Засоби дистанційного адміністрування
Власні
інструменти управління Windows постійно удосконалюються, і більшість
мережевих служб можна контролювати з робочої станції адміністратора. Навіть
адміністратори Windows NT, у якій немає універсальної консолі Microsoft
Management Console (MMC) Windows 2000, можуть керувати віддаленими DNS, DHCP,
WINS та іншими службами зі своїх настільних ПК. Але, незважаючи на активне
розвиток технологій Microsoft, виконати деякі завдання (наприклад, встановити
оперативні виправлення, перезапустити сервер, керувати файлами) можна тільки
з консолі сервера.
Проблема
вирішується за допомогою інструментів дистанційного керування. Вони незамінні для
роботи з серверами у віддалених філіях і для вирішення питань, що виникають у
неурочний годинник, зі зручного домашнього офісу. У наш неспокійний час вони
дозволять замкнути сервери в безпечному приміщенні і управляти ними на відстані.
Дистанційне керування проти дистанційного
адміністрування
Інструменти
дистанційного управління входять у більш широку категорію інструментів
дистанційного адміністрування. Останні, як видно з їх назви,
забезпечують виконання адміністративних задач на віддалених серверах. Наприклад,
за допомогою утиліти Shutdown (shutdown.exe) з комплекту Microsoft Windows NT
Server 4.0 Resource Kit можна зупинити і перезапустити мережеві сервери, а
утиліта rkill.exe дозволяє завершити процеси, що виконуються на віддаленому
сервер. Отримавши за допомогою інструментів управління контроль над робочим столом
сервера через мережу, можна виконувати адміністративні завдання дистанційно.
Замість того, щоб впливати на сервер за допомогою команд, що запускаються на
власної робочої станції, адміністратор виконує команди на самому сервері,
навіть знаходячись на відстані багатьох кілометрів від його монітора та клавіатури.
З
допомогою декількох корисних інструментів дистанційного управління, багато з
яких поширюються безкоштовно або за невелику плату, можна виконувати
різні завдання адміністрування сервера, не залишаючи свого робочого місця. Я
ділю ці інструменти на дві категорії:
*
графічні інструменти дистанційного керування, такі, як Windows 2000
Server Terminal Services та Virtual Network Computing (VNC), які переносять
робочий стіл віддаленого сервера на локальний комп'ютер;
*
інструменти дистанційного керування, що запускаються з командного рядка, такі,
як Remote Command, telnet, Remote Shell і Remote Console, які забезпечують
виконання текстових команд на віддаленому сервері.
Terminal Services
Перша
вбудована технологія дистанційного управління від Microsoft, Terminal
Services, з'явилася в Windows 2000 Server. У минулому Terminal Services можна
було отримати тільки в спеціальній редакції NT під назвою NT Server 4.0,
Terminal Server Edition (WTS). Terminal Services передбачалося використовувати в
основному в якості технології сервера додатків (як і продукт Citrix
WinFrame, попередник Terminal Services). Крім того, в Terminal Services
реалізований режим дистанційного адміністрування, що дозволяє двом
адміністраторам одночасно керувати консоллю сервера через мережеве
з'єднання.
За
замовчуванням Terminal Services не встановлюється разом з Windows Server 2000, але
власники базової ліцензії на продукт можуть інсталювати і використовувати
службу в режимі дистанційного адміністрування (режим дистанційного
адміністрування - стандартний компонент установки версії Windows. NET Server,
раніше відомої як Whistler). З часу появи Windows 2000 я рекомендував
адміністраторам запускати Terminal Services у режимі дистанційного
адміністрування на кожній машині Windows 2000, за винятком випадків, про які
розповімо нижче, коли краще застосувати VNC. Встановити Terminal Services
просто. Досить відкрити програму Add/Remove Programs панелі управління і
клацнути на закладці Add/Remove Windows Components. Потім потрібно встановити
прапорець Terminal Services і клацнути на кнопці Next. У відповідь на запит майстра
Windows Components Wizard про те, який режим Terminal Services слід
використовувати, необхідно вибрати варіант Remote administration mode.
Одного разу
скориставшись Terminal Services, від цієї служби важко відмовитися. За допомогою
клієнта Terminal Services можна запустити кілька вікон і одночасно
віддалено адмініструвати кілька серверів. Клієнтська програма Terminal
Services сумісна з більшістю версій Windows, у тому числі з NT 3.51 і Windows
95. Незалежні постачальники (наприклад, Citrix) пропонують клієнтські програми
для платформ, відмінних від Windows. Клієнтську програму можна розгорнути на
весь екран, і настільний комп'ютер буде виглядати як консоль сервера.
Virtual Network Computing (VNC)
VNC
- Одна з маловідомих, але ефективних інструментів адміністратора: одні
фахівці знають і широко застосовують його, інші ніколи не чули про VNC і не
розуміють причини ажіотажу. В цілому, VNC - крос-платформний інструмент
дистанційного адміністрування, за допомогою якого робочого столу сервера можна
відобразити на дисплеї свого комп'ютера, незалежно від серверної операційної
системи. На екрані 1 показано з'єднання VNC з віддаленою машиною Windows 2000
Server. VNC розроблений в лабораторії AT & T Laboratories Cambridge,
розповсюджується безкоштовно за умов дотримання ліцензії GNU General Public
License (інформація про ліцензії GNU General Public License опублікована за
адресою: http://www.gnu.org/copyleft/gpl.html). Завантажити VNC можна за адресою:
http://www.uk.research.att.com/vnc/index.html. На сайті є документація,
вихідні тексти та інша інформація. При розпакування завантаженого
дистрибутивного файлу формується дві папки:
*
для програми перегляду VNC - єдиного виконуваного файлу розміром менше
175 Кбайт;
*
для VNC-сервера - повного пакету установки.
Запустити
програму перегляду просто: потрібно двічі клацнути на ній і ввести ім'я сервера,
з яким потрібно встановити зв'язок. Якщо на віддаленому сервері вже працює
серверна програма VNC, то через кілька секунд все буде готове для
дистанційного управління сервером.
Процедура
інсталяції VNC-сервера теж не набагато складніше. Досить двічі клацнути на
файлі setup.exe і слідувати запрошеннями майстра установки, щоб інсталювати
як сервер, так і програму перегляду. На даному етапі сервер доступний тільки в
інтерактивному режимі, тобто його можна запустити лише вручну. Ручний запуск для
адміністрування віддаленого сервера незручний: VNC-сервер краще запускати
автоматично. Для цього достатньо клацнути на значку Start Menu програми VNC
і налаштувати VNC for Windows (WinVNC) на роботу в якості служби, з облікової
записом Windows 2000 або NT 4.0 LocalSystem, автоматично запускається при
старті сервера (автоматичний запуск - функція операційної системи; вона
працює не на всіх машинах: наприклад, на Macintosh такої функції немає). Після
перезапуску або (якщо служба використовується вперше) ручного запуску, служба
VNC просить призначити пароль сеансу та інші параметри конфігурації Після цього
новий сервер VNC готовий до роботи. Потрібно відкрити програму перегляду VNC на
робочої станції, ввести ім'я VNC-сервера і пароль сеансу і можна приступати до
дистанційного адміністрування. За замовчуванням дозволяється встановити лише одне
віддалене з'єднання VNC з кожним сервером. Якщо надходить запит на нове
з'єднання, VNC-сервер автоматично розриває поточний сеанс і організує
новий. Це може викликати суттєві незручності, якщо адміністратор
підключається до сервера в середині сеансу, встановленого іншим
адміністратором. Крім того, при розриві з'єднання VNC не виконує процедуру
виходу для першого адміністратора, і другий адміністратор бачить усе, що робив
його колега. У документації VNC пояснюється, як налаштувати VNC-сервер на спільне
використання з'єднань. В результаті кілька адміністраторів зможуть
одночасно підключитися до сервера, і всім їм буде представлений однаковий
віддалений робочий стіл.
В
цю особливість полягає головна відмінність між VNC і Terminal Services. З
допомогою Terminal Services два адміністратори можуть одночасно встановити
з'єднання з одним сервером, і кожен з них буде працювати з унікальним
робочим столом. VNC забезпечує одночасне підключення двох
адміністраторів, але їм доведеться спільно користуватися мишею та клавіатурою
одного робочого столу.
Terminal
Services або VNC?
огляду на те,
що технологія Terminal Services вбудована в Windows 2000, чи потребують
адміністратори мереж Windows 2000 в VNC? Безумовно, так. Мабуть, у
однорідної мережі Windows 2000 краще всього використовувати Terminal Services. Це
безкоштовний продукт, що поставляється на одному компакт-диску з Windows 2000 Server,
досить зручний для дистанційного адміністрування. Але в даний час
лише в дуже небагатьох середовищах застосовується єдина операційна система.
Головна перевага VNC - крос-платформна сумісність, завдяки якій
з одного віддаленого клієнта можна адмініструвати сервери, що працюють на
Windows 2000, NT, Linux і численних різновидах Unix. Такий
багатофункціональний і в той же час безкоштовний продукт важко перевершити.
Застосування
VNC і Terminal Services не приводить до значного зниження
продуктивності. Як правило, ці інструменти споживають лише невелику частку
ресурсів процесора, дуже мало пам'яті і майже не збільшують навантаження на
дискову підсистему введення/виводу. У цьому відношенні вони на голову вище рішень,
більшою мірою орієнтованих на настільні комп'ютери (наприклад,
pcAnywhere компанії Symantec). VNC забезпечує надійний інформаційний захист
завдяки використанню протоколу аутентифікації з квітірованіем, що має
багато спільного з Microsoft Challenge Handshake Authentication Protocol (MSCHAP),
власним протоколом аутентифікації NT. Крім того, як VNC, так і Terminal
Services мають у своєму розпорядженні клієнтом на базі Windows CE, що надає можливості
істинно дистанційного адміністрування.
Тим
не менше між VNC і Terminal Services існує декілька важливих відмінностей.
Ці відмінності відносяться до керування віддаленим робочим столом, технічної
підтримки продуктів, обмежень операційної системи і швидкодією.
Управління
віддаленим робочим столом. Як зазначалося вище, VNC надає лише один
дистанційно керований робочий стіл, незалежно від числа дозволених
з'єднань. Terminal Services дозволяє двом адміністраторам одночасно
підключитися до сервера і надає кожному з них власний робочий стіл.
Технічна
підтримка. На відміну від виробника Terminal Services, користувачі якої
отримують підтримку від Microsoft, жодна компанія технологію VNC НЕ
підтримує. Однак користувачі можуть завантажити вихідний текст VNC і
налаштувати інструмент на конкретне застосування. Отримати вихідний текст Terminal
Services значно важче.
Обмеження
операційної системи. Серверна програма Terminal Services поставляється тільки
у складі Windows Server 2000 і більш пізніх версій. Але клієнтські програми
працюють майже на будь-який 16 - і 32-розрядної платформі. Програма перегляду і
сервер VNC сумісні майже з усіма 32-розрядними операційними системами
Windows, у тому числі NT Server 4.0, NT Workstation 4.0 і Windows 9.x. Програма
перегляду і сервер працюють і на NT 3.51 (в режимі з обмеженою
функціональністю). Мені вдалося успішно запустити сервер VNC навіть на третьому
бета-версії. NET Server. Програма перегляду і сервер VNC також працюють на
системах Linux і Unix.
Швидкість.
Процедури дистанційного адміністрування VNC трохи повільніше, ніж Terminal
Services. Іноді доводиться чекати, коли VNC оновить віддалений дисплей.
Remote
Command
Деякий
час назад розробники Microsoft доповнили набір ресурсів Windows Server
програмою Remote Command (rcmd.exe). Утиліту Remote Command можна
розглядати як варіант Terminal Services або VNC, що запускається з командного
рядки: вона дозволяє виконувати команди на віддаленому сервері. Remote Command,
поза сумнівом, сподобається тим адміністраторам, які вважають за краще користуватися
командою Net Use замість графічного інтерфейсу, щоб підключитися до
віддаленого диску. Крім того, невеликі операції, що запускаються з командного
рядки, набагато швидше виконуються за допомогою Remote Command, ніж з
використанням графічного інтерфейсу.
Remote
Command складається з двох компонентів: rcmd.exe (клієнтський компонент) і
rcmdsvc.exe (серверний компонент). За допомогою цих двох компонентів
адміністратор може отримати доступ до командного рядка віддаленого сервера,
виконати команди і завершити сеанс. Він також може ініціювати однокомандний
сеанс з автоматичною реєстрацією, виконанням однієї команди і завершенням
зв'язку. Наприклад, команда
rcmd.exe
server1 net share
maryj $ = d: usersmaryj
забезпечує
реєстрацію на Server1 і надає в загальне користування каталог D: usersmaryj
під ім'ям MaryJ $. Remote Command можна використовувати в сценаріях. За допомогою
сценаріїв, які працюють на робочій станції, можна адмініструвати один або
кілька серверів. У більшості продуктів Microsoft разом з графічним
інтерфейсом передбачена і командний рядок, тому основні завдання можна
виконати за допомогою Remote Command.
Механізм
захисту Remote Command досить простий. Щоб зареєструватися на віддаленій
машині, користувачі вводять ті ж облікові дані, що й для реєстрації на
локальному комп'ютері. Користувачі повинні мати право інтерактивної реєстрації
на віддаленій машині, і всі дії здійснюються відповідно до їх
повноваженнями. За замовчуванням Remote Command працює на сервері від імені облікового
запису LocalSystem. Remote Command обслуговує 10 з'єднань одночасно,
забезпечуючи унікальну і незалежну оболонку командного рядка для кожного
з'єднання.
Remote
Command працює на сервері під обліковим записом LocalSystem, тому за допомогою
даної утиліти складно виконати команди, які потребують підключення до іншого
сервера. Наприклад, щоб коректно виконати команду Net Use і зробити диск
загальним мережевим ресурсом, необхідно вказати для Net Use альтернативні облікові
дані.
Telnet
Корені
telnet - у світі Unix, де утиліта вважається стандартним адміністративним
інструментом. За принципом роботи telnet дуже схожа на Remote Command, вона
також забезпечує доступ до віддаленого сервера з командного рядка. Але в
відміну від утиліти Remote Command, орієнтованої на мережі Microsoft, telnet
заснована на відкритих стандартах. Існують клієнти telnet для Palm PDA,
пристроїв Windows CE і майже будь-яких TCP/IP-сумісних машин; Remote Command
працює тільки з Windows XP, Windows 2000 і NT.
Адміністратори
мереж з маршрутизаторами і комутаторами, мабуть, знайомі з telnet, оскільки
дана утиліта - основний інструмент управління такими пристроями (хоча
багато виробники починають вбудовувати в свої мережеві пристрої
адміністративні інтерфейси на базі Web). Адміністраторам, які звикли
працювати з telnet, буде приємно дізнатися, що цю службу можна запустити і на
серверах Windows. Насправді, Windows 2000 має в своєму розпорядженні вбудованої
службою telnet. З метою безпеки службу потрібно запускати вручну.
Систему можна настроїти на автоматичний запуск служби або запускати вручну в
разі потреби.
Служба
telnet Windows 2000 забезпечує роботу двох з'єднань. Як правило, для
дистанційного адміністрування цього достатньо. Для додаткових
з'єднань можна використовувати продукт Microsoft Windows Services for UNIX
(SFU), який має у своєму розпорядженні більш потужною службою telnet і може бути
ліцензований для обслуговування більшого числа з'єднань. Microsoft також
випустила утиліту командного рядка telnet Server Administration для налаштування
режиму аутентифікації служби, порту TCP і інших параметрів. Значок утиліти розташований
у розділі Administrative Tools панелі управління. Microsoft не випускає
серверної програми telnet для NT, але в Internet неважко знайти безкоштовні і
недорогі NT-сумісні сервери telnet. Telnet - майже ідеальний інструмент
для змішаної операційного середовища, тому що, швидше за все, служба вже працює на
серверах, відмінних від Windows. Але слід пам'ятати, що telnet була розроблена
на ранніх стадіях розвитку Internet, коли проблема безпеки не була такою
актуальною. У telnet немає механізму шифрування - всі дані пересилаються в
текстовому форматі.
За
умовчанням в службі Microsoft telnet використовується досить надійний метод
аутентифікації MSCHAP. Але його можна налаштувати на прийом чисто текстових паролів
- Абсолютно незахищений, але необхідний спосіб при зверненні до telnet з
комп'ютера, не сумісного з MSCHAP, наприклад з настільною машини Unix. Telnet
підходить для внутрішніх серверів, але мало хто ризикне використовувати дану
службу для серверів, підключених до Internet. Це пов'язано, перш за все, з тим,
що стандартний TCP-порт telnet (23) - перший порт, який атакує більшість
зломщиків.
Remote
Shell
Remote
Shell - інструмент віддаленого управління, що запускається з командного рядка,
дуже схожий на Remote Command і telnet. Remote Shell складається з двох
компонентів: серверного (rshsvc.exe) і клієнтського (rsh.exe). Обидва компоненти
входять до складу Microsoft Windows 2000 Server Resource Kit і набір ресурсів NT
Server 4.0. Remote Shell - крос-платформний інструмент. Багато сер?? ери Unix
сумісні з Remote Shell, а більшість операційних систем з підтримкою
TCP/IP має в своєму розпорядженні клієнтом Remote Shell. Завдяки такій підтримці Remote
Shell може бути альтернативою для Remote Command в гетерогенних середовищах. Однак Remote Shell захищена гірше, ніж Remote
Command і telnet.
В
папці% systemroot% system32driversetc необхідно створити файл з ім'ям RHOSTS
для зберігання списку комп'ютерів, на яких може працювати rsh.exe, та імен
користувачів, які мають право запускати rsh.exe на конкретній машині. При
спробі користувача встановити зв'язок Rshsvc.exe виконує пошук у цьому файлі в
зворотному порядку. Програма дозволить підключення тільки після того, як
виявить ім'я комп'ютера і користувача. Для звернення до Remote Shell пароля не
потрібно. З-за слабких вбудованих функцій захисту Remote Shell багато
адміністратори віддають перевагу більш надійні варіанти інструменту виробництва
незалежних компаній. Зокрема, широко поширений пакет Secure Shell
компанії SSH Communications.
Remote
Console
Функціонально
близька до telnet утиліта Remote Console відрізняється тим, що вона не просто
перенаправляє командний рядок з сервера на комп'ютер, а дозволяє управляти
відеопам'яттю віддаленого сервера і запускати такі повноекранні програми
командного рядка, як MS-DOS Edit. За умовчанням, утилітою можуть користуватися
тільки члени групи Administrators сервера. Це обмеження можна зняти,
дозволивши і іншим користувачам підключатися до служби. Програмне забезпечення
і документацію Remote Console можна отримати разом з комплектом ресурсів
Windows 2000 Server або NT Server 4.0.
Як
вибрати інструмент?
Підбираючи
відповідний інструмент, слід ретельно зважити потреби компанії, а якщо
обчислювальна середа складається з декількох серверних операційних систем,
відмінних від Windows або доповнюючих Windows 2000 і NT, необхідно врахувати і
можливість крос-платформеного дистанційного адміністрування.
Рекомендується використовувати принаймні один графічний інструмент
дистанційного адміністрування, такий, як Terminal Services або VNC. Під
врізки "Великий вибір" приведена інформація про особливості інших
графічних рішень.
Крім
того, слід вибрати один з інструментів дистанційного адміністрування з
командним рядком. У середовищах Unix всюди застосовується telnet. Вибір telnet
виправданий в тих організаціях, де вже працюють з Unix. За допомогою Remote Command
можна виконувати команди адміністрування по одній. Ця утиліта зручна для
використання в сценаріях і автоматичних процедурах. Remote Shell сумісна
з різними платформами, хоча настройка режиму безпеки на окремих
серверах може віднімати багато часу. Remote Console дозволяє дистанційно
запускати програми MS-DOS на повному екрані.
Незалежно
від обраного рішення, необхідно перевірити, чи підходить клієнтське програмне
забезпечення, встановивши клієнти на керуючої робочої станції як вдома, так і в
офісі. Записав програми установки різних клієнтів на компакт-диск, їх можна
розповсюдити серед адміністраторів підприємства або взяти з собою в
відрядження (про всяк випадок). Правильно підібраний набір інструментів
дистанційного адміністрування допоможе в будь-який час усунути неполадки і
обслуговувати сервер з будь-якого місця, де б не перебував адміністратор.
Великий
вибір
В
розпорядженні адміністраторів Windows завжди був багатий набір графічних
інструментів дистанційного адміністрування. Минуло чимало часу з моменту
появи Virtual Network Computing (VNC), а багато організацій, як і раніше
використовують програму pcAnywhere компанії Symantec замість вбудованих
термінальних служб Windows 2000 Server. Ефективність дистанційного
адміністрування очевидна, але вибрати оптимальний інструмент нелегко. Ось
кілька порад.
*
Уникайте рішень, пов'язаних з високим навантаженням на процесор. Зокрема, під
час сеансу pcAnywhere навантаження на процесор може зрости на 20%.
*
Вибирайте клієнтську програму дистанційного адміністрування, за допомогою
якої можна одночасно управляти декількома серверами з настільного
комп'ютера. Така можливість передбачена як в службі VNC, так і в Terminal
Services.
*
Вибирайте компактну клієнтську програму. Клієнт VNC, як і Terminal Services,
легко вміщується на дискеті.
*
Вибирайте рішення, яке дозволяє адмініструвати всі сервери за допомогою
одного клієнта. У змішаній операційному середовищі переважна
крос-платформна служба VNC.
Список літератури
Для
підготовки даної роботи були використані матеріали з сайту http://www.nodevice.ru/
