Служба віддаленого доступу (RAS) Windows NT
Терміни, необхідні для розуміння матеріалу:
Служба віддаленого доступу (RAS)
Клієнти RAS
Програмний інтерфейс телефонного зв'язку (ТАР1)
Телефонна книга RAS
Шифрування
Автодозвон
Журнал
Нуль-модем
Перетворення імен
Прийоми і знання, якими ви повинні опанувати:
Встановлення та налаштування RAS
Налаштування телефонної книги RAS
Реалізація заходів безпеки RAS
RAS (служба віддаленого доступу) є надійним і безпечним способом поширення мережних
з'єднань на віддалені комп'ютери. Модеми та інші комунікаційні пристрої в підключеннях RAS виконують функції мережевих адаптерів. Віддалений клієнт RAS
може звертатися і працювати з усіма ресурсами, з якими може працювати стандартний клієнт з мережевим підключенням. У цьому розділі ви дізнаєтеся все, що
необхідно знати для успішної відповіді на питання по RAS в сертифікаційному іспиті Microsoft.
NT RAS
Комунікаційні можливості RAS в Windows NT 4 помітно покращилися в порівнянні з версією 3.51. Багато нових
особливості, у тому числі простота установки, процес настройки і загальна поведінка, були запозичені з Windows 95. RAS обслуговує до 256
одночасних з'єднань, виконує функції брандмауера (firewall), шлюзу або маршрутизатора, а також забезпечує безпеку.
RAS встановлює з'єднання з наступними типами зв'язку:
• PSTN (комутовані телефонні лінії);
• ISDN (цифровий зв'язок з інтегрованими службами);
• Мережа Х.25 з комутацією пакетів.
У підключених RAS використовуються стандартні протоколи локальних мереж. Таким чином, при
встановлення зв'язку через RAS мережеве взаємодія може здійснюватися з використанням протоколів TCP/IP, IPX/SPX і NetBEUI. Оскільки в з'єднанні
використовуються реальні мережеві протоколи, віддалений клієнт RAS діє так, ніби він підключений до мережі локально. Єдина відмінність полягає в тому,
що швидкість пересилання даних в з'єднанні RAS нижче, ніж при фізичному підключенні до мережі. На іспиті вам зустрінуться питання, в яких буде
перевірятися ваше розуміння цього факту. Завжди пам'ятайте, що клієнт працює однаково незалежно від способу підключення (локального або через RAS).
Клієнти RAS
Клієнтом RAS називається будь-який комп'ютер, який може встановити модемну або інший зв'язок з сервером
RAS і встановити дозволене з'єднання. Хоча підключення RAS оптимізовані для операційних систем Microsoft, за наявності необхідних програм, протоколів
і при відповідній настройці доступ може бути наданий і систем інших типів.
Зв'язки, що встановлюються між клієнтом і сервером із застосуванням RAS, називаються глобальними (WAN, Wide Area
Network) зв'язками. Оскільки RAS найчастіше використовується для підключення комп'ютерів (або цілих локальних мереж) до централізованої мережі, що знаходиться на
великій відстані, такий зв'язок є глобальною. Комунікаційні протоколи, що використовуються для встановлення з'єднання RAS, називаються протоколами
глобальних мереж (протоколами WAN). Windows NT підтримує два протоколи WAN:
• SLIP. Протокол SLIP (Serial Line Internet Protocol) підтримує TCP/IP, але не підтримує IPX/SPX
або NetBEUI. SLIP не підтримує DHCP, отже, кожного клієнта повинен бути присвоєний адреса IP. Крім того, SLIP не підтримує шифрування паролів.
Цей протокол передбачений лише для того, щоб сервер NT міг виступати в ролі клієнта при підключенні до сервера Unix; він не може використовуватися для
обслуговування вхідних підключень в NT.
• РРР. Протокол РРР підтримує ряд інших протоколів, включаючи AppleTalk, TCP/IP, IPX/SPX і
NetBEUI. Він розроблявся для розширення можливостей протоколу SLIP. РРР підтримує DHCP і шифрування паролів. В даний час він є самим
поширеним і загальноприйнятим протоколом глобальних мереж.
Windows NT Server може виконувати функції клієнта RAS при мо-Демня (чи іншому) підключенні до іншого
сервера або комп'ютерній системі. Найбільш поширена ситуація, при якій NT виступає в ролі клієнта, - підключення локальної мережі до Інтер-нету.
Сервери RAS
Увага
Windows NT Server може обслуговувати до 256 вхідних підключень RAS. Про NT як про сервер RAS необхідно
запам'ятати наступне:
Підтримуються тільки клієнти РРР - протокол SLIP для модемних підключенні не підтримується. Між
сервером і підключеним через РРР клієнтом RAS створюється шлюз NetBIOS, призначений для виконання стандартних мережевих операцій NT. RAS
забезпечує маршрутизацію IP і IPX.
• RAS підтримує програми NetBIOS і Windows Sockets.
• RAS підтримує підключення РРТР (Point-to-Point Tunneling Protocol), тим самим забезпечуючи безпечне
взаємодія комп'ютерів з Windows NT через Інтернет. Крім того, RAS підтримує багатоканальний протокол МР (Multilink PPP), в якому можуть
об'єднуватися кілька підключень.
РРТР (Point-to-Point Tunneling Protocol)
Протокол РРТР дозволяє • «впроваджувати» пакети IPX, NetBEUI і TCP/IP в PPP з метою забезпечення безпечної
зв'язки клієнта з сервером через Інтернет. Підключення РРТР застосовуються для створення VPN (віртуальних приватних мереж, Virtual Private Networks) в невеликих
компаніях, які не можуть собі дозволити оренду дорогих виділених ліній для мережевої зв'язку на великі відстані. За допомогою РРТР користувач, що знаходиться в
будь-якій точці земної кулі, може підключитися до мережі своєї організації. У РРТР реалізована потужна схема шифрування, яка забезпечує більшу ступінь
захисту, ніж під час роботи в самій мережі. Таким чином, весь графік РРТР в Інтернеті є безпечним.
РРТР, як і всі інші мережеві протоколи, необхідно встановити на вкладці Protocols програми
Network.
МР (Multilink PPP)
Windows NT дозволяє об'єднати пропускну здатність кількох фізичних ліній, що призводить до
збільшення загальної пропускної спроможності підключення RAS. Об'єднання декількох комунікаційних каналів дозволяє збільшити загальну пропускну здатність з
найменшими витратами. Протокол МР повинен підтримуватися як клієнтом, так і сервером. Він не може використовуватися з можливістю повторного виклику (див. далі
в цьому розділі).
Прапорець для включення багатоканальне ™ знаходиться в діалоговому вікні Network Protocol Configuration (див.
рис. 10.1 в цьому розділі).
ТАРI (програмний інтерфейс телефонного зв'язку) і телефонні книги
У Windows NT програмний інтерфейс телефонного зв'язку (TAPI) забезпечує стандартні засоби керування
голосового та факсимільного зв'язком і пересиланням даних. TAPI може використовуватися для керування багатьма системами РВХ і автоматизованими комунікаційними
пристроями, хоча відповідне обладнання і не поставляється з NT.
TAPI автоматично встановлюється при встановленні модему або компонентів RAS NT. Його присутність
необхідно для управління будь-яким комунікаційним пристроєм. При кожній спробі встановлення модемного з'єднання TAPI управляє модемом і стежить за
процесом підключення. Після того як зв'язок буде встановлена, TAPI продовжує спостерігати за зв'язком.
Діалогове вікно Dialing Properties (викликається з програми Modem панелі керування) керує тим,
як TAPI використовує модем при дзвінках. Ви можете керувати параметрами міжміського зв'язку, використанням телефонної картки для міжміських
дзвінків, префіксами виходу на лінію і тоновим/імпульсним набором. Крім того, можна визначити кілька конфігурацій для дзвінків з різних місць. Якщо ви
подорожуєте з портативним комп'ютером NT Server, для кожного регулярно відвідуєте міста можна визначити спеціальний профіль телефонного зв'язку.
TAPI також управляє елементами телефонної книги, що використовуються в підключеннях RAS. Всі функції і
можливості модему і типів модемного зв'язку настроюються через інтерфейс, яким управляє TAPI.
Установка RAS
RAS встановлюється з вкладки Services програми Network. Правильна установка RAS вимагає
певної підготовки і знань. Під час установки необхідно пам'ятати наступне:
1. Почніть з фізичної установки або підключення модему. Якщо під час встановлення RAS не буде
встановлений модем, вам все одно доведеться встановити його.
2. Встановіть RAS з вкладки Services програми Network.
3. Виберіть порт зв'язку.
4. Додайте встановлений модем як пристрій RAS.
5. Вкажіть, як повинен використовуватися порт:
• Тільки для вихідних дзвінків (Dial out only).
• Тільки для вхідних дзвінків (Receive calls only).
• Для виконання обох дій (Dial out and receive calls).
6. Виберіть протоколи локальної мережі (див. рис. 10.1):
• Якщо порт був налаштований тільки для вихідних дзвінків, можна вибрати лише вихідні протоколи.
• Якщо порт був налаштований тільки для вхідних дзвінків, можна вибрати лише вхідні протоколи.
• Якщо порт був налаштований для виконання обох дій, вибираються як вхідні, так і вихідні протоколи.
7. Налаштуйте конкретні параметри кожного, хто входить протоколу (див. рис. 10.2 і 10.3).
Рис. 10.1. Діалогове вікно мережевої конфігурації RAS
Рис. 10.2. Діалогове вікно конфігурації TCP/IP сервера RAS
Рис. 10.3. Діалогове вікно конфігурації IPX сервера RAS
Після установки RAS необхідно перевірити конфігурацію порту і модему за допомогою додатків Port і
Modem панелі управління.
Якщо RAS була налаштована на прийом вхідних дзвінків, порт і модем не можуть використовуватися іншими
додатками. RAS блокує доступ до порту, щоб стежити за вхідними дзвінками.
Маршрутизація, шлюзи і брандмауери
Клієнтам RAS, що використовують мережеві протоколи, можна дозволити доступ до всієї мережі або обмежити його
сервером RAS. Якщо доступ клієнтів RAS обмежується сервером RAS, то RAS виконує функції брандмауера (firewall), тобто запобігає будь-який зовнішній
доступ за межами сервера. Якщо клієнтам RAS дозволений доступ до всієї мережі, RAS використовується як маршрутизатор. Якщо єдиним використовуваним протоколом
є NetBEUI, RAS виступає в ролі шлюзу, який забезпечує доступ до мережі для немаршруті-зіруемого протоколу NetBEUI.
Телефонна книга RAS
Для управління і роботи з модемним зв'язком RAS використовується телефонна книга RAS. Ця утиліта, Dial-Up
Networking (DUN), знаходиться в папці Programs> • Accessories меню Start. При першому запуску DUN запускається майстер RAS Wizard, який допоможе вам створити
перший елемент телефонної книги. При кожному наступному запуску відкривається діалогове вікно Phonebook. У ньому можна створити і модифікувати параметри
віддаленого доступу для кожного з'єднання RAS.
Елементи телефонної книги містять наступну інформацію:
• Назва, номер телефону і використовується модем.
• Тип сервера та параметри протоколу.
• Сценарії підключення.
• Параметри системи безпеки.
• Параметри Х.25 (у разі необхідності).
Безпека RAS
RAS передбачає кілька рівнів і типів безпеки, які захищають мережу від
неуповноваженого віддаленого доступу. У наступних розділах засоби безпеки розглядаються більш докладно.
Шифрування
Для підвищення або зниження рівня безпеки з'єднання Windows NT застосовуються наступні
засоби:
• вкладку Security елемента телефонної книги для вихідних з'єднань RAS.
• Діалогове вікно Network Protocol Configuration для вхідних з'єднань RAS (див. рис. 10.1).
Увага
Параметр, що визначає шифрування даних у RAS, може приймати три значення:
1. Будь-які паролі, включаючи звичайний текст. Значення має мінімальними обмеженнями. Воно
використовується в тих випадках, коли користувачі не дуже турбуються про свої паролі. Допускається з'єднання з будь-якою перевіркою достовірності, забезпечуваною
сервером, отже, воно стане в нагоді при підключених до серверів без програмного забезпечення Microsoft.
2. Шифрування паролів. Значення стане в нагоді в тих ситуаціях, коли пересилка пароля в текстовому вигляді
небажана, і при підключенні до серверів без програмного забезпечення Microsoft.
3. Шифрування паролів Microsoft. При виборі цього значення повинен використовуватися протокол MS-CHAP
(Microsoft Challenge Authentication Handshake Protocol), отже, воно стане в нагоді при підключенні до серверів Microsoft. Якщо встановлено прапорець
шифрування даних (Require Data Encryption), все що пересилаються по мережі дані шифруються. Шифрування в Windows NT здійснюється за допомогою алгоритму RSA
(Rivest-Shamir-Adleman) Data Security Incorporated RC4. Якщо пересилаються дані не вдасться правильно дешифрувати, з'єднання автоматично розривається.
Повторний виклик
Повторний виклик (callback) - засіб безпеки, при якому з'єднання RAS встановлюється лише після
того, як сервер відключається від вхідного дзвінка і потім передзвонює користувачеві. Налаштування відповідного виклику здійснюється командою User> •
Properties у програмі User Manager For Domains або однойменною командою Remote Access Manager. Параметр приймає наступні значення:
• Заборона відповідного дзвінка (No Call Back). Значення приймається за замовчуванням. Воно означає, що при
встановлення користувачем з'єднання RAS він не отримає у відповідь дзвінка.
• Номер задається що викликає стороною (Set By Caller). Номер відповідного дзвінка задається
користувачем. Це гарний спосіб заощадити на міжміських дзвінках, тому що сервер передзвонює клієнту за номером, що задається користувачем.
• Номер заданий раніше (Preset To). Налаштування відповідного виклику здійснюється заздалегідь. Рівень
безпеки при цьому підвищується, тому що користувач може телефонувати лише з попередньо заданих телефонних номерів.
Вхід в систему через RAS
У Windows NT 4 RAS може використовуватися для входу в домен - для цього слід встановити прапорець Connect
Via Dial-In і ввести ім'я потрібного домену. Це дозволяє встановити з'єднання RAS з віддаленою мережею без попереднього локального входу.
Рада
Якщо ви використовуєте TCP/IP для з'єднань RAS по повільною лінії, файл LMHOSTS допоможе прискорити мережевий
доступ і процес перетворення імен. Помістіть файл LMHOSTS на клієнтський комп'ютер RAS і прослідкуйте за тим, щоб у ньому був присутній тег # PRE - він
забезпечує кешування адрес IP.
Додаткові можливості RAS
Ця глава аж ніяк не вичерпує всіх можливостей RAS. Щоб отримати додаткові відомості про RAS,
перегляньте довідкові матеріали, перераховані в кінці розділу. Проте нижче наведений короткий перелік найважливіших засобів і можливостей RAS, необхідних
для складання іспиту.
Автодозвон
автодозвону (autoDial) називається здатність NT запам'ятовувати місцезнаходження ресурсів, доступ до яких
здійснюється за допомогою RAS. Для цього створюється таблиця, що зв'язує мережеві адреси з елементами телефонної книги. При наступних зверненнях до цього
ресурсу RAS наново встановлює з'єднання через глобальну мережу, щоб знову отримати доступ до ресурсу без додаткового взаємодії з користувачем.
За замовчуванням автодоз-он включений. Автодозвон ще не функціонує на IPX/SPX, проте він працює з TCP/IP і NetBEUI.
Журнали
Ведення журналів помітно спрощує діагностику проблем RAS. У NT існує два файли для запису
журналів, пов'язаних з операціями RAS. Перший з них - файл MODEMLOG.TXT, в який записуються відомості про операції модему. Запис цього журналу
включається у вікні властивостей модему (область Advanced Connections Settings програми Modem). Цей файл знаходиться в кореневому каталозі NT.
Другий журнал, DEVICE.LOG, можна включити тільки з реєстру. Ключу Logging з розділу HKEY_LOCAL_MACHINESYSTEM
CuiTentControlSetServicesRasMainParameters слід присвоїти 1. Файл DEVICE.LOG зберігається в каталозі% winntroor% system32ras.
Програма Event Viewer також реєструє деякі дані RAS, які можуть полегшити діагностику і розшифровку
повідомлень. За замовчуванням інформація про всі помилки сервера, призначених для користувача спробах підключень, розривах зв'язку і т. д. записується в системний журнал.
Нуль-модем
Нуль-модемом (нуль-модемньм кабелем) називається послідовний кабель для з'єднання двох комп'ютерів без
участі модему. Такі кабелі є загальноприйнятими засобами з'єднання двох комп'ютерів, однак NT RAS може використовувати їх для установки стандартних
мережевих з'єднань NT. Нуль-модем встановлюється з програми Modem, де він вибирається зі списку стандартних модемів. Кабель для цього не потрібно,
тому RAS можна встановити і без модему. Встановлений нуль-модемний кабель може використовуватися як звичайний модем, який, у свою чергу, використовується
RAS як мережевий адаптер - тобто робоча станція, підключена через нуль-модемний кабель, може повноцінений працювати в домені, тільки зі зниженою
швидкістю пересилання даних.
Множинні протоколи
Для обслуговування мережевих з'єднань RAS використовує протоколи як глобальної, так і локальної мереж. Найчастіше
всього протоколом глобальної мережі є РРР. Протоколом локальної мережі може бути будь-який з протоколів, встановлених на сервері RAS. Набір протоколів може
як збігатися з набором протоколів вашій локальній мережі, так і відрізнятися від нього. Використовується перший знайдений загальний протокол клієнта і сервера.
Отже, для модемних підключень RAS слід правильно настроїти порядок прив'язки, щоб найважливіший протокол володів найвищим пріоритетом.
Перетворення імен
У ситуаціях, коли використовується статичний перетворення імен, для досягнення оптимальної
швидкості перетворення і трафіку глобальної мережі слід помістити файли HOSTS (DNS) і LMHOSTS (WINS) на локальний жорсткий диск клієнта RAS. Однак при цьому
можуть виникнути проблеми з підтриманням останніх версій цих файлів на декількох віддалених клієнтів.
