Администрирование в информационных системах

Размещено на http://www.allbest.ru/

Администрирование в ИС



Обслуживание жестких дисков. Типы дисков, разделов, томов. Файловые системы FAT и NTFS

Диск -- физическое устройство внешней памяти, например жесткий диск, 3,5-дюймовая дискета или компакт-диск (CD-ROM).Диск делится на секторы, блоки фиксированного размера. Размер сектора определяется аппаратно. Например, размер сектора жесткого диска во всех современных х86-системах составляет 512 байт или 4096

Раздел (partition) -- набор непрерывных секторов на диске. Адрес начального сектора раздела, размер и другие характеристики раздела хранятся в таблице разделов или иной базе данных управления диском.

Простой том (simple volume) -- объект, представляющий секторы одного раздела, которым драйверы файловых систем управляют как единым целым.

Составной том (multipartition volume) -- объект, представляющий секторы нескольких разделов, которыми драйверы файловых систем управляют как единым целым.

Устройство жесткого диска

Жесткий диск (НDD - Hard Disk Drive) устроен следующим образом: на шпинделе, соединенным с электромотором, расположен блок из нескольких дисков (блинов), над поверхностью которых находятся головки для чтения/записи информации. Форма головкам придается в виде крыла и крепятся они на серпообразный поводок. При работе они "летят" над поверхностью дисков в воздушном потоке, который создается при вращении этих же дисков. Очевидно, что подъемная сила зависит от давления воздуха на головки. Оно же, в свою очередь, зависит от внешнего атмосферного давления. Поэтому некоторые производители указывают в спецификации на свои устройства предельный потолок эксплуатации (например, 3000 м). Ну чем не самолет? Диск разбит на дорожки (или треки), которые в свою очередь поделены на сектора. Две дорожки, равноудаленные от центра, но расположенные по разные стороны диска, называются цилиндрами.

Хранение информации

Жесткий диск, как и всякое другое блочное устройство, хранит информацию фиксированными порциями, которые называются блоками. Блок является наименьшей порцией данных, имеющей уникальный адрес на жестком диске. Для того чтобы прочесть или записать нужную информацию в нужное место, необходимо представить адрес блока в качестве параметра команды, выдаваемой контроллеру жесткого диска. Размер блока уже довольно с давних пор является стандартным для всех жестких дисков - 512 байт.

К сожалению, достаточно часто происходит путаница между такими понятиями как "сектор", "кластер" и "блок". Фактически, между "блоком" и "сектором" разницы нет. Правда, одно понятие логическое, а второе топологическое. "Кластер" - это несколько секторов, рассматриваемых операционной системой как одно целое. Почему не отказались от простой работы с секторами? Отвечу. Переход к кластерам произошел потому, что размер таблицы FAT был ограничен, а размер диска увеличивался. В случае FAT16 для диска объемом 512 Мб кластер будет составлять 8 Кб, до 1 Гб - 16 Кб, до 2 Гб - 32 Кб и так далее.

Для того чтобы однозначно адресовать блок данных, необходимо указать все три числа (номер цилиндра, номер сектора на дорожке, номер головки). Такой способ адресации диска был широко распространен и получил впоследствии обозначение аббревиатурой CHS (cylinder, head, sector). Именно этот способ был первоначально реализован в BIOS, поэтому впоследствии возникли ограничения, связанные с ним. Дело в том, что BIOS определил разрядную сетку адресов на 63 сектора, 1024 цилиндра и 255 головок. Однако развитие жестких дисков в то время ограничилось использованием лишь 16 головок в связи со сложностью изготовления. Отсюда появилось первое ограничение на максимально допустимую для адресации емкость жесткого диска: 1024*16*63*512 = 504Mb.

Со временем, производители стали делать HDD большего размера. Соответственно число цилиндров на них превысило 1024, максимально допустимое число цилиндров (с точки зрения старых BIOS). Однако, адресуемая часть диска продолжала равняться 504 Мбайтам, при условии, что обращение к диску велось средствами BIOS. Это ограничение со временем было снято введением так называемого механизма трансляции адресов, о котором чуть ниже.

Проблемы, возникшие с ограниченностью BIOS по части физической геометрии дисков, привели в конце концов к появлению нового способа адресации блоков на диске. Этот способ довольно прост. Блоки на диске описываются одним параметром - линейным адресом блока. Адресация диска линейно получила аббревиатуру LBA (logical block addressing). Линейный адрес блока однозначно связан с его CHS адресом:

lba = (cyl*HEADS + head)*SECTORS + (sector-1);

Введение поддержки линейной адресации в контроллеры жестких дисков дало возможность BIOS'aм заняться трансляцией адресов. Суть этого метода состоит в том, что если в приведенной выше формуле увеличить параметр HEADS, то потребуется меньше цилиндров, чтобы адресовать то же самое количество блоков диска. Но зато потребуется больше головок. Однако головок-то как раз использовалось всего 16 из 255. Поэтому BIOS'ы стали переводить избыточные цилиндры в головки, уменьшая число одних и увеличивая число других. Это позволило им использовать разрядную сетку головок целиком. Это отодвинуло границу адресуемого BIOS'ом дискового пространства до 8Gb.

Нельзя не сказать несколько слов и о Large Mode. Этот режим работы предназначен для работы жестких дисков объемом до 1 Гб. В Large Mode количество логических головок увеличивается до 32, а количество логических цилиндров уменьшается вдвое. При этом обращения к логическим головкам 0..F транслируются в четные физические цилиндры, а обращения к головкам 10..1F - в нечетные. Винчестер, размеченный в режиме LBA, несовместим с режимом Large, и наоборот.

Дальнейшее увеличение адресуемых объемов диска с использованием прежних сервисов BIOS стало принципиально невозможным. Действительно, все параметры задействованы по максимальной "планке" (63 сектора, 1024 цилиндра и 255 головок). Тогда был разработан новый расширенный интерфейс BIOS, учитывающий возможность очень больших адресов блоков. Однако этот интерфейс уже не совместим с прежним, вследствие чего старые операционные системы, такие как DOS, которые пользуются старыми интерфейсами BIOS, не смогли и не смогут переступить границы в 8GB. Практически все современные системы уже не пользуются BIOS'ом, а используют собственные драйвера для работы с дисками. Поэтому данное ограничение на них не распространяется. Но следует понимать, что прежде чем система сможет использовать собственный драйвер, она должна как минимум его загрузить. Поэтому на этапе начальной загрузки любая система вынуждена пользоваться BIOS'ом. Это и вызывает ограничения на размещение многих систем за пределами 8GB, они не могут оттуда загружаться, но могут читать и писать информацию (например, DOS который работает с диском через BIOS).

Настройка жесткого диска: При настройке свободного пространства на жестком диске надо: инициализировать диск, создать разделы или тома, отформатировать диск

Типы дисков: Диски бывают базовые и динамические

Базовый диск: Диск делится на разделы (partition) -- части, функционирующие как физически отдельные устройства хранения данных. Win2k03 поддерживает два типа разделов: основной и дополнительный. Максимальное количество разделов всегда равно 4, при этом только один раздел может быть дополнительным



Win2k03 использует основные разделы для запуска компьютера. Один из основных разделов должен быть помечен как активный.

Активный раздел (active partition) хранит загрузочные файлы и применяется для запуска ОС. В каждый момент времени только один основной раздел на одном жестком диске может быть активным.

Системный раздел (system partition) Win2k03 (или системный том) -- это активный раздел, содержащий файлы для загрузки ОС.

Загрузочный раздел (boot partition) Win2k03 -- это основной раздел или логический диск, на котором установлены файлы ОС. Загрузочный и системный разделы могут занимать один раздел. Впрочем, системный раздел должен находиться на активном разделе (обычно это диск С:), тогда как загрузочный раздел может располагаться на другом основном или дополнительном разделе.

Дополнительный раздел (extended partition) может быть создан из оставшейся части свободного места. На жестком диске может быть только один дополнительный раздел, поэтому оптимально задействовать все оставшееся свободное место для создания дополнительного раздела. В отличие от основных, дополнительный раздел можно не форматировать и не обозначать буквой алфавита. Дополнительный раздел разбивается на сегменты -- логические диски. Вы должны дать имя логическому диску и отформатировать его с помощью одной из файловых систем. Количество логических дисков ограничивается буквами латинского алфавита.

Типы томов для динамических дисков: Базовый диск можно модернизировать до динамического и затем создать тома Win2k03. Отказоустойчивость (fault tolerance) -- это способность компьютера или ОС обойтись без потерь данных в случае сбоя.

Типы томов:

Простой том (simple volume) -- это дисковое пространство на одном жестком диске. Простой том может занимать несколько областей (до 32) на одном диске. Отказоустойчивости он не обеспечивает. Данные в нем еще более уязвимы, поскольку чем больше размер простого тома, тем выше вероятность потери информации из-за отказа любого из его разделов

Составной том (spanned volume) включает в себя пространство нескольких дисков (до 32). При записи данных на составной том Win2k03 полностью заполняет сначала первый диск, затем второй и делает то же со всеми дисками в томе. Составной том отказоустойчивым не является. Поломка одного из дисков влечет потерю данных всего тома.

Зеркальный том (mirrored volume) (RAID1) состоит из двух одинаковых копий простого тома, каждая из которых находится на отдельном жестком диске. Зеркальные тома повышают отказоустойчивость при сбое жесткого диска.

Чередующийся том (striped volume), или RAID-0, объединяет области свободного пространства нескольких дисков (до 32) в один логический том. При работе с чередующимся томом Win2k03 оптимизирует выполнение, записывая данные на диски равномерно. Если сломается один из дисков чередующегося тома, теряются данные всего тома. Поэтому, как простые и составные тома, том RAID-0 отказоустойчивости не обеспечивает.

Том RAID5. Отказоустойчив. Win2k03 добавляет блоки контрольных сумм на каждый диск тома; Эти блоки позволяют восстановить данные тома при отказе какого-либо жесткого диска. Создание тома RAID-5 требует минимум 3 жестких дисков

Том RAID10: зеркалированный массив, который записывается последовательно на несколько дисков, как RAID 0.

Файловые системы: Файловая система (ФС) - часть любой операционной системы, которая отвечает за организацию хранения и доступа к информации на каких-либо носителях. В широком смысле файловая система включает: совокупность всех файлов на диске, наборы служебных структур данных, используемых для управления файлами, такие как, например, каталоги файлов, дескрипторы файлов, таблицы распределения свободного и занятого пространства на диске, комплекс системных программных средств, реализующих управление файлами, в частности операции по созданию, уничтожению, чтению, записи, именованию файлов, установке атрибутов и уровней доступа, поиску и т.д.

Файловая система FAT: Файловая система FAT (File Allocation Table) была разработана Биллом Гейтсом и Марком Макдональдом в 1977 году.

Сейчас существуют три типа файловой системы FAT:

FAT12 - поддерживает очень небольшие объемы дисков, поэтому сейчас она применяется только на дискетах.

FAT16 - используется на винчестерах и поддерживает диски объемом до 2 Гб, поэтому сейчас данная файловая система практически не используется.

FAT32 - теоретически поддерживаются диски объемом до 2 Тб. Поддерживается, начиная с операционной системы Windows 95 OSR2. Данная файловая система сейчас достаточно популярна, хотя в последние годы многие пользователи Windows XP предпочитают использовать NTFS (New Technology File System).

Структура



- Загрузочный сектор

В начале раздела диска с файловой системой FAT располагается загрузочный сектор. Он необходим для начальной загрузки компьютера. Так же в нем располагается информация о параметрах данного раздела.

- Таблица размещения файлов (File Allocation Table)

Вся область данных диска разделена на кластеры - блоки, размер которых задается при форматировании диска. На дискете, например, размер кластера равен 512-ти байтам. А на современных винчестерах с объемом диска более 32 Гб размер кластера равен 32 Кб. Каждый файл и каталог занимает один или несколько кластеров. Таким образом, образуются цепочки кластеров.

В таблице размещения файлов каждый кластер помечается специальным образом. Размер метки в битах для каждого кластера указывается в названии файловой системы. Т.е. для файловой системы FAT16 размер метки будет равен 16-ти байтам, для FAT32 - 32-м и т.д.

Всего существует три типа меток для кластеров:

Свободный кластер - кластер, в который будут записываться новые файлы и каталоги.

Занятый кластер - в метке указывается следующий кластер в цепочке. Если цепочка кластеров заканчивается, то кластер помечается особой меткой.

BAD-блок - кластер с ошибками доступа. Помечается при форматировании диска, что бы исключить в последующем доступ к нему.

Повреждение таблицы размещения файлов полностью уничтожает структуру файловой системы, поэтому на диске всегда хранится две копии таблицы.

- Корневой каталог

Область диска, в котором располагается информация о корневом каталоге. Размер ее ограничен, поэтому в корневом каталоге диска может находиться не более 512-ти файлов и подкаталогов.

- Область данных

Оставшаяся часть раздела, на которой размещается содержимое файлов и каталогов.

Недостатки системы FAT:

Файловая система FAT всегда заполняет свободное место на диске последовательно от начала к концу->фрагментация

Производительность сильно зависит от количества файлов, хранящихся в одном каталоге(имеет линейную неупорядоченную структуру, и имена файлов в каталогах идут в порядке их создания)

Преимущества других файловых систем становятся заметны только при использовании их на носителях объемом более 100 Мб

Сравнение файловых систем:

FAT16	FAT32
Реализована и используется большинством операционных систем (MS-DOS, Windows 95/98/Me, Windows 2000 и Windows XP, OS/2, UNIX).	На данный момент поддерживается только в Windows 95/98/Me, Windows 2000 и Windows XP.
Очень эффективна для логических дисков размером менее 256 Мбайт.	Не работает с дисками объемом менее 512 Мбайт.
Поддерживает сжатие дисков, например по алгоритму DriveSpace.	Не поддерживает сжатие дисков.
Обрабатывает максимум 65 525 кластеров, размер которых зависит от объема логического диска. Так как максимальный размер кластеров равен 32 Кбайт, FAT16 может работать с логическими дисками объемом не более 2 Гбайт.	Способна работать с логическими дисками объемом до 2 048 Гбайт при максимальном размере кластеров в 32 Кбайт.
Чем больше размер логического диска, тем меньше эффективность хранения файлов в FAT'16-системе, так как увеличивается и размер кластеров. Пространство для файлов выделяется кластерами, и поэтому при максимальном объеме логического диска файл размером 10 Кбайт потребует 32 Кбайт, а 22 Кбайт дискового пространства пропадет впустую.	На логических дисках объемом менее 8 Гбайт размер кластеров составляет 4 Кбайт.

Файловая система NTFS: разрабатывалась Microsoft в начале 1990 х гг. как основная файловая система для серверных версий операционных систем Windows. NTFS была представлена в 1993 году в операционной системе Windows NT 3.1.

В настоящее время NTFS рассматривается в качестве предпочтительной файловой системы как для серверных, так и для клиентских версий Windows.

В NTFS используются 64 разрядные идентификаторы кластеров, поэтому теоретически том NTFS может содержать 264 кластеров (16 ЭБ3 ). Однако текущие реализации в Windows поддерживают только 32 разрядную адресацию кластеров, что при размере кластера максимум 64 КБ (216 байт) позволяет NTFS тому достигать размера до 256 ТБ:

232 * 216 байт = 248 байт = 28 * 240 байт = 256 ТБ.

Для томов, больших 4 ГБ, при форматировании Windows предлагает размер кластера по умолчанию 4 КБ.

Некоторые возможности NTFS :

восстанавливаемость (recoverability) - способность файловой системы возвращаться к работоспособному состоянию после возникновения сбоя. Реализуется такая возможность, во первых, за счет поддержки атомарных транзакций, во вторых, за счет избыточности хранения информации. Атомарная транзакция (atomic transaction) - операция с файловой системой, приводящая к её изменению, которая либо полностью успешно выполняется, либо не выполняется вообще (т. е. в случае сбоя во время атомарной транзакции все изменения откатываются). Избыточность используется при хранении важнейших данных файловой системы, критически необходимых для её корректной работы;

безопасность (security) - защищенность файлов от несанкционированного доступа. Реализуется при помощи модели безопасности Windows, рассмотренной в лекции 9 "Безопасность в Windows";

шифрование (encryption) - преобразование файла в зашифрованный код, который невозможно прочесть без ключа. Обычные механизмы безопасности, такие как назначение прав доступа пользователей к файлам, не обеспечивают полной защиты информации, например, в случае перемещения диска на другой компьютер. Администратор операционной системы всегда может получить доступ к файлам других пользователей, даже на томе NTFS. Поэтому в NTFS включена поддержка шифрующей файловой системы EFS (Encrypting File System), которая позволяет легко зашифровывать и расшифровывать файлы;

поддержка RAID (Redundant Array of Inexpensive (Independent) Disks - массив недорогих (независимых) дисков с избыточностью) - возможность использования для хранения информации нескольких дисков; данные с одного диска автоматически копируются на другие, обеспечивая тем самым повышенную надежность;

дисковые квоты для пользователей (Per-User Volume Quotas) - возможность выделения для каждого пользователя определенного пространства на диске (квоты); NTFS не позволяет пользователю записывать данные на диск сверх выделенной квоты.

Структура тома NTFS :

В начале тома находится загрузочная запись тома (Volume Boot Record), в которой содержится код загрузки Windows, информация о томе (в частности, тип файловой системы), адреса системных файлов ($Mft и $MftMirr - см. далее). Загрузочная запись занимает обычно 8 КБ (16 первых секторов).

В определенной области тома (адрес начала этой области указывается в загрузочной записи) расположена основная системная структура NTFS - главная таблица файлов (Master File Table, MFT). В записях этой таблицы содержится вся информация о расположении файлов на томе, а небольшие файлы хранятся прямо в записях MFT.

Важной особенностью NTFS является то, что вся информация, как пользовательская, так и системная, хранится в виде файлов. Имена системных файлов начинаются со знака "$". Например, загрузочная запись тома содержится в файле $Boot, а главная таблицафайлов - в файле $Mft. Такая организация информации позволяет единообразно работать как с пользовательскими, так и с системными данными на томе.

Поскольку MFT является важнейшей системной структурой, к которой при операциях с томом наиболее часто происходят обращения, выгодно хранить файл $Mft в непрерывной области логического диска, чтобы избежать его фрагментации (размещения в разных областях диска), и, следовательно, повысить скорость работы с ним. С этой целью при форматировании тома выделяется непрерывная область, называемая зоной MFT (MFT Zone). По мере увеличения главной таблицы файлов, файл $Mft расширяется, занимая зарезервированное место в зоне.

Остальное место на томе NTFS отводится под файлы - системные и пользовательские.

Основными преимуществами файловой системы NTFS являются ее защищенность от несанкционированного доступа. В этой файловой системе отсутствуют ограничения на размер файлов и каталогов. Так же ее особенность является журналирование - запись всех операций перед их выполнением в специальный журнал. В случае, если во время выполнения операций с файловой системой произойдет сбой (зависание операционной системы, отключение электричества и т.п.), то она на основе записей в журнале сможет вернуть себя в прежнее состояние. Однако, в случае серьезного сбоя восстановить информацию будет очень сложно, подчас невозможно. Причиной тому является отсутствие официальной документации файловой системы от Microsoft. Так же недостатком NTFS является несовместимость со старыми версиями операционных систем (Windows 95, 98).

Безопасность файловых систем. Общие папки, NTFS и EFS

Разрешения (permissions) на доступ к файлам и папкам делятся на Общие папки и NTFS Общие папки: Предоставляют доступ к ресурсам других компьютеров в сети. Имея разрешение, пользователь может подключиться к общей папке и получить доступ к ее содержимому. В Windows Explorer (Проводник) под общей папкой изображена рука.

Характеристики разрешений доступа к общим папкам:

разрешения распространяются только на папки, но не на конкретные файлы, поэтому разрешения доступа к общим папкам -- менее строгая мера защиты, чем разрешения NTFS;

разрешения не распространяются на локальных пользователей -- только на тех, кто обращается к общей папке по сети;

назначение разрешений для общих папок -- единственный способ защитить сетевые ресурсы в файловой системе FAT; разрешения NTFS недоступны на разделах FAT;

по умолчанию группа Everyone (Все) получает для общей папки разрешения Full Control (Полный доступ).

Виды разрешений:

Разрешение	Описание
Read (Чтение)	Просматривать имена папок, имена, содержание и атрибуты файлов, выполнять файлы и обходить дерево каталога в пределах общей папки
Change (Изменить)	Пользователи могут создавать папки и файлы, добавлять и изменять данные в файлах, изменять атрибуты файлов, удалять файлы и папки, а также выполнять действия, предусмотренные разрешением Read.
Full Control (Полный доступ)	Пользователи могут изменять права доступа к файлам и владельцев файлов, а также выполнять действия, предусмотренные разрешением Change.



Накопление разрешений для общего ресурса: Разрешения имеют свойство накапливаться. К примеру, если пользователь входит в группу с уровнем доступа Read (Чтение) и в тоже время является членом группы с уровнем доступа Change (Изменение), его итоговым уровнем доступа будет разрешение на чтение и изменение общего ресурса. Поскольку разрешение Change включает в себя разрешение Read, фактическим уровнем доступа пользователя будет уровень доступа Change.

Перемещение и копирование папок: При перемещении папки все связанные с ней ресурсы общего доступа удаляются, так что на новом месте папка уже не будет является общей. При копировании папки ее копия теряет свойства общего ресурса, а вот исходная папка по-прежнему остается доступной.

Право доступа: Предоставлять доступ к папке для совместной работы могут члены заранее определенных групп: Administrators (Администраторы), Server Operators (Операторы сервера) и Power Users (Опытные пользователи). На рядовом сервере домена члены групп Administrators и Server Operators могут предоставить общий доступ к любой папке в сети. На изолированном компьютере правом предоставления доступа к папке для совместной работы обладает только администратор, а также члены группы Power Users и локальной группы Administrators. Рабочие группы не имеют таких гибких возможностей. Только члены локальной группы Administrators и группы Power Users могут предоставить общий доступ к папке. (Если вы являетесь владельцем папки, то всегда можете сделать ее общим ресурсом. Помните, что администратор может стать владельцем любой папки.)

Скрытые ресурсы общего доступа: Одно из весьма полезных свойств операционной системы Windows заключается в возможности скрывать ресурсы общего доступа. Это в некоторой степени решает проблему видимости общих ресурсов даже теми пользователями, которые не имеют к ним доступа. Несмотря на то что технология частичного сокрытия общего ресурса достаточно сложна и, возможно, даже обременительна для операционной системы, она того стоит, так как позволяет предоставлять доступ к ценным сведениям только тем пользователям, которым это необходимо для выполнения своих непосредственных обязанностей. Для того чтобы скрыть общий ресурс, достаточно прибавить к его имени знак доллара ($). Вы сможете подключиться к данному ресурсу, однако его имя не будет отображаться в списке просмотра (так как в списке просмотра не отображаются общие ресурсы, чье имя заканчивается знаком доллара). Чтобы подключиться к скрытому общему ресурсу, следует воспользоваться диалоговым окном Run (Запуск программы)

Административные общие папки: С$, D$, E$... Корень каждого тома на жестком диске. Сетевым именем является буква диска со знаком доллара ($) на конце. Подключаясь к такой папке, Вы получаете доступ ко всему тому. Эти папки предназначены для выполнения административных задач, для чего группе Administrators предоставляются разрешения Full Control (Полный доступ). Съемные устройства, например CD-ROM, скрытыми общими папками не являются. Admin$ Системная папка, по умолчанию C:\Winnt, предназначена для управления Windows с удаленного компьютера, при этом администратор может не знать, в какую папку установлена ОС. Доступ к этой папке могут получить только члены группы Administrators с разрешением Full Control. Print$ При установке первого сетевого принтера папка %systemroot%\System32\Spool\Drivers, где находятся драйверы принтеров, становится общей. Группы Administrators, Server Operators и Print Operators (Операторы печати) обладают разрешениями Full Control. Группа Everyone (Все) обладает разрешением Read.

Разрешения NTFS: Это стандартный набор прав, предоставляющих или запрещающих доступ к ресурсам. В NTFS можно назначать разрешения не только для папок, но и для отдельных файлов, а также указать вид самого доступа. Кроме того, разрешения NTFS эффективны при доступе как с удаленного, так и с локального компьютера.

Стандартные разрешения NTFS в Windows NT-2008:

разрешения доступа к папкам обеспечивают безопасность папок на томе NTFS;

разрешения доступа к файлам обеспечивают безопасность файлов на томе NTFS.

Защита файлов и папок с использованием разрешений: разрешения представляют собой средство контроля за доступом к сетевым объектам. После ресурсов общего доступа разрешения NTFS представляют собой вторую и третью линии обороны данных и сетевых ресурсов. Разрешения для файлов и папок контролируются файловой системой NTFS.

Разрешения вступают в силу сразу же после форматирования тома для файловой системы NTFS. Разрешения NTFS защищают тома точно так же, как они защищают папки и файлы. После того как вы отформатировали том для NTFS 5.0, запустите программу Windows Explorer (Проводник), щелкните правой кнопкой мыши на имени тома и выполните команду контекстного меню Properties (Свойства). Переключившись на вкладку Security (Безопасность) диалогового окна свойств тома, вы увидите список пользователей и групп, имеющих доступ к тому по умолчанию. Наибольшую угрозу безопасности представляет собой, конечно же, группа Everyone (Все).

Стандартные разрешения для папок:

Read (Чтение)	Просматривать файлы и подкаталоги в каталоге и просматривать значение владельца каталога, разрешения и атрибуты
Write (Запись)	Создавать новые файлы и подкаталоги в каталоге, изменять атрибуты каталога и просматривать значение владельца каталога и разрешения
List Folder Contents (Список содержимого папки)	Просматривать список файлов и подкаталогов в каталоге
Read & Execute (Чтение и выполнение)	Осуществлять операции, разрешенные Read (Чтение) и List Folder
Modify (Изменить)	Contents (Список содержимого папки) и обходить дерево каталога независимо от того, имеет ли пользователь разрешения для этих каталогов
Full Control (Полный доступ)	Осуществлять операции, разрешенные Write (Запись) и Read & Execute (Чтение и выполнение), а также удалять каталог Делать все, что угодно -- то есть делать все, вышеперечисленное в таблице, а также изменять разрешения, менять владельца и удалять подкаталоги и файлы.

Стандартные разрешения для файлов:

Read (Чтение)	Читать файл и просматривать значение владельца файла, разрешения и атрибуты.
Write (Запись)	Изменять файл, изменять атрибуты файла и просматривать значение владельца файла и разрешения
Read & Execute (Чтение и выполнение)	Осуществлять операции, разрешенные Read (Чтение), и выполнять файл
Modify (Изменить)	Осуществлять операции, разрешенные Write (Запись) и Read & Execute (Чтение и выполнение), а также изменять и удалять файл.
Full Control (Полный доступ)	Делать все, что угодно -- то есть делать все вышеперечисленное в таблице, а также изменять разрешения и менять владельца

Разрешение Full Control: Предоставляет полный доступ к ресурсу. По умолчанию назначается так:

пользователь, создавший файл или папку, получает статус Creator Owner (Создатель-владелец) и разрешение Full Control (Полный доступ);

при форматировании тома под NTFS, группе Everyone предоставляется разрешение Full Control для корня этого тома;

при преобразовании разделов FAT в NTFS, группе Everyone предоставляется разрешение Full Control для всех ресурсов этого раздела

Свойства разрешений:

Разрешения суммируются. Полномочия пользователя складываются из всех назначенных ему разрешений на использование объекта или доступ к нему. Например, если пользователю предоставлено разрешение Read (Чтение) на основании его принадлежности к группе Readers Group (Группа пользователей с правом чтения) и одновременно с этим разрешение Execute File (Выполнение файлов) для того же набора файлов на основании членства в группе Application Access Group (Группа доступа к приложению), то полное разрешение пользователя будет состоять из разрешений Read и Execute File.

Запрет разрешения отменяет все полномочия пользователя, касающиеся определенного объекта. Если пользователь имеет полный доступ к объекту (Full Control) на основании принадлежности к нескольким группам, запрет разрешения всего лишь в одной из них приведет к полной блокировке доступа пользователя к файлу или папке.

Разрешения для файлов не преобладают над разрешениями для папок. Любое разрешение для файла, данное пользователю, не отменяет (подавляет) разрешение, назначенное на уровне папки. Другими словами, если пользователь имеет полный доступ к файлу (Full Control) и не имеет доступа к папке, он не сможет обратиться к файлу. Данный механизм позволяет предотвратить подключение пользователя к файлу из командной строки путем указания UNC-пути.

Шифрованные файловые системы EFS: EFS интегрирована в NTFS. Полностью прозрачна для приложений. Работает на уровне файлов и каталогов. EFS использует криптографические сервисы, предоставляемые Windows 2000/2003 в пользовательском режиме. Состоит из драйвера устройства режима ядра, тесно интегрированного с NTFS и DLL-модулями пользовательского режима, которые взаимодействуют с подсистемой локальной аутентификации и криптографическими DLL. Доступ к зашифрованным файлам можно получить только с помощью закрытого ключа из криптографической пары EFS. Закрытые ключи защищены паролем учетной записи.

В EFS для шифрования и дешифрования информации используются два метода шифрования:

Данные зашифровываются с помощью симметричного алгоритма с применением ключа шифрования файла (File Encryption Key, FEK). FEK -- это сгенерированный случайным образом ключ, имеющий определенную длину.

В свою очередь, FEK шифруется с помощью одного или нескольких открытых ключей, предназначенных для криптозащиты ключа. В этом случае создается список зашифрованных ключей FEK, что позволяет организовать доступ к файлу со стороны нескольких пользователей.

Для шифрования набора FEK используется открытая часть пары ключей каждого пользователя. Список зашифрованных ключей FEK хранится вместе с зашифрованным файлом в специальном атрибуте EFS, называемом полем дешифрования данных (Data Decryption Field, DDF).

Информация, требуемая для дешифрования, привязывается к самому файлу. Секретная часть ключа пользователя используется при дешифровании FEK. Она хранится в безопасном месте, например на смарт-карте или другом устройстве, обладающем высокой степенью защищенности. FEK применяется для создания ключей восстановления. Для этого FEK шифруется с помощью одного или нескольких открытых ключей восстановления. Список FЕК, зашифрованных для целей восстановления, хранится вместе с зашифрованным файлом в специальном атрибуте EFS, называемом полем восстановления данных (Data Recovery Field, DRF). Благодаря существованию набора зашифрованных FEK файл может восстановить несколько агентов восстановления данных

Шифрование данных производится в следующем порядке:

1. Незашифрованный файл пользователя шифруется с помощью сгенерированного случайным образом ключа шифрования файла, FЕК.

2. FЕК шифруется с помощью открытой части пары ключей пользователя и помещается в поле дешифрования данных, DDF.

3. FЕК шифруется с помощью открытой части ключа восстановления и помещается в поле восстановления данных, DRF.

EFS: схема работы с ключами



Генерируется случайный ключ шифрования файла (FEK)

FEK шифруется по RSA при помощи открытых ключей пользователей и агентов восстановления. Получаются DDF и DRF соответственно.

Файл шифруется на ключе FEK по алгоритму DESX

EFS: метаинформация

DDF хранит также пользовательский SID и хеш сертификата EFS, которые используются для поиска закрытого ключа пользователя.

Формат DRF похож на формат DDF (вместо пользователя - агент восстановления)

Вычисляется MD5-хеш от всех элементов и сохраняется в заголовке. Он проверяется при распаковке файла, чтобы убедиться, что данные не повреждены.

Дешифрование данных производится следующим образом:

1. Из DDF извлекается зашифрованный FЕК и дешифруется с помощью секретной части ключа пользователя.

2. Зашифрованный файл пользователя дешифруется с помощью FЕК. При работе с большими файлами дешифруются только отдельные блоки, что значительно ускоряет выполнение операций чтения.

EFS: схема дешифрования

Перебираются все DDF (или DRF) у файла и сохраненный хеш сертификата сравнивается с хешем сертификата пользователя. Если обнаружено совпадение, то для расшифровки используется соответствующий DDF (или DRF) и закрытый ключ пользователя.

Если совпадений не обнаружено, то доступ к файлу запрещается.

Процесс восстановления файла после утраты секретной части ключа: Для восстановления данных выполняются следующие операции:

1. Из DDF извлекается зашифрованный FЕК и дешифруется с помощью секретной части ключа восстановления.

2. Зашифрованный файл пользователя дешифруется с помощью FЕК

Описанная выше общая система криптозащиты позволяет применять максимально надежную технологию шифрования и дает возможность многим пользователям и агентам восстановления получать общий доступ к зашифрованным файлам. Она полностью независима от применяемого алгоритма шифрования, что очень важно, поскольку позволит в будущем легко перейти на новые, более эффективные алгоритмы.

EFS: ограничения: Системные файлы и папки не шифруются, Папки на самом деле не шифруются, просто помечаются. Помещенные потом в них файлы будут автоматически зашифрованы. DRF добавляется исходя из активной политики восстановления. Если изменились/добавились агенты восстановления, то DRF у файлов не обновляются автоматически. Пользователь, чей DDF добавили к файлу потом сможет управлять всеми DDF.

Требования к оборудованию и программному обеспечению:

Файловая система EFS не требует особого оборудования, за исключением компьютера, подходящего для установки версии операционной системы Windows, поддерживающей файловую систему EFS.

на всех компьютерах должна быть установлена система Windows 2000/2003/XP /Vista/08(?);

файлы и папки, которые требуется зашифровать, должны храниться на томах, отформатированных в системе NTFS;

пользователи, применяющие шифрование файлов, должны иметь разрешение NTFS на изменение для файла или папки;

приложения, открывающие и изменяющие файлы, защищенные файловой системой EFS, необходимо проверить на совместимость с файловой системой EFS. Как правило, любое приложение Microsoft Win32® совместимо с файловой системой EFS. Большинство проблем с совместимостью возникает с устаревшими 16-разрядными приложениями. Также особого внимания заслуживают приложения, получающие доступ к файловой системе особым образом (в том числе антивирусные пакеты, приложения для резервного копирования и программы дефрагментации).

Стек протоколов TCP/IP. Архитектура стека. Диагностика TCP/IP. IP адрес, деление на подсети

Стек протоколов TCP/IP является наиболее распространенным на сегодняшний день стеком протоколов. Гибкость и возможности маршрутизации трафика позволяют использовать его в сетях различного масштаба. Стек протоколов TCP/IP представляет собой набор сетевых протоколов, регламентирующих все стороны процесса взаимодействия сетевых устройств.

Требования-характеристики:

Отказоустойчивость. Сеть, построенная с использованием протокола, должна сохранять свою функциональность, даже если часть сети утратит свою работоспособность.

Расширяемость. Протокол должен допускать возможность легкого расширения сети. Добавление к сети новых сегментов не должно приводить к нарушению работы существующих служб.

Надежность. Протокол должен включать в себя механизмы, обеспечивающие надежную передачу информации внутри сети, независимо от надежности существующих коммуникаций.

Внутренняя простота. Протокол должен иметь простую структуру, чтобы обеспечивать достаточную производительность

Архитектура: Стек TCP/IP с точки зрения системной архитектуры соответствует эталонной модели OSI (Open Systems Interconnection - взаимодействие открытых систем) и позволяет обмениваться данными по сети приложениям и службам, работающим практически на любой платформе, включая Unix, Windows, Macintosh и другие.



Обзор основных протоколов стека:

ТСP: Протокол управления передачей (Transmission Control Protocol, TCP) берет на себя все обязанности по доставке пакетов, получаемых от протоколов верхних уровней, в неизменном состоянии и в соответствующей последовательности. Поэтому в обязанности протокола транспортного уровня входит функция разбиения этих пакетов на более мелкие TCP-пакеты, которые затем передаются протоколу сетевого уровня.

UDP: В структуре стека протоколов TCP/IP имеется другой протокол, функционирующий на транспортном уровне, который не ориентирован на установку соединения. Речь идет о протоколе пользовательских дейтаграмм (User Datagram Protocol, UDP). Протокол UDP достаточно быстрый протокол, поскольку не включает механизмов, осуществляющих контроль доставки пакетов.

IP: Основная его задача - маршрутизация пакетов данных. Получая пакет от протоколов верхнего уровня OSI-модели, протокол IP принимает решение о доставке этих пакетов. Решение принимается на основе специальных таблиц, называемых таблицами маршрутизации. На основании этой таблицы может быть принято два решения, в зависимости от того, в какой подсети находится компьютер-получатель пакета

ARP: На канальном уровне адресация осуществляется на основе так называемых МАС-адресов. МАС-адрес представляет собой уникальный 48-разрядный идентификационный код, присваиваемый каждому сетевому адаптеру. Этот код записывается (или, как принято говорить, «зашивается») в специальное ПЗУ на плате сетевого адаптера и тем самым навсегда связывается с этим сетевым адаптером. Поскольку адресация на канальном уровне осуществляется посредством МАС-адресов, необходим механизм, который бы обеспечивал трансляцию IP-адресов в соответствующие МАС-адреса. Протокол разрешения адресов ARP (Address Resolution Protocol) и предоставляет такой механизм. Его основная задача -- установка соответствия между IP-адресом и МАС-адресом.

ICMP: Протокол управляющих сообщений Интернета (Internet Control Message Protocol, ICMP) представляет собой механизм, посредством которого хосты могут обмениваться служебной информацией. Протокол ICMP поддерживает два вида служебных сообщений: сообщения об ошибках и управляющие сообщения.

IGMP: Процесс передачи группового трафика регламентируется межсетевым протоколом управления группой (Internet Group Management Protocol, IGMP).

IPsec: Протокол IPsec обеспечивает защиту любых пакетов, передаваемых протоколами верхних уровней

Уровни:

Уровень приложений: Через уровень Приложения модели TCP/IP приложения и службы получают доступ к сети. Доступ к протоколам TCP/IP осуществляется посредством двух программных интерфейсов (API - Application Programming Interface):

- Сокеты Windows;

- NetBIOS.

Интерфейс сокетов Windows, или как его называют WinSock, является сетевым программным интерфейсом, предназначенным для облегчения взаимодействия между различными TCP/IP - приложениями и семействами протоколов.

Интерфейс NetBIOS используется для связи между процессами (IPC - Interposes Communications) служб и приложений ОС Windows. NetBIOS выполняет три основных функции: определение имен NetBIOS; служба дейтаграмм NetBIOS; служба сеанса NetBIOS.

Уровень транспорта: Уровень транспорта TCP/IP отвечает за установления и поддержания соединения между двумя узлами. Основные функции уровня:

- подтверждение получения информации;

- управление потоком данных;

- упорядочение и ретрансляция пакетов.

В зависимости от типа службы могут быть использованы два протокола:

- TCP (Transmission Control Protocol - протокол управления передачей);

- UDP (User Datagram Protocol - пользовательский протокол дейтаграмм).

TCP обычно используют в тех случаях, когда приложению требуется передать большой объем информации и убедиться, что данные своевременно получены адресатом. Приложения и службы, отправляющие небольшие объемы данных и не нуждающиеся в получении подтверждения, используют протокол UDP, который является протоколом без установления соединения.

Межсетевой уровень: Межсетевой уровень отвечает за маршрутизацию данных внутри сети и между различными сетями. На этом уровне работают маршрутизаторы, которые зависят от используемого протокола и используются для отправки пакетов из одной сети (или ее сегмента) в другую (или другой сегмент сети). В стеке TCP/IP на этом уровне используется протокол IP.

Уровень сетевого интерфейса: Этот уровень модели TCP/IP отвечает за распределение IP-дейтаграмм. Он работает с ARP для определения информации, которая должна быть помещена в заголовок каждого кадра. Затем на этом уровне создается кадр, подходящий для используемого типа сети, такого как Ethernet, Token Ring или ATM, затем IP-дейтаграмма помещается в область данных этого кадра, и он отправляется в сеть.

Утилиты диагностики:

ipconfig [/all | /release | /renew [adapter] /flushdns /registerdns [adapter] /displaydns /showclassid [adapter] /setclassid [adapter] class_id]

/all -- в результате выполнения утилиты выводится полная информация о конфигурации протокола для всех интерфейсов локального компьютера. В том числе и для сетевых интерфейсов, работающих со службой маршрутизации и удаленного доступа (Routing and Remote Access Service, RAS);

/release -- выполнение утилиты с этим ключом приводит к освобождению выделенного IP-адреса. Ключ применим для использования только на клиентах DHCP;

/renew [adapter] -- использование этого ключа предписывает системе обновить конфигурацию стека протоколов TCP/IP. Если вы указываете имя сетевого адаптера, обновляется конфигурация протокола только для выбранного адаптера. В противном случае обновляется конфигурация стека протоколов для всех сетевых адаптеров;

/displaydns -- в результате выполнения утилиты будет выведена информация о содержимом локального кэша клиента DNS, используемого для разрешения доменных имен;

ping [-t] [-a] [-n count] [-1 size] [-f] [-i ttl] [-v tos] [-r count] [-S count] [[-] host-list] | {-k host-list]] [-w timeout] [-R] [-S srcaddr] [-4] [-6] destination-host

-t -- использование данного ключа предписывает системе непрерывно посылать специальные ICMP-пакеты к удаленному компьютеру вплоть до остановки пользователем выполнения утилиты;

-а -- использование данного ключа позволяет определить доменное имя удаленного компьютера по его IP-адресу. Полезность этого ключа зачастую недооценивается пользователями. Тем не менее при работе в локальной сети нередко возникают ситуации, когда необходимо узнать доменное имя компьютера по его IP-адресу;

-n count -- в отличие от предыдущего ключа, позволяет задать число ICMP-пакетов, которые будут посланы в процессе проверки возможности установления соединения. По умолчанию утилита отправляет четыре пакета;

-w timeout -- по умолчанию утилита ping ожидает подтверждения от удаленного хоста в течение одной секунды. По окончании этого времени утилита делает вывод о том, что с хостом невозможно установить соединение. Особенно часто подобная ситуация возникает в случае, когда удаленный компьютер соединяется посредством медленных линий связи. Использование этого ключа позволяет увеличить время ожидания подтверждения до определенного значения, задаваемого в миллисекундах в виде параметра timeout;

tracert [-d] [-h maximum_hops] [-j host-list] [-w timeout] [-R] [-S srcaddr] [-4] [-6] target_name

-d -- по умолчанию утилита, предоставляя информацию о проходимых пакетами маршрутизаторах, указывает не только IP-адреса, но и их доменные имена. Использование этого ключа предписывает утилите не производить преобразование IP-адресов в доменные имена. Это позволяет сократить время выполнения утилиты;

-h maximum_hops -- использование утилиты с данным ключом позволяет ограничить допустимое число переходов из одной подсети в другую в процессе отслеживания маршрута. Параметр maximum_hops определяет максимально допустимое количество переходов;

-w timeout -- ключ позволяет явно определить максимальное время ожидания ответа от удаленного маршрутизатора. При этом время задается параметром timeout в миллисекундах;

target_name -- определяет имя удаленного хоста, маршрут к которому необходимо проследить.

Утилита netstat. Позволяет получить статистическую информацию по некоторым из протоколов стека (TCP, UDP, IP и ICMP), а также приводит сведения о текущих сетевых соединениях.

Утилита nbtstat . Утилита используется для получения информации, связанной с вопросом функционирования NetBIOS поверх TCP/IP. Используя данную утилиту, можно получить информацию как о локальном, так и об удаленном компьютере.

IP-адрес: Согласно концепции TCP/IP, каждый хост, чтобы работать в сети, должен иметь определенный IP-адрес

IP-адрес представляет собой 32-разрядное двоичное число, которое для удобства запоминания разбито на октеты -- восьмибитовые группы

Правила назначения IP-адреса:

1. Компьютеру нельзя присвоить первый адрес в данной сети (адрес, заканчивающийся на число 0). Такие адреса зарезервированы для обозначения всей сети.

2. Компьютеру нельзя присвоить последний адрес в данной сети (адрес, заканчивающийся на число 255). Такие адреса служат для широковещательных передач (broadcasting) -- обращения ко всем компьютерам в сети.

3. Каждый из октетов -- это число в диапазоне от 0 до 255.

4. IP-адрес каждого компьютера должен быть уникален в пределах сети. Если присвоить новому компьютеру уже существующий в сети адрес, то возникнет конфликт адресов. Операционная система сообщит о конфликте, показав окно предупреждения, и оба компьютера не будут допущены к работе в сети до исправления ситуации.

Адрес подсети и адрес хоста: В любом IP-адресе можно выделить две составляющие: адрес подсети и адрес хоста в этой подсети. На этапе разработки создатели протокола разделили все IP-адреса на три категории, объединив их в три класса подсетей -- А, В и С.

Класс	Маска адреса подсети	Диапазон значений первого октета	Количество доступных подсетей	Количество доступных адресов
А В С	0ххххххх 10хххххх.хххххххх 110ххххх.хххххххх.хххххххх	1-126 128-191 192-223	126 16384 2097152	16777214 65534 254

Подсети класса А самые дорогие, поэтому они по карману только крупным корпорациям. Все пулы адресов класса А уже распределены. В качестве их держателей выступают такие корпорации, как IBM, Xerox, Apple и Hewlett-Packard.

Класс адресов В менее дорогой, однако и он по карману только состоятельным корпорациям, которые готовы выложить значительные суммы за достаточное количество IP-адресов. Одна из самых известных корпораций, являющаяся держателем пула адресов класса В -- Microsoft.

Деление на подсети: Маска подсети -- один из ключевых терминов TCP/IP, она представляет собой 32-битовое число, которое используется для выделения из IP-адреса адреса подсети.

В связи с этим биты маски подсети, установленные в 1, обозначают разряды которые используются в IP-адресе для определения адреса подсети. Выделение осуществляется методом логического умножения (операции AND) IP-адреса и маски подсети.



Адрес ROOT: 11000000 10101000 00000001 00000001

Маска подсети: 11111111 11111111 11111111 00000000

Адрес подсети: 11000000 10101000 00000001

Адрес STORE: 11000000 10101000 00000001 00010101

Маска подсети: 11111111 11111111 11111111 00000000

Адрес подсети STORE: 11000000 10101000 00000001

Адрес подсети ROOT: 11000000 10101000 00000001

Внутренние IP-адреса: Для локальных сетей, в зависимости от их размера, организацией IANA (Internet Assigned Numbers Authority), отвечающей за присвоение IP-адресов в Интернете, выделены следующие диапазоны адресов:

10.0.0.0 -- 10.255.255.255

172.16.0.0-- 172.31.255.255

192.168.0.0-- 192.168.255.255

Службы DHCP, DNS,WINS

Для организации и управления доступом к ресурсам сети пользователей и приложений используются подход, основанный на символьных обозначениях узлов и ресурсов. Для определения местоположения данных узлов в сети необходимы службы, обеспечивающие преобразование символьных имен в идентификаторы, используемые на более низких уровнях протоколов межсетевого взаимодействия.

Система доменных имен (DNS - domain name services) является методом регистрации имен компьютеров и их IP-адресов.

Служба имен Интернет для Windows (WINS) используется как служба разрешения имен NetBIOS в IP-адреса в сегментированных сетях.

Серверы доменных имен - инструменты данной системы, обеспечивающие ее функционирование.

Система доменных имен (DNS) - иерархическая распределенная база данных, содержащая сопоставления доменных имен DNS с различными типами данных, таких как IP-адреса. DNS позволяет находить компьютеры и службы по понятным именам, а также просматривать другие сведения из базы данных.

DNS-клиент - компьютер-клиент, запрашивающий DNS-серверы для разрешения доменных имен DNS. DNS-клиенты имеют временный кэш разрешенных доменных имен DNS.

...