cmd.exe
• W wierszu linii poleceń wpisz polecenie ipconfig /All

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 16/18

adresu IP

• Zweryfikuj czy wyświetlone dane zgadzają się z wprowadzonymi w

pierwszej części ćwiczenia.

Problem 2 (czas realizacji 25 min)

Przeprowadź konfigurację adresu IP przy wykorzystaniu polecenia netsh.

Zadanie

Tok postępowania

Zmiana nazwy

interfejsu
sieciowego

•  Uruchom konsolę systemową cmd.exe w trybie administratora
•  W oknie Kontrola konta użytkownika kliknąć Kontynuuj.
•  Aby  wyświetlić  listę  interfejsów  komputera  lokalnego,  w  oknie  konsoli

wprowadź

•  polecenie netsh interface show interfaces
•  Aby zmienić nazwę połączenia lokalnego wprowadź polecenie
•  netsh

interface

set

interface

name=”Połączenie

lokalne”

newname=„LAN”

• Wyświetlić listę połączeń by potwierdzić zmianę nazwy.

Konfiguracja

statycznego
adresu IP

• W oknie konsoli wprowadzić polecenie
• netsh interface ipv4 set address „LAN” static 10.10.0.200 255.255.255.0

10.10.0.1 1

• Aby sprawdzić poprawność zmian, w oknie konsoli wpisać w jednej linii

netsh interface ipv4 show addresses

Ustawienie

adresu serwera
DNS

• W oknie konsoli wprowadzić polecenie

netsh interface ipv4 set dnsserver „LAN” static 10.10.0.1 primary

• Aby wyświetlić konfigurację serwerów DNS, oknie konsoli wprowadzić

polecenie

netsh interface ipv4 show dnsservers

Ustawianie

adresu serwera
WINS

• W oknie konsoli wprowadzić polecenie

netsh interface ipv4 set winsserver „LAN” static 10.10.0.1 primary

• Aby wyświetlić konfigurację serwerów WINS, oknie konsoli wprowadzić

polecenie

netsh interface ipv4 show winsservers

Zapisywanie

konfiguracji

• W oknie konsoli wprowadzić polecenie

netsh interface dump > c:\dump.txt

• Otwórz plik dump.txt i zapoznaj się z zapisaną konfiguracją

Przywracanie

konfiguracji z
pliku

•  Dokonaj zmian konfiguracji adresu IP
•  Potwierdź dokonanie zmiany poleceniem ipconfig /all
•  W oknie konsoli wprowadź polecenie

netsh exec c:\dump.txt

• Potwierdź przywrócenie konfiguracji poleceniem ipconfig /all

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 17/18

Laboratorium rozszerzone

Zadanie 1 (czas realizacji 45 min)

Zaprojektuj wspólną przestrzeń adresową dla przedsiębiorstwa wykorzystującego oddziały zdalne,
którego architektura została przedstawiona na Rys. 5.

Rys. 5 Środowisko przedsiębiorstwa

Podczas projektu należy przyjąć następujące założenia:

• w całej organizacji musi być wykorzystywana wspólna przestrzeń adresowa wykorzystująca

prywatne adresy IP

• przeprowadzając projekt należy uwzględnić optymalną konfigurację podsieci tak aby

umożliwić dalszy rozwój organizacji bez konieczności zmian w adresacji

• przedsiębiorstwo dysponuje następującymi lokalizacjami: Centrala – zawierająca 763 hosty,

oddział 1 – zawierający 76 hostów, oddział 2 – zawierający 56 hostów, oddział 3 –
zawierający 132 hosty i oddział 4 – zawierający 273 hosty

• dla organizacji nie jest akceptowalna jedna wspólna przestrzeń adresowa

Przeprowadzić projekt wdrażania spójnej przestrzeni adresacji IP dla określonych powyżej
warunków. Wyniki projektu przedyskutuj z prowadzącym zajęcia.
Przeprowadź projekt wdrożenia adresacji IPv6 dla określonych powyżej warunków. Wyniki projektu
przedyskutuj z prowadzącym zajęcia.

Zadanie 2 (czas realizacji 45 min)

Przejrzyj następujące adresy IP danej klasy. Wskaż część adresu IP, która uniemożliwia przypisanie
tego adresu IP do hosta, i wyjaśnij, dlaczego jest ona nieprawidłowa. Załóż, że używana domyślna
maska podsieci odpowiada klasie adresu.

•  131.107.256.80____________________________________________
•  222.222.255.222___________________________________________
•  231.200.1.1_______________________________________________
•  126.1.0.0_________________________________________________
•  0.127.4.100_______________________________________________
•  190.7.2.0_________________________________________________
•  127.1.1.1_________________________________________________
•  198.121.254.255___________________________________________
•  255.255.255.255___________________________________________

Określ odpowiednią maskę sieciową, klasę adresu IP oraz identyfikatory sieci i hosta dla adresów
znajdujących się w poniższej tabeli. Pierwszy rząd stanowi przykład zadania.

Marek Pyka

Moduł III

ITA-108 Technologie sieciowe

Zarządzanie adresacją IP w sieciach komputerowych

Strona 18/18

Adres IP

Klasa/Maska podsieci

Identyfikator sieci

Identyfikator hosta

129.102.197.23

B/255.255.0.0

129.102.0.0

197.23

131.107.2.1

199.32.123.54

32.12.54.23

1.1.1.1

221.22.64.7

224.224.224.224

172.71.243.2

ITA-108 Technologie sieciowe

Marek Pyka

Moduł IV

Wersja 1

Konfigurowanie tras pakietów IP w

sieciach komputerowych

Spis treści

Konfigurowanie tras pakietów IP w sieciach komputerowych ............................................. ............... 1

Informacje o module ............................... ................................................... .......................................... 2

Przygotowanie teoretyczne ............................................................................ ..................................... 3

Przykładowy problem ............................... ................................................... ................................ 3

Podstawy teoretyczne............................... ................................................... ................................ 3

Przykładowe rozwiązanie .............................................................................. ............................. 19

Porady praktyczne ................................. ................................................... ................................. 20

Uwagi dla studenta ................................ ................................................... ................................. 21

Dodatkowe źródła informacji........................ ................................................... .......................... 21

Laboratorium podstawowe ........................... ................................................... .................................. 22

Problem 1 (czas realizacji 45 min) ................................................................... ........................... 22

Laboratorium rozszerzone .......................... ................................................... .................................... 24

Zadanie 1 (czas realizacji 45 min) ................................................................... ............................ 24

Zadanie 2 (czas realizacji 45 min) ................................................................... ............................ 25

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 2/25

Informacje o module

Opis modułu
W  tym  module  znajdziesz  informacje  dotyczące  protokołów  trasowania
pakietów IP (ang. routing), jego implementacji w systemie Windows Server
2008 i zalet wynikających z stosowania serwera RRAS w przedsiębiorstwie.
Zapoznasz  się  z  zasadami  konfiguracji  protokołów  routingu  statycznego
i  dynamicznego  w  środowisku  sieciowym  Windows  Server  2008.  Zawarte
w module tym zadania umożliwią Ci zapoznanie się z procesem planowania,
wdrażania  i  zarządzania  trasami  pakietów  w  rozproszonej  geograficznie
organizacji.

Cel modułu
Celem modułu jest przedstawienie możliwości wykorzystania serwera RRAS
do  zarządzania  przesyłaniem  pakietów  IP  w  sieciach  przedsiębiorstw  oraz
przedstawienie  problematyki  planowania,  wdrażania  i  utrzymywania
komunikacji w sieciach rozproszonych.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

• wiedział jaką rolę w sieci przedsiębiorstwa pełni router i jego

implementacja RRAS

• potrafił zainstalować, skonfigurować i zarządzać rolą serwera RRAS
• rozumiał potrzebę planowania infrastruktury dla utrzymywania

komunikacji sieciowej pomiędzy oddziałami zdalnymi.

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

•  znać zasadę działania protokołu IP
•  rozumieć budowę adresu IPv4 oraz IPv6
•  rozumieć zasady przesyłania pakietów w sieciach rozległych
•  rozumieć  zasady  podziału  sieci  na  podsieci  przy  pomocy  maski

sieciowej

• znać zasady pracy w środowisku Windows Server 2008

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 3/25

Przygotowanie teoretyczne

Przykładowy problem

Pracując  jako  administrator  sieci  nie  unikniesz  konieczności  zarządzania  i  konfiguracji  routerów.
Bardzo często sieci wewnętrzne w budynkach podlegają podziałowi na podsieci w oparciu o różne
interfejsy  routera. Problem  staje  się  bardziej  poważny,  kiedy  organizacja  w  swojej  infrastrukturze
wykorzystuje oddziały zdalne. Wtedy będziesz musiał zarządzać trasami pakietów IP poprzez sieci
rozległe.  Dobre  opanowanie  umiejętności  budowania  i  zarządzania  trasami  pakietów  umożliwi  Ci
budowanie  wydajnych,  bezawaryjnych  i  bezpiecznych  rozwiązań  dla  sieci  LAN,  WAN.  W  pracy
spotkasz  się  z  różnymi  urządzeniami  tego  typu,  w  związku  z  czym  ważne  jest  abyś  opanował
podstawy ich działania i zasady konfiguracji. Pracując jako administrator na pewni spotkasz się
z zadaniem jak poniżej.
Twój kierownik działu IT zleca Ci przygotowanie projektu tras pakietów IP dla komunikacji centrali
z  oddziałami  zdalnymi.  Cała  organizacja  wykorzystuje  jedną  spójną  przestrzeń  adresową  bez
podziału na podsieci. Taka konfiguracja znacznie wpływa na spadek wydajności całej infrastruktury.
Musisz  przyjąć  założenia  określające  centralną  kontrolę  i  zarządzanie  trasami  oraz  określenie
optymalnych  protokołów  routingu.  Dodatkowo  musisz  zaprojektować  odpowiedni  podział  na
segmenty  ale  w  taki  sposób,  aby  użytkownicy  sieci  nie  zauważyli  żadnych  zmian  w  adresacji.
Przygotowując  się  do  wykonania  projektu  warto  jest  wziąć  pod  rozwagę  wykorzystanie
dynamicznego  protokołu  RIP  –  w  środowisku  przedsiębiorstwa  obie  organizacje  będą  połączone
dedykowanymi łączami sieciowymi co umożliwi tratowanie powstałej sieci jako LAN,
ilość  oddziałów  zdalnych  w  przedsiębiorstwie,  dostęp  pracowników  mobilnych  do  infrastruktury
oraz rodzaj wykorzystywanych rozwiązań programowo-sprzętowych.

Podstawy teoretyczne

Jak wyjaśniono w module 1, "Wprowadzenie do sieci komputerowych", routery są urządzeniami
pracującymi w warstwie trzeciej modelu OSI, która odpowiada za funkcje trasowania. Rys. 2
przedstawia uproszczony model routera.

Rys 2. Schemat działania Routera

Router może posiadać wiele portów, przy czym musi posiadać co najmniej dwa. Oprogramowanie
trasujące  IP  sprawdza  nagłówki  datagramów  przychodzących  do  portu,  aby  ustalić,  gdzie  należy
przekazać  datagram.  Najważniejszą  informacją  sprawdzaną  przez  oprogramowanie  trasujące  jest
adres przeznaczenia datagramu IP. Oprogramowanie trasujące korzysta z tablicy trasowania
i przekazuje datagram IP do odpowiedniego portu routera.
Routery umożliwiają skalowanie sieci i utrzymywanie przepustowości dzięki segmentacji ruchu
w  sieci.  Na  przykład  komputery  testowe  organizacji  mogą  znajdować  się  w  jednym  z  segmentów
sieci,  podczas  gdy  komputery  produkcyjne  mogą  znajdować  się  w  oddzielnym  segmencie  sieci.
Router łączy te dwa segmenty.

Marek Pyka
ITA-108 Technologie sieciowe

W środowisku sieciowym są

• Router sprzętowy:

specjalistyczne oprogr

• Router programowy:

związanych z routingi
uruchomionych na kom

Routing i dostęp zdaln
procesów. Po uaktyw

obsługuje zarówno routing
administrator ręcznie aktua
routingu aktualizują protoko
Rozwiązanie w zakresie routi

• Interfejs routingu. Fizy
• Protokół routingu. Ze

tabel routingu w celu u

• Tabela routingu. Ser

lokalizacji identyfikato

Trasowanie statyczne i dy

Tablica trasowania zawiera
wiodących do nich trasach.
dwóch metod:

• metody statycznej
• metody dynamicznej

W  metodzie  statycznej  info
(routing  table).  W  metodz
trasowania  pakietów  do  in
protokołów trasujących.

Protokoły trasujące(routi

Protokoły trasujące opisują s
najlepszą  trasę  do  różnyc
wymieniać komunikaty w sie
trasujące mogą pracować be
mogą  pracować  ponad  UDP
Protocol). Mogą także pracow
(Border Gateway Protocol).
Ponieważ  protokoły  trasując
klasę specjalnych protokołów
W  dynamicznych  środowisk
dynamicznego.  Różnice  mię
przekazywania do innych rou

• Distance Vector – prot

Rozwiązanie  oparte  na
od  routerów  okresow
sąsiadujących routerów
i ponownie rozsyła do
do sieci, z którymi rou
nauczył się od swoich
komunikacji  rozgłosze

Konfigurowanie tras pakietów IP w siec

Strona 4/25

są używane dwa następujące typy routerów:

dedykowane urządzenie sprzętowe, na który

rogramowanie służące wyłącznie do obsługi routingu

wy: router, który nie został wydzielony do wykonyw
tingiem, ale wykonuje zadania tego typu oprócz w

komputerze routera.

dalny systemu Windows Server 2008 wykonuje rou

ktywnieniu funkcji routera sieciowego system W

statyczny, jak i routing dynamiczny. W przypadku

ktualizuje tabelę routingu. W przypadku routingu

okoły routingu.
outingu obejmuje trzy podstawowe składniki:

. Fizyczny lub logiczny interfejs służący do przesyłania

. Zestaw komunikatów używanych przez routery

elu ustalenia odpowiedniej ścieżki przesyłania danyc

Seria wpisów zwanych trasami, zawierających

atorów sieciowych w sieci złożonej.

i dynamiczne

era listę sieci i komputerów przeznaczenia oraz inf

ach. Tablica trasowania w routerze może zostać w

znej

informacje muszą zostać ręcznie wprowadzone

todzie dynamicznej router może sam zdobyć in

o innych sieci i komputerów. Router zdobywa t

utingu)

ą sposób, w jaki routery wymieniają między sobą i

nych miejsc przeznaczenia w Internecie. Proto

sieci opartej na IP, dlatego przenoszone są w data

ć bezpośrednio ponad IP, jak np. protokół OSPF (Ope

UDP – protokołem warstwy transportu, jak np. RIP

acować ponad protokołem warstwy transportu TCP,

l).

ujące wykorzystują protokoły IP, TCP lub UDP, mo

ołów warstwy aplikacji.

wiskach routingu istnieją trzy metody podziału

między nimi obejmują sposób realizacji wyszukiwa

routerów informacji o tych trasach.

protokoły wektora odległości

e na algorytmach wektora odległości (algorytm Bel

sowego przesyłania kopi swoich tablic routingu do

erów. Każdy z sąsiadów dodaje do niej swoja wartoś

do swoich sąsiadów. Istotne jest także przesłanie ta

router posiada bezpośrednie połączenie ale także d

ich sąsiadów. Transmisja w tym przypadku przebie

łoszeniowej (boradcast) oraz rzadziej poprzez m

Moduł IV

sieciach komputerowych – RRAS

tórym jest uruchamiane

ingu.

onywania wyłącznie zadań

cz wielu innych procesów

routing jako jeden z wielu

m Windows Server 2008

adku routingu statycznego
ngu dynamicznego tabelę

łania pakietów.

ery do współużytkowania

nych.
ch informacje dotyczące

informację o najlepszych

ać wypełniona za pomocą

ne do tablicy trasowania
ć informacje o sposobie

a te dane przy pomocy

bą informacje, aby znaleźć

otokoły trasujące muszą

datagramach IP. Protokoły
(Open Shortest Path First);

. RIP (Routing Information

CP, jak np. BGP

można je traktować jako

iału protokołów routingu

kiwania nowych tras oraz

Bellmana-Forda) wymaga
do najbliżej położonych,

rtość odległości

ie tablic routingu nie tylko
że do sieci, których router

ebiega głównie za pomocą

z multiemisję (multicast).

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 5/25

Informacje  przesyłane  między  routerami  przyjmują  postać  wektora  opisującego  odległość
oraz kierunek. Odległość należy rozumieć jako koszt danej trasy, a kierunek jako informacje
o kolejnym skoku określoną jako adres. Zaleta tego typu protokołów jest łatwość
w konfiguracji, wadą natomiast jest wolna reakcja na zmiany w sieci oraz generowanie ruch
w sieci niezależnie czy zaszły zmiany (i konieczne  jest uaktualnienie tablic) czy też struktura
sieci pozostałą niezmieniona.

• Link state – protokoły stanu łącza

Algorytmy  stanu  łącza  (np.  algorytm  Dijkstry)  są  bardziej  złożone,  do  swojego  działania
wykorzystują  złożoną  bazę  danych  opisującą  topologię  sieci.  W  odróżnieniu  od  wektora
odległości routery zbierają i przechowują informacje na temat routerów w sieci oraz
o sposobach ich połączenia. Każdy router w tym scenariuszu przechowuje także informacje
o  koszcie  pojedynczych  ścieżek  i  stanie  połączeń.  Zbieranie  informacji  dokonywane  jest
poprzez  rozsyłanie  pakietów  link-state  advertisement  (LSA)  z  informacją  o  stanie  łącza.
Wszystkie  routery  wysyłają  zatem  informacje  o  podłączonych  sieciach  i  ich  stanie  łączy  do
innych  routerów,  które  zapisują  kopie  pakietów  LSA  w  swojej  pamięci.  Końcem  procesu
wymiany informacji będzie posiadanie przez wszystkie routery jednakowych informacji/kopi
pakietów LSA, na podstawie których tworzy informacje o najkrótszych ścieżkach. Co istotne
router  tworzący  mapę  umieszcza  siebie  w  środku  tej  drzewiastej  struktury,  a  najkrótsza
ścieżkę określa na podstawie kosztu dotarcia do sieci docelowej. Ogromną zaletą tego typu
algorytmów jest szybka reakcja na zachodzące zmiany w sieci, zaraz po zmianie stanu łącza
generowany  jest  odpowiedni  pakiet  LSA  na  podstawie  którego  wszystkie  routery  będą
aktualizować  tablice  routingu.  Istotne  jest  także  mniejsze  generowanie  ruchu  w  sieci  dzięki
brakowi  cyklicznego  rozgłaszania  i  generowaniu  pakietów  LSA  tylko  w  wypadku  wykrycia
zmiany. Wadą tej rodziny protokołów jest znaczne obciążenie łączy ruchem pakietów LSA
w pierwszym etapie budowy tablic routingu.

• Hybrydowe – połączenie protokołów odległości i stanu łącza

Trasowanie hybrydowe jest stosowana przeważnie z rozwiązaniami firmy CISCO Systems, Inc.
Protokół wykorzystujący taki typ określania tras nosi nazwę Enhanced Interior Gateway
Routing Protocol (EIGRP) i skupia zalety obu protokołów dzięki czemu posiada dokładniejsze
metryki niż protokoły wektora długości oraz znacznie szybciej dostosowuje się do zmian
w topologii sieci.

Istnieje także możliwość statycznego określenia tras dzięki czemu pakietu będą przesyłane przez
zdefiniowane porty, jednak największa wada czyli brak elastycznego mechanizmu reakcji na zmiany
w topologii sieci wyklucza go z powszechnego użycia. Statyczne trasowanie stosowane jest
wyłącznie w małych sieciach lub sytuacjach gdy z różnych powodów (np. bezpieczeństwa) przesył
pakietów musi odbywać się wyłącznie z użyciem określonych routerów.

Metody wyboru ścieżki

Routery w tablicach routingu przechowują informacje niezbędne do określenia najlepszej ścieżki
jaką przekazać pakiet. Algorytmy wykorzystują różne miary do dokonania wyboru:

• Długość ścieżki – najczęściej wykorzystywana miara wyznaczenia trasy, pakiet zostaje

przesłany przez najmniejszą ilość routerów w drodze do odbiorcy

• Opóźnienia – najkrótsza droga nie musi być najlepszą gdyż może generować duże opóźnienia

w transmisji, algorytmy doboru ścieżki mogą dokonać wyboru zmian w oparciu o tą miarę.

• Niezawodność – podobnie jak w innych mechanizmach zapewnienie niezawodności dotyczy

także doboru trasy, w tym przypadku badana będzie ilość przekłamanych bitów.

• Szerokość pasma – przesłanie danych, szczególnie ich dużej ilości może okazać się bardziej

opłacalne gdy wybrana zostanie dłuższa droga ale nie będzie znajdowało się tam wąskie
gardło, które zmniejszy prędkość transmisji

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 6/25

• Obciążenie – kolejny parametr wpływający na jakość i wydajność transmisji, wytworzenie się

zbyt dużej kolejki na routerze może niekorzystnie wpłynąć zarówno na czas przebycia drogi
przez pakiet jak i ostateczną wydajność transmisji.

• Koszt komunikacji – wartość określająca koszt przejścia pakietu od nadawcy do odbiorcy.

Usługa Routing i dostęp zdalny systemu Windows Server 2008 obsługuje dwa typy protokołów
routingu:

• Protokół RIP (Routing Information Protocol). Zaprojektowany w celu wymiany informacji

o routingu w obrębie małej lub średniej sieci.

• Protokół OSPF (Open Shortest Path First). Zaprojektowany w celu wymiany informacji

o routingu w obrębie dużej lub bardzo dużej sieci.

Funkcje routingu

Usługa Routing i dostęp zdalny udostępnia wieloprotokołowe usługi typu LAN-do-LAN, LAN-do-
WAN, wirtualną sieć prywatną (VPN) oraz usługi rozsyłania tłumaczeń adresów sieciowych (NAT).
Usługa Routing i dostęp zdalny jest przeznaczona do użytku administratorów systemu, którzy są
dobrze zaznajomieni z protokołami i usługami routingu oraz protokołami obsługującymi routing,
takimi jak TCP/IP i AppleTalk.

Routingu emisji pojedynczej

Pod nazwą routing emisji pojedynczej, rozumie się kierowanie ruchu danych pod określony adres
docelowy określony intersieci. Przy każdym przeskoku na drodze od źródła do miejsca docelowego
podejmowane są decyzje dotyczące wyznaczania trasy. Decyzje o kierunku przesłania pakietów
podejmowane są na podstawie tablic routingu.

Tablica routingu

Decyzje  dotyczące  routingu  są  wspomagane  przez  informacje,  jakie  adresy  sieciowe  (lub
identyfikatory sieci) są dostępne w intersieci. Taką wiedzę zapewnia baza danych nazywana tabelą
routingu. Tabela routingu jest serią pozycji, nazywanych trasami, które zawierają informacje o tym,
gdzie znajdują się identyfikatory sieci w intersieci. Tabela routingu wykorzystywane są zarówno na
routerach  jaki  komputerach  klienckich  (Hostach)  do  wyznaczenia optymalnych tras.  Na  rysunku 3
została przedstawiona przykładowa tabela routingu na hoście sieciowym. Na poniższym przykładzie
przedstawione  są  trasy  zarówno  dla  adresacji  IPv4  jak  i  IPv6  (które  w  tym  przypadku  zawierają
wyłącznie wpisy standardowe gdyż host nie wykorzystywał tego typu adresacji).

Marek Pyka
ITA-108 Technologie sieciowe

W tabelach routingu występu

• Trasa sieciowa. Trasa

złożonej.

• Trasa hosta. Trasa hos

identyfikatora węzła).
tras do określonych ho
go.

• Trasa domyślna. Trasa

inne trasy. Na przykład
dla lokalizacji docelo
konfigurację hostów.

Struktura tabeli routingu

Każdy wpis w tabeli routingu

• Miejsce docelowe w s

może być sieciowy ad
adres IP dla trasy hosta

• Maska sieci. Określa

podsieci może być odp
w przypadku trasy hos

• Brama. Określa adres

zestaw adresów zdefin

• Interfejs. Określa num

inny identyfikator logic

• Metryka. Określa całko

z najniższą metryką. Je
z metryką o najmniejsz

Aby wyświetlić zawart
ROUTE print lub NETS

Konfigurowanie tras pakietów IP w siec

Strona 7/25

Rys 3. Przykładowa tablica routingu

tępują trzy typy wpisów:

asa sieciowa to ścieżka do określonego identyfikat

hosta to ścieżka do adresu w sieci złożonej (identyf

zła). Trasy hosta są zazwyczaj używane do tworze

hostów w celu sterowania ruchem danych w sieci

rasa domyślna jest używana, gdy w tabeli routingu

ykład, jeśli router lub host nie może znaleźć trasy sie

celowej, używana jest trasa domyślna. Trasa

ingu składa się z następujących pól informacji:

w sieci. Określa sieciową lokalizację docelową trasy

y adres IP (bity hostów w adresie sieciowym są ust

osta lub 0.0.0.0 w przypadku trasy domyślnej.

śla maskę podsieci skojarzoną z sieciową lokaliza

odpowiednią maską podsieci dla sieciowych adresó

hosta lub 0.0.0.0 w przypadku trasy domyślnej.

res IP przesyłania lub następnego przeskoku, przez

efiniowanych przez sieciową lokalizację docelową i m

numer interfejsu sieciowego dla określonej trasy. Je
logiczny.

całkowitą wartość kosztu trasy. Zazwyczaj preferowa

ą. Jeśli istnieje wiele tras do danej sieci docelowej, u

iejszej wartości.

wartość tablicy routingu na hoście sieciowym użyj po

ETSTAT –r.

Moduł IV

sieciach komputerowych – RRAS

ikatora sieciowego w sieci

ntyfikatora sieciowego lub

orzenia niestandardowych
sieci lub zoptymalizowania

ngu nie zostaną znalezione

y sieciowej lub trasy hosta

asa domyślna upraszcza

trasy. Lokalizacją docelową

ustawiane na wartość 0),

alizacją docelową. Maska

resów IP, 255.255.255.255

rzez który można uzyskać

ą i maskę podsieci.

y. Jest to numer portu lub

owana jest trasa

j, używana jest trasa

yj polecenia:

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 8/25

Scenariusze wykorzystania routingu w sieciach przedsiębiorstw

Z routerów można korzystać dla wielu różnych topologii i konfiguracji sieci. Poniżej przedstawiono
trzy najczęściej stosowane scenariusze wykorzystania routerów.

Połączenie sieci SOHO z Internetem

Routowane połączenie z Internetem

W tym scenariuszu opisano sieć małego biura lub biura domowego (SOHO, small office or home
office), która łączy się z Internetem przy użyciu połączenia obsługującego routing.
Charakterystyka sieci SOHO:

•  Jeden segment sieci.
•  Pojedynczy protokół: TCP/IP.
•  Połączenia z usługodawcą internetowym z wybieraniem numerów na żądanie lub oparte na

łączu wydzielonym.

Na Rys. 4 pokazano przykładowe rozwiązanie dla sieci SOHO.

Rys 4. Przykładowe rozwiązanie dla SOHO

W  przypadku  serwera  z  usługą  Routing  i  dostęp  zdalny  jest  konfigurowana  karta  sieciowa  dla
nośnika stosowanego w sieci domowej (na przykład Ethernet lub sieć bezprzewodowa) oraz karta
ISDN,  modem  analogowy  lub  inny  interfejs  dostępu  do  łącza  (karta  ethernet,  karta  USB,  modem
HSxPA  itp.)  .  Można  korzystać  z  linii  dzierżawionej  lub  innych  technologii  połączeń  stałych,  takich
jak xDSL i modemy kablowe, ale w tym scenariuszu opisano bardziej typową konfigurację, w której
używane jest łącze telefoniczne do lokalnego usługodawcy internetowego.

Tłumaczone połączenie z Internetem (NAT)

W sieci jak na Rys. 4 zostaje wprowadzona usługa NAT (Network Adress Translator) umożliwiająca
rozwiązanie problemu niewystarczającej ilości adresów IP przydzielonych dla przedsiębiorstwa.
Dla  scenariusza  z  usługą  NAT  konieczne  jest  posiadanie  minimum  jednego  adresu  hosta
przydzielonego  interfejsowi  zewnętrznemu  routera  oraz  wykorzystanie  którejś  z  pól  adresów
wewnętrznych np. 192.168.0.0/24

Sieć średniego przedsiębiorstwa

Sieci średnich przedsiębiorstw stanowią obecnie 80% rynku sieciowego. To w tego rodzaju sieciach
najczęściej poszukiwani są specjaliści od konfiguracji i zarządzania routerami IP. Najczęściej taka
sieć składa się z następujących elementów:

•  Kilka segmentów sieci (na przykład jeden segment dla każdego piętra lub skrzydła budynku).
•  Zamknięta sieć bez połączeń wychodzących i przychodzących z inną siecią, taką jak Internet.
•  Obsługa protokołu IP.

Na Rys. 5 pokazano przykład infrastruktury średniego przedsiębiorstwa.

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 9/25

Rys 5. Schemat sieci dla średniego przedsiębiorstwa

W przypadku średniego przedsiębiorstwa wykorzystywane są protokoły routingu RIP lub też buduje
się  rozwiązanie  na  trasach  statycznych.  Jednakże  większość  obecnie  stosowanych  rozwiązań  tego
typu  oparta  jest  na  protokole  RIP  a  trasy  statyczne  wykorzystywane  są  głównie  jako  rozwiązanie
ratunkowe w sytuacjach awaryjnych.
Alternatywną siecią dla średniego przedsiębiorstwa  może jest infrastruktura sieciowa z dostępem
do  Internetu  oraz  posiadająca  pracowników  mobilnych.  Przykładowy  schemat  takiej  sieci  został
przedstawiony na Rys. 6.

Rys 6. Schemat sieci średniego przedsiębiorstwa z dostępem do Internetu

W sieci średniego biura zazwyczaj używanych jest kilka różnego typu nośników sieciowych.
W różnych segmentach biura mogą być używane sieci Ethernet o szybkości 10 Mb/s lub 100 Mb/s,
ale  w  przypadku  sieci  szkieletu,  która  służy  do  łączenia  różnych  sieci  i  oferuje  usługi,  mogą  być
używane  sieci  Ethernet  o  szybkości  1000  Mb/s,  Fiber  Distributed  Data  Interface  (FDDI)  lub  sieci
optyczne innego typu. Najczęściej stosowanym protokołem w tego typu sieciach jest RIPv2 lub IGRP
firmy  Cisco.  Protokoły  te  cechują  się  dynamicznym  zarządzaniem  tablicami  routingu  i  dużą
odpornością na awarie łączy.

Sieć dużych przedsiębiorstw

Sieci dużych przedsiębiorstw cechują się dość znacznym poziomem komplikacji. Administratorzy
w  tych  sieciach  niejednokrotnie  muszą  zarządzać  infrastrukturą  oddziałów  zdalnych  i  routingiem
poprzez sieć Internet. Windows Server 2008 umożliwia wspieranie takich sieci zwłaszcza

Marek Pyka
ITA-108 Technologie sieciowe

w dziedzinie obsługi router
przedsiębiorstwa cechuje się

• Wiele segmentów siec

skrzydła budynku).

•  Więcej niż jeden proto
•  Obszary skonfigurowa
•  Połączenia telefoniczn

delegacji.

•  Dzierżawione połączen
•  Połączenia z wybierani
•  Połączenia internetow

Przykładową infrastrukturę d

Rys 7. Sch

Sieć firmowa wykorzystuje zw
infrastruktury mogą być używ
w przypadku sieci szkieletu, k
są  sieci  1000  Mb/s  Etherne
Połączenia z sieciami zewnęt
przełączania pakietów, takie
nośniki przełączane (linia ISD
karty  Frame  Relay)  lub  Inter
sieciach jest OSPF oraz w szc
Oddziały firmy mogą być poł
lub  telefonicznych.  Korzys
międzymiastowych  może  by
oddziału  firmy z główną sied
protokołów  dostępu  zdalneg
bezpieczny, szyfrowany tune
może przyczynić się do zmnie
linii dzierżawionych.

Problematyka wykorz
zostanie omówiona w

Protokoły routingu

W środowiskach dynamiczn
protokołów routingu IP. Dwa

Konfigurowanie tras pakietów IP w siec

Strona 10/25

uterów brzegowych oddziałów zdalnych. Infrastru

e się następującymi parametrami:

sieci LAN ze szkieletem (na przykład jeden segment

rotokół sieciowy.

owane przy użyciu protokołu Open Shortest Path Firs

iczne dla użytkowników, którzy łączą się z domu, lu

czenia z oddziałami firmy.

raniem numerów na żądanie z oddziałami firmy.

towe.

rę dużego przedsiębiorstwa przedstawia Rys. 7.

. Schemat sieci średniego przedsiębiorstwa z oddziałami zdalny

je zwykle kilka różnego typu nośników sieciowych. W

używane sieci Ethernet lub token ring o szybkości 10

tu, która służy do łączenia różnych sieci i oferuje usłu

ernet lub Fiber Distributed Data Interface (FDDI) o

nętrznymi (Internetem) ustanawiane są przez dzierż

akie jak Frame Relay. Połączenia z oddziałami firmy

ISDN lub modemy analogowe), nośniki wydzielone

Internet. Protokołem routingu najczęściej wykorzys

szczególnych przypadkach RIPv2.

ołączone z główną siedzibą firmy za pośrednictwe

rzystanie z linii dzierżawionych lub telefonic

e być kosztowne. Usługa Routing i dostęp zdalny

siedzibą firmy przez Internet. Router w oddziale fir

lnego tj. PPTP, L2TP lub obsługiwany przez Windo

unel przez Internet do sieci w głównej siedzibie firm

mniejszenia kosztów, ponieważ połączenie tego typu

korzystania sieci tunelowanych na serwerach RRAS

a w 12 module tego podręcznika.

icznego routingu IP informacje routingu IP są pro

Dwa najbardziej popularne protokoły routingu IP, któ

Moduł IV

sieciach komputerowych – RRAS

struktura sieciowa dużego

ent dla każdego piętra lub

First (OSPF).

u, lub dla użytkowników w

alnymi

ch. W różnych segmentach

i 10/100 Mb/s, ale

usługi, zwykle są używane

I) o szybkości 100 Mb/s.

zierżawione linie lub usługi

irmy ustanawiane są przez
one (linie dzierżawione lub

rzystywanym w tego typu

ctwem linii dzierżawionych
fonicznych dla połączeń
alny umożliwia połączenie

e firmy tworzy przy użyciu

indows Server 2008 SSTP,
firmy. Ta konfiguracja sieci

typu są znacznie tańsze od

RAS Windows Server 2008

propagowane przy użyciu
, które są używane

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 11/25

w intranetach, to Routing Information Protocol (RIP) i Open Shortest Path First (OSPF).
W  tym  środowisku  można  uruchamiać  wiele  protokołów  routingu.  W  takim  przypadku  trzeba
określić,  który  protokół  routingu  jest  preferowanym  źródłem  zapamiętanych  tras,  konfigurując
poziomy  uprzywilejowania.  Preferowany  protokół  routingu  jest  źródłem  tras,  które  są  dodawane
do  tabeli  routingu,  niezależnie  od  ich  metryki.  Jeśli  na  przykład  metryką  zapamiętanej  trasy
protokołu OSPF jest 5, metryką odpowiadającej jej zapamiętanej trasy protokołu RIP jest 3, a OSPF
jest preferowanym protokołem routingu, trasa protokołu OSPF jest dodawana do tabeli routingu IP,
a trasa protokołu RIP jest ignorowana.

Protokół RIP

Protokół Routing Information Protocol (RIP) został  zaprojektowany z myślą o wymianie informacji
routingu w obrębie małej lub średniej intersieci.
Największą zaletą protokołu RIP jest to, że jest on niezwykle łatwy do skonfigurowania i wdrożenia.
Największą wadą protokołu RIP jest niemożność przeskalowania go do użytku w dużych lub bardzo
dużych  intersieciach.  Maksymalną  liczbą  przeskoków  używaną  przez  routery  RIP  jest  15.  Sieci
znajdujące  się  w  odległości  16  przeskoków  lub  większej  są  uważane  za  nieosiągalne.  Ponieważ
intersieci stają się coraz większe, okresowe rozgłoszenia wysyłane przez każdy router RIP mogą być
przyczyną nadmiernego ruchu danych. Inną wadą protokołu RIP jest jego długi czas przywracania.
Gdy topologia intersieci ulegnie zmianie, może upłynąć kilka minut, zanim routery RIP dostosują się
do  nowej  topologii  intersieci.  Chociaż  intersieć  rekonfiguruje  się  sama,  mogą  powstać  pętle
routingu, które mogą być przyczyną utraty danych lub niemożności ich dostarczenia.
Początkowo tabela routingu dla każdego routera obejmuje tylko sieci, które są fizycznie połączone.
Router RIP okresowo rozgłasza informacje zawierające pozycje jego tabeli routingu,
aby poinformować inne lokalne routery RIP o sieciach, które są dla niego osiągalne. Protokół RIP
w wersji 1 używa dla swoich rozgłoszeń pakietów emisji IP. Protokół RIP w wersji 2 używa
do rozgłaszania pakietów multiemisji lub emisji.
Routery  RIP  mogą  również  rozgłaszać  informacje  routingu  poprzez  aktualizacje  wyzwalane.
Aktualizacja wyzwalana ma miejsce wtedy, gdy topologia sieci ulega zmianie i, aby odzwierciedlić tę
zmianę,  wysyłane  są  zaktualizowane  informacje  routingu.  W  przypadku  aktualizacji  wyzwalanych
aktualizacja  jest  wysyłana natychmiast,  bez  czekania na  następny okres  rozgłoszenia.  Na  przykład
gdy  router  wykryje  awarię  łącza  lub  routera,  aktualizuje  swoją  tabelę  routingu  i  wysyła
zaktualizowane  trasy.  Każdy  router,  który  odbierze  aktualizację  wyzwalaną,  modyfikuje  własną
tabelę routingu i propaguje tę zmianę. Usługa Routing i dostęp zdalny obsługuje protokół RIP
\w  wersjach  1  i  2.  Protokół  RIP  w  wersji  2  obsługuje  rozgłaszanie  multiemisyjne  i  proste
uwierzytelnianie hasła, a ponadto jest bardziej elastyczny w środowiskach z podsieciami
i środowiskach routingu Classless InterDomain Routing (CIDR).
Implementacja  protokołu  RIP  w  systemach  z  rodziny  Windows  Server  2008  oferuje  następujące
funkcje:

• Wybór wersji protokołu RIP, która ma być uruchomiona na każdym interfejsie dla pakietów

przychodzących i wychodzących.

• Algorytmy split-horizon i poison-reverse oraz algorytm aktualizacji wyzwalanych, które są

używane, aby uniknąć pętli routingu i przyspieszyć przywracanie intersieci po zmianie
topologii.

• Filtry tras pozwalające wybierać sieci do zaanonsowania lub zaakceptowania.
• Filtry routerów równoprawnych pozwalające określić routery, których pakiety

rozgłoszeniowe są akceptowane.

•  Możliwe do skonfigurowania czasomierze anonsów i wieku tras.
•  Obsługa prostego uwierzytelniania hasła.
•  Możliwość wyłączenia podsumowania podsieci.

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 12/25

Protokół OSPF

Protokół  Open  Shortest  Path  First  (OSPF)  został  zaprojektowany  z  myślą  o  wymianie  informacji
routingu w dużej lub bardzo dużej intersieci. Największą zaletą protokołu OSPF jest jego wydajność;
protokół  OSPF  nie  powoduje  dużego  obciążenia  sieci,  nawet  w  bardzo  dużych  intersieciach.
Największą  wadą  protokołu  OSPF  jest  jego  złożoność;  protokół  OSPF  wymaga  właściwego
planowania i jest trudniejszy do skonfigurowania i administrowania.
Protokół  OSPF  do  obliczania  tras  w  tabeli  routingu  używa  algorytmu  Shortest  Path  First  (SPF).
Algorytm  SPF  oblicza  najkrótszą  (najmniej  kosztowną)  ścieżkę  między  routerem  a  wszystkimi
sieciami intersieci. Obliczone przez algorytm SPF trasy są zawsze wolne od pętli.
Zamiast  wymieniać  pozycje  tabeli  routingu  (jak  routery  RIP),  routery  OSPF  przechowują  mapę
intersieci,  która  jest  aktualizowana  po  każdej  zmianie  topologii  sieci.  Mapa  ta,  nazywana  bazą
danych  stanu  łączy,  jest  synchronizowana  między  wszystkimi  routerami  OSPF  i  jest  używana  do
obliczania tras w tabeli routingu. Sąsiadujące routery OSPF tworzą sąsiedztwo, które jest logicznym
powiązaniem między routerami synchronizującymi bazę danych stanu łączy.
Zmiany  w  topologii  intersieci  są  wydajnie  propagowane  w  całej  intersieci,  co  zapewnia,  że  baza
danych  stanu  łączy  na  każdym  routerze  jest  zawsze  zsynchronizowana  i  dokładna.  Po  odebraniu
zmian wprowadzonych w bazie danych stanu łączy tabela routingu jest obliczana ponownie.
W miarę jak wzrasta rozmiar bazy danych stanu łączy, zwiększają się wymagania dotyczące pamięci
i czas obliczania tras. Aby rozwiązać ten problem ze skalowaniem, protokół OSPF dzieli intersieć na
obszary  (kolekcje  sąsiadujących  sieci),  które  są  połączone  ze  sobą  za  pośrednictwem  obszaru
szkieletu. Każdy router przechowuje tylko bazę danych stanu łączy dla tych obszarów, które są
z nim połączone. Routery graniczne obszaru (ABR, Area Border Router) łączą obszar szkieletu
z innymi obszarami.
Aby jeszcze bardziej ograniczyć zalewanie obszarów dużą ilości informacji o routingu, w protokole
OSPF  wprowadzono  możliwość  stosowania  obszarów  wejściowych.  Obszar  wejściowy  może
zawierać jeden punkt wejścia i wyjścia (jeden router ABR) albo wiele routerów ABR (do miejsc na
trasach zewnętrznych można docierać przy użyciu dowolnego routera ABR).
Na rysunku 8 pokazano diagram intersieci OSPF.

Rys 8. Schemat sieci opartej o protokół OSPF

Protokół OSPF ma następujące zalety w stosunku do protokołu RIP:

•  Trasy obliczone przez protokół OSPF są zawsze wolne od pętli.
•  Protokół OSPF można przeskalować do użytku w dużych i bardzo dużych intersieciach.
•  Ponowna konfiguracja po zmianach w topologii sieci odbywa się szybciej.

Implementacja protokołu OSPF w usłudze Routing i dostęp zdalny oferuje następujące funkcje:

•  Filtry tras sterujące interakcją z innymi protokołami routingu.
•  Dynamiczna rekonfiguracja wszystkich ustawień protokołu OSPF.
•  Współistnienie z protokołem RIP.
•  Dynamiczne dodawanie i usuwanie interfejsów.

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 13/25

Porównanie protokołów RIP i OSPF

Protokół RIP można łatwo konfigurować i wdrażać. Ponieważ sieci stają się coraz większe, okresowe
transmisje rozgłaszające wysyłane przez każdy router RIP mogą być przyczyną nadmiernego ruchu
(protokół RIP jest zazwyczaj używany w sieciach, które mogą obejmować nawet 50 serwerów).
Protokół OSPF działa efektywnie w dużych sieciach, ponieważ oblicza najlepszą trasę, z której
należy korzystać, i wymaga mniejszej liczby komunikatów o stanie. W przeciwieństwie do protokołu
RIP, protokół OSPF anonsuje innym routerom tylko zmiany tras, a nie wszystkie znane trasy.
Wadą protokołu OSPF jest jego złożoność: konfiguracja jest trudniejsza, a zarządzanie bardziej
czasochłonne niż w przypadku protokołu RIP.

Protokoły multiemisji

Multiemisja jest użyteczna przy dostarczaniu informacji z jednego routera do wielu routerów
w intersieci. Można korzystać z trzech mechanizmów takiego dostarczania:

• Wysłanie informacji pojedynczo do każdego punktu końcowego przy użyciu adresów emisji

pojedynczej. Wadami tej metody są: duplikowanie ruchu danych w sieci i dodatkowe
obciążenie wynikające z konieczności przechowywania listy punktów końcowych emisji
pojedynczej.

• Wysłanie informacji w pojedynczym pakiecie przy użyciu adresu emisji. Zaletami tej metody

są: korzystanie z pojedynczego pakietu i brak obciążenia wynikającego z konieczności
przechowywania listy adresatów. Wadami tej metody są: korzystanie z pakietów emisji
(które angażują wszystkie węzły w sieci) i fakt, że emisje nie są przekazywane przez routery.
Pakiet emisji dociera do każdego w sieci, ale nie w intersieci.

• Wysłanie informacji w pojedynczym pakiecie przy użyciu adresu multiemisji. Zaletami tej

metody są: korzystanie z pojedynczego pakietu i brak obciążenia wynikającego z konieczności
przechowywania listy adresatów. W odróżnieniu od pakietów emisji, ruch danych multiemisji
nie angażuje tych węzłów, które go nie nasłuchują. Routery mogą obsługiwać multiemisję
i przekazywać pakiety multiemisji do każdej sieci, w której jest przynajmniej jeden węzeł
prowadzący nasłuch.

Mechanizmy przekazywania multiemisji

Przekazywanie multiemisji, tj. inteligentne przekazywanie ruchu multiemisji, realizowane jest przez
protokół TCP/IP oraz protokół routingu IGMP w przypadku interfejsów działających w trybie
routera IGMP na serwerze z uruchomioną usługą Routing i dostęp zdalny.
Protokół TCP/IP realizuje następujące funkcje związane z przekazywaniem multiemisji:

• Odbiera i przetwarza cały ruch danych multiemisji

W systemach z rodziny Windows Server 2008 protokół TCP/IP odbiera i przetwarza cały ruch
danych multiemisji na interfejsach, które są skonfigurowane dla trybu routera IGMP.
Cały  ruch  danych  multiemisji  IP  jest  albo  przekazywany  do  procesu  uruchomionego  na
routerze,  albo  w  sposób  inteligentny  przekazywany  do  segmentów  sieci,  które  zawierają
członków grupy multiemisji lub routerów połączone z segmentami sieci w kierunku
„z prądem”, które zawierają członków grupy multiemisji.

• Przekazuje pakiety multiemisji do odpowiednich interfejsów

Po odebraniu pakietu multiemisji serwer z usługą Routing i dostęp zdalny sprawdza tabelę
przekazywania multiemisji, aby zdecydować, czy przekazać dany pakiet do któregoś z innych
przyłączonych interfejsów.

Interfejs uruchomiony w trybie routera IGMP wykonuje następujące funkcje związane
z przekazywaniem multiemisji:

• Przełącza kartę sieciową w tryb ogólny multiemisji

Tryb routera IGMP powoduje przełączenie karty sieciowej w tryb ogólny multiemisji.

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 14/25

W trybie ogólnym multiemisji wszystkie pakiety multiemisji odebrane przez kartę sieciową są
przekazywane w celu przetworzenia do warstw sieciowych. Nie wszystkie karty sieciowe
obsługują tryb ogólny multiemisji.

• Śledzi przynależność do grup multiemisji

Interfejs  w  trybie  routera  IGMP  nasłuchuje  wiadomości  raportów  członkowskich  IGMP  na
lokalnie przyłączonych sieciach i kompiluje listę informacji o aktywności multiemisji jako serię
par  {sieć  adresata,  grupa  multiemisji}.  Sieć  adresata  jest  identyfikatorem  sieci  IP  segmentu
sieci  zawierającego  węzeł  prowadzący  nasłuch.  Grupa  multiemisji  jest  określonym  adresem
multiemisji, który został zarejestrowany przez węzeł prowadzący nasłuch. Router obsługujący
multiemisję nie śledzi adresów IP nasłuchujących hostów, a tylko identyfikator sieci IP,
w której przynajmniej jeden host prowadzi nasłuch.
Aby  zapewnić  prowadzenie  przez  hosty  w  dalszym  ciągu  nasłuchu  na  swoich
zarejestrowanych  adresach  multiemisji,  router  IGMP  okresowo  monituje  każdą  sieć.
Odpowiedzią na taki monit jest komunikat raportu członkowskiego IGMP. Jeśli w pojedynczej
sieci  istnieje  wiele  routerów  IGMP,  jeden  router  IGMP  zostaje  wybrany  jako  router
monitujący i rozsyła wszystkie okresowe monity.

• Aktualizuje tabelę przekazywania multiemisji protokołu TCP/IP

Na podstawie bieżącego stanu nasłuchujących hostów na interfejsach w trybie routera IGMP,
tabela przekazywania multiemisji protokołu TCP/IP jest aktualizowana przez umieszczanie w
niej odpowiednich pozycji.

Routing w trybie multiemisji

Funkcja  routingu  multiemisji,  czyli  propagacja  informacji  nasłuchu  multiemisji,  jest  dostarczana
przez  protokoły  routingu  multiemisji,  takie  jak  Distance  Vector  Routing  Multicast  Protocol
(DVMRP).  Systemy  z  rodziny  Windows  Server  2008  nie  zawierają  żadnych  protokołów  routingu
multiemisji. Można jednak skorzystać z protokołu routingu IGMP i trybu routera IGMP oraz trybu
proxy  IGMP,  aby  zapewnić  przekazywanie  multiemisji  w  intranecie  z  pojedynczym  routerem  lub
przy połączeniu takiego intranetu z Internetem.

Narzędzia zarządzania trasami

Wiersz poleceń

Jednym  z  podstawowych  narzędzi  do  ustalania  statycznych  tras  w  systemach  Windows  jest
polecenie route, pozwalające na podstawowe operacje w tablicy routingu systemu operacyjnego.
Podstawowym zastosowaniem będzie dodanie nowego wpisu:
route ADD „sieć docelowa” MASK „maska podsieci” „adres bramy”

np. route ADD 10.10.10.0 MASK 255.255.255.0 192.168.1.10

co  należy  rozumieć  jako:  w  sieci  192.168.1.0  istnieje  brama  o  adresie  192.168.1.10  przez  którą
można  uzyskać  dostęp  do  sieci  10.10.10.0.  Dodatkowo  można  wykonać  operacji  usunięcia
wszystkich  wpisów  o  bramach  używając  przełącznika  –f,  dodać  wpis  na  stałe  –p  (jego  brak
powoduje  usunięcie  wpisu  po  restarcie  systemu).  Użyteczna  jest  także  komenda  route  PRINT
wyświetlająca listę tras.

Marek Pyka
ITA-108 Technologie sieciowe

ras show authtype – wyświet
ras add authtype md5chap
ras ip – przechodzi do instanc
ras ip show config – wyświet
ras ip set access serveronly
ras ip add range 192.168.0.3
routing dump > Routing.txt
Listę wszystkich poleceń moż

Pełna lista poleceń ne
udostępnionym pod a

http://www.microsoft.com/d
2ef336db3df5&DisplayLang=

Polecenia netsh dotycząc
administrowanie serwerami
opartego na konsoli. Mogą b

• Podczas zarządzania

można używać poleceń
co pozwala na efektyw

• Podczas zarządzania d

w wierszu polecenia
powtarzających się za
serwerów RRAS.

Konsola serwera RRAS

Konsola RRAS jest narzędziem
oparte jest na konsoli mmc
zarządzania usługami RRAS
konsoli RRAS jest:

•  Tworzenie zasad wyzn
•  Dodawanie i konfiguro
•  Przeglądanie i modyfik

filtrów dla komunikacj

•  Budowanie reguł dostę
•  Monitorowanie aktyw
•  Tworzenie sieci VPN op

Zabezpieczanie routingu

Przed włączeniem funkcji r
infrastrukturę sieci, aby mo
najlepiej odpowiadała wyma
aspekty zabezpieczeń usługi

•  zabezpieczenie serwer
•  zabezpieczenie ruchu s
•  użycie bezpiecznych m

Przed skonfigurowaniem i w
rozważyć następujące zagadn

• Kto może włączać, k

korzystać z przystawk

Konfigurowanie tras pakietów IP w siec

Strona 17/25

wietla mechanizmy autentykacji wykorzystywane na

– dodaje określony mechanizm autentykacji

tancji obsługi protokołu IP na serwerze RRAS

ietla konfigurację reguł IP na serwerze RRAS

– zmienia poziom dostępu na tryb wyłączności se

.0.32 192.168.0.63 – ustala zakres adresów o zaakce

– zapisuje do pliku konfigurację serwera RRAS

można uzyskać poprzez wprowadzenie znaku „?” w

ń netsh do zarządzania usługami serwerowymi zna

od adresem:

m/downloads/details.aspx?FamilyID=f41878de-2ee
ng=en

czące RRAS zapewniają narzędzia wiersza p

rami RRAS i stanowiące alternatywne rozwiązan

gą być one użyteczne w następujących sytuacjach:

ia serwerami RRAS w sieciach rozległych (WAN,

eceń w trybie interakcyjnym w wierszu polecenia na

ktywniejsze zarządzanie za pośrednictwem powolnyc

ia dużą liczbą serwerów RRAS, można używać polece

nia narzędzia Netsh, co ułatwia tworzenie skryptó

ę zadań administracyjnych, które trzeba wykonać w

ziem instalowanym na serwerze z uruchomiona usłu

mmc w wersji 3,0 dzięki czemu możliwą jest inte

AS z innymi narzędziami konfiguracji sieci. Podstaw

yznaczania tras dla pakietów IP.

gurowanie protokołów routingu.
dyfikowanie właściwości protokołów, na przykład ok

kacji IP.

ostępu zdalnego do infrastruktury.

tywności związanej z przekazywanym przez serwer r

N opartej o protokoły PPTP, L2TP i SSTP.

cji routingu usługi Routing i dostęp zdalny należ

możliwe było skonfigurowanie usługi Routing i d

ymaganiom dotyczącym zabezpieczeń i funkcjonaln

ługi Routing i dostęp zdalny:

wera z usługą Routing i dostęp zdalny,

hu sieciowego między serwerem i jego klientami
h metod uwierzytelniania.

i włączeniem funkcji routingu usługi Routing i

gadnienia:
ć, konfigurować i wyłączać usługę Routing i dos

awki Routing i dostęp zdalny osobno lub w obrę

Moduł IV

sieciach komputerowych – RRAS

e na serwerze RRAS

i serwera

kceptowanym dostępie

” w kontekście netsh ras>

znajduje się z kompedium

2ee7-4718-8499-

a polecenia ułatwiające

zanie wobec zarządzania

AN, Wide Area Network)

a narzędzia Netsh,

lnych łączy sieciowych.

leceń w trybie wsadowym

yptów i automatyzowanie

ć w przypadku wszystkich

usługą RRAS. Narzędzie to

integracja przystawek do

stawową funkcjonalnością

d określanie dodatkowych

er ruchem IP.

ależy dokładnie przejrzeć

i dostęp zdalny, tak aby

alności. Można ocenić trzy

g i dostęp zdalny, należy

dostęp zdalny. Aby móc

obrębie konsoli Microsoft

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 18/25

Management Console (MMC), trzeba być członkiem grupy Administratorzy. Członkiem grupy
Administratorzy trzeba być również, aby móc używać większości poleceń netsh routing
z  wiersza  polecenia.  Członkostwo  grupy  Administratorzy  należy  ograniczyć  do  minimalnej
liczby użytkowników, niezbędnej do administrowania serwerem.

• Jak otwierać przystawkę Routing i dostęp zdalny. Ze względów bezpieczeństwa przystawkę

Routing i dostęp zdalny lepiej jest otwierać za pomocą polecenia runas, niż logując się
z poświadczeniami administracyjnymi. Aby otworzyć przystawkę Routing i dostęp zdalny bez
logowania  się  jako  członek  grupy  Administratorzy,  wpisz  następujące  polecenie  w  wierszu
polecenia:

Runas /user:[Domena/]NazwaUżytkownika"mmc %katalog_systemu_windows%
\system32\rrasmgmt.msc"

Podana nazwa użytkownika musi odpowiadać kontu administratora lub kontu należącemu do
grupy Administratorzy, a po wyświetleniu monitu należy podać hasło konta.

• Których składników routingu wymaga sieć użytkownika. Należy udokumentować plan sieci,

wymagane składniki routingu oraz sposób konfiguracji tych składników. Te informacje mogą
pomóc w konserwacji sieci i identyfikowaniu obszarów wymagających szczególnej uwagi lub
ulepszenia.

• Czy możliwe jest uproszczenie topologii sieci. Prostsze sieci są łatwiejsze w konserwacji

i zawierają mniej punktów ataku. Upraszanie sieci może obejmować:

• Minimalizowanie liczby interfejsów sieciowych. Chociaż większość serwerów z usługą

Routing i dostęp zdalny to komputery wieloadresowe, należy konfigurować jak najmniej
interfejsów sieciowych. Jeśli jest to możliwe, nie należy konfigurować serwera z usługą
Routing i dostęp zdalny z więcej niż jednym interfejsem publicznym.

• Minimalizowanie liczby tras. Należy używać tak niewielu tras statycznych i wybierania

numerów na żądanie, jak jest to możliwe.

• Minimalizowanie liczby używanych protokołów routingu. Należy sprawdzić, jakie

protokoły routingu są używane i jak są skonfigurowane, a następnie skonfigurować tak
mało protokołów routingu, jak jest to możliwe.

• Jakie protokoły tunelowania mają być używane. Jeśli konfigurowana jest wirtualna sieć

prywatna  (VPN)  między  dwoma  routerami,  to  należy  rozważyć  stosowanie  protokołu  SSTP
lub  L2TP  (Layer  Two  Tunneling  Protocol)  zamiast  protokołu  PPTP  (Point-to-Point  Tunneling
Protocol).

• Czy będą używane filtry pakietów, zapory i inne zabezpieczenia ruchu sieciowego. Routing

ruchu  sieciowego  należy  ograniczyć  do  minimalnego  poziomu  wymaganego  przez  sieć.
Należy  również  rozważyć  użycie  filtrów  IP  w  domyślnych  zasadach  dostępu  zdalnego
gwarantujących,  że  przychodzący  ruch  sieciowy  pochodzi  z  autoryzowanych  klientów
dostępu zdalnego.

• W usłudze Routing i dostęp zdalny można skonfigurować statyczne filtry pakietów

na  interfejsach  sieciowych  i  włączyć  zaporę  podstawową  na  interfejsach  publicznych.
Funkcji  zabezpieczeń  można  używać  osobno  lub  łącznie  z  innym  oprogramowaniem,
takim jak Usługa uwierzytelniania internetowego (IAS).

• Jeśli jest włączona Zapora połączenia internetowego lub Zapora systemu Windows,

nie  można  skonfigurować  usługi  Routing  i  dostęp  zdalny.  Przed  rozpoczęciem
konfigurowania  usługi  Routing  i  dostęp  zdalny  należy  wyłączyć  Zaporę  połączenia
internetowego lub Zaporę systemu Windows

• Jaki poziom rejestrowania będzie używany. Należy zastanowić się, jak wiele informacji będzie

rejestrowanych dla każdego protokołu routingu. Usługa Routing i dostęp zdalny oferuje kilka
opcji rejestrowania. Dodatkowo można użyć funkcji usługi IAS, aby uzyskać bardziej
szczegółowe i scentralizowane informacje dotyczące ewidencjonowania aktywności

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 19/25

i inspekcji. Aby uzyskać więcej informacji, zobacz Rejestrowanie i Usługa uwierzytelniania
internetowego.

Wdrażanie serwera RRAS w przedsiębiorstwie

Przed przystąpieniem do wdrażania serwera RRAS w sieci upewnij się, że wszystkie poniższe punkty
są dla Ciebie jasne.

• Znasz pojęcia związane z rolą RRAS, takie jak RIP, OSPF, tablica routingu.
• System operacyjny jest skonfigurowany poprawnie. W systemach operacyjnych z rodziny

Windows Server 2008 usługa RRAS jest uzależniona od prawidłowej konfiguracji systemu
operacyjnego oraz jego usług.

• Komputer na którym będzie instalowana posiada minimum dwa interfejsy sieciowe

o statycznych adresach IP.

• Kreator konfiguracji zabezpieczeń jest zainstalowany i włączony.
• Podczas dodawania roli serwera RRAS tworzony jest zestaw interfejsów sieciowych wraz

z interfejsem wewnętrznym umożliwiającym komunikację pomiędzy interfejsami. Domyślnie
tworzona  jest  też  tablica  routingu  umożliwiająca  przesyłanie  pakietów  IP  pomiędzy
interfejsami. Podczas instalacji należy pamiętać iż routing IPv6 nie jest domyślnie włączony,
więc w przypadku wykorzystywania tego typu adresacji należy poinformować serwer
o pełnieniu roli routera IPv6.

Podsumowanie

W  tym  rozdziale  przedstawione  zostały  najważniejsze  pojęcia  związane  z  wdrażaniem  usługi
routingu  na  serwerze  RRAS  w  przedsiębiorstwie.  Dowiedziałeś  się,  jak  przebiega  proces
wyznaczania tras dla pakietów IP i jakie protokoły można zastosować. Usługi trasowania (routingu)
są  obecnie  stosowane  w  każdym  typie  sieci  komputerowej  od  małych  sieci  domowych  gdzie
użytkownicy  używają  Access  Point  dla  sieci  bezprzewodowych  po  duże  systemy  autonomiczne.
Obecny Internet to w głównej mierze wydajne przesyłanie pakietów. Rozdział ten zaprezentował
w jaki sposób można wykorzystać rolę serwera RRAS na platformie Windows Server 2008.

Przykładowe rozwiązanie

Jako  inżynier  systemowy  zostałeś  poproszony  o  przedstawienie  planu  przebudowy  infrastruktury
sieciowej w centrali i oddziałach zdalnych środowiska sieciowego przedsiębiorstwa
z uwzględnieniem podziału na podsieci i wyznaczeniem nowych tras dla pakietów. Prezentując plan
masz się skupić wyłącznie na wyjaśnieniu jakie kroki poczyni dział IT aby zrealizować projekt.
Instalacja  serwera  RRAS  w  przedsiębiorstwie  wiąże  się  z  wykonaniem  szeregu  czynności
dotyczących zaplanowania, wdrażania i utrzymywania usługi. Proces taki można przedstawić jak na
poniższym schemacie.

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 20/25

Rys. 12 Schemat wdrażania serwera RRAS w przedsiębiorstwie

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że znajomość zasad konfiguracji routerów sprzętowych jak i programowych jest

niezbędna dla pracy jako administrator sieciowy w przedsiębiorstwie.

• Jeżeli tylko jest to możliwe projektuj infrastrukturę routerów w taki sposób aby

wykorzystywały dynamiczne protokoły stanu łącza.

•  Wypracuj sobie metody zarządzania trasami pakietów IP w sytuacjach awaryjnych.
•  Jeżeli wykorzystujesz usługi RRAS/IAS dokładnie zaplanuj reguły dostępu zdalnego.
•  W środowisku rozproszonym stosuj protokół OSPF.
•  Ze względów bezpieczeństwa stosuj NAT.
•  Zarządzaj serwerami zdalnymi za pomocą poleceń netsh.

Dostęp zdalny

• Zaplanuj stosowanie najmocniejszych protokołów autentykacji
• Każdy dostęp do swojej infrastruktury realizowany poprzez sieć Internet zaplanuj

z wykorzystaniem protokołów VPN tj. SSTP lub L2TP

• Dostęp zdalny do organizacji poprzez sieci VPN zabezpiecz mechanizmami kwarantanny NAP
• Jeżeli konieczny jest dostęp do serwera RRAS poprzez protokół RDP, zezwalaj na niego

wyłącznie na wewnętrznym interfejsie

Zaprojektowanie

serwera RRAS

Wybór protokołów

routingu

Definicja zasad routingu

Określenie parametrów

bezpieczeństwa dla

aktualizacji tras

Wybór trybu pracy

dostępu zdalnego

RAS/VPN

Określenie protokołów

dostępu zdalnego

Wdrożenie serwera

RRAS

Zaprojektowanie

prcesów monitorowania

transmisji

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 21/25

• W przypadku wykorzystania RDP z sieci niezabezpieczonych stosuj sieć VPN SSTP aby

zestawić bezpieczny kanał komunikacyjny

Integracja z innymi usługami

• Pamiętaj, że aby zainstalować agenta przekazywania DHCP musisz na platformie Windows

Server 2008 zainstalować rolę serwera RRAS.

• Usługa IAS umożliwia wykorzystanie autoryzacji Active Directory dla wszystkich klientów

sieciowych.

• Jeżeli tylko to możliwe stosuj infrastrukturę certyfikatów w dostępie zdalnym.
• W systucji łączenia oddziałów zdalnych firm stosuj VPN na żądanie

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium jeśli:

•  rozumiesz zasady adresowania IP w sieciach przedsiębiorstw
•  umiesz instalować role i funkcje na platformie Windows Server 2008
•  umiesz zaplanować wykorzystanie protokołów routingu zgodnie z architekturą sieci
•  potrafisz  podać  przykłady  zagrożeń  wynikających  ze  źle  zaprojektowanej  infrastruktury

dostępu zdalnego

•  znasz zasady zarządzania trasami pakietów IP w środowisku rozproszonym
•  zapoznałeś się z głównymi pojęciami dotyczącymi usługi RRAS (tablica routingu, RIP, OSPF)
•  Przed zainstalowaniem serwera RRAS zidentyfikuj:
•  Wymagania serwera RRAS dotyczące sprzętu i magazynowania.
•  Które  z  sieci  w  przedsiębiorstwie  możesz  połączyć  dynamicznym  routingiem,  a  które

wymagają tras statycznych

• Jakie zasady filtracji pakietów IP zakładają procedury bezpieczeństwa.

Pamiętaj o zapoznaniu się z uwagami i poradami zawartymi w tym module. Upewnij się,
że  rozumiesz  omawiane  w  nich  zagadnienia.  Jeśli  masz  trudności  ze  zrozumieniem  tematu
zawartego  w  uwagach,  przeczytaj  ponownie  informacje  z  tego  rozdziału  i zajrzyj  do  notatek
z wykładów.

Dodatkowe źródła informacji

Praca zbiorowa, Windows Server 3003 Resource Kit – Organizacja usług sieciowych, MS Press,

2004
W książce autorzy prezentują rozdział poświęcony planowaniu, wdrażaniu
i organizacji usług DHCP w przedsiębiorstwie

Praca zbiorowa, Windows Server 2008 Resource Kit, MS Press 2008

Książka dość dokładnie opisująca zasady wdrażania środowiska Windows Server
2008 w przedsiębiorstwie.

Praca zbiorowa, Podręcznik administratora Windows Server 2008, Microsoft, 2008

Na Praktyczny poradnik instalacji i konfiguracji serwerów Windows Server 2008

Douglas E.Comer, Sieci komputerowe TCP/IP. Zasady, protokóły i architektura, Wydawnictwa

Naukowo—Techniczne, Warszawa, 1997

Bardzo dobra pozycja opisująca działanie protokołu TCP/IP oraz związanych z nim
usług takich jak wyznaczanie tras.

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 22/25

Laboratorium podstawowe

Problem 1 (czas realizacji 45 min)

Zbudować środowisko testowe umożliwiające weryfikację funkcjonalności serwera RRAS na
platformie Windows Server 2008. Schemat środowiska testowego przedstawiony jest na Rys. 13.

Rys 13. Przykładowe środowisko testowe

Zainstalować serwer Routing i dostęp zdalny na platformie Windows Server 2008 i dokonać
konfiguracji tras statycznych pomiędzy dwoma podsieciami.

Zadanie

Tok postępowania

Instalacja

serwera RRAS

• Uruchom Server Manager, aby uruchomić Server Manager, kliknij Start

Menu -> All Programs -> Administrative Tools -> Server Manager.

• Dodaj rolę Network Policy and Access Services, w konsoli Server

Manager, wybierz Roles i poczekaj na podsumowanie ról.

• Zaznacz rolę Ruter oraz Routing and Remote Access Services i kliknij

• Przejdź do podsumowania instalacji i kliknij Install.
• Poczekaj aż instalacja przebiegnie do końca i pojawi się okno

Installation Results, na zakończenie procesu instalacji kliknij Close.

Uruchomienie

roli

serwera

RRAS

• Uruchom przystawkę administracyjną Routing and Remote Access
• Kliknij prawym klawiszem na ikonie serwera ITA-SRV01 (local) i

uruchom kreatora Configure and Enable Routing and Remote Access

• Pojawi się okienko kreatora konfiguracji serwera RRAS na którym

należy kliknąć Next.

•  Z opcji wyboru typu konfiguracji wybrać Custom configuration
•  Wybrać usługę Dos konfigurowania LAN Routing
•  Na oknie potwierdzającym konfigurację kliknij Finish.
•  Na  oknie  z  zapytaniem  o  uruchomienie  usług  zależnych  kliknij  Start

Service

Konfiguracja

trasy
statycznej

•  Uruchom przystawkę administracyjną Routing and Remote Access
•  Rozwinąć drzewo serwera ITA-SRV01 i wybrać protokół IPv4
•  Zaznaczyć w lewym panelu element Static Routes
•  Z  menu  rozwijanego  wybrać  interfejs  Local  Area  Connection->New

Static route

•  Wprowadzić adres docelowej sieci na tym interfejsie: 192.168.0.0
•  Wprowadzić maskę sieci docelowej: 255.255.0.0
•  Wprowadzić bramę dla tej sieci: 192.168.0.1
•  Zatwierdzić dodanie trasy klikając OK.
•  Powtórzyć  kroki  dla  drugiego  połączenia  sieciowego  Local  Area

Connection 2 o adresie 10.10.0.0, masce 255.255.0.0 oraz bramie

Marek Pyka
ITA-108 Technologie sieciowe

Testowanie

tras
statycznych

•  Za
•  O
•  W
•  Sp
•  W
•  Sp
•  W
•  Za
•  W
•  Sp

Uruchomienie dynamicznego

Zadanie

Tok p

Konfiguracja

trasy
dynamicznej

•
•
•

•
•

•

Testowanie tras

dynamicznych

•
•
•
•
•
•

•

•
•
•

Konfigurowanie tras pakietów IP w siec

Strona 23/25

10.10.0.1

Zalogować się na serwer ITA-DC01.
Otworzyć okno konsoli Start -> Uruchom -> cmd.e
Wykonać polecenie ping 192.168.1.15
Sprawdzić czy odpowiedzi są poprawne
Wykonać polecenie tracert -4 -d 192.168.1.15
Sprawdzić trasę routingu, czy wyświetlony jest pop
Wyświetl tablicę routingu na ITA-DC01 używając p
Zalogować się na serwer ITA-SRV01
W oknie konsoli wydać polecenie route print
Sprawdzić tabele routingu statycznego

Czym różnią się te dwie tablice routingu?
Czy jesteś w stanie wyjaśnić wpisy w tablicy?

nego protokołu routingu RIPv2 dla środowiska jak na

ok postępowania

  Uruchom przystawkę administracyjną Routing an
  Rozwinąć drzewo serwera ITA-SRV01 i wybrać pr
  Wybrać  z  menu  rozwijanego  elementu  og

Protocol...

Wybrać interfejs RIP Version 2 for Internet Proto
Kliknąć prawym klawiszem na nowo powstałym

kontekstowego wybrać New Interface...

Następnie wybrać połączenie Local Area Conn

wybór

Powtórzyć kroki dla połączenie Local Area Conne

  Zalogować się na serwer ITA-DC01.
  Otworzyć okno konsoli Start -> Uruchom -> cmd.
  Wykonać polecenie ping 192.168.1.15
  Sprawdzić czy odpowiedzi są poprawne
  Wykonać polecenie tracert -4 -d 192.168.1.15
  Sprawdzić  trasę  routingu,  czy  wyświetlony  j

routera

Wyświetl tablicę routingu na ITA-DC01 używa

print

  Zalogować się na serwer ITA-SRV01
  W oknie konsoli wydać polecenie route print
  Sprawdzić tabele routingu statycznego

Który z typów protokołów jest dla Ciebie łatwi
Gdybyśmy dysponowali większą ilością rou
protokołów byłby bardziej wydajny?

Moduł IV

sieciach komputerowych – RRAS

d.exe

t poprawny adres routera
jąc polecenia route print

k na Rys. 13.

g and Remote Access

ć protokół IPv4

ogólne New Routing

rotocol i kliknąć Ok.

łym obiekcie RIP i z menu

Connection i zatwierdzić

nnection 2.

md.exe

y jest poprawny adres

żywając polecenia route

atwiejszy w administracji?

routerów który z typów

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium rozszer

Zadanie 1 (czas realizacji

Twoja  organizacja  zamierza
pierwszy  etap  zostało  wyzn
wymianę informacji pomiędz
tras  pakietów  IP.  Twoim  za
sprzętowych  i  programowyc
przeprowadzenie szeregu tes
i przetestowania jego funkcjo
sieci. Obecnie będziesz musia
W projekcie i wykonaniu mus

•  Zostały uruchomione c
•  Oddziały zdalne znajdu
•  Łączność z centrala zna
•  W każdym oddziale zd
•  W każdym oddziale zd

jest zatrudnionych 53.

•  Wszystkie komputery
•  Przepustowość łącza W
•  Wraz  z  wszystkimi  od

urządzeniami przenośn

• Wszystkie stacje klienc
• Wdrażane rozwiązanie

z wyznaczaniem tras
bezpiecznych kanałów
pracowników mobilny

Zbuduj środowisko produkc
zapewniającą konfigurację po

Wszystkie ćwiczenia w
stacjach studenckich o w
cross cable.

Jeżeli masz kłopoty z przygot
o pomoc nauczyciela prowad

Konfigurowanie tras pakietów IP w siec

Strona 24/25

szerzone

acji 45 min)

ierza dokonać integracji infrastruktury IT dwóch

yznaczone zbudowanie infrastruktury sieciowej um

iędzy przedsiębiorstwami. Jako inżynier systemowy

zadaniem jest też sprawdzenie wydajności i funk

owych w tej dziedzinie, dokonanie analizy finanso

u testów. Obecnie jesteś już na etapie zainstalowania
nkcjonalności. Zaakceptowałeś to rozwiązanie jako e

usiał(a) zbudować i skonfigurować sieć dla oddziałó

musisz wziąć pod uwagę następujące informacje:

ne cztery nowe oddziały zdalne
ajdują się w następujących miastach: Gdańsk; Gliwic

a znajdującą się w Toruniu zapewniają dedykowane ł

e zdalnym pracuje około 80 pracowników.

le zdalnym mogą pojawić się handlowcy mobilni, któ

53.

ery w oddziałach mają używać automatycznej konfig

za WAN jest wykorzystana w 70% przez aplikację fin

i oddziałami zdalnymi firma dysponuje 1753 stacja
nośnymi.

lienckie podlegają automatycznej konfiguracji adresó

anie ma w pierwszej fazie zapewnić funkcjonalność z

tras lecz trzeba pamiętać iż docelowo ma też

łów komunikacyjnych pomiędzy oddziałami oraz w

ilnych.

dukcyjne jak na Rys. 14 i przeprowadź konfigur
ję pomiędzy oddziałami.

Rys 14. Fragment środowiska produkcyjnego

a w laboratoriach zaawansowanych należy przeprow

h o wydzielonych adresach IP. Zaleca się połączenie t

ygotowaniem zestawu testów poprawności konfigura

wadzącego zajęcia.

Moduł IV

sieciach komputerowych – RRAS

ch przedsiębiorstw. Jako
j umożliwiającej sprawna

owy masz wykonać projekt

funkcjonalności rozwiązań

ansowej rozwiązania oraz

ania serwera RRAS

ko etap wstępny integracji

iałów zdalnych.

liwice; Poznań i Wrocław.

ne łącza sieciowe.

i, których obecnie w firmie

nfiguracji adresów IP.

finansowo księgową.

acjami roboczymi oraz 80

resów IP.

ość związaną

ż umożliwiać budowanie

az w dostępie do zasobów

figurację tras statycznych

prowadzać na minimum 2
nie tych stacji kablem typu

iguracji usługi, poproś

Marek Pyka

Moduł IV

ITA-108 Technologie sieciowe

Konfigurowanie tras pakietów IP w sieciach komputerowych – RRAS

Strona 25/25

Zadanie 2 (czas realizacji 45 min)

Zbudowałeś  niedawno  środowisko  routerów  umożliwiające  sprawna  komunikację  pomiędzy
oddziałami i centralą. Niestety coraz częściej zauważasz, że statyczne zarządzanie trasami jest mało
optymalne  i  dość  uciążliwe.  Zwłaszcza  kiedy  zaczynasz  zastanawiać  się  nad  zbudowaniem  tego
środowiska  z  o  wiele  większym  współczynnikiem  na  awarie  łącza.  Ostatnio  rozmawiałeś  z  drugim
administratorem  na  temat  awarii  routera,  zastanawialiście  się  co  by  się  stało  gdyby  awarii  uległ
router główny w centrali. Ze względów na ciągle rozbudowujące się środowisko oraz trudności
z zarządzaniu komunikacją decydujesz się na przetestowanie protokołów dynamicznych na swoim
środowisku. Obecnie Twoja firma wykorzystuje pięć routerów a ich konfiguracja przedstawiona jest
na Rys. 15.

Rys 15. Środowisko sieciowe przedsiębiorstwa

Analizując sprawność i wydajność obecnej konfiguracji sieci zauważyłeś następujące cechy:

• Wykorzystanie pul adresów IP jest nie optymalne – na każdą trasę konieczne są tylko 4

adresy

• Statyczne zarządzanie trasami IP w takim przypadku jest znacznie utrudnione
• W sytuacjach awaryjnych nie zawsze wybierana jest trasa optymalna co powoduje przestoje

w pracy użytkowników

• Ostanie awarie routera centralnego doprowadziły do poważnych przerw w realizacji procesu

biznesowego.

W  celu  dobrania  odpowiedniego  protokołu  routingu  przeprowadź  testy  które  umożliwią  podjęcie
decyzji  zastosowania  protokołów  wektora  odległości  lub  stanu  łącza.  Przeprowadź  testy
zastosowanie protokołów routingu RIPv2 i OSPF.
Jako test przeprowadź symulację awarii następujących routerów:

• R1, R3
• R0

Sprawdź  czas  uaktualnienia  tablic  routingu  na  pozostałych  routerach  i  porównaj  uaktualnione
tablice ze wzorcowymi (tablice routingu działającego środowiska).
W  trakcie  przeprowadzanych  testów  środowiska  routerów  przeprowadź  analizę  ruchu  sieciowego
przy  pomocy  Network  Monitora  3  i  spróbuj  odnaleźć  informacje  związane  z  rozgłaszaniem  się
routerów, przeanalizuj budowę i zawartość przesyłanych przez routery komunikatów.

ITA-108 Technologie sieciowe

Marek Pyka

Moduł V

Wersja 1

Automatyczne zarządzanie adresacją

Spis treści

Automatyczne zarządzanie adresacją IP ................................................................ .............................. 1

Informacje o module ............................... ................................................... .......................................... 2

Przygotowanie teoretyczne ............................................................................ ..................................... 3

Przykładowy problem .................................................................................. ................................ 3

Podstawy teoretyczne.................................................................................. ................................ 3

Przykładowe rozwiązanie .............................................................................. ............................. 10

Porady praktyczne .................................................................................... ................................. 10

Uwagi dla studenta ................................ ................................................... ................................. 11

Dodatkowe źródła informacji........................................................................... .......................... 11

Laboratorium podstawowe ........................... ................................................... .................................. 12

Problem 1 (czas realizacji 20 min) ................................................................... ........................... 12

Problem 2 (czas realizacji 25 min) ................................................................... ........................... 13

Laboratorium rozszerzone ............................................................................. .................................... 13

Zadanie 1 (15 minut) .............................. ................................................... ................................. 14

Zadanie 2 (czas realizacji 30 min) ................................................................... ............................ 14

Zadanie 3 (45 min) ................................ ................................................... .................................. 15

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 2/15

Informacje o module

Opis modułu
W  tym  module  znajdziesz  informacje  dotyczące  protokołu  DHCP,  jego
implementacji  w  systemie  Windows  Server  2008  i zalet  wynikających
z stosowania automatycznego zarządzania adresacją IP w przedsiębiorstwie.
Zapoznasz  się  z  zasadami  konfiguracji  opcji  protokółu  DHCP  w  środowisku
sieciowym  Windows  Server  2008.  Zawarte  w  module  tym  zadania
umożliwią  Ci  zapoznanie  się  z  procesem  planowania,  wdrażania
i utrzymywania spójnej przestrzeni adresowej w rozproszonej geograficznie
organizacji.

Cel modułu
Celem modułu jest przedstawienie możliwości wykorzystania protokołu
DHCP do zarządzania przestrzenią adresów IP w sieciach przedsiębiorstw
oraz

przedstawienie

problematyki

jej

planowania,

wdrażania

i utrzymywania..

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

•  wiedział, jaką rolę w sieci przedsiębiorstwa pełni protokół DHCP
•  potrafił zainstalować, skonfigurować i zarządzać rolą serwera DHCP
•  rozumiał

potrzebę

planowania

infrastruktury

dla

potrzeb

automatycznego wdrażania adresacji IP w organizacji.

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

•  znać zasadę działania protokołu IP
•  rozumieć budowę adresu IPv4 oraz IPv6
•  rozumieć zasady przydzielania adresów IP w przedsiębiorstwie
•  znać zasady pracy w środowisku Windows Server 2008

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 3/15

Przygotowanie teoretyczne

Przykładowy problem

Zmiany  rynku  powodują,  że  przejęcia  czy  wykupywanie  firm  przez  inne,  staje  się  obecnie  czymś
powszednim.  Zmiany  takie  mają  ogromny  wpływ  na  infrastrukturę  IT  przedsiębiorstw,  gdyż  po
każdy  takim  procesie  rośnie  jej  skomplikowanie  oraz  zwiększa  się  zakres.  Integracja  ta  powoduje
dużo  kłopotów  z  zarządzaniem  i  administracją  wszystkimi  zasobami.  Problem,  który  został
zdefiniowany  dotyczy  wdrożenia  wspólnej  przestrzeni  adresowej  w  całej  organizacji.  Niestety
integrowane  środowiska  wykorzystywały  różne  przestrzenie  adresowe,  co  więcej,  znaczna  część
komputerów  posiadała  statyczne  adresy  IP.  Próba  ujednolicenia  adresacji  podczas  integracji
skończyła  się  połowicznym  sukcesem,  gdyż  często  w  sieci  pojawiają  się  konflikty  adresów  IP.
Problem ten potęguje się, gdy spróbowaliście ujednolicić adresację IP w oddziałach zdalnych.
Twój  kierownik  działu  IT  zleca  Ci  przygotowanie  projektu  ujednolicenia  adresacji  IP  w  całej
organizacji.  Założenia  określają  centralne  zarządzanie  adresami,  parametrami  protokołu  DHCP,
autoryzację  w  domenie  firmy  oraz  bezpieczną  aktualizację  w  serwerach  DNS.  Dodatkowo  musisz
zaprojektować  tak  infrastrukturę,  aby  serwery  DHCP  w  oddziałach  zdalnych  obsługiwały  żądania
klientów  dotyczące  konfiguracji  protokołu  IP  nie  powodując  konfliktów  IP  i  zachowując  spójną
przestrzeń adresową.
Podczas realizacji projektu warto jest rozważyć czas trwania dzierżawy – w środowisku oddziałów
zdalnych może mieć to ogromne znaczenie ze względu wydajności i bezpieczeństwa organizacji,
jak również wielkość infrastruktury.

Podstawy teoretyczne

Protokół  DHCP  (ang.  Dynamic  Host  Configuration  Protocol)  jest  protokołem  komunikacyjnym
mającym  na  celu  scentralizowanie  i  uproszczenie  zarządzania  konfiguracją  adresów  IP  na  hostach
sieciowych.  Standard  DHCP  określa  możliwości  wykorzystania  serwerów  DHCP,  jako  narzędzia
dynamicznego  przydzielania  adresów  IP  i  innych  parametrów  konfiguracyjnych  klientów  DHCP
w sieci.
Zgodnie  z  założeniami  komunikacji  opartej  o  protokół,  TCP/IP,  każdy  komputer  w  sieci  musi
posiadać  unikatowy  identyfikator  (adres  IP).  Posiadanie  przez  hosta  unikatowego  adresu  IP  oraz
połączonego  z  nim  maską  podsieci  umożliwia  identyfikację  komputera  oraz  segmentu,  w  którym
pracuje.  Aby  zminimalizować  ilość  czynności  administracyjnych  związanych  z  zarządzaniem
adresami IP oraz umożliwić centralne zarządzanie konfiguracją, zdefiniowano w 1993 roku standard
DHCP  i  opisano  w  dokumencie  RFC  2131  (załączony  na  płytce  studenckiej  w  katalogu  materiały).
Rozszerzenie  protokołu  DHCPv6  opisano  w  dokumencie  RFC  3315  (również  dołączony  do
materiałów studenckich). Głównymi zaletami protokołu DHCP są:

• Scentralizowana administracja konfiguracją IP – administratorzy zarządzający usługą DHCP

mogą w sposób scentralizowany zarządzać parametrami konfiguracyjnymi IP na wszystkich
hostach w sieci, na których uruchomiony jest klient DHCP. Cecha ta umożliwia zredukowanie
czynności administracyjnych związanych z manualną konfiguracją IP w sytuacji dodawania
nowych hostów lub zmian w infrastrukturze IP przedsiębiorstwa.

• Ujednolicona konfiguracja IP w sieci – dzięki wykorzystaniu klientów DHCP na hostach

sieciowych możliwe jest dynamiczne uaktualnianie parametrów IP z zachowaniem spójności
konfiguracyjnej w całej organizacji. Wszystkie operacje dostrajające protokół IP realizowane
są bez konieczności manualnej interwencji użytkowników lub administratorów. Eliminuje
konflikty adresów IP w całej organizacji.

• Elastyczność – usługa DHCP daje administratorom większą kontrolę nad środowiskiem

sieciowym i ułatwia zarządzanie konfiguracją hostów. Umożliwia precyzyjne zarządzanie
przydzielaniem adresów IP dzięki superzakresom oraz rezerwacjom adresów.

Marek Pyka
ITA-108 Technologie sieciowe

• Prostota – infrastruk

infrastruktury małych
jej stosowanie w każde

Zasada działania protoko

Protokół DHCP jest wykorzys
protokołu  IP  na  hostach  s
W  infrastrukturze  przedsięb
przechowują  informacje  o  k
znajdują się następujące info

• Prawidłowe parametry
• Pula prawidłowych a

zastrzeżone do przydzi

• Czas trwania dzierżaw

używany przydzielony

Głównymi komponentami in

•  klient usługi DHCP
•  serwer usługi DHCP
•  agent przekazywania (

Uzyskiwanie adresu IP przez k

Proces uzyskiwania parametr

Klienci DHCP komunikują się
osiem  typów  komunikatów
Datagram Protocol). Klienci
z serwerem DHCP przy pomo
jeszcze w trakcie uzyskiwani
na  adres  emisji  ograniczone
UDP o numerze 68, a serwer
Przykładowy  przebieg  trans
przedstawiony jest poniżej:

1 4.571772 SRV-CL0
255.255.255.0 IP

2 4.571772 LOCAL *

255.255.255.255 IP

3 4.347488 SRV-CL0
255.255.255.255 IP

4 4.347489 LOCAL

255.255.255.255 IP

Automatyczne zarz

Strona 4/15

truktura DHCP została tak zaprojektowana, aby s

ych i dużych przedsiębiorstw. Uproszczona administ

ażdej organizacji z minimalnym nakładem na czynno

okołu DHCP

rzystywany w przedsiębiorstwie do automatyczneg

ch sieciowych. Infrastruktura DHCP korzysta z m

siębiorstwa może występować jeden lub więcej s

o konfiguracji TCP/IP i przekazują je klientom. W

informacje:

etry konfiguracji wszystkich klientów w sieci.

h adresów IP przeznaczonych do przydzielania

ydzielania ręcznego.

żawy oferowany przez serwer. Dzierżawa określa cz

ony adres IP.

i infrastruktury DHCP są:

nia (opcjonalnie występujący w infrastrukturze rozpr

IP przez klienta DHCP

metrów IP przedstawiony został na Rys. 12,

Rys. 2 Proces otrzymywania adresu IP

się z serwerami DHCP za pomocą komunikatów wa

tów, DHCP, które są przesyłane przy użyciu proto

nci DHCP z przydzielonym adresem, IP i ważną dzie

omocy data gramów pojedynczej transmisji IP, podc

ania adresu IP komunikują się przy pomocy pakiet

onej (broadcast) 255.255.255.255. Klient DHCP jes

wer DHCP z portem o numerze 67.

ransmisji przechwycony za pomocą Microsoft N

ej:

L01 *BROADCAST DHCP Discover (xid=4347488

*BROADCAST DHCP Offer (xid=43474883) TAL

L01 *BROADCAST DHCP Request (xid=43474883

*BROADCAST DHCP ACK (xid=43474883) TAL

P Odnawianie dzierżawy DHCP

Moduł V

zarządzanie adresacją IP – DHCP

by sprostać wymaganiom

inistracja usługą umożliwia

nności administracyjne.

nego konfigurowania opcji

z modelu klient-serwer.

ej serwerów DHCP, które

. W bazie danych serwera

nia klientom oraz adresy

a czas, przez jaki może być

ozproszonej)

warstwy aplikacji. Istnieje

rotokołu UDP (ang. User

dzierżawą komunikują się

podczas gdy klienci będący

kietów emisji, wysyłanych
jest powiązany z portem

ft Network Monitora 3.1

883) 0.0.0.0

ALLGUY

3)0.0.0.0

LLGUY

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 5/15

Czas trwania dzierżawy jest określony, w związku, z czym klient w odpowiednim momencie jest
zmuszony skontaktować się z serwerem DHCP w celu jej odnowienia. Proces odnawiania dzierżawy
został przedstawiony na Rys. 3

Rys. 3 Proces odnawiania adresu IP

Analogicznie  jak  w  powyższym  przypadku  można  przeprowadzić  procedurę  przechwytywania
pakietów  w  narzędziu  Microsoft  Network  Monitor  3.1.  Przykładowy  wynik  śledzenia  pakietów
znajduje się poniżej.

1 8.3494001 SRV-CL01 *BROADCAST DHCP Request (xid=43474883)0.0.0.0
255.255.255.255 IP

2 8.3494015 LOCAL *BROADCAST DHCP ACK (xid=43474883) TALLGUY
255.255.255.255 IP

Proces  odnowienia  dzierżawy  przeprowadzany  jest  w  kilku  etapach.  Pierwsza  próba  odnowienia
dzierżawy  odbywa  się  po  upływie  połowy  czasu  dzierżawy  (czas  T1).  Wartość  czasu,  w  którym
nastąpi zapytanie o możliwość przedłużenia dzierżawy jest wyznaczana na podstawie komunikatów
DHCPACK otrzymanych podczas procesu ustalania adresu IP i parametrów konfiguracyjnych przez
klienta  DHCP.  Jeżeli  próba  odnowienia  dzierżawy  nie  powiedzie  się,  to  klient  dokona  ponownej
próby  odnowienia  dzierżawy  w  87,5%  okresu  jej  trwania  (czas  T2).  Brak  odnowienia  dzierżawy
w tym czasie skutkuje zwolnieniem adresów IP zaraz po wygaśnięciu czasu dzierżawy.

Komunikaty DHCP

Znaczenie komunikatów usługi DHCP:

• DHCPDISCOVER – zadaniem tego komunikatu jest zlokalizowanie serwera DHCP w sieci

przedsiębiorstwa.

• DHCPOFFER – wysyłany przez serwer DHCP do klienta DHCP w odpowiedzi na komunikat

DHCPDISCOVER. Zawiera oferowane parametry konfiguracyjne protokołu IP.

• DHCPREQUEST – klient DHCP przesyła żądanie parametrów konfiguracyjnych do serwera

DHCP z równoczesnym niejawnym odrzuceniem ofert innych serwerów DHCP znajdujących
się w infrastrukturze. Potwierdza poprawność poprzednio przydzielonych parametrów
konfiguracyjnych podczas odnawiania/przedłużania istniejącej dzierżawy DHCP.

• DHCPACK – komunikat wysyłany przez serwer DHCP do klienta DHCP w celu potwierdzenia

adresu IP i dostarczenia żądanych parametrów konfiguracyjnych.

• DHCPNACK – negatywna odpowiedź serwera DHCP przesyłana do klienta DHCP w przypadku

wygaśnięcia dzierżawy niepodlegającej przedłużeniu lub zmiany podsieci przez klienta.

• DHCPDECLINE – odrzucenie przez klienta DHCP oferowanego przez serwer DHCP adresu IP.
• DHCPRELEASE – przesyłane przez klienta DHCP zrzeczenie się posiadanego adresu IP oraz

anulowanie pozostałego czasu dzierżawy.

• DHCPINFORM – komunikat wysyłany przez klienta DHCP z prośbą o przesłanie dodatkowych

parametrów konfiguracyjnych.

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 6/15

Automatyczne przydzielanie adresów IP

Komputer  z  systemem  Windows  skonfigurowany  do  używania  protokołu  DHCP  może
automatycznie przypisać do siebie adres IP, jeżeli serwer DHCP jest niedostępny. Na przykład taka
sytuacja  może  wystąpić  w  sieci  bez  serwera  DHCP  lub  w  sieci,  w  której  serwer  DHCP  został
tymczasowo  wyłączony  w  celu  wykonania  prac  konserwacyjnych.  Urząd  IANA  (ang.  Internet
Assigned  Numbers  Authority)  zarezerwował  zakres  adresów  169.254.0.0–169.254.255.255  dla
automatycznego adresowania prywatnego IP. Dzięki temu funkcja APIPA (ang. Automatic Private IP
Addressing)  zapewnia  adres,  który  nie  powoduje  konfliktu  z  adresami  związanymi  z  obsługą
routingu. Po przypisaniu adresu IP do karty sieciowej komputer może używać protokołu TCP/IP do
komunikowania się z innym komputerem podłączonym do tej samej sieci LAN i skonfigurowanym
do  korzystania  z  funkcji  APIPA  lub  komputerem,  dla  którego  ręcznie  skonfigurowano  adres  IP
169.254.x.y  (gdzie  x.y  jest  unikatowym  identyfikatorem  klienta)  z  maską  podsieci  255.255.0.0.
Należy zauważyć, że ten komputer nie może komunikować się z komputerami w innych podsieciach
lub  komputerami,  które  nie  korzystają  z  automatycznego  adresowania  prywatnego  IP.
Automatyczne adresowanie prywatne IP jest domyślnie włączone.

Najważniejsze pojęcia związane z protokołem DHCP

Serwer DHCP

Zadaniem serwerów DHCP jest zarządzanie pulami dostępnych adresów IP oraz dodatkowymi
parametrami konfiguracyjnymi zdefiniowanymi przez administratora serwera DHCP. Odpowiada na
żądania klientów, przeprowadza rejestrację hostów w usłudze DNS.

Zakresy

Jako zakres określa się zbiór adresów i związane z nim dodatkowe parametry konfiguracyjne
przekazywane klientom DHCP.

Superzakres

Superzakres  jest  administracyjną  grupą  zakresów,  która  może  być  używana  do  obsługi  wielu
logicznych podsieci IP w tej samej podsieci fizycznej. Superzakresy zawierają jedynie listę zakresów
składowych (inaczej zakresów podrzędnych), które mogą być uaktywniane razem. Superzakresy nie
są  używane  do  konfigurowania  innych  szczegółów  dotyczących  korzystania  z  zakresu.  Aby
skonfigurować  większość  właściwości  używanych  w  obrębie  superzakresu,  trzeba  indywidualnie
skonfigurować właściwości zakresów składowych.

Opcje DHCP

Jest to specyficzny zestaw konfiguracji dodatkowych takich jak maska sieciowa, adres bramy
domyślnej czy adres serwera WINS (ang. Windows Internet Name Service). Administrator serwera
może określić jedną lub więcej opcji na różnych serwerach. Opcje zostały szczegółowo opisane w
dokumencie RFC 2132 (znajduje się on na płycie CD z materiałami studenckimi). W systemie
Windows Server 2008 administrator może zarządzać opcjami na pięciu poziomach:

• Opcje serwera DHCP – ogólny zestaw opcji obowiązujący we wszystkich zakresach

zdefiniowanych na serwerze (opcje te są zastępowane przez zdefiniowane opcje zakresu,
opcje klasy lub specyficzną konfigurację klienta).

• Opcje predefiniowane – pozwala określić wszystkie domyślne wartości obsługiwane opcje

przez serwer DHCP oraz tworzyć nowe typy opcji.

• Opcje zakresu – definicja parametrów dla klientów danego zakresu (obowiązują o ile nie są

zastępowane przez opcje klasy lub ustawienia klienta).

• Opcje klasy – umożliwiają ustawić klasy opcji zdefiniowanych przez użytkownika lub

dostawcę, dostarczając parametry konfiguracyjne konkretnej grupie klientów DHCP
(na przykład starszym systemom operacyjnym). Opcje te są zastępowane wyłącznie przez
specyficzną konfigurację klienta.

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 7/15

• Opcje zastrzeżone dla klienta – ustawienia indywidualne klienta DHCP. Opcje mogą być

zastępowane wyłącznie przez konfigurację ręczną na poziomie klienta.

Dzierżawa DHCP

Adresy IP przydzielane klientom DHCP przydzielane są na pewien określony okres zwany dzierżawą.
Po  upłynięciu  dzierżawy  klient  DHCP  jest  zmuszony  zwolnić  posiadany  adres  IP  i  usunąć  opcje
konfiguracyjne.  Czas  trwania  dzierżawy  dotyczy  zarówno  nowo  otrzymanych  parametrów  jak
i przedłużania istniejącej dzierżawy.

Zastrzeżenia DHCP

Zastrzeżenie służy do utworzenia przez serwer DHCP stałego przypisania dzierżawy adresu.
Zastrzeżenia dają pewność, że dane urządzenie sprzętowe w podsieci będzie mogło zawsze
korzystać z tego samego adresu IP.

Agenci przekazywania DHCP

Agent przekazywania DHCP, zwany również agentem przekazywania BOOTP, to host (komputer lub
router), który odbiera wszystkie komunikaty emisji klientów DHCP w danej podsieci i przekazują je
do skonfigurowanego serwera DHCP. Serwer DHCP odpowiada na przesłane komunikaty agentowi
przekazywania, który następnie przekazuje je klientom DHCP w danej podsieci. Wykorzystanie
agentów przekazywania umożliwia zarządzanie przestrzenią IP w każdej lokalizacji zdalnej bez
konieczności dostarczania w nich serwerów DHCP.

Narzędzia zarządzania usługą DHCP

Polecenia netsh

Zestaw poleceń powłoki netsh dla usługi DHCP może być wywoływany w konsoli wiersza linii
poleceń po wywołaniu polecenia

netsh dhcp, co powinno zaowocować pojawieniem się nowego

znaku zachęty powłoki netsh (

netsh dhcp>). Poniżej przedstawiona jest lista najważniejszych

poleceń powłoki związana z zarządzaniem usługą i serwerem DHCP.
Polecenia usługi DHCP:

• add server – dodaje serwer DHCP do listy autoryzowanych serwerów w usłudze katalogowej

Active Directory.

• delete Server – usuwa serwer DHCP z listy autoryzowanych serwerów w usłudze katalogowej

Active Directory.

• server – przełącza bieżący kontekst poleceń netsh dotyczących usługi DHCP na inny serwer

DHCP. Polecenie

server użyte bez parametrów przełącza bieżący kontekst wiersza

polecenia do komputera lokalnego.

• show server – wyświetla listę autoryzowanych serwerów w usłudze katalogowej Active

Directory.

Polecenia serwera DHCP:

• add scope – dodaje zakres do określonego serwera DHCP.
• dump – zrzuca konfigurację lokalnego serwera DHCP do okna wiersza polecenia w przypadku

wykonywania polecenia w środowisku netsh.

• initiate auth – inicjuje autoryzację określonego serwera DHCP w usłudze katalogowej Active

Directory.

• set dnsconfig – ustawia konfigurację dynamicznej aktualizacji DNS dla określonego serwera

DHCP.

Listę wszystkich poleceń można uzyskać poprzez wprowadzenie znaku „?” w kontekście

netsh

dhcp>.

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 8/15

Polecenia

netsh dotyczące usługi DHCP zapewniają narzędzia wiersza polecenia ułatwiające

administrowanie serwerami DHCP i stanowiące alternatywne rozwiązanie wobec zarządzania
opartego na konsoli. Mogą być one użyteczne w następujących sytuacjach:

Podczas zarządzania serwerami DHCP w sieciach rozległych WAN, (Wide Area Network)
można używać poleceń w trybie interakcyjnym w wierszu polecenia narzędzia netsh, co
pozwala na efektywniejsze zarządzanie za pośrednictwem powolnych łączy sieciowych.

• Podczas zarządzania dużą liczbą serwerów DHCP można używać poleceń w trybie wsadowym

w wierszu polecenia narzędzia netsh, co ułatwia tworzenie skryptów i automatyzowanie
powtarzających się zadań administracyjnych, które trzeba wykonać w przypadku wszystkich
serwerów DHCP

PowerShell

parametrami

usługi

DHCP

poprzez

wykorzystanie

klasy

WMI

Win32_NetworkAdapterConfiguration

Przykładowe

skrypty

PowerShell

umożliwiające

zarządzanie usługą DHCP znajdują się poniżej:

• Wyszukiwanie na którym interfejsie jest aktywny klient DHCP

Get-WmiObject –Class Win32_NetworkAdapterConfiguration –Filter
"DHCPEnabled=true" -ComputerName.

• Aktywacja klienta DHCP na interfejsie z obsługą TCP/IP

Get-WmiObject -Class Win32_NetworkAdapterConfiguration -Filter
"IPEnabled=true and DHCPEnabled=true" -ComputerName .

• Włączenie klientów DHCP na wszystkich interfejsach hosta

Get-WmiObject -Class Win32_NetworkAdapterConfiguration -Filter
IPEnabled=true -ComputerName . | ForEach-Object -Process
{$_.InvokeMethod("EnableDHCP", $null)}

• Zwolnienie posiadanej dzierżawy adresu IP

Get-WmiObject -Class Win32_NetworkAdapterConfiguration -Filter
"IPEnabled=true and DHCPEnabled=true" -ComputerName . | Where-Object -
FilterScript {$_.DHCPServer -contains "192.168.1.1"} | ForEach-Object -
Process {$_.InvokeMethod("ReleaseDHCPLease",$null)}

• Odnowienie adresu i dzierżawy IP

Get-WmiObject -Class Win32_NetworkAdapterConfiguration -Filter
"IPEnabled=true and DHCPEnabled=true" -ComputerName . | Where-Object -
FilterScript {$_.DHCPServer -contains "192.168.1.254"} | ForEach-Object -
Process {$_.InvokeMethod("ReleaseDHCPLease",$null)}

Konsola usługi DHCP

Konsola DHCP jest narzędziem instalowanym na serwerze z uruchomiona usługą DHCP. Narzędzie
to oparte jest na konsoli mmc w wersji 3.0, dzięki czemu możliwą jest integracja przystawek do
zarządzania usługą DHCP z innymi narzędziami konfiguracji sieci. Podstawową funkcjonalnością
konsoli DHCP jest:

•  Tworzenie zakresów.
•  Dodawanie i konfigurowanie superzakresów i zakresów multiemisji.
•  Przeglądanie  i  modyfikowanie  właściwości  zakresów,  na  przykład  określanie  dodatkowych

obszarów wykluczeń.

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 9/15

• Uaktywnianie zakresów, zakresów multiemisji i superzakresów.
• Monitorowanie aktywności związanej z dzierżawieniem zakresów przez przeglądanie listy

aktywnych dzierżaw każdego zakresu.

• Tworzenie w zakresach zastrzeżeń dla klientów DHCP, którzy wymagają dzierżawy stałego

adresu IP.

Wdrażanie usługi DHCP w przedsiębiorstwie

Integracja DHCP z innymi usługami

Usługa DNS

Jeżeli  klientami  usługi  DHCP  będą  komputery  pod  kontrolą  systemu  operacyjnego  Windows,  to
koniecznym  jest  działanie  w  sieci  systemu  rozpoznawania  nazw.  Wersje  systemów  operacyjnych
począwszy  od  Windows  2000  wykorzystują  do  rozpoznawania  nazw  system  DNS.  Protokół  DHCP
zaimplementowany  w  rozwiązaniach  serwerowych  Windows  Server  2003/2008  umożliwia
przeprowadzenie  procesu  dynamicznej  aktualizacji  nazw  na  serwerach  DNS.  Proces  aktualizacji
może być przeprowadzany w sposób bezpieczny jedynie jeżeli strefy DNS są zintegrowane z usługą
Active Directory.

Usługa Active Directory

W  środowisku  sieciowym  każdej  organizacji  wykorzystującej  usługę  DHCP  do  zarządzania
konfiguracją  klientów  pojawienie  się  dodatkowego  serwera  DHCP  o  błędnej  konfiguracji  może
spowodować  szereg  problemów.  Klienci  posiadający  błędną  konfigurację  adresów  IP  lub  opcji
protokołu  mogą  mieć  utrudnioną  komunikację  z  środowiskiem  sieciowym  przedsiębiorstwa  co
może  doprowadzić  do  znacznych  strat  finansowych.  Aby  uniknąć  tego  typu  problemów,
w środowisku sieciowym Microsoft Windows wprowadzono możliwość autoryzacji serwerów DHCP
w  usłudze  Active  Directory.  W  sieci  będącej  pod  kontrolą  Active  Directory  tylko  serwery
autoryzowane biorą udział w komunikacji protokołu DHCP.

Implementacja usługi DHCP

Przed przystąpieniem do wdrażania usługi DHCP w sieci upewnij się, że wszystkie poniższe punkty
są dla Ciebie jasne.

• Znasz pojęcia związane z usługą DHCP, takie jak zakresy, dzierżawy i opcje.
• System operacyjny jest skonfigurowany poprawnie. W systemach operacyjnych z rodziny

Windows Server 2008 usługa DHCP jest uzależniona od prawidłowej konfiguracji systemu
operacyjnego oraz jego usług.

•  Komputer na którym będzie instalowana usługa ma statyczny adres IP.
•  Kreator konfiguracji zabezpieczeń jest zainstalowany i włączony.
•  Podczas dodawania roli serwera DHCP tworzy się jeden zakres definiujący grupę adresów IP

przydzielanych przez serwer DHCP klientom w podsieci. Dla każdej podsieci, do której należą
klienci, którymi chcesz zarządzać za pomocą usługi DHCP, należy utworzyć jeden zakres.

Podsumowanie

W tym rozdziale przedstawione zostały najważniejsze pojęcia związane z wdrażaniem usługi DHCP
w przedsiębiorstwie. Dowiedziałeś się, jak przebiega proces przydzielania i odnawiania adresu IP
dla klientów DHCP. Wiesz już, jakie korzyści przynieść może wdrożenie usługi DHCP w sieci.
Usługi DHCP są obecnie dostępne w każdym systemie operacyjnym oraz w większości urządzeń
aktywnych, jednakże podczas tych zajęć zapoznasz się z procedurami wdrażania serwerów DHCP na
platformie Windows Server 2008.

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 10/15

Przykładowe rozwiązanie

Jako  inżynier  systemowy  zostałeś  poproszony  o  przedstawienie  planu  wdrożenie  usług  DHCP
w  środowisku  sieciowym  przedsiębiorstwa.  Prezentując  plan  masz  się  skupić  wyłącznie  na
wyjaśnieniu jakie kroki poczyni dział IT aby zrealizować projekt.
Instalacja usługi DHCP w przedsiębiorstwie wiąże się z wykonaniem szeregu czynności dotyczących
zaplanowania,  wdrażania  i  utrzymywania  usługi.  Proces  taki można  przedstawić  jak  na  poniższym
schemacie.

Rys. 4 Schemat wdrażania usługi DHCP

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że znajomość zasad wykorzystania usług DHCP może znacznie ułatwić Ci

prowadzenie czynności administracyjnych w przyszłej pracy.

• Jeżeli tylko jest to możliwe, projektuj infrastrukturę serwerów DHCP zgodnie z zasadą 80/20

dostępnych dzierżaw.

•  Wypracuj sobie metody zarządzania adresami IP w sytuacjach awaryjnych.
•  Nie stosuj dynamicznego przydzielania adresów IP dla serwerów.
•  W sieciach rozległych używaj agentów przekazywania.
•  Usługa  DHCP  wymaga  intensywnego  korzystania  z  dysku,  więc  dla  zapewnienia  wysokiej

wydajności serwera należy zaopatrzyć się w dyski o optymalnej charakterystyce wydajności.

• W konsoli serwera DHCP używaj ręcznych metod wykonywania kopii zapasowej

i przywracania z niej danych.

Agenci przekazywania

• Jeżeli w Twojej organizacji pojawiają się problemy z zachowaniem wspólnej przestrzeni IP dla

oddziałów zdalnych, stosuj w nich agentów przekazywania zamiast samodzielnych serwerów
DHCP.

• Pamiętaj, że aby zainstalować agenta przekazywania, musisz na platformie Windows Server

2008 zainstalować rolę serwera RRAS (ang. Routing and Remote Access Service).

• Określ parametry opóźnienia przekazywania zapytań przez agentów, aby zapobiegać zbyt

dużej transmisji pakietów po łączach WAN.

Zaprojektowanie serwera

DHCP

Integracja DHCP z innymi

usługami

Definicja zakresów

Implementacja usługi DHCP

Zaprojektowanie prcesów

monitorowania iwykonywania

kopii zapasowych

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 11/15

Integracja z innymi usługami

• Aby przeciwdziałać obcym serwerom DHCP w sieci przedsiębiorstwa, stosuj Autoryzację

Serwera DHCP w usłudze Active Directory.
Jeżeli tylko to możliwe, stosuj automatyczną rejestrację klientów w usłudze DNS, co
zminimalizuje problemy z działaniem otoczenia sieciowego.

• Pamiętaj, że usługa DHCP jest krytyczna dla działania całej organizacji, dlatego stosuj

mechanizmy odporności na awarie, tj. kopie zapasowe konfiguracji i serwerów.

• Jeżeli konieczne jest zapewnienie wysokiej dostępności dla usługi DHCP w przedsiębiorstwie,

zintegruj ją z usługą Failover Clustering.

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium jeśli:

•  rozumiesz zasady adresowania IP w sieciach przedsiębiorstw
•  umiesz instalować role i funkcje na platformie Windows Server 2008
•  umiesz zaplanować wykorzystanie adresacji prywatnej w przedsiębiorstwie
•  potrafisz  podać  przykłady  zagrożeń  wynikających  ze  źle  zaprojektowanej  infrastruktury

serwerów DHCP

• znasz zasady zarządzania serwerami DHCP w środowisku rozproszonym
• zapoznałeś się z głównymi pojęciami dotyczącymi usługi DHCP (zakres, pula, dzierżawa

adresów, agent przekazywania)

Przed zainstalowaniem serwera DHCP zidentyfikuj:

• Wymagania serwera DHCP dotyczące sprzętu i magazynowania.

Które komputery można od razu skonfigurować jako klientów DHCP do korzystania
z dynamicznej konfiguracji TCP/IP, a które należy skonfigurować ręcznie za pomocą
statycznych parametrów konfiguracji TCP/IP, ze statycznymi adresami IP włącznie.

• Typy i wartości opcji DHCP, które mają być wstępnie zdefiniowane dla klientów DHCP.

Pamiętaj  o  zapoznaniu  się  z  uwagami  i  poradami  zawartymi  w  tym  module.  Upewnij  się,
że  rozumiesz  omawiane  w  nich  zagadnienia.  Jeśli  masz  trudności  ze  zrozumieniem  tematu
zawartego  w  uwagach,  przeczytaj  ponownie  informacje  z  tego  rozdziału  i zajrzyj  do  notatek
z wykładów.

Dodatkowe źródła informacji

Praca zbiorowa, Windows Server 3003 Resource Kit – Organizacja usług sieciowych, Microsoft

Press, 2004

W książce autorzy prezentują rozdział poświęcony planowaniu, wdrażaniu
i organizacji usług DHCP w przedsiębiorstwie.

Neall Alcott, DHCP for Windows 2000, O’Reilly, 2001

Książka dość dokładnie opisująca działanie protokołu DHCP i analizę błędów, które
mogą się podczas jego działania pojawić.

Praca zbiorowa, Podręcznik administratora Windows Server 2008, Microsoft, 2008

Na Praktyczny poradnik instalacji i konfiguracji serwerów Windows Server 2008

Douglas E.Comer, Sieci komputerowe TCP/IP. Zasady, protokóły i architektura, Wydawnictwa

Naukowo-Techniczne, Warszawa, 1997

Pozycja literaturowa traktująca o projektowaniu i wdrażaniu usług realizowanych
przez sieci komputerowe.

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium podsta

Problem 1 (czas realizacj

Aby przygotować wdrożenie
konfiguracji usługi DHCP dla
2008. Założenia dla projektu

Projektowane środowisko te
komputerze Serwer (Rys 5) d
adresacji IP dla pozostałych s
Wyniki swojej analizy zapisz w
Elementy środowiska
Konfiguracja

infrastrukturalnych:
- FireWall
- Domain Controler
- Serwer
Określ zakres adresów IP
serwer

DHCP

prz

klientom.
Określ właściwą maskę
klientów.
Określ wszystkie adresy IP,
serwer

DHCP

nie

przydzielać klientom.
Określ

czas

trwania

adresów IP.
Określ adres IP routera
klienci

będą

używać

komunikowania  się  z  klien
innych podsieciach.
Określ nazwę domeny DNS k
Określ  adres  IP  serwera
którego mają używać klienci.
Określ  adres  IP  serwera
którego mają używać klienci.

Automatyczne zarz

Strona 12/15

stawowe

acji 20 min)

enie usług DHCP w przedsiębiorstwie zdecydowałeś

dla testowego środowiska wirtualnego na platfo

ktu usługi DHCP w środowisku testowym są następu

Rys. 5 Przykładowe środowisko testowe

o testowe musi umożliwić przetestowanie usług DH

5) dla 25 klientów sieciowych. W ramach projektu m

ch serwerów (pożądane jest wykorzystanie puli adre

isz w poniższej tabeli.

Parametry

serwerów

IP:                             Maska:
IP:                             Maska:
IP:                             Maska:

IP, które

przydzielać

ę podsieci

IP, których

powinien

dzierżawy

ra którego
wać

klientami w

NS klientów.

wera DNS,

nci.

era WINS,
nci.

Moduł V

zarządzanie adresacją IP – DHCP

ałeś się na przetestowanie

latformie Windows Server
tępujące:

g DHCP uruchomionych na

tu musisz przyjąć założenia

adresów prywatnych).

         Brama:
         Brama:
         Brama:

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 13/15

Problem 2 (czas realizacji 25 min)

Przeprowadź instalację serwera DHCP na potrzeby środowiska testowego. Dokonać konfiguracji
zakresów i opcji zgodnie z wynikami uzyskanymi w poprzednim zadaniu.
Procedura instalacji Serwera DHCP na platformie Windows Server 2008:

Zadanie

Tok postępowania

Instalacja roli

serwera DHCP na
platformie
Windows Server
2008

•  Zalogować się na serwer ITA-SRV01 jako Administrator.
•  Z okna Server Manager z sekcji Roles wybrać Add Roles.
•  Kliknąć Next, aby przejść do wyboru roli.
•  Zaznaczyć rolę DHCP Server i kliknąć Next.
•  Kliknąć Next przejść przez wstęp do instalacji roli.
•  Zaznaczyć połączenia sieciowe, dla których serwer DHCP ma przydzielać

adresy i kliknąć Next.

• Ustawić nazwę domeny Parent Domain na ITA.local.
• Ustawić adres serwera DNS Preferred DNS Server IPv4 Address

na 10.10.0.50 oraz kliknąć Next

• Kliknąć Next pomijając ustawienia WINS

Definicja

zakresów podsieci
dla IPv4

• Kliknąć Add, aby dodać zakres adresów dla pierwszego połączenia:

—  Zdefiniować nazwę zakresu Scope Name na Scope A
—  Określić Starting IP Address na 10.10.0.2
—  Ustawić Ending IP Address na 10.10.15.225
—  Wprowadzić maskę podsieci Subnet Mask na 255.255.0.0
—  Ustawić bramę sieciową Default Gateway na 10.10.0.1

•  Kliknąć OK aby zatwierdzić dodanie zakresu.
•  Kliknąć Add, aby dodać zakres adresów dla drugiego połączenia.
•  Powtórzyć powyższe kroki ustawiając:

—  Scope Name na Scope B
—  Starting IP Address na 10.20.0.2
—  Ending IP Address na 10.20.62.255
—  Subnet Mask na 255.255.0.0
—  Default Gateway na 10.20.0.1

• Zaakceptować ustawienia zakresu
• Kliknąć Next, aby zaakceptować zakresy.

Definicja

zakresów dla IPv6
(opcjonalnie)

• Zaznaczyć opcję Enable DHCPv6 stateless mode for this server i klinąć

Next.

• Wprowadzić nazwę domeny dla IPv6 ustawiając Parent Domain na

ITA.local

• Ustawić adres serwera DNS dla IPv6 Preferred DNS Server IPv6 Address

na adres serwera ITA-DC01

• Zaakceptować ustawienia klikając Next.

strony

ukończenie
instalacji

•  Kliknąć Install, aby zatwierdzić ustawienia i rozpocząć instalacje
•  Poczekać na zakończenie instalacji i zamknąć okno klikając Close.
•  Kliknij OK.

Weryfikacja

poprawności
działania

•  Zalogować się na klienta ITA-CL01
•  W ustawieniach połączeń sieciowych wyświetlić stan połączenia.
•  W oknie stanu połączenia na zakładce obsługa kliknąć Szczegóły
•  Przeanalizować dane sprawdzając adres IP (np. ipconfig /all).

Laboratorium rozszerzone

Marek Pyka

Moduł V

ITA-108 Technologie sieciowe

Automatyczne zarządzanie adresacją IP – DHCP

Strona 14/15

Zaprojektowanie

wdrożenie

infrastruktury

serwerów

DHCP

dla

przedsiębiorstwa

wykorzystującego oddziały zdalne.

Zadanie 1 (15 minut)

Przeprowadzić analizę komunikacji klienta usługi DHCP z serwerem DHCP w sieci LAN.
W celu realizacji tego zadania wykonaj następujące kroki:

• Wyłącz interfejs sieciowy komputera klienckiego.
• Zmień konfigurację protokołu IP tak aby wykorzystywał dynamiczną przydzielanie adresów

IP.

• Włącz aplikację Microsoft Network Monitor 3.0 i skonfiguruj ją tak aby przechwytywała

wyłącznie ruch sieciowy protokołu DHCP

•  Włącz monitorowanie
•  Włącz interfejs sieciowy klienta.
•  Poczekaj aż klient uzyska konfigurację IP z serwera DHCP.
•  Przerwij przechwytywanie pakietów i przejdź do ich analizy.

Czy potrafisz rozpoznać główne etapy przebiegu komunikacji protokołu DHCP?

Zadanie 2 (czas realizacji 30 min)

Twoja  organizacja  na  przełomie  ostatnich  4  miesięcy  uruchomiła  zdalne  lokalizacje  na  terenie
całego  kraju.  Zgodnie  z  polityką  zarządu,  cała  administracja  systemami  informatycznymi  została
scentralizowana co spowodowało zredukowanie do zera ilości kadry administracyjnej w oddziałach.
Jako  inżynier  sieciowy  otrzymałeś  zadanie  zaprojektowania  tak  infrastruktury,  aby  w  całej
organizacji zachować spójną przestrzeń adresów IP i konfiguracji parametrów.
Do dokonania projektu musisz uwzględnić następujące informacje:

• Zostały uruchomione cztery nowe oddziały zdalne.
• Oddziały zdalne znajdują się w następujących miastach: Gdańsk, Gliwice, Poznań

i Wrocław.

•  Łączność z centralą znajdującą się w Toruniu zapewniają 2 Mb łącza DSL.
•  W każdym oddziale zdalnym pracuje około 80 pracowników.
•  W każdym oddziale zdalnym mogą pojawić się handlowcy mobilni, których obecnie

w firmie jest zatrudnionych 53.

• Wszystkie komputery w oddziałach mają używać automatycznej konfiguracji adresów IP.
• Przepustowość łącza WAN jest wykorzystana w 70% przez aplikację finansowo-

księgową.

• Wraz z wszystkimi oddziałami zdalnymi firma dysponuje 1753 stacjami roboczymi oraz

80 urządzeniami przenośnymi.

• Wszystkie stacje klienckie podlegają automatycznej konfiguracji adresów IP.

Przeprowadź  projekt  infrastruktury  serwerów  DHCP  umożliwiający  pokrycie  automatyczną
konfiguracją IP 2048 adresów z uwzględnieniem zdalnych lokalizacji.
W  celu  weryfikacji  przygotuj  środowisko  testowe  jak  na  schemacie  i  przeprowadź  testy
poprawności konfiguracji usługi DHCP.
Jeżeli  masz  kłopoty  z  przygotowaniem  zestawu  testów  poprawności  konfiguracji  usługi,  poproś  o
pomoc nauczyciela prowadzącego zajęcia.

Marek Pyka
ITA-108 Technologie sieciowe

Zadanie 3 (45 min)

Centrala  przedsiębiorstwa  z
znajdują  się  w  Warszawie  i
wszystkich  dzierżaw  dla  nic
serwerze DHCP  w centrali.
Analizując sprawność i wydaj

• W standardowych wa

lokalnych serwerów D

• W sytuacji, gdy serwe

klienci kierują swoje z
oddziałów adresów IP.

• Sytuacja pobierania a

sytuacji, gdy serwery l
w celu minimalizacji r
awaryjnych sytuacjach

• Ostanie awarie serwer

biznesowego.

Przeciwdziałając sytuacji po
sieci wykorzystaj następujące

• Lokalny serwer DHCP
• Agenta przekazywania

Zaprojektuj  i  skonfiguruj  śr
powyżej warunkom.
W  celu  wdrożenia  mechani
następujące czynności:

• Zainstaluj usługę Failov
• Skonfiguruj zakresy dla

Uwaga: Dokumenty pomoc
zajęcia.

Automatyczne zarz

Strona 15/15

Rys. 6 Środowisko testowe dla oddziałów zdalnych

a znajduje się w Londynie. Pozostałe dwa biur

ie i Brukseli. Każde z biur posiada własny serwer D
nich przydzielonych. Pozostałe 20% dzierżaw jest

li.

ydajność obecnej konfiguracji sieci zauważyłeś nastę

warunkach klienci sieci w Warszawie i Bruksel

w DHCP obsługujących 80% dostępnych adresów IP.

rwery DHCP w Warszawie i Brukseli działają woln

je zapytania do serwera w Londynie, który obsługu

IP.

ia adresów IP z serwera znajdującego się w Londy

ery lokalne są zajęte przyjmowaniem żądań. Sytuac

cji ruchu w sieci WAN używanie serwera w Londyn

jach.

rwera centralnego doprowadziły do poważnych prze

i pobierania adresów IP z serwera w Londynie pod

jące elementy architektury sieciowej:

ania żądań DHCP

j środowisko testowe dla oddziału zdalnego odp

hanizmów odporności na awarie dla usługi DHCP

ailover Clustering

y dla oddziałów zdalnych wraz z odpowiednimi param

ocne w konfiguracji usługi Failover Clustering znajdu

Moduł V

zarządzanie adresacją IP – DHCP

biura oddziałów zdalnych

er DHCP zarządzający 80%

jest przechowywanych na

astępujące cechy:
kseli składają żądania do

IP.

olno lub są niedostępne,

uguje 20% dostępnych dla

ndynie pojawia się też w

uacja ta jest niepożądana,

dynie ma być wyłącznie w

przerw w realizacji procesu

podczas normalnej pracy

odpowiadające opisanym

HCP w Londynie wykonaj

arametrami dzierżaw

ajdują się u prowadzącego

ITA-108 Technologie sieciowe

Marek Pyka

Moduł VI

Wersja 1

Rozpoznawanie nazw hostów przy

użyciu systemu DNS

Spis treści

Rozpoznawanie nazw hostów przy użyciu systemu DNS .................................................... ................. 1

Informacje o module .................................................................................. .......................................... 2

Przygotowanie teoretyczne ............................................................................ ..................................... 3

Przykładowy problem .................................................................................. ................................ 3

Podstawy teoretyczne.................................................................................. ................................ 3

Przykładowe rozwiązanie .............................................................................. ............................. 13

Porady praktyczne .................................................................................... ................................. 14

Uwagi dla studenta ................................................................................... ................................. 15

Dodatkowe źródła informacji........................................................................... .......................... 15

Laboratorium podstawowe .............................................................................. .................................. 16

Problem 1 (czas realizacji 20 min) ................................................................... ........................... 16

Problem 2 (czas realizacji 25 min) ................................................................... ........................... 16

Laboratorium rozszerzone ............................................................................. .................................... 18

Zadanie 1 (czas realizacji 15 min) ................................................................... ............................ 18

Zadanie 2 (czas realizacji 30 min) ................................................................... ............................ 18

Zadanie 3 (90 min) ................................ ................................................... .................................. 19

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 2/19

Informacje o module

Opis modułu
W  tym  module  znajdziesz  informacje  dotyczące  protokołu  DNS,  jego
implementacji  w  systemie  Windows  Server  2008  i zalet  wynikających
z  stosowania  go  w  zarządzaniu  nazwami  komputerów  zarówno  w  sieci
rozległej  jak  i  sieci  przedsiębiorstwa.  Zawarte  w  module  tym  zadania
umożliwią  Ci  zapoznanie  się  z  procesem  planowania,  wdrażania
i  utrzymywania  spójnej  przestrzeni  nazw  w  rozproszonej  geograficznie
organizacji.

Cel modułu
Celem  modułu  jest  przedstawienie  możliwości  wykorzystania  protokołu
DNS  do  zarządzania  przestrzenią  nazw  hostów  w  sieciach  przedsiębiorstw
oraz  omówienie  planowania,  wdrażania  i  utrzymywania  spójnych
przestrzeni nazw w sieciach rozproszonych.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

•  Wiedział, jaką rolę w sieci przedsiębiorstwa pełni protokół DNS
•  potrafił zainstalować, skonfigurować i zarządzać rolą serwera DNS
•  rozumiał

potrzebę

planowania

infrastruktury

dla

potrzeb

automatycznego zarządzania przestrzenią nazw hostów w organizacji

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

•  znać zasadę działania protokołu IP
•  rozumieć budowę adresu IPv4 oraz IPv6
•  rozumieć zasady przydzielania adresów IP w przedsiębiorstwie
•  wiedzieć jaką rolę w zarządzaniu nazwami hostów pełnią pliki hosts

i lmhosts

• znać zasady pracy w środowisku Windows Server 2008

Mapa zależności modułu
Zgodnie z mapą zależności przedstawioną na Rys. 1, przed przystąpieniem
do realizacji tego modułu należy zapoznać się z materiałem zawartym
w module

2 i 5.

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 3/19

Przygotowanie teoretyczne

Przykładowy problem

Zarządzanie przestrzenią nazw domenowych ma ogromne znaczenie w sieci Internet oraz sieciach
opartych  o  technologie  firmy  Microsoft.  Jako  administrator  często  będziesz  spotykał  się
z problemami związanymi z działaniem protokołu DNS. Wdrażanie w organizacji spójnej przestrzeni
nazw  z  reguły  poprzedzone  jest  projektem  ujednolicenia  adresacji  IP.  Od  tego  jak  poprawnie
zostaną  przeprowadzone  te  dwa  projekty  zależy  w  głównej  mierze  skuteczność,  bezawaryjność
i  bezpieczeństwo  procesu  biznesowego  wspieranego  technologiami  informatycznymi.  Przykładem
mogą  być  najczęstsze  problemy  zgłaszane  przez  użytkowników  w  przedsiębiorstwach,  których
infrastruktura  nie  podlegała  gruntownej  analizie  i  projektowaniu.  Lis  Przykładem  mogą  być
najczęstsze problemy zgłaszane przez użytkowników w przedsiębiorstwach, których infrastruktura
nie podlegała gruntownej analizie i projektowaniu.  Lista uwag może być szeroka, natomiast warto
skupić się na kilku podstawowych:
Użytkownicy  sieci,  głównie  pracownicy  oddziałów  zdalnych,  lub  przejętych  organizacji  ciągle
zgłaszają problem z brakiem stabilności komunikacji pomiędzy nimi a serwerami
w przedsiębiorstwie,
Zgłaszane  są  problemy  z  błędnie  działającym  otoczeniem  sieciowym,  brakiem  widoczności
krytycznych zasobów itp.,
Część użytkowników w sieci zgłasza problem z długim logowaniem do domeny firmowej,
Aplikacje biznesowe nie potrafią poprawnie korzystać z przydzielonych im dostępów do zasobów,
Użytkownicy  sieci  VPN  nie  potrafią  korzystać  z  sieci  Intranet,  gdyż  ich  aplikacje  i  skróty  nie
odnajdują odpowiednich serwerów świadczących usługi,
Używając ścieżek bezpośrednich w oparciu o adres IP problem nie występuje.

W  przyszłej  pracy,  możesz  spotkać  się  z  sytuacją  gdzie  twój  kierownik  działu  IT  zleci  Ci
przygotowanie  projektu  ujednolicenia  przestrzeni  nazw  hostów  w  całej  organizacji.  Założenia
określają  centralne  zarządzanie  nazwami,  parametrami  protokołu  DNS,  autoryzację  w  domenie
firmy oraz bezpieczną synchronizację rekordów pomiędzy wszystkimi serwerami DNS. Dodatkowo
musisz  zaprojektować  tak  infrastrukturę  aby  serwery  DNS  w  oddziałach  zdalnych  obsługiwały
żądania  klientów  dotyczące  rozpoznawania  nazw  wykorzystując  spójną  przestrzeń  nazw
w  organizacji.  Mając  na  uwadze  przyszłościowe  wdrożenie  adresacji  IPv6  warto  podczas
projektowania  uwzględnić  ten  warunek  jak  i  rozmiar  sieci  oraz  jej  architekturę  jak  np.  oddziały
zdalne, szybkość łączy WAN, itp.

Podstawy teoretyczne

Wiemy  już,  że  do  komunikowania  się  w  sieci  komputery  wykorzystują  adresy.  Ich  format  oraz
wartości  są,  jednak  trudne  do  zapamiętania  przez  człowieka.  Znacznie  lepiej  zamiast  adresu
195.159.120.4  pamiętać  www.nazwadns.pl.  Jest  to  tzw.  nazwa  kanoniczna.  Jej  format
odzwierciedla hierarchię systemu nazw używanego w sieci Internet, czyli DNS (ang. Domain Name
Service).
System  DNS  jest  opracowanym  przez  organizację  IETF  (ang.  Internet  Engineering  Task  Force)
standard  usługi  nazw.  Usługa  DNS  pozwala  komputerom  znajdującym  się  w  sieci  komputerowej
rejestrować  i  rozwiązywać  nazwy  domen  DNS.  Za  pomocą  tych  nazw  można  zidentyfikować  i
uzyskać dostęp do zasobów oferowanych przez inne komputery w sieci lub innych sieciach, takich
jak Internet. System DNS składa się z trzech następujących składników podstawowych:

• Przestrzeń nazw domen i związane z nią rekordy zasobów – rozproszona baza nazw i

skojarzonych z nią adresów IP.

• Sfery nazw DNS – serwery, których zadaniem jest przechowywanie przestrzeni nazw

i rekordów zasobów oraz zwracanie odpowiedzi na kwerendy klientów DNS.

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 4/19

• Programy rozpoznawania nazw DNS – dodatkowa funkcjonalność klientów DNS

wykorzystywana podczas łączenia się z serwerami nazw DNS i wykonywania kwerend w celu
uzyskania informacji o rekordach zasobów.

Zasada działania protokołu DHCP

Początkowo,  gdy  komputerów  w  sieci  było  niewiele,  ich  nazwy  znajdowały  się  w  jednym  pliku
tekstowym. W miarę upływu czasu, gdy komputerów w sieci zaczynało już być więcej, zarządzanie
tym plikiem, jego przeszukiwanie stało się bardzo trudne. Dlatego też zdecydowano się na przejście
na hierarchiczny rozproszonego system nazw.
Przyjęty  system  nadawania  nazw  odzwierciedla  strukturę  sieci  Internet.  Podłączone  są  do  niej
uczelnie,  jednostki  administracji  rządowej,  firmy  komercyjne,  wojsko,  itd.  Każda  z  tych  grup  ma
pewną  dozę  autonomii  oraz  jest  odpowiedzialna  za  przydział  nazw  w  jej  obrębie.  Scedowanie
odpowiedzialności za porządek panujący w danej grupie ułatwia zarządzanie nazwami w Internecie.
Najwyższy poziom w hierarchii, czyli korzeń drzewa nazw, prezentuje znak „.”. W systemie DNS nie
określono  w  ścisły  sposób,  jak  mają,  być  nazywane  kolejne  poziomy,  a  jedynie  format  nazw.
W  zasadzie  wartość  nazwy  może  być  dowolna.  Jednak,  aby  nie  wprowadzać  bałaganu  przyjęto
pewne zasady używania nazewnictwa i w następnym po “.“ poziomie zostały ujęte nazwy:
com. — organizacje komercyjne,
edu. — instytucje edukacyjne,
gov. — administracja rządowa,
mil. — wojsko,
net. — centra kontroli pracy sieci,
org. — organizacje niepasujące do żadnej z powyższych grup,
arpa. — specjalna domena do wiązania adresów IP z nazwami,
int. — organizacje międzynarodowe,

Ponieważ  początkowo  Internet  istniał  tylko  w  USA,  system  nadawania  nazw  nie  odzwierciedlał
podziałów  terytorialnych  państw.  Gdy  pozostałe  państwa  zaczęły  się  przyłączać  do  sieci  Internet
oprócz  systemu  organizacyjnego  nazywania  dodano  nazewnictwo  terytorialne  w  postaci
dwuliterowych  kodów  krajów  dodawanych  do  wymielonych  nazw.  Oprócz  tego  dodano  kody
krajów bezpośrednio po znaku “.“. Kody te nie są, stosowane w USA jako ,,kolebce” Internetu.
Na Rys. 2 została przedstawiona uproszczona hierarchia nazw dla systemu DNS.

Rys. 2 Hierarchia nazw systemu DNS.

W każdej z tych grup dodawane są, nazwy nowych komputerów zgodne z ich ,pochodzeniem”.
Jeśli rejestrujemy nazwę dla naszej firmy, świadczącej komercyjne usługi, może ona zostać dodana
do systemu DNS jako:

• nazwa_firmy.com — jeśli rejestrujemy domenę w USA i jest ona związana z działalnością

komercyjna

• nazwa_firmy.com.pl — jeśli rejestrujemy domenę w Polsce i również jest ona związana

z działalnością komercyjną

Marek Pyka
ITA-108 Technologie sieciowe

• nazwa_firmy.pl — bez

kraju, serwisów inform

W ten sposób system nazw D
a węzły to serwery obsługują
Na podstawie danych zebran
klientami  a  serwerami,  uży
komunikować.  Przed  połącze
adres  przy  pomocy  lokalne
komunikacji został przedstaw

Klient DNS w tym celu spraw
programu  rozpoznawania
/DISPLAYDNS.  Jeśli  nie  zna
które następnie wysyła do se
W  przeciwnym  przypadku
zawiera  nazw,  dla  której  pos
nam tylko o adres, czy o nazw
na  pytanie  to  odsyła  ją  klie
dostarczyć odpowiednich inf
aż  dotrze  do  serwerów  obs
odpowie  poszukiwanymi  da
możliwa  metoda  to  tzw.  zap
potrafi  udzielić  na  nie  od
uzyskaną  odpowiedź  Tym  sp
DNS, klient otrzyma odpowie

Organizacja obszarów DNS

Z technicznego punktu widze
większości opisów systemu D
na podstawie ich poziomu
zarejestrowana w domenie
poziomu. Wynika to z faktu,

Rozpoznawanie nazw host

Strona 5/19

bezpośrednio w domenie “.pl” w przypadku dużyc

formacyjnych o kraju, itd.

zw DNS ma struktur drzewa, w którym liście to nazw

gujące kolejne poziomy hierarchii.

branych w serwerach DNS oraz protokołu wymiany

użytkownicy nie muszą pamiętać adresów maszy

łączeniem się ze zdalną maszyna, aplikacje starają

alnego programu odwzorowującego (klienta usłu

stawiony na Rys. 3.

Rys. 3 Przebieg komunikacji DNS

prawdza swoją pamięć podręczną. Aktualną zawarto

nia nazw DNS można wyświetlić stosując

znajduje tam informacji o poszukiwanej maszynie

o serwera (w jednym komunikacie do serwera może

ku udzieli nie autorytatywnej odpowiedzi klient

j poszukiwany jest adres oraz typ poszukiwanej info

nazwę serwera pocztowego dla danej domeny. Jeś

klientowi. W przeciwnym przypadku odsyła listę s

informacji. W następnym kroku klient będzie kiero

obsługujących najwyższy poziom nazw, jeśli żaden

i danymi. Jest to tzw. iteracyjny sposób rozwią

. zapytania rekurencyjne. Jeśli serwer otrzyma teg

odpowiedzi, wysyła zapytania do innych serweró

sposobem zawsze, o ile tylko taka informacja jes

owiedź z poszukiwaną informacją.

w DNS

idzenia każda nazwa domeny DNS użyta w drzewie

mu DNS nazwy są identyfikowane za pomocą jedne

omu i najczęstszego zastosowania. Na przykład

nie firmy Microsoft (microsoft.com.) jest znana, j

tu, że nazwa ma dwie części (nazywane etykietami),

Moduł VI

hostów przy użyciu systemu DNS

użych organizacji w danym

azwy konkretnych maszyn

iany komunikatów między

aszyn, z którymi chcą się

ają się ustalić, jaki jest jej

usługi DNS). Przebieg tej

artość pamięci podręcznej
c polecenie IPCONFIG

ynie to buduje zapytanie,

oże być wiele zapytań).

lientowi. Każde zapytanie

informacji, np. czy chodzi

Jeśli serwer zna odpowiedź

tę serwerów, które mogą,

ierował zapytania do nich,

den serwer wcześniej nie

związywania nazw. Druga

tego typu zapytanie i nie

werów i odsyła klientowi

jest zapisana w systemie

wie jest domeną. Jednak w

dnego z pięciu sposobów,

ład nazwa domeny DNS

a, jako domena drugiego

mi), które wskazują,

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 6/19

że jest umieszczona dwa poziomy poniżej szczytu drzewa. Większość nazw domen DNS ma dwie lub
więcej etykiet, z których każda wskazuje nowy poziom w drzewie. Kropki w nazwach służą do
oddzielania etykiet.

W tabeli 1, poniżej oprócz domen drugiego poziomu omówiono również inne pojęcia używane do
opisu nazw domen DNS według funkcji pełnionych przez nie w obszarze nazw.
Tabela 1.

Typ nazwy

Opis

Przykład

Katalog główny
domeny

Kiedy  jest  używany  w  nazwie  domeny  DNS,
jest  przedstawiany,  jako  końcowa  kropka  (.),
wskazując, że dana nazwa jest umieszczona w
domenie głównej lub na najwyższym poziomie
w  hierarchii  domen.  W  takim  przypadku
nazwa  domeny  DNS  jest  uważana  za
kompletną  i  wskazuje  dokładną  lokalizację  w
drzewie nazw. Nazwy wyrażone w ten sposób
są  nazywane  w  pełni  kwalifikowanymi
nazwami domen (FQDN).

Pojedyncza kropka (.) lub
kropka użyta na końcu nazwy,
tak

jak

nazwie

„przyklad.microsoft.com.”

Domena
najwyższego
poziomu

Nazwa składająca się z dwóch lub trzech liter,
wskazująca kraj/region lub rodzaj organizacji
korzystającej z tej nazwy.

„.com”, która wskazuje nazwę
zarejestrowana? w Internecie
dla

firmy

prowadzącej

działalność komercyjną

Domena
drugiego
poziomu

Nazwy o różnej długości rejestrowane przez
indywidualne

osoby

lub

organizacje

przeznaczeniem do używania w Internecie. Te
nazwy są zawsze oparte na odpowiedniej
domenie najwyższego poziomu, zależnie od
typu organizacji lub położenia geograficznego,
w którym nazwa jest używana.

„microsoft.com.”, która jest
nazwą

domeny

drugiego

poziomu zarejestrowaną przez
firmę

Microsoft

internetowym rejestrze nazw
domen DNS.

Poddomena

Dodatkowe  nazwy,  które  może  tworzyć
organizacja, oparte na zarejestrowanej nazwie
domeny  drugiego  poziomu.  Należą  do  nich
nazwy  dodawane  do  rosnącego  drzewa  nazw
DNS w organizacji i dzielące je na oddziały lub
lokalizacje geograficzne.

„przyklad.microsoft.com.”,
która jest fikcyjną poddomeną
przypisaną

przez

firmę

Microsoft do wykorzystywania
w

dokumentacji

przykładowych nazw

Nazwa

hosta

lub zasobu

Nazwy,  które  reprezentują  liście  w  drzewie
nazw  DNS  i  identyfikują  określony  zasób.
Zazwyczaj  skrajna  etykieta  z  lewej  strony
nazwy  domeny  DNS  identyfikuje  określony
komputer  w  sieci.  Jeśli  na  przykład  nazwa  na
tym  poziomie  zostaje  użyta  w  rekordzie
zasobu

adresu

hosta

(A),

jest

ona

wykorzystywana do wyszukiwania adresu IP
komputera na podstawie jego nazwy hosta.

„host-
a.przyklad.microsoft.com.”,
gdzie pierwsza etykieta („host-
a”) jest nazwą hosta DNS dla
konkretnego

komputera

sieci

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 7/19

Typy głównych rekordów DNS

Rekordy  zasobów  DNS  zawierają  informacje  związane  z  domeną  i  mogą  być  pobierane  i
wykorzystywane  przez  klientów  DNS.  Każdy  serwer  DNS  obsługuje  te  rekordy  przestrzeni  nazw
DNS,  które  są  dla  niego  autorytatywne.  Każdy  administrator  systemu  DNS  odpowiedzialny  jest  za
poprawność informacji zawartych w strefie.

W  dokumentach  RFC  1034  i  1035  oraz  późniejszych  został  zdefiniowany  szereg  typów  rekordów
zasobów.  Większość typów  rekordów  nie  jest  już wykorzystywana,  choć  jest w  pełni  obsługiwana
przez  obecne  systemy DNS.  Do  najważniejszych  rekordów obecnie wykorzystywanych w  systemie
DNS można zaliczyć następujące:

• rekord A lub rekord adresu (ang. address record) mapuje nazwę domeny DNS na jej 32-

bitowy adres IPv4.

• rekord AAAA lub rekord adresu IPv6 (ang. IPv6 address record) mapuje nazwę domeny DNS

na jej 128 bitowy adres IPv6.

• rekord CNAME lub rekord nazwy kanonicznej (ang. canonical name record) ustanawia alias

nazwy domeny. Wszystkie wpisy DNS oraz poddomeny są poprawne także dla aliasu.

• rekord MX lub rekord wymiany poczty (ang. mail exchange record) mapuje nazwę domeny

DNS na nazwę serwera poczty.

• rekord PTR lub rekord wskaźnika (ang. pointer record) mapuje adres IPv4 na nazwę

kanoniczną hosta. Określenie rekordu PTR dla nazwy hosta (ang. hostname) w domenie in-
addr.arpa, który odpowiada adresowi IP, pozwala na implementację odwrotnej translacji
adresów DNS (ang. reverse DNS lookup).

• rekord NS lub rekord serwera nazw (ang. name server record) mapuje nazwę domenową na

listę serwerów DNS dla tej domeny.

• rekord SOA lub rekord adresu startowego uwierzytelnienia (ang. start of authority record)

ustala serwer DNS dostarczający autorytatywne informacje o domenie internetowej.

• rekord SRV lub rekord usługi (ang. service record) pozwala na zawarcie dodatkowych

informacji dotyczących lokalizacji danej usługi, którą udostępnia serwer wskazywany przez
adres DNS.

• TXT - rekord ten pozwala dołączyć dowolny tekst do rekordu DNS.

Mechanizm zapytań DNS

Kiedy klient DNS chce wyszukać nazwę używaną w programie, kieruje kwerendę do serwera DNS
w  celu  rozpoznania  nazwy.  Każdy  komunikat  kwerendy  wysyłany  przez  klienta  zawiera  trzy
elementy informacji określające pytanie, na które serwer ma odpowiedzieć:
Nazwa domeny DNS, podana w postaci pełnej nazwy domeny (FQDN)
Typ  kwerendy,  który  może  albo  określać  rekord  zasobu  według  typu,  albo  wyspecjalizowany  typ
kwerendy  Klasa  nazwy  domeny  DNS.  Nazwą może  być  na  przykład  nazwa  FQDN  komputera, taka
jak  „host_a.przyklad.microsoft.com.”, a  typem  kwerendy  —  wyszukiwanie  rekordu  zasobu  adresu
(A)  według  tej  nazwy.  Kwerendy  DNS  są  rozwiązywane  na  kilka  różnych  sposobów.  Klient  może
czasami  odpowiedzieć  na  kwerendę  lokalnie,  korzystając  z  zawartych  w  pamięci  podręcznej
informacji otrzymanych z poprzedniej kwerendy. Serwer DNS może odpowiadać na kwerendy przy
użyciu  zawartości  swojej  własnej  pamięci  podręcznej  rekordów  zasobów.  Może  także  wysłać
kwerendę  do  innych  serwerów  DNS  lub  skontaktować  się  z  nimi  w  imieniu  klienta  zgłaszającego
żądanie,  w  pełni  rozpoznać  nazwę,  a  następnie  wysłać  odpowiedź  z  powrotem  do  klienta.  Ten
proces jest nazywany rekursją.
Ponadto  w  celu  rozpoznania  nazwy  klient  może  sam  próbować  skontaktować  się  z  dodatkowymi
serwerami  DNS.  W  takim  przypadku  używa  oddzielnych  i  dodatkowych  kwerend,  formułowanych
na  podstawie  odwołań  zawartych  w  odpowiedziach  otrzymanych  od  serwerów.  Ten  proces  jest
nazywany iteracją.
Ogólnie przetwarzanie kwerendy DNS jest wykonywane w dwóch etapach:

Marek Pyka
ITA-108 Technologie sieciowe

Kwerenda o nazwę rozpocz
rozpoznawania nazw, którym
Kiedy kwerenda nie może b
serwerów DNS.

Proces  rozpoznawania  nazw
wstępnych  krokach  proces
w programie na komputerze
rozwiązania  kwerendy  przy
Jeśli poszukiwana nazwa mo
kończy.
Pamięć  podręczna  lokalnego
otrzymane z dwóch źródeł:
Jeśli  plik  Hosts  jest  skonfigu
z  tego  pliku  są  wstępnie  ład
DNS. Rekordy zasobów otrzy
pamięci podręcznej i przecho

Jeśli w pamięci podręcznej n
kontynuowany  przez  klienta
kwerendę,  najpierw  sprawd
informacji  rekordu  zasobu
poszukiwana nazwa jest zgod
informacji  strefy,  serwer  odp
poszukiwanej  nazwy.  Jeśli  p
ani  w  jego  pamięci  podręczn
być  kontynuowany  z  zastos
pomocy  ze  strony  innych  se
DNS w imieniu klienta żąda o
W większości wypadków ser
proces rekursji. Proces rozpo

Aby  serwer  DNS  poprawnie
wykorzystane  przez  usługę
domeny katalogu głównego
dla  domeny  katalogu  główn
obszaru nazw domen DNS.

Rozpoznawanie nazw host

Strona 8/19

poczyna się na komputerze klienckim i jest przeka

rym jest usługa klienta DNS, w celu rozwiązania.

że być rozwiązana lokalnie, zostają wysłane kwere

nazw przez klienta DNS został przedstawiony na

ocesu wykonywania kwerendy, nazwa domeny

erze lokalnym. Następnie do usługi klienta DNS jest

rzy użyciu informacji przechowywanych w lokalne

może być rozpoznana, na kwerendę jest udzielana

ego programu rozpoznawania nazw może zawiera

nfigurowany lokalnie, wszelkie mapowania nazw n

e ładowane do pamięci podręcznej w czasie uruch

trzymane w odpowiedziach na poprzednie kwerend

echowywane przez pewien czas.

ej nie ma odpowiednika parametru kwerendy, pro

nta, który wysyła kwerendę do serwera DNS. Kied

rawdza, czy może na nią odpowiedzieć autoryta

obu zawartego w strefie lokalnie skonfigurowan

zgodna z odpowiednim rekordem zasobu znajdujący

odpowiada autorytatywnie, wykorzystując te infor

śli poszukiwana nazwa nie ma odpowiednika na pr

ęcznej, ani wśród informacji strefy, proces wykony

stosowaniem rekursji, aż do pełnego rozpoznani

h serwerów DNS. Domyślnie przed odesłaniem odp

da od serwera użycia procesu rekursji w celu pełne

serwer DNS jest domyślnie konfigurowany w taki s

zpoznawania nazw na serwerze DNS został pokazan

Rys. 4 Proces rozwiązywania zapytań na serwerze DNS

nie wykonywał rekursję, potrzebuje aktualnej list

ugę DNS do znajdowania innych serwerów DNS

ego drzewa obszaru nazw domen DNS. Serwery głó

łównego i dla domen najwyższego poziomu umie

Moduł VI

hostów przy użyciu systemu DNS

zekazywana do programu

erendy do odpowiednich

na Rys. 3. Jak widać we

eny DNS jest używana

jest przekazywane żądanie

alnej pamięci podręcznej.

ana odpowiedź i proces się

ierać informacje o nazwie

zw na adresy prowadzące

ruchamiania usługi klienta

endy DNS są dodawane do

proces rozwiązywania jest

Kiedy serwer DNS odbiera

rytatywnie na podstawie

wanej na serwerze. Jeśli

jącym się wśród lokalnych

informacje do rozpoznania

a preferowanym serwerze

onywania kwerendy może

nania nazwy. Wymaga to

odpowiedzi usługa klienta

łnego rozpoznania nazwy.

aki sposób, aby obsługiwał

zany na Rys. 4.

listy Root hints, które są

DNS autorytatywnych dla

główne są autorytatywne

umieszczonych w drzewie

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 9/19

Alternatywne odpowiedzi na kwerendy

Zgodnie z przedstawionym modelem rozpoznawania nazw proces kończy się pozytywną
odpowiedzią zwracaną do klienta. Jednak na kwerendy mogą być także udzielane inne odpowiedzi.
Oto najczęściej spotykane:

•  Odpowiedź autorytatywna
•  Odpowiedź pozytywna
•  Odpowiedź z odwołaniem
•  Odpowiedź negatywna

Odpowiedź autorytatywna to pozytywna odpowiedź zwracana do klienta, która w komunikacie DNS
zawiera  ustawiony  bit  uwierzytelniania  wskazujący,  że  odpowiedź  została  uzyskana  z  serwera
dokonującego bezpośredniego uwierzytelnienia poszukiwanej nazwy.
Odpowiedź  pozytywna  może  się  składać  z  poszukiwanego  rekordu  zasobu  albo  z  listy  rekordów
zasobów  (nazywanej  także  zestawem  rekordów  zasobów)  zgodnej  z  poszukiwaną  nazwą  domeny
DNS i typem rekordu określonym w komunikacie kwerendy.
Odpowiedź  z  odwołaniem  zawiera  dodatkowe  rekordy  zasobów,  nieokreślone  w  kwerendzie
według nazwy ani typu. Ten rodzaj odpowiedzi jest zwracany do klienta, jeśli nie jest obsługiwany
proces  rekursji.  Te  rekordy  mają  służyć  jako  przydatne  odpowiedzi  referencyjne,  które  mogą  być
wykorzystane przez klienta do kontynuowania kwerendy z zastosowaniem iteracji.
Odpowiedź  z  odwołaniem  zawiera  dodatkowe  dane,  takie  jak  rekordy  zasobów  (RR),  które  są
innego typu niż poszukiwane. Jeśli na przykład była poszukiwana nazwa hosta „www” i w tej strefie
nie  znaleziono  żadnych  rekordów  zasobów  adresu  tej  nazwy,  lecz  zamiast  nich  dla  nazwy  „www”
został znaleziony rekord zasobu CNAME, serwer DNS może dołączyć tę informację do odpowiedzi
wysyłanej klientowi.
Odpowiedź  negatywna  uzyskana  z  serwera  może  wskazywać,  że  w  czasie,  gdy  serwer  próbował
przetworzyć  i  rekursywnie  rozwiązać  kwerendę  w  pełni  i  autorytatywnie,  wystąpił  jeden  z  dwóch
możliwych wyników:

• Serwer autorytatywny zgłosił, że poszukiwana nazwa nie istnieje w obszarze nazw DNS.
• Serwer autorytatywny zgłosił, że poszukiwana nazwa istnieje, lecz nie istnieją dla niej rekordy

określonego typu.

Iteracje

Iteracja jest typem rozpoznawania nazw stosowanego między klientami i serwerami DNS,
kiedy obowiązują następujące warunki:

• Klient żąda zastosowania rekursji, lecz na serwerze DNS rekursja jest wyłączona.
• Klient nie żąda użycia rekursji podczas wykonywania kwerendy na serwerze DNS.

Iteracyjne żądanie od klienta informuje serwer DNS, że klient oczekuje najlepszej odpowiedzi, jakiej
serwer DNS może udzielić natychmiast, bez kontaktowania się z innymi serwerami DNS. Kiedy jest
stosowana iteracja, serwer DNS odpowiada klientowi na podstawie własnych informacji o obszarze
nazw w kontekście poszukiwanych danych nazw. Jeśli na przykład serwer DNS w intranecie odbiera
kwerendę od  lokalnego  klienta  dotyczącą  nazwy  „www.microsoft.com”, może zwrócić  odpowiedź
ze  swojej  pamięci  podręcznej  nazw.  Jeśli  poszukiwana  nazwa  nie  jest  obecnie  przechowywana  w
pamięci podręcznej nazw na serwerze, serwer może odpowiedzieć w formie odwołania, czyli listy
rekordów  zasobów  NS  i  A  do  innych  serwerów  DNS,  które  są  bliżej  nazwy  poszukiwanej  przez
klienta.

Buforowanie

Gdy serwery DNS przetwarzają kwerendy klientów przy użyciu rekursji lub iteracji, odkrywają
i pobierają znaczną ilość informacji o obszarze nazw DNS. Te informacje są umieszczane przez
serwer w pamięci podręcznej.

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 10/19

Buforowanie stanowi sposób przyspieszania rozwiązywania następnych kwerend DNS o popularne
nazwy, jednocześnie znacznie zmniejszając ruch w sieci związany z systemem DNS.
Kiedy  informacje  są  buforowane,  wartość  czasu  wygaśnięcia  (TTL)  dotyczy  wszystkich
buforowanych rekordów zasobów. Dopóki nie upłynie czas TTL buforowanych rekordów zasobów,
serwer DNS może kontynuować buforowanie i ponownie  wykorzystywać te rekordy do udzielania
odpowiedzi na przysyłane przez klientów kwerendy odpowiadające tym rekordom. Wartości czasu
TTL buforowania stosowane do rekordów zasobów w większości konfiguracji stref mają przypisaną
wartość  Minimalny  (domyślny)  czas  wygaśnięcia  (TTL),  która  jest  ustawiana  w  rekordzie  zasobu
adresu startowego uwierzytelniania (SOA) strefy. Domyślnie minimalna wartość czasu TTL wynosi 3
600  sekund  (1  godzina),  lecz  można  ją  zmienić,  lub  też  w  razie  potrzeby  można  indywidualnie
ustawić czas TTL buforowania osobno dla każdego rekordu zasobu.

Zarządzanie strefami DNS w przedsiębiorstwie

Serwer DNS posiadający pełną informację o części przestrzeni nazw DNS jest określany serwerem
autoratywnym dla tej części przestrzeni nazw. Informacje autoratywne są zorganizowane
w jednostki zwane strefami i stanowią podstawowy składnik replikacji DNS. Strefa zawiera jeden
lub więcej rekordów zasobów jednej lub więcej domen DNS.
Istnieją cztery typy stref DNS, które są stosowane w usłudze DNS Server:

• Podstawowa standardowa. Przechowuje główną kopię strefy i może ją replikować do stref

pomocniczych. Wszystkie zmiany dotyczące strefy są wprowadzane w strefie podstawowej
standardowej.

• Pomocnicza standardowa. Zawiera kopię tylko do odczytu informacji o strefie, co zwiększa

wydajność i odporność. Informacje zawarte w strefie podstawowej są replikowane do strefy
pomocniczej za pomocą mechanizmu transferu strefy.

• Zintegrowana z Active Directory. Typ strefy wykorzystywany w środowisku Microsoft

przechowywany w usłudze Active Directory i replikowany przy wykorzystaniu mechanizmów
tej usługi.

• Strefa wejściowa. Zawiera wyłącznie rekordy zasobów, które są niezbędne do

zidentyfikowania autorytatywnych serwerów DNS rzeczywistej strefy (rekordy SOA, NS i Glue
A).

• Globalne system nazw. Strefa globalnych nazw wykorzystywana jest w dużych

przedsiębiorstwach w celu identyfikacji nazw dla urządzeń sieciowych w oparciu o
pojedyncze etykiety z pominięciem usługi WINS.

Przyrostowy transfer stref DNS

Przyrostowe transfery stref są opisane w specyfikacji RFC 1995 jako dodatkowy standard systemu
DNS  związany  z  replikowaniem  stref  DNS.  Serwery  DNS  w  organizacji  powinny  obsługiwać
przyrostowe transfery stref gdyż mechanizm ten znacznie przyspiesza proces aktualizacji i replikacji
zmian  na  serwerach  DNS.  We  wcześniejszych  implementacjach  systemu  DNS  każde  żądanie
aktualizacji  danych  strefy  wymagało  pełnego  transferu  całej  bazy  danych  strefy  przy  użyciu
kwerendy  AXFR.  W  przypadku  transferu  przyrostowego  zamiast  niej  można  stosować  kwerendę
IXFR. Dzięki temu serwer pomocniczy może kopiować tylko te zmiany strefy, które są niezbędne do
synchronizacji  jego  kopii  strefy  ze  źródłem,  którym  jest  podstawowa  lub  pomocnicza  kopia  strefy
utrzymywana przez inny serwer DNS.
Przebieg  procesu  transferu  strefy  można  zaobserwować  dzięki  wykorzystaniu  oprogramowania
Network Monitor, co zostało przedstawione poniżej:

1 21.102323 SRV-DNS2 SRV-DC1 DNS 0x6000:Std Qry for ITA.local of type
SOA on class INET addr. 10.10.10.145

10.10.10.200

2 21.102323 SRV-DC1 SRV-DNS2 DNS 0x6000:Std Qry Resp. for ITA.local of
type SOA on class INET addr. 10.10.10.200 10.10.10.145

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 11/19

3 21.102323 SRV-DNS2 SRV-DC1 DNS 0x4000:Std Qry for ITA.local of type
Req for incrmntl zn Xfer on class INET addr. 10.10.10.145 10.10.10.200

4 21.102323 SRV-DC1 SRV-DNS2 DNS 0x4000:Std Qry Resp. for ITA.local of
type SOA on class INET addr. 10.10.10.200 10.10.10.145

Powyższy przykład obrazuje jak serwer SRV-DNS2 na podstawie rekordów SOA wykrywa zmianę
wersji strefy i rozpoczyna jej aktualizację.

Powiadamianie DNS

Serwery  DNS  systemu  Windows  obsługują  powiadamianie  DNS.  Jest  to  aktualizacja  pierwotnej
specyfikacji protokołu DNS, które pozwala inicjować powiadamianie serwerów pomocniczych
o zmianach stref (RFC 1996). Powiadamianie DNS implementuje mechanizm wypychania służący do
powiadamiania  wybrane  grupy  serwerów  pomocniczych  strefy,  kiedy  strefa  ulega  aktualizacji.
Powiadamiane serwery mogą następnie inicjować transfer strefy, jak opisano powyżej, aby pobrać
zmiany z serwerów głównych i zaktualizować lokalne repliki strefy.

Narzędzia zarządzania usługą DNS

Polecenia netsh

Zestaw poleceń dotyczących usługi DNS w konsoli netsh nie jest zbyt rozumowany jednak warto
zapoznać się z podstawowymi poleceniami umożliwiającymi konfigurację klienta DNS na
komputerze lokalnym.
Ustawienie dynamicznej konfiguracji serwerów DNS:

netsh interface ip set dns "Local Area Connection" dhcp

Ustawienie statycznej konfiguracji serwerów DNS:

Netsh interface ipv4 add dnsserver name=<nazwa podstawowego serwera DNS>
address=<adres IP podstawowego serwera DNS> index=1

Netsh interface ipv4 add dnsserver name=<nazwa pomocniczego serwera DNS>
address=<adres IP pomocniczego serwera DNS> index=2

Komendy wiersza linii poleceń

Istnieje cała grupa narzędzi, za pomocą których można zarządzać i rozwiązywać problemy
z serwerami i klientami DNS. Zestawiono je w tabeli poniżej. Aby uruchomić każde z tych narzędzi,
należy wpisać nazwę programu w wierszu polecenia lub umieścić ją w pliku wsadowym
i obsługiwać w formie skryptu.

Polecenie

Opis

Nslookup

Używane do wykonywania kwerendy testującej obszar nazw domeny DNS.
Aby uzyskać więcej informacji, zobacz Polecenie nslookup.

Dnscmd

Interfejs  wiersza  polecenia  do  zarządzania  serwerami  DNS.  To  polecenie
warto  umieszczać  w  skryptowych  plikach  wsadowych,  ponieważ
wywoływany  interfejs  może  pomóc  w  automatyzacji  rutynowych  zadań
zarządzania  systemem  DNS  lub  wykonywaniu  prostych  nienadzorowanych
instalacji  i  konfiguracji  nowych  serwerów  DNS  w  sieci.  Aby  uzyskać  więcej
informacji,  zobacz  Administrowanie  serwerem  za  pomocą  narzędzia
Dnscmd.

Ipconfig

To  polecenie  jest  wykorzystywane  do  przeglądania  i  modyfikowania
szczegółów  konfiguracji  adresu  IP  używanego  przez  komputer.  W  ramach
tego narzędzia są dostępne dodatkowe opcje wiersza polecenia pomocne w
rozwiązywaniu problemów i obsłudze klientów DNS.

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 12/19

Konsola DNS

Podstawowym narzędziem przeznaczonym do zarządzania serwerami DNS jest konsola DNS, która
znajduje się w podfolderze Narzędzia administracyjne folderu Programy w menu Start. Konsola DNS
może  być  używana  niezależnie  jako  przystawka  Microsoft  Management  Console  (MMC),
zwiększając  stopień  integracji  administrowania  systemem  DNS  z  procedurami  zarządzania  całą
siecią.
Konsola  DNS  jest  dostępna  dopiero  po  zainstalowaniu  systemu  DNS  na  serwerze.  Za  jej  pomocą
można wykonywać następujące podstawowe zadania zarządzania serwerem:
Wykonywanie wstępnej konfiguracji nowego serwera DNS.
Nawiązywanie  połączenia  i  zarządzanie  lokalnym  serwerem  DNS  na  tym  samym  komputerze  lub
serwerami DNS zdalnymi zainstalowanymi na innych komputerach.
Zależnie od potrzeb, dodawanie i usuwanie stref wyszukiwania do przodu i wstecznego.
Dodawanie, usuwanie i aktualizacja rekordów zasobów w strefach.
Modyfikacja sposobu przechowywania i replikowania stref między serwerami.
Modyfikacja sposobu przetwarzania kwerend i obsługi aktualizacji dynamicznych przez serwery.
Modyfikacja zabezpieczeń określonych stref lub rekordów zasobów.

Ponadto konsola DNS może być wykorzystywana do wykonywania następujących zadań:
Wykonywanie czynności obsługowych na serwerze. Można uruchamiać, zatrzymywać,
wstrzymywać lub wznawiać działanie serwera albo ręcznie aktualizować pliki danych serwera.
Monitorowanie zawartości pamięci podręcznej serwera i w razie potrzeby czyszczenie jej.
Dostrajanie zaawansowanych opcji serwera.
Konfigurowanie i wykonywanie przedawniania i czyszczenia przestarzałych rekordów zasobów
przechowywanych na serwerze.

Wdrażanie usługi DNS w przedsiębiorstwie

Integracja DNS z innymi usługami

Usługa DHCP

W środowisku Windows Server DNS obsługiwany jest protokół dynamicznych aktualizacji stref DNS.
Organizacja  systemu  DNS  uwzględniająca  integrację  z  usługą  DHCP  (zajrzyj  do  modułu
poświęconego  usłudze  DHCP)  udostępnia  zasobom sieci  informacje o  adresowaniu  dynamicznym,
które  są  przechowywane  w  systemie  DNS.  Zgodnie  ze  standardem  aktualizacji  dynamicznych
zdefiniowanym  w  specyfikacji  RFC  2136  rekordy  są  aktualizowane  przez  serwer  DHCP  w  imieniu
klienta DHCP za pomocą opcji 81 Client FQDN. W ramach aktualizacji modyfikowane są rekordy A
i PTR.

Usługa WINS (Windows Internet Name Service)

W  środowisku  sieciowym  heterogenicznym  oraz  takim  w  którym  występują  wcześniejsze  wersje
systemów  Windows  niż  Windows  2000,  koniecznym  było  stosowanie  systemu  WINS  w  celu
usprawnienia  działania  Otoczenia  Sieciowego.  Stosowanie  systemów  WINS w organizacjach miało
na  celu  dynamiczne  rozpoznawanie  nazw  NetBIOS.  Jeżeli  organizacja  wykorzystuje  klientów  lub
aplikacje  bazujące  na  usłudze  WINS  konieczne  będzie  zintegrowanie  ich  z  istniejącym  systemem
DNS.
Obecne systemy DNS umożliwiają przeprowadzenie konfiguracji rozpoznawania nazw w taki sposób
aby kierowały zapytania nazw NetBIOS do serwerów WINS z równoczesną dynamiczną aktualizacją
przechowywanych rekordów.

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 13/19

Zabezpieczanie usługi DNS

Bezpieczeństwo  systemu  DNS  jest  kluczowym  dla  każdej  organizacji.  Nie  przypadkowo  krąży
powiedzenie,  że  osoba  która  kontroluje  system  DNS  kontroluje  całą  organizację.  Wyobraź  sobie
sytuację w której atakujący kontroluje wszystkie zapytania DNS kierowane do sieci Internet!

W  dokumencie  RFC  2535  został  zdefiniowany  zbiór  funkcji  znanych  jako  NDS  Security  (DNSSEC),
które  mają  zapewnić  uwierzytelnianie  i  integralność  danych  DNS  w  programach  rozpoznawania
nazw. Zdefiniowane zabezpieczenia oparte są w głównej mierze o technologie podpisu cyfrowego
i  metod  kryptograficznych,  które  mają  zapewnić  powyższe  atrybuty  bezpieczeństwa.  Niestety  nie
wszystkie  systemy  DNS  umożliwiają  wykorzystanie  tak  silnych  mechanizmów  bezpieczeństwa  co
znacznie utrudnia ich zabezpieczanie i integrację.

Implementacja usługi DNS

Przed przystąpieniem do wdrażania usługi DNS w sieci upewnij się, że wszystkie poniższe punkty są
dla Ciebie jasne.
Znasz pojęcia związane z usługą DNS, takie jak strefy, rekordy i aktualizacje.
System operacyjny jest skonfigurowany poprawnie. W systemach operacyjnych z rodziny Windows
Server  2008  usługa  DNS  jest  uzależniona  od  prawidłowej  konfiguracji  systemu  operacyjnego  oraz
jego usług.
Komputer na którym będzie instalowana usługa ma statyczny adres IP i poprawną nazwę.
Kreator konfiguracji zabezpieczeń jest zainstalowany i włączony.
Jeżeli system DNS został zainstalowany wraz z usługą Active Directory tworzone są domyślnie strefy
umożliwiające  funkcjonowanie  usługi  Active  Directory.  W  innym  przypadku  koniecznym  będzie
zdefiniowanie  stref  ręcznie  zgodnie  z  funkcja  jaką  pełni  w  organizacji  dany  serwer  DNS.  Poniżej
zostały przedstawione najważniejsze czynności związane z instalacją i wdrażaniem usługi DNS.

Podsumowanie

W tym rozdziale przedstawione zostały najważniejsze pojęcia związane z wdrażaniem usługi DNS w
przedsiębiorstwie. Dowiedziałeś się, jak przebiega proces rozpoznawania nazw w sieciach opartych
o protokół TCP/IP. Wiesz już jak ważnym dla organizacji jest spójny mechanizm zarządzania
nazwami komputerów i usług. W ramach tego modułu będziesz zaznajamiał się z procedurami
wdrażania serwerów DNS na platformie Windows Server 2008.

Przykładowe rozwiązanie

Jako  inżynier  systemowy  zostałeś  poproszony  o  przedstawienie  planu  ujednolicenia  przestrzeni
nazw za pomocą usługi DNS w środowisku sieciowym przedsiębiorstwa. Prezentując plan masz się
skupić wyłącznie na wyjaśnieniu jakie kroki poczyni dział IT aby zrealizować projekt.
Instalacja  usługi DNS  w  przedsiębiorstwie wiąże  się  z  wykonaniem  szeregu  czynności  dotyczących
zaplanowania,  wdrażania  i  utrzymywania  usługi.  Proces  taki można  przedstawić  jak  na  poniższym
schemacie.

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 14/19

Rys. 5 Schemat wdrażania usługi DNS

Porady praktyczne

Uwagi ogólne

Pamiętaj, że znajomość zasad wykorzystania usługi DNS może znacznie ułatwić Ci prowadzenie
czynności administracyjnych w przyszłej pracy.
W środowisku heterogenicznym zaplanuj wykorzystanie usługi WINS.
Wypracuj sobie metody zarządzania nazwami komputerów w sytuacjach awaryjnych.
Nie stosuj dynamicznego przydzielania adresów IP dla serwerów.
Zaplanuj strukturę hierarchiczną dla systemu DNS w twojej organizacji.
Wszelkie pliki stref utworzone i przechowywane na serwerach DNS systemu UNIX wykorzystujących
oprogramowanie BIND muszą być ręcznie skopiowane z tych serwerów do folderu
systemroot\System32\Dns.
Zabezpieczaj transfer stref DNS i zezwalaj wyłącznie na aktualizację z zaufanych serwerach.

Integracja z innymi usługami

Poprawność działania otoczenia sieciowego oraz wielu usług zależy od nazw NetBIOS dlatego
zaplanuj integrację z usługą WINS.
Jeżeli tylko to możliwe stosuj automatyczną rejestrację klientów w usłudze DNS,
co zminimalizuje problemy z działaniem otoczenia sieciowego.

Analiza bieżącego

środowiska

Projekt przestrzeni

nazw DNS

Projekt

infrastruktury

serwera DNS

Projekt stref DNS

Konfiguracja i

zarządzanie

klientami DNS

Zabezpieczanie

infrastruktury DNS

Integracja DNS z

pozostałymi

usługami sieciowymi

Implementacja

systemu DNS

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 15/19

Pamiętaj, że usługa DNS jest krytyczna dla działania całej organizacji dlatego stosuj mechanizmy
odporności na awarie tj. kopie zapasowe konfiguracji i serwerów.
Jeżeli konieczne jest zapewnienie wysokiej dostępności dla usługi DNS w przedsiębiorstwie
zintegruj ją z usługą Failover Clustering.

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium jeśli:

•  rozumiesz zasady rozpoznawania nazw w sieciach IP przedsiębiorstw
•  umiesz instalować role i funkcje na platformie Windows Server 2008
•  umiesz zaplanować wykorzystanie systemu DNS w przedsiębiorstwie
•  potrafisz  podać  przykłady  zagrożeń  wynikających  ze  źle  zaprojektowanej  infrastruktury

serwerów DNS

• znasz zasady zarządzania serwerami DNS w środowisku rozproszonym
• zapoznałeś się z głównymi pojęciami dotyczącymi usługi DNS (strefa, transfer strefy,

rekurencje, rekordy DNS)

Przed zainstalowaniem serwera DNS zidentyfikuj:

•  Wymagania serwera DNS dotyczące sprzętu i magazynowania.
•  Które komputery można od razu skonfigurować jako klientów DNS do korzystania
•  z  dynamicznego  rozpoznawania  nazw,  a  które  należy  skonfigurować  ręcznie  za  pomocą

statycznych typów usług jak WINS lub w oparciu o pliki statycznego rozpoznawania nazw.

• Zaplanuj hierarchię systemu DNS oraz zasady replikacji danych na serwerach.

Pamiętaj o zapoznaniu się z uwagami i poradami zawartymi w tym module. Upewnij się,
że  rozumiesz  omawiane  w  nich  zagadnienia.  Jeśli  masz  trudności  ze  zrozumieniem  tematu
zawartego  w  uwagach,  przeczytaj  ponownie  informacje  z  tego  rozdziału  i zajrzyj  do  notatek
z wykładów.

Dodatkowe źródła informacji

Praca zbiorowa, Windows Server 3003 Resources Kit – Organizacja usług sieciowych, Microsoft

Press 2004

W książce autorzy prezentują rozdział poświęcony planowaniu, wdrażaniu
i organizacji usług DHCP w przedsiębiorstwie

Praca zbiorowa, Podręcznik administratora Windows Server 2008, Microsoft, 2008

Na Praktyczny poradnik instalacji i konfiguracji serwerów Windows Server 2008

Douglas E. Comer, Sieci komputerowe TCP/IP. Zasady, protokóły i architektura, Wydawnictwa

Naukowo-Techniczne, 1997

Bardzo dobra pozycja dotycząca działania sieci komputerowych.

4. http://technet2.microsoft.com/WindowsServer/pl/

Zbiór artykułów poświęconych usłudze DNS na platformie Windows Server

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 16/19

Laboratorium podstawowe

Problem 1 (czas realizacji 20 min)

Jako inżynier systemowy masz dokonać projektu konfiguracji usługi DNS dla testowego środowiska
wirtualnego na platformie Windows Server 2008. Założenia dla projektu usługi DNS w środowisku
testowym są następujące:

Rys. 6 Przykładowe środowisko testowe

Projektowane środowisko testowe musi umożliwić przetestowanie usług DNS uruchomionych na
komputerze Serwer DNS (Rys. 6). W ramach projektu musisz przyjąć założenia do replikacji partycji
głównej serwera DNS
Wyniki swojej analizy zapisz w poniższej tabeli.

Planowanie środowiska

Parametry

Konfiguracja

serwerów

infrastrukturalnych:
- FireWall
- Domain Controler
- Serwer DNS

IP:                             Maska:                      Brama:
IP:                             Maska:                      Brama:
IP:                             Maska:                      Brama:

Określ typ strefy przechowywanej
przez nowo zainstalowany serwer
DNS

Jak

powinna

wyglądać

strefa

wyszukiwania wstecznego?

Jakie rekordy DNS odpowiadają za
identyfikację kontrolera domeny

Jakie rekordy definiują serwer DNS
w przedsiębiorstwie

Jaką

nazwę

nosi

plik

.dns

odpowiadający za dane strefy

Określ sufix domeny DNS klientów.

Problem 2 (czas realizacji 25 min)

Przeprowadzić instalację serwera DNS na potrzeby środowiska testowego. Dokonać konfiguracji
stref zgodnie z wynikami uzyskanymi w zadaniu 1.
Procedura instalacji Serwera DNS na platformie Windows Server 2008:

Marek Pyka
ITA-108 Technologie sieciowe

Zadanie

Tok po

Instalacja

serwera DNS

•  Zal
•  Z o
•  W
•  Zaz
•  Po
•  Kli
•  Po

Konfiguracja

serwera DNS

•  Zal
•  Z M
•  Z le

• W

•  Kli
•  Wy
•  W

• Wy

dla

• Na

• Kli

Dodawanie

rekordów IPv4

• Dw

• Kli

•  W
•  W
•  Po

Dodawanie

rekordów IPv6
(opcjonalnie)

• Kli

•  W
•  W
•  Po

Dodanie

rekordy CNAME
dla witryny WWW

Klikną

(CN

•  W
•  W
•  Zat

Określenie

rekordu MX dla
serwera

• Kli

Exc

Rozpoznawanie nazw host

Strona 17/19

k postępowania

Zaloguj się na serwer ITA-SRV01.
Z okna Server Manager wybrać sekcję Roles, a tam
W kreatorze klikamy Next.
Zaznaczamy DNS Server i klikamy Next.
Po przeczytaniu wstępnych informacji klikamy Next
Klikamy Install, aby rozpocząć właściwą instalację.
Po zakończeniu procesu klikamy Close

Zaloguj się na serwer ITA-SRV01.
Z Menu Start z Administrative Tools uruchomić DN
Z lewego panelu wybrać ITA-SRV01, a następnie Fo
Zones.
W prawym panelu kliknąć prawym klawiszem my
New Zone..
Kliknąć Next
Wybrać typ dla strefy na Primary Zone i kliknąć Ne
W pole Zone Name wprowadzić nazwę domeny ita
Next
Wybrać Create new file with this file name aby utw
dla strefy i kliknąć Next
Na stronie Dynamic Update pozostawić wartość do
Next
Kliknąć Finish, aby zatwierdzić utworzenie nowej st

Dwukrotnie kliknąć na ikonie reprezentującej no
panelu
Kliknąć prawym klawiszem w prawym panelu i wy
AAAA).
W pole Name wprowadzić ITA-SRV01.
W pole IP Address wprowadzić 10.10.0.x
Powtórzyć powyższe kroki wprowadzając jako Nam
Address 10.0.0.y

Ile różnych typów rekordów można założyć
wszystkie możliwe rekordy do założenia?

Kliknąć prawym klawiszem w prawym panelu i wy
AAAA).
W pole Name wprowadzić ITA-SRV01.
W pole IP Address wprowadzić adres IPv6 serwera
Powtórzyć powyższe kroki wprowadzając jako Na
IP Address adres IPv6 serwera ITA-SRV02

iknąć prawym klawiszem myszy w prawym panelu

(CNAME).
W pole Alias Name wprowadzić WWW
W pole Fully qualified domain name wprowadzić
Zatwierdzić dodanie rekordu poprzez kliknięcie OK

Kliknąć prawym klawiszem myszy w prawym pane
Exchanger (MX).

Moduł VI

hostów przy użyciu systemu DNS

tam Add roles.

Next.

cję.

DNS Manager.

Forward Lookup

myszy i z menu wybrać

Next.

ita.local i kliknąć

tworzyć nowy plik

ć domyślną i kliknąć

ej strefy.

j nową strefę w prawym

i wybrać New Host (A or

Name ITA-SRV02 a jako IP

ożyć? Czy to na pewno

i wybrać New Host (A or

era ITA-SRV01.

Name ITA-SRV02 a jako

nelu i wybrać New Alias

zić ITA-SRV02.ita.local

OK.

anelu i wybrać New Mail

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 18/19

pocztowego

• Pole Host or child domain pozostawić puste aby zdefiniować dla

głównej domeny.

•  W pole Fully qualified domain name wprowadzić ITA-SRV02.ita.local
•  Pole Mail server priority pozostawić bez zmian.
•  Kliknąć OK aby zatwierdzić rekord.

Sprawdzenie

działania
konfiguracji

• Zalogować się na klienta ITA-CL01.
• Z wiersza polecenia sprawdzić działanie polecenia:

ping ita.local

ping ITA-SRV01.ita.local

ping ITA-SRV02.ita.local

ping www.ita.local

• Jeśli powyższe polecenia zadziałają oznacza to, iż serwer DNS działa

poprawnie

Laboratorium rozszerzone

Zadanie 1 (czas realizacji 15 min)

Przeprowadzić analizę komunikacji klienta usługi DNS z serwerem DNS w sieci LAN.
W celu realizacji tego zadania wykonaj następujące kroki:

•  Wyczyść podręczną pamięć klienta DNS
•  Zmień konfigurację protokołu IP tak aby wskazywał na zainstalowany serwer DNS.
•  Włącz  aplikację  Microsoft  Network  Monitor  3.0  i  skonfiguruj  ją  tak  aby  przechwytywała

wyłącznie ruch sieciowy protokołu DNS

• Włącz monitorowanie.
• Wykonaj szereg zapytań o adresy domenowe i IP różnych serwerów (użyj do tego znanych

Ci narzędzi analizy sieciowej tj. ping, nslookup itp.).

• Przerwij przechwytywanie pakietów i przejdź do ich analizy.

Czy potrafisz rozpoznać główne etapy przebiegu komunikacji protokołu DNS?

Zadanie 2 (czas realizacji 30 min)

• Zostały uruchomione cztery nowe oddziały zdalne
• Oddziały zdalne znajdują się w następujących miastach: Gdańsk; Gliwice; Poznań

i Wrocław.

•  Łączność z centrala znajdującą się w Toruniu zapewniają 2 Mb łącza DSL.
•  W każdym oddziale zdalnym pracuje około 80 pracowników.
•  W każdym oddziale zdalnym mogą pojawić się handlowcy mobilni, których obecnie

w firmie jest zatrudnionych 53.

•  Wszystkie komputery w oddziałach mają używać automatycznej konfiguracji adresów IP.
•  Przepustowość łącza WAN jest wykorzystana w 70% przez aplikację finansowo księgową.
•  W  celu  zapewnienia  sprawnej  komunikacji  w  każdym  oddziale  zdalnym  został

zainstalowany serwer DNS.

Marek Pyka

Moduł VI

ITA-108 Technologie sieciowe

Rozpoznawanie nazw hostów przy użyciu systemu DNS

Strona 19/19

Przeprowadź  projekt  infrastruktury  serwerów  DNS  umożliwiający  sprawną  replikację  przestrzeni
nazw dla domeny ITA.local.
W  celu  weryfikacji  przygotuj  środowisko  testowe  jak  na  schemacie  i  przeprowadź  testy
poprawności konfiguracji usługi DNS.
Jeżeli  masz  kłopoty  z  przygotowaniem  zestawu  testów  poprawności  konfiguracji  usługi,  poproś  o
pomoc nauczyciela prowadzącego zajęcia.

Rys. 7 Środowisko testowe dla oddziałów zdalnych

Zadanie 3 (90 min)

Centrala  przedsiębiorstwa  znajduje  się  w  Londynie.  Pozostałe  dwa  biura  oddziałów  zdalnych
znajdują  się  w  Warszawie i  Brukseli.  Każde  z  biur  posiada  własny  serwer DNS, który  przechowuje
kopię  przestrzeni  nazw  dla  domeny  przedsiębiorstwa.  Większość  zmian  w  rekordach  bazy  DNS
wykonywana jest w centrali.
Analizując sprawność i wydajność obecnej konfiguracji sieci zauważyłeś następujące cechy:

W standardowych warunkach klienci sieci w Warszawie i Brukseli rozwiązują nazwy

wykorzystując lokalne serwery DNS

W sytuacji gdy serwery DNS w Warszawie i Brukseli działają wolno lub są niedostępne,

klienci kierują swoje zapytania do serwera w Londynie

Serwer DNS w centrali jest zintegrowany z usługą Active Directory i ustawiony jest na

każdym kliencie jako główny

Użytkownicy skarżą się, że nie zawsze mają dostęp do zasobów sieciowych, zwłaszcza po

zmianie konfiguracji rekordów w centrali

Wyłącznie głównego serwera DNS powoduje wydłużony proces logowania do systemów

w całej organizacji, co znacznie utrudnia pracę użytkownikom i aplikacjom korzystającym
z usługi DNS

Ostanie awarie serwera centralnego doprowadziły do poważnych przerw w realizacji

procesu biznesowego.

Zaprojektuj i wykonaj tak infrastrukturę DNS aby wszystkie zmiany dokonywane w centrali były
automatycznie replikowane do lokalnych serwerów DNS. Do wykonania tego zadania wykorzystaj:
Centralny serwer DNS
Lokalny serwer DNS

Zaprojektuj i skonfiguruj środowisko wydajnej i bezpiecznej replikacji danych usługi DNS.
W  celu  wdrożenia  mechanizmów  odporności  na  awarie  dla  usługi  DNS  w  Londynie  wykonaj
następujące czynności:
Zainstaluj usługę Failover Clustering
Skonfiguruj strefy oraz zasady replikacji dla serwera DNS w centrali.

ITA-108 Technologie sieciowe

Marek Pyka

Moduł VII

Wersja 1

Bezprzewodowe sieci komputerowe

Spis treści

Bezprzewodowe sieci komputerowe ................................................................................................... 1

Informacje o module .................................................................................. .......................................... 2

Przygotowanie teoretyczne ............................................................................ ..................................... 3

Przykładowy problem .................................................................................. ................................ 3

Podstawy teoretyczne.................................................................................. ................................ 3

Przykładowe rozwiązanie .............................................................................. ............................. 15

Porady praktyczne .................................................................................... ................................. 17

Uwagi dla studenta ................................................................................... ................................. 17

Dodatkowe źródła informacji........................................................................... .......................... 17

Laboratorium podstawowe .............................................................................. .................................. 19

Problem 1 (czas realizacji 45 min) ................................................................... ........................... 19

Problem 2 (czas realizacji 45 min) ................................................................... ........................... 21

Laboratorium rozszerzone ............................................................................. .................................... 22

Zadanie 1 (czas realizacji 45 min) ................................................................... ............................ 22

Zadanie 2 (czas realizacji 90 min) ................................................................... ............................ 24

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 2/24

Informacje o module

Opis modułu
W  ramach  niniejszego  modułu  zostaną  omówione  podstawowe  aspekty
związane  z  sieciami  bezprzewodowymi.  Przedstawione  zostaną  standardy
sieci  bezprzewodowych  stosowanych  obecnie  w  przedsiębiorstwach  oraz
zasady projektowania i wdrażania tego typu technologii. Moduł ten porusza
również  bardzo  ważne  aspekty  związane  z  zagrożeniami  bezpieczeństwa
informacji w sieciach komputerowych oraz zasadami im przeciwdziałania.

Cel modułu
Celem

modułu

jest

przedstawienie

zasad

funkcjonowania

bezprzewodowych sieci komputerowych oraz przybliżenie problematyki
bezpieczeństwa danych przesyłanych w tego rodzaju sieciach.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

• wiedział, jakie typy sieci bezprzewodowych są wykorzystywane

obecnie

• potrafił zaimplementować obsługę sieci bezprzewodowych

w Windows Server 2008

• umiał dokonać analizy pakietów przesyłanych w sieciach WiFi
• potrafił zaprojektować i wdrożyć bezpieczną infrastrukturę sieci WiFi

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

Mapa zależności modułu
Zgodnie z mapą zależności przedstawioną na Rys. 1, przed przystąpieniem
do realizacji tego modułu należy zapoznać się z materiałem zawartym
w module 1 i 2.

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 3/24

Przygotowanie teoretyczne

Przykładowy problem

Bezprzewodowe sieci komputerowe stanowią obecnie bardzo rozwijającą się dziedzinę technologii
komputerowych. Jak grzyby po deszczu pojawiają się wokół nas nowe punkty dostępowe, zarówno
prywatne  jak  i  firmowe.  W  Twojej  przyszłej  pracy  na  pewno  spotkasz  się  z  problematyką  ich
wdrażania i zabezpieczania. Zbudowanie infrastruktury sieciowej przedsiębiorstwa wykorzystującej
sieci  bezprzewodowe  stanowi  dość  poważne  wyzwanie  dla  działów  IT.  Problemy  z  ich
implementacją pojawiają się prawie na każdym kroku, poczynając od planowania, pomiary zasięgu
po  bezpieczeństwo  włącznie.  Pracując,  jako  administrator  sieci  będziesz  zobligowany  do
przeprowadzenia projektu wdrożenia sieci WiFi oraz zaplanowania mechanizmów zabezpieczeń dla
przesyłu  danych  wrażliwych.  W  projekcie  niezbędnym  będzie  uwzględnienie  przez  Ciebie  zmian,
jakie  pojawią  się  w  infrastrukturze  serwerowej  będącej  stykiem  sieci  bezprzewodowych  z  siecią
przewodową LAN.

Podstawy teoretyczne

Sieci  bezprzewodowe WLAN  802.11x  zdobywają  obecnie  dużą  popularność  dzięki  łatwej  instalacji
i prostej implementacji. Z punktu widzenia użytkownika, funkcjonują i działają tak samo, jak lokalne
sieci  Ethernet  ze  współdzielonym  medium.  Jednakże  należy  być  świadomym,  iż  wdrażanie  sieci
bezprzewodowych  nie  jest  łatwe,  gdyż  wyzwania,  jakie  stawia  niekontrolowany  nośnik  przed
administratorami są znaczne.

Przegląd topologii sieci WLAN

Sieci 802.11 są bardzo elastyczne pod względem projektu i implementacji. Administratorzy sieci
mogą wybrać jeden z trzech typów sieci WLAN w swojej infrastrukturze:

•  IBSS
•  BSS
•  ESS

Zbiór usług

Zbiór  usług  (ang.  Service  Set)  to  logiczne  zgrupowanie  urządzeń.  Sieci  WLAN  umożliwiają
użytkownikom dostęp do sieci przez rozgłaszanie sygnału za pomocą częstotliwości radiowych, co
powoduje,  że  stacja  odbiorcza  może  znajdować  się  w  zasięgu  wielu  nadajników.  Który  z  nich
zostanie  wykorzystany  do  świadczenia  usług,  zależy  wyłącznie  od  konfiguracji  preferencji  na
kliencie. Najczęściej wybór ten jest realizowany na podstawie identyfikatora SSID (ang. Service Set
Identifier), który jest domyślnie wysyłany przez wszystkie nadajniki.

IBSS

Sieć  IBSS  (ang.  Independent  Basic  Service  Set)  jest  to  grupa  stacji  wykorzystujących  technologię
802.11x  w  celu  bezpośredniego  połączenia.  Sieci  te  nazywane  są  również  sieciami  tymczasowymi
(ang.  Ad-Hoc  Network),  ponieważ  działają one  jak  podstawowe  sieci  równorzędne  (peer-to-peer).
Na Rys. 2 została przedstawiona uproszczona sieć IBSS.

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 4/24

Rys. 2 Sieć typu Ad-hoc

BSS

Sieć  BSS  (ang.  Basic  Service  Set)  to  grupa  stacji  802.11x  komunikujących  się  ze  sobą  nawzajem.
W  celu  zapewnienia  komunikacji  pomiędzy  nimi  konieczne  jest  wykorzystanie  wyspecjalizowanej
stacji  zwanej  punktem  dostępu  (ang.  Access  Point).  Access  Point  jest  centralnym  punktem
komunikacyjnym dla wszystkich stacji należących do sieci BSS. Każda transmisja pomiędzy stacjami
musi  odbywać  się  za  pośrednictwem  punktu  dostępu,  który  odpowiada  za  przekazywanie  ramek
odbiorcom.  Punkt  dostępu  często  wyposażony  jest  w  port  typu  uplink,  umożliwiający  połączenie
sieci  bezprzewodowej  z  siecią  kablową.  Z  uwagi  na  tą  funkcjonalność  sieć  BSS  nazywana  jest
również siecią strukturalną (ang. infrastructural). Na Rys. 3 przedstawiono typową sieć BSS.

Rys. 3 Sieć typu infrastructural

ESS

Sieci  strukturalne  można  grupować  za  pomocą  łączy  typu  uplink.  W  świecie  standardów  802.11
interfejs  typu  uplink  łączy  sieć  BSS  z  systemem  dystrybucyjnym  (DS).  Zbiór  sieci  BSS  połączonych
przez  system  dystrybucyjny  nazywany  siecią  ESS  (ang.  Extended  Service  Set).  Na  Rys.  4  pokazano
praktyczną  implementację  sieci  ESS.  Należy  pamiętać,  że  łącze  typu  uplink  do  systemu
dystrybucyjnego  nie  musi  być  połączeniem  kablowym.  Specyfikacja  802.11  pozwala  na
zastosowanie również połączeń radiowych (choć jest to rzadko wykorzystywane).

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 5/24

Rys. 4 Sieć hybrydowa ESS

Mechanizm dostępu do medium 802.11

W  module  1  wspomniany  został  mechanizm  CSMA/CD  (ang.  Carrier  Sense  Multiple  Access  with
Collision  Detection),  którego  zadaniem  było  wykrywanie  kolizji  w  sieciach  kablowych  Ethernet.
Oparte  na  standardzie  802.3  sieci  WLAN  używają  podobnego  mechanizmu  o  nazwie  CSMA/CA
(ang. Carrier  Sense  Multiple  Access  with  Collision  Avoidance).  Mechanizm  ten  funkcjonuje  na
zasadzie  „słuchaj  zanim  nadasz”  (ang.  Listen  Before  Talk,  LBT),  stacja  nadawcza  przed  wysłaniem
informacji  bada  stan  nośnika  i  przed  rozpoczęciem  nadawania  czeka,  aż  kanał  będzie  dostępny.
W  porównaniu  do  CSMA/CD  ten  mechanizm  jest  bardziej  restrykcyjny,  gdyż  każdy  nadajnik  musi
poinformować  jak  długo  będzie  trwała  transmisja,  co  uniemożliwia  transmisje  danych  przez  inne
nadajniki w tym czasie.

Standardy sieci bezprzewodowych

802.11

Podstawową technologią opisaną w standardzie 802.11 jest DSSS (ang. Direct Sequence Spread
Spectrum). Technologia DSSS dotyczy urządzeń bezprzewodowych pracujących w zakresie szybkości
od 1 do 2 Mb/s. System używający technologii DSSS może pracować z szybkością do 11 Mb/s, nie
będzie jednak uważany za zgodny ze standardem, jeśli szybkość przekracza 2 Mb/s.

802.11b

Kolejnym  zatwierdzonym  standardem  był  standard  802.11b,  w  którym  prędkość  transmisji
zwiększono  do  11  Mb/s.  Standard  802.11b  jest  nazywany  również  standardem  Wi-Fi  lub
standardem dla sieci bezprzewodowych o dużej szybkości i dotyczy systemów DSSS, które pracują
z  szybkością  1,  2,  5,5  i  11  Mb/s.  Wszystkie  systemy  802.11b  są  zgodne  wstecz,  gdyż  obsługują
również  system  802.11  dla  szybkości  1  i  2  Mb/s,  lecz  tylko  w  przypadku  technologii  DSSS.
Urządzenia  802.11b  uzyskują  wyższe  szybkości  przesyłania  danych  dzięki  zastosowaniu  innej
techniki  kodowania  niż  w  przypadku  802.11,  umożliwiając  przesłanie  większej  ilości  danych  w  tej
samej ramce czasowej.

802.11a

Standard 802.11a dotyczy urządzeń sieci WLAN pracujących w paśmie transmisyjnym 5 GHz. Użycie
pasma  5  GHz  uniemożliwia  współdziałanie  z  urządzeniami  standardu  802.11b,  ponieważ  pracują
one  w  paśmie  2,4  GHz.  Urządzenia  802.11a  są  w  stanie  dostarczyć  dane  z  szybkością  54  Mb/s,
a  przy  zastosowaniu  technologii  zwanej  „podwajaniem  szybkości”  uzyskano  szybkość  108  Mb/s.
W środowisku produkcyjnym bardziej typową szybkością jest 20-26 Mb/s.

802.11g

Standard 802.11g pracuje podobnie jak 802.11b na częstotliwości 2,4 GHz, ale pozwala na transfer
z prędkością 54 Mb/s. Jest on całkowicie zgodny w dół ze standardem 802.11b, jednak

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 6/24

wykorzystanie  starszych  urządzeń  powoduje  w  praktyce  redukcję  prędkości  do  11  Mb/s.  Wielu
producentów  wprowadziło  w  swoich  urządzeniach  opcję Super  G, pozwalającą  na  łączenie  pasma
kilku  kanałów  w  jedno.  Dzięki  wykorzystaniu  Super  G  udało  się  osiągnąć  prędkość  108  Mb/s.
Dodatkowo  poprawiono  algorytmy  zarządzania  ruchem  pakietów  radiowych,  co  poprawiło
sprawność protokołu. Niestety nie wszystkie urządzenia sieciowe pozwalają na pełne wykorzystanie
tych możliwości.

802.11n

Standard  802.11n  obejmuje  rozległe  sieci  bezprzewodowe.  Sieci  tego  typu  mogą  pracować
z prędkościami 100, 250 i 540 Mb/s. Do tego celu wykorzystano technologię MIMO (ang. Multiple
Input Multiple Output), wykorzystującą wiele anten do nadawania/odbioru sygnału, czyli sygnał jest
nadawany  z  kilku  źródeł  i  odbierany  przez  kilka  odbiorników  (obecnie  2x2).  Ponadto  urządzenia
802.11n potrafią wykorzystywać wiele kanałów transmisyjnych do stworzenia jednego połączenia,
co  teoretycznie  dodatkowo  podwaja  dostępną  prędkość  transmisji.  Przepustowość,  z  nadmiarem
kodowania  przy  wykorzystaniu  wszystkich  anten,  sieci  802.11n  sięga  do  300  Mb/s.  Natomiast
dostępna  dla  użytkownika  prędkość  transmisji  osiąga  co  najmniej  100Mb/s,  czyli  tyle,  ile Fast
Ethernet.

Typy ramek 802.11

Po ustanowieniu połączenia z siecią WLAN, węzeł przesyła ramki w taki sam sposób, jak w każdej
innej sieci 802.x. Jednakże sieci WLAN nie używa się ramek standardu 802.3. Z tego względu
określenie bezprzewodowa sieć Ethernet jest mylące. Istnieją trzy typy ramek:

• sterujące:

•  żądanie wysłania (RTS)
•  gotowość do nadawania
•  potwierdzenie

• zarządzające:

•  żądanie przypisania
•  odpowiedź przypisania
•  żądanie próbkowania
•  odpowiedź próbkowania
•  sygnał nawigacyjny
•  uwierzytelnienie

• danych

Należy pamiętać, że tylko ramki danych są podobne do ramek 802.3. Rozmiar danych użytecznych
w ramkach bezprzewodowych i ramkach 802.3 wynosi 1500 bajtów, jednakże ramka sieci Ethernet
nie może przekroczyć rozmiaru 1518 bajtów, podczas gdy ramki sieci bezprzewodowej mogą mieć
rozmiar do 2346 bajtów. Zazwyczaj rozmiar ramki WLAN będzie ograniczony do 1518 bajtów,
ponieważ sieć bezprzewodowa jest najczęściej podłączona do kablowej sieci Ethernet.

Fragmentacja ramki 802.11

Fragmentacja  ramki  to  funkcja  warstwy  MAC,  której  celem  jest  zwiększenie  niezawodności
transmisji ramki przez bezprzewodowy nośnik. Mechanizm polega na rozbijaniu ramki na mniejsze
fragmenty  przesyłane  osobno.  Taki  zabieg  zwiększa  prawdopodobieństwo  pomyślnej  transmisji
ramki  przez  mało  stabilny  nośnik  bezprzewodowy.  Podczas  transmisji  każdy  fragment  ramki  jest
potwierdzany z osobna, co zmniejsza wielkość retransmitowanych danych w przypadku kolizji.

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 7/24

Rys. 5 Fragmentacja ramki 802.11

Zadaniem fragmentacji ramek jest zwiększenie niezawodności transmisji, jednakże trzeba
pamiętać, że zwiększa się obciążenie protokołu MAC 802.11 poprzez większą ilość potwierdzeń.
Fragmentacja jest więc kompromisem pomiędzy niezawodnością, a przeciążaniem medium.

Bezpieczeństwo sieci bezprzewodowych

Typy uwierzytelnienia i przypisania

Uwierzytelnianie w sieci WLAN następuje w warstwie 2. Jest to proces uwierzytelniania urządzenia,
a nie użytkownika. To bardzo ważne zagadnienie, o którym należy pamiętać podczas rozpatrywania
bezpieczeństwa sieci WLAN, rozwiązywania problemów oraz ogólnego zarządzania.
Uwierzytelnianie  może  być  wyłączone,  tak  jak  w  przypadku  nowego  punktu  dostępu  i  karty
sieciowej  używających  domyślnych  konfiguracji.  Klient  wysyła  ramkę  żądania  uwierzytelnienia  do
punktu  dostępu,  gdzie  ramka  zostaje  zaakceptowana  lub  odrzucona.  Klient  jest  powiadamiany
o  wyniku  za  pomocą  ramki  odpowiedzi  uwierzytelniania.  Punkt  dostępu  może  być  również
skonfigurowany  do  przekazywania  zadania  uwierzytelniania  do  specjalnego  serwera,  takiego  jak
RADIUS, IAS lub NAP, który w tym celu może przeprowadzać bardziej złożone procesy.
Przypisanie  wykonywane  po  uwierzytelnieniu  jest  stanem,  który  umożliwia  klientowi  korzystanie
z usług punktu dostępu przy transmisji danych.
Rozróżniamy następujące typy uwierzytelniania i przypisania:

• Nieuwierzytelnione i nieprzypisane – węzeł jest odłączony od sieci i nie jest przypisany do

punktu dostępu.

• Uwierzytelnione i nieprzypisane – węzeł został uwierzytelniony w sieci, ale nie jest jeszcze

przypisany do punktu dostępu.

• Uwierzytelnione i przypisane – węzeł jest podłączony do sieci i może nadawać i odbierać

dane poprzez punkt dostępu.

Metody uwierzytelnienia

W zaleceniu IEEE 802.11 wymieniono dwa typy procesu uwierzytelniania:

• System otwarty – jest to standard otwartej łączności, w której jedynie identyfikator SSID

musi być zgodny. Może on być używany w środowisku zabezpieczonym lub
niezabezpieczonym, ale ryzyko podsłuchu na niskim poziomie w celu odkrycia identyfikatora
SSID sieci WLAN jest wysokie.

• Współdzielony klucz – proces oparty o szyfrowanie WEP, WPA lub EAP.

WEP

WEP  (ang.  Wired  Equivalent  Privacy)  jest  podstawowym  mechanizmem  zabezpieczeń  danych
przesyłanych  przez  sieci  bezprzewodowe.  Zgodnie  z  założeniami  tego  standardu,  zabezpieczenie
połączenia  musi  być  na  tym  samym  poziomie,  jak  w  przypadku  połączeń  kablowych.  Metoda  ta
została  zdefiniowana  w  standardzie  802.11  i  jest  dostępna  jako  opcja  ochrony  komunikacji
pomiędzy  kartą  sieciową  a  punktem  dostępowym.  WEP  wykorzystuje  algorytm  RC4  z  40-  lub
104-bitowym kluczem. Schemat działania algorytmu WEP został przedstawiony na Rys. 6.

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 8/24

Rys. 6 Fragmentacja ramki 802.11

W algorytmie tym tajny klucz algorytmu RC4 jest łączony ze zmiennym wektorem inicjującym (IV)
tworząc ciąg szyfrujący tekst jawny (M) oraz sumę kontrolną ICV (ang. Integrity Check Value).
W przypadku WEP jego bezpieczeństwo zależy głównie od wektora inicjującego, który niestety
przesyłany jest tekstem otwarty. Ze względu na podatność tej metody na ataki kryptograficzne, jest
ona akceptowalna wyłącznie dla użytkowników domowych.

WPA/WPA2

WPA  (ang.  Wifi  Protected  Access)  jest  następcą  mechanizmu  WEP  i  stanowi  etap  przejściowy  dla
standardu  IEEE  802.11i.  Standard  ten  wprowadził  szereg  fundamentalnych  zmian,  na  przykład
oddzielenie  uwierzytelniania  użytkowników  od  zapewniania  integralności  i  poufności  danych,
tworząc tym samym niezawodną i skalowalną architekturę bezpieczeństwa nadającą się tak samo
dobrze  dla  sieci  domowych,  jak  dla  dużych  sieci  korporacyjnych.  Nowa  architektura  sieci
bezprzewodowych  nosi  nazwę  Robust  Security  Network  (RSN)  i  wykorzystuje  uwierzytelnianie
z  protokołem  802.1X,  niezawodną  dystrybucję  klucza  oraz  nowe  mechanizmy  zapewniania
integralności i poufności. Nawiązanie bezpiecznego kontekstu komunikacji składa się z czterech faz
(patrz Rysunek 7):

•  uzgodnienia polityki bezpieczeństwa
•  uwierzytelniania 802.1X
•  generowania i dystrybucji klucza
•  zapewnienia integralności i poufności danych w ramach architektury RSNA

Rys. 7 Fazy działania protokołu 802.11i

WPA wykorzystuje protokoły Temporal Key Integrity Protocol (TKIP), 802.1x oraz
uwierzytelnienie EAP.
WPA dzieli się na:

• Enterprise – korzysta z serwera RADIUS, który przydziela różne klucze do każdego

użytkownika.

• Personal – nie dzieli kluczy na poszczególnych użytkowników, wszystkie podłączone stacje

wykorzystują jeden klucz dzielony.

Najważniejszą różnicą pomiędzy WPA a WPA2 jest używana metoda szyfrowania. Podczas, gdy
WPA w wersji pierwszej korzysta głównie z TKIP/RC4, WPA2 wykorzystuje CCMP/AES.

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 9/24

Pomimo tego, że znane są już ataki na algorytm WPA (polegające głównie na ataku słownikowym
na klucz), algorytm WPA stanowi jedyną alternatywę bezpieczeństwa dla starszych urządzeń
nieobsługujących WPA2. Z opisywanych powyżej algorytmów miano bezpiecznego może nosić
wyłącznie WPA2 z wykorzystaniem protokołów EAP i RADIUS opisanych poniżej.

IEEE 802.1x i EAP

Protokół  uwierzytelniania  IEEE  802.1X  (znany  też  pod  nazwą  Port-Based  Network  Access  Control)
został  pierwotnie  stworzony  dla  sieci  przewodowych.  Zapewnia  on  mechanizmy  uwierzytelniania,
autoryzacji, dystrybucji klucza i kontroli dostępu użytkowników dołączających do sieci. Architektura
IEEE 802.1X obejmuje trzy podmioty funkcjonalne:

•  klienta (ang. supplicant) dołączającego do sieci
•  podmiot uwierzytelniający odpowiedzialny za kontrolę dostępu
•  serwer uwierzytelniania podejmujący decyzje o autoryzacji

W  sieciach  bezprzewodowych  za  uwierzytelnianie  odpowiada  punkt  dostępowy.  Każdy  fizyczny
port  sieci  (a  w  przypadku  sieci  bezprzewodowych  –  port  wirtualny)  dzielony  jest  na  dwa  porty
logiczne, razem składające się na obiekt dostępu do portu, czyli PAE (ang. Port Access Entity). PAE
uwierzytelniania jest zawsze otwarty i przepuszcza jego ramki, natomiast PAE usług jest otwierany
dopiero wtedy, gdy jest w stanie autoryzowanym – czyli po udanym uwierzytelnieniu – i tylko na
określony  czas  (domyślnie  3600  sekund).  Decyzja  o  dopuszczeniu  dostępu  jest  na  ogół
podejmowana  przez  trzecią  stronę  komunikacji,  czyli  serwer  uwierzytelniania,  którym  może  być
zarówno osobny serwer RADIUS, jak i prosty proces działający w ramach punktu dostępowego (na
przykład  w  sieciach  domowych).  Standard  802.11i  wprowadza  w  IEEE  802.1X  drobne  zmiany  dla
potrzeb  sieci  bezprzewodowych,  mające  na  celu  zabezpieczenie  przed  kradzieżą  tożsamości.
Wprowadzone  zostało  dodatkowe  uwierzytelnianie  wiadomości,  które  pozwala  upewnić  się,  że
zarówno klient, jak i podmiot uwierzytelniający mają wyliczone tajne klucze i włączyli szyfrowanie
przed uzyskaniem dostępu do sieci.
Klient  i  podmiot  uwierzytelniający  komunikują  się  za  pomocą  protokołu  opartego  na  EAP
(ang. Extensible Authentication Protocol), przy czym rola tego drugiego jest w zasadzie pasywna –
może on po prostu przekazywać wszystkie żądania uwierzytelnienia do serwera. EAP określa ogólne
zasady  transportu  różnego  rodzaju metod  uwierzytelniania  i  dopuszcza  bardzo ograniczoną  liczbę
komunikatów (

Request, Response, Success, Failure). Inne komunikaty zależą już od wybranej

metody uwierzytelnienia: EAP-TLS, EAP-TTLS, PEAP, Kerberos V5, EAP-SIM itd. Po zakończeniu tego
procesu obie strony (klient i serwer uwierzytelniający) mają własny, tajny klucz nadrzędny.
Komunikacja między podmiotem uwierzytelniającym a serwerem odbywa się poprzez protokół
EAPOL (ang. EAP Over LAN), stosowany w sieciach bezprzewodowych do przenoszenia danych EAP
w ramach protokołów wyższego poziomu (na przykład protokołu RADIUS).

Wdrażanie bezprzewodowych sieci LAN

Dogłębne  zrozumienie  działania  protokołu  802.11,  działania  mobilnych  węzłów  oraz
bezpieczeństwa transmisji na poziomie MAC jest konieczne do poprawnego planowania i wdrażania
sieci  WLAN  w  przedsiębiorstwie.  Instalacja  punktów  dostępowych  to  proces  o  wiele  bardziej
skomplikowany niż przygotowanie infrastruktury kablowej i montaż urządzenia pod sufitem.
Przed  wykonaniem  instalacji  konieczne  jest  przeprowadzenie  pomiarów  zasięgu  urządzeń
dostępowych  w  danej  lokalizacji  oraz  wyznaczenie  ilości  urządzeń,  jaką  należy  zakupić,  aby
zapewnić  użytkownikom  odpowiedni  poziom  dostępu  do  sieci.  Na  tym  etapie  należy  również
rozważyć  typ  aplikacji  wykorzystywanych  przez  klientów,  gdyż  inne  zapotrzebowanie  na  pasmo
będą  miały  aplikacje  wykorzystujące  ruch  pakietowy  (np.  HTTP,  SMTP),  a  inne  aplikacje
strumieniowe (np. głosowe VoIP).

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 10/24

Planowanie instalacji sieci WLAN

Podczas wdrażania sieci WLAN stosuje się dwie ogólne metodologie:

• sieć zasięgowa
• sieć pojemnościowa

Zasięgowe sieci WLAN

Zasięgowa (ang. coverage-oriented) sieć WLAN jest zaprojektowana w taki sposób, aby zapewnić
jak największe pokrycie przy jak najmniejszej liczbie punktów dostępu.
Do cech charakterystycznych instalacji zasięgowej należą:

• Aplikacje pakietowe z niską prędkością transmisji pakietów, np. skanowanie kodów

kreskowych, zapytania bazodanowe.

• Niskie wymagania co do szerokości pasma, pozwalające na skalowanie do niższych prędkości

transmisji, takich jak 1 Mb/s i 2 Mb/s.

• Łatwość konserwacji z uwagi na niewielką ilość urządzeń.

Taki typ instalacji pozwala na korzystanie z sieci WLAN wielu użytkownikom przy zachowaniu
przyzwoitej wydajności. Instalacje takie spotyka się najczęściej w magazynach lub sklepach oraz w
małych i średnich oddziałach firm, gdzie zastępują kablowe sieci Ethernet.
Na Rys. 8 przedstawiono przykładowy plan piętra z instalacją sieci WLAN zorientowaną na zasięg.

Rys. 8 Sieć WLAN zorientowana na zasięg

Pojemnościowe sieci WLAN

Projekt  pojemnościowej  (ang.  capacity-oriented)  sieci  WLAN  ma  zapewnić  maksymalną
przepustowość i prędkość transmisji pakietów każdemu klientowi w sieci BSS. Rozmiary komórek
w sieciach pojemnościowych są mniejsze i wymagają większej gęstości punktów dostępowych.
Sieci

pojemnościowe

wykorzystywane

są

obszarach

następujących

cechach

charakterystycznych:

•  Aplikacje wymagające dużej prędkości transmisji.
•  Aplikacje wrażliwe na opóźnienia.
•  Instalacja mniejszych podsieci lub wiele podsieci w jednym obszarze zasięgu.
•  Duże zagęszczenie klientów.

Na Rys. 9 pokazano to samo piętro biurowca, ale z instalacją pojemnościową. Należy zwrócić
uwagę, że w przypadku instalacji pojemnościowej jest prawie dwa razy więcej punktów
dostępowych. Każdy punkt dostępowy z reguły zapewnia zasięg dla około 12 użytkowników.

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 11/24

Rys. 9 Sieć WLAN zorientowana na pojemność

Przejściowa instalacja punktów dostępu

Wiele instalacji sieci bezprzewodowych w przedsiębiorstwach zaczyna się od zapewnienia zasięgu
w salach konferencyjnych itp. W takiej sytuacji dostęp do tych sieci mają również użytkownicy
pracujący w ich pobliżu, natomiast w dalszej odległości już nie. Takie instalacje stanowią zaczątek
późniejszej rozbudowy, dlatego warto już na tym etapie przeprowadzić projekt, dokonać pomiarów
zasięgu i przygotować infrastrukturę dla punktów dostępowych. Na Rys. 10 przedstawiono
częściową instalację wraz z zaznaczeniem przyszłego rozmieszczenia punktów dostępowych.

Rys. 10 Sieć WLAN wraz z punktami przyszłej rozbudowy

Pomiary stanowiska

Każdy  administrator  sieci  musi  znać  liczbę,  lokalizację  i  konfigurację  podlegających  mu  punktów
dostępowych.  Zgodnie  z  informacjami  podanymi  powyżej,  aby  informacje  te  były  miarodajne,
konieczne  jest  wcześniejsze  ustalenie,  czy  infrastruktura  WLAN  będzie  zorientowana  na  zasięg,
pojemność,  czy  też  hybrydowa.  Przeprowadzając  fizyczne  pomiary,  administrator  poznaje  zasięg
każdego  punktu  dostępowego  wymagany  do  pokrycia  określonego  obszaru  lub  zapewnienia
odpowiedniej wydajności. Podczas pomiarów należy też uwzględnić ilość klientów przypadających
na jeden punkt dostępu.

Narzędzia do pomiaru stanowiska

Aby poprawnie przeprowadzi pomiar środowiska, należy wykorzystać odpowiednie narzędzie
umożliwiające jego wykonanie:

•  urządzenia klienckie, radio i antena, które będziemy wykorzystywali w sieci
•  punkty dostępowe
•  po dwa egzemplarze anten używanych w infrastrukturze
•  narzędzia montażowe punktów dostępowych
•  narzędzia pomiaru transmisji i identyfikacji urządzeń

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 12/24

Przeprowadzenie pomiarów

Po zebraniu wszystkich narzędzi, należy przeprowadzić pomiary infrastruktury. Poniżej znajdują się
pytania, na które należy odpowiedzieć podczas prowadzenia pomiarów:

•  Gdzie znajdują się punkty dostępowe?
•  Jak zostały zamontowane?
•  W jaki sposób są połączone z siecią LAN?
•  Gdzie należy zainstalować kable i punkty ujęcia energetycznego?
•  Jakie anteny są używane, gdzie się znajdują i jak są zamontowane?
•  Jak należy ustawić parametry konfiguracyjne, które wpływają na zasięg, takie jak moc

i prędkość transmisji danych?

• Jakich ustawień kanałów należy używać?

Urządzenia sieci WLAN

Punkt dostępu (Access Point)

Access  Point zapewnia  stacjom  bezprzewodowym  dostęp  do  zasobów  sieci  za  pomocą
bezprzewodowego  medium  transmisyjnego  (częstotliwości  radiowe).  Większość  punktów
dostępowych  może  pracować  w  różnych  trybach,  które  wcześniej  realizowane  były  przez  osobne
typy urządzeń.

Wzmacniak (Repeater)

Wzmacniaki mają za zadanie przedłużać zasięg sieci w przypadku gdy operować ona musi na dużym
obszarze, z zachowaniem spójnych parametrów konfiguracyjnych. Przypadek taki został
przedstawiony na Rys. 11, gdzie użytkownik Bob nie będąc w zasięg pracy punktu dostępu AP 2
musi otrzymywać dostęp do sieci przedsiębiorstwa.

Rys. 11 Wykorzystanie trybu repeater’a

W budowaniu tego typu sieci należy pamiętać, iż pomimo że repeater może być efektywnym
narzędziem zwiększającym zasięg sieci, zwiększa się też prawdopodobieństwo nakładania domen
rozgłoszeniowych.

Klienci uniwersalni i mosty grupy roboczej

Podczas zmian w infrastrukturze sieci LAN i wprowadzania sieci WLAN mogą pojawić się problemy
z  kompatybilnością  wszystkich  urządzeń  ze  standardem  802.11.  Taki  problem  może  zaistnieć
zwłaszcza dla starszego typu urządzeń, które nie posiadają interfejsów dostępowych do WiFi. Jeżeli
problem  ten  dotyka  istotne  dla  infrastruktury  jednostki,  to  możemy  je  podłączyć  przy  użyciu
uniwersalnego  klienta  (ang.  Universal  Client)  albo  mostu  dla  grupy  roboczej  (ang.  Workgroup
Bridge). Pojęcie klienta uniwersalnego dotyczy podłączenia pojedynczej jednostki, natomiast most
grupy roboczej dotyczy podsieci lub grupy urządzeń. Scenariusz wykorzystania tego typu urządzeń
został przedstawiony na Rys. 12.

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 13/24

Rys. 12 Zastosowanie mostu grupy uniwersalnej i klienta uniwersalnego

Mosty bezprzewodowe

Mosty

bezprzewodowe

rozszerzają

funkcjonalność

mostów

grup

uniwersalnych.

Ich

przeznaczeniem  jest  łączenie  różnego  rodzaju  sieci  komputerowych  przy  pomocy  medium
bezprzewodowego.  Najczęściej  mosty  bezprzewodowe  wykorzystywane  są  do  budowania  sieci
outdoor,  w  których  odległości  pomiędzy  punktami  są  znacznie  większe  niż  w  sieciach  WLAN.
Przykład połączenia sieci przy pomocy mostów bezprzewodowych pokazano na Rys. 13.

Rys. 13 Sieć rozległa połączona bezprzewodowymi mostami

Jak widać na powyższym Rys., jeden z mostów przejmuje rolę punktu dostępowego, a pozostałe
mosty pracują w trybie klienta.

Narzędzia analizy sieci WLAN

Pozycjonowanie i analiza punktów dostępowych

Rynek  dysponuje  wieloma narzędziami  do  analizy  sieci  WLAN.  W  pierwszej  kolejności  zapoznamy
się  z  narzędziami  umożliwiającymi  analiz  obecnej  infrastruktury.  Jako  przykład  chcielibyśmy
zaprezentować dwa darmowe narzędzia działające pod kontrolą Windows Vista 32/64 bit. Pierwsze
z  nich  to  Inssider  (do  pobrania  ze  strony  http://www.metageek.net/products/inssider/download),
narzędzie do pomiaru siły sygnałów transmitowanych przez punkty dostępu. Przykład zastosowania
narzędzia przedstawiony jest na Rys. 14.

Marek Pyka
ITA-108 Technologie sieciowe

Rys. 16

Zarządzanie sieciami WLA

Systemy Windows Vista i
umożliwiający zarządzanie si
przykładowych poleceń netsh

• Połączenie do sieci bez

connect [[ssid=]na
interface=nazwa_in

• Rozłączanie z siecią be

disconnect interfa

• Włączenie lub wyłącze

set autoconfig ena

• Wyświetlanie listy dos

show networks [[in

• Wyświetlenie bieżącyc

show settings

Przedstawiony powyż
uzyskać korzystając z
pomocy netsh.chm zn

Podsumowanie

W rozdziale tym zostały prze
bezprzewodowych  w  przed
rozumieć,  jakie  etapy  proje
mechanizmy  zabezpieczeń  m
i ochrony danych.

Przykładowe rozwiązanie

Jako inżynier systemowy
w przedsiębiorstwie, która
projektu należy uwzględnić n

• Sieć ma umożliwiać kli

Bezprze

Strona 15/24

16 Analiza pakietów sieci WiFi przy pomocy Network Monitora

LAN przy pomocy polecenia netsh

ta i Windows Server oferują bardzo rozbudow

ie sieciami bezprzewodowymi. Poniżej znajdują się p

etsh w instancji WLAN:

i bezprzewodowej:

nazwa_sieci_bezprzewodowej] name=nazwa_pr
interfejsu

ią bezprzewodową:

face="Wireless Network Connection"

ączenie usługi WLAN Autotuning na interfejsie siecio

nabled={yes|no} interface=nazwa_interfejs

dostępnych sieci dla komputera:

interface=]nazwa_interfejsu] [[mode=]{ssi

ących ustawień globalnych w sieciach WLAN:

wyżej zestaw poleceń stanowi wyłącznie przykład,

ąc z pomocy polecenia netsh i instancji WLAN lu

znajdującego się w materiałach studenckich.

przedstawione najważniejsze informacje związane z

rzedsiębiorstwie. Po zapoznaniu się z zawartością

rojektu są istotne dla prawidłowego wdrożenia s

eń można wykorzystać, aby wdrożyć silne mechan

anie

owy masz dokonać projektu wdrożenia si

óra będzie stanowiła integralną część obecnej in

nić następujące warunki:

ć klientom dostęp do sieci Internet i sieci wewnętrzn

Moduł VII

przewodowe sieci komputerowe

itora

dowany zestaw poleceń

się przykłady zastosowania

profilu

eciowym:

jsu

sid|bssid}]

ad, więcej poleceń można
N lub korzystając z pliku

e z funkcjonowaniem sieci

ością modułu powinieneś

ia sieci WLAN oraz jakie

chanizmy uwierzytelnienia

sieci bezprzewodowej
ej infrastruktury. Podczas

trznej przedsiębiorstwa.

Marek Pyka
ITA-108 Technologie sieciowe

• Dla sieci WLAN ma

przemieszczać bez utra

• Projektowana sieć ma
• Ma być zapewniona m

Realizując powyższe wymaga

•  Schemat warstwy dost
•  Schemat sieci pojemno
•  Logiczną konfigurację j

i spójną konfigurację n

• Wybór mechanizmów

• filtrację adresów
• WPA/TKIP

Rys. 18

Powyższy zestaw rozwiązań
główne kierunki, w których
powyższe propozycje i przed
na poniższe pytania:

Czy potralifibyście wyk
Jaki mechanizm zabezp

Bezprze

Strona 16/24

ma zostać skonfigurowany roaming tak, aby k

utraty sygnału i konieczności zmiany parametrów do

ma być dostępna na piętrze trzecim budynku centra

a maksymalna wydajność sieci dla klientów.

Rys. 17 Przykładowy schemat warstwy dostępowej

agania można przyjąć:

dostępowej do sieci jak na Rys. 17.

mnościowej jak na Rys. 9.

cję jak na Rys. 18. Konfiguracja zakłada wykorzystan

ję na wszystkich urządzeniach.
ów bezpieczeństwa:

ów MAC

18 Przykładowa logiczna konfiguracja punktów dostępowych

zań stanowi wyłącznie wstęp do prawdziwego proje

rych należy się zwrócić podejmując się takiego

rzedyskutuj je z kolegami i koleżankami z grupy. Sp

wykazać słabe strony przedstawionego rozwiązania?

bezpieczeń byście zaproponowali?

Moduł VII

przewodowe sieci komputerowe

y klienci sieci mogli się

w dostępowych.

ntrali.

stanie jednego SSID

ych

rojektu, jednakże pokazuje

ego zadania. Przeanalizuj

Spróbujcie odpowiedzieć

nia?

Marek Pyka

Moduł VII

ITA-108 Technologie sieciowe

Bezprzewodowe sieci komputerowe

Strona 17/24

Czy potrafilibyście naszkicować projekt warstwy fizycznej i logicznej dla sieci typu HOTSPOT?

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że wdrażanie sieci WLAN zawsze wiąże się z ryzykiem wycieku danych lub

nieautoryzowanego dostępu do sieci.

• Zbudowanie bezpiecznej infrastruktury WLAN wiąże się z dużymi nakładami

administracyjnymi na utrzymanie infrastruktury 802.1x.

• Naucz się używać analizatorów sieciowych.
• Pamiętaj, że każdy punkt dostępowy pracuje jak koncentrator, dlatego podsłuch sieci jest

ułatwiony.

•  Przygotuj procedurę dostępu do punktów dostępowych w sytuacji awarii sieci WLAN.
•  Planując wdrożenie sieci WLAN staraj się wykorzystywać sieci pojemnościowe.
•  Wykorzystanie anten kierunkowych może utrudnić podsłuch sieci i zwiększyć ich wydajność.

Dobór urządzeń

•  Dobierając urządzenia rozważ miejsce ich instalacji oraz tryb, w jakim będą pracowały.
•  Jeżeli to tylko możliwe, wybieraj jednego dostawcę urządzeń.
•  Zaplanuj punkty styku urządzeń bezprzewodowych z siecią przewodową Ethernet.
•  Wdróż mechanizmy kopii zapasowych konfiguracji urządzeń.

Bezpieczeństwo

• Stosuj najmocniejszy możliwy mechanizm ochrony dla sieci stykających się z miejscami

publicznymi.

• Jeżeli nie jest możliwe wdrażanie mechanizmów zabezpieczeń, stosuj kanały VPN

do ochrony poufnych informacji.

• W sieciach korporacyjnych wykorzystuj WPA2.
• Dostęp do sieci klientów bezprzewodowych kontroluj przy pomocy mechanizmów

kwarantanny np. NAP.

• Stosuj izolację IPSec dla domeny lub serwerów.

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium jeśli:

•  potrafisz wyjaśnić różnice pomiędzy sieciami ESS, BSS i IBSS
•  wiesz jak działają urządzenia sieci WLAN oraz w jakich trybach mogą pracować
•  potrafisz wykorzystywać analizatory sieciowe do monitorowania ruchu WLAN
•  znasz mechanizmy zabezpieczeń dla sieci WLAN
•  zapoznałeś się z pojęciami przedstawionymi w module, takimi jak ESS, BSS, IBSS, Access

point, pojemnościowe sieci WLAN, zasięgowe sieci WLAN, WAP, WPA, EAP czy 802.1x

Dodatkowe źródła informacji

http://pl.wikipedia.org/wiki/Microsoft_Windows_Server_2008

Opis środowiska Windows Server 2008 oraz podstawowych ról serwerowych.

http://pl.wikipedia.org/wiki/802.11

Zbiór informacji na temat standardów sieci WLAN.

Karol Krysiak, Sieci komputerowe. Kompendium, Helion, 2003

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium podsta

Problem 1 (czas realizacj

Rozpoczynasz projekt mod
W pierwszej kolejności dec
gotowość platformy serwero
Rys. 19.

Przeprowadź konfigurację p
pomiędzy komputerami.
Zainstalować obsługę sieci be
Poniższe ćwiczenie wykonaj
Server 2008 podłączonym do

Poniższe ćwiczenie w
odpowiedniej konfigu
niniejszego ćwiczenia

Bazując na sprzętowym
z następującymi parametram

Zadanie

Tok

Skonfiguruj

serwer DHCP

•
•

Bezprze

Strona 19/24

stawowe

acji 25 min)

odyfikacji infrastruktury i wdrożenia w niej sie

decydujesz się na zbudowanie środowiska testow

erowej do współpracy z siecią WLAN. Środowisko

Rys. 19 Środowisko testowe dla infrastruktury sieci WLAN

ję punktu dostępowego tak, aby zapewniał on be

ci bezprzewodowych na platformie Windows Server

onaj na serwerze ITA-SRV01 lub też na fizycznym

do sieci WLAN.

ie wymaga posiadania minimum jednego punkt

figuracji sprzętowej na komputerach w laborator

nia wymaga pracy na fizycznych komputerach.

m punkcie dostępowym przeprowadź jego

trami:

Tok postępowania

Poniższe przykłady pochodzą z menu konfig
dostępowego firmy Linksys, jednakże opcje o

w każdym tego typu urządzeniu.

Zdefiniuj adres serwera DHCP jako 192.168.1.1
Zakres

przydzielanych

adresów

ustal

192.168.1.115

Moduł VII

przewodowe sieci komputerowe

j sieci bezprzewodowych.

towego potwierdzającego

isko testowe zbuduj jak na

n bezpieczną komunikację

rver 2008.

ym komputerze Windows

unktu dostępowego oraz
atorium. Przeprowadzenie

o konfigurację zgodnie

nfiguracyjnego urządzenia

cje omawiane dostępne są

1.1/24

192.168.1.100

–

Marek Pyka
ITA-108 Technologie sieciowe

Przeprowadź

podstawową
konfigurację sieci
WiFi

•
•
•

Wprowadź

podstawową
konfigurację
zabezpieczeń dla
sieci WiFi

•
•

Wprowadź

filtrację adresów
MAC

•

Zapisz

konfigurację

•
•
•

Zainstaluj usługę

Wireless LAN
Service na
platformie Windows
Serwer 2008

•
•
•

•

•
•

Zmodyfikuj

domyślne
uruchamianie usługi

•

Bezprze

Strona 20/24

  Określ identyfikator sieci jako: ITAWIFI
  Włącz rozgłaszanie SSID sieci
  Jako kanał pracy wybierz 6

  Wybierz tryb zabezpieczeń jako WEP
  Ustal klucz dla WEP na następujący: A1B2C3D4E
  W  opcjach  filtracji  MAC  wprowadź  adresy  fizy

biorących udział w niniejszym ćwiczeniu.

  Zapisz zmiany konfiguracji.
  Wykonaj restart urządzenia.
  Dokonaj  testu,  czy  żaden  inny  komputer  nie  ot

konfigurowanego punktu dostępowego.

Windows Server 2008 nie ma domyślnie w
bezprzewodowych ani zainstalowanych komp

  Zaloguj się na komputerze ITA-SRV01 jako Admi
  Uruchom narzędzie Server Manager.
  W  konsoli  zarządzania  serwerem  wybierz  Featu

Features.

Na liście dostępnych komponentów zaznacz W

naciśnij przycisk Next.

W oknie potwierdzenia instalacji kliknij Install.
Po zakończeniu instalacji i potwierdzeniu jej

przycisk Close.

Powróć do konsoli Server Manager i z drze

Configuration -> Services.

Odnajdź na liście usług Wireless LAN Services

Moduł VII

przewodowe sieci komputerowe

D4E5

fizyczne dla komputerów

e otrzymuje adresów IP z

ie włączonej obsługi sieci

omponentów.

dministrator.

eatures, a następnie Add

Wireless LAN Service i

jej poprawności wybierz

drzewa narzędzi wybierz

ices i zmień jej status na

Marek Pyka
ITA-108 Technologie sieciowe

Wireless LAN
Service

•

Podłącz

Windows Server
2008 do sieci WLAN

•

•
•

Zweryfikuj

konfigurację
połączenia WLAN

•

•
•

•

Problem 2 (czas realizacj

Przeprowadź analizę przechw
klienckim a usługami sieciow

• Przesyłanie pakietów p
• Połączenie się z serw

następnie zalogowanie
i odebranie poczty.

• Połączenie z serwerem

dostępny na uczelni).

• Przeglądanie stron inte

Zwróć szczególną u
sposób są przesyłan

Bezprze

Strona 21/24

Automatic.

Uruchomić usługę Wireless LAN Service.
Kliknij ikonę połączenia sieciowego w prawym

wybierz opcję Connect to Network.

Na liście dostępnych sieci odnajdź ITAWiFi i klikn
W oknie podawania klucza dostępowego wpro

naciśnij Connect.

Uruchom narzędzie Network and Sharing C

połączenia w prawym dolnym rogu.

Z menu zadań wybierz Manage Wireless Networ
Odnajdź na liście sieci ITAWiFi i z menu

Properties.

Przeglądając zakładki zweryfikuj poprawność

połączenia.

acji 20 min)

echwyconych pakietów przesyłanych w sieci WLAN

iowymi zgodnie z poniższymi scenariuszami:

ów ping pomiędzy klientem a punktem dostępowym

erwerem pocztowym publicznie dostępnym, np.

anie się do konta pocztowego (bez włączonego SSL

erem FTP i zalogowanie się użytkownika do serwera

internetowych – czy potrafisz powiedzieć których?

ą uwagę na zawartość pakietów. Spróbuj odnaleźć j

yłane. Jakie informacje są dla Ciebie najciekawsze?

Moduł VII

przewodowe sieci komputerowe

ym dolnym rogu ekranu i

kliknij Connect.
wprowadź A1B2C3D4E5 i

g Center klikając ikonę

twork.
nu podręcznego wybierz

ność opcji zabezpieczeń

AN pomiędzy komputerem

ym.

WP, Onet czy Gmail, a

SSL oraz z włączonym SSL)

wera (dowolny serwer FTP

eźć jakie dane i w jaki

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium rozszer

W  ramach  sieci  przedsiębio
dysponujesz  jeszcze  serwe
mechanizmów  uwierzytelnie
ustawić mechanizm WEP lub
jest takie proste jak słyszałeś
Na  te  i  inne  pytania  postan
infrastruktury pokazanej jak

Poniższe dane stano
odpowiedzialności z

Zadanie 1 (czas realizacji

Dokonać ataku na sieć WLAN

Założenia

Punkt dostępowy pełni rolę:

• routera
• serwera DHCP

Komputer kliencki użytkown
działa na platformie Wind
przejście karty sieciowej w tr
Urządzenia bezprzewodowe

•  router dowolnego pro
•  bezprzewodowa karta
•  bezprzewodowa karta

do przeprowadzenia testów

• Airdump-ng – progra

całych pakietów lub
w formacie cap, a wek

• Aircrack-ng – program

można łamać zabezpie

Bezprze

Strona 22/24

szerzone

iębiorstwa została zbudowana infrastruktura siec

rwerem RADIUS, zdecydowałeś się na użycie

elnienia i zapewniania poufności danych. Na urz

lub WPA, który z nich wybrać? Czy rzeczywiście wła

ałeś, czy WPA wystarczy, by chronić dostęp do sieci?

stanowiłeś odpowiedzieć osobiście i przeprowadz

jak na Rys. 20.

Rys. 20 Anatomia ataku na sieć WLAN

tanowią wyłącznie informacje poglądowe. Autor nie

ści za wykorzystanie ich w innym celu niż dydaktyczn

acji 45 min)

LAN zabezpieczoną algorytmem WEP z filtracją adre

olę:

wnika działa na platformie Windows Vista Business

indows Server 2008 z zainstalowanymi sterowni

w tryb nasłuchu.

we użyte do przeprowadzenia testów:

producenta
arta sieciowa Intel PRO/Wireless 2200BG
arta sieciowa Atheros AR5005G

ów wykorzystano darmowe programy:

gram do przechwytywania pakietów. Daje możliw

lub tylko wektorów inicjujących (IV) WEP. Całe p

wektory inicjujące w formacie ivs. Zainstalowany na

gram do łamania zabezpieczeń. Po przechwyceniu

zpieczenia WEP oraz WPA. Zainstalowany na stacji n

Moduł VII

przewodowe sieci komputerowe

sieci WLAN. Jako, że nie

ie któregoś z prostszych

urządzeniach AP możesz

włamanie się do sieci WEP

ieci?

adzić próbę włamania do

nie ponosi

tycznym.

dresów MAC.

ness. Komputer napastnika

wnikami umożliwiającymi

ożliwość przechwytywania

łe pakiety zapisywane są

na stacji napastnika.

niu pakietów Airdump'em

cji napastnika.

Marek Pyka
ITA-108 Technologie sieciowe

Filtrowanie adresów MAC

Wśród  metod  zabezpieczeń
poprzez  pozwolenie  podłąc
sieciowych.  Ominięcie  tego
otwartym,  także  w  sieciach
adresy MAC i przypisać swoje

WEP

Punkt  dostępowy  skonfigu
uwierzytelniania  użytkown
skonfigurowano odpowiedni
Stacja kliencka użytkownika
rozpoczęto  nasłuch  i  przy
inicjujących. Ilość przechwyc

Przechwycona liczba pakietó
klucza. Do łamania klucza uż
zapisanych w formacie szesn

Rys. 22 Wynik

Rys. 23 Wynik

Niestety zwiększanie
najmniejszego problem

Bezprze

Strona 23/24

czeń sieci istnieje metoda polegająca na ogranicz

dłączenia się do sieci bezprzewodowej wybranym

go zabezpieczenia jest bardzo proste. Adresy MAC

iach z włączonym szyfrowaniem połączenia, tak, w

wojemu urządzeniu jeden z podsłuchanych adresów

figurowano do używania klucza WEP o długoś

owników i szyfrowania transmisji. Stację k

ednio do ustawień punktu dostępowego.

ika rozpoczęła połączenie z punktem dostępowym,

rzy pomocy programu Airdump-ng rozpoczęto gr

wyconych pakietów do badań wynosi 2.035.805.

Rys. 21 Działanie oprogramowania Airodump-ng

ietów zapisana została w formacie ivs, po czym pr

użyto programu Aircrack-ng. Poniżej wynik działan

esnastkowym i ASCI.

ynik działania oprogramowania Aircrack-ng dla kluczy w forma

ynik działania oprogramowania Aircrack-ng dla kluczy w formac

nie długości klucza nic tu nie zmienia. Łaman

blemu! Dowód, poniżej wynik działania Aircrack-ng n

Moduł VII

przewodowe sieci komputerowe

niczeniu dostępu do sieci

anym adresom MAC kart

MAC są wysyłane tekstem

k, więc można podsłuchać

sów MAC.

gości 40 bitów, w celu

kliencką użytkownika

ym, a na stacji napastnika

o gromadzenie wektorów

przystąpiono do łamania

ałania programu dla kluczy

rmacie Hex

rmacie ASCI

manie WEP nie stanowi

ng na 128 bit kluczu ASCI.

Marek Pyka
ITA-108 Technologie sieciowe

Rys. 24 Wynik dzia

Zadanie 2 (czas realizacji

Chcąc zabezpieczyć własną
mechanizmy zabezpieczeń.
RADIUS do autentykacji u
laboratoryjnym.

Warto zastanowić się
certyfikatach i Infrastru

Bezprze

Strona 24/24

działania oprogramowania Aircrack-ng dla 128 bit kluczy w for

acji 90 min)

asną sieć WLAN przed atakami osób trzecich

ń. Przeprowadź projekt infrastruktury sieci WLAN w

ji użytkowników sieciowych. Projekt należy wd

się nad dodatkowymi mechanizmami zabezpi

strukturze Klucza Publicznego.

Moduł VII

przewodowe sieci komputerowe

formacie ASCI

ich należy wdrożyć silne

N wykorzystującej serwery

wdrożyć w środowisku

ezpieczeń bazujących na

ITA-108 Technologie sieciowe

Marek Pyka

Moduł VIII

Wersja 1

Serwer Aplikacji IIS 7.0

Spis treści

Serwer Aplikacji IIS 7.0 ......................................................................................................................... 1

Informacje o module ............................................................................................................................ 2

Przygotowanie teoretyczne ................................................................................................................. 3

Przykładowy problem .................................................................................................................. 3

Podstawy teoretyczne.................................................................................................................. 3

Usługi Internet Information Services (IIS) 7.0 .............................................................................. 3

Zasada działania serwera IIS 7.0 .................................................................................................. 4

Narzędzia zarządzania serwerem IIS 7.0 .................................................................................... 10

Bezpieczeństwo serwera IIS 7.0 ................................................................................................. 15

Integracja serwera IIS 7.0 z innymi usługami ............................................................................. 16

Podsumowanie .......................................................................................................................... 16

Przykładowe rozwiązanie ........................................................................................................... 17

Porady praktyczne ..................................................................................................................... 17

Uwagi dla studenta .................................................................................................................... 17

Dodatkowe źródła informacji..................................................................................................... 18

Laboratorium podstawowe ................................................................................................................ 19

Problem 1 (czas realizacji 25 min) .............................................................................................. 19

Laboratorium rozszerzone ................................................................................................................. 21

Zadanie 1 (czas realizacji 45 min) ............................................................................................... 21

Zadanie 2 (czas realizacji 45 min) ............................................................................................... 21

Zadanie 3 (czas realizacji 45 min) ............................................................................................... 22

Zadanie 4 (czas realizacji 45 min) ............................................................................................... 23

Po przeprowadzeniu konfiguracji bezpiecznych kanałów komunikacyjnych warto jest
przeprowadzić testy jak w poprzednim laboratorium. .............................................................. 23

Zadanie 5 (czas realizacji 45 min) ............................................................................................... 23

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 2/23

Informacje o module

Opis modułu
W tym module znajdziesz informacje dotyczące roli serwera aplikacyjnego
Internet Information Services 7.0 (IIS 7.0), jego implementacji w systemie
Windows

Server

2008.

Zapoznasz

się

zasadami

instalacji

i  konfiguracji  serwera  IIS  7.0  w  środowisku  sieciowym  Windows  Server
2008.  Zawarte  w  module  tym  zadania  umożliwią  Ci  zapoznanie  się
z procesem planowania, wdrażania i utrzymywania aplikacji biznesowych na
serwerach  aplikacyjnych  wraz  z  mechanizmami  równoważenia  obciążenia
serwerów w środowisku produkcyjnym.

Cel modułu
Celem  modułu  jest  przedstawienie  możliwości  wykorzystania  serwera
aplikacji  IIS  7.0  do  planowania,  budowania  i  wdrażania  rozwiązań
aplikacyjnych opartych na serwerach WWW.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

•  wiedział, jaką rolę w sieci przedsiębiorstwa pełni serwer aplikacji
•  potrafił zainstalować, skonfigurować i zarządzać rolą serwera IIS 7.0
•  rozumiał

potrzebę

planowania

infrastruktury

dla

potrzeb

wielodostępnych aplikacji Web.

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

• znać podstawy budowy stron html/ASP
• rozumieć problematykę bezpiecznego dostępu do zasobów w sieci

Internet

• rozumieć

rolę

przeznaczenie

serwerów

WWW/FTP

w przedsiębiorstwach

• znać zasady pracy w środowisku Windows Server 2008

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 3/23

Przygotowanie teoretyczne

Przykładowy problem

Wymagania  dotyczące  aplikacji  biznesowych  stale  rosną,  dlatego  też  działy  IT  przedsiębiorstw
muszą  przeznaczać  coraz  więcej  zasobów  na  ich  potrzebę.  Przykładem  tego  typu  aplikacji  są
systemy  CRM,  bez których  obecnie  nie można  sobie wyobrazić  pracy  handlowców.  Znaczna część
tych systemów potrzebuje do wydajnego działania dość rozbudowanej infrastruktury wyposażonej
w  serwery  bazodanowe  i  serwery  aplikacyjne.  Pracując,  jako  administrator  możesz  spotkać  się
z problemem zaplanowania infrastruktury IT na potrzeby aplikacji biznesowych różnego rodzaju. To
do  Ciebie  może  należeć  decydujący  głos  o  wyborze  rozwiązania  i  analiza  kosztów  związanych
z  wdrożeniem.  Najpopularniejsze  obecnie  są  systemy  wykorzystujące  oprogramowanie  cienkiego
klienta  działające  na  przeglądarce  internetowej.  Do  zbudowania  tego  typu  rozwiązania  będziesz
potrzebował  wydajnej,  elastycznej  i  bezpiecznej  platformy  aplikacyjnej.  Jednym  z  przykładów
platform  tego  rodzaju  jest  Internet  Information  Server  7,  0  zaimplementowany  w  Microsoft
Windows  Server  2008.  Twój  kierownik  działu  IT  zleca  Ci  przygotowanie  projektu  wdrożenia
infrastruktury  serwera  aplikacyjnego  IIS  7.0  wraz  z  zaplanowaniem  mechanizmów  odporności  na
awarie i równoważenia obciążenia serwera. Projektując taką infrastrukturę powinieneś uwzględnić
potrzeby  handlowców,  dostęp  zdalny,  interfejs  WWW,  łatwość  zarządzania  równoważeniem
obciążenia serwera.

Podstawy teoretyczne

System Microsoft Windows Server 2008 zapewnia bezpieczną i łatwą w zarządzaniu platformę do
tworzenia oraz niezawodnego udostępniania aplikacji i usług z serwera lub przez sieć Web. Wśród
nowych  funkcji  znajdują  się:  uproszczone  zarządzanie  aplikacjami  i  usługami,  szybsze  wdrażanie,
większe bezpieczeństwo oraz ulepszenia dotyczące wydajności i rozszerzalności. System Windows
Server  2008  zapewnia  wymienione  ulepszenia,  a  jednocześnie  daje  administratorom  lepszą
kontrolę i wgląd w to, jak aplikacje i usługi korzystają z głównych zasobów systemu operacyjnego.

Usługi Internet Information Services (IIS) 7.0

System  Windows  Server  2008  zapewnia  ujednoliconą  platformę  do  publikowania  w  sieci  Web,
która  integruje  usługi  Internet  Information  Services  7.0  (IIS  7.0),  ASP.NET,  architekturę  Windows
Communication Foundation oraz usługi Microsoft Windows SharePoint® Services. Usługi IIS 7.0 to
główne  usprawnienie  istniejącego  serwera  sieci  Web.  Odgrywają  one  szczególną  rolę
w  integracji  technologii  platformy  aplikacyjnej.  Główne  korzyści  płynące  z  zastosowania  usług  IIS
7.0  to  ulepszone  funkcje  administrowania  oraz  zarządzania,  zwiększone  bezpieczeństwo  oraz
zredukowane  koszty  obsługi.  Funkcje  te  pomagają  stworzyć  ujednoliconą  platformę,  która
dostarcza  pojedynczy  i  jednolity  model  wdrażania  i  administrowania  dla  rozwiązań  sieci  Web.
Internet Information Services 7.0 (IIS7) jest serwerem umożliwiający administrowanie, zarządzanie
i  konfigurowanie  różnych  funkcji  związanych  z  udostępnianiem  zasobów  sieciowych,  takich  jak
dodawanie i usuwanie witryn, zarządzanie aplikacjami internetowymi, serwerami FTP itp. Z punktu
widzenia  firmy  wykorzystującej  aplikacje  biznesowe  typu  Web,  wymagania  odnośnie  stabilności,
niezawodności i centralizacji zarządzania są najistotniejsze.
Platforma webowa IIS 7.0 charakteryzuje się następującą funkcjonalnością:

• Architektura modularna, rozszerzalność - Główny serwer Web usług IIS 7.0 zawiera kilka

zasadniczych zmian w porównaniu z usługami IIS 6.0. We wcześniejszych wersjach usług IIS
wszystkie  zestawy  funkcji  były  wbudowane.  W  przypadku  usług  IIS  7.0  zostały  one
przystosowane  do  ponad 40 oddzielnych  modułów. Tylko  połowa  z  nich  zainstalowana  jest
domyślnie,  a  administratorzy  mogą  wybiórczo  instalować  lub  usuwać  dowolne  moduły
funkcyjne.

• Wprowadzono również zmiany w przetwarzaniu. Zarówno kody macierzyste,

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 4/23

jak i zarządzane, przetwarzane są przez pojedynczy potok żądań. Nowy proces roboczy jądra
sieci  Web  zapewnia  również  dostęp  do  wszystkich  zdarzeń  dotyczących  powiadomień
w  potoku  żądań.  Poziom  integracji  pozwala  na  użycie  istniejących  zbiorów  funkcji  ASP.NET
(takich  jak  uwierzytelnianie  oparte  na  formularzach  lub  autoryzacja  URL)  do  wszystkich
rodzajów  zawartości  sieci  Web.  Dzięki  tworzeniu  zarządzanych  modułów  kodu,  zmiany  te
pozwalają  znacznie  zredukować  powierzchnię  narażoną  na  atak,  ponieważ  żadne
niepotrzebne  oprogramowanie  nie  jest  uruchomione.  Zapewniają  również  większą
rozszerzalność oraz lepszą obsługę rozszerzania głównych zbiorów funkcji usług IIS 7.0.

• Rozszerzony interfejs użytkownika - Zmiana sposobu prezentacji obiektów z zakładek na

ikony. Zarządzanie za pomocą aplikacji wywoływanych z linii poleceń: APPCMD, Powershell.
Konsola IIS 7.0 Manager umożliwia delegowanie kontroli i dostęp tylko do konkretnych
obiektów, pozwala to finalnie przypisywać administratorom różnego szczebla uprawnienia
do operacji, które powinni wykonywać

• Schemat i konfiguracja IIS przechowywana w czytelnym pliku XML- Usługi wprowadzają

znaczące ulepszenia w sposobie przechowywania danych konfiguracyjnych oraz dostępu do
nich  poprzez  rozproszoną  konfigurację  ustawień.  Pozwala  to  administratorom  określić
ustawienia konfiguracji  usług  IIS  w  plikach  przechowywanych  z  kodem  i  zawartością. Dzięki
określeniu  ustawień  konfiguracyjnych  w  pojedynczym  pliku  możliwe  jest  przeniesienie
obowiązków  administracyjnych  wybranych  opcji witryn  lub  aplikacji  sieci  Web na  inne  oraz
użycie prostego wdrażania polecenia XCopy.

• Zwiększone bezpieczeństwo - W IIS 7.0. Możemy konfigurować autentykacje opartą na

formularzach webowych do dowolnej zawartości np.: HTML, ASP, PHP. Istotną zmianą wartą
podkreślenia jest możliwość definiowania kont lokalnych w IIS. Dzięki czemu nie ma potrzeby
uwierzytelniać użytkowników w oparciu o konta domenowe lub konta lokalne serwera.
Możemy zarządzać dostępem do obiektów z jednego miejsca przypisując prawa
użytkownikom domenowym, lokalnym systemowym i IIS’a

• Wbudowane narzędzia do analizy oraz śledzenia zdarzeń - IIS 7.0 zawiera moduły

ułatwiające diagnostykę problemów i zdarzeń. Wysoki poziom szczegółowości komunikatów
pozwala programistom szybko wyizolować i naprawić błąd. Zdarzenia możemy śledzić
podając typ błędu, wywołanie rozszerzenia pliku, czy przekazania na serwer webowy
określonego polecenia itp.

• Bezproblemowa i wydajna obsługa aplikacji webowych zawierających dowolną zawartość-

Obsługiwane są statyczne strony, PHP, ASP, ASP.NET i inne z możliwością „mieszania”
technologii. Związane jest to z nowym zestawem publicznych API używanych zamiast
standardowych ISAPI

• Nowy Serwer FTP dostępny poza dystrybucją IIS 7.0 - Najnowszą wersję serwera FTP można

pobrać ze strony www.iis.net. Serwer FTP zamieszczony w wersji instalacyjnej systemu
Windows 2008 jest produktem zgodnym z IIS 6.0.

Zasada działania serwera IIS 7.0

Internet Information Services (IIS) 7.0 dostarcza nową architekturę przetwarzania zapytań, opartą
na:

• Nowej usłudze Windows Process Activation Service (WAS), która umożliwia witrynom

internetowym wykorzystywanie innych protokołów niż HTTP i HTTPS

• Modułowej budowie silnika serwera WWW
• Nowy mechanizm dostępu do przetwarzanych zapytań, zintegrowany z potokami

przetwarzania zadań serwera IIS i ASP.NET

IIS 7.0 zawiera kilka komponentów zapewniających podstawowe funkcje dla aplikacji i serwera
Web. Każdy z komponentów jest odpowiedzialny za różne zadania, nasłuch żądań wysyłanych do
serwera, zarządzanie procesami i odczytywanie plików konfiguracyjnych. Komponenty te zawierają

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 5/23

optymalizowany protokół nasłuchujący HTTP.sys oraz usługi serwerowe takie jak World Wide Web
Publishing Service (WWW service) i Windows Process Activation Service (WAS).
Schemat działania serwera IIS 7.0 został przedstawiony na Rys. 2.

Rys 2. Schemat działania serwera IIS 7.0

Protokoły nasłuchujące

Zadaniem  Protokołu  nasłuchującego  jest  odbieranie  specyficznych  zapytań  przesyłanych  do
serwera, przekazanie ich do przetworzenia przez serwer IIS, a następnie odesłanie odpowiedzi do
składającego  zapytanie.  Przykładowo,  kiedy  przeglądarka  klienta  zapytuje  o  stronę  internetową
Web,  proces  nasłuchujący,  HTTP.sys,  odbiera  to  zapytanie  i  przekazuje  do  przetworzenia  przez
serwer IIS. Jeżeli zapytanie jest poprawnie przetworzone przez serwer HTTP.sys zwraca odpowiedź
do przeglądarki klienta w postaci strony HTML lub kodu aplikacji.
Domyślnie  IIS  7.0  wykorzystuje  HTTP.sys  jako  protokół  nasłuchujący  zarówno  zapytań  HTTP  jak  i
HTTPS. HTTP.sys został wprowadzony już w IIS 6.0 jako protokół nasłuchujący dla zapytań HTTP. W
implementacji  HTTP.sys  dla  IIS  7.0  dodano wsparcie  dla  Secure  Sockets Layer  (SSL).  Aby  wspierać
usługi  i  aplikacje  wykorzystujące  inne  protokoły  niż  HTTP  i  HTTPS,  IIS  7.0  został  wyposażony  w
technologię  Windows  Communication  Foundation  (WCF).  WCF  posiada  adaptery  nasłuchujące,
które dostarczają funkcjonalności zarówno protokołów jak i adapterów nasłuchujących. Szerzej na
ten  temat można  przeczytać  w  dalszej  części  tego modułu  lub  też  na  witrynie MSDN  pod  hasłem
Windows Communications Foundation.

Hypertext Transfer Protocol Stack (HTTP.sys)

Protokół nasłuchu HTTP (HTTP listener) jest częścią podsystemu sieciowego Windows Serwer 2008
i jest zaimplementowany, jako sterownik urządzenia trybu jądra. HTTP.sys nasłuchuje zapytań HTTP
z sieci, przesyła je do przetworzenia przez IIS i zwraca odpowiedzi klientom.
Protokół  ten  zastąpił  pracujący  w  trybie  użytkownika  Windows  Sockets  API  (Winsock),  który  był
implementowany we wcześniejszych wersjach IIS.
HTTP.sys zapewnia następujące korzyści:

• Pamięć podręczna w trybie jądra. Zapytania kierowane do przechowywanych w pamięci

podręcznej odpowiedzi są realizowane bez przełączania się do trybu użytkownika

• Kolejkowanie zapytań w trybie jądra. Mniejsze prawdopodobieństwo przeciążenia serwera

gdyż zapytania są przesyłane przez jądro serwera. Jeżeli żaden proces roboczy nie jest
wstanie w danej chwili obsłużyć zapytania trafia ono do kolejki do czasu aż proces roboczy
będzie wstanie je obsłużyć

• Wstępne przetwarzanie zapytań i filtry bezpieczeństwa
• World Wide Web Publishing Service (WWW service)

W IIS 7.0 nastąpiła też bardzo istotna zmiana w funkcjonowaniu usług publikowania w sieci Web.
Funkcje, które w poprzednich wersjach pełniła usługa World Wide Web Publishing Service (WWW
Service) zostały obecnie rozdzielone na dwie usługi: WWW Services (w dokumentacji oznaczaną

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 6/23

również, jako W3SVC) oraz nową usługę Windows Process Activation Service (WAS). Obie usługi
działają w instancji konta LocalSystem w ramach tego samego procesu Svchost.exe i współdzielą te
same binaria.

Jak działa usługa WWW Service w IIS 7.0

Bardzo istotne zmiany nastąpiły w funkcjonowaniu usługi WWW Service. W IIS 6.0 usługa
ta odpowiadała za:

•  Administracja i konfiguracja stosu HTTP
•  Zarządzanie procesami
•  Monitorowanie wydajności

Usługa  WWW  Services  odpowiadała  również  za  odczytywanie  konfiguracji  z  metabazy  IIS
i  wykorzystywała  te  informacje  do  aktualizacji  HTTP.sys.  W  IIS  7.0  usługa  WWW  service  zmieniła
znacznie swój kontekst. Nie zarządza już procesami  roboczymi, tak jak to miało miejsce w IIS 6.0.
Obecnie usługa ta pełni rolę adaptera dla procesu nasłuchującego HTTP.sys. Jako adapter nasłuchu
domyślnie  jest  odpowiedzialna  za  konfigurację  HTTP.sys,  aktualizację  HTTP.sys  po  zmianach
konfiguracji i informowanie usługę WAS kiedy zapytanie znajdzie się w kolejce.

Windows Process Activation Service (WAS)

Usługa  Windows  Process  Activation  Service  (WAS)  zarządza  pulami  aplikacji,  konfiguracją
i  procesami  roboczymi.  Funkcjonalność  ta  była  dotychczas  zarezerwowana  dla  usługi  WWW
Service,  co  zostało  opisane  poprzednim  punkcie.  Podejście  to  umożliwia  wykorzystywanie  tych
samych parametrów konfiguracji dla witryn opartych o protokół HTTP jak i inne protokoły.
Dodatkowo, jeżeli na serwerze IIS nie mają być obsługiwane witryny HTTP, można uruchomić WAS
bez  instalacji  usługi  WWW  Service.  Na  przykład,  można  zarządzań  usługą  Web  poprzez  adapter
nasłuchujący  WCF  taki  jak  NetTcpActivator,  bez  uruchamiania  WWW  Service  i  HTTP.sys.  Więcej
informacji na temat WAS znajdziesz na witrynie MSDN.

Zarządzanie konfiguracją WAS

Podczas startu serwera usługa WAS odczytuje określone informacje z pliku ApplicationHost.config
i  przekazuje  je  do  adapterów  nasłuchujących  na  serwerze.  Adaptery  te  pełnią  rolę  kanałów
komunikacyjnych pomiędzy usługą WAS, a protokołem nasłuchu takim jak HTTP.sys. Kiedy adapter
otrzyma informacje konfiguracyjne przeprowadza konfigurację odpowiedniego protokołu nasłuchu
i przełącza się w tryb nasłuchu zapytań. W przypadku WCF, adapter zawiera w sobie funkcjonalność
protokołu  nasłuchu.  Na  przykład  adapter  WCF  taki  jak  NetTcpActivator,  po  przekonfigurowaniu
przez  WAS  rozpoczyna  nasłuchiwanie  protokołu  net.tcp.  Więcej  informacji  na  temat  adapterów
nasłuchujących WCF znajdziesz pod hasłem WAS Activation Architecture na witrynie MSDN.
Poniższa lista przedstawia typ informacji pobieranych przez WAS z konfiguracji serwera:

•  Globalne informacje konfiguracyjne
•  Informacje o konfiguracji protokołów HTTP i niezgodnych z HTTP protocols
•  Konfigurację Puli Aplikacji takie jak informacje o kontach i procesach roboczych
•  Konfiguracja Site
•  Konfiguracja aplikacji, min. obsługiwane protokoły, pule aplikacji, do których należy

Jeżeli  nastąpi  zmiana  w  konfiguracji  i  modyfikacja  pliku  ApplicationHost.config,  usługa  WAS
otrzymuje  powiadomienie  o  tym  fakcie  i  aktualizuje  adaptery  nasłuchujące  zgodnie  z  nowymi
parametrami.

Zarządzanie procesami roboczymi

Jak  wspomniano  wcześniej  usługa  WAS  jest  odpowiedzialna  za  zarządzanie  pulami  aplikacji
i  procesami  roboczymi  zarówno  dla  protokołów  obsługi  zapytań  HTTP  jak  i  niezgodnymi  z  HTTP.
W  chwili,  gdy  protokół  nasłuchu  odbierze  zapytanie  klienta,  usługa  WAS  określa  czy  odpowiedni
proces roboczy jest uruchomiony. Jeżeli w puli aplikacji znajduje się proces roboczy obsługujący to

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 7/23

zapytanie to adapter przekazuje mu to zapytanie do przetworzenia. W przeciwnym przypadku
usługa WAS uruchamia proces roboczy na potrzeby przetworzenia tego zapytania.

Moduły IIS 7.0

IIS  7.0  wprowadził  dość  istotną  zmianę  w  swojej  architekturze  w  porównaniu  z  wcześniejszymi
wersjami. W celu zapewnienia maksymalnej stabilności i bezpieczeństwa serwer IIS 7.0 składa się z
rdzenia,  jaki  stanowi  serwer  WWW  oraz  około  40  modułów  zwiększających  jego  funkcjonalność
i  bezpieczeństwo.  Wszystkie  moduły  mogą  zostać  podłączone  lub  odłączone  w  dowolnym
momencie. Na Rys. 3 przedstawiona jest architektura modułów dla serwera Web.

Rys. 3 Architektura modułowa IIS 7.0

Modułami  serwera  IIS  nazywamy  indywidualne  funkcjonalności,  które  wykorzystuje  serwer  do
pełnienia  swojej  roli.  Przykładem  może  być  moduł  autentykacji  klientów  lub  moduł  zarządzanie
pamięcią podręczną serwera IIS.
Nowe podejście do architektury wprowadza następujące zmiany w porównaniu ze wcześniejszymi
wersjami:

•  Administrator ma kontrolę nad modułami, które mają być zainstalowane na serwerze
•  Możliwe jest dokładne wyspecyfikowanie roli, jaką ma pełnić serwer w organizacji
•  Zawsze  możliwe  jest  używanie  dodatkowych  modułów,  które  zastąpią  instancje

wprowadzając przy tym nową funkcjonalność.

Wprowadzenie takiego podejścia do architektury serwera znacznie podniosło jego bezpieczeństwo
i  usprawniło  administrację  serwerem.  Dzięki  usunięciu  niepotrzebnych  modułów  minimalizowana
jest  przestrzeń  potencjalnego  ataku,  zmniejszyło  się zapotrzebowanie  na  zasoby  fizyczne  serwera
i zwiększyła się ogólna wydajność rozwiązania. Czynności administracyjne związane z utrzymaniem
serwera  również  zostały  zredukowane  w  myśl  zasady  „Nie  musisz  aktualizować  i  zabezpieczać
modułów niewykorzystywanych w danej roli serwera”.

Moduły natywne

W niniejszej sekcji zostaną omówione natywne moduły serwera IIS 7.0 instalowane wraz rolą
serwera IIS na platformie Windows Server 2008. W razie potrzeby możliwe jest ich odinstalowanie
lub też zastąpienie innymi modułami.

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 8/23

Moduły HTTP

Część  z  modułów  serwera  IIS  umożliwia  realizację  specyficznych  zadań  związanych
z przetwarzaniem zapytań dla Hypertext Transfer Protocol (HTTP). Moduły HTTP zawierają w sobie
funkcjonalności  związane  z  odpowiadaniem  na  informacje  i  zapytania  zawarte  w  nagłówkach
zapytań klienta, obsługą błędów protokołu http, przekserowaniem zapytań itp.

Moduły bezpieczeństwa

Część modułów IIS 7.0 została tak zaprojektowana, aby świadczyć usługi bezpieczeństwa w procesie
przetwarzania  zapytań.  Zostały  też  wydzielone  specyficzne  moduły  dla  każdego  z  schematów
uwierzytelniania  zapewniające  elastyczną  konfigurację  serwera  w  tej  kwestii.  W  przypadku
budowania  zaawansowanych  aplikacji  Web  konieczne  jest  stosowanie  innych  mechanizmów
uwierzytelniania,  dlatego  też  w  sekcji  bezpieczeństwo  można  znaleźć  dedykowane  moduły  do
autoryzacji URL oraz filtrowania zapytań.

Moduły zarządzania zawartością

Część  z  dostępnych  modułów  serwera  IIS  7.0  ma  za  zadanie  zarządzanie  zawartością
przetwarzanych  zapytań.  W  modułach  tych  można  odpleść  takie,  które  zarządzają  zapytaniami
dostępu  do  plików  statycznych,  zwracania  domyślnej  strony  Kidy  klient  nie  sprecyzuje  treści,
wyświetlania  zawartości  katalogów  itp.  Poniżej  zostały  wyszczególnione  główne  moduły
zarządzania zawartością.

Moduły kompresji

IIS 7.0 został wyposażony w dwa moduły kompresji w potokach przetwarzanych zapytań.

Moduły pamięci podręcznej

Wśród  dostępnych  modułów  serwera  IIS  znajdują  się  takie,  których  zadaniem  jest  zarządzanie
pamięcią podręczną dla przyjmowanych zapytań. Wykorzystanie tych modułów zwiększa wydajność
serwera  IIS,  witryn  Web,  aplikacji  poprzez  przechowywanie  przetworzonych  wcześniej  informacji
w  pamięci  serwera  i  wykorzystywanie  ich  w  sytuacjach  ponawiania  zapytań  do  tych  samych
zasobów.

Moduły logowania zdarzeń i diagnozy zapytań

Zadaniem modułów logowania zdarzeń jest przekazywanie informacji o uruchomionych modułach
i ich stanie bezpośrednio do HTTP.sys. Moduły diagnostyczne natomiast badają stan i raportują
zdarzenia podczas przetwarzania zapytań.

Moduły zarządzające

Część z modułów IIS wspiera zintegrowane zarządzanie z procesami przetwarzania zapytań.

Moduły zarządzanego kodu

Dodatkowo  do  natywnych  modułów  serwera  IIS  7.0  zostały  dodane  moduły  zarządzanego  kodu
zwiększające  znacznie  funkcjonalność  IIS.  Niektóre  z  modułów  zarządzających,  takie  jak
UrlAuthorization,  posiadają  natywne  moduły,  jako  alternatywne  do  modułów  wspierających
zarządzanie.

Przetwarzanie zapytań na serwerze IIS 7.0

Nowy  model  przetwarzania  zapytań  w  IIS  7.0  bazuje  na  bliskiej  integracji  mechanizmów  IIS
i  ASP.NET.  W  nowej  architekturze  zadania  przetwarzania  zapytań  zostały  rozdzielone  na  moduły
realizujące określone zadania.
Taki  projekt  zapewnia  kilka  korzyści  w  porównaniu  z  wcześniejszymi  wersjami  IIS.  Po  pierwsze
wszystkie  typy  plików  mogą  używać  funkcjonalności  dotychczas  zarezerwowanych  dla
zarządzanego kodu. Przykładowo, obecnie możliwe jest używanie autentykacji formularzy ASP.NET

Marek Pyka
ITA-108 Technologie sieciowe

i  autoryzacji  URL  dla  plików
i aplikacje.
Po  drugie,  tak  zaprojekto
i  ASP.NET.  Przykładem  tego
odwołuje  się  do  odpowiedn
klienta.  W  poprzednich  wer
przez serwer IIS jak i mechan
Trzecią korzyścią jest możliw
upraszcza administrację serw

Pule Aplikacji IIS 7.0

Pule  aplikacji  mają  za  zada
jednej  aplikacji  mógł  doprow
Web. W przypadku IIS 7.0 je
6.0.  Dodatkowo  jednak  zo
przetwarzane  zapytania  uzy
zintegrowany i tryb klasyczny

W IIS 6.0 tryb izolacji
poziomie serwera, co

Jednakże w IIS 7.0 tryb Inte
uwalnia serwer od poprzedn

Tryb Integracji puli aplikacji

Kiedy  serwer  pracuje  w  try
przetwarzania zapytań dla se
w  puli  aplikacji  proces  robo
zdarzenie  wywołuje  niezbęd
odpowiedzi.

Tryb klasyczny puli aplikacji

Kiedy pula aplikacji jest w try
Zapytania  ASP.NET  w  pierw
a  następnie  są  rutowane  do
w środowisku uruchomienio
i wysyłana jest odpowiedź do
Ten  tryb  separacji  serwera
niektórych  etapów  przetwa
serwera.  Dodatkowo  moduł
aplikacji, dla których nastąpił
IIS  7.0  posiada  bardzo  podo
przedstawiony proces przetw
Przetwarzanie  zapytania  p
zdarzeniami.  Każde  zrażenie
autentykacja  użytkownika  lu
wymagało  dostępu  do  mo
AppDomain,  w  której  mod
autentykacja klienta. Kiedy z
zwracana jest odpowiedź do

Strona 9/23

ików statycznych, ASP oraz innych typów wykorz

ktowane środowisko eliminuje duplikowanie fu

tego może być sytuacja, w której klient żąda mo

iedniego modułu autentykacji, który wykorzysta i

wersjach IIS to samo zapytanie klienta podlegało

hanizmy ASP.NET.

żliwość zarządzania wszystkimi modułami w jednym

serwerem Web.

adanie separowanie aplikacji i zapobieganie sytua
prowadzić do zatrzymania pracy innych aplikacji lu

.0 jest kontynuowany model izolacji oparty o proce

została wprowadzona możliwość definicji usta

uzyskują dostęp do zarządzanych zasobów. Wydzi

czny.
lacji procesów roboczych i tryb izolacji znany z IIS

, co uniemożliwia stosowanie obu trybów na t

Integracji i Klasyczny są implementowane na pozi

ednio opisanych ograniczeń.

aplikacji

trybie Integracji puli aplikacji można korzystać z

la serwera IIS i ASP.NET. W momencie odebrania zap

roboczy jest ono przetwarzane przez określony z

zbędny natywny moduł zarządzający dla procesu w

aplikacji

trybie klasycznym IIS 7.0 przetwarza zapytania jak

ierwszej kolejności są przesyłane do natywnego pr

e do biblioteki Aspnet_isapi.dll w celu przetworzen

eniowym. Na koniec zapytanie jest rzutowane z pow

ź do klienta.

era IIS i ASP.NET w przetwarzaniu zapytań po

etwarzania, co niekorzystnie wpływa na wydajn

duły zarządzania kodem są dostępne wyłącznie dla

tąpiło mapowanie zapytań przez bibliotekę aspnet_is

odobny proces przetwarzania zapytań HTTP jak IIS

zetwarzania zapytania dla IIS 7.0.

a  przez  proces  roboczy  przechodzi  przez  kilka
enie  jest  natywną  częścią  modułu  przetwarzania  za
ka  lub  dokonanie  wpisu  do  logu.  Jeżeli  przetwarz

modułu zarządzającego, to natywny moduł Ma

moduł zarządzający będzie mógł wykonywać wy

dy zapytanie przejdzie przez wszystkie zdarzenia pod

ź do HTTP.sys.

Moduł VIII

Serwer aplikacji IIS 7.0

korzystywanych przez Site

funkcjonalności dla IIS

modyfikacji pliku, serwer

ta informacje z zapytania

ało autentykacji zarówno

dnym miejscu, co znacznie

ytuacjom, w których błąd
cji lub też całego serwera

rocesy robocze znany z IIS
ustawień, w jaki sposób

ydzielono dwa tryby: Tryb

IIS 5.0 są realizowane na

a tym samym serwerze.

poziomie puli aplikacji, co

ć z wspólnej architektury

zapytania przez pracujący

ny zestaw zdarzeń. Każde

su w celu wygenerowania

jak w trybie izolacji IIS 6.0.

o przetwarzania przez IIS,

rzenia zarządzanego kodu

powrotem do serwera IIS

powoduje duplikowanie

dajność i bezpieczeństwo

dla aplikacji ASP.NET lub

et_isapi.dll.

IIS 6.0. Na Rys. 4 został

ilka etapów nazywanych

a zapytań, jak na przykład

warzane zapytanie będzie
ManagedEngine stworzy

wymagane zadania np.
podstawowe na serwerze

Marek Pyka
ITA-108 Technologie sieciowe

Narzędzia zarządzania se

Narzędzia administracyjn

W wersji 7.0 serwera IIS od
serwerem:

•  graficzny interfejs użyt
•  narzędzie wiersza pole
•  repozytorium  ustawie

.NET Framework 2.0 (o

• edytor WMI provider

zgromadzone w repozy

• zarządzany interfejs M

co edytor WMI provide

Ponadto system Windows Se
administrowanie serwerem i
Z serwerem IIS 7.0 dostarcza
wszelkich ustawień konfigura
interfejs z silną kontrolą typ
WMI. Skrypty wiersza pole
poleceń AppCmd.exe.

Nowy menedżer IIS Manag

Nowe narzędzie administrac
serwerem  sieci  Web.  Zape
informacji  dotyczących  diag
obsługuje  zdalne  administro
administrowanie  oraz  nie  w
portów administracyjnych.

Strona 10/23

Rys 4. Przebieg procesu przetwarzania zapytań HTTP

serwerem IIS 7.0

cyjne

od nowa napisano następujące narzędzia administ

użytkownika IIS Manager

poleceń AppCmd.exe

wień konfiguracyjnych bazowane na podobnym re

.0 (obsługuje bezpośrednią edycję ustawień)

ider, którym można wygodnie odczytywać i mo

pozytorium konfiguracji

js Microsoft.Web.Administration wyświetlający te sa

vider.

s Server 2008 oferuje wtyczkę IIS 6.0 konsoli MMC

em i miejscami FTP.

rczany jest nowy edytor WMI provider poszerzający

iguracyjnych IIS oraz ASP.NET. Microsoft.Web.Admin

typów, który może być także użyty do odczytania

poleceń IIS 6.0 zostały zastąpione nowym, silnym

nager

tracyjne usług IIS 7.0, menedżer IIS Manager, pozwa

apewnia on obsługę ustawień konfiguracji, dany

diagnostyki czasu wykonywania. Nowy interfejs m

istrowanie przez HTTP, co pozwala na zintegrow

ie wymaga konfiguracji w zaporze sieciowej protok

Moduł VIII

Serwer aplikacji IIS 7.0

inistracyjne do zarządzania

repozytorium platformy

modyfikować ustawienia

e same informacje,

MC pozwalającą na zdalne

ający skryptowy dostęp do

ministration to zarządzany

nia danych przez skrypty

ilnym narzędziem wiersza

zwala wydajniej zarządzać

danych użytkownika oraz

s menedżera IIS Manager

growane lokalne i zdalne

otokołu DCOM ani innych

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 11/23

Rys. 5 Nowy ekran administracyjny usług IIS.

Menedżer IIS Manager pozwala również administratorom delegować kontrolę administratorską do
deweloperów lub właścicieli zawartości. Inne główne funkcje menedżera IIS Manager to, między
innymi:

• Rozbudowane możliwości rozszerzania infrastruktury, pozwalające na przyłączanie nowych

funkcji interfejsu użytkownika przy użyciu platformy .NET Framework;

• Obsługa poświadczeń delegowanego administrowania, zarówno systemu Windows,

Jak i innych systemów;

• Automatyczne pobieranie i instalacja nowych modułów interfejsu użytkownika do urządzenia

klienckiego;

• Zdalne administrowanie przez HTTP/SSL.

Nowe  narzędzie  wiersza  poleceń,  AppCmd.exe,  również  służy  do  zarządzania  i  administrowania
serwerami,  witrynami  oraz  aplikacjami  sieci  Web.  Interfejs  wiersza  polecenia  upraszcza
administratorom  powszechne  zadania  zarządzania  serwerem  sieci  Web.  Na  przykład,  polecenie
AppCmd.exe  można  wykorzystać  do  wyświetlenia  listy  żądań  serwera  sieci  Web,  które  musiały
czekać  dłużej  niż  500  milisekund.  Informacje  te  mogą  zostać  wykorzystane  do  szybkiego
rozwiązywania  problemów  związanych  z  aplikacjami  o  słabej  wydajności.  Produkt  wyjściowy
polecenia AppCmd.exe może zostać przeniesiony do innych poleceń do dalszego przetwarzania.

Delegowanie uprawnień administracyjnych

Scentralizowany magazyn konfiguracji usług IIS 6, znany, jako baza meta danych, już nie istnieje.
Usługi IIS 7.0 zawierają nowy system delegowanych konfiguracji, oparty na hierarchii
rozproszonych

plików

konfiguracyjnych

XML.

Składa

się

ona

globalnego

pliku

applicationHost.config,  który  zawiera  domyślne  ustawienia  konfiguracji  serwera  oraz  rozproszone
pliki  web.config  wewnątrz  struktury  katalogu  aplikacji.  Są  to  te  same  pliki  web.config,  z  których
korzysta struktura aplikacji ASP.NET do zdalnego przechowywania ustawień aplikacji. Pozwala to na
równoległe  przechowywanie  konfiguracji  usług  IIS  oraz  struktury  ASP.NET,  przy  użyciu  czystych
i głęboko ustrukturyzowanych dyrektyw XML. Zmiana ta zapewnia jeden magazyn konfiguracji dla
wszystkich  ustawień  konfiguracyjnych  platformy  sieci  Web,  do  których  dostęp  istnieje  przez
powszechny zestaw interfejsu API oraz które przechowywane są w jednolitym formacie.
System  konfiguracji  usług  IIS  7.0  jest  również  w  pełni  rozszerzalny,  tak  więc  deweloperzy  mogą
rozszerzać  magazyn  konfiguracji,  aby  zawrzeć  w  nim  dostosowaną  konfigurację  o  takiej  samej
wierności  i  priorytecie,  co  konfiguracja  ustawień  IIS.  Dzięki  rozproszonym  plikom  web.config,
aplikacje  zawierają  wymagane  konfiguracje  serwera  wewnątrz  własnej  struktury  katalogowej.
Upraszcza  to  znacznie  wdrażanie,  pozwalając  na  kopiowanie  samodzielnych  aplikacji  do  katalogu
aplikacji serwera docelowego i w ten sposób pozwala na natychmiastowe uruchomienie i działanie
tych aplikacji w wybranych ustawieniach.

Marek Pyka
ITA-108 Technologie sieciowe

Usługi IIS 7.0 przechowują pl
W pliku tym znajdują się dwi

• system.applicationHos
• system.webServer

Grupa sekcji system.applicat
oraz puli aplikacji. Grupa s
ustawień, w tym globalnych

Narzędzie AppCmd.exe

Zarządzanie serwerem IIS 7
przydatne w dwóch sytuacjac

• instalacji i zarządzania
• wykorzystywania skryp

Narzędzie AppCmd.exe jest
ono szereg skryptów .vbs
wszystkich kluczowych funkc
AppCmd umożliwia administ
oraz znacznie zwiększa moż
Najczęściej realizowane zada

•  Tworzenie i konfigurac
•  Zatrzymywanie i uruch
•  Przeglądanie listy uruc

do serwera zapytań

• Przeszukiwanie, mody

Jak używać AppCmd.exe

Narzędzie AppCmd.exe bazu
Obiekty  te  dostarczają  m
administracyjnych  takich  jak
konfiguracji.
Przykładowo, obiekt witryna
wstrzymywania,  zatrzymywa
właściwości  takie  jak:  nazw
konfiguracji.

Uwaga: AppCmd.exe z
ścieżka ta nie znajduje

"%systemroot%\system32\in
scieżki do zmiennej PATH ser
Narzędzie wywoływane jest z

APPCMD (command)
>

gdzie <COMMAND> jest jedn
Wiele z obiektów wspiera na

•

LIST - wyświetla o

unikatowego obiektu
właściwości obiektu.

•

ADD - tworzy nowy o

•

DELETE - usuwa okre

•

SET - definiuje param

Bardzo często obiekty wspie
obiektu Site.

Strona 12/23

ją plik ApplicationHost.config w katalogu %windir%\
dwie główne grupy sekcji konfiguracyjnych:

Host

licationHost zawiera konfigurację witryny, aplikacji

a sekcji system.webServer zawiera konfigurację w

ych ustawień domyślnych sieci Web.

IS 7.0 przy użyciu komend wiersza linii poleceń m

acjach:

ania rolą IIS na serwerze Windows Server 2008 CORE

kryptów administracyjnych na platformie Windows

jest pojedynczym poleceniem do zarządzania serwe

vbs dostępnych we wcześniejszych wersjach). N

nkcji zarządzających wszystkimi obiektami serwera.

inistratorom kontrolowanie serwera IIS 7.0 bez użyc

ożliwości zautomatyzowania czynności administracy

zadania poprzez narzędzie AppCmd.exe:

uracja Site, puli aplikacji i wirtualnych katalogów,

ruchamianie Site, odzyskiwanie pul aplikacji

uruchomionych procesów roboczych i monitorowani

odyfikowanie, eksportowanie i importowanie konfig

azuje na dostępie do głównych obiektach serwera II

ą metod, które mogą zostać użyte do wyk

jak zarządzanie właściwościami obiektów, monito

ryna dostarcza metod do wyświetlania, tworzenia i u

ywania i uruchamiania ich. Każda uruchomiona

azwa i identyfikator, które mogą polegać inspekc

xe znajduje się w katalogu %systemroot%\system

duje się w zmiennej PATH, musisz używać poleceni

inetsrv\AppCmd.exe list sites". Alternatywą je

serwera.

est z wiersza linii poleceń w następujący sposób:

) (object-type) <identifier> < /para

jednym z dostępnych poleceń obsługiwanym przez <

a następujące podstawowe polecenia:

la obiekty na serwerze. Opcjonalne <ID> umo

iektu do wyświetlenia, lub też określenie jednego

ktu.

wy obiekt o określonych właściwościach

określony przez <ID> obiekt

rametry określonego przez <ID> obiektu.

spierają dodatkowe polecenia takie jak START i S

Moduł VIII

Serwer aplikacji IIS 7.0

\system32\inetsrv.

acji, katalogu wirtualnego

ję wszystkich pozostałych

ń może okazać się bardzo

ORE

ws Server 2008

erwerem IIS 7.0 (zastąpiło

. Narzędzie to dostarcza

era.

użycia narzędzi graficznych

racyjnych.

anie przesyłanych

nfiguracji IIS i ASP.NET

ra IIS tj. witryny i aplikacje.

wykonania wielu zadań

onitorowanie ich i zmiana

ia i usuwania instancji oraz

na instancja Site posiada

ekcji, wyszukiwaniu oraz

tem32\inetsrv\. Ponieważ

cenia w pełnej ścieżce np.

ą jest dodanie ręczne tej

ameter1:value1 ...

zez <OBJECT>.

umożliwia sprecyzowanie

go lub wielu parametrów

T i STOP jak w przypadku

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 13/23

Zarządzanie Sites, Aplikacjami, Katalogami Wirtualnymi i Pulami Aplikacji

Tworzenie i zarządzanie Site, aplikacjami i katalogami wirtualnymi jest podstawowym zadaniem
administratora serwera aplikacji. IIS wprowadza określoną hierarchię :

• Web Site - Web Site odbiera żądania bazujące na określonych parametrach tj. adres IP

nagłówek

hosta.

Przykład:

zapytanie

skierowane

port

8080

hosta:

http://www.mysite.com:8080
Każdy Site zawiera jedną lub wiele aplikacji.

• Aplikacja – Aplikacja reprezentuje wirtualną ścieżkę zawartą w adresie URL serwera.

Przykład: uruchomienie aplikacji "/app1" na serwerze może reprezentować poniższy adres
URL: http://www.mysite.com:8080/app1
Każda aplikacja przypisana jest do jednej puli aplikacji.
Aplikacja może posiadać jeden lub wiele katalogów wirtualnych.

• Katalog wirtualny - Katalog Wirtualny reprezentowany jest przez wirtualną ścieżkę

w przestrzeni URL aplikacji. Przykład: dostęp do katalogu wirtualnego "/vdir1" może
prezentować poniższy adres URL: http://www.mysite.com:8080/app1/vdir1
Katalog Wirtualny jest mapowany do fizycznej lokalizacji znajdującej się na dysku.

• Pula Aplikacji – Pula Aplikacji określa zestaw ustawień dla aplikacji znajdujących się w niej

i  procesów  roboczych  od  niej  zależnych.  Pula  Aplikacji  nie  jest  częścią  hierarchii    site-app-
vdir. Każda aplikacja na serwerze ma zdefiniowaną pulę aplikacji, która ją uruchamia lub też
należy do default application pool. Określa parametry procesów roboczych tj. ilość procesów
roboczych,  wersję  CRL  ładowaną  przez  nią,  model  integracji  .NET,  nazwę  konta  które  jest
uprzywilejowane  do  uruchomienia  procesów  roboczych  oraz  ustawienia  odzyskiwania
procesów roboczych.

Domyślnie IIS 7.0 jest instalowany z domyślnym Site o nazwie "Default Web Site", który nasłuchuje
na  porcie  80  bez  żadnych  ograniczeń  dotyczących  adresów  IP  czy  też  nagłówków  hosta.  Brak  też
jest zdefiniowanych domyślnych aplikacji ani ich katalogów wirtualnych. Wraz z nią tworzona jest
też  domyślna  pula  aplikacji  o  nazwie  "DefaultAppPool",  którą  wykorzystują  domyślnie  wszystkie
nowo tworzone aplikacje.

Zarządzanie konfiguracją

IIS  7.0  dostarcza  nowego  modelu  konfiguracji  opartego  na  hierarchii  XML  taj  jak  w  ASP.NET.
Konfiguracja serwera przechowywana jest w pliku applicationHost.config lub jest dystrybuowana
w pliku konfiguracyjnym web.config wraz z całą hierarchią aplikacji.
AppCmd  umożliwia  pełna  inspekcję  i  modyfikację  struktury  konfiguracji  za  pomocą  wiersza  linii
poleceń  wykorzystując  obiekt  CONFIG.  Dodatkowo  AppCmd  zapewnia  kilka  innych  przydatnych
funkcji tj. czyszczenie konfiguracji, blokowanie i odblokowanie oraz przeszukiwanie jej.

Przeglądnie konfiguracji

AppCmd  pracuje  z  konfiguracją  serwera  na  poziomie  sekcji  konfiguracja.  Każda  sekcja
konfiguracyjna  typowo  odpowiada  za  określoną  cechę  serwera  i  może  zawierać  wiele  podsekcji
i  wystąpienia.  Modyfikacja  konfiguracji  może  być  przeprowadzona  bezpośrednia  dla  określonej
przestrzeni  nazw  URL  tj.  Site,  aplikacja  lub  URL.  Modyfikacja  konfiguracji  podlega  zasadą
dziedziczenia,  konfiguracja  odziedziczona  z  poziomu  głównego  może  być  jednak  ręcznie
nadpisywana na poziomach niższych pliku konfiguracji serwera.

Modyfikacja wystąpień (collections)

AppCmd  umożliwia  również  modyfikacje  poszczególnych  wystąpień  konfiguracji.  Kolekcja
konfiguracji  może  zawierać  wiele  elementów  takich  jak  system.webServer/module.  Sekcja
konfiguracji  zawiera  listę  modułów  specyficznych  dla  egzekutorów  serwera.  Aby  zmodyfikować
kolekcję  należy  zdefiniować  unikatowy  ID  wystąpienia  wraz  z  określeniem  ścieżki.  Kolekcje
wykorzystują indeksowanie wartości, aby zidentyfikować konkretny element.

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 14/23

Zarządzanie położeniem plików konfiguracyjnych

System  konfiguracji  serwera  jest  hierarchiczny,  umożliwia  modyfikację  konfiguracji  na  wielu
poziomach infrastruktury serwerowej opartej o plik applicationHost.config i dystrybuowania przez
web.config zawierający parametry Site, aplikacji lub  katalogów wirtualnych.
Domyślnie  polecenie  AppCmd  zapisuje  konfigurację  na  poziomie,  na  którym  zostało  ustawione.
Na przykład, jeżeli modyfikujesz ustawienia konfiguracji "Default Web Site/", zostaną one zapisane
w pliku web.config w głównym drzewie tego Site.
Jednakże, jak wspominano wcześniej, możliwe jest nadpisanie konfiguracji lub też przypisanie jej do
konkretnych katalogów wirtualnych.
Poszczególne parametry mogą być konfigurowane dla:

• (omitted) — domyślnie; zapisuje konfigurację na poziomie, na którym jest ustawiony
• url — podobnie jak default; zapisuje konfigurację na poziomie, na którym jest ustawiony

w parametrze URL

•  site — zapisuje konfigurację do pliku web.config głównego drzewa ścieżki url
•  app — zapisuje konfigurację do pliku web.config głównego drzewa określonej aplikacji
•  apphost — zapisuje konfigurację na poziomie serwera do pliku applicationHost.config
•  <PATH> — zapisuje konfigurację do określonej lokalizacji konfiguracji

Przedstawione  powyżej  polecenie  dla  narzędzia  AppCmd  umożliwia  automatyzację  najczęściej
wykonywanych  zadań  administratora  IIS  7.0.  Zaznaczmy  jednak  fakt,  iż  nie  są  to  wszystkie
z  ogromnych  możliwości  AppCmd,  dlatego  gorąco  polecam  do  zaznajamiania  się  z  dodatkowymi
przełącznikami i poleceniami.
Dodatkowe  informacje  na  temat  zastosowań  polecenia  AppCmd  znajdują  się  pod  adresem
http://mvolo.com/blogs/serverside/archive/tags/AppCmd/default.aspx.

PowerShell

Powłoka  Windows  PowerShell  to  nowa  interaktywna  linia  komend  oraz  technologia  skryptowa
systemu  Windows  XP/Vista/Server  2003/2008  oparta  na  zadaniach  i  poleceniach  WMI,  która
umożliwia administratorom bardziej wydajne i bezpieczne automatyzowanie zarządzania zarówno
komputerami  typu  desktop,  jak  i  serwerami.  Używając  powłoki  PowerShell  możliwe  jest
zarządzanie parametrami serwera IIS 7.0 poprzez wykorzystanie przestrzeni nazw zdefiniowanej na
potrzeby  tej  roli.  Poniżej  przedstawiona  jest  struktura  przestrzeni  nazw  dla  serwera  IIS.
Przedstawione poniżej kontenery nie mogą być usunięte ani przeniesione.

IIS
Sites

Site Collection

Application and Virtual Directories

AppsPools

WorkerProcesses

Uruchomienie konsoli PowerShell dla IIS 7.0
Serwer IIS ma obecnie wydzieloną konsolę PowerShell, którą można uruchomić z menu Start->All
programs-> IIS 7.0 Extensions-> IIS PowerShell Management Console. Uruchomienie konsoli
zaowocuje pojawieniem się znaku zachęty z przestrzenią nazw serwera IIS.

Dostęp do przestrzeni nazw (namespace)

Aby przejrzeć domyślne katalogi główne użyj polecenia „DIR”

PS IIS:\> dir

Wynik działania polecenia powinien być zbliżony do poniższego:

Name
----
Sites
AppPools

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 15/23

Zmiana kontekstu na katalog główny Site

PS IIS:\> cd Sites
PS IIS:\Sites> dir
Name        ID   State      Physical Path          Bindings
----        --   -----      -------------          --------
Default Web Site 1 Started f:\inetpub\wwwroot      http *:80:

Dodatkowe opcje konfiguracyjne

PowerShell posiada wiele możliwości zarządzania i konfiguracji środowiska IIS.
Poniżej przedstawiony jest przykład powiązania obiektów WMI z PowerShell.

PS IIS:\Sites> Get-Item 'Default Web Site' | Select-Object *

Bezpieczeństwo serwera IIS 7.0

Konfiguracja zabezpieczeń serwera Web

Zabezpieczanie platformy serwerowej rozpoczyna się od planowania, a następnie dobrej instalacji
z ograniczoną ilością świadczonych usług. Takie założenia bezpieczeństwa przyjęła firma Microsoft
udostępniając produkt Windows Server 2008. Dlatego też, po instalacji systemu rola serwera IIS nie
jest dostępna. Kiedy administrator zdecyduje się na jej instalację zauważy, iż po etapie instalacji
serwera Web możliwa jest obsługa wyłącznie zawartości statycznej HTML i plików obrazów.
Poniższa lista zawiera główne cechy bezpieczeństwa związane z IIS 7.0:

• Zostały dodane nowe grupy wbudowane o nazwie IIS_IUSRS, która zastępuje lokalną grupę

IIS_WPG oraz nowa grupa wbudowana IUSRS zastępująca lokalną grupę IUSR_MachineName
świadczącą  anonimowy  dostęp  do  serwera  IIS  6.0.  Jednakże  konto  to  jest  wykorzystywane
przy dostępie do FTP w trybie zgodności z IIS 6.0.  Te zmiany dostarczają czterech głównych
korzyści:

• Możliwość wykorzystywania innego konta anonimowego bez wyłączania konta

anonimowego serwera IIS.

• Wdrażanie spójnej listy kontroli dostępu (ACLs) w serwerze Web używając wspólnego

identyfikatora bezpieczeństwa (SID)

• Udoskonalenie procesu DCPROMO przez zapewnienie, że żadne lokalne konto

anonimowe nie stało się kontem domeny

• Eliminacja potrzeby zarządzania hasłami.

• Restrykcje IP mogą być wykorzystywane w odmowie dostępu do zawartości dla

pojedynczego komputera, grupy komputerów, domeny lub wszystkich adresów IP
nieznajdujących się na liście.

• Integracja UrlScan 2.5
• IIS 7.0 wspiera autoryzację URL dla zawartości statycznej i dynamicznej.

Aby zabezpieczyć serwer IIS należy wykonać następujące czynności:

•  Skonfigurować mechanizmy autentykacji dla serwera IIS
•  Określić zasady ograniczenia dostępu na podstawie adresu IP/domeny
•  Zdefiniować reguły autoryzacji URL dla aplikacji Web
•  Określić reguły wykorzystania certyfikatów na serwerze IIS 7.0
•  Skonfigurować ograniczenia ISAPI i CGI
•  Zdefiniować bezpieczny dostęp do witryn w oparciu o Secure Sockets Layer
•  Skonfigurować filtry zapytań
•  Zaplanować mechanizmy kopii konfiguracji i ich współdzielenia pomiędzy serwerami.

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 16/23

Integracja serwera IIS 7.0 z innymi usługami

Serwer FTP

Usługa  FTP  pomimo  swojej  długiej  już  historii  jest  nadal  popularna  w  wielu  organizacjach.  Na
platformie Windows Serwer 2008 możliwe jest zainstalowanie serwera FTP zgodnego z IIS 6.0 lub
też  nowej  wersji  usługi  specjalnie  przygotowanej  dla  nowej  platformy  serwerowej.  W  ramach  tej
sekcji  omówiona  zostanie  usługa  FTP  Nowej  Generacji.  Przepisana  od  nowa  usługa  FTP
zaprojektowana  zgodnie  z  mechanizmami  bezpieczeństwa  Windows  Server  2008  dostarcza  wielu
ciekawych  funkcjonalności,  które  znacznie  zwiększyły  bezpieczeństwo  i  funkcjonalność  serwera.
Poniżej przedstawiono główne cechy nowego serwera FTP.

• Integracja z IIS 7.0 - IIS 7.0 dysponuje całkiem nowym interfejsem administracyjnym

i nowym modelem przechowywania konfiguracji. Nowy serwer FTP jest ściśle zintegrowany
z  nowym  interfejsem.  Stary  model konfiguracji  (znany  z  IIS  6.0) oparty  na metabazie  został
zaniechany  na  korzyść  architektury  bazującej  na  formacie  .NET  XML-based  *.config.
Dodatkowo  serwer  IIS  7.0  jest  wyposażony  w  nowe  narzędzia  administracyjne,  z  którymi
integruje się nowy serwer FTP.

• Wsparcie dla nowych standardów internetowych - Jedną z ważniejszych cech nowego

serwera FTP jest wsparcie dla FTP over SSL. Nowy serwer wspiera również inne Internetowe
usprawnienia takie jak UTF8 i IPv6.

• Usprawniony hosting – Dzięki pełniej integracji z IIS 7.0 nowy serwer FTP umożliwia

integrację  witryn  FTP  z  witrynami  WWW.  Nowa  funkcjonalność  serwera  FTP  umożliwia
dodawanie  zawartości  FTP  do  istniejących  witryn  WWW.  Dodatkowo  serwer  FTP  wspiera
wirtualne  nazwy  hostów,  co  umożliwia  dostarczanie  wielu  serwerów  FTP  na  tym  samym
adresie  IP.  Nowy  serwer  FTP  ma  również  usprawnione  mechanizmy  izolacji  użytkowników
umożliwiające izolację użytkowników poprzez katalogi wirtualne serwera.

• Różni dostawcy autentykacji – Nowy serwer FTP wspiera autentykację przy użyciu kont nie

systemowych dla IIS Managers i .NET Membership.

• Usprawnione logowanie – Logi FTP zostały rozszerzone i obecnie umożliwiają zbieranie

informacji o całym ruchu do serwera FTP, określonej sesji, dodatkowych polach w logu
i wiele więcej.

• Nowe cechy rozwiązywania i raportowania błędów - IIS 7.0 posiada nowy mechanizm

wyświetlania błędów dla użytkowników lokalnych. Ten sam mechanizm został zastosowany
w serwerze FTP, który został wyposażony w opcje szczegółowego raportowania dla lokalnie
zalogowanych użytkowników. Nowy FTP serwer zapisuje szczegółowe informacje do logu
używając Event Tracing for Windows (ETW).

Dodatkowe informacje na temat nowego serwera FTP znajdują się na witrynie http://www.iis.net/
w artykule "What's New for Microsoft and FTP?"
Aby zainstalować nowy serwer FTP muszą być spełnione następujące warunki:

•  Musisz pracować na platformie Windows Server 2008.
•  Internet Information Services 7.0 musi być zainstalowany.
•  Jeżeli  chcesz  zarządzać  serwerem  FTP  przy  pomocy  nowego  interfejsu  IIS  7.0  muszą  zostać

zainstalowane narzędzia administracyjne.

• Instalację serwera FTP musi przeprowadzić osoba z prawami administratora.
• IIS 7.0 wspiera nową architekturę współdzielenia konfiguracji Sewerów. Musi ona na czas

instalacji zostać wyłączona.

• Starsza wersja serwera FTP musi zostać odinstalowana.

Podsumowanie

W tym rozdziale przedstawiony został jeden z ważniejszych elementów infrastruktury Windows
Server 2008, a mianowicie Serwer IIS 7.0. Moduł miał za zadanie pokazać jak działa ten serwer i jak
można nim sprawnie administrować. Dowiedziałeś się, jak przebiega proces przetwarzania zapytań

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 17/23

na serwerze Web oraz jak został on zaimplementowany w IIS 7.0. Omówione zostały też zasady
bezpiecznego wdrażania serwera w przedsiębiorstwie. Pisząc ten rozdział nie sposób było pominąć
nowej implementacji serwera FTP, z którym zapoznasz się w części ćwiczeniowej.

Przykładowe rozwiązanie

Jako  inżynier  systemowy  zostałeś  poproszony  o  przedstawienie  planu  wdrożenia  serwera  usług
aplikacyjnych. Prezentując plan masz się skupić wyłącznie na wyjaśnieniu jakie kroki poczyni dział IT
aby zrealizować projekt.
Instalacja serwera IIS w przedsiębiorstwie wiąże się z wykonaniem szeregu czynności dotyczących
zaplanowania,  wdrażania  i  utrzymywania  usługi.  Proces  taki można  przedstawić  jak  na  poniższym
schemacie.

Rys. 6 Schemat wdrażania serwera IIS 7.0

Porady praktyczne

• Pamiętaj, że serwer IIS stanowi bardzo zaawansowane narzędzie do budowania rozwiązań

Web w przedsiębiorstwie, dlatego przed jego wdrożeniem zaplanuj dokładnie przeznaczenie
i infrastrukturę.

•  Unikaj budowania środowiska przemysłowego na IIS 7.0 w oparciu o witrynę domyślną
•  Zawsze używaj nagłówków hosta do identyfikacji Site i aplikacji
•  Siłą IIS 7.0 są moduły - wykorzystuj je mądrze.
•  Wypracuj sobie metody odtwarzania konfiguracji serwerów IIS po awarii.
•  Jeżeli tylko to możliwe stosuj tryb integracji puli aplikacji.
•  Jednym  z  możliwych  mechanizmów  podnoszenia  wydajności  serwerów  IIS  w  dużych

rozwiązaniach są klastery NLB.

• Aby zainstalować nowy serwer FTP należy go pobrać z witryny http://www.iis.net.

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium, jeśli:

•  wiesz jaką rolę w organizacji może pełnić serwer IIS
•  umiesz instalować role i funkcje na platformie Windows Server 2008
•  umiesz zaplanować wykorzystanie serwera IIS do publikacji treści w przedsiębiorstwie

Zaprojektowanie serwera IIS

7.0

Integracja IIS 7.0 z innymi

usługami

Definicja struktury i modułów

Instalacja aplikacji

Zabezpieczanie platformy

Zaprojektowanie prcesów

monitorowania i wykonywania

kopii zapasowych

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 18/23

•  znasz składnię polecenia AppCmd.exe
•  potrafisz zbudować prostą stronę html
•  zapoznałeś się  z  głównymi  pojęciami  dotyczącymi  serwera  IIS  (Site,  pula  aplikacji,  aplikacja,

katalog wirtualny)

Pamiętaj o zapoznaniu się z uwagami i poradami zawartymi w tym module. Upewnij się,
że  rozumiesz  omawiane  w  nich  zagadnienia.  Jeśli  masz  trudności  ze  zrozumieniem  tematu
zawartego  w  uwagach,  przeczytaj  ponownie  informacje  z  tego  rozdziału  i zajrzyj  do  notatek
z wykładów.

Dodatkowe źródła informacji

Praca zbiorowa, Podręcznik administratora Windows Server 2008, Microsoft, 2008

Na Praktyczny poradnik instalacji i konfiguracji serwerów Windows Server 2008

2. http://www.iis.net

Podstawowa witryna traktująca o serwerze IIS 7.0

3. http://technet2.microsoft.com/windowsserver2008

Oficjalna witryna z artykułami technicznymi na temat IIS i technologii Windows
Server 2008

Volodarsky, Londer, Hill, Internet Information Services (IIS) 7.0 Resource Kit, Microsoft 2008

Podstawowa literatura na temat IIS 7.0

William R. Stanek, Internet Information Services (IIS) 7.0 Administrator's Pocket Consultant,

Microsoft 2008

Zbiór praktycznych uwag na temat wdrażania i zarządzania serwerem IIS 7.0

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium podsta

Problem 1 (czas realizacj

Zgodnie z zadaniem przydz
i przetestowanie środowiska
7.0 oraz FTP 7.0 zgodnie z sch

Czy potrafiłbyś na tym
organizacji?

Zapoznanie się z Internet
z interfejsem i podstawowym
Procedura przykładowej inst

Zadanie

Tok po

Instalacja
serwera

IIS

7.0

• Ur

Sta

• Do

• Ur

uru

• Zaz
• Zaa

ser

• Zai

—

Sta

—

• Prz

• Po

2. Weryfikacja

• Ur

Strona 19/23

stawowe

acji 45 min)

dzielonym przez kierownika działu IT, masz za z

iska. Zdecydowałeś się na instalację środowiska test

z schematem jak na Rys. 7:

Rys. 7 Przykładowe środowisko testowe

ym etapie odpowiedzieć na pytanie, czy IIS 7.0 byłby

net Information Service (IIS) Manager. W zadan

wymi zadaniami administracyjnymi.

instalacji Serwera DHCP na platformie Windows Serv

k postępowania

Uruchomić  Server  Manager,  aby  uruchomić  Ser
Start Menu -> All Programs -> Administrative Tool
Dodaj  Rolę  Serwera  WEB,  w  konsoli  Server  Man
poczekaj na podsumowanie ról.
Uruchom  kreatora  Add  Roles  Wizard,  kliknij
uruchomiony kreator dodawania nowej roli i kliknij
Zaznacz rolę Web Server (IIS)
Zaakceptuj  okno  informujące  o  instalacji  pakie
serwer jest zależny od WAS) i kontynuuj instalację
Zainstaluj następujące cechy serwera IIS:

ASP.NET
ASP
CGI
Static content
Dynamic Content Compression
Basic Authentication

Przejrzyj

zawartość

okna

podsumowan

komponentów dodatkowych do serwera IIS i kliknij
Poczekaj aż instalacja przebiegnie do końca i pojaw
Results, na zakończenie procesu instalacji kliknij Cl

Uruchom przeglądarkę Internet Explorer

Moduł VIII

Serwer aplikacji IIS 7.0

za zadanie przygotowanie

testowego dla serwera IIS

yłby dobrym wyborem dla

daniu tym zapoznasz się

Server 2008:

Server Manager, kliknij

Tools -> Server Manager.

anager, wybierz Roles i

nij Add Roles, zostanie

iknij Next.

akietów zależnych (Web

cję

waniem

instalowanych

iknij Install.

ojawi się okno Installation

Close.

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 20/23

instalacji roli
serwera IIS

• W polu adres wpisz http://localhost
• Powinna pojawić się witryna Welcome serwera IIS 7.0.

Instalacja

serwera FTP 7.0

• Aby zainstalować serwer FTP 7.0 należy wpierw pobrać pakiet

instalacyjny w wersji 32 lub 64 bitowej (w zależności od platformy
serwerowej) ze strony:
http://www.iis.net/downloads/default.aspx?tabid=34&g=6&i=1619

• Uruchom pobrany pakiet msi
• Po uruchomieniu pakietu instalacyjnego kliknij Next, aby rozpocząć

pracę z kreatorem instalacji

•  Zaakceptuj umowę licencyjną i kliknij Next
•  Zaznacz wszystkie opcje do instalacji i kliknij Next
•  Zostanie  wyświetlone  okno  podsumowujące,  na  którym  należy  kliknąć

Install

• Po zakończeniu instalacji kliknij Finish.

Założenie

nowego Site FTP

• Otwórz IIS 7.0 Manager. W drzewie połączenia (connections) kliknij

węzeł Site

• Kliknij prawym klawiszem myszy na węźle Sites i kliknij Add FTP Site, lub

kliknij Add FTP Site w sekcji Akcje (Actions)

• Stwórz folder "%SystemDrive%\inetpub\ftproot"
• Zdefiniuj uprawnienia dla użytkowników anonimowych:

—

Uruchom cmd.exe

—

Wprowadź poniższe polecenie:

—

CACLS "%SystemDrive%\inetpub\ftproot" /G IUSR:R /T /E

• Zamknij wiersz poleceń CMD.
• Kiedy pojawi się kreator Add FTP Site:

—

Wprowadź

nazwę

"My

New

FTP

Site"

przejdź

"%SystemDrive%\inetpub\ftproot",

która

została

założona

poprzednim punkcie.

• Następnie kliknij Next
• Na kolejnej stronie kreatora wybierz:

—

Wybierz adres IP dla twojej witryny IP lub zaakceptuj ustawienie

domyślne "All Unassigned".

—

Wprowadź port nasłuchujący dla witryny FTP lub zaakceptuj domyślny

port 21.

—

W celu zapewnienia dostępu anonimowego nie definiuj „nazwy hosta”

—

Upewnij się, że lista akceptowanych certyfikatów jest ustawiona na "Not

Selected" oraz że opcja Allow SSL jest zaznaczona.

• Kiedy dokonasz niezbędnej konfiguracji, kliknij Next.
• Na następnej stronie kreatora wybierz:

—

Ustaw dostęp anonimowy dla mechanizmu autentykacji,

—

Nadaj użytkownikowi anonimowemu uprawnienia odczytu do

zawartości witryny

—

Kończąc zadanie kliknij Finish.

5.Konfiguracja
ustawień
bezpieczeństwa

• Używając IIS Manager rozwiń węzeł FTP utworzonego wcześniej,

następnie kliknij dwukrotnie na ikonie FTP Authentication, aby
uruchomić stronę autentykacji klientów FTP

Marek Pyka
ITA-108 Technologie sieciowe

dla FTP 7.0

• Kie

klik

• Prz
• Na

• Kli
• Zo

—
—

• Ab

6. Weryfikacja
działania witryny
FTP

•  Ur
•  Wp
•  Po
•  Wy
•  Prz
•  Zam

Laboratorium rozszer

Zadanie 1 (czas realizacji

Zarządzanie serwerem IIS
W ćwiczeniu tym przepr
przeprowadzisz podstawowe
W celu realizacji tego zadania

•  Wyświetlenie listy w
•  Tworzenie nowej wit
•  Tworzenie kopii konf
•  Usunięcie witryny o n
•  Odtworzenie konfigu
•  Dodanie nowej aplik
•  Stworzenie nowej pu
•  Zmiana  domyślnej  p

ITAPool

•  Wyświetlenie konfigu
•  Usunięcie aplikacji „
•  Usunięcie witryny ITA
•  Restart serwera IIS

Czy potrafisz napisać
wszystkich operacji?

Zadanie 2 (czas realizacji

Twoja  organizacja  na  przeło
całego  kraju.  Zgodnie  z  pol
scentralizowana, co spowodo
w oddziałach.
Od jakiegoś czasu organizacj
które całkowicie oparte jest o

Strona 21/23

Kiedy pojawi się okno FTP Authentication zaznacz
kliknij Enable.
Przejdź ponownie do sekcji FTP features.
Następnie dodajemy regułę zezwalającą na logow
Aby to wykonać kliknij na FTP Authorization Rules
Kliknij Add Allow Rule
Zostanie wyświetlone okno Add Allow Authorizatio

—

Wprowadź nazwę konta administratora.

—

Nadaj mu uprawnienia Read and Write.

Aby zakończyć kliknij

Uruchom wiersz linii poleceń cmd.exe.
Wprowadź polecenie ftp 10.10.0.x (adres Twojego
Podaj poświadczenia Administratora
Wyświetl zawartość katalogu FTP
Prześlij plik na serwer FTP
Zamknij okno wiersza linii poleceń

szerzone

acji 45 min)

IIS 7.0 przy pomocy narzędzia AppCmd.exe w

zeprowadzisz analizę domyślnie zainstalowaneg

owe czynności administracyjne związane z jego funk

ania wykonaj następujące zadania:

ty wszystkich witryn, pul aplikacji na serwerze ITA-SR

j witryny o nazwie ITAWEB na serwerze IIS

konfiguracji z określoną nazwą ITABackup

y o nazwie ITAWEB

figuracji z kopii ITABackup

plikacji do założonej witryny ITAWEB o nazwie „/tes

j puli aplikacji ITAPool

ej puli aplikacji dla utworzonej w poprzedniej sek

nfiguracji serwera IIS

cji „/test”

ITAWEB

sać skrypt, który umożliwiłby podawanie parametró

acji 45 min)

rzełomie ostatnich 4 miesięcy uruchomiła zdalne

polityką zarządu cała administracja systemami in

odowało zredukowanie do zera ilości kadry adminis

izacja przymierza się do wdrożenia oprogramowania

est o interfejs WWW.

Moduł VIII

Serwer aplikacji IIS 7.0

acz Basic Authentication i

gowanie Administratora.

les

zation:

ego serwera FTP)

e wiersza linii poleceń.
nego serwera IIS oraz

unkcjonowaniem.

SRV01

/test”

sekcji aplikacji „/test” na

etrów do wykonania tych

lne lokalizacje na terenie
i informatycznymi została

inistracyjnej

ania CRM firmy Microsoft,

Marek Pyka
ITA-108 Technologie sieciowe

Jako inżynier sieciowy otrzy
serwer Web na IIS 7.0 oraz n
etap wdrożenia ma realizowa

Przy jego budowie musisz uw

•  Serwer WEB będzie u
•  Uprawnienia do nich
•  Wszystkie niezbędne
•  Autentykacja witryny
•  Autentykacja  dostę

Authentication.

• Dostęp do witryn

wyszczególnionych n

•  Serwer FTP świadczy
•  Katalog Pub jest dom
•  Powyższe  zadanie  m

wykorzystanie trybu

Po przeprowadzeniu
dostęp i uprawnienia d

Zadanie 3 (czas realizacji

Kierownik  działu  zaakceptow
sprawdzenie  bezpieczeństwa
dokonać  podsłuchu  komun
Z

przeprowadzonych

W celu przeprowadzenia te
możliwość podsłuchania tran

Czy możliwe jest podsł
Czy jesteś w stanie zob

Czy taką konfigurację p

Strona 22/23

trzymałeś zadanie zaprojektowania infrastruktury

az nowej wersji serwera FTP na platformie Windows

zować środowisko jak na Rys. 8.

Rys. 8 Środowisko wdrożeniowe IIS 7.0 i FTP 7.0

z uwzględnić następujące założenia:

zie udostępniał 3 witryny i 2 Site

nich znajdują się w tabeli na Rys. 8.

dne wpisy w DNS muszą być zrealizowane na kompu

ryny /Ksiegowosc ma być oparta o Basic Authenticat

ostępu do Site informatyka.ita.com ma być

itryn ma być realizowany wyłącznie dla uż

ch na Rys. 8.

dczy dostęp do katalogów, w których znajdują się plik

domyślnym katalogiem serwera FTP.

ie możesz zrealizować na wiele sposobów, war

ybu Izolacji Puli Aplikacji.

iu konfiguracji serwerów dokonaj testu ich funkcjo

ia dla określonych grup i użytkowników.

acji 45 min)

ptował zaproponowane środowisko wdrożeniowe,
stwa przesyłanych danych do serwera IIS i FTP. N

munikacji sieciowej pomiędzy klientami i serw

testów

sporządź

raport

zaproponuj

ia testów wykorzystaj oprogramowanie Network

transmisji w komunikacji z serwerem WWW i FTP.

odsłuchanie haseł użytkowników w dostępie do witr

zobaczyć, jakie zapytania klientów są kierowane do

cję poleciłbyś w środowisku przemysłowym?

Moduł VIII

Serwer aplikacji IIS 7.0

ry wdrożeniowej nowego

ows Server 2008. Pierwszy

mputerze ITA-DC01.

tication.

yć oparta o Integrated

użytkowników i grup

pliki witryn.

warte zastanowienia jest

kcjonalności, sprawdzając

we, jednakże prosi Cię o

P. Na jego zlecenie masz

serwerem WWW i FTP.

jakieś

rozwiązanie.

ork Monitor 3 i sprawdź

witryn WWW i FTP?

do serwera?

Marek Pyka

Moduł VIII

ITA-108 Technologie sieciowe

Serwer aplikacji IIS 7.0

Strona 23/23

Zadanie 4 (czas realizacji 45 min)

Po przeprowadzonych testach bezpieczeństwa środowiska wdrożeniowego podjąłeś decyzję
o wdrożeniu SSL w dostępie do witryny Księgowość oraz Site http://informatyka.ita.com. Wraz z
kierownikiem zdecydowaliście, że dostęp do katalogów FTP witryn będzie również przebiegał przez
protokół SSL, wyjątek stanowi wyłącznie katalog Pub z dostępem anonimowym.
Aby zrealizować przyjęte założenia musisz uwzględnić następujące informacje:

Aby wykorzystywać protokół SSL konieczne jest posiadanie kwalifikowanego certyfikatu dla

serwera. Organizacja nie posiada własnego centrum certyfikacji, dlatego warto rozważyć
jedną z dwóch opcji: zakupu certyfikatu dedykowanego (wiele centrów umożliwia
przetestowanie certyfikatu przez okres 14 dni) lub też zainstalowanie roli Active Directory
Certyfication Services na komputerze ITA-DC01.

W celu podniesienia bezpieczeństwa dostępu do witryny informatyka.ita.com warto

rozważyć żądanie certyfikatów dla klientów (możliwe przy wybraniu opcji instalacji
własnego centrum CA)

Aby używać FTP over SSL konieczne jest posiadanie kwalifikowanego certyfikatu

Projektując serwer FTP konieczne jest założenie posiadania dwóch funkcjonalności,

pierwszej dla użytkowników anonimowych, dla których nie wymaga się bezpiecznej
komunikacji, druga dla wszystkich pracowników przedsiębiorstwa, którzy chcąc umieścić
jakąś zawartość na serwerze FTP muszą skorzystać z bezpiecznego kanału

Po przeprowadzeniu konfiguracji bezpiecznych kanałów komunikacyjnych warto jest przeprowadzić
testy jak w poprzednim laboratorium.

Zadanie 5 (czas realizacji 45 min)

W  poprzednim  zadaniu  wdrożyłeś  silne  mechanizmy  zabezpieczeń  kanałów  komunikacyjnych
z  serwerami  Web  i  FTP.  Kolejne  niezrealizowane  jeszcze  zadanie  ma  na  celu  wdrożenie
mechanizmów  równoważenia  obciążenia  serwerów  Web  w  przedsiębiorstwie.  Pamiętając
problemy,  które  pojawiły  się  podczas  wdrażania  Usług  Terminalowych  zakładasz  konieczność
wykorzystania  technologii  NLB  również  w  tym  przypadku.  Schemat  środowiska,  które  należy
zbudować przedstawia Rys. 9.

Rys. 9 Środowisko NLB dla IIS 7.0 i FTP 7.0

W celu wdrożenia mechanizmów odporności na awarie dla Serwerów WWW i FTP wykonaj
następujące czynności:

•  Zainstaluj dodatkowy serwer Web na platformie IIS 7.0
•  Zainstaluj usługę Network Load Balancing
•  Skonfiguruj witryny zgodnie z projektem

ITA-108 Technologie sieciowe

Marek Pyka

Moduł IX

Wersja 1

Usługi terminalowe

Spis treści

Usługi terminalowe .............................................................................................................................. 1

Informacje o module ............................................................................................................................ 2

Przygotowanie teoretyczne ................................................................................................................. 3

Przykładowy problem .................................................................................................................. 3

Podstawy teoretyczne.................................................................................................................. 3

Przykładowe rozwiązanie ........................................................................................................... 10

Porady praktyczne ..................................................................................................................... 15

Uwagi dla studenta .................................................................................................................... 16

Dodatkowe źródła informacji..................................................................................................... 17

Laboratorium podstawowe ................................................................................................................ 18

Problem 1 (czas realizacji 45 min) .............................................................................................. 18

Laboratorium rozszerzone ................................................................................................................. 25

Zadanie1 (czas realizacji 45 min) ............................................................................................... 25

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 2/26

Informacje o module

Opis modułu
W  ramach modułu  zapoznasz  się  z  zasadami konfiguracji  środowiska  usług
terminalowych oraz  zasadami  dostępu  i  dostarczania  środowiska  dla wielu
użytkowników  w  przedsiębiorstwie.  Przedstawiona  zostanie  nomenklatura
obowiązująca  w  zakresie  instalacji,  konfiguracji  i  zarządzania  rolami
i  opcjami  serwerów  terminalowych.  Zawarte  w  module  tym  zadania
umożliwią  Ci  zapoznanie  się  z  procesem  planowania,  wdrażania
i utrzymywania infrastruktury usług terminalowych w organizacji.

Cel modułu
Celem  modułu  jest  przedstawienie  możliwości  wykorzystania  usług
terminalowych  Windows  Serwer  2008  w  budowaniu  bezpiecznego
i wydajnego środowiska użytkowników.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

• wiedział, jaką rolę w sieci przedsiębiorstwa pełnić mogą Usługi

Terminalowe

• potrafił zainstalować, skonfigurować i zarządzać środowiskiem usług

terminalowych

• rozumiał potrzebę planowania infrastruktury dla potrzeb budowania

i dostarczania środowiska aplikacyjnego użytkowników.

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

• znać zasadę wykorzystania usług terminalowych do zwiększenia

sprawności środowiska użytkowników

• rozumieć zasadę działania usług terminalowych

wiedzieć, jaką rolę w optymalizacji infrastruktury przedsiębiorstwa
i zapewnienia jej niezawodności odgrywają Terminal Services
Gateway, Session Broker, Remote Applications.

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 3/26

Przygotowanie teoretyczne

Przykładowy problem

Każde  przedsiębiorstwo  posiadające  rozbudowaną  infrastrukturę  teleinformatyczną,  prędzej  czy
później  zacznie  poszukiwać  oszczędności  w  jej  utrzymaniu  i  zarządzaniu  przy  równoczesnym
zachowaniem  maksymalnej  produktywności  pracowników.  Środowisko  użytkowników  końcowych
pochłania obecnie większość z budżetów działów IT, gdyż ta najwięcej godzin jest przeznaczanych
na  utrzymanie,  wdrażanie  i  analizę  narzędzi.  Z  tego  powodu  kierownictwo  firm  widzi  największe
zyski w optymalizacji, automatyzacji i zabezpieczania tego obszaru. Pierwszym z zadań dla działów
IT  jest  z  reguły  wdrożenie  usług  terminalowych,  których  zadaniem  będzie  podniesienie,  jakości
pracy  pracowników  przy  równoczesnym  obniżeniu  kosztów  samej  infrastruktury.  Jako
administrator  przedsiębiorstwa  możesz  się  spotkać  z  zadaniem  wdrożenia  usług  terminalowych.
Jednym  z  interesujących  rozwiązań  dla  firm  są  nowe  usługi  terminalowe  Windows  Server  2008.
Wykorzystanie  w  przedsiębiorstwie  usług  terminalowych  umożliwi  Ci,  jako  administratorowi  na
zapewnienie  scentralizowanego  dostępu  do  kluczowych  aplikacji  biznesowych  za  pośrednictwem
Internetu,  zmniejszenie  ryzyka  utraty  danych  z  komputerów  przenośnych  poprzez  wykorzystanie
bezpiecznego  dostępu  zdalnego  do  centralnej  bazy  aplikacji  i  danych,  zapewnienie  bezpiecznego
dostępu do aplikacji i danych przez sieć Internet z możliwością alternatywnych do technologii VPN
metod  dostępu,  redukcję  kosztów  utrzymania  środowiska  użytkowników  i  wiele  innych.  Twój
kierownik  działu  IT  zleca  Ci  przygotowanie  projektu  wdrożenia  usług  terminalowych
w  przedsiębiorstwie.  Określone  priorytety  wyznaczają  warunki  doboru  technologii.  Analizując
infrastrukturę  serwerową  oraz  wykorzystywane  w  przedsiębiorstwie  aplikacje  stwierdzasz,  że
koniecznym  będzie  zapewnienie  rozwiązań  równoobciążenia  serwerów  terminalowych  oraz
zastosowanie rozwiązań wirtualizacji aplikacyjnej na serwerach terminalowych.

Podstawy teoretyczne

Wykorzystanie  usług  terminalowych  polega  na  przeniesieniu  mocy  obliczeniowej  ze  stacji
roboczych  na  serwer.  Zamiast  typowych  stacji  roboczych  (komputery  PC)  wykorzystywane  są
terminale (tzw. cienki klient) oraz serwer centralnego przetwarzania.
Cienki klient (terminal) jest prostym komputerem z niewielką ilością pamięci operacyjnej, z reguły
nieposiadającym  dysku  twardego,  napędów  oraz  kart  rozszerzeń.  Użytkownicy  pracujący  na
terminalach  w  rzeczywistości  pracują  na  jednym  centralnym  serwerze.  W  przeciwieństwie  do
typowej  architektury,  terminale  pozwalają  na  lepsze  wykorzystanie  mocy  obliczeniowej  i  pamięci
operacyjnej.  Centralizacja  mocy  obliczeniowej  zwiększa  również  skalowalność  i  elastyczność  –
rozbudowa serwera jest znacznie łatwiejsza niż rozbudowa stacji roboczych i odczuwalna jest przez
wszystkich użytkowników.
Usługi  terminalowe  w  systemie  Windows  Server  2008  to  najbardziej  zaawansowana  platforma
scentralizowanych aplikacji firmy Microsoft, oferująca imponujący zestaw nowych funkcji, znacznie
ułatwiających  administratorom  i  użytkownikom  wykonywanie  ich  zadań.  Nowe  funkcje  usług
terminalowych umożliwiają znaczne rozszerzenie zakresu zastosowań oraz podwyższenie poziomu
wydajności i komfortu użytkowania. Usługi terminalowe zapewniają teraz scentralizowany dostęp
do  poszczególnych  aplikacji  bez  konieczności  korzystania  z  całego  pulpitu  zdalnego.  Aplikacje
uruchamiane  zdalnie  są  integrowane  z  komputerem  stacjonarnym  użytkownika  lokalnego  –
wyglądają,  są  obsługiwane  i  funkcjonują  tak  jak  lokalne  aplikacje.  Organizacje  mogą  zapewniać
bezpieczniejszy  dostęp  do  scentralizowanych  aplikacji  lub  pulpitów  oraz  innych  zasobów
z Internetu przy użyciu protokołu HTTPS, bez konieczności korzystania z wirtualnej sieci prywatnej
(VPN)  lub  otwierania  niepożądanych  portów  w  zaporach.  Umożliwia  to  ograniczenie  złożoności
konfiguracji wymaganych do zapewnienia bezpiecznego dostępu zdalnego do aplikacji i danych dla
użytkowników,  partnerów  lub  klientów.  W  przypadku  wdrożenia  kilku  serwerów  nowe  funkcje

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 4/26

równoważenia  obciążenia  ułatwiają  optymalizację  wydajności  dzięki  rozłożeniu  sesji  na  najmniej
obciążone dostępne zasoby.
Usługi terminalowe umożliwiają wykonywanie następujących zadań:

• Wdrażanie aplikacji integrowanych z lokalnym komputerem stacjonarnym użytkownika.
• Zapewnianie dostępu do centralnie zarządzanych komputerów stacjonarnych z systemem

Windows.

• Zapewnianie dostępu zdalnego dla istniejących już aplikacji „niezgodnych” z siecią WAN.
• Ochrona aplikacji i danych w centrum danych – utracone komputery przenośne nie stanowią

już problemu.

Funkcje usług terminalowych

W usługach terminalowych dostępnych w systemie Windows Server 2008 wprowadzono kilka
kluczowych funkcjonalności:

Programy  RemoteApp  usług  terminalowych.  Programy  RemoteApp  są  dostępne
za  pośrednictwem  usług  terminalowych  i  zachowują  się  tak  jak  programy  uruchomione  na
lokalnym  komputerze  użytkownika  końcowego.  Użytkownicy  mogą  uruchamiać  programy
RemoteApp  usług  terminalowych  równocześnie  z  programami  lokalnymi.  Jeżeli  użytkownik
korzysta z kilku programów RemoteApp na tym samym serwerze terminali, oprogramowanie
RemoteApp współużytkuje tę samą sesję usług terminalowych.

• Brama usług terminalowych (Terminal Service Gateway). Brama usług terminalowych

umożliwia  autoryzowanym  użytkownikom  zdalnym  łączenie  się  z  serwerami  terminali
i  pulpitami  zdalnymi  (komputerami  zdalnymi)  w  sieci  firmy  z  urządzenia  podłączonego  do
Internetu,  na  którym  jest  uruchomione  Podłączanie  pulpitu  zdalnego  w  wersji  6.0.  Brama
usług terminalowych używa protokołu RDP (Remote Desktop Protocol) tunelowanego przez
protokół  HTTPS  do  ustanowienia  bezpiecznego,  szyfrowanego  połączenia  między
użytkownikami  zdalnymi w  Internecie  i  komputerami  zdalnymi,  na  których  są  uruchomione
ich  aplikacje  robocze,  nawet,  jeżeli  są  używane  za  routerem  z  przechodzeniem  translacji
adresów  sieciowych  (NAT).  Eliminuje  konieczność  konfigurowania  połączeń  wirtualnej  sieci
prywatnej  (VPN),  umożliwiając  użytkownikom  zdalnym  łączenie  się  z  odpowiednią  siecią
firmy  za  pośrednictwem  Internetu  i  zapewniając  równocześnie  model  konfiguracji
kompleksowych  zabezpieczeń,  który  pozwala  na  kontrolowanie  dostępu  do  określonych
zasobów w sieci.

• Dostęp w sieci Web do usług terminalowych (Terminal Server Web Access). Funkcja

dostępu  w  sieci  Web  do  usług  terminalowych  umożliwia  udostępnianie  programów
RemoteApp  użytkownikom  korzystającym  z  przeglądarki  sieci  Web.  Korzystając  z  funkcji
dostępu w sieci Web do usług terminalowych, użytkownik może odwiedzić witrynę sieci Web
z  Internetu  lub  sieci  intranet  w  celu  uzyskania  listy  dostępnych  programów,  RemoteApp
usług  terminalowych.  Po  uruchomieniu  przez  użytkownika  programu  RemoteApp
rozpoczynana  jest  sesja  usług  terminalowych  na  serwerze  terminali  obsługującym  dany
program.
Broker  sesji  usług  terminalowych  (Terminal  Server  Session  Broker).  Broker  sesji  usług
terminalowych,  nowa  funkcja  w  systemie  Windows  Server  2008,  jest  alternatywą  dla
równoważenia  obciążenia  sieciowego  (usługi  NLB),  którą  można  zastosować  w  przypadku
usług  terminalowych.  Ta  funkcja  nie  jest  ograniczona  do  określonej  liczby  serwerów,  ale
znakomicie  się  sprawdza  w  przypadku  farm  składających  się  z  dwóch  do  pięciu  serwerów.
Broker  sesji  usług  terminalowych  umożliwia  przenoszenie  nowych  sesji  na  najmniej
obciążony serwer w farmie w celu optymalizacji wydajności, a użytkownicy mogą łączyć się
ponownie z istniejącą sesją bez zapamiętywania informacji dotyczących serwera, na którym
utworzono  daną  sesję.  Korzystając  z  tej  funkcji,  administratorzy  mogą  mapować  adresy  IP
serwerów  terminali  na  poszczególne  wpisy  systemu  DNS.  Taka  konfiguracja  zapewnia

Marek Pyka
ITA-108 Technologie sieciowe

również  odporność  n
użytkownik nawiąże po
Łatwe  drukowanie  w
drukowanie w usługac
umożliwia  użytkown
terminalowych lub pe
komputerze  klienckim
drukowania  na  serw
RemoteApp  lub  sesji
właściwości  drukarki
i uzyskują dostęp do w
mogą ograniczyć liczbę
ogólne obciążenie i roz

Zasada działania usług te

Nowe  usługi  terminalowe
odpowiadającego  na  wiele  p
konieczne  jest  zapoznanie  s
usług terminalowych zostani

Rys.

Zasady  dostęp  do  usług  ter
terminali  jest  klientem  lok
komunikacji klientów zdalnyc
ze  zdalnym  serwerem  świad
może być przy wykorzystaniu
uprawnień  połączenia  klient
Access.  Zadaniem  Terminal
zdefiniowanych serwerów te
terminalowych może być okr
(NAP),  co  znacznie  zwiększa
operacji  został  przedstawion

Usługi termin

Strona 5/26

ść na uszkodzenia. Jeżeli jeden z serwerów far

że połączenie z następnym najmniej obciążonym serw

ie w usługach terminalowych (Terminal Serve

ugach terminalowych – nowa funkcja w systemie W

wnikom niezawodne drukowanie z programu

pełnej sesji pulpitu na lokalnej lub sieciowej druka

ckim. Drukarki można teraz obsługiwać bez insta

erwerze terminali. Użytkownicy zamierzający d

sesji pulpitu usług terminalowych wyświetlają p

rki (interfejs użytkownika drukarki) z lokalnego k

o wszystkich funkcji drukarki. Korzystając z zasad gr

iczbę dostępnych drukarek do drukarki domyślnej, re

i rozszerzając zakres skalowalności.

g terminalowych Windows Server 2008

we w Windows Serwer 2008 umożliwiają zb

le potrzeb przedsiębiorstw. Dla dobrego zrozumien

ie się z funkcjonalnością poszczególnych narzędzi

tanie przeprowadzone na podstawie Rys. 2.

s. 2 Funkcjonowanie usług terminalowych w przedsiębiorstwie

terminalowych są różne w zależności czy klient łą

lokalnym czy też zdalnym. Rysunek powyższy p

lnych. Jak jest przedstawione na rysunku pierwszym

wiadczącym rolę Terminal Server Gateway (TSG)

aniu protokołów VPN, RDP lub też RDP poprzez SSL.

lienta z sieci Internet umożliwia mu komunikację z

nal Server Web Access (TSWA) jest dostarczenie ap

w terminalowych. W miejscu tym należy podkreślić,

określany przez serwery polityk infrastruktury Netw

ksza bezpieczeństwo dostępu do zasobów przedsię
wiony na rysunku punktami 1 i 2. W trakcie nawią

Moduł IX

minalowe Windows Server 2008

farmy jest niedostępny,

serwerem w farmie.

rver Easy Print). Łatwe

ie Windows Server 2008 –

ramu RemoteApp usług

rukarce zainstalowanej na

instalowania sterowników

y drukować z programu

ą pełne okno dialogowe

go komputera klienckiego

d grupy, administratorzy IT

ej, redukując w ten sposób

zbudowanie środowiska

mienia ich funkcjonalności

ędzi. Omówienie działania

wie

nt łączący się z serwerem

y przedstawia procedurę

zym klient nawiązuje sesję

G). Sesja ta ustanowiona

SSL. TSG po potwierdzeniu

ję z Terminal Server Web

ie aplikacji lub dostępu do
ślić, iż dostęp do serwerów
Network Access Protection
dsiębiorstwa. Przebieg tej

awiązanej sesji z TSWA na

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 6/26

kliencie uruchomione są RemoteApp oraz dodatkowe funkcjonalności związane z obsługą drukarek
i urządzeń USB.
Kolejna metoda komunikacji z serwerami terminalowymi wymaga bezpośredniego do nich dostępu.
W sytuacji połączenia klientów lokalnych ustanowienie takiej sesji nie stanowi większego problemu
gdyż  klienci  ci  ciągle  podlegają  kontroli  środowiska  NAP  i  mają  bezpośrednie  połączenie
z  serwerami.  Problem  pojawia  się  wyłącznie  w  dostępie  klientów  zdalnych,  którzy  łączą  się
bezpośrednio  z  usługą  TSG.  Jeżeli  nastąpi  sytuacja,  w  której  klient  będzie  żądał  bezpośredniego
dostępu  do  serwerów  terminalowych  nastąpi  sprawdzenie  jego  zgodności  konfiguracji
i  zabezpieczeń  z  politykami  korporacyjnymi  (środowisko  NAP)  i  po  potwierdzeniu  zgodności  jego
zapytania będą kierowane do konkretnych serwerów lub stacji roboczych, do których klient będzie
miał dostęp po protokole RDP. Sytuację taką przedstawia punkt 3 na rysunku.
Jak  widać  z  powyższego opisu,  infrastruktura  nowych  usług  terminalowych  Windows  Server 2008
jest znacznie sprawniejsza i bezpieczniejsza a co za tym idzie pełniej odpowiada na potrzeby firm.

Główne cechy środowiska Usług Terminalowych Windows Server 2008

Instalacja i zarządzanie Usługami Terminalowymi Windows Server 2008

Aby zapewnić poprawne funkcjonowanie usług terminalowych należy zainstalować następujące
role i dodatki Windows Server 2008:

•  Usługi Terminalowe
•  Serwer plików
•  Usługi dostępu do sieci
•  Serwer IIS 7.0

Po zainstalowaniu środowiska Usług Terminalowych, zarządzanie nim odbywać się będzie poprzez
Konsolę Zarządzania Serwerem (Server Manager Console). Narzędzie to umożliwia implementację
ról niezbędnych do funkcjonowania Usług Terminalowych i zarządzanie właściwościami serwera
takimi jak aplikacje zdalne, dostęp do środowiska, konfigurację zasad bezpieczeństwa.

Środowisko pracy użytkownika

W Usługach Terminalowych zostały znacznie rozszerzone funkcjonalności środowiska pracy
użytkowników. Dzięki nowym funkcjom środowisko jest bardzo elastyczne i wydajne, co ma
ogromne znaczenie we wdrażaniu i produktywności użytkowników później. Najważniejsze funkcje
zostały przedstawione poniżej:

•  Wsparcie dla wielu typów ekranów i różnych rozdzielczości,
•  Możliwość współdzielenia pulpitów pomiędzy wiele monitorów,
•  Wsparcie  dla  środowiska  Windows  Vista  (funkcje  multimedialne,  motywy  dla  pulpitu  np.

Aero),

•  Wygładzanie czcionek dla monitorów LCD,
•  32-bitowa głębia kolorów,
•  Wsparcie dla kompresji protokołu RDP,
•  Usprawnione drukowanie sieciowe i lokalne dzięki Easy Print.

Zwiększone mechanizmy bezpieczeństwa

Budowanie bezpieczeństwa dla Usług Terminalowych jest oparte głównie na zaimplementowanych
w Windows Server 2008 technologiach. Najważniejszymi z nich są:

•  Uwierzytelnienie klientów na poziomie dostępu do sieci,
•  SSO dla klientów domenowych,
•  Integracja z Credential Manager and Credential Security Suport Provider (CredSSP),
•  Możliwość blokowania klienta pre-RDPG,
•  Izolacja sesji i bezpośrednio podłączonych urządzeń,

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 7/26

• Rozszerzone możliwości zarządzania bezpieczeństwem dla TSG, wsparcie dla NAP,

przekserowanie połączeń i zwiększone monitorowanie sesji użytkownika.

Nowe mechanizmy kontroli dostępu i zwiększania skalowalności

Utrzymanie wydajnego środowiska Usług Terminalowych w przedsiębiorstwie wykorzystującym
oddziały zdalne nie jest wcale proste. Bardzo często pojawiają się wąskie gardła infrastruktury
związane ze specyfiką pracy i wydajnością łączy. Aby zminimalizować sytuacje krytyczne i przestoje
z tym związane firma Microsoft wprowadziła kilka nowych funkcji:

•

Nowe narzędzia do zarządzania,

•

Priorytetyzacja przesyłanych danych,

•

Nowe metody kompresji przesyłanych danych,

•

Lepsza skalowalność bufora wydruku,

•

Ulepszone liczniki wydajności,

•

Pełne wsparcie dla IPv6,

•

Zliczanie i śledzenie licencji Per User,

•

Wsparcie dla aplikacji 64 bit,

•

Zintegrowana usługa UPH Clean Service

Wsparcie dla platformy 64 bitowej

Wykorzystanie  platformy  64  bitowej  umożliwia  wykorzystanie  większych  przestrzeni  adresowych
dostępnych  dla  trybu  jądra  systemu  operacyjnego.  W  przypadku  32  bitowych  systemów
operacyjnych dostępne jest 2 GB wirtualnej przestrzeni adresowej dla struktur danych. Wartość ta
wzrasta  do  8  TB  w  przypadku  systemów  64  bitowych,  a  to  już  znaczna  różnica  dla  wydajności,
skalowalności  i  bezpieczeństwa.  Usługi  Terminalowe  zainstalowane  na  64  bitowej  platformie
serwerowej posiadają następujące funkcjonalności:

•  Obsługa aplikacji 32 bitowych,
•  Obsługa sterowników 64 bitowych,
•  Możliwość  uruchamiania  aplikacji  32  o  zwiększonym  zapotrzebowaniu  na  przestrzeń

adresową (4 GB),

• Uruchamianie aplikacji 64 bitowej w 8 TB wirtualnej przestrzeni adresowej,
• Ułatwiają migrację do 64 bitowej platformy serwerowej.

Instalacja i konfiguracja usługi

Instalacja roli Usług Terminalowych umożliwia udostępnianie na Windows Server 2008 zarówno
pojedynczej aplikacji jak i całego pulpitu serwera. Aby w pełni zapewnić funkcjonalność usługi
Serwera Terminali zostały określone następujące komponenty:

• Serwer Usług Terminalowych – umożliwia publikację aplikacji dla użytkowników,
• Serwer Licencji dla Usług Terminalowych – zarządza licencjami dostępowymi klienta usług

terminalowych (TS CALs)
TS Session Broker – zapewnia użytkownikom powrót do swoich sesji w przypadku zerwania
łączności  pomiędzy  klientem  a  serwerem  terminalowym.  Jeżeli  w  organizacji
wykorzystywane  są  usługi  równoważenia  obciążenia  sieciowego  dla  farmy  serwerów
terminalowych,  usługa  TSSB  umożliwi  przekserowanie  zapytań  klientów  do  najmniej
w danym momencie obciążonego serwera w farmie.

• Brama Usług Terminalowych (TS Gateway) – zapewnia bezpieczną komunikację pomiędzy

klientami zdalnymi a opublikowanymi zasobami w przedsiębiorstwie.

• Dostęp Web do Usług Terminalowych (TS Web Access) – umożliwia użytkownikom dostęp

do opublikowanych aplikacji przez stronę Web.

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 8/26

Mechanizmy uwierzytelnienia

Kontrola dostępu do serwerów terminalowych stanowi bardzo ważny element w planowaniu
i wdrażaniu ich w przedsiębiorstwie. Tak jak wspomniano wcześniej, mechanizmy zabezpieczeń
oparte są na platformie Windows Server 2008. Wspierane są następujące mechanizmy:

• Network Level Authentication – umożliwia na przeprowadzenie procesu uwierzytelnienia

klienta zanim jeszcze nastąpi pełne połączenie z usługą Pulpitu Zdalnego. Taki mechanizm
uwierzytelnienia dostarcza wielu korzyści, min.:

•

Mniejsze zapotrzebowanie na zasoby serwera terminalowego. W fazie uwierzytelniania

wykorzystywane są minimalne zasoby serwera a nie pełna usługa pulpitu zdalnego,

•

Zmniejsza ryzyko wystąpienia ataków DoS na usługę terminalową,

•

Umożliwia dwukierunkową autentykację.

• Server Authentication – zapewnia weryfikację serwera, z którym nawiązywane jest

połączenie. Minimalizuje zagrożenie ujawnienia poufnych informacji na nieautoryzowanych
serwerach terminalowych.

• Single Sign-on – umożliwia uwierzytelnienie użytkowników kontem domenowym.

Zarządzanie urządzeniami

Usługi Terminalowe Windows Server 2008 umożliwiają przekierowanie podłączonych urządzeń do
sesji terminalowych. Warunkiem wykorzystania tej funkcjonalności jest wykorzystywanie klienta
usług terminalowych w wersji 6.0 lub wyższej.

Scenariusze wykorzystania Usług Terminalowych Windows Server 2008

Zastosowanie usług terminalowych w przedsiębiorstwie może być podyktowane różnymi
potrzebami, które zostały zebrane w siedem głównych scenariuszy zastosowania.

Scentralizowany dostęp do aplikacji

Usługi Terminalowe zapewniają scentralizowany dostęp do aplikacji poprzez:

• Dostęp do aplikacji biznesowych z sieci Internet i Intranet,
• Dostarczanie użytkownikom centralnie zarządzanego środowiska pulpitów,

Zapewnienie łatwego i bezpiecznego dostępu do scentralizowanych aplikacji, pulpitów
i zasobów organizacji z Internetu, dzięki użyciu HTTPS bez potrzeby budowaniu infrastruktury
Dostępu Zdalnego (VPN) i skomplikowanej konfiguracji systemów Firewall.

Zwiększenie bezpieczeństwa

Zapewnienie bezpieczeństwa w dostępie do danych korporacyjnych jest sprawą kluczowa tak jak
zarządzanie ich odpornością na awarie. Usługi Terminalowe umożliwiają:

• Usuniecie ryzyka utraty danych z komputerów przenośnych dzięki użyciu bezpiecznego

zdalnego dostępu do aplikacji i centralnego przechowywania danych,

• Bezpieczny i poufny dostęp do pojedynczych aplikacji bez konieczności uruchamiania

pełnego pulpitu zdalnego,

• Prowadzenie kontroli dostępu do specyficznych zasobów w sieci korporacyjnej,
• Zapewnienie bezpiecznego dostępu do zasobów przedsiębiorstwa poprzez użycie protokołu

HTTPS.

Scentralizowane zarządzanie aplikacjami

Mechanizmy centralnego zarządzania aplikacjami umożliwia:

• Szybką alokację programów na dostępnych terminalach w przedsiębiorstwie,
• Umożliwiają zdalny dostęp do aplikacji, których budowa uniemożliwia poprawne

funkcjonowanie w sieciach WAN.

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 9/26

Redukowanie obciążenia łączy

Usługi Terminalowe umożliwiają zmniejszenie zapotrzebowanie na szerokość pasma sieciowego
podczas dostępu do aplikacji zdalnych.

Zwiększona produktywność użytkowników

Dzięki Usługom Terminalowym produktywność użytkowników w całej organizacji wzrasta.
Minimalizowane są również przestoje w dostępie do wymaganych aplikacji. Wszystkie te cechy
zapewniane są gdyż:

• Użytkownicy mają dostęp do wymaganych aplikacji z dowolnego miejsca i z różnych

urządzeń tj. komputery, kioski internetowe, urządzenia mobilne,

• Nowe technologie Usług Terminalowych dostarczają aplikacji integrujących się z lokalnym

środowiskiem użytkownika, niwelują problem z przechowywaniem danych wrażliwych.

Uproszczenie infrastruktury

Dzięki swoim cechom usługi terminalowe znacznie upraszczają infrastrukturę przedsiębiorstwa
i dostarczają partnerom handlowym i klientom uproszczony dostęp do aplikacji.

Optymalizacja oddziałów zdalnych

Usługi  Terminalowe  mogą  zapewnić  znacznie  wyższą  wydajność  programów  używanych  przez
pracowników w oddziałach zdalnych, którzy potrzebują dostępu do firmowych magazynów danych.
Często aplikacje biznesowe nie są wyposażone w protokoły klient/serwer, co znacznie utrudnia ich
implementacje  w  środowisku  rozproszonym,  Często  też  działanie  takich  aplikacji  poprzez  Usługi
Terminalowe  jest  znacznie  wydajniejsze  niż  przez  sieci  WAN.  Często,  więc  dla  tego  typu  aplikacji
Usługi Terminalowe stają się jedyną alternatywą.

Zarządzanie Usługami Terminalowymi Windows Server 2008

Narzędzia systemowe

W środowisku Windows Server 2008 do zarządzania usługami terminalowymi można wykorzystać
kilka różnego rodzaju narzędzi. Głównym narzędziem zarządzania Usługami Terminalowymi jest
Server Manager, przy pomocy, którego możliwe jest zarządzanie rola serwera terminalowego, a w
szczególności:

•  Zarządzanie konfiguracją sesji użytkowników Usług Terminalowych
•  Zarządzanie konfiguracją serwerów terminalowych
•  Zarządzanie bramą Usług Terminalowych (TS Gateway)
•  Zarządzanie aplikacjami zdalnymi i dostępem przez sieć Internet

W zależności od zainstalowanych dodatków i rozszerzeń Usług Terminalowych możliwe będzie
zarządzanie:

•  Serwerem Licencjonowania Usług Terminalowych
•  Session Broker
•  Politykami dostępowymi NAP

Konfigurowanie usług terminalowych za pomocą usługi WMI

Dostawca WMI usług terminalowych

Dostawca  Instrumentacji  zarządzania  Windows  (WMI)  usług  terminalowych  umożliwia
administratorom  tworzenie  skryptów  niestandardowych,  za  pomocą,  których  konfiguruje  się
serwery terminali, zarządza się nimi i wysyła do nich kwerendy. Dostawca ten zawiera właściwości
i metody służące do wykonywania takich samych zadań, jak za pomocą narzędzi konfiguracyjnych
usług terminalowych i narzędzi wiersza polecenia, które są dostępne w systemach operacyjnych
z rodziny Windows Server, ale w sposób zdalny i przy użyciu aplikacji z obsługą skryptów.

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 10/26

Przykładowe skrypty umożliwiające zarządzanie usługami terminalowymi można znaleźć pod
adresem http://www.microsoft.com/technet/scriptcenter/scripts/default.mspx.

Korzyści z wdrażania Usług Terminalowych Windows Server 2008

Wdrożenie w przedsiębiorstwie Usług Terminalowych Windows Server 2008 niesie za sobą wiele
korzyści. Najważniejsze z nich zostały przedstawione poniżej:

• Szybkie wdrażanie aplikacji, które są często aktualizowane, rzadko używane lub trudne w

konfiguracji i obsłudze,

• Scentralizowany dostęp do pojedynczych aplikacji bez potrzeby korzystania z pełnego

środowiska pulpitu serwera (Pulpit Zdalny). Aplikacje uruchamiane zdalnie są integrowane ze
środowiskiem lokalnym użytkownika, dzięki czemu użytkownik nie zauważa różnicy
w działaniu aplikacji RemoteApp i aplikacji zainstalowanych lokalnie,

• Uproszczone mechanizmy dostępu do aplikacji biznesowych dla pracowników, partnerów

i klientów przedsiębiorstwa
Zapewnienie  pracownikom  dostępu  do  scentralizowanych  aplikacji,  pulpitów  i  źródeł  sieci
Internet  poprzez  bezpieczne  kanały  tj.  HTTPS.  Niweluje  to  potrzebę  konfigurowania
w  przedsiębiorstwie  pełnej  infrastruktury  dostępu  zdalnego  opartego  o  Wirtualne  Sieci
Prywatne (VPN) oraz otwierania dodatkowych portów na systemach Firewall,

• Możliwość prostego i bezpiecznego połączenia zdalnego użytkowników z serwerami

terminali i zdalnymi pulpitami z sieci chronionych systemami zapór Firewall oraz translacji
adresów sieciowych (NAT),

• Optymalizacja przepustowości łącza na potrzeby dostępu do aplikacji zdalnych,
• Usprawnione działanie aplikacji dla pracowników zdalnych w dostępie do centralnych

składnic danych.

Podsumowanie

W  rozdziale  tym  zostały  przedstawione  najważniejsze  informacje  związane  z  funkcjonowaniem
usług terminalowych na platformie Windows Server 2008. Po zapoznaniu się z zawartością modułu
powinieneś  rozumieć  jak  Usługi  Terminalowe  mogą  pomóc  organizacji  w  redukcji  kosztów
infrastruktury, zwiększeniu bezpieczeństwa danych produktywności pracowników.
Platforma  Usług  Terminalowych  Windows  Server  2008  jest  najbardziej  rozwiniętą  platformą
aplikacyjną,  jaka  kiedykolwiek  udostępniła  firma  Microsoft.  Obecne  Usługi  Terminalowe  oferują
funkcjonalności, które radykalnie zmieniają postrzeganie roli, TS w przedsiębiorstwie.

Przykładowe rozwiązanie

Pracując, jako inżynier systemowy otrzymałeś zadanie zaplanowania i wykonania środowiska
testowego dla usług terminalowych Windows Server 2008. Analizując potrzeby środowiska
użytkowników Twojej firmy zdecydowałeś się na zbudowanie środowiska testowego zgodnie z Rys
3.

Marek Pyka
ITA-108 Technologie sieciowe

Powyższe środowisko musi z

Użytkownicy przedsi

wewnętrznym serwe

Przygotowane pliki

kontrolera domeny o

Dostęp do aplikacji m

Poniższe ćwiczenie w
niezalecana zainstaluj

zmniejszy zapotrzebowanie
ćwiczenia należy zwiększyć i
klienta testującego funkcjona

Zadanie

Tok po

Instalacja roli

serwera terminali

• O

kl
na

• W
• N

• N

• N
• N

• Pr

in
kl

• N

w
D

• N

lic
te

Usługi termin

Strona 11/26

Rys. 3 Środowisko Usług Terminalowych

si zapewnić następujące funkcjonalności:

edsiębiorstwa wykorzystują aplikacje typu Remote

rwerze terminali

liki aplikacji zdalnych mają być składowane n

ny o nazwie RemoteApp

cji mają mieć wyłącznie użytkownicy domenowi.

ie wykonaj na serwerze ITA-DC01. Pomimo, że

taluj rolę Serwera Terminali na kontrolerze dome

nie środowiska na zasoby sprzętowe komputeró

zyć ilość dostępnej pamięci operacyjnej RAM dla IT

jonalność użyj ITA-CL01.

k postępowania

Otwórz  Menedżer  serwerów.  Aby  otworzyć  M
kliknij  przycisk  Start,  wskaż  polecenie  Narzędzi
następnie kliknij polecenie Menedżer serwerów.
W oknie Podsumowanie ról kliknij polecenie Doda
Na stronie Przed rozpoczęciem Kreatora dodawa
Dalej.
Na  stronie  Wybieranie  ról  serwera  zaznacz
terminalowe, a następnie kliknij przycisk Dalej.
Na stronie Usługi terminalowe kliknij przycisk Dal
Na  stronie  Wybieranie  ról  serwera  zaznacz  p
terminali, a następnie kliknij przycisk Dalej.
Przejrzyj  informacje  na  stronie  Odinstalo
instalowanie  aplikacji  w  celu  zapewnienia  zgo
kliknij przycisk Dalej.
Na  stronie  Określanie  metody  uwierzytelniani
wybierz  żądaną  metodę  uwierzytelniania,  a  nast
Dalej.

Jakie metody uwierzytelnienia zaproponowałb
środowiska?

Na stronie Określanie trybu licencjonowania za
licencji w późniejszym czasie (daje to użytko
testowanie usług terminalowych) i kliknij Dalej.

Moduł IX

minalowe Windows Server 2008

oteApp opublikowane na

e na udziale sieciowym

, że jest to konfiguracja

omeny. Taka konfiguracja

terów. Na potrzeby tego

la ITA-DC01 do 1 GB. Jako

yć Menedżer serwerów,

ędzia administracyjne, a

odaj role.

awania ról kliknij przycisk

cz pole wyboru Usługi

Dalej.

cz pole wyboru Serwer

talowanie i ponowne

zgodności, a następnie

iania serwera terminali

następnie kliknij przycisk

wałbyś dla omawianego

zaznacz wybór serwera

tkownikom 120 dni na

Marek Pyka
ITA-108 Technologie sieciowe

• N

se
gr
D

• W

Cz
ut
Ka

• N

se
Za

• N

ur
pr
ur

• Po

w
st
pr

Instalacja

programów na
serwerze
terminali

• Ab

• Pr

ch
ch

Sprawdzenie

ustawień
zdalnego
połączenia

• U

kl
na

• W
• W

si
sk
z

—

• Ab

te
uż

Usługi termin

Strona 12/26

Na  stronie  Wybieranie  grup  użytkowników  z  p
serwera  terminali  dodaj  dowolną  liczbę  użytko
grupy  użytkowników  pulpitu  zdalnego,  a  nastę
Dalej.
Wykorzystaj do tego celu grupę o nazwie Ksiegow
Członkami tych grup powinni być odpowiednio Kim
utworzyć  na  kontrolerze  domeny  i  ustanowić  czł
Kaja.
Na  stronie  Potwierdzanie  opcji  instalacji  spra
serwera  terminali  będzie  instalowana,  a  nastę
Zainstaluj.
Na  stronie  Wyniki  instalacji  pojawi  się  m
uruchomieniu  serwera,  w  celu  zakończenia  proc
przycisk  Zamknij,  a  następnie  kliknij  przycisk
uruchomić serwer.
Po  ponownym  uruchomieniu  serwera,  Kreat
wznowieniu  kończy  instalację.  Kiedy  pojawi  się
statusu  Instalacja  powiodła  się  na  stronie  Wy
przycisk Zamknij.

Zaleca się, aby programy instalować na se
zainstalowaniu usługi roli serwera termin

wykonywana  jest  instalacja  z  pakietu  instalator
ten  automatycznie  zainstaluje  się  w  trybie
terminali.  W  wypadku  instalacji  z  inneg
instalacyjnego,  należy  skorzystać  z  jednej  z  me
poniżej w celu przełączenia serwera na tryb insta

Aby zainstalować program, skorzystaj z opcji Inst
serwerze terminali znajdującej się w Panelu stero
Przed instalacją programu z wiersza poleceń
change user /install. Po zainstalowaniu program
change user /execute, aby wyjść z trybu instalacji.

Czy wiesz może jak uniknąć problemów z m
serwerów terminali?

Uruchom  narzędzie  systemowe.  Aby  to  zrobić,
kliknij  polecenie  Uruchom,  wpisz:  control  syste
następnie kliknij przycisk OK.
W sekcji Zadania kliknij polecenie Ustawienia zda
W  polu  dialogowym  Właściwości  systemu,  w  ka
się,  że  ustawienia  podłączania  pulpitu  zdalneg
skonfigurowane w zależności od środowiska. Moż
z następujących opcji:

— Zezwalaj na połączenia z komputera z do

zdalnego (opcja mniej bezpieczna)

— Zezwalaj na połączenia z komputera z p

uwierzytelnianiem na poziomie sieci (opcja bard

Aby uzyskać więcej informacji na temat powy
Zdalne kliknij łącze Pomóż mi wybrać.

Aby dodać użytkowników i grupy, które podłąc
terminali przy użyciu pulpitu zdalnego, kliknij p
użytkowników, a następnie kliknij przycisk Dodaj.

Moduł IX

minalowe Windows Server 2008

z prawem dostępu do

ytkowników lub grup do

astępnie kliknij przycisk

egowosc oraz Marketing.
o Kim i Kaja. Grupy należy

ć członkowstwo dla Kim i

sprawdź, czy usługa roli

astępnie kliknij przycisk

monit o ponownym

procesu instalacji. Kliknij

cisk Tak, aby ponownie

reator konfiguracji po
się komunikat dotyczący

Wyniki instalacji, kliknij

serwerze terminali po

rminali. Jeśli instalacja

atora Windows, program

rybie instalacji serwera

nego rodzaju pakietu

metod przedstawionych

instalacji:

Instalowanie aplikacji na

terowania.

ceń uruchom polecenie

ramu uruchom polecenie

lacji.

z mnożeniem się bytów

bić, kliknij przycisk Start,
ystem w polu Otwórz, a

zdalne.

karcie Zdalne, upewnij

lnego zostały poprawnie
Można wykorzystać jedną

dowolną wersją pulpitu

z pulpitem zdalnym z

bardziej bezpieczna)

owyższych opcji, w karcie

dłączają się do serwera

ij polecenie Wybieranie

daj.

Marek Pyka
ITA-108 Technologie sieciowe

• D

Dodawanie

programów do
listy programów
trybu RemoteApp

• U

zr
ad
kl

• W
• N

• N

pr
pr
Re

• Ab

na
si

—

• Po

• N

• W

Konfiguracja

globalnych
ustawień

Usługi termin

Strona 13/26

Dodani użytkownicy i grupy zostają dodani do
pulpitu zdalnego.
Uruchom menedżera funkcji RemoteApp usług te
zrobić,

kliknij

przycisk

Start,

wskaż

administracyjne,  wskaż  polecenie  Usługi  termi
kliknij polecenie Menedżer funkcji RemoteApp us
W okienku Akcje kliknij polecenie Dodaj programy
Na  stronie  Kreator  funkcji  RemoteApp  –  Zapras
Dalej.
Na  stronie  Wybierz  programy,  które  zostan
programów  trybu  RemoteApp  zaznacz  pole  w
programu,  jaki  ma  zostać  dodany  do  listy
RemoteApp. Możliwe jest wybranie wielu program

Programy  pokazane  na  stronie  Wybierz  prog
dodane do listy programów trybu RemoteApp
dostępne  w  menu  Start  wszystkich  użytkow
terminali.  Jeśli  program,  który  ma  zosta
Programów  trybu  RemoteApp  nie  znajduje  si
przycisk  Przeglądaj,  a  następnie  określ  lokaliza
programu.

Aby skonfigurować właściwości programu trybu
nazwę programu, a następnie kliknij polecenie
się z możliwościami konfiguracji:

— Nazwę programu, jaka pokaże się użytkow

nazwę, wpisz nową nazwę w polu Nazw
RemoteApp.

— Ścieżkę wykonywalnego pliku programu. Aby z

nową ścieżkę w polu Lokalizacja, lub kliknij prz
zlokalizować plik.exe.

— Alias programu trybu RemoteApp. Alias to unik

programu, który domyślnie odnosi się do nazwy
rozszerzenia). Nie zaleca się zmiany tej nazwy.

— Czy program trybu RemoteApp dostępny jest p

Dostęp  w  sieci  Web  do  usług  terminalowych
trybu  RemoteApp  jest  dostępny  przy  użyciu
sieci  Web  do  usług  terminalowych  jest  domyś
zmienić,  zaznacz  lub  wyłącz  zaznaczenie
wyboru.

— Czy argumenty wiersza poleceń są dozwolone, n

należy zawsze używać tych samych argumentów

— Ikonę programu, jaka zostanie użyta. Aby z

przycisk Zmień ikonę.

Po  zakończeniu  konfigurowania  właściwości  prog
OK, a następnie kliknij przycisk Dalej.
Na  stronie  Przegląd  ustawień  sprawdź  ustawien
przycisk Zakończ.
Wybrane  programy  powinny  pojawić  się  na  liś
RemoteApp.

Dowolne zmiany ustawień wdrażania wp
korzystania z Menedżera funkcji RemoteApp us
celu utworzenia plików.rdp lub pakietów

Moduł IX

minalowe Windows Server 2008

do grupy użytkowników

g terminalowych. Aby to

polecenie

Narzędzia

rminalowe, a następnie

p usług terminalowych.

amy trybu RemoteApp.

praszamy kliknij przycisk

staną dodane do listy

e wyboru obok każdego

listy  Programów  trybu
gramów.
programy,  które  zostaną

pp to programy, które są

tkowników na serwerze

ostać dodany do listy

je się na tej liście, kliknij

alizację pliku.Exe danego

bu RemoteApp, kliknij na

ie Właściwości. Zapoznaj

kownikom. Aby zmienić

Nazwa programu trybu

by zmienić ścieżkę, wpisz

j przycisk Przeglądaj, aby

unikalny identyfikator dla

azwy pliku programu (bez

est przy użyciu programu

ych. Ustawienie Program

ciu programu Dostęp w

myślnie włączone. Aby je

ie odpowiedniego pola

ne, niedozwolone, lub czy

tów wiersza poleceń
y zmienić ikonę, kliknij

programu, kliknij przycisk

ienia, a następnie kliknij

a liście Programy trybu

wprowadzane podczas

p usług terminalowych w

w instalatora systemu

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 14/26

wdrażania

Windows nadpiszą ustawienia globalne.

Do globalnych ustawień zaliczają się:

•  Ustawienia serwera terminali
•  Ustawienia bramy usług terminalowych
•  Zwykłe ustawienia protokołu Remote Desktop Protocol (RDP)
•  Niestandardowe ustawienia protokołu RDP
•  Ustawienia podpisu cyfrowego

Konfiguracja

ustawień serwera
terminali

• W okienku Akcje Menedżera funkcji RemoteApp usług terminalowych,

kliknij polecenie Ustawienia serwera terminali. (Lub w okienku
Przegląd, obok Ustawień serwera terminali, kliknij przycisk Zmień.)

• W karcie Serwer terminali, w Ustawieniach połączenia, zaakceptuj lub

zmodyfikuj nazwę serwera lub farmy serwerów, numer portu
protokołu RDP oraz ustawienia uwierzytelniania serwera.

• Aby zapewnić połączenie z pełnym pulpitem serwera terminali przy

użyciu  programu  Dostęp  w  sieci  Web  do  serwera  terminali,  w  oknie
Dostęp  do  pulpitu  zdalnego  zaznacz  pole  wyboru  Pokaż  podłączanie
pulpitu  zdalnego  do  tego  serwera  terminali  w  programie  Dostęp  w
sieci Web do serwera terminali.

• W oknie Dostęp do programów spoza listy wybierz jedną z

następujących opcji:

— Nie zezwalaj użytkownikom na uruchamianie programów spoza listy

przy połączeniu początkowym (zalecane)

— Zaleca się wybranie powyższego ustawienia, aby wspomóc ochronę

przed złośliwymi użytkownikami lub użytkownikami, którzy w trakcie
połączenia początkowego nieświadomie uruchamiają program z pliku
.rdp.

— Zezwalaj użytkownikom na uruchamianie programów z listy i spoza

niej przy połączeniu początkowym

Publikacja i

testowanie
aplikacji zdalnych

Publikacja aplikacji zdalnych może odbywać się na dwa sposoby. Pierwszym
jest  utworzenie  skrótu  w  postaci  pliku  .rdp,  który  będzie  działał  niemalże
identycznie  jak  ikona  aplikacji.  Kolejnym  sposobem  jest  utworzenie  paczki
.msi,  z  wykorzystaniem,  której  możliwa  jest  dystrybucja  przy  użyciu  GPO
oraz  przypisanie  aplikacji  zdalnej,  jako  domyślnego  programu  dla  plików  z
konkretnymi rozszerzeniami.

• Niezależnie od wyboru sposobu publikacji, cały proces odbywa się

ponownie z wykorzystaniem kreatora.

• Pierwszym etapem konfiguracji publikacji zdalnych aplikacji jest

określenie  folderu,  w  jakim  będą  przechowywane  pliki.  Można
wykorzystać zasób sieciowy i w ten sposób przekazywać użytkownikom
aplikacje.  Można  także  określić  parametry  serwera  w  tym  port,  przez
który  odbywać  się  będzie  komunikacja,  określić  użycie  Terminal
Services  Gateway,  czyli  nowej opcji  Terminal  Services  pozwalającej  na
łączenie  się  klientów  za  pośrednictwem  portu,  443  czyli  protokołu
HTTPS,  a  także  podpisać  aplikacje  certyfikatem  w  celu  umożliwienia
klientom określenie wiarygodności źródła, z jakiego pochodzą aplikacje
zdalne

• Specyficzne ustawienia przypisane są tworzeniu paczek .msi. Określa

się miejsce, w którym dodane mają zostać ikony aplikacji (Pulpit lub
menu Start) oraz czy aplikacja ma stać się domyślnym programem dla
przypisanych jej rozszerzeń.

• Po zakończeniu tego procesu pozostaje jedynie przekazanie

Marek Pyka
ITA-108 Technologie sieciowe

st
ut
N
w
lu

• W

je
to
kt

• Pr
• Za

ap
od
ro
po

• U

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że znajomoś

prowadzenie czynnośc

• W środowisku rozpros
• Wypracuj sobie meto

terminali w sytuacjach

• Nie stosuj dynamiczne
• Zaplanuj rozwiązania

terminalowych.

• Zaplanuj rozdział aplik
• Rozważ stosowanie w

sprzętowych.

Integracja z innymi usług

• Usługi terminalowe t

usługami, z jakimi się i

• Zapewnienie wysokie

Windows Server 2008

• Pamiętaj, że usługa

mechanizmy odpornoś

Zalecenia

•  Aby w pełni wykorzyst
•  Uaktualnić serwery ter
•  Skonfigurować kompu

6.0 lub wyższej,

• Korzystać z usługi SSO

uwierzytelnienia i uspr

Usługi termin

Strona 15/26

stworzonych plików klientom, w naszym wypad
utworzonym

udziale

sieciowym

Najwygodniejszym sposobem z punktu widzenia a
wykorzystanie paczek .msi i ich zdalna instalacja z
lub System Center Configuration Manager.
W specyficznych warunkach można wykorzystać
je  użytkownikowi,  np.  z  wykorzystaniem  poczty  e
to  szczególnie  interesujący  scenariusz  dla  kom
które będą pracować poza domeną.
Przekopiuj pliki rdp i msi na pulpit klienta.
Zainstaluj  pliki  msi.  Przyglądając  się  klientow
aplikacjami  RemoteApp,  na  pierwszy  rzut  oka  nie
od  tych  zainstalowanych  lokalnie.  Pliki  .rdp  dom
rodzaj  ikony  niż  odpowiadająca  im  aplikacja,  ale
pod względem użycia.
Uruchom aplikacje zdalne.

Jak rozpoznać, która z uruchomionych aplikac
która w trybie terminala?

mość zasad wykorzystania Usługi Terminalowych mo

ności administracyjnych w przyszłej pracy.

proszonym zaplanuj wykorzystanie Usług Terminalow

etody zarządzania danymi i aplikacjami opubliko

jach awaryjnych.

znego przydzielania adresów IP dla serwerów termin

ania równoważenia obciążenia sieciowego do

plikacji biznesowych na różne serwery terminali w p

ie wirtualizacji aplikacji SoftGrid do optymalnego w

ługami

e traktowane są jak pojedyncza rola serwerow

się integruje są: Active Directory, DNS, File Server.

okiej dostępności serwerów terminalowych za

008.

ga DNS jest krytyczna dla działania całej organ

rności na awarie tj. kopie zapasowe konfiguracji i ser

zystać możliwości Usług Terminalowych Windows Se

y terminalowe przedsiębiorstwa do Windows Server

putery klienckie tak, aby wykorzystywała Remote D

i SSO Usług Terminalowych aby scentralizować ad

usprawnić pracę użytkowników,

Moduł IX

minalowe Windows Server 2008

padku zapiszemy pliki w

nazwie

RemoteApp.

nia administratora będzie

ja z wykorzystaniem GPO

tać pliku .rdp przekazując
zty elektronicznej, będzie

komputerów mobilnych,

towi z zainstalowanymi

a nie można odróżnić ich
domyślnie posiadają inny

ale nie różnią się niczym

likacji pracuje lokalnie a

może znacznie ułatwić Ci

alowych.

likowanymi na serwerach

rminali.

dostępie do serwerów

w przedsiębiorstwie.

o wykorzystania zasobów

rowa, dlatego głównymi

zapewniają usługi NLB

rganizacji, dlatego stosuj

i serwerów.

s Server 2008 należy:

rver 2008,

te Desktop Client w wersji

ć administrację procesem

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 16/26

• Dostęp do zasobów przedsiębiorstwa z sieci Internet powinien być realizowany przy

wykorzystaniu Terminal Service Gateway

Terminal Service Gateway

• Wykorzystuj TSG w dostępie do zasobów zamiast sieci VPN wtedy, gdy, lokalne kopi danych

nie są wymagane, wymagane są wyższe parametry transmisji oraz gdy przesyłane dane, ich
rozmiar i format powodują, iż transmisja przez sieć VPN jest nie optymalna,

• Budując infrastrukturę Usług Terminalowych zapewnij osobny serwer dla TSG,
• Dostępem do zasobów przez TSG steruj odpowiednio zdefiniowanymi politykami dostępu

(unikaj ogólnych grup użytkowników),

• Zawsze monitoruj zdarzenia na TSG,
• Stosowanie certyfikatów typu Self-Signed jest zalecane wyłącznie w środowisku testowym,

Planując bezpieczeństwo dla Usług Terminalowych rozważ stosowanie systemów Firewall
w warstwie aplikacyjnej, tak aby możliwe było filtrowanie ruchu RPC,

• Nie należy traktować polityk ograniczenia dostępu do TSG jako atrybutu bezpieczeństwa

sieci, jest to bardziej parametr konfiguracyjny niż bezpieczeństwa.

Terminal Server RemoteApp

• Konsoliduj aplikacje o podobnej funkcjonalności (np. Microsoft Office) na tym samym

serwerze terminali,

• Rozważ rozmieszczenie aplikacji na rożnych serwerach terminali w sytuacji:

•

Gdy aplikacja ma problemy z kompatybilnością

•

Parametry aplikacji lub liczba klientów z niej korzystających wymaga pełnej wydajności

serwera

•

W sytuacji wykorzystywania farm serwerów terminalowych i balansowania obciążenia dla

pojedynczych aplikacji, których wymagania wydajnościowe przekraczają możliwości
jednego serwera terminali.

•

W sytuacji opisanej w poprzednim punkcie rozważ wykorzystanie SoftGrid Application

Virtualization for Terminal Server

• Stosowanie certyfikatów typu Self-Signed jest zalecane wyłącznie w środowisku testowym,
• Planując bezpieczeństwo Usług Terminalowych rozważ rozmieszczenie serwera TS

RemoteApp

za systemem firewall warstwy aplikacji tj. ISA Server.

TS Web Access

• Standardowa instalacja usług TS Web Access na jednym serwerze nie wymaga zmiany

ustawień domyślnych,

•  Scenariusz wykorzystujący wiele serwerów:
•  Wykorzystuj usługę Active Directory do dystrybucji pakietów MSI dla aplikacji zdalnych
•  Dla  klientów  lokalnych  rozważ  publikacje  plików  MSI  przy  wykorzystaniu  System  Center

Configuration Manager lub rozwiązań bazujących na językach skryptowych.

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium, jeśli:

•

Rozumiesz zasady wykorzystania Usług Terminalowych w przedsiębiorstwie

•

umiesz instalować role i funkcje na platformie Windows Server 2008

•

umiesz zaplanować wykorzystanie Usług Terminalowych w przedsiębiorstwie

•

potrafisz podać przykłady zagrożeń wynikających ze źle zaprojektowanej infrastruktury

serwerów Usług Terminalowych

•

znasz zasady zarządzania serwerami usług terminalowych w środowisku rozproszonym

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 17/26

•

zapoznałeś się z głównymi pojęciami dotyczącymi Usług Terminalowych Windows Server

2008 (TSG, TSSB, TSWA, NPS, RemoteApp)

•

Przed zainstalowaniem serwera Usług Terminalowych zidentyfikuj:

•

Wymagania serwera TS dotyczące sprzętu i magazynowania.

•

Którzy klienci w przedsiębiorstwie spełniają wymagania dotyczące połączeń z TS

•

Zaplanuj hierarchię Usług Terminalowych oraz zasady równoważenia obciążenia

sieciowego.

Dodatkowe źródła informacji

http://pl.wikipedia.org/wiki/Microsoft_Windows_Server_2008

Opis środowiska Windows Server 2008 oraz podstawowych ról serwerowych.

http://www.microsoft.com/poland/technet/article/default.mspx

Zbiór artykułów ekspertów w tym też kilka na temat Usług Terminalowych Windows Server
2008

Robert Chyra Usługi terminalowe Windows 2000, Helion 2003

Ciekawa pozycja na temat implementacji usług terminalowych w systemach Windows

Christa Anderson, Windows Server 2008 Terminal Services Resource Kit, Microsoft Press, 2008

Kompleksowe opracowanie dotyczące Usług Terminalowych Windows Server 2008.

http://community.winsupersite.com/blogs/itprotips/archive/2008/01/08/developing-for-

windows-server-2008-terminal-services-level-300.aspx
Przeglądowa prezentacja o publikacji Usług Terminalowych Windows Server 2008 z
tegorocznego TechED

http://www.microsoft.com/poland/technet/article/art0065_01.mspx

Bardzo dobry artykuł na temat wdrażania usług Session Broker i NLB dla usług
terminalowych. Przydatny przy zadaniach zaawansowanych.

http://www.microsoft.com/poland/technet/bazawiedzy/centrumrozwiazan/cr168_01.mspx#E

Ciekawy artykuł traktujący o podstawach usług terminalowych. Polecam jako
uzupełnienie niniejszego rozdziału.

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium podsta

Problem 1 (czas realizacj

W oparciu o infrastrukturę p
Zgodnie z przyjętymi założen

• Zainstalować i skon

użytkownicy działu ma
zewnętrznych
Zaplanować i wdroż
z serwerem termina
i przeźroczyste dla uży

• Zainstalować i skonfigu

Do realizacji tego zadan
Na komputerze tym zo
Windows Server 2008.

Zadanie

Tok p

Instalacja roli

bramy serwera
terminali

—
—

—

—
—

—

—
—
—

—

Usługi termin

Strona 18/26

stawowe

acji 45 min)

rę przedstawioną na Rys. 3 przeprowadzić dalszą ko

żeniami w tym ćwiczeniu będziesz musiał:

konfigurować Bramę Usług Terminalowych (TS

marketing mogli otrzymywać dostęp do zasobów se

drożyć mechanizmy zabezpieczeń dla transmis

inali. Pamiętaj, że mechanizmy zabezpieczeń m

użytkowników

nfigurować dostęp do aplikacji zdalnych przez witryn

adania konieczne będzie wykorzystanie dodatkoweg

zostanie zainstalowana i skonfigurowana rola Bram

08.

ok postępowania

• Otwórz konsolę Server Manager. W tym ce

Administrative Tools, po czym kliknij Server M

• Jeśli rola Terminal Services nie jest jeszcze zai

— W konsoli Server Manager kliknij Add Roles pon
— W kreatorze Add Roles Wizard, jeśli pojawi s

Begin , kliknij Next. Strona ta nie pojawi się,
inne role i zaznaczono pole wyboru Skip this pa

— Na stronie Select Server Roles zaznacz po

Services poniżej Roles, po czym kliknij Next.

— Na stronie Terminal Services kliknij Next.
— Na stronie Select Role Services zaznacz pole w

liście Role services.

— Jeśli pojawi się monit o zainstalowanie

wymaganych przez TS Gateway, kliknij Add Req

— Na stronie Select Role Services upewnij się

usługa TS Gateway, po czym kliknij Next.

• Jeśli rola Terminal Services została już zainsta

—  Kliknij Terminal Services poniżej Roles Summar
—  W części Role Services kliknij Add Role Service
—  Na  stronie  Select  Role  Services  zaznacz  pole

po czym kliknij Next.

— Jeśli pojawi się monit o zainstalowanie

wymaganych przez, TS Gateway, kliknij Add Re

— Na stronie Select Role Services kliknij Next.

• Na stronie Choose a Server Authenticatio

Encryption  określ,  czy  chcesz  wybrać  istn
potrzeby  szyfrowania  SSL  (zalecane),  utwor
certyfikat  SSL  lub  odłożyć  wybór  certyfika
wykonujesz  instalację  na  nowym  serwerze,
certyfikatu,  przeczytaj  rozdział  pomocy  Uz
dla  serwera  TS  Gateway,  zawierający  inform
dotyczących  certyfikatu  oraz  o  metod
instalowania certyfikatów.

Moduł IX

minalowe Windows Server 2008

ą konfigurację środowiska.

(TS Gateway) tak, aby

w serwera terminali z sieci

smisji klientów zdalnych

ń mają być uniwersalne

itrynę WWW (TS WA)

wego serwera ITA-SRV01.

ramy Usług Terminali

celu kliknij Start, wskaż

er Manager.

e zainstalowana:

poniżej Roles Sumary.

wi się strona Before You

się, jeśli już instalowano

is page by default .

pole wyboru Terminal

le wyboru TS Gateway na

nie dodatkowych usług

Required Role Services.

j się, że zaznaczona jest

nstalowana:

mary.

vices .

ole wyboru TS Gateway,

nie dodatkowych usług

d Required Role Services.

ation Certificate for SSL

istniejący certyfikat na

tworzyć samo podpisany

fikatu na później. Jeżeli

rze, który jeszcze nie ma

Uzyskiwanie certyfikatu

formacje o wymaganiach

etodach uzyskiwania i

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 19/26

• Na stronie Create Authorization Policies for TS Gateway określ, czy

zamierzasz  utworzyć  zasady  autoryzacji  (TS  CAP  oraz  TS  RAP)  w
trakcie  procesu  instalacji  usługi  TS  Gateway,  czy  też  później.  Jeśli
wybierzesz  Later,  będziesz  musiał  następnie  wykonać  procedurę
opisaną w podrozdziale "Tworzenie TS CAP". Jeśli wybierzesz Now,
wykonaj następujące czynności:

— Na stronie Select User Groups That Can Connect Through TS

Gateway kliknij Add, aby wskazać dodatkowe grupy użytkowników.
W oknie dialogowym Select Groups podaj lokalizację i nazwę grupy
użytkowników (Marketing), po czym kliknij OK, aby zweryfikować
nazwę i zamknąć okno dialogowe Select Groups.

— Aby wskazać więcej niż jedną grupę użytkowników, możesz wykonać

jedną następujących czynności: wpisać nazwy poszczególnych grup,
rozdzielając je średnikami, lub kolejno dla każdej z nich powtórzyć
poprzedni punkt.

— Po zakończeniu dodawania grup kliknij Next na stronie Select User

Groups that Can Connect Through TS Gateway.

— Na stronie Create TS CAP for TS Gateway zaakceptuj domyślną

nazwę  zasady  (TS_CAP_01)  lub  podaj  nową  nazwę,  wybierz  jedną
lub  więcej  spośród  wspieranych  metod  uwierzytelniania,  po  czym
kliknij Next.

— Na stronie Create TS RAP for TS Gateway zaakceptuj domyślną

nazwę zasady (TS_RAP_01) albo podaj nazwę, po czym wykonaj
jedno z następujących: określ, czy użytkownicy mają się łączyć tylko
z komputerami zawartymi w konkretnej grupie lub grupach, po
czym wskazać te grupy, albo określ, że użytkownicy mogą się łączyć
z dowolnym komputerem w sieci. Kliknij Next.

• Na stronie Network Policy and Access Services, (która pojawia się

tylko wtedy, gdy ta usługa roli nie jest jeszcze zainstalowana)
przejrzyj informacje podsumowujące, po czym kliknij Next.

• Na stronie Select Role Services upewnij się, że opcja Network

Policy Server jest zaznaczona, po czym kliknij Next.

• Na stronie Web Server (IIS) (która pojawia się tylko wtedy, gdy ta

usługa roli nie jest jeszcze zainstalowana) przejrzyj informacje
podsumowujące, po czym kliknij Next.

• Na stronie Select Role Services zaakceptuj domyślne ustawienia

dla usługi Web Server (IIS), po czym kliknij Next.

• Na stronie Confirm Installation Options upewnij się, że

zainstalowane zostaną następujące role, usługi roli oraz funkcje:

—  Terminal Services\TS Gateway
—  Network Policy and Access Services\Network Policy Server
—  Web Server (IIS)\Web Server\Management Tools
—  RPC over HTTP Proxy
—  Windows  Process  Activation  Service\Process  Model\Configuration

APIs

• Kliknij Install.
• Na stronie Installation Progress pojawią się informacje po

postępie instalacji.

• Jeśli któraś z tych ról, usług lub funkcji była już zainstalowana

wcześniej, postęp instalacji będzie ukazywał tylko instalowanie
tych składników, które są nowe.

Marek Pyka
ITA-108 Technologie sieciowe

Weryfikowanie

poprawności
instalacji usługi roli
i sprawdzanie
statusu TS
Gateway

Poniż
wym
i są u

Proces

instalowania i
konfiguracji
certyfikatów

Proce
konso
bada
użyci
Gate

Po u
Roles
pomo
mapo
Aby u

Usługi termin

Strona 20/26

• Na stronie Installation Results upewnij się, że

z powodzeniem, po czym kliknij Close.

oniższa procedura pozwala sprawdzić, że usługa r

ymagane przez nią inne usługi i funkcje zostały zain

są uruchomione.

• Otwórz konsolę Server Manager. W tym ce

Administrative Tools, po czym kliknij Server M

• W drzewie konsoli rozwiń węzeł Roles, po cz

Terminal Services.

• Na stronie Terminal Services w części System

że status usługi Terminal Services Gateway
tryb uruchamiania jest ustawiony na Auto.

• Zamknij konsolę Server Manager.
• Otwórz konsolę Internet Information Servic

tym celu kliknij Start, wskaż Administrative
Internet Information Services (IIS) Manager.

• W drzewie konsoli rozwiń węzeł <Nazwa_s

>\Sites\Default Web Site, po czym kliknij Def

• Prawym klawiszem myszy kliknij Default We

Web Site, po czym kliknij Advanced Settings.

• W oknie dialogowym Advanced Settings po

upewnij  się,  że  opcja  Start  Automatically  m
przeciwnym  wypadku  kliknij  strzałkę  w  dół
wartości, po czym kliknij True.

• Kliknij OK.
• Zamknij konsolę IIS Manager.

rocedura ta opisuje tworzenie certyfikatu samo pod

onsoli TS Gateway Manager. Certyfikat taki moż

adań technicznych i testów, jeśli nie został wcz
życiu kreatora Add Roles Wizard podczas instalo

ateway.

Certyfikaty samo podpisane powinny być uży
testowych. Po utworzeniu certyfikat musi zo

komputera  klienckiego  (lub  do  udziału  sie
dostępny  dla  tego  komputera),  a  następn
magazynie  Trusted  Root  Certification  Author
klienckim.

o utworzeniu certyfikatu samo podpisanego przy
oles Wizard podczas instalacji usługi roli TS Gatewa
omocą konsoli TS Gateway Manager nie trzeb

apować na serwer TS Gateway.

by utworzyć samo podpisany certyfikat dla serwera

• Uruchom konsolę TS Gateway Manager. W

wskaż Administrative Tools, wskaż Termin
kliknij TS Gateway Manager.

• W drzewie konsoli kliknij węzeł reprez

Gateway, aby go zaznaczyć. Węzeł ten nosi n
którym uruchomiono usługę TS Gateway.

• W panelu wyników, poniżej tytułu Configu

View or modify certificate properties.

• Na zakładce SSL Certificate kliknij Create a

Moduł IX

minalowe Windows Server 2008

ię, że instalacja przebiegła

ga roli TS Gateway oraz

zainstalowane poprawnie

celu kliknij Start, wskaż

er Manager.

o czym podwójnie kliknij

tem Services upewnij się,

way to Running, zaś jej

ervices (IIS) Manager. W

ive Tools, po czym kliknij

er.

a_serwera_TS Gateway

j Default Web Site.

Web Site, wskaż Manage

gs.

poniżej tytułu (General)

lly ma wartość True. W

dół, aby wyświetlić listę

podpisanego przy użyciu

oże posłużyć do celów

cześniej utworzony przy

stalowania usługi roli TS

używane tylko w celach

i zostać skopiowany do

sieciowego, który jest
tępnie zainstalowany w

thorities na komputerze

przy użyciu kreatora Ad

teway lub po instalacji za

zeba go instalować ani

era TS Gateway:

W tym celu kliknij Start,

minal Services, po czym

prezentujący serwer TS

osi nazwę komputera, na

figuration Status, kliknij

e a self-signed certificate

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 21/26

for SSL encryption, a następnie Create Certificate.

• W oknie dialogowym Create Self-Signed Certificate wykonaj

następujące czynności:

— Upewnij się, że poprawna nazwa (CN) dla certyfikatu jest

wyświetlana  w  polu  Certificate  name  albo  wpisz  nową  nazwę.  CN
musi być zgodna z nazwą DNS, której klienci używają do połączeń z
serwerem  TS  Gateway,  o  ile  nie  zamierza  się  użyć  certyfikatów
wieloznacznych lub atrybutów SAN.

— Upewnij się, że pole wyboru Store the root certificate poniżej tytułu

Certificate  location  jest  zaznaczone,  aby  przechować  certyfikat
główny  we  wskazanej  lokalizacji,  dzięki  czemu  możliwa  będzie
ręczna  dystrybucja  tego  certyfikatu  na  komputerach  klienckich.
Następnie  określ  miejsce  składowania  certyfikatu.  Domyślnie  opcja
ta jest włączona, a certyfikat umieszczany jest w folderze

— %Windir%\Users\<Username>\Documents.
— Kliknij OK.

• Jeśli zaznaczyłeś pole wyboru Store the root certificate i określiłeś

lokalizację  dla  certyfikatu,  pojawi  się  komunikat,  że  usługa  TS
Gateway  utworzyła  samo  podpisany  certyfikat,  potwierdzając
lokalizację. Kliknij OK, aby zamknąć okno komunikatu.

• Ponownie kliknij OK, aby zamknąć okno dialogowe Properties

serwera TS Gateway.

Tworzenie TS

CAP dla serwera TS
Gateway

Procedura  poniższa  przedstawia  wykorzystanie  konsoli  TS  Gateway
Manager  do  utworzenia  niestandardowej  zasady  TS  CAP.  Alternatywnie
można  użyć  kreatora  Authorization  Policies  Wizard,  aby  szybko  utworzyć
zasady TS CAP i TS RAP dla TS Gateway.
Aby utworzyć TS CAP dla serwera TS Gateway:

• Uruchomić konsolę TS Gateway Manager.
• W drzewie konsoli kliknij węzeł reprezentujący serwer TS

Gateway, aby go zaznaczyć.

• Rozwiń węzeł Policies, po czym kliknij Connection Authorization

Policies.

• Prawym klawiszem myszy kliknij folder Connection Authorization

Policies, później Create New Policy, a następnie Custom.

• Na zakładce General wpisz nazwę zasady i upewnij się, że pole

wyboru Enable this policy jest zaznaczone.

• Na zakładce Requirements poniżej tytułu Supported Windows

authentication methods zaznacz jedno lub obydwa pola wyboru:

— Password [hasło]
— Smart card [karta inteligentna]

Jeśli wybrane zostaną obie opcje, łączyć będą mogli się klienci
używający dowolnej metody uwierzytelniania.

• Poniżej tytułu User group membership (required) kliknij Ad

Group,  po  czym  określ  grupę  użytkowników,  której  członkowie
mogą  łączyć  się  z  serwerem  TS  Gateway.  Musisz  wskazać  co
najmniej  jedną  grupę  użytkowników.  W  naszym  scenariuszu
wykorzystamy Marketing.

• W oknie dialogowym Select Groups wybierz lokalizację i nazwę

grupy  użytkowników,  po  czym  kliknij  OK,  aby  sprawdzić  nazwę  i
zamknąć  okno  dialogowe  Select  Groups.  Aby  określić  więcej  niż
jedną grupę użytkowników, należy:

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 22/26

— Wpisać nazwę każdej grupy, rozdzielając je średnikami; albo
— Dodać kolejne grupy z innych domeny, powtarzając ten krok dla

każdej z nich.

• Aby określić kryteria członkostwa w domenie dla komputera

klienckiego (opcjonalne), kliknij Ad Group poniżej Client computer
group membership (optional) na zakładce Requirements, po czym
wybierz grupy komputerów. W konfiguracji przykładowej nie jest
określana żadna grupa komputerów.

• Wybór grupy komputerów umożliwia ta sama technika, która

posłużyła do wybrania grupy użytkowników.

• Na zakładce Device Redirection wybierz jedną z poniższych opcji,

aby włączyć lub zablokować przekierowanie urządzeń po stronie
klienta:

— Aby pozwolić na przekierowanie dowolnych urządzeń klienckich

przy  połączeniu  za  pośrednictwem  serwera  TS  Gateway,  kliknij
Enable  device  redirection  for  all  client  devices.  Opcja  ta  jest
zaznaczona domyślnie.

— Aby zablokować przekierowanie wszystkich urządzeń po stronie

klienta z wyjątkiem czytników kart inteligentnych, zaznacz opcję
Disable device redirection for all client devices except for smart card

— Aby zablokować przekierowanie tylko wybranych typów urządzeń,

kliknij  opcję  Disable  device  redirection  for  the  following  client
device  types,  po  czym  zaznacz  pola  wyboru  odpowiadające  typom
urządzeń po stronie klienta, których przekierowanie powinno zostać
zablokowane.

• Kliknij OK.
• Nowo utworzona TS CAP pojawi się w panelu szczegółów konsoli

TS Gateway Manager. Po kliknięciu nazwy TS CAP w dolnym
panelu pojawią się szczegóły zasady.

Tworzenie TS

RAP i określanie
komputerów, z
którymi
użytkownicy mogą
się łączyć za
pośrednictwem
serwera TS
Gateway

Procedura  ta  opisuje  tworzenie  niestandardowej  zasady  TS  RAP  przy
użyciu  konsoli  TS  Gateway  Manager  i  określanie  komputerów,  z  którymi
użytkownicy  mogą  się  łączyć  za  pośrednictwem  serwera  TS  Gateway.
Zadanie  to  można  alternatywnie  zrealizować  przy  użyciu  kreatora
Authorization Policies Wizard.
Aby utworzyć TS RAP i określić komputery, z którymi użytkownicy mogą się
łączyć za pośrednictwem serwera TS Gateway:

• Uruchom konsolę TS Gateway Manager.
• W drzewie konsoli kliknij węzeł reprezentujący serwer TS Gateway,

aby go zaznaczyć.

• Rozwiń węzeł Policies, po czym kliknij Resource Authorization

Policies.

• Prawym klawiszem myszy kliknij folder Resource Authorization

Policies, następnie Create New Policy, a później Custom.

• Na zakładce General wpisz nazwę zasady (nie dłuższą niż 64 znaki) w

polu Policy name.

• W polu Description wprowadź opis nowej zasady TS RAP.
• Na zakładce User Groups kliknij Ad, aby wybrać grupy

użytkowników, których ma dotyczyć ta zasada TS RAP.

• W oknie dialogowym Select Groups wybierz lokalizację i nazwę

grupy użytkowników, po czym kliknij OK, aby sprawdzić nazwę i
zamknąć okno dialogowe Select Groups. Aby określić więcej niż

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 23/26

jedną grupę użytkowników, należy:

— Wpisać nazwę każdej grupy, rozdzielając je średnikami; albo
— Dodać kolejne grupy z innych domeny, powtarzając ten krok dla

każdej z nich.

• Na zakładce Computer Group wskaż grupę lub grupy komputerów, z

którymi użytkownicy będą mogli się łączyć za pośrednictwem TS
Gateway:

— Aby wybrać istniejącą grupę zabezpieczeń, kliknij Select an existing

Active  Directory  security  group,  a  następnie  Browse.  W  oknie
dialogowym Select Group wskaż lokalizację i nazwę grupy, po czym
kliknij  OK.  Zwróć  uwagę,  że  należy  wybrać  raczej  grupy
zabezpieczeń  lokalnego  komputera,  a  nie  Active  Directory  Domain
Services.

— Aby wskazać grupę komputerów zarządzaną przez TS Gateway,

kliknij  Select  an  existing  TS  Gateway-managed  computer  group  or
create  a  new  one,  a  potem Browse. W oknie  dialogowym  Select a
TS Gateway-managed Computer Group wykonaj jedno z poniższych:

— Wskaż istniejącą grupę komputerów zarządzaną przez TS Gateway,

klikając jej nazwę, po czym kliknij OK, aby zamknąć okno dialogowe.

— Utwórz nową grupę komputerów zarządzaną przez TS Gateway,

klikając Create New Group. Na zakładce General wpisz nazwę i opis
grupy.  Na  zakładce  Network  Resources  wpisz  nazwę  lub  adres  IP
komputera  lub  farmy  serwerów  Terminal  Services,  którą  chcesz
dodać,  po  czym  kliknij  Ad.  W  naszym  przypadku  stwórz  grupę
TS_Farm  i  dodaj  do  niej  terminal  serwer.  Powtórz  ten  krok  dla
kolejnych  komputerów,  po  czym  kliknij  OK,  by  zamknąć  okno
dialogowe  New  TS  Gateway-Managed  Computer  Group.  W  oknie
dialogowym Select a TS Gateway-managed Computer Group kliknij
nazwę nowej grupy komputerów, po czym kliknij OK.

— Aby zezwolić na dostęp do dowolnych zasobów sieciowych, kliknij

Allow users to connect to any network resource, a później OK.

• Po określeniu grupy komputerów nowo utworzona zasada TS RAP

pojawi się w panelu rezultatów TS Gateway Manager. Po kliknięciu
nazwy TS RAP szczegóły zasady pojawią się w dolnym panelu.

Ograniczenie

maksymalnej liczby
równoczesnych
połączeń przez TS
Gateway
(opcjonalne)

Z wyjątkiem serwerów TS Gateway zainstalowanych w systemie Windows
Server® 2008 Standard domyślnie nie jest ustawiany żaden limit liczby
równoległych połączeń, jakie użytkownicy mogą tworzyć do zasobów sieci
wewnętrznej za pośrednictwem serwera TS Gateway. W celu optymalizacji
wydajności serwera lub zapewnienia zgodności z zasadami zabezpieczeń
organizacji można określić limit liczby równoczesnych połączeń, które
klienci mogą tworzyć do zasobów sieci.
Aby ograniczyć maksymalną liczbę dozwolonych połączeń do TS Gateway:

• Uruchom konsolę TS Gateway Manager.
• W drzewie konsoli kliknij węzeł reprezentujący serwer TS

Gateway, aby go zaznaczyć.

• W drzewie konsoli rozwiń węzeł Monitoring.
• Prawym klawiszem myszy kliknij folder Monitoring, a następnie

Edit Connection Limit.

• Na zakładce General poniżej tytułu Maximum Connections

wykonaj jedno z poniższych:

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 24/26

— Aby określić maksymalną liczbę równoczesnych połączeń dla

klientów  Terminal  Services,  kliknij  Limit  maximum  allowed
simultaneous  connections  to  ,  po  czym  wpisz  liczbę  dozwolonych
połączeń.

— Aby usunąć ograniczenie liczby dozwolonych połączeń pomiędzy

klientami a zasobami sieci wewnętrznej kliknij Allow the maximum
supported  simultaneous  connections.  Jest  to  opcja  domyślna.
Należy  jednak  pamiętać,  że  dla  serwerów  TS  Gateway
zainstalowanych  w  systemie  Windows  Server  2008  Standard
maksymalna obsługiwana liczba połączeń wynosi 250.

— Aby powstrzymać tworzenie nowych połączeń pomiędzy klientami a

zasobami  sieci  wewnętrznej,  kliknij  Disable  new  connections  .
Wybranie  tej  opcji  powoduje  tylko  odrzucanie  nowych  prób
połączenia. Istniejące połączenia będą nadal utrzymywane przez TS
Gateway.

• Kliknij OK.

Konfigurowanie

ustawień Remote
Desktop
Connection

• Uruchom klienta Remote Desktop Connection. W tym celu kliknij

Start, wskaż All Programs, następnie Accessories, po czym kliknij
Remote Desktop Connection .

• W oknie dialogowym Remote Desktop Connection kliknij Options,

aby poszerzyć okno dialogowe i wyświetlić ustawienia.

• W części Connect from anywhere na zakładce Advanced kliknij

Settings.

• W oknie dialogowym TS Gateway Server Settings zaznacz

odpowiednie opcje:

—  Automatically detect TS Gateway server settings (domyślne).
—  Use these TS Gateway server settings.
—  Bypass TS Gateway server for local addresses.

• Jeżeli komputer znajduje się w sieci LAN, ale zamierza się

przetestować  łączność  za  pośrednictwem  serwera  TS  Gateway,
należy  wyczyścić  to  pole  wyboru.  W  przeciwnym  wypadku  klient
nie  będzie  próbował  użyć  serwera  TS  Gateway  do  połączenia  z
siecią wewnętrzną.

• Do not use a TS Gateway server. Wybranie tej opcji powoduje, że

serwer  TS  Gateway  nie  będzie  nigdy  używany.  Opcję  tę  należy
zaznaczyć,  jeśli  komputer  jest  zawsze  podłączony  do  sieci
wewnętrznej  i  nie  zachodzi  potrzeba  przechodzenia  przez  zaporę
ogniową w celu połączenia się z zasobami tej sieci.

• Wykonaj jedno z poniższych:

— Aby zapisać ustawienia i zamknąć okno dialogowe Remote Desktop

Connection, kliknij Save, a potem Cancel. Ustawienia zostaną
zapisane jako plik RDP w lokalizacji domyślnej (standardowo plik jest
zapisywany w folderze Napęd:\<Username>\Documents).

— Aby zapisać ustawienia we wskazanej lokalizacji w pliku RDP (plik

taki  można  później  dostosować  i  rozesłać  do  większej  liczby
komputerów klienckich), kliknij Save As. W oknie dialogowym  Save
as w polu File name określ nazwę i lokalizację pliku, po czym kliknij
Save.

— Aby rozpocząć połączenie z zasobem sieci wewnętrznej, kliknij Save,

później Connect, po czym przejdź do punktu 5 następnej procedury
("Weryfikowanie łączności za pośrednictwem TS Gateway").

Marek Pyka

Moduł IX

ITA-108 Technologie sieciowe

Usługi terminalowe Windows Server 2008

Strona 25/26

Weryfikowanie

łączności za
pośrednictwem TS
Gateway

• Uruchom klienta Remote Desktop Connection. W tym celu kliknij

Start, wskaż All Programs, wskaż Accessories, po czym kliknij
Remote Desktop Connection .

• W oknie dialogowym Remote Desktop Connection kliknij Options,

aby rozszerzyć okno i wyświetlić ustawienia.

• Na zakładce General wpisz nazwę komputera (serwera terminali

lub komputera z uruchomioną usługą Remote Desktop), z którym
chcesz się połączyć zdalnie za pośrednictwem TS Gateway.

• Kliknij Connect.
• W oknie dialogowym Enter your credentials wybierz lub wpisz

nazwę konta użytkownika, którego chcesz użyć do zdalnego
logowania, wpisz wymagane poświadczenia, po czym kliknij OK.

• W oknie dialogowym Gateway server credentials wybierz nazwę

użytkownika, który ma zostać użyty do logowania na serwerze TS
Gateway, wprowadź wymagane poświadczenia, po czym kliknij
OK.

• Po chwili połączenie z komputerem zdalnym za pośrednictwem

serwera TS Gateway powinno zostać ustanowione.

Laboratorium rozszerzone

Zadanie1 (czas realizacji 45 min)

Twoja  organizacja  na  przełomie  ostatnich  4  miesięcy  uruchomiła  zdalne  lokalizacje  na  terenie
całego  kraju.  Zgodnie  z  polityką  zarządu  cała  administracja  systemami  informatycznymi  została
scentralizowana co spowodowało zredukowanie do zera ilości kadry administracyjnej w oddziałach.
Niestety  szybko  okazało  się,  że  wykorzystywane  przez  użytkowników  aplikacje  w  oddziałach
zdalnych  powodują  wiele  problemów  ze  stabilnością  i  bezpieczeństwem  infrastruktury.  Problem
zaczął się potęgować kiedy bazy danych tych aplikacji zostały scentralizowane i zwiększył się ruch
po sieci WAN co zaowocowało przerwami  w działaniu innych aplikacji biznesowych oraz replikacji
danych  infrastrukturalnych.  Sytuacja  ta  stała  się  nie  akceptowalna  przez  zarząd  dlatego  też
zdecydowaliście  na  wykorzystanie  usług  terminalowych.  Krok  ten  rozwiązał  wiele  problemów
i  zwiększył  znacznie  wydajność  i  bezpieczeństwo  infrastruktury.  Wraz  z  przyzwyczajeniem  się
użytkowników  do  funkcjonalności  zaczął  pojawiać  się  problem  związany  z  niestabilnymi  łączami
WAN a w szczególności łącznością przez sieci komórkowe. Problem objawia się następująco:

• Użytkownicy mobilni skarżą się, że używając aplikacji zdalnych często tracą dane kiedy zrywa

się połączenie komórkowe którego używają na swoich laptopach,

• Pracownicy w lokalizacjach zdalnych zauważyli, że często w przypadku przeciążenia serwera

terminalowego tracą swoją pracę gdyż po zerwaniu sesji logują się ponownie i trafiają do
innego serwera

• Użytkownicy skarżą się, że proces przełączania pomiędzy serwerami terminalowymi jest nie

optymalny

• Obecne natężenie ruchu na serwerach terminali powoduje, że często pojawiają się przestoje

i utrata połączeń

• Ilość użytkowników wykorzystująca Usługi Terminalowe w ostatnim okresie wzrosła

dwukrotnie dlatego daje się zauważyć spadki wydajności w najbardziej wymagających
aplikacjach.

Jako inżynier systemowy dostałeś zadanie wdrożenia zaprojektowania i wdrożenia mechanizmów,
które zmniejszą przestoje związane ze stabilnością serwerów terminalowych. Schemat nowej
infrastruktury został przedstawia Rys. 4.

Marek Pyka
ITA-108 Technologie sieciowe

W pierwszej kolejności zd
terminalowych. W tym celu z

Zainstalować dodatk

Skonfigurować usłu

obciążenia

Zaprojektuj i skonfiguruj środ
Chcąc zapewnić stabilną prac

Zainstalować dodatk

Zainstalować i skonfi

Zdefiniować zasady

i zasada serwera poli

Zaprojektuj i skonfiguruj środ

W sytuacji wykonywan
komputerów w celu zb

Usługi termin

Strona 26/26

Rys. 4 Nowe środowisko usług terminalowych

i zdecydowałeś(łaś) się na rozwiązanie problem

elu zdecydowałeś się na następujące kroki:

datkowe dwa serwery usług terminalowych
usługę NLB dla wszystkich serwerów terminali w

środowisko zgodnie z założeniami.

pracę dla serwerów terminali zdecydowałeś się na n

datkowy serwer w infrastrukturze Usług Terminalow

onfigurować usługę Session Broker

ady dostępu do farmy Usług Terminalowych na p

polityk NPS

środowisko zgodnie z powyższymi krokami.

wania tych ćwiczeń w laboratorium, konieczne je

u zbudowania kompletnego środowiska.

Moduł IX

minalowe Windows Server 2008

blemu wydajności usług

ali w celu równoważenia

na następujące kroki:

lowych

na podstawie priorytetów

e jest wykorzystanie kilku

ITA-108 Technologie sieciowe

Marek Pyka

Moduł X

Wersja 1

Bezpieczeństwo infrastruktury

sieciowej

Spis treści

Bezpieczeństwo infrastruktury sieciowej ............................................................................................. 1

Informacje o module ............................................................................................................................ 2

Przygotowanie teoretyczne ................................................................................................................. 3

Przykładowy problem .................................................................................................................. 3

Podstawy teoretyczne.................................................................................................................. 3

Przykładowe rozwiązanie ........................................................................................................... 13

Porady praktyczne ..................................................................................................................... 14

Uwagi dla studenta .................................................................................................................... 14

Dodatkowe źródła informacji..................................................................................................... 15

Laboratorium podstawowe ................................................................................................................ 16

Problem 1 (czas realizacji 45 min) .............................................................................................. 16

Laboratorium rozszerzone 1 (Czas realizacji 90 min) ......................................................................... 19

Zadanie 1 (45 min) ..................................................................................................................... 19

Zadanie 2 (45 min) ..................................................................................................................... 19

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 2/19

Informacje o module

Opis modułu
W  ramach  niniejszego  modułu  zostaną  przedstawione  podstawowe
informacje  na  temat  zabezpieczania  infrastruktury  przed  atakami
teleinformatycznymi.  Poruszane  będą  aspekty  związane  z  działaniem
systemów Windows Firewall, wdrażaniem izolacji IPSec oraz mechanizmów
ochrony  dostępu  do  informacji  w  środowisku  sieciowym  Windows  Server
2008 na przykładzie Active Directory™ Rights Managment Services.

Cel modułu
Celem  modułu  jest  zaznajomienie  studentów  z  problematyką  budowania
bezpiecznej  infrastruktury  IT  oraz  przeciwdziałanie  najpopularniejszym
zagrożeniom  teleinformatycznym.  Po  ukończeniu  modułu  słuchacz
powinien  potrafić  chronić  dane  wrażliwe  w  oparciu  o  wielowarstwowy
model zabezpieczeń.

Uzyskane kompetencje
Po zrealizowaniu modułu będziesz:

• wiedział, w jaki sposób planować i wdrażać zabezpieczenia
• rozumiał rolę systemów firewall ochronie platformy Windows Server

2008

• potrafił przeciwdziałać atakom komputerowym tj. podszywanie,

podsłuch czy modyfikacja pakietów

• wiedział, w jaki sposób chronić informacje i kontrolować do niej

dostęp.

Wymagania wstępne
Przed przystąpieniem do pracy z tym modułem powinieneś:

•  znać podstawy działania protokołu TCP/IP
•  rozumieć zagrożenia, jakie niesie ze sobą sieć komputerowa
•  być zaznajomionym z modelem referencyjnym ISO/OSI
•  znać zasady pracy w środowisku Windows Server 2008

Mapa zależności modułu
Zgodnie z mapą zależności przedstawioną na Rys. 1, przed przystąpieniem
do realizacji tego modułu należy zapoznać się z materiałem zawartym
w module 1,2 i 7.

Rys. 1 Mapa zależności modułu

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 3/19

Przygotowanie teoretyczne

Przykładowy problem

Budowanie  bezpiecznych  rozwiązań  teleinformatycznych  nie  jest  możliwe  bez  warstwy
proceduralnej.  Przedsiębiorstwa,  które  uświadomiły  sobie  ten  fakt  rozpoczynają  prace  nad
zbudowaniem  i  wdrożeniem  dokumentu  polityki  bezpieczeństwa.  Zadaniem  tego  dokumentu  jest
unormowanie  aspektów  związanych  z  zabezpieczaniem  wytwarzanych,  przetwarzanych
i  magazynowanych  w  przedsiębiorstwach  danych.  Zgodnie  z  obowiązującymi  w  Polsce  aktami
prawnymi,  dokument  taki  budowany  jest  na  podstawie  PN  ISO/IEC  27001:2006  oraz  PN  ISO/IEC
27001.  Decyzja  taka  podejmowana  jest  przeważnie  w  wyniku  przeprowadzonego  auditu  bądź
klasyfikacji  danych.  Najczęściej  audity  bezpieczeństwa  wykazują,  że  wiele  z  informacji  wrażliwych
jest nie wystarczająco zabezpieczana i dostępna dla osób niepowołanych.
Pracując w dziale IT, jako administrator będziesz zobligowany do wdrażania technicznych środków
ochrony zgodnie z przyjętym dokumentem Polityki Bezpieczeństwa.
Twoim  zadaniem,  jako  członka  zespołu  IT,  jest  zaplanowanie wielowarstwowego modelu ochrony
informacji  oraz  przeprowadzenie  analizy  ryzyka  wystąpienia  nieautoryzowanego  dostępu  do  nich.
Niestety  w  normach,  na  których masz  się  oprzeć  podczas  projektu,  nie  omówiono,  w  jaki  sposób
należy  sklasyfikować  swoje  zasoby  i  określić  dla  nich  zagrożenia.  Dlatego  masz  w  swojej  pracy
wykorzystać  strategię  wielowarstwowej  ochrony  danych  „Defense  In  Depth”  (DiD).  Wynikiem
dokonanej  analizy  mają  być  wytyczne  do  wdrożenia  odpowiednich  środków  technicznych
i  organizacyjnych  mających  na  celu  zabezpieczenie  posiadanych  danych  przed  atakami  typu
podsłuch sieciowy, DoS, modyfikacja oraz nieautoryzowany dostęp osób trzecich.

Podstawy teoretyczne

Wielowarstwowa strategia zabezpieczeń „Defense in Depth”

Budowanie  bezpiecznej  i  wydajnej  infrastruktury  IT  przedsiębiorstwa  jest  związane
z  wykorzystywaniem  wielu  technicznych  i  organizacyjnych  środków  ochrony.  Pierwszym  krokiem
podczas  takiego  projektu  jest  przeprowadzenie  modelowania  infrastruktury  i  metodyczny  podział
na  obszary  podlegające  ochronie.  Przykładem  tego  typu  podejścia  jest  strategia  „Defense  in
Depth”,  która  zakłada  rozpatrywanie  ochrony  informacji  jako  wielowarstwowego  zbioru
zabezpieczeń  realizowanego  w  infrastrukturze  IT.  Idea  tej  strategii  oparta  jest  na  wojskowym
modelu  spowalniania  ataków  przez  budowania  wielu  warstw  obrony.  W  systemach
teleinformatycznych strategia ta została zdefiniowana zgodnie z Rys. 2.

Rys. 2 Wielowarstwowy model zabezpieczeń

W strategii „Defense in Depth” stosowane są następujące warstwy obrony:

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 4/19

• dane - Docelowy obiekt ataku (włącznie z bazami danych atakowanego użytkownika,

informacjami na temat usługi Active Directory, dokumentami itp.). W warstwie tej
stosowane są silne środki ochrony takie jak: kryptografia, listy ACL, kopie zapasowe oraz
Active Directory Rights Management Service.

• aplikacje - Oprogramowanie przetwarzające dane. Warstwa ta wymaga zastosowania

odpowiednich aplikacji antywirusowych oraz zapewnienia odpowiednich aktualizacji
oprogramowania.
jednostka centralna/host – Zabezpieczanie komputera na którym są przetwarzane
i składowane dane. Warstwa ta wymaga zapewnienia bezpieczeństwa systemu operacyjnego
poprzez aktualizacje systemu, modyfikacje rejestru, poprawną instalację.

• sieć wewnętrzna – Zapewnienie bezpiecznych kanałów komunikacyjnych w sieci

przedsiębiorstwa oraz wdrażanie mechanizmów odporności na ataki komputerowe.
Technologie związane z tą warstwą to głównie IPSec, izolacja serwerów i domen, systemy
firewall

• sieć graniczna – Warstwa odpowiadająca za ochronę styku sieci korporacyjnej z sieciami

publicznymi lub partnerskimi. W warstwie tej planowane jest wykorzystanie mechanizmów
VPN, kwarantanny, protokołów SSL i SSTP oraz usług federacyjnych

• ochrona fizyczna – Określenie fizycznych mechanizmów zabezpieczeń w dostępie do

infrastruktury. Planując ten poziom zabezpieczeń wykorzystywane są takie środki jak:
kamery, zamki cyfrowe, karty dostępu, strażnicy oraz inne mechanizmy zabezpieczeń
fizycznych tj. linki antykradzieżowe i alarmy

• bezpieczeństwo proceduralne – zbiór dokumentów, zasad i procedur dotyczących ochrony

informacji wrażliwych w przedsiębiorstwie. Atrybutami tej warstwy jest dokument Polityki
Bezpieczeństwa, zbiory procedur operacyjnych oraz polityka testów i auditów.

Stosowanie strategii wielowarstwowej umożliwia metodyczne podejście do planowania i wdrażania
ochrony danych w każdym z elementów systemu teleinformatycznego.

Bezpieczeństwo infrastruktury sieciowej

Wykorzystując infrastrukturę sieciową Windows Server 2008 możliwe jest przypisanie wielu w nim
dostępnych technologii do poszczególnych warstw strategii „Defense in Depth”. Poniżej
przedstawiono najważniejsze technologie związane z ochroną zasobów przedsiębiorstwa
zaimplementowane w nowej wersji serwera firmy Microsoft.

Ochrona danych – Active Directory Rights Management Service

Usługa  AD  RMS  jest  następcą  Windows  RMS,  który  był  opcjonalnym  komponentem  Windows
Server  2003.    Zadaniem  tej  usługi  jest  ochrona  informacji  zawartych  w  dokumentach,
korespondencji e-mail oraz stronach internetowych przed niepowołanym dostępem i ujawnieniem.
AD RMS pracuje w układzie klient serwer zgodnie z Rys. 3.

Rys. 3 Zasada działania usługi RMS

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 5/19

Proces ochrony informacji w oparciu o AD RMS przebiega następująco:

• autor chcąc zabezpieczyć dokument przy pomocy technologii RMS musi otrzymać certyfikat

klienta  usługi  z  serwera  RMS  –  1  (procedura  ta  jest  wykonywana  wyłącznie  za  pierwszym
razem, gdyż później certyfikat ten jest przechowywany bezpiecznie na komputerze klienta)
następnie  zabezpiecza  dokument  nadając  odpowiednie  uprawnienia.  Aplikacja  tworzy  tzw.
„Publish  License”  i  szyfruje  plik  –  2  (w  licencji  publikacji  zawarte  są  informacje
o uprawnieniach osób, które mają dostęp do pliku)

• kolejnym krokiem jest dystrybucja pliku – 3 (przesłanie pocztą, umieszczenie na serwerze

plików lub serwerze pracy grupowej)

• odbiorca podczas próby otwarcia pliku weryfikowane są uprawnienia do pliku oraz

wydawana jest przez serwer RMS licencja użytkownika – 4

• aplikacja odbiorcy wykorzystuje licencje użytkownika do otworzenia i odczytu pliku – 5.

Zastosowanie usługi AD RMS w przedsiębiorstwie umożliwia kontrolowanie dostępu do pliku oraz
określa zasady związane z wykorzystaniem informacji zawartych w tym pliku. Autor zabezpieczający
dokument może nadać wiele uprawnień, jak na przykład: uniemożliwić wydrukowanie dokumentu,
dokonywanie w nim zmian, przesyłanie dalej korespondencji e-mail czy też określenie w jakim dniu
dany dokument jest dostępny dla użytkowników.

Ochrona sieci wewnętrznych – Windows Firewall with Advanced Features

Windows Firewall with Advanced Security w systemach Windows Vista® i Windows Server® 2008 to
rozbudowana  zapora  sieciowa,  która  filtruje  przesyłane  pakiety  w  oparciu  o  reguły  ustalone
w  trakcie  jej konfiguracji. Aby  przeprowadzić  zaawansowaną  konfigurację  systemu  firewall  należy
użyć wtyczki Windows Firewall with Advanced Security, działającej w ramach programu Microsoft
Management  Control  (MMC).  Zapewnia  ona  interfejs,  pozwalający  konfigurować  zaporę  sieciową
Windows  Firewall  zarówno  na  lokalnych  komputerach,  jak  i  zdalnie,  z  wykorzystaniem  narzędzi
Group  Policy.  Ustawienia  zapory  są  zintegrowane  z  protokołem  IPsec,  dzięki  czemu  może  ona
regulować przepływ pakietów w oparciu o wyniki przeprowadzonych przez niego negocjacji.
Windows Firewall with Advanced Security obsługuje osobne profile komputerów przypisanych do
określonej domeny lub połączonych z prywatną albo publiczną siecią. Pozwala również definiować
reguły  umożliwiające  izolowanie  serwerów  i  domen.  Omawiana  aplikacja  daje  możliwość
stosowania bardziej szczegółowych reguł niż poprzednie wersje zapory sieciowej Windows Firewall.
Dotyczy  to  m.  in.  obsługi  użytkowników  i  grup  w  ramach  usługi  Active  Directory,  określania
adresów  źródła  i  celu  w  protokole  Internet  Protocol  (IP),  definiowania  numerów  IP  portów  oraz
ustawień ICMP i IPsec, korzystania z różnych typów interfejsów i usług oraz wielu innych.

Nowe funkcje programu Windows Firewall

• Integracja z protokołem IPsec

W  konsoli  Windows  Firewall  with  Advanced  Security  filtrowanie  pakietów  oraz
konfigurowanie  reguł  protokołu  IPsec  są  zintegrowane.  Aby  skonfigurować  protokół  IPsec
na  komputerach  działających  pod  wcześniejszymi  wersjami  systemu  Windows,  należy  się
posłużyć wtyczką IPsec Policy Management.

• Rozbudowane możliwości uwierzytelnionego obejścia

Dzięki  uwierzytelnianiu  w  ramach  protokołu  IPsec  możemy  skonfigurować  reguły
uwierzytelnionego  obejścia  dla  wybranych  komputerów  tak,  aby  mogły  one  pomijać  inne
reguły  zdefiniowane  w  aplikacji  Windows  Firewall  with  Advanced  Security.  Umożliwia  to
ograniczanie określonych rodzajów komunikacji do wybranych komputerów. W systemach
Windows  Vista  i  Windows  Server  2008  program  Windows  Firewall  pozwala  definiować
bardziej  szczegółowe  reguły  uwierzytelnionego  obejścia.  Dzięki  nim  administrator  może
wybrać porty, programy, komputery oraz grupy komputerów, które mogą uzyskać dostęp
do określonych zasobów.

• Ograniczenia Windows Service Hardening

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 6/19

Windows  Service  Hardening  zapobiega  wykorzystywaniu  krytycznych  usług  systemu
w  atakach  na  system  plików,  rejestr  oraz  sieć.  Aktywność  zdefiniowana  w  regułach
sieciowych  Windows  Service  Hardening  jako  odbiegająca  od  normy  jest  natychmiast
blokowana.  Jeśli  dana  usługa  zostanie  wykorzystana  do  uruchomienia  szkodliwego  kodu,
mechanizm uniemożliwia jej wysyłanie i otrzymywanie pakietów przez niedozwolone porty
sieciowe. Zmniejsza to wpływ szkodliwego kodu na system.

• Bardziej szczegółowe reguły

Domyślnie  Windows  Firewall  obsługuje  zarówno  połączenia  wychodzące,  jak
i  przychodzące.  Domyślny  profil  zakłada  blokowanie  większości  połączeń  przychodzących
i zezwalanie na połączenia wychodzące. Interfejs aplikacji Windows Firewall with Advanced
Security  można  wykorzystać  do  skonfigurowania  reguł  dla  obu  wymienionych  typów
połączeń. Program obsługuje również filtrowanie wszystkich numerów protokołów Internet
Assigned  Numbers  Authority  (IANA),  podczas  gdy  jego  poprzednie  wersje  obsługiwały
jedynie  protokoły  UDP,  TCP  oraz  ICMP.  Windows  Firewall  with  Advanced  Security
umożliwia  skonfigurowanie  kont  i  grup  Active  Directory,  nazw  aplikacji,  protokołów:  TCP,
UDP,  ICMPv4  i  ICMPv6,  lokalnych  i  zdalnych  adresów  IP,  typów  interfejsów,  jak  również
typu protokołu ICPM i mechanizmów filtrowania kodu.

• Filtrowanie pakietów wychodzących

Aplikacja Windows Firewall umożliwia filtrowanie zarówno pakietów przychodzących, jak i
wychodzących. Pozwala to administratorom wyznaczyć aplikacje, które mogą przesyłać
dane do sieci, dzięki czemu łatwo osiągnąć zgodność z ustaloną strategią bezpieczeństwa
organizacji.

• Profile uwzględniające aplikacje

Możemy opracować różne reguły i ustawienia dla poniższych profili zapory sieciowej:

Profil domeny. Wykorzystywany, gdy komputer jest połączony z domeną Active Directory,

której jest członkiem. Profil ten jest aktywny, gdy wszystkie interfejsy mogą nawiązać
połączenie z kontrolerem domeny.

Profil prywatny. Wykorzystywany, gdy komputer jest podłączony do prywatnej sieci,

chronionej przez bramę lub router. Sieć może być przypisana do tej kategorii wyłącznie
przez użytkownika o uprawnieniach administratora.

Profil publiczny. Ten profil stosuje się, gdy komputer jest podłączony bezpośrednio do nowej

sieci w miejscu publicznym. Profil publiczny jest aktywowany, jeśli maszyna ma dostęp do
przynajmniej jednej sieci publicznej o niezdefiniowanych połączeniach.

• Obsługa użytkowników, komputerów i grup Active Directory

Możliwe  jest  tworzenie  reguł  filtrujących  połączenia  w  oparciu  o  dane  użytkowników,
komputerów  oraz  grup  w  ramach  usługi  Active  Directory.  W  przypadku  tych  reguł
połączenie  musi  być  zabezpieczone  z  użyciem  protokołu  IPsec  wykorzystującego
mechanizm uwierzytelniania, uwzględniający informacje o koncie Active Directory
(na przykład Kerberos V5).

• Obsługa protokołu IPv6

Windows Firewall with Advanced Security w pełni obsługuje rdzenne protokoły IPv6, od
IPv6 do IPv4 (od 6 do 4) oraz nową metodę NAT dla protokołu IPv6 noszącą nazwę Teredo.

Reguły Windows Firewall

Wbudowany w Windows Vista firewall posługuje się regułami określającymi, czy przesłanie
określonych danych jest dozwolone czy nie. Definicja taka dotyczyć może aplikacji, portów,
adresów itd. Zasadę budowania reguł na systemach firewall przedstawia rysunek 4.

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 7/19

Rys. 4 Zasada budowy reguł dla systemów Firewall

Firewall w Windows Vista nie zwraca uwagi na kolejność reguł na liście. Określenie przynależności
reguł oraz ich przetwarzana realizowane jest zgodnie z tabelą 1.
Tab. 1 Określenia przynależności reguł

Numer
reguły

Typ reguły

Opis

Windows Service Hardening

Ten  typ  reguły  blokuje  nawiązywanie  połączeń  przez  usługi.
Ograniczenia  są  wbudowane  w  system,  przez  co  usługi  Windows
Services  mogą  się  ze  sobą  komunikować  tylko  na  wybrane  sposoby
(tylko z wykorzystaniem określonych portów). Przesyłanie pakietów jest
blokowane  do  momentu  zdefiniowania  odpowiednich  reguł  zapory.
Niezależni  twórcy  oprogramowania  mogą  wykorzystać  publiczne
interfejsy API Windows Service Hardening we własnych usługach.

Reguły zabezpieczania połączenia

Te reguły określają, kiedy i w jaki sposób komputery przeprowadzają
uwierzytelnianie w ramach protokołu IPsec. Reguły ochrony połączenia
są wykorzystywane w trakcie izolowania domeny i serwera oraz
podczas wykorzystywania platformy NAP (Network Access Protection).

Reguły uwierzytelnionego obejścia

Te  reguły  umożliwiają  nawiązanie  połączenia  między  określonymi
komputerami,  o  ile  jest  ono  chronione  przez  protokół  IPsec,  bez
względu  na zasady zdefiniowane w pozostałych regułach wejściowych.
Wskazane  komputery  mogą  obchodzić  reguły  wejściowe,  blokujące
przesyłane  pakiety.  Jako  przykłady  podać  można  skanery  wyszukujące
słabe  punkty  w  systemie  oraz  aplikacje  skanujące  inne  programy,
komputery oraz sieci w poszukiwaniu luk w bezpieczeństwie.

Reguły blokowania

Reguły tego rodzaju blokują określony rodzaj przysyłanych lub
wysyłanych pakietów.

Reguły dopuszczania

Reguły tego rodzaju dopuszczają określony rodzaj przysyłanych lub
wysyłanych pakietów.

Reguły domyślne

Reguły domyślne definiują działania podejmowane w sytuacji, która nie
jest zdefiniowana w regułach wyższego rzędu. Domyślnie system
blokuje połączenia przychodzące i dopuszcza połączenia wychodzące.

Ochrona sieci wewnętrznych – Izolacja serwerów i domen

W sieci opartej na systemie Microsoft Windows możliwe jest logiczne izolowanie zasobów serwera
i domeny w celu ograniczenia dostępu do uwierzytelnionych i autoryzowanych komputerów.
Przykładowo można utworzyć sieć logiczną wewnątrz istniejącej sieci fizycznej, w której komputery
współdzielą zbiór wymagań dla bezpiecznej komunikacji. Każdy komputer w tej logicznie izolowanej
sieci musi udostępni poświadczenia uwierzytelniania innym komputerom w sieci izolowanej w celu
ustanowienia łączności. Rysunek 5 przedstawia ideę wykorzystania izolacji w przedsiębiorstwie.

Rys. 5 Idea izolacji domeny

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 8/19

Wprowadzenie  izolacji  uniemożliwi  osobom  niepowołanym  dostęp  do  zasobów  przedsiębiorstwa
nawet  gdy  otrzymają  one  dostęp  fizyczny  do  infrastruktury.  Żądania  wysyłane  od  komputerów
niebędących  częścią  sieci  izolowanej  są  ignorowane.  Izolacja  serwera  i  domeny  może  pomóc
w ochronie określonych danych oraz serwerów o wysokiej wartości, jak również chronić komputery
zarządzane przed niezarządzanymi lub nieautoryzowanymi komputerami i użytkownikami.
Do ochrony sieci mogą zostać wykorzystane dwa typy izolacji:

• Izolacja serwera. W scenariuszu izolacji serwera określone serwery są konfigurowane tak,

aby zasady protokołu IPsec akceptowały uwierzytelnioną komunikację pochodzącą od innych
komputerów. Przykładowo serwer bazy danych może zostać tak skonfigurowany,
aby akceptował wyłącznie połączenia pochodzące od serwera aplikacji sieci Web.

• Izolacja domeny. W celu odizolowania domeny wykorzystuje się uczestnictwo w domenie

usługi  katalogowej  Active  Directory  w  celu  zagwarantowania,  że  komputery  należące  do
domeny będą akceptowały wyłącznie uwierzytelnioną i bezpieczną komunikację pochodzącą
od  innych  komputerów  należących  do  domeny.  Sieć  izolowana  składa  się  wyłącznie
z komputerów należących do domeny. Izolacja domeny wykorzystuje zasady protokołu IPsec
w celu zapewnienia ochrony dla ruchu przesyłanego pomiędzy uczestnikami domeny,
w tym wszystkich klientów i serwerów.

Ochrona sieci wewnętrznych – Network Access Protection

Ochrona  dostępu  do  sieci  jest  platformą  wymuszania  zasad  wbudowaną  w  systemy  operacyjne
Windows  Vista,  Microsoft  Windows  XP  i  Windows  Server  2008,  która  umożliwia  lepszą  ochronę
zasobów  sieciowych  dzięki  wymuszeniu  zgodności  z  wymaganiami  dotyczącymi  kondycji  systemu.
Korzystając z ochrony dostępu do sieci, można tworzyć niestandardowe zasady dotyczące kondycji
w  celu  sprawdzenia  kondycji  komputera  przed  zezwoleniem  mu  na  dostęp  lub  komunikację,
automatycznie  aktualizować  zgodne  komputery  w  celu  zachowania  zgodności  oraz  opcjonalnie
przypisywać  niezgodne  komputery  do  ograniczonej  sieci  do  chwili,  gdy  zostanie  zapewniona  ich
zgodność. Aby sprawdzić dostęp do sieci na podstawie kondycji systemu, infrastruktura sieci musi
zapewniać następujące funkcje:

sprawdzanie zasad dotyczących kondycji: ustalanie, czy komputery są zgodne
z wymaganiami zasad dotyczących kondycji

• ograniczanie dostępu do sieci: ograniczanie dostępu dla niezgodnych komputerów
• automatycznie korygowanie: dostarczanie niezbędnych aktualizacji zapewniających

zgodność komputerów
zachowanie

zgodności:

automatyczne

aktualizowanie

zgodnych

komputerów

z uwzględnieniem bieżących zmian wymagań zasad dotyczących kondycji.

Zasada działania mechanizmu NAP została przedstawiona na rysunku 6.

Rys. 6 Schemat działania usługi NAP

Przedstawione na rysunku etapy komunikacji klienta z serwerami NAP mają następujące znaczenie:

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 9/19

•  klient przesyła żądanie dostępu do infrastruktury – 1
•  stan komputera przesyłany jest do serwera NPS – 2
•  NPS weryfikuje poprawność polityk – 3
•  jeżeli klient spełnia założenia polityk, kierowany jest do sieci przedsiębiorstwa – 4
•  w  przypadku  stwierdzenia  niezgodności  klienta  z  politykami  jest  on  automatycznie

przekazywany do sieci z ograniczonym dostępem gdzie dostęp mają serwery naprawiające,
które dokonają skanowania, aktualizacji komputera klienta – 5.

Architektura serwerów NAP

Infrastruktura serwerów NAP jest oparta w głównej mierze o platformę Windows Server 2008 choć
możliwe aby niektóre z serwerów korygujących były pod kontrolą Windows Server 2003.
Architektura platformy NAP jest realizowana na dwóch typach serwerów: NAP i NPS,
i przedstawiono ją na rysunku 7.

Rys. 7 Architektura serwerów NAP

Jak  pokazano  na  rys.  7,  w  infrastrukturze  NAP  występuje  warstwa  serwerowych  komponentów
wymuszających  NAP  ES  (Network  Access  Protection  Enforcement  Server).  Każdy  z  tych
komponentów  obsługuje  inny  rodzaj  komunikacji,  np.  komponent  NAP  ES  VPN  (Network  Access
Protection Enforcement Server VPN) obsługuje dostęp do intranetu przez prywatne sieci wirtualne.
Serwery  wymuszające  NAP  ES  są  dopasowane  do  określonych  rodzajów  klientów  wymuszających
NAP  EC  (Network  Access Protection  Enforcement  Client),  na  przykład  NAP ES  DHCP współpracuje
z NAP EC DHCP.
Gdy  stan  kondycji  klienta  NAP  jest  weryfikowany  w  oparciu  o  raporty  kondycji,  serwery
wymuszające  NAP  ES  uzyskują  listę  wchodzących  w  grę  certyfikatów  od  odpowiednich  klientów
wymuszających  NAP  EC,  po  czym  przekazują  ją  do  serwera  NPS  w  formie  komunikatu  RADIUS
Access-Request. Jak pokazano na rys. 6, serwer NPS zbudowany jest z następujących elementów:

• NPS (Network Protection Server): odbiera komunikaty RADIUS Access-Request o kondycji

komputerów i przekazuje je do serwera administracyjnego NAP.
Komponent administracyjny NAP: obsługuje komunikację między serwerem NPS
a modułami sprawdzania kondycji.

• Warstwa modułów sprawdzania kondycji (System Health Validator -SHV): każdy moduł

sprawdzania kondycji zajmuje się innymi wymogami bezpieczeństwa (np. weryfikator
sygnatur wirusów lub weryfikator aktualizacji systemu operacyjnego). Poszczególne moduły
sprawdzania mogą być dopasowane do konkretnych serwerów bezpieczeństwa.

• Interfejs programistyczny API modułów sprawdzania kondycji: zestaw wywołań funkcji,

umożliwiający modułom sprawdzania kondycji, rejestrację w komponencie administracyjnym
NAP, odbieranie raportów o kondycji z tego serwera oraz przekazywanie informacji

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 10/19

z serwerów korygujących do odpowiednich agentów systemu klientów NAP.

Opisana powyżej infrastruktura zakłada istnienie wielu serwerów NAP i NPS, jednakże najczęściej
stosuje się połączoną konfigurację serwera NAP z NPS.
Architektura platformy NAP składa się z następujących części składowych:

• trzech komponentów po stronie klienta: warstwy agentów kondycji systemu, agenta NAP,

warstwy klientów wymuszających NAP EC,

• czterech komponenty po stronie serwera: warstwy modułów sprawdzania kondycji,

komponentu administracyjnego NAP, serwera zasad NPS, warstwy serwerowych
komponentów wymuszających NAP ES,

• serwerów bezpieczeństwa,
• serwerów korygujących.

Serwer wymuszający NAP ES
Serwery wymuszające NAP ES (Enforcement Server) przekazują informację o stanie kondycji klienta
NAP do serwera NPS w celu porównania z aktualnie obowiązującymi wymogami bezpieczeństwa
i na ich podstawie decydują o dostępie do sieci klienta.
W system Windows Server 2008 wbudowano następujące komponenty NAP ES:

• IPsec NAP ES ingerujący w komunikację IPsec. W przypadku tej komunikacji serwer HCS

przekazuje informacje o kondycji klienta NAP do serwera NPS.
VPN  NAP  ES  ingerujący  w  komunikację  przez  sieci  wirtualne  VPN.  Ta  nowa  funkcjonalność
w  grupie  Routing  and  Remote  Access  wykorzystuje  komunikaty  protokołu  EAP  (Extensible
Authentication  Protocol)  osadzone  w  komunikatach  RADIUS  (PEAP-TLV)  w  celu  przesłania
informacji  o  stanie  kondycji  klienta  NAP  do  serwera  NPS.  Wymuszanie  VPN  polega
na filtrowaniu pakietów IP.

• Komponent DHCP NAP ES ingerujący w przydzielanie adresów IP przez serwery DHCP.

Taka funkcjonalność serwera DHCP wykorzystuje do komunikacji z klienckimi komponentami
wymuszającymi DHCP NAP EC standardowe komunikaty DHCP. Wymuszanie DHCP polega na
odpowiednim zastosowaniu opcji serwera DHCP.

W  przypadku  uwierzytelniania  w  przełączniku  lub  bezprzewodowym  punkcie  dostępu  do  sieci
802.1X,  nowa  funkcjonalność  wykorzystuje  komunikaty  PEAP-TLV  do  komunikacji  serwera  NPS
z  klientem  NAP.  Wymuszanie  802.1X  polega  na  filtrowaniu  pakietów  IP  albo  na  tworzeniu
wirtualnych sieci LAN.
Komponent administracyjny NAP
Komponent administracyjny NAP świadczy następujące usługi:

• odbiera raporty o kondycji od poszczególnych serwerowych komponentów wymuszających

NAP ES (przez serwer NPS),

• przekazuje raporty o kondycji odpowiednim modułom sprawdzania kondycji,
• gromadzi odpowiedzi SoHR (System of Health Response) wystawione przez poszczególne

moduły sprawdzania kondycji i przekazuje je do serwera NPS dla wypracowania sumarycznej
oceny kondycji klienta.

Serwer NPS
RADIUS  to  opisany  w  dokumentach  RFC  2865  i  RFC  2866  protokół  szeroko  stosowany  do
centralnego  uwierzytelniania,  autoryzacji  i  kontroli  dostępu  do  sieci.  Pierwotnie  opracowany  na
użytek  dostępu  telefonicznego,  obecnie  jest  stosowany  przez  bezprzewodowe  punkty  dostępu,
uwierzytelniające  przełączniki  Ethernetowe,  serwery  VPN,  serwery  DSL  (Digital  Subscriber  Line)
oraz inne serwery dostępu do sieci.
Serwer  NPS  to  wbudowany  w  system  Windows  Server  2008  serwer  RADIUS  i  proxy.  Zastępuje
znane  z  serwera  Windows  Server  2003  usługi  IAS  (Internet  Authentication  Service).  Na  użytek
platformy NAP serwer NPS został poszerzony o komponent administracyjny NAP, obsługę interfejsu
programistycznego  modułów  sprawdzania  kondycji  oraz  opcje  konfigurowania  dostępu  do  sieci
zgodnie z prowadzoną polityką bezpieczeństwa.
Moduły sprawdzania kondycji

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 11/19

Moduł  sprawdzania  kondycji  otrzymuje  z  komponentu  administracyjnego  NAP  raport  o  kondycji
klienta  NAP  i  sprawdza,  czy  stan  tego  klienta  odpowiada  wymogom  bezpieczeństwa.  Odpowiedzi
SoHR wystawione przez moduły sprawdzania kondycji i przekazane zwrotnie do agentów kondycji
systemu  klientów  NAP  informują,  co  należy  zrobić,  aby  klient  uzyskał  zgodność  z  wymogami
bezpieczeństwa.  Na  przykład  odpowiedź  SoHR  wysłana  przez  weryfikator  antywirusowy  mogłaby
poinstruować agenta antywirusowego, aby zażądał najnowszej wersji pliku sygnatur wirusowych
z serwera aktualizacji sygnatur antywirusowych.

Architektura NAP po stronie klienta

Klient NAP jest oprogramowaniem integralnym systemów Windows Vista i Windows Server 2008
oraz został wprowadzony do systemów Windows XP Professional wraz z Service Pack 3.
Architektura oprogramowania klienckiego została przedstawiona na rysunku 8.

Rys. 8 Architektura klienta NAP

W skład architektury platformy NAP po stronie klienta wchodzą:

• Warstwa klientów wymuszania ochrony dostępu do sieci (NAP EC)

Poszczególni  klienci  NAP  EC  (Network  Access  Protection  Enforcement  Client)  obsługują
osobne typy komunikacji lub sposoby uzyskiwania dostępu do sieci; np, klient wymuszający
VPN.  Zazwyczaj  klient  NAP  EC  jest  dopasowany  do  określonego  typu  serwera  NAP.  Na
przykład  klient  DHCP  NAP  EC  został  zaprojektowany  do  współpracy  z  serwerem  NAP,
kontrolującym  zgodność  z  wymogami  bezpieczeństwa  klientów  zgłaszających  żądanie
o sieciowy adres IP do serwera DHCP. Niektórzy klienci wymuszania ochrony dostępu NAP EC
są  dostarczani  razem  z  platformą  NAP,  ale  niezależni  dostawcy  oprogramowania  mogą
tworzyć własne rozwiązania.

• Warstwa agentów kondycji systemu (SHA )

Poszczególni  agenci  systemu,  obsługują  określone  aspekty  kondycji  systemu,  np.  agent
kondycji  systemu  służy  do  sprawdzania  sygnatur  antywirusowych,  agent  kondycji  systemu
służy  do  weryfikowania  aktualizacji  systemu  operacyjnego.  Agenci  kondycji  systemu  mogą
być  dopasowani  do  określonych  serwerów  korygujących,  ale  nie  muszą  komunikować  się
z tymi serwerami. Agent kondycji systemu mógłby wybiórczo sprawdzać lokalne ustawienia
systemowe  w  celu  upewnienia  się,  że  na  hoście  nie  dokonano  modyfikacji  konfiguracji.
W  systemach  Windows  Vista  i  Windows  Server  2008,  wbudowani  są  agenci  kondycji
systemu,  pełniący  rolę  modułów  sprawdzania  o  nazwie  Windows  Security  Health  Validator
(SHV). Agenci kondycji systemu platformy Network Access Protection mogą być dostarczani
zarówno przez firmę Microsoft, jak i przez niezależnych dostawców.

• Agent NAP

Monitoruje kondycję klienta NAP i usprawnia komunikację pomiędzy klientami NAP EC
a agentami kondycji systemu.

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 12/19

• Interfejs programistyczny NAP SHA API

Zestaw,  umożliwiających  agentom  systemu  rejestrację  w  agencie  NAP  danego  klienta,
sygnalizowanie  kondycji  klienta,  odpowiadanie  na  zadawane  pytania,  a  z  drugiej  strony
umożliwiający  agentom  NAP  przekazywanie  do  agentów  kondycji  systemu  instrukcji
otrzymanych z serwerów korygujących.

• Interfejs programistyczny NAP EC API

Zestaw, umożliwiających klientom NAP EC rejestrację w agencie NAP danego klienta,
wysyłanie pytań o kondycję klienta oraz przekazywanie do agentów NAP instrukcji
otrzymanych z serwerów korygujących.

W  celu  wykazania  stanu  określonego  aspektu  kondycji  klienta  (np.  stan  oprogramowania
antywirusowego  zainstalowanego  na  kliencie  czy  stan  aktualizacji  systemu  operacyjnego),  agenci
kondycji systemu tworzą raporty o kondycji (Statement of Health, SoH ), a następnie przekazują je
do  agenta  NAP  tego  klienta.  Za  każdym  razem,  gdy  jakiś  aspekt  kondycji  klienta  ulegnie  zmianie,
odpowiedni agent kondycji systemu tworzy nowy raport o kondycji, przesyłając go do agenta NAP
tego klienta. Całościowy obraz kondycji klienta jest budowany przez agenta NAP w oparciu o listę
raportów o kondycji.

Klient wymuszania ochrony dostępu do sieci

Klient  NAP  EC  żąda  dostępu  do  sieci  w  określonym  zakresie,  przekazuje  informację  o  kondycji
swego klienta NAP do odpowiedniego punktu wymuszania ochrony dostępu do sieci oraz informuje
o  statusie  dostępu  klienta  (ograniczony  bądź  nieograniczony)  do  innych  klienckich  komponentów
architektury  platformy  NAP.  Systemy  operacyjne  Windows  Vista  i  Windows  Server  2008
dostarczane są z następującymi klientami NAP EC:

•  IPsec NAP EC (komunikacja wykorzystująca protokół IPsec),
•  EAPHost NAP EC (komunikacja wykorzystująca uwierzytelnianie 802.1X),
•  VPN NAP EC (komunikacja wykorzystująca kanały VPN),
•  DHCP NAP EC (komunikacja wykorzystująca adresację DHCP IPv4).

Agent kondycji systemu

Agent  kondycji  systemu  aktualizuje  stan  kondycji  swego  klienta  i  publikuje  jego  status  w  postaci
raportu przesłanego do agenta NAP tego klienta. Raport o kondycji zawiera informacje,
na  podstawie,  których  serwer  NPS  sprawdza,  czy  klient  spełnia  aktualnie  obowiązujące  wymogi
bezpieczeństwa.  Agenci  kondycji  systemu  są  dostosowani  do  modułów  sprawdzania  kondycji
systemu (System Health Validator, SHV), pracujących po serwerowej stronie platformy NAP.
Jeśli  któryś  z  elementów  stanu  zdrowia  klienta  nie  odpowiada  wymogom  bezpieczeństwa,  dany
moduł  SHV  wystawia  odpowiedź  System  of  Health  Response  (SoHR)  z  instrukcjami  korygującymi,
przekazywaną  zwrotnie  do  agenta  kondycji  systemu  za  pośrednictwem  agenta  NAP  i  klienta  NAP
EC.  Instrukcje  te  informują  agenta  kondycji  systemu  o  tym,  co  należy  zrobić,  aby  doprowadzić
danego klienta do stanu zgodności z wymogami bezpieczeństwa.

Agent NAP

Agent NAP świadczy następujące usługi:

odbiera raporty kondycji od poszczególnych agentów kondycji systemu i gromadzi je
w pamięci podręcznej. Bufor tej pamięci jest aktualizowany zawsze, gdy któryś z agentów
kondycji systemu dostarczy nowy lub zaktualizowany raport kondycji

• na żądania komponentów wymuszających NAP EC dostarcza bieżącą listę raportów kondycji
• przekazuje agentom kondycji systemu informacje, po każdej zmianie statusu dostępu klienta

do sieci

• gromadzi informacje o kondycji klienta oraz statusie określanym przez poszczególnych

agentów kondycji systemu

• przekazuje odpowiedzi SoHR z serwera do agentów kondycji systemu.

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 13/19

Podsumowanie

Rozdział  te  był  poświęcony  zasadom  planowania  i  wdrażania  strategii  wielowarstwowej  ochrony
infrastruktury.  Przybliżone  zostały  technologie  zaimplementowane  w  Windows  Server  2008
związane  z  budowaniem  bezpiecznych  rozwiązań  dla  sieci  przedsiębiorstw.  Po  zapoznaniu  się
z treścią modułu powinieneś wiedzieć jak działają i do czego mogą być wykorzystywane technologie
takie  jak  NAP,  Izolacja  IPSec  czy  AD  RMS.  Wiedza  zdobyta  w  tym  module  pomoże  Ci  na  dobór
odpowiednich środków ochrony danych na wielu obszarów infrastruktury sieciowej.

Przykładowe rozwiązanie

Zgodnie  ze  statystykami,  ponad  70%  ataków  realizowana  jest  wewnątrz  infrastruktury  sieciowej
przedsiębiorstwa.  Skłania  to  administratorów  przedsiębiorstw  do  podjęcia  działań  na  rzecz
minimalizacji podatności infrastruktury na ataki typu: modyfikacja, SYNC Flood czy Smurf. Kolejnym
wyzwaniem  dla  administratorów  jest  sprawne  zarządzanie  oprogramowaniem  firewall  na  dużej
ilości komputerów lub tez komputerami pracującymi w oddziałach zdalnych.
Stosując mechanizmy Zasad Grup (GPO) możliwe jest scentralizowanie i zautomatyzowanie zadań
związanych z zarządzaniem oprogramowaniem Windows Firewall with Advanced Features w całej
organizacji.
Bardzo często jako administrator będziesz musiał(a) ograniczać użytkownikom dostęp do pewnych
usług  czy  stron  internetowych.  Przykładem  aplikacji,  które  bardzo  często  są  blokowane  przez
administratorów to komunikatory tj. Gadu-Gadu oraz klienci torrent tj. BitTorrent itp.
Zablokować dostęp aplikacji Gadu-Gadu do serwerów w sieci Internet

Zadanie

Tok postępowania

Uruchomienie

interfejsu Windows
Firewall with
Advanced Features

•  Zalogować się na komputerze ITA-SRV01 jako Administrator.
•  Kliknij Start i wybierz Control Panel.
•  Kliknij System and Maintenancei wybierz Administrative Tools.
•  Uruchom konsolę mmc Windows Firewall with Advanced Security.

Przeglądanie

reguł wychodzących

• W lewym oknie zadań wy bierz Outbound rules.

Tworzenie nowej

reguły wychodzącej
dla aplikacji Gadu-
Gadu

•  W drzewie Actions wybierz New Rule.
•  Na stronie typu reguły Rule Type, kliknij Custom-> Next.
•  Na

stronie

Program

polu

This program

path

wpisz

%ProgramFiles%\Gadu-Gadu\gg.exe, i kliknij Next.

• Podczas wyboru protokołu na stronie Protocol and Ports, z listy

protokołów wybierz TCP.

• W sekcji Local port upewnij się, że jest zaznaczona opcja All Ports .
• W oknie definicji portów Remote port kliknij Specific Ports, i

wprowadź 8074.

• Kliknij Next.

Tworzenie listy

adresów IP dla
których
ograniczenia mają
zadziałać

• Na stronie Scope w sekcji Which local IP addresses does this rule

match, upewnij się że jest zaznaczona opcja All IP Addresses.

• W sekcji Which remote IP addresses does this rule match kliknij

These IP Adresses -> Add.

• W oknie podręcznym IP Address zaznacz This IP address or subnet i

wprowadź 91.197.13.0/26, i kliknij OK. To jest pierwsza grupa
adresów IP dla serwerów Gadu-Gadu.

• Analogicznie wprowadź zakres adresów IP: 217.17.41.86 -

217.17.45.147

• Kliknij Next.

Określenie akcji

• Na stronie Action zaznacz pole Block the connection i kliknij Next.

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 14/19

dla tworzonej reguły

• W oknie Profile kliknij Next aby zaimplementować regułę dla

wszystkich profili.

• Nadaj regule nazwę Block Gadu-Gadu i kliknij Finish. Reguła powinna

pojawić się na początku listy.

Testowanie

reguły

• Zainstaluj aplikację Gadu-Gadu.
• Sprawdź czy może komunikować się z zablokowanymi serwerami

próbując założyć nowe konto i zalogować się do niego.

• Dezaktywuj regułę Block Gadu-Gadu i ponów test.

Porady praktyczne

Uwagi ogólne

• Pamiętaj, że stosowanie oprogramowania typu Firewall oraz oprogramowania

antywirusowego umożliwi Ci uniknąć większości ataków realizowanych przez kod złośliwy.

• W środowisku rozproszonym wdrażaj wyłącznie mechanizmy zabezpieczeń umożliwiające

zdalną kontrolę i zarządzanie.

• Nie można budować bezpieczeństwa środowiska bez świadomości zagrożeń użytkowników.
• Pamiętaj, żeby zebrać swój własny zestaw narzędzi do testowania i zabezpieczania

infrastruktury.

• Zadbaj o to aby w organizacji powstał dokument polityki bezpieczeństwa i zadbaj o jego

wdrożenie i utrzymanie.

• Pamiętaj, że technologia nie jest panaceum!

Windows Firewall with Advanced Features

•  Stosuj systemy Firewall na każdym poziomie infrastruktury.
•  Naucz się logiki działania reguł w systemach, które stosujesz.
•  Wykorzystując systemy firewall w modelu n-warstwowym stosuj różnorodność rozwiązań.
•  W szkielecie sieci stosuj firewall z identyfikacją użytkowników.
•  Wykorzystuj  oprogramowanie  firewall  na  stacjach  klienckich  umożliwiające  centralne

zarządzanie i konfigurację.

Active Directory Rights Management Service

•  Ochrona informacji wrażliwych jest podstawowym zadaniem administratora.
•  W ochronie informacji stosuj zabezpieczenia warstwowo: ACL, EFS lub RMS.
•  Wypracuj mechanizmy ochrony kluczy i certyfikatów.
•  W  organizacji  wykorzystującej  oddziały  zdalne  utrzymanie  poufności  danych  jest  zadaniem

trudnym – zautomatyzuj je!

Network Access Protection

• W infrastrukturze wykorzystującej kontrolę dostępu wykorzystaj przynajmniej jeden

samodzielny serwer NPS, który wykorzystywać mogą inne usługi tj. usługi terminalowe.

• NAP jest najbardziej skuteczny przy połączeniu z izolacją IPSec wykorzystującą certyfikaty.
• Wykorzystując sieci bezprzewodowe w organizacji stosuj platformę NAP do izolowania

dostępu do krytycznych serwerów.

• Zgodność z systemem NAP firmy Microsoft posiadają systemy CISCO – NAC oraz niektóre

platformy systemów Linux jak np. Linux RedHat.

Uwagi dla studenta

Jesteś przygotowany do realizacji laboratorium jeśli:

• jesteś zaznajomiony z oprogramowanie Windows Firewall with Advanced Features
• znasz zasady tworzenia i działania reguł na systemach firewall

Marek Pyka

Moduł X

ITA-108 Technologie sieciowe

Omówienie i analiza TCP/IP

Strona 15/19

•  rozumiesz jak planować wielowarstwowy model zabezpieczeń
•  znasz zasady działania protokołu IPSec
•  rozumiesz mechanizm kwarantanny dla sieci LAN, WAN, WLAN
•  zapoznałeś się z infrastrukturą serwerową dla platformy NAP i AD RMS.

Dodatkowe źródła informacji

http://technet.microsoft.com/en-us/library/cc748991.aspx

Zbiór informacji na temat wdrażania oprogramowania Windows Firewall with Advanced
Features.

http://www.securityfocus.com

Zbiór artykułów ekspertów na tematy bezpieczeństwa w tym też na temat różnego rodzaju
systemów firewall

Karol Krysiak, Sieci komputerowe. Kompendium, Helion 2003

Bardzo dobry podręcznik ogólnej wiedzy o sieciach komputerowych.

Mark Sportack, Sieci komputerowe. Księga eksperta, Helion 2004

5. Jesper M. Johansson, Windows Server® 2008 Security Resource Kit, MS Press 2008

Podstawowa pozycja literaturowa związana z bezpieczeństwem rozwiązań Windows Server
2008

6. http://technet.microsoft.com/en-us/library/cc753531.aspx

Zbiór informacji na temat wdrażania usługi AD RMS w przedsiębiorstwie.

7. http://technet.microsoft.com/en-us/network/bb545651.aspx

Bardzo obszerny opis działania mechanizmów izolacji IPSec w sieciach przedsiębiorstw.

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium podsta

Problem 1 (czas realizacj

Organizacja  ITA  posiada  infr
serwerów. Wszystkie kompu
na  specyfikę  działania  orga
skorzystać  z  Internetu.  W  z
decyzja o wdrożeniu mechan
serwerowych  oraz  stacji
mechanizmów  izolacji  dome
którym  możliwe  będzie  sp
środowiska testowego został

Rys.

Do wykonania ćwic
oprogramowania nma

Zadanie

Testowanie

komunikacji

Przeprowadzenie

skanowania portów z
komputera gościa

Strona 16/19

stawowe

acji 45 min)

infrastrukturę sieciową złożoną z kilkudziesięciu s

putery klienckie jaki i serwery są członkami domen

organizacji wielu jej klientów podłącza swoje ko

W związku z rosnącą ilością incydentów bezpiecze

chanizmów uniemożliwiających komputerom gości
cji klienckich organizacji. W tym celu zdecyd

omenowej Windows Server 2008 i zbudowaniu śro

sprawdzenie skuteczności wybranej metody za
stał przedstawiony na rysunku 9.

Rys. 9 Schemat środowiska testowego dla izolacji domenowej

wiczenia konieczne będzie zainstalowanie na

nmap, które znajduje się na płytce studenckiej w kat

Tok postępowania

Domyślnie izolacja domenowa nie jes
zarówno komputery członkowskie jak i k

komunikować się ze sobą.

• Na komputerze ITA-CL01 wybierz Menu

Uruchom.

• W oknie dialogowym wpisz \\ITA-DC01, i klik

Powinny wyświetlić się zasoby udostępn
domeny

Przed

przystąpieniem

tego

oprogramowania nmap

• Na komputerze ITA-CL02 wybierz Menu

Uruchom.

•  W oknie dialogowym wpisz polecenie cmd, i k
•  Przejdź do katalogu z zainstalowanym skaner
•  Wprowadź

polecenie

nmap

-O

p22,53,135,137,445

• Zapoznaj się z wynikiem uzyskanym z

skanowania.

• Przeprowadź skanowanie portów innych kom

Sprawne skanowanie umożliwia uzyskanie
niezbędnych do przeprowadzenia ataku te

Moduł X

Omówienie i analiza TCP/IP

ciu stacji klienckich i kilku

meny ITA.local. Ze względy

komputery do sieci aby

eczeństwa została podjęta

ści na dostęp do zasobów

cydowano o wdrożeniu

środowiska testowego w

y zabezpieczeń. Schemat

na komputerze ITA-CL02

katalogu aplikacje.

jest wdrożona, dlatego

i komputery gości mogą

Start menu, i kliknij

kliknij OK.

ępnione na kontrolerze

ćwiczenia

zainstaluj

Start menu, i kliknij

, i kliknij OK.

nerem portów Nmap

–sS

10.10.0.50

–

z przeprowadzonego

komputerów w sieci.

anie wszelkich informacji

u teleinformatycznego.

Marek Pyka
ITA-108 Technologie sieciowe

Konfiguracja

polityki domenowej
dla Windows Firewall

Stworzenie

domyślnej reguły
dla domeny

Stworzenie reguły

bezpieczeństwa
wymagającej
autentykacji ruchu

Strona 17/19

Każde  skanowanie  portów  detektowane
Firewall,  czy  możliwe  jest  przeskanowani
nie zostało to zauważone?
Jakie  ustawienia  oprogramowania  Fire
rekonesans wykonywany programami klas

• Zaloguj się do komputera ITA-DC01 jako adm
• W Start Menu wpisz w Start Search polecenie

enter.

• W oknie Group Policy Management, przejd

Policy.

• Zaznacz Default Domain Policy, a następnie z
• W Group Policy Object Editor prze

Configuration/Windows Settings/Security
Windows Firewall with Advanced Security.

• Zaznacz Windows Firewall with Adv

LDAP://<DN>, w sekcji Overview, klikni
Properties.

• W oknie dialogowym Windows Firewall wit

na zakładce Domain Profile wprowadź po
Settings klikając Customize.

Setting

Values

Firewall State

On (recommen

Inbound connections

Block (default)

Outbound connections

Allow (default)

• W oknie dialogowym Customize Settings fo

w Rule Merging, Apply local firewall rules
local connections security rules, kliknij No, a

• Kliknij OK aby zamknąć okno dialogowe W

Advanced Security – LDAP://<DN>

• Używając Group Policy Object Editor, p

Firewall with Advanced Security – LDAP://<
Rules.

• W menu Action kliknij New Rule.
• Stwórz nową Inbound Rule z poniższymi para

Setting

Values

Rule Type

Custom

Program

All programs

Protocol and

Ports

Any

Scope

Any

Action

Allow the connection

Profile

Domain only

Name

Allow all traffic

• Używając Group Policy Object Editor, p

Firewall with Advanced Security – LD
Connection Security Rules.

• W menu Action kliknij New Rule.

Moduł X

Omówienie i analiza TCP/IP

ane jest przez systemy

anie tak komputera aby

Firewall mogą utrudnić

klasy Nmap?

administrator

enie GPMC.MSC i naciśnij

zejdź do Default Domain

nie z menu Action -> Edit.

przejdź

Computer

rity Settings, i rozwiń

Advanced

Security

–

liknij Windows Firewall

l with Advanced Security

poniższe ustawienia dla

mmended)

efault)

s for the Domain Profile,

les, zaznacz No, w Apply

, a następnie OK.

Windows Firewall with

, przejdź do Windows

://<DN> i kliknij Inbound

parametrami:

, przejdź do Windows

LDAP://<DN> i kliknij

Marek Pyka
ITA-108 Technologie sieciowe

przychodzącego

Odświerzenie

polityk
domenowych

Weryfikacja

działania izolacji

Testowanie

bezpieczeństwa
komputerów w
domenie

Strona 18/19

• Stwórz nową Connection Security Rule z pon

Setting

Values

Rule Type

Isolation

Requirements

Request authentication for

and outbound connect

Authentication

Method

Default (Kerberos)

Profile

Domain only

Name

Request connection securi

Aby przyspieszyć odświeżenie polityk wart
gpupdate, gdyż procedura ta może osiągną

•  Na komputerze ITA-DC01 w Start menu otwó
•  W oknie dialogowym wpisz gpupdate.exe /fo
•  Na komputerze ITA-CL01 w Start menu otwó
•  W oknie dialogowym wpisz gpupdate.exe /fo
•  Zaloguj się na komputerze ITA-CL01
•  W Start menu, kliknij Run.
•  W oknie dialogowym wpisz \\ITA-DC01, i klik
•  W Start menu, uruchom Run i wpisz poleceni
•  W konsoli mmc kliknij File->Add/Remove Sna
•  Wybierz  przystawkę  IPSec  Monitor  kliknij

dodawania przystawek.

• W konsoli IPSec Monitor rozwiń Qui

Security Associations.
Zobacz, że zostało ustanowione połączenie
ITA-DC01

•  Zamknij konsolę
•  Zaloguj się na komputerze ITA-CL02
•  Wykonaj skanowanie portów za pomocą Nma
•  Uruchom  Microsoft  Network  Monitor  i  p

komunikacji TCP/UDP

Jakie informacje można uzyskać z przech
dlaczego?

Moduł X

Omówienie i analiza TCP/IP

poniższymi parametrami:

on for inbound

nnections

security

warto jest użyć polecenia

gnąć nawet 90 min.

twórz okno Run

/force i naciśnij Enter.

twórz okno Run

/force i naciśnij Enter.

kliknij OK.

cenie mmc

Snap-in…

knij Add i zamknij okno

Quick Mode, i wybierz

nie IPSec z komputerem

Nmap.

i przechwyć 20 ramek

zechwyconych pakietów i

Marek Pyka
ITA-108 Technologie sieciowe

Laboratorium rozszer

Zadanie 1 (45 min)

Miesiąc  po  wdrożeniu  iz
z  nieautoryzowanym  dostę
pokazały, że technologia moż
Przeprowadzony  projekt  um
dostęp osób trzecich do dany
podniesionego przez audyto
wykorzystaniem  informacji  w
niewdrożone są mechanizmy
Na  przykład,  skąd  wiemy, że
kontrahentów? Czy aby na p
zabezpiecza przed wyciekiem
Aby  odpowiedzieć  na  te  i
poszukiwania  rozwiązań
Przeglądając  dostępne  rozw
Windows  Server  2008,  a  m
tym,  iż  dysponujesz  takową
środowisko  testowe  wybrał
Windows Vista z zainstalowa
Office  2007.  W  ramach  te
korespondencję e-mail oraz w

Materiały dotyczące in
płycie studenckiej w ka

Zadanie 2 (45 min)

Pełen  euforii  po  ostatnich
rzeczywistość dopadła cię w
gotowa na większość ataków
W  piątek  wrócił  kierownik
klientach  na  całym  świecie
drukarek,  powodowane  b
kierownikiem  dział  wsparcia
niewystarczającej  świadom
administratora zainfekował k
Zaraz  po  podłączeniu  syste
trojańskich.  Na  szczęście  pr
starszych  komputerów  im  u
sposobami  zapobiegania  ta
związanych  z  izolacją  jak  i
przekonać  kolegów  do  zb
podjęliście decyzję o integra
projekt  a  Twoim  zadaniem
w  przedsiębiorstwie.  Do  teg
stację kliencką.

Materiały dotyczące in
studenckiej w katalogu

Strona 19/19

szerzone 1 (Czas realizacji 90 min)

izolacji IPSec w przedsiębiorstwie, ilość inc

ostępem do zasobów zmalała praktycznie do ze

oże być bardzo pomocna w automatyzacji zabezp

t umożliwił zabezpieczenie kanałów komunikacyjn

danych firmowych. Wdrożone technologie nie rozwi

ytora, który podkreślał, iż w przedsiębiorstwie nie m

cji wrażliwej przez pracowników. Zgodnie z prawd

izmy kontrolujące, co użytkownicy robią z danymi, d

y, że osoby trzecie nie mają dostępu do danych tj.

na pewno nadanie dostępu do pliku na podstawie c

kiem danych? A co jeżeli osoba, która ma dostęp do
e i wiele innych pytań związanych z wyciekiem i

ń technologicznych mogących rozwiać wszys

związania kontroli treści Twoją uwagę przykuła

a mianowicie Active Directory Rights Management

ową infrastrukturą, wdrożenie nie powinno przysp

brałeś kontroler domeny z Windows Server 2008

lowanym klientem AD RMS, który jest integralną czę

testów przeprowadzisz instalację usługi AD RM

raz wymianę dokumentów pakietu Office pomiędzy

e instalacji uslugi AD RMS dla tego i innych scena

katalogu Materiały.

ich dwóch projektach dotyczących bezpieczeństwa

ię w poprzedni piątek. Infrastruktura zabezpieczeń,

ków, lecz pojawiła się luka, której nie przewidziałeś.
nik działu Marketing, który przebywał na dwu m

iecie. Już na początku wyjazdu zgłaszał problemy

brakiem wystarczających uprawnień. W por

rcia technicznego udzielił mu pełnego dostępu do

omości zagrożeń, użytkownik pracując na ko

ał komputer przenośny, który w piątek został podłą

systemy wykrywania naruszeń wykryły działanie

e przeprowadzane przez nie ataki były dobrze zn

m uległa. Po tym incydencie zaczęliście zastanawi

a takim sytuacjom. W związku z tym, iż pracow

k i usługami RMS, poznałeś pobieżnie funkcję NA
zbudowania środowiska kwarantanny dla siec

gracji usług NAP z mechanizmem izolacji domenow

iem jest wykonanie infrastruktury NAP z wykorzy
tego celu masz wykorzystać kontroler domeny, se

e instalacji uslugi NAP dla tego i innych scenariuszy

logu Materiały.

Moduł X

Omówienie i analiza TCP/IP

incydentów związanych

zera. Osiągnięte wyniki

ezpieczania infrastruktury.

cyjnych oraz uniemożliwił

związały jednak problemu

nie ma żadnej kontroli nad

wdą, w przedsiębiorstwie
i, do których mają dostęp.

tj. bilans, lista płac, dane

ie członkostwa w grupach

do tych danych je ujawni?

m informacji, rozpocząłeś

szystkie te wątpliwości.

kuła nowa funkcjonalność

ent Service. W związku z

rzysparzać kłopotów. Jako

2008 oraz stację kliencką

częścią pakietu Microsoft

RMS oraz zabezpieczysz

dzy Kają i Bob’em.

cenariuszy znajdują się na

stwa infrastruktury, szara
eń, którą zbudowałeś była
łeś.

u miesięcznym tourne po
lemy, z instalacją obcych

porozumieniu z Twoim

do komputera. W wyniku

koncie z uprawnieniami
odłączony do Twojej sieci.

nie kilku robaków i koni

znane, więc tylko część

awiać się w dziale IT nad

acowałeś przy projektach

NAP i NPS. Udało Ci się

sieci LAN. Równocześnie

nowej. Rozpoczął się nowy

orzystaniem izolacji IPSec

, serwer członkowski oraz

uszy znajdują się na płycie